Organisaties die onder de Cyberbeveiligingswet vallen, moeten kunnen aantonen hoe zij invulling geven aan informatiebeveiliging. Een belangrijk instrument hiervoor is de Verklaring van Toepasselijkheid (VVT).
De VVT is een document waarin per normonderdeel van ISO/IEC 27001 wordt vastgelegd:
- hoe de organisatie met de betreffende norm omgaat;
- welke maatregelen zijn getroffen;
- of aan de norm wordt voldaan (ja of nee).
Zowel de verklaring als de bijbehorende status worden door de organisatie zelf vastgelegd in de backoffice. Deze functionaliteit is beschikbaar binnen de CISO-module van CaaS.
Jaarlijkse actualisatie
Een Verklaring van Toepasselijkheid wordt jaarlijks opgesteld en beoordeeld. Hierdoor beschikt de organisatie altijd over een actuele verklaring die niet ouder is dan één jaar. Dit ondersteunt de aantoonbaarheid richting toezichthouders, auditors en ketenpartners.
Rapportage via Power BI
De geregistreerde gegevens kunnen via Power BI worden ontsloten in een gepagineerd rapport. Dit rapport kan vervolgens worden geëxporteerd naar PDF-formaat en worden gedeeld met externe partijen die inzicht wensen in de status van de informatiebeveiliging.
Binnen CaaS zijn twee typen gepagineerde rapporten beschikbaar:
1. Intern rapport
Dit rapport is bedoeld voor intern gebruik en bevat:
- de volledige Verklaring van Toepasselijkheid;
- de status per ISO 27001-norm;
- eventuele aanvullende toelichtingen die door de organisatie zijn vastgelegd.
2. Extern rapport
Dit rapport is bedoeld voor externe partijen, zoals klanten, leveranciers of auditors, en bevat uitsluitend:
- de status per ISO 27001-norm;
- geen inhoudelijke verklaringen of interne toelichtingen.
Hierdoor kan de organisatie aantonen in hoeverre aan de norm wordt voldaan, zonder vertrouwelijke details over de inrichting van de informatiebeveiliging te delen.