Het NIST Cybersecurity Framework 2.0 (gepubliceerd op 26 februari 2024) structureert de cyberbeveiliging van een organisatie in 6 functies op hoog niveau, 22 categorieën en 106 subcategorieën. Deze referentietabel is wereldwijd de meest gebruikte matrix om de cyberweerbaarheid in kaart te brengen. Dit artikel biedt de volledige tabel met voorbeelden van tactische maatregelen, een prioriteringsmatrix en een kruismapping van de categorieën.
Overzicht: 6 functies
| Functie | Code | Doel |
|---|---|---|
| Govern | GV | Cyberstrategie vastleggen, communiceren en erop toezien (nieuw in CSF 2.0) |
| Identify | ID | Inzicht krijgen in assets, risico's en afhankelijkheden |
| Protect | PR | Beschermingsmaatregelen implementeren |
| Detect | DE | Een incident snel opsporen |
| Respond | RS | Indijken en behandelen |
| Recover | RC | Herstellen en verbeteren |
Volledige tabel — 22 categorieën
Govern (6 categorieën)
| Code | Categorie | Voorbeeld van tactische maatregel |
|---|---|---|
| GV.OC | Organizational Context (organisatiecontext) | In kaart brengen van opdrachten, belanghebbenden, regelgevende vereisten |
| GV.RM | Risk Management Strategy (risicobeheerstrategie) | Risicobeheerbeleid, risicobereidheid, tolerantie |
| GV.RR | Roles, Responsibilities, Authorities (rollen, verantwoordelijkheden, bevoegdheden) | Cyber-RACI, cybercompetentie op directieniveau |
| GV.PO | Policy (beleid) | Goedgekeurd cyberbeleid, jaarlijks herzien |
| GV.OV | Oversight (toezicht) | KPI's voor de directie, prestatie-indicatoren |
| GV.SC | Cybersecurity Supply Chain Risk Management (risicobeheer van de toeleveringsketen) | Beoordeling van leveranciers, contracten, onderaanneming |
Identify (3 categorieën)
| Code | Categorie | Voorbeeld van tactische maatregel |
|---|---|---|
| ID.AM | Asset Management (beheer van assets) | Actuele CMDB (hardware, software, data, diensten) |
| ID.RA | Risk Assessment (risicobeoordeling) | EBIOS RM, ISO 27005, FAIR — periodieke beoordeling |
| ID.IM | Improvement (verbetering) | Geleerde lessen uit incidenten en oefeningen |
Protect (5 categorieën)
| Code | Categorie | Voorbeeld van tactische maatregel |
|---|---|---|
| PR.AA | Identity Management, Authentication, Access Control (identiteitsbeheer, authenticatie, toegangscontrole) | MFA, SSO, beheer van bevoorrechte accounts |
| PR.AT | Awareness & Training (bewustmaking en opleiding) | Driemaandelijkse phishingsimulaties, rolspecifieke opleidingen |
| PR.DS | Data Security (gegevensbeveiliging) | Versleuteling in rust en tijdens transport, HSM-sleutels |
| PR.PS | Platform Security (platformbeveiliging) | Hardening van besturingssystemen, CIS-baselines, patchbeheer |
| PR.IR | Technology Infrastructure Resilience (weerbaarheid van de technologische infrastructuur) | Netwerkredundantie, DRP, uitwijklocaties |
Detect (2 categorieën)
| Code | Categorie | Voorbeeld van tactische maatregel |
|---|---|---|
| DE.CM | Continuous Monitoring (continue monitoring) | SIEM, EDR, NDR, gedragsanalyse |
| DE.AE | Adverse Event Analysis (analyse van ongewenste gebeurtenissen) | SOC 24/7, IOC-analyse, threat hunting |
Respond (4 categorieën)
| Code | Categorie | Voorbeeld van tactische maatregel |
|---|---|---|
| RS.MA | Incident Management (incidentbeheer) | Crisiscel, RAPID-framework |
| RS.AN | Incident Analysis (incidentanalyse) | Forensisch onderzoek, grondoorzaak, omvang |
| RS.CO | Incident Response Reporting & Communication (rapportering en communicatie bij incidentrespons) | Melding aan het CSIRT, interne/externe communicatie |
| RS.MI | Incident Mitigation (incidentbeperking) | Isolatie, indijking, uitroeiing |
Recover (2 categorieën)
| Code | Categorie | Voorbeeld van tactische maatregel |
|---|---|---|
| RC.RP | Incident Recovery Plan Execution (uitvoering van het herstelplan) | Herstel van back-ups, DRP, tests |
| RC.CO | Incident Recovery Communications (communicatie bij herstel) | Communicatie over de terugkeer naar de normale werking |
CSF 1.1 had een derde categorie onder Recover, Improvements (RC.IM). CSF 2.0 heeft die geschrapt en al het verbeterwerk ondergebracht in ID.IM onder Identify — daarom tellen oudere tabellen 23 categorieën.
Prioriteringsmatrix voor een kmo (NIS2 essentieel/belangrijk)
Een kmo kan niet alles tegelijk aanpakken. Hier is een pragmatische prioriteringsmatrix:
| Prioriteit | Eerst te dekken categorieën | Motivering |
|---|---|---|
| P1 (3 maanden) | GV.PO, GV.RM, ID.AM, PR.AA, RS.MA | Beleid, risico, assets, toegang, incident — de 5 basisprincipes |
| P2 (6 maanden) | GV.SC, ID.RA, PR.DS, DE.CM, RC.RP | Toeleveringsketen, gedetailleerde beoordeling, data, monitoring, herstel |
| P3 (12 maanden) | GV.RR, GV.OV, PR.AT, PR.PS, PR.IR, DE.AE, RS.AN, RS.CO, RS.MI, RC.CO | Volledige dekking |
| Continu | GV.OC, ID.IM | Opvolging van de context + continue verbetering |
Kruismapping NIST CSF 2.0 ↔ NIS2 ↔ DORA ↔ ISO 27001
| NIST CSF 2.0 | NIS2 Art. 21 | DORA | ISO 27001 |
|---|---|---|---|
| GV.OC, GV.PO | (a) beleid | Art. 5 | A.5.1 |
| GV.RM | (a) beleid + risico | Art. 6 | A.5.4 |
| GV.SC | (d) toeleveringsketen | Art. 28 | A.5.19 |
| ID.AM, ID.RA | (b) behandeling, (c) BCP | Art. 8 | A.8.1, A.5.7 |
| PR.AA | (j) MFA + toegangscontrole | Art. 9 | A.5.15, A.8.2 |
| PR.DS | (h) cryptografie | Art. 9 | A.8.24 |
| DE.CM, DE.AE | (e) detectie | Art. 10 | A.8.16 |
| RS.MA, RS.CO | (b) melding + (c) BCP | Art. 17 | A.5.24 |
| RC.RP, RC.CO | (c) crisisbeheer en continuïteit | Art. 11 | A.5.30 |
Zie onze volledige gids over NIST CSF 2.0 en DORA vs NIS2.
Hoe ResiPlan de kruismapping automatiseert
De module Multi-framework Mapping (/features/multi-framework-mapping) biedt:
- Vooraf ingestelde mapping NIST CSF 2.0 ↔ ISO 27001 ↔ NIS2 ↔ DORA ↔ ANSSI EBIOS RM.
- Dashboard met de dekkingsgraad (% per categorie).
- Automatische detectie van lacunes (maatregel die in één framework wordt opgegeven, maar zonder bewijs).
- Conformiteitsrapporten voor meerdere frameworks met één klik.
Start een gratis proefperiode van ResiPlan — uw dekkingsmatrix in 1 dag.