Kan ROOT security of compliance vragenlijsten van onze organisatie invullen?
Ja. Vragenlijsten over informatiebeveiliging en compliance horen bij het werk, zeker bij organisaties die zelf verantwoording moeten afleggen over hun IT-keten.
Zulke uitvragen komen uit verschillende hoeken: van opdrachtgevers die hun leveranciers doorlichten, van toezichthouders, en van verzekeraars. Zo hebben wij eens op verzoek de back-upinrichting van een organisatie beoordeeld, omdat hun verzekeraar bewijs vroeg dat de bescherming tegen ransomware daadwerkelijk goed was ingericht.
- Wat betekenen ISO 27001, NEN 7510 en ISO 9001 voor jou als klant?
"
ROOT is gecertificeerd voor ISO 27001, NEN 7510 en ISO 9001. Samen betekenen die dat informatiebeveiliging, zorgspecifieke eisen en kwaliteit aantoonbaar geregeld zijn, en dat een onafhankelijke partij dat periodiek controleert.
| Norm | Waar het over gaat | Wat je er als klant aan hebt |
|---|
| ISO 27001 | De internationale norm voor informatiebeveiliging. | Beschikbaarheid, integriteit en vertrouwelijkheid van je data en systemen zijn geen goede bedoeling maar een geborgd beleid. |
| NEN 7510 | De Nederlandse norm voor informatiebeveiliging in de zorg. | Werk je met patiëntgegevens, dan kun je aantonen dat je keten hieraan voldoet. |
| ISO 9001 | De norm voor kwaliteitsmanagement. | Afspraken, processen en verbetering zijn vastgelegd en worden getoetst. |
Belangrijk om te begrijpen: ISO 27001 schrijft niet alles tot in de puntjes voor. De norm eist generiek dat je beveiligt volgens de stand van de techniek. Ontwikkelt de techniek zich, dan moet jij mee. Tien tot vijftien jaar terug was tweefactor authenticatie geen thema, nu is het een verplicht nummer. Datzelfde geldt voor wachtwoordeisen, die steeds langer en complexer worden.
Een certificaat op de muur is dus geen eindpunt. Het is de verplichting om te blijven meebewegen, en die verplichting geven we ook door in ons advies aan klanten.
"
- Wat is de DORA-wetgeving, voor wie geldt die, en hoe verhoudt die zich tot NIS2?
"
DORA is een Europese verordening voor de digitale operationele weerbaarheid van financiële entiteiten en is sinds 17 januari 2025 van toepassing. De verordening stelt daarnaast eisen aan de beheersing van risico's bij ICT-dienstverleners. Bepaalde kritieke ICT-derdeaanbieders vallen bovendien onder Europees toezicht.
DORA staat voor Digital Operational Resilience Act. Anders dan een richtlijn hoeft een verordening niet in nationale wetgeving te worden omgezet: hij geldt direct en gelijk in alle EU-lidstaten.
| DORA | NIS2 |
|---|
| Voor wie | Financiële instellingen en hun kritieke IT-leveranciers | Een brede groep sectoren, waaronder zorg, energie, productie en IT-dienstverleners |
| Juridische vorm | Verordening, direct van kracht | Richtlijn, omgezet in nationale wetgeving |
| In Nederland | Van toepassing sinds 17 januari 2025 | Via de Cyberbeveiligingswet |
DORA stelt eisen aan onder andere ICT-risicobeheer, het classificeren en melden van incidenten, het testen van je weerbaarheid en het toezicht op derde partijen. Dat laatste punt is de reden dat de verordening ook bij leveranciers terechtkomt: een financiële instelling moet kunnen aantonen dat zij grip heeft op haar IT-keten.
"
- Kan ROOT security of compliance vragenlijsten van onze organisatie invullen?
"
Ja. Vragenlijsten over informatiebeveiliging en compliance horen bij het werk, zeker bij organisaties die zelf verantwoording moeten afleggen over hun IT-keten.
Zulke uitvragen komen uit verschillende hoeken: van opdrachtgevers die hun leveranciers doorlichten, van toezichthouders, en van verzekeraars. Zo hebben wij eens op verzoek de back-upinrichting van een organisatie beoordeeld, omdat hun verzekeraar bewijs vroeg dat de bescherming tegen ransomware daadwerkelijk goed was ingericht.
"
