CIS Controls.
Cyberverdediging prioriteren, de passende Implementation Group onderbouwen en de implementatie in de eigen bedrijfsvoering navolgbaar toetsen.
- CIS Critical Security Controls v8.1
- Door Jonathan Bezdek
- Stand: 22-10-2026
- Leestijd: 7 min.
Kort antwoord.
CIS Controls zijn geprioriteerde aanbevelingen van het Center for Internet Security voor cyberverdediging. Versie 8.1 ordent 153 Safeguards in 18 thema’s. Implementation Groups helpen een start te maken op basis van risico’s en beschikbare middelen. De groepen bouwen op elkaar voort; gedocumenteerde implementatie is noch automatisch certificering, noch bewijs van alle wettelijke verplichtingen.
CIS Controls v8.1 als praktische oriëntatie.
CIS Controls structureren de selectie van beschermingspraktijken voor systemen en netwerken. Een Control is een thema; de bijbehorende Safeguards beschrijven concretere werkgebieden. De uitgeverspagina over v8.1 noemt deze versie een iteratieve herziening van v8, onder meer met verduidelijkte begrippen, aangepaste assetklassen en de relatie met NIST CSF 2.0.
De aanbevelingen vormen geen algemeen geldende wettelijke verplichting. Een organisatie kan ze als werkbasis afspreken; klanten of contracten kunnen bepaalde bewijzen verlangen. De CIS-FAQ verduidelijkt expliciet dat de Controls andere regelgevende of formele validatieprocedures niet vervangen. De selectie moet daarom bij de eigen diensten en aanvullende verplichtingen passen.
CIS Controls en CIS Benchmarks hebben verschillende taken. Controls betreffen algemene beschermingspraktijken, Benchmarks de veilige configuratie van bepaalde producten en technologieën. Een configuratiebevinding kan een implementatiebeoordeling ondersteunen, maar beantwoordt niet alle organisatorische vragen. De uitgever beschrijft dit onderscheid in de Controls-FAQ.
Implementation Groups kiezen op basis van risico’s en middelen.
Implementation Groups helpen organisaties van verschillende groottes bij het prioriteren. Volgens het CIS-groepenoverzicht tellen risicoprofiel en beschikbare middelen. IG1 omvat 56 fundamentele Safeguards; CIS beveelt deze start voor elke organisatie aan. Beperkte beveiligingsmiddelen verklaren de gerichtheid, maar rechtvaardigen geen algemene uitzondering op verdergaande risico’s of contractuele eisen.
IG2 vult de IG1-selectie aan met 74 Safeguards voor grotere operationele complexiteit. De uitgeverspagina beschrijft onder meer eigen IT-verantwoordelijken, verschillende afdelingen en gevoeligere informatie. IG2 betekent daarom niet dat alleen de aanvullende punten worden behandeld en de basis wordt overgeslagen. De gehele afgesproken scope is bepalend.
IG3 voegt nog 23 Safeguards toe en omvat daarmee alle 153. CIS beschrijft daarvoor onder meer gespecialiseerde beveiligingsexpertise en het omgaan met gerichte aanvallen. Deze groepen vormen geen algemene volwassenheidsschaal: een gekozen groep zegt op zichzelf noch of de maatregelen werken, noch welke restrisico’s de organisatie heeft geaccepteerd.
De belangrijkste werkgebieden van cyberverdediging.
De volgende zes gebieden bundelen het werk met de CIS Controls redactioneel; ze vormen geen nieuwe officiële catalogusstructuur. Voor de concrete selectie blijven de gepubliceerde versie, de afgesproken Implementation Group en de onderzochte bedrijfsvoering bepalend.
Middelen en gegevens begrijpen.
Beschermingsbeslissingen vereisen een navolgbaar overzicht van de daadwerkelijk gebruikte systemen, software en informatie. Als praktische voorbereiding moeten verantwoordelijken bepalen welke dienst wordt onderzocht en welke afhankelijkheden die ondersteunen. Een inventaris verliest haar waarde wanneer operationele wijzigingen er niet meer in worden verwerkt of niemand de volledigheid kan beoordelen.
Veilige configuratie en kwetsbaarheidsbeheer verbinden.
Configuratie, ondersteunde software en de behandeling van bekende kwetsbaarheden grijpen in elkaar. Voor de implementatie is aan te raden om naast het technische voorschrift ook verantwoordelijkheid en wijzigingsroute vast te leggen. Productspecifieke Benchmarks kunnen helpen bij configuratiebeoordeling; ze vervangen niet de beslissing welke systemen en bedrijfsomstandigheden bij de beoordeling horen.
Identiteiten en toegang beheren.
Toegangsrechten moeten passen bij taken en beschermingsbehoefte. Een praktische beoordeling moet zowel instellingen als de stappen bij indiensttreding, functiewijziging en uitdiensttreding bekijken. Een correct ingericht accounttype bewijst nog niet dat verouderde toegang betrouwbaar wordt herkend en ingetrokken; passende operationele registraties helpen daarbij.
Waarneming en reactie afstemmen.
Beveiligingsinformatie moet personen bereiken die deze kunnen beoordelen en behandelen. Bepaal voor de implementatie wie meldingen toetst, hoe een incident wordt doorgegeven en welke vervanger inspringt. Alleen de beschikbaarheid van een tool verklaart die verantwoordelijkheden niet. Een geoefende reactietaak kan laten zien of de afgesproken procedure daadwerkelijk werkt.
Herstel en dienstverleners meenemen.
De onderzochte prestatie hangt vaak af van back-ups, externe diensten en afgesproken ondersteuningsroutes. Toets praktisch wie bij een onderbreking welke dienst kan herstellen en welke informatie daarvoor nodig is. Bewijs moet de eigen gebruiksscope zichtbaar maken; het rapport van een dienstverlener beantwoordt niet automatisch alle taken van diens klanten.
Mensen en toetsing betrekken.
Beschermingspraktijken vereisen begrijpelijke taken en beoordeling van de implementatie. Als hulpmiddel kunnen teams vastleggen wie een maatregel uitvoert, welke waarneming de toestand laat zien en wanneer herbeoordeling plaatsvindt. Aanpassingen zijn zinvol wanneer diensten, dreigingen of verantwoordelijkheden veranderen. Een eenmalig ingevulde vragenlijst geeft die veranderingen niet vanzelf weer.
CIS Controls stapsgewijs toepassen.
De onderzochte dienst afbakenen.
Beschrijf als praktische eerste stap de dienst, de systemen, informatie en externe afhankelijkheden zo dat de latere beoordeling een herkenbare grens heeft.
Groep en aanvullende eisen onderbouwen.
Kies op basis van risico’s en middelen een Implementation Group en leg vast welke andere wettelijke of contractuele eisen afzonderlijk moeten worden meegenomen.
Implementatie en verantwoordelijkheid afspreken.
Vertaal de gekozen werkbasis naar concrete taken en benoem voor elke taak een persoon met passende verantwoordelijkheid en bevoegdheid.
Operationele registraties verzamelen.
Koppel de implementatie aan geschikte configuraties, toetsregistraties of procesbewijzen en vermeld hun scope en onderzochte periode.
Beoordeling en verbetering verbinden.
Toets de zeggingskracht van bewijsstukken, behandel geconstateerde afwijkingen en bepaal waaraan het effect van een correctie herkenbaar moet zijn.
Bij wijzigingen opnieuw beslissen.
Toets selectie, verantwoordelijkheden en bewijsvoering opnieuw wanneer dienst, risicoprofiel of beschikbare middelen wezenlijk veranderen.
Wat een CIS Controls-assessment zegt.
Een assessment is alleen betekenisvol binnen de beschreven scope. Leg vast welke versie en selectie zijn beoordeeld, welke systemen zijn gedekt en op welke bewijsstukken het resultaat berust. Een zelfbeoordeling kan werk structureren; alleen een groepslabel of een totaalwaarde verklaart de feitelijke implementatie nog niet.
De CIS Controls Assessment Specification biedt een basis voor een gemeenschappelijk begrip van de beoordeling van Safeguards. De openbare documentatie vermeldt een versie voor v8.1. Welke concrete procedure en steekproeven voor uw doel nodig zijn, moet vóór een onderzoek worden afgesproken; dit overzicht geeft geen afzonderlijke toetsinstructies weer.
CIS Controls Accreditation betreft gekwalificeerde aanbieders van implementatie-, audit- of assessmentdiensten. De openbare programmapagina beschrijft hun competentiebevestiging en de selectie van een geschikte dienstverlener. Dat moet van de beoordeling van de klantorganisatie worden onderscheiden. Daaruit volgt noch een algemeen certificaat voor elke Controls-gebruiker, noch een vaste geldigheidsduur voor de eigen implementatieregistraties.
Andere frameworks aanvullend bekijken.
NIST CSF structureert gewenste beveiligingsresultaten, terwijl de CIS Controls helpen bij het prioriteren van praktische beschermingswerkzaamheden. ISO 27001 behandelt het managementsysteem en de onafhankelijke certificering daarvan. NIST SP 800-53 biedt een bredere catalogus van beveiligings- en privacymaatregelen. PCI DSS stelt afzonderlijke eisen aan de bescherming van betaalkaartgegevens; een Controls-selectie vervangt het betreffende bewijs niet.
In Secani.
Secani biedt een eigen redactionele ondernemingscatalogus op basis van CIS Controls v8.1. Profielgegevens leggen onder meer de afgesproken Implementation Group, cloud, OT en eigen softwareontwikkeling vast. De groepen worden behandeld als cumulatieve prioritering, niet als certificering of volwassenheidsbeoordeling; de catalogus is geen officiële CIS-vertaling en onafhankelijke inhoudelijke goedkeuring staat nog open.
Begin met een onderbouwde werkbasis.
Kies een dienst waarvan de beschermingspraktijk navolgbaar moet worden verbeterd. Spreek met de verantwoordelijken de scope, onderliggende versie en passende Implementation Group af. Leg daarbij vast wie beslist over aanvullende maatregelen of geaccepteerde risico’s.
Toets vervolgens voor deze scope welk operationeel bewijs al beschikbaar is en welke uitspraak dat toestaat. Plan ontbrekend werk met verantwoordelijken en termijnen. Zo ontstaat een toetsbare taak voordat een uitgebreid maatregelenprogramma naar de hele organisatie wordt uitgerold.
Bronnen.
Veelgestelde vragen.
Nee. Implementation Groups prioriteren een cumulatieve selectie op basis van risico’s en middelen; ze vormen geen certificerings- of algemene volwassenheidsschaal.
Ja. IG2 vult de 56 Safeguards van IG1 aan met nog 74; IG3 voegt vervolgens 23 toe en omvat daarmee alle 153.
Nee. Controls beschrijven algemene beschermingspraktijken, Benchmarks de hardening van bepaalde producten en technologieën; een configuratietoets beoordeelt daarom niet automatisch de gehele Controls-implementatie.
Nee. Een gekozen Controls-werkbasis en de onafhankelijke beoordeling van een ISMS hebben verschillende betekenissen; aanvullende wettelijke of contractuele bewijsvereisten moeten afzonderlijk worden getoetst.
Beschermingswerk navolgbaar prioriteren.
Bespreek hoe u uw gekozen scope, verantwoordelijkheden en bewijsmateriaal in Secani kunt behandelen.
Deze pagina licht CIS Controls in eigen woorden toe en vervangt de uitgeverspublicaties of deskundig onderzoek niet. De afgesproken versie, onderzochte scope en toepasselijke eisen zijn bepalend.