Wet en Regelgeving CS

NIS2-richtlijn / Cyberbeveiligingswet (Cbw): De opvolger van de Wbni, verwacht in 2026, met strengere eisen en toezicht op meer sectoren.
AVG \(GDPR\): Algemene verordening voor de bescherming van persoonsgegevens.
DORA: Specifieke digitale weerbaarheidswetgeving voor de financiële sector.
Cyber Resilience Act \(CRA\): EU-verordening voor beveiliging van hardware en software \(in werking sinds dec 2024\). In Nederland geïmplementeerd middels de Cbw
Wbni: De huidige wet voor vitale infrastructuur.
DSA (Digital Service Act Wet Digitale Diensten) is een EU-verordening die sinds februari 2024 \(volledig vanaf 17 feb 2024\) geldt om een veiligere online omgeving te creëren, illegale inhoud te bestrijden en grondrechten van gebruikers te beschermen. Het reguleert platforms zoals sociale media, marktplaatsen en zoekmachines.
De Critical Entities Resilience (CER)-richtlijn is een EU-regelgeving die de fysieke weerbaarheid van vitale sectoren \(energie, vervoer, zorg, banken, drinkwater, digitale infrastructuur\) versterkt tegen dreigingen zoals sabotage, natuurrampen en terrorisme.

Belangrijke Standaarden en Normen

ISO/IEC 27001 & 27002: Wereldwijde standaard voor informatiebeveiliging en risk management.
ISO/IEC 27005: internationale norm die richtlijnen biedt voor het beheer van informatiebeveiligingsrisico's
NEN 7510: Nederlandse norm specifiek voor informatiebeveiliging in de zorg.
BIO \(Baseline Informatiebeveiliging Overheid\): Verplicht normenkader voor de overheid. \(En BIO2, nieuwe uitvoering\)
NIST Cybersecurity Framework: Veelgebruikt internationaal raamwerk.
inclusief NIST2 Special Publication 800
Informatiebeveiliging en Privacy \(IBP\) in het onderwijs is een gestructureerde aanpak om persoonsgegevens en digitale systemen van scholen te beschermen tegen cyberdreigingen en datalekken. Het Normenkader IBP biedt concrete richtlijnen en maatregelen \(zoals MFA, firewalls\) om digitale veiligheid voor 2027 op orde te krijgen.

Kernverplichtingen
Organisaties moeten voldoen aan een zorgplicht \(risico's beheersen\) en een meldplicht \(incidenten binnen 24 uur melden\). De verantwoordelijkheid ligt niet alleen bij IT, maar ook bij het bestuur.

2. Belangrijkste OT-beveiligingsrichtlijnen:.

1. NIS2-richtlijn \(in Nederland naar verwachting in de eerste helft van 2026 ingevoerd als de Cybersecuritywet/Cbw\) is de drijvende kracht achter de huidige focus op OT-security.

Doel: Vergroten van de digitale weerbaarheid van kritieke sectoren \(energie, transport, industrie, water, etc\.\).
Bestuurdersaansprakelijkheid: Bestuurders kunnen persoonlijk aansprakelijk worden gesteld voor het niet naleven van de zorg- en meldplicht.
Zorgplicht: Organisaties moeten risicoanalyses uitvoeren, beveiligingsmaatregelen nemen en incidenten binnen 24 uur melden.

2. De Industriële Standaard: IEC 62443

De ISA/IEC 62443 is de internationaal erkende standaardreeks voor de beveiliging van industriële automatisering en controlesystemen. Deze biedt een risicogebaseerde benadering en omvat:

Risicobeoordeling: Identificeren van kritieke systemen.
Netwerksegmentatie: Het scheiden van IT- en OT-netwerken.
Toegangsbeheer: Identity & Access Management \(IAM\) voor medewerkers en leveranciers.
Levenscyclus: Beveiliging van ontwerp tot onderhoud \(brownfield en greenfield\).

3. Concrete Stappen voor OT-security \(NCSC/Industrie\)

Volgens het Nationaal Cyber Security Centrum \(NCSC\) en industriële experts zijn de volgende stappen essentieel:

Volledig inventarisatie \(Asset Management\): Breng alle OT-apparaten, verbindingen en hun afhankelijkheden in kaart.
Risicoanalyse: Bepaal welke systemen cruciaal zijn voor de bedrijfscontinuïteit \(Health, Safety, Environment\).
Netwerksegmentatie: Isoleer OT-systemen van het bedrijfsnetwerk \(IT\) en internet.
Monitoring en detectie: Implementeer systemen om verdachte activiteiten en malware in het OT-netwerk te herkennen.
Beheer van toegang op afstand: Gebruik veilige "remote access" oplossingen in plaats van onbeveiligde VPN-verbindingen.

4. Overige Richtlijnen en Bronnen

NCSC \(Nederland\): Biedt specifieke richtlijnen voor het beveiligen van OT/IACS.
CISA \(Internationaal\): Publiceert richtlijnen voor AI-beveiliging in OT.
Secure by Design \(CRA\): Vanaf eind 2027 moeten digitale producten \(ook in OT\) voldoen aan striktere Europese veiligheidseisen

H2 Detaillering wet- en regelgeving \(incl verwijzigingen\).

NIS2-richtlijn en Nederlandse Cyberbeveiligingswet (CBW).

De NIS2-richtlijn __is een aangescherpte Europese cyberbeveiligingswet die, geïmplementeerd als de __Nederlandse Cyberbeveiligingswet \(Cbw\), de digitale weerbaarheid van ca. 8.000 \(middel\)grote en "essentiële" organisaties verhoogt. Het verplicht bedrijven tot een striktere zorg- en meldplicht en legt de verantwoordelijkheid direct bij het bestuur.

Kernpunten van de NIS2-richtlijn en Cbw:

Toepassingsgebied: Richt zich op essentiële en belangrijke entiteiten, waaronder digitale infrastructuur, overheid, energie, transport, banken, gezondheidszorg en digitale dienstverleners.
Zorgplicht: Organisaties moeten passende technische en organisatorische maatregelen nemen, zoals risicobeheer, incidentafhandeling en beveiliging van de toeleveringsketen \(supply chain\).
Meldplicht: Ernstige beveiligingsincidenten moeten binnen 24 uur \(vroege waarschuwing\) worden gemeld.
Bestuurlijke verantwoordelijkheid: Het bestuur is direct verantwoordelijk voor de naleving en kan bij nalatigheid aansprakelijk worden gesteld.
Inwerkingtreding: De Nederlandse Cbw wordt verwacht in de loop van 2025 in te gaan, waarbij het de Wet beveiliging netwerk- en informatiesystemen \(Wbni\) vervangt.

Bedrijven die onder de richtlijn vallen, moeten hun processen, IT-systemen en medewerkers bewust inrichten op een hoger beveiligingsniveau om boetes en reputatieschade te voorkomen.

Informatie:

https://www.ncsc.nl/cyberbeveiligingswet-nis2/over-de-cbw
Link naar NIS2-richtlijn: EUR-Lex - 32022L2555 - EN - EUR-Lex \(europa\.eu\)
Link naar NIS2-richtlijn \(NL vertaling\): L_2022333NL.01008001.xml \(europa\.eu\)

Algemene Verordening Gegevensbescherming(AVG).

De Algemene Verordening Gegevensbescherming \(AVG\), in het Engels General Data Protection Regulation \(GDPR\), is sinds 25 mei 2018 de Europese privacywetgeving die persoonsgegevens beschermt. Deze verordening verplicht organisaties tot transparantie, dataminimalisatie en beveiliging bij de verwerking van persoonsgegevens, met als doel burgers meer controle over hun data te geven.

__Kernpunten en Verplichtingen __

Toepassing: De AVG geldt voor alle organisaties, inclusief zzp'ers, die persoonsgegevens van EU-burgers verwerken.

Grondslagen: Verwerking van gegevens is alleen toegestaan op basis van 6 grondslagen, zoals toestemming, overeenkomst of wettelijke verplichting.

Rechten van betrokkenen: Mensen hebben recht op inzage, correctie, verwijdering en dataportabiliteit van hun gegevens.

Transparantie: Organisaties moeten in een privacystatement duidelijk maken welke gegevens worden verwerkt en waarom.

Beveiliging: Passende technische en organisatorische maatregelen zijn vereist om datalekken te voorkomen.

Toezicht en Sancties
De Autoriteit Persoonsgegevens houdt in Nederland toezicht op de naleving en kan bij overtreding forse boetes opleggen. De GDPR-wetgeving bestaat uit 99 artikelen en streeft naar uniforme privacyregels in de hele Europese Unie.

Digital Operational Resilience Act(DORA).

De Digital Operational Resilience Act \(DORA\) is een Europese verordening, van kracht sinds januari 2023, die financiële instellingen verplicht hun IT-risico's te beheersen en digitale weerbaarheid tegen cyberdreigingen te vergroten. Uiterlijk 17 januari 2025 moeten instellingen, waaronder banken, verzekeraars en kritieke ICT-derden, voldoen aan aangescherpte regels voor ICT-risicomanagement, incidentrapportage en testen.

__Kernaspecten van DORA: __

Toepassingsgebied: Omvat 21 soorten financiële entiteiten in de EU, evenals hun kritieke ICT-derden \(cloudproviders, softwareleveranciers\).

Vijf pijlers:
1. ICT-risicobeheer: Strenge governance en beveiligingsmaatregelen.
2. Incidentbeheer: Verplichte rapportage van ernstige ICT-incidenten.
3. Operationele weerbaarheidstesten: Periodieke testen \(bijv\. penetratietesten\).
4. Beheer van ICT-derdenrisico's: Toezicht op uitbesteding aan technologieleveranciers.
5. Informatie-uitwisseling: Delen van dreigingsinformatie.
Doel: Een geharmoniseerd, streng kader voor de hele EU om de financiële sector weerbaarder te maken tegen digitale verstoringen.

DORA is een aanvulling op bestaande wetgeving zoals NIS2 en GDPR. Rijksoverheid en De Nederlandsche Bank bieden toezicht en informatie over de implementatie in Nederland.
\(Let op: Er bestaat ook een *[*DORA \(San Francisco Declaration on Research Assessment\)](https://www.nwo.nl/dora) die ziet op wetenschappelijke evaluatie, maar bovenstaande betreft de financiële ICT-regelgeving).

Wet beveiliging netwerk- en informatiesystemen (Wbni).

De Wet beveiliging netwerk- en informatiesystemen \(Wbni\) is de Nederlandse implementatie van de Europese NIB-richtlijn, gericht op het vergroten van de digitale weerbaarheid van vitale sectoren en digitale dienstverleners. Organisaties moeten hun ICT beveiligen \(zorgplicht\) en ernstige incidenten melden bij het NCSC. De wet geldt sinds 9 november 2018 voor aanbieders van essentiële diensten en digitale dienstverleners.

Kernpunten van de Wbni:

Doel: Het voorkomen van maatschappelijke ontwrichting door cyberincidenten.
Doelgroepen:
- Aanbieders van essentiële diensten \(AED's\):

Organisaties in sectoren zoals energie, vervoer, bankwezen, gezondheidszorg en drinkwater

.

- Digitale dienstverleners \(DSP's\): Aanbieders van clouddiensten, online marktplaatsen en zoekmachines.
Zorgplicht: Organisaties moeten passende technische en organisatorische maatregelen nemen om de netwerk- en informatiesystemen te beveiligen.
Meldplicht: Ernstige incidenten met significante gevolgen moeten direct worden gemeld bij het Nationaal Cyber Security Centrum \(NCSC\).
Toezicht: De Rijksinspectie Digitale Infrastructuur \(RDI\) houdt toezicht op de naleving.
Toekomst \(NIS2/Cbw\): De Wbni wordt in de toekomst vervangen door de Cyberbeveiligingswet \(Cbw\), die de Europese NIS2-richtlijn implementeert en het toepassingsgebied verbreedt.

Digital Services Act(DSA) (Wet Digitale Diensten).

De Digital Services Act \(DSA\) \(Wet Digitale Diensten\) is een EU-verordening die sinds februari 2024 \(volledig vanaf 17 feb 2024\) geldt om een veiligere online omgeving te creëren, illegale inhoud te bestrijden en grondrechten van gebruikers te beschermen. Het reguleert platforms zoals sociale media, marktplaatsen en zoekmachines.

Belangrijkste aspecten van de DSA:

Doel: Een veilige, transparante en voorspelbare digitale ruimte in de EU garanderen.
Toepassing: Geldt voor alle digitale tussenhandelsdiensten, van kleine platforms tot zeer grote online platforms \(VLOP's\) en zoekmachines \(VLOSE's\).
Verplichtingen: Platforms moeten illegale inhoud/goederen sneller verwijderen, transparanter zijn over advertenties en aanbevelingsalgoritmen, en betere bescherming bieden tegen online intimidatie.
Gebruikersrechten: Gebruikers krijgen meer controle, zoals eenvoudige manieren om content te melden en klachtenmechanismen bij verwijdering van content.
Toezicht: In Nederland houden de Autoriteit Persoonsgegevens \(AP\) en de Autoriteit Consument & Markt \(ACM\) toezicht, naast de Europese Commissie die toeziet op zeer grote platforms.

De DSA werkt nauw samen met de Digital Markets Act \(DMA\), die specifiek gericht is op poortwachters \(grote techbedrijven\) om eerlijke concurrentie te waarborgen.

ISO/IEC 27001/27002 opzetten ISMS en Controls.

ISO/IEC 27001 is de certificeerbare internationale norm voor het opzetten van een Informatiebeveiligingsmanagementsysteem \(ISMS\). ISO/IEC 27002 biedt gedetailleerde richtlijnen en best practices voor de implementatie van beveiligingsmaatregelen \(controls\) die in de 27001-norm worden vereist. Waar 27001 de "wat"-vragen beantwoordt, biedt 27002 de "hoe"-richtlijnen.

Kernverschillen en Samenhang

Certificering: Organisaties certificeren zich tegen ISO 27001; dit is niet mogelijk voor ISO 27002.
Doel: ISO 27001 definieert de vereisten voor het ISMS-raamwerk, inclusief risicobeheer en beleid. ISO 27002 biedt een uitgebreide handleiding voor de selectie en implementatie van beheersmaatregelen \(bijv\. toegangsbeheer, fysieke beveiliging\).
Structuur: De 2022-versies van beide normen zijn op elkaar afgestemd \(geharmoniseerd\). ISO 27001 verwijst naar de 93 controles in ISO 27002, die zijn ingedeeld in vier thema's: organisatorisch, menselijk, fysiek en technologisch.

Belangrijke Aspecten

Ondersteuning: ISO 27002 helpt bij het invullen van de "Verklaring van Toepasselijkheid" \(SoA \- Statement of Applicability\) binnen ISO 27001.
Proactieve Beveiliging: Gebruik van ISO 27002 zorgt voor een robuustere bescherming tegen datalekken en cyberdreigingen.
Samenhang: Ze vormen samen de basis voor informatiebeveiliging en dienen als fundament voor sectorspecifieke normen zoals NEN 7510 \(zorg\).

In essentie biedt ISO 27001 het kader voor beleid, terwijl ISO 27002 de gedetailleerde "best practices" biedt voor de technische en organisatorische invulling daarvan.

ISO/IEC 27005 internationale norm voor het beheer van informatiebeveiligingsrisico's.

ISO/IEC 27005 is een internationale norm die richtlijnen biedt voor het beheer van informatiebeveiligingsrisico's, specifiek als aanvulling op de ISO 27001-standaard. Het helpt organisaties bij het identificeren, analyseren, evalueren, behandelen en monitoren van risico's om de informatieveiligheid te waarborgen. Het biedt een flexibel raamwerk voor alle soorten en groottes van organisaties.

Belangrijkste aspecten van ISO 27005:

Risicomanagementproces: Het beschrijft een gestructureerd proces \(identificatie, beoordeling, behandeling\) voor risico's, wat cruciaal is voor ISO 27001-compliance.
Aanvulling op ISO 27001: Terwijl ISO 27001 de eisen stelt aan een Informatiebeveiligingsmanagementsysteem \(ISMS\), geeft ISO 27005 de "hoe"-invulling voor risicobeheer.
Methodieken: De norm ondersteunt zowel kwalitatieve als kwantitatieve risicoanalyse-technieken.
Flexibiliteit: Het is niet gebonden aan één specifieke methode en moedigt een passende aanpak aan.

ISO 27005 is onderdeel van de ISO 27000-serie, vaak aangeduid met de recentere 2022-versie. Het helpt organisaties effectief risico's te beheren die de informatiebeveiliging kunnen schaden.

NEN 7510: Nederlandse norm specifiek voor informatiebeveiliging in de zorg.

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg, gericht op het waarborgen van de beschikbaarheid, integriteit en vertrouwelijkheid van patiëntgegevens. Het helpt zorginstellingen en hun ketenpartners \(zoals IT\-leveranciers\) voldoen aan de AVG en biedt een specifiek kader, gebaseerd op ISO 27001, om beveiligingsrisico's te beheersen.

Kernaspecten van NEN 7510:

Toepassing: Verplicht voor organisaties die persoonlijke gezondheidsinformatie beheren en uitwisselen.
Structuur: Bestaat uit een beheersysteem voor informatiebeveiliging \(ISMS\) en concrete beheersmaatregelen.
Actualiteit:

In december 2024 is de norm herzien \(NEN 7510:2024\), afgestemd op de nieuwste ISO-normen

.

Certificering: Met een NEN 7510-certificaat tonen instellingen aan dat zij voldoen aan de eisen van toezichthouders zoals de Inspectie Gezondheidszorg en Jeugd \(IGJ\).
Kosten: De initiële certificatieaudit varieert vaak tussen €3.000 en €10.000, met jaarlijkse opvolgaudits.

De norm is essentieel voor het veilig verwerken, opslaan en delen van medische gegevens, en versterkt het vertrouwen van patiënten en ketenpartners.

SOC 2 (System and Organization Controls 2):.

SOC 2 \(System and Organization Controls 2\) is een door onafhankelijke auditors opgestelde verklaring waarmee serviceorganisaties aantonen dat hun informatiebeveiliging en gegevensbescherming op orde zijn. Het is de gouden standaard in de IT en cloudsector om te bewijzen dat klantdata veilig wordt verwerkt en opgeslagen.

De 5 Trust Services Criteria

Een SOC 2-rapport toetst uw organisatie op basis van de volgende vijf vaste principes: [1, 2]

Beveiliging \(Security\): Bescherming van systemen tegen onbevoegde toegang.
Beschikbaarheid \(Availability\): Garanderen dat systemen operationeel en toegankelijk zijn.
Verwerkingsintegriteit \(Processing Integrity\): Zorgen dat data-verwerking correct, tijdig en geautoriseerd is.
Vertrouwelijkheid \(Confidentiality\): Beveiligen van data die als vertrouwelijk is bestempeld.
Privacy: Gegevensverzameling en -verwerking in overeenstemming met de geldende privacywetgeving.

Type I vs. Type II

Bij SOC 2 wordt onderscheid gemaakt tussen twee typen rapportages: [1]

Type I: Toetst of de ontworpen beveiligingsmaatregelen op één specifiek moment adequaat zijn opgezet.
Type II: Toetstastische beoordeling. Een auditor controleert of deze maatregelen daadwerkelijk effectief hebben gefunctioneerd over een langere periode \(meestal 6 tot 12 maanden\). [1, 2]

Verschil met ISO 27001 en ISAE 3402

SOC 2 vs. ISO 27001: Beide richten zich op informatiebeveiliging. Echter, ISO 27001 resulteert in een wereldwijd erkend certificaat, terwijl SOC 2 resulteert in een assurancerapport dat specifiek is gericht op het verantwoorden naar klanten. [1, 2, 3]
SOC 2 vs. ISAE 3402: ISAE 3402 is primair ontworpen voor financiële verslaglegging. SOC 2 focust puur op IT, data-integriteit en privacy. [1, 2]

De verklaring is vooral essentieel als uw bedrijf SaaS-oplossingen of IT-outsourcing aanbiedt en u internationaal of met Amerikaanse en enterprise-klanten werkt

https://www.securance.com/nl/blog/voordelen-soc2/

https://www.2-control.nl/it-auditdiensten/soc-2-audit/

https://www.splashtop.com/nl/blog/soc-2-compliance

BIO(Baseline Informatiebeveiliging Overheid):

Verplicht normenkader voor de overheid. \(En BIO2, nieuwe uitvoering\)

De Baseline Informatiebeveiliging Overheid \(BIO\) is het basisnormenkader voor informatiebeveiliging binnen alle overheidslagen \(Rijk, gemeenten, provincies en waterschappen\). Het gebruik van 1 normenkader voor de gehele overheid biedt een aantal voordelen:

Het versterken van de informatieveiligheid door betere afstemming binnen ketens van overheden en andere partijen;
Administratieve lastenverlichting bij overheid en bedrijven, zowel afnemers als leveranciers, door voorspelbare uniforme beveiligingsnormen bij de overheid;
Aansluiting bij internationale regelgeving en standaarden;
Vermindering van onderhoudskosten.

De laatste versie van de BIO is te vinden op bio-overheid.nl\(link naar andere website\).

Belangrijke wijzigingen in de BIO2

De BIO2 weerspiegelt de internationale beveiligingsnormen \(NEN\-EN\-ISO/IEC 27001:2023 \(nl\) en NEN-EN-ISO/IEC 27002:2022 \(nl\)) en vervangt de indeling in 3 Basisbeveiligingsniveaus \(BBN’s\) uit de vorige BIO versies, door een explicietere risicogerichte benadering. Hiermee kunnen overheidsinstanties maatregelen afstemmen op specifieke risico’s, zonder vast te zitten aan de 3 beveiligingsniveaus.

Daarnaast hebben de overheidsmaatregelen een update gehad en waar mogelijk zijn maatregelen verlicht. Door de verplichte doorwerking op de BIO2 van de NIS2-richtlijn \(via de Nederlandse Cyberbeveiligingswet\) zijn ook een aantal overheidsmaatregelen verzwaard.

NIST Cybersecurity Framework:

Veel gebruikt internationaal raamwerk.

The National Institute of Standards and Technology \(NIST\) Cybersecurity Framework \(CSF\) 2.0 is a voluntary, flexible, and risk-based framework designed for all organizations to manage cybersecurity risks. It provides a common language to identify, protect, detect, respond to, and recover from cyber threats, with a new 2.0 emphasis on "Govern". It is scalable for any sector, size, or maturity level.

Core Functions of NIST CSF 2.0
The updated framework \(2\.0\) focuses on six primary, non-linear functions that create a comprehensive security strategy:

Govern \(GV\): Establishing and monitoring an organization’s risk management strategy, expectations, and policy
Identify \(ID\): Understanding the organization’s assets, risks, and environment to manage cybersecurity risks.
Protect \(PR\): Implementing safeguards to ensure the delivery of critical services.
Detect \(DE\): Developing activities to identify the occurrence of a cybersecurity event.
Respond \(RS\): Taking action regarding a detected incident.
Recover \(RC\): Maintaining plans for resilience and restoring capabilities impaired by an incident.

Key Aspects of the Framework

Flexibility: The framework is non-prescriptive, meaning it tells you what to achieve rather than how to do it, making it adaptable to different industries.
Implementation: It can be used by organizations to measure their current maturity and define target goals.
Risk-Based Approach: Focuses on prioritizing resources to protect the most critical assets, rather than trying to protect everything equally.
Scope: While voluntary for the private sector, it is considered a standard for best practices and is mandatory for U.S. federal agencies.

NIST CSF 2.0 Enhancements
The 2.0 update, released in February 2024, expands the framework's scope from focusing primarily on critical infrastructure to being applicable to all organizations. Key changes include a stronger emphasis on governance, supply chain risk management, and broader, more inclusive language.

NIST Special Publication (SP) 800-serie

De NIST Special Publication \(SP\) 800-serie biedt uitgebreide richtlijnen, aanbevelingen en technische specificaties voor informatiebeveiliging en cyberbeveiliging. Deze publicaties, ontwikkeld door het National Institute of Standards and Technology \(NIST\), worden wereldwijd erkend als de standaard voor het beveiligen van informatiesystemen, met name binnen de Amerikaanse overheid en diverse sectoren.

Belangrijkste aspecten en publicaties van de NIST SP 800-serie:
\(Let op, er zijn veel meer specifieke regelingen\)

Doel: Het bieden van een gemeenschappelijk referentiekader \(standaardisatie\) voor organisaties om beveiligingsrisico's te beheren.
NIST SP 800-53 \(Security & Privacy Controls\): De hoeksteen van de serie, die een uitgebreide catalogus van beveiligings- en privacymaatregelen biedt om systemen te beschermen tegen diverse bedreigingen \(o\.a\. cyberaanvallen, menselijke fouten\).
NIST SP 800-63 \(Digital Identity Guidelines\): Richtlijnen voor digitale identiteitsbeheer, authenticatie en federatief identiteitsbeheer.
NIST SP 800-207 \(Zero Trust Architecture\): Richtlijnen voor de implementatie van een "zero trust"-beveiligingsmodel, gericht op het beveiligen van bronnen ongeacht de locatie van de gebruiker.
NIST SP 800-60 \(Security Categorization\): Ondersteunt de toepassing van beveiligingsniveaus op basis van de impact van incidenten op vertrouwelijkheid, integriteit en beschikbaarheid.

De SP 800-serie wordt doorlopend bijgewerkt om in te spelen op opkomende dreigingen en technologische ontwikkelingen.

__CIS controls v8 __

CIS Controls v8 translates the broader principles established in NIST and ISO frameworks into concrete, implementable security measures. For this research, Control 5 \(Account Management\) directly addresses identity sprawl by requiring an up-to-date inventory of accounts and the removal of inactive identities. Control 6 \(Access Control Management\) mandates centralised access control for both administrative and machine-level identities. Where NIST 800-207 and ISO 27001 define what organisations should achieve, CIS Controls v8 specifies how making it the practical reference point for evaluating and obtain countermeasures in this research.

Baseline Security Product Assessment(BSPA).

Het Baseline Security Product Assessment \(BSPA\) is een door het AIVD ontwikkeld instrument om snel en tegen beperkte kosten de beveiligingswaarde van commerciële ICT-beveiligingsproducten onafhankelijk te beoordelen. Het richt zich op producten voor de 'sensitive but unclassified' domeinen, specifiek passend bij de BIO-beveiligingsniveaus BBN1 en BBN2.

Kernaspecten van BSPA:

Doel: Inzicht geven in de robuustheid van beveiligingsfuncties.
Toepassing: Geschikt voor hardware- en softwarecomponenten, vaak gebruikt binnen de overheid.
Beoordeling: Een lichtgewicht onderzoek uitgevoerd door onafhankelijke laboratoria.
Beperkingen: Het is nadrukkelijk niet bedoeld voor producten die staatsgeheime informatie beveiligen tegen statelijke actoren.

Informatiebeveiliging en Privacy(IBP).

Informatiebeveiliging en Privacy \(IBP\) in het onderwijs is een gestructureerde aanpak om persoonsgegevens en digitale systemen van scholen te beschermen tegen cyberdreigingen en datalekken. Het Normenkader IBP biedt concrete richtlijnen en maatregelen \(zoals MFA, firewalls\) om digitale veiligheid voor 2027 op orde te krijgen.

Kernaspecten van IBP Security:

Normenkader IBP: Een raamwerk met meer dan 90 normen gericht op beleid, processen en technische beveiliging voor primair en voortgezet onderwijs.
Risicoanalyse: Het in kaart brengen van dreigingen zoals phishing, hacken en datalekken, gevolgd door passende maatregelen.
Groeipad IBP: Een stappenplan in 5 fasen om de volwassenheid van informatiebeveiliging te verhogen.
Doel: Het waarborgen van de vertrouwelijkheid, integriteit en beschikbaarheid van gegevens, essentieel voor het vertrouwen van ouders en leerlingen.
Verantwoordelijkheid: Een gedeelde taak, waarbij bewustwording en gedragscodes voor medewerkers en leerlingen centraal staan.

Scholen kunnen hun huidige beveiligingsniveau toetsen via een zelfevaluatie-tool van Kennisnet.

Critical Entities Resilience(CER)-richtlijn.

De Critical Entities Resilience \(CER\)-richtlijn is een EU-regelgeving die de fysieke weerbaarheid van vitale sectoren \(energie, vervoer, zorg, banken, drinkwater, digitale infrastructuur\) versterkt tegen dreigingen zoals sabotage, natuurrampen en terrorisme. Het verplicht kritieke entiteiten tot risicobeoordelingen en meldplichten, en vult de digitale focus van de NIS2-richtlijn aan.

Belangrijke aspecten van de CER-richtlijn:

Doel: De continuïteit van essentiële maatschappelijke diensten waarborgen door fysieke bescherming te verbeteren.
Toepassing: Geldt voor publieke en private organisaties in vitale sectoren.
Verplichtingen: Organisaties moeten zelf risicobeoordelingen uitvoeren en maatregelen nemen.
Meldplicht: Incidenten die de dienstverlening aanzienlijk verstoren, moeten binnen 24 uur worden gemeld.
Implementatie: De richtlijn wordt omgezet in nationale wetgeving \(in Nederland: Wet weerbaarheid kritieke entiteiten\), die van kracht is sinds 18 oktober 2024.
Samenhang: Vormt samen met de NIS2-richtlijn \(gericht op digitale veiligheid\) een totaalpakket voor de beveiliging van vitale infrastructuur.

WDO Wet Digitale Overheid.

De Wet digitale overheid \(Wdo\) regelt de veilige en betrouwbare toegang van burgers en bedrijven tot de digitale dienstverlening van de overheid. De wet is op 1 juli 2023 gedeeltelijk in werking getreden en wordt stapsgewijs uitgebreid.

Kerndoelen van de Wdo

De wet richt zich op drie hoofdonderdelen om de digitale interactie met de overheid te verbeteren:

Veilig inloggen: Het vastleggen van standaarden voor betrouwbaarheidsniveaus van inlogmiddelen \(zoals DigiD\).
Open standaarden: Het verplicht stellen van specifieke open standaarden voor overheidsinstanties om de interoperabiliteit en veiligheid te verhogen.
Toegankelijkheid: Zorgen dat digitale diensten voor iedereen bruikbaar zijn, inclusief mensen met een beperking.

Belangrijkste onderdelen en partijen

__Onderdeel __

Toelichting

Inlogmiddelen

De wet biedt een kader voor zowel publieke middelen \(DigiD\) als private inlogmiddelen.

Stelsel Toegang

Een infrastructuur die ervoor zorgt dat verschillende inlogmiddelen veilig erkend worden door overheidsorganisaties.

Toezicht

Instanties zoals Logius zien toe op de naleving van de technische standaarden en beveiligingseisen.

Caribisch Nederland

Er is specifieke wetgeving voor de invoering van het BSN in Caribisch Nederland om ook daar digitale toegang te faciliteren.

Context en Verplichtingen

De Wdo is een kaderwet, wat betekent dat veel details via lagere regelgeving \(zoals het Besluit digitale overheid\) worden ingevuld. Hoewel burgers niet verplicht zijn om bijvoorbeeld DigiD te gebruiken, wordt het door de wet wel de standaardmethode voor veilige digitale communicatie met instanties zoals de Belastingdienst of gemeenten.