Sinds 1 juli 2026 zijn STIX en TAXII 2.1 verplicht voor de overheid volgens het principe ‘Pas toe of leg uit’. Daarmee worden deze standaarden onderdeel van de verplichte open standaarden die overheidsorganisaties moeten toepassen bij het verstrekken en/of verkrijgen van informatie over cyberdreigingen tegen netwerk- en informatiesystemen.
Dat klinkt technisch. Toch raakt deze wijziging aan een veel bredere opgave: het structureel versterken van digitale weerbaarheid.
Wat zijn STIX en TAXII?
STIX en TAXII zijn standaarden voor het delen van cyberdreigingsinformatie.
STIX zorgt ervoor dat informatie over cyberdreigingen, kwetsbaarheden, indicatoren en aanvalspatronen op een gestructureerde manier kan worden beschreven.
TAXII maakt het mogelijk om die informatie geautomatiseerd en actueel uit te wisselen tussen organisaties en systemen.
Samen zorgen deze standaarden ervoor dat dreigingsinformatie niet alleen als losse tekst, rapport of e-mail wordt gedeeld, maar machineleesbaar, herbruikbaar en sneller toepasbaar wordt.
Dat is belangrijk, want bij cyberdreigingen telt snelheid. Hoe sneller organisaties betrouwbare dreigingsinformatie kunnen ontvangen, verwerken en vertalen naar maatregelen, hoe beter zij hun digitale voorzieningen kunnen beschermen.
Waarom is versie 2.1 nu verplicht?
Forum Standaardisatie meldt dat het Overheidsbrede Beleidsoverleg Digitale Overheid heeft ingestemd met het opnemen van STIX en TAXII 2.1 op de ‘Pas toe of leg uit’-lijst.
De overstap naar versie 2.1 is relevant omdat deze versie internationaal breed wordt gebruikt en beter aansluit op de huidige praktijk van dreigingsdetectie en informatie-uitwisseling. Oudere versies worden steeds minder ondersteund door leveranciers en sluiten minder goed aan op moderne beveiligingsprocessen.
Met de verplichting wordt duidelijker welke standaard overheidsorganisaties moeten gebruiken wanneer zij cyberdreigingsinformatie verstrekken of verkrijgen.
Meer dan een technische standaard
De verplichting van STIX en TAXII 2.1 gaat niet alleen over techniek. Het gaat ook over governance.
Want om deze standaarden goed toe te passen, moeten organisaties weten:
- Welke systemen verwerken cyberdreigingsinformatie?
- Welke leveranciers, SOC’s, CERT’s of ketenpartners zijn betrokken?
- Waar wordt dreigingsinformatie ontvangen, gedeeld of opgeslagen?
- Welke afspraken zijn vastgelegd in contracten, SLA’s en verwerkersafspraken?
- Welke technische voorzieningen ondersteunen STIX en TAXII 2.1?
- En hoe wordt aantoonbaar gemaakt dat de standaard is toegepast of waarom daarvan wordt afgeweken?
Juist die aantoonbaarheid is essentieel binnen ‘Pas toe of leg uit’. Het is niet voldoende om de standaard ergens technisch te noemen. Organisaties moeten kunnen laten zien waar de standaard van toepassing is, hoe deze is geborgd en welke keuzes zijn gemaakt.
Wat betekent dit voor publieke organisaties?
Voor publieke organisaties is dit een goed moment om STIX en TAXII 2.1 mee te nemen in de bredere compliance- en securityaanpak.
Dat begint met overzicht.
Breng in kaart welke digitale voorzieningen, koppelingen en leveranciers betrokken zijn bij het ontvangen of delen van cyberdreigingsinformatie. Leg vast wie eigenaar is, welke normenkaders van toepassing zijn en welke technische eisen gelden.
Daarna kan worden bepaald of STIX en TAXII 2.1 daadwerkelijk worden toegepast. Is dat nog niet het geval, dan moet duidelijk zijn welke acties nodig zijn. Is toepassing niet mogelijk of niet passend, dan vraagt het ‘Pas toe of leg uit’-principe om een onderbouwde uitleg.
Van verplichting naar beheersing
De opname van STIX en TAXII 2.1 op de ‘Pas toe of leg uit’-lijst past in een bredere ontwikkeling.
Digitale weerbaarheid wordt steeds minder vrijblijvend. Met ontwikkelingen zoals NIS2, BIO2, ITGC, DigiD-assessments en verplichte open standaarden neemt de druk toe om aantoonbaar in control te zijn.
Dat vraagt om meer dan losse controles of Excel-overzichten. Organisaties hebben een manier nodig om digitale voorzieningen, normenkaders, risico’s, maatregelen en bewijsvoering structureel met elkaar te verbinden.
Hoe Cilde helpt
Cilde helpt publieke organisaties om grip te krijgen op hun digitale portefeuille en de bijbehorende complianceverplichtingen.
Met de Cilde-methodiek en het KEA-platform kunnen organisaties vastleggen welke digitale voorzieningen er zijn, welke normen en standaarden van toepassing zijn, wie eigenaar is en welke maatregelen of afwijkingen zijn geregistreerd.
Zo wordt een verplichting als STIX en TAXII 2.1 geen losse technische actie, maar onderdeel van een bredere aanpak voor digitale weerbaarheid, informatiebeveiliging en aantoonbare compliance.
Want uiteindelijk gaat het niet alleen om het toepassen van een standaard.
Het gaat om de vraag of je als organisatie weet waar je kwetsbaar bent, welke informatie je nodig hebt om daarop te reageren en hoe je kunt aantonen dat je de juiste maatregelen hebt genomen.
Conclusie
De verplichting van STIX en TAXII 2.1 onder ‘Pas toe of leg uit’ is een belangrijke stap richting betere en snellere uitwisseling van cyberdreigingsinformatie binnen de overheid.
Voor publieke organisaties is dit hét moment om te controleren of deze standaard al goed is geborgd in beleid, techniek, contracten en beheerprocessen.
Niet als losse complianceverplichting, maar als onderdeel van structurele digitale weerbaarheid.
Bron: Forum Standaardisatie.
