Crosswalk
Wat de keuring dekt, per control
Een auditor denkt per control: is die gedekt, door welke checks, en wat moet ik zelf nog toetsen? Deze tabel zet alle 93 controls uit ISO/IEC 27001:2022 bijlage A naast onze checks. Ook wat we niet dekken, staat erin.
29volledig gedekt voor het product
43gedeeltelijk gedekt
21niet gedekt: de organisatie regelt dit zelf
Hoe je de tabel leest
- Volledig: voor de gekeurde software en de omgeving waarin ze draait, dekken de checks alle onderdelen van de control.
- Gedeeltelijk: een deel is gedekt. Wat erbuiten valt, staat in de laatste kolom.
- Niet gedekt: een maatregel van de organisatie (beleid, personeel, kantoren, werkplekken). Die toetst de auditor zelf, of hij steunt op een ISO 27001-certificaat van de organisatie.
- Vanaf niveau: het laagste niveau waarop de genoemde checks verplicht zijn. Zelfscan: de checks die de gratis zelfscan (niveau 1) al automatisch uitvoert. Een zelfscan is een momentopname die de eigenaar zelf draaide.
De omschrijvingen zijn onze eigen korte samenvattingen, niet de tekst van de norm. De keuring beoordeelt een product, geen managementsysteem: ze vervangt geen ISO 27001-certificering van de organisatie.
5. Organisatorische maatregelen
| Control | Dekking | Checks | Vanaf niveau | Buiten de keuring |
|---|---|---|---|---|
| 5.1 Beleid voor informatiebeveiliging | Niet gedekt | B-01 | – | Het algemene beveiligingsbeleid van de organisatie. B-01 dekt alleen het beleid voor AI bij het ontwikkelen. |
| 5.2 Rollen en verantwoordelijkheden | Gedeeltelijk | Q-01 A-07 | 3 | Rollen buiten het product en de ontwikkeling. |
| 5.3 Functiescheiding | Gedeeltelijk | B-03 Q-03 R-08 K-01 | 2 | Functiescheiding buiten ontwikkeling en uitrol (bv. financiën, HR). |
| 5.4 Verantwoordelijkheden van het management | Gedeeltelijk | Q-06 | 3 | Betrokkenheid van de directie buiten het product. |
| 5.5 Contact met autoriteiten | Gedeeltelijk | G-07 H-25 | 3 | Contact met autoriteiten buiten meldingen over het product. |
| 5.6 Contact met vakgroepen | Niet gedekt | – | – | Lidmaatschap van vakgroepen en informatiedeling. |
| 5.7 Informatie over dreigingen | Gedeeltelijk | E-12 F-01z G-08z | 1 | Dreigingsinformatie als proces voor de hele organisatie; de keuring dekt dreigingen voor het product en zijn afhankelijkheden. |
| 5.8 Informatiebeveiliging in projecten | Gedeeltelijk | T-01 T-02 T-04 E-12 | 3 | Projecten buiten de ontwikkeling van het product. |
| 5.9 Inventaris van informatie en bedrijfsmiddelen | Gedeeltelijk | A-02 A-03z A-04 H-20 I-01 X-01 Y-08 Z-07 | 1 | Bedrijfsmiddelen buiten het product (laptops, kantoortoepassingen). |
| 5.10 Aanvaardbaar gebruik van informatie en middelen | Gedeeltelijk | B-01 B-09 | 3 | Regels voor aanvaardbaar gebruik voor alle medewerkers. |
| 5.11 Teruggave van bedrijfsmiddelen | Niet gedekt | – | – | Teruggave bij vertrek van medewerkers. |
| 5.12 Classificatie van informatie | Niet gedekt | – | – | Classificatieschema. I-01 brengt wel de persoonsgegevens van het product in kaart. |
| 5.13 Labelen van informatie | Niet gedekt | – | – | Labelen volgens het classificatieschema. |
| 5.14 Overdracht van informatie | Gedeeltelijk | P-01 P-08 P-13 Y-02z | 1 | Overdracht buiten de koppelingen van het product (e-mail, papier, mondeling). |
| 5.15 Toegangsbeveiliging | Gedeeltelijk | K-07 E-02 W-01 X-04 | 2 | Toegangsbeleid voor de hele organisatie. |
| 5.16 Identiteitsbeheer | Gedeeltelijk | K-07 R-02 E-16 | 2 | Identiteitsbeheer van medewerkers buiten code en infrastructuur. |
| 5.17 Authenticatie-informatie | Gedeeltelijk | E-01 E-05z P-02 P-03 W-09 | 1 | Wachtwoordbeleid en uitgifte voor medewerkers in het algemeen. |
| 5.18 Toegangsrechten | Gedeeltelijk | K-07 R-02 | 2 | Toegangsrechten op systemen buiten het product. |
| 5.19 Beveiliging in relaties met leveranciers | Gedeeltelijk | Q-05 F-08 X-02 | 3 | Leveranciers buiten het product. |
| 5.20 Beveiliging in overeenkomsten met leveranciers | Gedeeltelijk | F-08 I-08 H-23 B-09 | 3 | Contracten met leveranciers buiten het product; de inhoud van de contracten zelf. |
| 5.21 Beveiliging in de ICT-toeleveringsketen | Gedeeltelijk | A-03z B-06z F-01z F-02z F-03z F-04 F-06 F-13z R-05 R-09 | 1 | Hardware en ICT-diensten buiten de softwareketen van het product. |
| 5.22 Bewaken en beoordelen van leveranciersdiensten | Gedeeltelijk | Q-05 K-20 X-02 | 3 | Leveranciers buiten het product. |
| 5.23 Beveiliging bij gebruik van clouddiensten | Volledig | X-01 X-02 X-03 X-04 X-05 X-07 | 2 | |
| 5.24 Voorbereiding op incidentbeheer | Gedeeltelijk | K-05 | 3 | Incidentbeheer voor de hele organisatie. |
| 5.25 Beoordelen van beveiligingsgebeurtenissen | Gedeeltelijk | K-11 G-02 | 3 | Gebeurtenissen buiten het product. |
| 5.26 Reageren op incidenten | Gedeeltelijk | K-05 K-11 G-07 | 3 | Incidenten buiten het product. |
| 5.27 Leren van incidenten | Gedeeltelijk | T-07 | 3 | Incidenten buiten het product. |
| 5.28 Verzamelen van bewijs | Niet gedekt | – | – | Forensische paraatheid: bewijs veilig verzamelen en bewaren bij een incident. |
| 5.29 Beveiliging tijdens een verstoring | Gedeeltelijk | K-15 | 3 | Bedrijfscontinuïteit buiten het product. |
| 5.30 ICT-gereedheid voor bedrijfscontinuïteit | Volledig | K-04 K-15 K-16 K-18 K-19 K-20 K-22 | 3 | |
| 5.31 Wettelijke en contractuele eisen | Gedeeltelijk | A-08 | 3 | Wetten en contracten buiten het product. |
| 5.32 Intellectuele eigendomsrechten | Volledig | F-05z B-08 Z-08 | 1 | |
| 5.33 Bescherming van registraties | Gedeeltelijk | K-09 D-09 H-14 | 2 | Bedrijfsregistraties buiten het product (boekhouding, personeelsdossiers). |
| 5.34 Privacy en bescherming van persoonsgegevens | Gedeeltelijk | I-01 I-02 I-04 I-05 I-07 I-08 I-12 O-03 D-08 | 2 | Privacy-organisatie (verwerkingsregister, FG, verzoeken van betrokkenen): zie module N voor de klant. |
| 5.35 Onafhankelijke beoordeling van informatiebeveiliging | Gedeeltelijk | D-10 D-13 | 3 | Onafhankelijke beoordeling van het managementsysteem. De keuring zelf is een onafhankelijke beoordeling van het product. |
| 5.36 Naleving van beleid, regels en normen | Niet gedekt | – | – | Toezicht op naleving binnen de organisatie. |
| 5.37 Gedocumenteerde bedieningsprocedures | Volledig | J-02 T-08 Z-01 Z-03 | 3 |
6. Mensgerichte maatregelen
| Control | Dekking | Checks | Vanaf niveau | Buiten de keuring |
|---|---|---|---|---|
| 6.1 Screening | Niet gedekt | – | – | Screening van wie bij productie of klantgegevens kan. |
| 6.2 Arbeidsvoorwaarden | Niet gedekt | – | – | Beveiligingsafspraken in arbeidscontracten. |
| 6.3 Bewustwording, opleiding en training | Gedeeltelijk | Q-07 | 3 | Bewustwording voor medewerkers buiten de ontwikkeling. |
| 6.4 Disciplinaire procedure | Niet gedekt | – | – | Disciplinaire procedure. |
| 6.5 Verantwoordelijkheden na beëindiging of wijziging van het dienstverband | Niet gedekt | – | – | Afspraken die doorlopen na vertrek. Het intrekken van toegang zit wel in K-07 en R-02. |
| 6.6 Geheimhoudingsovereenkomsten | Niet gedekt | – | – | Geheimhouding voor medewerkers en derden. |
| 6.7 Werken op afstand | Niet gedekt | – | – | Regels voor thuiswerken en werken onderweg. |
| 6.8 Melden van beveiligingsgebeurtenissen | Gedeeltelijk | G-01 | 2 | Interne meldroute voor medewerkers. G-01 dekt het melden van kwetsbaarheden door buitenstaanders. |
7. Fysieke maatregelen
Bij hosting in de cloud steunt de keuring op het certificaat van de hostingaanbieder (X-02); bij eigen servers toetst X-09 het datacenter. Kantoren en werkplekken vallen erbuiten.
| Control | Dekking | Checks | Vanaf niveau | Buiten de keuring |
|---|---|---|---|---|
| 7.1 Fysieke beveiligingszones | Gedeeltelijk | X-02 X-09 | 3 | Kantoren en andere ruimtes van de organisatie. |
| 7.2 Fysieke toegangsbeveiliging | Gedeeltelijk | X-02 X-09 | 3 | Kantoren en andere ruimtes van de organisatie. |
| 7.3 Beveiligen van kantoren, ruimtes en faciliteiten | Gedeeltelijk | X-02 X-09 | 3 | Kantoren en andere ruimtes van de organisatie. |
| 7.4 Bewaken van de fysieke beveiliging | Gedeeltelijk | X-02 X-09 | 3 | Kantoren en andere ruimtes van de organisatie. |
| 7.5 Bescherming tegen fysieke en omgevingsdreigingen | Gedeeltelijk | X-02 X-09 X-06 | 3 | Kantoren en andere ruimtes van de organisatie. |
| 7.6 Werken in beveiligde zones | Gedeeltelijk | X-02 X-09 | 3 | Kantoren en andere ruimtes van de organisatie. |
| 7.7 Clear desk en clear screen | Niet gedekt | – | – | Werkplekken van medewerkers. |
| 7.8 Plaatsing en bescherming van apparatuur | Gedeeltelijk | X-02 X-09 | 3 | Apparatuur buiten het datacenter. |
| 7.9 Beveiliging van middelen buiten het terrein | Niet gedekt | – | – | Laptops en andere middelen onderweg. |
| 7.10 Opslagmedia | Niet gedekt | – | – | USB-sticks, schijven en andere opslagmedia. |
| 7.11 Nutsvoorzieningen | Gedeeltelijk | X-02 X-09 | 3 | Kantoren en andere ruimtes van de organisatie. |
| 7.12 Beveiliging van bekabeling | Gedeeltelijk | X-02 X-09 | 3 | Kantoren en andere ruimtes van de organisatie. |
| 7.13 Onderhoud van apparatuur | Gedeeltelijk | X-02 X-09 | 3 | Apparatuur buiten het datacenter. |
| 7.14 Veilig verwijderen of hergebruiken van apparatuur | Niet gedekt | – | – | Afvoeren van laptops, schijven en andere apparatuur. |
8. Technologische maatregelen
| Control | Dekking | Checks | Vanaf niveau | Buiten de keuring |
|---|---|---|---|---|
| 8.1 Eindpuntapparaten van gebruikers | Niet gedekt | – | – | Werkplekken van ontwikkelaars en medewerkers: schijfversleuteling, beveiligingssoftware, codeeragents in een afgeschermde omgeving. |
| 8.2 Speciale toegangsrechten | Volledig | E-01 W-01 W-09 X-04 B-04 | 2 | |
| 8.3 Beperking van toegang tot informatie | Volledig | E-02 I-03 W-01 W-03z W-13z P-04 | 1 | |
| 8.4 Toegang tot broncode | Volledig | R-01 R-02 R-06 C-20z | 1 | |
| 8.5 Veilige authenticatie | Volledig | E-01 E-03z E-09 E-16 P-02 U-03z | 1 | |
| 8.6 Capaciteitsbeheer | Volledig | K-12 W-06z X-08 | 1 | |
| 8.7 Bescherming tegen malware | Gedeeltelijk | B-06z F-01z F-04 W-03z | 1 | Beveiligingssoftware op werkplekken en servers buiten het product. |
| 8.8 Beheer van technische kwetsbaarheden | Volledig | F-01z F-02z F-11 F-12 D-10 D-12z G-02 G-03 G-08z | 1 | |
| 8.9 Configuratiebeheer | Volledig | E-07 K-06 K-14 W-07 W-08 | 2 | |
| 8.10 Verwijderen van informatie | Gedeeltelijk | I-04 I-12 Z-23 | 3 | Aantoonbaar wissen van gegevens op apparatuur en media. |
| 8.11 Maskeren van gegevens | Gedeeltelijk | D-08 | 3 | Maskeren in productie, bv. in schermen en exports. |
| 8.12 Voorkomen van datalekken | Gedeeltelijk | E-05z H-04 S-02 U-01z W-12 | 1 | Maatregelen tegen datalekken via e-mail, werkplekken en kantoortoepassingen. |
| 8.13 Back-up van informatie | Volledig | I-06 K-16 K-18 K-19 W-11 | 3 | |
| 8.14 Redundantie van informatieverwerkende faciliteiten | Volledig | X-06 | 3 | |
| 8.15 Logging | Volledig | E-13 K-09 K-10 K-13 W-12 X-05 | 2 | |
| 8.16 Monitoring | Volledig | E-13 K-03 K-11 W-04 | 2 | |
| 8.17 Kloksynchronisatie | Volledig | K-10 | 3 | |
| 8.18 Gebruik van speciale hulpprogramma's | Niet gedekt | – | – | Beheer van hulpprogramma's die beveiliging kunnen omzeilen. |
| 8.19 Software installeren op operationele systemen | Volledig | K-02 R-09 F-04 | 2 | |
| 8.20 Netwerkbeveiliging | Volledig | E-10 E-15 P-10 Y-03 Y-04z | 1 | |
| 8.21 Beveiliging van netwerkdiensten | Volledig | Y-01z Y-02z Y-06 P-13 | 1 | |
| 8.22 Scheiding van netwerken | Volledig | E-15 K-01 | 2 | |
| 8.23 Webfilters | Niet gedekt | – | – | Filteren van websites voor medewerkers. |
| 8.24 Gebruik van cryptografie | Volledig | E-06z E-14 P-03 W-10 Y-01z Y-07 Y-08 K-19 | 1 | |
| 8.25 Veilige ontwikkelcyclus | Volledig | B-01 B-03 C-15 D-06z T-02 T-09 | 1 | |
| 8.26 Beveiligingseisen voor applicaties | Volledig | T-02 D-15 E-12 | 2 | |
| 8.27 Veilige architectuur en ontwerpprincipes | Volledig | A-02 E-12 J-03 T-04 Z-10 | 3 | |
| 8.28 Veilig programmeren | Volledig | C-01z C-05 C-06z C-17 E-04z H-02z U-07z | 1 | |
| 8.29 Beveiligingstesten bij ontwikkeling en acceptatie | Volledig | D-02z D-05 D-06z D-07 D-10 D-13 D-16 T-05 | 1 | |
| 8.30 Uitbestede ontwikkeling | Gedeeltelijk | Z-07 Z-08 B-09 | 3 | Beveiligingseisen in het contract met de bouwer. De keuring zelf is wel de controle op wat de bouwer oplevert. |
| 8.31 Scheiding van ontwikkel-, test- en productieomgevingen | Volledig | K-01 T-05 D-08 | 3 | |
| 8.32 Wijzigingsbeheer | Volledig | B-03 K-02 Q-03 R-03z R-04 R-08 R-10 | 1 | |
| 8.33 Testgegevens | Volledig | D-08 | 3 | |
| 8.34 Bescherming van systemen tijdens audits | Niet gedekt | – | – | Afspraken over audits op productiesystemen. |
z = deze check voert de zelfscan al automatisch uit.
NIS2-uitvoeringsverordening (EU) 2024/2690
Per onderdeel van de bijlage de ISO-controls die erbij horen. De verordening geldt voor de organisatie; de keuring levert bewijs voor het product dat die organisatie maakt of inkoopt.
| Onderdeel | Dekking | ISO-controls |
|---|---|---|
| 1 Beleid voor de beveiliging van netwerk- en informatiesystemen | Gedeeltelijk | 5.1, 5.2, 5.4 |
| 2 Risicobeheer | Gedeeltelijk | 5.7, 5.8, 5.35, 5.36 · ook Q-02 |
| 3 Incidentbehandeling | Gedeeltelijk | 5.24, 5.25, 5.26, 5.27, 5.28, 6.8, 8.15, 8.16 |
| 4 Bedrijfscontinuïteit en crisisbeheer | Gedeeltelijk | 5.29, 5.30, 8.13, 8.14 |
| 5 Beveiliging van de toeleveringsketen | Gedeeltelijk | 5.19, 5.20, 5.21, 5.22, 5.23 |
| 6.1 Beveiliging bij aanschaf van ICT | Gedeeltelijk | 5.21, 5.23 |
| 6.2 Veilige ontwikkelcyclus | Volledig | 8.25, 8.26, 8.27, 8.28, 8.31, 8.33 |
| 6.3 Configuratiebeheer | Volledig | 8.9 |
| 6.4 Wijzigingsbeheer, reparatie en onderhoud | Volledig | 8.32 |
| 6.5 Beveiligingstesten | Volledig | 8.29 |
| 6.6 Beheer van beveiligingspatches | Volledig | 8.8 · ook F-11, F-12 |
| 6.7 Netwerkbeveiliging | Volledig | 8.20, 8.21 |
| 6.8 Netwerksegmentatie | Volledig | 8.22 |
| 6.9 Bescherming tegen kwaadaardige en ongeautoriseerde software | Gedeeltelijk | 8.7, 8.19 |
| 6.10 Behandeling en openbaarmaking van kwetsbaarheden | Volledig | 8.8 · ook G-01, G-02, G-06 |
| 7 Beoordelen van de doeltreffendheid van maatregelen | Gedeeltelijk | 5.35, 5.36 · ook Q-06 |
| 8 Basispraktijken voor cyberhygiëne en opleiding | Gedeeltelijk | 6.3, 8.1 · ook O-06, O-08, Q-07 |
| 9 Cryptografie | Volledig | 8.24 |
| 10 Beveiliging van personeel | Niet gedekt | 6.1, 6.2, 6.4, 6.5, 6.6 |
| 11 Toegangsbeheer | Gedeeltelijk | 5.15, 5.16, 5.17, 5.18, 8.2, 8.3, 8.5 |
| 12 Beheer van bedrijfsmiddelen | Gedeeltelijk | 5.9, 5.10, 5.11, 5.12, 5.13, 7.10, 7.14 |
| 13 Fysieke en omgevingsbeveiliging | Gedeeltelijk | 7.1, 7.2, 7.3, 7.4, 7.5, 7.8, 7.11, 7.12 |
BIO2
Zelfde nummering als ISO/IEC 27002:2022; dekking per control zoals in de ISO-tabel. Overheidsmaatregelen nog niet apart beoordeeld.
Wat de klant zelf regelt
Wie de software gebruikt, heeft eigen taken: verwerkingsregister, verwerkersovereenkomst, incidentprocedure, toegang bij de klant. Die staan in de klantmodule N, op de pagina Alle checks. Ze maken geen deel uit van de score.