Vandaag goed geregeld is morgen niet automatisch nog goed geregeld.

Nieuwe medewerkers komen binnen.

Systemen worden aangepast.

Leveranciers veranderen hun dienstverlening.

Werkafspraken slijten.

Nieuwe risico’s ontstaan.

En maatregelen waarvan iedereen denkt dat ze werken, zijn soms al maanden niet meer gecontroleerd.

Compliant.nu houdt privacy, informatiebeveiliging en cybersecurity periodiek tegen het licht.

We controleren wat nog klopt, laten gericht testen wat technisch moet worden bewezen en maken zichtbaar waar bijsturing nodig is.

Zodat u niet ieder jaar opnieuw hoeft te beginnen — maar voortbouwt op wat al is geregeld.

Bespreek hoe u grip vasthoudt

ControlerenBeoordelenBijsturenGripVerandering

Geregeld is geen eindstatus

Uw bedrijf verandert. Uw beheersing moet mee veranderen.

Een privacybeleid kan twee jaar geleden prima zijn opgesteld.

Maar gebruiken medewerkers inmiddels nieuwe AI-tools?

Zijn nieuwe leveranciers toegevoegd?

Weten nieuwe medewerkers wat zij moeten doen bij een incident?

Is de herstelprocedure sinds de laatste systeemwijziging opnieuw getest?

Dat zijn geen redenen om telkens alles opnieuw op te bouwen.

Het zijn redenen om periodiek te controleren wat nog werkt, wat verouderd is en waar een gerichte aanpassing nodig is.

Periodiek toetsen over alle drie de pijlers

We toetsen gericht wat door tijd, verandering of risico opnieuw aandacht verdient.

Privacy & AVG

Is wat ooit is afgesproken nog steeds actueel?

We beoordelen periodiek of de privacybeheersing nog aansluit op de werkelijkheid van uw organisatie.

zijn verwerkingen, systemen en leveranciers veranderd;
zijn verantwoordelijkheden nog duidelijk;
zijn relevante afspraken en privacydocumentatie actueel;
worden bewaartermijnen en rechten van betrokkenen praktisch uitgevoerd;
worden datalekken en privacyvragen goed opgevolgd;
zijn nieuwe processen of technologieën tijdig beoordeeld;
is beschikbaar bewijs nog actueel en bruikbaar?

Niet alleen: staat het in een document? Maar: gebeurt het nog zoals bedoeld?

Informatiebeveiliging & medewerkersbewustzijn

Weten uw medewerkers vandaag nog wat van hen wordt verwacht?

Awareness is geen jaarlijkse e-learning die daarna elf maanden wordt vergeten.

Nieuwe medewerkers komen binnen. Mensen krijgen andere verantwoordelijkheden. Incidenten laten nieuw gedrag zien. Werkwijzen veranderen.

controleren of onboarding aandacht geeft aan privacy en veilig werken;
beoordelen of werkafspraken nog begrijpelijk en bruikbaar zijn;
nagaan of medewerkers weten waar zij incidenten melden;
gericht toetsen waar gedrag een reëel risico vormt;
incidenten en bijna-incidenten gebruiken om verbeterpunten te herkennen;
bepalen waar aanvullende instructie, oefening of training nodig is.

Niet iedereen ieder jaar dezelfde training. Wel aandacht waar gedrag daadwerkelijk verschil maakt.

ICT & cybersecurity

Techniek moet niet alleen ingericht zijn. Zij moet blijven werken.

Technische beveiliging verandert voortdurend.

Updates worden uitgevoerd. Accounts wijzigen. Nieuwe applicaties komen erbij. Leveranciers passen infrastructuur aan.

controle van toegangs- en beheerdersrechten;
herstel- en continuïteitstesten;
beoordeling van relevante beveiligingsinstellingen;
opvolging van eerdere technische bevindingen;
kwetsbaarheidsscans;
gerichte onafhankelijke technische audits;
pentesten waar de risico’s of klantvereisten dat rechtvaardigen.

Waar specifieke technische deskundigheid of onafhankelijkheid nodig is, wordt daarvoor een passende specialist ingezet.

Compliant.nu bewaakt vervolgens dat de uitkomsten niet eindigen in een technisch rapport, maar worden vertaald naar eigenaarschap, besluiten en opvolging.

Ook uw ICT-leverancier moet soms worden gecontroleerd

Uitbesteden verandert de verantwoordelijkheid. Het laat haar niet verdwijnen.

Veel middelgrote organisaties hebben hun ICT grotendeels uitbesteed.

Dat kan uitstekend werken.

Maar de organisatie blijft afhankelijk van de keuzes, maatregelen en continuïteit van die leverancier.

welke dienstverlening en verantwoordelijkheden zijn afgesproken;
welke toegangen de leverancier heeft;
welke beveiligingsmaatregelen zijn ingericht en welk bewijs daarvan beschikbaar is;
hoe incidentmelding, continuïteit, back-up en herstel zijn georganiseerd;
welke onderaannemers of cloudpartijen worden gebruikt;
welke eerdere afspraken en verbeterpunten nog openstaan.

“Onze leverancier regelt het” is geen controlemaatregel.

U hoeft de techniek niet zelf te beheren. U moet wel voldoende kunnen weten waarop u vertrouwt.

ISMSRollenRisico’sControlesBewijs

Uw ISMS moet leven

Een managementsysteem is geen verzameling documenten.

Heeft u een ISO 27001-gebaseerd ISMS of een eigen security framework ingericht?

Dan moet periodiek blijken of het systeem nog aansluit op de organisatie en daadwerkelijk wordt gebruikt.

of rollen en verantwoordelijkheden nog kloppen;
of risicobeoordelingen actueel zijn;
of afgesproken controles werkelijk plaatsvinden;
of beleid en praktijk op elkaar aansluiten;
of afwijkingen worden geregistreerd en opgevolgd;
of interne veranderingen worden verwerkt;
of bewijs voldoende beschikbaar blijft;
of eerdere verbeteracties aantoonbaar zijn afgerond.

Een ISMS heeft alleen waarde als het zichtbaar wordt gebruikt, gecontroleerd en bijgewerkt.

Waar formele certificering aan de orde is, blijven certificatie-audits vanzelfsprekend bij de onafhankelijke certificerende instelling. Compliant.nu kan helpen zorgen dat het onderliggende systeem daadwerkelijk wordt onderhouden en dat bevindingen worden opgevolgd.

Niet iedere controle hoeft ieder jaar

De frequentie volgt het risico.

Een kritieke herstelvoorziening kan vaker aandacht vragen dan een procedure die nauwelijks verandert.

Een leverancier met brede toegang tot bedrijfskritische systemen verdient meer toezicht dan een leverancier met een beperkte, niet-kritieke dienst.

En een technisch systeem met snelle veranderingen vraagt een ander ritme dan een stabiel beleidsproces.

Daarom bepalen we per organisatie:

wat periodiek moet worden gecontroleerd;

hoe vaak dat zinvol is;

welk bewijs nodig is;

wanneer specialistische toetsing nodig is;

en wanneer iets opnieuw bij de directie moet komen.

Waar vanuit Implementatie & Verbetering een Borging- en Auditplan is opgesteld, vormt dat het vertrekpunt.

Geen controle omdat het op de kalender staat. Wel omdat het risico of de verandering daarom vraagt.

Van controle naar bijsturen

Een audit is pas waardevol als er iets met de uitkomst gebeurt.

Een afwijking hoeft niet automatisch een groot project te worden.

Soms is een kleine correctie voldoende.

Soms kan een risico bewust worden geaccepteerd.

En soms laat een controle zien dat een maatregel structureel tekortschiet en een directiebesluit nodig is.

Compliant.nu brengt de relevante uitkomsten terug tot:

wat goed blijft functioneren;
waar afwijkingen zijn ontstaan;
welke acties openstaan;
wie eigenaar is;
welke risico’s veranderen;
waar de directie moet besluiten.

Geen stapels auditbevindingen. Wel bestuurlijke informatie waarmee u kunt bijsturen.

Waar bevindingen of veranderde risico’s nieuwe maatregelen vragen, kunnen die onder regie van Compliant.nu worden opgepakt in een nieuwe Implementatie & Verbetering-slag.

Zo blijft de regelkring gesloten.

Inzicht → verbeteren → controleren → bijsturen → opnieuw verbeteren waar nodig.

Zo blijft de opgebouwde beheersing actueel, werkend en bestuurbaar.

Structurele privacyondersteuning en externe FG/DPO

Privacy stopt ook niet na een project.

Voor organisaties die structurele ondersteuning nodig hebben, kan Compliant.nu terugkerende privacywerkzaamheden, advies, opvolging en rapportage organiseren.

Dat kan bijvoorbeeld relevant zijn bij nieuwe verwerkingen, contracten, incidenten, wijzigingen in systemen of terugkerende privacyvragen.

Externe FG/DPO

Wanneer een formele onafhankelijke Functionaris Gegevensbescherming nodig of wenselijk is, kan Compliant.nu die rol afzonderlijk invullen wanneer de vereiste onafhankelijkheid en overige werkzaamheden daarmee verenigbaar zijn.

Regie en onafhankelijk toezicht zijn niet hetzelfde.

Daarom worden verantwoordelijkheden, positie en mogelijke belangenconflicten vooraf duidelijk gescheiden.

Goed geregeld is mooi.
Weten dat het goed geregeld blijft is beter.

Privacy, medewerkers, systemen en leveranciers blijven veranderen.

Daarom hoort bij serieuze beheersing ook periodieke controle, onafhankelijke toetsing waar nodig en tijdige bijsturing.

Compliant.nu bewaakt het geheel — zonder van uw bedrijf een permanent auditproject te maken.

Weet u welke van uw belangrijkste maatregelen voor het laatst echt zijn gecontroleerd — en wat daaruit kwam?