Was ist Cyber Essentials?

Bei Cyber Essentials beantwortet eine Organisation eine Selbstbewertung zu fünf Sicherheitskontrollen, die anschließend ein unabhängiger Prüfer begutachtet. Das Programm wird von der britischen Regierung unterstützt und vom National Cyber Security Centre (NCSC) festgelegt. Auftraggeber verlangen es von Anbietern in Ausschreibungen, also in förmlichen Aufforderungen zur Angebotsabgabe für einen Auftrag. Kunden verlangen es in den Lieferantenfragebögen, die sie versenden, bevor sie mit einem Lieferanten zusammenarbeiten.

Die fünf Kontrollen, die Cyber Essentials prüft

Die Anforderungen von Cyber Essentials sind fünf technische Kontrollen in der eigenen IT einer Organisation, und die Zertifizierung bestätigt, dass alle fünf umgesetzt sind. Das NCSC benennt sie wie folgt:

• Firewalls: den Datenverkehr zwischen den Geräten der Organisation und dem Internet steuern.
• Sichere Konfiguration: Standardeinstellungen ändern und nicht benötigte Software und Konten entfernen.
• Verwaltung von Sicherheitsupdates: die Softwareupdates installieren, die Sicherheitslücken schließen.
• Benutzerzugriffskontrolle: jeder Person nur die Konten und Zugriffsrechte geben, die sie für ihre Arbeit braucht.
• Schutz vor Malware: die Geräte der Organisation gegen Schadsoftware absichern.

Die Cyber-Essentials-Zertifizierung ist eine Selbstbewertung, die ein unabhängiger Prüfer überprüft. IASME beschreibt sie als unabhängig verifizierte Selbstbewertung. Die Organisation beantwortet Fragen zu ihrer eigenen IT-Umgebung, und ein Prüfer sieht diese Antworten durch, bevor er ein Zertifikat ausstellt.

Was das Programm nicht abdeckt, ist ebenso wichtig wie das, was es abdeckt. Alle fünf Kontrollen betreffen Geräte, Netzwerke und Konten. Keine regelt, wie ein Anbieter während eines Auftrags mit den Informationen eines Kunden umgeht oder wie er reagiert, wenn ein Sicherheitsvorfall eintritt. Das Anforderungsdokument des NCSC für die IT-Infrastruktur stellt fest, dass Datensicherung nicht zu den technischen Anforderungen des Programms gehört. Ein Zertifikat ist daher kein Nachweis für Vorkehrungen zur Datensicherung oder Wiederherstellung, und ein Anbieter, der eines besitzt, hat die fünf Kontrollen nachgewiesen und nichts darüber hinaus.

Cyber Essentials und Cyber Essentials Plus

Cyber Essentials Plus prüft dieselben fünf Kontrollen wie Cyber Essentials und ergänzt die Selbstbewertung um ein praktisches technisches Audit. Beide Stufen haben dieselben technischen Anforderungen. Plus beginnt mit dem Basisfragebogen. Danach auditiert ein Prüfer die IT-Systeme der Organisation, um zu verifizieren, dass die Kontrollen umgesetzt sind. Das NCSC beschreibt dies als unabhängigen Test, ob die Kontrollen in der Praxis funktionieren.

Dieses Audit legt die Messlatte höher. Stellt es eine nicht erfüllte Kontrolle fest, eine sogenannte Nichtkonformität, hat der Antragsteller 30 Tage Zeit, sie zu beheben. Bestehen kann er erst, wenn die Behebung erfolgt ist. Auf der Basisstufe stützt sich der Prüfer auf die eigenen Antworten der Organisation; die Systeme selbst werden nicht getestet.

Für einen Anbieter sind die beiden Stufen unterschiedliche Nachweise. Ein Basiszertifikat zeigt, dass die Organisation die Umsetzung der fünf Kontrollen erklärt und diese Erklärung hat prüfen lassen. Ein Plus-Zertifikat zeigt, dass ein Prüfer diese Kontrollen zusätzlich an ihren Systemen getestet hat. Welche Stufe ein Auftraggeber verlangt, legt er in seinen Ausschreibungsunterlagen fest, und ein Basiszertifikat erfüllt keine Plus-Anforderung.

Wo Cyber Essentials in einer Ausschreibung vorkommt

In einer Ausschreibung erscheint Cyber Essentials als Anforderung, die der Anbieter mit Angaben zu seinem Zertifikat beantwortet, etwa zu Stufe, Datum und dem, was es abdeckt. Sie kann in einem Eignungsfragebogen stehen, einer frühen Phase, in der ein Auftraggeber prüft, ob ein Anbieter geeignet ist, bevor er dessen vollständiges Angebot bewertet. Sie kann auch in einem Lieferantenfragebogen vorkommen, der vor Vertragsbeginn verschickt wird.

Die Ausschreibungsunterlagen legen fest, wie die Anforderung bewertet wird. Sie kann ein Ausschlusskriterium sein: Ein Angebot ohne Zertifikat scheidet dann aus, bevor seine Antworten gelesen werden. Der Auftraggeber kann aber auch andere Nachweise für dieselben Kontrollen akzeptieren. Für Ministerien der britischen Zentralregierung, ihre Behörden und NHS-Einrichtungen gilt die Procurement Policy Note 014: Erfordert ein Auftrag Cyber Essentials, soll der Auftraggeber vor dem Zuschlag ein Zertifikat einer der beiden Stufen oder einen gleichwertigen Nachweis verlangen.

Für einen Auftraggeber zählt mehr als die bloße Existenz eines Zertifikats. Der Geltungsbereich eines Zertifikats ist der Teil der Organisation und ihrer IT, den die Bewertung abgedeckt hat, und er kann enger sein als das gesamte Unternehmen. Das Cyber Essentials Supply Chain Playbook des NCSC weist Auftraggeber darauf hin, dass sie selbst prüfen müssen, ob der Geltungsbereich das Risiko abdeckt, das sie mit dem Vertragsschluss mit dem Anbieter eingehen. Auftraggeber suchen den Anbieter in der öffentlichen Zertifikatssuche von IASME. Schließt der Geltungsbereich das Team oder die Systeme aus, die den Auftrag ausführen würden, genügt das Zertifikat dem Auftraggeber für diesen Auftrag womöglich nicht.

Was ein Zertifikat in einem Security-Questionnaire leistet

In einem Security-Questionnaire beantwortet ein Cyber-Essentials-Zertifikat die Fragen zu seinen fünf Kontrollen; die übrigen Fragen erfordern weiterhin schriftliche Antworten. Ein Security-Questionnaire ist der Fragenkatalog eines Kunden dazu, wie ein Anbieter seine Systeme und die Informationen des Kunden schützt. Das NCSC schlägt Kunden vor, diese Fragebögen an den Kontrollen von Cyber Essentials auszurichten und ein Zertifikat als Bestätigung dafür zu akzeptieren.

Nehmen wir ein kleines Unternehmen, dessen Cyber-Essentials-Basiszertifikat den gesamten Betrieb abdeckt. Vor einem Dienstleistungsauftrag beantwortet es den Security-Questionnaire eines potenziellen Kunden. Darin wird gefragt, ob das Unternehmen Firewalls einsetzt und wie es seine Software aktuell hält. Außerdem geht es darum, wer Administratorkonten besitzt und wie Geräte vor Malware geschützt sind. Hat der Kunde seinen Fragebogen an den Vorgaben des NCSC ausgerichtet, beantwortet das Unternehmen jede Frage mit Verweis auf sein Zertifikat und legt es bei.

Derselbe Fragebogen will außerdem wissen, wie das Unternehmen seine Daten sichert und wie es einen Vorfall erkennen, eindämmen und den Betrieb danach wiederherstellen würde. Eine weitere Frage betrifft den Umgang mit den Informationen des Kunden während der Vertragslaufzeit. Für keinen dieser Punkte liefert das Zertifikat einen Nachweis, also formuliert das Unternehmen jede Antwort aus und belegt sie mit eigenen Richtlinien und Aufzeichnungen. Wie Sie diese Antworten so schreiben, dass sie der Prüfung durch den Kunden standhalten, erklärt der Artikel über nachvollziehbare Antworten in Security-Questionnaires.

Ein Kunde, der seinen Fragebogen nicht ausgerichtet hat, kann das Unternehmen bitten, die fünf Kontrollen in eigenen Worten zu beschreiben. Das Zertifikat liegt diesen Antworten dann als ergänzender Nachweis bei. Manche Fragebögen verlangen auch ISO 27001, eine internationale Norm für den Betrieb eines umfassenden Informationssicherheits-Managementsystems. Sie geht weit über die fünf Kontrollen hinaus, daher ist ein Cyber-Essentials-Zertifikat ein anderer, engerer Nachweis. Der gesamte Prozess der Beantwortung eines Security-Questionnaires deckt beide Arten von Fragen ab.