Beveiliging waar uw directie achter kan staan
Met NIS2 is cyberbeveiliging een verantwoordelijkheid van het management geworden. We helpen u bepalen wat eerst beschermd moet worden, de juiste controles in te voeren en gedateerd bewijs bij te houden dat ze werken.
Cyberbeveiliging is nu een zaak van de raad van bestuur
Sinds de Belgische NIS2-wet in oktober 2024 in werking trad, moeten bestuursorganen de beveiligingsmaatregelen goedkeuren, het toezicht erop houden en zich laten opleiden. Financiële entiteiten vallen daarnaast onder DORA, en ransomware zoekt altijd de zwakste schakel.
Verantwoordelijkheid aan de top
Bestuurders kunnen aansprakelijk worden gesteld als verplichtingen niet worden nageleefd. Ze hebben een beeld nodig waarop ze kunnen handelen, geen technisch rapport dat ze niet kunnen lezen.
Termijnen die niet wachten
Een significant incident moet binnen 24 uur aan het CCB gemeld worden. Wie beslist en wie meldt, legt u vooraf vast, niet in de nacht zelf.
Risico dat via leveranciers binnenkomt
Dienstverleners, software en gedeelde accounts horen bij uw aanvalsoppervlak, en NIS2 verwacht dat u ze ook zo beheert.
Wat we doen
Risicoanalyse en bewustwording
We brengen in kaart wat kritiek is voor uw activiteiten, rangschikken de dreigingen en leren uw medewerkers de phishing- en fraudepogingen herkennen die op hen gericht zijn.
Applicatiebeveiliging
Authenticatie, toegangsrechten, beheer van geheimen en koppelingen met leveranciers: goede praktijken vanaf het ontwerp in uw applicaties ingebouwd.
Begeleiding bij regelgeving
NIS2, CyberFundamentals, DORA, voorbereiding op ISO 27001: we vertalen de teksten naar een geprioriteerd plan, concrete maatregelen en gedocumenteerd bewijs.
Verificatie
We testen of de beschermingen echt standhouden, ook of wat geweigerd moet worden wel degelijk geweigerd wordt, en we leggen elk resultaat gedateerd vast.
Expertise en technologieën
- Entra ID, OAuth/JWT en app-rollen
- Zero-trust API-gateways
- Geheimen in Azure Key Vault
- Geautomatiseerd certificaatbeheer
- Supply-chaincontroles in CI/CD
- Voorbereiding op ISO 27001
- NIS2 en CyberFundamentals
- Negatieve tests van toegangscontroles
Onze manier van werken
- 01
Standaard beveiligd
Alles is standaard beschermd. Elke uitzondering wordt gemeld, gemotiveerd en heeft een benoemde eigenaar.
- 02
Vroeg in het project
De beveiligingscontroles gebeuren vóór de testfase, wanneer een correctie een gesprek kost in plaats van een herbouw.
- 03
Aangetoond en gedateerd
Een controle telt pas als ze geverifieerd is. We documenteren het bewijs, zodat u het kunt tonen in plaats van beweren.
Wat er verandert voor uw directie
Een helder beeld voor het bestuur
Risico's gerangschikt in zakelijke termen en beslissingen vastgelegd, zodat het management kan aantonen dat het de maatregelen heeft goedgekeurd en opgevolgd.
Bewijs klaar voordat het gevraagd wordt
Beleid, controles en testresultaten geordend en gedateerd, klaar voor een auditor, een beoordelingsinstantie, een toezichthouder of de vragenlijst van een klant.
Een team dat weet wat te doen
Rollen, escalatie en meldingsstappen vooraf afgesproken, zodat een ernstig incident met methode wordt aangepakt in plaats van geïmproviseerd.
Bel ons wanneer
- U twijfelt of NIS2 op u van toepassing is, of in welke categorie
- Uw raad van bestuur een duidelijk antwoord wil over cyberrisico
- Een conformiteitsbeoordeling of ISO 27001-audit eraan komt
- Een belangrijke klant u een beveiligingsvragenlijst stuurt
- U een CISO nodig hebt, maar niet voltijds
Twee manieren om samen te werken
Een beveiligingsexpert in uw team
Een profiel dat uw beveiligingsteam versterkt of uw projecten beveiligt, tot een deeltijdse CISO (CISO-as-a-Service) die rapporteert aan het management en het programma aanstuurt.
Een afgebakende beveiligingsopdracht
Een gap-analyse ten opzichte van NIS2, CyberFundamentals of ISO 27001, een geprioriteerd actieplan en de uitvoering ervan, binnen een afgesproken scope en met duidelijke deliverables.
Vragen die we vaak krijgen
Valt mijn organisatie onder NIS2?
Dat hangt af van uw sector en uw omvang. We overlopen de criteria samen met u en documenteren de redenering. Ook buiten het toepassingsgebied kunnen klanten die er wel onder vallen beveiligingseisen aan u als leverancier opleggen.
Kan Keystone ons certificeren?
Nee, en dat is bewust zo. Conformiteitsbeoordelingen en certificeringen worden uitgevoerd door instanties die daarvoor erkend zijn. Onze rol is u erop voor te bereiden: maatregelen ingevoerd, bewijs op orde, lacunes gedicht voordat de beoordelaar langskomt.
Wat doet een deeltijdse CISO concreet?
Hij of zij bepaalt samen met het management de beveiligingsprioriteiten, stuurt het actieplan aan, rapporteert aan het bestuur, houdt leveranciers aan hun afspraken en is het aanspreekpunt bij een crisis. De tijdsinzet spreken we met u af en passen we aan uw noden aan.
We zijn een financiële entiteit. Dekt u ook DORA?
Ja. DORA is van toepassing sinds januari 2025, met eigen eisen rond ICT-risico, incidentmelding, weerbaarheidstests en externe ICT-dienstverleners. We koppelen die aan uw bestaande maatregelen, zodat u één programma voert in plaats van twee.
Wat zou u morgen aan uw bestuur tonen?
Laten we samen bekijken wat beschermd is, wat aangetoond is, en wat nog niet.
