Wat is de CSIR?
De CSIR (Cybersecurity Implementatierichtlijn Objecten) is een Nederlandse richtlijn van Rijkswaterstaat en Het Waterschapshuis die de BIO en de IEC 62443 samenvoegt tot één praktische set beveiligingseisen voor de industriële automatisering van objecten zoals gemalen, sluizen, stuwen, bruggen en zuiveringen. De richtlijn vertaalt de kantoorgerichte maatregelen van de BIO naar OT en vult ze aan met procesgerichte eisen uit IEC 62443. Elk object krijgt een classificatie, en die bepaalt hoe zwaar het maatregelenpakket is. Versie 3.0 uit september 2021 is bruikbaar voor alle partners van het Bestuursakkoord Water, ook als zij ontwerp en beheer uitbesteden.
🧠 Waar komt de CSIR vandaan?
De CSIR begon als interne richtlijn van Rijkswaterstaat voor de cybersecurity van natte en droge kunstwerken. De eerste versie combineerde de Baseline Informatiebeveiliging Rijksdienst (BIR 2012) met de toen nog conceptuele delen van IEC 62443 en de NCSC-checklist voor beveiliging van ICS/SCADA-systemen. Het NCSC was dus een bron, geen opsteller.
| Versie | Datum | Mijlpaal |
|---|---|---|
| 1.01 | 2 december 2013 | Eerste versie voor Rijkswaterstaat, gebaseerd op BIR 2012 en concept-IEC 62443 |
| 1.4 | 4 augustus 2015 | Uitgeklede versie voor gebruik in aanbestedingen |
| 2.0 | 21 mei 2021 | Formeel vastgesteld voor Rijkswaterstaat; ontbrekende IEC 62443-eisen toegevoegd |
| 3.0 | 16 september 2021 | Formeel vastgesteld voor Rijkswaterstaat en waterschappen; RWS-specifieke tekst veralgemeend |
Voor versie 2.0 liet Rijkswaterstaat een IEC 62443-specialist nagaan welke eisen nog ontbraken en waar ze thuishoorden. Voor versie 3.0 werden alle Rijkswaterstaat-specifieke passages vervangen door algemene tekst, zodat waterschappen, provincies, gemeenten en aannemers de richtlijn kunnen gebruiken. Het document telt ruim 150 pagina’s en wordt beheerd door het Security Centre van Rijkswaterstaat en Het Waterschapshuis. Versie 3.0 dateert van vóór BIO2 en verwijst nog naar de hoofdstukindeling van de oorspronkelijke BIO, die op ISO 27002:2013 is gebaseerd.
🔄 Hoe verhouden BIO, IEC 62443 en CSIR zich tot elkaar?
De BIO is voor overheden verplicht, maar richt zich op informatie en de vertrouwelijkheid ervan. In de procesautomatisering draait het om de functie van het object, om betrouwbaarheid en vooral ook om safety. De BBN-niveaus en de bijbehorende BIV-waarden uit de oorspronkelijke BIO bieden daarom weinig houvast voor een gemaal of een beweegbare brug. IEC 62443 dekt die OT-kant wel, maar is niet verplicht en mist de overheidsspecifieke eisen.
| Kader | Karakter | Focus | Rol in de CSIR |
|---|---|---|---|
| BIO | Verplicht normenkader voor de overheid | Informatie, vertrouwelijkheid, kantoorautomatisering en IT | Basis: de BIO-controls vormen de baseline, vertaald naar OT |
| IEC 62443 | Internationale normenreeks, vrijwillig | Functie en beschikbaarheid van industriële systemen | Verrijking: aanvullende, niet-overlappende eisen en security levels |
| ISO 27001 | Internationale managementsysteemnorm | ISMS en risicomanagement | Kapstok: de CSIR-maatregelen hangen in de structuur van bijlage A |
| CSIR | Implementatierichtlijn | Objecten met industriële automatisering | Synthese van bovenstaande tot één uitvoerbare set |
Een belangrijke keuze is dat de CSIR geen tweede managementsysteem invoert. IEC 62443 spreekt van een Cyber Security Management System (CSMS), de BIO van een ISMS. Twee systemen naast elkaar onderhouden is voor een overheidsorganisatie ondoenlijk, dus gebruikt de CSIR het bestaande ISMS volgens de ISO-structuur en vult dat met OT-maatregelen. Een overzicht van alle kaders naast elkaar staat in Beveiligings Normen.
🔧 Hoe is de CSIR opgebouwd?
De richtlijn bestaat uit drie lagen die naar elkaar verwijzen:
- Hoofdstuk 1: generieke controls - de vertaalde BIO-controls, verdeeld in VSP (proceseisen, zoals beleid, rollen, audits en leveranciersafspraken) en VSE (systeemeisen, zoals segmentatie, logging en hardening). Het onderscheid sluit aan op systems engineering en het V-model in grond-, weg- en waterbouwprojecten.
- Hoofdstuk 2: tien verdiepende maatregelpakketten - fysieke toegangsbeveiliging, logische toegang, beveiligingsincidenten en incident response plan, netwerkkoppelingen en cryptografie, bescherming tegen kwetsbaarheden, logging en monitoring, bewustwording en training, gecontroleerd wijzigen, beheer en onderhoud, en back-ups. Elke maatregel heeft een kolom per weerstandsniveau 1 tot en met 4.
- Bijlagen CSR 1 tot en met CSR 24 - uitgewerkte richtlijnen en sjablonen, onder meer voor de architectuur van het objectnetwerk (CSR 3), wachtwoorden (CSR 7), patchmanagement (CSR 8), incident response (CSR 14), een recoveryplan (CSR 15), registratie van assets in een CMDB (CSR 16), back-up en recovery (CSR 18) en fysieke beveiliging (CSR 24).
Daarnaast bevat de richtlijn een sjabloon voor het Cybersecurity Dossier, ook wel Cybersecurity Beveiligingsplan genoemd, en een best practice voor risicoafwegingen bij afwijkingen.
🧱 Hoe werken functieboxen en weerstandsniveaus?
Om zware risicoanalyses per object te vermijden, classificeert de CSIR objecten met een business impact analyse. Daarbij telt de impact als de functie van het object uitvalt, niet de oorzaak van die uitval. De gemiddelde score op impactcategorieën zoals veiligheid, maatschappelijke gevolgen en financiële schade bepaalt de functiebox.
| Functiebox | Cybersecurity-weerstandsniveau | Betekenis |
|---|---|---|
| A | 4 | Hoogste classificatie, zwaarste maatregelenpakket |
| B | 3 | Zwaar pakket |
| C | 2 | Verhoogd pakket |
| D | 1 | Basispakket |
| E | 1 | Basispakket |
De maatregelen per weerstandsniveau corresponderen met de security levels van IEC 62443; niveau 1 komt grotendeels overeen met SL 1. Drie spelregels zijn in de praktijk belangrijk:
- Minimaal niveau 1 - elk object, en ook losse OT-componenten zonder functiebox zoals een pompkelder of een kast in het areaal, krijgt ten minste het basispakket
- Zwakste schakel - wordt object A bediend of beheerd vanuit een lager geclassificeerd object B, dan gaat B omhoog naar het niveau van A
- Comply or explain - afwijkingen en uitgestelde maatregelen worden met een risicoafweging vastgelegd in het Cybersecurity Dossier
🛠️ Hoe past u de CSIR toe in een project?
De CSIR is geschreven voor opdrachtgevers en opdrachtnemers. De richtlijn kan niet ongewijzigd in een vraagspecificatie: de opdrachtgever selecteert de relevante controls uit hoofdstuk 1 en vertaalt die naar eisen onder bijvoorbeeld UAV-GC of ARVODI. Een typische aanpak:
- Classificeer het object - bepaal functiebox en weerstandsniveau, of neem niveau 1 als ondergrens
- Selecteer de controls - kies de VSP- en VSE-controls die binnen de scope van de opdracht vallen
- Ontwerp het objectnetwerk - volgens CSR 3: een apart segment per functie, een gelaagde opbouw volgens het Purdue Model en zones met gedefinieerde koppelvlakken, zoals in het Zone and Conduits-model van IEC 62443-3-3
- Leg alles vast - in het Cybersecurity Dossier, dat bij uitbesteding ter acceptatie naar de opdrachtgever gaat
- Houd het actueel - minstens jaarlijks een audit op opzet, bestaan en werking, plus een PDCA-evaluatie
Enkele concrete waarden uit de richtlijn laten zien hoe operationeel ze is:
| Onderwerp | Eis in CSIR 3.0 |
|---|---|
| SCADA-operator-, applicatiebeheer- en administratoraccounts | Persoonsgebonden, minimaal 20 tekens, vervangen na 180 dagen |
| Service-accounts op SCADA | Minimaal 20 tekens, vervangen na 365 dagen |
| Standaardaccounts van de fabrikant | Uitgeschakeld, niet gebruiken |
| Bewaartermijn logbestanden | Op basis van risicoafweging, altijd minimaal drie maanden |
| Controle op ongewijzigde logbestanden | Onafhankelijke interne audit, minstens elke zes maanden |
| Netwerkverkeer tussen objecten | Niet rechtstreeks, alleen via een gecontroleerd en gemonitord koppelvlak |
| Toegang op afstand door leveranciers | Via centrale, gemonitorde voorziening, alleen open voor de duur van een wijziging of storing |
Verder gaat de CSIR uit van assume breach: de organisatie moet ervan uitgaan dat een aanval kan slagen en daarom een incident response- en recoveryplan klaar hebben.
🏭 Welke rol speelt de CSIR in de Nederlandse watersector?
De waterschappen hebben verklaard de CSIR toe te passen, en Rijkswaterstaat werkt al sinds de eerste versie uit 2013 met de richtlijn. De richtlijn hoort daarmee bij de vaste kennisbasis van OT-security in de watersector. CERT-WM, het CSIRT van de waterschappen, stelt versie 3.0 publiek beschikbaar.
Sinds de Cyberbeveiligingswet op 15 augustus 2026 in werking trad, is BIO2 wettelijk verplicht voor overheidsorganisaties die onder die wet vallen. BIO2 staat toe dat overheden beheersmaatregelen voor OT gelijkwaardig invullen met de CSIR en IEC 62443. Voor een waterschap dat onder de Cbw valt, de Nederlandse uitwerking van NIS2, is de CSIR dus een bruikbare route om de zorgplicht voor gemalen en zuiveringen aantoonbaar te maken. Let wel op dat versie 3.0 de oude BIO-nummering volgt, zodat een eigen koppeltabel naar BIO2 nodig kan zijn.
❓ Veelgestelde vragen
Waar staat de afkorting CSIR voor?
CSIR staat voor Cybersecurity Implementatierichtlijn Objecten. Het is een richtlijn van Rijkswaterstaat en Het Waterschapshuis voor de beveiliging van industriële automatisering in objecten zoals gemalen, sluizen en bruggen. De afkorting heeft niets te maken met incident response.
Is de CSIR verplicht?
De CSIR is zelf geen wet of norm, maar een implementatierichtlijn. Rijkswaterstaat en de waterschappen hebben haar vastgesteld als eigen richtlijn en nemen haar op in contracten, waardoor zij voor opdrachtnemers wel bindend kan worden. Onder BIO2 mogen overheden de CSIR gebruiken om OT-maatregelen gelijkwaardig in te vullen.
Wat is het verschil tussen de CSIR en IEC 62443?
IEC 62443 is een internationale normenreeks voor de beveiliging van industriële automatisering, met rollen voor eigenaar, integrator en leverancier. De CSIR neemt de relevante eisen uit IEC 62443 over, combineert ze met de verplichte BIO-controls en schrijft ze operationeel uit voor Nederlandse objecten. Een organisatie die de CSIR volgt, gebruikt dus indirect IEC 62443.
Wat is een functiebox in de CSIR?
Een functiebox is de classificatie (A tot en met E) die een object in de CSIR krijgt op basis van de impact als zijn functie uitvalt. Box A is het hoogst en hoort bij weerstandsniveau 4, de boxen D en E horen bij niveau 1. Het weerstandsniveau bepaalt welke maatregelen uit hoofdstuk 2 gelden.
Wat zijn VSP en VSE in de CSIR?
VSP en VSE zijn de twee soorten controls in hoofdstuk 1 van de CSIR. VSP-controls zijn proceseisen, zoals rollen, audits, bewustwording en afspraken met leveranciers. VSE-controls zijn systeemeisen, zoals netwerksegmentatie, logging, wachtwoorden en hardening.
Kunnen andere organisaties dan waterschappen de CSIR gebruiken?
Ja, versie 3.0 is bewust veralgemeend, zodat alle partners van het Bestuursakkoord Water en andere overheden met procesautomatisering haar kunnen toepassen. Ook aannemers en leveranciers die voor deze opdrachtgevers werken, gebruiken de CSIR. Private bedrijven kunnen de structuur overnemen als praktische vertaling van IEC 62443.
📌 Samengevat
De CSIR (Cybersecurity Implementatierichtlijn Objecten) voegt de BIO en IEC 62443 samen tot één uitvoerbare set OT-maatregelen, geschaald via functieboxen A tot en met E en weerstandsniveaus 1 tot en met 4. De richtlijn van Rijkswaterstaat en Het Waterschapshuis geeft opdrachtgevers en opdrachtnemers concrete eisen voor netwerken, accounts, logging en incidenten bij gemalen, sluizen en bruggen, en is onder BIO2 een erkende route voor OT-beveiliging bij de overheid.