GRUNDLAGEN
Was ist das NICE Framework? Wie CertMap Zertifizierungen auf Rollen abbildet
Das NICE Framework zerlegt Cybersecurity-Arbeit in benannte Rollen. CertMap mappt jede Zertifizierung dagegen, damit du siehst, welche Rolle sie wirklich trifft, statt nur einen Namen zu vergleichen.
Von Daniel HeesselStand: 26. Juli 20266 Min. Lesezeit
Die eigentliche Frage vor einer Zertifizierung ist selten "welche ist die beste". Sie lautet: Welche Rolle deckt sie ab? Zwei Zertifizierungen können auf dem Papier ähnlich aussehen und trotzdem auf völlig verschiedene Berufsbilder vorbereiten. Genau diese Unterscheidung macht das NICE Framework sichtbar.
Das Problem: "CISSP oder vergleichbar"
In Stellenausschreibungen steht oft "CISSP oder vergleichbar". Aber vergleichbar wozu? Der CISSP deckt ein breites Spektrum ab, das von technischer Umsetzung bis zu strategischer Steuerung reicht. Je nachdem, welche Rolle eine Stelle wirklich verlangt, kann ein anderes Zertifikat besser passen als der genannte Titel. Das Grundproblem: Ein Zertifikatsname sagt nichts darüber aus, welche konkreten Aufgaben und Rollen dahinterstehen.
Was das NICE Framework ist
Das NICE Framework (National Initiative for Cybersecurity Education) ist ein Standard des US-amerikanischen NIST, dokumentiert in der Publikation NIST SP 800-181. Es zerlegt das gesamte Feld der Cybersecurity nicht in einen einzigen Block "Security", sondern in klar benannte Arbeitsrollen (Work Roles), zum Beispiel Cybersicherheits-Architektur, Incident Response, Sichere Softwareentwicklung, Systemsicherheits-Management oder Richtlinien und Planung.
Jede dieser Rollen ist über die Aufgaben, das Wissen und die Fähigkeiten beschrieben, die sie erfordert. Die Rollen sind zu übergeordneten Bereichen gebündelt, unter anderem Design und Entwicklung (Systeme bauen), Aufsicht und Steuerung (Governance) sowie Umsetzung und Betrieb. Damit wird aus dem unscharfen Begriff "Security-Fachkraft" eine Landkarte konkreter Tätigkeitsprofile, gedacht sowohl für Arbeitgeber, die Stellen beschreiben, als auch für Fachkräfte, die ihre Laufbahn planen.
Wie Zertifizierungen darauf abgebildet werden
Eine Zertifizierung bereitet immer auf bestimmte dieser Rollen vor, nicht auf alle. Für jede Zertifizierung lässt sich daher analysieren, welche NICE Work Roles ihr Curriculum abdeckt. ISC2 stellt für den CISSP eine Orientierung bereit, wie dessen Inhalte mit dem NICE Framework zusammenhängen. Dieselbe Methodik lässt sich auf jede andere Zertifizierung anwenden, auch auf solche, die selbst keine solche Zuordnung mitliefern.
Der Nutzen ist unmittelbar: Sobald zwei Zertifizierungen gegen dieselbe Rollen-Liste abgebildet sind, sieht man auf einen Blick, wo sie sich überschneiden und wo nicht.
Was CertMap damit macht
CertMap bildet jede erfasste Zertifizierung gegen die NICE Work Roles ab und nennt jede Rolle namentlich, je Zertifizierung aufgeschlüsselt. Auf jeder Vergleichsseite erscheint diese Abbildung als Grafik: Jede Zelle steht für eine Work Role, gruppiert nach "nur Zertifizierung A", "in beiden enthalten" (die Schnittmenge) und "nur Zertifizierung B". So wird aus einer abstrakten Curriculum-Beschreibung eine überprüfbare Aussage darüber, welche Rollen eine Zertifizierung tatsächlich trifft.
So nutzt du es
Der praktische Weg ist kurz: Nimm deine offene Stelle oder dein eigenes Anforderungsprofil, bestimme die Rolle, um die es geht, und vergleiche sie mit der Rollen-Abdeckung der Zertifizierungen. Das dauert wenige Minuten und beantwortet die Frage, die ein Zertifikatsname allein offen lässt: Passt diese Zertifizierung zu genau der Aufgabe, die ich besetzen oder ausüben will?
Warum das gerade jetzt zählt
Regulatorik wie NIS-2 verschiebt den Bedarf spürbar in Richtung Steuerung und Governance. Rollen, die ein Sicherheitsprogramm aufbauen, bewerten und verantworten, werden zum Engpass, nicht nur die, die Systeme bauen. Eine reine Rollen-Betrachtung zeigt, welche Zertifizierung diese Governance-Rollen abdeckt und welche eher auf die technische Umsetzung zielt. Zwei Titel, die im selben Atemzug genannt werden, können hier weit auseinanderliegen.
Grenzen der Methodik
Das Mapping ist eine begründete Einordnung des Curriculums gegen einen offengelegten Standard, kein amtliches Zertifikat der Rollen-Abdeckung. Es sagt, worauf eine Zertifizierung inhaltlich vorbereitet, nicht, wie gut eine einzelne Person die jeweilige Rolle ausfüllt. Grundlage ist durchgehend das NICE Framework nach NIST SP 800-181.
Wie sich das konkret zwischen zwei Zertifizierungen darstellt, zeigen die Vergleiche, etwa CISSP oder CISM?. Dort ist die Rollen-Abbildung Teil jeder Gegenüberstellung.