ISO 27001
Het managementsysteem voor informatiebeveiliging: beleid, verklaring van toepasselijkheid, controles, indicatoren en continue verbetering, van regel tot bewijs.
Bekijk in de cockpit →Raamwerken · professionals
Raamwerken die Galyct Pro ondersteunt
ISO 27001, NIS 2, DORA, de GDPR en de melding binnen 72 uur, EBIOS RM, BIA / BCP / DRP: gedekt, uitgelegd en vooral gekoppeld aan een beslissing. Want een cyberbeslissing moet zich achteraf laten uitleggen, tegenover een klant, een verzekeraar, een autoriteit of uw eigen comité.
Het risico begrijpen. De controle terugnemen. Volhouden op lange termijn.
Gehost in Frankrijk bij Scaleway · AI van Mistral (EU) · om AVG, NIS 2 en DORA voor te bereiden en te documenteren.
01 · DE RAAMWERKEN
Zes fundamenten, eenzelfde eis: beslissen, bewijzen, volhouden
We dekken ze niet om vakjes aan te vinken. We vertalen ze in verantwoordelijkheden, bewijs en afwegingen, de enige vorm van compliance die standhoudt bij een audit, een incident of een vraag van de toezichthouder.
NIS 2
De Europese richtlijn die de scope sterk uitbreidt: essentiële of belangrijke entiteiten, hygiëneverplichtingen en een grotere verantwoordelijkheid voor de bestuurder.
Wie valt eronder →DORA
De digitale operationele weerbaarheid van de financiële sector: vijf pijlers, beheer van het ICT-risico en beheersing van dienstverleners, van toepassing sinds 17 januari 2025.
De vijf pijlers →GDPR · 72 uur CNIL
Register van verwerkingen, effectbeoordelingen, melding van een inbreuk binnen 72 uur: persoonsgegevens behandeld als bewijs, zonder cosmetische compliance.
De 72-uursverplichting →EBIOS Risk Manager
De risicoanalysemethode van ANSSI, in vijf workshops: van de beveiligingsbasis tot de scenario's, tot aan de behandeling en het restrisico waarover de directie beslist.
De 5 workshops →BIA · BCP · DRP
Bedrijfscontinuïteit: we onderscheiden duidelijk de impactanalyse, het behoud in gedegradeerde modus en het technische herstel, RTO en RPO inbegrepen.
De tijdlijn →
02 · DOCTRINE
Compliant zijn is geen documenten opstapelen. Het is beslissingen nemen die proportioneel, gedocumenteerd en verdedigbaar zijn.
Een raamwerk heeft pas waarde als het vertaald is in verantwoordelijkheden, bewijs en afwegingen die werkelijk worden opgevolgd. Galyct Pro koppelt elke eis (ISO, NIS 2, DORA, GDPR) aan een traceerbare beslissing, niet aan een map die geruststelt. De documentatie weerspiegelt de werkelijke praktijk; nooit andersom.
03 · EBIOS RISK MANAGER
De methode van ANSSI in 5 workshops, tot aan de beslissing
Een serieuze risicoanalyse levert geen abstracte matrix op. Ze koppelt geloofwaardige scenario's aan de impact op de bedrijfsvoering, aan de bestaande maatregelen en aan de afwegingen van de directie: verminderen, aanvaarden, overdragen of met voorrang behandelen.
01BeveiligingsbasisScope, bedrijfswaarden, ondersteunende middelen, gevreesde gebeurtenissen en de basis van al genomen maatregelen.
02RisicobronnenKoppels risicobron / beoogd doel: wie u zou kunnen viseren, met welke motieven en welke middelen.
03Strategische scenario'sAanvalspaden op hoog niveau via het ecosysteem en de belanghebbenden, dienstverleners inbegrepen.
04Operationele scenario'sTechnische werkwijzen, misbruikte kwetsbaarheden en waarschijnlijkheid van de weerhouden paden.
05RisicobehandelingGeprioriteerde maatregelen, verantwoordelijken, budgetten, termijnen, en daarna beoordeling van het restrisico en opvolging.
→BeslissingHet resultaat is geen tabel: het is een traject dat zich laat afwegen en dat verdedigbaar is voor het comité.
04 · BEDRIJFSCONTINUÏTEIT
BIA → BCP → DRP: de tijdlijn van een onderbreking
De BIA bepaalt wat vitaal is. Het BCP organiseert de continuïteit in gedegradeerde modus. Het DRP bereidt het technische herstel voor. Op de tijdlijn van een incident geplaatst, haalt u deze plannen niet meer door elkaar.
01Vooraf · BIAKritieke activiteiten, impact van een onderbreking, afhankelijkheden en RTO- / RPO-doelen. Het fundament.
02T0 · OnderbrekingHet incident doet zich voor: de normale werking valt stil, de crisis begint.
03Tijdens · BCPDe essentiële functies in gedegradeerde modus overeind houden, voor de hele organisatie, niet alleen het informatiesysteem.
04Herstel · DRPSystemen en gegevens herstellen binnen de RTO / RPO. Het technische luik.
05Achteraf · Tests & evaluatieEen plan dat nooit getest is, is een hypothese, geen garantie. Afwijkingen, acties, bijwerken.
06Resultaat · Continuïteit gehandhaafdBeheerste terugkeer naar normaal, bewijs bewaard, beslissingen gedocumenteerd.
05 · NIET MEER DOOR ELKAAR HALEN
Vier onderscheidingen die de beslissing veranderen
Wie deze termen door elkaar gebruikt, verliest al aan precisie. Wie ze verheldert, weet waar te beginnen, en wat er werkelijk van elk dispositief en elke rol wordt verwacht.
BIA · BCP · DRP
BIA: bepaalt wat vitaal is en wat de toleranties voor een onderbreking zijn. Het fundament, zonder hetwelk een plan blind wordt opgebouwd.
BCP: organiseert het behoud van de essentiële activiteiten in gedegradeerde modus. Het gaat verder dan IT: het betreft de hele organisatie.
DRP: herstelt de systemen en gegevens na een ramp. Het strikt technische luik.
RTO · RPO
RTO: maximaal aanvaardbare onderbrekingsduur: binnen hoeveel tijd een dienst hersteld moet zijn.
RPO: maximaal aanvaardbaar gegevensverlies: hoe ver het aanvaardbaar is terug te gaan in de tijd.
Twee meetbare doelen, vastgelegd in de BIA, die vervolgens de back-ups, de redundantie en het DRP dimensioneren.
Audit · Risicoanalyse
Audit: observeert de mate van beheersing en de afwijkingen: waar staat u, op een bepaald moment.
Risicoanalyse: koppelt die afwijkingen aan geloofwaardige scenario's, impact op de bedrijfsvoering, beslissingen en restrisico's. Het ene stelt vast, het andere zet een afweging in gang.
CISO · DPO
CISO: stuurt de beveiliging van het informatiesysteem: de activiteit, de toegangen en de beschikbaarheid beschermen.
DPO: waakt over de compliance van de verwerking van persoonsgegevens (GDPR); een onafhankelijke functie. Twee verantwoordelijkheden die samenwerken, zonder samen te vallen.
06 · NIS 2
Een uitgebreide scope, een verantwoordelijkheid die tot bij de bestuurder reikt
NIS 2 breidt het Europese cyberbeveiligingskader uit tot duizenden organisaties in Frankrijk, in ongeveer achttien sectoren. De omzettingswet wordt concreter: wachten op “de datum” is een slechte rekensom, want een compliancetraject neemt maanden in beslag.
Essentiële entiteiten
De meest kritieke sectoren: energie, zorg, vervoer, water, digitale sector, overheid… Versterkt toezicht en volledige verplichtingen, met mogelijke controle vooraf.
Belangrijke entiteiten
Een uitgebreide scope: voedingsindustrie, maakindustrie, afvalbeheer… Proportionele verplichtingen en een controle die eerder achteraf gebeurt.
De verplichtingen, samengevat
Risicobeheer & hygiëneRisicoanalyse, back-ups, MFA, toegangsbeheer, logging.
ToeleveringsketenBeveiliging van de kritieke dienstverleners en leveranciers waarvan u afhangt.
Incidenten & meldingDetectie, beheer en melding van significante incidenten aan de autoriteiten.
BedrijfscontinuïteitBack-ups, crisisbeheer en continuïteits- / herstelplannen (BIA, BCP, DRP).
Verantwoordelijkheid van de bestuurder
Grote nieuwigheid: de bestuursorganen moeten de risicobeheersmaatregelen goedkeuren en erop toezien. Cyberbeveiliging is niet langer een louter technisch onderwerp.
Waar beginnen
Bepalen of u eronder valt (sector, omvang, rol), uw prioritaire risico's in kaart brengen met een EBIOS RM-analyse, de afwijking meten met een audit, en daarna de governance en de rapportering structureren.
07 · DORA
De digitale operationele weerbaarheid van de financiële sector
De DORA-verordening, van toepassing sinds 17 januari 2025, legt de financiële sector (en zijn IT-dienstverleners) een veeleisend weerbaarheidskader op. In Frankrijk ligt het toezicht onder meer bij de ACPR en de AMF (de Franse financiële toezichthouders).
Rechtstreeks onderworpen
De financiële entiteiten
Een zeer brede waaier aan spelers valt binnen de scope:
- Banken, verzekeraars, vermogensbeheerders
- Betalingsinstellingen en instellingen voor elektronisch geld
- Aanbieders van cryptoactivadiensten (in Frankrijk: PSAN)
Onrechtstreeks binnen de scope
Hun ICT-dienstverleners
Cruciaal punt: DORA viseert ook de leveranciers van IT-diensten.
- Hostingpartijen, softwareleveranciers, cloudaanbieders
- Via de contractuele eisen die hun financiële klanten opgelegd krijgen
- Register van contracten, conforme clausules, omkeerbaarheidsstrategie
De vijf pijlers
Beheer van het ICT-risico
Governance, overzicht, beschermings- en continuïteitsmaatregelen, aangestuurd op directieniveau.
Incidentbeheer
Detectie, classificatie en melding van ernstige ICT-gerelateerde incidenten.
Weerbaarheidstests
Regelmatige tests, tot geavanceerde tests (TLPT) voor de meest significante spelers.
Risico van ICT-dienstverleners
Register van contracten, contractuele clausules, beoordeling van de concentratie, omkeerbaarheidsplan.
Delen van informatie
Vrijwillige uitwisseling van informatie over cyberdreigingen tussen financiële entiteiten.
Het meest onderschatte punt: de derden
Veel organisaties ontdekken dat ze hun afhankelijkheid van enkele kritieke leveranciers niet beheersen. DORA maakt er een topprioriteit van: register, conforme clausules, concentratie en omkeerbaarheid.
08 · GDPR · 72 UUR CNIL
Van gegevens tot bewijs, melding binnen 72 uur inbegrepen
GDPR-compliance heeft alleen operationele waarde als ze vertaald wordt in een bijgehouden register, in echte effectbeoordelingen en in het vermogen om een inbreuk binnen de termijnen te melden, zonder lege verklaringen of cosmetische compliance.
Register van verwerkingen
Verwerkingen, doeleinden, gevoelige gegevens, toegangen en verwerkers, in kaart gebracht en actueel gehouden.
Effectbeoordelingen
DPIA voor verwerkingen met een hoog risico: meten vóór het verwerken, de beslissingen documenteren.
Melding binnen 72 uur
Een datalek moet binnen 72 uur aan de CNIL worden gemeld. Een aftelling die u vóór het incident voorbereidt, niet tijdens.
DPO & beveiliging
Coördinatie tussen de DPO en de beveiligingsfunctie: bewijs van beslissingen, incidentbeheer, rechten van betrokkenen.
09 · WAT WE NIET BELOVEN
Een raamwerk geeft richting, het garandeert niets in uw plaats
Een goed bijgehouden raamwerk vermindert improvisatie en vergemakkelijkt afwegingen. Het vervangt geen tests, geen beslissingen en geen feiten uit het veld. Dit is wat we niet beloven.
Compliance gekoppeld aan de werkelijke praktijk
Geen enkel label vervangt maatregelen die werkelijk worden toegepast. Een overbodig document dat nooit is uitgevoerd, verhoogt soms het risico in plaats van het te verlagen.
Geen nulrisico
Een risicoanalyse garandeert niet dat er geen kwetsbaarheid is en niet dat er geen compromittering is. Het is een gestructureerde lezing op een bepaald moment, die na elk incident, elke wijziging van het informatiesysteem of elke nieuwe afhankelijkheid moet worden herzien.
Geen ongetest plan
Een plan dat nooit getest is, geeft een illusie van beheersing. En de beslissing blijft bij de directie: Galyct Pro verheldert de afwegingen; de aanvaarding van het risico en de middelen zijn de zaak van de organisatie.
Bekijk uw raamwerken toegepast op uw eigen context.
Een live demo van 30 minuten over ISO 27001, NIS 2, DORA, GDPR, EBIOS RM of BCP / DRP, of begin zelf met de gratis directiediagnose. Vrijblijvend.