Uit de kennisbank
Alle artikelenArtikelen, whitepapers en inzichten over IT-audit, informatiebeveiliging, compliance en risicomanagement.
Beantwoord 15 vragen en zie welke verplichtingen uit de AI Act voor jouw organisatie gelden en hoe compliant je nu bent, vertaald naar borging in ISO 42001.
Beantwoord 19 vragen en zie of de Cyber Resilience Act op jullie van toepassing is en of je klaar bent voor de meldplicht van 11 september 2026.
Een model dat opnieuw is getraind gedraagt zich anders, ook zonder dat er een regel code is veranderd. Hoe je wijzigingen aan AI-systemen en aan je AI-managementsysteem beheerst, en welk bewijs een auditor daarvoor opvraagt.
Bij een AI-incident is de eerste vraag altijd wie waarvoor verantwoordelijk was. Annex A.10 van ISO 42001 vraagt je die verdeling vooraf vast te leggen, richting leveranciers en richting je eigen klanten.
Op 11 september 2026 wordt de meldplicht uit de Cyber Resilience Act van toepassing. Fabrikanten van digitale producten moeten actief uitgebuite kwetsbaarheden en ernstige incidenten binnen 24 uur melden. Met interactieve zelfassessment.
Steeds meer bedrijven willen ISO 42001-gecertificeerd worden. Maar de praktijk is weerbarstiger dan de theorie. Dit zijn de zeven dingen die wij tegenkomen bij organisaties die hun AI-governance op orde willen brengen.
Een SOC 2-rapport is geen certificaat maar een attestatie. Wat de Trust Services Criteria zijn, wat er in de vier onderdelen van het rapport staat en waar je op let als je er een ontvangt.
ISAE 3402 en SOC 2 worden vaak door elkaar gehaald, maar beantwoorden verschillende vragen. De keuze hangt af van één ding: raakt je dienstverlening de jaarrekening van je klant, of hun beveiliging?
De NIS2-richtlijn brengt strikte cybersecurity-eisen met zich mee voor Nederlandse organisaties. Lees alles over de implementatie en je verplichtingen.
DORA geldt sinds 17 januari 2025 rechtstreeks in heel de EU. De vijf pijlers, voor wie de verordening precies geldt, wat toezichthouders opvragen en waar implementaties in de praktijk vastlopen.
ISO 27001:2022 bracht aanzienlijke veranderingen met zich mee. Ontdek de nieuwste updates en wat dit betekent voor jouw informatiebeveiliging.
Het Normenkader 3.0 bestaat uit 21 normen, waarvan er vijf ook op werking worden getoetst. Per normgroep welk bewijs je nodig hebt en waar het in de praktijk misgaat.
Continuous auditing biedt real-time inzicht in control-effectiviteit, in plaats van traditionele jaarlijkse snapshots. Ontdek hoe dit jouw organisatie voordeel geeft.
Een sterke IT-interne controle framework is essentieel voor betrouwbare operaties. Dit artikel gidst je door COSO en COBIT.
ISO/IEC 42001 is de eerste certificeerbare norm voor een AI-managementsysteem. Wat de clausules en Annex A-domeinen vragen, hoe certificering verloopt en hoe de norm zich verhoudt tot de EU AI Act.
BIO (Baseline Informatiebeveiliging Overheid) stelt eisen aan cybersecurity voor Nederlandse overheidsorganisaties. Leer wat dit inhoudt.
Type I toetst de opzet van je beheersmaatregelen op één moment, Type II ook de werking over een periode. Wat betekent dat voor je klanten, je planning en je budget, en wanneer sla je Type I over?
DNB, AFM en andere toezichthouders controleren scherp op IT-risicomanagement. Ontdek wat zij zoeken naar.
ISAE 3402 is de internationale standaard voor assurance over uitbestede processen. Wat staat er in een ISAE 3402-verklaring, hoe verloopt de audit, wat is het verschil tussen Type I en Type II, en wat kost een traject?
ISAE 3000 is de brede internationale assurance-standaard voor niet-financiële onderwerpen: van informatiebeveiliging en privacy tot algoritmes en duurzaamheid. Hoe verhoudt de standaard zich tot ISAE 3402 en SOC 2, en wanneer zet je hem in?
ScanZeker.nl scant jouw domein in 30 seconden op twaalf beveiligingsmodules. Van SSL/TLS en security headers tot open poorten, datalekken, subdomain takeover en aanvalspaden. Gratis, zonder account en zonder opslag van resultaten.
De NIS2-richtlijn is van kracht en de Nederlandse implementatiewet nadert. Veel organisaties weten dat ze iets moeten doen, maar niet wat. Dit artikel beschrijft de concrete stappen die organisaties nu moeten nemen om compliant te worden.
Aanvallers gebruiken AI om phishing, deepfakes en geautomatiseerde aanvallen op te schalen. Tegelijkertijd biedt AI nieuwe verdedigingsmogelijkheden. Hoe navigeer je als organisatie door dit snel veranderende dreigingslandschap?
Hoe test je de beveiliging van je website zonder security-expert te zijn? Van HTTP headers en SSL-configuratie tot e-mailbeveiliging en DNS. Een stapsgewijze aanpak voor IT-managers en ondernemers.
Logius heeft het ICT beveiligingsassessment DigiD opnieuw aangescherpt. Wat verandert er in 2026 en hoe bereid je je organisatie voor?
De EU AI Act is van kracht en ISO 42001 biedt het managementsysteem om eraan te voldoen. Maar hoe verhouden ze zich tot elkaar? En waar zitten de hiaten?
Steeds meer enterprise klanten eisen een SOC 2 rapport. Maar hoe werkt het traject precies, wat kost het, en wanneer kies je voor Type I of Type II?
De Cyberbeveiligingswet is de Nederlandse vertaling van de Europese NIS2 richtlijn. Op 15 april 2026 aangenomen door de Tweede Kamer, met inwerkingtreding per 1 juli 2026. Dit artikel legt uit wat de wet inhoudt, wie eronder valt en wat je nu moet regelen.
Elke ISO-certificering vereist periodieke interne audits. Maar hoe voer je een effectieve interne audit uit, en wat verwacht de certificeringsinstelling? Een praktische gids.
ISAE 3402 Type II vereist een observatieperiode van minimaal zes maanden. Maar hoe richt je die periode in en wat verwacht de auditor? Een praktische uitleg.
De AI-verordening (EU AI Act) treedt augustus 2026 volledig in werking voor hoog-risico AI-systemen. Hoe classificeer je jouw AI-systemen, wat zijn de verplichtingen en hoe bereid je de conformiteitsbeoordeling voor? Een praktische gids met boetes tot 35 miljoen euro.
De Cyber Resilience Act verplicht CE-markering voor cybersecurity op alle digitale producten in de EU. IoT-apparaten, software en connected devices moeten security by design zijn. Meldplicht van 24 uur, SBOM-verplichting en boetes. Dit moet je weten als fabrikant of importeur.
De ISO 27001 transitiedeadline van 31 oktober 2025 is verstreken. Certificaten op de 2013-versie zijn niet meer geldig. Wat zijn de 11 nieuwe controls, hoe update je je Statement of Applicability (SoA) en hoe pak je de transitie-audit aan?
Een gecombineerde audit van meerdere ISO-normen bespaart 25-40% tijd en kosten dankzij de gedeelde High Level Structure. Lees hoe je ISO 27001, ISO 42001, NEN 7510 en ISO 9001 integreert in één managementsysteem en audit.
Van SolarWinds tot MOVEit: supply chain aanvallen nemen toe. De Cyberbeveiligingswet (Cbw) en NIS2 verplichten ketenbeveiliging. Hoe audit je leveranciersrisico, third party risk management en toeleveringsketenbeveiliging? Vier pijlers voor een effectief programma.
Kwantumcomputers bedreigen RSA en elliptic curve cryptografie. NIST heeft de eerste post-quantum standaarden (ML-KEM, ML-DSA) gepubliceerd. Harvest now, decrypt later maakt nu handelen noodzakelijk. Start met een cryptografische inventarisatie en migratiestrategie.
ISO/IEC 42005:2025 is de eerste internationale standaard die specifiek gaat over het uitvoeren van AI-systeem impactassessments. De standaard helpt organisaties om de gevolgen van hun AI-systemen voor individuen, groepen en de samenleving gestructureerd in kaart te brengen. Geen certificeerbare norm, maar een praktische leidraad die naadloos aansluit op ISO 42001 en de EU AI Act.
Sinds 2 februari 2025 verplicht artikel 4 van de EU AI Act elke organisatie die AI inzet om te zorgen voor voldoende AI-geletterdheid bij haar personeel. Het is de eerste concrete verplichting die al van kracht is, en het raakt vrijwel iedere organisatie. Wat houdt de eis precies in en hoe geef je er invulling aan?
Sinds 2 augustus 2025 gelden onder de EU AI Act specifieke verplichtingen voor aanbieders van general-purpose AI-modellen, de modellen achter tools als GPT, Claude en Gemini. Transparantie, documentatie, auteursrecht en, voor de zwaarste modellen, eisen rond systeemrisico. Wat betekent dit voor wie zulke modellen aanbiedt of inbouwt?
Twee toonaangevende raamwerken voor AI-governance: het NIST AI Risk Management Framework en ISO 42001. Het ene is een vrijwillig risicomodel met de functies Govern, Map, Measure en Manage, het andere een certificeerbare managementsysteemnorm. Ze concurreren niet, ze vullen elkaar aan. Zo kies je en combineer je ze.
Medewerkers gebruiken AI-tools die niemand heeft goedgekeurd, leveranciers voegen stilletjes AI-functies toe, en de organisatie heeft geen overzicht. Dat is shadow AI, en het is voor iedere AI-governance het grootste blinde vlek. Een volledige AI-inventarisatie is de eerste en onmisbare stap, of je nu ISO 42001 implementeert of je voorbereidt op de EU AI Act.
In mei 2026 bereikten de EU-instellingen een akkoord over de Digital Omnibus, het eerste wijzigingspakket op de EU AI Act sinds de invoering. De verplichtingen voor hoog-risico AI-systemen schuiven op naar december 2027 en augustus 2028. Wat verandert er, wat blijft staan, en waarom is uitstel geen reden om stil te zitten?
Broken Access Control staat al jaren bovenaan de OWASP Top 10 en levert bij pentests de meeste impactvolle bevindingen op. We leggen uit hoe wij het aanvallen en hoe je het voorkomt.
De risicoanalyse is het fundament van ISO 27001, maar loopt in de praktijk vaak vast. Dit stappenplan laat zien hoe je een risicoanalyse opzet die bruikbaar blijft.
IT general controls vormen het fundament onder vrijwel elke IT-audit en assurance-opdracht, van SOC 2 tot ISAE 3402. Wat houden ITGC precies in, welke domeinen beslaan ze, en waarom bepaalt de kwaliteit ervan of een auditor op je geautomatiseerde controls kan steunen?
SQL-injectie is al ruim 25 jaar bekend en staat nog altijd in de OWASP Top 10. We leggen uit welke varianten er zijn, hoe wij er tijdens een webapplicatie-pentest op testen en waarom geparametriseerde queries de enige structurele oplossing zijn.
Zwakke authenticatie en slecht sessiebeheer horen tot de meest impactvolle bevindingen in een webapplicatie-pentest. We leggen uit welke fouten wij tegenkomen, hoe we ze testen en hoe je ze structureel voorkomt.
Zorgorganisaties en hun leveranciers vragen zich vaak af of ze ISO 27001, NEN 7510 of beide nodig hebben. We leggen de verschillen en overlap uit en helpen je een keuze te maken.
De meeste AI in organisaties is ingekocht, niet zelf gebouwd. ISO 42001 verwacht dat je grip hebt op die leveranciers. Zo richt je AI due diligence praktisch in.
"Er kijkt altijd een mens naar" is de meest genoemde AI-beheersmaatregel, en in de praktijk vaak de zwakste. Zo richt je menselijk toezicht in dat echt werkt en aantoonbaar is.
Het AI-beleid is het ankerpunt van je AI-managementsysteem en het eerste document dat een auditor opvraagt. Zo schrijf je beleid dat werkt in plaats van een papieren verbodslijst.
Een chatbot die verkeerde toezeggingen doet of een model dat discrimineert: AI-incidenten passen slecht in klassiek incidentmanagement. Zo richt je het wel goed in.
Slechte data leidt tot slechte AI-uitkomsten, en bias is zelden zichtbaar in een demo. Dit vragen ISO 42001 en de EU AI Act concreet van je datagovernance en biastesten.
ISO 42001 en ISO 23894 gaan allebei over AI-risico, maar ze doen fundamenteel verschillende dingen. De ene is certificeerbaar, de andere niet. Zo kies je de juiste combinatie.
AI-governance faalt zelden op documenten en bijna altijd op eigenaarschap. Zo beleg je de rollen in een AI-managementsysteem, van directie tot AI-systeemeigenaar.
Zonder logging valt over een AI-besluit achteraf niets te zeggen, en zonder transparantie weet niemand dat er een AI-besluit was. Dit eisen ISO 42001 en de EU AI Act concreet.
Veel organisaties denken klaar te zijn voor hun ISO 42001-audit tot de auditor doorvraagt. Deze readiness-checklist laat zien wat er echt op tafel moet liggen voordat de certificeringsaudit begint.
Een ISO 42001-certificaat zegt iets over het moment van de audit, niet over volgend jaar. AI-modellen degraderen in stilte. Dit vraagt de norm aan monitoring na certificering, en zo richt je het praktisch in.
DAST-scanners en pentests testen allebei een draaiende webapplicatie, maar leveren wezenlijk andere resultaten. We leggen uit wat elk vindt, wat elk mist en hoe je ze slim combineert.
De kosten van een pentest lopen uiteen van enkele duizenden tot tienduizenden euro's. We leggen uit hoe de prijs tot stand komt, welke factoren de doorslag geven en waar je op moet letten bij offertes.
Je leverancier stuurt een SOC 2- of ISAE 3402-rapport van tachtig pagina's. Waar begin je? Een praktische leeswijzer: het oordeel, de scope, exceptions, CUEC's en subserviceorganisaties.
SOC 2 en ISO 27001 worden vaak in één adem genoemd, maar het zijn wezenlijk verschillende instrumenten. We zetten de verschillen op een rij en laten zien hoe je beide trajecten slim combineert zonder dubbel werk.
Vrijwel elke serviceorganisatie besteedt zelf ook uit, van hosting tot e-mailverzending. Voor het assurance-rapport moet je dan kiezen: carve-out of inclusive method. We leggen het verschil uit en geven een afwegingskader.
De kosten van een SOC 2-traject bestaan uit veel meer dan alleen de auditfactuur. We splitsen de investering op in voorbereiding, tooling, audit en interne uren, en laten zien welke keuzes de prijs bepalen.
Een bridge letter overbrugt de periode tussen het einde van de observatieperiode van een SOC 2- of ISAE 3402-rapport en de rapportagedatum van de afnemer. We leggen uit wat erin staat, wat de brief wel en niet waard is en hoe je hem opstelt.
De system description is het hart van elk SOC 2- en ISAE 3402-rapport, en het enige deel dat het management zelf schrijft. We leggen uit wat erin moet, wat de auditor ermee doet en welke fouten je wilt vermijden.
Klanten, toezichthouders en besturen vragen steeds vaker om aantoonbare beheersing van algoritmes en AI. ISAE 3000 biedt daarvoor een volwassen assurance-raamwerk. Hoe werkt algoritme-assurance en wanneer is het zinvol?
Het eerste SOC 2-jaar is het zwaarste. Van een te brede scope tot bewijs dat pas aan het einde wordt verzameld: dit zijn de fouten die wij als auditors het vaakst zien, en wat je kunt doen om ze te voorkomen.
In elk SOC 2- en ISAE 3402-rapport staat een verklaring van het management zelf: de management assertion. Wat verklaar je daar precies, wie ondertekent hem, en welke fouten zien wij als auditors in de praktijk?
Naast SOC 1 en SOC 2 bestaat er een derde variant: het SOC 3-rapport. Een publiek deelbaar rapport op basis van dezelfde audit als SOC 2. Wat staat erin, wat juist niet, en wanneer is het de investering waard?
De EU AI Act verplicht providers van generatieve AI om synthetische content machineleesbaar te markeren. Maar hoe doe je dat technisch? Een praktische uitleg van C2PA, watermerken en metadata, inclusief de beperkingen.
Op 2 augustus 2026 wordt artikel 50 van de EU AI Act van toepassing: transparantieverplichtingen voor chatbots, AI-gegenereerde content, deepfakes en emotieherkenning. Wie moet wat doen, en wat is er via de Digital Omnibus uitgesteld?
Vanaf 2 augustus 2026 moeten chatbots en voicebots zo zijn ontworpen dat gebruikers weten dat zij met AI praten. Wat vraagt artikel 50 precies, waar zit het grijze gebied, en hoe richt je de melding praktisch in?
Vanaf 2 augustus 2026 moeten organisaties die deepfakes of AI-gegenereerde media publiceren dat kenbaar maken. Wanneer is iets een deepfake, wie moet labelen, en hoe doe je dat zonder je content te ontsieren?
Op 2 augustus 2026 worden de transparantieverplichtingen van artikel 50 EU AI Act van toepassing. Loop met deze checklist na of je organisatie klaar is: van AI-inventarisatie tot chatbotmelding, contentlabels en leverancierscontracten.
Het pentestrapport is binnen. En dan? Hoe je bevindingen prioriteert, aan de bron herstelt in plaats van symptomen wegpoetst, en wat een retest oplevert voor je beveiliging en je auditbewijs.
Elk SOC 2- en ISAE 3402-rapport bevat een lijst beheersmaatregelen die de serviceorganisatie bij jou als afnemer veronderstelt: de complementary user entity controls. Wie die lijst negeert, leunt op zekerheid die er niet is.
Artikel 5 van de EU AI Act verbiedt acht AI-praktijken en geldt al sinds 2 februari 2025, met de hoogste boetes van de hele verordening. Twee verboden raken direct aan HR- en marketingtooling die gewone bedrijven vandaag inkopen.
ISO 42001 kent twee beoordelingen die vaak door elkaar worden gehaald: de AI-risicobeoordeling (clausule 6.1.2) en het AI system impact assessment (clausule 6.1.4). Wat is het verschil, en hoe richt je beide goed in?
De scope van je AI-managementsysteem bepaalt welke AI-systemen, afdelingen en levenscyclusfasen onder je certificering vallen. Wat neem je op, wat mag je uitsluiten en waar gaat het mis?
ISO 42001 vraagt om een Statement of Applicability voor alle 38 Annex A-beheersmaatregelen. Wat moet erin staan, hoe onderbouw je uitsluitingen en welke fouten zien wij het vaakst?
Waar gaat het meestal mis bij een ISO 42001-audit? Een overzicht van de afwijkingen die auditors het vaakst noteren, geordend per hoofdstuk van de norm, met per punt hoe je hem voorkomt.
Artikel 27 van de EU AI Act verplicht bepaalde gebruiksverantwoordelijken van hoog-risico-AI om vóór ingebruikname een fundamental rights impact assessment (FRIA) uit te voeren. Voor wie geldt dit, uit welke zes onderdelen bestaat de beoordeling en hoe verhoudt de FRIA zich tot je DPIA?
ISO 42001 vraagt op tientallen plaatsen om gedocumenteerde informatie. Dit overzicht loopt per clausule langs de documenten die een certificeringsauditor wil zien, van contextanalyse tot afwijkingenregister.
Annex A.6 van ISO 42001 volgt een AI-systeem van ontwerpdoelstelling tot logging in productie. Per fase: wat de controls vragen, welk bewijs een auditor verwacht en waar het in de praktijk misgaat.
Een afwijking constateren is stap één. Clausule 10.2 van ISO 42001 vraagt om correctie, oorzaakanalyse, corrigerende maatregelen en verificatie van de doeltreffendheid. Zo richt je dat proces in voor AI.
Wie voert bij jullie de AI-risicobeoordelingen uit, en waaruit blijkt dat die persoon dat kan? Clausules 7.2 en 7.3 van ISO 42001 stellen eisen aan competentie en bewustzijn. Zo vul je ze in, inclusief de link met AI-geletterdheid uit de EU AI Act.
De meeste organisaties bouwen geen AI, maar gebruiken het. Voor wie een hoog-risico AI-systeem inzet, staat in artikel 26 van de EU AI Act een eigen lijst verplichtingen: menselijk toezicht, monitoring, logging en informatieplichten. Een overzicht per lid.
Boetes tot 35 miljoen euro of 7% van de wereldwijde omzet: de bedragen uit de EU AI Act halen elke presentatie. Hoe het boeteregime van artikel 99 echt in elkaar zit, is minder bekend. De drie categorieën, de MKB-regel, de factoren die de hoogte bepalen en de vraag wie er handhaaft.
Op welke data draait jullie AI-systeem, met welke tooling is het gebouwd en wie kan het onderhouden? Annex A.4 van ISO 42001 vraagt om documentatie van alle resources per AI-systeem. Dit hoort erin te staan, met de afwijkingen die auditors het vaakst zien.
Het eerste SOC 2-rapport is binnen en dan komt de vraag: hoe nu verder? SOC 2 is een jaarlijkse cyclus. Hoe je observatieperiodes laat aansluiten, wat er in jaar twee anders is en welke fouten organisaties na hun eerste rapport het vaakst maken.
Wie mag een AI-systeem gebruiken, waarvoor, en wat gebeurt er als iemand buiten die grenzen treedt? Annex A.9 van ISO 42001 stelt drie eisen aan het gebruik van AI-systemen. Wat een auditor daarbij verwacht en welke afwijkingen het vaakst voorkomen.
Wie met je AI-systemen werkt of erdoor geraakt wordt, moet weten waar hij aan toe is. Annex A.8 van ISO 42001 stelt vier eisen aan documentatie, meldkanalen en communicatie. Wat een auditor per control verwacht en welke afwijkingen het vaakst voorkomen.
Cross-site scripting blijft een van de meest gevonden kwetsbaarheden in webapplicatiepentests. Wat reflected, stored en DOM-based XSS van elkaar onderscheidt, hoe een pentester ernaar zoekt en welke maatregelen het probleem echt oplossen.
Een AI-systeem is zo betrouwbaar als de data waarop het draait. Annex A.7 van ISO 42001 stelt daarom eisen aan datamanagement, verwerving, kwaliteit, herkomst en voorbereiding van data. Per control: wat een auditor verwacht en welke afwijkingen wij het vaakst zien.
Clausule 9.2 van ISO 42001 vraagt om interne audits én om een auditprogramma dat die audits stuurt. Hoe je dat inricht, wat een auditor toetst en welke afwijkingen het vaakst voorkomen.
Clausule 9.3 van ISO 42001 is vrij precies over wat er op tafel moet liggen bij de managementreview en wat eruit moet komen. Een praktische invulling van inputs, outputs en frequentie.
Ontvang onze nieuwste artikelen en inzichten over IT-audit, compliance en informatiebeveiliging.