Wat houdt NIST-conformiteit in? Een praktische gids voor IT-teams en MSP’s
De term „NIST“ wordt gebruikt om naar verschillende zaken te verwijzen, vaak door elkaar en niet altijd even nauwkeurig. Het agentschap. Het Cybersecurity Framework. De speciale publicaties uit de 800-serie. Het Risk Management Framework. Het Privacy Framework. Weten over welke „NIST“ het in een bepaald gesprek gaat, en welke daadwerkelijk relevant is voor een specifieke nalevingsverplichting, is de eerste praktische stap bij het werken met NIST-richtlijnen.
NIST-conformiteit betekent, in de breedste zin van het woord, het naleven van de richtlijnen op het gebied van cyberbeveiliging en risicobeheer die zijn gepubliceerd door het National Institute of Standards and Technology. In de praktijk betekent dit meestal dat men zich moet aanpassen aan een of meer specifieke NIST-publicaties, zoals het Cybersecurity Framework (CSF), SP 800-53, SP 800-171 of andere, afhankelijk van de regelgevingscontext, de sector en wat de klanten, toezichthouders of verzekeraars van de organisatie vragen.
Deze gids dient als inleiding. Hierin wordt uitgelegd wat NIST als organisatie inhoudt, welke relevante kaders en publicaties er zijn, wanneer naleving van NIST-richtlijnen vrijwillig is en wanneer verplicht, en hoe deze aansluiten bij andere kaders waarmee IT-teams en MSP’s te maken krijgen. Voor een diepgaande analyse op praktijkniveau van specifiek het meest gangbare NIST-kader, zie de gids over het NIST Cybersecurity Framework voor CSF 2.0.
Vereenvoudig de naleving van NIST-normen binnen meerdere kaders.
Compliance Manager GRC bevat sjablonen voor NIST CSF 2.0, SP 800-171 en CMMC, naast HIPAA, PCI-DSS, ISO 27001 en CIS Controls, met doorlopende beoordeling en documentatie van bewijsmateriaal dat klaar is voor audits.
Wat is NIST?
NIST is een federaal agentschap dat deel uitmaakt van het Amerikaanse Ministerie van Handel. Het werd in 1901 opgericht als het National Bureau of Standards, kreeg in 1988 een nieuwe naam en houdt zich bezig met meetwetenschap, industriële normen en een breed scala aan technologische gebieden, waaronder cyberbeveiliging, geavanceerde productie en AI.
De werkzaamheden op het gebied van cyberbeveiliging waarmee de meeste IT-teams en MSP’s te maken krijgen, vallen onder het Information Technology Laboratory van het NIST, dat het Cybersecurity Framework, het Risk Management Framework, het Privacy Framework en diverse speciale publicaties opstelt waarin specifieke beheersmaatregelen, processen en beoordelingsmethodieken worden beschreven. De richtlijnen van het NIST zijn bewust niet-voorschrijvend wat betreft de te gebruiken tools. Ze geven aan welke resultaten moeten worden bereikt, niet welk product moet worden aangeschaft.
De reden waarom de NIST-richtlijnen zo’n groot gewicht in de schaal leggen – afgezien van hun directe toepasbaarheid op Amerikaanse federale systemen – is dat ze door middel van verwijzing zijn opgenomen in een lange reeks andere regelgevingskaders en commerciële kaders. Het CMMC voor defensieaannemers is gebaseerd op SP 800-171. Staatswetten inzake gegevensbescherming verwijzen in hun beveiligingsnormen vaak naar NIST. Aanbieders van cyberverzekeringen stellen steeds vaker naleving van de NIST-normen als voorwaarde voor dekking. Zelfs organisaties die geen directe NIST-verplichting hebben, merken vaak dat ze toch naar de NIST-normen toewerken, omdat hun grootste klant, hun verzekeraar of hun toezichthouder deze als referentiepunt hanteert.
De NIST-reeks van richtlijnen op het gebied van cyberbeveiliging
De cyberbeveiligingsportfolio van het NIST bestaat uit een klein aantal overkoepelende kaders en een groter aantal gedetailleerde publicaties.
Het NIST Cybersecurity Framework (CSF) wordt het meest toegepast. Het werd oorspronkelijk in 2014 gepubliceerd voor kritieke infrastructuur; de huidige versie is CSF 2.0 (februari 2024), waarin het toepassingsgebied is uitgebreid naar alle organisaties, een nieuwe functie ‘Govern’ is toegevoegd naast de oorspronkelijke vijf (Identify, Protect, Detect, Respond, Recover), en de richtlijnen voor risicobeheer in de toeleveringsketen aanzienlijk zijn uitgebreid. Het CSF is het raamwerk waarop de meeste organisaties hun beveiligingsprogramma baseren. Raadpleeg de speciale CSF 2.0-gids voor een praktijkgerichte uitleg van de zes functies, niveaus en profielen van CSF 2 .0.
Het NIST Risk Management Framework (RMF) is het gestructureerde proces voor het beheer van beveiligings- en privacyrisico’s gedurende de gehele levenscyclus van systeemontwikkeling. Waar het CSF de beoogde resultaten aangeeft, biedt het RMF het proces om die resultaten te bereiken: systemen categoriseren, beheersmaatregelen selecteren, implementeren, beoordelen, goedkeuren en monitoren. Het RMF is op grond van de FISMA verplicht voor informatiesystemen van de Amerikaanse federale overheid en wordt steeds vaker gebruikt als procesraamwerk in beveiligingsprogramma’s in de particuliere sector.
Het NIST Privacy Framework is de op privacy gerichte tegenhanger van het CSF. Het is op dezelfde manier opgebouwd (Core, Profiles, Implementation Tiers) en is bedoeld om organisaties te helpen bij het identificeren en beheren van privacyrisico’s, naast hun cyberbeveiligingsrisico’s. Het sluit naadloos aan op het CSF en op AVG, waardoor het nuttig is voor organisaties die in verschillende regelgevingskaders actief zijn.
De NIST Special Publications (SP) -reeks biedt de gedetailleerde technische en procedurele richtlijnen waarnaar in de overkoepelende kaders wordt verwezen. Met name de 800-reeks is degene waarmee IT-teams het vaakst te maken krijgen.
De NIST SP 800-reeks: belangrijke publicaties
De 800-serie is omvangrijk (honderden publicaties), maar een klein aantal daarvan vervult het grootste deel van de praktische taken voor typische IT-teams en MSP’s.
SP 800-53 is de catalogus van beveiligings- en privacymaatregelen voor federale informatiesystemen. Deze bevat meer dan duizend maatregelen, ingedeeld in 20 maatregelengroepen, en dient als het implementatiedocument waarop de subcategorieën van het CSF zijn gebaseerd. De meeste andere Amerikaanse federale cyberbeveiligingsnormen zijn afgeleid van of afgestemd op SP 800-53.
SP 800-171 is de subset van de SP 800-53-beheersmaatregelen die van toepassing zijn op gecontroleerde niet-geclassificeerde informatie (CUI) die wordt bewaard in niet-federale systemen. Het bevat 110 beveiligingseisen, verdeeld over 14 categorieën beheersmaatregelen. CMMC-niveau 2, het certificeringssysteem voor de Amerikaanse defensie-industriële basis, is rechtstreeks gebaseerd op SP 800-171. Voor MSP’s die defensie-aannemers of onderaannemers bedienen, is SP 800-171 het belangrijkste referentiedocument.
SP 800-30 biedt de methodologie voor het uitvoeren van cyberbeveiligingsrisicobeoordelingen. Terwijl de meeste kaders je alleen vertellen dat je een risicobeoordeling moet uitvoeren, legt 800-30 uit hoe je dit daadwerkelijk op een verdedigbare en controleerbare manier moet doen.
SP 800-37 is het procedurele document voor het risicobeheerkader (RMF). Het behandelt de zes RMF-stappen (voorbereiden, categoriseren, selecteren, implementeren, beoordelen, goedkeuren, monitoren) en fungeert als operationele handleiding voor organisaties die een op het RMF afgestemd programma uitvoeren.
SP 800-61 heeft betrekking op de afhandeling van computerbeveiligingsincidenten. Het is het referentiedocument voor het opzetten van een programma voor incidentrespons en wordt veelvuldig aangehaald in wettelijke voorschriften die incidentresponscapaciteit verplicht stellen.
SP 800-137 heeft betrekking op de continue monitoring van de informatiebeveiliging. Het biedt een kader voor voortdurend inzicht in de stand van zaken op het gebied van informatiebeveiliging, kwetsbaarheden en bedreigingen, en vormt daarmee de discipline die de eenmalige implementatie van beveiligingsmaatregelen omzet in een duurzaam beveiligingsprogramma.
Er zijn nog tientallen andere publicaties uit de 800-serie die specifieke onderwerpen behandelen, variërend van cloud computing (SP 800-144) tot industriële besturingssystemen (SP 800-82) en identiteitsbeheer (SP 800-63). Voor de meeste IT-teams en MSP’s dekken de zes bovengenoemde publicaties het grootste deel van het dagelijkse NIST-referentiewerk, terwijl andere publicaties worden geraadpleegd wanneer zich specifieke vereisten voordoen.
Wanneer naleving van de NIST-normen vrijwillig is in plaats van verplicht
De NIST-normen zijn technisch gezien vrijwillig voor niet-federale organisaties. In de praktijk vervaagt de grens tussen vrijwillig en verplicht al jaren.
De NIST-richtlijnen zijn rechtstreeks bindend voor Amerikaanse federale instanties op grond van de FISMA (de Federal Information Security Modernization Act), die instanties verplicht om informatiebeveiligingsprogramma’s te ontwikkelen, te documenteren en te implementeren die in overeenstemming zijn met de NIST-normen en -richtlijnen.
Dit is verplicht op grond van contractuele doorwerking voor federale aannemers en onderaannemers die omgaan met gecontroleerde, niet-geclassificeerde informatie. Het CMMC-programma, dat geleidelijk wordt ingevoerd in contracten van het Ministerie van Defensie, maakt naleving van SP 800-171 een voorwaarde voor deelname aan aanbestedingen voor de meeste defensiecontracten.
Het is in feite verplicht door de invoering van regelgeving in diverse staats- en sectorspecifieke kaders. De Cybersecurity-verordening van het New York Department of Financial Services (23 NYCRR 500), de richtlijnen van de HIPAA-beveiligingsregel en diverse staatswetten inzake gegevensbescherming verwijzen allemaal naar NIST-publicaties als gezaghebbende bronnen.
In de zakelijke sector wordt dit steeds vaker vereist bij het afsluiten van cyberverzekeringen. Verzekeraars zijn afgestapt van risicobeoordelingen op basis van vragenlijsten en eisen nu bewijs dat men voldoet aan een erkend cyberbeveiligingsraamwerk, waarbij CSF het raamwerk is waarnaar zij het vaakst vragen. Organisaties die hun cyberdekking in 2026 verlengen, moeten er rekening mee houden dat hen vragen zullen worden gesteld over de mate waarin zij aan het CSF voldoen.
Vrijwillige aanpassing is ook de meest gangbare aanpak voor organisaties in de particuliere sector die een gestructureerd cyberbeveiligingsprogramma willen, maar niet gebonden zijn aan specifieke regelgeving. De expliciete uitbreiding van CSF 2.0 naar alle organisaties heeft dit eenvoudiger gemaakt. Het raamwerk is niet langer uitsluitend gericht op kritieke infrastructuur en is daadwerkelijk bruikbaar voor kleine bedrijven, middelgrote ondernemingen en MSP’s zelf.
Hoe NIST aansluit bij HIPAA, PCI-DSS, ISO 27001 en CIS Controls
NIST overlapt in aanzienlijke mate met andere kaders waaraan een organisatie waarschijnlijk al werkt. De meest voorkomende fout bij de implementatie is om deze kaders te beschouwen als afzonderlijke programma’s die op afzonderlijke beheersmaatregelen draaien.
De HIPAA-beveiligingsregel sluit nauw aan bij de richtlijnen van het NIST. Het Ministerie van Volksgezondheid en Human Services verwijst in zijn beveiligingsrichtlijnen expliciet naar publicaties van het NIST, en organisaties die voldoen aan de vereisten van de HIPAA-beveiligingsregel hebben over het algemeen het grootste deel van het werk voor de afstemming op het CSF in de gezondheidszorg al verricht.
PCI-DSS voor de verwerking van betaalkaarten vertoont aanzienlijke overlappingen met NIST SP 800-53 op het gebied van controlemaatregelen, met name wat betreft toegangscontrole, versleuteling, kwetsbaarheidsbeheer en incidentrespons. Een handelaar of dienstverlener die een degelijk PCI-programma hanteert, bevindt zich in een goede uitgangspositie om dit uit te breiden naar CSF.
ISO 27001 is de internationale norm voor managementsystemen op het gebied van informatiebeveiliging. Deze norm deelt de risicogebaseerde en resultaatgerichte aanpak van CSF, maar voegt daar een formele structuur voor het managementsysteem aan toe die kan worden gecontroleerd met het oog op certificering. CSF en ISO 27001 zijn in hoge mate compatibel, en veel organisaties passen beide toe: CSF voor het strategisch kader en ISO 27001 voor het certificeerbare managementsysteem.
CIS Controls v8.1 is een op prioriteit gebaseerde, prescriptieve reeks van 18 beveiligingsmaatregelen die uitgebreid aansluit bij de functies en categorieën van het CSF. CIS Controls vormt vaak een laagdrempelige instap voor organisaties die nog niet bekend zijn met gestructureerd beveiligingswerk, omdat het specifieke acties in volgorde van prioriteit biedt, terwijl het CSF resultaten aangeeft zonder acties voor te schrijven. Een organisatie die CIS Controls implementeert, verricht daarmee een aanzienlijk deel van het werk dat nodig is voor afstemming op het CSF.
Het patroon is bij al deze gevallen hetzelfde. Eén onderliggende controlearchitectuur moet meerdere frameworks kunnen ondersteunen. Bij een slimme implementatie worden de controles eenmalig afgestemd op de vereisten van het framework en wordt de onderbouwing herhaaldelijk hergebruikt, in plaats van parallelle nalevingsprogramma’s te voeren die elk hun eigen papierwerk vereisen.
Een praktisch NIST-starttraject voor IT-teams en MSP’s
Voor organisaties die net van start gaan, verloopt het werk doorgaans in vijf fasen.
Stel vast wat de daadwerkelijke NIST-verplichting is. Is de organisatie een federale aannemer waarvoor de CMMC-voorschriften gelden? Een zorginstelling die onder de HIPAA valt? Een financiële dienstverlener die onder NYDFS 500 valt? Een bedrijf uit de particuliere sector dat vrijwillig aan de normen wil voldoen met het oog op cyberverzekering of commerciële geloofwaardigheid? De specifieke verplichting bepaalt welke NIST-publicatie de primaire referentie is.
Bepaal het strategische kader. Voor de meeste organisaties is het antwoord NIST CSF 2.0, omdat dit kader sectoroverschrijdend is, de breedste externe erkenning geniet en duidelijk aansluit bij andere verplichtingen. Federale aannemers met CUI-verplichtingen zullen CSF combineren met SP 800-171.
Voer een ‘Current Profile’-beoordeling uit aan de hand van het gekozen raamwerk. Leg vast welke resultaten op het gebied van cyberbeveiliging momenteel daadwerkelijk worden behaald, waar de hiaten zich bevinden en welke hiaten het meest van belang zijn voor de wettelijke of commerciële verplichtingen die ten grondslag liggen aan deze werkzaamheden.
Stel een doelprofiel en een stappenplan op. Waar moet de organisatie naartoe, wanneer moet ze daar zijn, wat gaat het kosten en wat is de volgorde van prioriteit van de werkzaamheden?
Kies voor tools die aansluiten bij het raamwerk in plaats van ertegenin te gaan. Het Kaseya 365 implementeert het merendeel van de CSF-subcategorieën rechtstreeks. Kaseya VSA 10 en Datto RMM bieden ondersteuning voor assetbeheer en patchbeheer (Identificeren, Beschermen). Datto EDR biedt ondersteuning voor detectie en respons op endpointsen (Detecteren, Reageren). Datto BCDR biedt ondersteuning voor herstel (Herstellen). BullPhish ID bewustwordingstraining (Beschermen). Compliance Manager GRC omvat governance, profieltracking en bewijsverzameling (Govern), met ingebouwde NIST CSF 2.0-, SP 800-171-, CMMC- en gerelateerde frameworksjablonen die het compliancewerk van een spreadsheetoefening omzetten in een continue operationele dienst.
NIST-naleving, die als een eenmalig project wordt beschouwd, verwordt tot een verouderde map vol beleidsregels die geen afspiegeling vormen van de werkelijkheid. Als het wordt benaderd als een doorlopend proces, wordt het de rode draad die de rest van het cyberbeveiligingsprogramma samenbrengt tot een samenhangend geheel, dat standaard klaar is voor audits, verzekeringen en contracten. De organisaties die het meeste uit de NIST-richtlijnen halen, zijn de organisaties die deze niet langer als een regelgevingslast beschouwen, maar als de blauwdruk voor hoe hun beveiligingsprogramma zou moeten functioneren.
Belangrijkste punten
- Met „NIST” worden verschillende zaken bedoeld: het agentschap, het Cybersecurity Framework, het Risk Management Framework, het Privacy Framework en de SP 800-reeks van publicaties. Weten welke daarvan van toepassing is op een specifieke verplichting, is de eerste praktische stap.
- NIST-naleving is technisch gezien vrijwillig buiten federale systemen, maar wordt steeds vaker verplicht gesteld in contracten (CMMC), regelgeving (NYDFS 500, verwijzingen naar HIPAA) en bij het afsluiten van cyberverzekeringen.
- CSF 2.0 is het meest gebruikte NIST-raamwerk. SP 800-171 is de belangrijkste referentie voor defensie-aannemers die met CUI werken. De kleinere reeks SP 800-publicaties (800-53, 800-171, 800-30, 800-37, 800-61, 800-137) omvat het grootste deel van het praktische NIST-referentiemateriaal.
- NIST overlapt in aanzienlijke mate met HIPAA, PCI-DSS, ISO 27001 en CIS Controls. Eén enkele controlearchitectuur zou aan alle relevante kaders moeten voldoen, in plaats van dat er parallelle nalevingsprogramma’s worden uitgevoerd.
