Wat is een Cybersecurity Maturity Model?
Een Cybersecurity Maturity Model is een raamwerk dat de volwassenheid van de beveiligingsaanpak van een organisatie meet op een oplopende schaal van niveaus, van ad hoc en reactief tot beheerst en continu verbeterend, zodat zij haar huidige situatie kan bepalen en een gericht groeipad kan plannen. Een maturity model beschrijft dus niet alleen welke maatregelen er zijn, maar vooral hoe goed ze zijn ingebed: gedocumenteerd, herhaalbaar, gemeten en verbeterd. Bekende voorbeelden zijn C2M2 van het Amerikaanse ministerie van Energie, het CMMC-programma van het Amerikaanse ministerie van Defensie en de maturity levels in IEC 62443.
In OT-omgevingen ondersteunt een maturity model de geleidelijke invoering van cybersecurity, afgestemd op proceskritische eisen en het risicoprofiel van de installatie.
🧠 Hoe werkt een Cybersecurity Maturity Model?
Een maturity model deelt beveiliging op in domeinen (zoals toegangsbeheer, incidentrespons of leveranciersrisico) en geeft per domein een volwassenheidsniveau. Elk niveau heeft concrete kenmerken, zodat een beoordelaar aan de hand van bewijs (beleid, procedures, logbestanden, interviews) kan vaststellen waar een organisatie staat.
De klassieke vijfstappenschaal komt uit het Capability Maturity Model (CMM) van het Software Engineering Institute uit de jaren negentig, oorspronkelijk bedoeld voor softwareprocessen:
| Niveau | Naam | Kenmerk in cybersecurity |
|---|---|---|
| 1 | Initieel (ad hoc) | Geen formele aanpak, reactief, afhankelijk van individuen |
| 2 | Herhaalbaar | Basismaatregelen aanwezig en deels herhaalbaar, maar niet consistent |
| 3 | Gedefinieerd | Processen gedefinieerd, gedocumenteerd en organisatiebreed toegepast |
| 4 | Beheerst | Prestaties worden gemeten met KPI’s en risicogestuurd bijgestuurd |
| 5 | Optimaliserend | Continue verbetering op basis van lessons learned en metingen |
De opvolger CMMI noemt de niveaus Initial, Managed, Defined, Quantitatively Managed en Optimizing. Belangrijk: lang niet elk cybersecuritymodel gebruikt vijf niveaus. C2M2 kent er drie (plus nul), IEC 62443-2-4 vier en CMMC drie.
🔍 Welke bekende maturity models zijn er?
| Model | Uitgever | Schaal | Doelgroep |
|---|---|---|---|
| C2M2 (Cybersecurity Capability Maturity Model) v2.1, juni 2022 | US Department of Energy | MIL0–MIL3 in 10 domeinen | Energiesector, maar bruikbaar voor elke IT/OT-organisatie |
| CMMC (Cybersecurity Maturity Model Certification) | US Department of Defense | Level 1–3 | Toeleveranciers van het Amerikaanse defensieapparaat |
| IEC 62443-2-4 | IEC | ML1–ML4 (Initial, Managed, Defined, Improving) | Integrators en servicepartijen in industriële automatisering |
| IEC 62443-2-1:2024 | IEC | Maturity model per security program element | Asset owners met een OT-securityprogramma |
| NIST CSF 2.0 | NIST | Tier 1–4 (Partial, Risk Informed, Repeatable, Adaptive) | Alle sectoren |
| COBIT 2019 | ISACA | Capability levels 0–5 | IT-governance en audit |
C2M2 is voor OT een van de meest gebruikte publieke modellen. Versie 2.1 telt tien domeinen, waaronder asset-, wijzigings- en configuratiebeheer, dreigings- en kwetsbaarheidsbeheer, situational awareness, leveranciersrisico en cybersecurityarchitectuur. Het Department of Energy biedt een gratis zelfevaluatietool aan. Daarin krijgt elke practice een score op een vierpuntsschaal: volledig, grotendeels, gedeeltelijk of niet geïmplementeerd. De Maturity Indicator Levels lopen van MIL0 (niet uitgevoerd) via MIL1 (geïnitieerd) en MIL2 (uitgevoerd) naar MIL3 (beheerst).
CMMC is eigenlijk een certificeringsprogramma. Level 1 omvat 15 basiseisen voor Federal Contract Information, Level 2 de 110 eisen uit NIST SP 800-171 en Level 3 voegt daar een selectie uit NIST SP 800-172 aan toe. Level 1 is een jaarlijkse zelfbeoordeling, Level 2 afhankelijk van het contract een zelfbeoordeling of een certificering door een geaccrediteerde externe beoordelaar (C3PAO), en Level 3 een beoordeling door de overheid zelf (DIBCAC). De programmaregel (32 CFR Part 170) geldt sinds 16 december 2024; sinds 10 november 2025 staat CMMC in defensiecontracten, met een gefaseerde invoering van drie jaar. Nederlandse toeleveranciers van Amerikaanse defensieprojecten krijgen er via hun opdrachtgevers mee te maken.
🔄 Wat is het verschil tussen een maturity model en een framework?
Een framework zoals NIST CSF of ISO 27001 beschrijft wat u moet regelen. Een maturity model meet hoe volwassen u dat doet. In de praktijk lopen ze in elkaar over: NIST CSF kent Implementation Tiers, maar NIST presenteert die als een maat voor de rigueur van risicobeheer en governance, niet als verplicht groeipad. ISO 27001 kent helemaal geen niveaus: u bent gecertificeerd of niet.
| Aspect | Maturity model | Framework (zoals NIST CSF of ISO 27001) |
|---|---|---|
| Doel | Volwassenheid meten en groeipad bepalen | Structuur en maatregelen voor beveiliging |
| Uitkomst | Niveau per domein, bijvoorbeeld “MIL2 op toegangsbeheer” | Profiel, Statement of Applicability of certificaat |
| Niveaus | Kern van het model | Afwezig (ISO 27001) of ondersteunend (CSF Tiers) |
| Gebruik | Gap-analyse, roadmap, benchmark | Inrichting en verantwoording van het managementsysteem |
Let ook op het verschil met de Security Levels (SL 1–4) uit IEC 62443-3-3. Een security level zegt hoe sterk een systeem technisch bestand is tegen een bepaald type aanvaller. Een maturity level zegt hoe goed het proces eromheen is ingericht. Een systeem met SL 3-functionaliteit dat door een ML1-organisatie wordt beheerd, biedt in de praktijk weinig bescherming.
🏭 Hoe ziet volwassenheid eruit in een OT-omgeving?
Een illustratief groeipad voor een productielocatie:
- Niveau 1: OT-beheer ad hoc, geen toegangsbeheer op PLC’s, geen logging, onbekend welke apparaten er zijn
- Niveau 2–3: patchmanagement, back-ups en access control ingevoerd, eerst per installatie en daarna als vastgelegde standaard
- Niveau 4: volledige asset inventory, SIEM en netwerkmonitoring met OT-protocolkennis, incidentrespons getest met een tabletop-oefening
- Niveau 5: automatische detectie van afwijkend gedrag (anomaliedetectie), OT-gerichte threat intelligence en structurele lessons learned
Volwassenheid groeit zelden gelijkmatig. Veel industriële bedrijven scoren hoog op fysieke beveiliging en change management, maar laag op detectie en kwetsbaarheidsbeheer. Een profiel per domein maakt die onbalans zichtbaar.
🔧 Hoe voert u een maturity assessment uit?
- Kies het model - C2M2 voor een brede OT-scan, IEC 62443-2-1 als u al met IEC 62443 werkt, NIST CSF als de organisatie dat in IT al gebruikt.
- Bepaal de scope - één locatie, één Purdue-zone of de hele keten; leg vast welke systemen meetellen.
- Verzamel bewijs - workshops met OT, IT en procesbeheer, aangevuld met documenten en steekproeven. Zelfbeoordeling zonder bewijs leidt tot te hoge scores.
- Bepaal de doelniveaus - niet elk domein hoeft op het hoogste niveau. Het doel volgt uit de risicobeoordeling en het belang van het proces.
- Maak een roadmap - prioriteer de grootste gaten tussen huidig en gewenst niveau en plan ze in, bij voorkeur gekoppeld aan onderhoudsstops.
- Herhaal periodiek - een jaarlijkse herbeoordeling maakt voortgang meetbaar voor management en auditors.
In Nederland is dit actueel door de Cyberbeveiligingswet, die sinds 15 augustus 2026 van kracht is als implementatie van NIS2. De wet schrijft geen maturity model voor, maar vraagt wel passende, risicogebaseerde maatregelen en betrokkenheid van het bestuur. Een herhaalde volwassenheidsmeting is een praktische manier om die zorgplicht aantoonbaar te maken.
🔐 Wat levert een maturity model op voor beveiliging?
- Prioriteiten - investeringen gaan naar de domeinen met het grootste risico, niet naar wat toevallig zichtbaar is
- Samenhang - het model ondersteunt defense in depth, zero trust en least privilege als programma in plaats van losse projecten
- Leveranciersbeoordeling - vraag integrators naar hun IEC 62443-2-4-niveau en beperk zo supply chain-risico’s
- Koppeling met normen - resultaten zijn te mappen op NIST SP 800-53, ISO 27001 en COBIT
- Budget en governance - een meetbaar niveau ondersteunt risicomanagement, bestuurlijke besluitvorming en verantwoording aan toezichthouders, van NIS2 in Europa tot FISMA bij Amerikaanse federale instanties
Een maturity model is geen doel op zich, maar een hulpmiddel voor structurele groei en risicogericht beleid. Wie stuurt op een hoger cijfer in plaats van op minder risico, mist het punt.
❓ Veelgestelde vragen
Welk cybersecurity maturity model is het meest geschikt voor OT?
Voor OT-omgevingen is C2M2 een van de meest gebruikte publieke maturity models, omdat het expliciet IT- en OT-assets dekt en een gratis zelfevaluatietool heeft. Organisaties die al met IEC 62443 werken, kiezen vaak het maturity model uit IEC 62443-2-1. Belangrijker dan de keuze is dat u hetzelfde model consequent herhaalt.
Is een cybersecurity maturity model verplicht onder NIS2?
NIS2 en de Nederlandse Cyberbeveiligingswet verplichten geen specifiek maturity model. Ze vragen wel passende, risicogebaseerde beveiligingsmaatregelen en toezicht door het bestuur. Een maturity assessment is daarom een veelgebruikt hulpmiddel om aan te tonen dat de zorgplicht serieus wordt ingevuld.
Wat is het verschil tussen CMMC en C2M2?
CMMC (Cybersecurity Maturity Model Certification) is een certificeringsprogramma van het Amerikaanse ministerie van Defensie dat contractueel verplicht is voor toeleveranciers, met drie niveaus. C2M2 is een vrijwillig zelfbeoordelingsmodel van het Amerikaanse ministerie van Energie, met Maturity Indicator Levels MIL0 tot en met MIL3. CMMC draait om contractuele eisen, C2M2 om interne verbetering.
Welk volwassenheidsniveau moet een organisatie nastreven?
Een cybersecurity maturity model werkt het best met een doelniveau per domein, afgeleid uit de risicobeoordeling. Voor kritieke processen is een gedefinieerd en gemeten niveau (3 tot 4 op een vijfpuntsschaal) gebruikelijk; het hoogste niveau overal nastreven is zelden kosteneffectief.
Hoe lang duurt een maturity assessment?
Een C2M2-zelfevaluatie van één OT-locatie is ontworpen als een begeleide workshop van één dag, of online als een reeks sessies van 60 tot 90 minuten, met de betrokken disciplines. Een onafhankelijk assessment met documentonderzoek en steekproeven duurt doorgaans enkele weken. Daarna volgt het opstellen van een roadmap.
📌 Samengevat
Een Cybersecurity Maturity Model maakt de volwassenheid van de beveiligingsaanpak meetbaar per domein en vertaalt het verschil tussen huidig en gewenst niveau naar een concreet groeipad. Voor OT behoren C2M2 en de maturity levels uit IEC 62443 tot de meest gebruikte modellen; ze helpen investeringen te richten zonder over te investeren of onder te beveiligen.