NIST CSF

Wat is NIST CSF?

Het NIST CSF (Cybersecurity Framework) is een vrijwillig raamwerk van het Amerikaanse National Institute of Standards and Technology dat organisaties een gemeenschappelijke taal en structuur geeft om cyberrisico’s te begrijpen, te prioriteren en te beheersen. De huidige versie, CSF 2.0, verscheen op 26 februari 2024 en ordent alle beveiligingsuitkomsten in zes functies: Govern, Identify, Protect, Detect, Respond en Recover. Het framework schrijft geen specifieke technische maatregelen voor, maar beschrijft wat u moet bereiken; normen als IEC 62443 en ISO 27001 vullen het hoe in. Daardoor is het goed bruikbaar als kapstok voor een securityprogramma in zowel IT als OT, zoals fabrieken, energiecentrales en waterbedrijven.

🕰️ Hoe is het NIST CSF ontstaan?

Het framework komt voort uit Executive Order 13636 Improving Critical Infrastructure Cybersecurity van 12 februari 2013. Die opdracht liet NIST samen met bedrijfsleven en overheid een vrijwillig raamwerk ontwikkelen voor de vitale infrastructuur. De Cybersecurity Enhancement Act van 2014 legde die rol van NIST daarna wettelijk vast.

Versies 1.0 en 1.1 zijn in dertien talen vertaald. Met 2.0 verviel de nadruk op vitale infrastructuur: de titel is nu simpelweg The NIST Cybersecurity Framework (CSF) 2.0, gericht op organisaties van elke omvang en sector.

🧠 Uit welke onderdelen bestaat het NIST CSF?

Het CSF 2.0 bestaat uit drie bouwstenen:

• CSF Core - de hiërarchie van functies, categorieën en subcategorieën. Elke subcategorie is een gewenste uitkomst, bijvoorbeeld “inventarissen van hardware worden bijgehouden” (ID.AM-01).
• Profielen - CSF 2.0 noemt ze Organizational Profiles: een Current Profile beschrijft welke uitkomsten u nu haalt, een Target Profile welke u wilt halen. Het verschil is uw actieplan. Community Profiles zijn gedeelde doelprofielen voor een sector of dreiging, zoals het profiel voor de maakindustrie.
• Tiers - vier niveaus (Partial, Risk Informed, Repeatable, Adaptive) die aangeven hoe rigoureus uw governance en Risicomanagement zijn. Tiers zijn geen strikt volwassenheidsmodel: niet elke organisatie hoeft naar Tier 4.

Rond de Core publiceert NIST online hulpmiddelen: Implementation Examples per subcategorie, Quick Start Guides voor onder meer kleine bedrijven, enterprise-risicomanagers en organisaties die hun toeleveringsketen willen beveiligen, en een catalogus van Informative References in de Cybersecurity and Privacy Reference Tool (CPRT). Die catalogus koppelt het CSF aan meer dan vijftig andere documenten, waaronder NIST SP 800-53 Rev. 5. In versie 1.1 stonden verwijzingen naar IEC 62443, ISO 27001 en COBIT nog in het document zelf.

🔧 Wat zijn de zes functies van NIST CSF 2.0?

Govern staat in het midden van het CSF-wiel: het bepaalt hoe de andere vijf functies worden ingericht. De zes Govern-categorieën zijn organisatiecontext, risicomanagementstrategie, rollen en verantwoordelijkheden, beleid, toezicht en cybersecurity-supply-chainrisicomanagement. Dat laatste was in 1.1 nog een categorie onder Identify. In Protect kreeg de categorie voor identiteitsbeheer, authenticatie en toegangsbeheer de nieuwe code PR.AA (in 1.1 PR.AC), en zijn Platform Security (PR.PS) en Technology Infrastructure Resilience (PR.IR) nieuw; zij nemen onder meer de oude categorieën PR.IP, PR.MA en PR.PT over. Identify kreeg met ID.IM een eigen categorie voor verbetering op basis van oefeningen, audits en incidenten.

🏭 Hoe past u NIST CSF toe in industriële omgevingen?

Het CSF is technologieneutraal, dus de vertaalslag naar OT moet u zelf maken. In de praktijk betekent dat per functie:

• Govern - leg vast wie eigenaar is van OT-risico’s en hoe leveranciersrisico wordt beoordeeld; in OT zijn systeemintegratoren en machinebouwers vaak de grootste externe partij.
• Identify - een volledige inventaris van OT-assets via Asset Discovery en passieve monitoring, zodat actieve scans de besturing niet verstoren. Risico’s worden gewogen op veiligheid, milieu en productie, niet alleen op data.
• Protect - Defense in Depth en Netwerksegmentatie volgens het Zone and Conduits-model als basis, aangevuld met beveiligde toegang op afstand en een realistische patchcyclus voor PLC’s en HMI’s.
• Detect - SIEM en Anomaliedetectie die OT-protocollen zoals Modbus, OPC UA en GOOSE begrijpen, getoetst aan technieken uit MITRE ATT&CK for ICS.
• Respond - een Incident Response Plan dat rekening houdt met veiligheid en continuïteit van productie: het isoleren van een besturing kan zelf een proces stilleggen.
• Recover - onveranderbare back-ups van PLC-programma’s en HMI-configuraties, en geoefende herstelprocedures met haalbare RTO- en RPO-waarden.

Voor de OT-specifieke invulling verwijst NIST naar NIST SP 800-82. Rev. 3 (september 2023) volgt nog de vijf functies van CSF 1.1; het concept voor Rev. 4 uit september 2026 is opgebouwd rond CSF 2.0. Daarnaast publiceerde NIST in september 2025 een concept van het CSF 2.0 Manufacturing Profile (NIST IR 8183 Rev. 2). Dat profiel prioriteert subcategorieën op basis van vijf missiedoelen: menselijke veiligheid, milieuveiligheid, productiedoelen, productkwaliteit en gevoelige informatie.

🧭 Hoe voert u een NIST CSF-assessment uit?

1. Bepaal de scope - één site, één productielijn of de hele organisatie, en welke OT-koppelingen erbij horen.
2. Stel het Current Profile op - beoordeel per subcategorie of de uitkomst is bereikt, bijvoorbeeld op een schaal van 0 tot 4 of met niet / deels / grotendeels / volledig.
3. Kies een Target Profile - gebaseerd op risico, wetgeving en sectorprofielen. Niet elke subcategorie verdient hetzelfde niveau.
4. Analyseer het verschil - zet de gaten in een risicoregister en prioriteer op impact op veiligheid en beschikbaarheid.
5. Maak een roadmap - koppel elke actie aan een eigenaar, budget en concrete maatregel uit IEC 62443 of ISO 27001.
6. Herhaal periodiek - meestal jaarlijks of na grote wijzigingen en incidenten, zodat ID.IM echt werkt.

Een CSF-score is een momentopname en geen certificaat. Wilt u volwassenheid meten in de tijd, combineer het profiel dan met een volwassenheidsmodel.

🔍 Wat is het verschil tussen NIST CSF, IEC 62443 en ISO 27001?

De drie sluiten elkaar niet uit. Veel industriële bedrijven gebruiken het CSF om met het bestuur te praten, ISO 27001 als managementsysteem en IEC 62443 voor technische eisen aan installaties en leveranciers.

🔐 Wat betekent NIST CSF voor NIS2 en de Cyberbeveiligingswet?

NIS2 en de Nederlandse Cyberbeveiligingswet, van kracht sinds 15 augustus 2026, schrijven geen specifiek raamwerk voor. Ze vragen passende maatregelen op basis van risico, met bestuursverantwoordelijkheid, leveranciersbeheer en meldplicht. Het CSF sluit daar goed op aan: Govern dekt de bestuurlijke kant, GV.SC de toeleveringsketen en Respond de incidentafhandeling.

• ENISA-mapping - de technische implementatierichtlijn van ENISA bij Uitvoeringsverordening (EU) 2024/2690 bevat een tabel die de eisen koppelt aan ISO 27001:2022 en NIST CSF 2.0.
• België - het CyberFundamentals-raamwerk (CyFun) van het Centre for Cybersecurity Belgium volgt de CSF-structuur en is daar een erkende route om NIS2-compliance aan te tonen. Ierland is in 2025 mede-eigenaar van CyFun geworden en beveelt de op CSF 2.0 gebaseerde versie aan.
• Nederland - het CSF is geen formeel toetsingskader, maar wel een bruikbare gap-analyse naast ISO 27001 of de BIO bij overheden.

Voor veel organisaties is het NIST CSF de kapstok waaraan het OT-securityprogramma wordt opgehangen, juist omdat het eenvoudig uit te leggen is aan bestuur en management.

❓ Veelgestelde vragen

Is NIST CSF verplicht?

Het NIST CSF is een vrijwillig raamwerk; geen Europese of Nederlandse wet verplicht het gebruik ervan. Het helpt wel om aan te tonen dat u passende maatregelen neemt onder NIS2 en de Cyberbeveiligingswet. Alleen voor Amerikaanse federale instanties is het gebruik sinds Executive Order 13800 uit 2017 verplicht.

Kunt u zich laten certificeren voor NIST CSF?

Voor het NIST CSF bestaat geen officiële certificering. Auditors kunnen wel een assessment of attestatie tegen het CSF uitvoeren, maar dat is geen certificaat zoals bij ISO 27001. Wie een certificaat nodig heeft, kiest meestal ISO 27001 of voor producten IEC 62443-4-1 en 4-2.

Wat is er nieuw in NIST CSF 2.0?

NIST CSF 2.0 voegt de zesde functie Govern toe, richt zich op alle organisaties in plaats van alleen vitale infrastructuur en besteedt meer aandacht aan supply chain risk management. Het aantal categorieën daalde van 23 naar 22 en het aantal subcategorieën van 108 naar 106. Daarnaast kwamen online Implementation Examples, Quick Start Guides en een referentietool.

Zijn de NIST CSF Tiers een volwassenheidsmodel?

De NIST CSF Tiers (Partial, Risk Informed, Repeatable, Adaptive) beschrijven hoe rigoureus een organisatie cyberrisico’s bestuurt en beheert. NIST presenteert ze niet als volwassenheidsmodel en adviseert niet dat iedereen Tier 4 nastreeft. Het passende niveau hangt af van risico, middelen en wettelijke eisen.

Is NIST CSF geschikt voor OT?

Het NIST CSF is geschikt voor OT omdat het technologieneutraal is en uitkomsten beschrijft in plaats van IT-specifieke maatregelen. Voor de OT-invulling gebruikt u NIST SP 800-82, het Manufacturing Profile en IEC 62443. Let op dat beschikbaarheid en veiligheid in OT zwaarder wegen dan vertrouwelijkheid.

Hoe lang duurt een NIST CSF-assessment?

Een eerste NIST CSF-assessment voor één site kost in de praktijk enkele dagen tot enkele weken, afhankelijk van scope en beschikbare documentatie. Het meeste werk zit in het verzamelen van bewijs en het interviewen van IT, OT en management. Herhaalassessments gaan sneller omdat het Current Profile dan al bestaat.

📌 Samengevat

Het NIST CSF 2.0 is een gratis, vrijwillig raamwerk dat cybersecurity ordent in zes functies (Govern, Identify, Protect, Detect, Respond, Recover) en zo een gemeenschappelijke taal biedt voor IT, OT en bestuur. Met Current en Target Profiles maakt u gaten zichtbaar, met IEC 62443, ISO 27001 en NIST SP 800-82 vult u de maatregelen in, en onder NIS2 en de Cyberbeveiligingswet helpt het CSF om aantoonbaar risicogestuurd te werken.