Het NIST CSF 2.0-raamwerk
Het NIST Cybersecurity Framework 2.0, gepubliceerd in februari 2024: de zes functies en wat het verandert voor medewerkers en directie.
In 30 seconden
- Wat het is
- Een referentiekader met zes functies (Besturen, Identificeren, Beschermen, Detecteren, Reageren, Herstellen), in versie 2.0 gepubliceerd op 26 februari 20241.
- Status
- Versie 1.1 wordt gepresenteerd als een vrijwillige gids3; versie 2.0 "may be adopted voluntarily and through governmental policies and mandates"2. Het raamwerk zegt niet hoe de resultaten te bereiken zijn2.
- Voor de directie
- De functie Besturen, toegevoegd in versie 2.0, plaatst cyberbeveiliging onder de risico's van het bedrijf1.
- De reflex
- Volg de beveiligingsregels van uw bedrijf en meld een ongebruikelijk bericht of gedrag aan het beveiligingsteam. Het raamwerk zelf voorziet in het afhandelen, melden en communiceren van een incident, en in het beoordelen van incidentmeldingen2.
Waar gaat het over
Het NIST Cybersecurity Framework, vaak afgekort tot CSF, is een referentiedocument van het NIST, het Amerikaanse instituut voor normen en technologie. Het beschrijft de resultaten die een organisatie nastreeft om haar cyberbeveiligingsrisico's te beheersen. Versie 2.0 is gepubliceerd op 26 februari 20241.
Een medewerker hoeft het niet helemaal te lezen. Het helpt vooral om te begrijpen waarom een bedrijf regels stelt over wachtwoorden, back-ups of het melden van een incident: die regels komen overeen met specifieke functies van het raamwerk. Deze pagina beschrijft de opbouw ervan en wat het verandert, afhankelijk van of u medewerker of leidinggevende bent.
Directe vragen
Is CSF 2.0 een wet?
Nee, volgens de hier aangehaalde bronnen. Het NIST beschrijft versie 1.1 als een vrijwillige gids, gebaseerd op bestaande normen en praktijken3. Versie 2.0 "may be adopted voluntarily and through governmental policies and mandates": een staat of organisatie kan het dus via eigen beleid verplicht stellen, maar het document zelf schept geen verplichting2. De hier aangehaalde bronnen behandelen het Franse recht niet: ze laten niet toe te zeggen of een Franse wet ernaar verwijst.
Wie heeft ermee te maken?
Alle organisaties. Versie 2.0 richt zich op organisaties van elke omvang en uit elke sector, van de kleinste scholen en verenigingen tot de grootste instanties en bedrijven1. De eerste versie, gepubliceerd in 2014, richtte zich eerst op kritieke infrastructuur1.
Wat zijn de zes functies?
Besturen, Identificeren, Beschermen, Detecteren, Reageren en Herstellen. Ze worden hieronder uitgewerkt. Het NIST beeldt ze af als een wiel: Besturen staat in het midden, omdat die functie richting geeft aan de manier waarop de andere vijf worden uitgevoerd2.
Zegt het CSF wat te doen, tool voor tool?
Nee. Het document beschrijft gewenste resultaten en schrijft noch de resultaten noch de middelen om ze te bereiken voor2. De middelen staan beschreven in online bronnen: informatieve verwijzingen, voorbeelden van implementatie, snelstartgidsen en profielen2.
Heeft een medewerker een rol in het CSF?
Ja, indirect. De resultaten van de functie Beschermen omvatten bewustwording en training en ook gegevensbeveiliging, en die van de functie Reageren omvatten melden en communiceren2. De concrete acties verschillen per organisatie, evenals de persoon die ervoor verantwoordelijk is2.
1Wat er verandert voor medewerkers1 min
Het raamwerk richt zich eerst op de mensen die een cyberbeveiligingsprogramma leiden2. De medewerker ziet de gevolgen in de interne regels. Drie functies raken hem dagelijks.
- Beschermen: de verwachte resultaten omvatten identiteitsbeheer, authenticatie en toegangscontrole, bewustwording en training, en gegevensbeveiliging2. In het dagelijks leven sluit dit aan bij de maatregelen van Cybermalveillance.gouv.fr: lange, verschillende wachtwoorden, tweestapsverificatie, updates zodra ze beschikbaar zijn, back-ups met een kopie buiten het apparaat4.
- Detecteren: het raamwerk beoogt het snel ontdekken van afwijkingen en gebeurtenissen die op een aanval kunnen wijzen2. Bij een onverwacht of alarmerend bericht adviseert Cybermalveillance.gouv.fr de afzender via een ander kanaal om bevestiging te vragen4.
- Reageren en Herstellen: de functie Reageren omvat incidentbeheer, analyse, het beperken van de gevolgen, melden en communiceren, en Herstellen omvat het herstel van de getroffen bedrijfsmiddelen en activiteiten2. De te nemen acties en de mensen die ze uitvoeren hangen af van de organisatie2. In de praktijk volgt de medewerker de interne procedure en waarschuwt hij de juiste persoon.
De scheiding tussen persoonlijk en zakelijk gebruik, een andere maatregel van Cybermalveillance.gouv.fr, voorkomt dat de compromittering van een persoonlijke toegang het bedrijf schaadt, en omgekeerd4.
2Wat er verandert voor de directieDirectie1 min
CSF 2.0 voegt de functie Besturen toe. Ze betreft de strategie, de verwachtingen en het beleid voor het beheer van cyberrisico's, die vastgesteld, gecommuniceerd en gevolgd moeten worden2. Ze omvat de context van de organisatie, de strategie, het beheer van risico's bij leveranciers, rollen, verantwoordelijkheden en bevoegdheden, beleid en toezicht2.
Het NIST benadrukt dat cyberbeveiliging een belangrijke bron van bedrijfsrisico is, die leidinggevenden moeten afwegen naast andere risico's zoals financiële risico's en reputatierisico's1. Het raamwerk voorziet ook in profielen: een huidig profiel beschrijft de behaalde resultaten, een doelprofiel beschrijft de resultaten die de organisatie heeft gekozen en op prioriteit heeft gerangschikt2. Door beide te vergelijken zijn de verschillen te herkennen2. Niveaus (Tiers) kenmerken de striktheid van het bestuur en van het risicobeheer2.
3Wat de tekst zegtOfficiële tekst1 min
Het document is opgebouwd uit drie onderdelen: de kern (Core), die functies, categorieën en subcategorieën van resultaten bundelt; de organisatieprofielen; en de niveaus (Tiers)2. Hier volgen de zes functies, zoals het NIST ze definieert.
- Besturen: de strategie, de verwachtingen en het beleid voor risicobeheer worden vastgesteld, gecommuniceerd en gevolgd2.
- Identificeren: de actuele risico's worden begrepen, wat vereist dat de bedrijfsmiddelen (gegevens, hardware, software, systemen, locaties, diensten, personen) en de leveranciers bekend zijn2.
- Beschermen: beschermende maatregelen worden uitgevoerd2.
- Detecteren: mogelijke aanvallen en compromitteringen worden gevonden en geanalyseerd2.
- Reageren: er wordt gehandeld bij een gedetecteerd incident2.
- Herstellen: de bedrijfsmiddelen en activiteiten die door een incident zijn getroffen, worden hersteld2.
De resultaten vormen geen takenlijst: de volgorde en de omvang van de functies impliceren geen opeenvolging en geen belangrijkheid2. De functies worden parallel behandeld. Besturen, Identificeren, Beschermen en Detecteren gebeuren continu, Reageren en Herstellen moeten op elk moment gereed zijn2.
Het raamwerk geldt voor alle informatie- en communicatietechnologie, waaronder cloud, mobiel en kunstmatige intelligentie2.
4Hoe ver de toepassing staat1 min
CSF 2.0 is gepubliceerd sinds 26 februari 20241. Het NIST heeft snelstartgidsen toegevoegd voor specifieke doelgroepen, waaronder kleine bedrijven, en een catalogus van verwijzingen die het raamwerk koppelt aan meer dan 50 andere cyberbeveiligingsdocumenten1. De startpagina vermeldt in 2026 een Arabische vertaling en een tweejarig jubileum op 24 februari 20267.
Over de aansluiting op andere teksten zeggen de hier aangehaalde bronnen weinig. Het NIST geeft aan dat zijn werk met ISO en IEC het mogelijk maakt cyberbeveiligingsraamwerken op te bouwen en maatregelen te ordenen volgens de functies van het CSF1. Het OLIR-programma van het NIST publiceert overzichten van overeenkomsten tussen elementen van documenten van derden en die van NIST-documenten5. De hier aangehaalde bronnen noemen ISO 27001 en NIS 2 niet bij naam: deze pagina neemt dus geen standpunt in over die twee teksten.
Een ander land heeft een eigen raamwerk opgesteld. Het Cyber Assessment Framework van het Britse NCSC is opgebouwd rond vier doelstellingen, waaronder risicobeheer, bescherming, detectie en het beperken van de impact van incidenten6. Het wordt gebruikt in sectoren die onder de Britse NIS-regelgeving vallen6. Dit raamwerk staat los van het CSF.
Fiche
- Identificatie
- CP-378
- Vleugel
- 6. Governance en GRC
- Brain-competentie
- Gegevens beschermen (safeguard_data)
- Brain-reflex
- cr-033
- Schema
- G3 · Anatomische doorsnede
- Talen
- de, en, es, fr, it, nl
- Bronnen
- 7 bronnen gecontroleerd op 3 november 2026
Bronnen7 bronnen
- NIST, “NIST Releases Version 2.0 of Landmark Cybersecurity Framework”, 26 februari 2024. https://www.nist.gov/news-events/news/2024/02/nist-releases-version-20-landmark-cybersecurity-framework (geraadpleegd op 3 november 2026)
- NIST, “The NIST Cybersecurity Framework (CSF) 2.0”, 26 februari 2024. https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.29.pdf (geraadpleegd op 3 november 2026)
- NIST, “Getting Started with CSF 1.1”, 5 februari 2018. https://www.nist.gov/cyberframework/getting-started-csf-11 (geraadpleegd op 3 november 2026)
- Cybermalveillance.gouv.fr, “Les 10 mesures essentielles pour votre cybersécurité”, 6 januari 2021. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/10-mesures-essentielles-assurer-securite-numerique (geraadpleegd op 3 november 2026)
- NIST, “National Online Informative References Program OLIR”. https://csrc.nist.gov/projects/olir (geraadpleegd op 3 november 2026)
- NCSC (Royaume-Uni), “Cyber Assessment Framework”. https://www.ncsc.gov.uk/collection/cyber-assessment-framework (geraadpleegd op 3 november 2026)
- NIST, “Cybersecurity Framework”. https://www.nist.gov/cyberframework (geraadpleegd op 3 november 2026)
Dit artikel citeren
Brain, “Het NIST CSF 2.0-raamwerk”, Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp378_nl_2026,
author = {Brain},
title = {Het NIST CSF 2.0-raamwerk},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/nl/articles/nist-csf-2-cyberbeveiliging-raamwerk/},
note = {CC BY 4.0}
}