CIS Controls v8.1: 18 Controls, Implementation Groups und CIS Benchmarks

Was die CIS Controls v8.1 sind

CIS beschreibt die Controls als empfohlenen Satz konkreter Abwehrmaßnahmen, die die häufigsten Angriffe auf Systeme und Netze begrenzen sollen. Der Katalog ist präskriptiv und priorisiert, ersetzt aber keine Risikoanalyse. Der Herausgeber weist ausdrücklich darauf hin, dass es sich nicht um eine Lösung nach dem Prinzip "eine Größe für alle" handelt: Die Organisation muss weiterhin bestimmen, was für sie kritisch ist und welche Bedrohungsszenarien ihren Betrieb unterbrechen können. ^[3]

Version 8.1 hat die Implementation Groups nicht geschaffen - sie gab es bereits in v7.1. Die Aktualisierung 8.1 hat die Kontinuität zu v8 gewahrt und sich auf Kontext, Konsistenz und das Zusammenspiel mit anderen Rahmenwerken konzentriert. ^[1]

CIS Controls und CIS Benchmarks sind keine austauschbaren Begriffe

Controls sagen, welche Fähigkeiten aufgebaut werden müssen; Benchmarks gehen bis auf die technischen Einstellungen hinunter. Ein Benchmark kann Control 4 stützen, belegt aber für sich genommen nicht die Umsetzung des gesamten Controls. Der offizielle Katalog umfasst mehr als 100 Benchmarks für über 25 Produktfamilien von Herstellern. Die PDF-Dateien werden kostenfrei bereitgestellt, die Art der Nutzung - insbesondere die kommerzielle - unterliegt jedoch den CIS-Bedingungen. ^{[4] [5]}

IG1, IG2 und IG3: den Geltungsbereich wählen

IG1 - 56 Safeguards

CIS bezeichnet IG1 als grundlegende Cyberhygiene und empfiehlt jeder Organisation, mit diesem Satz zu beginnen. Das von CIS beschriebene typische Profil umfasst begrenztes Fachwissen, geringe Ausfalltoleranz und den Schutz vor allem von Beschäftigten- und Finanzdaten. Das ist eine unterstützende Charakterisierung, keine formale Größengrenze. ^[2]

IG2 - insgesamt 130 Safeguards

IG2 enthält IG1 sowie 74 weitere Safeguards. Es passt zu Organisationen, deren Dienste und Daten höhere Schutzsicherheit verlangen und bei denen die Folgen eines Vorfalls über eine kurzfristige Betriebsstörung hinausgehen. Es erfordert stärker formalisierte Prozesse und Kompetenzen.

IG3 - 153 Safeguards

IG3 enthält den vollständigen Katalog: IG1, IG2 und 23 zusätzliche Maßnahmen. Es ist für Umgebungen mit hochwertigen Daten oder Diensten gedacht, die gezielten und fortgeschrittenen Aktivitäten ausgesetzt sind. Es bedeutet nicht automatisch, dass jedes System der Organisation identisch konfiguriert sein muss.

Entscheidungsfragen

• Welche Daten und Prozesse sind kritisch und welcher Ausfall ist hinnehmbar?
• Kann Offenlegung, Veränderung oder Verlust von Daten Kunden, der Organisation oder dem öffentlichen Interesse ernsthaft schaden?
• Kann ein Angreifer gezielt gegen die Organisation vorgehen?
• Welche Kompetenzen und welche Fähigkeit, Maßnahmen aufrechtzuerhalten, stehen realistisch zur Verfügung?
• Stellen Verträge oder Rechtsvorschriften detailliertere Anforderungen?

Das Ergebnis kann gemischt ausfallen: IG1 als organisatorisches Minimum und ausgewählte Safeguards aus IG2 oder IG3 für kritische Systeme. Begründung, Geltungsbereich und Ausnahmen sind zu dokumentieren.

Die 18 Controls in Version 8.1

Die Nummerierung erleichtert die Identifikation, ist aber keine einfache Projektreihenfolge. Wichtiger sind die Abhängigkeiten: Ohne belastbares Asset-Inventar lassen sich Konfigurationen, Schwachstellen, Protokollierung oder Sicherungen kaum bewerten.

1. Inventory and Control of Enterprise Assets - Inventarisierung und Kontrolle von Geräten sowie virtuellen, Cloud- und IoT-Assets.
2. Inventory and Control of Software Assets - Verzeichnis zugelassener Software und Erkennung nicht autorisierter oder nicht unterstützter Komponenten.
3. Data Protection - Identifikation, Handhabung, Aufbewahrung und Schutz von Daten.
4. Secure Configuration of Enterprise Assets and Software - sichere Konfigurationsvorgaben und Kontrolle von Abweichungen.
5. Account Management - Lebenszyklus von Benutzer-, Administrator- und Dienstkonten.
6. Access Control Management - Vergabe, Überprüfung und Entzug von Berechtigungen nach fachlichem Bedarf.
7. Continuous Vulnerability Management - fortlaufende Erkennung, Bewertung und Behebung von Schwachstellen.
8. Audit Log Management - Erfassung, Prüfung, Schutz und Aufbewahrung der Protokolle, die zur Erkennung und Analyse von Vorfällen nötig sind.
9. Email and Web Browser Protections - Begrenzung der Risiken aus E-Mail und Browsern.
10. Malware Defenses - Verhinderung, Erkennung und Kontrolle von Schadsoftware.
11. Data Recovery - Sicherungen, Schutz der Wiederherstellungsdaten und Restore-Tests.
12. Network Infrastructure Management - sicherer Betrieb von Netzgeräten und Netzdiensten.
13. Network Monitoring and Defense - Sichtbarkeit des Datenverkehrs und Abwehrmaßnahmen im Netz.
14. Security Awareness and Skills Training - rollengerechtes Wissen und Können.
15. Service Provider Management - Anforderungen, Aufsicht und Beendigung von Lieferantenbeziehungen.
16. Application Software Security - Sicherheit im Lebenszyklus selbst entwickelter, gehosteter oder eingekaufter Software.
17. Incident Response Management - Rollen, Pläne, Kommunikation, Übungen und Verbesserung der Reaktion.
18. Penetration Testing - Prüfung der Widerstandsfähigkeit durch kontrollierte Identifikation und Ausnutzung von Schwächen.

Vollständige Beschreibungen und die Zuordnung der Safeguards zu den IGs sind dem aktuellen CIS-Dokument oder der CIS-Arbeitsmappe zu entnehmen, nicht veralteten Zusammenfassungen aus dem Netz. ^[6]

CIS Benchmarks sicher anwenden

Die meisten Benchmarks enthalten Profile für Level 1 und Level 2, manche zusätzlich STIG-Profile. Level 1 soll die Angriffsfläche verkleinern und dabei breite Nutzbarkeit erhalten. Level 2 ist in der Regel restriktiver und kann zusätzliche Tests erfordern. Nicht jeder Benchmark hat dieselbe Struktur, Anzahl von Einstellungen oder dieselben Profile. CIS empfiehlt, Konfigurationen vor dem Produktivbetrieb zu testen. ^[4]

1. Wählen Sie den Benchmark passend zu Produkt, Release und Systemrolle.
2. Legen Sie ein Basisprofil fest und dokumentieren Sie unpassende Einstellungen.
3. Prüfen Sie Kompatibilität, Leistung, Verfügbarkeit und Rücknehmbarkeit der Änderung.
4. Rollen Sie schrittweise aus, beginnend mit einer repräsentativen Gruppe.
5. Überwachen Sie Konfigurationsdrift sowie Versionsänderungen von Benchmark und Produkt.
6. Bewahren Sie Nachweise auf: Testergebnis, Profilversion, Datum, Geltungsbereich und genehmigte Ausnahmen.

Umsetzung bewerten: Abdeckung ist nicht Wirksamkeit

Die CIS Controls Assessment Specification (CAS) beschreibt Eingangsdaten, Operationen, Maße und Metriken, mit denen geprüft wird, ob ein Safeguard umgesetzt wurde. CIS unterscheidet die Umsetzung selbst von der Bewertung, wie gut eine Maßnahme wirkt. CAS konzentriert sich auf die erste Frage; Reifegrad und Wirksamkeit erfordern umfassendere Tests. ^[7]

Für jeden Safeguard lohnt sich eine Aufzeichnung mit Status, Asset-Geltungsbereich, Verantwortlichem, Nachweis, Prüfdatum, Ausnahmen, Maßnahmenplan und Termin der erneuten Bewertung. Der Status "nicht zutreffend" verlangt eine Begründung. Eine Prozentzahl ohne Angabe kritischer Lücken kann die Geschäftsleitung in die Irre führen.

CSAT unterstützt die Selbstbewertung, während die CIS-CAT-Werkzeuge die Konfigurationskonformität gegen unterstützte Benchmarks prüfen. Das sind unterschiedliche Aufgaben: die eine betrifft das Controls-Programm, die andere technische Einstellungen. ^[8]

Verhältnis zu NIST CSF und ISO/IEC 27001

NIST CSF 2.0 beschreibt übergeordnete Ergebnisse des Risikomanagements in den Funktionen Govern, Identify, Protect, Detect, Respond und Recover. Es schreibt nicht vor, wie sie erreicht werden. Die CIS Controls liefern stärker operative Maßnahmen, weshalb sich beide Ansätze verbinden lassen. NIST veröffentlicht eine Zuordnung der CIS Controls 8.1 als informative reference, weist aber darauf hin, dass solche Zuordnungen weder eine Bestätigung der Gleichwertigkeit noch eine Empfehlung für eine Lösung sind. ^{[9] [10]}

ISO/IEC 27001:2022 enthält Anforderungen an ein Informationssicherheits-Managementsystem und kann Grundlage einer Zertifizierung sein. ISO/IEC 27002:2022 ist ein Leitfaden zu Maßnahmen; die Norm 27002 allein ist keine Grundlage für die Zertifizierung einer Organisation. Die Zuordnung von Safeguards zu ISO-Maßnahmen hilft, Nachweise zu ordnen, ersetzt aber weder die Risikobewertung noch die Erklärung zur Anwendbarkeit oder die Systemanforderungen der ISO/IEC 27001. ^{[11] [12]}

CIS Controls, das polnische Cybersicherheitsgesetz und NIS2

Die CIS Controls sind weder polnisches noch EU-Recht. Sie begründen keine Konformitätsvermutung gegenüber dem polnischen Gesetz über das nationale Cybersicherheitssystem und befreien nicht von den Pflichten, die für wesentliche oder wichtige Einrichtungen gelten. Seit dem 3. April 2026 gilt die Novelle des polnischen Cybersicherheitsgesetzes (KSC) zur Umsetzung von NIS2; erfasste Einrichtungen müssen den aktuellen Anwendungsbereich und die Fristen prüfen, statt die Einstufung auf ein gewähltes Rahmenwerk zu stützen. ^[13]

CIS kann als unterstützender Maßnahmenkatalog und als Nachweisquelle für Risikomanagementmaßnahmen dienen, etwa für das Management von Assets, Vorfällen, Kontinuität, Lieferanten, Schwachstellen oder Zugriffen. Die NIS2-Richtlinie verlangt einen gefahrenübergreifenden Ansatz und Maßnahmen, die dem Risiko angemessen sind. Eine Konformitätskarte zeigt gemeinsame Themen; sie belegt nicht, dass alle rechtlichen Voraussetzungen erfüllt sind. ^[14]

Ein praktischer Umsetzungsprozess

1. Geltungsbereich festlegen. Benennen Sie Dienste, Daten, Standorte, Cloud, SaaS, Mobilgeräte, IoT und OT.
2. Belastbares Inventar aufbauen. Legen Sie die Datenquellen für Assets, Software, Konten und Lieferanten fest.
3. Ausgangspunkt wählen. Nehmen Sie IG1 an und ergänzen Sie Safeguards, die sich aus Risiko oder Pflichten ergeben.
4. Ist-Zustand bewerten. Halten Sie je Safeguard Geltungsbereich, Nachweis, Lücke und Abhängigkeiten fest.
5. Reihenfolge festlegen. Schließen Sie zuerst die Lücken, die die Kontrolle weiterer Bereiche verhindern, etwa ein fehlendes Inventar.
6. Verantwortung zuweisen. Jedes Element braucht einen fachlichen und einen umsetzenden Verantwortlichen.
7. Umsetzen und testen. Nutzen Sie Pilotbetrieb, Änderungskontrolle, Wiederherstellungstests und Vorfallübungen.
8. Messen und verbessern. Prüfen Sie regelmäßig Abdeckung, Wirksamkeit, Ausnahmen und Drift.

Es gibt keine belastbaren Universalkosten und keine Universaldauer für die Umsetzung von IG1, IG2 oder IG3. Sie hängen unter anderem vom Geltungsbereich, vom Ausgangszustand, von der Architektur, von der Zahl der Ausnahmen, von den Nachweisanforderungen und vom Servicemodell ab. Der Zeitplan sollte aus einer Lückenbewertung folgen, nicht aus einer fertigen Monatstabelle.

Die häufigsten Fehler

• Auswahl der IG allein nach Beschäftigtenzahl oder Budget;
• den Kauf eines SIEM, EDR oder Scanners als Umsetzung eines ganzen Safeguards werten;
• einen Benchmark ohne Kompatibilitätstests und Rücknahmeplan anwenden;
• einen Konformitätsprozentsatz ohne Angabe von Geltungsbereich und kritischen Ausnahmen berichten;
• Cloud-Dienste, SaaS, technische Konten, Lieferanten oder OT/IoT-Geräte übergehen;
• eine Zuordnung zu ISO, NIST oder dem polnischen Cybersicherheitsgesetz als Konformitätsnachweis behandeln;
• ein einmaliges Audit ohne Überwachung von Änderungen und ohne erneute Prüfung.

Häufig gestellte Fragen

Sind die CIS Controls v8.1 kostenlos?

CIS erlaubt jedem, die Controls zur Verbesserung der eigenen Sicherheit zu nutzen. Die Nutzung durch einen Anbieter oder Berater sowie in einem Produkt oder einer Dienstleistung für Kunden unterliegt gesonderten Bedingungen und kann eine Mitgliedschaft oder Autorisierung erfordern. Prüfen Sie stets die aktuellen CIS-Bedingungen. ^[3]

Stellt CIS ein Konformitätszertifikat für Organisationen aus?

Nein. Eine Selbstbewertung oder eine unabhängige Bewertung ist möglich, und darüber kann ein Bericht mit Geltungsbereich und Nachweisen erstellt werden. Er darf jedoch nicht als CIS-Controls-Zertifikat bezeichnet werden.

Ist IG1 nur etwas für kleine Unternehmen?

Nein. CIS empfiehlt IG1 als Ausgangspunkt für jede Organisation. Das Organisationsprofil hilft bei der Auswahl weiterer Safeguards, eine formale Beschäftigtenschwelle gibt es nicht.

Bedeutet vollständiges IG1 Konformität mit NIS2 oder dem polnischen Cybersicherheitsgesetz?

Nein. IG1 kann einen Teil der technischen und organisatorischen Maßnahmen stützen, deckt aber nicht automatisch alle rechtlichen Pflichten, den Anwendungsbereich, die Governance, die Meldepflichten und die Aufsicht ab.

Hat jeder CIS Benchmark Level 1 und Level 2?

Die meisten haben mehrere Profile, die Struktur hängt jedoch vom Produkt ab. Lesen Sie den konkreten Benchmark und wenden Sie genau die Fassung an, die zur eingesetzten Umgebung passt.

Belegt ein CIS-CAT-Ergebnis die Umsetzung der CIS Controls?

Nein. Es belegt, dass ausgewählte Einstellungen in einem definierten Geltungsbereich und zu einem bestimmten Zeitpunkt einem unterstützten Benchmark entsprechen. Ein Controls-Programm umfasst auch Prozesse, Menschen, Daten, Lieferanten und Tätigkeiten, die ein solcher Scan nicht bewertet.

Womit sollte die Umsetzung beginnen?

Mit der Bestimmung kritischer Dienste und Daten sowie dem Aufbau einer belastbaren Inventarisierung von Assets, Software, Konten und Lieferanten. Danach folgt die Bewertung von IG1 und die Ergänzung um risikobedingte Safeguards.

Wie oft sollte die Bewertung aktualisiert werden?

Für das gesamte Programm gibt es keinen einheitlichen Termin. Die Häufigkeit richtet sich nach der Anforderung des jeweiligen Safeguards, der Dynamik der Umgebung, dem Risiko und wesentlichen Änderungen. Benchmarks sind zusätzlich nach Produkt-, Konfigurations- oder Versionsänderungen erneut zu bewerten.