Det er tungt at implementere CIS 18. Det er endnu tungere at skabe adfærdsændringer, som reducerer cyberrisikoen.
Vi ser stadig flere og større cyber-trusler. Hvis man vil reducere risikoen for angreb, er CIS 18 et godt framework, men det kræver virkelig meget af den compliance-ansvarlige. Man skal revurdere eksisterende politikker og udarbejde nye. Man skal opretholde en række sikkerhedsforanstaltninger, dokumentere ændringer og jævnligt rapportere på de 18 kontroller.
Når man skal opbygge nye former for cybersikkerhed, kræver det også, at organisationen ændrer sig. Der skal implementeres ny teknologi, eller findes nye måder at udføre sit arbejde på. Modstanden mod forandringer er oftest den største trussel mod en god implementering af CIS 18.