Vanmiddag zat ik bij een potentiële klant aan tafel die binnen een jaar ISO-gecertificeerd wil zijn. De aanleiding is extern: een klant van hen vraagt of ze dat kunnen aantonen met een ISO-certificaat.
Bij dat gesprek liet ik zien hoe ik een compliance-traject vastleg in het platform waarmee ik werk: een plek waar je je processen beschrijft, maatregelen vastlegt en kunt zien of je nog op schema ligt. Wat hen vooral enthousiast maakte, was juist die module: die maakt het traject naar zo’n certificaat behapbaar.
Dat zette me aan het denken. Wat beide klanten eigenlijk zeggen, zonder het zo te benoemen, is dat ze op zoek zijn naar een plek waar het proces gewoon vastligt, in plaats van in het hoofd van één persoon: een duidelijk overzicht van waar je staat en waar je naartoe beweegt.
ISO 27001 is in de kern een proces: je bepaalt welke maatregelen je nodig hebt, voert ze uit, en legt vast dat je dat gedaan hebt. Die vastlegging is je bewijs, en dat bewijs is waarmee je een auditor laat zien dat dit een lopend proces is. Dat klinkt bureaucratisch, en dat is het soms ook. Maar niet zo ingewikkeld als het op het eerste gezicht lijkt.
Daar zit de knoop die veel MKB-ondernemers voor zich uit schuiven. Ze denken dat zo’n proces om een CISO vraagt, iemand met een dik vakjargon-vocabulaire die er fulltime op zit. En dat schrikt af: dat salaris staat niet in verhouding tot een bedrijf van dertig man.
Die aanname klopt volgens mij niet. Grip op zo’n traject zit in een systeem dat onthoudt wat er moet gebeuren, wanneer, en of het gedaan is. Dat systeem is het geheugen.
Wat je dan nog wel nodig hebt, is iemand die er af en toe kritisch doorheen kijkt. Een paar keer per jaar is genoeg: klopt wat hier vastligt nog met de praktijk? Staat deze maatregel hier omdat ie nog steeds zinvol is, of omdat iemand ‘m twee jaar geleden heeft afgevinkt? Dat is een ander soort werk dan een CISO aannemen. Meer een APK dan een vaste monteur.
En dit geldt trouwens niet alleen voor ISO. NIS2 vraagt vrijwel hetzelfde: een proces, maatregelen, en kunnen aantonen dat je ze uitvoert. Andere norm, zelfde onderliggende vraag.
Dus als jij ook met zo’n traject bezig bent, of erover denkt: kijk naar waar het straks vastligt. In iemands hoofd, in een losse Excel, of in een systeem dat je er zelf aan herinnert? En wie kijkt daar dan nog eens kritisch doorheen, voordat een auditor het voor je doet?