Uit de kennisbank
Alle artikelenArtikelen, whitepapers en inzichten over IT-audit, informatiebeveiliging, compliance en risicomanagement.
Beantwoord 15 vragen en zie welke verplichtingen uit de AI Act voor jouw organisatie gelden en hoe compliant je nu bent, vertaald naar borging in ISO 42001.
Beantwoord 19 vragen en zie of de Cyber Resilience Act op jullie van toepassing is en of je klaar bent voor de meldplicht van 11 september 2026.
Een model dat opnieuw is getraind gedraagt zich anders, ook zonder dat er een regel code is veranderd. Hoe je wijzigingen aan AI-systemen en aan je AI-managementsysteem beheerst, en welk bewijs een auditor daarvoor opvraagt.
Bij een AI-incident is de eerste vraag altijd wie waarvoor verantwoordelijk was. Annex A.10 van ISO 42001 vraagt je die verdeling vooraf vast te leggen, richting leveranciers en richting je eigen klanten.
Op 11 september 2026 wordt de meldplicht uit de Cyber Resilience Act van toepassing. Fabrikanten van digitale producten moeten actief uitgebuite kwetsbaarheden en ernstige incidenten binnen 24 uur melden. Met interactieve zelfassessment.
Een certificatie-instelling toetst je AI-managementsysteem, niet elk model. Hoe de audit in twee fasen verloopt, wat een auditor opvraagt en waar organisaties in de praktijk op vastlopen.
Een SOC 2-rapport is geen certificaat maar een attestatie. Wat de Trust Services Criteria zijn, wat er in de vier onderdelen van het rapport staat en waar je op let als je er een ontvangt.
ISAE 3402 gaat over de jaarrekening van je klant, SOC 2 over beveiliging. Zo kies je tussen de twee, wat ze gemeen hebben en wat een gecombineerde audit wel en niet scheelt.
NIS2 is in Nederland geen vooruitzicht meer. Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, zonder overgangstermijn. Wie eronder valt, welke drie plichten er zijn en waar organisaties in de praktijk op vastlopen.
DORA geldt sinds 17 januari 2025 rechtstreeks in heel de EU. De vijf pijlers, voor wie de verordening precies geldt, wat toezichthouders opvragen en waar implementaties in de praktijk vastlopen.
Annex A ging van 114 naar 93 beheersmaatregelen in vier thema's, de hoofdtekst kreeg een nieuwe clausule en in 2024 kwam er een klimaatamendement bij. Wat dat betekent voor je SoA, je interne audit en je certificaat.
Het Normenkader 3.0 bestaat uit 21 normen, waarvan er vijf ook op werking worden getoetst. Per normgroep welk bewijs je nodig hebt en waar het in de praktijk misgaat.
Continuous auditing betekent beheersmaatregelen gedurende het jaar toetsen in plaats van één keer achteraf. Het verschil met continuous monitoring, de datagedreven en de periodieke variant, de verhouding tot ISAE 3402 en SOC 2, en hoe je begint.
Een sterke IT-interne controle framework is essentieel voor betrouwbare operaties. Dit artikel gidst je door COSO en COBIT.
ISO/IEC 42001 is de eerste certificeerbare norm voor een AI-managementsysteem. Wat de clausules en Annex A-maatregelen vragen, hoe certificering verloopt en wat de norm niet regelt van de EU AI Act.
BIO (Baseline Informatiebeveiliging Overheid) stelt eisen aan cybersecurity voor Nederlandse overheidsorganisaties. Leer wat dit inhoudt.
Type I toetst de opzet op één moment, Type II ook de werking over een periode. Wat klanten accepteren, hoe lang de observatieperiode moet zijn en wanneer je Type I kunt overslaan.
DNB, AFM en andere toezichthouders controleren scherp op IT-risicomanagement. Ontdek wat zij zoeken naar.
Elke organisatie met een DigiD-aansluiting levert jaarlijks voor 1 mei een assessmentrapportage in bij Logius. De termijnen voor nieuwe en bestaande aansluitingen, de vijf normen op werking, het RSO van leveranciers, wat Logius doet bij tekortkomingen en wat er in 2025 en 2026 is veranderd.
NEN 7510 is de wettelijk aangewezen norm voor informatiebeveiliging in de zorg. Wat er in deel 1 en deel 2 staat, welke organisaties eraan moeten voldoen, wat de IGJ bedoelt met aantoonbaar voldoen, wat er in de versie van 2024 is veranderd, hoe certificering onder NCS 7510 werkt en waar het in de praktijk vastloopt.
Een scan vindt bekende kwetsbaarheden, een pentester vindt de combinaties die daar niet in staan. Verschil in diepgang, kosten, rapportage en wat normen ervan verwachten.
De volgorde waarin een ISO 27001-traject wel werkt: eerst de scope en de risicobeoordeling, dan pas Annex A, en wat stage 1 en stage 2 echt toetsen.
ISAE 3402 is de internationale standaard voor assurance over uitbestede processen. Wat staat er in een ISAE 3402-verklaring, hoe verloopt de audit, wat is het verschil tussen Type I en Type II, en wat kost een traject?
ISAE 3000 is de brede assurance-standaard voor onderwerpen buiten de jaarrekening, van informatiebeveiliging en privacy tot algoritmes. Wat de standaard inhoudt, hoe hij zich verhoudt tot ISAE 3402 en SOC 2, en wanneer je hem inzet.
Uitbesteden verplaatst de uitvoering, niet de verantwoordelijkheid. Hoe je een leveranciersregister, classificatie, due diligence, contracten en monitoring inricht, en wat een auditor daar onder ISO 27001, SOC 2, NIS2 en DORA van wil zien.
Security zit altijd in scope, de andere vier categorieën kies je zelf. Wat elke categorie inhoudt, wanneer je hem opneemt en wat de keuze kost aan controls en bewijslast.
Een audit readiness assessment toetst kort voor de audit of de maatregelen werken en of het bewijs op verzoek te leveren is. Wat er anders is dan bij een gap-analyse, hoe je toetst zoals de auditor toetst en wanneer je de auditdatum verschuift.
Wijzigingsbeheer is de eerste control die een IT-auditor toetst, omdat alle andere geautomatiseerde controls erop steunen. Wat de auditor per stap wil zien, hoe hij de volledigheid van de wijzigingenlijst controleert, en hoe je functiescheiding regelt in een klein DevOps-team.
Een gap-analyse legt de huidige inrichting naast de eisen van ISO 27001, SOC 2, NIS2 of DORA. Waar je begint, wat er per eis wordt getoetst en waarom de hoofdtekst van de norm zwaarder weegt dan Annex A.
ScanZeker.nl scant jouw domein in 30 seconden op twaalf beveiligingsmodules. Van SSL/TLS en security headers tot open poorten, datalekken, subdomain takeover en aanvalspaden. Gratis, zonder account en zonder opslag van resultaten.
De NIS2-richtlijn is van kracht en de Nederlandse implementatiewet nadert. Veel organisaties weten dat ze iets moeten doen, maar niet wat. Dit artikel beschrijft de concrete stappen die organisaties nu moeten nemen om compliant te worden.
Aanvallers gebruiken AI om phishing, deepfakes en geautomatiseerde aanvallen op te schalen. Tegelijkertijd biedt AI nieuwe verdedigingsmogelijkheden. Hoe navigeer je als organisatie door dit snel veranderende dreigingslandschap?
Hoe test je de beveiliging van je website zonder security-expert te zijn? Van HTTP headers en SSL-configuratie tot e-mailbeveiliging en DNS. Een stapsgewijze aanpak voor IT-managers en ondernemers.
ISO 42001 dekt een flink deel van wat de EU AI Act van je managementsysteem vraagt, maar vervangt conformiteitsbeoordeling en CE-markering niet. Waar overlappen ze, en wat blijft over?
Bij een multi-tenant SaaS-dienst zit het werk niet in de keuze tussen Type I en Type II, maar in de systeemgrens, de rol van je cloudleverancier en de vraag of je bewijs een volledige populatie beslaat.
De Cyberbeveiligingswet is de Nederlandse vertaling van de Europese NIS2 richtlijn. Sinds 15 augustus 2026 in werking, na aanname door de Tweede Kamer op 15 april 2026 en door de Eerste Kamer op 7 juli 2026. Dit artikel legt uit wat de wet inhoudt, wie eronder valt en wat je nu moet regelen.
ISO 22301 is nergens wettelijk verplicht, maar NIS2 en DORA eisen wel dat je continuïteit aantoonbaar beheerst. Wat de norm vraagt, van BIA en hersteltijden tot oefenprogramma en certificeringsaudit.
ISO 27701 is sinds de editie van 2025 een zelfstandige norm voor privacymanagement. Wat de norm eist, hoe hij zich verhoudt tot de AVG, het verschil tussen verantwoordelijke en verwerker, en waar een auditor naar kijkt.
Elke ISO-certificering vereist periodieke interne audits. Maar hoe voer je een effectieve interne audit uit, en wat verwacht de certificeringsinstelling? Een praktische gids.
Wat je regelt voordat de observatieperiode van je eerste SOC 2-audit begint: scope, nulmeting, controls die kloppen met de praktijk, bewijs dat vanaf dag een wordt vastgelegd, leveranciers en eigenaarschap. Met de fouten die wij als auditors in het eerste jaar het vaakst zien.
ISAE 3402 Type II vereist een observatieperiode van minimaal zes maanden. Maar hoe richt je die periode in en wat verwacht de auditor? Een praktische uitleg.
Draait het burgerportaal van je klant op jouw platform, dan wordt een deel van de 21 DigiD-normen bij jou getoetst. Hoe de normverdeling werkt, wat er in een RSO staat, wanneer een ISAE 3402- of SOC 2-rapport volstaat, hoe oud het rapport mag zijn en hoe je de pre-check van Logius benut.
DORA geldt niet rechtstreeks voor ICT-dienstverleners, maar komt via het contract alsnog bij je binnen. Welke bepalingen je klant verplicht moet opnemen, wat hij voor het informatieregister bij je opvraagt en hoe je het auditwerk beperkt.
Een IT-audit loopt vooral vast op bewijs dat er niet is of niet deugt. Wat een auditor onder bewijs verstaat, waarom de populatie zwaarder weegt dan de steekproef, wat een export of screenshot moet tonen en welk gat achteraf niet meer te dichten is.
De AI-verordening (EU AI Act) treedt augustus 2026 volledig in werking voor hoog-risico AI-systemen. Hoe classificeer je jouw AI-systemen, wat zijn de verplichtingen en hoe bereid je de conformiteitsbeoordeling voor? Een praktische gids met boetes tot 35 miljoen euro.
De Cyber Resilience Act verplicht CE-markering voor cybersecurity op alle digitale producten in de EU. IoT-apparaten, software en connected devices moeten security by design zijn. Meldplicht van 24 uur, SBOM-verplichting en boetes. Dit moet je weten als fabrikant of importeur.
Een gecombineerde audit van meerdere ISO-normen bespaart 25-40% tijd en kosten dankzij de gedeelde High Level Structure. Lees hoe je ISO 27001, ISO 42001, NEN 7510 en ISO 9001 integreert in één managementsysteem en audit.
Van SolarWinds tot MOVEit: supply chain aanvallen nemen toe. De Cyberbeveiligingswet (Cbw) en NIS2 verplichten ketenbeveiliging. Hoe audit je leveranciersrisico, third party risk management en toeleveringsketenbeveiliging? Vier pijlers voor een effectief programma.
Kwantumcomputers bedreigen RSA en elliptic curve cryptografie. NIST heeft de eerste post-quantum standaarden (ML-KEM, ML-DSA) gepubliceerd. Harvest now, decrypt later maakt nu handelen noodzakelijk. Start met een cryptografische inventarisatie en migratiestrategie.
ISO/IEC 42005:2025 is de internationale guidance voor AI-systeem impactassessments. Wat de leidraad aanbeveelt, hoe hij aansluit op clausule 6.1.4 en 8.4 van ISO 42001, wat een auditor wil zien en hoe de assessment zich verhoudt tot een DPIA en de AI Act.
Sinds 2 februari 2025 verplicht artikel 4 van de EU AI Act elke organisatie die AI inzet om te zorgen voor voldoende AI-geletterdheid bij haar personeel. Het is de eerste concrete verplichting die al van kracht is, en het raakt vrijwel iedere organisatie. Wat houdt de eis precies in en hoe geef je er invulling aan?
Sinds 2 augustus 2025 gelden onder de EU AI Act specifieke verplichtingen voor aanbieders van general-purpose AI-modellen, de modellen achter tools als GPT, Claude en Gemini. Transparantie, documentatie, auteursrecht en, voor de zwaarste modellen, eisen rond systeemrisico. Wat betekent dit voor wie zulke modellen aanbiedt of inbouwt?
Twee toonaangevende raamwerken voor AI-governance: het NIST AI Risk Management Framework en ISO 42001. Het ene is een vrijwillig risicomodel met de functies Govern, Map, Measure en Manage, het andere een certificeerbare managementsysteemnorm. Ze concurreren niet, ze vullen elkaar aan. Zo kies je en combineer je ze.
Medewerkers gebruiken AI-tools die niemand heeft goedgekeurd, leveranciers voegen stilletjes AI-functies toe, en de organisatie heeft geen overzicht. Dat is shadow AI, en het is voor iedere AI-governance het grootste blinde vlek. Een volledige AI-inventarisatie is de eerste en onmisbare stap, of je nu ISO 42001 implementeert of je voorbereidt op de EU AI Act.
De Digital Omnibus, Verordening (EU) 2026/1744, is op 27 juli 2026 in werking getreden. Hoog-risico AI schuift naar 2 december 2027 en 2 augustus 2028. Wat is gewijzigd, wat geldt al en wat regel je nu?
In januari 2026 verscheen de OWASP Top 10:2025, de eerste grote update sinds 2021. We lopen de tien categorieën langs vanuit het perspectief van de pentester.
De meeste beveiligingsproblemen ontstaan in het ontwerp, niet in de code. Threat modeling brengt dreigingen vroeg in kaart. We leggen STRIDE praktisch uit.
Hoe je een AI-managementsysteem opbouwt dat een certificeringsaudit doorstaat: acht stappen in volgorde, de clausule die bij elke stap hoort en waar trajecten in de praktijk vastlopen.
ISO 42001 schrijft geen software voor. Wat de norm vastgelegd wil zien, wanneer een spreadsheet volstaat, wanneer een GRC-tool zin heeft en hoe een auditor het AIMS toetst, ook in ons auditplatform.
De SoA is verplicht voor ISO 27001-certificering en is het document waar de auditor mee begint. Wat clausule 6.1.3 eist, hoe een goede regel in de SoA eruitziet, hoe je uitsluitingen onderbouwt en wat een auditor controleert.
Broken Access Control staat al jaren bovenaan de OWASP Top 10 en levert bij pentests de meeste impactvolle bevindingen op. We leggen uit hoe wij het aanvallen en hoe je het voorkomt.
De risicoanalyse is het fundament van ISO 27001, maar loopt in de praktijk vaak vast. Dit stappenplan laat zien hoe je een risicoanalyse opzet die bruikbaar blijft.
APIs vormen inmiddels het grootste deel van het aanvalsoppervlak van moderne applicaties, maar worden bij een pentest vaak onderbelicht. We leggen uit waarom een API-pentest andere aandacht vraagt dan een klassieke webapplicatietest.
Bij een risicoanalyse voor informatiebeveiliging staat elke organisatie voor dezelfde keuze: werk je met inschattingen op een schaal, of reken je risico's door in geld en kans? We zetten beide methoden naast elkaar en laten zien wanneer welke aanpak werkt.
IT general controls vormen het fundament onder vrijwel elke IT-audit en assurance-opdracht, van SOC 2 tot ISAE 3402. Wat houden ITGC precies in, welke domeinen beslaan ze, en waarom bepaalt de kwaliteit ervan of een auditor op je geautomatiseerde controls kan steunen?
Een goed interne-auditprogramma is meer dan een lijstje audits per jaar. We leggen uit hoe u risicogebaseerd een jaarplan opstelt dat voldoet aan ISO 27001 en aantoonbaar waarde toevoegt.
SQL-injectie is al ruim 25 jaar bekend en staat nog altijd in de OWASP Top 10. We leggen uit welke varianten er zijn, hoe wij er tijdens een webapplicatie-pentest op testen en waarom geparametriseerde queries de enige structurele oplossing zijn.
Zwakke authenticatie en slecht sessiebeheer horen tot de meest impactvolle bevindingen in een webapplicatie-pentest. We leggen uit welke fouten wij tegenkomen, hoe we ze testen en hoe je ze structureel voorkomt.
Zorgorganisaties en hun leveranciers vragen zich vaak af of ze ISO 27001, NEN 7510 of beide nodig hebben. We leggen de verschillen en overlap uit en helpen je een keuze te maken.
De meeste AI in organisaties is ingekocht, niet zelf gebouwd. ISO 42001 verwacht dat je grip hebt op die leveranciers. Zo richt je AI due diligence praktisch in.
"Er kijkt altijd een mens naar" is de meest genoemde AI-beheersmaatregel, en in de praktijk vaak de zwakste. Zo richt je menselijk toezicht in dat echt werkt en aantoonbaar is.
Het AI-beleid is het ankerpunt van je AI-managementsysteem en het eerste document dat een auditor opvraagt. Zo schrijf je beleid dat werkt in plaats van een papieren verbodslijst.
Een chatbot die verkeerde toezeggingen doet of een model dat discrimineert: AI-incidenten passen slecht in klassiek incidentmanagement. Zo richt je het wel goed in.
Slechte data leidt tot slechte AI-uitkomsten, en bias is zelden zichtbaar in een demo. Dit vragen ISO 42001 en de EU AI Act concreet van je datagovernance en biastesten.
ISO 42001 en ISO 23894 gaan allebei over AI-risico, maar ze doen fundamenteel verschillende dingen. De ene is certificeerbaar, de andere niet. Zo kies je de juiste combinatie.
AI-governance faalt zelden op documenten en bijna altijd op eigenaarschap. Zo beleg je de rollen in een AI-managementsysteem, van directie tot AI-systeemeigenaar.
Zonder logging valt over een AI-besluit achteraf niets te zeggen, en zonder transparantie weet niemand dat er een AI-besluit was. Dit eisen ISO 42001 en de EU AI Act concreet.
Veel organisaties denken klaar te zijn voor hun ISO 42001-audit tot de auditor doorvraagt. Deze readiness-checklist laat zien wat er echt op tafel moet liggen voordat de certificeringsaudit begint.
Een ISO 42001-certificaat zegt iets over het moment van de audit, niet over volgend jaar. AI-modellen degraderen in stilte. Dit vraagt de norm aan monitoring na certificering, en zo richt je het praktisch in.
DAST-scanners en pentests testen allebei een draaiende webapplicatie, maar leveren wezenlijk andere resultaten. We leggen uit wat elk vindt, wat elk mist en hoe je ze slim combineert.
De kosten van een pentest lopen uiteen van enkele duizenden tot tienduizenden euro's. We leggen uit hoe de prijs tot stand komt, welke factoren de doorslag geven en waar je op moet letten bij offertes.
Je leverancier stuurt een SOC 2- of ISAE 3402-rapport van tachtig pagina's. Waar begin je? Een praktische leeswijzer: het oordeel, de scope, exceptions, CUEC's en subserviceorganisaties.
SOC 2 en ISO 27001 worden vaak in één adem genoemd, maar het zijn wezenlijk verschillende instrumenten. We zetten de verschillen op een rij en laten zien hoe je beide trajecten slim combineert zonder dubbel werk.
Vrijwel elke serviceorganisatie besteedt zelf ook uit, van hosting tot e-mailverzending. Voor het assurance-rapport moet je dan kiezen: carve-out of inclusive method. We leggen het verschil uit en geven een afwegingskader.
De kosten van een SOC 2-traject bestaan uit veel meer dan alleen de auditfactuur. We splitsen de investering op in voorbereiding, tooling, audit en interne uren, en laten zien welke keuzes de prijs bepalen.
Een bridge letter overbrugt de periode tussen het einde van de observatieperiode van een SOC 2- of ISAE 3402-rapport en de rapportagedatum van de afnemer. We leggen uit wat erin staat, wat de brief wel en niet waard is en hoe je hem opstelt.
De system description is het hart van elk SOC 2- en ISAE 3402-rapport, en het enige deel dat het management zelf schrijft. We leggen uit wat erin moet, wat de auditor ermee doet en welke fouten je wilt vermijden.
Klanten, toezichthouders en besturen vragen steeds vaker om aantoonbare beheersing van algoritmes en AI. ISAE 3000 biedt daarvoor een volwassen assurance-raamwerk. Hoe werkt algoritme-assurance en wanneer is het zinvol?
In elk SOC 2- en ISAE 3402-rapport staat een verklaring van het management zelf: de management assertion. Wat verklaar je daar precies, wie ondertekent hem, en welke fouten zien wij als auditors in de praktijk?
Naast SOC 1 en SOC 2 bestaat er een derde variant: het SOC 3-rapport. Een publiek deelbaar rapport op basis van dezelfde audit als SOC 2. Wat staat erin, wat juist niet, en wanneer is het de investering waard?
De EU AI Act verplicht providers van generatieve AI om synthetische content machineleesbaar te markeren. Maar hoe doe je dat technisch? Een praktische uitleg van C2PA, watermerken en metadata, inclusief de beperkingen.
Op 2 augustus 2026 wordt artikel 50 van de EU AI Act van toepassing: transparantieverplichtingen voor chatbots, AI-gegenereerde content, deepfakes en emotieherkenning. Wie moet wat doen, en wat is er via de Digital Omnibus uitgesteld?
Vanaf 2 augustus 2026 moeten chatbots en voicebots zo zijn ontworpen dat gebruikers weten dat zij met AI praten. Wat vraagt artikel 50 precies, waar zit het grijze gebied, en hoe richt je de melding praktisch in?
Vanaf 2 augustus 2026 moeten organisaties die deepfakes of AI-gegenereerde media publiceren dat kenbaar maken. Wanneer is iets een deepfake, wie moet labelen, en hoe doe je dat zonder je content te ontsieren?
Op 2 augustus 2026 worden de transparantieverplichtingen van artikel 50 EU AI Act van toepassing. Loop met deze checklist na of je organisatie klaar is: van AI-inventarisatie tot chatbotmelding, contentlabels en leverancierscontracten.
Het pentestrapport is binnen. En dan? Hoe je bevindingen prioriteert, aan de bron herstelt in plaats van symptomen wegpoetst, en wat een retest oplevert voor je beveiliging en je auditbewijs.
Elk SOC 2- en ISAE 3402-rapport bevat een lijst beheersmaatregelen die de serviceorganisatie bij jou als afnemer veronderstelt: de complementary user entity controls. Wie die lijst negeert, leunt op zekerheid die er niet is.
Artikel 5 van de EU AI Act verbiedt acht AI-praktijken en geldt al sinds 2 februari 2025, met de hoogste boetes van de hele verordening. Twee verboden raken direct aan HR- en marketingtooling die gewone bedrijven vandaag inkopen.
ISO 42001 kent twee beoordelingen die vaak door elkaar worden gehaald: de AI-risicobeoordeling (clausule 6.1.2) en het AI system impact assessment (clausule 6.1.4). Wat is het verschil, en hoe richt je beide goed in?
De scope van je AI-managementsysteem bepaalt welke AI-systemen, afdelingen en levenscyclusfasen onder je certificering vallen. Wat neem je op, wat mag je uitsluiten en waar gaat het mis?
ISO 42001 vraagt om een Statement of Applicability voor alle 38 Annex A-beheersmaatregelen. Wat moet erin staan, hoe onderbouw je uitsluitingen en welke fouten zien wij het vaakst?
Waar gaat het meestal mis bij een ISO 42001-audit? Een overzicht van de afwijkingen die auditors het vaakst noteren, geordend per hoofdstuk van de norm, met per punt hoe je hem voorkomt.
Artikel 27 van de EU AI Act verplicht bepaalde gebruiksverantwoordelijken van hoog-risico-AI om vóór ingebruikname een fundamental rights impact assessment (FRIA) uit te voeren. Voor wie geldt dit, uit welke zes onderdelen bestaat de beoordeling en hoe verhoudt de FRIA zich tot je DPIA?
ISO 42001 vraagt op tientallen plaatsen om gedocumenteerde informatie. Dit overzicht loopt per clausule langs de documenten die een certificeringsauditor wil zien, van contextanalyse tot afwijkingenregister.
Annex A.6 van ISO 42001 volgt een AI-systeem van ontwerpdoelstelling tot logging in productie. Per fase: wat de controls vragen, welk bewijs een auditor verwacht en waar het in de praktijk misgaat.
Een afwijking constateren is stap één. Clausule 10.2 van ISO 42001 vraagt om correctie, oorzaakanalyse, corrigerende maatregelen en verificatie van de doeltreffendheid. Zo richt je dat proces in voor AI.
Wie voert bij jullie de AI-risicobeoordelingen uit, en waaruit blijkt dat die persoon dat kan? Clausules 7.2 en 7.3 van ISO 42001 stellen eisen aan competentie en bewustzijn. Zo vul je ze in, inclusief de link met AI-geletterdheid uit de EU AI Act.
De meeste organisaties bouwen geen AI, maar gebruiken het. Voor wie een hoog-risico AI-systeem inzet, staat in artikel 26 van de EU AI Act een eigen lijst verplichtingen: menselijk toezicht, monitoring, logging en informatieplichten. Een overzicht per lid.
Boetes tot 35 miljoen euro of 7% van de wereldwijde omzet: de bedragen uit de EU AI Act halen elke presentatie. Hoe het boeteregime van artikel 99 echt in elkaar zit, is minder bekend. De drie categorieën, de MKB-regel, de factoren die de hoogte bepalen en de vraag wie er handhaaft.
Op welke data draait jullie AI-systeem, met welke tooling is het gebouwd en wie kan het onderhouden? Annex A.4 van ISO 42001 vraagt om documentatie van alle resources per AI-systeem. Dit hoort erin te staan, met de afwijkingen die auditors het vaakst zien.
Het eerste SOC 2-rapport is binnen en dan komt de vraag: hoe nu verder? SOC 2 is een jaarlijkse cyclus. Hoe je observatieperiodes laat aansluiten, wat er in jaar twee anders is en welke fouten organisaties na hun eerste rapport het vaakst maken.
Wie mag een AI-systeem gebruiken, waarvoor, en wat gebeurt er als iemand buiten die grenzen treedt? Annex A.9 van ISO 42001 stelt drie eisen aan het gebruik van AI-systemen. Wat een auditor daarbij verwacht en welke afwijkingen het vaakst voorkomen.
Wie met je AI-systemen werkt of erdoor geraakt wordt, moet weten waar hij aan toe is. Annex A.8 van ISO 42001 stelt vier eisen aan documentatie, meldkanalen en communicatie. Wat een auditor per control verwacht en welke afwijkingen het vaakst voorkomen.
Cross-site scripting blijft een van de meest gevonden kwetsbaarheden in webapplicatiepentests. Wat reflected, stored en DOM-based XSS van elkaar onderscheidt, hoe een pentester ernaar zoekt en welke maatregelen het probleem echt oplossen.
Een AI-systeem is zo betrouwbaar als de data waarop het draait. Annex A.7 van ISO 42001 stelt daarom eisen aan datamanagement, verwerving, kwaliteit, herkomst en voorbereiding van data. Per control: wat een auditor verwacht en welke afwijkingen wij het vaakst zien.
Clausule 9.2 van ISO 42001 vraagt om interne audits én om een auditprogramma dat die audits stuurt. Hoe je dat inricht, wat een auditor toetst en welke afwijkingen het vaakst voorkomen.
Clausule 9.3 van ISO 42001 is vrij precies over wat er op tafel moet liggen bij de managementreview en wat eruit moet komen. Een praktische invulling van inputs, outputs en frequentie.
Ontvang onze nieuwste artikelen en inzichten over IT-audit, compliance en informatiebeveiliging.