Een Belgische dochteronderneming van een Amerikaanse groep rapporteert haar cyberbeveiliging al jaren volgens het NIST Cybersecurity Framework. Dan komt de NIS2-wet, en de vraag van de directie is eenvoudig: telt wat we al doen? Het korte antwoord: inhoudelijk grotendeels wel, juridisch niet zonder meer.
Dit artikel zet NIST CSF 2.0 en CyberFundamentals naast elkaar, legt uit wat de Belgische wet erkent en geeft een beslisschema voor wie moet kiezen tussen NIST, CyFun of allebei.
In het kort
- NIST CSF 2.0 is een vrijwillig Amerikaans kader uit februari 2024, met zes functies, 22 categorieën en 106 subcategorieën.
- CyberFundamentals (CyFun) is het kader van het Centrum voor Cybersecurity België. CyFun 2025 is opgebouwd op dezelfde zes functies als NIST CSF 2.0.
- Onder de Belgische NIS2-wet levert enkel een conformiteitsbeoordeling tegen CyFun of ISO 27001 een vermoeden van conformiteit op. Een NIST-assessment doet dat niet.
- NIST kent geen certificaat. CyFun wel, via erkende conformiteitsbeoordelingsinstanties.
- Wie al met NIST werkt, kan een groot deel van dat werk hergebruiken voor CyFun.
Wat is het verschil tussen NIST CSF 2.0 en CyberFundamentals?
NIST CSF 2.0 is een internationaal, vrijwillig kader dat beschrijft welke uitkomsten een organisatie nastreeft, zonder vaste maatregelen of certificaat. CyberFundamentals vertaalt diezelfde structuur naar concrete maatregelen per zekerheidsniveau, met een formele verificatie. In België levert alleen dat laatste een vermoeden van conformiteit met de NIS2-wet op.
| NIST CSF 2.0 | CyberFundamentals (CyFun 2025) | |
|---|---|---|
| Uitgever | National Institute of Standards and Technology (Verenigde Staten) | Centrum voor Cybersecurity België (CCB) |
| Opbouw | 6 functies, 22 categorieën, 106 subcategorieën | Dezelfde 6 functies, uitgewerkt in vaste maatregelen per niveau |
| Niveaus | 4 implementation tiers die de volwassenheid van de aanpak beschrijven | Zekerheidsniveaus Basic, Important en Essential, plus het instapniveau Small |
| Certificaat | Bestaat niet; enkel zelfevaluatie of een rapport van een adviseur | Verificatie of certificering door een door BELAC erkende instantie |
| Status onder de Belgische NIS2-wet | Geen vermoeden van conformiteit | Vermoeden van conformiteit na geslaagde beoordeling |
| Kosten van het kader | Gratis te downloaden | Kader en tools gratis; de externe beoordeling is betalend |
| Voor wie | Organisaties wereldwijd, vaak met Amerikaanse partners of aandeelhouders | Belgische NIS2-entiteiten en hun toeleveranciers |
Wat is NIST CSF 2.0?
Het NIST Cybersecurity Framework werd in 2014 opgesteld voor de Amerikaanse kritieke infrastructuur. Versie 2.0, gepubliceerd op 26 februari 2024, richt zich uitdrukkelijk op organisaties van elke omvang en sector. De grootste wijziging is een zesde functie: Govern, die strategie, rollen, beleid en het beheer van leveranciersrisico’s bundelt. Daarnaast staan de vijf bekende functies Identify, Protect, Detect, Respond en Recover.
Govern telt zes categorieën: de context van de organisatie, de strategie voor risicobeheer, rollen en verantwoordelijkheden, beleid, toezicht, en het beheer van risico’s in de toeleveringsketen. Daarmee haalt NIST cyberbeveiliging uit de IT-hoek en legt het de verantwoordelijkheid bij de leiding. Dat sluit aan bij wat de NIS2-richtlijn van het bestuur verwacht, en het is ook de functie waar CyFun het strengst op toetst.
NIST beschrijft wat een organisatie moet bereiken, niet hoe. Met de vier implementation tiers (Partial, Risk Informed, Repeatable en Adaptive) bepaalt een organisatie hoe volwassen haar aanpak is, en met profielen legt ze vast waar ze nu staat en waar ze naartoe wil. Die vrijheid is een sterkte voor grote organisaties met een eigen risicoteam. Voor een kmo kan ze verlammend werken: het kader zegt niet welke maatregel voor een bedrijf van twintig mensen volstaat.
Wat is CyberFundamentals?
CyberFundamentals is het kader van het CCB om organisaties in België concrete, toetsbare maatregelen te geven. CyFun 2025, gepubliceerd in oktober 2025, volgt de zes functies van NIST CSF 2.0. Tot 18 april 2027 mag een organisatie nog kiezen tussen CyFun 2023 en CyFun 2025. Wat CyFun is en waarom België het ontwikkelde, leest u in ons artikel over het CyberFundamentals-framework als Belgisch antwoord op NIS2.
CyFun werkt met oplopende zekerheidsniveaus die bepalen hoeveel maatregelen u invoert en hoe streng ze getoetst worden; welk niveau bij uw organisatie past, staat in ons artikel over CyFun-certificering, niveaus en traject.
Telt een NIST-assessment mee voor NIS2 in België?
Niet als bewijs op zich. Volgens de Belgische NIS2-wet van 26 april 2024 en het koninklijk besluit van 9 juni 2024 krijgt een entiteit een vermoeden van conformiteit wanneer een erkende conformiteitsbeoordelingsinstantie haar heeft beoordeeld tegen CyberFundamentals of ISO 27001. Een NIST-assessment staat niet op die lijst.
Dat betekent niet dat NIST-werk waardeloos is. De wet verplicht passende maatregelen, geen specifiek kader. Een organisatie zonder CyFun- of ISO-beoordeling moet bij een inspectie zelf aantonen dat haar maatregelen volstaan. Hoe een inspecteur een NIST-rapport in zo’n geval weegt, is nergens uitgeschreven. Dat blijft onduidelijk, en net daarom kiezen de meeste organisaties voor een route die het vermoeden wel oplevert.
Ook een vermoeden van conformiteit is geen vrijbrief. Het is weerlegbaar, en het CCB kan na een ernstig incident altijd een onderzoek instellen. Wie twijfelt tussen CyFun en ISO 27001 als route, vindt die afweging in ons artikel ISO 27001 of CyberFundamentals.
De zes functies naast elkaar
Omdat CyFun 2025 dezelfde functies en subcategorieën gebruikt, sluiten de kaders inhoudelijk op elkaar aan. Het verschil zit in hoe streng CyFun meet en wat het specifiek Belgisch maakt.
| Functie | Waar NIST en CyFun overeenkomen | Wat CyFun toevoegt |
|---|---|---|
| Govern | Risicostrategie, rollen, beleid, toezicht en leveranciersbeheer | Koppeling aan de verantwoordelijkheid van het bestuur onder NIS2, met bewijs van goedkeuring en opleiding |
| Identify | Inventaris van systemen en gegevens, risicoanalyse, verbetering | Gedocumenteerde methode en een niveaukeuze via de tool van het CCB |
| Protect | Toegangsbeheer, MFA, opleiding, gegevensbescherming, back-ups | Kernmaatregelen die elk afzonderlijk een minimumscore moeten halen |
| Detect | Monitoring en analyse van afwijkingen | Aantoonbare opvolging en bewaring van logs |
| Respond | Incidentbeheer, analyse, beperking en communicatie | De Belgische meldtermijnen: vroege waarschuwing binnen 24 uur, melding binnen 72 uur, eindverslag binnen een maand |
| Recover | Herstelplannen en communicatie na een incident | Aantoonbaar geteste herstelprocedures |
Wat CyFun strenger maakt dan NIST
- Twee scores per maatregel. CyFun beoordeelt apart hoe goed een maatregel gedocumenteerd is en hoe goed hij werkt. Een mondelinge afspraak zonder beleidsdocument scoort laag, ook als ze in de praktijk wordt nageleefd.
- Kernmaatregelen zonder compensatie. Een zwakke score op een kernmaatregel wordt niet weggepoetst door goede scores elders.
- Het bestuur moet zichtbaar zijn. Goedkeuring van maatregelen en toezicht door de leiding moeten met documenten aantoonbaar zijn.
NIST, CyFun of beide? Een beslisschema
| Situatie | Kies voor | Waarom |
|---|---|---|
| U valt onder NIS2 als essentiële of belangrijke entiteit, of u levert aan zo’n entiteit | CyFun | Levert het vermoeden van conformiteit op en sluit aan bij wat Belgische klanten en overheden vragen |
| U hebt geen activiteit of verplichtingen in de EU en werkt vooral met Amerikaanse partners | NIST CSF 2.0 | Gratis, internationaal gekend en zonder verplichte externe beoordeling |
| U bent een Belgische vestiging van een groep die in NIST-termen rapporteert | Beide, met CyFun als werkkader | Een CyFun-nulmeting levert door de gedeelde structuur ook de gegevens voor de NIST-rapportage van de groep |
Van NIST naar CyFun: wat u kunt hergebruiken
Wie al met NIST werkt, begint niet bij nul. De inventaris van systemen en gegevens, de risicoanalyse, de processen voor MFA, patches en back-ups, de logging en het incidentresponsplan sluiten inhoudelijk aan. Wat er meestal bij moet: formele documentatie voor wat nu mondeling geregeld is, aantoonbare goedkeuring door het bestuur, de Belgische meldprocedure en het halen van de minimumscore op elke kernmaatregel. Een praktisch vertrekpunt voor de technische basis vindt u in ons artikel over de CIS Controls als praktisch framework voor kmo’s, en de volledige lijst van verplichtingen in onze NIS2-checklist voor België.
“Een Belgisch kader naast NIST is overbodige bureaucratie”
Dat argument hoort u vaak bij internationale groepen, en het heeft een punt: NIST CSF is wereldwijd de gemeenschappelijke taal, en een tweede kader betekent extra rapportering. Maar drie dingen wegen zwaarder. NIST heeft in België geen juridische verankering, dus bij een incident rust de volledige bewijslast op het bestuur. NIST zegt niet welke maatregel volstaat, wat een kmo dure interpretatie kost. En de tegenstelling is grotendeels schijn: wie CyFun 2025 invoert, bouwt tegelijk een NIST CSF 2.0-profiel op, met daarbovenop het bewijs dat de Belgische wet vraagt.
Twijfelt u welk kader bij uw organisatie past?
Werkt u al met NIST en wilt u weten wat er nodig is voor CyFun, of staat u voor de eerste keuze? In een vrijblijvende kennismaking bekijken we met u waar uw organisatie staat en welke route het meeste hergebruik oplevert. Meer over onze begeleiding leest u op onze pagina over NIS2-compliance.
Veelgestelde vragen
Is het NIST Cybersecurity Framework verplicht in België?
Nee, het NIST Cybersecurity Framework is een vrijwillig Amerikaans kader zonder bindende status in België. Onder de Belgische NIS2-wet levert enkel een beoordeling tegen CyberFundamentals of ISO 27001 een vermoeden van conformiteit op. NIST kan wel dienen als inhoudelijke basis voor zo’n traject.
Wat is er nieuw in NIST CSF 2.0?
NIST CSF 2.0, gepubliceerd op 26 februari 2024, voegt de functie Govern toe voor strategie, rollen, beleid en leveranciersbeheer. Het kader richt zich nu uitdrukkelijk op organisaties van elke omvang, niet alleen op kritieke infrastructuur. Het telt zes functies, 22 categorieën en 106 subcategorieën.
Kan een organisatie een NIST CSF-certificaat behalen?
Nee, NIST biedt geen certificering aan en erkent geen auditors. Een organisatie kan haar volwassenheid enkel tonen via een zelfevaluatie of een rapport van een externe adviseur. CyberFundamentals heeft wel een formeel schema, met verificatie of certificering door instanties die BELAC heeft erkend.
Is CyberFundamentals gebaseerd op NIST?
Ja, CyFun 2025, gepubliceerd in oktober 2025, is opgebouwd op de zes functies en de subcategorieën van NIST CSF 2.0. Het CCB vult die structuur aan met concrete maatregelen per zekerheidsniveau en een formele beoordeling. Tot 18 april 2027 mag een organisatie nog kiezen tussen CyFun 2023 en CyFun 2025.
Telt een NIST-assessment mee voor NIS2?
Een NIST-assessment levert in België geen vermoeden van conformiteit met de NIS2-wet op. De maatregelen die u voor NIST invoerde, blijven wel bruikbaar. Via een mapping naar CyberFundamentals kunt u een groot deel van dat werk hergebruiken voor een formele beoordeling.
Moet een Belgische dochteronderneming van een Amerikaanse groep beide kaders volgen?
Vaak wel, maar dat hoeft geen dubbel werk te zijn. Gebruik CyFun als werkkader in België, voor het vermoeden van conformiteit. Omdat CyFun 2025 dezelfde structuur als NIST CSF 2.0 heeft, levert dezelfde meting ook de gegevens voor de NIST-rapportage van de groep.
