CIS Controls

Die CIS Controls sind 18 priorisierte Sicherheitsmaßnahmen des Center for Internet Security, die auf realen Angriffsdaten basieren. Im Gegensatz zu ISO 27001 oder NIST CSF, die umfassende Management-Systeme beschreiben, fokussieren sich die CIS Controls auf konkrete technische und organisatorische Maßnahmen mit messbarer Wirkung. Version 8 enthält 153 einzelne Safeguards, die über Implementation Groups (IG1 bis IG3) nach Organisationsgröße und Risikoprofil priorisiert werden. Studien zeigen, dass allein IG1 etwa 85 % der häufigsten Cyberangriffe adressiert.

Die Implementation Groups stufen die 153 Safeguards nach Komplexität und Ressourcenbedarf. IG1 umfasst 56 grundlegende Safeguards für jede Organisation, auch ohne dediziertes Security-Team. IG2 erweitert auf 130 Safeguards für Unternehmen mit IT-Sicherheitspersonal und sensiblen Daten. IG3 deckt alle 153 Safeguards ab und richtet sich an Organisationen mit hohem Risikoprofil, etwa in regulierten Branchen wie Finanzdienstleistungen oder kritischer Infrastruktur. Jede Gruppe baut kumulativ auf der vorherigen auf.

Die 18 Controls in CIS v8 umfassen: 1) Inventarisierung von Hardware-Assets, 2) Inventarisierung von Software-Assets, 3) Datenschutz, 4) Sichere Konfiguration, 5) Account-Management, 6) Zugriffssteuerung, 7) Schwachstellen-Management, 8) Audit-Log-Management, 9) E-Mail- und Browser-Schutz, 10) Malware-Abwehr, 11) Datenwiederherstellung, 12) Netzwerk-Infrastruktur-Management, 13) Netzwerküberwachung, 14) Security-Awareness-Training, 15) Service-Provider-Management, 16) Application-Software-Security, 17) Incident-Response-Management und 18) Penetrationstests.

Unsere Implementierung folgt fünf Phasen: Zunächst führen wir ein Assessment durch, das Ihren aktuellen Sicherheitsstatus gegen die CIS Controls bewertet und Lücken identifiziert. Dann priorisieren wir die Controls anhand Ihres Risikoprofils und der passenden Implementation Group. In der dritten Phase erfolgt die stufenweise Umsetzung, von Basic Controls über Foundational bis zu Organizational Controls. Anschließend etablieren wir Monitoring und Messsysteme für den laufenden Betrieb. Die fünfte Phase sichert die kontinuierliche Verbesserung und Reifegradsteigerung.

Die CIS Controls lassen sich direkt auf Annex-A-Maßnahmen der ISO 27001 sowie auf NIST CSF 2.0 Kategorien abbilden. Das Center for Internet Security stellt offizielle Mapping-Dokumente bereit, die jedes Safeguard mit den entsprechenden Controls anderer Frameworks verknüpfen. Für Unternehmen, die bereits ISO 27001 oder NIST CSF implementiert haben, bedeutet dies: Viele CIS-Anforderungen sind bereits abgedeckt. ADVISORI führt ein Cross-Framework-Mapping durch, identifiziert überschneidungen und Lücken und reduziert so den Gesamtaufwand für mehrere Compliance-Anforderungen.

Die CIS Controls sind branchenübergreifend anwendbar, besonders relevant sind sie für Finanzdienstleister (BaFin-Anforderungen, DORA, PCI DSS), Gesundheitswesen (Patientendaten, Medizingeräte), kritische Infrastrukturen (KRITIS, NIS2), verarbeitendes Gewerbe (OT-Security, Lieferkette) und den öffentlichen Sektor. In regulierten Branchen dienen die CIS Controls als nachweisbarer Sicherheitsstandard gegenüber Aufsichtsbehörden. ADVISORI passt die Implementierung branchenspezifisch an und berücksichtigt sektorale Regulierung.

Dauer und Aufwand hängen von der Ziel-Implementation-Group, dem aktuellen Reifegrad und der Organisationsgröße ab. Eine IG1-Implementierung für ein mittelständisches Unternehmen dauert typischerweise drei bis sechs Monate. IG2 erfordert sechs bis zwölf Monate, IG3 zwölf bis achtzehn Monate. ADVISORI arbeitet mit risikobasierter Priorisierung und Quick-Wins: Die wirksamsten Controls werden zuerst umgesetzt, um sofortige Sicherheitsverbesserungen zu erzielen. Eine initiale Gap-Analyse liefert innerhalb von zwei bis vier Wochen eine verlässliche Aufwandschätzung.