Hoewel de onderstaande vragen betrekking hebben op EU-brede aspecten van het CyberFundamentals Framework, kunnen sommige onderwerpen op nationaal niveau anders worden geïmplementeerd. Raadpleeg de nationale pagina's met veelgestelde vragen voor landspecifieke richtsnoeren.
Het CyberFundamentals Framework definieert drie zekerheidsniveaus:
Elk niveau bouwt voort op het vorige, met toenemende verwachtingen op het gebied van controles, governance en veerkracht.
Daarnaast is er een vragenlijst en richtsnoeren voor niveau ‘small’. Deze hulpmiddelen zijn bedoeld voor micro-organisaties of organisaties met beperkte technische kennis.
De toewijzing van een organisatie aan een specifiek zekerheidsniveau is gebaseerd op de resultaten van een risicobeoordeling. De risicobeoordeling en de vaststelling van het juiste zekerheidsniveau vallen onder de bevoegdheid van de nationale autoriteiten. Meer informatie kan u vinden op de nationale 'over' pagina.
Ja, dit raamwerk bestaat uit een gestructureerd proces in drie stappen, waarbij elke stap essentieel is voor het bereiken en handhaven van robuuste normen voor cyberbeveiliging. Allereerst een risicobeoordeling om het zekerheidsniveau van uw organisatie te bepalen. Ten tweede een Self-Assessment om te beoordelen hoe goed uw organisatie de vereiste cyberbeveiligingsmaatregelen voor het geselecteerde zekerheidsniveau heeft geïmplementeerd. De laatste, optionele stap is het aanvragen van verificatie of certificering door een geaccrediteerde conformiteitsbeoordelingsinstantie.
Deze vereisten vormen een essentiële maatregel voor de cyberbeveiliging die organisaties moeten implementeren als onderdeel van hun zekerheidsniveau.
Het kiezen van het juiste maturiteitsniveau kan in eerste instantie een uitdaging zijn. Daarom hebben we aanvullende richtsnoeren opgesteld om u bij dit proces te ondersteunen. Enerzijds biedt dit document een algemene uitleg van de verschillende maturiteitsniveaus. Anderzijds hebben we voor elke belangrijke maatregel een use case toegevoegd die meer in detail uitlegt welk niveau in welke situatie van toepassing is.
Een update van CyFun® 2023 was nodig om in overeenstemming te blijven met het NIST Cyberbeveiliging Framework (CSF) 2.0 en om rekening te houden met relevante Europese wetgeving, zoals NIS2.
De nieuwe versie van CyFun® werd in de tweede helft van 2025 uitgebracht. Deze versie:
De BELAC-transitieregeling is opgesteld in overleg met de Belgische certificeringsinstantie (NCCA) van het Centrum voor Cybersecurity België (CCB) en houdt rekening met de specifieke toepassing van CyFun® bij het bepalen van het vermoeden van conformiteit met de Belgische NIS2-wetgeving.
Belangrijkste punten uit de transitieregeling:
Meer informatie vindt u hier.
Een mapping vindt u hier.
Het CyFun® 2025 Framework kiest er bewust voor om AI niet als afzonderlijke functie of categorie in het kernmodel op te nemen. Deze aanpak sluit aan bij de methodologie die wordt gebruikt in het NIST Cyberbeveiliging Framework 2.0.
De belangrijkste redenen hiervoor zijn:
1. AI wordt behandeld via aanvullende profielen en overlays
Het CyFun® 2025 Framework maakt het mogelijk om specifieke profielen of sectorgebonden uitbreidingen te ontwikkelen voor domeinen zoals AI. Hierdoor kunnen organisaties die AI-systemen ontwikkelen of gebruiken, gerichte richtsnoeren volgen zonder het kernframework te wijzigen.
2. Voorkomen van duplicatie van bestaande controles
Veel van de beveiligingsmaatregelen die voor AI vereist zijn, worden al gedekt door bestaande CyFun® 2025-controles. Om redundantie te voorkomen, kiest het framework ervoor om AI-gerelateerde risico's te beheren via gevestigde principes zoals risicobeheer, governance en incidentrespons.
3. Use-case-specifieke aanpak
AI brengt unieke risico's met zich mee, afhankelijk van de toepassing (bijv. generatieve AI, machine learning in kritieke infrastructuur). Het CyFun® 2025-kader ondersteunt een evenredige en contextgedreven aanpak, waardoor organisaties kunnen bepalen welke aanvullende waarborgen nodig zijn op basis van hun specifieke gebruik van AI.
4. Toekomstgerichte flexibiliteit
Het kader is ontworpen om mee te evolueren met technologische ontwikkelingen. AI kan in de toekomst verder worden geïntegreerd via nieuwe profielen of nationale richtlijnen, afhankelijk van de behoeften van Belgische organisaties en Belgische en Europese wet- en regelgeving.
OPMERKING
🔹 Wat zijn profielen?
Een profiel is een toepassing van het raamwerk op een specifieke sector, organisatie of technologie. Het helpt de algemene principes van het raamwerk te vertalen naar concrete maatregelen die geschikt zijn voor:
Voorbeeld: een AI-profiel binnen CyFun®® 2025 geeft aan welke bestaande controles relevant zijn voor AI-systemen en welke aanvullende maatregelen nodig zijn voor veilige en verantwoorde AI-toepassingen.
🔹 Wat zijn overlays?
Een overlay is een laag bovenop het raamwerk, die aanvullende richtlijnen of aanpassingen biedt voor een specifieke situatie. Het is beperkter dan een profiel en richt zich vaak op technische of wettelijke vereisten.
Voorbeeld: een overlay voor generatieve AI zou kunnen aangeven hoe bestaande CyFun®® 2025-controles moeten worden aangepast om risico's zoals deepfakes, hallucinogene modellen of auteursrechtkwesties aan te pakken.
Samenvatting:
· Profielen = het toepassen van het raamwerk op een specifieke context.
· Overlays = een extra laag met richtlijnen voor specifieke risico's of technologieën.
Beide zorgen ervoor dat het raamwerk flexibel en uitbreidbaar blijft, zonder dat de kernprincipes voortdurend moeten worden aangepast.
Het CyberFundamentals Framework is oorspronkelijk een Belgisch kader, ontwikkeld door het Centrum voor Cybersecurity België (CCB), maar zo opgezet dat het op Europees niveau kan worden erkend. Een proces dat nu door BELAC in gang is gezet. Op dit moment is CyFun®® alleen in de Belgische wetgeving geregistreerd om, tot het tegendeel is bewezen, te kunnen aannemen dat de entiteit voldoet aan haar NIS2-cyberbeveiligingsverplichtingen (vermoeden van conformiteit). Ondertussen is het kader formeel aangenomen door Malta, Roemenië en Ierland. Hoe het zal worden gebruikt bij de operationele uitrol van NIS2 is daar nog in ontwikkeling. Andere Europese landen erkennen ook de waarde van CyFun® (waaronder Frankrijk) en bekijken hoe ze dit kader kunnen erkennen of zelfs volledig kunnen overnemen.
Het CCB beheert het kader en alle documenten die verband houden met de regeling als primaire eigenaar van de regeling. Dit is vastgelegd in een formele procedure die de uitrol van CyFun® naar andere Europese landen mogelijk maakt.
Het CyFun® Framework is een geregistreerd handelsmerk van het CCB.
Het gebruik van de afkorting “CyFun®” en/of delen van dit document is toegestaan, mits de bron duidelijk wordt vermeld.
Elk comeercieel gebruik van CyFun® is onderworpen aan een voorafgaande overeenkomst met het CCB. Neem contact op met de juridische afdeling van het CCB als u interesse hebt in het hergebruik van het Framework.
Als u het antwoord op uw vraag niet kunt vinden in onze FAQ-sectie, staan wij klaar om u te helpen! Neem gerust contact met ons op via e-mail. Om ervoor te zorgen dat uw vraag bij het juiste team terechtkomt, verzoeken wij u het juiste e-mailadres te gebruiken op basis van uw locatie.
Wij streven ernaar om alle vragen zo snel mogelijk te beantwoorden. Bedankt voor uw geduld en begrip.
