Wissen · Framework-Leitfaden

NIST CSF 2.0 als praktische Checkliste für dein Unternehmen

Das NIST Cybersecurity Framework 2.0 ist ein kostenloses, freiwilliges Rahmenwerk, das Ziele der Cybersicherheit in sechs Funktionen ordnet: Govern, Identify, Protect, Detect, Respond und Recover. NIST hat es am 26. Februar 2024 veröffentlicht, und es passt für Unternehmen jeder Größe und in jedem Land. Dieser Leitfaden macht daraus eine Checkliste für deine erste Gap-Analyse.

Aktualisiert: 6. November 2026

Was CSF 2.0 ist und für wen es gedacht ist

CSF 2.0 stammt vom US-Standardisierungsinstitut NIST und ist als NIST CSWP 29 erschienen. Es beschreibt Ergebnisse, keine Produkte und keine technischen Einstellungen. Laut NIST ist es für Organisationen unabhängig von Größe, Branche und Reifegrad gedacht, und frühere Versionen wurden bereits von vielen Regierungen und Unternehmen außerhalb der USA genutzt. Neu in Version 2.0 sind die Funktion Govern und ein breiterer Anwendungsbereich, der nicht mehr nur kritische Infrastrukturen meint.

Das Framework besteht aus drei Teilen. Der Core ist der Katalog der Ergebnisse mit 6 Funktionen, 22 Kategorien und 106 Unterkategorien. Organizational Profiles beschreiben, wo du stehst und wo du hinwillst. Tiers beschreiben, wie ausgereift dein Risikomanagement und deine Steuerung sind. Eine Zertifizierung gibt es nicht: Du kannst dich nicht nach CSF zertifizieren lassen, sondern nutzt es, um deine Sicherheitsarbeit zu strukturieren und zu kommunizieren.

Die sechs Funktionen als Checkliste

Nutze die folgenden Fragen für einen ersten Durchlauf. Im offiziellen Core ist jede Funktion in Kategorien unterteilt. Zu jedem Punkt solltest du eine verantwortliche Person und einen Nachweis haben, etwa eine Richtlinie, einen Bericht oder einen Screenshot einer Einstellung.

• Govern: Hat die Geschäftsführung eine Strategie und Richtlinie für Cyberrisiken freigegeben? Sind Rollen und Verantwortlichkeiten schriftlich festgelegt? Kennst du deine gesetzlichen und vertraglichen Pflichten? Ist das Lieferantenrisiko Teil von Einkauf und Verträgen? Prüft die Leitung die Ergebnisse regelmäßig?
• Identify: Gibt es ein aktuelles Inventar von Hardware, Software, Daten und Cloud-Diensten? Hast du Risiken bewertet und kritische Systeme priorisiert? Verfolgst du Schwachstellen und Bedrohungsinformationen? Fließen Erkenntnisse zurück ins Programm?
• Protect: Sind Identitäten verwaltet, mit Multi-Faktor-Authentifizierung und minimalen Rechten? Sind Mitarbeitende geschult? Sind Daten gespeichert und übertragen geschützt, auch die Backups? Sind Systeme gepatcht und gehärtet, und werden Logs aufbewahrt? Hält deine Infrastruktur einen Ausfall aus, ohne dass alles stillsteht?
• Detect: Werden Netzwerke, Endgeräte und Cloud-Konten laufend überwacht? Schaut jemand rund um die Uhr auf die Alarme, oder reagiert zumindest zeitnah jemand? Analysierst du Ereignisse, um echte Vorfälle zu erkennen?
• Respond: Gibt es einen getesteten Notfallplan mit Rollen, Kontakten und Entscheidungsrechten? Kannst du Vorfälle einordnen, untersuchen, eindämmen und melden, auch an Behörden und Kunden, wo das verlangt ist?
• Recover: Gibt es einen Wiederherstellungsplan mit Prioritäten und Zielzeiten? Hast du die Wiederherstellung aus Backups getestet? Ist die Kommunikation während und nach einem Vorfall geplant?

Profile und Tiers: ein realistisches Ziel setzen

Ein Organizational Profile ist eine Tabelle über die Ergebnisse des Core. Das Current Profile hält fest, welche Ergebnisse du heute erreichst und wie gut. Das Target Profile hält die Ergebnisse fest, die du dir nach Risiko, Budget und Pflichten vorgenommen hast. Der Unterschied zwischen beiden ist deine Lückenliste und die Grundlage für die Roadmap. NIST bietet dazu einen Quick Start Guide zu Organizational Profiles und einen für kleine Unternehmen.

Tiers sind vom Core getrennt. Sie beschreiben die Strenge deiner Steuerung und deines Risikomanagements in vier Stufen: Tier 1 Partial (ad hoc), Tier 2 Risk Informed (von der Leitung genehmigte Praktiken), Tier 3 Repeatable (formell, richtlinienbasiert und regelmäßig überprüft) und Tier 4 Adaptive (laufend verbessert). Höher ist nicht automatisch besser. Ein kleines Unternehmen mit geringer Angriffsfläche kann sinnvoll Tier 2 für die meisten Bereiche und Tier 3 für die wenigen wichtigsten anpeilen.

Bezug zu ISO 27001 und NIS2

NIST pflegt sogenannte Informative References, die CSF-Ergebnisse mit anderen Dokumenten verknüpfen. Der öffentliche Katalog, das Online Informative References Program, führt Zuordnungen unter anderem zu ISO/IEC 27001:2022, NIST SP 800-53, den CIS Controls und PCI DSS. NIST weist darauf hin, dass es die Richtigkeit von Zuordnungen Dritter nicht prüft und ein Eintrag keine Empfehlung bedeutet. Das CSF 2.0 Reference Tool filtert den Core nach einer gewählten Referenz und exportiert ihn; NIST SP 1347 erklärt das Vorgehen.

Bei NIS2 ist die Lage enger. ENISA hat im Juni 2025 eine technische Umsetzungshilfe mit Mapping-Tabelle veröffentlicht. Sie ordnet die Sicherheitsanforderungen der Durchführungsverordnung (EU) 2024/2690 unter anderem ISO/IEC 27001, ISO/IEC 27002, NIST CSF 2.0, ETSI EN 319 401, CEN/TS 18026 und nationalen Rahmenwerken zu. Diese Verordnung gilt für bestimmte Anbieter digitaler Infrastruktur und IKT-Dienste, etwa Cloud-, Rechenzentrums-, DNS- und Managed-Service-Anbieter. ENISA betont, dass das Mapping kein Maß für Gleichwertigkeit ist und die Nutzung der Hilfe allein keine Konformität belegt. Für andere NIS2-Sektoren legt das nationale Recht die Anforderungen fest, also prüfe die Vorgaben deiner Behörde. In Deutschland gilt das NIS2-Umsetzungsgesetz zum Beispiel seit dem 6. Dezember 2025.

Praktisches Fazit: CSF und ISO 27001 überschneiden sich stark, ein gemeinsamer Maßnahmenkatalog kann beides bedienen, aber CSF allein belegt weder NIS2- noch ISO-27001-Konformität.

So führst du eine Gap-Analyse durch

Eine erste Analyse dauert in einem mittelgroßen Unternehmen meist einige Wochen Teilzeitarbeit. Halte sie einfach und belegbar.

• Umfang festlegen: Gesellschaften, Standorte, Cloud-Tenants und kritische Lieferanten.
• Detailtiefe wählen: Kategorien für einen schnellen Überblick, Unterkategorien für die volle Analyse.
• Current Profile erstellen: jedes Ergebnis bewerten, zum Beispiel nicht, teilweise, überwiegend, vollständig, und Nachweise anhängen.
• Verantwortliche befragen, nicht nur Richtlinien lesen. Prüfen, ob dokumentierte Maßnahmen tatsächlich laufen.
• Target Profile aus Risiken, Kundenanforderungen, Versicherung und gesetzlichen Pflichten ableiten.
• Lücken auflisten, nach Risiko und Aufwand bewerten, Verantwortliche und Termine zuweisen.
• Mindestens jährlich und nach größeren Änderungen oder Vorfällen wiederholen und der Leitung berichten.

Was Unternehmen typischerweise auslagern

Die meisten kleinen und mittleren Unternehmen behalten Govern und den Großteil von Identify im Haus, weil dafür Geschäftswissen und Entscheidungen der Leitung nötig sind. Technische, personalintensive Aufgaben werden oft als Dienst eingekauft:

Wer die Arbeit auslagert, lagert die Verantwortung nicht aus. Lege fest, wer entscheidet, wer angerufen wird und welche Nachweise der Dienstleister liefert.

• Sicherheitsüberwachung (Detect): ein Managed SOC oder Managed Detection and Response, mit Erkennungswerkzeugen für Endgeräte oder Netzwerk.
• Schwachstellenanalyse (Identify): regelmäßiges Scannen, Penetrationstests und priorisierte Hinweise zur Behebung.
• Incident Response (Respond und Recover): ein Bereitschaftsvertrag mit Forensik und Eindämmung, am besten vor dem Vorfall vereinbart.
• Resilienz-Engineering (Protect und Recover): Backup-Konzept, Wiederherstellungstests und Härtung der Infrastruktur.
• Unabhängige Bewertung: eine externe Prüfung deines Current Profile und Target Profile.