Directiebeoordeling

Het verslag waarin de leiding vaststelt of het beveiligingsbeleid werkt en welke besluiten daaruit volgen. Dit is het document waar een auditor het snelst aan ziet of uw systeem echt is of alleen op papier bestaat.

Wat erin hoort

• de status van eerdere besluiten en verbeterpunten
• wat er sinds de vorige keer is veranderd in organisatie, systemen of keten
• de uitkomsten van interne audits en controles
• de incidenten van de afgelopen periode en wat daaruit is geleerd
• of de doelstellingen zijn gehaald, met cijfers
• de uitkomsten van leveranciersbeoordelingen
• besluiten: wat gaan we anders doen, wie doet het, wanneer is het af

Wie stelt het vast

Vaststelling gebeurt door het bestuur of de directie, met een deelnemerslijst en datum. Zonder datum en zonder vaststeller heeft een document geen status, en dan telt het bij een controle niet mee als bewijs.

Hoe vaak herzien

Herzien: minimaal jaarlijks; bij veel wijzigingen halfjaarlijks. Zet de volgende herzieningsdatum in het document zelf, dan is het bij een controle meteen duidelijk of het actueel is.

Hoe lang moet het zijn

twee tot vier pagina's. Het gaat om de besluiten, niet om de lengte.

Fouten die er het vaakst in zitten

• Een verslag van tien regels zonder besluiten. Dat is een verslag, geen beoordeling.
• De vaste agendapunten ontbreken, waardoor onderwerpen structureel worden overgeslagen.
• Er staan wel actiepunten in maar zonder eigenaar of datum.
• Het overleg heeft plaatsgevonden maar is nooit vastgelegd.

De vaste agenda

Deze zeven punten dekken zowel de wet als de norm, en houden het overleg binnen een uur:

1. Status van de besluiten uit de vorige beoordeling
2. Wijzigingen in organisatie, systemen, keten en wetgeving
3. Uitkomsten van interne audits en controles
4. Incidenten en wat eruit geleerd is
5. De cijfers: zijn de doelstellingen gehaald
6. Uitkomsten van leveranciersbeoordelingen
7. Besluiten: wat gaan we anders doen, wie, wanneer

Punt zeven is waar het om draait. Notuleer per besluit een eigenaar en een datum; die lijst is het startpunt van de volgende beoordeling.

Waarom auditors hier zo naar kijken

De directiebeoordeling laat in één document zien of de leiding werkelijk stuurt of alleen tekent. Staan er besluiten in met eigenaren en data, dan is het antwoord ja. Staat er een samenvatting van wat er gebeurd is zonder één besluit, dan is het antwoord nee, en dat is een bevinding op hoofdstukniveau.

Bij de Cyberbeveiligingswet weegt dit extra, want de wet legt de verantwoordelijkheid expliciet bij het bestuur. Dit verslag is uw bewijs dat het bestuur die rol ook echt heeft ingevuld.

Maak er een uur van, niet een middag

Bereid de cijfers en de bevindingen voor, zodat het overleg zelf over besluiten gaat en niet over het ophalen van informatie. Een goed voorbereide directiebeoordeling duurt een uur en levert vijf concrete besluiten op. Dat is meer waard dan een middag praten zonder uitkomst.

Verhouding tot de Cyberbeveiligingswet

Ondersteunt maatregel 6, en het is de plek waar de wettelijke bestuursverantwoordelijkheid zichtbaar wordt. De wet vraagt niet om een bepaald document, maar om aantoonbare maatregelen. Dit document is de gebruikelijke manier om dat aan te tonen.

Verhouding tot ISO 27001

Verplicht onderdeel van ISO 27001, hoofdstuk 9.3, met voorgeschreven agendapunten. Zie de ISO 27001-checklist voor het volledige overzicht.

Wie voorbereidt en wie voorzit zijn niet dezelfde rol

Bij de directiebeoordeling wordt vaak over het hoofd gezien dat voorbereiden en voorzitten twee verschillende rollen zijn. De verantwoordelijke voor informatiebeveiliging verzamelt de cijfers, de incidenten en de uitkomsten van audits, en zet die op een rij. Het voorzitten van het overleg zelf, en het nemen van de besluiten, hoort bij het bestuur te liggen.

Loopt dat door elkaar, dan ontstaat een overleg waarin dezelfde persoon zowel de resultaten presenteert als de besluiten neemt, en dat is precies de situatie die een auditor als onvoldoende sturing beoordeelt. Dat sluit aan bij de bestuurdersaansprakelijkheid die de wet expliciet vastlegt: het bestuur hoeft de cijfers niet zelf te verzamelen, maar moet wel de vragen stellen en de besluiten daadwerkelijk nemen, ook als dat betekent dat een voorstel wordt afgewezen.

Verschil met het interne auditplan

Directiebeoordeling en interne auditplan zijn de twee documenten die het vaakst door elkaar worden gehaald, omdat ze allebei over controleren gaan. Het interne auditplan beschrijft hoe en wanneer onderdelen van uw aanpak steekproefsgewijs worden gecontroleerd, en levert bevindingen op. De directiebeoordeling is het moment waarop het bestuur die bevindingen, samen met incidenten en cijfers, op tafel legt en besluit wat ermee gebeurt. De audit levert het materiaal, de beoordeling is waar het bestuur ermee stuurt. Zonder audits heeft de directiebeoordeling niets inhoudelijks om te bespreken; zonder directiebeoordeling verdwijnen auditbevindingen in een la zonder besluit.

Veelgestelde vragen

Kan ik hiervoor een sjabloon gebruiken?

Als startpunt voor de structuur wel. De inhoud moet over uw organisatie gaan, anders valt het bij de eerste controle door de mand. Een auditor vraagt een medewerker naar iets wat erin staat; kent niemand het, dan is dat een bevinding.

Is dit document wettelijk verplicht?

De Cyberbeveiligingswet schrijft geen documenten voor, maar wel dat u passende maatregelen neemt en kunt aantonen. In de praktijk is vastleggen de enige manier om dat aan te tonen.

Wie moet erbij zijn?

Minimaal degene die eindverantwoordelijk is, plus de verantwoordelijke voor informatiebeveiliging. Leg de deelnemers vast.

Hoe vaak moet dit plaatsvinden?

Minimaal jaarlijks. Bij veel wijzigingen of na een significant incident eerder.

Kan de auditor zelf de directiebeoordeling voorzitten?

Beter van niet. De auditor levert bevindingen aan, het bestuur weegt ze en besluit. Dat scheiden houdt de rollen zuiver.

Moet elke auditbevinding in de directiebeoordeling terugkomen?

In elk geval de belangrijkste en de bevindingen die nog openstaan. Kleine, al opgeloste punten hoeven niet uitgebreid besproken te worden.

Wat als er geen audit heeft plaatsgevonden voor de beoordeling?

Benoem dat expliciet als tekortkoming en plan de audit alsnog in. Een beoordeling zonder auditmateriaal is een gemiste kans om ergens op te sturen.