VSE

Wat is VSE?

VSE is de set technische cybersecurity-eisen uit de CSIR die vastlegt hoe de ICT en industriële automatisering (IA) van een object zoals een gemaal, sluis of brug zelf beveiligd moet zijn. De afkorting komt uit de contractpraktijk van Rijkswaterstaat, waar de Vraagspecificatie Eisen (VSE) het contractdocument is met de eisen aan het op te leveren werk. In de generieke eisenlijst die CERT-WM bij de CSIR publiceert, heet het onderdeel voluit “Vraagspecificatie Systeemtechnische Eisen”. VSE heeft een tegenhanger, VSP, met de eisen aan processen en werkwijzen. Kort gezegd beschrijft VSE wat het systeem technisch moet kunnen en beveiligen, en VSP hoe de opdrachtnemer die beveiliging organiseert en beheert.

📜 Waar komen de afkortingen VSE en VSP vandaan?

VSE en VSP zijn geen termen die de CSIR heeft bedacht. Bij Rijkswaterstaat bestaat de vraagspecificatie van een geïntegreerd contract onder de UAV-GC (zoals Design & Construct) traditioneel uit twee delen:

• Vraagspecificatie Eisen (VSE) - de eisen aan het werk zelf, vaak gegroepeerd per object in een objectenboom.
• Vraagspecificatie Proces (VSP) - de eisen aan de processen van de opdrachtnemer, zoals projectmanagement, kwaliteitsborging en verificatie.

De CSIR sluit bij die indeling aan. De controls voor de techniek heten in de richtlijn “Systeemeisen (VSE) controls”, de controls voor de werkwijze “Proceseisen (VSP) controls”. Zo is direct duidelijk in welk contractdocument een cybersecurity-eis terechtkomt. In de eisenlijst van CERT-WM zijn de koppen uitgeschreven als “Vraagspecificatie Systeemtechnische Eisen (VSE)” en “Vraagspecificatie Proces Eisen (VSP)“. Daarom komt u beide uitschrijvingen van VSE tegen; ze verwijzen naar hetzelfde document.

🎯 Waarom bestaan VSE-eisen?

De CSIR (Cybersecurity Implementatierichtlijn Objecten) van Rijkswaterstaat en Het Waterschapshuis vertaalt de BIO naar industriële automatisering en vult die aan met maatregelen uit IEC 62443. De richtlijn zelf is echter geen contractdocument. In de CSIR staat expliciet dat de richtlijn bij aanbestedingen niet in deze vorm onderdeel van de vraagspecificaties kan worden. Eerst is een vertaalslag van de controls uit hoofdstuk 1 nodig naar eisen die passen bij inkoopvoorwaarden zoals ARBIT/ARVODI of de UAV-GC.

VSE en VSP zijn precies die vertaalslag. Een opdrachtnemer kan niet zonder meer worden afgerekend op een richtlijn van ruim honderd pagina’s met bijlagen, wel op genummerde contracteisen die naar die richtlijn verwijzen. In de contracteisen wordt de CSIR daarom als bijlage meegegeven. De richtlijn splitst zijn basiscontrols in twee groepen:

• Proceseisen (VSP) - paragraaf 1.1 van de CSIR, over organisatie, plannen, audits, incidentafhandeling en personeel.
• Systeemeisen (VSE) - paragraaf 1.2 van de CSIR, over de technische inrichting van de ICT en IA van het object.

Zo weet een aannemer precies welk deel van de eisen in het ontwerp en de bouw van de installatie moet landen, en welk deel in zijn werkwijze.

🧠 Hoe werkt VSE?

In hoofdstuk 1 van de CSIR, “Generieke controls en beheersdoelen”, staat elke control in een tabel met drie kolommen: de BIO-bron (het nummer van de oorspronkelijke BIO-control), de vertaalslag van die control naar een baseline voor IA, en de VSE- of VSP-control set. Die nummering volgt de hoofdstukken van de oorspronkelijke BIO, die gebaseerd is op ISO 27002:2013, zoals 9 (toegangsbeveiliging), 10 (cryptografie), 11 (fysieke beveiliging), 12 (beveiliging bedrijfsvoering) en 13 (communicatiebeveiliging).

De VSE-controls verwijzen bijna altijd door naar een verdiepende paragraaf uit hoofdstuk 2 van de CSIR of naar een bijlage (CSR). Hoofdstuk 2 bevat tien maatregelpakketten, uitgesplitst per cybersecurity-weerstandsniveau. Dat niveau volgt uit de functiebox-indeling van het object, die u bepaalt met een business impact analyse:

Hoe hoger de functiebox, hoe weerbaarder het object tegen cyberaanvallen moet zijn. De VSE-topeis bepaalt dat weerstandsniveau 1 geldt, tenzij voor het object een ander niveau is aangegeven. Voor losse IA-componenten in het veld zonder functiebox geldt ook altijd niveau 1. Daarnaast geldt een ketenregel: wordt object A bediend of beheerd vanuit een lager geclassificeerd object B, dan gaat object B naar het niveau van object A.

🔧 Welke eisen staan er in de VSE?

Rijkswaterstaat heeft de systeemeisen uitgewerkt tot contractteksten. CERT-WM publiceert die voor marktpartijen als spreadsheet “VSE + VSP eisen generieke versie CSIR 3.4”, gemaakt met de ICO-wizard (Inkoopeisen Cybersecurity Overheid, het hulpmiddel om BIO-eisen in aanbestedingen op te nemen). Versie 1.1 is van 14 juli 2022. Het blad heet “RWS proces (VSP) en systeem (VSE) eisen” en noemt als bron de Vraagspecificatie Proces D&C en de basisspecificatie Cybersecurity (GRIP). Het bevat systeemeisen genummerd VSE01 tot en met VSE39, die steeds gaan over “de ICT en IA van het beheerobject”.

De CSIR noemt bij die laatste eis voorbeelden van een fail-safe ontwerp: unpowered, hold of fixed. Voor een beweegbare brug of een stuw is dat een echte ontwerpkeuze, geen IT-instelling. Opvallend is ook VSE13: IA buiten beveiligde gebouwen moet op basis van een risicoafweging in afsluitbare kasten staan die bij opening een alarm geven dat ook wordt opgevolgd. Dat raakt de kastenbouwer net zo goed als de netwerkontwerper.

🔄 Hoe verhoudt VSE zich tot VSP?

VSE en VSP zijn twee helften van dezelfde baseline. Beide komen voort uit dezelfde BIO-controls en verwijzen naar dezelfde verdiepende paragrafen, maar ze richten zich op een ander onderwerp.

Het verschil is goed te zien bij patchen. VSE eist dat de installatie gepatcht is volgens paragraaf 2.5.3 en bijlage CSR 8. VSP eist dat de opdrachtnemer de processen heeft om dat vol te houden, zoals gecontroleerd wijzigen volgens paragraaf 2.8. Een installatie die bij oplevering is bijgewerkt maar door niemand wordt onderhouden, voldoet dus alleen op de dag van oplevering. Een firewall plaatsen heeft weinig zin als niemand verantwoordelijk is voor het beheer ervan.

🏭 Hoe past u VSE toe in een project?

Voor een opdrachtgever, zoals een waterschap of Rijkswaterstaat, en voor een aannemer of systeemintegrator ziet de praktijk er meestal zo uit:

1. Classificeer het object - bepaal met een business impact analyse de functiebox en dus het weerstandsniveau. Zonder classificatie geldt niveau 1.
2. Selecteer de relevante eisen - de opdrachtgever neemt de van toepassing verklaarde controls op in de vraagspecificatie. Niet elke eis is in elke opdracht van toepassing; een project zonder draadloze verbindingen heeft geen wifi-eis nodig.
3. Ontwerp volgens de verwijzingen - elke VSE-eis verwijst naar een paragraaf of CSR-bijlage. Daar staan de concrete maatregelen voor het gekozen weerstandsniveau. Ontbreekt een maatregel in de CSIR, dan volgt de opdrachtnemer ISO 27002 en/of delen van IEC 62443.
4. Leg vast - CERT-WM biedt naast de eisenlijst een template voor het cybersecurity-beveiligingsplan en een Excel-datamodel voor een CMDB van IA/PA/OT-assets.
5. Test en toon aan - beveiligingsfuncties worden onderdeel van FAT, SAT en SIT. Zo wordt bijvoorbeeld getest of de installatie echt naar de vooraf bepaalde veilige toestand gaat.
6. Behandel afwijkingen - een afwijking van de baseline moet onderbouwd worden met een risicoanalyse en afweging en worden behandeld via de explain-procedure.

Omdat de VSE-eisen technisch zijn, landen ze vroeg in het ontwerp. Wie ze pas bij de oplevering bekijkt, moet netwerken, kasten of besturingen vaak opnieuw inrichten. Dat sluit aan bij Security by Design.

❓ Veelgestelde vragen

Waar staat de afkorting VSE voor?

VSE staat in Rijkswaterstaat-contracten voor Vraagspecificatie Eisen, het contractdeel met de eisen aan het werk zelf. In de CSIR-eisenlijst van CERT-WM heet het cybersecurity-deel voluit Vraagspecificatie Systeemtechnische Eisen. Beide verwijzen naar de technische eisen; de procesmatige tegenhanger heet VSP.

Waar vind ik de officiële VSE-eisen?

De VSE-controls staan in paragraaf 1.2 van de CSIR en als contractteksten in de spreadsheet “VSE + VSP eisen generieke versie CSIR 3.4”. CERT-WM publiceert beide op de pagina met documenten voor marktpartijen. Daar staan ook een template voor het cybersecurity-beveiligingsplan en een CMDB-template.

Hoeveel VSE-eisen zijn er?

De generieke eisenlijst van juli 2022 nummert de systeemeisen van VSE01 tot en met VSE39. In een concreet contract kan dat aantal kleiner zijn, omdat de opdrachtgever alleen de relevante eisen opneemt. De onderliggende maatregelen hangen af van het weerstandsniveau van het object.

Gelden VSE-eisen alleen voor Rijkswaterstaat?

Nee, de CSIR is sinds versie 3.0 vastgesteld voor Rijkswaterstaat en de waterschappen. Ook andere beheerders van objecten met industriële automatisering kunnen de VSE-eisen in hun vraagspecificatie opnemen. Het gaat dan om objecten zoals gemalen, sluizen, bruggen en zuiveringen.

Zijn VSE-eisen hetzelfde als IEC 62443?

Nee, VSE-eisen zijn afgeleid van de BIO, maar de onderliggende CSIR-maatregelen zijn per weerstandsniveau gekoppeld aan IEC 62443. Weerstandsniveau 1 komt grotendeels overeen met Security Level 1 uit IEC 62443. Waar de CSIR geen maatregel biedt, verwijzen de contracteisen naar ISO 27002 of IEC 62443.

Moet een aannemer zowel VSE als VSP naleven?

Ja, een aannemer moet in een contract met cybersecurity-eisen meestal aan beide voldoen. VSE bepaalt hoe de opgeleverde installatie technisch beveiligd is. VSP bepaalt hoe de aannemer de beveiliging tijdens het werk organiseert, vastlegt en beheert.

📌 Samengevat

VSE is het technische deel van de CSIR-baseline, vertaald naar contracteisen voor de ICT en IA van objecten; de naam komt van de Vraagspecificatie Eisen uit Rijkswaterstaat-contracten.

De generieke VSE-eisen VSE01 tot en met VSE39 gaan over gelaagde beveiliging, toegang, cryptografie, fysieke beveiliging, hardening, patching, logging, netwerkscheiding, testen en een veilige toestand bij een aanval. Elke eis verwijst naar een paragraaf of bijlage van de CSIR, waar de maatregelen per weerstandsniveau staan. Samen met de proceseisen uit VSP vormen ze de basis voor cybersecurity in aanbestedingen voor de watersector en de infrastructuur.