Normenkaders
Het kader verschilt.
De omgeving is dezelfde.
Of u nu wordt beoordeeld op ISO 27001, BIO2, NEN 7510, DORA, de Cyberbeveiligingswet of het SURFaudit toetsingskader, de vraag komt op hetzelfde neer: staat uw Microsoft 365-omgeving zoals u zegt dat hij staat en kunt u dat laten zien.
Het overzicht
Waar wij aan toetsen
Per kader hebben wij uitgewerkt waar het in de praktijk op vastloopt en wat wij in uw omgeving vaststellen.
ISO 27001
Het managementsysteem is gecertificeerd, de omgeving verandert ondertussen door. De audit vraagt om bewijs over het hele jaar, niet om een schermafdruk uit de week ervoor.
BIO2
Sinds 5 maart 2026 het basisnormenkader voor alle overheidslagen, aangescherpt op de Cyberbeveiligingswet. De verantwoording leunt op wat beheerders opgeven, niet op wat er technisch aanstaat.
NEN 7510
Patiëntgegevens lopen grotendeels via Microsoft 365. De norm toetst uw managementsysteem, niet uw configuratie en in dat verschil zit het risico.
DORA
Sinds 17 januari 2025 van toepassing op financiële entiteiten. Het bestuur is aanspreekbaar en de toezichthouder vraagt om onderbouwing, niet om een intentie.
Cyberbeveiligingswet
Sinds 15 augustus 2026 van kracht voor ongeveer achtduizend organisaties in achttien sectoren, met een zorgplicht, een meldplicht en een registratieplicht.
SURFaudit toetsingskader
Het toetsingskader waarmee instellingen in onderwijs en onderzoek hun informatiebeveiliging verantwoorden. Dezelfde vraag als elders: is de maatregel er ook echt en kunt u dat over de tijd laten zien.
Uw eigen kader
Kaders komen erbij en worden herzien. Wij ontwikkelen ze een voor een uit en volgen doorlopend welke nieuwe kaders onze klanten raken. Werkt u met een eigen kader of met de eisen van een opdrachtgever, leg het ons voor, dan kijken wij wat ervoor nodig is.
Wat ze gemeen hebben
Aantoonbaarheid, niet aanwezigheid
Elk kader vraagt uiteindelijk hetzelfde: laat zien dat de maatregel er was toen het ertoe deed. Dat vraagt om een reeks waarnemingen, niet om een momentopname.
Vaststellen
Wij toetsen uw omgeving aan het kader en leggen per controle vast wat wij aantreffen, met de onderbouwing erbij.
Bijhouden
Dagelijkse configuratiemonitoring tegen de inrichting die u zelf heeft vastgesteld, zodat afwijkingen een datum krijgen.
Aantonen
Elke maand een rapportage in dezelfde opbouw, die samen de reeks vormt waar een auditor of toezichthouder om vraagt.