CIS Controls uitgelegd: 18 controls en drie Implementation Groups

Wat zijn de CIS Controls?

De CIS Controls zijn een voorschrijvende, geprioriteerde en vereenvoudigde reeks best practices. CIS beschrijft ze als een set die organisaties helpt hun cyberbeveiliging te versterken. Volgens CIS gebruiken duizenden professionals wereldwijd de Controls, en zij dragen via een community-consensusproces bij aan de verdere ontwikkeling. Het is een kader met maatregelen.

De Controls zijn niet hetzelfde als de CIS Benchmarks. De Benchmarks zijn meer dan 100 leveranciersonafhankelijke configuratiegidsen voor systemen. De Controls bepalen welke maatregelen je neemt en in welke volgorde, en de Benchmarks laten zien hoe je systemen concreet instelt.

Wie beheert de CIS Controls en welke versie geldt nu?

CIS is een community-driven non-profit en een 501(c)(3)-organisatie. Het is verantwoordelijk voor de CIS Critical Security Controls en leidt een wereldwijde community die de standaarden blijft verfijnen. De Controls begonnen in 2008 als de SANS Critical Security Controls, ook bekend als de SANS Top 20. Een internationaal consortium van bedrijven, overheidsinstanties, instellingen en individuen maakte ze. In 2015 nam het Center for Internet Security de eigendom over met versie 6.

Versie 8 verscheen in mei 2021. Het aantal controls ging daarbij van 20 naar 18, en de controls zijn georganiseerd per activiteit in plaats van per manier van beheer. Versie 8 voegde cloud en mobiel toe, en een nieuwe control voor het beheer van serviceproviders.

Versie 8.1 kwam in juni 2024 uit als iteratieve update van versie 8. De wijzigingen zijn onder meer de toevoeging van de beveiligingsfunctie Governance, aangepaste mappings naar NIST CSF 2.0, nieuwe en uitgebreide definities voor gereserveerde woorden, herziene asset classes en verduidelijkte safeguard-omschrijvingen. CIS schrijft dat er geen Implementation Groups zijn gewijzigd. Op de pagina met de lijst van controls noemt CIS versie 8.1 op 5 november 2026 "this latest version". CIS werkt volgens een eigen blog al aan ideeën voor versie 9, zonder daar een datum aan te geven. Voor de actuele versie kijk je op cisecurity.org.

Welke 18 controls zijn er?

Een control bestaat uit safeguards, de concrete maatregelen binnen die control. CIS noemde die vroeger sub-controls. Het overzicht van control 1 luidt "Actively manage (inventory, track, and correct) all enterprise assets", met als doel precies te weten welke assets je moet bewaken en beschermen. Dat is het startpunt: wie zijn apparaten niet kent, kan ze ook niet beschermen. Control 7 vraagt om een plan om alle assets continu te beoordelen op kwetsbaarheden, met het volgen van publieke en private bronnen voor nieuwe dreigings- en kwetsbaarheidsinformatie.

Wat zijn Implementation Groups?

Implementation Groups (IG1, IG2 en IG3) geven aan welke safeguards een organisatie eerst kan nemen. De indeling hangt af van het type organisatie, het risicoprofiel en de kennis die beschikbaar is.

CIS noemt de Implementation Groups "the recommended guidance to prioritize implementation" van de Controls. Ze zijn bedoeld voor organisaties van elke omvang. Volgens CIS begint elke organisatie met IG1, en CIS noemt IG1 een opkomende minimumstandaard voor alle organisaties. IG2 en IG3 komen daarna. Kies een groep op basis van risico en middelen, niet op basis van grootte alleen. In versie 8.1 zijn de Implementation Groups niet gewijzigd.

Hoe pas je de CIS Controls toe?

Stel een middelgrote organisatie met een klein IT-team en zonder eigen security-afdeling. Het management vraagt hoe goed de organisatie beveiligd is. Met de CIS Controls kun je dan in deze volgorde te werk gaan:

1. Kies IG1 als uitgangspunt. CIS adviseert elke organisatie om daarmee te beginnen.
2. Begin met de inventarisatie van apparaten en software (control 1 en 2). Je kunt niet beschermen wat je niet kent.
3. Leg accounts vast en beperk de toegang (control 5 en 6). Een overzicht van identity en access management helpt bij de keuzes.
4. Richt een proces in om kwetsbaarheden te vinden en te herstellen (control 7). Meer over die aanpak staat in vulnerability management uitgelegd.
5. Controleer of back-ups echt te herstellen zijn (control 11).
6. Houd bij welke safeguards klaar zijn, welke ontbreken en wat het eerstvolgende is, en rapporteer dat aan het management.

Na een tijd kijk je naar IG2 voor de safeguards die passen bij een groter risicoprofiel. Dit stappenplan is een voorbeeld en geen vaste route. Een kader met maatregelen vervangt geen risicoanalyse van de eigen organisatie. Niet elke safeguard is even relevant voor elke organisatie, en de volgorde is een aanbeveling.

De CIS Controls Navigator helpt bij dit werk. Je filtert safeguards op Implementation Group en ziet per safeguard welke mappings er zijn naar andere kaders.

Hoe verhouden de CIS Controls zich tot andere kaders?

In de Navigator kun je safeguards naast ISO/IEC 27001:2022, NIS2, DORA, NIST Cybersecurity Framework (CSF) 2.0, PCI DSS v4.0 en AICPA SOC 2 leggen. Zo zie je per safeguard hoe die zich verhoudt tot de andere kaders.

Een mapping laat zien waar maatregelen overlappen. Daaruit volgt niet dat wie aan de ene eis voldoet, automatisch voldoet aan een andere. Het verschil in aanpak: ISO 27001 beschrijft een managementsysteem waarop een organisatie kan worden gecertificeerd. Het NIST Cybersecurity Framework is een raamwerk om beveiliging in te delen en te bespreken. De CIS Controls zijn concreter en technischer: ze zeggen welke maatregelen je neemt, in welke volgorde. Je kunt ze naast een van de andere kaders gebruiken.

Voor de Europese regels kun je NIS2 en de Cyberbeveiligingswet en de DORA-verordening naast de Controls leggen. Voor kaartbetalingen staat in de kennisbank de PCI DSS. Met CIS-CAT Pro, een tool van CIS, beoordeel je in hoeverre systemen aan de CIS Benchmarks voldoen.

Wie werkt met de CIS Controls?

De CIS Controls komen terug in het werk van de volgende functies.

• Een security engineer werkt de safeguards technisch uit, zoals asset-inventarisatie, hardening, logging en kwetsbaarheidsbeheer. Het werk van deze functie staat in de carrieregids over security engineers.
• Een information security officer kan de Controls gebruiken om de beveiligingsmaatregelen van de organisatie te bespreken en prioriteiten te onderbouwen.
• Een security manager gebruikt de Controls om voortgang te tonen en prioriteiten te onderbouwen.
• Een IT-auditor kan de Controls bij sommige organisaties gebruiken als toetsingskader, waarbij per safeguard wordt gekeken of de maatregel er is en werkt. Dat is een werkwijze en geen verplichting.
• Een GRC-consultant gebruikt de mappings uit de Navigator om te laten zien waar maatregelen aan meerdere kaders bijdragen.
• Een chief information security officer gebruikt IG1, IG2 en IG3 als gemeenschappelijke taal om voortgang te tonen en prioriteiten te onderbouwen.
• Een security architect kan de Controls als referentie gebruiken bij het ontwerp van de technische omgeving.

Wie een vacature leest waarin "CIS Controls" of "CIS Benchmarks" staat, kan meestal praktisch werk met configuratie en baselines verwachten. Het zegt weinig over het niveau van de functie. Op het vakgebied cybersecurity vind je meer functies, en op de pagina van security engineer zie je welke werkgevers die functie hebben.