Wat is een CMDB?
Een CMDB (Configuration Management Database) is een centrale database waarin een organisatie haar configuratie-items (CI’s), zoals servers, netwerkapparatuur, applicaties, PLC’s en HMI’s, samen met hun kenmerken en onderlinge relaties vastlegt en actueel houdt. Waar een gewone inventarislijst alleen zegt wat er is, laat een CMDB ook zien hoe alles met elkaar samenhangt: welke applicatie op welke server draait, via welke firewall een SCADA-server bereikbaar is en welke productielijn stilvalt als een switch uitvalt. Daarmee is de CMDB een fundament voor Asset Management, Change Management, Incident Management en Incident Response in zowel IT als OT.
Een CMDB geeft één betrouwbaar overzicht van uw technische infrastructuur, van servers tot switches en van PLC’s tot applicaties, inclusief de afhankelijkheden daartussen.
🧠 Waar komt de CMDB vandaan?
De CMDB is een begrip uit ITIL, het raamwerk voor IT-servicemanagement dat eind jaren tachtig door de Britse overheid werd ontwikkeld. In ITIL v3 is de CMDB onderdeel van een breder configuration management system (CMS): het geheel van tools en databronnen waarin configuratiegegevens worden beheerd. ITIL 4 (2019) noemt de bijbehorende praktijk service configuration management en legt de nadruk op informatie die echt nodig is om diensten te leveren, niet op het registreren van alles wat technisch kan.
De norm ISO/IEC 20000-1:2018 voor servicemanagement maakt configuratiebeheer verplicht voor gecertificeerde organisaties (clausule 8.2.6). Een CI is daar gedefinieerd als een element dat beheerst moet worden om een dienst te kunnen leveren. Per CI-type moet worden vastgelegd welke gegevens u registreert, zoals type, omschrijving en status, en ook diensten zelf zijn CI’s. Binnen een ISMS volgens ISO 27001 wordt de CMDB vaak gebruikt als bron voor de verplichte inventaris van assets.
🎯 Wat is het doel van een CMDB?
- Volledig overzicht van alle Assets (CI’s) en hun onderlinge afhankelijkheden
- Beheer van wijzigingen in configuraties, software- en firmwareversies
- Impactbepaling bij incidenten en geplande wijzigingen: wat raakt een storing of ingreep?
- Aantoonbare Compliance met normen en wetten die een inventaris en configuratiebeheer eisen, zoals ISO 27001, NIS2 en de BIO
- IT en OT samenbrengen in één beeld van hybride omgevingen
🧱 Wat bevat een CMDB?
| Element | Beschrijving | OT-voorbeeld |
|---|---|---|
| Configuration Items (CI’s) | Alles wat beheerd moet worden om een dienst of proces te laten draaien | PLC, engineeringstation, historian, industriële switch |
| Attributen | Kenmerken per CI: IP- en MAC-adres, serienummer, firmwareversie, locatie, eigenaar | Firmware 4.2 op een PLC in hal 3, eigenaar procesautomatisering |
| Relaties | Afhankelijkheden zoals draait op, verbonden met, bestuurt | HMI → PLC → frequentieregelaar op lijn 2 |
| Status en levenscyclus | In bestelling, in gebruik, in onderhoud, uit dienst | PLC-type dat de leverancier niet meer ondersteunt |
| Audit-trail | Logging van wijzigingen: wie, wat, wanneer, met welk wijzigingsverzoek | Programma-aanpassing na een storing, gekoppeld aan het change-ticket |
Veelgebruikte CI-types zijn servers (on-prem of cloud), virtuele machines en containers, netwerkapparatuur zoals switches, routers en firewalls, softwareapplicaties en licenties, certificaten, back-ups en gebruikersaccounts. In OT komen daar PLC’s, HMI’s, DCS-controllers, SCADA-componenten en veldapparatuur bij. Ook de zones en conduits uit Netwerksegmentatie volgens het Zone and Conduits-model kunt u als CI of als attribuut vastleggen, zodat per apparaat zichtbaar is in welke zone het hoort.
🔄 Wat is het verschil tussen een CMDB, een asset inventory en een CMMS?
De termen worden vaak door elkaar gebruikt, maar ze dienen een ander doel:
| Systeem | Vraag die het beantwoordt | Typische eigenaar |
|---|---|---|
| Asset Inventory | Wat hebben we, waar staat het en wie is eigenaar? | Security of asset management |
| CMDB | Hoe is het ingesteld en hoe hangt alles samen? | IT-servicemanagement |
| CMMS / EAM | Wanneer moet welk onderhoud gebeuren en wat kost het? | Onderhoud en technische dienst |
| Asset Discovery-tool | Wat zit er werkelijk op het netwerk? | Security en netwerkbeheer |
In de praktijk is de CMDB vaak de centrale registratie waar de andere bronnen in uitkomen. Een discovery-tool levert actuele netwerkgegevens, het CMMS levert onderhoudsgegevens en de CMDB legt de relaties vast.
🏭 Hoe gebruikt u een CMDB in OT-omgevingen?
IT-discoverytools werken vaak met actieve scans, en dat kan in OT riskant zijn: oudere PLC’s en veldapparaten kunnen vastlopen op onverwacht netwerkverkeer. In OT worden assets daarom meestal ontdekt met passieve monitoring, zoals bij Claroty en Nozomi. Die platforms zijn geen CMDB, maar herkennen apparaten, firmware en communicatiestromen en synchroniseren die via koppelingen met de CMDB.
Aandachtspunten voor OT:
- Lange levensduur - installaties draaien vaak twintig jaar of langer, dus levenscyclus- en supportstatus zijn belangrijke attributen
- Fysieke context - de relatie tussen een CI en het proces dat het bestuurt bepaalt de kritikaliteit, niet de hardwarewaarde
- Niet-IP-apparatuur - veldbussen en seriële verbindingen ziet een netwerkscanner niet; die vragen om fysieke inspectie
- Purdue-niveau - leg vast op welk niveau van het Purdue Model een CI zit, als basis voor segmentatie en toegang
De internationale gids Foundations for OT Cybersecurity: Asset Inventory Guidance for Owners and Operators (augustus 2025) van CISA, mede uitgegeven door onder meer het Nederlandse NCSC en het Duitse BSI, beschrijft vijf stappen: scope en doelen bepalen, assets en attributen verzamelen, een taxonomie opstellen, de gegevens beheren en levenscyclusbeheer inrichten. De gids noemt veertien attributen met hoge prioriteit, waaronder protocollen, kritikaliteit, hostnaam, IP- en MAC-adres, fabrikant, model, besturingssysteem, fysieke locatie, poorten en diensten en gebruikersaccounts.
🔐 Welke normen en wetten vragen om een CMDB?
Geen enkele norm eist letterlijk een CMDB, maar veel normen eisen wat een CMDB levert:
- ISO 27001:2022 - maatregel 5.9 (inventaris van informatie en assets, met eigenaar) en 8.9 (configuratiebeheer)
- IEC 62443 - IEC 62443-3-3 systeemeis SR 7.8 vraagt om een inventaris van componenten van het besturingssysteem
- NIST CSF 2.0 - de categorie ID.AM vraagt om inventarissen van hardware, software, datastromen en levenscyclus
- NIS2 en de Cyberbeveiligingswet - de zorgplicht, in Nederland van kracht sinds 15 augustus 2026, omvat assetbeheer
- ISO/IEC 20000-1 - configuratiebeheer is een verplichte servicemanagementpraktijk
📊 Hoe ondersteunt een CMDB andere processen?
| Proces | Relatie met CMDB |
|---|---|
| Incident Management | Impactanalyse op basis van afhankelijkheden |
| Change Management | Wijzigingen beoordelen en vastleggen op CI-niveau |
| Asset Management | Registratie over de volledige levenscyclus |
| Risicomanagement | Kwetsbaarheden en risico’s koppelen aan CI’s |
| Patchmanagement | Bepalen welke systemen een update nodig hebben |
| Vulnerability Management | Een nieuwe CVE direct koppelen aan getroffen firmwareversies |
| Disaster Recovery | Weten welke componenten in welke volgorde hersteld moeten worden |
Een goed gevulde CMDB maakt ook een Business Impact Analysis eenvoudiger, omdat de keten van dienst naar onderliggende techniek al bekend is. Een SBOM kan als attribuut aan een CI worden gekoppeld, zodat ook kwetsbare softwarecomponenten zichtbaar worden.
🛠️ Hoe richt u een CMDB in die actueel blijft?
Veel CMDB-projecten mislukken omdat de gegevens snel verouderen. Een praktische aanpak:
- Begin met een doel - kies eerst de processen die de CMDB moet ondersteunen, bijvoorbeeld change en incident management, en registreer alleen wat daarvoor nodig is.
- Definieer CI-types en attributen - leg per type de verplichte velden vast; gebruik voor OT de prioriteitsattributen uit de CISA-gids als vertrekpunt.
- Automatiseer de vulling - gebruik discovery in IT en passieve monitoring in OT, en importeer gegevens uit het CMMS.
- Koppel aan change management - geen wijziging zonder ticket; een afgesloten change werkt de CMDB bij.
- Meet de datakwaliteit - volg volledigheid, juistheid en dubbele of verweesde records. ServiceNow markeert een CI standaard als verouderd als het 60 dagen niet is bijgewerkt.
- Wijs eigenaren toe - elk CI-type heeft een verantwoordelijke die de gegevens periodiek controleert.
Bekende CMDB-tools zijn ServiceNow, BMC Helix, Freshservice (met Device42, sinds juni 2024 onderdeel van Freshworks), de servicedesk van SolarWinds en de opensourcepakketten iTop en GLPI.
✅ Wat levert een CMDB op?
- Eén bron van waarheid over de infrastructuur
- Snellere probleemoplossing door inzicht in afhankelijkheden
- Betere wijzigingsbeslissingen, omdat de impact vooraf zichtbaar is
- Ondersteuning bij audits en certificeringen, met een aantoonbare inventaris en audit-trail
- Basis voor automatisering van beheer, monitoring en updates
❓ Veelgestelde vragen
Wat is het verschil tussen een CMDB en configuration management?
Configuration management is het proces waarmee u instellingen en versies beheert en wijzigingen beheerst. De CMDB is de database die dat proces ondersteunt door CI’s, attributen en relaties vast te leggen. Zonder proces raakt een CMDB snel verouderd.
Is een CMDB verplicht?
Een CMDB als zodanig is nergens wettelijk verplicht. Wel eisen ISO 27001, IEC 62443, NIS2 en de Cyberbeveiligingswet een actuele inventaris en beheerste configuraties. Een CMDB is een gangbare manier om dat aantoonbaar te regelen.
Kunnen OT-assets in dezelfde CMDB als IT-assets?
Ja, mits de CMDB OT-specifieke attributen kan vastleggen, zoals firmwareversie, protocollen, zone en Purdue-niveau. Veel organisaties koppelen een OT-monitoringplatform aan de bestaande IT-CMDB. Toegang tot OT-gegevens moet daarbij goed worden afgeschermd, omdat een CMDB voor een aanvaller een waardevolle plattegrond is.
Hoe houdt u een CMDB actueel?
Een CMDB blijft actueel door automatische discovery, een strikte koppeling met change management en vaste eigenaren per CI-type. Meet regelmatig de volledigheid en juistheid van de gegevens en ruim verouderde records op.
Wat is een configuration item (CI)?
Een configuration item is elk onderdeel dat beheerst moet worden om een dienst of proces betrouwbaar te leveren, zoals een server, applicatie, PLC of certificaat. Elk CI heeft in de CMDB een unieke identiteit, attributen, een status en relaties met andere CI’s.
Mag een actieve scanner OT-assets ontdekken voor de CMDB?
Actief scannen kan oudere PLC’s en veldapparaten verstoren en wordt in OT daarom alleen voorzichtig en in overleg toegepast. Passieve monitoring van het netwerkverkeer is de gebruikelijke manier om OT-assets voor een CMDB te ontdekken.
📌 Samengevat
Een CMDB legt configuratie-items, hun attributen en hun onderlinge relaties vast. Daarmee ondersteunt ze incident-, change- en patchmanagement en levert ze bewijs voor ISO 27001, IEC 62443 en de Cyberbeveiligingswet. In OT vraagt een CMDB om passieve discovery, aandacht voor levenscyclus en fysieke context en een strakke koppeling met wijzigingsbeheer.
Een CMDB biedt één overzicht van alle systemen, apparaten en afhankelijkheden in uw IT- en OT-landschap, en is pas waardevol als de gegevens actueel blijven.