CISO-due-diligencedossier: ISO 27001-bewijsmateriaal voor 2026

Het is 08:17 op maandagochtend. Maria, de CISO van een snelgroeiende fintech-SaaS-aanbieder, opent een e-mail van de CEO: “Verzoek van toezichthouder. Uiterlijk vrijdag bewijsmateriaal nodig dat we het leveranciersrisico vóór de uitval hebben geëscaleerd, dat het bestuur het restrisico begreep en dat ons besluit over incidentmelding is gedocumenteerd.”

Zes weken eerder had een kritieke cloudserviceprovider (CSP) te maken met regionale degradatie. Er zijn geen klantgelden verloren gegaan. Er is geen data-exfiltratie van persoonsgegevens bevestigd. Maar klanten verloren urenlang toegang tot dashboards, supporttickets namen sterk toe en één zakelijke klant wil nu bewijs dat het bedrijf heeft voldaan aan NIS2, DORA en de beveiligingsverplichtingen van GDPR Article 32.

Maria weet dat het team verantwoord heeft gehandeld. Het waarschuwde het management voor concentratierisico. Het registreerde een uitzondering toen het testen van de back-upregio vertraging opliep. Het classificeerde de gebeurtenis, raadpleegde juridisch advies, informeerde klanten en opende corrigerende maatregelen. Maar de vraag in 2026 is niet langer alleen of de beveiligingsfunctie verantwoord heeft gehandeld.

De vraag is of de CISO met getimestamped bewijsmateriaal kan aantonen dat risico’s zijn geïdentificeerd, gecommuniceerd, gevolgd, door de juiste eigenaar zijn geaccepteerd en daadwerkelijk zijn opgevolgd.

Dat bewijs is het CISO-due-diligencedossier.

Voor CISO’s, compliancemanagers, auditors en bedrijfseigenaren is het due-diligencedossier geen privéarchief voor papierwerk. Het is de operationele bewijslaag die ISO/IEC 27001:2022, managementverantwoordingsplicht onder NIS2, DORA-governance en ICT-risicobeheer, en beveiliging van de verwerking onder GDPR Article 32 samenbrengt in één coherent verhaal. Goed ingericht laat het zien dat de beveiligingsverantwoordelijke helder advies heeft gegeven, dat het management geïnformeerde besluiten heeft genomen en dat de beheersmaatregelen van de organisatie niet alleen zijn verklaard, maar ook zijn uitgevoerd, beoordeeld en verbeterd.

Waarom CISO-due diligence in 2026 belangrijk is

Het regelgevingslandschap is verschoven van beleidsverklaringen naar aantoonbare verantwoordingsplicht. Vage zekerheden zijn niet langer voldoende. Toezichthouders, besturen, klanten en verzekeraars vragen steeds vaker om governance-bewijsmateriaal.

NIS2 legt expliciete verantwoordelijkheid bij bestuursorganen. Article 20 vereist dat bestuursorganen van essentiële en belangrijke entiteiten maatregelen voor cyberbeveiligingsrisicobeheer goedkeuren, toezicht houden op de uitvoering ervan en cyberbeveiligingstraining volgen. Article 21 verwacht vervolgens passende en evenredige technische, operationele en organisatorische maatregelen, waaronder risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, beveiliging van de toeleveringsketen, veilige ontwikkeling, beoordeling van de doeltreffendheid, cyberbeveiligingshygiëne, training, cryptografie, toegangscontrole, beheer van bedrijfsmiddelen en authenticatie.

Voor financiële entiteiten binnen het toepassingsgebied legt DORA de lat verder omhoog. Article 5 maakt het bestuursorgaan eindverantwoordelijk voor ICT-risicobeheer. Article 6 vereist een solide, alomvattend en goed gedocumenteerd ICT-risicobeheerkader. DORA vereist ook incidentclassificatie en -rapportage, testen van digitale operationele weerbaarheid, interne audit voor niet-micro-ondernemingen, opvolging van herstelmaatregelen en ICT-governance voor derde partijen. DORA is van toepassing vanaf 17 januari 2025 en geldt voor financiële entiteiten binnen het toepassingsgebied als de sectorspecifieke Unierechtelijke handeling voor overlappende verplichtingen inzake NIS2-risicobeheer en -rapportage.

GDPR voegt een afzonderlijke maar verbonden verantwoordingslens toe. Article 5(2) vereist dat verwerkingsverantwoordelijken verantwoordelijk zijn voor en kunnen aantonen dat zij voldoen aan de beginselen voor gegevensbescherming. Article 32 vereist passende technische en organisatorische maatregelen om een beveiligingsniveau te waarborgen dat passend is voor het risico. Voor SaaS-, fintech- en managedserviceorganisaties die EU-persoonsgegevens verwerken, betekent dit dat het bewijsmateriaal moet aantonen hoe risico’s voor vertrouwelijkheid, integriteit, beschikbaarheid en weerbaarheid zijn beoordeeld en behandeld.

De persoonlijke zorg van CISO’s is begrijpelijk. Als managementverantwoordingsplicht, toezicht door toezichthouders, klant-due diligence en blootstelling aan gerechtelijke procedures samenkomen na uitval of een inbreuk, volstaat een risicoregister alleen niet. De CISO heeft een gestructureerd bewijsmateriaaldossier nodig dat professioneel oordeel, tijdige escalaties, duidelijke aanbevelingen, afwijkende standpunten waar nodig, geaccepteerde risico’s en assurance over beheersmaatregelen laat zien.

Het due-diligencedossier is geen schaduw-ISMS

Een veelgemaakte auditfout is het CISO-due-diligencedossier te behandelen als een privéarchief dat losstaat van het ISMS. Dat creëert twee risico’s. Ten eerste wordt bewijsmateriaal inconsistent. Ten tweede kan het lijken alsof de CISO op de hoogte was van risico’s maar deze niet in de governance heeft geïntegreerd.

De aanpak van Clarysec is anders. Het CISO-due-diligencedossier is een samengestelde weergave van ISMS-bewijsmateriaal dat relevant is voor managementverantwoordingsplicht. Het vervangt niet het risicoregister, de Verklaring van Toepasselijkheid, het incidentregister, het leveranciersregister, auditrapporten of notulen van directiebeoordelingen. Het indexeert deze, koppelt ze en maakt ze verdedigbaar.

De Zenith Blueprint: 30-stappenroadmap voor auditors biedt de praktische basis. In de fase ISMS Foundation and Leadership benadrukt stap 4 dat de ISMS-manager of beveiligingsfunctionaris de implementatie, audits en bewustwording coördineert en “rechtstreeks toegang moet hebben tot het topmanagement om kwesties te escaleren.” Ook wordt opgemerkt dat risico-eigenaren moeten worden aangewezen voor belangrijke risico’s en dat de organisatie moet definiëren wie risicobehandelingsbesluiten formeel goedkeurt.

Dat is het eerste beginsel van CISO-due diligence: de beveiligingsverantwoordelijke adviseert en escaleert, maar risico-eigenaarschap en risicoacceptatie moeten expliciet zijn.

In de fase Risicobeheer maakt stap 13 van Zenith Blueprint dit operationeel:

Besluiten over risicobehandeling en de SoA moeten door het topmanagement worden beoordeeld en goedgekeurd. Dit gebeurt vaak in een vergadering of ten minste via formele goedkeuring. Zorg ervoor dat het management wordt geïnformeerd over:

✓ De belangrijkste risico’s en voorgestelde behandelingen, ✓ Eventuele risico’s waarvan u adviseert deze te accepteren (die moeten formeel worden geaccepteerd), ✓ De lijst van beheersmaatregelen die u wilt implementeren (SoA-highlights). De goedkeuring van het management toont aan dat de organisatie zich bewust is van de benodigde acties en zich daaraan committeert (dit vormt ook gedocumenteerd bewijsmateriaal voor de audit).

Voor een CISO is die richtlijn niet alleen voorbereiding op een ISO-audit. Het is de architectuur voor due diligence. Als een hoog risico wordt geaccepteerd, uitgesteld of ondergefinancierd, moet het dossier het risico, de aanbeveling, het zakelijke besluit, de goedkeurende rol, de verwijzing naar de risicobereidheid en de beoordelingsdatum tonen.

ISO 27001:2022 is de bewijsmateriaal-engine

ISO 27001 is meer dan een certificeringsdoel. Het is een operationeel model voor governance, risicobehandeling, assurance en voortdurende verbetering. Clausule 0.1 stelt dat een ISMS bedoeld is om te worden geïntegreerd in de processen en de algemene managementstructuur van de organisatie. Die integratie maakt van routinematig beveiligingswerk een betrouwbare engine voor het genereren van besluitwaardig bewijsmateriaal.

De kernclausules van ISO 27001:2022 die het CISO-due-diligencedossier voeden zijn:

• Clausules 4.1 tot en met 4.2, context en belanghebbenden, waarin wettelijke, regelgevende, contractuele en stakeholderverplichtingen worden gedocumenteerd.
• Clausule 4.3, ISMS-toepassingsgebied, waarin de betrokken diensten, locaties, systemen en grenzen worden gedefinieerd.
• Clausule 5.1, leiderschap en betrokkenheid, die vereist dat het topmanagement het ISMS ondersteunt en ervoor zorgt dat het de beoogde resultaten bereikt.
• Clausule 5.3, organisatorische rollen, verantwoordelijkheden en bevoegdheden, die duidelijk risico-eigenaarschap en escalatiepaden ondersteunt.
• Clausules 6.1.2 en 6.1.3, informatiebeveiligingsrisicobeoordeling en risicobehandeling, die consistente risicocriteria, goedkeuring door risico-eigenaren, behandelplannen, acceptatie van restrisico en de Verklaring van Toepasselijkheid vereisen.
• Clausule 8.1, operationele planning en beheersing, die vereist dat de organisatie de processen plant, implementeert en beheerst die nodig zijn om aan ISMS-vereisten te voldoen.
• Clausules 9.2 en 9.3, interne audit en directiebeoordeling, die onafhankelijk assurance-bewijsmateriaal en bewijsmateriaal voor toezicht door de leiding genereren.
• Clausule 10.1, voortdurende verbetering, en clausule 10.2, afwijkingen en corrigerende maatregelen, die opvolging aantonen.

Deze systematische aanpak zorgt ervoor dat het bewijsmateriaal dat Maria’s CEO nodig heeft niet in paniek hoeft te worden gecreëerd. Het bestaat al, mits het ISMS is ontworpen om besluitwaardige registraties te produceren en te bewaren.

Wat hoort thuis in een CISO-due-diligencedossier

Een goed due-diligencedossier beantwoordt zeven vragen die een auditor, toezichthouder, bestuurslid of klant na een verstoring kan stellen:

1. Wat wist de CISO?
2. Wanneer wist de CISO dat?
3. Welk advies is gegeven?
4. Wie was eigenaar van het risico?
5. Wat heeft het management goedgekeurd, afgewezen, uitgesteld of geaccepteerd?
6. Hoe zijn beheersmaatregelen getest of gemonitord?
7. Wat is gewijzigd na incidenten, audits, leverancierswaarschuwingen of uitzonderingen?

De volgende structuur werkt voor SaaS-aanbieders, fintechbedrijven, managedserviceproviders, managed security service providers, exploitanten van digitale infrastructuur en technologieleveranciers die gereguleerde klanten ondersteunen.

Dit dossier is met name belangrijk voor NIS2-sectoren zoals cloudcomputingdiensten, datacenters, content delivery networks, managedserviceproviders, managed security service providers, aanbieders van openbare communicatiediensten en bepaalde entiteiten voor financiële infrastructuur. Het toepassingsgebied van NIS2 hangt af van sector, entiteitstype en omvang, waarbij lidstaten verplicht zijn lijsten van essentiële en belangrijke entiteiten op te stellen. Ook organisaties buiten het directe toepassingsgebied kunnen te maken krijgen met contractuele doorlegverplichtingen van klanten die wel binnen het toepassingsgebied vallen.

Voor DORA moet het dossier onderscheiden of de organisatie de gereguleerde financiële entiteit is, een ICT-dienstverlener van een derde partij, of beide in verschillende relaties. Financiële entiteiten moeten governance, ICT-risicobeheer, incidentrapportage, weerbaarheidstests en beheersmaatregelen voor derdepartijrisico’s onderhouden. ICT-aanbieders zullen steeds vaker worden gevraagd bewijsmateriaal, auditrechten, ondersteuning bij incidenten, testen en exitplanning te ondersteunen.

De Clarysec-beleidsbasis voor verdedigbare registraties

Het due-diligencedossier staat of valt met de kwaliteit van registraties. Clarysec-beleid is geschreven om die registratietrail tot normale bedrijfspraktijk te maken, niet tot een noodrespons op een brief van een toezichthouder.

Voor mkb-organisaties bepaalt [P02S] Beleid voor governancerollen en -verantwoordelijkheden - mkb in clausule 5.5:

Alle significante beveiligingsbesluiten, uitzonderingen en escalaties moeten worden geregistreerd en traceerbaar zijn.

Voor ondernemingen bepaalt [P02] Beleid voor governancerollen en -verantwoordelijkheden in clausule 6.5:

Alle escalaties moeten worden gelogd en gevolgd, met bewijsmateriaal van oplossing of formele acceptatie.

Samen definiëren deze clausules de bewijsstandaard. Een wezenlijke kwetsbaarheid, leveranciersafhankelijkheid, vertraging in een beheersmaatregel of herhaalde uitzondering mag niet alleen in chatberichten of in het geheugen bestaan. Deze moet worden geregistreerd, toegewezen, gevolgd en gesloten via oplossing of formele acceptatie.

Risicoacceptatie vereist dezelfde discipline. [P06S] Beleid voor risicobeheer - mkb vereist in clausule 5.1.2:

Elke risicoregistratie moet bevatten: beschrijving, waarschijnlijkheid, impact, score, eigenaar en behandelplan.

Hetzelfde mkb-beleid voegt in clausule 7.2.1 toe:

Elk besluit om behandeling van een hoog of middelhoog risico te accepteren of uit te stellen moet in het risicoregister worden gedocumenteerd. Deze documentatie moet bevatten:

Voor grotere organisaties bepaalt [P06] Beleid voor risicobeheer in clausule 6.3.4:

Risico’s die zonder behandeling worden geaccepteerd, moeten schriftelijk worden gerechtvaardigd, gekoppeld zijn aan de risicobereidheid van de organisatie en op het passende niveau worden goedgekeurd.

In een NIS2- of DORA-context is dit relevant omdat van bestuursorganen wordt verwacht dat zij cyberbeveiligings- en ICT-risicobesluiten goedkeuren, er toezicht op houden en deze begrijpen. In een context van GDPR Article 32 helpt dit aantonen dat beveiligingsmaatregelen zijn geselecteerd, uitgesteld of aangepast via een gedocumenteerd risicogebaseerd proces.

Incidentbewijsmateriaal moet even gestructureerd zijn. [P30S] Incidentresponsbeleid - mkb vereist:

Alle incidentonderzoeken, bevindingen en corrigerende maatregelen moeten worden vastgelegd in een incidentregister dat wordt bijgehouden door de algemeen directeur.

[P30] Incidentresponsbeleid vereist:

Alle incidenten moeten worden vastgelegd in het Security Incident Management System (SIMS), waaronder:

Deze clausules ondersteunen gefaseerde rapportage onder NIS2 en DORA-governance voor ICT-incidenten. NIS2 vereist een vroegtijdige waarschuwing binnen 24 uur voor significante incidenten, een kennisgeving binnen 72 uur en een eindrapport binnen één maand na de incidentmelding. DORA vereist formeel ICT-incidentbeheer, classificatie naar ernst en criticaliteit van de getroffen dienst, escalatie naar hoger management, bewustzijn bij het bestuursorgaan, klantcommunicatie waar vereist en gefaseerde rapportage voor majeure ICT-gerelateerde incidenten.

Auditbewijsmateriaal heeft ook integriteit nodig. [P33S] Beleid voor audit en toezicht op compliance - mkb bepaalt:

Metadata (bijv. wie deze heeft verzameld, wanneer en uit welk systeem) moeten worden gedocumenteerd.

[P33] Beleid voor audit en toezicht op compliance bepaalt:

Alle auditactiviteiten moeten worden gedocumenteerd en bewaard in de ISMS-repository.

Tot slot biedt [P01] Informatiebeveiligingsbeleid een praktische plaats voor rapportage aan de leiding. Clausule 4.2.4 bepaalt:

Rapporteert ISMS-status, incidenten, auditresultaten en metrieken aan topmanagement.

Die clausule ondersteunt het due-diligencebeginsel dat incidentstatus, metrieken, auditresultaten en onopgeloste risico’s het topmanagement moeten bereiken in een vorm die toezicht ondersteunt.

Zenith Controls als cross-compliancekompas

Clarysec’s Zenith Controls: de cross-compliancegids helpt CISO’s om beheersmaatregelen uit ISO/IEC 27002:2022 te koppelen aan bredere complianceverwachtingen. Het is geen afzonderlijk beheersmaatregelenkader. Het is Clarysec’s cross-compliancegids om te begrijpen hoe ISO/IEC 27001:2022 Annex A en ISO/IEC 27002:2022-beheersmaatregelen andere verplichtingen, audits en verzoeken om bewijsmateriaal ondersteunen.

Voor het CISO-due-diligencedossier staan drie beheersmaatregelgebieden centraal.

ISO/IEC 27002:2022 beheersmaatregel 5.4, managementverantwoordelijkheden, is een preventieve governancebeheersmaatregel ter ondersteuning van vertrouwelijkheid, integriteit en beschikbaarheid. Zenith Controls plaatst deze in het concept Identify, met governance als operationele capaciteit en governance plus ecosysteem als beveiligingsdomeinen. De praktische boodschap is duidelijk: managementverantwoordingsplicht is niet symbolisch. Zij vereist toegewezen rollen, middelen, beleidsleiderschap, toezicht en opvolging.

Zenith Controls koppelt 5.4 rechtstreeks aan 5.2 rollen en verantwoordelijkheden voor informatiebeveiliging, 5.1 beleid voor informatiebeveiliging, 5.35 onafhankelijke beoordeling van informatiebeveiliging, 5.36 naleving van beleid, regels en normen voor informatiebeveiliging, en 5.8 informatiebeveiliging in projectmanagement. Een due-diligencedossier dat escalaties bevat maar geen bewijsmateriaal voor roltoewijzing, beleidsgoedkeuring, onafhankelijke beoordeling of projectintegratie, zal onvolledig lijken.

Beheersmaatregel 5.35, onafhankelijke beoordeling van informatiebeveiliging, is eveneens centraal. Zenith Controls beschrijft deze als preventief en corrigerend, gekoppeld aan assurance over informatiebeveiliging. De maatregel sluit aan op 5.36 monitoring van compliance, 5.4 managementverantwoordelijkheden, 5.27 leren van informatiebeveiligingsincidenten, 5.33 bescherming van registraties, en technisch bewijsmateriaal zoals 8.15 logging en 8.16 monitoringactiviteiten. In due-diligencetermen bewijst onafhankelijke beoordeling dat het management niet uitsluitend vertrouwde op zelfattestatie door het beveiligingsteam.

Beheersmaatregel 5.36, naleving van beleid, regels en normen voor informatiebeveiliging, vormt de handhavingslaag. Zenith Controls koppelt deze aan beleid, disciplinaire processen, onafhankelijke beoordeling, rollen, beoordeling van gebeurtenissen, logging, monitoring, bescherming van registraties en contact met gespecialiseerde belangengroepen. Voor een CISO betekent dit dat het dossier niet alleen moet aantonen dat een beleid bestaat. Het moet ook toezicht op naleving, rapportage over niet-naleving en corrigerende maatregelen aantonen.

Cross-compliancemapping: één bewijsmateriaaldossier, meerdere invalshoeken

Het meest efficiënte due-diligencedossier koppelt hetzelfde bewijsmateriaal aan meerdere verplichtingen. Dit voorkomt dubbele complianceprogramma’s en verkleint het risico op tegenstrijdige narratieven.

NIST CSF 2.0 is nuttig omdat het een gemeenschappelijke taal biedt voor governance, risico’s in de toeleveringsketen, operationele weerbaarheid, incidentbeheer en herstel. De GOVERN-functie omvat de organisatorische context, wettelijke en regelgevende verplichtingen, risicobereidheid, rollen, beleid en toezicht. De methode met CSF-profielen ondersteunt beoordeling van de huidige situatie, definitie van de doeltoestand, gap-analyse en geprioriteerde actieplanning. Dit sluit natuurlijk aan bij de Clarysec-due-diligenceaanpak: bepaal de reikwijdte van het dossier, verzamel bewijsmateriaal, koppel verplichtingen, identificeer hiaten, implementeer acties en werk continu bij.

Een praktisch pakket voor risico-escalatie

Neem een SaaS-aanbieder waarvan de authenticatiedienst afhankelijk is van één cloudidentiteitsprovider. De CISO identificeert een risico met hoge impact voor beschikbaarheid en toegangscontrole: als de identiteitsprovider een majeure uitval heeft, kunnen klanten niet inloggen, kunnen workflows voor geprivilegieerde toegang vertraging oplopen en kan incidentrespons worden belemmerd.

Een verdedigbaar pakket voor risico-escalatie moet uit vijf onderdelen bestaan.

Maak eerst de risicoregistratie aan. Gebruik de eis uit het Beleid voor risicobeheer - mkb dat elke risicoregistratie een beschrijving, waarschijnlijkheid, impact, score, eigenaar en behandelplan bevat. De registratie moet de getroffen bedrijfsmiddelen en diensten identificeren, waaronder het klantportaal, de beheerconsole, supporttools en het noodtoegangsproces. De registratie moet CIA-impact, waarschijnlijkheid, impact, risicoscore, risico-eigenaar, voorgestelde behandeling, restrisico, streefdatum en budget vastleggen.

Koppel vervolgens de behandeling aan de Verklaring van Toepasselijkheid. Relevante beheersmaatregelen kunnen leveranciersbeveiliging, beheer van clouddiensten, identiteits- en toegangsbeheer, geprivilegieerde toegang, monitoring, incidentplanning, gereedheid voor bedrijfscontinuïteit, back-up en logging omvatten. Dit volgt Zenith Blueprint stap 13, waarin besluiten over risicobehandeling en de SoA door het topmanagement worden beoordeeld en goedgekeurd.

Stel daarna het CISO-adviesmemo op. Het memo moet beantwoorden wat er mis kan gaan, welke gereguleerde diensten of klantverplichtingen kunnen worden geraakt, wat de implicaties voor NIS2, DORA en GDPR zijn, welke behandeling wordt aanbevolen, wat de kosten en planning zijn en welk restrisico overblijft als het management uitstelt.

Leg ten vierde het managementbesluit vast. Als het management de behandeling goedkeurt, bewaar dan het ondertekende besluit, de budgetgoedkeuring en het implementatieplan. Als het management uitstelt, vereist het ondernemingsbrede Beleid voor risicobeheer een schriftelijke onderbouwing gekoppeld aan risicobereidheid en goedkeuring op het passende niveau. Het dossier moet de CISO-aanbeveling en het managementbesluit als afzonderlijke artefacten tonen.

Voeg ten vijfde assurance-bewijsmateriaal toe. Neem testresultaten van break-glass-beheerdersaccounts, het communicatieplan voor leveranciersincidenten, contractbeoordeling, SLA-bewijsmateriaal, tests van monitoringwaarschuwingen, notities van tabletop-oefeningen, corrigerende maatregelen en interne-auditbevindingen op. In Zenith Blueprint stap 23 adviseert Clarysec om de capaciteiten voor incidentbeheer te valideren door een recente gebeurtenis te selecteren of een tabletop-oefening uit te voeren, besluiten, rollen en communicatie vast te leggen en te loggen, het plan bij te werken met geleerde lessen en procedures voor het bewaren van forensisch bewijsmateriaal te bevestigen. Dat is precies het bewijsmateriaal dat het dossier moet bewaren.

Incidentbesluiten: aantonen waarom rapportagekeuzes zijn gemaakt

Na een cybergebeurtenis is het meest betwiste punt vaak niet de technische tijdlijn. Het is het rapportagebesluit.

Was het significant onder NIS2? Was het majeur onder DORA? Was het een datalek onder GDPR? Zijn klanten of ontvangers geïnformeerd? Wie heeft besloten? Op basis van welke feiten?

Het CISO-due-diligencedossier moet voor elke wezenlijke gebeurtenis een incidentbesluitregistratie bevatten, ook als het uiteindelijke besluit “niet meldingsplichtig” is. Die registratie moet bevatten:

• Datum en tijdstip van bekendwording.
• Samenvatting van de gebeurtenis en getroffen systemen.
• Initiële ernst en bedrijfsimpact.
• Bekende of vermoedelijke kwaadwillige oorzaak.
• Indicatoren voor grensoverschrijdende impact.
• Beoordeling van persoonsgegevens.
• Impact op klanten of dienstontvangers.
• Analyse van DORA-criteria voor majeure incidenten, indien van toepassing.
• Analyse van NIS2-criteria voor significante incidenten, indien van toepassing.
• Deelnemers vanuit Juridische Zaken, DPO, compliance en management.
• Besluit, onderbouwing en goedkeuring.
• Triggers voor opvolging als feiten veranderen.

NIS2 definieert significante incidenten aan de hand van ernstige operationele verstoring, financieel verlies of aanzienlijke materiële of immateriële schade aan andere personen. DORA vereist dat financiële entiteiten ICT-gerelateerde incidenten en significante cyberdreigingen registreren, incidenten classificeren op basis van criteria zoals getroffen klanten, downtime, geografische spreiding, gegevensverlies, criticaliteit en economische impact, en majeure incidenten escaleren naar het hoger management terwijl het bestuursorgaan wordt geïnformeerd.

Het due-diligencedossier moet zowel de feiten bewaren die bekend waren op het beslismoment als de onderbouwing voor melden of niet melden. Als feiten later wijzigen, moet het dossier de herbeoordeling tonen.

Leverancierswaarschuwingen zijn waar zorgvuldigheid wordt getoetst

Bewijsmateriaal over de toeleveringsketen wordt een van de belangrijkste onderdelen van het CISO-dossier. NIS2 Article 21 vereist beveiliging van de toeleveringsketen en verwacht dat organisaties leveranciersspecifieke kwetsbaarheden, productkwaliteit, cyberbeveiligingspraktijken en procedures voor veilige ontwikkeling in aanmerking nemen. Overwegingen in de richtlijn moedigen maatregelen voor cyberbeveiligingsrisicobeheer aan in contracten met directe leveranciers en dienstverleners.

DORA is prescriptiever voor financiële entiteiten. ICT-risico van derde partijen moet onderdeel zijn van het ICT-risicokader. Organisaties moeten een register van contractuele afspraken bijhouden, precontractuele due diligence uitvoeren, concentratierisico beoordelen, onderaannemingsketens en afhankelijkheden van derde landen overwegen, audit- en toegangsrechten opnemen, ondersteuning bij incidenten definiëren, exitstrategieën testen en beëindigingsrechten onderhouden.

Voor de CISO moeten leverancierswaarschuwingen worden gedocumenteerd voordat de leverancier faalt. Het dossier moet bevatten:

• Inventaris van kritieke leveranciers en mapping van diensten.
• Leveranciersrisicoclassificatie en onderbouwing.
• Beveiligingsvragenlijsten en beoordelingen van bewijsmateriaal.
• Contractuele gap-analyse voor auditrechten, incidentmelding, gegevenslocatie, onderaanneming en exit.
• Beoordeling van concentratierisico.
• Bekende kwetsbaarheden of openbare adviezen die de leverancier raken.
• CISO-aanbevelingen aan Juridische Zaken, inkoop en management.
• Geaccepteerde hiaten en compenserende beheersmaatregelen.
• Bewijsmateriaal van tests van exitstrategieën voor kritieke leveranciers.

Dit sluit nauw aan bij NIST CSF 2.0 GV.SC, dat strategie voor risicobeheer in de toeleveringsketen, leveranciersrollen, prioritering op basis van criticaliteit, contractuele eisen, due diligence, doorlopende monitoring, incidentplanning en activiteiten aan het einde van de relatie omvat.

Hoe auditors en toezichthouders het dossier lezen

Verschillende beoordelaars benaderen hetzelfde bewijsmateriaal vanuit verschillende invalshoeken. Een sterk due-diligencedossier anticipeert op die invalshoeken.

Een ISO 27001-auditor zal nauwlettend kijken naar gedocumenteerde informatie die het proces voor risicobeoordeling en risicobehandeling ondersteunt. Clausules 6.1.2 en 6.1.3 vereisen risicoacceptatiecriteria, consistente beoordelingen, risico-eigenaren, risiconiveaus, prioritering, behandelplannen, vergelijking met de SoA en acceptatie van restrisico. Clausules 8.1 tot en met 8.3 vereisen operationele beheersing, geplande hernieuwde risicobeoordeling of herbeoordeling na significante wijzigingen, en bewaring van resultaten.

Een NIS2-autoriteit of klantbeoordelaar kijkt naar managementverantwoordingsplicht en proportionaliteit. Zij vragen of maatregelen passend waren gezien de risicoblootstelling, omvang, waarschijnlijkheid, ernst, maatschappelijke of economische impact, stand van de techniek en toepasselijke normen.

Een DORA-gerichte beoordelaar kijkt naar governance-traceerbaarheid. Heeft het bestuursorgaan de ICT-risicotolerantie vastgesteld? Heeft het continuïteits- en responsplannen goedgekeurd? Zijn majeure incidenten geëscaleerd? Waren weerbaarheidstests risicogebaseerd en zijn bevindingen geremedieerd? Zijn ICT-contracten met derde partijen en concentratierisico’s beheerd?

Een GDPR-autoriteit richt zich op verantwoordingsplicht en beveiliging van de verwerking. Zij vraagt of persoonsgegevens zijn geclassificeerd, of verwerkingsrollen zijn begrepen, of passende technische en organisatorische maatregelen zijn geïmplementeerd en of besluiten over inbreuken evidence-based waren.

Metrieken die de organisatie en de CISO beschermen

Metrieken zijn geen decoratie. In een due-diligencedossier laten zij zien of de CISO het management voldoende zichtbaarheid heeft gegeven om te handelen.

Nuttige metrieken zijn onder meer:

• Hoge en middelhoog risico’s die zijn geaccepteerd, achterstallig zijn of geen eigenaar hebben.
• Kritieke kwetsbaarheden buiten SLA.
• Uitzonderingen naar ouderdom, bedrijfseenheid en goedkeurende rol.
• Leveranciersrisico’s naar criticaliteit en onopgeloste contracthiaten.
• Gemiddelde tijd voor detectie, respons en herstel van incidenten.
• Beoordelingen van meldingsplicht die binnen de vereiste beslisvensters zijn afgerond.
• Succespercentages van back-up- en hersteltests.
• Voltooiing van toegangsrechtenbeoordelingen en uitzonderingen op geprivilegieerde toegang.
• Interne-auditbevindingen naar ernst en achterstallige corrigerende maatregelen.
• Voltooiing van beveiligingsbewustzijn voor management en medewerkers.

Deze metrieken ondersteunen ISO 27001-rapportage aan de leiding, NIS2-training en toezicht, DORA ICT-risicorapportage en GDPR-verantwoordingsplicht. Ze beschermen ook de CISO door te laten zien of resourcebeperkingen, onopgeloste uitzonderingen of herhaald falen van beheersmaatregelen zichtbaar waren voor het management.

Het due-diligencedossier moet maandelijkse of kwartaalmomentopnamen bewaren. Overschrijf oude dashboards niet zonder bewijsmateriaal te behouden. Als het management een rode metriek zag en behandeling uitstelde, hoort dat besluit in het dossier.

Van auditklare toolkit naar CISO-klaar bewijsmateriaal

In de fase Audit, Review and Improvement beveelt stap 30 van Zenith Blueprint aan een Audit Ready Toolkit samen te stellen:

Breng alle belangrijke ISMS-documenten en -registraties samen in één repository of map. Dit maakt het tijdens de certificeringsaudit eenvoudig om snel terug te vinden wat de auditor vraagt.

De checklist omvat de ISMS-scopeverklaring, beleidsdocumenten, het risicobeoordelingsrapport, risicoregister, risicobehandelingsplan, Verklaring van Toepasselijkheid, inventaris van bedrijfsmiddelen, trainingsregistraties, operationele registraties zoals incidentlogboeken en toegangsaanvragen, interne-auditrapporten, notulen van directiebeoordelingen, corrigerende maatregelen en registraties van complianceverplichtingen.

Het CISO-due-diligencedossier is een gespecialiseerde laag binnen die toolkit. Het moet niet alles dupliceren. Het moet het bewijsmateriaal indexeren dat het meest relevant is voor professioneel oordeel en managementverantwoordingsplicht.

Een praktische mappenstructuur is:

• 00 Leesmij en bewijsindex.
• 01 Rol, bevoegdheid en rapportagelijn.
• 02 Complianceverplichtingen en toepassingsgebied.
• 03 Managementrapportages en advies.
• 04 Risicoacceptaties en uitzonderingen.
• 05 Incidentbesluiten en communicatie.
• 06 Leverancierswaarschuwingen en contractrisico’s.
• 07 Assurance over beheersmaatregelen en onafhankelijke beoordelingen.
• 08 Metrieken en onopgeloste kwesties.
• 09 Directiebeoordeling en CAPA-opvolging.
• 10 Legal hold, integriteit van bewijsmateriaal en metadata.

Elke vermelding moet een eigenaar, datum, bronsysteem, gerelateerde risico-ID, gerelateerde beheersmaatregel, besluitstatus en bewaarplicht hebben. Dit implementeert het Clarysec-beginsel voor bewijsmateriaal uit het Beleid voor audit en toezicht op compliance - mkb: metadata doen ertoe.

Begin vóór het volgende incident

Een CISO-due-diligencedossier is het meest waardevol wanneer het al bestaat vóór de uitval, inbreuk, audit of brief van de toezichthouder. Begin deze week met drie acties.

Maak eerst een CISO-due-diligencebewijsindex en koppel deze aan uw ISO 27001-risicoregister, SoA, incidentregister, leveranciersregister en directiebeoordelingspakket.

Beoordeel vervolgens uw laatste drie hoge of middelhoog risico’s. Bevestig dat elk risico een eigenaar, behandelplan, besluit over restrisico, verwijzing naar risicobereidheid en goedkeuringsbewijsmateriaal heeft. Zo niet, heropen de governanceregistratie.

Voer ten derde een tabletop-oefening van 90 minuten uit rond een leveranciersuitval of een vermoedelijk datalek. Gebruik Zenith Blueprint stap 23 om besluiten, rollen, communicatie en geleerde lessen vast te leggen, en archiveer het bewijsmateriaal daarna in uw sectie voor incidentbesluiten.

Clarysec kan u helpen dit snel operationeel te maken. Onze implementatiemethode in 30 stappen, beleidssuite en Zenith Controls cross-compliancemapping geven u een verdedigbare, auditklare structuur voor ISO 27001-bewijsmateriaal, managementverantwoordingsplicht onder NIS2, DORA-governance en verantwoordingsplicht voor beveiliging onder GDPR Article 32.

Om uw CISO-due-diligencedossier met vertrouwen op te bouwen, begint u met de Zenith Blueprint, stemt u uw governance- en risicoregistraties af op Clarysec-beleid en gebruikt u Zenith Controls als uw cross-compliancekompas.