Bewijs
Alles wat we toezeggen heeft een station. Hier zie je per onderdeel hoe ver het is, en wat er nog moet gebeuren.
Beschreven, nog niet ondertekend.
Vastgelegd in de statuten of in een contract.
In de praktijk uitgevoerd. Het verslag staat in het register.
Getoetst door een onafhankelijke partij.
Norm v0.1 · concept
Negen eisen waaraan elk gedekt product voldoet. Kort genoeg om te onthouden, concreet genoeg om te toetsen.
Herstel en uitrol staan stap voor stap beschreven, naast de code.
Het product is terug te zetten op een lege server.
Elk uur een back-up. Elke dag een test of die terug te zetten is.
Toegang ligt in de kluis van de stichting. Openen kan alleen met twee bestuurders samen.
De waarnemer kan een nieuwe versie vrijgeven als de maker uitvalt.
Elke vijf minuten een controle. Storingen komen ook bij de waarnemer binnen.
Gegevens van klanten staan op servers in Europa. De klant kan altijd exporteren. De stichting staat als subverwerker in de verwerkersovereenkomst.
De waarnemer herstelt het product en zet een nieuwe versie live, zonder hulp van de maker. Het verslag is openbaar.
De broncode en de bouwinstructies liggen bij een onafhankelijke bewaarder en worden bij elke nieuwe versie bijgewerkt. De kwartaaloefening gebruikt wat daar ligt. In geval van nood krijgt de klant ze.
Register
Elke overname-oefening krijgt een nummer en een verslag. Dit is de eerste regel.
| Nr | Product | Waarnemer | Datum | Hersteltijd | Bevindingen | Status |
|---|---|---|---|---|---|---|
| OEF-0001 | Eerste product | Wordt benoemd | 1e kwartaal 2027 | Wordt gemeten | Volgen na de oefening | In voorbereiding |
Een verslag verschijnt binnen een week na de oefening. Bevindingen blijven in het register staan tot ze zijn opgelost.
Planning, geen toezegging
Een certificaat komt pas na drie maanden aantoonbaar werken volgens de norm. Dit is de route naar ISO 27001.
De audit doet een instelling met accreditatie van de Raad voor Accreditatie. Welke, maken we bekend zodra de opdracht is gegeven.
Daarnaast bereiden we NIS2 Supply Chain voor, het keurmerk voor leveranciers van organisaties die onder de Cyberbeveiligingswet vallen.
Organisatie