Home > Sicherheits- und Compliance-Blog > Regulatorische Compliance > NIST Cybersecurity Framework 2.0: Was es verlangt und wie Sie es umsetzen

NIST Cybersecurity Framework 2.0: Was es verlangt und wie Sie es umsetzen

von Bob Ertl updated 17. August 2026 Regulatorische Compliance

Lesezeit: 8 Minuten

Das NIST Cybersecurity Framework ist der weltweit am häufigsten referenzierte freiwillige Cybersicherheitsstandard – Unternehmen aus praktisch jeder Branche nutzen es, um ihr Cybersicherheitsrisikomanagement zu strukturieren. Im Februar 2024 veröffentlichte NIST mit CSF 2.0 die erste grundlegende Überarbeitung des Frameworks seit der Erstveröffentlichung 2014. Sie führt eine sechste Kernfunktion ein und erweitert den Anwendungsbereich weit über den ursprünglichen Fokus auf kritische Infrastrukturen hinaus.

Dieser Leitfaden zeigt, was NIST CSF 2.0 in allen sechs Funktionen konkret verlangt, was sich gegenüber dem ursprünglichen Framework geändert hat und wie Unternehmen es in der Praxis umsetzen – egal, ob sie ein Cybersicherheitsprogramm von Grund auf aufbauen oder eine bestehende CSF-1.1-Implementierung aktualisieren.

Table of Contents

Zusammenfassung

Kernaussage: NIST CSF 2.0 strukturiert das Cybersicherheitsrisikomanagement anhand von sechs Funktionen – Govern, Identify, Protect, Detect, Respond und Recover – und bietet damit einen strukturierten, risikobasierten Ansatz, der für Organisationen jeder Größe und Branche gilt. Es ist freiwillig und selbst keine Vorschrift, bildet aber die Grundlage für CMMC, FedRAMP, die Anforderungen der HIPAA Security Rule und die meisten branchenspezifischen Compliance-Frameworks bzw. lässt sich direkt darauf abbilden.

Warum das wichtig ist: Die bedeutendste Neuerung von CSF 2.0 – die Funktion Govern – spiegelt einen Wandel darin wider, wie Regulierungsbehörden und Auditoren Cybersicherheitsprogramme bewerten: Es geht nicht mehr nur darum, ob technische Kontrollen existieren, sondern ob das Cybersicherheitsrisikomanagement tatsächlich in die Unternehmensentscheidungen integriert und auf Führungsebene überwacht wird. Organisationen, die noch nach der fünf Funktionen umfassenden Struktur von CSF 1.1 arbeiten, erfüllen die Governance-Erwartung nicht, die CSF 2.0 explizit gemacht hat – eine Erwartung, die zunehmend in Sicherheitsfragebögen für Lieferanten, bei der Cyberversicherungs-Risikoprüfung und im Risikoreporting auf Vorstandsebene auftaucht.

Die wichtigsten Erkenntnisse

CSF 2.0 hat eine sechste Funktion hinzugefügt: Govern. Das ursprüngliche Framework von 2014 strukturierte das Cybersicherheitsrisikomanagement anhand von fünf Funktionen: Identify, Protect, Detect, Respond und Recover. CSF 2.0, veröffentlicht im Februar 2024, fügte Govern als grundlegende sechste Funktion hinzu – und stellt damit klar, dass Strategie, Rollen, Richtlinien und Aufsicht im Cybersicherheitsrisikomanagement explizit definiert und in das unternehmensweite Risikomanagement integriert werden müssen, statt einfach vorauszusetzen, dass sie neben den anderen fünf Funktionen existieren.
CSF 2.0 richtet sich explizit an alle Organisationen, nicht nur an kritische Infrastrukturen. Das ursprüngliche CSF wurde vor allem für Sektoren kritischer Infrastrukturen entwickelt. Der Anwendungsbereich von CSF 2.0 wurde bewusst erweitert, um jede Organisation zu adressieren – unabhängig von Branche, Größe oder vorhandener Cybersicherheitsreife. Das spiegelt wider, wie breit das Framework seit 2014 tatsächlich eingesetzt wird, weit über seine ursprüngliche Zielgruppe hinaus.
NIST CSF ist freiwillig, fungiert aber als De-facto-Maßstab für zahlreiche Compliance-Frameworks. CSF selbst ist keine Vorschrift und zieht bei Nichteinhaltung keine direkten Sanktionen nach sich. Doch seine Struktur und Kontrollerwartungen bilden die Grundlage für CMMC, das Risk Management Framework von FedRAMP, die technischen Schutzmaßnahmen der HIPAA Security Rule sowie zahlreiche bundesstaatliche und branchenspezifische Anforderungen bzw. lassen sich eng darauf abbilden. Organisationen, die ihr Cybersicherheitsprogramm rund um CSF aufbauen, schaffen damit ein Fundament, das die Compliance über mehrere regulatorische Frameworks hinweg gleichzeitig unterstützt.
Jede Funktion gliedert sich in Kategorien und Unterkategorien mit konkreten Ergebnissen. CSF 2.0 ist keine Checkliste bestimmter technischer Kontrollen, sondern ein ergebnisorientiertes Framework. Jede der sechs Funktionen gliedert sich in Kategorien (konkrete Ergebnisbereiche) und Unterkategorien (detailliertere gewünschte Ergebnisse), die Organisationen anschließend auf technische und organisatorische Kontrollen abbilden, die zu ihrem Risikoprofil und bestehenden Frameworks wie NIST SP 800-53 passen.
Implementation Tiers beschreiben den organisatorischen Reifegrad, nicht Compliance-Stufen. CSF 2.0 behält die vier Implementation Tiers des ursprünglichen Frameworks bei – Partial, Risk Informed, Repeatable und Adaptive –, die beschreiben, wie tief Praktiken des Cybersicherheitsrisikomanagements in die organisatorische Entscheidungsfindung integriert sind. Tiers sind keine Zertifizierung oder Reifegradbewertung für eine externe Validierung, sondern ein Selbstbewertungsinstrument, um den aktuellen Stand einer Organisation und ihre Verbesserungsprioritäten zu verstehen und zu kommunizieren.

Was sich von CSF 1.1 zu CSF 2.0 geändert hat

NIST veröffentlichte das ursprüngliche Cybersecurity Framework 2014 als Reaktion auf eine Executive Order aus dem Jahr 2013, die die Behörde beauftragte, ein freiwilliges Framework zur Reduzierung von Cyberrisiken für kritische Infrastrukturen zu entwickeln. Es entwickelte sich rasch zu einem De-facto-Standard, der weit über diesen ursprünglichen Anwendungsbereich hinausging und von Organisationen jeder Größe und Branche übernommen wurde – sowohl in den USA als auch international.

CSF 2.0, veröffentlicht im Februar 2024, spiegelt ein Jahrzehnt praktischer Implementierungserfahrung sowie mehrere bewusste Änderungen wider:

Die Einführung der Funktion Govern. Dies ist die substanziellste Änderung. CSF 1.1 behandelte Governance-Konzepte innerhalb der Funktion Identify, doch CSF 2.0 macht Governance zu einer eigenständigen Kernfunktion – und legt fest, dass Strategie, Erwartungen und Richtlinien zum Cybersicherheitsrisikomanagement einer Organisation verstanden, festgelegt, kommuniziert und überwacht werden müssen, mit klarer Aufsicht durch Führungsebene und Vorstand.

Explizite Anwendbarkeit für alle Organisationen. Die einleitenden Formulierungen von CSF 2.0 verzichten auf die ursprüngliche, auf kritische Infrastrukturen ausgerichtete Rahmung und positionieren das Framework formal als anwendbar für jede Organisation, unabhängig von Branche, Größe oder Cybersicherheitsreife.

Erweiterte Umsetzungshinweise. CSF 2.0 führte für viele Unterkategorien sogenannte Implementation Examples ein – konkrete, veranschaulichende Maßnahmen, mit denen Organisationen ein bestimmtes Ergebnis erreichen können. Das macht das Framework auch für Organisationen ohne tiefgreifende interne Cybersicherheitsexpertise praktisch umsetzbar.

Stärkerer Fokus auf Risikomanagement in der Lieferkette. CSF 2.0 erweitert die Vorgaben zum Cybersicherheits-Risikomanagement in der Lieferkette deutlich – ein Ausdruck der wachsenden Erkenntnis, dass Risiken durch Drittanbieter und Lieferanten bei den meisten Sicherheitsvorfällen einen zentralen Angriffsvektor darstellen.

Die sechs Funktionen von NIST CSF 2.0

Govern (GV). Legt die Strategie, Erwartungen und Richtlinien einer Organisation zum Cybersicherheitsrisikomanagement fest und überwacht sie. Diese Funktion umfasst den organisatorischen Kontext, die Risikomanagementstrategie, Rollen und Verantwortlichkeiten, Richtlinien, Aufsicht sowie das Risikomanagement in der Cybersicherheits-Lieferkette. In der Praxis legt Govern fest, wer für Entscheidungen zum Cybersicherheitsrisiko verantwortlich ist, wie die Risikotoleranz festgelegt wird und wie das Programm auf Führungsebene überwacht wird.

Identify (ID). Entwickelt ein organisatorisches Verständnis für Cybersicherheitsrisiken bei Systemen, Assets, Daten und Fähigkeiten. Dazu gehören das Asset-Management (Wissen, welche Hardware, Software und Daten existieren und wo), die Risikobewertung und die Verbesserungsplanung. Ein genaues, aktuelles Inventar von Systemen und Datenflüssen ist die Grundlage, auf der alle anderen Funktionen aufbauen – eine Organisation kann Assets, von deren Existenz sie nichts weiß, weder schützen noch überwachen noch wiederherstellen.

Protect (PR). Implementiert Schutzmaßnahmen, um die Bereitstellung kritischer Dienste sicherzustellen und die Auswirkungen eines möglichen Cybersicherheitsvorfalls zu begrenzen oder einzudämmen. Dies umfasst Identitätsmanagement und Zugriffskontrolle, Sensibilisierung und Schulung, Datensicherheit, Plattformsicherheit und die Resilienz der technischen Infrastruktur. Verschlüsselung, Zugriffskontrollen und Data-Loss-Prevention-Funktionen sind vorrangig in dieser Funktion verankert.

Detect (DE). Implementiert Maßnahmen, um das Auftreten eines Cybersicherheitsereignisses zeitnah zu erkennen. Dies umfasst kontinuierliches Monitoring und die Analyse nachteiliger Ereignisse – also Protokollierung, Überwachung und Anomalieerkennung, mit denen eine Organisation erkennt, wenn etwas schiefläuft, bevor daraus ein ausgewachsener Vorfall wird.

Respond (RS). Implementiert Maßnahmen, um auf einen erkannten Cybersicherheitsvorfall zu reagieren. Dies umfasst Incident-Management, Analyse, Schadensbegrenzung sowie Berichterstattung und Kommunikation – einschließlich der internen und externen Kommunikation (Aufsichtsbehörden, Kunden, Partner), die viele Compliance-Frameworks nach einem Sicherheitsvorfall separat vorschreiben.

Recover (RC). Implementiert Maßnahmen, um von einem Cybersicherheitsvorfall betroffene Assets und Betriebsabläufe wiederherzustellen. Dies umfasst die Planung der Vorfallswiederherstellung und die entsprechende Kommunikation – also die Prozesse, die Systeme und Daten wieder in den Normalbetrieb zurückführen und alle Beteiligten während der Wiederherstellung informiert halten.

Wie NIST CSF 2.0 mit anderen Compliance-Frameworks zusammenhängt

CSF selbst zieht als freiwilliges Framework keine direkten Sanktionen bei Nichteinhaltung nach sich, doch seine Funktionsstruktur bildet die Grundlage für Frameworks, die tatsächlich verbindliche Compliance-Pflichten mit sich bringen, bzw. lässt sich eng darauf abbilden.

CMMC und die zugrunde liegenden NIST-SP-800-171-Kontrollen stimmen eng mit den Funktionen Protect und Detect von CSF überein, insbesondere bei Zugriffskontrolle, Verschlüsselung und Audit-Protokollierung. Das zugrunde liegende Risk Management Framework von FedRAMP (NIST SP 800-37) folgt derselben risikobasierten Philosophie wie CSF, und FedRAMP-autorisierte Organisationen haben in der Regel bereits Kontrollen implementiert, die sich direkt auf die Funktionen Identify und Protect von CSF abbilden lassen. Die administrativen, physischen und technischen Schutzmaßnahmenkategorien der HIPAA Security Rule entsprechen weitgehend den Funktionen Govern, Protect und Detect von CSF. Organisationen, die ihr Cybersicherheitsprogramm rund um CSF 2.0 aufbauen, schaffen damit ein Fundament, das die Compliance-Arbeit über all diese Frameworks hinweg gleichzeitig unterstützt – statt für jede regulatorische Anforderung separate, isolierte Programme aufzubauen.

Wie Organisationen NIST CSF 2.0 in der Praxis umsetzen

CSF 2.0 schreibt keine konkreten technischen Kontrollen vor, sondern definiert gewünschte Ergebnisse, die Organisationen mit Kontrollen erreichen, die zu ihrer Umgebung passen – häufig entnommen aus detaillierteren Standards wie NIST SP 800-53.

Die Umsetzung beginnt in der Regel mit der Erstellung eines organisatorischen Profils: Dabei wird ausgewählt, welche CSF-Ergebnisse für das Risikoprofil, den Auftrag und die bestehenden regulatorischen Verpflichtungen der Organisation relevant sind, und die aktuellen Praktiken werden anhand dieser Ergebnisse bewertet. Daraus ergeben sich ein aktuelles Profil (wo die Organisation heute steht) und ein Zielprofil (wo sie hin muss) – die Lücke dazwischen definiert die Roadmap für Verbesserungen.

Die Implementation Tiers – Partial, Risk Informed, Repeatable und Adaptive – beschreiben, wie integriert und ausgereift die Risikomanagementpraktiken einer Organisation sind: von ad hoc und reaktiv (Partial) bis hin zu kontinuierlich verbessert und in die strategische Entscheidungsfindung integriert (Adaptive). Tiers werden selbst bewertet und dienen der internen Planung und externen Kommunikation, nicht als Zertifizierung oder Bestehen-Nichtbestehen-Kriterium.

Wie Kiteworks die Umsetzung von NIST CSF 2.0 unterstützt

Kiteworks bietet Funktionen, die sich auf die Funktionen von CSF 2.0 abbilden lassen – über alle Kanäle hinweg, die eine Organisation für den Austausch sensibler Daten nutzt: sichere E-Mail, sicheres Filesharing, Managed File Transfer, SFTP und sichere Datenformulare.

Bei Govern: Granulare Benutzerprofileinstellungen, rollenbasierte Kollaborationsberechtigungen und die Integration externer Repositories unterstützen die Richtlinien- und Aufsichtsstrukturen, die die Funktion Govern von CSF 2.0 verlangt.

Bei Identify: Kiteworks führt genaue Bestandsverzeichnisse über Hardware, Software, Dienste und die Datenflüsse, die über die Plattform laufen, und unterstützt damit das Asset-Management-Fundament, das die Funktion Identify von CSF verlangt.

Bei Protect: Identitätsmanagement wird durch granulare, rollenbasierte Zugriffskontrollen, Multi-Faktor-Authentifizierung und die Integration von Identity-Providern durchgesetzt. AES-256-Verschlüsselung auf Datei- und Festplattenebene, mit FIPS-140-3-validierten kryptografischen Modulen und kundeneigenen Verschlüsselungsschlüsseln, schützt Daten im Ruhezustand und bei der Übertragung. SafeEDIT ermöglicht sicheres, kollaboratives Bearbeiten, ohne dass die Datei die kontrollierte Umgebung verlässt.

Bei Detect: Kontinuierliches Monitoring, laufende Penetrationstests und proprietäre Muster zur Anomalieerkennung identifizieren verdächtige Aktivitäten in Echtzeit. SIEM-Integration und automatisierte Benachrichtigungen unterstützen zusätzlich die umfassenderen Erkennungsfähigkeiten der Organisation.

Bei Respond und Recover: Ein einziger, konsolidierter, unveränderlicher Audit-Trail über alle Kiteworks-Kanäle hinweg liefert die Nachweise, die für Vorfallsanalyse und -berichterstattung benötigt werden, während Clustering und die Virtual-Appliance-Architektur die Verfügbarkeit und Resilienz unterstützen, auf die die Wiederherstellungsplanung angewiesen ist.

Um zu erfahren, wie Kiteworks die NIST-CSF-2.0-Umsetzung in Ihrer Organisation unterstützen kann, vereinbaren Sie eine individuelle Demo.

Häufig gestellte Fragen

NIST CSF 2.0, veröffentlicht im Februar 2024, ist die erste grundlegende Überarbeitung des NIST Cybersecurity Framework seit der Erstveröffentlichung 2014. Die bedeutendste Änderung ist die Ergänzung um eine sechste Kernfunktion, Govern, die Cybersicherheits-Governance, -Strategie und -Aufsicht zu einer eigenständigen Funktion macht, statt sie als Teilbereich der ursprünglichen Funktion Identify zu behandeln. CSF 2.0 erweitert außerdem explizit die Anwendbarkeit des Frameworks auf Organisationen jeder Größe und Branche, statt es wie die ursprüngliche Version vorrangig auf kritische Infrastrukturen auszurichten, und ergänzt konkretere Umsetzungsbeispiele sowie erweiterte Vorgaben zum Risikomanagement in der Lieferkette.

Die sechs Funktionen sind Govern (Festlegung und Überwachung von Strategie und Aufsicht im Cybersicherheitsrisikomanagement), Identify (Verständnis der organisatorischen Cybersicherheitsrisiken für Systeme, Assets und Daten), Protect (Umsetzung von Schutzmaßnahmen wie Zugriffskontrollen und Verschlüsselung), Detect (Erkennung von Cybersicherheitsereignissen durch Monitoring und Analyse), Respond (Reaktion auf erkannte Vorfälle, einschließlich Berichterstattung und Kommunikation) und Recover (Wiederherstellung betroffener Assets und Betriebsabläufe). Jede Funktion gliedert sich in Kategorien und Unterkategorien, die konkrete gewünschte Ergebnisse definieren, welche Organisationen mit zu ihrer Umgebung passenden Kontrollen erreichen.

NIST CSF ist freiwillig – es handelt sich weder um ein Gesetz noch um eine Vorschrift, und bei Nichteinhaltung entstehen keine direkten Sanktionen. Es gilt für Organisationen jeder Branche und Größe, die sich für eine Einführung entscheiden, und CSF 2.0 hat den erklärten Anwendungsbereich explizit über den ursprünglichen Fokus auf kritische Infrastrukturen hinaus erweitert, um die tatsächlich breite Nutzung widerzuspiegeln. Obwohl CSF selbst freiwillig ist, bildet seine Struktur die Grundlage für Frameworks mit verbindlichen Compliance-Pflichten, darunter CMMC, das Risk Management Framework von FedRAMP und die Anforderungen der HIPAA Security Rule, bzw. lässt sich eng darauf abbilden – wodurch die Einführung von CSF für Organisationen, die diesen regulatorischen Anforderungen unterliegen, ein praktisches Fundament schafft.

Implementation Tiers beschreiben auf einer vierstufigen Skala, wie integriert und ausgereift die Praktiken einer Organisation im Cybersicherheitsrisikomanagement sind: Partial (ad hoc, reaktive Praktiken), Risk Informed (Risikomanagementpraktiken existieren, sind aber nicht organisationsweit formalisiert), Repeatable (formale Richtlinien sind etabliert und werden konsequent umgesetzt) und Adaptive (Risikomanagementpraktiken werden kontinuierlich verbessert und sind vollständig in die Unternehmensstrategie integriert). Tiers sind ein Instrument zur Selbstbewertung und Kommunikation, mit dem eine Organisation ihren aktuellen Reifegrad versteht und Verbesserungsprioritäten festlegt – sie sind keine externe Zertifizierung und kein Bestehen-Nichtbestehen-Kriterium für Compliance.

NIST CSF ist ein freiwilliges, ergebnisorientiertes Framework, während CMMC und FedRAMP Compliance-Programme mit verbindlichen Anforderungen für bestimmte Gruppen von Organisationen sind. Alle drei teilen jedoch dieselbe zugrunde liegende Risikomanagement-Philosophie und Kontrollerwartungen. Die Anforderungen von CMMC basieren auf NIST SP 800-171, das eng auf die Funktionen Protect und Detect von CSF abgebildet werden kann. Das Risk Management Framework von FedRAMP (NIST SP 800-37) folgt demselben risikobasierten Kernansatz wie CSF. Organisationen, die NIST CSF 2.0 über alle sechs Funktionen hinweg umgesetzt haben, stellen häufig fest, dass sie bereits einen Großteil des Kontrollfundaments geschaffen haben, das für die Compliance mit CMMC und FedRAMP erforderlich ist – wodurch sich der zusätzliche Aufwand für eine formale Compliance mit einem der beiden Programme reduziert.

Weiterführende Ressourcen

Tags: Cyber Security on Security Boulevard |