Wat is NIST SP 800-37?
NIST SP 800-37 is de publicatie van het Amerikaanse National Institute of Standards and Technology die het NIST Risk Management Framework (RMF) beschrijft: een proces van zeven stappen en 47 taken waarmee een organisatie de beveiligings- en privacyrisico’s van een informatiesysteem gedurende de hele levenscyclus beheerst en formeel laat accepteren. De actuele versie is Revision 2 uit december 2018, met de titel Risk Management Framework for Information Systems and Organizations: A System Life Cycle Approach for Security and Privacy. Waar het artikel over het RMF uitlegt wát de stappen zijn, gaat dit artikel over het document zelf: de opbouw, de rollen, de autorisatievormen en hoe u het in IT- en OT-omgevingen gebruikt.
SP 800-37 is voor Amerikaanse federale systemen verplicht via FISMA en OMB Circular A-130, maar wordt wereldwijd gebruikt als werkmodel voor risicogestuurde compliance.
🧠 Wat beschrijft NIST SP 800-37 precies?
NIST SP 800-37 Rev. 2 is opgesteld door de Joint Task Force, een samenwerking van NIST met het Amerikaanse ministerie van Defensie en de inlichtingendiensten. Het document telt 183 pagina’s en bestaat uit drie hoofdstukken en acht bijlagen:
- Hoofdstuk 1 en 2 - doel, toepassingsgebied en de grondbeginselen: risicobeheer op drie niveaus (organisatie, bedrijfsproces, informatiesysteem) volgens SP 800-39, de relatie tussen security en privacy, en het begrip systeemgrens
- Hoofdstuk 3 - het proces zelf: alle 47 taken, verdeeld over de zeven stappen
- Bijlage D - rollen en verantwoordelijkheden
- Bijlage E - een overzichtstabel van alle taken met eigenaar en ondersteunende rollen
- Bijlage F - autorisatiebesluiten, autorisatiepakketten, doorlopende autorisatie en de triggers voor herbeoordeling
- Bijlage G en H - het bepalen van de autorisatiegrens en de inpassing in de systeemlevenscyclus (lifecycle management)
Opvallend voor OT: de definitie van informatiesysteem in SP 800-37 noemt uitdrukkelijk industriële en procesbesturingssystemen, cyber-fysieke systemen en embedded sensoren. Het RMF is dus niet alleen voor kantoor-IT bedoeld.
📜 Hoe heeft NIST SP 800-37 zich ontwikkeld?
| Versie | Datum | Titel en kern |
|---|---|---|
| SP 800-37 | mei 2004 | Guide for the Security Certification and Accreditation of Federal Information Systems: het klassieke certificatie- en accreditatieproces (C&A) |
| Rev. 1 | februari 2010, bijgewerkt juni 2014 | Guide for Applying the Risk Management Framework to Federal Information Systems: C&A vervangen door het RMF met zes stappen |
| Rev. 2 | 20 december 2018 | Risk Management Framework for Information Systems and Organizations: zeven stappen door de nieuwe stap Prepare, privacy volledig geïntegreerd |
Rev. 1 is op 20 december 2019 ingetrokken, een jaar na het verschijnen van Rev. 2. NIST noemde zeven doelen voor die herziening:
- Betere aansluiting tussen bestuur (C-suite) en de systeem- en operationele laag
- Voorbereiding institutionaliseren via de stap Prepare
- Uitlijning met het NIST CSF, zodat CSF-profielen in het RMF bruikbaar zijn
- Privacyrisicobeheer integreren naast informatiebeveiliging
- Systems engineering koppelen aan de levenscyclusprocessen van SP 800-160 deel 1
- Supply chain-risico’s meenemen, zoals namaakcomponenten, manipulatie en kwaadaardige code (zie Supply Chain-risico)
- Eigen maatregelselectie toestaan naast de vaste baselines, passend bij de catalogus van NIST SP 800-53 Rev. 5
🔁 Welke stappen en taken bevat SP 800-37?
| Stap | Taken | Kernvraag |
|---|---|---|
| Prepare | P-1 tot P-18 (7 op organisatie-, 11 op systeemniveau) | Zijn rollen, risicostrategie en systeemgrens vastgelegd? |
| Categorize | C-1 tot C-3 | Hoe groot is de impact op vertrouwelijkheid, integriteit en beschikbaarheid? |
| Select | S-1 tot S-6 | Welke maatregelen uit SP 800-53 zijn nodig, en welke worden overgeërfd? |
| Implement | I-1 en I-2 | Zijn de maatregelen ingevoerd en zo gedocumenteerd? |
| Assess | A-1 tot A-6 | Werken de maatregelen zoals bedoeld? |
| Authorize | R-1 tot R-5 | Accepteert een verantwoordelijke bestuurder het restrisico? |
| Monitor | M-1 tot M-7 | Blijft het risico aanvaardbaar bij wijzigingen en nieuwe dreigingen? |
Een uitgebreide uitleg per stap, inclusief FIPS 199-categorisering en het high-water mark-principe, staat bij het NIST Risk Management Framework. Voor de risicoanalyse zelf verwijst SP 800-37 naar NIST SP 800-30, voor continue monitoring naar SP 800-137 en voor de toeleveringsketen naar SP 800-161.
🔧 Hoe is een RMF-taak in SP 800-37 opgebouwd?
Elke taak volgt hetzelfde vaste format, wat het document bruikbaar maakt als checklist:
- Potential inputs - welke informatie u nodig hebt, bijvoorbeeld de risicostrategie of een asset inventory
- Expected outputs - het resultaat, zoals een systeembeschrijving of assessmentrapport
- Primary responsibility - de rol die eindverantwoordelijk blijft, ook als het werk wordt gedelegeerd
- Supporting roles - de rollen die meewerken
- System development life cycle phase - in welke fase de taak valt, voor nieuwe of bestaande systemen
- Discussion en references - toelichting en verwijzingen naar andere NIST-publicaties en CSF-categorieën
Bijlage D beschrijft de rollen. De belangrijkste:
| Rol | Verantwoordelijkheid |
|---|---|
| Head of Agency | Eindverantwoordelijk voor risicobeheer in de hele organisatie |
| Risk Executive (Function) | Organisatiebrede risicostrategie en consistente risicobesluiten |
| Authorizing Official (AO) | Accepteert het restrisico en neemt het autorisatiebesluit |
| System Owner | Verantwoordelijk voor ontwikkeling, beheer en documentatie van het systeem |
| Control Assessor | Toetst onafhankelijk of maatregelen werken |
| Common Control Provider | Levert maatregelen die meerdere systemen overerven |
| Senior Agency Information Security Officer | Leidt het beveiligingsprogramma, vergelijkbaar met de CISO |
🔐 Welke autorisatievormen kent SP 800-37?
Bijlage F maakt het RMF flexibeler dan vaak wordt gedacht. Er zijn drie soorten besluiten: een authorization to operate (ATO) voor een systeem, een authorization to use (ATU) voor gedeelde of externe diensten zoals cloud, en een common control authorization voor overerfbare maatregelen. Elk kan ook worden geweigerd.
Daarnaast onderscheidt SP 800-37:
- Initiële autorisatie, doorlopende autorisatie en herautorisatie - bij doorlopende autorisatie (ongoing authorization) vervalt de vaste einddatum, mits het monitoringprogramma voldoende actueel bewijs levert
- Type-autorisatie - één autorisatiepakket voor een archetype dat op meerdere locaties identiek wordt uitgerold; de locatie geeft daarna een ATU
- Facility-autorisatie - gemeenschappelijke maatregelen van een locatie, zoals fysieke beveiliging en noodplannen, die systemen op die locatie overerven
- Traditionele en gezamenlijke autorisatie - één AO, of meerdere AO’s die samen verantwoordelijk zijn
Herbeoordeling wordt gestart door event-driven triggers: een nieuw besturingssysteem of hardwareplatform, gewijzigde poorten, protocollen of diensten, aangepaste cryptografie, een verhuizing, of concrete dreigingsinformatie dat de organisatie doelwit is. Alleen de geraakte maatregelen worden opnieuw getoetst.
🏭 Hoe past u SP 800-37 toe in OT-omgevingen?
Het voorwoord van Rev. 2 noemt het verkleinen van de IT/OT footprint en het aanvalsoppervlak als expliciet doel. In OT vertaalt u de taken zo:
| RMF-stap | Voorbeeld in een OT-context |
|---|---|
| Prepare | Rollen vastleggen voor PLC-beheerders, procesverantwoordelijken en integrators |
| Categorize | SCADA, Historian en HMI classificeren, met nadruk op beschikbaarheid en integriteit |
| Select | Kiezen voor Firewall, Access Control, MFA en Monitoring, met de OT-overlay uit NIST SP 800-82 |
| Implement | Een Jump Server inrichten met logging en rolgebaseerde toegang |
| Assess | Remote Access toetsen tijdens een stop of met passieve methoden |
| Authorize | De verantwoordelijke manager accepteert schriftelijk het restrisico vóór ingebruikname |
| Monitor | SIEM en anomaliedetectie in de besturingszone leveren doorlopend bewijs |
Twee autorisatievormen passen bijzonder goed bij OT. Een type-autorisatie werkt voor een gestandaardiseerde besturingskast of een standaard pompstation-ontwerp dat op tientallen locaties staat. Een facility-autorisatie dekt de fysieke beveiliging, netwerksegmentatie en noodplannen van één fabriek, zodat afzonderlijke systemen die kunnen overerven. Firmware-updates van een PLC zijn in de logica van SP 800-37 een event-driven trigger, die u via change management koppelt aan een gerichte hertoetsing.
🔄 Hoe verhoudt SP 800-37 zich tot andere kaders?
| Kader | Relatie met SP 800-37 |
|---|---|
| NIST SP 800-53 | Levert de catalogus van security- en privacymaatregelen voor Select en Implement |
| NIST SP 800-30 | Methode voor risicobeoordeling in Prepare en Monitor |
| NIST CSF | Strategisch kader; CSF-profielen voeden de stap Prepare |
| NIST SP 800-82 | OT-gids met een overlay op de SP 800-53-baselines |
| IEC 62443-2-1 | Eisen aan het securityprogramma van de asset owner in OT |
| ISO 27001 | Organisatiebreed managementsysteem; SP 800-37 werkt per systeem |
Het RMF lijkt op de PDCA-cyclus, maar legt meer nadruk op formele verantwoording, bewijs en een benoemde bestuurder die het risico accepteert.
🧭 Hoe gebruikt u SP 800-37 als Nederlandse organisatie?
Buiten de Amerikaanse overheid is SP 800-37 vrijwillig. Het Amerikaanse ministerie van Defensie verving in 2014 zijn eigen proces DIACAP door het RMF, waardoor defensieleveranciers ermee te maken krijgen. In Nederland vraagt de Cyberbeveiligingswet, van kracht sinds 15 augustus 2026 als uitwerking van NIS2, om risicogebaseerde maatregelen zonder een methode voor te schrijven. SP 800-37 is dan een bewezen invulling:
- Wijs per systeem een eigenaar en een autoriserende bestuurder aan.
- Leg de systeemgrens vast op basis van een actuele asset inventory.
- Gebruik het taakformat als checklist en leg de uitkomsten vast in een risicoregister.
- Definieer uw triggers voor herbeoordeling, zoals firmware-updates of nieuwe externe verbindingen.
- Stap over op doorlopende autorisatie zodra monitoring betrouwbaar bewijs levert.
❓ Veelgestelde vragen
Welke versie van NIST SP 800-37 is actueel?
De actuele versie is NIST SP 800-37 Revision 2, gepubliceerd op 20 december 2018. Deze versie voegde de stap Prepare toe en integreerde privacy en supply chain-risicobeheer in het RMF. Revision 1 uit 2010 is op 20 december 2019 ingetrokken.
Wat is het verschil tussen NIST SP 800-37 en het NIST RMF?
Het NIST RMF is het risicobeheerproces van zeven stappen, en NIST SP 800-37 is de publicatie die dat proces beschrijft. SP 800-37 legt per taak de inputs, outputs, rollen en levenscyclusfase vast. In de praktijk worden de twee namen vaak door elkaar gebruikt.
Wat is het verschil tussen NIST SP 800-37 en NIST SP 800-53?
NIST SP 800-37 beschrijft het proces om risico’s te beheersen en een systeem te autoriseren. NIST SP 800-53 is de catalogus met maatregelen waaruit u in dat proces kiest. SP 800-37 zegt dus hoe u werkt, SP 800-53 welke maatregelen beschikbaar zijn.
Is NIST SP 800-37 bruikbaar voor OT en industriële systemen?
NIST SP 800-37 noemt industriële besturingssystemen en cyber-fysieke systemen expliciet als informatiesystemen binnen het toepassingsgebied. Voor OT combineert u het met de overlay uit NIST SP 800-82. Type- en facility-autorisaties passen goed bij gestandaardiseerde installaties op meerdere locaties.
Wat is doorlopende autorisatie in NIST SP 800-37?
Doorlopende autorisatie (ongoing authorization) betekent dat de authorizing official het risico steeds opnieuw beoordeelt op basis van continue monitoring, in plaats van eens in de paar jaar een volledige herautorisatie te doen. De vaste einddatum van de autorisatie kan dan vervallen. Dat vraagt wel een monitoringprogramma dat actueel en betrouwbaar bewijs levert.
Is NIST SP 800-37 verplicht in Nederland?
NIST SP 800-37 is in Nederland niet wettelijk verplicht; de verplichting geldt voor Amerikaanse federale systemen via FISMA. Nederlandse organisaties gebruiken het wel om de zorgplicht uit de Cyberbeveiligingswet en NIS2 concreet in te vullen. Ook kan een Amerikaanse defensie- of overheidsklant het contractueel eisen.
📌 Samengevat
NIST SP 800-37 Rev. 2 is de handleiding van het NIST Risk Management Framework en legt in 47 taken vast wie wat doet om een systeem te categoriseren, te beveiligen, te toetsen en formeel te autoriseren. Met doorlopende autorisatie, type- en facility-autorisaties en duidelijke triggers voor herbeoordeling is het document ook voor OT-omgevingen een praktisch werkmodel voor risicobeheer.