Negen documenten, elk gekoppeld aan de Cbw.
Elk document in het dossier is opgesteld op basis van de tien zorgplichtmaatregelen zoals het NCSC die uitwerkt, met een directe verwijzing naar het artikel uit de Cyberbeveiligingswet dat erbij hoort. Het dossier is geen certificering en geen vervanging daarvan: het is een onderbouwde en vastgelegde afweging, passend bij de omvang en het risicoprofiel van je bedrijf, bedoeld om aan je opdrachtgever te overleggen.
Het document dat je als eerste naar je opdrachtgever stuurt. Eén pagina, met daarop wat je bedrijf doet, welke maatregelen genomen zijn en waar het bewijs daarvan naar verwezen kan worden. Dit is de samenvatting van de acht onderliggende documenten, geschreven om zonder toelichting door te sturen. Dit document is altijd gratis in te zien, ook zonder te betalen.
Het informatiebeveiligingsbeleid dat je directie vaststelt: doel, verantwoordelijkheden en hoe vaak het beleid herzien wordt. De basis waar de overige documenten op voortbouwen, en meestal het eerste dat een opdrachtgever leest na de leveranciersverklaring.
Een risicoanalyse en maatregelenregister, gewogen naar de situatie van jouw bedrijf op basis van je intake: welke risico's spelen er, en welke maatregelen daar tegenover staan. Per risico staat de kans, de mogelijke impact en de bijbehorende maatregel naast elkaar, zodat een opdrachtgever in één oogopslag ziet dat de afweging gemaakt is.
Een incident- en meldprocedure: wie doet wat bij een beveiligingsincident, en binnen welke termijn. Dit is precies het soort document dat opdrachtgevers vragen als ze willen weten hoe snel ze een melding van jou krijgen, en hoe voorspelbaar dat proces is.
Continuïteits- en back-upbeleid: hersteldoelen, hoe vaak er een back-up gemaakt wordt en hoe die getest wordt. Beschrijft ook hoe lang het bedrijf zonder IT kan functioneren, zodat een opdrachtgever kan inschatten wat uitval bij jou voor hem betekent.
Toegang, authenticatie en versleuteling: hoe accounts en rechten worden toegekend, hoe tweestapsverificatie is ingericht, wat er versleuteld is, en hoe toegang wordt ingetrokken bij vertrek van een medewerker. Eén van de meest gevraagde documenten, omdat accountovername de meest gebruikte ingang voor een aanval blijft.
Leveranciersbeheer: de eisen die jij aan je eigen leveranciers stelt. Opdrachtgevers vragen steeds vaker door op de partijen achter jouw partijen, en dit document laat zien dat je daar zelf ook naar kijkt, niet alleen naar je eigen organisatie.
Een bewustzijnsverklaring en instructie, jaarlijks te herhalen en per medewerker te ondertekenen, over phishing, wachtwoordgebruik en het melden van verdachte situaties. Ondertekend per medewerker, zodat aantoonbaar is dat de instructie niet alleen bestaat maar ook gevolgd is.
Een plan van aanpak voor de komende twaalf maanden: de openstaande punten uit je intake, met prioriteit, zodat je opdrachtgever ook ziet wat je nog gaat oppakken en niet alleen wat al op orde is. Een dossier dat alleen laat zien wat al goed gaat, roept sneller vragen op dan een dossier dat ook de openstaande punten benoemt.