Maatregelen nemen is het halve werk; de wet vraagt ook te controleren dat ze werken. Het verschil klinkt subtiel en is het niet: een back-up bestaat, of een back-up is dit jaar teruggezet en bleek te werken. Alleen dat tweede telt bij een audit.
Wat is het verschil tussen een maatregel hebben en toetsen?
Een voorbeeld per onderwerp: MFA staat aan, of er is gecontroleerd dat er geen accounts meer zonder MFA bestaan. Toegang wordt ingetrokken bij uitdiensttreding, of de accountlijst is dit jaar naast de personeelslijst gelegd. De toets is steeds de vraag: hoe weet ik dat dit vandaag nog klopt?
Een jaarlijkse ronde langs uw maatregelen, met per maatregel wat u controleerde en wat eruit kwam, is voor de meeste toeleveranciers een passende invulling. Leg het vast in een kort verslag; dat verslag ís het bewijs.
Heb ik een externe audit of certificering nodig?
Niet per se. Een ISO 27001-certificaat beantwoordt veel klantvragen in één keer, maar het is een fors traject en de wet eist het niet. Een gedegen interne review, of een externe toets zonder certificeringstraject, telt ook, zolang er een rapport ligt dat u kunt laten zien.
De afweging is commercieel: leveren aan partijen die om certificering vragen in aanbestedingen, dan verdient ISO 27001 zich terug. Voor de meeste MKB-toeleveranciers is aantoonbaar toetsen zonder certificaat voorlopig genoeg.
Waarom moet de directie erbij betrokken zijn?
Omdat de wet dat uitdrukkelijk zo regelt: bestuurders van organisaties onder de wet zijn persoonlijk aansprakelijk voor de zorgplicht, en die houding sijpelt door in wat klanten van hun leveranciers verwachten. Cybersecurity minstens twee keer per jaar op de directieagenda, met genotuleerde besluiten, is de eenvoudigste manier om betrokkenheid aantoonbaar te maken.
Het notuleren is daarbij niet het bureaucratische deel maar het bewijs: een auditor die vraagt "bespreekt de directie dit?" wil geen ja horen maar iets zien.
Weten wat er verder nog getoetst moet worden? Bekijk de tien zorgplichtmaatregelen of begin met de gratis scan.