Wat is NIST SP 800-53?
NIST SP 800-53 is de catalogus van beveiligings- en privacymaatregelen (controls) van het Amerikaanse NIST (National Institute of Standards and Technology), waaruit organisaties op basis van risico een passende set maatregelen kiezen om informatie- en besturingssystemen te beschermen. De huidige versie is Revision 5, Security and Privacy Controls for Information Systems and Organizations, gepubliceerd op 23 september 2020. De catalogus telt 20 control families met ruim 1.000 controls en control enhancements, van toegangsbeheer tot leveranciersrisico’s.
Hoewel oorspronkelijk ontwikkeld voor federale overheids-IT, wordt NIST SP 800-53 steeds vaker toegepast in OT-omgevingen voor gestructureerd risicobeheer en compliance, meestal via de OT-overlay uit NIST SP 800-82.
🧠 Hoe is NIST SP 800-53 opgebouwd?
De catalogus is verdeeld in 20 control families, elk met een code van twee letters. Elke control heeft een nummer binnen de familie (bijvoorbeeld AC-2 Account Management), en verscherpingen heten control enhancements, zoals AC-2(1) voor geautomatiseerd accountbeheer.
| Code | Familie | Voorbeeld van een control |
|---|---|---|
| AC | Access Control | AC-2 accountbeheer, AC-17 toegang op afstand |
| AT | Awareness and Training | AT-2 bewustwordingstraining |
| AU | Audit and Accountability | AU-2 te loggen gebeurtenissen, AU-6 logs beoordelen |
| CA | Assessment, Authorization, and Monitoring | CA-7 continue monitoring |
| CM | Configuration Management | CM-7 least functionality, CM-8 componenteninventaris |
| CP | Contingency Planning | CP-9 back-ups van systemen |
| IA | Identification and Authentication | IA-2 identificatie van gebruikers, met MFA als enhancement |
| IR | Incident Response | IR-4 incidentafhandeling |
| MA | Maintenance | MA-4 onderhoud op afstand |
| MP | Media Protection | MP-7 gebruik van verwisselbare media |
| PE | Physical and Environmental Protection | PE-3 fysieke toegangscontrole |
| PL | Planning | PL-2 beveiligings- en privacyplannen |
| PM | Program Management | PM-5 systeeminventaris op organisatieniveau |
| PS | Personnel Security | PS-3 screening van personeel |
| PT | PII Processing and Transparency | PT-2 grondslag voor verwerking van persoonsgegevens |
| RA | Risk Assessment | RA-3 risicoanalyse, RA-5 kwetsbaarhedenscans |
| SA | System and Services Acquisition | SA-8 beveiligings- en privacy-engineeringprincipes |
| SC | System and Communications Protection | SC-7 grensbescherming, SC-8 versleuteling onderweg |
| SI | System and Information Integrity | SI-2 herstel van kwetsbaarheden, SI-4 systeemmonitoring |
| SR | Supply Chain Risk Management | SR-3 beheersing van de toeleveringsketen |
Een control in Revision 5 bestaat uit vaste onderdelen:
- Control statement - de eigenlijke eis, vaak met organization-defined parameters zoals “[toewijzing: door de organisatie bepaalde frequentie]”, die u zelf invult
- Discussion - toelichting op doel en toepassing
- Related controls - verwijzingen naar samenhangende controls
- Control enhancements - optionele verscherpingen voor hogere risico’s
- References - onderliggende wetten, normen en richtlijnen
In release 5.2.0 bevat de catalogus 300 actieve basiscontrols en 714 actieve enhancements; 182 oudere controls zijn ingetrokken (withdrawn) en verwijzen naar hun opvolger.
🕰️ Hoe heeft NIST SP 800-53 zich ontwikkeld?
| Versie | Datum | Belangrijkste wijziging |
|---|---|---|
| Origineel | februari 2005 | Eerste catalogus voor federale systemen onder FISMA |
| Rev. 1 | december 2006 | Bijgewerkte controls en baselines |
| Rev. 2 | december 2007 | Bijlage met aanvullende richtlijnen voor industriële besturingssystemen |
| Rev. 3 | augustus 2009 | Eén gezamenlijke catalogus voor civiele, defensie- en inlichtingensystemen |
| Rev. 4 | april 2013 | Privacycontrols toegevoegd als aparte bijlage; ingetrokken op 23 september 2021 |
| Rev. 5 | september 2020 | Geïntegreerde security- en privacycatalogus, nieuwe families PT en SR, baselines naar SP 800-53B |
| Release 5.2.0 | augustus 2025 | Nieuwe controls en enhancements voor veilige software-updates, zoals SA-24 en SI-2(7) |
Revision 5 maakte de controls resultaatgericht: de control statement noemt niet langer “het informatiesysteem” als uitvoerder, zodat dezelfde eis geldt voor een organisatie, een cloudomgeving of een PLC. Het woord Federal verdween uit de titel, om duidelijk te maken dat de catalogus voor elke organisatie bruikbaar is. Release 5.2.0 van 27 augustus 2025 voegde onder meer SA-15(13) (Logging Syntax), SA-24 (Design for Cyber Resiliency) en SI-2(7) (Root Cause Analysis) toe, gericht op betrouwbaar updaten en patchen van software. De baselines in SP 800-53B bleven daarbij ongewijzigd.
🧱 Wat zijn de baselines in SP 800-53B?
Niemand implementeert alle 1.000+ controls. U begint met een baseline: een vooraf gekozen set controls die past bij het impactniveau van uw systeem. Sinds Revision 5 staan de baselines in een aparte publicatie, NIST SP 800-53B (oktober 2020). Het impactniveau (low, moderate of high) volgt uit de categorisering volgens FIPS 199: wat is de impact op vertrouwelijkheid, integriteit en beschikbaarheid als het systeem faalt?
| Baseline | Aantal controls + enhancements | Toepassing |
|---|---|---|
| Low | 149 | Beperkte impact bij uitval of lek |
| Moderate | 287 | Ernstige impact op processen, assets of personen |
| High | 370 | Zeer ernstige of catastrofale impact, zoals bij kritieke infrastructuur |
| Privacy | 96 | Systemen die persoonsgegevens verwerken, los van het impactniveau |
Na de keuze volgt tailoring: u schrapt controls die niet van toepassing zijn, voegt maatregelen toe voor specifieke dreigingen en vervangt controls die technisch niet haalbaar zijn door compenserende maatregelen. Een overlay is een kant-en-klare tailoring voor een bepaald domein. De bekendste voor OT is de overlay in bijlage F van NIST SP 800-82 Rev. 3.
🏭 Hoe past u NIST SP 800-53 toe in OT-netwerken?
In OT botsen sommige IT-controls met beschikbaarheid en veiligheid van het proces. Een accountblokkade na een door de organisatie bepaald aantal foute inlogpogingen (AC-7), bijvoorbeeld drie, is verstandig op een kantoorlaptop, maar gevaarlijk op een operatorstation tijdens een storing. Antivirussoftware (SI-3) is op veel controllers niet te installeren. De OT-overlay geeft daarom per control aan of en hoe hij in OT geldt. Typische toepassingen:
- AC en IA - toegangsbeheer op SCADA, PLC en engineering stations, met least privilege en MFA voor toegang op afstand
- AU - Audit-logging op OT-switches, firewalls en HMI’s, centraal verzameld in een SIEM
- CM en SI - patchbeheer en kwetsbaarheidsbeheer voor legacy OT-assets, met getest uitrollen in onderhoudsvensters
- IR - Incident Response volgens vastgelegde procedures, eventueel ondersteund door SOAR
- PE - fysieke toegangscontrole tot serverruimtes, veldkasten en I/O-kasten
- SC - bescherming van communicatiekanalen met netwerksegmentatie, firewalls, versleuteling en een datadiode
Stappenplan voor een OT-installatie
- Inventariseer de OT-systemen en hun functies (CM-8, PM-5).
- Categoriseer elk systeem naar impact op proces, veiligheid en omgeving; kies de baseline.
- Tailor met de OT-overlay uit NIST SP 800-82 en documenteer compenserende maatregelen.
- Implementeer de controls gefaseerd, te beginnen met segmentatie, toegang en back-ups.
- Toets de werking met de procedures uit NIST SP 800-53A Rev. 5 (januari 2022).
- Monitor continu (CA-7) en herhaal de risicoanalyse bij wijzigingen.
In de praktijk dient de getailorde set controls ook als checklist voor OT-audits: per control legt u vast of hij is geïmplementeerd, gecompenseerd of bewust niet van toepassing is. Deze stappen volgen het Risk Management Framework uit NIST SP 800-37; de risicoanalyse zelf beschrijft NIST SP 800-30.
🔍 Wat is het verschil tussen SP 800-53, NIST CSF en IEC 62443?
| Kenmerk | SP 800-53 | NIST CSF | IEC 62443 |
|---|---|---|---|
| Type | Catalogus van controls | Framework op hoofdlijnen | Normenreeks voor OT-security |
| Toepasbaarheid | IT + OT (OT via overlay) | IT + OT | Specifiek OT |
| Verplicht voor | Amerikaanse federale systemen (FISMA) | Niemand; vrijwillig | Niemand; vaak contractueel geëist |
| Detailniveau | Zeer gedetailleerd | Strategisch, zes functies | Eisen per rol, zone en security level |
| Certificeerbaar | Nee; wel toetsbaar via SP 800-53A | Nee | Ja, onder meer voor componenten en processen |
Het NIST CSF verwijst met zijn informative references naar SP 800-53, en NIST publiceert ook een koppeling tussen SP 800-53 en ISO 27001. In de praktijk gebruikt u het CSF voor het wat, IEC 62443 voor OT-specifieke eisen en SP 800-53 als gedetailleerde maatregelenbibliotheek.
🔐 Wanneer is NIST SP 800-53 verplicht en hoe gebruikt u het in Europa?
- Verplicht voor Amerikaanse federale informatiesystemen onder FISMA, via FIPS 200
- Afgeleid: cloudaanbieders voor de Amerikaanse overheid (FedRAMP) gebruiken de baselines; NIST SP 800-171, voor niet-federale organisaties zoals defensieleveranciers die gevoelige overheidsinformatie (CUI) verwerken, is van SP 800-53 afgeleid
- Vrijwillig in Europa: NIS2 en de Nederlandse Cyberbeveiligingswet (van kracht sinds 15 augustus 2026) schrijven SP 800-53 niet voor, maar de catalogus helpt de zorgplicht concreet te maken
- Aanvullend op ISO 27001, ISO 27002 en de BIO: SP 800-53 is gedetailleerder op onderwerpen als toeleveringsketen (SR) en systeemontwikkeling (SA)
- Combineerbaar met SIEM, SOAR, MFA en Zero Trust-architecturen, en met de OT-richtlijnen van NIST SP 800-82 voor ICS
NIST levert de catalogus ook als machineleesbare OSCAL-bestanden (JSON, XML en YAML). Daarmee kunt u controls automatisch in GRC-tools laden of compliance continu bijhouden.
❓ Veelgestelde vragen
Hoeveel controls heeft NIST SP 800-53?
NIST SP 800-53 Rev. 5 (release 5.2.0) telt 300 actieve basiscontrols en 714 actieve control enhancements, verdeeld over 20 families. Een organisatie implementeert er nooit alle; via de baselines in SP 800-53B kiest u 149 (low), 287 (moderate) of 370 (high) controls en enhancements.
Is NIST SP 800-53 verplicht in Nederland?
Nee, NIST SP 800-53 is in Nederland en de EU niet wettelijk verplicht. NIS2 en de Cyberbeveiligingswet eisen passende maatregelen zonder een specifieke catalogus voor te schrijven, en NIST SP 800-53 is een bruikbare bron om die maatregelen concreet in te vullen.
Wat is het verschil tussen NIST SP 800-53 en ISO 27001?
ISO 27001 beschrijft een certificeerbaar managementsysteem voor informatiebeveiliging met een beknopte lijst maatregelen in bijlage A. NIST SP 800-53 is een veel gedetailleerdere, niet-certificeerbare catalogus van ruim 1.000 controls en enhancements, met baselines per impactniveau.
Wat is het verschil tussen NIST SP 800-53 en NIST SP 800-82?
NIST SP 800-53 is de algemene catalogus van beveiligings- en privacycontrols. NIST SP 800-82 is de OT-gids van NIST en bevat in bijlage F een overlay die aangeeft hoe u de NIST SP 800-53-baselines aanpast voor industriële en andere OT-systemen.
Wat is een control enhancement in NIST SP 800-53?
Een control enhancement in NIST SP 800-53 is een optionele verscherping van een basiscontrol, genoteerd tussen haakjes, zoals IA-2(1) voor multifactorauthenticatie bij geprivilegieerde accounts. Hogere baselines bevatten meer enhancements, omdat systemen met een hogere impact sterkere maatregelen nodig hebben.
Wat is OSCAL bij NIST SP 800-53?
OSCAL (Open Security Controls Assessment Language) is het machineleesbare formaat waarin NIST de NIST SP 800-53-catalogus en de baselines publiceert. Met OSCAL kunt u controls, systeembeveiligingsplannen en toetsresultaten automatisch uitwisselen tussen tools.
📌 Samengevat
NIST SP 800-53 is de gedetailleerde, risicogestuurde catalogus van ruim 1.000 beveiligings- en privacycontrols van NIST, waaruit u via baselines en tailoring een passende set maatregelen kiest. Revision 5 (2020) maakte de catalogus resultaatgericht en bruikbaar voor elke organisatie. In OT past u hem toe via de overlay uit NIST SP 800-82, en in Europa ondersteunt hij de invulling van NIS2 en cybersecurity-beleid naast ISO 27001 en IEC 62443.