NIST is het Amerikaanse National Institute of Standards and Technology, bekend om security- en risicomanagementkaders die wereldwijd worden gebruikt. Het Cybersecurity Framework biedt organisaties een praktische structuur om cyberrisico’s op een consistente en meetbare manier te beheren. NIST heeft het framework voor het eerst in jaren vernieuwd en de verandering is duidelijk. CSF 2.0 voegt een zesde functie toe, Govern. Voor Europese besturen en directies sluit dit goed aan op de richting die NIS2 al heeft bepaald. Beide kaders halen cyber weg uit de technische "kelder" van een organisatie en plaatsen het op de leiderschapsagenda.
Waarom NIST de Govern-functie heeft geïntroduceerd
Eerdere versies van het CSF richtten zich vooral op de technische lifecycle: Identify, Protect, Detect, Respond en Recover. CSF 2.0 maakt duidelijk dat dit niet langer volstaat. De nieuwe Govern-functie legt bij senior leiderschap de verantwoordelijkheid voor het bepalen van doelen, risicobereidheid, rolverdeling en het toezicht op supply-chain exposure.
De grootste tekortkomingen in cybersecurityprogramma’s ontstaan zelden door firewalls of SIEM. Ze komen voort uit onduidelijk eigenaarschap, zwakke besluitvorming en inconsistente policies. Dat is in de kern governance die niet functioneert.
De link met Europese regelgeving
Voor organisaties die in de EU actief zijn of EU-klanten bedienen, sluit deze verschuiving direct aan op NIS2. NIS2 ziet cyber niet als een IT-activiteit, maar als een bedrijfsrisico met verplichtingen die bij het bestuur liggen.
NIS2 verwacht dat leiderschap:
- cybersecuritymaatregelen goedkeurt
- de uitvoering bewaakt
- materiële cyberrisico’s begrijpt
- supply-chain exposure beoordeelt en beheerst
- zorgvuldig handelt bij investerings- en beleidsbeslissingen
Deze punten sluiten vrijwel volledig aan op de nieuwe Govern-categorieën van NIST. Europese organisaties die NIST intern gebruiken, zullen merken dat CSF 2.0 de aansluiting met NIS2 eenvoudiger maakt.
Wat dit betekent voor bestuurders
Besturen kunnen niet langer vertrouwen op af en toe een IT-update of aannemen dat risico-eigenaarschap lager in de organisatie ligt. CSF 2.0 en NIS2 vragen van het bestuur dat het cyberstrategie bepaalt, voortgang meet en scherpe vragen stelt over exposure en veerkracht.
Dit vraagt om:
- duidelijke governance met heldere rollen
- policies die worden ondersteund door echt toezicht
- supply-chain controls die passen bij bedrijfsrisico
- besluitvorming die cybersecurity-investeringen koppelt aan organisatiedoelen
Dit vereist geen diepgaande technische kennis, maar wel helderheid, verantwoordelijkheid en de bereidheid om aannames te bevragen. Technische teams beheren de controls. Leiderschap bepaalt richting, valideert strategie en bewaakt resultaten.
Waarom deze verschuiving nu speelt
Europese organisaties krijgen te maken met strengere regelgeving, hogere bestuurdersaansprakelijkheid en een dreigingslandschap dat blijft groeien. De focus op governance in CSF 2.0 geeft leiders een praktische manier om hiermee om te gaan.
Het verbindt cyberbeslissingen met ondernemingsrisico, operationele prioriteiten en lange-termijnbestendigheid. Voor organisaties die zich voorbereiden op NIS2-audits of rapportageverplichtingen kan de Govern-functie de voorbereiding versnellen en het verhaal richting toezichthouders versterken.
Hoe Nomios kan helpen
Nomios helpt organisaties bij het opzetten van de governance en securitystructuur die CSF 2.0 en NIS2 vragen. Onze teams ondersteunen bestuursniveau met diensten zoals virtual CISO, security assessments en cyber maturity modelling. We brengen gaps, prioriteiten en benodigde controls in kaart en begeleiden de implementatie van policies, processen en technische maatregelen. Of je nu hulp nodig hebt bij strategie, supply-chain toezicht of operationele veerkracht, we bieden praktische ondersteuning die aansluit op je huidige situatie en zichtbare vooruitgang levert.
Belangrijke data
Het NIST Cybersecurity Framework (CSF) 2.0 is officieel gelanceerd op 26 februari 2024.
In Nederland verloopt de implementatie van NIS2 binnen de concept-Cyberbeveiligingswet (Cbw):
- Deadline voor lidstaten om implementatiemaatregelen vast te stellen: 17 oktober 2024
- Nederlandse conceptwet ter consultatie gepubliceerd in juni 2024
- Verwachte inwerkingtreding van de Cyberbeveiligingswet: tweede kwartaal 2026
Wil je meer weten over dit onderwerp?
Onze experts en salesteams staan voor je klaar. Laat je contactgegevens achter en we nemen spoedig contact met je op.
