CVSS

Wat is CVSS?

Het Common Vulnerability Scoring System (CVSS) is een open standaard van de organisatie FIRST die de technische ernst van een kwetsbaarheid in software, hardware of firmware uitdrukt in een score van 0,0 tot 10,0 en een gecodeerde vector die laat zien hoe die score tot stand komt. De meeste CVE’s krijgen een CVSS-score van de leverancier, van CISA of van de National Vulnerability Database van NIST. CVSS is daarmee de gemeenschappelijke taal in vulnerability scanning, patchmanagement en risicomanagement.

In OT helpt CVSS om kwetsbaarheden in PLC’s, HMI’s en embedded apparatuur te prioriteren, mits u de score goed interpreteert. Een CVSS-score beschrijft de kwetsbaarheid, niet uw installatie: beschikbaarheid, procesveiligheid en de bereikbaarheid van het systeem moet u er zelf bij betrekken.

🧠 Wat meet CVSS precies?

CVSS meet ernst, geen risico. FIRST zegt dat in de gebruikershandleiding van versie 3.1 zelf: de score is bedoeld om de ernst van een kwetsbaarheid te bepalen en mag niet als enige basis voor een risicobeoordeling dienen. De score vertelt hoe makkelijk een lek te misbruiken is en wat de gevolgen zijn voor vertrouwelijkheid, integriteit en beschikbaarheid. Hij zegt niets over de vraag of het product in uw fabriek draait, of het bereikbaar is en of iemand het lek al misbruikt.

Bij elke score hoort een kwalitatieve beoordeling, die in versie 3.x en 4.0 gelijk is:

Versie 3.0 is in 2016 ook vastgelegd als ITU-T-aanbeveling X.1521. Leveranciers, overheden, scanners en SIEM-oplossingen gebruiken wereldwijd dezelfde schaal, zodat een 9,8 overal hetzelfde betekent.

🕰️ Hoe heeft CVSS zich ontwikkeld?

CVSS begon als onderzoek van de Amerikaanse National Infrastructure Advisory Council (NIAC). Daarna nam FIRST, het internationale forum van incident-response- en securityteams, het beheer over.

De NVD kent sinds juli 2022 geen nieuwe v2-scores meer toe. In de praktijk ziet u nu vooral v3.1 en in toenemende mate v4.0: veel leveranciers en de ICS-advisories van CISA geven beide scores naast elkaar.

🔢 Hoe wordt een CVSS-score opgebouwd?

Een CVSS-score bestaat uit metriekgroepen. De Base-groep beschrijft de vaste eigenschappen van de kwetsbaarheid. Die score publiceert de leverancier of de NVD. De andere groepen vult de gebruiker in.

In versie 4.0 zegt de naam welke groepen zijn meegenomen: CVSS-B is alleen Base, CVSS-BT Base plus Threat, CVSS-BE Base plus Environmental en CVSS-BTE alle drie. Versie 4.0 rekent ook niet meer met een formule. Ongeveer 15 miljoen mogelijke vectoren zijn ingedeeld in 270 klassen van vergelijkbare ernst, de macrovectoren. De score wordt binnen zo’n klasse geïnterpoleerd.

📊 Hoe leest u een CVSS-vector?

Neem een kwetsbaarheid in de webinterface van een PLC waarmee een aanvaller zonder inloggen code kan uitvoeren. In versie 3.1 is de vector CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.

Het resultaat is 9,8 (Critical). In versie 4.0 is dezelfde kwetsbaarheid CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N en scoort die 9,3. Pas als de leverancier ook hoge impact op vervolgsystemen aangeeft, zoals de aangestuurde machine, wordt dat 10,0. Een verschil tussen v3.1- en v4.0-scores is dus normaal en betekent niet dat een van beide fout is.

🏭 Waarom is CVSS in OT lastig te interpreteren?

CVSS komt uit de IT-wereld, waar vertrouwelijkheid vaak voorop staat. In OT gaan beschikbaarheid en veiligheid voor. Dat geeft drie bekende vertekeningen:

• Beschikbaarheid weegt te licht - een denial-of-service vanaf het aangrenzende netwerk (AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H) scoort in v3.1 maar 6,5 (Medium), terwijl één vastgelopen controller een hele productielijn kan stilleggen.
• Fysieke gevolgen ontbreken - CVSS v3.1 kent geen begrip procesveiligheid. Versie 4.0 heeft de aanvullende metriek Safety. In de Environmental-groep kunt u de impact op vervolgsystemen bovendien op Safety zetten, waardoor de score omhoog gaat.
• Bereikbaarheid wordt overschat - een lek met AV:N op een PLC die alleen via een goed afgeschermde zone te bereiken is, verdient lokaal een andere beoordeling.

CVSS vervangt dus niet de IEC 62443-3-2-risicobeoordeling of de veiligheidsanalyse uit functionele veiligheid, waarin het vereiste SIL-niveau wordt bepaald. Het levert wel de technische input voor beide.

🔧 Hoe gebruikt u CVSS bij het prioriteren van OT-kwetsbaarheden?

Een werkbare aanpak combineert de Base-score met context:

1. Koppel advisories aan uw assets - vergelijk CVE’s uit leveranciersadvisories en CSAF-documenten met uw asset inventory en, waar beschikbaar, een SBOM.
2. Controleer actief misbruik - staat de CVE in de KEV-catalogus van CISA, dan gaat die voor, ongeacht de score.
3. Gebruik EPSS voor de lange staart - de kans op misbruik in de komende 30 dagen, eveneens van FIRST, helpt duizenden mediumscores te sorteren.
4. Bereken een Environmental-score - zet de beschikbaarheidseis (AR) hoog voor productiekritische systemen, pas de Attack Vector aan aan de werkelijke bereikbaarheid en gebruik in v4.0 de waarde Safety.
5. Kies een actie - patchen in een onderhoudsstop, een compenserende maatregel of bewust accepteren. Leg de keuze vast in het risicoregister.

Een voorbeeld van een interne beleidsregel, gebaseerd op de officiële klassengrenzen:

Betrek engineering en onderhoud bij de beoordeling: zij weten welke functie een apparaat in het proces vervult en wanneer een stop mogelijk is. Voor een bredere beslisboom kunt u SSVC gebruiken, ontwikkeld door het Software Engineering Institute van Carnegie Mellon en CISA. Die vertaalt misbruik, impact en publiek welzijn naar acties als Track, Attend of Act (zie vulnerability management).

🔐 Welke rol speelt CVSS in Nederland en de EU?

• NCSC - het NCSC gebruikt in zijn beveiligingsadviezen een eigen inschaling op kans en schade (elk laag, middel of hoog), en vermeldt de CVSS-scores van de onderliggende CVE’s daarnaast.
• ENISA - de European Vulnerability Database (EUVD), opgezet op grond van artikel 12 van NIS2, toont kwetsbaarheden met CVSS-scores en EUVD-nummers die aan CVE’s zijn gekoppeld.
• Cyber Resilience Act - onder de Cyber Resilience Act moeten fabrikanten vanaf 11 september 2026 actief misbruikte kwetsbaarheden melden. Een CVSS-score helpt om de ernst te onderbouwen, maar de meldplicht hangt af van misbruik, niet van de score.
• IEC 62443 - IEC 62443-4-1 vraagt leveranciers om gemelde beveiligingsproblemen te beoordelen en af te handelen; CVSS is in de praktijk de gangbare maatstaf om die ernst uit te drukken. Binnen IEC 62443 voedt CVSS ook de risicoanalyse per zone.

🧮 Hoe berekent u zelf een CVSS-score?

Kies de acht basismetrieken. De rekenhulp berekent de CVSS 3.1-basisscore en de vectorstring volgens de specificatie van FIRST.

❓ Veelgestelde vragen

Wat is een goede CVSS-score?

Een lage CVSS-score betekent dat een kwetsbaarheid technisch minder ernstig is: 0,1–3,9 is Low, 9,0–10,0 is Critical. Een “goede” score bestaat strikt genomen niet, want ook een lek met een lage CVSS-score kan in een OT-omgeving grote gevolgen hebben. Beoordeel de score daarom altijd samen met de rol van het systeem in uw proces.

Wie bepaalt de CVSS-score van een kwetsbaarheid?

De Base-score van een CVSS-vector wordt meestal bepaald door de leverancier of CVE Numbering Authority die de kwetsbaarheid publiceert. De NVD van NIST en CISA voegen vaak een eigen score toe, die kan afwijken van die van de leverancier. De Threat- en Environmental-scores vult de gebruiker zelf in.

Wat is het verschil tussen CVSS v3.1 en CVSS v4.0?

CVSS v4.0, gepubliceerd op 1 november 2023, vervangt de Temporal-groep door een Threat-groep met alleen Exploit Maturity en scheidt de impact op het kwetsbare systeem van die op vervolgsystemen. Daarnaast heeft v4.0 aanvullende metrieken zoals Safety en Automatable. Daardoor kan dezelfde kwetsbaarheid in v4.0 anders scoren dan in v3.1, bijvoorbeeld 9,3 in plaats van 9,8.

Is CVSS hetzelfde als risico?

Nee, CVSS meet de technische ernst van een kwetsbaarheid en geen risico; FIRST zegt dat zelf in de documentatie. Risico ontstaat pas als u de CVSS-score combineert met de kans op misbruik, de bereikbaarheid van het systeem en de gevolgen voor uw organisatie. Daarom gebruiken organisaties CVSS samen met KEV, EPSS en een eigen risicoanalyse.

Wat is de Environmental-score in CVSS?

De Environmental-score past de CVSS-score aan uw eigen omgeving aan, bijvoorbeeld door een hoge beschikbaarheidseis op te geven of de werkelijke netwerkbereikbaarheid in te vullen. In CVSS v4.0 kunt u de impact op vervolgsystemen bovendien op Safety zetten als misbruik tot fysieke schade kan leiden. Voor OT is de Environmental-score de belangrijkste manier om een generieke score bruikbaar te maken.

Waarom krijgen OT-kwetsbaarheden soms een te lage CVSS-score?

CVSS weegt vertrouwelijkheid, integriteit en beschikbaarheid even zwaar en kende tot versie 4.0 geen begrip voor fysieke veiligheid. Een denial-of-service op een PLC scoort daardoor vaak Medium, terwijl stilstand van een installatie in OT grote gevolgen kan hebben. Met de Environmental-metrieken en de Safety-waarden van CVSS v4.0 corrigeert u dat.

📌 Samengevat

CVSS is de wereldwijde standaard om de technische ernst van kwetsbaarheden in een score van 0,0 tot 10,0 te vatten, met versie 3.1 als meest gebruikte en versie 4.0 als opvolger met een Safety-metriek. In OT is de Base-score een vertrekpunt: combineer hem met KEV, EPSS, uw asset inventory en een Environmental-score die beschikbaarheid en veiligheid zwaar laat wegen.

CVSS helpt kwetsbaarheden objectief te vergelijken, maar meet ernst en geen risico; in OT verrijkt u de score altijd met kennis van de installatie, het proces en de gevolgen voor mens en veiligheid.