Rahmenwerk für die Cybersicherheitsbewertung

Das Cyber Assessment Framework (CAF) ist ein vom britischen National Cyber Security Centre (NCSC) entwickeltes Rahmenwerk für Cybersicherheit, das Organisationen dabei unterstützen soll, ihre Fähigkeit zur Bewältigung von Cyberrisiken, zum Schutz wesentlicher Dienste und zur Aufrechterhaltung der betrieblichen Widerstandsfähigkeit zu bewerten und zu stärken. Das CAF wird in erster Linie von Organisationen genutzt, die für wesentliche Dienste und kritische Infrastrukturen verantwortlich sind, darunter Sektoren wie Energie, Gesundheitswesen, Verkehr, Wasserversorgung, digitale Infrastruktur und staatliche Dienste. Aufsichtsbehörden und zuständige Stellen nutzen das CAF, um zu beurteilen, ob Organisationen die erwarteten Ergebnisse im Bereich der Cybersicherheit gemäß den geltenden Anforderungen, einschließlich der Verordnung über Netz- und Informationssysteme (NIS-Verordnung), erreichen. 

Im Gegensatz zu einem Zertifizierungssystem sieht das CAF keine formelle Einstufung in „bestanden“ oder „nicht bestanden“ vor. Stattdessen bewertet es, wie effektiv Organisationen definierte Cybersicherheitsziele durch Governance, Prozesse, Technologien und betriebliche Praktiken erreichen. Organisationen können das CAF für Selbstbewertungen, unabhängige Überprüfungsmaßnahmen, behördliche Überprüfungen und Initiativen zur kontinuierlichen Verbesserung nutzen. Das Rahmenwerk verfolgt einen ergebnisorientierten Ansatz, der es Organisationen ermöglicht, die Wirksamkeit ihrer Sicherheitsmaßnahmen auf der Grundlage ihrer Betriebsumgebung nachzuweisen, anstatt bestimmte Technologien oder Konfigurationen vorzuschreiben. Dadurch können Organisationen mit unterschiedlichen Strukturen, Risikoprofilen und Technologieumgebungen geeignete Sicherheitsmaßnahmen ergreifen und gleichzeitig die Ausrichtung auf die zentralen Cybersicherheitsziele gewährleisten. 

Das Rahmenwerk gliedert sich in vier Hauptziele: 

1. Umgang mit Sicherheitsrisiken 

2. Schutz vor Cyberangriffen 

3. Erkennung von Cybersicherheitsvorfällen 

4. Minimierung der Auswirkungen von Cybersicherheitsvorfällen 

Jedes Ziel umfasst Grundsätze, zugehörige Ergebnisse und Indikatoren für bewährte Praktiken (IGPs), die Organisationen dabei helfen, ihren Reifegrad im Bereich Cybersicherheit zu bewerten und wirksame Sicherheitspraktiken nachzuweisen. Bei den Bewertungen werden Bereiche wie Governance, Risikomanagement, Zugriffskontrolle, Überwachung, Reaktion auf Vorfälle, Notfallplanung und das Risikomanagement in Bezug auf Dritte berücksichtigt. 

Die aktualisierten CAF-Leitlinien führen „Basic“- und „Enhanced“-Profile ein, die Organisationen dabei helfen, ihre Erwartungen an die Cybersicherheit an ihr Bedrohungsumfeld und ihre betrieblichen Anforderungen anzupassen. 

Grundlegendes Profil 
Enthält grundlegende Anforderungen für Organisationen, die sich vor gängigen Cyberbedrohungen schützen möchten. 

Erweitertes Profil 
Erfüllt die höheren Anforderungen an die Cybersicherheit für Unternehmen, die mit komplexen Bedrohungen und risikoreicheren Betriebsumgebungen konfrontiert sind. 

Im Zuge der kontinuierlichen Weiterentwicklung des CAF bieten Aktualisierungen wie CAF 2.0 zusätzliche Leitlinien zur Verbesserung der Einheitlichkeit, Auslegung und Bewertung von Praktiken branchenübergreifend. 

Wesentliche Dienste sind auf zuverlässige digitale Systeme angewiesen, weshalb Cybersicherheit ein entscheidender Bestandteil der operativen Widerstandsfähigkeit ist. Mit CAF können Organisationen beurteilen, ob Cybersicherheitsmaßnahmen aktiv umgesetzt, überwacht und kontinuierlich verbessert werden, und gleichzeitig Nachweise für die Wirksamkeit der Sicherheitsmaßnahmen erbringen. 

Durch die Fokussierung auf messbare Ergebnisse bietet CAF einen gemeinsamen Rahmen für Organisationen, Aufsichtsbehörden und Akteure im Sicherheitsbereich, um die Wirksamkeit der Cybersicherheit einheitlich zu bewerten. Dies ermöglicht es Entscheidungsträgern, die Wirksamkeit der Cybersicherheit zu bewerten, Investitionen zu priorisieren und die Widerstandsfähigkeit auf der Grundlage des operativen Risikos zu stärken. 

Das Rahmenwerk unterstützt Organisationen durch folgende Leistungen: 

• Konsequente Bewertung der Cybersicherheitskapazitäten in kritischen Sektoren 

• Evidenzbasierte Bewertung von Sicherheitsmaßnahmen, Governance-Praktiken und operativer Widerstandsfähigkeit 

• Klare Abstimmung zwischen Investitionen in die Cybersicherheit und den Anforderungen an wesentliche Dienste 

• Strukturierte Ermittlung von Sicherheitslücken und Verbesserungsmöglichkeiten 

• Verbesserte Rechenschaftspflicht durch klar definierte Zuständigkeiten, Kontrollmechanismen und Risikomanagementprozesse 

CAF ergänzt anerkannte Rahmenwerke und Standards für Cybersicherheit, darunter ISO/IEC 27001 und das NIST-Cybersicherheits-Rahmenwerk. Organisationen können ihre bestehenden Sicherheitsprogramme und -kontrollen nutzen und gleichzeitig die CAF-Ergebnisse heranziehen, um ihre Widerstandsfähigkeit zu bewerten und Verbesserungsmöglichkeiten zu identifizieren. 

Für Führungskräfte in der Regierung und im Bereich kritischer Infrastrukturen bietet CAF einen praktischen Ansatz zur Stärkung von Cybersicherheitsprogrammen, zur Verbesserung der Einsatzbereitschaft und zur Gewährleistung, dass wesentliche Dienste in einem sich ständig wandelnden Bedrohungsumfeld weiterhin zuverlässig funktionieren. 

Im Rahmen von CAF-Bewertungen wird untersucht, wie Governance, Mitarbeiter, Prozesse und Technologien zusammenwirken, um wesentliche Dienste zu schützen und definierte Ziele im Bereich der Cybersicherheit zu erreichen. Von Organisationen wird erwartet, dass sie nachweisen, dass Cybersicherheitsmaßnahmen etabliert, umgesetzt, überwacht und kontinuierlich verbessert werden. Anstatt einzelne Produkte oder Technologien zu bewerten, wird bei CAF geprüft, ob Organisationen über die erforderlichen Governance-Strukturen, operativen Prozesse und Fähigkeiten verfügen, um Cyberrisiken zu bewältigen und eine sichere Dienstleistungserbringung zu gewährleisten. 

Bei CAF-Bewertungen werden in der Regel folgende Aspekte beurteilt: 

• Führung und Rechenschaftspflicht 

• Risikomanagementprozesse 

• Sicherheitsmaßnahmen 

• Überwachungs- und Erkennungsfunktionen 

• Maßnahmen zur Reaktion auf Vorfälle und zur Wiederherstellung 

• Nachweise für die Ergebnisse im Bereich Cybersicherheit 

Diese Elemente helfen Organisationen dabei, die Wirksamkeit ihrer Cybersicherheit nachzuweisen, die operative Widerstandsfähigkeit zu stärken und die CAF-Ziele zu erreichen. 

CAF basiert auf vier Kernzielen, die die Schlüsselbereiche definieren, die für eine wirksame Cyber-Resilienz erforderlich sind. 

Umgang mit Sicherheitsrisiken 

Dieses Ziel zielt darauf ab, sicherzustellen, dass Organisationen über die erforderlichen Führungsstrukturen, Prozesse und Kontrollmechanismen verfügen, um Cybersicherheitsrisiken zu erkennen, zu bewerten und zu bewältigen. 

Zu den wichtigsten Bereichen gehören: 

• Klare Zuständigkeiten und Verantwortlichkeiten im Hinblick auf Cybersicherheitsrisiken 

• Festgelegte Risikomanagementprozesse, die auf die Prioritäten der Organisation abgestimmt sind 

• Einbeziehung von Aspekten der Cybersicherheit in geschäftliche und betriebliche Entscheidungen 

• Überwachung von Lieferanten, Abhängigkeiten und Risiken durch Dritte 

• Regelmäßige Bewertung von Bedrohungen, Schwachstellen und möglichen Auswirkungen auf den Dienstbetrieb 

Das angestrebte Ergebnis ist, dass Organisationen den Überblick über Cybersicherheitsrisiken behalten und über geeignete Prozesse verfügen, um Sicherheitsherausforderungen zu priorisieren und zu bewältigen. 

Schutz vor Cyberangriffen 

Dieses Ziel konzentriert sich auf die Umsetzung angemessener Sicherheitsmaßnahmen, die wichtige Systeme, Dienste und Informationen vor Cyberbedrohungen schützen. 

Zu den wichtigsten Bereichen gehören: 

• Sicheres Konfigurationsmanagement für kritische Systeme und Geräte 

• Identitäts- und Zugriffskontrollen, die unbefugte Aktivitäten einschränken 

• Schwachstellenmanagement und Maßnahmen zur zeitnahen Behebung 

• Schutz sensibler Informationen durch geeignete Sicherheitsvorkehrungen 

• Sicherheitsmaßnahmen, die das Risiko in Systemen, Anwendungen und Netzwerken verringern 

Das angestrebte Ergebnis ist, dass systemrelevante Dienste sicher betrieben werden und angemessene Schutzmaßnahmen vorhanden sind, um die Wahrscheinlichkeit und die Auswirkungen von Cyberangriffen zu verringern. 

Erkennung von Cybersicherheitsvorfällen 

Dieses Ziel dient der Bewertung der Fähigkeit einer Organisation, Cybersicherheitsvorfälle durch wirksame Überwachungs-, Erkennungs- und Analysefunktionen zu identifizieren. 

Zu den wichtigsten Bereichen gehören: 

• Sicherheitsüberwachung kritischer Systeme und Dienste 

• Verfahren zur Protokollierung und zum Ereignismanagement 

• Erkennungsfunktionen, die verdächtige Aktivitäten identifizieren 

• Prozesse zur Untersuchung und Eskalation von Sicherheitsvorfällen 

• Einblick in die Aktivitäten von Benutzern, Geräten und Systemen 

Das angestrebte Ergebnis ist, dass Organisationen Cybersicherheitsvorfälle schnell und präzise erkennen können, um so eine zeitnahe Untersuchung und Reaktion zu ermöglichen. 

Minimierung der Auswirkungen von Cybersicherheitsvorfällen 

Dieses Ziel konzentriert sich auf die Fähigkeit einer Organisation, auf Cybersicherheitsvorfälle zu reagieren, den wesentlichen Betrieb aufrechtzuerhalten und sich effektiv wiederherzustellen. 

Zu den wichtigsten Bereichen gehören: 

• Dokumentierte Pläne zur Reaktion auf Vorfälle und Eskalationsverfahren 

• Kommunikationsabläufe für interne Teams, Lieferanten und zuständige Behörden 

• Wiederherstellungsstrategien, die durch bewährte Sicherungs- und Wiederherstellungsverfahren unterstützt werden 

• Nachbesprechungen nach Vorfällen, bei denen Verbesserungsmöglichkeiten ermittelt werden 

• Regelmäßige Übungen, die die Reaktionsfähigkeit testen und verbessern 

Das angestrebte Ergebnis ist, dass Organisationen nach Cybersicherheitsvorfällen Störungen begrenzen, kritische Dienste wiederherstellen und ihre Widerstandsfähigkeit stärken können. 

Jedes CAF-Ziel umfasst Grundsätze, zugehörige Ergebnisse und Indikatoren für bewährte Praktiken (IGPs). Diese Komponenten helfen Organisationen dabei, wirksame Cybersicherheitspraktiken zu verstehen, und bieten Orientierungshilfen für den Nachweis der Zielerreichung. 

IGPs beschreiben Beispiele für Aktivitäten und Vorgehensweisen, die zur Erreichung der CAF-Ziele beitragen. Sie stellen keine verbindlichen Anforderungen dar, sondern helfen Organisationen und Gutachtern dabei, zu beurteilen, ob Sicherheitsmaßnahmen angemessen konzipiert sind und effektiv funktionieren. 

Zu den Belegen, die zur Untermauerung der CAF-Bewertungen herangezogen werden können, gehören unter anderem: 

• Richtlinien, Standards und Governance-Dokumente zur Cybersicherheit 

• Risikobewertungen und Behandlungspläne 

• Bestandsaufnahmen der Anlagen und Systemdokumentation 

• Überprüfungen des Identitäts- und Zugriffsmanagements 

• Sicherheitsüberwachungsprotokolle und operative Dashboards 

• Pläne zur Reaktion auf Vorfälle und Ergebnisse von Übungen 

• Sicherheitsbewertungen von Lieferanten 

• Berichte zum Schwachstellenmanagement 

CAF betont, wie wichtig es ist, dokumentierte Prozesse mit operativen Nachweisen zu verknüpfen. Organisationen sollten nachweisen können, dass Sicherheitsmaßnahmen die Widerstandsfähigkeit in realen Umgebungen aktiv fördern. 

Unternehmen können bei der Vorbereitung auf CAF-Bewertungen auf Herausforderungen stoßen, insbesondere wenn Cybersicherheitsmaßnahmen nicht einheitlich dokumentiert, gemessen oder in die betrieblichen Abläufe integriert werden. 

Zu den häufigsten Herausforderungen gehören: 

• Unvollständige Bestandsverzeichnisse, die den Einblick in kritische Abhängigkeiten einschränken 

• Verlassen auf Richtlinien ohne entsprechende operative Belege 

• Begrenzte Überwachungsabdeckung in wichtigen Systemen 

• Nicht getestete Verfahren zur Reaktion auf Vorfälle und zur Wiederherstellung 

• Unzureichende Überwachung von Risiken durch Dritte und Lieferanten 

• Sicherheitsverbesserungen, die nicht nach ihren betrieblichen Auswirkungen priorisiert werden 

Um diese Herausforderungen zu bewältigen, ist ein risikobasierter Ansatz erforderlich, dessen Schwerpunkt auf der Erzielung messbarer Ergebnisse im Bereich der Cybersicherheit liegt. Kontinuierliche Verbesserung, gestützt auf Fakten und Rechenschaftspflicht, ermöglicht es Organisationen, ihre Widerstandsfähigkeit zu stärken, während sich Bedrohungen und betriebliche Anforderungen weiterentwickeln. 

CAF unterstützt Organisationen in der öffentlichen Verwaltung, im Bereich kritischer Infrastrukturen und in regulierten Sektoren, indem es einen einheitlichen Ansatz zur Bewertung der Widerstandsfähigkeit im Bereich der Cybersicherheit bietet. Die Ergebnisse lassen sich an unterschiedliche Betriebsumgebungen, Technologiearchitekturen und Bedrohungsprofile anpassen, wobei ein gemeinsamer Rahmen für Governance, Qualitätssicherung und kontinuierliche Verbesserung gewahrt bleibt. 

CAF ist besonders wertvoll für Organisationen, die für systemrelevante Dienste zuständig sind, bei denen die Cybersicherheit direkten Einfluss auf die Betriebskontinuität, die öffentliche Sicherheit und die Erfüllung ihres Auftrags hat. 

Betrieb kritischer Infrastrukturen 

Organisationen mit kritischer Infrastruktur sind auf sichere und widerstandsfähige Systeme angewiesen, um wesentliche Dienste aufrechtzuerhalten. CAF unterstützt Betreiber dabei, zu beurteilen, ob ihre Cybersicherheitsmaßnahmen die Betriebstechnik (OT), Unternehmenssysteme und unterstützende Abhängigkeiten wirksam schützen. 

Zu den gängigen Anwendungsbereichen gehören: 

• Energie- und Versorgungsunternehmen, die hohe Verfügbarkeit, sichere Steuerungsumgebungen und ausfallsichere Betriebsnetzwerke benötigen 

• Wasser- und Abwasserdienstleistungen, die auf Telemetrie, Zugangskontrollen und zuverlässige Wiederherstellungsfunktionen basieren 

• Transportsysteme zur Steuerung sicherheitskritischer Abläufe und vernetzte digitale Infrastruktur 

Für Betreiber kritischer Infrastrukturen bietet das CAF einen strukturierten Ansatz zur Beurteilung, ob Cybersicherheitsmaßnahmen eine zuverlässige Dienstleistungserbringung gewährleisten. Das Rahmenwerk trägt dazu bei, die Cybersicherheits-Governance mit den betrieblichen Anforderungen zu verknüpfen, indem es sicherstellt, dass Risiken identifiziert, priorisiert und entsprechend ihrer Auswirkungen auf wesentliche Funktionen angegangen werden. 

Gesundheit und öffentliche Dienste 

Organisationen im Gesundheitswesen und im öffentlichen Sektor verwalten sensible Daten und erbringen Dienstleistungen, die eine hohe Verfügbarkeit, Integrität und Schutz vor Störungen erfordern. CAF unterstützt diese Organisationen dabei, ihre Cybersicherheitsmaßnahmen in klinischen Systemen, Verwaltungsplattformen und bürgerorientierten Diensten zu bewerten. 

Zu den gängigen Anwendungsbereichen gehören: 

• Gesundheitssysteme, in denen der Schutz von Patientendaten, klinische Anwendungen und zeitkritische Dienste erforderlich sind 

• Plattformen des öffentlichen Dienstes, die eine sichere Identitätsverwaltung und zuverlässige Zugriffskontrollen erfordern 

• Behördenübergreifende Umgebungen, die einen sicheren Datenaustausch und die Überwachung durch Dritte erfordern 

Durch die Fokussierung auf messbare Sicherheitsergebnisse ermöglicht CAF Organisationen, ein effektives Management in den Bereichen Identitätsverwaltung, Zugriffskontrolle, Überwachung, Reaktion auf Vorfälle und Wiederherstellung nachzuweisen. Diese Vorgehensweisen tragen zur Aufrechterhaltung der Dienstkontinuität bei und sichern gleichzeitig das Vertrauen der Öffentlichkeit in unverzichtbare digitale Dienste. 

Digitale Infrastruktur und Cloud-basierte Dienste 

Moderne digitale Infrastrukturen basieren auf miteinander vernetzten Plattformen, Cloud-Diensten und Drittanbietern. CAF unterstützt Unternehmen dabei, klare Sicherheitszuständigkeiten festzulegen und nachzuweisen, dass Cybersicherheitsmaßnahmen in komplexen Technologieumgebungen wirksam funktionieren. 

Zu den gängigen Anwendungsbereichen gehören: 

• Managed-Service-Umgebungen, die wesentliche Betriebsabläufe durch Modelle der geteilten Verantwortung unterstützen 

• Hybrid- und Multi-Cloud-Architekturen, die einheitliche Sicherheitskontrollen und Governance erfordern 

• Datenplattformen und Anwendungsschnittstellen, die wirksame Überwachungs-, Schutz- und Reaktionsprozesse erfordern 

CAF unterstützt Unternehmen dabei, den Überblick über interne Systeme und externe Lieferanten zu behalten, indem es Ergebnisse im Bereich Cybersicherheit mit Nachweisen, Rechenschaftspflicht und operativer Leistung verknüpft. Dieser Ansatz hilft Unternehmen, ihre Widerstandsfähigkeit unter Beweis zu stellen, während sich die technologischen Umgebungen ständig weiterentwickeln. 

Behörden und regulierte Organisationen 

Behörden und regulierte Organisationen nutzen CAF, um die Cybersicherheits-Governance zu stärken, Sicherungsprozesse zu verbessern und Sicherheitspraktiken an die operativen Zuständigkeiten anzupassen. 

Zu den gängigen Anwendungsbereichen gehören: 

• Behördliche Dienste, bei denen der Schutz sensibler Informationen und kritischer Systeme erforderlich ist 

• Regulatorische Rahmenbedingungen, die evidenzbasierte Cybersicherheitsbewertungen erfordern 

• Organisationen, die ihre Widerstandsfähigkeit durch strukturierte Programme zur Verbesserung der Sicherheit stärken möchten 

Durch seinen ergebnisorientierten Ansatz unterstützt das CAF Organisationen dabei, den Reifegrad ihrer Cybersicherheit zu bewerten, Verbesserungsmaßnahmen zu priorisieren und ihr kontinuierliches Engagement für den Schutz wesentlicher Dienste unter Beweis zu stellen. Indem das CAF Sicherheitsmaßnahmen mit messbaren Ergebnissen verknüpft, ermöglicht es Führungskräften, fundierte Entscheidungen zu treffen, die die operative Widerstandsfähigkeit und das Vertrauen der Öffentlichkeit stärken.