Compliancy als fundament

Compliance en compliancy: meer dan een spellingskwestie

Compliance is doen wat de wet vraagt: maatregelen implementeren, medewerkers trainen, processen inrichten. Maar als niemand kan verifiëren dát dat gebeurt — geen logboek, geen versiedatum op het beleid, geen registratie van de training — dan valt er bij een audit niets te laten zien.

Compliancy voegt die bewijslast toe. Het is het verschil tussen een brandmelder aan de muur en een brandmelder die getest is, met de testdatum en de verantwoordelijke medewerker in het logboek. Auditors zoeken geen intenties maar artefacten: een ondertekend beleid met een datum, een risicoregister met een reviewcyclus, een incidentlog met tijdstempels.

De meeste organisaties die zakken voor een audit doen het niet fout — ze kunnen alleen niet laten zien dat ze het goed doen.

In de praktijk komt het neer op drie opeenvolgende stappen, waarvan de laatste het vaakst wordt overgeslagen. Niet omdat papierwerk een doel op zich is, maar omdat een auditor of toezichthouder achteraf moet kunnen vaststellen dat het op dát moment in orde was.

1. Identificatie — Welke kaders zijn op ons van toepassing, en in welke scope?
2. Implementatie — Hoe richten we systemen, processen en gedrag in zodat ze voldoen?
3. Verantwoording — Hoe bewijzen we, nu en achteraf, dat we het doen?

NIS2: de urgentste van de vijf

Van alle kaders heeft NIS2 (Richtlijn 2022/2555/EU) op dit moment de grootste impact. De Nederlandse invulling, de Cyberbeveiligingswet, treedt op 15 augustus 2026 in werking en raakt zo'n 8.000 organisaties — veel daarvan krijgen voor het eerst met afdwingbare beveiligingseisen te maken.

De kernvereisten samengevat

• Risicobeheer: gestructureerde identificatie en beheersing van cyberrisico's
• Incidentmelding: ernstige incidenten binnen 24 uur melden bij de toezichthouder
• Beveiliging van kritieke diensten: hogere norm voor organisaties in kritieke sectoren
• Ketenbeveiliging: eisen aan leveranciers en partners
• Audit & bewijs: uitgebreide documentatie en periodieke audits

Wat auditors verwachten

Een externe auditor zoekt naar zes kernzaken. Niet allemaal formele vereisten, maar ze worden overal verwacht:

Classificatie als fundament

Classificatie is de taal van compliancy. Zonder de juiste woorden kunt u niet over risico's spreken.

Een vaak onderschat onderdeel van compliancy is classificatie. Wie precies weet wat welke informatie is — publiek, intern, vertrouwelijk, persoonsgegeven, medisch — kan gerichte controles toepassen. Zonder classificatie past u noodgedwongen dezelfde controles toe op alles: te zwaar voor het onschuldige, te licht voor het kritieke.

De kaders erkennen dat allemaal. ISO 27001 vraagt om assetclassificatie, NIS2 om het identificeren van essentiële systemen, de AVG om onderscheid tussen persoonsgegevens en overige data, en de AI Act om risiconiveaus per AI-systeem.

De belangrijkste bronnen per kader.

Onderstaande tabel bevat de officiële bronnen per wettelijk kader. Waar wij een eigen analyse of weekbericht hebben gepubliceerd, staat die in de laatste kolom.