Das Cyber Assessment Framework des britischen National Cyber Security Centre, bekannt als CAF, soll Unternehmen helfen, Cybersicherheit und Resilienz zu bewerten und zu verbessern. Das NCSC beschreibt CAF als Werkzeug zur Verbesserung von Cybersicherheit und Resilienz, insbesondere für Unternehmen, die wichtige oder wesentliche Dienste unterstützen. (National Cyber Security Centre)
CAF ist besonders relevant, weil es sich auf Ergebnisse konzentriert, statt einfach eine Liste von Kontrollen vorzuschreiben. Das macht es nützlich, um zu bewerten, ob ein Unternehmen kritische Dienste schützen, Cyber-Ereignisse erkennen, Auswirkungen minimieren und sich wirksam erholen kann.
Das Rahmenwerk ist um übergeordnete Ziele und Prinzipien strukturiert. Diese helfen Unternehmen, Governance, Risikomanagement, Asset-Management, Lieferkettensicherheit, Schutzkontrollen, Detection-Fähigkeit, Reaktion und Wiederherstellung zu untersuchen.
Für Verwaltungsräte und die Geschäftsleitung bietet CAF eine praxisnahe Möglichkeit, Cyber-Resilienz in Geschäftssprache zu diskutieren. Es regt Unternehmen dazu an, zu fragen, ob wesentliche Funktionen verstanden sind, ob Risiken angemessen gemanagt werden, ob Schutzmassnahmen wirksam sind und ob Reaktions- und Wiederherstellungsmassnahmen getestet wurden.
CAF kann zudem regulatorische Vorbereitung, Lieferantenabsicherung, interne Audits und Verbesserungsplanung im Bereich Cyber unterstützen. Es ist besonders nützlich, wenn Unternehmen eine strukturierte, aber ergebnisorientierte Methode zur Bewertung der Cyber-Reife benötigen.
Kernaussage: UK CAF hilft Unternehmen, von Kontroll-Checklisten zu evidenzbasierter Cyber-Resilienz überzugehen.
