Een security baseline is een minimumset van beveiligingsmaatregelen die een organisatie verplicht toepast op alle systemen, netwerken en processen. Het is het vertrekpunt voor cybersecurity: de ondergrens waaronder geen enkel systeem mag zakken. Elke organisatie die serieus omgaat met IT-beveiliging heeft zo’n baseline nodig, ongeacht haar omvang of sector. In dit artikel beantwoorden we de meest gestelde vragen over het opstellen, onderhouden en toepassen van een cybersecurity baseline.
Waarom hebben organisaties een security baseline nodig?
Organisaties hebben een security baseline nodig omdat, zonder een vastgesteld minimumniveau van beveiliging, ieder systeem en ieder team zijn eigen aanpak hanteert, wat onvermijdelijk leidt tot blinde vlekken en inconsistente bescherming. Een beveiligingsbaseline zorgt voor een gedeeld fundament waarop alle verdere beveiligingsmaatregelen worden gebouwd.
In de praktijk zien we dat cyberaanvallen maar al te vaak binnenkomen via de zwakste schakel: een server zonder patchbeheer, een account zonder multi-factorauthenticatie, of een afdeling die nooit een bewustwordingstraining heeft gevolgd. Een IT-beveiligingsbaseline sluit die zwakke plekken systematisch af door voor de hele organisatie dezelfde basisvereisten te stellen.
Daarnaast is een security baseline steeds vaker een wettelijke verplichting. Onder de NIS2-richtlijn en de Cyberbeveiligingswet moeten organisaties aantoonbaar passende technische en organisatorische maatregelen nemen. Een gedocumenteerde en geïmplementeerde baseline vormt het bewijs dat een organisatie haar zorgplicht serieus neemt. Voor overheden geldt bovendien de Baseline Informatiebeveiliging Overheid (BIO2) als verplicht normenkader.
Tot slot maakt een baseline het gesprek over cybersecurity behapbaar. In plaats van eindeloze discussies over welke maatregel wel of niet nodig is, biedt de baseline een helder referentiekader voor bestuurders, IT-teams en auditors.
Wat hoort er in een security baseline thuis?
Een security baseline bevat de minimale beveiligingsmaatregelen die voor alle systemen en medewerkers binnen een organisatie gelden, ongeacht het specifieke risicoprofiel van een afdeling of applicatie. Denk aan patchbeheer, toegangsbeheer, encryptie, logging en bewustwording.
Concreet bestaat een volledige cybersecurity baseline doorgaans uit de volgende onderdelen:
- Toegangsbeheer: sterke wachtwoorden, multi-factorauthenticatie en het principe van minimale rechten (least privilege)
- Patchbeheer: tijdig installeren van beveiligingsupdates voor alle systemen en software
- Encryptie: versleuteling van gegevens in transit en in rust, inclusief beleid voor het gebruik van cryptografie
- Logging en monitoring: vastleggen van relevante gebeurtenissen en actief bewaken op afwijkingen
- Netwerksegmentatie: scheiden van systemen zodat een aanvaller niet vrij door het netwerk kan bewegen
- Back-up en herstel: regelmatige, geteste back-ups en een gedocumenteerd herstelproces
- Bewustwording: periodieke training voor medewerkers over phishing, social engineering en veilig gedrag
- Supply chain-beveiliging: inzicht in de beveiligingsmaatregelen van leveranciers en partners
- Incidentrespons: een beschreven proces voor het detecteren, melden en afhandelen van beveiligingsincidenten
Welke specifieke normen en drempelwaarden je hanteert, hangt af van het gekozen referentiekader. Gangbare kaders zijn ISO 27002, de BIO2 voor overheidsorganisaties of het NIST Cybersecurity Framework. Belangrijk is dat de baseline niet alleen technisch van aard is: organisatorische en beleidsmatige maatregelen zijn minstens zo essentieel.
Hoe stel je een security baseline op?
Je stelt een security baseline op door eerst een risicoanalyse uit te voeren, vervolgens een passend normenkader te kiezen, de minimummaatregelen te definiëren en deze te documenteren en te implementeren. Het is een gestructureerd proces dat start vanuit de risico’s van de organisatie, niet vanuit een willekeurige lijst met technische maatregelen.
Stap 1: Breng de context en risico’s in kaart
Inventariseer welke systemen, gegevens en processen kritisch zijn voor de organisatie. Stel vast welke dreigingen realistisch zijn en wat de potentiële impact is van een beveiligingsincident. Deze risicoanalyse vormt de onderbouwing voor de keuzes die je later maakt.
Stap 2: Kies een normenkader als basis
Gebruik een erkend kader als startpunt, zoals ISO 27002, de BIO2 of het NIST Cybersecurity Framework. Zo hoef je niet alles zelf te bedenken en kun je aantonen dat je baseline is gebaseerd op breed geaccepteerde standaarden. Voor organisaties die onder de NIS2 vallen, biedt de mapping van NIS2-maatregelen ten opzichte van ISO 27002 en de BIO een handig overzicht van verplichte, optionele en situationele maatregelen.
Stap 3: Definieer de minimummaatregelen
Vertaal de uitkomsten van je risicoanalyse en het gekozen normenkader naar concrete, meetbare maatregelen. Formuleer ze zo specifiek dat een IT-beheerder precies weet wat er van hem verwacht wordt. Denk aan: “Alle accounts met beheerdersrechten maken gebruik van multi-factorauthenticatie” in plaats van “Toegangsbeveiliging is op orde.”
Stap 4: Documenteer, communiceer en implementeer
Een baseline die alleen op papier bestaat, heeft geen waarde. Zorg voor draagvlak bij bestuurders en IT-teams, leg de baseline vast in beleid, en zet een implementatieplan op. Een penetratietest of vulnerability scan kan helpen om te toetsen of de geïmplementeerde maatregelen daadwerkelijk werken zoals bedoeld.
Wat is het verschil tussen een security baseline en een security policy?
Een security baseline beschrijft de minimale technische en organisatorische maatregelen die een organisatie verplicht implementeert. Een security policy is het overkoepelende beleidsdocument dat de doelstellingen, verantwoordelijkheden en uitgangspunten van de informatiebeveiliging vastlegt. De baseline is dus een concrete uitwerking van de policy.
Vergelijk het met een bouwproject: de security policy is het bestemmingsplan dat bepaalt wat er mag worden gebouwd en waarom. De security baseline is het bouwbesluit dat de minimale technische eisen vastlegt waaraan elk gebouw moet voldoen. Beide zijn nodig, maar ze opereren op een ander abstractieniveau.
In de praktijk betekent dit het volgende onderscheid:
- Security policy: “Wij beschermen de vertrouwelijkheid, integriteit en beschikbaarheid van onze informatiesystemen en houden ons aan geldende wet- en regelgeving.”
- Security baseline: “Alle servers draaien een ondersteunde versie van het besturingssysteem, worden maandelijks gepatcht en loggen authenticatiegebeurtenissen naar een centrale SIEM.”
Een security policy zonder baseline blijft vaag en moeilijk te handhaven. Een baseline zonder policy mist de strategische inbedding en het bestuurlijk mandaat. De twee documenten versterken elkaar en vormen samen de ruggengraat van een volwassen beveiligingsprogramma.
Hoe weet je of je security baseline nog actueel is?
Je weet dat een security baseline actueel is als deze regelmatig wordt getoetst aan nieuwe dreigingen, gewijzigde wet- en regelgeving en veranderingen in de IT-omgeving van de organisatie. Een baseline die twee jaar geleden is opgesteld en sindsdien niet is herzien, is in de meeste gevallen verouderd.
Concrete signalen dat een herziening nodig is:
- Er zijn nieuwe technologieën of systemen in gebruik genomen die niet in de baseline zijn opgenomen
- Er heeft een beveiligingsincident plaatsgevonden dat heeft aangetoond dat de huidige maatregelen ontoereikend zijn
- Wet- en regelgeving is gewijzigd, zoals de inwerkingtreding van de Cyberbeveiligingswet (verwacht in 2026)
- Een externe audit of penetratietest heeft kwetsbaarheden blootgelegd die de baseline niet afdekt
- Het dreigingslandschap is veranderd, bijvoorbeeld door de opkomst van nieuwe aanvalstechnieken
Als goede praktijk geldt: beoordeel de baseline minimaal één keer per jaar formeel, en voer tussentijdse updates door na significante wijzigingen in de organisatie of het dreigingslandschap. Koppel dit beoordelingsmoment bij voorkeur aan de jaarlijkse risicoanalyse, zodat de baseline altijd aansluit op de actuele risico’s. Organisaties die gebruik maken van een virtuele CISO-dienst hebben een vaste sparringpartner die dit proces structureel bewaakt.
Hoe Q-Cyber helpt met het opstellen van een security baseline
Een goede security baseline opstellen klinkt overzichtelijk, maar vraagt in de praktijk om technische kennis, beleidsexpertise en een helder beeld van de risico’s die specifiek voor jouw organisatie gelden. Wij helpen organisaties bij elke stap van dit proces, van risicoanalyse tot implementatie en borging.
Wat wij concreet voor je doen:
- Gap-analyse: we brengen in kaart waar jouw huidige beveiliging afwijkt van een erkend normenkader zoals ISO 27002 of de BIO2
- Beleid op maat: we schrijven een security baseline die aansluit op jouw organisatie, sector en wettelijke verplichtingen, waaronder NIS2
- Technische toetsing: via vulnerability scans en penetratietests valideren we of de geïmplementeerde maatregelen daadwerkelijk werken
- Training en bewustwording: we verzorgen trainingen voor bestuurders en medewerkers zodat de baseline niet alleen op papier bestaat
- Continu beheer: via onze vCISO-dienst bewaken we proactief of jouw baseline actueel blijft en passen we deze aan bij nieuwe dreigingen of regelgeving
Wij werken onafhankelijk, zonder binding aan softwarepartijen, en geven altijd pragmatisch advies dat past bij de realiteit van jouw organisatie. Wil je weten waar jouw baseline nu staat en wat er nodig is om die op het gewenste niveau te brengen? Neem contact met ons op voor een vrijblijvend gesprek.
Gerelateerde artikelen
- Wat onderzoekt een hacker voordat hij een bedrijf probeert binnen te dringen?
- Wat moet je melden bij een cyberincident onder NIS2?
- Cyberverzekering: wat dekt het en wat niet?
- Wat is endpoint security?
- Hoe bereid je jouw bedrijf voor op NIS2?
- Hoe vaak moet je pentesten herhalen?
- Wat is black box pentesten?
- Wat doet een ethical hacker?
- Welke remediation stappen volgen na pentesten?
- Hoe communiceer je pentest resultaten?