CIS Controls Umsetzung: 18 Controls nach v8 implementieren

Die CIS Controls v

8 (aktuell v8.1, veröffentlicht Juni 2024) umfassen

18 priorisierte Sicherheitsmaßnahmen mit insgesamt

153 Safeguards. Sie wurden vom Center for Internet Security auf Basis realer Angriffsdaten entwickelt. Die

18 Controls ersetzen die früheren

20 Controls aus Version

7 — durch Konsolidierung und Ergänzung neuer Bereiche wie Data Protection (Control 3) und Service Provider Management (Control 15). Die Controls sind in drei Implementation Groups (IG1, IG2, IG3) gegliedert, die eine stufenweise Umsetzung nach Organisationsgröße und Risikoprofil ermöglichen.

In Version

8 wurde das Framework von

20 auf

18 Controls konsolidiert. Die ehemaligen Controls zu E-Mail- und Browser-Schutz wurden in andere Controls integriert, und neue Themen wurden aufgenommen: Data Protection (Control 3), Service Provider Management (Control 15) und Application Software Security (Control 16). Zusätzlich führte v

8 das Konzept der Safeguards ein —

153 konkrete Einzelmaßnahmen, die den früheren Sub-Controls entsprechen. Die Implementation Groups (IG 1 mit 56, IG 2 mit 74, IG 3 mit

23 Safeguards) ersetzen die alte Basic/Foundational/Organizational-Einteilung.

Implementation Group

1 (IG1) umfasst

56 Safeguards und eignet sich für Unternehmen ohne dediziertes Sicherheitsteam. Sie deckt laut CIS über

90 % der häufigsten Angriffe ab und ist in drei bis sechs Monaten umsetzbar. Implementation Group

2 (IG2) ergänzt

74 weitere Safeguards für Organisationen mit eigenem IT-Sicherheitsteam und komplexerer Infrastruktur. Implementation Group

3 (IG3) fügt die restlichen

23 Safeguards hinzu und richtet sich an Unternehmen mit SOC-Team und hohem Reifegrad. ADVISORI empfiehlt, immer mit IG 1 zu starten und den Reifegrad schrittweise zu erhöhen.

Die Dauer hängt von der gewählten Implementation Group und dem aktuellen Reifegrad ab. IG 1 (

56 Safeguards) lässt sich bei den meisten Unternehmen in drei bis sechs Monaten umsetzen. Für IG 2 sollten Sie weitere sechs bis zwölf Monate einplanen, für IG 3 zusätzliche sechs Monate. ADVISORI beginnt mit einer Gap-Analyse, die in zwei bis drei Wochen Ihren Ist-Zustand gegen alle

18 Controls abbildet. Daraus entsteht eine priorisierte Roadmap, die Quick Wins zuerst adressiert und den größten Sicherheitsgewinn bei geringstem Aufwand liefert.

Die CIS Controls v

8 lassen sich direkt auf andere Frameworks mappen. Rund

80 % der ISO‑27001-Annex-A-Maßnahmen werden durch die CIS Controls abgedeckt. Für NIS 2 bieten die Controls eine praxisorientierte Umsetzungshilfe der geforderten Risikomanagement-Maßnahmen. Im Kontext von DORA unterstützen sie insbesondere die Anforderungen an IKT-Risikomanagement und Incident Response. ADVISORI erstellt bei jeder Implementierung ein Compliance-Mapping, das zeigt, welche regulatorischen Anforderungen durch welche CIS-Safeguards abgedeckt werden.

Die Kosten variieren nach Scope, Unternehmensgröße und angestrebter Implementation Group. Eine initiale Gap-Analyse für alle

18 Controls beginnt typischerweise im niedrigen fünfstelligen Bereich. Die vollständige Implementierung von IG 1 liegt für ein mittelständisches Unternehmen erfahrungsgemäß zwischen 50.000 und 150.000 Euro — einschließlich Beratung, Tool-Integration und Schulung. Der Return on Investment zeigt sich durch reduzierte Cyber-Versicherungsprämien (15§

30 % Reduktion), verkürzte Audit-Zeiten und vermiedene Incident-Kosten.

Die technischen Anforderungen richten sich nach der Implementation Group. Für IG 1 genügen häufig vorhandene Bordmittel: Active Directory für Access Management, Gruppenrichtlinien für Konfigurationshürtung und vorhandene Monitoring-Tools. Ab IG 2 empfehlen sich spezialisierte Lösungen wie SIEM-Systeme (z. B. Microsoft Sentinel, Splunk), Vulnerability Scanner (Tenable, Qualys) und PAM-Lösungen (BeyondTrust, CyberArk). ADVISORI integriert die Controls in Ihre bestehende Tool-Landschaft und vermeidet unnötige Neuanschaffungen.