Wat is NIST SP 800-82?
NIST SP 800-82 is een gratis, vrijwillige richtlijn van het Amerikaanse National Institute of Standards and Technology (NIST) die beschrijft hoe u operationele technologie (OT), zoals industriële besturingssystemen, SCADA, DCS, PLC’s en RTU’s, beveiligt zonder de prestaties, betrouwbaarheid en veiligheid van het fysieke proces te schaden. De huidige versie, Revision 3 uit september 2023, heet Guide to Operational Technology (OT) Security. Daarvoor heette de publicatie Guide to Industrial Control Systems (ICS) Security. Het document combineert uitleg over OT-architecturen, dreigingen en kwetsbaarheden met concrete beveiligingsmaatregelen en een OT-specifieke selectie van controls uit NIST SP 800-53.
NIST SP 800-82 vertaalt bekende IT-beveiligingspraktijken naar de eisen van OT: real-time gedrag, hoge beschikbaarheid en procesveiligheid gaan voor.
🕰️ Hoe is NIST SP 800-82 ontstaan?
Het eerste publieke concept verscheen in september 2006, in een tijd waarin SCADA- en procesnetwerken steeds vaker met kantoornetwerken werden verbonden. Na drie publieke concepten verscheen in 2011 de eerste definitieve versie. Sindsdien is de gids drie keer herzien:
| Versie | Datum | Belangrijkste wijziging |
|---|---|---|
| Eerste publieke concept | september 2006 | Gevolgd door concepten in 2007 en 2008, telkens met een publieke commentaarronde |
| SP 800-82 (final) | juni 2011 | Eerste definitieve Guide to ICS Security |
| Rev. 1 | mei 2013 | Bijgewerkte versie van de ICS-gids |
| Rev. 2 | mei 2015 | Nieuwe dreigingen en kwetsbaarheden, tailoringrichtlijnen en een ICS-overlay voor SP 800-53 Rev. 4 |
| Rev. 3 | september 2023 | Scope verbreed van ICS naar OT, overlay voor SP 800-53 Rev. 5, sterkere aansluiting op het NIST CSF |
| Rev. 4 (concept) | september 2026 | Herstructurering rond NIST CSF 2.0, commentaar mogelijk tot 30 november 2026 |
De verbreding naar OT in Rev. 3 is meer dan een nieuwe naam. De gids gaat nu ook over gebouwautomatisering, fysieke toegangscontrolesystemen, transportsystemen, veiligheidssystemen en het Industrial Internet of Things: alle programmeerbare systemen die de fysieke wereld meten of besturen.
📚 Hoe is NIST SP 800-82 opgebouwd?
Rev. 3 telt zes hoofdstukken en zeven bijlagen. De opbouw volgt de vraag “wat is OT, wat bedreigt het en wat doet u eraan”:
| Onderdeel | Inhoud |
|---|---|
| Hoofdstuk 1 Inleiding | Doel, scope en doelgroep |
| Hoofdstuk 2 OT-overzicht | Werking van SCADA, DCS, PLC-topologieën, gebouwautomatisering, veiligheidssystemen en IIoT, plus een vergelijking tussen IT en OT |
| Hoofdstuk 3 OT-cybersecurityprogramma | Charter, businesscase, governance, multidisciplinair team, beleid, training, incidentrespons en herstel |
| Hoofdstuk 4 Risicomanagement voor OT | Risico framen, beoordelen, behandelen en bewaken; ketenrisico’s; toepassing van het NIST Risk Management Framework |
| Hoofdstuk 5 OT-cybersecurityarchitectuur | Defense in Depth in vijf lagen (securitymanagement, fysiek, netwerk, hardware, software), segmentatie, Zero Trust en voorbeeldarchitecturen voor DCS, PLC en SCADA |
| Hoofdstuk 6 Het Cybersecurity Framework toepassen | Per functie (Identify, Protect, Detect, Respond, Recover) OT-specifieke invulling |
| Bijlage C | Dreigingsbronnen, kwetsbaarheden en bekende incidenten |
| Bijlage E | Beveiligingstools voor OT, zoals firewalls, monitoring en anomaliedetectie |
| Bijlage F | De OT-overlay op NIST SP 800-53 Rev. 5 |
Bijlage C beschrijft onder meer malware, insiders, misconfiguraties, supply chain-risico’s en protocollen zoals Modbus en DNP3, die van oorsprong geen authenticatie kennen. Ook toegang op afstand, USB-media en onderhoudslaptops komen aan bod als aanvalspad.
🧠 Waarom is OT-beveiliging anders dan IT-beveiliging?
De kern van NIST SP 800-82 is dat OT andere prioriteiten heeft dan IT. Waar IT traditioneel vertrouwelijkheid, integriteit en beschikbaarheid in die volgorde beschermt, gaat in OT de veiligheid van mens en omgeving voor, gevolgd door beschikbaarheid, integriteit en pas daarna vertrouwelijkheid.
| Kenmerk | IT | OT |
|---|---|---|
| Prestaties | Hoge doorvoer, vertraging acceptabel | Tijdkritisch, vertraging en jitter onacceptabel |
| Beschikbaarheid | Herstarten is meestal geen probleem | Herstarten kan onacceptabel zijn; onderhoud dagen of weken vooruit gepland |
| Grootste risico | Vertraging van bedrijfsprocessen | Letsel, milieuschade, uitval van het proces |
| Wijzigingen | Patches snel en geautomatiseerd | Uitgebreid testen vooraf, vaak afhankelijk van de leverancier |
| Levensduur | 3 tot 5 jaar | 10 tot 15 jaar of langer |
| Locatie | Meestal lokaal en goed bereikbaar | Vaak verspreid, op afstand en lastig bereikbaar |
Daarom adviseert de gids om IT-maatregelen aangepast toe te passen. Een virusscanner of actieve netwerkscan die op kantoor onschuldig is, kan een PLC of HMI laten vastlopen. De gids benadrukt daarom samenwerking tussen procesingenieurs, operators en IT-securityspecialisten.
🔐 Wat is de OT-overlay op NIST SP 800-53?
NIST SP 800-53 is de grote catalogus met beveiligings- en privacycontrols voor Amerikaanse federale systemen. Die catalogus is geschreven voor IT. Bijlage F van NIST SP 800-82 bevat daarom een OT-overlay: een op OT afgestemde selectie van controls, aanvullingen en toelichting voor drie baselines.
- Drie impactniveaus - u bepaalt eerst of een systeem low, moderate of high impact is, op basis van FIPS 199 of de impactdefinities uit IEC 62443-3-2
- Getailorde baselines - per niveau staat welke controls gelden en hoe ze in OT uit te voeren zijn
- Compenserende maatregelen - als een control het proces zou verstoren, kiest u een alternatief en documenteert u waarom dat gelijkwaardige bescherming biedt. Een voorbeeld: operators blijven vaak continu ingelogd, dus in plaats van een account na mislukte inlogpogingen te blokkeren, logt u die pogingen en geeft u een alarm aan het securityteam
- Sectorneutraal - de overlay geldt voor alle OT-sectoren en kan verder worden aangepast per sector of per installatie
Rev. 2 bevatte nog een ICS-overlay op SP 800-53 Rev. 4; Rev. 3 sluit aan op SP 800-53 Rev. 5.
🔧 Hoe past u NIST SP 800-82 toe in de praktijk?
De gids beschrijft een volledige aanpak. In de praktijk werken organisaties meestal in deze stappen:
- Richt een OT-securityprogramma in - met een charter, een sponsor uit het management en een team van OT, IT en safety
- Maak een inventarisatie - van alle OT-assets, netwerkverbindingen en dataflows
- Beoordeel het risico - framen, beoordelen, behandelen en bewaken volgens het proces uit NIST SP 800-39, met waarschijnlijkheidsschalen uit NIST SP 800-30; houd rekening met fysieke gevolgen en safety
- Categoriseer en kies controls - bepaal het impactniveau en start met de passende baseline uit de OT-overlay
- Segmenteer het netwerk - Netwerksegmentatie volgens het Purdue Model of met zones en conduits, met een IDMZ tussen IT en OT; firewallregels staan alleen verkeer tussen aangrenzende niveaus toe
- Beveilig beheer en toegang - toegangsbeheer op basis van least privilege, een jump server voor onderhoud en externe toegang alleen met MFA
- Detecteer en reageer - Logging via Syslog naar een SIEM, passieve netwerkmonitoring en een OT-specifiek incidentresponsplan
- Onderhoud gecontroleerd - Patchmanagement na tests, in afstemming met de leverancier en geplande stilstand
Volgens de gids is Zero Trust vooral haalbaar op de hogere Purdue-niveaus (3 tot 5) en in de OT-DMZ, omdat veel controllers en veldapparaten de benodigde protocollen niet ondersteunen. Op niveau 0 kunnen sensoren en actuatoren zich meestal niet authenticeren, dus daar zijn aanvullende controles nodig, bijvoorbeeld een aparte monitoring van de veld-I/O.
🔄 Hoe verhoudt NIST SP 800-82 zich tot IEC 62443 en NIST CSF?
| Aspect | NIST SP 800-82 | IEC 62443 | NIST CSF |
|---|---|---|---|
| Herkomst | VS (NIST) | Internationaal (ISA/IEC) | VS (NIST) |
| Karakter | Gratis richtlijn met uitleg en controls | Normenreeks met eisen, certificeerbaar | Generiek raamwerk met uitkomsten |
| Scope | OT in alle sectoren | Asset owners, integrators en leveranciers | Alle organisaties, IT en OT |
| Structuur | Programma, risico, architectuur, CSF-functies, overlay | Zones en conduits, security levels, rollen | Govern, Identify, Protect, Detect, Respond, Recover |
| Certificering | Nee | Ja, voor processen, systemen en componenten | Nee |
De drie vullen elkaar aan. Het CSF geeft het overkoepelende wat, NIST SP 800-82 het OT-specifieke hoe, en IEC 62443 levert toetsbare eisen voor ontwerp, leveranciers en componenten. Rev. 3 koppelt de stappen van het Risk Management Framework al aan IEC 62443-2-1 en aan het CSF. Hoofdstuk 6 van Rev. 3 volgt nog de vijf functies van CSF 1.1; het concept voor Rev. 4 is opgebouwd rond CSF 2.0 met de nieuwe functie Govern.
🇪🇺 Is NIST SP 800-82 bruikbaar buiten de Verenigde Staten?
Ja. NIST SP 800-82 is gratis beschikbaar, niet gebonden aan Amerikaanse wetgeving en wordt wereldwijd gebruikt door vitale en industriële bedrijven. In Nederland valt een grote groep bedrijven sinds 15 augustus 2026 onder de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2. Die wet schrijft geen specifiek raamwerk voor, maar vraagt passende maatregelen op basis van risico. NIST SP 800-82 helpt om die zorgplicht voor OT concreet te maken, naast ISO 27001 voor het managementsysteem, COBIT voor IT-governance en IEC 62443 voor technische eisen. Zo ondersteunt de gids bredere compliance- en Risicomanagementprogramma’s, zonder ze te vervangen.
❓ Veelgestelde vragen
Is NIST SP 800-82 verplicht?
NIST SP 800-82 is een vrijwillige richtlijn en geen wet of certificeerbare norm. Amerikaanse federale instanties kunnen de OT-overlay gebruiken om NIST SP 800-53 op hun OT-systemen toe te passen; voor bedrijven in Europa is de gids een hulpmiddel om aan eisen zoals NIS2 te voldoen.
Wat is het verschil tussen NIST SP 800-82 Rev. 2 en Rev. 3?
NIST SP 800-82 Rev. 2 uit 2015 richtte zich op industriële besturingssystemen (ICS) en bevatte een overlay op SP 800-53 Rev. 4. Rev. 3 uit september 2023 verbreedt de scope naar alle operationele technologie, actualiseert dreigingen en architecturen en bevat een overlay op SP 800-53 Rev. 5.
Kunt u zich laten certificeren tegen NIST SP 800-82?
Certificering tegen NIST SP 800-82 bestaat niet, omdat de gids geen toetsbare eisenset is. Organisaties die een certificaat willen, kijken naar IEC 62443 voor OT-systemen en componenten of naar ISO 27001 voor het managementsysteem. NIST SP 800-82 kan wel als referentie dienen bij een interne audit of assessment.
Wat is een overlay in NIST SP 800-82?
Een overlay in NIST SP 800-82 is een op OT afgestemde versie van de controlbaselines uit NIST SP 800-53. De overlay geeft per impactniveau (low, moderate, high) aan welke controls gelden en hoe u ze toepast zonder het proces te verstoren.
Komt er een nieuwe versie van NIST SP 800-82?
NIST publiceerde op 21 september 2026 het eerste publieke concept van NIST SP 800-82 Rev. 4, met een commentaarperiode tot 30 november 2026. Dat concept is opgebouwd rond NIST CSF 2.0 en besteedt meer aandacht aan sectoren zoals water, gebouwautomatisering, spoor en scheepvaart, aan Zero Trust en aan assetbeheer.
Voor wie is NIST SP 800-82 bedoeld?
NIST SP 800-82 is bedoeld voor procesingenieurs, OT-beheerders, IT-securityspecialisten, auditors en leveranciers die OT-systemen ontwerpen, beheren of beveiligen. De gids is bruikbaar in elke sector met programmeerbare systemen die de fysieke wereld besturen, van fabrieken en nutsbedrijven tot gebouwen en transport.
📌 Samengevat
NIST SP 800-82 is de gratis, vrijwillige NIST-gids voor het beveiligen van operationele technologie, met uitleg over OT-architecturen en -dreigingen, een aanpak voor risicomanagement en een OT-overlay op NIST SP 800-53. Sinds Rev. 3 (september 2023) dekt de gids alle OT in plaats van alleen ICS. Samen met het NIST CSF en IEC 62443 vormt NIST SP 800-82 een bruikbare basis voor security en cybersecurity in fabrieken, nutsbedrijven en andere vitale infrastructuur, ook in Europa onder NIS2.