NIS2 versus GDPR versus NIST CSF 2.0 versus SOC 2 versus CIS Controls v8.1 versus ISO/IEC 27001: een praktische vergelijkingsgids

3. NIST Cyberbeveiligingsframework (CSF) 2.0

Wat het is

NIST CSF 2.0 is een veelgebruikteresultaatgerichtraamwerk om cyberbeveiligingsrisico’s in elke organisatie te beheren. Het biedt een gemeenschappelijke taxonomie voor het begrijpen en communiceren van de cyberbeveiligingspositie. Versie 2.0, uitgebracht in februari 2024, breidt het oorspronkelijke raamwerk uit met aanvullende richtlijnen en een nieuwe “Govern”-functie.

Structuur

CSF 2.0 is georganiseerd rond zes functies:

• Regeren:Ontwikkel en implementeer de organisatiestructuur, het beleid en de processen voor het beheren van cyberbeveiligingsrisico's
• Identificeer:Ontwikkel inzicht in cyberbeveiligingsrisico's voor systemen, mensen, middelen, gegevens en capaciteiten
• Beschermen:Veiligheidsmaatregelen ontwikkelen en implementeren om de levering van kritieke diensten te garanderen
• Detecteren:Activiteiten ontwikkelen en implementeren om het optreden van cyberbeveiligingsgebeurtenissen te identificeren
• Reageren:Activiteiten ontwikkelen en implementeren om actie te ondernemen met betrekking tot gedetecteerde cyberveiligheidsincidenten
• Herstellen:Activiteiten ontwikkelen en implementeren om de veerkracht te behouden en de capaciteiten te herstellen die zijn aangetast door cyberveiligheidsincidenten

Waar het het beste voor is

• Eenbouwen directievriendelijkstructuur van beveiligingsprogramma
• Eendefiniëren doelprofielen een routekaart (hiaten → initiatieven → statistieken)
• Communiceren met klanten en partners in een gedeelde “risicotaal”
• Een flexibel raamwerk creëren dat zich kan aanpassen aan verschillende organisatorische behoeften en risicoprofielen

Wat het niet is

CSF 2.0 doetnietprecies voorschrijven hoe controles moeten worden geïmplementeerd; het verwijst u naar praktijken en middelen die de resultaten kunnen bereiken. Het is geen checklist of certificeringsnorm, maar eerder een flexibel raamwerk dat organisaties kunnen aanpassen aan hun specifieke behoeften en risicoprofielen.

4. SOC 2 (AICPA-criteria voor trustdiensten)

Wat het is

SOC 2 is eenbetrouwbaarheidsrapportover controles bij een serviceorganisatie die relevant zijn voor een of meer van:

• Beveiliging(vereist): Het systeem is beveiligd tegen ongeautoriseerde toegang
• Beschikbaarheid(optioneel): Het systeem is beschikbaar voor gebruik zoals vastgelegd of overeengekomen
• Verwerkingsintegriteit(optioneel): De systeemverwerking is volledig, nauwkeurig, tijdig en geautoriseerd
• Vertrouwelijkheid(optioneel): Informatie die als vertrouwelijk is aangemerkt, is beschermd
• Privacy(optioneel): Persoonlijke informatie wordt verzameld, gebruikt, bewaard en openbaar gemaakt in overeenstemming met de verplichtingen

SOC 2 rapporten zijn ontworpen om gebruikers zekerheid te geven over controles die relevant zijn voor deze criteria. Ze zijn er in twee soorten:

• Typ I:Beoordeelt het ontwerp van controles op een specifiek tijdstip
• Type II:Beoordeelt zowel de opzet als de operationele effectiviteit van controles over een periode (doorgaans 6-12 maanden)

Waarom kopers vragen om SOC 2

SOC 2 is inkoopvriendelijk omdat het een gestandaardiseerde manier is om:

• Verminder beveiligingsvragenlijsten
• Onafhankelijke validatie van een controleomgeving verkrijgen
• Vergelijk dienstverleners consequent
• Toon toewijding aan beveiliging en compliance

Praktische tip

De meeste SaaS/MSP-deals beginnen metBeveiligingreikwijdte en later uitbreiden (Beschikbaarheid/Vertrouwelijkheid/Privacy) wanneer zakelijke klanten daarom vragen. Als u alleen begint met het beveiligingscriterium, kunt u de initiële nalevingslast verminderen en toch aan de meeste klantvereisten voldoen.

5. CIS-kritieke beveiligingscontroles (v8.1)

Wat het is

CIS Controls v8.1 is eenprescriptief, geprioriteerd, vereenvoudigdreeks waarborgen (“doe deze eerst”) om de cyberverdediging te verbeteren. Deze controles zijn ontwikkeld door het Center for Internet Security en zijn gericht op praktische, uitvoerbare stappen die organisaties kunnen nemen om de meest voorkomende cyberaanvallen te voorkomen.

Wat is er veranderd in v8.1

CIS v8.1 (uitgebracht in juni 2024) heeft extra nadruk gelegd, waaronder eenBestuurfunctie en updates voor moderne omgevingen. Dit brengt het nauwer in lijn met NIST CSF 2.0 en weerspiegelt het groeiende belang van governance in cyberbeveiligingsprogramma's. Andere updates zijn onder meer: ​​

• Documentatie als nieuwe activaklasse
• Uitgebreide woordenlijstdefinities
• Verfijningen van beveiligingen op basis van zich ontwikkelende bedreigingen
• Betere afstemming met andere raamwerken

Wanneer CIS Controls het juiste hulpmiddel is

CIS-controles zijn met name waardevol wanneer:

• Je hebt eennodig achterstand in de praktische uitvoering(wat te implementeren, in welke volgorde)
• U wilt meetbare waarborgen en een gemeenschappelijke basis voor alle IT-/cloud-/hybride omgevingen
• U start een cyberbeveiligingsprogramma en heeft duidelijke prioriteiten nodig
• U moet een “redelijke zekerheid” aantonen volgens verschillende regelgeving

Implementatiegroepen

CIS Controls gebruiken implementatiegroepen (IG's) om organisaties te helpen prioriteiten te stellen:

• IG1:Essentiële cyberhygiëne – het startpunt voor alle organisaties
• IG2:Voor organisaties met complexere IT-omgevingen en gevoelige gegevens
• IG3:Voor organisaties die te maken hebben met geavanceerde bedreigingen en met volwassen beveiligingsmogelijkheden

6. ISO/IEC 27001:2022

Wat het is

ISO/IEC 27001 is de bekendste ISMS-standaard ter wereld. Het definieert vereisten voor het opzetten, implementeren, onderhouden en voortdurend verbeteren van een Information Security Management System. De 2022-versie is een update van de vorige standaard uit 2013 met gemoderniseerde controles en verbeterde afstemming met andere ISO-managementsysteemnormen.

Wat “ISO 27001” je echt geeft

Implementatie van ISO 27001 levert het volgende op:

• Een herhaalbarebeheersysteemvoor veiligheidsrisico's (beleid, risicobehandeling, interne audit, voortdurende verbetering)
• Een gestructureerde plek voor controles, bewijsmateriaal en bestuur
• Een wereldwijd erkende benadering van informatiebeveiliging
• Een certificeringsoptie die naleving aan derden aantoont

Een nuttig concept in ISO 27001 is het idee om controles te selecteren via een risicobenadering en deze te vergelijken met bijlage A als referentieset. Hierdoor kunnen organisaties hun beveiligingscontroles afstemmen op hun specifieke risicoprofiel en tegelijkertijd een uitgebreide dekking garanderen.

Belangrijkste componenten

• ISMS-bereik:De grenzen van uw managementsysteem definiëren
• Leiderschapsbetrokkenheid:Zorgen voor managementondersteuning en verantwoording
• Methodologie voor risicobeoordeling:Systematische aanpak voor het identificeren en evalueren van risico's
• Verklaring van toepasselijkheid (SoA):Documenteren welke controles worden geïmplementeerd en waarom
• Intern auditprogramma:Regelmatige verificatie van de effectiviteit van het ISMS
• Managementbeoordeling:Uitvoerend toezicht op het ISMS

Naast elkaar: wat overlapt en wat niet

Overlapkaart (gewoon Engels)

Bestuur en risicobeheer

• Sterkste:ISO 27001, NIST CSF 2.0, NIS2
• Raakt ook aan:SOC 2 (via criteria/controleontwerp), GDPR (verantwoording)

Reactie en rapportage van incidenten

• NIS2:verwacht een aanzienlijke capaciteit voor de afhandeling/rapportage van incidenten (details via EU/nationale maatregelen)
• GDPR:Meldplicht voor inbreuken op persoonsgegevens (72 uur)
• CIS/NIST/ISO/SOC2:zorg voor structuren/controles om het te operationaliseren

“Bewijs voor buitenstaanders”

• Beste externe bewijs:SOC 2 rapport
• Beste wereldwijde certificeringsverhaal:ISO 27001
• Bewijs van de toezichthouder:NIS2/GDPR nalevingsartefacten

Beslissingsgids: met welke moet u leiding geven?

Als u een EU-entiteit bent die binnen het bereik valt van NIS2

Leid metNIS2(legale driver) en implementeer deze via eenISO 27001 ISMSen gebruik vervolgensCIS-controlesals uw technische basislijn enNIST KSFals uw ‘communicatielaag’. Als u services verkoopt, voegt utoe SOC 2om de inkoop van klanten tevreden te stellen.

Als u een SaaS/MSP bent die verkoopt aan zakelijke klanten

Leid metSOC 2 + ISO 27001(snelste inkoopimpact) en wijs deze vervolgens toe aanNIST KSFen implementeer technische verharding metCIS-controles. SOC 2 is expliciet ontworpen rond controles die relevant zijn voor beveiliging/beschikbaarheid/etc.

Als je vooral bezig bent met privacy en persoonsgegevens

Leid metGDPRen breng vervolgens de beveiliging in lijn met ISO 27001/CIS/NIST om de “beveiliging van de verwerking” operationeel en controleerbaar te maken. De plichten voor het melden van inbreuken zijn expliciet en tijdgebonden.

Als u een aanbieder van kritieke infrastructuur bent

Begin metNIS2(indien in EU) ofNIST KSF(indien in de VS), implementeer dan technische controles metCIS-controlesen formaliseer uw managementsysteem metISO 27001.

Hoe ze in één programma te combineren (aanbevolen architectuur)

Een praktisch model met één programma

Laag 1 — Programma-backbone: ISO 27001 ISMS

Gebruik ISO 27001 om te definiëren:

• Scope (systemen, services, locaties)
• Methode voor risicobeoordeling en risicobehandeling
• Beleidskader
• Cadans van audits/managementbeoordelingen

Laag 2 — Uitvoerende structuur: NIST CSF 2.0

Organiseer uw beveiligingsroadmap en -statistieken rond:

• Beheren → Identificeren → Beschermen → Detecteren → Reageren → Herstellen

Dit is uitstekend geschikt voor bestuursrapportage en voor het afstemmen van beveiligingsresultaten op bedrijfsrisico's.

Laag 3 — Technische uitvoering: CIS Controls v8.1

Converteer “Beschermen/Detecteren/Reageren” naar een geprioriteerde achterstand van beveiligingsmaatregelen met behulp van CIS Controls. Dit biedt concrete, uitvoerbare stappen om de resultaten op een hoger niveau te implementeren die zijn gedefinieerd in uw NIST CSF-profiel.

Laag 4 — Regelgevende overlays: NIS2 en GDPR

Wijs wettelijke vereisten toe aan uw ISMS-artefacten:

• NIS2:Maatregelen voor cyberbeveiligingsrisicobeheer + paraatheid voor incidenten + bewijsmateriaal
• GDPR:privacybeheer + workflow voor inbreuken + leverancierscontroles + rechten van betrokkenen

Laag 5 — Externe zekerheid: SOC 2

Wanneer klanten om bewijs vragen, maak dan een SOC 2-rapport met behulp van de categorieën Trust Services Criteria die overeenkomen met uw serviceverplichtingen (vaak Beveiliging + Beschikbaarheid).

Diepe vergelijkingen (wat is wezenlijk anders)

1) “Wet versus standaard versus rapport”

• NIS2/GDPRmaakwettelijke verplichtingen; Mislukkingen kunnen leiden tot handhaving door de toezichthouder en boetes.
• ISO 27001/NIST CSF/CIS-controleszijnvrijwillige kaders(maar vaak contractueel verplicht).
• SOC 2is eenassurance-rapport van derdengebruikt in B2B-vertrouwen.

2) “Op resultaten gebaseerd versus prescriptief”

• NIST CSF 2.0:uitkomstentaxonomie; flexibele implementatie
• CIS-controles:prescriptieve waarborgen en prioritering
• ISO 27001:schrijft de eisen aan het managementsysteem voor; controles worden geselecteerd via risicobehandeling (niet één verplichte lijst)

3) “Wie is het publiek”

• Regelgevers:NIS2, GDPR
• Klanten/inkoop:SOC 2, ISO 27001 (en soms NIST CSF)
• Beveiligingsteams:CIS-controles
• Leidinggevenden/bestuur:NIST CSF 2.0, ISO-beheer

Veelvoorkomende valkuilen (en hoe u ze kunt vermijden)

Valkuil A: “Wij zijn ISO 27001 gecertificeerd, dus we hebben SOC 2 niet nodig”

Realiteit:ISO 27001 en SOC 2 beantwoorden verschillende inkoopvragen. Veel in de VS gevestigde ondernemingen willen SOC 2, vooral omdat het een bekend zekerheidsformaat is dat is gekoppeld aan Trust Services Criteria.

Oplossing:Wijs uw ISO 27001-controles toe aan SOC 2 criteria om bestaand werk te benutten, maar wees bereid om beide soorten bewijsmateriaal voor verschillende klantenbestanden te produceren.

Valkuil B: “We hebben CIS Controls uitgevoerd, dus we voldoen aan NIS2”

Realiteit:CIS Controls helpt u bij het implementeren van goede beveiliging, maar NIS2 vereist een bredere nalevingshouding (bestuur, rapportage en juridische reikwijdte) en zal worden afgedwongen via nationale wetten.

Oplossing:Gebruik CIS Controls als de technische implementatiecomponent van uw NIS2-programma, maar zorg ervoor dat u ook voldoet aan de governance-, rapportage- en wettelijke vereisten die specifiek zijn voor NIS2.

Valkuil C: “GDPR is alleen juridisch, niet technisch”

Realiteit:GDPR heeft concrete operationele verwachtingen, zoals melding van inbreuken binnen 72 uur en documentatieverplichtingen – technische monitoring en volwassenheid van incidentrespons zijn van belang.

Oplossing:Implementeer technische controles voor gegevensbescherming, toegangsbeheer en incidentdetectie/respons als onderdeel van uw GDPR complianceprogramma.

Valkuil D: “We moeten alle raamwerken afzonderlijk implementeren”

Realiteit:Er is een aanzienlijke overlap tussen de raamwerken, en het afzonderlijk implementeren ervan zorgt voor dubbel werk en inefficiëntie.

Oplossing:Gebruik een control mapping-aanpak om gemeenschappelijke vereisten te identificeren en deze één keer te implementeren, en vervolgens indien nodig raamwerkspecifieke vereisten aan te pakken.

Implementatie spiekbriefje (welke artefacten je uiteindelijk gaat maken)

Verwacht voor alle zes het volgende te bouwen:

• Inventaris van activa + systeemgrenzen
• Risicoregister + risicobehandelingsplan
• Beleid (beveiliging, toegangscontrole, respons op incidenten, leveranciersbeheer, enz.)
• Bewijs van controleoperatie (tickets, logboeken, goedkeuringen, monitoring)
• Speelboeken voor respons op incidenten + rapportageworkflows

Plus raamwerkspecifieke hoogtepunten

Veelgestelde vragen

Is NIS2 “zoals GDPR, maar dan voor cyberbeveiliging”?

Soort van. NIS2 is een cyberbeveiligingsrichtlijn met risicobeheer- en rapportageverwachtingen voor de gedekte entiteiten, terwijl GDPR een privacyregelgeving is die zich richt op de bescherming en rechten van persoonsgegevens (inclusief regels voor het melden van inbreuken). Beide creëren wettelijke verplichtingen voor organisaties in de EU, maar met verschillende reikwijdten en aandachtspunten.

Kan één raamwerk alles omvatten?

Niemand doet dat. Een veel voorkomende winnende combinatie is:

• ISO 27001 (programma-backbone) + CIS Controls (uitvoering) + NIST CSF (communicatie)

…en voeg vervolgens SOC 2 toe voor klantgarantie en GDPR/NIS2 voor wettelijke verplichtingen.

Wat is er veranderd met de timing van NIS2?

NIS2 verplichtte de lidstaten om uiterlijkom te zetten 17 okt 2024en pas maatregelen vantoe 18 okt 2024. Dit betekent dat organisaties die onder de reikwijdte vallen, vanaf die datum moeten voldoen aan hun nationale implementatie van NIS2.

Moet ik mij laten certificeren tegen deze raamwerken?

Het hangt af van het raamwerk:

• ISO 27001:Biedt formele certificering via geaccrediteerde instanties
• SOC 2:Biedt een attestrapport via een CPA-bedrijf
• NIST CSF/CIS-controles:Geen formele certificering, maar kan worden beoordeeld
• NIS2/GDPR:Naleving is wettelijk verplicht, maar certificering is niet gestandaardiseerd (verschilt per lidstaat)

Conclusie: Uw geïntegreerde compliancestrategie ontwikkelen

De zes raamwerken die in deze handleiding worden behandeld (NIS2, GDPR, NIST CSF 2.0, SOC 2, CIS Controls v8.1 en ISO/IEC 27001) dienen elk verschillende doeleinden, maar kunnen effectief samenwerken in een gelaagde aanpak. In plaats van ze als concurrerende alternatieven te beschouwen, kunt u overwegen hoe ze elkaar aanvullen om een ​​alomvattend beveiligings- en nalevingsprogramma te creëren.

Door de unieke sterke punten en aandachtsgebieden van elk raamwerk te begrijpen, kunt u uw inspanningen prioriteren op basis van de specifieke behoeften van uw organisatie, wettelijke vereisten en bedrijfsdoelstellingen. De gelaagde aanpak die in deze handleiding wordt beschreven, kan u helpen een efficiënt, effectief programma op te bouwen dat aan meerdere raamwerken voldoet zonder onnodig dubbel werk.

Houd er rekening mee dat compliance geen eenmalig project is, maar een doorlopend proces. Naarmate deze raamwerken evolueren en uw organisatie verandert, moet uw compliancestrategie dienovereenkomstig worden aangepast. Regelmatige beoordelingen, voortdurende verbetering en een op risico's gebaseerde aanpak helpen ervoor te zorgen dat uw beveiligings- en complianceprogramma effectief blijft in het licht van evoluerende bedreigingen en wettelijke vereisten.