Continue compliance: van jaarlijkse audits naar continue controle-monitoring

Jaarlijkse audits laten zien hoe controls er op de auditdag uitzagen. Doorlopende controlemonitoring laat zien of ze het hele jaar werken – mits je duidelijk bent over wat automatisering kan en niet kan bewijzen.

Voor veel organisaties draait compliance nog steeds op een jaarlijkse cyclus: voorbereiding op de audit, audit doorstaan, dan terug naar normaal werk tot de volgende. Dat model was altijd fragiel, en Europese regelgeving maakt het steeds moeilijker vol te houden. NIS2, DORA en ISO/IEC 27001 verwachten allemaal dat organisaties het hele jaar weten of hun controls werken, niet alleen tijdens het auditseizoen. Dit artikel legt uit wat doorlopende compliance in de praktijk betekent, waar automatisering van bewijs helpt, waar niet, en hoe je dezelfde control niet drie keer voor drie frameworks hoeft in te voeren.

Wat 'doorlopend' eigenlijk betekent

De term wordt vaak verkeerd gelezen als 'real-time monitoring van alles'. De definitie van NIST voor continue monitoring van informatiebeveiliging is bescheidener en nuttiger: het onderhouden van voortdurend bewustzijn van informatiebeveiliging, kwetsbaarheden en bedreigingen ter ondersteuning van beslissingen over risicobeheer ^[1]. NIST voegt toe dat 'doorlopend' betekent dat controls en risico's met een frequentie worden beoordeeld die voldoende is om op risico gebaseerde beslissingen te ondersteunen. ^[1].

Met andere woorden: een firewallconfiguratie kan dagelijks worden gecontroleerd, toegangsbeoordelingen driemaandelijks en een bedrijfscontinuïteitsplan jaarlijks. Het gaat erom dat de frequentie bewust wordt gekozen en aansluit op het risico, in plaats van door de auditkalender te worden bepaald.

Wat de frameworks verwachten

• NIS2 vereist 'beleid en procedures om de doeltreffendheid van maatregelen voor het beheer van cyberbeveiligingsrisico's te beoordelen' (artikel 21, lid 2, onder f)) ^[2].
• DORA vereist dat financiële entiteiten hun framework voor het beheer van ICT-risico's documenteren en minstens eenmaal per jaar herzien, alsmede na grote ICT-gerelateerde incidenten (artikel 6, lid 5) ^[3].
• ISO/IEC 27001:2022 vereist dat de organisatie bepaalt wat moet worden gemonitord en gemeten, hoe en wanneer, en interne audits en managementbeoordelingen met geplande tussenpozen uitvoert (clausules 9.1 tot 9.3). ^[4].

Geen van deze teksten gebruikt de uitdrukking 'continuous compliance', maar allemaal gaan ze uit van voortdurend toezicht in plaats van een momentopname van één keer per jaar.

Automatisering kan je vertellen dat een control is uitgevoerd; het kan niet vertellen dat het de juiste control was.

De grenzen van de jaarlijkse audit

Een externe audit is een steekproef op een bepaald moment. Het beantwoordt de vraag 'vond de auditor voldoende bewijs dat controls waren ontworpen en werkten in de gecontroleerde periode?' Het vertelt het management niet of een control vorige dinsdag is mislukt.

Dit leidt tot drie veelvoorkomende problemen:

1. Drift: configuraties, toegangsrechten en leveranciersrelaties veranderen voortdurend. Een control die in maart effectief was, is dat in september mogelijk niet meer.
2. Bewijsverzameling onder druk: teams besteden weken aan het verzamelen van screenshots en exports vóór elke audit, waarbij ze vaak bewijs opnieuw aanmaken dat al elders bestaat.
3. Late ontdekking: zwaktes komen aan het licht tijdens de audit, wanneer er weinig tijd is om ze goed op te lossen.

Wat automatisering van bewijs kan doen

Geautomatiseerde bewijsverzameling maakt verbinding met systemen zoals identiteitsproviders, cloudplatforms, endpoint management, ticketing en HR-tools, en registreert de status van een controle met regelmatige tussenpozen. Goed uitgevoerd biedt het duidelijke voordelen.

Sterke use cases

• Configuratiecontroles: versleutelingsinstellingen, logging ingeschakeld, multi-factor authentication afgedwongen, back-uptaken voltooid.
• Populatiegegevens: lijsten van gebruikers, apparaten of systemen die een controle moet dekken, zodat je gaten kunt opsporen.
• Actualiteitstests: of kwetsbaarheden binnen het afgesproken venster zijn gepatcht, of of vertrekkenden hun toegang binnen de afgesproken periode hebben verloren.
• Bewijsgeschiedenis: een gedateerde trail die de status van een control in de loop van de tijd toont, wat overtuigender is voor een auditor dan een enkele screenshot.

Wat automatisering van bewijzen niet kan doen

Automatisering kan je vertellen dat een control is uitgevoerd; het kan niet vertellen dat het de juiste control was. Verschillende aspecten van compliance blijven kwesties van menselijk oordeel.

• Ontwerptoereikendheid: of een beleid of control geschikt is voor je risico's. Een tool kan bevestigen dat een beleidsdocument bestaat; het kan niet beoordelen of het geschikt is.
• Risicobeslissingen: een risico accepteren, een behandeling kiezen of een risicobereidheid bepalen zijn managementbeslissingen. NIS2 legt expliciete verantwoordelijkheid bij managementorganen voor goedkeuring en toezicht op maatregelen voor het beheer van cyberbeveiligingsrisico's (artikel 20). ^[2].
• Procescontroles: incidentafhandeling, due diligence van leveranciers, effectiviteit van bewustmakingstraining en crisisoefeningen worden meestal aangetoond door aantekeningen van mensen die dingen doen, niet door systeemstatussen.
• Context en uitzonderingen: een waarschuwing dat MFA is uitgeschakeld voor een account kan een fout zijn of een goedgekeurde uitzondering voor een serviceaccount. Iemand moet dat bepalen.
• Dekking: automatisering ziet alleen systemen waarmee het is verbonden. Shadow IT, papieren processen en leveranciers buiten de integratie blijven blinde vlekken.

Een verstandig doel is om de technische bewijs die repetitief en objectief zijn te automatiseren, en voor de oordeelsgebonden controls gestructureerde, gedateerde registraties bij te houden. Beide moeten dezelfde controlregistratie voeden.

Controls eenmalig ontwerpen: uniforme controlsets

De meeste organisaties die onder NIS2 vallen, hebben ook ISO/IEC 27001-certificering, AVG-verplichtingen en, in financiële dienstverlening, DORA. Veel vereisten overlappen: toegangscontrole, logging, incidentbeheer, back-up, leveranciersbeveiliging en training komen in allemaal voor.

Hoe controlkoppeling werkt

Een uniforme controleset (soms een gemeenschappelijk control framework genoemd) definieert elke control eenmalig, in je eigen woorden, met een eigenaar, een frequentie en het bewijs dat het oplevert. Elke control wordt vervolgens gekoppeld aan de vereisten die het in elk framework vervult.

Bijvoorbeeld, een enkele control 'bevoorrechte toegang wordt driemaandelijks door systeemeigenaren beoordeeld' kan worden gekoppeld aan ISO/IEC 27001 Annex A toegangscontroles, NIS2 artikel 21(2)(i) over toegangscontrolebeleid ^[2] en DORA's vereisten voor beheer van ICT-risico's ^[3]. Eén beoordeling, één bewijs, drie frameworks.

Openbare koppelingen helpen. Het NIST National Online Informative References (OLIR)-programma publiceert gestructureerde relaties tussen het NIST Cybersecurity Framework en andere standaarden ^[5]. De NIS2 Technical Implementation Guidance van ENISA bevat een koppelingstabel naast voorbeelden van bewijzen ^[6].

Praktische ontwerpregels

• Schrijf controls als testbare stellingen: wie doet wat, hoe vaak, en welke registratie het oplevert.
• Koppel veel-naar-veel, maar documenteer de rationale: een koppeling is een claim die een auditor kan testen. Noteer waar een controle een vereiste slechts gedeeltelijk dekt.
• Houd frameworkspecifieke hiaten zichtbaar: DORA's register van informatie of NIS2's incidentmeldingsdeadlines kunnen speciale controls nodig hebben die geen ISO-equivalent hebben.
• Versiebeheer voor je koppelingen: frameworks veranderen. CyberFundamentals verhuisde naar een 2025-versie en NIST bracht CSF 2.0 uit in 2024. Hermap wanneer bronnen veranderen, en bewaar de geschiedenis.

Een gefaseerde aanpak

1. Inventariseer: maak een lijst van je frameworks, huidige controls en waar bewijs vandaag te vinden is.
2. Rationaliseer: voeg dubbele controls samen in een enkele set en koppel ze aan elk framework.
3. Stel frequenties in: wijs aan elke control een monitoringfrequentie toe op basis van risico.
4. Automatiseer selectief: begin met high-volume technische controls waar integratie eenvoudig is.
5. Sluit de cirkel: stuur fouten naar eigenaren, volg herstel en rapporteer trends aan het management.
6. Bereid audits voor vanuit dezelfde registratie: auditors moeten dezelfde controls en bewijs zien die het management het hele jaar ziet.

Conclusie

Doorlopende compliance is geen productfunctie of dashboard. Het is een bedrijfsmodel waarin controls eenmalig worden gedefinieerd, met een doelbewuste frequentie worden gemonitord, en als bijproduct van normaal werk worden aangetoond. Automatisering maakt dat goedkoper voor technische controls; menselijk oordeel blijft essentieel voor ontwerp, risico en proces.

Secrato helpt organisaties frameworks zoals NIS2, DORA en ISO/IEC 27001 in één EU-gehoste platform te beheren, met gedeelde controls, bewijs en audit trails.