NIST SP 800-53
Definition
NIST SP 800-53 ist ein Katalog von Sicherheits- und Datenschutzkontrollen für Informationssysteme und Organisationen.
Die Publikation enthält einen Katalog von Sicherheits- und Datenschutzkontrollen gegen Angriffe, menschliche Fehler, Naturkatastrophen, strukturelle Ausfälle und Datenschutzrisiken. Die Kontrollen sind flexibel und anpassbar und werden im Rahmen eines organisationsweiten Risikomanagements umgesetzt.
Einfach erklärt
Wie ein großer Baukasten mit Sicherungen: Ausgewählt wird, was zum eigenen Risiko passt.
Warum das im Alltag wichtig ist
Bietet einen umfangreichen Katalog von Kontrollen, die ausgewählt und umgesetzt werden, um Sicherheits- und Datenschutzanforderungen an Informationssysteme zu erfüllen. Nichtstaatliche Organisationen dürfen die Publikation laut ihrem Hinweis freiwillig nutzen.
Beispiel aus dem Mittelstand
Mögliches Beispiel (hypothetisch): Ein Softwarehaus nutzt ausgewählte Kontrollen aus SP 800-53, etwa aus den Familien Access Control und Audit and Accountability, als Vorlage für Zugriffs- und Protokollierungsanforderungen in einem Kundenprojekt.
Grenzen und Fallstricke
- Den gesamten Katalog ungefiltert übernehmen; Kontrollen ohne risikobasierten Auswahlprozess und ohne Klärung der zugrunde liegenden Anforderungen auswählen; die in SP 800-53B ausgelagerten Baselines und Anpassungshinweise übersehen.
Entstehung & Geschichte
SP 800-53 reicht bis 2005 zurück. Revision 5 erschien 2020 und bündelte Sicherheits- und Datenschutzkontrollen einschließlich Lieferkettenrisiken; Baselines wanderten nach SP 800-53B. Revision 4 von 2013 wurde 2021 zurückgezogen. Release 5.2.0 folgte am 27. August 2025.
Anwendung im Mittelstand
- Mögliche Anwendungen: Sicherheitsanforderungen in Ausschreibungen, Prüfkataloge für Dienstleister, Abgleich mit dem NIST CSF, Absicherung von IT- und KI-gestützten Anwendungen.
Häufige Fragen
Müssen alle Kontrollen umgesetzt werden?
Nicht pauschal: Die Kontrollen sind flexibel und anpassbar und werden in einem risikobasierten Auswahlprozess ausgewählt; Baselines und Hinweise zur Anpassung stehen in SP 800-53B.
Was ist der Unterschied zum NIST CSF?
Das CSF 2.0 beschreibt übergeordnete Cybersicherheitsergebnisse, SP 800-53 enthält einen Katalog einzelner Kontrollen; laut CSF kann eine Kontrolle aus SP 800-53 einer von mehreren Hinweisen sein, um das Ergebnis einer Unterkategorie zu erreichen.
Quellen
- Security and Privacy Controls for Information Systems and Organizations (NIST SP 800-53 Rev. 5) · Joint Task Force (2020): Security and Privacy Controls for Information Systems and Organizations (NIST SP 800-53 Rev. 5)
- SP 800-53 Revision 5 Published · NIST (2020): SP 800-53 Revision 5 Published
- The NIST Cybersecurity Framework (CSF) 2.0 · NIST (2024): The NIST Cybersecurity Framework (CSF) 2.0
- SP 800-53 Rev. 4, Security and Privacy Controls for Federal Information Systems and Organizations (CSRC-Publikationsseite) · NIST (2021): SP 800-53 Rev. 4, Security and Privacy Controls for Federal Information Systems and Organizations (CSRC-Publikationsseite)
- SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations (CSRC-Publikationsseite) · NIST (2025): SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations (CSRC-Publikationsseite)
Quellen geprüft am 14.10.2026. Redaktionelle Anwendungsbeispiele sind hypothetisch; kein Nachweis realer Kundenergebnisse.
Redaktionell geprüft am: