Alles achter Workblock

Wie is je organisatie. Sector, omvang, kerntaken, doelgroepen. In het blok "Wat geldt voor jou" zie je per norm of wet het advies met de reden, en stel je je werkpakket vast: de bundel frameworks waarmee je verder werkt. Hier kies je ook of Workblock het werk samenstelt uit je frameworks of dat je zelf per werkbundel (prism) selecteert.

Het canvas voor het werkpakket uit Run 1; je begint hier direct met scoren. Drie tabs, gelijk aan de drie criteria van de run: Scoring (per control 0-5 met onderbouwing), Risico's (lage scores worden voorgesteld als risico, plus handmatig register), Bewijs (templates invullen, documenten uploaden, connectors en domeinscan ophalen). Wat je hier doet staat meteen in de registers onder Gereedschap.

Stel beleidsdocumenten en procedures op vanuit framework-templates, laat ze goedkeuren en rol ze uit. Het register Beleid onder Gereedschap toont wat er staat en wat nog ontbreekt.

Plan de audit-cyclus, voer tests uit, registreer findings met severity en eigenaar. De 2e of 3e lijn doet dit, niet de uitvoerende laag.

Genereer de Statement of Applicability, check coverage-gaps per framework en vul de laatste gaps op. Kritieke voorwaarden moeten geregeld of bewust geaccepteerd zijn. Exporteer het audit-package als ZIP.

Compliance is geen eindstation, het is een ritme. Een PDCA-loop met review-cycli per beleidsstuk, risico en framework. De cadans volgt het BIV-niveau.

Een afgebakend deel-bereik met een framework-bundel. Bijvoorbeeld ISO27001 plus NIS2 voor je IT-team, AVG voor HR. Een org kan meerdere werkpakketten hebben.

Dat kies je in Run 1, in het blok "Waar wil je eerst grip op". Bij "Workblock stelt het werk samen uit je frameworks" houdt een dichtheids-toets alleen de werkbundels (prisms) over die genoeg raakvlak met je frameworks hebben. Bij "Ik bepaal zelf welke werkbundels meedoen" krijg je de volledige lijst met het advies als aanbeveling, en vink je per werkbundel aan of uit.

In de handmatige modus sluit je een aanbevolen werkbundel (prism) uit (met motivatie) of voeg je er juist een toe die buiten je frameworks valt. Al gestart werk blijft altijd in je werkvoorraad staan, ook als je die werkbundel daarna uitsluit.

Alleen orgadmins. Andere gebruikers zien de scope en de werkpakketten maar kunnen niet wijzigen. Bij een scope-wijziging volgt een run-impact-melding.

Het systeem detecteert orphan-records (risico's, bewijs of findings die aan de verwijderde frameworks hingen) en waarschuwt je voor de actie.

Sleep een werkblok-kaart tussen de kolommen (To-do, In behandeling, In review, Klaar). De run-progress en het journey-event updaten automatisch.

Vanuit Normen, Prisms of de ISMS-checklist voeg je werkblokken toe. De verantwoordelijke rol wordt voorgesteld op basis van de doelrol van het werkblok.

Een werkblok heeft pre- en post-voorwaarden met een severity. Kritieke post-voorwaarden moeten op geregeld of bewust-geaccepteerd staan voordat het werkblok naar Klaar kan. De auditor wil dit zien als bewijs dat de actie effectief is uitgevoerd.

Per werkbundel (prism) zie je welke frameworks hij raakt. PRISM-AUTHENTICATIE bijvoorbeeld raakt ISO27001, NIS2, AVG, NEN7510, SOC2 en meer in één keer.

Verken via de pagina Prisms gefilterd op domein. Of via je actieve werkpakketten: alleen werkbundels die jouw frameworks raken en de dichtheids-toets doorstaan, zijn voor jou relevant.

Op Run 1 (Scope) geef je op welke domeinen het platform mag scannen. De scan draait wekelijks automatisch en on-demand vanuit de Bewijs-tab, met een rate-limit per org.

Op /scan kan iedereen een domein anoniem laten scannen en een rapport per e-mail opvragen. Dat pad staat los van je org-gebonden bewijs en slaat niets aan je scope.

De belangrijkste EU- en NL-kaders zijn opgenomen met hun volledige artikel-structuur: EU AI Act, AVG, NIS2, DORA, NIST CSF 2.0 en de Cyberbeveiligingswet. Samen honderden artikelen met duizenden citations die aan werkblokken en stappen hangen.

Als een wetsartikel op de bron-website (EUR-Lex en dergelijke) wordt geactualiseerd, wordt elke gekoppelde citation als stale gemarkeerd. De Juridische-zaken-rol krijgt een notificatie plus auto-toewijzing.

De Juridische-zaken-rol heeft een werkqueue op /wetgeving met stale en zelf-toegewezen citations. De orgadmin kan een default-eigenaar instellen voor auto-toewijzing.

Run 1 (Scope) toont een samenvatting. Het risico-formulier vult de impact-score voor uit het asset-niveau. De Bewijs-tab toont een cadans-melding (kritiek per kwartaal, hoog halfjaarlijks). De audit-export bevat een BIV-register.

Voor je top-assets: kritieke systemen, processen en data-objecten. Niet voor alles. Alleen waar de zwaarste maatregelen relevant zijn.

Elk teamlid krijgt op /mensen één of meer functionele rollen. Werkblokken matchen op die rollen, zodat iedereen op de werk-queue zijn eigen werk kan filteren. De Rollen-tab toont een dekking-grid met amber markering waar een rol nog geen drager heeft.

Op /mensen onder Autorisaties wijs je per werkbundel (prism) per gebruiker Owner, Editor of Viewer toe via de O/E/V-knoppen. Bulk-toewijzen kan voor een hele batch tegelijk.

Eén persoon namens de organisatie. Beheert de scope, werkpakketten, frameworks en de default-eigenaar voor wetgeving. Andere gebruikers zien de content maar kunnen niet wijzigen.

Wanneer Run 5 (Audit-klaar) op groen staat. Het systeem rekent het coverage-percentage uit en toont het aantal kritieke gaps. Zodra het audit-package compleet is, plan je de externe auditor in.

Executive summary, controls-detail per control, de bewijs-bestanden, gap-analyse, timeline, audit-trail en het BIV-register. Plus een SHA-256 integriteits-hash.

Op Run 6 (Onderhoud) genereer je de cycli vanuit je data: op basis van je beleid, het risico-register en de actieve frameworks. De cyclus-lengte is per item aanpasbaar.

Naast de geplande cycli triggeren ook tussentijdse gebeurtenissen een her-review: incidenten, audit-findings en organisatie-wijzigingen. Documenteer de aanpassing in de audit-trail.

Je werkpakket bevat geen frameworks die werkblokken naar die run sturen, of je selectie van werkbundels is versmald. Zet in Run 1 in het blok "Wat geldt voor jou" extra normen of wetten aan, of pas je curatie aan.

Run 1-2 (Scope, Self-assessment) zijn het fundament en moeten in volgorde afgerond worden. Daarna openen alle vrije-fase runs parallel.

Ja, alle runs zijn altijd klikbaar voor inzage. Alleen wijzigingen blijven voorbehouden aan de orgadmin-rol.

De run-kanban toont de werkblokken van die specifieke run. De werk-queue (/werkqueue) toont alle werkblokken cross-run als één kanban, handig om verspreid werk samen te zien.