Nieuws en onderhoud

CertBridge heeft er twee complete modules bij: een incidentregister met de termijnen uit de Cyberbeveiligingswet, en een risicoanalyse die voortbouwt op de BIV-classificatie die je klanten al hebben ingevuld. Daarnaast bundelt het nieuwe ISMS-dossier alle documenten van een klant in één PDF. Incidentregister Je klanten leggen vanaf nu elk beveiligingsincident vast in CertBridge, ook als nog niet duidelijk is hoe ernstig het is. De Cyberbeveiligingswet rekent de termijnen vanaf het moment dat de organisatie van het incident wist, en dat moment is achteraf niet meer op te schuiven. Je klant meldt zelf in MijnNCSC (mits NIS2 plichtig) en legt in het meldspoor vast dát het is gebeurd, wanneer, en met welk kenmerk. Die registratie is het bewijs achteraf, niet de melding. Risicoanalyse Meerdere criteria in de norm beginnen met "op basis van een risicobeoordeling". Dit is het document waar je dan naar wijst. Je klant hoeft de impact niet te schatten. Die komt uit de B/I/V-classificatie die bij Assets al is vastgelegd, en daarom loopt de schaal hier ook van 1 tot 3. Wat de klant zelf bepaalt is de kans in de eigen situatie en de behandeling. Hetzelfde scenario weegt anders op een bezoekersbalie dan op een fileserver. CertBridge levert een startset van 22 dreigingsscenario's mee, verdeeld over zes categorieën; twintig staan standaard aan. Als MSP beheer je die bibliotheek centraal: scenario's uit- of aanzetten en eigen scenario's toevoegen, voor al je klanten tegelijk. Het verschil met eerder zit in wat er na de maatregelen overblijft. Een risico komt op de actielijst als: • het restrisico nog niet is bepaald — dan weet je niet of je klaar bent; • het restrisico op of boven de acceptatiegrens uitkomt terwijl er geen verbeterpunt op loopt en geen aanvaarding is vastgelegd; • de herbeoordelingsdatum is verstreken. Kiest de klant "accepteren" als behandeling, dan horen daar een naam en een datum bij; zonder die twee blijft het risico op de lijst staan. Aanvaarde risico's krijgen een eigen hoofdstuk in het risicodocument, want dat is de lijst die een directie hoort te zien. De risicoanalyse is verplicht zodra een asset een BIV-score 3 heeft. Heeft een klant niets kritieks, dan telt het onderdeel als klaar. ISMS-dossier: alles in één PDF Vraagt een auditor of een klant om "het dossier", dan lever je vanaf nu één bestand in plaats van vijf losse exports. Onder Rapportage staat een tweede tabblad waar je aanvinkt wat mee moet — beleid, bedrijfsmiddelen, risicoanalyse, leveranciersbeoordeling, continuïteitsplannen — en dat komt eruit als één PDF met voorblad en inhoudsopgave, elk onderdeel op een nieuwe pagina.