NIST Cybersecurity Framework 2.0: zes functies, profielen en tiers

Wat is het NIST Cybersecurity Framework?

Het NIST Cybersecurity Framework (CSF) 2.0 is uitgegeven als NIST CSWP 29 en draagt de datum 26 februari 2024. Het raamwerk is bedoeld om organisaties van elke omvang en uit elke sector te helpen cyberrisico's te beheersen en te verkleinen, zoals industrie, overheid, onderwijs en onderzoek, en non-profit.

NIST schrijft dat de CSF nuttig is ongeacht het volwassenheidsniveau en de technische verfijning van een beveiligingsprogramma. Hoe organisaties hem toepassen verschilt, want het is geen aanpak die voor iedereen hetzelfde is. De CSF beschrijft uitkomsten en is geen checklist.

Voor versie 2.0 heette het raamwerk "Framework for Improving Critical Infrastructure Cybersecurity". Die titel wordt voor CSF 2.0 niet meer gebruikt.

Wat is er nieuw in CSF 2.0?

Nieuw in versie 2.0 is de functie Govern. NIST beschrijft cybersecurity als een grote bron van ondernemingsrisico, die het senior management naast andere factoren zoals financiën en reputatie moet wegen. Volgens NIST gaat CSF 2.0 ook verder dan het beschermen van kritieke infrastructuur en is het bedoeld voor alle sectoren en organisatietypen.

Naast het raamwerk zelf biedt NIST aanvullende bronnen. Dat zijn Quick Start Guides voor specifieke typen gebruikers, Implementation Examples, Informative References, een CSF 2.0 Reference Tool en een doorzoekbare catalogus. Met die catalogus vergelijk je de CSF-richtlijnen met meer dan 50 andere cybersecuritydocumenten. Alles staat op de NIST-hub voor de CSF.

Govern zet cybersecurity daarmee naast andere ondernemingsrisico's. Je bespreekt cyberrisico dan in dezelfde taal als risicomanagement op bedrijfsniveau, en niet als losstaand technisch onderwerp.

Wat zijn de zes functies van de CSF?

De Core van de CSF ordent uitkomsten op het hoogste niveau in zes functies. De onderstaande tabel zet per functie naast elkaar wat NIST beschrijft en wat dat in de praktijk raakt.

Bij Identify hoort de risicoanalyse: eerst weet je wat je hebt, daarna zie je welke risico's erbij horen. Detect gaat over security monitoring, zoals in een SOC, en Respond over incident response als er iets is gebeurd.

Volgens NIST zeggen de volgorde en omvang van de functies niets over volgorde of belang. Govern stuurt wel de andere vijf: de uitkomsten van Govern bepalen wat je kunt doen om de uitkomsten van de andere functies te bereiken en te prioriteren.

Hoe is de Core opgebouwd?

De Core is een set uitkomsten, geordend per functie, dan per categorie en dan per subcategorie. Onder de zes functies liggen 22 categorieën. Elke categorie heeft een ID, zoals GV.OC of PR.AA.

Die ID's zijn een gedeelde taal. Een CISO, een architect en een auditor kunnen over PR.AA (toegangsbeheer) spreken zonder het over één tool of leverancier te hebben. Gebruik de ID's in een assessment of risicoregister, zodat iedereen dezelfde uitkomst bedoelt.

Wat zijn Profiles en Tiers?

Een Organizational Profile beschrijft de huidige en/of gewenste cyberbeveiligingshouding van een organisatie in termen van de uitkomsten van de Core. Een Profile bestaat uit een Current Profile, de uitkomsten die je nu bereikt of probeert te bereiken en in welke mate, en/of een Target Profile, de gewenste en geprioriteerde uitkomsten. Bij het Target Profile houd je rekening met verwachte veranderingen, zoals nieuwe eisen, nieuwe technologie en trends in dreigingsinformatie. Je kunt zoveel Profiles maken als je wilt, elk met een eigen scope.

Een Community Profile is een basislijn van CSF-uitkomsten die is gemaakt en gepubliceerd voor gedeelde belangen van meerdere organisaties, meestal voor een sector, subsector, technologie of dreigingstype. Een organisatie kan een Community Profile als basis nemen voor het eigen Target Profile.

NIST schetst vijf stappen om een Organizational Profile te gebruiken:

1. Bepaal de scope.
2. Verzamel de benodigde informatie.
3. Maak het Profile.
4. Analyseer de verschillen (gaps) tussen Current en Target Profile en maak een actieplan.
5. Voer het actieplan uit en werk het Profile bij.

Je kunt die stappen zo vaak herhalen als nodig is.

Tiers kenmerken de strengheid van governance en beheer van cyberrisico's. Er zijn vier Tiers: Partial (Tier 1), Risk Informed (Tier 2), Repeatable (Tier 3) en Adaptive (Tier 4). Je kunt de Tiers gebruiken om je Current en Target Profile te onderbouwen. NIST schrijft dat Tiers de eigen risicomanagementmethode moeten aanvullen en niet vervangen.

In de praktijk is een Profile een gap-analyse in een vaste vorm: waar sta je nu, waar wil je naartoe, en welke stappen volgen daaruit. Een Tier zegt iets over de volwassenheid van je risicobeheer en is optioneel. De Tiers lopen van informele, ad-hocreacties naar aanpakken die wendbaar, risicogestuurd en continu verbeterend zijn. Een hogere Tier is geen doel op zich. De keuze hangt af van risico, verplichtingen en kosten en baten.

Is de NIST CSF verplicht?

NIST schrijft dat de CSF een fundamentele bron is die vrijwillig kan worden toegepast, en ook via overheidsbeleid en verplichtingen. De taxonomie en de standaarden, richtlijnen en praktijken die erin worden genoemd, zijn niet landspecifiek. Of je organisatie de CSF moet toepassen, hangt af van het beleid en de verplichtingen die voor haar gelden.

NIST zegt ook dat de CSF niet voorschrijvend is. Hij hoort samen met andere bronnen te worden gebruikt, zoals raamwerken, standaarden, richtlijnen en best practices. NIST wil de CSF ook naast andere risico's van de onderneming gebruikt zien, zoals financiële, privacy-, toeleveringsketen-, reputatie-, technologische en fysieke risico's.

Wat is het verschil tussen de NIST CSF en ISO 27001?

De CSF beschrijft uitkomsten op hoog niveau en laat de aanpak aan de organisatie over. Een managementsysteemnorm zoals ISO/IEC 27001 stelt eisen aan een managementsysteem. Details over ISO/IEC 27001 vind je in het artikel over ISO 27001.

Een organisatie kan meerdere kaders naast elkaar gebruiken. De CSF past daarbij, omdat NIST hem zelf bedoelt als aanvulling op andere bronnen. Op 23 juli 2026 publiceerde de PCI Security Standards Council een mapping van PCI DSS v4.0.1 naar de NIST CSF 2.0. Een medewerker van de PCI SSC schrijft dat de twee niet uitwisselbaar zijn en dat geen van beide de ander vervangt. DORA, een Europese verordening, heeft een eigen artikel.

Welke rollen werken met de NIST CSF?

NIST noemt de mensen die cybersecurityprogramma's ontwikkelen en leiden de primaire doelgroep. Ook bestuurders, inkopers, technologieprofessionals, risicomanagers, juristen, HR-specialisten en auditors op het gebied van cybersecurity en risicomanagement kunnen de CSF gebruiken. Hoe dat er per rol uitziet, staat hieronder.

• Security architect: je vertaalt de uitkomsten uit Protect en Detect naar ontwerpkeuzes. Welke werkgevers deze functie hebben, zie je op de werkgeverspagina voor security architecten.
• GRC consultant: je werkt met Profiles, gap-analyses en rapportage aan het management.
• Information security officer: je vertaalt Govern naar beleid, doelen en rapportage aan het bestuur.

Ook IT-risicomanagers kunnen de CSF als referentie gebruiken, omdat NIST risicomanagers als gebruikers noemt. Of een werkgever de CSF noemt, hangt af van de organisatie. Kijk in de vacatures voor je doelfunctie of de CSF wordt genoemd.

Hoe begin je met de NIST CSF?

Begin niet met de hele organisatie. NIST noemt in de scopestap het voorbeeld van een Profile voor één onderdeel, zoals de financiële systemen of ransomware. Kies dus een beperkte scope en maak daarvoor een Current Profile. Dat kan één systeem zijn of één dreiging.

Kies daarna met het management een Target Profile met prioriteiten, en werk de verschillen weg in volgorde van risico. De vijf stappen uit het Profile-proces helpen je om dat in een vaste volgorde te doen. NIST biedt voor specifieke gebruikers Quick Start Guides en een CSF 2.0 Reference Tool, die je kunt gebruiken om te beginnen.

Kijk in de vacatures waar de CSF wordt genoemd en blader door de kennisbank voor de andere kaders en rollen.