Wat is COBIT?
COBIT is een raamwerk van de internationale beroepsvereniging ISACA voor de governance en het management van informatie en technologie (I&T), dat beschrijft welke doelen, processen, rollen en controls een organisatie nodig heeft om IT af te stemmen op de bedrijfsdoelstellingen, risico’s te beheersen en waarde te leveren. De naam stond oorspronkelijk voor Control Objectives for Information and Related Technologies; ISACA gebruikt tegenwoordig vrijwel alleen nog de afkorting. De actuele versie is COBIT 2019, met 40 governance- en managementdoelstellingen; ISACA heeft de opvolger COBIT 7 aangekondigd voor oktober 2026. COBIT is primair voor IT ontwikkeld, maar is ook bruikbaar in OT-omgevingen, vooral waar IT en OT samenkomen en Risicomanagement en naleving van wet- en regelgeving op bestuursniveau geregeld moeten worden.
🕰️ Hoe is COBIT ontstaan en welke versies zijn er?
ISACA werd in 1969 opgericht als vereniging van EDP-auditors. COBIT begon in 1996 als een set control objectives voor financiële auditors en groeide in ruim twintig jaar uit tot een volledig governance-raamwerk.
| Versie | Jaar | Belangrijkste verandering |
|---|---|---|
| COBIT 1 | 1996 | Control objectives voor IT-audit |
| COBIT 2 | 1998 | Bredere set controls en hulpmiddelen |
| COBIT 3 | 2000 | Management guidelines toegevoegd |
| COBIT 4.0 / 4.1 | 2005 / 2007 | Procesmodel met volwassenheidsmodel (maturity 0–5) |
| COBIT 5 | 2012 | Integratie van Val IT en Risk IT; scheiding governance en management; 37 processen |
| COBIT 2019 | november 2018 | 40 doelstellingen, design factors, focus areas, CMMI-gebaseerde capability levels |
| COBIT 7 | aangekondigd voor oktober 2026 | Digitale presentatie van het raamwerk en uitgebreidere assessmenthulpmiddelen |
Bij COBIT 2019 liet ISACA de doorlopende versienummering los om het raamwerk vaker te kunnen bijwerken, bijvoorbeeld via focus areas en white papers over AI-governance en NIS2 en DORA. Toch kondigde ISACA voor oktober 2026 een nieuwe hoofdversie aan, COBIT 7. Het COBIT 2019 Foundation-certificaat wordt op 27 oktober 2026 vervangen door een COBIT 7 Foundation-certificaat. De 40 doelstellingen en domeinen in dit artikel zijn die van COBIT 2019, de versie waarmee de meeste organisaties en auditors op dit moment werken.
🧠 Hoe is COBIT 2019 opgebouwd?
COBIT is niet technisch: het zegt niet hoe u een firewall configureert, maar wie waarover beslist, welke doelen er gelden en hoe u aantoont dat dat werkt. De kern bestaat uit vier publicaties: Introduction and Methodology, Governance and Management Objectives, de Design Guide en de Implementation Guide.
- Zes principes voor het governance-systeem - waarde voor stakeholders, een holistische aanpak, een dynamisch systeem, scheiding tussen governance en management, afstemming op de eigen organisatie en een end-to-end-benadering
- Drie principes voor het raamwerk zelf - een conceptueel model, openheid en flexibiliteit, en aansluiting op andere standaarden en regelgeving
- Zeven componenten - processen; organisatiestructuren; principes, beleid en procedures; informatie; cultuur, ethiek en gedrag; mensen, vaardigheden en competenties; diensten, infrastructuur en applicaties
- Elf design factors - vier basisfactoren (strategie, bedrijfsdoelen, risicoprofiel en actuele I&T-problemen) en zeven verfijnende factoren (dreigingslandschap, compliance-eisen, de rol van IT, het sourcingmodel, de IT-implementatiemethoden, de strategie voor technologieadoptie en de omvang van de organisatie); zij bepalen welke doelstellingen voor u het zwaarst wegen
- Focus areas - uitwerkingen voor een specifiek thema, zoals informatiebeveiliging, I&T-risico, DevOps en het mkb
- Capability levels 0–5 - gebaseerd op CMMI, van onvolledig (0) via gedefinieerd (3) tot optimaliserend (5); COBIT 5 gebruikte nog een schaal op basis van ISO/IEC 15504
🔧 Welke 40 doelstellingen kent COBIT?
De 40 doelstellingen zijn verdeeld over één governance-domein (voor bestuur en directie) en vier management-domeinen (voor de uitvoerende organisatie). Die scheiding tussen governance en management is een van de kernideeën van COBIT.
| Domein | Betekenis | Aantal | Voorbeelden relevant voor OT |
|---|---|---|---|
| EDM | Evaluate, Direct and Monitor | 5 | EDM03 Ensured Risk Optimization |
| APO | Align, Plan and Organize | 14 | APO10 Managed Vendors, APO12 Managed Risk, APO13 Managed Security |
| BAI | Build, Acquire and Implement | 11 | BAI06 Managed IT Changes, BAI09 Managed Assets, BAI10 Managed Configuration |
| DSS | Deliver, Service and Support | 6 | DSS02 Managed Service Requests and Incidents, DSS04 Managed Continuity, DSS05 Managed Security Services |
| MEA | Monitor, Evaluate and Assess | 4 | MEA03 Managed Compliance With External Requirements, MEA04 Managed Assurance |
Elke doelstelling beschrijft het doel, de bijbehorende processen en activiteiten, de verantwoordelijke rollen (RACI), de benodigde informatiestromen en voorbeeldmetrieken. Die metrieken zijn bruikbaar als KPI’s voor management en toezicht.
🏭 Hoe past u COBIT toe in OT-omgevingen?
COBIT spreekt over informatie en technologie in brede zin, en daar valt OT logisch onder zodra productiesystemen met het bedrijfsnetwerk verbonden zijn. In de praktijk gebruiken organisaties COBIT voor:
- Sturing en controle op toegangsbeheer, patchmanagement en asset inventory (APO13, DSS05, BAI09)
- Afstemming van OT-securitydoelen op bedrijfsrisico’s, zoals productiecontinuïteit, veiligheid en leverbetrouwbaarheid (EDM03, APO12, DSS04)
- Lifecyclebeheer van SCADA-systemen en MES, van aanschaf tot uitfasering (BAI03, BAI09)
- Governance van OT-outsourcing en leveranciers, zoals systeemintegratoren en machinebouwers (APO10, aangevuld met third party risk management)
- Koppeling met technische OT-standaarden: IEC 62443-2-1 voor het OT-beveiligingsprogramma, IEC 62443-2-4 voor eisen aan serviceleveranciers en NIST SP 800-82 voor technische maatregelen
Let op de verschillen tussen IT en OT. Een COBIT-conform wijzigingsproces (BAI06) uit de kantoor-IT gaat uit van frequente releases en snelle patches; in een fabriek zijn wijzigingen gebonden aan stilstandvensters, procesveiligheid en leveranciersgoedkeuring. Neem OT daarom expliciet op in de design factors (rol van IT, dreigingslandschap, compliance-eisen) in plaats van IT-processen ongewijzigd door te trekken.
🔄 Wat is het verschil tussen COBIT, NIST CSF, IEC 62443, ISO 27001 en ITIL?
COBIT is een overkoepelend raamwerk: het bepaalt het wat en wie, terwijl andere standaarden het hoe invullen. ISACA publiceert zelf een handleiding om het NIST CSF met COBIT 2019 te implementeren.
| Aspect | COBIT | NIST CSF | IEC 62443 | ISO 27001 | ITIL |
|---|---|---|---|---|---|
| Type | Governance- en managementraamwerk | Cybersecurity-raamwerk | OT-beveiligingsstandaard | Managementsysteemnorm (ISMS) | Best practices voor IT-servicemanagement |
| Scope | Alle I&T, van bestuur tot uitvoering | Cyberrisico’s | Industriële automatisering | Informatiebeveiliging | IT-dienstverlening |
| Technische diepgang | Beperkt | Middelmatig | Hoog | Middelmatig (Annex A) | Beperkt |
| OT-focus | Indirect | Generiek, met OT-profielen | Ja, specifiek | Indirect | Nee |
| Certificeerbaar | Nee (personen wel) | Nee | Ja (producten, processen) | Ja (organisatie) | Nee (personen wel) |
Een veelgebruikte combinatie: COBIT voor governance en verantwoording, ISO 27001 voor het managementsysteem, IEC 62443 voor OT-specifieke eisen en ITIL voor de dagelijkse IT-processen.
🇳🇱 Hoe wordt COBIT in Nederland en de EU gebruikt?
- Financiële sector - De Nederlandsche Bank (DNB) toetst informatiebeveiliging met de Good Practice Informatiebeveiliging. Het volwassenheidsmodel daarin is gebaseerd op de definities uit COBIT 4.1 (niveau 0 tot en met 5). Een instelling is aantoonbaar in control bij minimaal niveau 3, met minstens zes maanden aantoonbare werking, en voor de risicobeheerscontrols niveau 4. Sinds 17 januari 2025 geldt daarnaast DORA.
- IT-audit - IT-auditors gebruiken COBIT al decennia als referentiekader voor de IT General Controls bij jaarrekeningcontroles en voor het control-framework achter assurance-rapportages zoals ISAE 3402. Voor SOC 2 gelden de Trust Services Criteria van de AICPA, maar ook daar dient COBIT vaak als onderliggende structuur.
- NIS2 en Cyberbeveiligingswet - NIS2 legt de verantwoordelijkheid voor cybersecurity expliciet bij het bestuur. De Nederlandse Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden. Juist het EDM-domein van COBIT helpt bestuurders om die verantwoordelijkheid aantoonbaar in te vullen, ook voor OT.
🛠️ Hoe voert u COBIT stapsgewijs in?
De COBIT Implementation Guide beschrijft een levenscyclus van zeven fasen:
- Wat zijn de drijfveren? - bijvoorbeeld een audit-bevinding, NIS2 of een incident in de fabriek
- Waar staan we nu? - bepaal de huidige capability levels van de relevante doelstellingen
- Waar willen we staan? - kies doelniveaus met de design factors; voor de meeste OT-processen is niveau 3 een realistisch doel
- Wat moet er gebeuren? - vertaal de gaps naar verbeterprojecten
- Hoe komen we daar? - voer de verbeteringen uit, met eigenaarschap in zowel IT als OT
- Zijn we er gekomen? - meet resultaten met de metrieken uit COBIT
- Hoe houden we het momentum vast? - veranker de aanpak in de PDCA-cyclus
Begin klein: een beperkte set van vijf tot tien doelstellingen (bijvoorbeeld APO12, APO13, BAI06, BAI09, DSS04 en DSS05) levert sneller resultaat op dan een uitrol van alle 40 tegelijk. COBIT loont het meest bij grote of gereguleerde organisaties met expliciete volwassenheidsdoelen; voor kleinere bedrijven heeft ISACA een aparte mkb-uitwerking gepubliceerd.
🔐 Welke rol speelt COBIT bij beveiliging?
- Ondersteunt risk management, compliance en het beheer van audit trails
- Bevat doelstellingen voor access control, change management, incident response en business continuity
- Verbetert de communicatie tussen IT, OT, business en security door gedeelde begrippen en RACI-rollen
- Past op governance-niveau binnen een defense-in-depth-strategie
- Koppelt volwassenheidsniveaus aan OT-processen voor continue verbetering, vergelijkbaar met een cybersecurity maturity model
COBIT helpt om cybersecurity te integreren met bredere bedrijfsdoelen en risicostrategieën.
❓ Veelgestelde vragen
Wat betekent de afkorting COBIT?
COBIT stond oorspronkelijk voor Control Objectives for Information and Related Technologies. Sinds COBIT 5 gebruikt ISACA vrijwel alleen nog de afkorting, omdat het raamwerk veel breder is geworden dan een lijst control objectives.
Is COBIT 2019 nog de nieuwste versie?
COBIT 2019 is sinds november 2018 de actuele versie, maar ISACA heeft de opvolger COBIT 7 aangekondigd voor oktober 2026. Het COBIT 2019 Foundation-certificaat wordt op 27 oktober 2026 vervangen door COBIT 7 Foundation. Bestaande COBIT 2019-implementaties blijven bruikbaar, maar het is verstandig de overgang naar COBIT 7 in uw planning op te nemen.
Kan een organisatie gecertificeerd worden voor COBIT?
Nee, een organisatie kan zich niet laten certificeren voor COBIT, in tegenstelling tot ISO 27001. Personen kunnen wel COBIT-certificaten van ISACA halen, en auditors kunnen beoordelen op welk capability level de COBIT-processen van een organisatie zitten.
Is COBIT geschikt voor OT en industriële bedrijven?
COBIT is geschikt voor OT als governance-laag, omdat het vastlegt wie verantwoordelijk is voor risico’s, wijzigingen, leveranciers en continuïteit van productiesystemen. Voor technische OT-maatregelen moet COBIT worden aangevuld met IEC 62443 of NIST SP 800-82.
Wat is het verschil tussen COBIT en ITIL?
COBIT bepaalt op governance-niveau welke doelen IT moet halen en hoe het bestuur daarop toeziet. ITIL beschrijft hoe IT-diensten in de dagelijkse praktijk worden geleverd en beheerd, en wordt vaak gebruikt om COBIT-doelstellingen uit het DSS-domein in te vullen.
Helpt COBIT bij NIS2 en de Cyberbeveiligingswet?
COBIT helpt bij NIS2 en de Cyberbeveiligingswet omdat beide wetten het bestuur verantwoordelijk maken voor cybersecuritymaatregelen. Het EDM-domein en de RACI-rollen van COBIT maken zichtbaar hoe het bestuur risico’s beoordeelt, besluiten neemt en toeziet op de uitvoering.
📌 Samengevat
COBIT 2019 biedt met 40 doelstellingen in vijf domeinen, zeven componenten en elf design factors een samenhangend kader om informatie en technologie te besturen. Het raamwerk vervangt geen technische standaarden zoals IEC 62443, maar verbindt ze met bedrijfsdoelen, toezicht en verantwoording. Voor OT-convergentie is dat precies de ontbrekende schakel tussen bestuur en fabrieksvloer.
COBIT is het governance-raamwerk van ISACA dat risico’s, controls en prestaties van informatie en technologie, inclusief OT, in lijn brengt met de bedrijfsdoelstellingen.