Was bedeutet CIS-Compliance? Controls, Benchmarks und Nachweise

CIS-Compliance bedeutet meist eines von zwei Dingen: Entweder hat Ihr Unternehmen die CIS Controls bis zu einer gewählten Implementation Group umgesetzt, oder Ihre Systeme sind nach einer CIS Benchmark auf Level 1 oder Level 2 konfiguriert. Oft ist beides gemeint. Ein offizielles CIS-Zertifikat für Unternehmen gibt es nicht: CIS zertifiziert Produkte von Herstellern gegen seine Benchmarks, stellt aber keiner Firma eine Bescheinigung aus, dass sie CIS-konform ist.

Wenn ein Kunde oder Versicherer nach CIS fragt, zeigen die Abschnitte unten, was genau gemeint ist, wie eine Bewertung abläuft und welche Nachweise Sie brauchen.

Das Wichtigste in Kürze

• Kein Unternehmen kann sich nach CIS zertifizieren lassen. CIS zertifiziert Produkte, die Benchmarks prüfen, und akkreditiert gemeinsam mit CREST Beratungsfirmen für die Controls.
• Controls-Compliance heißt, die Safeguards einer Implementation Group umzusetzen. In CIS Controls v8.1 hat IG1 56 Safeguards, IG2 130 und IG3 alle 153.
• Benchmark-Compliance heißt, dass Ihre Systeme einem Benchmark-Profil entsprechen, Level 1 oder Level 2, mit dokumentierten Ausnahmen.
• Die Controls bewerten Sie mit CIS CSAT, die Benchmarks mit CIS-CAT. Hinter jeder Antwort steht ein Nachweis.

Gibt es eine CIS-Zertifizierung?

Für Unternehmen nicht. CIS veröffentlicht die Controls und die Benchmarks als freiwillige Empfehlungen. Die Programme von CIS richten sich an Produkte und Dienstleister:

Nennt ein Hersteller seinen Scanner CIS-zertifiziert, geht es also um den Scanner. Fragt ein Kunde, ob Sie CIS-konform sind, will er wissen, was Sie umgesetzt haben und was Sie davon belegen können.

Was mit CIS-Compliance gemeint ist

CIS veröffentlicht zwei verschiedene Dinge, und der Begriff kann sich auf beide beziehen.

Prüfen Sie bei einem Fragebogen, welche Bedeutung gemeint ist, und beantworten Sie genau diese. "CIS Level 1" ist ein Benchmark-Profil, "IG1" eine Gruppe von Safeguards.

CIS Controls: die Implementation Groups

Aktuell ist CIS Controls v8.1 vom Juni 2024, mit einer kleineren Überarbeitung (v8.1.2) im März 2025. Die Version hat 18 Controls und 153 Safeguards und ergänzt die Sicherheitsfunktion Govern, passend zum NIST CSF 2.0. Jeder Safeguard gehört zu bestimmten Implementation Groups, und die Gruppen bauen aufeinander auf:

• IG1: 56 Safeguards. CIS nennt das grundlegende Cyberhygiene und empfiehlt sie jedem Unternehmen. Passt zu kleinen Teams mit wenig IT-Fachwissen.
• IG2: 130 Safeguards (IG1 plus 74). Für Unternehmen mit eigenem IT-Personal, mehreren Abteilungen und sensiblen oder regulierten Daten.
• IG3: alle 153. Für Unternehmen mit Sicherheitsfachleuten, deren Systeme und Daten unter regulatorischer Aufsicht stehen.

Die Controls 13, 16 und 18 (Netzwerküberwachung, Anwendungssicherheit und Penetrationstests) enthalten keine IG1-Safeguards. Mehrere IG1-Safeguards betreffen Laptops und Smartphones: 1.1 führt ein Geräteinventar, 3.6 verschlüsselt Daten auf Endgeräten, 4.3 sperrt inaktive Sitzungen (nach höchstens 15 Minuten am Computer und 2 Minuten am Mobilgerät), und 7.3 installiert Betriebssystem-Patches automatisch, mindestens monatlich. Alle 18 Controls finden Sie im Leitfaden zu den CIS Controls.

CIS Benchmarks: die Konfigurationsstufen

Benchmark-Compliance ist enger gefasst. Ein System entspricht einer CIS Benchmark für genau seine Produktversion, auf Level 1 oder Level 2, und Abweichungen sind schriftlich festgehalten. Level 2 enthält alles aus Level 1. Gemessen wird pro Gerät mit einem Scan, das Ergebnis ist also ein Wert pro Benchmark und kein Ja oder Nein für das ganze Unternehmen. Details stehen in unserem Leitfaden zu CIS Benchmarks (englisch).

So weisen Sie CIS-Compliance nach

Eine Bewertung macht aus "wir folgen CIS" etwas, das Kunde, Versicherer oder Prüfer nachvollziehen können. Eine bewährte Reihenfolge:

1. Legen Sie den Umfang und die Ziel-Implementation-Group fest. Beginnen Sie mit IG1.
2. Bewerten Sie jeden Safeguard in CIS CSAT, dem kostenlosen Webwerkzeug. Es erfasst pro Safeguard, ob es eine Richtlinie gibt, wie weit sie umgesetzt, automatisiert und berichtet ist, und speichert Ihre Nachweise.
3. Nutzen Sie die CIS Controls Assessment Specification, um festzulegen, was Sie pro Safeguard messen. So kommen zwei Personen beim selben Safeguard zum selben Ergebnis.
4. Scannen Sie die Konfigurationen mit CIS-CAT oder einem anderen Prüfwerkzeug gegen die Benchmarks Ihrer Basislinie.
5. Sammeln Sie die Nachweise und ziehen Sie einen unabhängigen Prüfer hinzu, wenn ein Kunde oder Versicherer das verlangt.
6. Wiederholen Sie die Bewertung regelmäßig und nach großen Änderungen, etwa einer neuen Betriebssystemversion.

Müssen Sie begründen, warum Sie bei einem Safeguard oder einer Gruppe aufgehört haben, bietet die kostenlose CIS Risk Assessment Method (CIS RAM) einen strukturierten Weg, um akzeptables Risiko festzulegen.

Wer nach CIS-Compliance fragt

Sicherheitsfragebögen von Kunden fragen oft nach CIS, ebenso Cyberversicherer: Im November 2025 starteten CIS und CyberAcuView Control Assist, das IG1 auf gängige Fragen aus der Risikoprüfung für kleine Unternehmen abbildet.

In den USA gewähren außerdem Ohio, Utah, Connecticut, Iowa und Texas Unternehmen bei Klagen nach Datenpannen einen gewissen rechtlichen Schutz, wenn ihr schriftliches Sicherheitsprogramm einem anerkannten Rahmenwerk wie den CIS Controls folgt. Das ist eine Verteidigung oder eine Begrenzung des Schadensersatzes, keine Immunität, und es gilt nur nach dem Recht des jeweiligen Bundesstaats. In Deutschland bringt das keinen Schutz; hier fragen Kunden und Prüfer eher nach ISO 27001 oder dem BSI IT-Grundschutz. Das ist keine Rechtsberatung.

Wie CIS zu anderen Rahmenwerken passt

CIS veröffentlicht Zuordnungen der CIS Controls v8.1 zu NIST CSF 2.0, NIST SP 800-53 Rev. 5, NIST SP 800-171, PCI DSS v4.0, HIPAA und ISO/IEC 27001:2022. Sie zeigen, wo eine Arbeit für mehrere Rahmenwerke zählt. Eine Zuordnung ersetzt aber weder die Anforderungen noch das Audit des anderen Rahmenwerks. Wenn Sie CIS gegen NIST abwägen, hilft NIST vs CIS (englisch), für ISO die ISO-27001-Checkliste (englisch).

CIS-Compliance-Software: was sie automatisiert und was bei Ihrem Team bleibt

CIS-Compliance-Software ist eine lose Bezeichnung. Sortieren Sie die Werkzeuge nach ihrer Aufgabe: Konfigurationsprüfung (CIS-CAT und zertifizierte Scanner), Geräteverwaltung (Einstellungen durchsetzen und berichten), Bewertungs- und GRC-Plattformen (Safeguards und Nachweise verfolgen) und Werkzeuge für einzelne Controls wie Log-Management, Backup und Malware-Schutz.

Ein grünes Dashboard zeigt, dass Einstellungen einer Vorlage entsprechen. Es zeigt nicht, ob Sie die richtige Implementation Group gewählt haben, ob Ihre Ausnahmen begründet sind oder ob alle wissen, was bei einem Vorfall zu tun ist.

Verwaltung auf vielen Geräten

trio.so ist eine Software zur Geräteverwaltung. Auf Windows, Mac, iOS und Android setzt sie aus einer Konsole die Geräteeinstellungen hinter mehreren CIS-Safeguards durch und berichtet darüber:

• Geräteinventar: Hardware- und Softwaredetails jedes registrierten Geräts (Controls 1 und 2).
• Listen zugelassener und blockierter Apps (Control 2).
• Verschlüsselung: BitLocker unter Windows und FileVault auf dem Mac mit Hinterlegung des FileVault-Wiederherstellungsschlüssels, dazu Verschlüsselung auf iOS- und Android-Smartphones, mit Status pro Gerät (Safeguard 3.6).
• Richtlinien für Code und Bildschirmsperre, einschließlich Sperre bei Inaktivität (Safeguard 4.3).
• Verwaltung von Betriebssystem-Updates auf Windows, macOS, iOS und Android (Safeguard 7.3).
• Sperren verlorener Macs, iPhones und Android-Geräte und Löschen firmeneigener Geräte (Safeguard 4.11).
• Eine Compliance-Engine mit Vorlagen für CIS Level 1 und Level 2, die Geräteeinstellungen prüfen, und Nachweise, die Sie für Prüfer oder Kundenfragebögen exportieren können.

trio.so macht Sie nicht CIS-konform, und CIS zertifiziert keine Unternehmen. Bei Ihrem Team bleiben die Entscheidungen: welches Profil zu welcher Gerätegruppe passt, welche Ausnahmen Sie akzeptieren und die Controls außerhalb der Geräte, etwa Schulung, Dienstleister, Reaktion auf Vorfälle und Penetrationstests. Tarife ab 5 $ pro Gerät.

Weiterführend: der Leitfaden zu den CIS Controls, NIST-Compliance und Compliance-Überwachung (englisch).

Stand: Oktober 2026. Dieser Beitrag ist eine Orientierung, keine Rechts- oder Prüfungsberatung. CIS Controls und CIS Benchmarks sind Marken des Center for Internet Security, Inc.; trio.so ist mit CIS nicht verbunden und wird von CIS nicht empfohlen. Quellen: CIS Controls v8.1 und CIS: Mapping and Compliance.