CISA

Wat is CISA?

CISA (Cybersecurity and Infrastructure Security Agency) is het Amerikaanse federale agentschap binnen het Department of Homeland Security dat de digitale en fysieke kritieke infrastructuur van de Verenigde Staten beschermt tegen cyberdreigingen, sabotage en andere verstoringen. CISA werkt als nationale coördinator voor zestien vitale sectoren, van energie en water tot chemie en maakindustrie. Voor OT-professionals buiten de VS is CISA vooral belangrijk als bron: de ICS-advisories, de KEV-catalogus en de gezamenlijke richtlijnen met partners als het Nederlandse NCSC zijn gratis en wereldwijd te gebruiken.

🧠 Hoe is CISA ontstaan en hoe is het georganiseerd?

CISA werd opgericht met de Cybersecurity and Infrastructure Security Agency Act, die op 16 november 2018 werd ondertekend. Het agentschap volgde het National Protection and Programs Directorate (NPPD) van het Department of Homeland Security (DHS) op. Eerdere eenheden zoals ICS-CERT, het Amerikaanse CERT voor industriële besturingssystemen, gingen op in CISA.

CISA heeft drie hoofdtaken: cybersecurity, fysieke infrastructuurbeveiliging en noodcommunicatie. Het werkterrein omvat zowel IT- als OT-netwerken. Het agentschap is een coördinator en adviseur, geen toezichthouder met boetebevoegdheid voor bedrijven. Alleen voor Amerikaanse federale diensten kan CISA bindende richtlijnen (Binding Operational Directives) opleggen.

Sinds 2025 is CISA flink ingekrompen: volgens openbare overzichten is ruim een derde van het personeel vertrokken. Ook hebben financieringsstops het werk vertraagd. De kernproducten voor OT, zoals advisories en de KEV-catalogus, worden nog steeds gepubliceerd.

🔧 Wat doet CISA concreet voor OT en ICS?

Voor ICS-beheerders zijn vooral deze diensten van belang:

• ICS-advisories - waarschuwingen over kwetsbaarheden in PLC’s, HMI’s, SCADA-software en RTU’s, met getroffen versies, CVSS-score en maatregelen van de leverancier
• KEV-catalogus - de lijst van CVE’s die aantoonbaar actief worden misbruikt, sinds november 2021
• Gezamenlijke cybersecurity-advisories (AA-reeks) - analyses van concrete aanvalscampagnes met indicatoren en MITRE ATT&CK for ICS-technieken
• Richtlijnen en factsheets - onder meer over asset-inventarisatie, zero trust in OT en veilige OT-communicatie
• Gratis tools - zoals CSET (Cyber Security Evaluation Tool), samen met Idaho National Laboratory ontwikkeld en open source
• Coördinatie - CISA financiert het CVE-programma dat MITRE uitvoert werkt met NIST, de FBI, NSA en buitenlandse partners, en wisselt informatie uit met sectorale ISAC’s (Information Sharing and Analysis Centers)

De advisories hebben een vaste nummering. Een ICS-advisory heet bijvoorbeeld ICSA-26-279-06: jaar 2026, dag 279 van het jaar, zesde advisory van die dag. Medische apparatuur krijgt het voorvoegsel ICSMA. In één week verschijnen er vaak tientallen, van bekende namen als Siemens, Schneider Electric, Rockwell Automation en Hitachi Energy.

📚 Welke CISA-publicaties zijn het belangrijkst voor OT?

De CPG’s zijn bedoeld als minimale basis, geen volledig raamwerk. Versie 2.0 voegt de functie Govern toe en voegt de vroegere aparte IT- en OT-doelen samen. Voor sectoren als chemie en energie bestaan daarnaast Sector-Specific Goals.

🏭 Welke OT-incidenten maakten de waarde van CISA zichtbaar?

CISA-advisories beschrijven aanvallen vaak in detail, zodat beheerders elders de les kunnen trekken:

• Unitronics-PLC’s (advisory AA23-335A, december 2023) - aan Iran gelieerde actoren onder de naam CyberAv3ngers namen via internet bereikbare Unitronics Vision-PLC’s over die nog een standaard- of geen wachtwoord hadden. Minstens 75 apparaten werden geraakt, waarvan 34 in de Amerikaanse watersector.
• Volt Typhoon (advisory AA24-038A, februari 2024) - CISA, NSA, FBI en partners waarschuwden dat een Chinese statelijke actor zich vooraf nestelde in kritieke infrastructuur, met kennis van routes naar OT-systemen.
• Colonial Pipeline (2021) - de ransomware-aanval op de Amerikaanse brandstofpijpleiding gaf extra vaart aan initiatieven als StopRansomware.gov en de meldplichtwet CIRCIA.
• Siemens S7-PLC’s (advisory AA26-231A, augustus 2026) - gezamenlijke waarschuwing van NSA, CISA, FBI, het Department of Energy en de EPA voor actoren die via scandiensten als Censys bereikbare Siemens-besturingen opsporen en aanvallen, met concrete mitigaties.

Het terugkerende patroon: OT-apparaten die direct aan internet hangen, standaardwachtwoorden en ontbrekende netwerksegmentatie.

🔄 Hoe verhoudt CISA zich tot het NCSC en Europese regels?

CISA is een Amerikaanse overheidsdienst. Nederlandse organisaties hebben er geen verplichtingen tegenover, maar kunnen de publicaties vrij gebruiken.

Het NCSC is regelmatig mede-auteur van CISA-publicaties. Wie de Cyberbeveiligingswet moet naleven, kan CISA-richtlijnen dus goed gebruiken als praktische invulling van de zorgplicht, naast IEC 62443.

🧭 Hoe zet u CISA-informatie in voor uw OT-omgeving?

1. Abonneer u op de feeds - ICS-advisories en KEV-updates zijn per e-mail, RSS en als machineleesbare JSON/CSV beschikbaar.
2. Koppel aan uw assetlijst - match advisories automatisch tegen uw inventaris van leveranciers, typen en firmwareversies.
3. Prioriteer met KEV en context - een KEV-lek in een via internet of remote access bereikbaar systeem gaat voor; gebruik de CVSS-score als tweede criterium.
4. Toets uw basis met de CPG’s - loop de doelen na of voer een zelfevaluatie uit met CSET.
5. Vertaal advisories naar detectie en respons - voeg indicatoren en ATT&CK-technieken toe aan uw SIEM en threat intelligence-proces, en neem de geadviseerde stappen op in uw incident response-draaiboek.
6. Gebruik ze in inkoop en beheer - neem Secure by Design-principes op in eisen aan leveranciers en integrators, en pas least privilege toe op hun toegang.

Gratis CISA-diensten zoals kwetsbaarheidsscans en assessments zijn bedoeld voor Amerikaanse organisaties. Nederlandse bedrijven gebruiken vooral de openbare publicaties, de feeds en de tools. Zo draagt CISA bij aan situational awareness en defense in depth, ook in Europa.

❓ Veelgestelde vragen

Waar staat CISA voor?

CISA staat voor Cybersecurity and Infrastructure Security Agency. Het is het Amerikaanse federale agentschap binnen het Department of Homeland Security dat kritieke infrastructuur beschermt tegen cyber- en fysieke dreigingen. CISA bestaat sinds november 2018.

Moeten Nederlandse bedrijven zich aan CISA-richtlijnen houden?

Nee, CISA-richtlijnen zijn niet bindend voor Nederlandse bedrijven; alleen Amerikaanse federale diensten moeten bepaalde CISA-richtlijnen verplicht volgen. Nederlandse organisaties vallen onder de Cyberbeveiligingswet en NIS2. CISA-publicaties zijn wel een waardevolle, gratis aanvulling om aan die zorgplicht invulling te geven.

Wat is een CISA ICS-advisory?

Een CISA ICS-advisory is een waarschuwing over een kwetsbaarheid in een industrieel besturingsproduct, zoals een PLC, HMI of SCADA-pakket. De advisory noemt de getroffen versies, de CVE- en CVSS-gegevens en de maatregelen van de leverancier. Advisories hebben een nummer als ICSA-26-279-06.

Wat is het verschil tussen CISA en het NCSC?

CISA is het Amerikaanse cyberagentschap en het NCSC is de Nederlandse tegenhanger voor vitale aanbieders en de overheid. Beide geven advisories en richtlijnen uit en werken samen aan gezamenlijke publicaties, zoals de OT-richtlijn voor asset-inventarisatie uit 2025. Het NCSC is bovendien het CSIRT onder de Cyberbeveiligingswet voor de meeste sectoren.

Wat zijn de CISA Cybersecurity Performance Goals?

De Cross-Sector Cybersecurity Performance Goals (CPG’s) van CISA zijn een basisset beveiligingsmaatregelen voor IT en OT in kritieke infrastructuur. Ze verschenen in oktober 2022 en versie 2.0 sluit aan op NIST CSF 2.0. Elk doel heeft een inschatting van kosten, impact en implementatiegemak.

Is CISA ook de naam van een wet?

Ja, de afkorting CISA wordt ook gebruikt voor de Amerikaanse Cybersecurity Information Sharing Act uit 2015, een wet over het delen van dreigingsinformatie. Die wet staat los van het agentschap CISA uit 2018. In OT-context bedoelt men met CISA vrijwel altijd het agentschap.

📌 Samengevat

CISA is het Amerikaanse agentschap voor cyber- en infrastructuurbeveiliging, en met ICS-advisories, de KEV-catalogus, de CPG’s en gezamenlijke OT-richtlijnen een van de belangrijkste gratis kennisbronnen voor OT-security wereldwijd. Voor Nederlandse organisaties is CISA niet bindend, maar de publicaties sluiten goed aan op de Cyberbeveiligingswet, NIS2 en IEC 62443. Koppel de feeds aan uw assetlijst en gebruik ze om kwetsbaarheden, detectie en leverancierseisen te prioriteren.