Gratis raamwerk van NIST

Het NIST Cybersecurity Framework 2.0

Onze aanpak volgt het NIST Cybersecurity Framework 2.0: een gratis raamwerk om cybersecurityrisico's gestructureerd aan te pakken. Hier lees je in gewone taal wat de zes functies betekenen voor een klein bedrijf, wat Gentic voor je invult en wat je zelf regelt.

Plan een gratis demoGratis kwetsbaarhedenscan

Liever eerst de prijzen? Bekijk de pakketten

BesturenGovernIdentificerenIdentifyBeschermenProtectDetecterenDetectReagerenRespondHerstellenRecover
Besturen in het midden, de andere vijf eromheen. Kies een functie voor de uitleg.

Wat is het NIST Cybersecurity Framework?

Het NIST Cybersecurity Framework (CSF) 2.0 is een gratis raamwerk van het Amerikaanse National Institute of Standards and Technology, gepubliceerd op 26 februari 2024. Het verdeelt cybersecurity in zes functies: Govern (besturen), Identify (identificeren), Protect (beschermen), Detect (detecteren), Respond (reageren) en Recover (herstellen). Het is geen wet en geen certificaat, maar een kapstok om risico's gestructureerd aan te pakken.

Versie 2.0 voegde Govern (besturen) toe als zesde functie en legt meer nadruk op risicobeheer als onderdeel van de bedrijfsvoering. De vorige versie was vooral gericht op vitale infrastructuur; versie 2.0 is er voor organisaties van elke omvang. Gentic gebruikt de zes functies als leidraad voor wat we voor je doen.

Voor elk bedrijf, ook klein

Het raamwerk wordt wereldwijd gebruikt. NIST schreef er zelfs een aparte snelstartgids voor kleine bedrijven bij.

Compleet overzicht

Van besturen tot herstellen: je ziet in één keer welke onderdelen geregeld zijn en waar nog gaten zitten.

Uitkomsten, geen productlijst

NIST beschrijft wat je wilt bereiken, niet welk product je moet kopen. Zo vertaal je risico's naar maatregelen die bij jouw bedrijf passen.

Zes functies die tegelijk lopen

De zes functies lopen tegelijk. Govern staat in het midden, omdat het bepaalt hoe je de andere vijf invult.

Het is dus geen stappenplan dat je één keer afloopt. Besturen, identificeren, beschermen en detecteren gebeuren elke dag; reageren en herstellen staan altijd klaar voor als het toch misgaat.

Besturen (Govern)

Bepaalt hoe je de andere vijf invult

DoorlopendUitleg

  • Identificeren

    Identify

    Weten wat je hebt

    DoorlopendUitleg

  • Beschermen

    Protect

    Aanvallen voorkomen

    DoorlopendUitleg

  • Detecteren

    Detect

    Aanvallen opmerken

    DoorlopendUitleg

  • Reageren

    Respond

    Schade beperken

    Staat klaarUitleg

  • Herstellen

    Recover

    Weer aan het werk

    Staat klaarUitleg
Bij elk onderdeel staat waar het in zit:Pro en Ultimatein beide pakkettenUltimatealleen in Gentic UltimateAdd-on Gentic Onderhoud€4,00 per gebruiker per maand, excl. btw

De zes functies van cybersecurity

Per functie: wat NIST ermee bedoelt, wat het betekent voor een klein bedrijf, wat Gentic doet en wat je zelf regelt.

01 · Govern

Besturen

Volgens NIST: je strategie, verwachtingen en beleid voor cybersecurity vastleggen, uitdragen en bijhouden.

Voor een klein bedrijf: Bepaal wie bij jou verantwoordelijk is voor beveiliging, welke risico's je accepteert en welke afspraken je maakt met leveranciers zoals je IT-partij. Dat bepaalt hoe je de andere vijf functies invult.

Wat Gentic doet

  • Afspraken op papier: responstijden en verantwoordelijkheden staan in onze voorwaarden, en we stemmen met je IT-partij af wie wat doet

    Pro en UltimateLees onze voorwaarden

  • Securityrapportage: elke maand een rapport in gewone taal: wat er is tegengehouden, wat er is gevonden en wat we je aanraden

    Pro en Ultimate

  • Uitgebreidere incidentanalyse: diepgaande rapportage met een risicoscore per gebruiker en een kwartaalreview

    Ultimate

Wat jij zelf regelt

  • Wie in je bedrijf eindverantwoordelijk is voor cybersecurity, en wie beslist als er iets misgaat.
  • Beleid voor je medewerkers, zoals een wachtwoordbeleid en afspraken over eigen apparaten. Wat NIST adviseert over wachtwoorden
  • Afspraken met leveranciers die bij je systemen kunnen, zoals je IT-partij.

02 · Identify

Identificeren

Volgens NIST: begrijpen welke cybersecurityrisico's je organisatie nu loopt.

Voor een klein bedrijf: Weet wat je hebt: welke apparaten, accounts, software en gegevens, en waar de zwakke plekken zitten. Je kunt alleen beschermen wat je kent.

Wat Gentic doet

  • Controle van je buitenkant: periodiek nagaan wat er van buitenaf zichtbaar is, zoals domeinen, open poorten, SPF/DKIM/DMARC en certificaten

    Pro en UltimateEenmalig proberen: gratis kwetsbaarhedenscan

  • Dark web monitoring: de eerste controle kijkt 2 jaar terug; daarna wordt ongeveer elke 10 dagen gecontroleerd of inloggegevens van je domein zijn uitgelekt

    Pro en UltimateDark web monitoring en accountbewaking

  • Zicht op kwetsbare software: welke software er op je devices en servers staat en welke versies bekende kwetsbaarheden hebben, met advies om ze te verhelpen

    Pro en UltimateEndpointbeveiliging met EDR

Wat jij zelf regelt

  • Een actueel overzicht van je apparaten, accounts en software, bijvoorbeeld via je IT-partij.
  • Weten welke gegevens het belangrijkst zijn en waar ze staan, zoals je klantenbestand en je administratie.

03 · Protect

Beschermen

Volgens NIST: maatregelen gebruiken om je cybersecurityrisico's te beheersen.

Voor een klein bedrijf: Verklein de kans dat een aanval slaagt: filter je e-mail, beveilig je devices en servers, train je medewerkers en ruim riskante delingen op.

Wat Gentic doet

  • E-mailbeveiliging (Check Point): phishing, nepfacturen en schadelijke bijlagen worden automatisch tegengehouden, en links worden gecontroleerd op het moment dat iemand klikt

    Pro en UltimateE-mailbeveiliging

  • Endpointbeveiliging met EDR (SentinelOne): malware en ransomware op devices en servers worden op gedrag herkend en gestopt

    Pro en UltimateEndpointbeveiliging met EDR

  • Controle van gedeelde bestanden: openbare links en delingen met externen in OneDrive, SharePoint en Google Drive worden gevonden en gemeld

    Pro en UltimateDatalekken voorkomen

  • Security awareness training: korte trainingen in het Nederlands, zodat je medewerkers phishing en CEO-fraude herkennen

    Pro en UltimateSecurity awareness training

  • Phishingsimulaties: realistische nepphishing in het Nederlands, ook via een QR-code, om te toetsen of de training blijft hangen

    Pro en UltimatePhishingsimulaties

  • Uitgaande e-mail: mail die je bedrijf verlaat wordt gecontroleerd op gevoelige gegevens, en je kunt versleuteld mailen

    Ultimate

  • Updates en patches: Windows-updates en updates van ondersteunde software op de apparaten die we voor je onderhouden

    Add-on Gentic OnderhoudMeer over patchmanagement

Wat jij zelf regelt

  • Back-ups van je belangrijke gegevens, bijvoorbeeld via je IT-partij.
  • Tweestapsverificatie (MFA) op alle accounts en een wachtwoordmanager voor iedereen.
  • Neem je Gentic Onderhoud niet, laat dan je IT-partij de updates regelen.

04 · Detect

Detecteren

Volgens NIST: mogelijke aanvallen en inbraken vinden en analyseren.

Voor een klein bedrijf: Merk op tijd dat er iets mis is, ook 's nachts en in het weekend: een verdachte inlog, een gestolen sessie of malware op een device.

Wat Gentic doet

  • 24/7 Managed Detection & Response: ons team bewaakt je accounts en apparaten dag en nacht en grijpt in als het nodig is

    Pro en UltimateZo werkt 24/7 Managed Detection & Response

  • Accountbewaking: verdachte inlogs, onverwachte locaties, gestolen sessies en nieuwe doorstuurregels vallen op

    Pro en UltimateAccountbewaking

  • Proactief zoeken naar dreigingen (threat hunting): er wordt actief gezocht naar verborgen dreigingen die de automatische detectie nog niet heeft gevonden

    Ultimate

  • Diepere zichtbaarheid op devices: volledige telemetrie van wat er op je devices en servers gebeurt, voor grondiger onderzoek

    Ultimate

  • Apparaatmonitoring: we houden in de gaten of de apparaten die we voor je onderhouden online en operationeel zijn

    Add-on Gentic Onderhoud

Wat jij zelf regelt

  • Afspreken dat medewerkers iets vreemds direct melden, zoals een inlogcode die ze niet hebben aangevraagd.
  • Ons laten weten als er een medewerker of apparaat bijkomt of vertrekt, zodat alles bewaakt blijft.

05 · Respond

Reageren

Volgens NIST: actie ondernemen bij een ontdekt incident.

Voor een klein bedrijf: Beperk de schade als het toch misgaat: haal een besmet apparaat van het netwerk, blokkeer een misbruikt account en weet wie wat doet.

Wat Gentic doet

  • Automatisch ingrijpen: waar het technisch kan, wordt een verdacht proces gestopt of een device van het netwerk gehaald

    Pro en Ultimate

  • Misbruikte accounts: ons team kan de actieve sessies intrekken en het account blokkeren

    Pro en Ultimate

  • Kritieke incidenten: eerste respons binnen 1 uur, met een 24/7 noodlijn voor kritieke incidenten

    Pro en UltimateResponstijden in onze voorwaarden

  • Forensisch onderzoek: uitzoeken hoe een aanvaller binnenkwam en welke systemen zijn geraakt

    Ultimate

Wat jij zelf regelt

  • Een korte lijst met wie je belt en wie beslist bij een incident, ook buiten kantooruren.
  • Doen wat aan jouw kant nodig is, zoals een wachtwoord wijzigen. Je hoort precies wat er moet gebeuren.
  • Een datalek met persoonsgegevens zo nodig binnen 72 uur melden bij de Autoriteit Persoonsgegevens.

06 · Recover

Herstellen

Volgens NIST: herstellen wat door een incident is geraakt, zodat het werk weer doorgaat.

Voor een klein bedrijf: Zorg dat je na een incident snel weer aan het werk bent: bestanden terugzetten, apparaten vrijgeven en leren van wat er misging.

Wat Gentic doet

  • Ransomware-rollback (SentinelOne): op Windows-apparaten kunnen versleutelde bestanden worden teruggezet

    Pro en UltimateEndpointbeveiliging met EDR

  • Apparaat weer vrijgegeven: na onderzoek en opschoning gaat een geïsoleerd apparaat weer aan het netwerk

    Pro en Ultimate

  • Incidentrapport: na een significant incident binnen 5 werkdagen een rapport met wat er is gebeurd, wat er is gedaan en advies om herhaling te voorkomen

    Pro en Ultimate

Wat jij zelf regelt

  • Back-ups die los staan van je netwerk, en af en toe testen of terugzetten werkt.
  • Vooraf bedenken hoe je klanten en leveranciers informeert als je een tijd minder goed bereikbaar bent.

Herstel vanuit back-ups of volledige systeemherbouw kan buiten de standaarddienst vallen. Zorg dat je back-ups goed geregeld zijn, bijvoorbeeld via je IT-partij.

Veelgestelde vragen over NIST

Nee. Het NIST CSF is vrijwillig en geen wet, ook niet in Nederland. Je gebruikt het als kapstok om je beveiliging gestructureerd aan te pakken. Vraagt een klant hoe je je cybersecurityrisico's beheerst, dan helpen de zes functies om dat helder uit te leggen.
ISO 27001 is een internationale norm voor een managementsysteem voor informatiebeveiliging. Daarop kun je je laten certificeren door een certificerende instelling, met audits. Het NIST CSF is een gratis raamwerk zonder certificering. De onderwerpen overlappen grotendeels: wat je volgens de zes functies regelt, helpt ook als je later een ISO 27001-certificaat wilt halen.
Nee. Voor het NIST CSF bestaat geen officieel certificaat, en Gentic geeft er ook geen uit. Wat je wel krijgt: concrete maatregelen per functie, afspraken op papier in onze voorwaarden en elke maand een rapport in gewone taal over hoe je ervoor staat.
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en geldt sinds 15 augustus 2026. De meeste bedrijven met minder dan 50 medewerkers vallen er zelf niet onder, maar een klant die er wel onder valt, kan je om beveiligingsmaatregelen vragen. De wet schrijft NIST niet voor; met de zes functies beantwoord je zulke vragen wel gestructureerd.
Elke maand krijg je een rapport in gewone taal: wat er is tegengehouden (beschermen), welke meldingen er waren en wat ermee is gedaan (detecteren en reageren), welke gelekte inloggegevens zijn gevonden (identificeren) en wat we je aanraden (besturen). Na een significant incident volgt binnen 5 werkdagen een incidentrapport.
Gentic vult een groot deel van beschermen, detecteren en reageren in, en delen van identificeren, besturen en herstellen. Bij jou of je IT-partij blijven onder meer: wie er verantwoordelijk is, beleid zoals wachtwoorden en tweestapsverificatie, en je back-ups. Per functie staat op deze pagina wat wij doen en wat je zelf regelt.

Meer weten? Lees wat de Cyberbeveiligingswet voor je betekent of wat NIST adviseert over wachtwoorden.

Bronnen: NIST CSWP 29, The NIST Cybersecurity Framework (CSF) 2.0 en NIST SP 1300, Small Business Quick-Start Guide. Meer op nist.gov/cyberframework.

Zien hoe Gentic de zes functies bij jou invult?

In een gratis demo van 30 tot 60 minuten laten we per functie zien wat wij doen, wat jij zelf regelt en wat het kost voor jouw aantal medewerkers. Online, telefonisch of bij jullie op locatie.

Plan een gratis demoVergelijk pakketten

Nog niet aan een demo toe? Vraag eerst een gratis kwetsbaarhedenscan aan

Plan een demo