ISO 27001 zonder Excel-hel en advieskosten van 50.000 euro

Beheer alle informatierisico's gestructureerd met schadehoogte, intredekans en risicoscore. Beoordelingsmatrix configureerbaar per tenant, bijvoorbeeld drie bij drie of vijf bij vijf, kwalitatief of kwantitatief in eurobedragen met verwachte schadehoogte per jaar. Risico's worden gekoppeld aan assets, processen of personen, verbindingen zijn zichtbaar en navolgbaar, bijvoorbeeld als een asset-uitval meerdere processen treft en daarmee cascadeert. Behandelplan per risico met maatregelen, verantwoordelijke en vervaldatum, meldingen bij overschrijding worden automatisch geëscaleerd. Restrisicobepaling automatisch na uitvoering van maatregelen, acceptatieworkflow door directie gedocumenteerd met elektronische handtekening conform eIDAS. Heatmap in het dashboard, drill-down van risicocategorie tot de afzonderlijke invoer, filter op assettype, proces, verantwoordelijke of restrisicocategorie. Trends over de tijd voor management reviews met kwartaalvergelijking en benchmarking ten opzichte van de branche. Vier-ogen-principe bij risico-acceptatie optioneel activeerbaar, verplicht voor risico's boven een bepaalde schadehoogtedrempel.

Alle 93 controls uit ISO 27001 Annex A 2022 zijn voorbereid, je markeert per control 'van toepassing' of 'niet van toepassing' met motivering en verwijzing naar het risicoregister. Implementatiestatus (gepland, in uitvoering, uitgevoerd, in review, gedocumenteerd), verantwoordelijke en verwijzing naar maatregelen worden centraal beheerd met koppeling aan bewijsstukken. Op één klik genereer je het SOA-document voor je ISO-auditor, audit-ready zonderExcel-export of handmatige consolidatie. Wijzigingen worden bijgehouden in versies, je ziet de geschiedenis per control inclusief motivering en goedkeurder met tijdstempel. Vergelijking met ISO 27002-implementatiegids direct gelinkt, je ziet de aanbevolen uitvoering naast de eigen uitvoering. Bij jaarlijkse SOA-review worden verouderde motieven gemarkeerd, je hoeft alleen de wijzigingen bij te houden, niet de hele lijst, dit bespaart per reviewcyclus meerdere persoonsdagen. Mapping naar BSI IT-Grundschutz, NIST CSF en CIS Controls automatisch beschikbaar, dubbel beheer vervalt. Export als Word, PDF of gestructureerde XML voor GRC-tools met elektronische handtekening conform eIDAS.

Technisch-organisatorische maatregelen worden gestructureerd gedocumenteerd naar vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht, aangevuld met herstelbaarheid en periodieke controle. Encryptie, pseudonimisering, toegangscontrole, back-upconcept en herstelprocedures worden bijgehouden met verwijzing naar het betreffende proces en gekoppeld aan bewijsstukken. Op één klik exporteer je het TOMs-document voor je opdrachtgevers, bijvoorbeeld als bijlage bij de verwerkersovereenkomst met of zonder contractreferentie, meertaligheid per ontvanger configureerbaar. Werkt ook voor eigen DPA's met sub-verwerkers, meertaligheid Duits en Engels automatisch gesynchroniseerd. Mapping naar ISO-27001-Annex-A-controls automatisch, dubbel beheer vervalt volledig. Verwerkingsregister conform artikel 30 AVG in dezelfde module, uniforme gegevensbasis, geen dubbele Excel-beheer en geen inconsistenties tussen TOMs en register. Gegevensbeschermingseffectbeoordelingen (DSFA) conform artikel 35 AVG worden in dezelfde workflow aangemaakt, met sjablonen conform DSK-standaard en adviesverplichtingstriggering boven kritieke risicodrempelwaarden.

Elke wijziging aan risico's, controls, maatregelen, incidenten of documenten wordt onveranderlijk opgeslagen met tijdstempel, gebruiker en diff. Het auditierapport is op één klik beschikbaar, gefilterd op tijdsperiode, actor, objecttype of module. ISO-27001-auditoren en ISMS-auditoren krijgen sluitende naspeurhaarheid zonder door logbestanden te hoeven spitten of databasedumps. Bewaarduur configureerbaar, standaard zijn tien jaar, langere bewaring voor gereguleerde sectoren mogelijk, bijvoorbeeld 30 jaar voor verzekeraars of energieleveranciers. Cryptografische hash-verketting beveiligt tegen achteraf manipulatie, de hashketen is door de auditor verifieerbaar met standaard tools. Export als PDF met elektronische handtekening (eIDAS-conform) of als CSV voor DATEV-achtige audittols. Audit-trail is onveranderlijk zelfs voor beheerders, geen insiderrisico door privilege-escalatie.

Registreer beveiligingsincidenten met categorie, ernst en betrokkenen, escalatiepaden worden automatisch geactiveerd afhankelijk van de ernst en aard van het incident. Niveau drie triggert melding aan CISO, niveau vier aan directie, NIS2-meldingsplicht-trigger bij kritieke incidenten met deadline-tracker voor 24-uur-vroegwaarschuwingsrapport, 72-uur-update en 30-daagse eindrapport. Maatregelen worden bijgehouden in het incidentticket, hersteltijden gemeten, geleerde lessen gestructureerd toegevoegd met koppeling aan het risicoregister voor toekomstige preventie. Bij NIS2-meldingsplichtige incidenten wordt het vroegwaarschuwingsrapport met verplichte velden automatisch vooraf ingevuld, je vult alleen details aan. De AI-assistent stelt onmiddellijke maatregelen voor op basis van incidentcategorie en stelt koppelingen voor aan vergelijkbare incidenten. Crisiscommunicatiesjablonen voor klanten, autoriteiten en pers voorgeïnstalleerd, aanpasbaar per tenant.

De tien verplichte maatregelen uit NIS2 artikel 21 worden gestructureerd bijgehouden met volwassenheidsbeoordeling per gebied op een vijfpuntsschaal. Je ziet direct waar lacunes zijn en welke maatregelen prioriteit hebben, een roadmap naar NIS2-compliance is afleidbaar met inspanningsschatting in persoonsdagen. Managementaansprakelijkheid conform artikel 20 gedocumenteerd, bestuursopleidingen auditbestendig vastgelegd, kwartaalreviews automatisch gepland met herinneringen. Bij kwalificatie als belangrijke of essentiële entiteit past de tracker zich automatisch aan de respectieve vereisten aan, zoals strengere meldingsplichten of uitgebreide auditverplichtingen. Supply chain-risicobeheer conform artikel 21 lid 2d geïntegreerd, sub-verwerkers worden beheerd in de DPA-module, risicobeoordeling per leverancier met escalatie bij kritieke bevindingen. Toepasselijkheidscontrole bij het onboarden van een nieuwe opdrachtgever, indirecte toepasselijkheid via leveranciersstatus herkend.