Maatregelen 1 tot 4
Risicoanalyse en beleid voor informatiesysteembeveiliging koppelen aan de Secuno-risico-engine en de beleidsconfiguratie per klant, waar elk risico een categorie en een eigenaar draagt. Incidentafhandeling koppelt aan de audittrail per risico, die aanmaak, toewijzing, statuswijzigingen en engine-acties op een chronologische tijdlijn vastlegt.
Bedrijfscontinuïteit en back-up zijn organisatorische maatregelen die geen agent kan waarnemen, dus worden ze vastgelegd als geattesteerde controls: een benoemde persoon verklaart voldoet, voldoet bijna of tekortkoming, met een toelichting en optioneel bewijs, en de attestatie verloopt na de reviewperiode (zes maanden voor back-ups) met herinneringen vooraf. Toeleveringsketenbeveiliging koppelt aan softwarezichtbaarheid over elk beheerd device, wat kwetsbare componenten van derden blootlegt.
Maatregelen 5 tot 7
Beveiliging bij verwerving, ontwikkeling en onderhoud koppelt aan continue CVE-correlatie en de configuratieregelengine, die afwijkingen van een veilige baseline markeert. Beleid om de effectiviteit van maatregelen te beoordelen koppelt aan de dertigdaagse activiteitsstatistieken en SLA-rapportage.
Basale cyberhygiëne koppelt aan de configuratieregels die ontbrekende antivirus, uitgeschakelde firewallprofielen en uitgeschakelde schijfversleuteling over het bestand detecteren. Bewustwordingstraining is, net als back-up, een geattesteerde control.
Maatregelen 8 tot 10
Cryptografie en versleuteling koppelen aan BitLocker-versleutelingsstatus per schijf en aan de eigen Ed25519-ondertekening en DPAPI-sleutelbescherming van de agent. HR-beveiliging en toegangsbeheer koppelen aan monitoring van lokale accounts en de Administrators-groep, plus identiteitscontext uit AD en Entra.
Gebruik van multifactorauthenticatie en beveiligde communicatie koppelt aan de dekking van toegangscontroleregels en de eigen authenticatie van het platform. Elk gegenereerd risico verwijst naar de verplichting waarop het betrekking heeft, wat het bewijs traceerbaar maakt.
Het bewijs produceren
Het NIS2-framework in de compliancemodule combineert automatisch bewijs (open risico's in gekoppelde categorieën, device-controles door de agent en Microsoft 365-tenantcontrols) met die attestaties, en telt onbekend of niet van toepassing nooit als voldaan. Het exporteert per framework naar PDF of CSV, en het auditlog exporteert naar CSV en JSON voor beoordeling door auditor of toezichthouder.
Omdat categorisatie plaatsvindt bij het aanmaken van het risico in plaats van bij het rapporteren, is de koppeling consistent over de hele historie in plaats van per audit gereconstrueerd.