Zelfevaluatie, verificatie en certificering zijn niet hetzelfde
uw beoordeelt zelf hoe de maatregelen zijn geïmplementeerd. Dit is nuttig voor sturing en voorbereiding, maar is op zichzelf geen externe bevestiging.
Een geaccrediteerde en door het CCB erkende CAB verifieert de zelfevaluatie. Dit is de formele route voor de labels Basic en Important.
Voor het CyFun-label Essential is certificering vereist. Daarbij gelden zwaardere eisen aan bewijs en beoordeling.
Wat is een CAB?
Een Conformity Assessment Body is een onafhankelijke beoordelingsinstantie die voor haar rol geaccrediteerd en door het CCB erkend moet zijn. In een NIS2-context mogen alleen bevoegde CAB’s de relevante CyFun- of ISO-beoordeling uitvoeren.
Wat heeft een essentiële entiteit nodig?
Dat hangt af van de risicobeoordeling en gekozen route. Bij CyFun geldt voor Basic en Important een verificatie. Wanneer Essential het vereiste doel is, geldt certificering. Voor ISO/IEC 27001 geldt certificering met een scope en SoA die het CCB aanvaardbaar vindt. Belangrijke entiteiten vallen in principe onder ex-post toezicht, maar moeten hun maatregelen eveneens aantoonbaar en proportioneel organiseren.
Zo bereid u voor
- Scope en risicobeoordeling
Bepaal welke organisatieonderdelen en risico’s onder de beoordeling vallen.
- Niveau en route
Kies op basis van risico en context voor CyFun, ISO of rechtstreekse inspectie.
- Gap-assessment
Breng maatregelen en bewijsstukken systematisch in kaart.
- Remediatie en self-assessment
Werk hiaten weg en documenteer de implementatie.
- Externe beoordeling
Laat verificatie of certificering uitvoeren wanneer de gekozen route dit vereist.