Wat is het NIST Risk Management Framework (RMF)?
Het NIST Risk Management Framework (RMF) is een gestructureerd proces van zeven stappen waarmee een organisatie de beveiligings- en privacyrisico’s van een informatiesysteem gedurende de hele levenscyclus beoordeelt, beheerst en formeel accepteert. Het RMF is ontwikkeld door het Amerikaanse National Institute of Standards and Technology (NIST) en beschreven in NIST SP 800-37. Het verbindt risicomanagement op bestuursniveau met concrete maatregelen per systeem, van kantoorapplicaties tot OT-omgevingen met SCADA, PLC’s en engineering stations.
Het RMF beantwoordt drie vragen: hoe kritisch is dit systeem, welke maatregelen zijn daarom nodig, en wie neemt de verantwoordelijkheid om het resterende risico te accepteren?
🎯 Waarvoor is het NIST RMF bedoeld?
Het RMF is ontstaan als verplicht proces voor Amerikaanse federale systemen. De wet FISMA verplicht federale organisaties tot informatiebeveiliging, en OMB Circular A-130 schrijft voor dat zij daarvoor het RMF gebruiken. Het Amerikaanse ministerie van Defensie verving in maart 2014 met DoDI 8510.01 zijn eigen accreditatieproces DIACAP door het RMF.
Het doel van het RMF is om:
- Risico’s herhaalbaar en transparant te beoordelen, met dezelfde stappen voor elk systeem
- Verantwoordelijkheden expliciet te maken: wie is eigenaar, wie beoordeelt, wie accepteert het risico
- Beslissingen te onderbouwen met bewijs, vastgelegd in een autorisatiepakket
- Beveiliging en privacy vanaf de ontwerpfase mee te nemen in plaats van achteraf
- Continue bewaking mogelijk te maken, zodat een systeem niet alleen bij oplevering veilig is
Buiten de Amerikaanse overheid is het RMF niet verplicht, maar veel leveranciers, defensiebedrijven en vitale organisaties gebruiken het als bewezen werkwijze voor compliance en risicobeheer.
🔁 Wat zijn de 7 stappen van het NIST RMF?
De huidige versie, NIST SP 800-37 Revision 2 van december 2018, telt zeven stappen met samen 47 taken. De stap Prepare is in Rev. 2 toegevoegd; de eerdere versie uit 2010 had zes stappen.
| Stap | Kern | Belangrijkste output | Ondersteunende publicatie |
|---|---|---|---|
| 1. Prepare | Rollen, risicostrategie en risicotolerantie vastleggen; assets en systeemgrens bepalen | Risicostrategie, systeemgrens, risicobeoordeling | NIST SP 800-30, SP 800-39 |
| 2. Categorize | Impact bepalen op vertrouwelijkheid, integriteit en beschikbaarheid | Categorie low, moderate of high | FIPS 199, SP 800-60 |
| 3. Select | Baseline van controls kiezen en afstemmen (tailoring) | Security- en privacyplan | NIST SP 800-53, SP 800-53B |
| 4. Implement | Maatregelen invoeren en de werkelijke uitvoering documenteren | Bijgewerkt plan (as implemented) | NIST SP 800-53 |
| 5. Assess | Toetsen of controls aanwezig zijn en werken zoals bedoeld | Assessmentrapport, plan van aanpak | SP 800-53A |
| 6. Authorize | Een verantwoordelijke bestuurder accepteert het restrisico, of niet | Autorisatiebesluit (ATO of weigering) | NIST SP 800-37 |
| 7. Monitor | Wijzigingen, dreigingen en controls doorlopend volgen | Statusrapportages, doorlopende autorisatie | SP 800-137 |
De stap Prepare werkt op twee niveaus: zeven taken op organisatieniveau (P-1 tot P-7) en elf op systeemniveau (P-8 tot P-18). Monitor sluit de cirkel: wijzigingen of nieuwe dreigingen kunnen leiden tot een nieuwe categorisering, extra maatregelen of een nieuw autorisatiebesluit. Dat lijkt op de PDCA-cyclus, maar het RMF legt meer nadruk op formele verantwoording en bewijs.
🧠 Hoe werken categoriseren en autoriseren?
Twee stappen maken het RMF anders dan veel andere kaders.
Categoriseren gebeurt per informatietype en per beveiligingsdoel uit de CIA-triade. Elke combinatie krijgt een impactniveau low, moderate of high volgens FIPS 199. Het systeem krijgt vervolgens het hoogste niveau dat voorkomt: het high-water mark-principe. Een systeem met één informatietype met hoge impact op beschikbaarheid wordt dus als geheel high behandeld. Die categorie bepaalt welke baseline uit NIST SP 800-53B het startpunt is.
Autoriseren is een bewuste managementbeslissing. Een authorizing official, een bestuurder met budget en verantwoordelijkheid voor de missie, beoordeelt het autorisatiepakket: het security- en privacyplan, het assessmentrapport en het plan of action and milestones (POA&M) met openstaande tekortkomingen. De uitkomst is een authorization to operate (ATO), een authorization to use voor gedeelde of externe diensten, een common control authorization voor overerfbare maatregelen, of een weigering. Het risico wordt zo expliciet door iemand geaccepteerd in plaats van stilzwijgend gedragen.
📚 Hoe verhoudt het RMF zich tot andere NIST-publicaties en normen?
| Publicatie of norm | Rol ten opzichte van het RMF |
|---|---|
| NIST SP 800-37 | Beschrijft het RMF zelf: stappen, taken, rollen, inputs en outputs |
| NIST SP 800-30 | Methode voor risicobeoordeling, gebruikt in Prepare en Monitor |
| NIST SP 800-53 | Catalogus van controls (Rev. 5, 20 families), gebruikt in Select en Implement |
| NIST SP 800-82 | OT-gids met een OT-overlay op SP 800-53 voor low, moderate en high |
| NIST CSF | Strategisch kader; SP 800-37 Rev. 2 gebruikt CSF-profielen in de stap Prepare |
| ISO 27001 / ISO 27005 | Managementsysteem en risicomethode; doelen vergelijkbaar, aanpak anders |
| IEC 62443 | OT-normenreeks met zones, conduits en security levels |
Het belangrijkste verschil met ISO 27001 is de focus. ISO 27001 certificeert een managementsysteem voor de hele organisatie; het RMF autoriseert per systeem. Het NIST CSF beschrijft wat een organisatie moet bereiken, het RMF hoe een individueel systeem wordt beoordeeld en vrijgegeven.
🏭 Hoe past u het RMF toe in OT-omgevingen?
NIST SP 800-37 Rev. 2 noemt industriële besturingssystemen en cyber-fysieke systemen uitdrukkelijk als toepassingsgebied. In OT moet u de stappen wel anders invullen dan in IT:
- Beschikbaarheid en veiligheid eerst - bij het categoriseren weegt de impact op beschikbaarheid en integriteit van het proces vaak zwaarder dan vertrouwelijkheid
- Systeemgrens per installatie - een productielijn met PLC’s, HMI, historian en engineering station vormt vaak één autorisatiegrens
- OT-overlay gebruiken - NIST SP 800-82 past de baselines van SP 800-53 aan, bijvoorbeeld waar automatische vergrendeling na mislukte inlogpogingen een operator zou blokkeren
- Testen zonder het proces te storen - assessments gebeuren bij voorkeur in een testomgeving, tijdens een stop of met passieve methoden in plaats van actieve scans of een pentest op een draaiende installatie
- Compenserende maatregelen - als patchen niet kan, beschermen netwerksegmentatie, jump servers met MFA en RBAC het systeem
- Monitoring passend bij OT - SIEM en anomaliedetectie leveren het bewijs voor stap 7
| OT-component | Voorbeeld van een RMF-invulling |
|---|---|
| SCADA-server waterzuivering | Categorie high op beschikbaarheid, dus de high-baseline met OT-overlay |
| Historian in de DMZ | Overerfbare controls voor logging en back-up, getoetst in stap 5 |
| Externe toegang tot PLC’s | Controls voor toegang op afstand met MFA, jump server en sessie-opname |
| Patchbeleid | Stap 4 voor de werkwijze, stap 7 voor bewaking van achterstanden via patchmanagement |
🧭 Hoe gebruikt u het RMF in Nederland?
Voor Nederlandse organisaties is het RMF geen wettelijke eis, maar wel een bruikbaar werkmodel. Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2. Die wet vraagt passende maatregelen op basis van risico, maar schrijft geen methode voor. Een praktische aanpak:
- Leg de risicobereidheid vast op bestuursniveau en wijs per systeem een eigenaar en een autoriserende bestuurder aan.
- Inventariseer assets met een actuele asset inventory en bepaal per systeem de grens.
- Categoriseer met FIPS 199 of de impactdefinities uit IEC 62443-3-2 en leg de uitkomst vast in een risicoregister.
- Kies maatregelen uit NIST SP 800-53 met de OT-overlay, of vertaal ze naar IEC 62443-eisen als leveranciers daarmee werken.
- Toets en autoriseer formeel, met een plan van aanpak voor openstaande punten.
- Monitor en herbeoordeel bij wijzigingen, incidenten en ten minste jaarlijks.
Wie al een ISO 27001-managementsysteem heeft, gebruikt het RMF vooral als methode op systeemniveau binnen dat managementsysteem.
❓ Veelgestelde vragen
Is het NIST RMF verplicht in Europa?
Het NIST RMF is alleen verplicht voor Amerikaanse federale organisaties en hun systemen, op grond van FISMA en OMB Circular A-130. In Europa is het vrijwillig. Organisaties gebruiken het wel om de risicogebaseerde zorgplicht uit NIS2 en de Cyberbeveiligingswet concreet in te vullen.
Wat is het verschil tussen het NIST RMF en het NIST CSF?
Het NIST CSF is een strategisch kader dat beschrijft welke cybersecurityresultaten een organisatie moet bereiken. Het NIST RMF is een gedetailleerd proces om één systeem te categoriseren, maatregelen te kiezen, te toetsen en formeel te autoriseren. De twee vullen elkaar aan: CSF-profielen kunnen in de RMF-stap Prepare worden gebruikt.
Wat is een ATO in het NIST RMF?
Een ATO (authorization to operate) is het formele besluit van een authorizing official dat het restrisico van een systeem aanvaardbaar is en het systeem in gebruik mag. Het besluit is gebaseerd op het autorisatiepakket met security- en privacyplan, assessmentrapport en plan of action and milestones. Zonder ATO mag een Amerikaans federaal systeem niet in productie.
Welke versie van het NIST RMF is actueel?
De actuele versie van het NIST RMF staat in NIST SP 800-37 Revision 2, gepubliceerd in december 2018. Die versie voegde de stap Prepare toe en integreerde privacy en supply chain-risicobeheer. Voor de maatregelen verwijst het RMF naar NIST SP 800-53 Rev. 5, waarvan release 5.2.0 in augustus 2025 verscheen.
Is het NIST RMF geschikt voor OT en industriële systemen?
Het NIST RMF is uitdrukkelijk ook bedoeld voor industriële besturingssystemen en cyber-fysieke systemen. In OT combineert u het met NIST SP 800-82, dat een OT-overlay op de controls van SP 800-53 bevat. Assessments en monitoring moeten dan wel zo worden ingericht dat ze het fysieke proces niet verstoren.
Hoeveel taken heeft het NIST RMF?
Het NIST RMF in SP 800-37 Rev. 2 telt 47 taken, verdeeld over zeven stappen. De stap Prepare heeft er met 18 de meeste, Implement met 2 de minste. Elke taak beschrijft inputs, outputs, verantwoordelijke rollen en de fase in de systeemlevenscyclus.
📌 Samengevat
Het NIST Risk Management Framework is een proces van zeven stappen waarmee u per systeem risico’s categoriseert, passende maatregelen kiest en toetst, en het restrisico formeel laat accepteren door een verantwoordelijke bestuurder. Met NIST SP 800-37 als proces, NIST SP 800-53 als maatregelencatalogus en NIST SP 800-82 voor OT is het RMF ook buiten de Amerikaanse overheid een bewezen werkmodel voor risicobeheer in IT- en OT-omgevingen.