Diensten en producten.

Een nulmeting van twee weken die drie vragen beantwoordt: valt u direct of via de keten onder de Cyberbeveiligingswet, wat heeft u binnen uw huidige systemen en licenties al op orde, en wat moet er vóór wanneer gebeuren?

Geen generieke gap-analyse tegen een checklist, maar een beoordeling van uw eigen omgeving — cloud, netwerk, werkplek en leveranciers — afgezet tegen de zorgplicht.

• Scopebepaling. Directe werking, ketenwerking en de indeling essentieel of belangrijk, onderbouwd vastgelegd.
• Technische nulmeting. Review van uw bestaande systemen — identiteiten, endpoints, back-up, logging — op wat de zorgplicht vraagt.
• Bestuurdersbriefing. Eén A4 waarmee uw directie haar goedkeurings- en toezichtsplicht kan invullen.
• Geprioriteerde roadmap. Maatregelen op risico gesorteerd, met eigenaren, doorlooptijd en indicatie van de kosten.
• Directiepresentatie. De uitkomst toegelicht aan het bestuur, in taal zonder jargon.

Een ervaren security-architect aan boord voor een vast aantal uren per maand. Voor organisaties die een roadmap hebben liggen maar niemand die hem bewaakt — en voor bestuurders die willen dat iemand de verantwoordelijkheid draagt naast hun eigen dagelijkse werk.

• Vaste uren per maand. Sturing op de roadmap, escalatiepunt bij keuzes, aanspreekpunt voor uw IT-leverancier.
• Kwartaalrapportage aan het bestuur. Dekt de goedkeurings- en toezichtsplicht aantoonbaar af.
• Jaarlijkse bestuurstraining. De training die de wet van bestuurders zelf verlangt.
• Meldproces in beheer. Draaiboek, rolverdeling en oefening, zodat de meldtermijnen haalbaar zijn.
• Leveranciersbeoordeling. Security-eisen in contracten en periodieke toetsing van uw kritieke keten.

Doorlopende bewaking van uw IT-omgeving, zodat een incident niet pas opvalt als een klant belt. Detectie is bovendien de voorwaarde onder de meldplicht: u kunt pas binnen 24 uur melden wat u binnen 24 uur ziet.

• Signalen uit de bronnen die u al heeft — Microsoft 365, Entra ID, endpoints, firewall.
• Alarmering met een menselijke beoordeling ernaast, geen ruis in een dashboard.
• Aansluiting op het meldproces uit CISOpilot, zodat detectie en melding één keten zijn.

Uw radar naar buiten. Wat ziet een aanvaller van uw organisatie en uw keten — welke systemen staan open, welke gegevens circuleren, welke leverancier is een ingang? En houdt uw verdediging stand als iemand er daadwerkelijk tegenaan duwt?

• Externe verkenning. OSINT en aanvalsoppervlak van uw organisatie, domeinen en kritieke leveranciers.
• Adversariële toetsing. Maatregelen die u op papier heeft, in de praktijk aangevallen — bewijs boven aanname.
• Bevindingen met bewijslast. Wat hield stand, wat niet, en wat dat betekent voor uw zorgplicht.