Voor het in kaart brengen van cyberrisico’s en de volwassenheid van jouw organisatie is een periodieke zelfevaluatie op basis van een volwassenheidsmodel een praktisch hulpmiddel. Dit geldt met name voor organisaties die nog geen NEN 7510-certificaat hebben.
Waarom een volwassenheidsmeting?
Voor organisaties die onder de Cyberbeveiligingswet als belangrijke of essentiële entiteit worden aangemerkt, is het belangrijk inzicht te hebben in hoeverre zij processen, maatregelen en governance hebben ingericht. Hiervoor zijn verschillende maturityscans of volwassenheidsmodellen beschikbaar.
Z-CERT biedt al enkele jaren een maturityscan aan. Deze scan is oorspronkelijk gebaseerd op de NEN 7510 en de AVG. Maar het is inmiddels uitgebreid met aanvullende eisen vanuit de Cyberbeveiligingswet. De meest recente versie van de Z-CERT Maturityscan is beschikbaar via de website van Z-CERT.
Daarnaast publiceerden NOREA, het ministerie van Binnenlandse Zaken en de Auditdienst Rijk een uitgebreider Cyberbeveiligingswet Control Framework, dat organisaties helpt bij het beoordelen van hun volwassenheid op het gebied van informatiebeveiliging en compliance. Hierin zijn zowel de eisen uit de Cyberbeveiligingswet als de NEN 7510 opgenomen.
Deze modellen helpen om de huidige situatie in kaart te brengen, verbeterpunten aan het licht te brengen en nieuwe ontwikkelingen te volgen.
Welke scan past bij jouw organisatie?
De keuze hangt af van de behoeften van jouw organisatie. Zoek je een laagdrempelige scan die snel inzicht geeft in de huidige situatie, dan kan de Z-CERT Maturityscan een goede keuze zijn. Heb je behoefte aan meer diepgang, een formeel reviewproces en de mogelijkheid om de gewenste situatie af te zetten tegen de huidige volwassenheid, dan biedt het Cbw Control Framework meer mogelijkheden.
Blijf meten en verbeteren
Een volwassenheidsmeting is geen eenmalige exercitie. Juist door periodiek te meten ontstaat inzicht in de voortgang van verbetermaatregelen en wordt zichtbaar waar extra aandacht nodig is. Bovendien helpt een goed gedocumenteerde zelfevaluatie om aan toezichthouders, auditors en andere stakeholders aan te tonen dat de organisatie actief werkt aan cyberweerbaarheid.
Welke methode je ook kiest: blijf meten, blijf verbeteren en zorg dat je dit aantoonbaar kunt maken. Volwassenheidsmodellen zijn daarbij een waardevol hulpmiddel.