Wetgeving
De wet geldt al.
De vraag is of u het kunt laten zien.
De Cyberbeveiligingswet is sinds 15 augustus 2026 van kracht en raakt ongeveer achtduizend organisaties in achttien sectoren. De wet kent een zorgplicht, een meldplicht en een registratieplicht en legt de eindverantwoordelijkheid bij het bestuur. Voor uw kantoorautomatisering komt de zorgplicht grotendeels neer op de inrichting van Microsoft 365.
Het knelpunt
Waar organisaties nu tegenaan lopen
De wet is nieuw, de omgeving niet. Het verschil tussen die twee is wat op dit moment moet worden overbrugd.
Zorgplicht is geen beleidsstuk
De zorgplicht vraagt om passende maatregelen tegen risico’s en om beperking van de gevolgen van incidenten. Dat wordt beoordeeld op wat er staat in de omgeving, niet op wat erover is opgeschreven.
De meldplicht kent korte termijnen
Een significant incident moet binnen wettelijke termijnen worden gemeld. Dat lukt alleen als u het incident ook ziet en dat vraagt om vastlegging die vooraf goed staat.
Het bestuur wordt aangesproken
Het bestuur is eindverantwoordelijk voor het beheersen van cyberrisico en moet de maatregelen kunnen beoordelen. Daarvoor is een periodiek beeld nodig dat begrijpelijk is zonder technisch te worden.
De toetsing
Wat wij in uw omgeving vaststellen
Wij toetsen de inrichting van uw Microsoft 365-omgeving aan de maatregelen die onder de zorgplicht op uw omgeving van toepassing zijn en leggen per controle vast wat wij aantreffen.
Toegang
en identiteit
Wie waarbij kan, onder welke voorwaarden en welke accounts en rechten buiten uw beleid vallen. Inclusief de toegang van leveranciers tot uw omgeving.
Bescherming
tegen dreigingen
De inrichting van de beveiligingsonderdelen in uw omgeving en of de functies waarop u rekent ook daadwerkelijk aanstaan en passen bij uw situatie.
Vastlegging
en herleidbaarheid
Welke gebeurtenissen worden vastgelegd en hoe lang ze bewaard blijven. Zonder die vastlegging is een melding binnen de termijn een kwestie van geluk.
Leveranciers
en keten
Welke externe partijen toegang hebben tot uw omgeving, wat zij daar kunnen en of die toegang nog past bij de afspraak die eraan ten grondslag ligt.
Wij lezen de configuratie van uw Microsoft 365-omgeving als code uit. Daarmee komen ook de instellingen in beeld die via de beheerportalen en Microsoft Graph niet zichtbaar zijn.
Voor het toezicht
Wat u moet kunnen laten zien
Toezicht kijkt terug. Een reeks rapportages laat zien dat de maatregelen er niet alleen zijn, maar er ook stonden op het moment dat het ertoe deed.
Een vaste rapportage
Elke maand hetzelfde rapport, in dezelfde opbouw, met per maatregel de stand en de technische onderbouwing eronder. Bruikbaar voor het bestuur en voor het dossier.
Configuratiemonitoring
Wij vergelijken uw omgeving dagelijks met de inrichting die u zelf heeft vastgesteld. Een afwijking wordt daarmee een waarneming met een datum, in plaats van een constatering achteraf.
Evergreen as a Service
Microsoft wijzigt het platform doorlopend. Wij volgen die wijzigingen, vertalen ze naar wat ze voor uw maatregelen betekenen en melden het wanneer er iets van u wordt gevraagd.
De nulmeting
Begin met de stand van vandaag
De nulmeting laat zien hoe uw Microsoft 365-omgeving er nu voor staat, afgezet tegen de zorgplicht uit de Cyberbeveiligingswet.
Voor de nulmeting zijn uitsluitend leesrechten op uw Microsoft 365-omgeving nodig. Wij presenteren de bevindingen in een afsluitende sessie.
Ook voor andere kaders
Dezelfde meting leggen wij langs ISO 27001, BIO2, NEN 7510, DORA, de Cyberbeveiligingswet en het SURFaudit toetsingskader.
Werkt u met meerdere kaders tegelijk, dan meten wij eenmaal en rapporteren wij per kader.