Hoe u NIST CSF 2.0-kernfuncties implementeert met behulp van AI

Overzicht

U leert hoe u elk van de zes NIST CSF 2.0-kernfuncties—GOVERN (Besturen), IDENTIFY (Identificeren), PROTECT (Beschermen), DETECT (Detecteren), RESPOND (Reageren) en RECOVER (Herstellen)—kunt implementeren met behulp van AI om de selectie van controls, beleidsontwikkeling en het behalen van resultaten te versnellen.

Voor wie dit bedoeld is

Deze gids is voor:

• Securityteams die specifieke NIST CSF-functies implementeren

• Compliance-professionals die CSF-resultaten vertalen naar operationele controls

• IT-managers die technologieën inzetten om CSF-subcategorieën te realiseren

• Risk managers die cybersecurity-activiteiten afstemmen op bedrijfsdoelstellingen

• Consultants die functiespecifieke implementatiebegeleiding bieden aan klanten

Voordat u begint

U moet beschikken over:

• Een ISMS Copilot-account met een NIST CSF-workspace

• Voltooide NIST CSF 'Current' en 'Target' profielen

• Een Gap-analyse die prioritaire subcategorieën voor implementatie identificeert

• Draagvlak vanuit de directie en toewijzing van middelen voor de implementatie

• Begrip van de risicoprioriteiten en compliance-drijfveren van uw organisatie

De zes functies begrijpen

Hoe functies samenwerken

De zes functies van NIST CSF 2.0 vormen een geïntegreerd cybersecurityprogramma:

• GOVERN (Besturen): De basis die alle andere functies informeert via strategie, beleid en risicomanagement

• IDENTIFY (Identificeren): Inzicht in activa, risico's en verbetermogelijkheden die de PROTECT-prioriteiten sturen

• PROTECT (Beschermen): Waarborgen die de waarschijnlijkheid en impact van nadelige gebeurtenissen voorkomen of verminderen

• DETECT (Detecteren): Continue monitoring die aanvallen en inbreuken ontdekt

• RESPOND (Reageren): Acties voor incidentbeheer om cybersecuritygebeurtenissen in te dammen en te beperken

• RECOVER (Herstellen): Herstel van operaties en diensten na incidenten

GOVERN (GV) implementeren: Cybersecurity-governance opzetten

Overzicht van de GOVERN-functie

Nieuw in CSF 2.0 is de GOVERN-functie, die ervoor zorgt dat cybersecurity-risicomanagement wordt geïntegreerd in het algemene risicomanagement (ERM) en de bedrijfsdoelstellingen. Het bevat zes categorieën:

• GV.OC: Organisatorische Context

• GV.RM: Risicomanagementstrategie

• GV.RR: Rollen, Verantwoordelijkheden en Bevoegdheden

• GV.PO: Beleid

• GV.OV: Toezicht

• GV.SC: Risicomanagement van de Cybersecurity-toeleveringsketen

Belangrijke implementatiestappen voor GOVERN

1. Organisatorische context vaststellen (GV.OC):

   Vraag in uw NIST CSF-workspace:

   "Help me bij het implementeren van NIST CSF GV.OC (Organisatorische Context). Maak documentatie voor: GV.OC-01 (missie en doelstellingen), GV.OC-02 (interne/externe context), GV.OC-03 (wettelijke en regelgevende vereisten), GV.OC-04 (kritieke doelstellingen en activiteiten), GV.OC-05 (resultaten en prestaties). Onze organisatie is [beschrijving]."

2. Risicomanagementstrategie ontwikkelen (GV.RM):

   "Maak een document voor de cybersecurity-risicomanagementstrategie dat aansluit bij NIST CSF GV.RM. Inclusief: GV.RM-01 (risicomanagementdoelstellingen), GV.RM-02 (risicobereidheid en -tolerantie), GV.RM-03 (risicobepaling en -prioritering), GV.RM-04 (afstemming op ERM), GV.RM-05 (communicatie van de strategie), GV.RM-06 (strategische planning voor opkomende risico's). Pas aan voor [organisatiecontext]."

3. Rollen en verantwoordelijkheden definiëren (GV.RR):

   "Definieer cybersecurity-rollen, verantwoordelijkheden en bevoegdheden volgens NIST CSF GV.RR. Inclusief: GV.RR-01 (verantwoordelijkheden van de organisatieleiding), GV.RR-02 (rollen en verantwoordelijkheden gedefinieerd en gecommuniceerd), GV.RR-03 (voldoende middelen), GV.RR-04 (cybersecurity geïntegreerd in HR-praktijken). Maak een RACI-matrix voor belangrijke beveiligingsactiviteiten."

4. Beleid vaststellen (GV.PO):

   "Maak een raamwerk voor informatiebeveiligingsbeleid dat voldoet aan NIST CSF GV.PO. Behandel: GV.PO-01 (vaststelling en communicatie van beleid), GV.PO-02 (beleidshandhaving via procedures). Voeg een overkoepelend beveiligingsbeleid en ondersteunende procedure-documenten toe voor toegangsbeheer, gegevensbescherming, incidentrespons en acceptabel gebruik."

5. Toezicht implementeren (GV.OV):

   "Ontwerp mechanismen voor cybersecurity-toezicht volgens NIST CSF GV.OV. Inclusief: GV.OV-01 (communicatie van cybersecurity-resultaten naar de leiding), GV.OV-02 (leiding monitort en stuurt op cyberrisico's), GV.OV-03 (toezicht consistent met risicostrategie). Maak dashboardsjablonen, agenda's voor managementbeoordelingen en formaten voor rapportage aan de board."

6. Risicomanagement voor de toeleveringsketen opzetten (GV.SC):

   "Implementeer risicomanagement voor de cybersecurity-toeleveringsketen volgens NIST CSF GV.SC. Behandel: GV.SC-01 (strategie), GV.SC-02 (leveranciers bekend en geprioriteerd), GV.SC-03 (contracten met beveiligingseisen), GV.SC-04 (leveranciers gemonitord), GV.SC-05 (respons op incidenten in de keten), GV.SC-06 (beveiligingspraktijken in de keten), GV.SC-07 (veerkracht van de keten), GV.SC-08 (relevante gegevens gedeeld), GV.SC-09 (mechanismen voor transparantie in de keten)."

IDENTIFY (ID) implementeren: Begrijp uw cybersecurity-risico's

Overzicht van de IDENTIFY-functie

De IDENTIFY-functie richt zich op het begrijpen van de activa, kwetsbaarheden en risico's van de organisatie. Het bevat drie categorieën:

• ID.AM: Assetmanagement

• ID.RA: Risicobeoordeling

• ID.IM: Verbetering

Belangrijke implementatiestappen voor IDENTIFY

1. Assetmanagement implementeren (ID.AM):

   "Help me bij het implementeren van NIST CSF ID.AM (Assetmanagement). Maak processen voor: ID.AM-01 (hardware-inventarisaties), ID.AM-02 (software-inventarisaties), ID.AM-03 (data en datastromen in kaart gebracht), ID.AM-04 (externe systemen gecatalogiseerd), ID.AM-05 (middelen geprioriteerd), ID.AM-07 (inventarissen bijgehouden), ID.AM-08 (systemen veilig uit bedrijf genomen). Beveel tools aan voor geautomatiseerde asset discovery en inventarisbeheer."

2. Risicobeoordelingen uitvoeren (ID.RA):

   "Ontwerp een risicobeoordelingsprogramma volgens NIST CSF ID.RA. Behandel: ID.RA-01 (kwetsbaarheden geïdentificeerd en gedocumenteerd), ID.RA-02 (threat intelligence ontvangen), ID.RA-03 (interne en externe dreigingen geïdentificeerd), ID.RA-04 (impact op dienstverlening geïdentificeerd), ID.RA-05 (dreigingen en kwetsbaarheden gebruikt voor risicobepaling), ID.RA-06 (risicoresponsen geprioriteerd), ID.RA-07 (wijzigingen en uitzonderingen bijgehouden). Maak een methodologie, sjablonen en planning."

3. Verbeterprocessen opzetten (ID.IM):

   "Implementeer verbeteringsidentificatie en -beheer volgens NIST CSF ID.IM. Inclusief: ID.IM-01 (verbeteringen uit risicobeoordelingen, incidenten en activiteiten), ID.IM-02 (respons- en herstelplannen getest), ID.IM-03 (lessen getrokken uit respons en herstel), ID.IM-04 (beleid, plannen en procedures bijgewerkt). Ontwerp een workflow voor continue verbetering en een tracking-mechanisme."

PROTECT (PR) implementeren: Cybersecurity-waarborgen inzetten

Overzicht van de PROTECT-functie

De PROTECT-functie implementeert waarborgen om cybersecurity-risico's te beheersen. Het bevat vijf categorieën:

• PR.AA: Identiteitsbeheer, Authenticatie en Toegangsbeheer

• PR.AT: Bewustwordingswording en Training

• PR.DS: Gegevensbeveiliging

• PR.IR: Platformbeveiliging (Infrastructuurweerbaarheid in CSF 1.1)

• PR.PS: Veerkracht van de technologische infrastructuur (Beschermende technologie in CSF 1.1)

Belangrijke implementatiestappen voor PROTECT

1. Identiteits- en toegangscontroles implementeren (PR.AA):

   "Help me bij het implementeren van NIST CSF PR.AA (Identiteitsbeheer, Authenticatie en Toegangsbeheer). Behandel: PR.AA-01 (identiteiten en inloggegevens beheerd), PR.AA-02 (identiteiten gecontroleerd en gekoppeld), PR.AA-03 (authenticatie van gebruikers, services en hardware), PR.AA-04 (bescherming van identiteitsgegevens), PR.AA-05 (beheer van toegangsrechten), PR.AA-06 (contextgebaseerde authenticatie en autorisatie). Beveel IAM-oplossingen aan (Okta, Azure AD, AWS IAM) en geef configuratiebegeleiding."

2. Bewustwording en training opzetten (PR.AT):

   "Ontwerp een programma voor beveiligingsbewustwording en training volgens NIST CSF PR.AT. Inclusief: PR.AT-01 (personeel geïnformeerd en getraind), PR.AT-02 (bevoorrechte gebruikers getraind). Maak een curriculum met: phishing-bewustwording, wachtwoordhygiëne, omgang met data, incidentrapportage, acceptabel gebruik. Voeg rolgebaseerde training toe voor beheerders, ontwikkelaars en executives. Beveel trainingsplatforms aan."

3. Gegevensbeveiliging implementeren (PR.DS):

   "Implementeer gegevensbeveiligingscontroles volgens NIST CSF PR.DS. Behandel: PR.DS-01 (data-at-rest beschermd), PR.DS-02 (data-in-transit beschermd), PR.DS-10 (data-in-use beschermd), PR.DS-11 (back-updata beschermd). Inclusief: encryptiestandaarden (AES-256, TLS 1.3), sleutelbeheer, dataclassificatie, DLP-tools, back-upprocedures. Koppel aan technologieën zoals BitLocker, AWS KMS, Veeam."

4. Platformen beveiligen (PR.IR):

   "Implementeer platformbeveiliging volgens NIST CSF PR.IR. Behandel: PR.IR-01 (netwerken en omgevingen beveiligd), PR.IR-02 (technologie beveiligd), PR.IR-03 (beveiligingsconfiguratie baselines vastgesteld), PR.IR-04 (operationele technologie beveiligd). Inclusief: netwerksegmentatie, kwetsbaarheidsbeheer, configuratiehardening (CIS Benchmarks), patchmanagement, veilige ontwikkelpraktijken."

5. Technologische veerkracht bouwen (PR.PS):

   "Implementeer veerkracht van de technologische infrastructuur volgens NIST CSF PR.PS. Inclusief: PR.PS-01 (beschikbaarheid gewaarborgd), PR.PS-02 (gebeurtenissen gelogd), PR.PS-03 (gebeurtenissen gecorreleerd), PR.PS-04 (technologische assets veilig ontwikkeld). Ontwerp een high-availability architectuur, loggingstrategie (SIEM-integratie) en veilige SDLC-processen. Beveel technologieën aan zoals load balancers, Splunk, GitLab CI/CD security."

DETECT (DE) implementeren: Cybersecurity-gebeurtenissen vinden en analyseren

Overzicht van de DETECT-functie

De DETECT-functie maakt tijdige ontdekking en analyse van cybersecurity-anomalieën en incidenten mogelijk. Het bevat twee categorieën:

• DE.CM: Continue monitoring

• DE.AE: Analyse van nadelige gebeurtenissen

Belangrijke implementatiestappen voor DETECT

1. Continue monitoring implementeren (DE.CM):

   "Help me bij het implementeren van NIST CSF DE.CM (Continue Monitoring). Behandel: DE.CM-01 (monitoren van netwerken en diensten), DE.CM-02 (fysieke omgeving gemonitord), DE.CM-03 (activiteiten van personeel gemonitord), DE.CM-06 (activiteiten van externe serviceproviders gemonitord), DE.CM-09 (hardware en software gemonitord). Ontwerp een monitoringsarchitectuur met: netwerkverkeersanalyse (Zeek, Suricata), SIEM (Splunk, Sentinel), endpoint detectie (CrowdStrike, Microsoft Defender), cloud monitoring (CloudTrail, Azure Monitor)."

2. Analyse van nadelige gebeurtenissen opzetten (DE.AE):

   "Implementeer analyse voor nadelige gebeurtenissen volgens NIST CSF DE.AE. Inclusief: DE.AE-02 (gebeurtenissen geanalyseerd om doelen en methoden te begrijpen), DE.AE-03 (gebeurtenisgegevens geaggregeerd en gecorreleerd), DE.AE-04 (impact bepaald), DE.AE-06 (informatie gedeeld), DE.AE-07 (dreigingen en kwetsbaarheden gedetecteerd), DE.AE-08 (incidenten afgekondigd). Maak SOC-procedures, detectie-use cases, workflows voor triage en criteria voor de afkondiging van incidenten."

3. Detectie-use cases ontwerpen:

   "Maak detectie-use cases die zijn gekoppeld aan ons dreigingsmodel [beschrijf belangrijkste dreigingen]. Definieer voor elke dreiging (ransomware, insider threat, supply chain compromise, data-exfiltratie): indicators of compromise (IOC's), detectielogica voor SIEM, baseline gedragsmodellen, criteria voor alert-prioriteit, escalatiedrempels. Formatteer voor implementatie in [SIEM-platform]."

RESPOND (RS) implementeren: Actie ondernemen bij cybersecurity-incidenten

Overzicht van de RESPOND-functie

De RESPOND-functie ondersteunt incidentbeheer en indamming. Het bevat vijf categorieën:

• RS.MA: Incidentbeheer

• RS.AN: Incidentanalyse

• RS.MI: Incidentmitigatie

• RS.RP: Incidentrapportage

• RS.CO: Communicatie over incidentrespons

Belangrijke implementatiestappen voor RESPOND

1. Incidentbeheer opzetten (RS.MA):

   "Help me bij het implementeren van NIST CSF RS.MA (Incidentbeheer). Behandel: RS.MA-01 (incidentresponsplan uitgevoerd), RS.MA-02 (incidentmeldingen getrieerd en geprioriteerd), RS.MA-03 (incidenten gecategoriseerd), RS.MA-04 (incidenten geëscaleerd), RS.MA-05 (responsplan bijgewerkt op basis van lessen). Maak een incidentresponsplan met: incidentdefinitie, ernstclassificatie, escalatiematrix, teamrollen (RACI), playbooks voor veelvoorkomende scenario's."

2. Incidentanalyse ontwerpen (RS.AN):

   "Implementeer mogelijkheden voor incidentanalyse volgens NIST CSF RS.AN. Inclusief: RS.AN-03 (incidentdata en metadata verzameld en gecorreleerd), RS.AN-04 (impact en reikwijdte begrepen), RS.AN-06 (acties tijdens onderzoek uitgevoerd), RS.AN-07 (incidentgegevens bewaard), RS.AN-08 (incidentgegevens geanalyseerd). Maak forensische procedures, checklists voor bewijsverzameling, chain-of-custody formulieren en kies analysetools (SIFT, Autopsy)."

3. Mitigatie-capaciteiten implementeren (RS.MI):

   "Ontwerp incidentmitigatieprocessen volgens NIST CSF RS.MI. Behandel: RS.MI-01 (incidenten ingedamd), RS.MI-02 (incidenten uitgebannen). Maak indammingsplaybooks voor: ransomware (netwerkisolatie, opschorting accounts), datalek (intrekken datatoegang, wachtwoordrotatie), DDoS (verkeersfiltering, failover), insider threat (beëindiging toegang, bewijsbehoud)."

4. Rapportage opzetten (RS.RP):

   "Maak een raamwerk voor incidentrapportage volgens NIST CSF RS.RP. Inclusief: RS.RP-01 (rapportagevereisten begrepen). Documenteer: wettelijke meldingsplichten (datalekwetgeving, sectorale regels), coördinatie met politie/justitie, kennisgevingsvereisten voor klanten, interne rapportage, tijdlijneisen. Maak rapportagesjablonen en beslisbomen."

5. Communicatie ontwerpen (RS.CO):

   "Implementeer communicatie voor incidentrespons volgens NIST CSF RS.CO. Behandel: RS.CO-02 (interne en externe stakeholders geïnformeerd), RS.CO-03 (informatie gedeeld met aangewezen organisaties). Maak communicatieplannen voor: leiding, werknemers, klanten, toezichthouders, politie, media, verzekering. Voeg sjablonen toe voor elk publiek."

RECOVER (RC) implementeren: Operaties herstellen na incidenten

Overzicht van de RECOVER-functie

De RECOVER-functie ondersteunt het herstel van operaties en diensten na cybersecurity-incidenten. Het bevat drie categorieën:

• RC.RP: Uitvoering van het incidentherstelplan

• RC.IM: Communicatie over incidentherstel

• RC.CO: Communicatie over incidentherstel (Extern)

Belangrijke implementatiestappen voor RECOVER

1. Herstelplannen ontwikkelen (RC.RP):

   "Help me bij het implementeren van NIST CSF RC.RP (Uitvoering van het incidentherstelplan). Behandel: RC.RP-01 (herstelplan uitgevoerd), RC.RP-03 (herstelactiviteiten gecommuniceerd), RC.RP-05 (fouten tijdens herstel beheerd), RC.RP-06 (herstelactiviteiten geprioriteerd). Maak herstelplannen voor: ransomware (back-upherstel, herbouw van systemen), datalek (beveiligingshardening, monitoringverbetering), infrastructuuruitval (failover-procedures, herstel van diensten). Inclusief RTO's en RPO's."

2. Verbeterprocessen opzetten (RC.IM):

   "Implementeer verbeteringsprocessen voor herstel volgens NIST CSF RC.IM. Inclusief: RC.IM-01 (respons en herstel bijgewerkt op basis van lessen), RC.IM-02 (respons- en herstelstrategieën bijgewerkt). Ontwerp een nagesprekproces: tijdlijn (binnen 7 dagen), deelnemers (incidentteam, stakeholders), agenda (tijdlijnbeoordeling, wat werkte wel/niet, aanbevelingen), documentatie (post-mortem rapport), follow-up (tracking corrigerende acties)."

3. Communicatie over herstel ontwerpen (RC.CO):

   "Maak een raamwerk voor herstelcommunicatie volgens NIST CSF RC.CO. Behandel: RC.CO-03 (herstelactiviteiten gecommuniceerd naar stakeholders), RC.CO-04 (publieke updates over herstel). Inclusief communicatieplannen voor: voortgangsupdates naar de leiding, statusmeldingen aan klanten, opvolging bij toezichthouders, transparantierapporten na het incident. Maak sjablonen en goedkeuringsworkflows."

4. Herstelcapaciteiten testen:

   "Ontwerp een testprogramma voor herstel. Inclusief: back-uphersteltests (maandelijks), disaster recovery oefeningen (per kwartaal), business continuity tests (jaarlijks), ransomware-specifieke hersteldrills. Geef voor elk testtype: doelstellingen, reikwijdte, procedures, succescriteria, documentatie-eisen. Koppel aan ID.IM-02 (respons- en herstelplannen getest)."

Functiespecifieke implementatieroadmaps maken

Prioritering van functie-implementatie

Gebruik AI om de volgorde van functie-implementatie te bepalen op basis van uw risicoprofiel:

1. Risicogestuurde prioritering:

   "Prioriteer de implementatie van NIST CSF-functies op basis van onze belangrijkste cybersecurity-risico's [lijst risico's met ernst]. Identificeer voor elk risico: de meest kritieke functies voor mitigatie, specifieke subcategorieën om te prioriteren, de implementatievolgorde (welke functies afhankelijk zijn van andere) en 'quick wins' (subcategorieën met hoge impact en lage inspanning)."

2. Roadmap bij beperkte middelen:

   "Maak een NIST CSF-implementatieroadmap van 18 maanden met beperkte middelen (budget: [bedrag], team: [grootte]). Prioriteer: Fase 1 (maand 1-6): GOVERN + kritische IDENTIFY/PROTECT, Fase 2 (maand 7-12): DETECT + resterende PROTECT, Fase 3 (maand 13-18): RESPOND + RECOVER + optimalisatie. Inclusief mijlpaaldoelen, toewijzing van middelen en afhankelijkheden."

3. Compliance-gestuurde implementatie:

   "We moeten binnen 9 maanden NIST CSF-afstemming aantonen voor [fedorale opdracht / klantenaudit / wettelijke vereiste]. Welke functies en subcategorieën zijn verplicht voor naleving? Maak een versneld implementatieplan gericht op 'must-have' resultaten, waarbij 'nice-to-have' mogelijkheden worden uitgesteld naar de tweede fase."

Succes van functie-implementatie meten

Functiespecifieke statistieken

Houd de voortgang en effectiviteit van elke functie bij:

1. Meetraamwerk ontwerpen:

   "Maak een meetraamwerk voor de implementatie van NIST CSF-functies. Definieer voor elke functie (GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND, RECOVER): implementatiestatistieken (% subcategorieën behaald), effectiviteitsstatistieken (gerealiseerde resultaten), leidende indicatoren (voortgang richting doelen) en achterblijvende indicatoren (werkelijke resultaten). Inclusief databronnen en verzamelmethoden."

2. Functiespecifieke KPI's:

   "Definieer KPI's voor het meten van NIST CSF-effectiviteit. Voorbeelden: GOVERN (genomen risicobeheersingsbesluiten, nalevingspercentage beleid), IDENTIFY (% activa geïnventariseerd, risicobeoordelingen voltooid), PROTECT (% systemen gehard, voltooiing training), DETECT (gemiddelde tijd tot detectie, fout-positie percentage), RESPOND (gemiddelde tijd tot indamming, nauwkeurigheid escalatie), RECOVER (gemiddelde tijd tot herstel, behalen van RTO/RPO)."

3. Dashboardontwerp:

   "Ontwerp een executive dashboard voor de voortgang van de NIST CSF-implementatie. Inclusief: algemene implementatiestatus (Huidig vs. Doelprofiel), gezondheid per functie (rood/geel/groen), belangrijkste statistieken per functie, trend in risicohouding, recente incidenten en herstel, komende mijlpalen. Formatteer voor driemaandelijkse rapportage aan de directie."

Volgende stappen

U hebt nu uitgebreide begeleiding gekregen voor de implementatie van de functies:

• ✓ Begrip van alle zes functies en hun doelen

• ✓ GOVERN-implementatie voor de basis van uw cybersecurity-governance

• ✓ IDENTIFY-implementatie voor inzicht in activa en risico's

• ✓ PROTECT-implementatie voor het inzetten van waarborgen

• ✓ DETECT-implementatie voor continue monitoring

• ✓ RESPOND-implementatie voor incidentbeheer

• ✓ RECOVER-implementatie voor operationeel herstel

• ✓ Meetraamwerken voor het bijhouden van succes

Ga door met het optimaliseren van uw NIST CSF-implementatie:

• Hoe u NIST CSF-organisatieprofielen maakt met behulp van AI – Werk profielen bij terwijl u implementeert

• Hoe u NIST CSF 2.0 mapt aan andere raamwerken met behulp van AI – Integreer met andere compliance-inspanningen

• Hoe u compliance-risicobeoordelingen uitvoert met ISMS Copilot – Voortdurend risicomanagement

Hulp krijgen

• Implementatievoorbeelden: Bekijk de officiële implementatievoorbeelden van NIST voor elke subcategorie

• Quick Start Guides: Bekijk per functie de Quick Start Guides van NIST

• Informatieve referenties: Blader door de control mappings om specifieke technologieën en praktijken voor elke subcategorie te vinden

• Communityprofielen: Bekijk sectorspecifieke profielen die de prioriteiten per functie voor uw branche tonen

• Vraag het aan ISMS Copilot: Gebruik uw workspace voor functiespecifieke implementatievragen en aanbevelingen voor controls

• Verifieer de begeleiding: Vergelijk AI-gegenereerde implementatieplannen altijd met officiële NIST-bronnen