Aantoonbaar veilig

Hoe meet je of je Azure-omgeving compliant is?

Steeds meer MKB-bedrijven krijgen de vraag: voldoen jullie aan NIS2 of ISO 27001? Meestal komt die vraag niet van een toezichthouder, maar van een klant die zelf moet aantonen dat zijn keten op orde is. Op deze pagina lees je hoe je dat meet, en minstens zo belangrijk: wat zo n meting wel en niet zegt.

De belangrijkste nuance

Een technische score is geen compliance-verklaring

Dit onderscheid wordt in de markt vaak vaag gehouden, en daar worden verwachtingen mee gewekt die niemand kan waarmaken. Wij zijn er liever expliciet over.

Wat een meting wel zegt

  • Of je technische instellingen in Azure aansluiten bij de eisen uit een normenkader
  • Waar je omgeving afwijkt van wat het kader technisch voorschrijft
  • Welke maatregelen ontbreken en hoe zwaar die wegen
  • Een onderbouwd startpunt voor een verbetertraject

Wat een meting niet zegt

  • Of je organisatie als geheel voldoet aan de wet of de norm
  • Of je beleid, procedures en verantwoordelijkheden op orde zijn
  • Of je medewerkers zich ook daadwerkelijk aan het beleid houden
  • Of je gecertificeerd bent, want daarvoor is een erkende instantie nodig
Waarom dit ertoe doet. Naleving van NIS2 of ISO 27001 gaat voor een groot deel over organisatie: beleid, risicobeheer, incidentprocedures en bewustwording. Je Azure-omgeving is daar een onderdeel van, niet het geheel. Wij meten dat onderdeel grondig, en zeggen er eerlijk bij waar de grens ligt. Alles daarbuiten is werk voor een compliance-adviseur of een certificerende instantie.
De methode

Hoe de meting werkt

We gebruiken de toetsingsprofielen van Microsoft zelf, binnen Defender for Cloud. Geen eigen checklist, maar een erkende meetlat die je ook zonder ons kunt controleren.

En daarna

Meten is niet verbeteren

Een rapport lost nog niets op. Na de meting zijn er drie routes, en je bent nergens aan verplicht.

Je pakt het zelf op

De roadmap is zo opgesteld dat je ermee vooruit kunt, ook zonder ons. Veel bedrijven gebruiken hem om hun eigen IT-partner gerichter aan te sturen.

Wij voeren de verbeteringen door

Een eenmalig verbetertraject waarin we de bevindingen oplossen. Op uurbasis of tegen een vaste prijs, afhankelijk van de omvang.

Wij houden het op peil

Doorlopend security-beheer, zodat je score niet langzaam wegzakt naarmate je omgeving verandert. Kleine verbeteringen lopen daarin mee.

Waarom die derde route bestaat. Een omgeving die vandaag op orde is, glijdt vanzelf weg. Er komen resources bij, instellingen veranderen, nieuwe eisen verschijnen. Zonder bewaking is een audit een momentopname die snel veroudert. Wat er precies in doorlopend beheer zit, staat op wat valt onder Azure-beheer.
Goed om te weten

Veelgestelde vragen over compliance meten

Betekent een hoge score dat ik voldoe aan NIS2?
Nee, en dat is een belangrijk onderscheid. Een hoge score betekent dat je technische instellingen in Azure aansluiten bij wat het kader voorschrijft. Naleving van NIS2 gaat daarnaast over beleid, risicobeheer, incidentprocedures en bewustwording binnen je organisatie. Wij meten het technische deel grondig; voor het organisatorische deel heb je een compliance-adviseur nodig.
Welke toegang hebben jullie nodig voor een compliance-audit?
Meer dan voor de gratis nulmeting. Om een toetsingsprofiel te activeren in Defender for Cloud zijn schrijfrechten op beveiligingsniveau nodig, en moet er een betaald Defender-plan op je abonnement actief zijn. De nulmeting is daarentegen volledig alleen-lezen. Dat verschil is de reden dat het twee aparte trajecten zijn.
Is de compliance-audit echt gratis?
Ja. Je betaalt niets en zit nergens aan vast. Wel vraagt het meer van jouw kant dan de nulmeting, omdat er ruimere rechten nodig zijn en er een Defender-plan actief moet staan. Dat laatste brengt kosten mee bij Microsoft, niet bij ons. We bespreken dat vooraf, zodat je niet voor verrassingen staat.
Tegen welk kader moet ik laten meten?
Kijk naar wie de vraag stelt. Komt die van een klant in een aanbesteding, dan is dat vaak ISO 27001. Gaat het om de Cyberbeveiligingswet, dan NIS2. Draait het om persoonsgegevens, dan de AVG. Lever je aan de overheid, dan NL BIO. Weet je het niet zeker, dan denken we graag mee; de kaders overlappen technisch flink.
Hoe lang blijft een meting geldig?
Een meting is een momentopname. Zodra je omgeving verandert, en dat gebeurt continu, verandert je score mee. Voor een eenmalige vraag van een klant is een momentopname prima. Moet je het structureel kunnen aantonen, dan is doorlopende bewaking verstandiger dan elk kwartaal opnieuw meten.
Wij hebben al een security-partij. Is dit dan zinvol?
Dat kan, als tweede mening of omdat wij specifiek naar de Azure-omgeving kijken. Veel security-partijen richten zich op het netwerk, de werkplekken of het beleid. Onze meting gaat over hoe je cloudomgeving technisch is ingericht, wat vaak een blinde vlek is. We werken prima samen met je bestaande partij.

Krijg je vragen over NIS2 of ISO 27001?

Dan wil je weten waar je staat voordat je antwoord geeft. Begin met de gratis nulmeting voor een breed beeld, of vraag direct de compliance-audit aan als de vraag al concreet is.

Verder lezen

Meer over security

Security & Audit

De volledige dienst: van gratis audit tot doorlopend security-beheer.

Naar de dienstpagina →

Gratis nulmeting

Breed en alleen-lezen: waar sta je op kosten, security, beheer en back-up?

Bekijk de nulmeting →