Wer NIST CSF 2.0 umsetzen will, hat selten ein Verständnisproblem mit den sechs Funktionen. Schwierig ist die Übersetzung in Zuständigkeiten, Belege und Massnahmen, die drei Monate später noch jemand verfolgt. Pragmatisch gelingt das in sieben Schritten: Geltungsbereich festlegen, Verantwortliche bestimmen, Ist-Zustand mit Belegen erfassen, Lücken nach Risiko ordnen, Massnahmen verbindlich planen, Restrisiken bewusst entscheiden und das Ganze in einen jährlichen Rhythmus bringen.

Warum NIST CSF 2.0 für Schweizer Organisationen naheliegt

Der Schweizer IKT-Minimalstandard ist nach den fünf NIST-Funktionen Identify, Protect, Detect, Respond und Recover gegliedert. Wer den Minimalstandard kennt oder bereits nach ihm bewertet, arbeitet also schon mit der Logik des NIST Cybersecurity Framework. Mehr dazu, wer den Standard anwenden muss, steht im Leitfaden Wer braucht den IKT-Minimalstandard.

NIST CSF 2.0 ergänzt diese fünf Funktionen um eine sechste: Govern. Ausserdem richtet sich die Version 2.0 ausdrücklich an Organisationen jeder Art, über kritische Infrastrukturen hinaus, und gewichtet Risiken aus der Lieferkette stärker. Für eine Gemeinde, ein Energieversorgungsunternehmen oder ein KMU heisst das: Die vertraute Struktur bleibt, und die Frage, wie die Führung Cybersicherheit steuert, bekommt einen eigenen Platz.

Eine Zertifizierung nach NIST CSF gibt es nicht. Das Framework ist ein Orientierungs- und Steuerungsrahmen, um den eigenen Stand zu bewerten, einen Zielzustand festzulegen und Verbesserungen zu priorisieren. Wenn Sie stattdessen einen formellen, extern geprüften Nachweis brauchen, lesen Sie zuerst ISO 27001 oder NIST CSF. Ob für den Anfang ein kleinerer Einstieg genügt, klärt ISO 27001 oder Basis Check.

Die sechs Funktionen und was Sie als Beleg brauchen

Die Funktionen geben eine Struktur vor, sie ersetzen keine Priorisierung. Nicht jede Unterkategorie verdient dieselbe Tiefe. Jede Funktion sollte aber sichtbar abgedeckt sein, und zu jeder Bewertung gehört ein Beleg.

Funktion	Leitfrage	Typische Belege
Govern	Wer verantwortet Cybersicherheit, wie viel Risiko ist tragbar, wie wird berichtet?	Rollenbeschrieb, Beschluss der Geschäftsleitung zur Risikotoleranz, Berichtsrhythmus, Regeln für Ausnahmen, Anforderungen an Lieferanten
Identify	Welche Systeme, Daten und Abhängigkeiten sind kritisch?	Inventar, Schutzbedarfsanalyse, Liste der Dienstleister, Risikoregister
Protect	Welche Schutzmassnahmen sind tatsächlich wirksam?	Konfiguration der Mehrfaktor-Authentisierung, Protokoll der Berechtigungsprüfung, Schulungsnachweise, Backup-Konzept
Detect	Wie bemerken Sie einen Angriff oder eine Störung?	Protokollierung, Alarmierungsregeln, festgelegte Zuständigkeit für die Auswertung
Respond	Wer macht was, wenn etwas passiert?	Vorfallprozess, Kontakt- und Meldeliste, Protokoll einer Übung
Recover	Wie schnell und vollständig kommen Sie zurück in den Betrieb?	Wiederanlaufziele, Protokoll eines Wiederherstellungstests, Notfallhandbuch

Schritt 1: Den Geltungsbereich festlegen

Ein häufiger Fehler liegt ganz am Anfang: Die gesamte Organisation soll auf einmal bewertet werden. Das führt zu langen Abstimmungen, unklaren Daten und Ergebnissen, die zu grob bleiben, um daraus Massnahmen abzuleiten.

Legen Sie deshalb einen Scope fest. Das kann ein Bereich sein, eine kritische Dienstleistung, ein Standort oder die ganze Organisation, sofern Rollen, Systeme und Prozesse überschaubar dokumentiert sind. Beschreiben Sie den Scope über die Technik hinaus:

• Geschäftsprozesse und Dienstleistungen, die betrachtet werden
• Systeme und Informationen, auf die diese Prozesse angewiesen sind
• externe Dienstleister, die Teile davon betreiben
• vorhandene Richtlinien und Vorgaben
• verantwortliche Rollen

Erst mit diesen Angaben ist das Ergebnis für Geschäftsleitung und Revision belastbar.

Schritt 2: Verantwortliche je Funktion bestimmen

NIST CSF 2.0 ist keine Checkliste für die IT. Viele Anforderungen in Govern, Identify und Respond haben organisatorische Eigentümer: die Geschäftsleitung für Risikotoleranz und Berichtswesen, HR für Ein- und Austritte, Fachbereiche für den Umgang mit schützenswerten Informationen, der Einkauf für Lieferantenverträge. Halten Sie pro Funktion fest, wer die Antworten liefert und wer sie bestätigt. Wo alle zuständig sind, verfolgt am Ende niemand die Umsetzung.

Schritt 3: Den Ist-Zustand mit Belegen erfassen

Die Statuserfassung darf nicht auf Annahmen beruhen, sonst wird das Assessment zur Meinungsrunde. Hinterlegen Sie zu jeder Antwort, worauf sie sich stützt: Richtlinie, Konfigurationsauszug, Protokoll, Vertrag oder dokumentierter Ablauf.

Bewerten Sie differenziert. Eine Anforderung kann erfüllt sein, teilweise erfüllt, formal vorhanden und im Betrieb schwach, oder offen. Der Unterschied zählt: Eine Richtlinie senkt kein Risiko, wenn Schulung, Kontrolle oder Zuständigkeit fehlen. Eine Zugriffskontrolle kann technisch eingerichtet sein, ohne dass jemand die Berechtigungen periodisch prüft.

Legen Sie gleichzeitig den Zielzustand fest, also welches Niveau pro Anforderung angemessen ist. Die Lücke zwischen Ist und Ziel ist die Grundlage für alles Weitere.

Schritt 4: Lücken nach Risiko ordnen

Nicht jede Lücke ist gleich dringend. Eine fehlende Formatvorlage für ein Protokoll wiegt weniger als unkontrollierte Administratorzugriffe. Setzen Sie dort zuerst an, wo diese Kriterien zusammenkommen:

• hoher Schutzbedarf der betroffenen Informationen oder Systeme
• regulatorische oder vertragliche Relevanz
• grosse Auswirkung bei einem Vorfall
• realistische Umsetzbarkeit mit den vorhandenen Mitteln

Bewerten Sie die wichtigsten Lücken nach Eintrittswahrscheinlichkeit und Auswirkung. So wird die Reihenfolge nachvollziehbar, und Sie können sie gegenüber der Geschäftsleitung begründen.

Schritt 5: Massnahmen verbindlich planen

Aus jeder priorisierten Lücke wird eine Massnahme. Abstrakte Empfehlungen wie «Zugriffsmanagement verbessern» werden im Alltag verschoben. Eine brauchbare Massnahme enthält:

Feld	Inhalt
Bezug	Anforderung bzw. Unterkategorie, deren Lücke sie schliesst
Was wird umgesetzt	konkretes Zielbild, etwa «Berechtigungen privilegierter Konten quartalsweise prüfen und protokollieren»
Verantwortlich	eine Person oder Rolle
Frist	verbindlicher Termin
Priorität	abgeleitet aus Schritt 4
Status	offen, in Arbeit, umgesetzt
Validierung	wer prüft, ob die Massnahme wirkt, und bis wann

Die Validierung wird oft vergessen. Erst sie zeigt, ob eine umgesetzte Massnahme die ursprüngliche Lücke tatsächlich schliesst. Wie Sie den gesamten Plan aufbauen, beschreibt Massnahmenplan Informationssicherheit erstellen.

Schritt 6: Restrisiken bewusst entscheiden

Manche Lücken lassen sich nicht sofort schliessen, etwa bei einem älteren Fachsystem ohne moderne Anmeldeverfahren. Solche Fälle gehören ins Risikoregister, mit Eintrittswahrscheinlichkeit, Auswirkung, bestehenden Kontrollen, geplanter Behandlung und einem Risikoeigentümer. Die Geschäftsleitung entscheidet dann, ob das Risiko reduziert, übertragen, vermieden oder akzeptiert wird. Vorlagen und Felder dafür finden Sie im Leitfaden Risikoregister Informationssicherheit.

Schritt 7: In den Regelbetrieb überführen

Die Qualität der Umsetzung zeigt sich drei oder sechs Monate nach dem ersten Assessment. Sind Fortschritte sichtbar, werden Fristen gehalten, werden neue Systeme und Dienstleister nachgeführt? Dafür braucht es:

• einen festen Rhythmus für die Gesamtbewertung, für viele Organisationen jährlich, ergänzt bei wesentlichen Änderungen oder nach Vorfällen
• regelmässige Durchsicht der offenen Massnahmen mit den Verantwortlichen
• eine Dokumentation, die auch bei Personalwechseln verständlich bleibt
• einen Bericht an die Geschäftsleitung mit Reifegrad je Funktion, kritischen Lücken, Stand der Massnahmen und den bewusst getragenen Risiken

Die Geschäftsleitung braucht keine Diskussion jeder Unterkategorie. Sie braucht eine verdichtete Sicht, auf deren Grundlage sie entscheiden kann.

Govern als Führungsaufgabe verankern

Govern wird oft unterschätzt, weil technische Themen greifbarer wirken. Viele Sicherheitsprobleme entstehen aber aus unklaren Verantwortungen, fehlenden Eskalationswegen oder nicht definierten Risikotoleranzen. Klären Sie früh mit der Geschäftsleitung:

• Wer darf welche Risiken akzeptieren, bis zu welcher Höhe?
• Wie werden Ausnahmen beantragt, bewilligt und befristet?
• In welchem Rhythmus und in welcher Form wird der Sicherheitsstatus berichtet?
• Welche Mindestanforderungen gelten für Lieferanten und Dienstleister?
• Wer entscheidet bei einem schweren Vorfall?

Für Geschäftsleitungen, die sich zuerst selbst orientieren wollen, gibt es das Selbstlernmodul «SCMC Cyber-Risiken: Führung gefordert», entstanden mit der HWZ. Es dauert rund 50 Minuten, kommt ohne Technik aus und zeigt, warum Informationssicherheit Chefsache ist und wie sich der Reifegrad sichtbar machen lässt.

Detect, Respond und Recover realistisch planen

Kleinere Organisationen setzen sich bei Erkennung, Reaktion und Wiederherstellung oft zu ambitionierte Ziele. Ein eigenes Security Operations Center ist für die meisten nicht realistisch, und das ist kein Mangel, solange Verfahren und Zuständigkeiten zum Risiko passen. Wichtiger sind:

• klare Meldewege intern und zu externen Partnern
• ein Reaktionsablauf, der mindestens einmal geübt wurde
• Datensicherungen, deren Wiederherstellung getestet und protokolliert ist
• festgelegte Wiederanlaufziele für die kritischen Systeme

Entscheidend ist, dass diese Punkte im Betrieb überprüfbar sind. Ein Notfallprozess, der seit Jahren nicht getestet wurde, ist als «teilweise erfüllt» zu bewerten.

Typische Stolpersteine

• Nachweisaufwand unterschätzt. Belastbare Belege zu sammeln dauert länger als die Fragen zu beantworten. Planen Sie die Zeit dafür ein und nutzen Sie vorhandene Dokumente, wo sie eine Anforderung tatsächlich belegen.
• Zu allgemeine Massnahmen. Ohne Verantwortliche und Frist wird eine Massnahme nicht gesteuert.
• Verantwortung nur bei der IT. Govern und grosse Teile von Identify und Respond brauchen organisatorische Eigentümer.
• Vollständigkeit gegen Tempo. Wer zu schnell bewertet, erhält oberflächliche Resultate. Wer alles perfekt erheben will, blockiert die Umsetzung. Bewährt hat sich ein strukturierter Überblick mit anschliessender Vertiefung bei den kritischen Themen. Wie ein solcher erster Überblick mit dem Cyber Security Basis Check aussieht, zeigt das Beispiel eines Basis Checks im KMU.
• Verstreute Ablage. Liegt das Assessment in einem Dokument, die Massnahmen in einer Projektliste und die Risiken in einer separaten Tabelle, muss jeder Bericht von Hand zusammengesetzt werden, und der Zusammenhang zwischen Lücke, Massnahme und Risiko geht verloren.

So unterstützt SCMC die Umsetzung

Das NIST-CSF-2.0-Assessment von SCMC bildet alle sechs Funktionen ab. Pro Frage erfassen Sie Ist und Soll, eine Begründung und einen Dokumentlink als Beleg. Massnahmen tragen eine Frist und eine verantwortliche Person, die Validierung ebenso, Erinnerungen gehen per E-Mail hinaus, und unter «Meine Aufgaben» sieht jede Person, was auf sie läuft. Lücken lassen sich nach Wahrscheinlichkeit und Auswirkung bewerten, mit Risiko- und Restrisikomatrix. Bewertung, Massnahmen und Risikoanalyse stehen als bearbeitbare Word-Dokumente bereit, und für das Folgejahr duplizieren Sie eine Bewertung mit allen Antworten, Massnahmen und Risiken.

Wer bereits nach dem IKT-Minimalstandard bewertet, kann beide Module im selben Projekt führen. Den Einstieg in die Umsetzung des Minimalstandards beschreibt der Leitfaden IKT-Minimalstandard. Die Daten werden in der Schweiz gespeichert (AWS, Rechenzentren in Zürich). Zu den Abonnements finden Sie alles auf der Preisseite, Antworten auf Bedienungsfragen im Hilfe-Center.