NIST CSF.
Cyberbeveiligingsrisico’s beschrijven met een gemeenschappelijke resultaattaal en verbeteringen prioriteren binnen de passende scope.
- NIST CSWP 29 · CSF 2.0
- Door Jonathan Bezdek
- Stand: 22-10-2026
- Leestijd: 7 min.
Kort antwoord.
NIST CSF is een kader voor het beheersen van cyberbeveiligingsrisico’s voor organisaties van verschillende groottes en sectoren. Het NIST Cybersecurity Framework 2.0 ordent gewenste resultaten in zes functies. Actuele en beoogde profielen helpen verbeteringen te prioriteren. Het kader schrijft geen uniforme maatregelenlijst voor; Tiers beschrijven de mate waarin risicobeheersing is ingericht.
Het NIST Cybersecurity Framework 2.0.
NIST CSF 2.0 beschrijft resultaten waarover directie, vakafdelingen en beveiligingsteams gezamenlijk kunnen spreken. De uitgave is op 26 februari 2024 gepubliceerd als NIST CSWP 29. De actuele uitgeverspagina vermeldt nog steeds deze basisuitgave; aanvullende leidraden en Community Profiles vullen de toepassing aan. Een later gepubliceerd begeleidend document is daarom niet automatisch een nieuwe frameworkversie.
De Core ordent resultaten naar functies, categorieën en subcategorieën. Een Organizational Profile legt vast welke resultaten voor een bepaalde scope worden bereikt of nagestreefd. De Tiers bieden aanvullende context voor risicobeheersing. NIST SP 1299 licht deze drie bouwstenen afzonderlijk toe: een themaoverzicht, een profiel en een typering van de werkwijze beantwoorden verschillende vragen.
De concrete implementatie blijft contextafhankelijk. NIST CSWP 29, paragraaf 1, richt zich op verschillende sectoren en organisatiegroottes zonder een identieke maatregelencatalogus voor te schrijven. Voor operationele toepassing betekent dit: een resultaat moet worden verbonden met de eigen diensten, risico’s en verantwoordelijkheden voordat daaruit een zinvolle implementatietaak ontstaat.
Voor wie NIST CSF geschikt is.
NIST CSF is geschikt voor organisaties die beveiligingsprioriteiten begrijpelijk willen onderbouwen en met hun bedrijfsdoelen willen verbinden. De openbare NIST-publicatiepagina noemt expliciet verschillende groottes, sectoren en uitgangssituaties. Het kader kan zowel een vroege start als de herbeoordeling van een bestaand beveiligingsprogramma ondersteunen. Een hoog niveau van technische voorzieningen maakt de beslissing over aanvaardbare risico’s niet overbodig.
Toepassing is in beginsel vrijwillig; concrete wettelijke, bestuurlijke of contractuele voorschriften moeten afzonderlijk worden getoetst. De actuele NIST-FAQ wijst op mogelijke externe eisen. Voor een Duitse onderneming volgt uit de herkomst bij het Amerikaanse ministerie van Handel noch een algemene gebruiksplicht, noch een uitsluiting. Bepaal praktisch of een klant een bepaald profiel, een beoordeling of een andere bewijsvorm verwacht.
De zes functies van NIST CSF.
De zes CSF-functies ordenen samenhangende cyberbeveiligingsresultaten. NIST CSWP 29, paragraaf 2, behandelt ze gelijktijdig; hun volgorde is geen reeks eenmalig af te ronden projectfasen. De volgende duidingen beschrijven de hoofdgebieden in eigen woorden.
Govern: richting en verantwoordelijkheid bepalen.
Govern verbindt beveiligingsbeslissingen met de opdracht van de organisatie, haar risicoverwachtingen en het toezicht door de directie. Verantwoordelijkheden en het behandelen van externe afhankelijkheden horen in dit verband. In de praktijk is een voorschrift pas bruikbaar wanneer zichtbaar is wie over afwijkingen mag beslissen.
Identify: risico’s in hun operationele samenhang begrijpen.
Identify richt de blik op de bestaande middelen en de bijbehorende risico’s. Daarbij hoort welke informatie, diensten en afhankelijkheden wezenlijk zijn voor de bedrijfsvoering. Een inventaris ondersteunt dit werk; een loutere lijst verklaart nog niet het zakelijke belang of de samenhang met leveranciers.
Protect: passende bescherming uitvoeren.
Protect betreft de voorzieningen waarmee organisaties risico’s voor hun diensten en informatie beperken. Mensen, werkprocessen en techniek werken daarbij samen. Welke invulling passend is, moet uit de eigen context volgen; alleen de functienaam bepaalt geen product of concrete configuratie.
Detect: afwijkingen herkennen en duiden.
Detect behandelt het vermogen om mogelijke schadelijke gebeurtenissen op te merken en te analyseren. Voor de praktische beoordeling telt daarom ook of waarnemingen tot een begrijpelijke beslissing leiden. Een ingeschakelde monitoringtool zegt nog niets over dekking, afhandeling of de kwaliteit van detectie.
Respond: gecoördineerd handelen bij incidenten.
Respond ordent handelingen rond een gedetecteerd cyberbeveiligingsincident. De organisatie moet haar reactie afstemmen met de betrokken partijen. Als praktische start helpt een oefening waarin beslissingsroutes en beschikbare informatie worden getoetst; wettelijke melddrempels moeten daarnaast afzonderlijk worden bekeken.
Recover: de bedrijfsvoering herstellen.
Recover bekijkt het herstel van getroffen capaciteiten en de bijbehorende communicatie. De voorbereiding begint vóór een incident. Verantwoordelijken moeten daarom in de dagelijkse praktijk kunnen toetsen of een herstart onder de veronderstelde afhankelijkheden mogelijk is en welke beslissingen bij een verstoring daadwerkelijk nodig zijn.
NIST CSF toepassen met profielen.
Scope en doel afspreken.
Baken als praktische eerste stap een dienst of organisatiegebied af en bepaal welke risicovraag de directie met het profiel wil beantwoorden.
Bestaande informatie verzamelen.
Verzamel volgens de aanpak van NIST SP 1301 de relevante doelen, risico’s, eisen, verantwoordelijkheden en operationele informatie voor deze scope.
Current en Target Profile onderscheiden.
Beschrijf navolgbaar de bereikte stand en leg afzonderlijk vast welke resultaten met welke prioriteit worden nagestreefd.
Beslissen over verbeteringen.
Beoordeel de verschillen en bepaal concreet werk, verantwoordelijken en middelen, in plaats van elke mogelijke verbetering even zwaar te wegen.
Implementeren en opnieuw beoordelen.
Volg het afgesproken plan en actualiseer profielen bij nieuwe inzichten of veranderde risico’s; de stappen vormen een herhaalbare start op basis van NIST SP 1301.
Profielen en Tiers navolgbaar beoordelen.
Een CSF-profiel is een onderbouwde weergave van de onderzochte stand. NIST SP 1301 onderscheidt Current en Target Profile: het eerste beschrijft bereikte resultaten, het tweede de geselecteerde doelen en prioriteiten. Een Community Profile kan oriëntatie bieden; de NIST-profielpagina beschrijft het als gezamenlijke uitgangsbasis van een groep. De eigen grens en feitelijke beslissingen moeten worden uitgelegd.
De vier Tiers heten Partial, Risk Informed, Repeatable en Adaptive. Volgens NIST SP 1302 typeren ze de invulling van risicobeheersing en risicomanagement. De selectie houdt onder meer rekening met doelen, risico’s, voorschriften en beschikbare middelen. Ze vullen de risicomethodiek aan; ze vervangen noch concreet bewijs, noch een onderbouwde beslissing over welke toestand nodig is.
Een interne of opgedragen externe beoordeling moet scope, tijdstip, methode en beperkingen zichtbaar maken. NIST biedt geen CSF-certificering aan; een particulier beoordelingsrapport mag daarom niet als een door NIST afgegeven certificaat worden aangeduid. Bepaal voor het onderhoud praktisch welke wijzigingen een herbeoordeling activeren. Een algemene certificaatlooptijd kan niet uit CSF worden afgeleid.
Andere frameworks duiden.
ISO 27001 beschrijft eisen aan een managementsysteem voor informatiebeveiliging met mogelijke certificering. NIST SP 800-53 biedt een gedetailleerde catalogus voor beveiligings- en privacymaatregelen, terwijl CIS Controls geprioriteerde beschermingspraktijken ordent. Deze hulpmiddelen kunnen het operationele werk concretiseren; hun toepassing moet afzonderlijk van de weergave van een CSF-profiel worden beoordeeld.
In Secani.
Secani biedt een redactionele DE/EN-werkcatalogus voor NIST CSF 2.0. De bestaande profielgegevens leggen onder meer beoordelingsdatum, afgesproken scope en profieldoel vast als actuele stand, doel of beide. De catalogus vervangt noch de Engelse uitgeverstekst, noch inhoudelijke beoordeling; automatische Tier-bepaling of NIST-certificering wordt hiermee niet toegezegd.
Begin met een concrete risicovraag.
Kies een representatieve dienst en benoem welke beslissing het profiel moet voorbereiden. Leg de scope vast, inclusief belangrijke leveranciers en ondersteunende processen. Verzamel bestaande registraties voordat u een doeltoestand beschrijft. Zo wordt zichtbaar welke uitspraken al deugdelijk zijn en waar eerst aanvullend onderzoek nodig is.
Bronnen.
- NIST – actueel CSF 2.0 Resource Center
- NIST CSWP 29 – Cybersecurity Framework 2.0, 26 februari 2024
- NIST – publicatiepagina over CSF 2.0
- NIST SP 1299 – Resource & Overview Guide
- NIST SP 1301 – Organizational Profiles
- NIST – actuele profielen en sjablonen
- NIST SP 1302 – Using the CSF Tiers
- NIST – veelgestelde vragen over het CSF
Veelgestelde vragen.
Nee. CSF 2.0 is bedoeld voor organisaties uit verschillende landen, van verschillende groottes en sectoren; mogelijke wettelijke of contractuele gebruiksvoorschriften moeten afzonderlijk worden getoetst.
Nee. Tiers typeren risicobeheersing en risicomanagement in de betreffende context; het zijn geen door NIST toegekende certificeringsniveaus of universele volwassenheidscijfers.
Nee. NIST SP 1302 richt de selectie op doelen, risico’s, voorschriften en haalbaarheid; een hogere classificatie is geen algemeen doel op zichzelf.
Nee. Een CSF-profiel en certificering van het ISMS zijn verschillende uitspraken; contractueel vereist bewijs moet worden getoetst aan de afgesproken formulering en scope.
Resultaten en bewijsvoering verbinden.
Bespreek hoe u het werk aan uw beveiligingsprogramma in Secani kunt structureren.
Deze pagina licht NIST CSF 2.0 in eigen woorden toe. De uitgeverspublicaties zijn bepalend; een profielbeoordeling vervangt geen afzonderlijke toetsing van wettelijke of contractuele verplichtingen.