NCSC startet Zertifizierungsprogramm für Anbieter, die Cyberangriffe auf kritische Organisationen im Vereinigten Königreich simulieren

Das Nationale Cybersicherheitszentrum des Vereinigten Königreichs (NCSC) hat ein neues Zertifizierungsprogramm für Unternehmen in Betrieb genommen, die Cyberangriffe simulieren. So können kritische Organisationen des Landes ihre Abwehr anhand realistischer Szenarien testen. Das Programm heißt Cyber Adversary Simulation (CyAS) und wurde am Mittwoch, 11. November 2026, vom NCSC selbst vorgestellt.

Für Käufer solcher Dienste ist das Prinzip einfach: Das NCSC bewertet kommerzielle Anbieter anhand eines Standards, den es selbst festgelegt hat, und veröffentlicht die Liste der Anbieter, die diesen erfüllen. Eine Organisation muss also nicht raten, welchem privaten Partner sie vertrauen kann, wenn sie testen will, wie gut sie Angriffe verhindern, erkennen und darauf reagieren kann. CyAS stützt sich auf die Erfahrung des NCSC als nationale technische Behörde des Vereinigten Königreichs für Cybersicherheit.

Der Unterschied zu klassischen Penetrationstests (der Prüfung eines Systems auf bekannte Schwachstellen) liegt in der Methode. CyAS-Anbieter beginnen mit einer Aufklärung des Ziels: Sie untersuchen die Technik des Kunden, seine angreifbaren Stellen und das Bedrohungsumfeld, in dem er tätig ist. Darauf aufbauend erstellen sie auf die Organisation zugeschnittene Angriffspläne. Die Tester denken wie Angreifer und setzen geeignete Werkzeuge ein, um die vereinbarten Ziele zu erreichen. Sie orientieren sich nicht an kommerziell eingekaufter Bedrohungsaufklärung und sind nicht auf bereits dokumentierte Taktiken, Techniken und Verfahren (TTPs) beschränkt.

NCSC-Vizedirektor Chris Ensor beschrieb das Programm als Schritt über klassische Penetrationstests und Prüfungen von Sicherheitsmaßnahmen hinaus: „CyAS ermöglicht Organisationen, ihre Abwehr in der Praxis zu testen, damit sie Cyberangriffe abwehren, erkennen und darauf reagieren können.“ NCSC-Technikchef Ollie Whitehouse sagte bei der Vorstellung: „Man kann nicht verbessern, was man nicht kennt.“ Realistische Bewertungen durch die besten Experten, fügte er hinzu, würden Organisationen helfen, ein klareres Bild davon zu gewinnen, wie sie echten Angriffen standhalten würden.

CyAS arbeitet nicht allein. Es ergänzt das Cyber Assessment Framework (CAF), das als gemeinsame Struktur zur Bewertung der Cyberresilienz dient, und das verwandte Programm Cyber Resilience Audit (CRA). Das CAF ist um vier Ziele aufgebaut: Management von Sicherheitsrisiken, Schutz vor Cyberangriffen, Erkennung von Ereignissen und Minimierung ihrer Auswirkungen. Die Cybersicherheitsaufsichtsbehörden und die für die jeweiligen Sektoren zuständigen Regierungsressorts sind als „Programmpartner“ eingebunden. Sie können beaufsichtigte Organisationen zur Nutzung ermutigen, zertifizierte Anbieter empfehlen, einen CyAS-Test vorschreiben oder zusätzliche sektorspezifische Anforderungen festlegen.

CyAS richtet sich an Organisationen, die ihre Risiken bewertet haben, über Sicherheits- und Überwachungsmaßnahmen verfügen und einen Plan für die Reaktion auf Vorfälle haben. Besonders wertvoll ist es für große Organisationen, Betreiber kritischer nationaler Infrastrukturen und Regierungsressorts. Wer grundlegende Systeme noch absichern muss, benötigt dagegen womöglich zunächst andere Formen der Bewertung. Das Programm startet als Minimum Viable Product (MVP), also als erste, begrenzte Form, die in der Praxis erprobt werden soll. Das NCSC will die Nachfrage ermitteln, die Methodik verfeinern und Vertrauen aufbauen, bevor es zu einem umfassenderen Betriebsmodell übergeht. Diese Phase soll etwa 18 Monate dauern, mit Rückmeldungen von Käufern, Anbietern und Partnern. Die Liste der zertifizierten Anbieter ist auf der Seite „Find a Provider“ des Programms verfügbar.

Das NCSC hat kürzlich gemeinsam mit Verbündeten ein chinesisches Unternehmen angeprangert, das Hackern den Diebstahl sensibler Daten ermöglichte, wie wir in unserem Bericht über Integrity Tech berichteten.