Cyberpediavon Brain
DEENFR

Das NIST-Rahmenwerk CSF 2.0

Das NIST Cybersecurity Framework 2.0, veröffentlicht im Februar 2024: seine sechs Funktionen und was es für Beschäftigte und Leitung ändert.

In 30 Sekunden

Was es ist
Ein Referenzrahmen mit sechs Funktionen (Governance, Identifizieren, Schützen, Erkennen, Reagieren, Wiederherstellen), in der Version 2.0 am 26. Februar 2024 veröffentlicht1.
Sein Status
Die Version 1.1 wird als freiwilliger Leitfaden dargestellt3; die 2.0 "may be adopted voluntarily and through governmental policies and mandates"2. Das Rahmenwerk sagt nicht, wie die Ergebnisse zu erreichen sind2.
Für die Leitung
Die Funktion Governance, in der Version 2.0 hinzugekommen, stellt die Cybersicherheit unter die Risiken des Unternehmens1.
Der Reflex
Halten Sie die Sicherheitsvorgaben Ihres Unternehmens ein und melden Sie dem Sicherheitsteam jede ungewöhnliche Nachricht und jedes ungewöhnliche Verhalten. Das Rahmenwerk selbst sieht die Bearbeitung, Meldung und Kommunikation eines Vorfalls sowie die Sichtung von Vorfallsmeldungen vor2.

Worum es geht

Das NIST Cybersecurity Framework, oft kurz CSF genannt, ist ein Referenzdokument des NIST, des US-amerikanischen National Institute of Standards and Technology. Es beschreibt die Ergebnisse, die eine Organisation anstrebt, um ihre Cybersicherheitsrisiken zu steuern. Die Version 2.0 wurde am 26. Februar 2024 veröffentlicht1.

Beschäftigte müssen es nicht vollständig lesen. Es hilft vor allem zu verstehen, warum ein Unternehmen Regeln zu Passwörtern, Datensicherungen oder zur Meldung eines Vorfalls aufstellt: Diese Regeln entsprechen bestimmten Funktionen des Rahmenwerks. Dieser Beitrag stellt seinen Aufbau vor und zeigt, was es ändert, je nachdem, ob Sie Beschäftigte oder Führungskraft sind.

Direkte Fragen

Ist das CSF 2.0 ein Gesetz?

Nein, nach den hier zitierten Quellen. Das NIST beschreibt die Version 1.1 als freiwilligen Leitfaden, der auf bestehenden Normen und Praktiken beruht3. Die Version 2.0 "may be adopted voluntarily and through governmental policies and mandates": Ein Staat oder eine Organisation kann sie also durch eigene Vorgaben verbindlich machen, das Dokument selbst begründet jedoch keine Pflicht2. Die hier zitierten Quellen behandeln das französische Recht nicht: Sie erlauben keine Aussage dazu, ob sich ein französisches Gesetz darauf bezieht.

Wer ist betroffen?

Alle Organisationen. Die Version 2.0 richtet sich an Organisationen jeder Größe und jeder Branche, von den kleinsten Schulen und Vereinen bis zu den größten Behörden und Unternehmen1. Die erste Version, 2014 veröffentlicht, richtete sich zunächst an kritische Infrastrukturen1.

Welche sechs Funktionen gibt es?

Governance, Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. Sie werden weiter unten im Einzelnen erläutert. Das NIST stellt sie als Rad dar: Governance steht in der Mitte, weil diese Funktion bestimmt, wie die anderen fünf umgesetzt werden2.

Sagt das CSF, was man Werkzeug für Werkzeug tun soll?

Nein. Das Dokument beschreibt erwartete Ergebnisse und schreibt weder die Ergebnisse noch die Mittel vor, sie zu erreichen2. Die Mittel werden in Online-Ressourcen beschrieben: informative Referenzen, Umsetzungsbeispiele, Kurzanleitungen für den Einstieg und Profile2.

Spielen Beschäftigte eine Rolle im CSF?

Ja, indirekt. Zu den Ergebnissen der Funktion Schützen gehören Sensibilisierung und Schulung sowie Datensicherheit, und zu denen der Funktion Reagieren gehören Meldung und Kommunikation2. Die konkreten Maßnahmen unterscheiden sich von Organisation zu Organisation, ebenso die Person, die dafür zuständig ist2.

1Was sich für Beschäftigte ändert1 min

Das Rahmenwerk richtet sich zunächst an die Personen, die ein Cybersicherheitsprogramm leiten2. Beschäftigte erleben seine Wirkung in den internen Regeln. Drei Funktionen betreffen sie im Alltag.

  • Schützen: Die erwarteten Ergebnisse umfassen Identitätsverwaltung, Authentifizierung und Zugriffskontrolle, Sensibilisierung und Schulung sowie Datensicherheit2. Im Alltag deckt sich das mit den Maßnahmen von Cybermalveillance.gouv.fr: lange, unterschiedliche Passwörter, Zwei-Faktor-Authentifizierung, Updates, sobald sie angeboten werden, Datensicherungen mit einer Kopie außerhalb des Geräts4.
  • Erkennen: Das Rahmenwerk zielt auf das schnelle Entdecken von Auffälligkeiten und Ereignissen, die auf einen Angriff hindeuten können2. Bei einer unerwarteten oder alarmierenden Nachricht rät Cybermalveillance.gouv.fr, den Absender über einen anderen Weg um Bestätigung zu bitten4.
  • Reagieren und Wiederherstellen: Die Funktion Reagieren umfasst die Bearbeitung des Vorfalls, die Analyse, die Eindämmung der Folgen, die Meldung und die Kommunikation, die Funktion Wiederherstellen die Wiederherstellung der betroffenen Werte und Tätigkeiten2. Welche Maßnahmen anstehen und wer sie durchführt, hängt von der Organisation ab2. In der Praxis befolgen Beschäftigte das interne Verfahren und informieren die richtige Stelle.

Die Trennung von privater und beruflicher Nutzung, eine weitere Maßnahme von Cybermalveillance.gouv.fr, verhindert, dass die Kompromittierung eines privaten Zugangs dem Unternehmen schadet, und umgekehrt4.

2Was sich für die Geschäftsleitung ändertGeschäftsleitung1 min

Das CSF 2.0 fügt die Funktion Governance hinzu. Sie betrifft die Strategie, die Erwartungen und die Richtlinie für das Management von Cyberrisiken, die festgelegt, kommuniziert und überwacht werden müssen2. Sie umfasst den Kontext der Organisation, die Strategie, das Risikomanagement bei Lieferanten, Rollen, Verantwortlichkeiten und Befugnisse, die Richtlinie und die Aufsicht2.

Das NIST betont, dass Cybersicherheit eine wesentliche Risikoquelle für das Unternehmen ist, die Führungskräfte neben anderen Risiken wie finanziellen Risiken und Reputationsrisiken berücksichtigen müssen1. Das Rahmenwerk sieht außerdem Profile vor: Ein aktuelles Profil beschreibt die erreichten Ergebnisse, ein Zielprofil die Ergebnisse, die die Organisation gewählt und nach Priorität geordnet hat2. Der Vergleich beider Profile zeigt Lücken auf2. Stufen (Tiers) kennzeichnen die Strenge der Governance und des Risikomanagements2.

3Was der Text sagtAmtlicher Text1 min

Das Dokument gliedert sich in drei Komponenten: den Kern (Core), der Funktionen, Kategorien und Unterkategorien von Ergebnissen bündelt, die Organisationsprofile und die Stufen (Tiers)2. Hier sind die sechs Funktionen, wie das NIST sie definiert.

  • Governance: Strategie, Erwartungen und Richtlinie für das Risikomanagement werden festgelegt, kommuniziert und überwacht2.
  • Identifizieren: Die aktuellen Risiken sind verstanden, was voraussetzt, die Werte (Daten, Hardware, Software, Systeme, Räumlichkeiten, Dienste, Personen) und die Lieferanten zu kennen2.
  • Schützen: Schutzmaßnahmen werden umgesetzt2.
  • Erkennen: Mögliche Angriffe und Kompromittierungen werden gefunden und analysiert2.
  • Reagieren: Bei einem erkannten Vorfall werden Maßnahmen ergriffen2.
  • Wiederherstellen: Die von einem Vorfall betroffenen Werte und Tätigkeiten werden wiederhergestellt2.

Die Ergebnisse bilden keine Aufgabenliste: Reihenfolge und Umfang der Funktionen bedeuten weder eine Abfolge noch eine Gewichtung2. Die Funktionen werden parallel bearbeitet. Governance, Identifizieren, Schützen und Erkennen laufen fortlaufend, Reagieren und Wiederherstellen müssen jederzeit bereit sein2.

Das Rahmenwerk gilt für alle Informations- und Kommunikationstechnologien, einschließlich Cloud, Mobilgeräte und künstlicher Intelligenz2.

4Stand der Umsetzung1 min

Das CSF 2.0 ist seit dem 26. Februar 2024 veröffentlicht1. Das NIST hat Kurzanleitungen für den Einstieg für bestimmte Zielgruppen ergänzt, darunter kleine Unternehmen, sowie einen Katalog von Referenzen, der das Rahmenwerk mit mehr als 50 weiteren Cybersicherheitsdokumenten verknüpft1. Seine Startseite erwähnt 2026 eine Übersetzung ins Arabische und ein Zwei-Jahres-Jubiläum am 24. Februar 20267.

Zum Abgleich mit anderen Texten sagen die hier zitierten Quellen wenig. Das NIST gibt an, dass seine Arbeit mit ISO und IEC es ermöglicht, Cybersicherheitsrahmen aufzubauen und Maßnahmen nach den Funktionen des CSF zu ordnen1. Das OLIR-Programm des NIST veröffentlicht Zuordnungen zwischen Elementen von Dokumenten Dritter und denen von NIST-Dokumenten5. Die hier zitierten Quellen nennen weder ISO 27001 noch NIS 2 beim Namen: Dieser Beitrag nimmt zu diesen beiden Texten daher keine Stellung.

Ein anderes Land hat einen eigenen Rahmen entwickelt. Das Cyber Assessment Framework des britischen NCSC ist um vier Ziele gegliedert, darunter Risikomanagement, Schutz, Erkennung und Verringerung der Auswirkungen von Vorfällen6. Es wird in den Sektoren verwendet, die nach der britischen NIS-Verordnung reguliert sind6. Dieses Rahmenwerk ist vom CSF zu unterscheiden.

Merkblatt

Kennung
CP-378
Flügel
6. Governance und GRC
Brain-Kompetenz
Daten schützen (safeguard_data)
Brain-Reflex
cr-033
Schema
G3 · Anatomischer Schnitt
Sprachen
de, en, fr
Quellen
7 Quellen geprüft am 3. November 2026
Quellen7 Quellen
  1. NIST, „NIST Releases Version 2.0 of Landmark Cybersecurity Framework“, 26. Februar 2024. https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework (abgerufen am 3. November 2026)
  2. NIST, „The NIST Cybersecurity Framework (CSF) 2.0“, 26. Februar 2024. https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf (abgerufen am 3. November 2026)
  3. NIST, „Getting Started with CSF 1.1“, 5. Februar 2018. https://www.nist.gov/cyberframework/getting-started-csf-11 (abgerufen am 3. November 2026)
  4. Cybermalveillance.gouv.fr, „Les 10 mesures essentielles pour votre cybersécurité“, 6. Januar 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique (abgerufen am 3. November 2026)
  5. NIST, „National Online Informative References Program OLIR“. https://csrc.nist.gov/projects/olir (abgerufen am 3. November 2026)
  6. NCSC (Royaume-Uni), „Cyber Assessment Framework“. https://www.ncsc.gov.uk/collection/cyber-assessment-framework (abgerufen am 3. November 2026)
  7. NIST, „Cybersecurity Framework“. https://www.nist.gov/cyberframework (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Das NIST-Rahmenwerk CSF 2.0“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/nist-csf-2-cybersicherheit-rahmenwerk/

BibTeX 
@misc{brain_cp378_de_2026,
  author = {Brain},
  title = {Das NIST-Rahmenwerk CSF 2.0},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/nist-csf-2-cybersicherheit-rahmenwerk/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0