NIST CSF en CIS Controls: praktische frameworks

Het NIST Cybersecurity Framework (CSF) is een raamwerk van het Amerikaanse National Institute of Standards and Technology. Het beschrijft cybersecurity in zes functies: besturen, identificeren, beschermen, detecteren, reageren en herstellen. De CIS Controls zijn een geprioriteerde lijst van 18 groepen maatregelen met concrete stappen. Het eerste helpt u sturen, het tweede helpt u doen.

Geen van beide is een certificering. U haalt er geen certificaat mee, maar u kunt ze goed gebruiken als meetlat en als vertaling van beleid naar techniek. Daarom zijn ze ook voor Nederlandse organisaties bruikbaar, naast ISO 27001 en de Cyberbeveiligingswet.

Hieronder leest u hoe het NIST Cybersecurity Framework is opgebouwd en hoe de CIS Controls werken. Ook ziet u wanneer u welk kader inzet. Beide horen bij de kaders uit het overzicht informatiebeveiliging. Een eerste meting van waar u staat, krijgt u met een Security Assessment.

Wat het NIST Cybersecurity Framework is

NIST is het Amerikaanse instituut voor standaarden en technologie. Op 26 februari 2024 verscheen versie 2.0 van het framework. Eerdere versies richtten zich vooral op vitale infrastructuur. Versie 2.0 is bedoeld voor elke organisatie, ongeacht omvang, sector of volwassenheid.

Het framework beschrijft uitkomsten, geen maatregelen. NIST schrijft zelf dat het niet voorschrijft hoe u die uitkomsten bereikt. Dat maakt het flexibel: u kiest de maatregelen die bij uw risico’s passen.

De kern heeft drie niveaus: zes functies, 22 categorieën en 106 subcategorieën. Daaromheen staan profielen, tiers en praktische hulpmiddelen. Het framework en de handleidingen staan gratis op de website van NIST.

De zes functies van NIST CSF 2.0

De zes functies beschrijven samen de hele cyclus van cybersecurity. Volgens NIST pakt u ze tegelijk op; de volgorde zegt niets over het belang.

Govern is nieuw in versie 2.0. De functie staat in het midden en geeft richting aan de andere vijf: wat vindt de organisatie belangrijk, wie beslist en hoeveel risico is acceptabel. Dat sluit aan bij de Cyberbeveiligingswet, die de leiding van organisaties nadrukkelijk verantwoordelijk maakt.

Profielen en tiers: waar staat u en waar wilt u heen

Met een profiel beschrijft u uw situatie in de taal van het framework. Een huidig profiel legt vast welke uitkomsten u nu bereikt, een doelprofiel welke u wilt bereiken. Het verschil tussen beide is uw verbeterplan.

De tiers zeggen iets over de volwassenheid van uw aanpak. NIST onderscheidt vier niveaus: Partial, Risk Informed, Repeatable en Adaptive. Ze lopen van ad hoc reageren naar een aanpak die zich steeds bijstuurt. Het hoogste niveau is geen doel op zich. Kies het niveau dat past bij uw risico’s.

Voor kleinere organisaties heeft NIST beknopte quick start guides gemaakt. Die zijn een goed vertrekpunt als u niet met het volledige document wilt beginnen.

Wat de CIS Controls zijn

De CIS Controls komen van het Center for Internet Security, een Amerikaanse non-profitorganisatie. Het is een geprioriteerde set maatregelen tegen de meest voorkomende aanvallen. Waar NIST beschrijft wat u wilt bereiken, beschrijven de CIS Controls wat u concreet doet.

De huidige versie is 8.1, gepubliceerd op 25 juni 2024. Die telt 18 controls met in totaal 153 safeguards: concrete maatregelen die elk één ding vragen. Versie 8.1 sluit aan op NIST CSF 2.0 en deelt de safeguards ook in bij de functie Govern.

Voorbeelden zijn het inventariseren van apparaten en software, accountbeheer en het veilig configureren van systemen. Ook het herstellen van gegevens en training van medewerkers hebben een eigen control. De volledige lijst staat op de website van CIS.

Implementation groups: beginnen bij IG1

Niet elke organisatie hoeft alle 153 safeguards in te voeren. CIS verdeelt ze daarom in drie implementation groups. Elke groep bouwt voort op de vorige.

IG1 noemt CIS essentiële cyberhygiëne: het minimum voor elke organisatie. Het zijn 56 safeguards die zich richten op algemene, niet-gerichte aanvallen. Volgens CIS gaat het bij IG1 meestal om kleine en middelgrote organisaties met beperkte IT-kennis in huis.

Voor veel MKB-organisaties is IG1 daarom een realistisch eerste doel. Het is concreet en overzichtelijk. Bovendien sluit het aan op de basishygiëne die de Cyberbeveiligingswet in de zorgplicht noemt.

NIST CSF of CIS Controls: wanneer kiest u wat

In de praktijk is het geen keuze tussen twee. Het NIST Cybersecurity Framework is sterk in sturing en rapportage: het geeft bestuur en management een gezamenlijke taal. De CIS Controls zijn sterk in uitvoering: uw IT-afdeling of beheerder weet precies wat er moet gebeuren.

Een praktische route: beschrijf met de zes functies waar u staat en waar u heen wilt. Zet daarna met de safeguards van IG1 de eerste stappen. CIS publiceert koppelingen tussen beide, zodat u geen dubbel werk doet. Wie deze sturing in uw organisatie belegt, leest u in de rol van de CISO.

Zo verhouden ze zich tot ISO 27001 en de Cyberbeveiligingswet

ISO 27001 is wel certificeerbaar. Het is een norm voor een managementsysteem, met 93 beheersmaatregelen in bijlage A. Heeft u ISO 27001, dan gebruikt u NIST als extra blik op volwassenheid en de CIS Controls als technische verdieping. De maatregelen zelf staan in bijlage A van ISO 27001.

De Cyberbeveiligingswet, de Nederlandse invulling van NIS2, schrijft geen specifiek framework voor. De Cyberbeveiligingswet is van kracht en vraagt passende en evenredige maatregelen op een aantal vaste onderwerpen. NIST CSF en de CIS Controls helpen u die maatregelen te ordenen en aan te tonen. De onderwerpen zelf staan in de NIS2 zorgplicht.

Zo zet u ze praktisch in

Een framework werkt pas als u het gebruikt om keuzes te maken. Deze volgorde houdt het overzichtelijk.

• Breng de basis in kaart. Welke systemen, gegevens en leveranciers heeft u, en wie is waarvoor verantwoordelijk?
• Meet uzelf langs IG1. Loop de 56 safeguards na en noteer per safeguard of hij er is, deels is of ontbreekt.
• Vertaal naar een profiel. Zet de uitkomsten in de zes functies, zodat u het bestuur laat zien waar u staat.
• Kies een doel en een volgorde. Begin bij de gaten met het meeste effect per uur werk, zoals meerfactorauthenticatie, updates en back-ups.
• Meet jaarlijks opnieuw. Een framework is geen project maar een meetlat, dus laat de vooruitgang zien.

Werkt u met meerdere kaders tegelijk, zoals ISO 27001, de Cyberbeveiligingswet en eisen van klanten? Dan helpt een aanpak voor governance, risk en compliance om ze samen te brengen. Zie wat is GRC.

Veelgestelde vragen over het NIST Cybersecurity Framework

Kunt u een certificaat halen voor NIST CSF?

Nee. Het NIST Cybersecurity Framework is een raamwerk zonder certificering. U kunt het wel gebruiken om uw volwassenheid te meten en daarover te rapporteren. Wilt u een certificaat, dan is ISO 27001 de gebruikelijke route.

Wat zijn de zes functies van het NIST Cybersecurity Framework?

Govern, Identify, Protect, Detect, Respond en Recover. In het Nederlands: besturen, identificeren, beschermen, detecteren, reageren en herstellen. Govern is in versie 2.0 toegevoegd en geeft richting aan de andere vijf.

Wat is het verschil tussen NIST CSF en ISO 27001?

ISO 27001 is een certificeerbare norm voor een managementsysteem, met vaste eisen. NIST CSF beschrijft uitkomsten en laat u vrij in hoe u die bereikt. Ze vullen elkaar goed aan: ISO 27001 voor het systeem en de toetsing, NIST voor een heldere indeling en een meting van volwassenheid.

Wat zijn de CIS Controls?

Een geprioriteerde set van 18 controls met 153 concrete safeguards, opgesteld door het Center for Internet Security. Ze zijn verdeeld in drie implementation groups. IG1, met 56 safeguards, is het startpunt voor elke organisatie.

Helpt NIST CSF bij NIS2 en de Cyberbeveiligingswet?

Ja, als hulpmiddel. De Cyberbeveiligingswet, de Nederlandse invulling van NIS2, schrijft geen framework voor, maar vraagt passende maatregelen op vaste onderwerpen. NIST CSF en de CIS Controls helpen u die maatregelen te ordenen, te prioriteren en aan te tonen.