Was ist das NIST? Was ist der Zweck des NIST?

Das Nationale Institut für Standards und Technologie (NIST) ist ein staatliches Labor der USA, das Messstandards, Cybersicherheitsrahmen und Spezifikationen für kryptografische Algorithmen entwickelt, testet und veröffentlicht, darunter FIPS und die Post-Quanten-Standards FIPS 203, 204 und 205.

Das NIST ist eine nicht-regulierende US-Bundesbehörde, die Standards für Wissenschaft, Ingenieurwesen und Cybersicherheit entwickelt, darunter das Cybersecurity Framework und die FIPS-Publikationen. Bundesbehörden und ihre Auftragnehmer müssen die NIST-Standards bei der Verarbeitung von Bundesdaten einhalten. Die im August 2024 finalisierten Post-Quanten-Kryptographie-Standards des NIST dienen weltweit als Grundlage für die Auswahl von Algorithmen.

Wichtige Erkenntnisse

• Das NIST ist eine nicht-regulierende Behörde des US-Handelsministeriums, die international anerkannte Standards entwickelt, nicht nur in den Vereinigten Staaten.
• Das NIST Cybersecurity Framework gliedert die Sicherheitsarbeit in fünf Funktionen: Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen.
• Bundesbehörden, ihre Auftragnehmer und Lieferanten, die sich um Aufträge des Bundes bemühen, müssen die einschlägigen NIST-Standards, einschließlich der Federal Information Processing Standards (FIPS), einhalten.
• Das NIST finalisierte am 13. August 2024 seine ersten drei Post-Quanten-Kryptographiestandards, FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA).
• Die Einhaltung der NIST-Standards kann einen Anbieter im Wettbewerb differenzieren, da Organisationen, die eine NIST-Konformität nachweisen können, von sicherheitsbewussten Kunden und staatlichen Einkäufern oft bevorzugt werden.

Warum streben Organisationen die Einhaltung der NIST-Standards an?

Die Veröffentlichungen des NIST werden vor ihrer Freigabe von Expertenteams über Monate oder Jahre hinweg umfassend getestet. Dadurch sind ihre Empfehlungen sowohl technisch fundiert als auch international anerkannt. Die Einhaltung der NIST-Standards reduziert die Anzahl ausnutzbarer Sicherheitslücken in der Infrastruktur eines Unternehmens und schafft Vertrauen bei Kunden, die diese Sicherheit erwarten.

Wer muss die NIST-Standards erfüllen?

Bundesbehörden, Auftragnehmer, Unterauftragnehmer und Lieferanten, die Bundesdaten erfassen, speichern oder übermitteln, müssen die einschlägigen NIST-Standards einhalten. Einige auf NIST-Richtlinien basierende Vorschriften, wie beispielsweise die Federal Information Processing Standards (FIPS), sind Voraussetzung für die Vergabe eines Bundesauftrags.

Was sind die fünf Funktionen des NIST Cybersecurity Framework?

Funktion	Optik
Identifikation	Vermögensverwaltung, Risikobewertung und Risikomanagementstrategie
Schützen	Identitäts- und Zugriffsmanagement, Schulungen und Datensicherheitskontrollen
Entdecken	Überwachung und Ereigniserkennung zur schnellen Ergreifung eines Eindringlings
Reagieren	Reaktionsplanung, Kommunikation, Analyse und Schadensbegrenzung nach einem Sicherheitsvorfall
Entspannung	Wiederherstellungsplanung, Kommunikation und Verbesserungen nach einem Vorfall

Wie unterstützt das NIST die Post-Quanten-Kryptographie?

Das NIST finalisierte am 13. August 2024 seine ersten drei Post-Quanten-Kryptographiestandards: FIPS 203 (ML-KEM für Schlüsselkapselung), FIPS 204 (ML-DSA für digitale Signaturen) und FIPS 205 (SLH-DSA, ein Hash-basiertes Signaturverfahren). ML-KEM-768 und ML-DSA-65 sind die empfohlenen Standardparametersätze für die meisten Organisationen, die eine Migration von RSA und ECC planen.

Wie Verschlüsselungsberatung hilft

Die Beratungsdienste von Encryption Consulting in den Bereichen Verschlüsselung und PQC unterstützen Unternehmen dabei, ihre Kryptografie an das Cybersecurity Framework des NIST und dessen Post-Quanten-Standards anzupassen und so Lücken zu schließen, bevor ein Audit oder eine behördliche Auflage das Thema relevant macht. Die Beratung basiert auf ISO/IEC 27001:2022- und SOC 2-zertifizierten Verfahren.

Häufig gestellte Fragen

Ist NIST eine Regulierungsbehörde?

Nein. Das NIST ist eine nicht-regulierende Behörde des US-Handelsministeriums. Es setzt seine Standards nicht direkt durch, aber andere Vorschriften und Anforderungen aus Bundesverträgen, wie beispielsweise FIPS, machen die Einhaltung der NIST-Standards für Organisationen, die mit der Bundesregierung zusammenarbeiten, verpflichtend.

Was sind die fünf Funktionen des NIST Cybersecurity Framework?

Die fünf Funktionen sind Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. Zusammen umfassen sie die Transparenz von Assets, präventive Kontrollen, die Erkennung von Sicherheitsverletzungen, die Reaktion auf Vorfälle und die Wiederherstellung nach einem Vorfall und bieten Unternehmen eine strukturierte Möglichkeit, ein Sicherheitsprogramm aufzubauen und zu messen.

Was sind die Post-Quanten-Kryptographiestandards des NIST?

Das NIST finalisierte am 13. August 2024 die Standards FIPS 203 (ML-KEM), FIPS 204 (ML-DSA) und FIPS 205 (SLH-DSA). Diese Standards definieren quantenresistente Algorithmen für die Schlüsselkapselung und digitale Signaturen, auf die Unternehmen nun Migrationen planen sollen.

Müssen private Unternehmen die NIST-Standards befolgen?

Private Unternehmen sind rechtlich nicht verpflichtet, die NIST-Standards einzuhalten, es sei denn, sie arbeiten mit der Bundesregierung zusammen oder sind in einem regulierten Sektor tätig, der auf NIST-Richtlinien Bezug nimmt. Viele übernehmen jedoch freiwillig das NIST Cybersecurity Framework als anerkannte Sicherheitsgrundlage.

Richten Sie Ihr Sicherheitsprogramm an den NIST-Standards aus.

Gehen Sie den nächsten Schritt
Verschlüsselungsberatung Beratungsteam Unterstützt Sie bei der Zuordnung Ihrer aktuellen Kontrollmechanismen zum NIST Cybersecurity Framework und der Planung Ihres Übergangs zu den Post-Quanten-Algorithmen des NIST. Überprüfen Sie noch heute Ihre Verschlüsselungsstrategie.