Van intake tot werkend ISMS
Hoe een invoering er in de praktijk uitziet: welke weken, welk werk, hoeveel uur van uw kant, en wie wat doet. Geen implementatietraject van maanden met een externe projectleider, maar een vaste volgorde die u zelf doorloopt.
- Zes weken van eerste gesprek tot een ISMS dat draait, bij een organisatie tot ongeveer honderd medewerkers.
- Reken op twee tot vier uur per week van één persoon, plus korte bijdragen van collega's.
- De volgorde ligt vast, want elke stap gebruikt de vorige. Dat scheelt het meeste overwerk.
- U kunt op elk moment stoppen. Wat u heeft ingevuld, is van u en exporteert u in open formaten.
Deze inschatting is een richtlijn op basis van de opbouw van het platform, geen belofte. Bij een grotere of complexere organisatie duurt het langer, en dat zeggen we dan ook in de intake.
Wie doet wat
| Rol | Wie is dat meestal | Waar die voor zorgt |
|---|---|---|
| Trekker | Directielid, kwaliteitsmanager, IT-verantwoordelijke of de aankomende CISO | Vult het grootste deel in, bewaakt de voortgang en is ons aanspreekpunt. Dit is de rol die de twee tot vier uur per week kost. |
| Directie | Bestuurder of eigenaar | Stelt de scope vast, keurt beleid en risicobereidheid goed. Onder NIS2 is dit geen formaliteit maar een wettelijke plicht. Reken op enkele uren in totaal. |
| Kenners | IT-beheer, HR, facilitair, procesbeheerders | Leveren de feiten aan over systemen, leveranciers en werkwijzen. Meestal een gesprek van een uur per persoon. |
| CybearSquad | De oprichter zelf | Zet de omgeving klaar, richt rollen en rechten in, loopt elke week kort mee en beantwoordt vragen op werkdagen. |
Week voor week
Week 0: intake en omgeving klaarzetten
Wij doen: het gesprek van 30 minuten, uw omgeving aanmaken, uw abonnement en actieve normen instellen, en de eerste beheerders uitnodigen.
U doet: vertellen welke verplichtingen er spelen en wie de trekker wordt. Verder niets.
Uw tijd: een half uur.
Week 1: de organisatie
Afdelingen, functies en wie waarvoor verantwoordelijk is, vastgelegd in een RACI-matrix. Het platform levert twaalf rol-templates en ruim honderd standaardfuncties als startpunt, dus u begint niet bij nul.
Waarom eerst: alles wat daarna komt krijgt een eigenaar. Zonder namen blijven risico's en taken zweven, en dat is precies wat een auditor opmerkt.
Uw tijd: twee tot vier uur.
Week 2: assets
Uw systemen, applicaties, gegevensverzamelingen, locaties en leverancierdiensten, met classificatie op beschikbaarheid, integriteit en vertrouwelijkheid, plus eigenaar en afdeling.
Waarom nu: de kritikaliteit van uw processen wordt hier automatisch uit afgeleid. Doet u assets later, dan moet u die beoordelingen opnieuw langslopen.
Uw tijd: drie tot zes uur, afhankelijk van hoeveel systemen u heeft.
Week 3: processen
Uw bedrijfsprocessen met eigenaar, afhankelijkheden en een bedrijfsimpactanalyse: hoe lang kan dit stilliggen, wat kost dat, en wat is de terugvaloptie. U koppelt processen aan de assets uit week 2.
Uw tijd: drie tot zes uur. Begin met de vijf processen waar uw omzet aan hangt, de rest kan later.
Week 4: leveranciers
Wie levert wat, welke gegevens gaan daarheen, ligt er een verwerkersovereenkomst, en wanneer beoordeelt u die partij opnieuw. Inclusief de keten daarachter.
Waarom dit telt: ketenbeveiliging is een expliciete eis onder NIS2 en een vast onderdeel van elke ISO 27001-audit. Het is ook de plek waar de meeste organisaties gaten hebben.
Uw tijd: twee tot vier uur.
Week 5: risico's
Nu pas het risicoregister, want nu weet u wat u beschermt en waar het van afhangt. Per risico legt u kans, impact, maatregelen, eigenaar en restrisico vast. Het platform helpt met suggesties op basis van wat u eerder heeft ingevuld.
Uw tijd: vier tot acht uur. Dit is de zwaarste week, en de nuttigste.
Week 6: beleid, taken en het ritme
Beleid en procedures vastleggen of uploaden, met versiebeheer en goedkeuring door de directie. Daarna gaat het ritme lopen: taken met eigenaars en deadlines, notificaties bij achterstand, en herbeoordelingen die vanzelf terugkomen.
Vanaf hier: reken op minder dan een dagdeel per week onderhoud, in plaats van een project.
Uw tijd: twee tot vier uur.
Heeft u al een ISMS?
Dan is de volgorde hetzelfde, maar het werk anders. Wat u al heeft is meestal bruikbaar:
- Beleid en procedures uploadt u als document, met de bestaande versie en goedkeurder erbij. Herschrijven hoeft niet.
- Uw risicoregister neemt u over. Wees eerlijk: dit is handwerk, want er is vandaag geen import vanuit Excel. Bij een register van vijftig risico's kost dat ongeveer een dagdeel. Het voordeel is dat u meteen de dode regels eruit haalt die in elk oud register staan.
- Uw assetlijst loopt u langs terwijl u hem invoert. Wij zien in de praktijk dat daar altijd systemen bij komen die in de spreadsheet ontbraken.
- Uw bewijsstukken koppelt u aan de maatregel waar ze bij horen, in plaats van aan een mapstructuur die niemand terugvindt.
Wij begeleiden die overname als onderdeel van de onboarding. Gaat het om een groot bestaand register, laat dat dan in de intake weten, dan plannen wij er een aparte sessie voor.
Wat er daarna gebeurt
Komt uw norm beschikbaar, dan activeert u die apart binnen uw pakket. Alles wat u in de weken hierboven heeft vastgelegd wordt gemapt op de beheersmaatregelen, en de gap-analyse toont alleen nog wat ontbreekt. Dat is de tachtig procent waar wij het over hebben: geen marketinggetal, maar het gevolg van de volgorde op deze pagina.
Certificering blijft het oordeel van een onafhankelijke instelling. Wat wij leveren is dat u daar met een gevuld en actueel dossier aan tafel zit.
Beginnen?
Plan een vrijblijvende intake van 30 minuten. Wij lopen uw situatie door en zeggen eerlijk of dit voor u de juiste volgorde is. Vragen over deze pagina: info@cybeareye.nl.