FISMA

Wat is FISMA?

FISMA (Federal Information Security Modernization Act) is de Amerikaanse federale wet die elke federale overheidsinstantie verplicht een organisatiebreed, risicogestuurd programma voor informatiebeveiliging in te richten, te documenteren en jaarlijks te laten toetsen, voor alle informatiesystemen die de instantie zelf of een opdrachtnemer namens haar gebruikt of beheert. De huidige wet dateert van december 2014 en verving de Federal Information Security Management Act uit 2002. De technische invulling komt van NIST: de wet verwijst naar de FIPS-standaarden en de Special Publications, met NIST SP 800-53 als catalogus van beveiligingsmaatregelen.

FISMA is geen norm waarvoor een bedrijf een certificaat haalt, maar een wettelijke plicht voor overheden. Toch raakt de wet ook OT: Amerikaanse federale instanties beheren dammen, waterkrachtcentrales, sluizen, laboratoria en duizenden gebouwen met gebouwautomatisering. Ook die besturingssystemen vallen onder FISMA.

🧠 Wat regelt FISMA precies?

FISMA legt de verantwoordelijkheid voor cybersecurity en informatiebeveiliging bij het hoofd van elke instantie en verdeelt de taken over een paar spelers:

De kernverplichtingen zijn:

• Organisatiebreed programma - beleid, procedures, rollen en een actuele inventaris van alle informatiesystemen
• Risicobeoordeling - periodiek bepalen welke schade verlies van vertrouwelijkheid, integriteit of beschikbaarheid kan veroorzaken
• Beveiligingsmaatregelen - passend bij die risico’s, gebaseerd op NIST-standaarden
• Training - bewustwording voor medewerkers en opdrachtnemers
• Incidentafhandeling - detectie, incidentrespons en melding aan CISA
• Continuïteitsplannen - herstel na uitval, inclusief back-ups
• Jaarlijkse rapportage - aan OMB, het Congres en de Rekenkamer (GAO)

🔄 Wat is het verschil tussen FISMA 2002 en FISMA 2014?

FISMA 2002 kreeg kritiek als papieren oefening: instanties schreven elke drie jaar dikke dossiers, terwijl hun systemen tussendoor kwetsbaar bleven. De wet van 2014 verschoof de aandacht naar actuele risico’s, continue monitoring en minder rapportagelast. Wat een “groot incident” is, legde OMB later vast in memorandum M-17-05.

🔧 Hoe werkt een FISMA-programma in de praktijk?

Instanties volgen het NIST Risk Management Framework uit NIST SP 800-37 (Revision 2, december 2018). Dat kent zeven stappen:

1. Voorbereiden - rollen, risicostrategie en scope vastleggen
2. Categoriseren - volgens FIPS 199 per systeem de impact (laag, gemiddeld of hoog) bepalen voor vertrouwelijkheid, integriteit en beschikbaarheid; de hoogste waarde bepaalt de categorie
3. Selecteren - een basisset maatregelen kiezen uit NIST SP 800-53 Revision 5 en die op maat maken (tailoring)
4. Implementeren - de maatregelen invoeren en vastleggen in een System Security Plan
5. Beoordelen - een onafhankelijke assessor test de maatregelen volgens SP 800-53A, bijvoorbeeld met interviews, inspectie en penetratietests
6. Autoriseren - een Authorizing Official accepteert het restrisico en geeft een Authorization to Operate (ATO)
7. Monitoren - maatregelen, wijzigingen en dreigingen blijven gevolgd volgens SP 800-137

De omvang van de basissets in SP 800-53B laat zien waarom de categorisering ertoe doet:

Openstaande tekortkomingen komen in een Plan of Action and Milestones (POA&M), met eigenaar en deadline. De Inspector General beoordeelt het programma jaarlijks op een volwassenheidsmodel met vijf niveaus; pas niveau 4, Managed and Measurable, geldt als effectief.

🏭 Welke rol speelt FISMA in OT-omgevingen?

FISMA maakt geen onderscheid tussen IT en OT: elk informatiesysteem van een federale instantie valt eronder. Denk aan SCADA voor dammen en waterkrachtcentrales, PLC’s en RTU’s in pompstations, energiebeheer in federale gebouwen en de besturing van sluizen. Voor die systemen is NIST SP 800-82 de belangrijkste gids. Revision 3 uit september 2023 heet Guide to Operational Technology (OT) Security en bevat een OT-overlay op de basissets van SP 800-53 Rev. 5.

Die overlay is nodig omdat standaardmaatregelen in OT anders uitpakken:

• Patchen - patches vragen een onderhoudsvenster en leverancierstoestemming; compenserende maatregelen zoals segmentatie vangen de tussentijd op
• Toegangsbeheer - gedeelde operatoraccounts en noodtoegang aan de console vragen een gedocumenteerde uitzondering
• Logging en SIEM - veel controllers loggen weinig, dus passieve netwerkmonitoring vult het beeld aan
• Beschikbaarheid - een automatische lockout na foute wachtwoorden kan in een controlekamer gevaarlijk zijn
• Change Management - elke wijziging aan een besturing moet ook procesveiligheid meewegen

Daarnaast verplichten bindende richtlijnen van CISA instanties om bijvoorbeeld actief misbruikte kwetsbaarheden binnen vaste termijnen te verhelpen (BOD 22-01).

🧱 Geldt FISMA voor leveranciers en Europese bedrijven?

Alleen indirect. FISMA geldt voor federale instanties, en voor opdrachtnemers zodra zij een informatiesysteem namens een instantie beheren of federale informatie verwerken. De instantie legt de eisen dan contractueel op. Andere situaties vallen onder eigen regimes:

• Clouddiensten voor de overheid hebben een FedRAMP-autorisatie nodig, ook gebaseerd op SP 800-53
• Defensieleveranciers die gevoelige, niet-geclassificeerde informatie op eigen systemen verwerken, vallen onder NIST SP 800-171 en het CMMC-programma, niet onder FISMA
• Nationale-veiligheidssystemen volgen de richtlijnen van het Committee on National Security Systems (CNSS)

Voor een Nederlandse machinebouwer of systeemintegrator betekent dit: wie SCADA-software of besturingen levert aan een Amerikaanse federale klant, krijgt FISMA-eisen via het contract, zoals beveiligingsdocumentatie, kwetsbaarheidsbeheer en meldtermijnen.

🔍 Hoe verhoudt FISMA zich tot andere kaders?

De Nederlandse tegenhanger is de BIO: BIO2 is op 23 september 2025 vastgesteld en sinds de Cyberbeveiligingswet op 15 augustus 2026 van kracht is wettelijk verplicht voor de overheden die onder die wet vallen. Beide kaders combineren een wettelijke plicht, een risicogebaseerde aanpak en een vaste maatregelencatalogus. Een verschil is de formele ATO: de BIO kent geen vergelijkbare verplichte autorisatie per systeem door één aangewezen functionaris; daar accepteert het management risico’s binnen het ISMS. Waar NIS2 ook private essentiële entiteiten raakt, beperkt FISMA zich tot de federale overheid.

🔐 Wat leren OT-teams van FISMA?

• Elk systeem een eigenaar en een risicoacceptatie - de ATO dwingt een expliciet besluit af, wat goede Governance is
• Categoriseren voor selecteren - niet elk systeem verdient de zwaarste maatregelen; impact bepaalt de basisset
• Documenteren als bewijs - de Audit-trail maakt Compliance aantoonbaar
• Continu meten - monitoring en jaarlijkse herbeoordeling in plaats van een momentopname
• Samenhang - FISMA past goed bij Zero Trust, Business Continuity en Risicomanagement op organisatieniveau

FISMA dwingt federale instanties tot volwassen Governance en herleidbare cybersecuritybesluiten.

❓ Veelgestelde vragen

Waar staat FISMA voor?

FISMA staat sinds 2014 voor Federal Information Security Modernization Act. De oorspronkelijke wet uit 2002 heette Federal Information Security Management Act. Beide verplichten Amerikaanse federale instanties tot een organisatiebreed informatiebeveiligingsprogramma.

Is FISMA verplicht voor Nederlandse bedrijven?

FISMA is niet rechtstreeks verplicht voor Nederlandse bedrijven. Een bedrijf krijgt pas met FISMA-eisen te maken als het een informatiesysteem beheert of federale informatie verwerkt voor een Amerikaanse federale instantie; die eisen staan dan in het contract.

Wat is een ATO onder FISMA?

Een Authorization to Operate (ATO) onder FISMA is het formele besluit van een Authorizing Official dat het restrisico van een systeem aanvaardbaar is. Zonder ATO mag een federaal systeem niet in productie, en de autorisatie blijft afhankelijk van continue monitoring.

Welke NIST-documenten horen bij FISMA?

De kern van FISMA-naleving is FIPS 199 voor categorisering, FIPS 200 voor minimumeisen, NIST SP 800-37 voor het Risk Management Framework en NIST SP 800-53 voor de maatregelen. Voor OT-systemen komt NIST SP 800-82 Rev. 3 daarbij.

Wie controleert of een instantie aan FISMA voldoet?

Naleving van FISMA wordt jaarlijks gecontroleerd door de Inspector General van elke instantie, op basis van metrieken van OMB en CISA. OMB bundelt de resultaten in een jaarverslag aan het Congres.

Valt OT onder FISMA?

Ja, FISMA geldt voor alle informatiesystemen van een federale instantie, dus ook voor besturingssystemen zoals SCADA in dammen, waterkrachtcentrales en gebouwen. NIST SP 800-82 Rev. 3 beschrijft hoe instanties de SP 800-53-maatregelen op OT toepassen.

📌 Samengevat

FISMA is de Amerikaanse federale wet die overheidsinstanties verplicht tot een risicogestuurd, gedocumenteerd en jaarlijks getoetst informatiebeveiligingsprogramma op basis van NIST-standaarden.

Sinds 2014 ligt de nadruk op continue monitoring en incidentmelding, met CISA in een uitvoerende rol. FISMA geldt voor zowel IT als OT van de federale overheid; leveranciers krijgen ermee te maken via contracten. Voor Europese organisaties is FISMA vooral een leerzaam voorbeeld van categoriseren, autoriseren en continu monitoren, vergelijkbaar met de BIO en NIS2.