CyFun · CyberFundamentals

Hoe verloopt een CyFun-beoordeling?

Het traject hangt af van het zekerheidsniveau. De organisatie stelt haar zelfbeoordeling op; een onafhankelijke conformiteitsbeoordelingsinstantie beoordeelt het bewijs. De zelfbeoordeling stuurt de beoordeling, maar bewijst op zichzelf geen conformiteit.

Het Essential-certificeringsproces

1. Scope bepalen en voorbereiden

   Bepaal de betrokken systemen, diensten, locaties en activiteiten. Vul de toepasselijke CyFun-zelfbeoordeling in en verzamel bewijs voor elke opgegeven maturiteitsscore.

2. Fase 1 — gereedheid beoordelen

   De auditor beoordeelt de samenhang en onderbouwing van de scores, gedocumenteerde beheersmaatregelen en beschikbaar bewijs. De bevindingen bepalen de gereedheid, prioriteiten en het auditplan voor fase 2.

3. Fase 2 — implementatie toetsen

   De auditor beoordeelt hoe maatregelen in de praktijk werken, waaronder kernmaatregelen en managementmaatregelen. Registraties, interviews en operationeel bewijs moeten de zelfbeoordeling ondersteunen; beleidsdocumenten alleen volstaan niet.

4. Bevindingen afhandelen en een besluit verkrijgen

   De vereiste maturiteitsdrempels moeten zijn bereikt. Ernstige afwijkingen moeten zijn opgelost en gesloten; actieplannen voor kleinere afwijkingen moeten zijn goedgekeurd, of de afwijkingen gesloten, voordat een positief besluit mogelijk is. Een voldoende score alleen garandeert geen certificering.

5. Certificering onderhouden

   Houd de zelfbeoordeling actueel. Toezichtsaudits behandelen wijzigingen, maturiteit, kernmaatregelen, alle voorgeschreven managementmaatregelen en het gebruik van certificaten en merken. Ze vinden plaats bij de klant. Hercertificering beoordeelt blijvende doeltreffendheid en verbetering en omvat een audit op locatie.

Welk bewijs bereidt u voor?

Verzamel registraties die aantonen hoe maatregelen zijn vastgelegd en daadwerkelijk werken. Voorbeelden:

• Een gedateerde zelfbeoordeling met versiebeheer en bewijs voor de opgegeven maturiteitsscores.
• Scope, activa en diensten, risicobeoordelingen, goedgekeurd beleid, doelstellingen en verantwoordelijkheden.
• Interne audits, directiebeoordelingen, corrigerende maatregelen en bewijs van voortdurende verbetering.
• Toegangsbeoordelingen, incidentregistraties, geteste continuïteits- en herstelplannen en leveranciersrisicobeheer.

ISO 27001 nu. Een duidelijk traject naar CyFun.

De door de SCC geaccrediteerde ISO/IEC 27001-certificeringsaudits van Complade zijn nu beschikbaar voor internationale aanvragers. Een geïmplementeerd ISMS kan relevant bewijs leveren over governance, risico’s, interne audits en directiebeoordelingen voor een latere CyFun-beoordeling. De toepasselijke CyFun-maatregelen en maturiteitseisen moeten nog steeds worden afgedekt.

Het Belgische schema voorziet ook in een route op basis van een geaccrediteerd ISO/IEC 27001-certificaat met een passende scope en Verklaring van Toepasselijkheid. Het CCB bepaalt de geschiktheid en aanvaarding volgens de toepasselijke regels. Een ISO-certificaat levert niet automatisch een CyFun-certificaat of -label op; de ISO 27001-accreditatie van Complade geeft op zichzelf geen bevoegdheid voor CyFun-beoordelingen.

Certificering en het Belgische label zijn afzonderlijk

Na de vereiste conformiteitsbeoordeling vragen in aanmerking komende organisaties het CyFun-label aan bij het CCB via Safeonweb@work. Het CCB beoordeelt de aanvraag en geeft het label met QR-code uit. Complade geeft het CCB-label niet uit.

Het certificeringsaanbod van Complade