Lees onze laatste gedachten over architectuur, ICT-governance, compliance en digitale transformatie.
Het bestuur keurt de maatregelen goed, houdt zelf kennis op peil en moet dat kunnen laten zien. De vier plichten uit artikel 24 van de Cyberbeveiligingswet, met de termijn tot 15 augustus 2028 en het dossier dat je ervoor aanlegt.
Wat hoofdstuk 9.2 eist, wie de interne audit mag doen, welke vragen per hoofdstuk terugkomen en met welk bewijs je ze beantwoordt.
Wat ISO 27001 en de Cyberbeveiligingswet eisen van bewustzijn, waarom deelnemerslijsten geen bewijs zijn en welke vier indicatoren wel laten zien of gedrag verandert.
De AVG geldt voor iedereen die persoonsgegevens verwerkt, de Cyberbeveiligingswet sinds 15 augustus 2026 voor entiteiten in scope en ISO 27001 is nooit wettelijk verplicht. Een beslisregel in vier vragen, plus welke norm het meeste bewijs voor de andere oplevert.
Hoofdstuk 4.1 tot 4.3 van ISO 27001 in de praktijk: hoe context en belanghebbenden je scope opleveren, welke uitsluitingen auditors afkeuren en waarom de Cyberbeveiligingswet je geen keuze laat.
Wat de hoofdstukken 6.1.2, 6.1.3, 8.2 en 8.3 eisen, de tien kolommen van een risicoregister dat een audit doorstaat, en waarom een risico accepteren een besluit is en geen gebrek.
Sector, omvang, essentieel of belangrijk, en de uitzonderingen die alles overrulen. De beslisboom in vier stappen, met de exacte drempels uit de Cyberbeveiligingswet die sinds 15 augustus 2026 geldt.
Essentiële entiteiten riskeren tot 10 miljoen euro of 2 procent van de wereldwijde omzet, belangrijke entiteiten 7 miljoen euro of 1,4 procent. Wat de Cyberbeveiligingswet regelt over de maxima, de handhavingsladder, de toezichthouder per sector en de aparte boete voor bestuursleden.
De auditprijs is het kleinste deel van de rekening. Wat de certificerende instelling rekent, wat de implementatie kost, hoeveel interne uren erin gaan en wat je elk jaar daarna kwijt bent.
