Wat is NIST SP 800-30?
NIST SP 800-30 is de richtlijn van het Amerikaanse National Institute of Standards and Technology (NIST) die beschrijft hoe u een risicobeoordeling voor informatiebeveiliging voorbereidt, uitvoert, communiceert en actueel houdt. De huidige versie is Revision 1, Guide for Conducting Risk Assessments, gepubliceerd in september 2012. De methode bepaalt risico als combinatie van de waarschijnlijkheid dat een dreiging zich voordoet en de impact die dat heeft. Ze is geschreven voor federale informatiesystemen, maar wordt wereldwijd gebruikt in zowel IT- als OT-omgevingen, inclusief industriële netwerken.
🧠 Wat is NIST SP 800-30 precies?
SP 800-30 is een Special Publication: een richtlijn, geen certificeerbare norm. De eerste versie verscheen in juli 2002 als Risk Management Guide for Information Technology Systems en behandelde risicobeoordeling, risicobeperking en evaluatie in één document. Revision 1, opgesteld door de Joint Task Force Transformation Initiative van NIST en de Amerikaanse defensie- en inlichtingendiensten, verving die versie in september 2012 en richt zich uitsluitend op het beoordelen van risico.
De andere onderdelen van risicomanagement staan in zusterpublicaties:
- SP 800-39 - risicomanagement bestaat uit vier componenten: risico framen, beoordelen, beantwoorden en bewaken; SP 800-30 werkt alleen het beoordelen uit
- NIST SP 800-37 - het NIST Risk Management Framework met zeven stappen, waarin SP 800-30 de risicoanalyse levert
- NIST SP 800-53 - de catalogus met beveiligingsmaatregelen waaruit u kiest nadat de risico’s bekend zijn
Een nieuwe revisie is tot nu toe niet aangekondigd: Rev. 1 uit 2012 is nog altijd de geldende versie.
📚 Hoe is NIST SP 800-30 opgebouwd?
Het proces bestaat uit vier stappen met in totaal vijftien taken. Bijlage L van de publicatie vat ze samen.
| Stap | Taken | Wat u doet |
|---|---|---|
| 1. Voorbereiden | 1-1 t/m 1-5 | Doel, scope, aannames en beperkingen, informatiebronnen en het risicomodel met analysemethode vastleggen |
| 2. Uitvoeren | 2-1 t/m 2-6 | Dreigingsbronnen, dreigingsgebeurtenissen, kwetsbaarheden, waarschijnlijkheid, impact en risico bepalen |
| 3. Communiceren | 3-1 en 3-2 | Resultaten delen met beslissers en relevante risico-informatie verspreiden |
| 4. Bijhouden | 4-1 en 4-2 | Risicofactoren blijven monitoren en de beoordeling bijwerken |
De risicobeoordeling kan op drie niveaus (tiers) plaatsvinden: de organisatie (tier 1), het bedrijfs- of missieproces (tier 2) en het informatiesysteem (tier 3). Voor een OT-installatie werkt u meestal op tier 3, maar de uitkomst voedt de risicoafweging op de hogere niveaus.
De bijlagen D tot en met I zijn het praktische hart van de publicatie: voorbeeldtabellen voor dreigingsbronnen (D), dreigingsgebeurtenissen (E), kwetsbaarheden en predisponerende omstandigheden (F), waarschijnlijkheid (G), impact (H) en risicobepaling (I). Bijlage K geeft een sjabloon voor het risicorapport.
🔍 Welke risicofactoren gebruikt het model?
SP 800-30 noemt vijf typische risicofactoren: dreiging, kwetsbaarheid, impact, waarschijnlijkheid en predisponerende omstandigheid. Een predisponerende omstandigheid is een kenmerk van de organisatie of het systeem dat de kans op schade vergroot, zoals een vlak netwerk zonder segmentatie of verouderde besturingssystemen die geen patches meer krijgen.
Dreigingsbronnen worden in vier typen ingedeeld:
- Adversarial - aanvallers zoals criminelen, concurrenten, leveranciers of statelijke actoren, maar ook een kwaadwillende insider; beoordeeld op capaciteit, intentie en doelgerichtheid
- Accidental - fouten van gebruikers of beheerders tijdens hun gewone werk
- Structural - falen van apparatuur, software of omgevingsvoorzieningen door veroudering of overbelasting
- Environmental - natuurrampen en uitval van kritieke infrastructuur buiten uw controle, zoals stroom of telecom
De publicatie biedt drie beoordelingsaanpakken (kwantitatief, kwalitatief en semi-kwantitatief) en drie analyse-insteken: dreigingsgericht, asset/impact-gericht of kwetsbaarheidsgericht. Een dreigingsgerichte analyse past goed bij threat modeling en MITRE ATT&CK for ICS; een impactgerichte analyse sluit aan bij een Business Impact Analysis.
📊 Hoe bepaalt SP 800-30 het risiconiveau?
Een veelgehoorde vereenvoudiging is risico = kans × impact, maar SP 800-30 schrijft geen vermenigvuldiging voor. Risico is een functie van waarschijnlijkheid en impact, die u met opzoektabellen bepaalt. De waarschijnlijkheid is zelf weer een combinatie van twee inschattingen: hoe waarschijnlijk is het dat een dreiging zich voordoet, en hoe waarschijnlijk is het dat dit dan ook schade veroorzaakt.
De beoordelingsschalen in de bijlagen gebruiken steeds dezelfde vijf niveaus, met een kwalitatieve en twee semi-kwantitatieve varianten:
| Kwalitatief | Semi-kwantitatief (0–100) | Schaal 0–10 | Voorbeeld frequentie niet-kwaadwillige gebeurtenis |
|---|---|---|---|
| Very High | 96–100 | 10 | Meer dan 100 keer per jaar |
| High | 80–95 | 8 | 10 tot 100 keer per jaar |
| Moderate | 21–79 | 5 | 1 tot 10 keer per jaar |
| Low | 5–20 | 2 | Minder dan eens per jaar, vaker dan eens per 10 jaar |
| Very Low | 0–4 | 0 | Minder dan eens per 10 jaar |
De risicomatrix in tabel I-2 combineert beide assen. Een hoge waarschijnlijkheid met een hoge impact geeft High; een gemiddelde waarschijnlijkheid met een zeer hoge impact geeft eveneens High; een lage waarschijnlijkheid met een hoge impact levert Low op. Die laatste uitkomst is in OT een bekend aandachtspunt: zeldzame gebeurtenissen met fysieke gevolgen kunnen zo te laag scoren.
🏭 Hoe past u NIST SP 800-30 toe in OT?
SP 800-30 is geschreven vanuit informatiesystemen, maar de stappen zijn goed bruikbaar voor ICS. De OT-specifieke gids NIST SP 800-82 (Rev. 3, september 2023) vult aan wat in OT anders is. Een praktische aanpak:
- Scope vastleggen (taak 1-2) - kies een installatie of zone en leg Assets vast in een asset-inventaris, van PLC tot engineering-werkstation
- Impactschaal aanpassen (taak 1-5) - voeg veiligheid, milieu en productieverlies toe aan de impactcategorieën; vertrouwelijkheid weegt in OT vaak het minst
- Dreigingen kiezen (taken 2-1 en 2-2) - gebruik threat intelligence en tabel E-2, die naast het binnenbrengen van malware ook cyber-fysieke aanvallen op installaties noemt
- Kwetsbaarheden verzamelen (taak 2-3) - combineer kwetsbaarheidsbeheer, CVSS-scores en de Known Exploited Vulnerabilities-catalogus met predisponerende omstandigheden zoals ontbrekende segmentatie
- Risico bepalen (taken 2-4 t/m 2-6) - scoor elk scenario met de matrix en leg het vast in een risicoregister
- Communiceren en bijhouden (stap 3 en 4) - bespreek de uitkomst met het management en herhaal de beoordeling na wijzigingen, in lijn met de PDCA-cyclus
Een vereenvoudigd voorbeeld met de schalen uit SP 800-30:
| Asset | Dreiging | Kwetsbaarheid | Kans | Impact | Risico |
|---|---|---|---|---|---|
| PLC | Externe aanvaller via remote access | Geen MFA, oude firmware | Moderate | Very High | High |
| SCADA-server | Ransomware via USB | Geen Application Control | High | High | High |
| Historian | DDoS-aanval | Onbeveiligde API | Moderate | Moderate | Moderate |
| HMI | Ongeautoriseerde wijziging | Geen RBAC | High | High | High |
Na de beoordeling kiest u per risico een antwoord: mitigerende maatregelen zoals een firewall, toegangsbeheer of patchmanagement, of accepteren, delen of vermijden. Dat besluit valt formeel onder SP 800-39, niet onder SP 800-30.
🔗 Hoe verhoudt NIST SP 800-30 zich tot andere kaders?
| Standaard / kader | Relatie met SP 800-30 |
|---|---|
| NIST CSF | Risicobeoordeling valt onder de categorie Risk Assessment (ID.RA) van de functie Identify |
| NIST Risk Management Framework | Gebruikt SP 800-30 voor de risicobeoordelingen, onder meer in de stap Prepare |
| ISO 27005 | Vergelijkbare methode binnen een ISMS volgens ISO 27001; vierde editie uit 2022 |
| ISO 31000 | Algemene risicomanagementnorm; SP 800-30 is één concrete invulling ervan |
| IEC 62443-3-2 | OT-specifiek: risico per zone en conduit, met een doel-security level als uitkomst |
| FISMA | Verplicht Amerikaanse federale instanties tot periodieke risicobeoordelingen; SP 800-30 is de bijbehorende richtlijn |
In Nederland verplicht de Cyberbeveiligingswet, die op 15 augustus 2026 in werking is getreden als uitwerking van NIS2, essentiële en belangrijke entiteiten tot risicogebaseerde maatregelen, met beleid voor risicoanalyse. De wet schrijft geen methode voor; SP 800-30 is daarom een goed onderbouwde, gratis beschikbare keuze, naast ISO 27005 of IEC 62443-3-2.
❓ Veelgestelde vragen
Is NIST SP 800-30 verplicht in Nederland?
Nee, NIST SP 800-30 is een Amerikaanse richtlijn en alleen voor Amerikaanse federale instanties de verwachte methode. Nederlandse organisaties onder de Cyberbeveiligingswet moeten wel een risicoanalyse uitvoeren, maar mogen de methode zelf kiezen. NIST SP 800-30 is daarvoor een veelgebruikte en verdedigbare keuze.
Welke versie van NIST SP 800-30 is actueel?
De actuele versie is NIST SP 800-30 Revision 1, Guide for Conducting Risk Assessments, uit september 2012. Die verving de oorspronkelijke versie uit juli 2002. Een Revision 2 is tot nu toe niet aangekondigd.
Wat is het verschil tussen NIST SP 800-30 en ISO 27005?
NIST SP 800-30 is een gratis Amerikaanse richtlijn die zich alleen op het beoordelen van risico richt en gedetailleerde voorbeeldschalen meelevert. ISO 27005 is een internationale norm die het volledige risicomanagementproces binnen een ISMS volgens ISO 27001 beschrijft, inclusief risicobehandeling. Beide methoden zijn goed te combineren.
Kan NIST SP 800-30 worden gebruikt voor OT-installaties?
Ja, NIST SP 800-30 is bruikbaar voor OT, mits u de impactschaal uitbreidt met veiligheid, milieu en productie. Combineer de methode met NIST SP 800-82 voor OT-specifieke dreigingen en met IEC 62443-3-2 als u met zones en conduits werkt.
Moet NIST SP 800-30 kwantitatief worden uitgevoerd?
Nee, NIST SP 800-30 staat kwalitatieve, semi-kwantitatieve en kwantitatieve beoordelingen toe. De meeste organisaties gebruiken de kwalitatieve vijfpuntsschaal van Very Low tot Very High, of de semi-kwantitatieve schaal van 0 tot 100.
Wat levert een risicobeoordeling volgens NIST SP 800-30 op?
Een risicobeoordeling volgens NIST SP 800-30 levert een geprioriteerde lijst van risico’s op, elk met dreigingsbron, kwetsbaarheid, waarschijnlijkheid en impact. Bijlage K geeft een sjabloon voor het rapport. Beslissers gebruiken die uitkomst om maatregelen te kiezen en restrisico’s te accepteren.
📌 Samengevat
NIST SP 800-30 Rev. 1 is de NIST-richtlijn voor risicobeoordeling in vier stappen: voorbereiden, uitvoeren, communiceren en bijhouden. De methode bepaalt risico uit waarschijnlijkheid en impact met vaste vijfpuntsschalen, en sluit aan op het NIST Risk Management Framework, NIST CSF en ISO 27005. Met een impactschaal die veiligheid en productie meeweegt, is ze ook een solide basis voor risicomanagement in OT.