Wissensdatenbank · CyFun
CyFun Basic, Important oder Essential: Welche Stufe brauchen Sie?
Ihre CyFun-Stufe ergibt sich aus Ihrer Risikoanalyse und Ihrer NIS2-Kategorie. Das CCB weist sie nicht zu. Dieser Artikel erklärt, was jede Stufe beinhaltet, wie Sie Ihre bestimmen, wann eine niedrigere Stufe vertretbar ist und warum die Arbeit, die Sie auf einer niedrigeren Stufe leisten, nicht verloren geht.
Die Stufen
Jede Stufe deckt ein anderes Angriffsprofil abDie Stufe richtet sich nach der Art von Angreifer, gegen den Sie sich wappnen wollen
Das CCB beschreibt vier Stufen. Small ist die Einstiegsstufe für Kleinstorganisationen mit begrenztem technischem Wissen, gedacht für eine erste Bewertung. Basic enthält die Standardmaßnahmen für alle Unternehmen. Important soll das Risiko gezielter Angriffe durch Akteure mit gängigen Fähigkeiten und Mitteln verringern. Essential richtet sich auf hochentwickelte Angriffe durch Akteure mit umfassenden Fähigkeiten und Mitteln. Das CCB hat die Stufen nachträglich auf historische Angriffsdaten angewendet: Laut dieser Übung deckt Basic 82 Prozent der Angriffe ab, Important 94 Prozent und Essential 100 Prozent. Zu Small ist weniger veröffentlicht. Fragen Sie beim CCB oder bei der Bewertungsstelle nach, wie eine etwaige externe Bewertung auf dieser Stufe abläuft.
Vergleich
Drei Stufen im Vergleich, nach CyFun 2025
Die Zahlen stammen aus den CyFun-2025-Daten, wie auf unserer CyFun-Seite angegeben.
| Stufe | Anzahl Requirements | Bewertung | Typisches Profil |
|---|---|---|---|
| Basic | 34 | Verifizierung durch eine akkreditierte Konformitätsbewertungsstelle, danach Label beantragen | Organisationen außerhalb von NIS2, die einen ersten Schritt tun, Lieferanten, von denen ein Kunde ein Basisniveau verlangt, leichtere und sektorspezifische Fälle |
| Important | 133 | Verifizierung durch eine akkreditierte Konformitätsbewertungsstelle, danach Label beantragen | Wichtige Einrichtungen und wesentliche Einrichtungen auf dem Weg zu Essential |
| Essential | 218 | Zertifizierung | Wesentliche Einrichtungen und Organisationen mit dem höchsten Risikoprofil |
Stufe bestimmen
Ihre Stufe ergibt sich aus drei Quellen, in dieser Reihenfolge
- 1Beginnen Sie bei Ihrer NIS2-Kategorie. Von wesentlichen Einrichtungen wird erwartet, dass sie Essential erreichen, es sei denn, ihre Risikoanalyse rechtfertigt eine niedrigere Stufe. Für wichtige Einrichtungen ist Important die übliche Richtung. Eine strikte Eins-zu-eins-Regel steht nicht in den von uns herangezogenen CCB-Texten. Kennen Sie Ihre Kategorie noch nicht, beginnen Sie mit dem Artikel zum Anwendungsbereich.
- 2Führen Sie eine eigene Risikoanalyse durch. Das CCB bietet dafür das CyFun Selection Tool an, als ersten Schritt seines Vier-Schritte-Modells: Risikoanalyse, Selbstbewertung mit dem Self-Assessment Tool, Bewertung durch eine Stelle und Beantragung des Labels.
- 3Legen Sie Ihre Kunden neben Ihre Analyse. Ausschreibungen und NIS2-pflichtige Kunden können eine Stufe vertraglich vorschreiben. Eine solche Anforderung kann höher liegen, als Ihre eigene Analyse erfordert, und dann gilt die Anforderung.
- 4Halten Sie die Wahl schriftlich fest, mit der Begründung. Wer später eine abweichende Stufe verteidigen muss, braucht diese Begründung.
Niedriger als erwartet
Nur mit BegründungEine niedrigere Stufe ist vertretbar, wenn Ihre Risikoanalyse sie trägt
Eine wesentliche Einrichtung darf eine niedrigere CyFun-Stufe wählen, wenn dies durch ihre eigene Risikoanalyse objektiv gerechtfertigt ist. Dafür ist keine Genehmigung des CCB nötig. Die Begründung bleibt intern dokumentiert, und der Inspektionsdienst kann sie anfechten. Laut der Mitteilung des Inspektionsdienstes des CCB ist kein Remediationsplan nötig für diejenigen, die auf Grundlage der Risikoanalyse ein niedrigeres Sicherheitsniveau rechtfertigen können und bis zum 18. April 2027 die Erfüllung dieses Niveaus nachweisen. Eine niedrigere Stufe ist also eine vertretbare Wahl, keine Abkürzung. Sie funktioniert nur, wenn die Analyse stimmig ist, bei einer Inspektion standhält und nicht hauptsächlich geschrieben wurde, um Arbeit zu vermeiden.
Scharnierstufe
ImportantImportant ist jetzt die Stufe, auf der viele Fälle zusammenlaufen
Bis zum 18. April 2027 gibt der Inspektionsdienst der Verifizierung von Maßnahmen Vorrang, die CyFun Important gleichwertig sind, und Essential muss bis zum 18. April 2028 erreicht sein. Dadurch ist Important die Stufe, auf der wesentliche Einrichtungen zuerst geprüft werden, und der Zwischenschritt in einem Remediationsplan. Was das genau pro Weg und pro Kategorie bedeutet, lesen Sie auf der Seite zur Stufenplanung. Diesen Inhalt wiederholen wir hier nicht.
Aufbau
Die Stufen bauen aufeinander auf, Arbeit geht also nicht verloren
Strikte Teilmengen
Basic ist eine strikte Teilmenge von Important, und Important von Essential. Was Sie auf einer niedrigeren Stufe aufbauen, zählt auf einer höheren Stufe vollständig mit.
ISO 27001 als Einstieg
Ein ISO-27001-Zertifikat mit dem richtigen Geltungsbereich und der passenden Erklärung zur Anwendbarkeit kann zum Erwerb des Labels genutzt werden. Die Bewertungsstelle prüft den Geltungsbereich.
Zuerst das Ziel wählen
Eine Zwischenstufe ist sinnvoll, wenn sie in Ihren Endplan passt. Kennen Sie Ihre Zielstufe, können Sie die Maßnahmen so ordnen, dass jeder Schritt den nächsten vorbereitet.
Ausgaben
CyFun 2025 ersetzt die Ausgabe 2023
Die neue Ausgabe hat andere Requirement-Texte und eine andere Nummerierung.
Was sich geändert hat
Laut CCB knüpft 2025 an NIST CSF 2.0, nationale und europäische Vorschriften und NIS2 an. Es gibt mehr Aufmerksamkeit für Lieferkette und OT, und die Kontrollen sind klarer formuliert, um das Auditieren zu erleichtern. Die Ausgabe umfasst sechs Funktionen: GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND und RECOVER. GOVERN ist neu, mit Governance-Maßnahmen ab Important.
Übergangszeit
Das CCB sagt, dass beide Ausgaben noch eine Zeit lang verfügbar bleiben, danach wird nur noch die neue akzeptiert. Ein Enddatum haben wir auf keiner CCB-Seite gefunden. Fragen Sie bei Ihrer Bewertungsstelle nach und starten Sie ein neues Vorhaben auf 2025.
Bewertung und Schlüsselmaßnahmen
Jede Stufe hat Schlüsselmaßnahmen, die besonders schwer wiegen, und Konformitätsschwellen, die die Reife berücksichtigen. Die genauen Punktzahlen und Anzahlen stehen im Self-Assessment Tool des CCB, und das ist für Sie die Quelle.
Bewertung
Eine anerkannte Stelle bewertet, wir leiten das Vorhaben
Für die CyFun-Bewertung arbeiten Sie mit einer Konformitätsbewertungsstelle, die von BELAC akkreditiert und vom CCB anerkannt ist. Die Liste steht auf Safeonweb@Work. Die Selbstbewertung erfolgt in einem Excel-Tool mit Spinnendiagrammen, dazu Mapping und Richtlinienvorlagen aus der CyFun-Toolbox. RGI begleitet als Projektleiter: Scoping, Gap-Analyse, Planung und Vorbereitung der Bewertung, gemeinsam mit Ihrem IT-Partner oder Spezialisten aus unserem Netzwerk. RGI verifiziert oder zertifiziert nicht selbst.
Häufig gestellte Fragen
Kurz beantwortet
Welche CyFun-Stufe passt zu Ihnen?
In einem ersten Gespräch von 30 Minuten bestimmen wir gemeinsam Ihre Kategorie, Ihre Zielstufe und die Reihenfolge Ihrer Schritte. Das Gespräch ist kostenlos.