normenkader
NIST Cybersecurity Framework 2.0
Vraagt uw klant of verzekeraar naar het NIST Cybersecurity Framework? Complass leidt u door de profielmethode: van de reikwijdte via de huidige stand en het doel naar het actieplan, met bewijs dat u kunt overnemen uit ISO 27001, NIS2 of IEC 62443.
Wat is NIST CSF 2.0?
Het NIST Cybersecurity Framework (CSF) 2.0 is een vrijwillig raamwerk van het Amerikaanse National Institute of Standards and Technology. Het beschrijft in zes functies (Govern, Identify, Protect, Detect, Respond, Recover), 22 categorieën en 106 subcategorieën welke resultaten effectief cyberrisicobeheer moet bereiken. Het wordt wereldwijd gebruikt en is bruikbaar ongeacht sector en omvang. Een certificaat bestaat er niet.
Complass is op geen enkele wijze verbonden met NIST. De Engelse formuleringen van de resultaten zijn afkomstig uit NIST CSWP 29, een vrij te gebruiken werk van de Amerikaanse federale overheid.
Actualiteit van de inhoud:
Is het op mij van toepassing?
Het CSF geldt voor bedrijven van wie klanten, moedermaatschappijen of cyberverzekeraars willen dat hun informatiebeveiliging in de taal van het CSF wordt beschreven: toeleveranciers van internationale concerns, aanbieders van software en diensten, exploitanten van gekoppelde installaties en organisaties die een eenduidig beeld van hun stand nodig hebben.
Het CSF is niet verplicht en vervangt geen wettelijke verplichtingen zoals NIS2. Het vult ze aan als gemeenschappelijke taal; veel resultaten hebt u al wanneer u volgens ISO 27001 of NIS2 werkt.
Dit overzicht vervangt geen juridisch advies. De wettelijke of normatieve tekst is doorslaggevend; in Complass toetst u de toepasselijkheid aan de hand van een handleiding op basis van de vindplaatsen.
Basis
- NIST CSWP 29The NIST Cybersecurity Framework (CSF) 2.0, gepubliceerd op 26-02-2024
Belangrijke data
Wettelijke termijnen bestaan er voor het CSF niet; het tijdschema wordt bepaald door uw klanten of verzekeraars. Het profiel is een doorlopend document; wij raden aan het bij wijzigingen en minstens jaarlijks te herzien.
Hoe Complass helpt
- 5fasen
- 10begeleide stappen
- 3documentsjablonen
- 106eisen in de catalogus
Profielmethode in vijf fasen
Reikwijdte, huidig profiel, doelprofiel met tier, lacuneanalyse en actieplan, implementatie en bijwerking, stap voor stap begeleid.
106 subcategorieën met officiële identificaties
Elk resultaat met toepasselijkheid, status, motivering en bewijs. Titels en toelichtingen in eigen woorden, de NIST-formulering in het origineel ernaast.
Sjablonen
Organisatieprofiel voor huidige en gewenste stand, tierbeoordeling en actieplan.
Eén keer implementeren, vaak aantonen
Maatregelen die u al voor ISO 27001, NIS2 of IEC 62443 hebt beoordeeld, stelt Complass voor het CSF voor om over te nemen.
De fasen in de module
- Uitgangspunt en afbakening
- Het huidige profiel opstellen
- Doelprofiel en tier bepalen
- Hiaatanalyse en maatregelenplan
- Uitvoeren en actueel houden
Catalogus: NIST CSF 2.0 Core – 106 subcategorieën
Passende modules
Compliancemanagement
Normenkaders begeleid implementeren: fasen, sjablonen, documentenpiramide, catalogi, gapanalyse, doelstellingen en actieplan tot en met de audit in het auditorportaal.
Meer informatieRisicomanagement
Risicoregister met kwalitatieve of kwantitatieve beoordeling, risicobereidheid en behandelplan, gekoppeld aan assets, kwetsbaarheden en incidenten.
Meer informatieAssetmanagement
IT- en OT-assets op één plek, agentless vastgelegd, met SBOM, fabrikantadviezen, einde van ondersteuning, licentieafstemming, identiteiten, onderlinge verbanden en zones volgens IEC 62443-3-2.
Meer informatieVeelgestelde vragen
Is er een CSF-certificaat?
Nee. Het CSF is niet certificeerbaar. Complass helpt u uw stand als profiel te beschrijven en aan te tonen; er komt geen certificaat of label uit voort.
Wat is een tier?
De vier tiers (Partial, Risk Informed, Repeatable, Adaptive) geven aan hoe gevestigd uw sturing en uw risicobeheer als geheel zijn. U legt de huidige en de beoogde tier vast in een sjabloon.
We werken al volgens ISO 27001. Moeten we alles opnieuw vastleggen?
Nee. Via de gedeelde maatregelen stelt Complass voor beoordelingen en bewijs over te nemen. U toetst elk voorstel inhoudelijk voordat u het bevestigt.
Vervangt het CSF NIS2 of ISO 27001?
Nee. Het vult ze aan als presentatie richting klanten en verzekeraars. Wettelijke verplichtingen blijven bestaan.
Test Complass met uw eigen gegevens
Maak uw proefaccount zelf aan, desgewenst met een voorbeeldproject per kader. Wilt u Complass liever eerst zien, vraag dan een demo aan.