--- id: CP-378 slug: nist-csf-2-cybersicherheit-rahmenwerk lang: de title: Das NIST-Rahmenwerk CSF 2.0 description: "Das NIST Cybersecurity Framework 2.0, veröffentlicht im Februar 2024: seine sechs Funktionen und was es für Beschäftigte und Leitung ändert." canonical_url: https://startbrain.io/cyberpedia/de/articles/nist-csf-2-cybersicherheit-rahmenwerk/ markdown_url: https://startbrain.io/cyberpedia/de/articles/nist-csf-2-cybersicherheit-rahmenwerk.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Das NIST-Rahmenwerk CSF 2.0“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/nist-csf-2-cybersicherheit-rahmenwerk/ (CC BY 4.0) wing: 6 theme: safeguard_data reflex: cr-033 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/nist-csf-2-cybersicherheit-rahmenwerk/ fr: https://startbrain.io/cyberpedia/fr/articles/nist-csf-2-cadre-cybersecurite/ en: https://startbrain.io/cyberpedia/en/articles/nist-csf-2-cybersecurity-framework/ es: https://startbrain.io/cyberpedia/es/articles/nist-csf-2-marco-ciberseguridad/ sources: - "n": 1 title: NIST Releases Version 2.0 of Landmark Cybersecurity Framework publisher: NIST url: https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework published: "2024-02-26" accessed: "2026-11-03" - "n": 2 title: The NIST Cybersecurity Framework (CSF) 2.0 publisher: NIST url: https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf published: "2024-02-26" accessed: "2026-11-03" - "n": 3 title: Getting Started with CSF 1.1 publisher: NIST url: https://www.nist.gov/cyberframework/getting-started-csf-11 published: "2018-02-05" accessed: "2026-11-03" - "n": 4 title: Les 10 mesures essentielles pour votre cybersécurité publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique published: "2021-01-06" accessed: "2026-11-03" - "n": 5 title: National Online Informative References Program OLIR publisher: NIST url: https://csrc.nist.gov/projects/olir accessed: "2026-11-03" - "n": 6 title: Cyber Assessment Framework publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/cyber-assessment-framework accessed: "2026-11-03" - "n": 7 title: Cybersecurity Framework publisher: NIST url: https://www.nist.gov/cyberframework accessed: "2026-11-03" --- # Das NIST-Rahmenwerk CSF 2.0 Das NIST Cybersecurity Framework, oft kurz CSF genannt, ist ein Referenzdokument des NIST, des US-amerikanischen National Institute of Standards and Technology. Es beschreibt die Ergebnisse, die eine Organisation anstrebt, um ihre Cybersicherheitsrisiken zu steuern. Die Version 2.0 wurde am 26. Februar 2024 veröffentlicht [1]. Beschäftigte müssen es nicht vollständig lesen. Es hilft vor allem zu verstehen, warum ein Unternehmen Regeln zu Passwörtern, Datensicherungen oder zur Meldung eines Vorfalls aufstellt: Diese Regeln entsprechen bestimmten Funktionen des Rahmenwerks. Dieser Beitrag stellt seinen Aufbau vor und zeigt, was es ändert, je nachdem, ob Sie Beschäftigte oder Führungskraft sind. ## In 30 Sekunden - Was es ist: ein Referenzrahmen mit sechs Funktionen (Governance, Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen), in der Version 2.0 am 26. Februar 2024 veröffentlicht [1]. - Sein Status: Die Version 1.1 wird als freiwilliger Leitfaden dargestellt [3]; die 2.0 "may be adopted voluntarily and through governmental policies and mandates" [2]. Das Rahmenwerk sagt nicht, wie die Ergebnisse zu erreichen sind [2]. - Für die Leitung: Die Funktion Governance, in der Version 2.0 hinzugekommen, stellt die Cybersicherheit unter die Risiken des Unternehmens [1]. - Der Reflex: Halten Sie die Sicherheitsvorgaben Ihres Unternehmens ein und melden Sie dem Sicherheitsteam jede ungewöhnliche Nachricht und jedes ungewöhnliche Verhalten. Das Rahmenwerk selbst sieht die Bearbeitung, Meldung und Kommunikation eines Vorfalls sowie die Sichtung von Vorfallsmeldungen vor [2]. ## Direkte Fragen ### Ist das CSF 2.0 ein Gesetz? Nein, nach den hier zitierten Quellen. Das NIST beschreibt die Version 1.1 als freiwilligen Leitfaden, der auf bestehenden Normen und Praktiken beruht [3]. Die Version 2.0 "may be adopted voluntarily and through governmental policies and mandates": Ein Staat oder eine Organisation kann sie also durch eigene Vorgaben verbindlich machen, das Dokument selbst begründet jedoch keine Pflicht [2]. Die hier zitierten Quellen behandeln das französische Recht nicht: Sie erlauben keine Aussage dazu, ob sich ein französisches Gesetz darauf bezieht. ### Wer ist betroffen? Alle Organisationen. Die Version 2.0 richtet sich an Organisationen jeder Größe und jeder Branche, von den kleinsten Schulen und Vereinen bis zu den größten Behörden und Unternehmen [1]. Die erste Version, 2014 veröffentlicht, richtete sich zunächst an kritische Infrastrukturen [1]. ### Welche sechs Funktionen gibt es? Governance, Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. Sie werden weiter unten im Einzelnen erläutert. Das NIST stellt sie als Rad dar: Governance steht in der Mitte, weil diese Funktion bestimmt, wie die anderen fünf umgesetzt werden [2]. ### Sagt das CSF, was man Werkzeug für Werkzeug tun soll? Nein. Das Dokument beschreibt erwartete Ergebnisse und schreibt weder die Ergebnisse noch die Mittel vor, sie zu erreichen [2]. Die Mittel werden in Online-Ressourcen beschrieben: informative Referenzen, Umsetzungsbeispiele, Kurzanleitungen für den Einstieg und Profile [2]. ### Spielen Beschäftigte eine Rolle im CSF? Ja, indirekt. Zu den Ergebnissen der Funktion Schützen gehören Sensibilisierung und Schulung sowie Datensicherheit, und zu denen der Funktion Reagieren gehören Meldung und Kommunikation [2]. Die konkreten Maßnahmen unterscheiden sich von Organisation zu Organisation, ebenso die Person, die dafür zuständig ist [2]. ## Was sich für Beschäftigte ändert Das Rahmenwerk richtet sich zunächst an die Personen, die ein Cybersicherheitsprogramm leiten [2]. Beschäftigte erleben seine Wirkung in den internen Regeln. Drei Funktionen betreffen sie im Alltag. - Schützen: Die erwarteten Ergebnisse umfassen Identitätsverwaltung, Authentifizierung und Zugriffskontrolle, Sensibilisierung und Schulung sowie Datensicherheit [2]. Im Alltag deckt sich das mit den Maßnahmen von Cybermalveillance.gouv.fr: lange, unterschiedliche Passwörter, Zwei-Faktor-Authentifizierung, Updates, sobald sie angeboten werden, Datensicherungen mit einer Kopie außerhalb des Geräts [4]. - Erkennen: Das Rahmenwerk zielt auf das schnelle Entdecken von Auffälligkeiten und Ereignissen, die auf einen Angriff hindeuten können [2]. Bei einer unerwarteten oder alarmierenden Nachricht rät Cybermalveillance.gouv.fr, den Absender über einen anderen Weg um Bestätigung zu bitten [4]. - Reagieren und Wiederherstellen: Die Funktion Reagieren umfasst die Bearbeitung des Vorfalls, die Analyse, die Eindämmung der Folgen, die Meldung und die Kommunikation, die Funktion Wiederherstellen die Wiederherstellung der betroffenen Werte und Tätigkeiten [2]. Welche Maßnahmen anstehen und wer sie durchführt, hängt von der Organisation ab [2]. In der Praxis befolgen Beschäftigte das interne Verfahren und informieren die richtige Stelle. Die Trennung von privater und beruflicher Nutzung, eine weitere Maßnahme von Cybermalveillance.gouv.fr, verhindert, dass die Kompromittierung eines privaten Zugangs dem Unternehmen schadet, und umgekehrt [4]. ## Was sich für die Geschäftsleitung ändert Das CSF 2.0 fügt die Funktion Governance hinzu. Sie betrifft die Strategie, die Erwartungen und die Richtlinie für das Management von Cyberrisiken, die festgelegt, kommuniziert und überwacht werden müssen [2]. Sie umfasst den Kontext der Organisation, die Strategie, das Risikomanagement bei Lieferanten, Rollen, Verantwortlichkeiten und Befugnisse, die Richtlinie und die Aufsicht [2]. Das NIST betont, dass Cybersicherheit eine wesentliche Risikoquelle für das Unternehmen ist, die Führungskräfte neben anderen Risiken wie finanziellen Risiken und Reputationsrisiken berücksichtigen müssen [1]. Das Rahmenwerk sieht außerdem Profile vor: Ein aktuelles Profil beschreibt die erreichten Ergebnisse, ein Zielprofil die Ergebnisse, die die Organisation gewählt und nach Priorität geordnet hat [2]. Der Vergleich beider Profile zeigt Lücken auf [2]. Stufen (Tiers) kennzeichnen die Strenge der Governance und des Risikomanagements [2]. ## Was der Text sagt Das Dokument gliedert sich in drei Komponenten: den Kern (Core), der Funktionen, Kategorien und Unterkategorien von Ergebnissen bündelt, die Organisationsprofile und die Stufen (Tiers) [2]. Hier sind die sechs Funktionen, wie das NIST sie definiert. - Governance: Strategie, Erwartungen und Richtlinie für das Risikomanagement werden festgelegt, kommuniziert und überwacht [2]. - Identifizieren: Die aktuellen Risiken sind verstanden, was voraussetzt, die Werte (Daten, Hardware, Software, Systeme, Räumlichkeiten, Dienste, Personen) und die Lieferanten zu kennen [2]. - Schützen: Schutzmaßnahmen werden umgesetzt [2]. - Erkennen: Mögliche Angriffe und Kompromittierungen werden gefunden und analysiert [2]. - Reagieren: Bei einem erkannten Vorfall werden Maßnahmen ergriffen [2]. - Wiederherstellen: Die von einem Vorfall betroffenen Werte und Tätigkeiten werden wiederhergestellt [2]. Die Ergebnisse bilden keine Aufgabenliste: Reihenfolge und Umfang der Funktionen bedeuten weder eine Abfolge noch eine Gewichtung [2]. Die Funktionen werden parallel bearbeitet. Governance, Identifizieren, Schützen und Erkennen laufen fortlaufend, Reagieren und Wiederherstellen müssen jederzeit bereit sein [2]. Das Rahmenwerk gilt für alle Informations- und Kommunikationstechnologien, einschließlich Cloud, Mobilgeräte und künstlicher Intelligenz [2]. ## Stand der Umsetzung Das CSF 2.0 ist seit dem 26. Februar 2024 veröffentlicht [1]. Das NIST hat Kurzanleitungen für den Einstieg für bestimmte Zielgruppen ergänzt, darunter kleine Unternehmen, sowie einen Katalog von Referenzen, der das Rahmenwerk mit mehr als 50 weiteren Cybersicherheitsdokumenten verknüpft [1]. Seine Startseite erwähnt 2026 eine Übersetzung ins Arabische und ein Zwei-Jahres-Jubiläum am 24. Februar 2026 [7]. Zum Abgleich mit anderen Texten sagen die hier zitierten Quellen wenig. Das NIST gibt an, dass seine Arbeit mit ISO und IEC es ermöglicht, Cybersicherheitsrahmen aufzubauen und Maßnahmen nach den Funktionen des CSF zu ordnen [1]. Das OLIR-Programm des NIST veröffentlicht Zuordnungen zwischen Elementen von Dokumenten Dritter und denen von NIST-Dokumenten [5]. Die hier zitierten Quellen nennen weder ISO 27001 noch NIS 2 beim Namen: Dieser Beitrag nimmt zu diesen beiden Texten daher keine Stellung. Ein anderes Land hat einen eigenen Rahmen entwickelt. Das Cyber Assessment Framework des britischen NCSC ist um vier Ziele gegliedert, darunter Risikomanagement, Schutz, Erkennung und Verringerung der Auswirkungen von Vorfällen [6]. Es wird in den Sektoren verwendet, die nach der britischen NIS-Verordnung reguliert sind [6]. Dieses Rahmenwerk ist vom CSF zu unterscheiden. ## Quellen 1. NIST, „NIST Releases Version 2.0 of Landmark Cybersecurity Framework“, 26. Februar 2024. https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework (abgerufen am 3. November 2026) 2. NIST, „The NIST Cybersecurity Framework (CSF) 2.0“, 26. Februar 2024. https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf (abgerufen am 3. November 2026) 3. NIST, „Getting Started with CSF 1.1“, 5. Februar 2018. https://www.nist.gov/cyberframework/getting-started-csf-11 (abgerufen am 3. November 2026) 4. Cybermalveillance.gouv.fr, „Les 10 mesures essentielles pour votre cybersécurité“, 6. Januar 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique (abgerufen am 3. November 2026) 5. NIST, „National Online Informative References Program OLIR“. https://csrc.nist.gov/projects/olir (abgerufen am 3. November 2026) 6. NCSC (Royaume-Uni), „Cyber Assessment Framework“. https://www.ncsc.gov.uk/collection/cyber-assessment-framework (abgerufen am 3. November 2026) 7. NIST, „Cybersecurity Framework“. https://www.nist.gov/cyberframework (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/nist-csf-2-cybersicherheit-rahmenwerk/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.