Wat is NIST?
NIST (National Institute of Standards and Technology) is een niet-regelgevend Amerikaans federaal instituut onder het Department of Commerce dat meetstandaarden, technische normen en richtlijnen ontwikkelt, waaronder de wereldwijd gebruikte publicaties voor cybersecurity zoals het NIST CSF en de SP 800-serie. Het instituut legt niemand regels op: buiten de Amerikaanse federale overheid zijn NIST-publicaties vrijwillig. Toch zijn ze gratis, openbaar en grondig onderbouwd, en daardoor gebruiken organisaties in IT, OT, industriële automatisering en vitale infrastructuur ze ook in Europa als referentie voor risicomanagement en beveiliging.
🧠 Wat doet NIST precies?
NIST werd op 3 maart 1901 opgericht als National Bureau of Standards en kreeg in 1988 zijn huidige naam. Het hoofdkantoor staat in Gaithersburg (Maryland), met een tweede grote vestiging in Boulder (Colorado). Er werken ongeveer 3.400 mensen. Cybersecurity is maar één van de taken:
- Meten en tijd - NIST beheert Amerikaanse meetstandaarden en atoomklokken. De Internet Time Service verspreidt UTC(NIST) via NTP met een nauwkeurigheid in de orde van een milliseconde; veel OT-netwerken synchroniseren indirect op zulke tijdbronnen.
- Cryptografie - NIST standaardiseert algoritmen als FIPS-publicaties, bijvoorbeeld AES (FIPS 197, 2001) en sinds augustus 2024 de eerste post-quantumalgoritmen (FIPS 203, 204 en 205). Via FIPS 140-3 worden cryptografische modules gevalideerd.
- Cybersecurity-richtlijnen - raamwerken, maatregelcatalogi en handleidingen, ontwikkeld met publieke commentaarrondes.
- Kwetsbaarhedendatabase - NIST beheert de National Vulnerability Database (NVD), die CVE-meldingen verrijkt met ernstscores en productinformatie.
- Praktijkoplossingen - het National Cybersecurity Center of Excellence (NCCoE) in Rockville, opgezet in 2012 met de staat Maryland en Montgomery County, bouwt met leveranciers voorbeeldarchitecturen na.
📚 Welke soorten NIST-publicaties bestaan er?
Wie met NIST werkt, komt verschillende reeksen tegen. Het verschil zit in status en doel:
| Reeks | Wat is het? | Voorbeeld |
|---|---|---|
| FIPS | Federal Information Processing Standards, verplicht voor Amerikaanse federale systemen | FIPS 197 (AES), FIPS 140-3, FIPS 203 |
| SP 800 | Special Publications over computerbeveiliging: richtlijnen en maatregelcatalogi | NIST SP 800-53, NIST SP 800-82 |
| SP 1800 | Praktijkgidsen van het NCCoE met een nagebouwde referentie-oplossing | SP 1800-10 (ICS-integriteit in de maakindustrie) |
| NIST IR | Interne en interagency rapporten, vaak profielen of achtergrondstudies | NIST IR 8183 (CSF Manufacturing Profile) |
| CSWP | Cybersecurity White Papers, waaronder de raamwerken zelf | NIST CSF 2.0 |
Elke publicatie doorloopt doorgaans een of meer publieke concepten (Initial Public Draft, Final Public Draft) voordat de definitieve versie verschijnt. Een revisie krijgt het achtervoegsel “Rev.” of “r”, zoals SP 800-82r3.
📘 Welke NIST-publicaties zijn belangrijk voor IT- en OT-security?
| Publicatie | Huidige versie | Toepassing |
|---|---|---|
| NIST CSF | 2.0, februari 2024 | Overkoepelend raamwerk met zes functies voor cyberrisicobeheer |
| NIST SP 800-82 | Rev. 3, september 2023 | Gids voor OT-security: ICS, SCADA, DCS, PLC’s |
| NIST SP 800-53 | Rev. 5, september 2020 (release 5.2.0, augustus 2025) | Catalogus van beveiligings- en privacymaatregelen |
| NIST SP 800-37 | Rev. 2, december 2018 | Risk Management Framework in zeven stappen |
| NIST SP 800-30 | Rev. 1, september 2012 | Methode voor risicobeoordeling |
| SP 800-61 | Rev. 3, april 2025 | Incident Response als onderdeel van risicobeheer |
| SP 800-40 | Rev. 4, april 2022 | Planning van patchmanagement als preventief onderhoud |
| NIST SP 800-207 | augustus 2020 | Architectuur voor Zero Trust |
| SP 800-171 | Rev. 3, mei 2024 | Bescherming van Controlled Unclassified Information (CUI) bij toeleveranciers |
| SP 800-218 | SSDF 1.1, februari 2022 | Raamwerk voor veilige softwareontwikkeling |
SP 800-61 Rev. 3 is geen losse handleiding meer, maar een Community Profile van CSF 2.0: incidentrespons loopt door alle zes functies heen. Release 5.2.0 van SP 800-53 voegde maatregelen toe voor het veilig uitrollen en controleren van software-updates.
🔐 Hoe zit het NIST Cybersecurity Framework in elkaar?
Het Cybersecurity Framework is de bekendste NIST-publicatie. Versie 1.0 verscheen in februari 2014 voor de Amerikaanse vitale infrastructuur; versie 2.0 van 26 februari 2024 richt zich op alle organisaties en telt zes functies:
- Govern - strategie, rollen, beleid en toezicht, inclusief ketenrisico’s
- Identify - ken uw assets, risico’s en afhankelijkheden
- Protect - neem beschermende maatregelen, zoals toegangsbeheer en hardening
- Detect - herken aanvallen en afwijkend gedrag, bijvoorbeeld vanuit een SOC
- Respond - handel incidenten gestructureerd af
- Recover - herstel systemen en leer van het incident
Met een Current Profile en een Target Profile maakt u zichtbaar waar gaten zitten. Het CSF beschrijft wat u moet bereiken; normen als IEC 62443 en ISO 27001 vullen het hoe in.
🏭 Hoe gebruikt u NIST in OT-omgevingen?
Voor operationele technologie is NIST SP 800-82 het startpunt. Rev. 3 verbreedde de scope van ICS naar alle OT, inclusief gebouwautomatisering, en behandelt onder meer:
- Architectuur - het Purdue Model als referentie, netwerksegmentatie, een firewall tussen IT en OT en defense in depth
- Detectie - passieve monitoring en IDS die het proces niet verstoren
- Risico - dreigingsanalyse, impact op veiligheid en beschikbaarheid, en een OT-overlay op SP 800-53 met baselines voor low, moderate en high impact
- Componenten - beperkingen van PLC’s, RTU’s en SCADA-servers, zoals lange levensduur en beperkte patchmogelijkheden
Op 21 september 2026 verscheen het eerste concept van Rev. 4, opgebouwd rond CSF 2.0, met commentaar mogelijk tot 30 november 2026. De NCCoE-gids SP 1800-10 (maart 2022) laat met commerciële producten zien hoe u de integriteit van ICS-omgevingen in de maakindustrie bewaakt.
Ook de NVD raakt OT-teams direct. Door de sterke groei van CVE-meldingen (263% meer tussen 2020 en 2025) verrijkt NIST sinds 15 april 2026 vooral CVE’s uit de catalogus van Known Exploited Vulnerabilities van CISA, software van de federale overheid en kritieke software. Veel OT-kwetsbaarheden krijgen dus geen NVD-verrijking meer en dragen vaak alleen de score van de CVE Numbering Authority, meestal de leverancier zelf; combineer de NVD daarom met leveranciersadviezen en CISA-adviezen in uw vulnerability management.
🔄 Hoe verhoudt NIST zich tot ISO 27001, IEC 62443 en NIS2?
| Kenmerk | NIST (CSF, SP 800) | ISO 27001 | IEC 62443 | NIS2 |
|---|---|---|---|---|
| Soort | Vrijwillige richtlijnen | Managementsysteemnorm | Normenreeks voor industriële automatisering | EU-richtlijn |
| Certificeerbaar | Nee | Ja, de organisatie | Ja, processen, systemen en componenten | Nee, wettelijke toetsing |
| Kosten | Gratis | Betaald | Betaald | Openbaar |
| Focus | Uitkomsten en maatregelen, IT en OT | Informatiebeveiligingsbeheer | Zones, conduits, security levels | Zorgplicht, meldplicht, bestuursverantwoordelijkheid |
NIS2 verwijst niet naar NIST. Wel koppelt de technische richtlijn van ENISA bij Uitvoeringsverordening (EU) 2024/2690 de eisen aan ISO 27001:2022 en NIST CSF 2.0, en het Belgische CyberFundamentals-raamwerk volgt de CSF-structuur. NIST is daarmee een bruikbare kapstok, geen vervanging van een certificeerbare norm.
🇳🇱 Hoe zet u NIST in onder de Cyberbeveiligingswet?
De Cyberbeveiligingswet, van kracht sinds 15 augustus 2026, vraagt passende maatregelen op basis van risico maar schrijft geen raamwerk voor. Een werkbare aanpak voor een industriële organisatie:
- Bepaal de scope - welke sites, productielijnen en OT-netwerken vallen onder de zorgplicht?
- Maak een Current Profile - beoordeel de CSF-subcategorieën samen met IT, OT en management.
- Gebruik SP 800-82 voor de OT-invulling - en IEC 62443 voor eisen aan leveranciers en componenten.
- Koppel aan ISO 27001 - als u certificering of een managementsysteem nodig hebt.
- Richt incidentafhandeling in volgens SP 800-61 Rev. 3 - en sluit aan op de wettelijke meldplicht.
- Meet en verbeter - herhaal het profiel jaarlijks en rapporteer aan het bestuur.
Zo werkt u aantoonbaar risicogestuurd en helpt NIST u om compliance en architectuurkeuzes te onderbouwen, ook bij een audit volgens ISO-normen.
❓ Veelgestelde vragen
Is NIST verplicht voor Nederlandse bedrijven?
Nee, NIST-publicaties zijn voor Nederlandse en Europese bedrijven vrijwillig. NIST is een niet-regelgevend Amerikaans instituut; alleen Amerikaanse federale instanties en hun contractanten zijn aan bepaalde NIST-documenten gebonden. Nederlandse bedrijven gebruiken NIST wel om aan te tonen dat ze passende maatregelen nemen onder NIS2 en de Cyberbeveiligingswet.
Kunt u NIST-gecertificeerd worden?
Een organisatie kan niet NIST-gecertificeerd worden, omdat het NIST CSF en de SP 800-serie geen certificeerbare normen zijn. Wel kunnen auditors een assessment tegen het NIST CSF uitvoeren. Voor formele certificering gebruikt u ISO 27001 voor de organisatie of IEC 62443 voor processen en componenten; cryptografische modules kunnen wel tegen FIPS 140-3 worden gevalideerd.
Wat is het verschil tussen NIST CSF en NIST SP 800-53?
Het NIST CSF is een overkoepelend raamwerk dat in zes functies beschrijft welke beveiligingsuitkomsten een organisatie moet bereiken. NIST SP 800-53 is een gedetailleerde catalogus van beveiligings- en privacymaatregelen waarmee u die uitkomsten technisch en organisatorisch invult. Het CSF verwijst via online mappings naar SP 800-53.
Welke NIST-publicatie is het belangrijkst voor OT?
Voor OT is NIST SP 800-82 de belangrijkste NIST-publicatie, omdat die specifiek beschrijft hoe u industriële besturingssystemen beveiligt zonder veiligheid en beschikbaarheid te schaden. Rev. 3 uit september 2023 bevat ook een OT-overlay op NIST SP 800-53. Combineer de gids met het NIST CSF voor de structuur en met IEC 62443 voor toetsbare eisen.
Zijn NIST-publicaties gratis?
Ja, alle NIST-publicaties zijn gratis te downloaden en vrij te gebruiken. Dat onderscheidt NIST van ISO- en IEC-normen, die u moet aanschaffen. Daardoor zijn NIST-documenten een laagdrempelig startpunt voor kleinere industriële bedrijven en OT-teams.
Wat is de NVD van NIST?
De National Vulnerability Database (NVD) is de door NIST beheerde database die CVE-kwetsbaarheden verrijkt met CVSS-scores en lijsten van getroffen producten. Sinds 15 april 2026 verrijkt NIST vooral actief misbruikte kwetsbaarheden, federale software en kritieke software. Voor OT-kwetsbaarheden zijn leveranciers- en CISA-adviezen daarom een noodzakelijke aanvulling op de NVD.
📌 Samengevat
NIST is het niet-regelgevende Amerikaanse instituut voor meetstandaarden en technologie, waarvan de gratis cybersecuritypublicaties, zoals het NIST CSF 2.0, SP 800-82 en SP 800-53, wereldwijd als referentie dienen voor IT- en OT-beveiliging. Voor Nederlandse organisaties is NIST vrijwillig, maar in combinatie met IEC 62443, ISO 27001 en de Cyberbeveiligingswet helpt het om cybersecurity in fabrieken en vitale infrastructuur gestructureerd en aantoonbaar in te richten.