NIST SP 800-88

Vraagt een aanbesteding om wissen "conform NIST 800-88", dan wordt een Amerikaanse richtlijn bedoeld die wereldwijd als maatstaf geldt voor het saneren van gegevensdragers. Ze onderscheidt drie niveaus – Clear, Purge en Destroy – en eist dat elke sanering wordt gecontroleerd en gedocumenteerd. Dit woordenlijstitem legt de opbouw, de herziening van 2025 en de betekenis van de richtlijn voor uitgefaseerde IT in Duitsland uit.

Wat regelt NIST SP 800-88?

NIST is een Amerikaanse federale instantie die technische normen en richtlijnen publiceert. De reeks "Special Publication 800" (SP 800) gaat over informatiebeveiliging. Nummer 88 behandelt de vraag hoe informatie zo van gegevensdragers wordt verwijderd dat ze niet meer te herstellen is. Vakmensen spreken van Data Sanitization, dus het saneren van gegevensdragers.

Voor Amerikaanse federale instanties is de richtlijn verplicht. Voor bedrijven in Duitsland is ze vrijwillig. Toch wordt ze hier vaak geëist, omdat ze duidelijk beschrijft welk beschermingsniveau een methode bereikt. Veel wisprogramma's en controlerapporten verwijzen daarom naar NIST SP 800-88.

Revisie 1 en revisie 2: wat is er veranderd?

De eerste versie verscheen in 2006. Lange tijd was revisie 1 uit 2014 maatgevend. Ze bevatte uitgebreide tabellen over welke methode voor welke gegevensdrager geschikt is – van harde schijf tot smartphone.

In september 2025 publiceerde NIST revisie 2 en trok revisie 1 in. De belangrijkste wijzigingen:

• Een programma in plaats van een receptenboek: De nieuwe versie beschrijft hoe een organisatie een saneringsprogramma opzet – met verantwoordelijkheden, beslissingen, controle en documentatie.
• Techniek uitgeplaatst: De gedetailleerde methoden per type gegevensdrager staan niet meer in de richtlijn. Voor Clear en Purge verwijst NIST naar actuele normen zoals IEEE 2883.
• Cryptografisch wissen blijft: De enige methode die nog rechtstreeks wordt behandeld is Crypto Erase omdat ze bij allerlei versleutelde gegevensdragers voorkomt.
• Vertrouwen in fabrikantfuncties: De richtlijn gaat meer in op hoe u controleert of de ingebouwde wiscommando's van een schijf correct werken.

Noemen contracten "NIST 800-88" zonder revisie, dan loont het om na te vragen welke bedoeld is. Oudere documenten bedoelen meestal revisie 1.

Clear, Purge, Destroy: de drie niveaus

De kern van de richtlijn bestaat uit drie categorieën. Ze beschrijven tegen welk type aanval een sanering beschermt.

Stap	Beschermingsdoel	Typische methoden	Gegevensdrager daarna bruikbaar?
Clear	Bescherming tegen eenvoudig herstel met gangbare programma's	Overschrijven van alle adresseerbare gebieden, terugzetten naar fabrieksinstellingen	Ja
Purge	Herstel is zelfs met laboratoriummethoden volgens de stand van de techniek niet mogelijk	Sanitize-commando's (Block Erase, Overwrite), Crypto Erase, ontmagnetiseren bij magnetische media	Ja, behalve na ontmagnetiseren
Destroy	Zoals Purge, bovendien wordt de gegevensdrager vernietigd	Shredden, desintegreren, pulveriseren, verbranden	Nee

De niveaus zijn geen rangorde van "goed, beter, best". Een correct uitgevoerde Purge beschermt even goed als Destroy, maar behoudt het apparaat. Economisch en ecologisch maakt dat een groot verschil: een gewiste laptop kan worden doorverkocht, een geshredderde niet. Ontmagnetiseren valt weliswaar onder Purge, maar maakt moderne harde schijven onbruikbaar.

Voor wie is NIST SP 800-88 relevant?

• IT-leiding en informatiebeveiliging: De niveaus helpen om per gegevensklasse te bepalen of een apparaat wordt gewist of vernietigd.
• Gegevensbescherming: Het gedocumenteerde bewijs per gegevensdrager ondersteunt de verantwoordingsplicht uit hoofde van de AVG.
• Inkoop: Aanbestedingen voor de uitfasering van IT noemen de richtlijn vaak als eis aan dienstverleners.
• Internationale concerns: Wie vestigingen in de VS heeft, heeft vaak eenduidige voorschriften nodig die naar NIST verwijzen.

Zo past u NIST SP 800-88 toe

Een vereenvoudigd voorbeeld: een bedrijf faseert 300 laptops, 20 servers en 40 smartphones uit en wil werken volgens NIST SP 800-88.

1. Beschermingsbehoefte vaststellen: Welke gegevens stonden op de apparaten? Personeels- en klantgegevens betekenen een hoge beschermingsbehoefte.
2. Niveau kiezen: De apparaten verlaten het bedrijf en worden doorverkocht. Gekozen wordt voor Purge, voor defecte gegevensdragers voor Destroy.
3. Methode per apparaattype bepalen: Voor HDD's, SSD's en smartphones zijn verschillende methoden nodig. Een wisprogramma kiest per schijf de passende.
4. Controleren: Na elke wisbewerking wordt gecontroleerd of de sanering is geslaagd (Wisverificatie).
5. Documenteren: Per gegevensdrager ontstaat een bewijs met fabrikant, model, serienummer, methode, tool, resultaat, datum en verantwoordelijke persoon. Revisie 1 bevatte hiervoor al een model ("Certificate of Sanitization").
6. Uitzonderingen afhandelen: Gegevensdragers waarbij het wissen mislukt, gaan naar vernietiging – eveneens met bewijs.

Hoe HDD's en SSD's in de praktijk verschillen, leest u in onze gids Harde schijven en ssd's veilig wissen.

Afbakening ten opzichte van vergelijkbare normen

Regelgeving	Herkomst	Zwaartepunt
NIST SP 800-88	VS, NIST	Saneringsprogramma, niveaus Clear/Purge/Destroy, bewijs
IEEE 2883	Internationaal, IEEE	Technische methoden per opslagtechnologie en interface
DoD 5220.22-M	VS, ministerie van Defensie	Historische overschrijfmethode met meerdere doorgangen
DIN 66399	Duitsland, DIN	Fysieke vernietiging, beschermingsklassen en beveiligingsniveaus
BSI TL-03420	Duitsland, BSI	Wissen en vernietigen van te beschermen informatie, vooral gerubriceerde informatie

de DoD 5220.22-M wordt vaak geassocieerd met "veilig" meervoudig overschrijven. NIST stelde al in 2014 vast dat bij moderne harde schijven één overschrijfdoorgang met een vast patroon doorgaans volstaat. Voor overheidsinstanties in Duitsland is bovendien de BSI-richtlijn TL-03420 van belang.

NIST SP 800-88 bij Second IT

Second IT wist HDD's, SSD's en mobiele apparaten softwarematig met Blancco en is Blancco ITAD Gold Partner. De wismethoden voldoen aan internationale normen zoals DoD 5220.22-M en NIST. Ook verborgen gebieden zoals HPA en DCO en omgeleide sectoren worden meegenomen. Voor elk apparaat is er een digitaal ondertekend wiscertificaat met serienummer – precies het bewijs dat de richtlijn eist.

Gegevensdragers die zich niet laten wissen, worden in eigen huis vernietigd volgens DIN 66399, gecertificeerd voor beveiligingsniveau H-5 en met vernietigingscertificaat. De status van alle apparaten ziet u in het klantenportaal. Meer over gecertificeerde gegevensvernietiging. Waar u bij de keuze van een dienstverlener op moet letten, toont de checklist Een ITAD-aanbieder kiezen.

Veelgestelde vragen over NIST SP 800-88

Is NIST SP 800-88 verplicht in Duitsland?

Nee. De richtlijn is alleen bindend voor Amerikaanse federale instanties. In Duitsland is ze een vrijwillige, maar wijdverbreide maatstaf. Ze kan verplicht worden als een contract of aanbesteding haar uitdrukkelijk eist.

Wat is het verschil tussen Clear en Purge?

Clear beschermt tegen eenvoudig herstel met gangbare programma's, bijvoorbeeld door alle adresseerbare gebieden te overschrijven. Purge beschermt ook tegen laboratoriummethoden volgens de stand van de techniek. Daarvoor zijn methoden nodig die alle opslaggebieden bereiken, bijvoorbeeld Sanitize-commando's of Crypto Erase.

Geldt revisie 1 nog?

NIST trok revisie 1 in bij het verschijnen van revisie 2 in september 2025. Veel contracten en wisrapporten verwijzen echter nog naar revisie 1. Stel bij twijfel vast welke versie bedoeld is en welk beschermingsniveau u verwacht.

Volstaat eenmalig overschrijven volgens NIST?

Bij klassieke harde schijven achtte NIST één doorgang met een vast patroon al in 2014 doorgaans voldoende. Bij SSD's bereikt overschrijven daarentegen niet alle geheugencellen. Daar zijn Sanitize-commando's of Crypto Erase gebruikelijk. In elk geval is de controle van het resultaat doorslaggevend.

Wat moet een wisbewijs volgens NIST bevatten?

Gebruikelijk zijn gegevens over fabrikant, model en serienummer van de gegevensdrager, over methode en tool, over het controleresultaat, over de datum en over de verantwoordelijke persoon. Zo is elke sanering ondubbelzinnig aan een apparaat toe te wijzen.