normenkader
NIST SSDF en OWASP SAMM
Vragen uw klanten hoe veilig u software ontwikkelt, en eist de Cyber Resilience Act dit binnenkort voor elk product met digitale elementen? Complass leidt u door de 42 taken van het NIST SSDF, toont uw volwassenheidsniveau volgens OWASP SAMM en koppelt beide aan de CRA en IEC 62443-4-1.
Wat is NIST SSDF?
Het Secure Software Development Framework (SSDF) is een vrijwillig raamwerk van het Amerikaanse National Institute of Standards and Technology (NIST SP 800-218). Het beschrijft in vier groepen en 42 taken hoe fabrikanten software veilig ontwikkelen en op kwetsbaarheden reageren. OWASP SAMM is een open volwassenheidsmodel voor softwarebeveiliging met 15 praktijken en de niveaus 0 tot en met 3. Voor geen van beide bestaan certificaten.
Complass is op geen enkele wijze verbonden met NIST of de OWASP Foundation. De Engelse taakteksten zijn afkomstig uit NIST SP 800-218, een vrij te gebruiken werk van de Amerikaanse federale overheid. OWASP SAMM (owaspsamm.org) valt onder de licentie CC BY-SA 4.0; Complass noemt alleen de namen van de praktijken en beschrijft de niveaus in eigen woorden.
Actualiteit van de inhoud:
Is het op mij van toepassing?
Het SSDF geldt voor fabrikanten en ontwikkelaars van software, ook van firmware en software in machines en apparaten: bedrijven van wie de klanten bewijs van veilige ontwikkeling willen zien, leveranciers van Amerikaanse overheidsinstanties en iedereen die de ontwikkeleisen van de Cyber Resilience Act in de praktijk wil implementeren.
Het SSDF is niet verplicht en vervangt noch de CRA noch IEC 62443-4-1. Het vult ze aan als praktische takenlijst; veel taken hebt u al uitgevoerd als u volgens IEC 62443-4-1 ontwikkelt.
Dit overzicht vervangt geen juridisch advies. De wettelijke of normatieve tekst is doorslaggevend; in Complass toetst u de toepasselijkheid aan de hand van een handleiding op basis van de vindplaatsen.
Basis
- NIST SP 800-218Secure Software Development Framework (SSDF) versie 1.1, februari 2022; versie 1.2 als ontwerp sinds december 2025
- OWASP SAMM v2Software Assurance Maturity Model, licentie CC BY-SA 4.0
Belangrijke data
Wettelijke termijnen bestaan er voor het SSDF niet. Wie producten met digitale elementen in de EU aanbiedt, moet de termijnen van de Cyber Resilience Act in het oog houden; het SSDF helpt de eisen voor ontwikkeling en omgang met kwetsbaarheden tijdig te implementeren. Wij raden aan de SAMM-beoordeling jaarlijks te herhalen.
Hoe Complass helpt
- 5fasen
- 10begeleide stappen
- 3documentsjablonen
- 42eisen in de catalogus
Begeleid in vijf fasen
Reikwijdte, organisatie voorbereiden, software beschermen en veilig produceren, op kwetsbaarheden reageren, volwassenheidsniveau beoordelen.
42 taken met implementatiehulp
Elke taak met officiële identificatie, NIST-formulering in het origineel, stappen, minimale omvang, typisch bewijs en niveaus volgens OWASP SAMM.
Sjablonen
Beleid voor veilige softwareontwikkeling, SAMM-volwassenheidsbeoordeling en verbeterplan.
Eén keer implementeren, vaak aantonen
Beoordelingen en bewijs uit de CRA, IEC 62443-4-1 en ISO 27001 stelt Complass voor het SSDF voor om over te nemen.
De fasen in de module
- Uitgangspunt en afbakening
- De organisatie voorbereiden (PO)
- De software beschermen en veilig produceren (PS, PW)
- Reageren op kwetsbaarheden (RV)
- Volwassenheid beoordelen met OWASP SAMM
Catalogus: NIST SSDF 1.1 – 42 taken
Passende modules
Compliancemanagement
Normenkaders begeleid implementeren: fasen, sjablonen, documentenpiramide, catalogi, gapanalyse, doelstellingen en actieplan tot en met de audit in het auditorportaal.
Meer informatieRisicomanagement
Risicoregister met kwalitatieve of kwantitatieve beoordeling, risicobereidheid en behandelplan, gekoppeld aan assets, kwetsbaarheden en incidenten.
Meer informatieAssetmanagement
IT- en OT-assets op één plek, agentless vastgelegd, met SBOM, fabrikantadviezen, einde van ondersteuning, licentieafstemming, identiteiten, onderlinge verbanden en zones volgens IEC 62443-3-2.
Meer informatieVeelgestelde vragen
Is er een SSDF-certificaat?
Nee. Noch het SSDF noch OWASP SAMM is certificeerbaar. Complass helpt u uw implementatiestand en volwassenheidsniveau te beschrijven en aan te tonen.
Voldoen we met het SSDF aan de Cyber Resilience Act?
Niet automatisch. Het SSDF dekt veel eisen voor ontwikkeling en omgang met kwetsbaarheden, en Complass toont de koppeling met bijlage I. De conformiteitsbeoordeling volgens de CRA blijft een afzonderlijke taak.
Waarom SAMM als we het SSDF hebben?
Het SSDF zegt wat er moet gebeuren; SAMM toont hoe gevestigd het is. Met de niveaus 0 tot en met 3 kunt u voortgang meten en doelen stellen.
We ontwikkelen al volgens IEC 62443-4-1. Moeten we alles opnieuw vastleggen?
Nee. Via de gedeelde maatregelen stelt Complass voor beoordelingen en bewijs over te nemen. U controleert elk voorstel voordat u het bevestigt.
Test Complass met uw eigen gegevens
Maak uw proefaccount zelf aan, desgewenst met een voorbeeldproject per kader. Wilt u Complass liever eerst zien, vraag dan een demo aan.