Je Eerste 30 Dagen: Registratie, Scope en Risicoanalyse

Meer organisaties dan je zou denken kunnen dit niet beantwoorden, omdat registratie een regelgevende aangifte is en geen IT-taak, en beide kanten ervan uitgingen dat de andere het deed.

• Vraag het aan wie je regelgevende aangiftes doet, niet aan je IT-partner: de plicht ligt bij de entiteit
• Zoek naar een registratiebevestiging van het CCB in de mailbox van wie ze ondertekende
• Kan niemand een bevestiging voorleggen, ga er dan van uit dat je niet geregistreerd bent
• Beslis nu wie deze aangifte voortaan bij naam opvolgt

Artikel 13 paragraaf 1 somt op welke informatie je moet aanleveren. Het verzamelen ervan is het grootste deel van het werk.

• Naam van de entiteit en ondernemingsnummer (KBO/BCE)
• Adres en actuele contactgegevens, inclusief een e-mailadres en een telefoonnummer
• Je IP-reeksen: hier struikelen mensen over en meestal heb je je IT-partner nodig
• Je sector en subsector onder bijlage I of bijlage II van de wet
• De lijst van lidstaten waar je diensten levert die binnen scope vallen

De wet noemt geen platform. Ze zegt dat registratie verloopt volgens de praktische modaliteiten die het CCB bepaalt, en het CCB doet dat via zijn Safeonweb@work-portaal.

• Volg de actuele instructies van het CCB zelf, niet een samenvatting van derden, deze pagina inbegrepen
• Registreer de entiteit, niet de groep, tenzij de CCB-richtlijn iets anders zegt
• Gebruik een gedeelde mailbox als contactadres, geen persoonlijke
• Bewaar de bevestiging ergens waar je opvolger ze terugvindt

Je klasse volgt uit je sector en subsector samen met je grootte. Schrijf het antwoord op met de redenering, want naar allebei wordt gevraagd.

• Zoek de rij in bijlage I of II die overeenkomt met wat je effectief doet, niet met wat je btw-code zegt
• Pas de groottedrempels toe op die rij
• Schrijf één pagina: de rij die je matchte, het personeelsbestand en de omzet die je toepaste, de conclusie
• Laat ze nalezen door iemand die niet meeschreef

Grootte is niet de enige weg naar binnen.

• Onder artikel 11 kan het CCB een entiteit als in scope aanduiden ongeacht haar grootte, bijvoorbeeld als enige aanbieder van een dienst, bij systeemrisico bij uitval, of bij kritiek belang voor een regio
• Onder artikel 12 moet je op verzoek de informatie leveren die het CCB voor die identificatie nodig heeft
• Het CCB houdt zijn entiteitenlijst bij en herziet ze minstens om de twee jaar
• Heeft het CCB je geïdentificeerd, dan loopt je registratieklok vanaf die identificatie in plaats van vanaf de algemene deadline

De data staan in het koninklijk besluit van 9 juni 2024, niet in de wet zelf.

• Essentiële entiteit: artikel 22 paragraaf 1 vereiste een eerste verificatie door een door het CCB erkende conformiteitsbeoordelingsinstantie, op CyberFundamentals-niveau basic of important naargelang je risicoanalyse, tegen 18 april 2026
• Essentiële entiteit: artikel 22 paragraaf 2 vereist certificatie op het essential-niveau tegen 18 april 2027, of een CAB-verificatie op een lager niveau als artikel 7 van toepassing is (de risicoanalyse rechtvaardigt het)
• Essentiële entiteit op de inspectieroute: artikel 23 legt een zelfevaluatie op dezelfde datum van 18 april 2026, en een voortgangsstand tegen 18 april 2027
• Belangrijke entiteit: artikel 41 van de wet maakt de beoordeling vrijwillig, en er hangt geen datum aan vast
• Beide klassen: artikel 23 paragraaf 3 vereist continue verbetering, en daar hangt helemaal geen einddatum aan

Assets, systemen, data, en de bedrijfsprocessen die ervan afhangen. Dit is het deel dat mensen afkorten, en het is het deel waaraan al de rest wordt afgemeten.

• Lijst de bedrijfsprocessen op die stilvallen als een systeem onbeschikbaar is
• Koppel elk proces aan de systemen, data en leveranciers waarvan het afhangt
• Neem software mee: CyberFundamentals Basic-maatregel ID.RA-01.1 vraagt dreigingen en kwetsbaarheden geïdentificeerd in alle relevante assets, software inbegrepen
• Noteer wie elke asset bezit, want een asset zonder eigenaar krijgt later geen beslissing

CyberFundamentals Basic-maatregel ID.RA-05.1 zegt het duidelijk: risico wordt bepaald door dreigingen, kwetsbaarheden en de impact op bedrijfsprocessen en assets.

• Scoor alle gevaren, volgens artikel 30 paragraaf 5, niet alleen de cybergevaren: brand, wateroverlast, een wegvallende sleutelleverancier en een vertrekkende sleutelpersoon tellen mee
• Gebruik een schaal die je hardop kunt verdedigen, niet een geleende matrix die niemand begrijpt
• Noteer de redenering naast de score, want de redenering is wat een beoordelaar leest
• Laat het resultaat, niet je voorkeur, het CyberFundamentals-niveau aanwijzen

Een niet-goedgekeurde risicoanalyse is een onafgewerkte risicoanalyse.

• Artikel 31 paragraaf 1 legt de goedkeuring van de risicobeheersmaatregelen bij het bestuursorgaan, verplicht het toezicht te houden op de uitvoering, en stelt het aansprakelijk bij inbreuken op die verplichting
• In een klein bedrijf is dat de zaakvoerder of de vennoten, niet de IT-partner
• Dateer de goedkeuring en noteer wie ze gaf
• CyberFundamentals Basic-maatregel GV.RM-03.1 vraagt een organisatiebrede strategie om informatie- en cyberbeveiligingsrisico te beheren, bijgewerkt wanneer er wijzigingen optreden

Loop de maatregelen van je doelniveau door en duid elke maatregel aan als klaar, deels klaar of niet gestart.

• Basic telt 34 maatregelen, Important 133, Essential 218, cumulatief: elk niveau bevat het niveau eronder
• Scoor eerlijk: een maatregel die werkt maar niet gedocumenteerd is, is deels klaar, niet klaar
• Voor een essentiële entiteit op de inspectieroute is dit een echt op te leveren stuk, geen oefening: artikel 23 paragraaf 1 van het koninklijk besluit legde een zelfevaluatie op niveau basic of important op de datum van 18 april 2026
• Hou het bewijs dat je al hebt meteen bij, in plaats van er twee keer naar te zoeken

CyberFundamentals Basic-maatregel GV.PO-01.1 vereist dat beleidsregels en procedures voor het beheer van informatie- en cyberbeveiliging worden vastgesteld, gedocumenteerd, beoordeeld, goedgekeurd, bijgewerkt bij wijzigingen, gecommuniceerd en afgedwongen.

• Zet de reviewvergaderingen nu in de agenda, met echte data, niet "ergens dit jaar"
• Zorg dat wie de uitkomst goedkeurt in de kamer zit, en noem die persoon in de uitnodiging
• Eén vergadering per beleidsdomein werkt beter dan één vergadering over alles, want die tweede loopt uit en wordt afgekapt
• Noteer per beleidsstuk: de reviewdatum, de goedkeurder en de uitkomst. Naar dat register wordt gevraagd

De gaplijst is het resultaat van de hele maand, en ze maakt het volgende traject schatbaar.

• Eén rij per gat, met een eigenaar bij naam en een realistische datum
• Scheid de gaten die je IT-partner dicht van die alleen jij kunt dichten
• Zet een ruwe kost naast elk gat, zodat over de lijst beslist kan worden in plaats van ze te bewonderen
• Spreek af wanneer je ze opnieuw bekijkt