ISO 27001, audits, beleid en processen
ISO/IEC 27017 is de internationale norm voor informatiebeveiliging bij cloudservices. De norm breidt ISO 27002 uit met cloudspecifieke controls en verdeelt expliciet de verantwoordelijkheden tussen de cloudleverancier (CSP) en de cloudafnemer (CSC). Belangrijk om te weten: de versie die de meeste Nederlandse pagina’s nog beschrijven bestaat niet meer. ISO/IEC 27017:2015 is op 27 juli 2026
Bijna elk ISMS begint in Excel. Een tabblad met de risicoanalyse, een tabblad met de Verklaring van Toepasselijkheid, een map met beleidsdocumenten ernaast. Dat is geen slordigheid. Het is de logische eerste stap, en voor een deel van de organisaties is het de goede stap. De vraag is niet of Excel kan. De vraag is
Een ISO 27001 audit is een onafhankelijke toetsing of je informatiebeveiligingsmanagementsysteem voldoet aan de eisen van de norm. De certificeringsaudit verloopt in twee fases: fase 1 is een documentbeoordeling, fase 2 is de inhoudelijke toets waarin wordt gecontroleerd of het systeem in de praktijk werkt. Daarnaast is een eigen interne audit verplicht voordat de certificerende
Een ISO 27001-certificering kost een mkb-organisatie tot vijftig medewerkers in het eerste jaar realistisch €30.000 tot €80.000, inclusief eigen uren. De externe auditkosten zijn daarvan slechts €8.000 tot €12.500. Dat verschil is de kern van dit artikel. Vrijwel elk kostenoverzicht dat je vindt noemt alleen de factuur van de certificerende instelling. Dat is het kleinste
De Verklaring van Toepasselijkheid, internationaal bekend als Statement of Applicability (SoA), is het document waar elke ISO 27001 audit begint en eindigt. Het is de brug tussen je risicoanalyse en de 93 beheersmaatregelen uit Annex A. Toch zie ik in de praktijk dat organisaties dit document behandelen als een invuloefening: alle controls op “van toepassing”
Kort antwoord: ja, als je zorgorganisatie onder NIS2 valt, moet je aan beide voldoen, maar wie NEN 7510 al aantoonbaar heeft geïmplementeerd, dekt daarmee circa 80% van de NIS2-verplichtingen af. NEN 7510 is een norm voor informatiebeveiliging in de zorg; NIS2 is Europese wetgeving met eigen verplichtingen die deels buiten NEN 7510 vallen, zoals de
Governance, Risk en Compliance hoeft geen complex traject te zijn. Met de nieuwe GRC Kompas tools-pagina heeft u vier gratis, gestructureerde scanners direct bij de hand — van fraudedetectie tot scope-bepaling. Dit artikel legt uit wat elke tool doet, voor wie hij bedoeld is en hoe u er het meeste uithaalt. Waarom één centrale tools-pagina?
Bij een datalek waarbij persoonsgegevens betrokken zijn, heb je als verwerkingsverantwoordelijke of verwerker 72 uur om te melden bij de Autoriteit Persoonsgegevens (AP) — tenzij het onwaarschijnlijk is dat er risico is voor betrokkenen. Als de systemen in kwestie ook vallen onder NIS2 of de Cyberbeveiligingswet, geldt daarbovenop een afzonderlijke meldplicht bij het CSIRT binnen
NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de gezondheidszorg — verplicht voor zorginstellingen en hun IT-leveranciers die patiëntdata verwerken. De norm is gebaseerd op ISO 27001 maar specifiek toegespitst op de unieke eisen van de zorgsector: de gevoeligheid van medische data, de beschikbaarheidseisen van kritieke systemen, en de wettelijke verplichtingen onder de Wet
Responsible disclosure — ook wel Coordinated Vulnerability Disclosure (CVD) — is het proces waarbij een beveiligingsonderzoeker een ontdekte kwetsbaarheid vertrouwelijk meldt aan de eigenaar van het systeem, die daarna een afgesproken termijn krijgt om het probleem op te lossen voordat het openbaar wordt gemaakt. Het NCSC raadt alle organisaties die digitale diensten leveren aan om
Patch management is het systematisch identificeren, testen en uitrollen van software-updates om beveiligingslekken te dichten en systemen stabiel te houden. Onder artikel 21 van de NIS2-richtlijn (EU 2022/2555) is aantoonbaar kwetsbaarheidsbeheer — inclusief een gedocumenteerd patchproces — een expliciete verplichting voor organisaties en hun IT-dienstverleners. Voor MSPs betekent dit: niet alleen patchen, maar bewijzen dat
ISO 42001 is de eerste internationale standaard voor een Artificial Intelligence Management System (AIMS): een raamwerk van beleid, processen en controls waarmee een organisatie AI-systemen verantwoord inzet en beheert. De norm is gepubliceerd in december 2023 door de International Organization for Standardization (ISO) en is de erkende manier om te voldoen aan de governancevereisten van
Kernpunten Data beschermen is geen optie meer — het is een wettelijke verplichting. De AVG verplicht organisaties al jaren tot aantoonbaar privacybeheer. Met de komst van de NIS2-richtlijn komen daar aanvullende eisen bij voor informatiebeveiliging en gegevensbescherming, specifiek voor organisaties in kritieke sectoren en digitale dienstverleners. Hoe toon je aan dat je organisatie serieus
ISO/IEC 27001 is de internationale norm voor een Information Security Management System (ISMS): een raamwerk van beleid, processen en controls waarmee een organisatie informatiebeveiliging systematisch beheert en aantoonbaar maakt. Voor MSPs is de norm om twee redenen direct relevant: als bewijs van eigen beveiligingsvolwassenheid richting klanten, en als kader om klanten te adviseren over hun
OSINT staat voor Open Source Intelligence: het verzamelen en analyseren van informatie uit openbaar beschikbare bronnen. Denk aan websites, sociale media, domeinregistraties, certificaatregisters en gelekte databases — alles wat zonder inloggen of hacking toegankelijk is. Voor cybersecurityprofessionals is OSINT een essentieel instrument: het geeft inzicht in wat een aanvaller over een doelwit kan vinden, zonder
Cybersecurity bedrijven in Nederland zijn actief op drie gebieden die voor MSPs relevant zijn: pentesting en offensieve security, managed security (SOC en MDR), en NIS2-compliance advies. Dit overzicht vergelijkt de bekendste aanbieders specifiek op MSP-relevantie — niet op advertentiebudget of reviewaantal. Als MSP heb je andere behoeften dan een bank of gemeente. Je zoekt een
NIS2 verplicht organisaties en hun IT-leveranciers tot aantoonbare monitoring van netwerk- en informatiesystemen. Dat staat expliciet in artikel 21 van de NIS2-richtlijn (EU 2022/2555), niet als aanbeveling, maar als verplichting. De grootste technische impact zit niet in preventieve maatregelen zoals firewalls of antivirus. Die heb je al. De impact zit in de 24-uurs meldplicht: je
In het digitale tijdperk waarin we leven, is informatiebeveiliging essentieel voor elk bedrijf. Het verkrijgen van ISO 27001-certificering kan de sleutel zijn tot het beschermen van waardevolle data en het opbouwen van klantvertrouwen. Maar hoe begin je aan dit proces? Geen zorgen! In deze ultieme checklist leiden we je stap voor stap door de vereisten
