VSP

Wat is VSP?

VSP (Vraagspecificatie Proces Eisen) is de verzameling proceseisen in de CSIR die vastlegt hoe een organisatie of opdrachtnemer de cybersecurity van de industriële automatisering van objecten zoals gemalen, sluizen, bruggen en zuiveringen organiseert, uitvoert en aantoont. Waar de tegenhanger VSE eisen stelt aan het systeem zelf, gaat VSP over werkwijzen: wie verantwoordelijk is, hoe wijzigingen, patches en incidenten verlopen en hoe dat wordt vastgelegd. In de CSIR staan de VSP-controls in paragraaf 1.1, als vertaling van de BIO naar een baseline voor industriële automatisering. Daarnaast bestaat een contractuele versie: genummerde VSP-eisen voor aannemers in Design & Construct-contracten.

🧠 Waar komt de afkorting VSP vandaan?

De afkorting komt uit de contractwereld van Rijkswaterstaat. Bij een Design & Construct-opdracht, gebaseerd op de UAV-GC, beschrijft de opdrachtgever zijn vraag in een vraagspecificatie. De modeldocumenten van Rijkswaterstaat splitsen die op in onder meer de Vraagspecificatie Eisen, met de eisen aan het object, en de Vraagspecificatie Proces, met de eisen aan de processen van de opdrachtnemer. VS staat dus voor vraagspecificatie, de P voor proces en de E (bij VSE) voor eisen. Rijkswaterstaat stelt procesmatige eisen bewust terughoudend: alleen werkzaamheden die de opdrachtgever echt belangrijk vindt, krijgen een proceseis.

De CSIR (Cybersecurity Implementatierichtlijn Objecten) van Rijkswaterstaat en Het Waterschapshuis neemt dat onderscheid over. Hoofdstuk 1, “Generieke controls en beheersdoelen”, is in twee delen gesplitst:

Elke rij in die tabellen heeft drie kolommen: de BIO-bron (het nummer van de oorspronkelijke BIO-control), de vertaalslag van die BIO-control naar een baseline voor industriële automatisering, en de VSP- of VSE-control set die daaruit volgt. De BIO-nummers volgen de hoofdstukindeling van ISO 27002:2013, van 5 (beleid) tot en met 18 (naleving).

VSP is dus geen vrij gekozen label, maar de procesdimensie van de BIO-vertaling in de CSIR.

🔄 Wat is het verschil tussen VSP en VSE?

Het onderscheid is eenvoudig te onthouden: VSE beschrijft wat het systeem technisch moet kunnen, VSP beschrijft hoe mensen en organisaties de beveiliging inrichten en beheren. Beide hebben elkaar nodig. Een firewall plaatsen is een VSE-onderwerp, maar zonder een proces voor wijzigingen, beheer en review raakt de configuratie na een paar jaar verouderd.

Veel onderwerpen komen aan beide kanten terug. Patchen, back-ups en logging hebben een procesdeel (wie doet wat, hoe vaak, met welke rapportage) en een systeemdeel (de techniek moet het ondersteunen).

🔧 Wat staat er in de VSP-controls van de CSIR?

De VSP-controls in paragraaf 1.1 beginnen met een topeis: gevaar of schade door verstoring, uitval of misbruik van IA, PA en OT moet worden voorkomen, en ontstane schade moet worden hersteld. Daaronder volgen onder meer deze proceseisen:

• Weerstandsniveau en terugvaloptie - de processen volgen standaard cybersecurity weerstandsniveau 1, tenzij voor een object een ander niveau geldt. Waar de CSIR geen maatregel biedt, volgt u NEN-ISO/IEC 27002 en IEC 62443.
• Comply or explain - afwijkingen en tijdelijk uitgestelde implementaties worden vastgelegd in het Cybersecurity Dossier of Cybersecurity Beveiligingsplan.
• Jaarlijkse audit en PDCA - minstens eens per jaar een audit naar opzet, bestaan en werking van de maatregelen, en een jaarlijkse evaluatie van het dossier.
• Rollen - cybersecurityverantwoordelijkheden met functiescheiding, een security functionaris en een sleutelfunctionaris met relevante kwalificaties.
• Personeel - geheimhouding en een Verklaring Omtrent het Gedrag waar de functie dat vraagt, plus training volgens paragraaf 2.7 en de beveiligingshuisregels uit bijlage CSR 17.
• Toegang - remote toegang alleen via centrale, gemonitorde voorzieningen en na een formele aanvraag met risicoafweging.
• Wijzigen en patchen - een wijzigingsprocedure volgens paragraaf 2.8 (change management), spoedpatches als zowel de kans op misbruik als de verwachte schade hoog zijn, en een gemotiveerde rapportage met formele instemming als er niet wordt gepatcht.
• Incidenten - een centraal meldpunt, direct melden, maandelijkse rapportage volgens CSR 21, een incident response plan volgens CSR 14, probleembeheer en een Coordinated Vulnerability Disclosure-procedure volgens de leidraad van het NCSC.
• Assume breach - een recoveryplan volgens CSR 15, een back-up- en recoveryproces dat jaarlijks wordt beproefd, en een continuïteitsplan voor stroomuitval (CSR 12).
• Risico en inkoop - een risicoanalyse volgens NEN-ISO/IEC 27005 vóór het ontwerp, daarna minstens jaarlijks, en een afweging volgens de leidraad Nationale Veiligheid bij inkoop en aanbestedingen.

🏗️ Hoe worden VSP-eisen in contracten gebruikt?

Voor marktpartijen publiceert CERT-WM naast de CSIR een eisenlijst met de titel “VSE + VSP eisen generieke versie CSIR 3.4” (versie 1.1 van 14 juli 2022), afkomstig uit de ICO-wizard (Inkoopeisen Cybersecurity Overheid). Het blad heet “RWS proces (VSP) en systeem (VSE) eisen”. Als bron noemt het de Vraagspecificatie Proces D&C en de basisspecificatie Cybersecurity (GRIP). Elke eis heeft een BIO-bron, een type, een nummer, een titel en een contracttekst. Let op het versienummer: CERT-WM noemt de richtlijn “CSIR 3.4”, maar de pdf zelf draagt versie 3.0 van 14 september 2021, op 16 september 2021 formeel vastgesteld voor Rijkswaterstaat en de waterschappen.

De VSP-eisen zijn genummerd van VSP01 tot en met VSP69 en richten zich op de Opdrachtnemer. Enkele voorbeelden:

Andere VSP-eisen verwijzen naar bijlagen van de CSIR, zoals CSR 19 (intellectueel eigendom en escrow van software) en CSR 20 (camera’s en camerabeelden). Voor softwareontwikkeling verwijzen ze naar “Grip op Secure Software Development (SSD)” van het CIP. De VSE-eisen in hetzelfde blad lopen van VSE01 tot en met VSE39 en gaan over het beheerobject zelf.

🛠️ Hoe voldoet u als opdrachtnemer aan VSP?

Een aannemer of systeemintegrator die met VSP-eisen te maken krijgt, kan het beste vanaf de start van het project een vaste aanpak volgen:

1. Lees de vraagspecificatie - stel vast welke VSP-eisen in uw contract staan en welk weerstandsniveau voor het object geldt.
2. Stel het cybersecurity plan op - beschrijf per eis hoe u eraan voldoet, en gebruik het template Cybersecurity Beveiligingsplan dat bij de CSIR hoort.
3. Beleg de rollen - wijs de sleutelfunctionaris aan, regel geheimhouding en VOG’s, en zorg dat ook uw onderaannemers de eisen toepassen (leveranciersbeveiliging).
4. Veranker het in uw systemen - neem de eisen op in uw projectmanagementsysteem of ISMS, zodat afwijkingen als kwaliteitsafwijking worden behandeld.
5. Bouw het dossier op - registreer configuratie-items, wijzigingen, risicoanalyses, testresultaten en afwijkingen doorlopend, niet pas bij oplevering.
6. Laat het toetsen - plan de jaarlijkse audit en werk mee aan pentests en monitoring als uw netwerk gekoppeld is aan dat van de opdrachtgever.

Een veelgemaakte fout is VSP als papieren exercitie te zien. Een opdrachtgever vraagt niet om een mooie procesbeschrijving, maar om bewijs dat het proces werkt: een ingevuld wijzigingslogboek, een beproefde back-up en een getest incidentproces.

❓ Veelgestelde vragen

Waar staat VSP voor in de CSIR?

VSP staat voor Vraagspecificatie Proces Eisen. In de CSIR zijn het de proceseisen in paragraaf 1.1, die vastleggen hoe de cybersecurity van industriële automatisering wordt georganiseerd. De tegenhanger VSE bevat de systeemtechnische eisen.

Wat is het verschil tussen VSP en VSE?

VSP gaat over processen en werkwijzen, zoals verantwoordelijkheden, wijzigingsbeheer, incidentmelding en audits. VSE gaat over de technische inrichting van het systeem, zoals netwerkkoppelingen, hardening en logging. Een maatregel is meestal pas effectief als zowel de VSP- als de VSE-kant is ingevuld.

Voor wie gelden de VSP-eisen?

De VSP-controls in de CSIR gelden voor de organisatie die objecten met industriële automatisering beheert, zoals Rijkswaterstaat of een waterschap. In contracten worden ze vertaald naar genummerde VSP-eisen voor de opdrachtnemer, bijvoorbeeld de aannemer in een Design & Construct-contract.

Waar vind ik de officiële lijst met VSP-eisen?

CERT-WM publiceert voor marktpartijen de CSIR, de eisenlijst “VSE + VSP eisen generieke versie CSIR 3.4” en het template voor het cybersecurity beveiligingsplan. Welke VSP-eisen precies in een opdracht gelden, staat in de vraagspecificatie van dat contract.

Zijn VSP-eisen afgeleid van de BIO?

Ja, elke VSP-control in de CSIR verwijst naar een BIO-bron en geeft de vertaling van die BIO-control naar industriële automatisering. Waar de CSIR geen maatregel geeft, valt u terug op NEN-ISO/IEC 27002 en IEC 62443.

Wat moet een opdrachtnemer opleveren voor VSP?

Een opdrachtnemer levert onder meer een procesbeschrijving (cybersecurity plan), een actueel cybersecurity dossier, auditrapportages en een incident response plan aan. Afwijkingen van de eisen worden gemeld en in het dossier vastgelegd volgens het principe comply or explain.

📌 Samengevat

VSP is de procesdimensie van de CSIR. In paragraaf 1.1 vertaalt de richtlijn BIO-controls naar proceseisen voor de beveiliging van gemalen, sluizen, bruggen en andere objecten. In contracten worden die eisen genummerde verplichtingen voor de opdrachtnemer. Samen met VSE vormen ze de complete set: techniek die goed is ingericht, en processen die ervoor zorgen dat die techniek veilig blijft. Meer over de sector leest u in OT-security in de watersector.

VSP (Vraagspecificatie Proces Eisen) legt vast hoe cybersecurity rond industriële automatisering wordt georganiseerd, beheerd en aangetoond; VSE legt vast wat het systeem technisch moet kunnen.