CSIRT

Wat is een CSIRT?

Een CSIRT (Computer Security Incident Response Team), vaak ook CERT (Computer Emergency Response Team) genoemd, is een team dat voor een afgebakende achterban beveiligingsincidenten ontvangt, analyseert, afhandelt en coördineert, en die achterban waarschuwt en adviseert om nieuwe incidenten te voorkomen. Die achterban, in het vakjargon de constituency, kan één organisatie zijn, een sector, een land of de klanten van een product. CSIRT is de generieke term; CERT is de oudere naam, die als merk van Carnegie Mellon University is geregistreerd. Een CSIRT werkt voor IT en steeds vaker ook voor OT: de besturing van fabrieken, gemalen en energienetten. Sinds NIS2 en de Cyberbeveiligingswet is het CSIRT bovendien een wettelijke rol: het is het loket waar essentiële en belangrijke entiteiten hun significante incidenten melden.

🧠 Waar komen de termen CERT en CSIRT vandaan?

Het eerste team van deze soort ontstond in november 1988, toen de Morris-worm duizenden computers op het toenmalige internet lamlegde. Op verzoek van het Amerikaanse defensieonderzoeksbureau DARPA richtte het Software Engineering Institute van Carnegie Mellon University het CERT Coordination Center (CERT/CC) op. Dat eerste “Computer Emergency Response Team” werd het voorbeeld voor teams over de hele wereld, en veel daarvan namen de naam over. In 1990 volgde FIRST (Forum of Incident Response and Security Teams), het wereldwijde netwerk waarin incidentteams elkaar leren kennen en vertrouwen.

Omdat Carnegie Mellon CERT als merk liet registreren, moesten andere teams toestemming vragen om de naam te voeren. Mede daardoor ontstond behoefte aan een merkvrije term, en die werd CSIRT; Carnegie Mellon beveelt zelf ook CSIRT aan als generieke term. Volgens Carnegie Mellon is CERT inmiddels geen afkorting meer, maar alleen nog een merknaam. In juni 1998 legde RFC 2350 vast wat de buitenwereld van zo’n team mag verwachten. Die RFC definieert een CSIRT als een team dat de respons op beveiligingsincidenten binnen een afgebakende achterban uitvoert, coördineert en ondersteunt. Ze bevat ook een sjabloon waarmee een team publiceert wie het bedient, hoe u het bereikt en welke diensten het levert. Veel Europese CSIRT’s publiceren dat RFC 2350-profiel nog altijd op hun website.

Inmiddels verleent Carnegie Mellon buiten de Verenigde Staten geen nieuwe licenties meer op de CERT-naam; teams buiten de VS moeten de naam zelf juridisch toetsen. Ook grote overheidsteams zijn van naam veranderd. In Nederland werd GOVCERT.NL, het in 2002 opgerichte CERT van de rijksoverheid, op 1 januari 2012 onderdeel van het NCSC. In de Verenigde Staten trok CISA op 24 februari 2023 de namen US-CERT en ICS-CERT in; de adviezen over industriële besturingssystemen, waarop veel OT-beheerders vertrouwen, verschijnen sindsdien onder de naam CISA.

🔄 Wat is het verschil tussen een CSIRT en een CERT?

Functioneel doen een CSIRT en een CERT hetzelfde werk. Het verschil zit in de naam: CERT is een geregistreerd merk van Carnegie Mellon University, CSIRT de generieke, merkvrije term. Daarom gebruiken RFC 2350, ENISA en de NIS2-richtlijn consequent het woord CSIRT.

De naam zegt dus niets over omvang of publiek of privaat karakter. Zo is CERT-WM, ondanks “CERT” in de naam, net als het NCSC een wettelijk aangewezen CSIRT. Het verschil met een SOC is wezenlijker: een SOC bewaakt continu en signaleert, een CSIRT neemt het over zodra een signaal een incident blijkt. In kleinere organisaties vallen beide functies vaak in één team.

🎯 Welke diensten levert een CSIRT?

Het FIRST CSIRT Services Framework (versie 2.1, november 2019) is de internationale referentie voor wat een CSIRT kan leveren. Het deelt de diensten in vijf gebieden in; geen enkel team levert ze allemaal.

Bij een incident volgt het team meestal de cyclus uit NIST SP 800-61. Revisie 2 (2012) beschreef vier fasen: voorbereiding; detectie en analyse; inperking, verwijdering en herstel; en evaluatie achteraf. Revisie 3 verscheen in april 2025 en koppelt incidentrespons aan de zes functies van NIST CSF 2.0, van Govern tot Recover. De internationale tegenhanger is de ISO/IEC 27035-reeks, waarvan deel 1 en 2 in 2023 zijn herzien.

🧱 Welke soorten CSIRT’s zijn er?

• Nationaal CSIRT - het aanspreekpunt van een land in het Europese CSIRT-netwerk; in Nederland het NCSC, waarin het vroegere GOVCERT.NL is opgegaan
• Sectoraal CSIRT - bedient één sector, zoals CERT-WM voor de 21 waterschappen of Z-CERT voor de zorg (opgericht in 2017)
• Organisatie-CSIRT - het interne team van een bedrijf, zoals een bank of energiebedrijf, vaak verbonden met het eigen SOC of OT SOC
• PSIRT - een product security incident response team bij een fabrikant, dat kwetsbaarheden in eigen producten behandelt; bij leveranciers van ICS-componenten als Siemens onmisbaar
• Commerciële CSIRT-dienst - een externe partij die op afroep incidentrespons levert, vaak vastgelegd in een retainer

De kwaliteit van een team is meetbaar. In Europa kent Trusted Introducer, een dienst van de TF-CSIRT-gemeenschap, drie niveaus: Listed, Accredited en Certified. Certificering gebeurt op basis van het SIM3-volwassenheidsmodel, dat ruim veertig parameters in vier categorieën (organisatie, mensen, tools en processen) beoordeelt op een schaal van 0 tot 4, en is drie jaar geldig.

⚖️ Wat zegt de wet over CSIRT’s?

NIS2 verplicht elke EU-lidstaat om één of meer CSIRT’s aan te wijzen die alle sectoren uit de bijlagen dekken (artikel 10). Artikel 11 stelt eisen aan zo’n team: hoge beschikbaarheid van communicatiekanalen zonder single point of failure, beveiligde locaties, vertrouwelijkheid, voldoende personeel om altijd beschikbaar te zijn en uitwijkmogelijkheden. Tot de taken horen monitoring, vroegtijdige waarschuwingen, incidentrespons, forensische analyse, op verzoek proactief scannen van netwerken en optreden als coördinator bij gecoördineerde kwetsbaarheidsmelding. Alle nationale CSIRT’s vormen samen het CSIRT-netwerk, waarvan ENISA het secretariaat voert.

In Nederland is dat uitgewerkt in de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit, die op 15 augustus 2026 in werking traden. Het NCSC is voor de meeste sectoren het CSIRT, CERT-WM voor de waterschappen. Voor de zorg is aanwijzing van Z-CERT voorgenomen; tot dat moment treedt het NCSC op. Onder de meldplicht meldt u een significant incident via MijnNCSC: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport binnen een maand. Het CSIRT geeft zonder onnodige vertraging en waar mogelijk binnen 24 uur een eerste reactie op de vroegtijdige waarschuwing. Sinds 11 september 2026 ontvangen CSIRT’s via het centrale meldplatform van ENISA ook de meldingen van fabrikanten onder de Cyber Resilience Act.

Een CSIRT is daarbij geen toezichthouder. Het helpt, waarschuwt en coördineert; het toezicht ligt per sector bij andere instanties.

🏭 Hoe werkt een CSIRT in een OT-omgeving?

In een productieomgeving gelden andere spelregels dan op kantoor. Een IT-reflex als “trek de kabel eruit” kan een SCADA-systeem blind maken of een batchproces halverwege stilleggen. Een OT-bewust CSIRT werkt daarom samen met procesbeheer en engineering, en houdt rekening met deze verschillen:

• Veiligheid gaat voor - inperking mag geen gevaarlijke procestoestand veroorzaken; de operator en de procesveiligheidsverantwoordelijke beslissen mee
• Beschikbaarheid is leidend - een productielijn plat leggen kost vaak meer dan het incident zelf; isoleren via de grenzen van het Zone and Conduits-model is meestal beter dan uitschakelen, wat goede netwerksegmentatie vooraf vereist
• Beperkte zichtbaarheid - PLC’s en RTU’s loggen weinig; passieve monitoring van het netwerkverkeer en goede logging op de engineeringstations zijn vaak de belangrijkste bronnen
• Leveranciers zijn onmisbaar - voor herstel van projectbestanden en firmware is de systeemintegrator of fabrikant nodig, wat vooraf contractueel geregeld moet zijn
• Herstel vraagt validatie - een besturing terugzetten uit een back-up is pas klaar als de procesingenieur de werking heeft gecontroleerd

Veel organisaties in de vitale infrastructuur (energie, water en transport) hebben daarom een hybride team met OT-kennis. Aanvallen als Industroyer en TRITON laten zien dat een CSIRT zonder kennis van het fysieke proces de ernst van een incident niet kan inschatten. NIST SP 800-82 en IEC 62443-2-1 geven aanwijzingen voor incidentrespons in OT, als onderdeel van Defense in Depth. Binnen de eigen organisatie sluit het CSIRT aan op de CSIR-maatregelen, het geheel van afspraken waarmee een bedrijf incidenten voorbereidt en afhandelt.

🔧 Hoe richt u een CSIRT-functie in?

Ook een middelgrote organisatie heeft niet per se een eigen team van tien mensen nodig. Een werkbare aanpak in zes stappen:

1. Bepaal de achterban en het mandaat - welke systemen (IT, OT of beide) en welke bevoegdheden; mag het team een productienetwerk isoleren, en wie besluit daarover?
2. Kies het model - intern team, gedeeld met een SOC, of een externe dienst op retainer; leg reactietijden vast, bijvoorbeeld binnen een uur bevestigen en binnen vier uur ter plaatse
3. Schrijf het incidentresponsplan - met rollen, escalatiecriteria, OT-specifieke draaiboeken en de wettelijke meldtermijnen
4. Regel de contacten - het sectorale CSIRT, de toezichthouder, leveranciers, de verzekeraar en een crisiscommunicatieplan voor medewerkers en klanten
5. Zorg voor de basis - een actuele asset-inventaris, centrale logging en geteste back-ups; zonder die drie kan geen team snel werken
6. Oefen en evalueer - minstens jaarlijks een tabletop-oefening met IT, OT en directie, en na elk incident een evaluatie die het plan bijwerkt

Publiceer daarnaast een contactpunt, bijvoorbeeld een security.txt-bestand op uw website, zodat onderzoekers en andere CSIRT’s u kunnen bereiken. Dat sluit aan bij de RFC 2350-gedachte dat een achterban moet weten waar hij terechtkan. Kiest u een naam voor uw team, gebruik dan bij voorkeur de merkvrije term CSIRT in plaats van CERT.

❓ Veelgestelde vragen

Mag elke organisatie haar team een CERT noemen?

CERT is een geregistreerd merk van Carnegie Mellon University, dus de naam is niet vrij te gebruiken zoals de generieke term CSIRT. Vroeger verleende Carnegie Mellon wereldwijd licenties, maar buiten de Verenigde Staten gebeurt dat niet meer; teams daar moeten de naam zelf juridisch laten toetsen. Een nieuw team kiest daarom meestal voor de naam CSIRT.

Welk CSIRT is voor mijn organisatie verantwoordelijk?

Onder de Cyberbeveiligingswet is het NCSC voor de meeste sectoren het wettelijke CSIRT, CERT-WM voor de waterschappen. Voor de zorg is Z-CERT als CSIRT voorgenomen, maar tot de aanwijzing treedt het NCSC op. Meldingen lopen voor alle sectoren via MijnNCSC, dat ze doorzet naar het juiste CSIRT en de toezichthouder.

Moet elke organisatie een eigen CSIRT hebben?

Nee, de wet verplicht lidstaten om CSIRT’s aan te wijzen, niet individuele bedrijven. Wel moeten essentiële en belangrijke entiteiten onder NIS2 incidenten kunnen afhandelen en melden, en daarvoor is een CSIRT-functie nodig. Die kan intern zijn belegd of extern worden ingekocht.

Wat is een PSIRT?

Een PSIRT (Product Security Incident Response Team) is het CSIRT van een fabrikant dat kwetsbaarheden in de eigen producten ontvangt, beoordeelt en oplost. Onder de Cyber Resilience Act moeten fabrikanten kwetsbaarheden structureel behandelen, wat een PSIRT-functie in de praktijk onmisbaar maakt. Voor OT-gebruikers is het PSIRT van de leverancier de bron van beveiligingsadviezen en patches.

Hoe snel moet een CSIRT reageren?

De reactietijd van een CSIRT hangt af van de afspraken met de achterban, die meestal per prioriteit in een dienstverleningsovereenkomst zijn vastgelegd. Onder NIS2 en de Cyberbeveiligingswet reageert het wettelijke CSIRT zonder onnodige vertraging, waar mogelijk binnen 24 uur, op een vroegtijdige waarschuwing. Een intern CSIRT moet sneller zijn, omdat de organisatie zelf binnen 24 uur moet melden.

Waarom heeft een CSIRT OT-kennis nodig?

Een CSIRT zonder OT-kennis kan met standaard IT-maatregelen een productieproces verstoren of een onveilige situatie veroorzaken. OT-systemen draaien op oude besturingssystemen, gebruiken industriële protocollen en vragen herstel in overleg met engineering. Daarom combineren organisaties in de vitale sectoren het CSIRT met procesingenieurs of een OT SOC.

📌 Samengevat

Een CSIRT ontvangt, analyseert en coördineert beveiligingsincidenten voor een afgebakende achterban, van één bedrijf tot een heel land. CSIRT en CERT doen hetzelfde werk: CERT is de naam van het eerste team uit 1988 en een merk van Carnegie Mellon University, CSIRT de generieke en wettelijke term. Onder NIS2 en de Cyberbeveiligingswet is het NCSC voor de meeste sectoren het CSIRT waar u significante incidenten binnen 24 uur meldt. In OT vraagt het werk extra kennis, omdat veiligheid en beschikbaarheid van het proces voorgaan.

Een CSIRT, of CERT, is het team dat bij een cyberincident het overzicht houdt, de schade beperkt en de kennis deelt; in IT/OT-omgevingen werkt het alleen goed als het het fysieke proces begrijpt.