CIS Controls Umsetzung: Alle 18 Controls nach v8 implementieren

Die CIS Controls v8 (aktuell v8.1, veröffentlicht Juni 2024) umfassen 18 priorisierte Sicherheitsmaßnahmen mit insgesamt 153 Safeguards. Sie wurden vom Center for Internet Security auf Basis realer Angriffsdaten entwickelt. Die 18 Controls ersetzen die früheren 20 Controls aus Version 7, durch Konsolidierung und Ergänzung neuer Bereiche wie Data Protection (Control 3) und Service Provider Management (Control 15). Die Controls sind in drei Implementation Groups (IG1, IG2, IG3) gegliedert, die eine stufenweise Umsetzung nach Organisationsgröße und Risikoprofil ermöglichen.

In Version 8 wurde das Framework von 20 auf 18 Controls konsolidiert. Die ehemaligen Controls zu E-Mail- und Browser-Schutz wurden in andere Controls integriert, und neue Themen wurden aufgenommen: Data Protection (Control 3), Service Provider Management (Control 15) und Application Software Security (Control 16). Zusätzlich führte v8 das Konzept der Safeguards ein, 153 konkrete Einzelmaßnahmen, die den früheren Sub-Controls entsprechen. Die Implementation Groups (IG1 mit 56, IG2 mit 74, IG3 mit 23 Safeguards) ersetzen die alte Basic/Foundational/Organizational-Einteilung.

Implementation Group 1 (IG1) umfasst 56 Safeguards und eignet sich für Unternehmen ohne dediziertes Sicherheitsteam. Sie deckt laut CIS über 90 % der häufigsten Angriffe ab und ist in drei bis sechs Monaten umsetzbar. Implementation Group 2 (IG2) ergänzt 74 weitere Safeguards für Organisationen mit eigenem IT-Sicherheitsteam und komplexerer Infrastruktur. Implementation Group 3 (IG3) fügt die restlichen 23 Safeguards hinzu und richtet sich an Unternehmen mit SOC-Team und hohem Reifegrad. ADVISORI empfiehlt, immer mit IG1 zu starten und den Reifegrad schrittweise zu erhöhen.

Die Dauer hängt von der gewählten Implementation Group und dem aktuellen Reifegrad ab. IG1 (56 Safeguards) lässt sich bei den meisten Unternehmen in drei bis sechs Monaten umsetzen. Für IG2 sollten Sie weitere sechs bis zwölf Monate einplanen, für IG3 zusätzliche sechs Monate. ADVISORI beginnt mit einer Gap-Analyse, die in zwei bis drei Wochen Ihren Ist-Zustand gegen alle 18 Controls abbildet. Daraus entsteht eine priorisierte Roadmap, die Quick Wins zuerst adressiert und den größten Sicherheitsgewinn bei geringstem Aufwand liefert.

Die CIS Controls v8 lassen sich direkt auf andere Frameworks mappen. Rund 80 % der ISO‑27001-Annex-A-Maßnahmen werden durch die CIS Controls abgedeckt. Für NIS2 bieten die Controls eine praxisorientierte Umsetzungshilfe der geforderten Risikomanagement-Maßnahmen. Im Kontext von DORA unterstützen sie insbesondere die Anforderungen an IKT-Risikomanagement und Incident Response. ADVISORI erstellt bei jeder Implementierung ein Compliance-Mapping, das zeigt, welche regulatorischen Anforderungen durch welche CIS-Safeguards abgedeckt werden.

Die Kosten variieren nach Scope, Unternehmensgröße und angestrebter Implementation Group. Eine initiale Gap-Analyse für alle 18 Controls beginnt typischerweise im niedrigen fünfstelligen Bereich. Die vollständige Implementierung von IG1 liegt für ein mittelständisches Unternehmen erfahrungsgemäß zwischen 50.000 und 150.000 Euro, einschließlich Beratung, Tool-Integration und Schulung. Der Return on Investment zeigt sich durch reduzierte Cyber-Versicherungsprämien (15 bis 30 % Reduktion), verkürzte Audit-Zeiten und vermiedene Incident-Kosten.

Die technischen Anforderungen richten sich nach der Implementation Group. Für IG1 genügen häufig vorhandene Bordmittel: Active Directory für Access Management, Gruppenrichtlinien für Konfigurationshürtung und vorhandene Monitoring-Tools. Ab IG2 empfehlen sich spezialisierte Lösungen wie SIEM-Systeme (z. B. Microsoft Sentinel, Splunk), Vulnerability Scanner (Tenable, Qualys) und PAM-Lösungen (BeyondTrust, CyberArk). ADVISORI integriert die Controls in Ihre bestehende Tool-Landschaft und vermeidet unnötige Neuanschaffungen.