Organisaties krijgen te maken met steeds meer normenkaders. ITGC, BIO2, NIS2, DigiD, Archiefwet, verplichte webrichtlijnen, WCAG, AVG en interne beleidskaders raken elkaar steeds vaker. Toch worden ze in de praktijk vaak los van elkaar beheerd: aparte Excel-bestanden, aparte controles, aparte uitvragen en aparte rapportages.

Dat maakt compliance onnodig complex. Dezelfde maatregel komt in meerdere normen terug, maar net met een andere formulering, nuance of bewijsbehoefte. Teams beantwoorden daardoor vergelijkbare vragen meerdere keren, terwijl de organisatie nog steeds geen centraal beeld heeft van de werkelijke status.

Met de Compliancy module van KEA breng je normenkaders, digitale voorzieningen, bewijsvoering, uitvragen en technische signalen samen. Zo zie je waar je staat, waar de gaps zitten en welke acties nodig zijn om aantoonbaar in control te komen.

Compliance begint niet bij een norm, maar bij de vraag waarop die norm van toepassing is. Een website, webapp, applicatie, domein of leverancier kan onder meerdere kaders vallen. Een DigiD-aansluiting vraagt bijvoorbeeld andere beheersing dan een campagnewebsite, terwijl beide relevant kunnen zijn voor toegankelijkheid, privacy, beveiliging en archivering.

De Compliancy module koppelt normenkaders aan het centrale register van KEA. Daardoor zie je per digitale voorziening welke normen relevant zijn en wat de status is.

Zo kun je vragen beantwoorden zoals:

• Welke applicaties vallen onder ITGC?
• Welke websites moeten voldoen aan verplichte webrichtlijnen?
• Welke voorzieningen zijn relevant voor BIO2 of NIS2?
• Welke systemen hebben een DigiD-koppeling?
• Welke websites hebben archiveringsverplichtingen?
• Welke domeinen missen nog eigenaarschap of bewijsvoering?
• Welke normenkaders raken dezelfde voorziening?

Door normen te koppelen aan assets ontstaat compliance op basis van je werkelijke digitale landschap.

De Compliancy module helpt om het verschil zichtbaar te maken tussen de huidige situatie en de gewenste situatie. Oftewel: waar staan we nu, waar moeten we naartoe en wat ontbreekt nog?

KEA maakt inzichtelijk:

welke maatregelen al zijn ingericht;
welke bewijsstukken beschikbaar zijn;
welke antwoorden nog ontbreken;
welke technische signalen afwijken;
welke risico’s nog openstaan;
welke acties nodig zijn;
welke onderdelen nog niet beoordeeld zijn;
welke voorzieningen niet voldoen aan het gewenste niveau.

Zo ontstaat een duidelijke gap-analyse tussen de Ist- en Soll-situatie. Niet als statisch rapport, maar als werkbaar overzicht dat gekoppeld is aan assets, eigenaren, uitvragen, signalen en acties.

Veel normenkaders overlappen. Een maatregel voor toegangsbeheer kan relevant zijn voor ITGC, BIO2, NIS2 en DigiD. Een archiveringsafspraak kan relevant zijn voor de Archiefwet, verplichte webrichtlijnen en lifecyclemanagement. Een technisch signaal over HTTPS of DNSSEC kan relevant zijn voor informatiebeveiliging, moderne internetstandaarden en webbeheer.

KEA maakt die overlap zichtbaar. Tegelijk laat de Compliancy module zien waar de nuances zitten. Want niet elke norm vraagt precies hetzelfde. Soms is de formulering anders, soms is het bewijsniveau anders en soms geldt een maatregel alleen voor een specifiek type voorziening.

Dat is de basis voor Explain once, comply to many: je legt één keer vast hoe een maatregel is ingericht, koppelt die uitleg en bewijsvoering aan meerdere relevante normenkaders en ziet direct waar aanvullende nuance of actie nodig is.

Zo voorkom je dubbel werk en ontstaat één centrale basis voor compliance.

Normen lijken vaak op elkaar, maar de details doen ertoe. Een maatregel rond authenticatie komt bijvoorbeeld terug in verschillende kaders, maar de context kan verschillen. Bij ITGC gaat het om aantoonbare beheersing van IT-processen. Bij BIO2 draait het om risicogestuurde informatiebeveiliging. Bij DigiD ligt de nadruk op specifieke aansluitvoorwaarden en assessment-eisen. Bij NIS2 speelt ketenweerbaarheid en bestuurlijke verantwoordelijkheid een grotere rol.

De Compliancy module helpt om die verschillen inzichtelijk te maken. Je ziet:

• welke eisen overlappen;
• welke maatregelen herbruikbaar zijn;
• welke formuleringen verschillen;
• welke bewijsstukken meerdere kaders ondersteunen;
• waar aanvullende onderbouwing nodig is;
• welke norm specifieke extra eisen stelt;
• welke acties per kader of asset openstaan.

Zo krijg je niet alleen overzicht van compliance, maar ook begrip van de verschillen tussen kaders.

Niet alle informatie is automatisch beschikbaar. Soms moet je informatie ophalen bij teams, applicatie-eigenaren, leveranciers, beheerders of proceseigenaren. Daarvoor gebruik je de Uitvraag assistent.

Vanuit de Compliancy module kun je gerichte uitvragen starten op basis van normenkaders, assets of ontbrekende informatie. Bijvoorbeeld:

• vraag applicatie-eigenaren om hun risicobeoordeling te actualiseren;
• vraag leveranciers om hosting- en beveiligingsinformatie aan te leveren;
• vraag webteams naar de status van toegankelijkheidsverklaringen;
• vraag beheerders naar wijzigingsbeheer of incidentproces;
• vraag recordmanagers naar archiveringsafspraken;
• vraag security officers naar maatregelen en bewijsvoering.

Antwoorden komen centraal binnen in KEA. Je kunt ze beoordelen, goedkeuren en koppelen aan maatregelen, normenkaders en assets. Daarmee wordt compliance niet afhankelijk van losse mailwisselingen, maar onderdeel van een beheersbaar proces.

De Worker module haalt automatisch technische signalen op. Deze signalen kunnen direct bijdragen aan compliance-inzicht.

Denk aan:

• Internet.nl-resultaten voor moderne internetstandaarden;
• SSL/TLS-certificaten en verloopdata;
• bereikbaarheid en uptime van URLs;
• scripts en externe afhankelijkheden;
• beschikbaarheid en actualiteit van toegankelijkheidsverklaringen;
• signalen rond webarchivering;
• technische afwijkingen of wijzigingen op domeinen.

De Compliancy module gebruikt deze signalen om te bepalen waar risico’s of gaps ontstaan. Als een website bijvoorbeeld geen actuele toegankelijkheidsverklaring heeft, een certificaat bijna verloopt of een Internet.nl-controle onvoldoende scoort, wordt dat zichtbaar in relatie tot de relevante normenkaders.

Zo wordt compliance niet alleen gebaseerd op handmatige antwoorden, maar ook op actuele technische waarnemingen.

Het centrale register is de basis. Daarin staan de websites, webapps, applicaties, domeinen, leveranciers, eigenaren en lifecycle-informatie. De Compliancy module legt daar de normenkaders overheen.

Daardoor kun je per asset zien:

• welke normen van toepassing zijn;
• welke maatregelen relevant zijn;
• welke bewijsstukken beschikbaar zijn;
• welke uitvragen openstaan;
• welke worker-signalen zijn gevonden;
• welke gaps nog bestaan;
• welke eigenaar verantwoordelijk is;
• welke status de asset heeft.

Andersom kun je ook vanuit een normenkader kijken. Bijvoorbeeld: welke assets vallen onder BIO2, welke maatregelen zijn nog niet ingevuld en welke eigenaren moeten actie ondernemen?

nzicht is pas waardevol als het leidt tot verbetering. Daarom helpt KEA om gaps te vertalen naar concrete werkpakketten.

Denk aan werkpakketten zoals:

• eigenaarschap vastleggen;
• risicobeoordeling uitvoeren;
• bewijsstukken aanvullen;
• technische instellingen verbeteren;
• toegankelijkheidsverklaring actualiseren;
• archiveringsafspraken vastleggen;
• leveranciersinformatie opvragen;
• periodieke controle instellen;
• beleid of procesdocumentatie bijwerken;
• DigiD-assessment voorbereiden;
• ITGC-beheersmaatregelen aantoonbaar maken.

Zo ontstaat een praktische route van norm naar actie. Teams weten wat er moet gebeuren, waarom het nodig is en voor welke normenkaders het resultaat relevant is.