Het NIST Cybersecurity Framework 2.0 (NIST CSF 2.0), gepubliceerd in februari 2024, is de eerste grote herziening sinds 2018 van het Amerikaanse referentiekader voor het beheer van cybersecurityrisico's. Het raamwerk is nu toepasbaar ver buiten de kritieke infrastructuur en richt zich op elke organisatie, ongeacht omvang of sector, met een versterkte nadruk op governance.
Deze gids beschrijft de structuur van CSF 2.0, de wijzigingen ten opzichte van versie 1.1 en hoe u het raamwerk implementeert in een Europese organisatie.
Wat is NIST CSF?
Het NIST Cybersecurity Framework is een referentiekader met best practices voor cybersecurity, gepubliceerd door het National Institute of Standards and Technology (agentschap van het Amerikaanse ministerie van Handel). Het biedt:
- Een gemeenschappelijk vocabularium voor cybersecurity
- Een methodologie om de beveiligingspositie te beoordelen
- Een taxonomie van maatregelen en activiteiten
- Aanpasbare profielen
Hoewel het buiten Amerikaanse federale contracten juridisch niet bindend is, is het uitgegroeid tot een wereldwijde de-factostandaard, gebruikt door Fortune 500-bedrijven, kmo's met een cyberverzekering en in toenemende mate in Europa om beveiligingsprogramma's te structureren.
Grote vernieuwing in 2.0: de functie Govern
De belangrijkste nieuwigheid van CSF 2.0 is de toevoeging van een zesde functie: Govern. Die overkoepelt de 5 historische functies (Identify, Protect, Detect, Respond, Recover) en behandelt:
- Cyberstrategie op directieniveau
- Organisatorisch risicobeheer
- Beleid en toezicht
- Rollen en verantwoordelijkheden
- Beheer van de toeleveringsketen
Deze toevoeging weerspiegelt de erkenning dat cybersecurity in de eerste plaats een governancekwestie is, en pas daarna een technische kwestie. Ze stemt het raamwerk ook af op recente regelgevende vereisten (NIS2, DORA, SEC cyber disclosure 2023).
De 6 functies van CSF 2.0 in detail
1. Govern (GV) — cybersecuritygovernance
6 categorieën:
- GV.OC — Organizational Context: missie, verwachtingen van belanghebbenden, wettelijke vereisten
- GV.RM — Risk Management Strategy: strategie, risicotolerantie, risicobereidheid
- GV.RR — Roles, Responsibilities, and Authorities: wie doet wat (CEO, CISO, eigenaars)
- GV.PO — Policy: gedocumenteerd cybersecuritybeleid
- GV.OV — Oversight: opvolging en continue verbetering
- GV.SC — Cybersecurity Supply Chain Risk Management: risicobeheer van de toeleveringsketen
2. Identify (ID) — identificeren
5 categorieën:
- ID.AM — Asset Management: inventaris van bedrijfsmiddelen (hardware, software, data, diensten)
- ID.RA — Risk Assessment: beoordeling van cyberrisico's
- ID.IM — Improvement: verbetering van de identificatieprocessen
Opmerking: CSF 2.0 heeft enkele overlappende categorieën samengevoegd (BE en GV uit 1.1 zijn opgegaan in Govern).
3. Protect (PR) — beschermen
5 categorieën:
- PR.AA — Identity Management, Authentication, and Access Control
- PR.AT — Awareness and Training: bewustmaking en opleiding
- PR.DS — Data Security: versleuteling, classificatie, bewaring
- PR.PS — Platform Security: hardening van besturingssystemen, applicaties en firmware
- PR.IR — Technology Infrastructure Resilience: veerkrachtige architectuur
4. Detect (DE) — detecteren
2 categorieën:
- DE.CM — Continuous Monitoring: continue monitoring
- DE.AE — Adverse Event Analysis: analyse van abnormale gebeurtenissen
5. Respond (RS) — reageren
5 categorieën:
- RS.MA — Incident Management
- RS.AN — Incident Analysis: technische analyse
- RS.CO — Incident Response Reporting and Communication: rapportering
- RS.MI — Incident Mitigation: mitigatie
6. Recover (RC) — herstellen
2 categorieën:
- RC.RP — Incident Recovery Plan Execution
- RC.CO — Incident Recovery Communication: communicatie tijdens het herstel
Elke categorie bevat subcategorieën met meetbare deelresultaten (bv. GV.RM-01 "Doelstellingen voor risicobeheer zijn vastgelegd en overeengekomen met de belanghebbenden van de organisatie"). CSF 2.0 definieert in totaal 106 subcategorieën.
Tiers en profielen — de implementatielogica
De 4 implementatietiers
CSF 2.0 definieert 4 niveaus van maturiteit:
| Tier | Naam | Kenmerken |
|---|---|---|
| 1 | Partial | Ad-hoc, reactief risicobeheer. Weinig bewustzijn binnen de hele organisatie |
| 2 | Risk Informed | Door de directie goedgekeurde processen, voldoende middelen, maar niet op grote schaal geformaliseerd |
| 3 | Repeatable | Formele praktijken, regelmatige reviews, consistente aanpak in de hele organisatie |
| 4 | Adaptive | Continue verbetering op basis van geleerde lessen + dynamische aanpassing aan dreigingen |
Anders dan bij een CMMI-maturiteitsniveau is de tier geen doel op zich — elke organisatie moet de tier kiezen die bij haar context past (risico, sector, regelgeving).
Profielen — de operationele kern
Een CSF-profiel is een lijst van subcategorieën met:
- Het huidige niveau (huidig profiel)
- Het beoogde niveau (doelprofiel)
- Een gap-analyse tussen beide
- Een actieplan om de kloof te dichten
Het profiel is het belangrijkste praktische instrument. U kunt het volgende opstellen:
- Organisatieprofiel: visie voor de hele onderneming
- Sectorprofiel: conform een referentiekader (bv. "CSF-profiel voor financiële diensten")
- Dreigingsgericht profiel: gericht op een categorie van dreigingen (bv. "ransomwareprofiel")
Community-profielen — publiek beschikbaar
NIST publiceert community-profielen voor verschillende sectoren:
- Maakindustrie
- Financiële diensten
- Gezondheidszorg
- Verkiezingsinfrastructuur
- Kleine ondernemingen
Ze bieden organisaties in de sector een versneld vertrekpunt.
NIST CSF 2.0 vs NIST CSF 1.1 — belangrijkste wijzigingen
1. Nieuwe functie Govern
Hierboven al toegelicht. De GV-functie wordt de ruggengraat van het programma, boven de 5 operationele functies.
2. Universele toepasbaarheid
CSF 1.1 was uitdrukkelijk gericht op kritieke infrastructuur. CSF 2.0 heft deze beperking op: elke organisatie is doelgroep (kmo, start-up, vereniging, overheidsadministratie…).
3. Focus op de toeleveringsketen
De categorie GV.SC introduceert uitdrukkelijk het risicobeheer van leveranciers en derden, in lijn met de opmars van supply-chainaanvallen (SolarWinds, Kaseya, MOVEit).
4. Vereenvoudigingen en verduidelijkingen
- Samenvoeging van overlappende categorieën
- Nieuwe, beter meetbare subcategorieën
- Eenvoudigere en toegankelijkere taal
5. Praktische begeleidende tools
NIST publiceerde:
- Quick Start Guides per doelgroep (kleine ondernemingen, grote ondernemingen, kritieke infrastructuur)
- Een interactieve online Reference tool
- Informative References die CSF koppelen aan ISO 27001, SP 800-53, CIS Controls…
Implementatie — methode in 6 stappen
Stap 1 — Bepaal de scope
- Organisatorische scope (hele onderneming? dochteronderneming? business unit?)
- Verwacht detailniveau (strategisch vs operationeel profiel)
- Deliverables en doelgroepen (directie, CISO, compliance, audit)
Stap 2 — Stel het huidige profiel op
Beoordeel voor elke CSF-subcategorie de huidige maturiteit:
- Niet geïmplementeerd
- Gedeeltelijk geïmplementeerd
- Grotendeels geïmplementeerd
- Volledig geïmplementeerd
Gebruik interviews, vragenlijsten, documentreviews en technische steekproeven.
Stap 3 — Bepaal het doelprofiel
Welke subcategorieën hebben prioriteit in uw context? Criteria:
- Regelgevende vereisten (NIS2, DORA, GDPR)
- Grote bedrijfsrisico's
- Verwachtingen van klanten / contracten
- Risicobereidheid van de directie
Stap 4 — Gap-analyse
Bereken voor elke subcategorie de kloof tussen het huidige en het beoogde niveau. Prioriteer de kloven volgens:
- Kritikaliteit van het behandelde risico
- Kostprijs van de remediëring
- Afhankelijkheden met andere subcategorieën
Stap 5 — Actieplan
Stel een roadmap op (12-36 maanden) met:
- Technische en organisatorische maatregelen
- Eigenaars
- Geraamd budget
- Deadlines
Stap 6 — Opvolgen en itereren
Het CSF-profiel moet minstens jaarlijks worden herzien. Cyberincidenten, organisatorische wijzigingen en evoluties in de regelgeving vereisen updates.
NIST CSF 2.0 en Europese referentiekaders
NIS2
CSF 2.0 dekt de vereisten van NIS2 in zeer ruime mate. De koppeling van de 10 maatregelen uit NIS2 Art. 21 aan CSF is rechtstreeks:
| NIS2 Art. 21 | NIST CSF 2.0 |
|---|---|
| Beleid voor informatiebeveiliging | GV.PO, ID.RA |
| Incidentbeheer | RS.MA, RS.AN, RS.CO, RS.MI |
| Bedrijfscontinuïteit | RC.RP, RC.CO + functie Protect |
| Beveiliging van de toeleveringsketen | GV.SC |
| Beveiliging bij aankoop/ontwikkeling | PR.PS |
| Beoordeling van de doeltreffendheid | DE.CM, GV.OV |
| Cyberhygiëne | PR.AT, PR.AA |
| Cryptografie | PR.DS |
| HR + toegangscontrole | PR.AA, PR.DS |
| MFA + beveiligde communicatie | PR.AA, PR.DS |
Raadpleeg onze volledige NIS2-gids voor meer verdieping.
DORA
DORA richt zich specifiek op de Europese financiële sector. De 5 DORA-pijlers sluiten als volgt aan op CSF 2.0:
| DORA-pijler | NIST CSF 2.0 |
|---|---|
| ICT-risicobeheer | GV, ID, PR |
| ICT-incidenten | RS |
| Weerbaarheidstesten | PR.IR, RC |
| Risico van derden | GV.SC |
| Informatie-uitwisseling | GV.OV, DE.AE |
Raadpleeg onze DORA-gids 2026.
ISO 27001
CSF 2.0 en ISO 27001 zijn complementair:
- ISO 27001: formele certificering, gedocumenteerd ISMS, 93 maatregelen in Annex A
- CSF 2.0: flexibel raamwerk, aanpasbare profielen, resultaatgericht
Beide samen gebruiken is gebruikelijk: ISO 27001 voor de certificering, CSF voor de positie van het programma.
ISO 22301
ISO 22301 (continuïteit) en CSF 2.0 vullen elkaar vooral aan op de functie Recover:
- ISO 22301: gestructureerd BCMS, BIA, plannen, oefeningen
- CSF RC: resultaatgerichte principes
Raadpleeg ISO 22301 vs NIST CSF voor meer verdieping.
Veelgemaakte fouten bij de implementatie van CSF
1. CSF behandelen als een checklist
CSF is geen lijst van maatregelen om af te vinken. Het is een raamwerk van resultaten. Elke subcategorie beschrijft een verwacht resultaat, geen precieze actie. Verschillende acties kunnen aan dezelfde subcategorie voldoen.
2. Een profiel opstellen zonder betrokkenheid van de directie
Het doelprofiel brengt investeringen met zich mee. Het moet gevalideerd worden door de directie en afgestemd zijn op de risicobereidheid.
3. Te veel investeren in meten, te weinig in actie
Een perfecte gap-analyse die tot geen enkele corrigerende actie leidt, is verspilling. Mik op 80% inspanning voor actie, 20% voor meting.
4. De functie Govern negeren
De GV-functie is nieuw en wordt vaak onvoldoende behandeld. Toch bepaalt ze de strategische afstemming en de duurzaamheid van het programma.
5. Niet itereren
Een jaarlijks profiel, niet meer. CSF evolueert, dreigingen evolueren, de organisatie evolueert.
Hoe ResiPlan NIST CSF 2.0 operationaliseert
- CSF 2.0-module met de 6 functies, 22 categorieën en 106 subcategorieën
- Profielbeheer: huidig, doel, geautomatiseerde gap-analyse
- Kruiskoppeling met NIS2, DORA, ISO 27001, ISO 22301
- Maturiteitsdashboards per functie en subcategorie
- Geïntegreerd actieplan met workflow voor eigenaar/deadline
- Importeerbare community-profielen (financiële sector, gezondheidszorg, maakindustrie)
Start een gratis proefperiode van 14 dagen om de CSF 2.0-module te testen.
Conclusie
Het NIST CSF 2.0 is uitgegroeid tot het meest flexibele en meest gebruikte cybersecurityraamwerk ter wereld. Dankzij de nieuwe functie Govern is het volledig verenigbaar met de Europese vereisten (NIS2, DORA) en blijft het tegelijk aanpasbaar voor kmo's.
De grootste troef: de resultaatgerichte aanpak. In plaats van rigide maatregelen op te leggen, beschrijft CSF wat er bereikt moet worden — en laat het elke organisatie kiezen hoe ze daar komt, op basis van haar context.
Voor meer verdieping: