Wat je ISMS-platform over je weet
Bedenk wat er na een jaar gebruik in een ISMS-platform staat: het risicoregister met elke zwakke plek die je kent, incidentmeldingen, uitkomsten van penetratietests, leveranciersbeoordelingen, de systemen achter je kritieke diensten en, met ISO 42001, een overzicht van elk AI-systeem dat je gebruikt. Voor een aanvaller, of voor iedereen die juridisch toegang tot de leverancier kan afdwingen, is het een van de meest informatieve verzamelingen data in de organisatie.
Daarmee is de leverancier van dat platform een partij die je moet beoordelen zoals elke andere. NIS2 verplicht essentiële en belangrijke entiteiten om ketenbeveiliging mee te nemen in hun risicobeheersmaatregelen. DORA verplicht financiële entiteiten om ICT-risico’s van derden te beheersen en een informatieregister bij te houden van alle contractuele afspraken met ICT-dienstverleners. En onder de AVG mogen persoonsgegevens in incidentmeldingen of gebruikersgegevens de EU alleen verlaten onder de voorwaarden van hoofdstuk V.
Vier checks
- 1Onder welk rechtsstelsel valt de leverancier?
Waar data staat, is maar de helft van de vraag. Een aanbieder die onder Amerikaans recht valt, kan op grond van de Amerikaanse CLOUD Act worden verplicht data af te geven die hij in bezit of beheer heeft, ongeacht waar die data staat. Vraag waar het bedrijf en zijn moederbedrijf gevestigd zijn.
- 2Is EU-hosting de standaard?
Een EU-regio waar je tijdens de onboarding om kunt vragen, is een optie, geen standaard. Vraag waar je data op dag één staat, inclusief back-ups en toegang voor support.
- 3Waar wordt AI verwerkt?
Gebruikt het platform AI, dan kan je data naar een modelleverancier gaan. Vraag welke modellen worden gebruikt, waar ze draaien, of je data voor training wordt gebruikt en of je je eigen aanbieder of sleutel kunt gebruiken.
- 4Horen Europese frameworks bij de kern?
Vraag hoe NIS2, DORA, de AVG, de AI Act en ISO 42001 in het product zijn ingericht, en of nationale eisen zoals de BIO voor overheidsorganisaties worden ondersteund.
Evenredig, niet maximaal
Dit betekent niet dat elke organisatie de strengst denkbare inrichting nodig heeft. NIS2 vraagt om maatregelen die passend en evenredig zijn, rekening houdend met de stand van de techniek, de omvang van de entiteit en de waarschijnlijkheid en ernst van incidenten. Het gaat erom dat je de afweging maakt, vastlegt en kunt uitleggen, ook voor de tool waarin je al je andere afwegingen vastlegt.
Hoe Basenorm aan de checks voldoet
Basenorm is een Nederlands bedrijf. Klantdata wordt gehost op Microsoft Azure in de regio West-Europa in Nederland, met een database per organisatie. ISO 42001 en ISO 27001 staan voorop, met NIS2, DORA, de AVG, de AI Act en de BIO op dezelfde bibliotheek met maatregelen. Voor AskNorman gebruik je modellen die Basenorm beheert of je eigen API-sleutel. Op de securitypagina lees je hoe we je data beschermen.