ISO 27001 oder NIST CSF: Die Wahl hängt vor allem davon ab, ob Sie einen zertifizierbaren Nachweis gegenüber Dritten brauchen. Wenn ja, führt der Weg zu ISO 27001. Wenn Sie zuerst Transparenz über Ihre Cyberrisiken und eine priorisierte Verbesserung wollen, ist NIST CSF 2.0 meist der direktere Einstieg. Viele Organisationen kombinieren beides, und dieser Leitfaden zeigt, nach welchen Kriterien Sie entscheiden.

Der grundlegende Unterschied

ISO 27001 ist eine international anerkannte Norm für ein Informationssicherheits-Managementsystem (ISMS). Sie beschreibt, wie eine Organisation Informationssicherheit aufbaut, betreibt, überwacht und laufend verbessert: Kontext und Geltungsbereich festlegen, Risiken bewerten, Sicherheitsziele definieren, Massnahmen umsetzen, ihre Wirksamkeit prüfen und die Leitung einbeziehen. In der aktuellen Fassung ISO/IEC 27001:2022 umfasst der Anhang A 93 Kontrollen in vier Themengruppen: organisatorisch, personenbezogen, physisch und technologisch. Die Norm kann von akkreditierten Stellen zertifiziert werden.

NIST CSF 2.0 ist ein Rahmenwerk zur Steuerung von Cyberrisiken. Es gliedert Cybersicherheit in sechs Funktionen: Govern, Identify, Protect, Detect, Respond und Recover. Mit ihm erfassen Sie Ihren Reifegrad, legen einen Zielzustand fest und priorisieren Verbesserungen. Eine NIST-CSF-Zertifizierung gibt es nicht.

Wer «NIST» sagt, meint nicht immer dasselbe. Meist ist das Cybersecurity Framework gemeint, manchmal auch der deutlich detailliertere Kontrollkatalog NIST SP 800-53 oder weitere Publikationen. Dieser Leitfaden bezieht sich auf NIST CSF 2.0.

Vereinfacht beantworten die beiden unterschiedliche Fragen. ISO 27001: Wie führen wir Informationssicherheit als nachweisbares Managementsystem? NIST CSF 2.0: Welche Fähigkeiten brauchen wir, um Cyberrisiken zu erkennen, zu reduzieren und zu bewältigen, und wo stehen wir dabei?

Der Vergleich auf einen Blick

Kriterium	ISO 27001	NIST CSF 2.0
Art	Norm für ein Managementsystem	Rahmenwerk für Cyberrisiken und Fähigkeiten
Zertifizierung	durch akkreditierte Stellen möglich	keine
Schwerpunkt	Governance, Verantwortlichkeiten, Risikobehandlung, Nachweise, kontinuierliche Verbesserung	Reifegrad je Funktion, Lücken, priorisierte Roadmap
Struktur	Managementanforderungen plus 93 Kontrollen im Anhang A	sechs Funktionen mit Kategorien und Unterkategorien
Einstieg	verlangt mehr organisatorische Verankerung von Beginn an	rasch für eine erste Standortbestimmung nutzbar
Wirkung nach aussen	formell anerkannter Nachweis für Kunden, Ausschreibungen, Partner	verständliche Darstellung der Sicherheitslage, ohne formelles Prüfsiegel
Rhythmus	interne Audits, Managementbewertung und externe Audits sind Teil des Systems	muss die Organisation selbst festlegen
Schweizer Bezug	international verbreitet, häufig in Kundenanforderungen	der IKT-Minimalstandard folgt den NIST-Funktionen

Wann ISO 27001 die passende Wahl ist

ISO 27001 passt, wenn externe Anforderungen den Ausschlag geben:

• Ein wichtiger Kunde verlangt ein Zertifikat oder ein zertifizierungsnahes Vorgehen.
• Ausschreibungen setzen einen anerkannten Nachweis voraus.
• Die Organisation muss ihre Governance gegenüber Aufsichtsgremien, Verwaltungsrat oder Partnern formal belegen.
• Sie sind in Lieferketten eingebunden, in denen ISO 27001 die gemeinsame Sprache ist.

Auch intern bringt die Norm Verbindlichkeit. Ein ISO-27001-ISMS schafft einen festen Rhythmus aus Risikoanalyse, internen Audits, Managementbewertung und Verbesserungsmassnahmen. Organisationen mit vielen sensiblen Informationen, komplexen Lieferketten oder mehreren Standorten profitieren davon, dass die Norm Rollen, Berechtigungen, Lieferanten, Business Continuity, Personalprozesse und die Behandlung von Vorfällen zusammenführt.

Der Aufwand ist real. ISO 27001 wird nicht einmal ausgefüllt und dann abgelegt. Wer zertifiziert sein will, muss Prozesse leben, Dokumentation aktuell halten und die Wirksamkeit beschlossener Massnahmen nachweisen. Und die Norm sagt eher, was vorhanden und gesteuert sein muss, als wie tief eine einzelne technische Massnahme auszugestalten ist. Welche Kontrollen konkret verlangt sind, zeigt der Leitfaden Welche Controls fordert ISO 27001, das Vorgehen beim Assessment der Leitfaden für ISO-27001-Assessments.

Wann NIST CSF 2.0 besser passt

NIST CSF 2.0 ist häufig der pragmatischere Einstieg, wenn kein Zertifikat verlangt wird, Sie aber Ihre Sicherheitslage ehrlich bewerten und gezielt verbessern wollen.

Die sechs Funktionen sind auch ausserhalb der IT verständlich. Govern umfasst Verantwortlichkeiten, Vorgaben und Risikostrategie. Identify das Wissen über Systeme, Daten, Abhängigkeiten und Risiken. Protect, Detect, Respond und Recover fragen, wie Angriffe verhindert, erkannt, behandelt und bewältigt werden. Ein fehlendes Backup-Konzept, unklare Zuständigkeiten bei Vorfällen oder nicht verwaltete Lieferantenrisiken werden so als konkrete Lücken sichtbar, aus denen sich Massnahmen in passender Grösse ableiten lassen.

Für Schweizer Organisationen kommt ein Punkt dazu: Der IKT-Minimalstandard ist nach den NIST-Funktionen gegliedert. Wer ihn bereits anwendet oder anwenden muss, arbeitet mit NIST CSF 2.0 in einer vertrauten Struktur und erhält mit Govern die Führungsperspektive dazu. Das konkrete Vorgehen beschreibt der Leitfaden NIST CSF 2.0 umsetzen.

Auch NIST hat Grenzen. Ohne klare Zuständigkeiten und nachvollziehbare Dokumentation entsteht leicht ein Flickenteppich aus Einzelmassnahmen. Für Audits und formale Nachweise gegenüber Dritten reicht ein NIST-Assessment allein nicht.

Vier Fragen für die Entscheidung

1. Brauchen Sie einen zertifizierbaren Nachweis? Wenn Kunden, Verträge oder Ausschreibungen ausdrücklich ISO 27001 verlangen, ist die Richtung klar. Ein NIST-CSF-Assessment kann die Umsetzung vorbereiten, ersetzt die Zertifizierung aber nicht.

2. Geht es um ein dauerhaftes Managementsystem oder zuerst um Transparenz? ISO 27001 legt den Schwerpunkt auf die laufende Führung eines ISMS. NIST CSF 2.0 erleichtert den Einstieg über eine Standortbestimmung und eine priorisierte Roadmap.

3. Wie reif sind Ihre Prozesse heute? Organisationen mit etabliertem Risiko- oder Qualitätsmanagement können ISO 27001 oft gut integrieren. Sind Verantwortlichkeiten, Inventare und Sicherheitsprozesse noch uneinheitlich, macht ein NIST-orientierter Reifegradcheck zuerst die dringendsten Lücken sichtbar.

4. Was braucht Ihre Geschäftsleitung? Eine technische Massnahmenliste genügt selten. Die Geschäftsleitung braucht einen verständlichen Überblick über Risiken, Fortschritt, offene Lücken und anstehende Entscheide. Beide Rahmenwerke leisten das, wenn Bewertung, Massnahmen und Risiken verknüpft geführt werden.

Stehen Sie noch ganz am Anfang und fragen sich, ob überhaupt ein umfassendes Rahmenwerk nötig ist, hilft der Leitfaden ISO 27001 oder Basis Check. Wie ein solcher Einstieg abläuft, zeigt das Beispiel eines Cyber Basis Checks im KMU.

Beides kombinieren

In der Praxis ist die Entscheidung oft kein Entweder-oder. Zwei Muster sind verbreitet:

• NIST zuerst, ISO danach. Die Organisation erfasst mit NIST CSF 2.0 ihren Ist-Zustand, schliesst die dringendsten Lücken und baut danach ein ISMS nach ISO 27001 auf, das Verantwortlichkeiten, Nachweise und Verbesserung verbindlich verankert.
• ISO als Rahmen, NIST für die Tiefe. Das ISMS läuft nach ISO 27001. Für die Bewertung der Cyberfähigkeiten, etwa bei Erkennung, Reaktion und Wiederherstellung, nutzt die Organisation zusätzlich NIST-orientierte Assessments.

Die Kombination trägt, wenn die Ergebnisse nicht in getrennten Dateien und Einzelprojekten verschwinden. Ein Assessment zeigt Lücken, die Lücken werden zu konkreten Massnahmen, und offene Massnahmen bleiben im Risikoregister und im Bericht an die Geschäftsleitung sichtbar.

Unabhängig vom Rahmenwerk: drei Grundsätze für den Start

Mit einem klaren Scope beginnen

Legen Sie fest, welche Gesellschaft, Standorte, Prozesse, Systeme und Informationen betrachtet werden. Ein zu breiter Start verzögert Ergebnisse und überfordert die Beteiligten.

Nach Risiko und Wirkung priorisieren

Fehlende Mehrfaktor-Authentisierung für privilegierte Konten, ungetestete Wiederherstellung oder ungeregelte Meldewege bei Vorfällen verdienen in der Regel mehr Aufmerksamkeit als formale Verbesserungen mit geringer Risikowirkung. Ordnen Sie nach Eintrittswahrscheinlichkeit, Auswirkung, Aufwand und Verantwortlichkeit.

Nachweise von Anfang an mitführen

Protokolle, Richtlinien, Testresultate, Freigaben und Schulungsnachweise gehören nicht ans Ende eines Projekts. Werden sie direkt bei der Anforderung und der Massnahme abgelegt, sind sie bei Audits oder Kundenanfragen verfügbar. Was dabei geprüft wird, beschreibt der Leitfaden Auditvorbereitung für ISO 27001.

Häufige Fehlannahmen

• «ISO 27001 ist automatisch besser, weil zertifizierbar.» Ein Zertifikat kann wirtschaftlich sinnvoll sein. Es löst keine Sicherheitsprobleme, wenn Risiken nur formal behandelt werden.
• «NIST ist die leichtere Variante.» Ein ehrliches NIST-Assessment kann erhebliche organisatorische und technische Lücken aufdecken. Weniger anspruchsvoll ist es deshalb nicht.
• «Wir setzen alles gleichzeitig um.» Wirksam wird Sicherheit mit einem realistischen Zielzustand, klar verteilten Verantwortlichkeiten und regelmässiger Überprüfung. Das Rahmenwerk ist das Orientierungssystem, das Ergebnis ist die gesteuerte Verbesserung.
• «Das Rahmenwerk entscheidet über den Erfolg.» Ob aus der Bewertung Massnahmen mit Verantwortlichen und Fristen werden, entscheidet mehr als die Wahl zwischen ISO und NIST.

Beide Rahmenwerke in SCMC

SCMC bietet ein ISO-27001-Assessment gegen ISO/IEC 27001:2022 mit allen Kontrollen des Anhangs A und ein NIST-CSF-2.0-Assessment mit allen sechs Funktionen. Mehrere Module lassen sich in einem Projekt kombinieren. In beiden erfassen Sie Ist und Soll, Begründung und Beleg, planen Massnahmen mit Frist und Verantwortlichen und bewerten Risiken mit Restrisiko. Für ein externes Audit liefert SCMC die Dokumentation des Weges; das Zertifikat selbst stellt eine akkreditierte Zertifizierungsstelle aus. Die Abonnements finden Sie auf der Preisseite.