Die CIS Critical Security Controls bieten 18 priorisierte Schutzmassnahmen, um Organisationen vor Cyberbedrohungen zu schuetzen. Ob Sie IG1-Grundlagen oder IG3-erweiterten Schutz implementieren, wir helfen Ihnen, wirksame Cybersicherheitsabwehr mit klaren Massnahmen und Nachweisen aufzubauen.
Die CIS Critical Security Controls (CIS Controls) sind ein priorisierter Satz von Massnahmen, entwickelt vom Center for Internet Security, um Organisationen vor bekannten Cyberangriffsvektoren zu schuetzen. Version 8 umfasst 18 Controls mit 153 Schutzmassnahmen, organisiert in drei Implementation Groups.
Warum das wichtig ist: CIS Controls basieren auf realen Angriffsmustern und Verteidigungsstrategien. Sie sind herstellerunabhaengig, umsetzbar und von Cyberversicherern und Auditoren weithin als Nachweis sicherheitsbezogener Sorgfalt anerkannt.
Fokus auf Verteidigungen mit hoechster Wirkung zuerst
Spezifische technische Schutzmassnahmen zur Implementierung
Kleine und mittlere Unternehmen
Organisationen, die grundlegende Cyberhygiene mit IG1 anstreben
Grossunternehmen
Unternehmen mit IT-Abteilungen, die IG2 oder IG3 implementieren
Kritische Infrastruktur
Organisationen, die wesentliche Dienste und Systeme schuetzen
Regulierte Branchen
Finanzdienstleistungen, Gesundheitswesen mit Compliance-Anforderungen
Managed Service Provider
MSPs, die CIS Controls fuer Kunden implementieren
Regierungsbehoerden
Oeffentliche Einrichtungen, die sensible Daten sichern
Konkrete Funktionen, die die Implementierung aller Schutzmassnahmen adressieren
Pflegen Sie umfassende Inventare von Hardware-, Software- und Daten-Assets mit automatisierter Erkennung. Die Plattform verfolgt alle Geraete, Anwendungen und sensiblen Informationen in Ihrer Umgebung und adressiert die Anforderungen der CIS Controls 1 und 2.
Adressiert: Controls 1, 2: Inventar und Kontrolle von Unternehmens-Assets
Identifizieren, verfolgen und beheben Sie Sicherheitsschwachstellen ueber Systeme hinweg. Die Plattform ueberwacht den Patch-Status, priorisiert kritische Updates und pflegt Pruefpfade fuer das Schwachstellenmanagement gemaess Control 7.
Adressiert: Control 7: Kontinuierliches Schwachstellenmanagement
Verwalten Sie Benutzerkonten, Berechtigungen und Authentifizierungsrichtlinien. Die Plattform setzt Least-Privilege-Prinzipien durch, verfolgt den Kontolebenszyklus und ueberwacht privilegierten Zugriff gemaess Controls 5 und 6.
Adressiert: Controls 5, 6: Konto- und Zugriffskontrollverwaltung
Erfassen, analysieren und speichern Sie Sicherheitsprotokolle von kritischen Systemen. Die Plattform zentralisiert das Protokollmanagement, ermoeglicht Bedrohungserkennung und pflegt Nachweise fuer Vorfalluntersuchungen gemaess Controls 8 und 13.
Adressiert: Controls 8, 13: Auditprotokollverwaltung und Netzwerkueberwachung
Verwalten Sie Sicherheitsvorfaelle mit strukturierten Workflows und Wiederherstellungsverfahren. Die Plattform dokumentiert die Vorfallbehandlung, verfolgt Abhilfemassnahmen und ermoeglicht Post-Incident-Analysen gemaess Control 17.
Adressiert: Control 17: Vorfallreaktionsmanagement
Pflegen Sie Sicherheitsrichtlinien, Standards und Compliance-Nachweise. Die Plattform bietet Vorlagen fuer CIS-konforme Richtlinien, verfolgt die Kontrollimplementierung und erstellt Berichte fuer Audits gemaess Control 1.
Adressiert: Control 1: Sicherheitsprogramm- und Richtlinienverwaltung
Alle Sicherheitsaktivitaeten werden mit Zeitstempeln, zugewiesenen Verantwortlichen und Genehmigungsworkflows verfolgt. Dieser Pruefpfad belegt systematische Kontrollimplementierung fuer Cyberversicherungspruefungen und Compliance-Audits.
VerifyWise bietet dedizierte Werkzeuge fuer alle 153 Schutzmassnahmen ueber drei Implementation Groups
CIS Controls
Schutzmassnahmen mit dedizierten Werkzeugen
Implementation Groups
Grundlegende Cyberhygiene fuer alle Organisationen
Organisationen mit IT-Personal und Ressourcen
Organisationen mit dedizierten Sicherheitsteams
Automatisierte Erkennung und Verwaltung fuer Controls 1-2
Kontinuierliches Scanning und Patch-Tracking fuer Control 7
Nachweispakete fuer Cyberversicherungsantraege
Zuordnung zu NIST CSF, ISO 27001 und SOC 2
Priorisierte Schutzmassnahmen zur Verteidigung gegen bekannte Cyberangriffsvektoren
Aktive Verwaltung aller mit der Infrastruktur verbundenen Unternehmens-Assets, um sicherzustellen, dass nur autorisierte Geraete auf das Netzwerk zugreifen koennen.
Aktive Verwaltung aller Software im Netzwerk, sodass nur autorisierte Software installiert ist und ausgefuehrt werden kann.
Prozesse und technische Kontrollen entwickeln, um Daten zu identifizieren, zu klassifizieren, sicher zu handhaben, aufzubewahren und zu entsorgen.
Sichere Konfigurationen fuer Unternehmens-Assets und Software etablieren und pflegen.
Prozesse und Tools zur Zuweisung und Verwaltung von Autorisierungen fuer Benutzerkonten einschliesslich Administratorkonten verwenden.
Prozesse und Tools zum Erstellen, Zuweisen, Verwalten und Widerrufen von Zugangsdaten und Berechtigungen fuer Benutzer-, Administrator- und Dienstkonten verwenden.
Einen Plan zur kontinuierlichen Bewertung und Verfolgung von Schwachstellen auf allen Unternehmens-Assets innerhalb der Unternehmensinfrastruktur entwickeln.
Auditprotokolle von Ereignissen sammeln, warnen, ueberpruefen und aufbewahren, die helfen koennten, einen Angriff zu erkennen, zu verstehen oder sich davon zu erholen.
Schutz und Erkennung von Bedrohungen aus E-Mail- und Web-Vektoren verbessern, da diese Moeglichkeiten fuer Angreifer bieten, menschliches Verhalten zu manipulieren.
Installation, Verbreitung und Ausfuehrung boesartiger Anwendungen, Codes oder Skripte auf Unternehmens-Assets verhindern oder kontrollieren.
Datenwiederherstellungspraktiken etablieren und pflegen, die ausreichen, um betroffene Unternehmens-Assets in einen Vor-Vorfall- und vertrauenswuerdigen Zustand wiederherzustellen.
Die Sicherheitskonfiguration der Netzwerkinfrastruktur einschliesslich Netzwerksicherheitskontrollen etablieren, implementieren und aktiv verwalten.
Prozesse und Tools betreiben, um umfassende Netzwerkueberwachung und -verteidigung gegen Sicherheitsbedrohungen zu etablieren und aufrechtzuerhalten.
Ein Sicherheitsbewusstseinsprogramm etablieren und pflegen, um das Verhalten der Belegschaft dahingehend zu beeinflussen, sicherheitsbewusst zu handeln.
Einen Prozess zur Bewertung von Dienstleistern entwickeln, die sensible Daten verwalten oder fuer kritische IT-Plattformen eines Unternehmens verantwortlich sind.
Den Sicherheitslebenszyklus von intern entwickelter, gehosteter oder erworbener Software verwalten, um Sicherheitsschwaechen zu verhindern, zu erkennen und zu beheben.
Ein Programm zur Entwicklung und Pflege einer Vorfallreaktionsfaehigkeit etablieren, um Angriffe zu entdecken, einzudaemmen und sich davon zu erholen.
Die Wirksamkeit und Resilienz von Unternehmens-Assets durch Identifizierung und Ausnutzung von Schwaechen in Kontrollen testen.
Waehlen Sie die richtigen Schutzmassnahmen fuer die Ressourcen und das Risikoprofil Ihrer Organisation
56 Schutzmassnahmen
Grundlegende Cyberhygiene fuer alle Organisationen
Zielgruppe
Kleine bis mittlere Organisationen mit begrenzter Cybersicherheitsexpertise und Ressourcen
Merkmale
Umfasst
Controls 1-11, 14, 17
131 Schutzmassnahmen
Organisationen mit IT-Personal und Ressourcen
Zielgruppe
Organisationen, die mehrere Abteilungen, Systeme oder Standorte mit dedizierten IT-Ressourcen verwalten
Merkmale
Umfasst
Alle IG1-Controls + Controls 12, 13, 15, 16
153 Schutzmassnahmen
Organisationen mit dedizierten Sicherheitsteams
Zielgruppe
Organisationen mit erheblicher Cybersicherheitsexpertise, die sensible Daten oder kritische Infrastruktur schuetzen
Merkmale
Umfasst
Alle IG1 + IG2-Controls + Control 18
Wesentliche Verbesserungen und Aenderungen in der neuesten Version
| Aspekt | v7.1 | v8 | Aenderung |
|---|---|---|---|
Gesamtkontrollen | 20 Controls | 18 Controls (konsolidiert) | Verschlankt |
Schutzmassnahmen | 171 Sub-Controls | 153 Safeguards | Verfeinert und priorisiert |
Implementation Groups | 3 IGs (IG1, IG2, IG3) | 3 IGs beibehalten | Klaerere Leitlinien |
Asset-Typen | Fokus auf traditionelle IT | Einschluss von Cloud, Mobile, IoT | Modernisierte Abdeckung |
Datenschutz | Control 13 | Control 3 (erhoehte Prioritaet) | Staerkere Betonung |
Lieferkette | Begrenzte Leitlinien | Control 15 (erweitert) | Erweiterter Umfang |
Bedrohungsfokus | Allgemeine Bedrohungen | Ransomware und moderne Angriffe | Aktualisierte Prioritaeten |
Metriken | Grundlegende Messung | Erweiterte Messungsleitlinien | Verbessertes Tracking |
Migrationstipp: Organisationen auf v7.1 sollten aktualisierte Controls priorisieren wie Control 3 (Datenschutz), Control 15 (Dienstleisterverwaltung) und modernisiertes Asset-Inventar fuer Cloud- und Mobile-Umgebungen.
Vollstaendigen v8-Migrationsleitfaden ansehenEin praktischer Weg zur Uebernahme der CIS Controls mit klaren Meilensteinen
Ergaenzen Sie CIS Controls mit spezifischer Konfigurationsanleitung fuer Ihren Technologie-Stack
Waehrend CIS Controls definieren, was zu schuetzen ist (18 Sicherheitskontrollen), bieten CIS Benchmarks detaillierte Konfigurationsleitfaeden dafuer, wie bestimmte Systeme zu sichern sind. Zusammen liefern sie umfassende Cybersicherheitsabdeckung von der Strategie bis zur Implementierung.
Uebergeordnete Sicherheits-Best-Practices und Schutzmassnahmen
Detaillierte Konfigurationseinstellungen fuer spezifische Technologien
Sichere Konfigurations-Benchmarks fuer Windows, Linux, macOS und Unix-Systeme
Beispiele
Sicherheitskonfigurationsrichtlinien fuer grosse Cloud-Dienstanbieter
Beispiele
Haertungsstandards fuer Netzwerkinfrastrukturkomponenten
Beispiele
Sicherheits-Benchmarks fuer Datenbankmanagementsysteme
Beispiele
Konfigurationsstandards fuer Unternehmensanwendungen
Beispiele
Sicherheitsbaselines fuer mobile Betriebssysteme
Beispiele
Zugang zu einsatzbereiten Sicherheitsrichtlinienvorlagen, abgestimmt auf CIS Controls, NIST CSF und ISO 27001-Anforderungen
Haeufige Fragen zur CIS Controls-Implementierung
Starten Sie Ihre Cybersicherheitsreise mit unseren gefuehrten Bewertungs- und Implementierungswerkzeugen.