Verplichte KSC-audit: welke essentiële entiteiten moeten zich voorbereiden op de eerste beoordeling?

Een verplichte KSC-audit begint niet met het selecteren van een auditor of het verzamelen van procedures. Eerst moet de status van de betreffende rechtspersoon worden bevestigd, moeten de gereguleerde diensten worden afgebakend en moeten verantwoordelijkheden voor risico’s, beveiligingsmaatregelen en bewijsvoering duidelijk zijn toegewezen. Zonder deze besluiten kan een organisatie middelen aan de verkeerde onderwerpen besteden, kritieke afhankelijkheden missen of de audit ingaan met documentatie die niet aansluit op de feitelijke dienstverlening. De gereedheid voor de eerste beoordeling wordt daarom niet bepaald door het aantal procedures, maar door de samenhang tussen juridische kwalificatie, operationele scope, risicobeheersing en de dagelijkse praktijk.

Welke organisaties vallen onder de eerste audit?

De eerste stap is vaststellen of de betreffende rechtspersoon onder de KSC valt, in welke categorie deze is ingedeeld en welke auditverplichtingen en termijnen van toepassing zijn. Bij deze kwalificatie moet rekening worden gehouden met de sector, de feitelijk uitgevoerde activiteiten, de omvang van de organisatie en eventuele bijzondere criteria uit de actuele regelgeving. Essentiële entiteiten mogen niet zonder meer worden gelijkgesteld aan de voormalige aanbieders van essentiële diensten. Ook kan hun status niet uitsluitend op basis van een PKD-code worden bepaald. Zo’n code kan richting geven, maar vervangt geen analyse van de diensten, de afnemers en de positie van de organisatie binnen de sector.

Het eerste werkdocument hoort een formeel goedgekeurde kwalificatieanalyse te zijn. Daarin worden de gereguleerde activiteiten, de uitvoerende organisatieonderdelen, de geleverde diensten, de ondersteunende informatiesystemen en de onderbouwing van de gekozen kwalificatie vastgelegd. Het eigenaarschap van het KSC-complianceproces kan worden toegewezen aan Legal, Compliance of Cybersecurity. De kwalificatie zelf moet echter formeel worden goedgekeurd door het orgaan dat bevoegd is namens de entiteit besluiten te nemen. Bij twijfel is juridisch advies verstandiger dan een voorbereidingsprogramma baseren op een niet-gedocumenteerde aanname.

Binnen een groep geldt de status van één vennootschap niet automatisch voor de andere groepsmaatschappijen. Iedere rechtspersoon moet afzonderlijk worden beoordeeld op activiteiten, omvang en bijzondere criteria. Pas daarna worden gedeelde servicecentra, infrastructuur, systemen en leveranciers in kaart gebracht. Dit onderscheid is noodzakelijk om risicoverantwoordelijkheden toe te wijzen, de auditgrenzen vast te stellen en te bepalen hoe u een organisatie voorbereidt op een tweedepartijaudit bij een kritieke leverancier.

De precieze drempelwaarden, uitzonderingen, identificatie-, registratie- of meldingsprocedures en auditdata moeten worden geverifieerd aan de hand van de geldende tekst van de Poolse wet inzake het nationale cyberbeveiligingssysteem en de toepasselijke uitvoeringsbesluiten. Het uitblijven van een officiële kennisgeving is op zichzelf geen reden om de analyse uit te stellen wanneer het activiteitenprofiel erop wijst dat de organisatie mogelijk onder de regelgeving valt. Pas na bevestiging van de status kunnen de scope en planning van de eerste audit verantwoord worden vastgesteld.

De scope bepaalt de kwaliteit van de uitkomst

Een van de grootste voorbereidingsfouten is de scope van een KSC-audit gelijkstellen aan de IT-afdeling. De beoordeling richt zich op de beheersing van de beveiliging van diensten en systemen. De auditgrenzen moeten daarom ook operationele processen, onderhoud, inkoop, HR, bedrijfscontinuïteit, incidentrespons en bestuurlijk toezicht omvatten. Een te beperkte scope laat afhankelijkheden buiten beeld die bepalend zijn voor de weerbaarheid van de dienst. De hele organisatie zonder onderbouwing meenemen vergroot daarentegen de werklast en maakt het lastiger om wezenlijke bevindingen van bijzaken te onderscheiden.

De scope moet worden opgebouwd vanuit de diensten die onder de regelgeving vallen. Van daaruit worden de ondersteunende processen en informatie gevolgd naar applicaties, infrastructuur, locaties, medewerkers en externe partijen. Een inventarisatie van apparatuur alleen maakt niet duidelijk welke middelen essentieel zijn voor de dienstverlening of wie verantwoordelijk is voor de bijbehorende risico’s. Voor iedere dienst moeten daarom de eigenaar, afhankelijke processen, kritieke informatie-assets, systemen, leveranciers en bewijzen van de werking van beheersmaatregelen worden vastgelegd. De afhankelijkhedenkaart moet laten zien wat de gevolgen van onbeschikbaarheid of een beveiligingsincident zijn, zonder relaties te documenteren die geen invloed hebben op de beoordeelde dienst.

Het praktische belang hiervan blijkt bijvoorbeeld bij back-ups. Back-ups kunnen tijdig worden uitgevoerd, gemonitord en conform de procedure verlopen. Als de eigenaar van het operationele proces echter geen vereiste hersteltijd heeft vastgesteld, kan niet worden aangetoond dat de technische maatregel aan de bedrijfsbehoefte voldoet. Hetzelfde geldt voor een systeem dat door meerdere groepsmaatschappijen wordt gedeeld: het moet worden opgenomen in de scope van iedere entiteit waarvan het een gereguleerde dienst ondersteunt. Daarbij moet de verdeling van verantwoordelijkheden voor beheer, risico’s, incidenten en bewijslevering expliciet worden beschreven.

De organisatorische en technische grenzen moeten worden bevestigd in een workshop met eigenaren van diensten en processen en met de verantwoordelijken voor bedrijfscontinuïteit, cybersecurity en kritieke leveranciers. De scope mag niet uitsluitend worden bepaald op basis van een gesprek met de infrastructuurbeheerder. De workshop moet resulteren in een overzicht van de beoordeelde diensten, ondersteunende systemen, locaties en leveranciers, gedeelde afhankelijkheden en onderbouwde uitsluitingen. Voor iedere uitsluiting moeten de grondslag, de impact op de dienst en de eigenaar van het besluit worden vastgelegd.

Deze kaart is ook het uitgangspunt voor de kostenraming die wordt besproken in Wat kost de implementatie van NIS2 en uKSC? Een budget opstellen voor audits, documentatie, trainingen en beveiligingsmaatregelen zonder kostbare fouten.

Bij het vaststellen van rollen, onafhankelijkheid en de behandeling van bevindingen kan het onderscheid tussen interne en externe audits als hulpmiddel dienen. Dat verandert niets aan het uitgangspunt: een KSC-audit heeft een eigen wettelijke grondslag, eigen criteria en een scope die voortvloeit uit de verplichtingen van de beoordeelde entiteit. Het is geen reguliere certificatieaudit van een managementsysteem, ook al worden vergelijkbare methoden gebruikt om bewijs te verzamelen en de effectiviteit van beveiligingsmaatregelen te beoordelen.

Kosten ontstaan vooral op de raakvlakken van verantwoordelijkheden

De grootste voorbereidingskosten ontstaan doorgaans niet waar een document ontbreekt, maar waar verantwoordelijkheden versnipperd zijn. Dat speelt met name tussen IT en Operations, tussen een vennootschap en de groep, tussen opdrachtgever en leverancier en tussen proceseigenaar en systeemeigenaar. Als geen van de betrokken partijen aantoonbaar verantwoordelijk is voor risico’s, incidenten, bedrijfscontinuïteit en bewijslevering, blijft de tekortkoming bestaan, ook wanneer rollen op papier formeel zijn toegewezen.

Het budget moet worden opgebouwd op basis van de impact van tekortkomingen op de dienst en het risico dat de werking van maatregelen niet kan worden aangetoond. Het aantal ontbrekende procedures is daarvoor geen goede maatstaf. Begroot afzonderlijk de gap-analyse, organisatorische werkzaamheden, technische maatregelen, tests, competentieontwikkeling, leveranciersbeheer en de audit zelf. Drie stuurindicatoren zijn daarbij bijzonder bruikbaar:

• het aantal kritieke tekortkomingen waarvoor een investering of contractwijziging nodig is;
• de verwachte implementatieduur van maatregelen die moeten worden getest;
• het aandeel van infrastructuurmodernisering dat losstaat van de complianceverplichting zelf.

De moeilijkst op te lossen tekortkomingen vereisen meestal technische wijzigingen, heronderhandeling van contracten, hersteltests, beter beheer van privileged access of een herinrichting van de melding en escalatie van incidenten. Deze punten kunnen niet geloofwaardig worden afgesloten door alleen een procedure goed te keuren. Een clouddienstverlener kan bijvoorbeeld uitgebreide beveiligingsmaatregelen verklaren, terwijl de organisatie zelf nog steeds niet kan aantonen hoe verantwoordelijkheden zijn verdeeld, of zij tijdig incidentinformatie ontvangt en of de auditor toegang krijgt tot het benodigde bewijs. De tekortkoming raakt dan tegelijkertijd het contract, leverancierstoezicht, de dienstenarchitectuur en de beschikbaarheid van auditbewijs.

Vóór de audit moeten in ieder geval de tekortkomingen worden weggenomen die de continuïteit van de dienst, de incidentrespons of het aantoonbaar functioneren van een kritieke maatregel ondermijnen. Voor overige tekortkomingen kan een beheerst actieplan aanvaardbaar zijn, mits dit de eigenaar, termijn, benodigde middelen, tijdelijke risicobeperking en formele acceptatie van het restrisico op het juiste managementniveau beschrijft. Taken die eenvoudig als ‘gereed’ kunnen worden gemarkeerd, verdienen niet automatisch prioriteit. Ook de keuze tussen de aanschaf van tooling en procesverbetering moet voortvloeien uit de oorzaak van de tekortkoming en niet uit de beschikbaarheid van een investeringsbudget.

Dezelfde discipline in verantwoordelijkheden is relevant voor het onderwerp Hoe bereidt u een team voor op een klantaudit wanneer APQP, PPAP en oorzaakanalyse vereist zijn?, hoewel de beoordelingscriteria en grondslag verschillen.

De auditor beoordeelt de werking, niet de ordner

Een document is slechts het begin van de bewijsvoering. De auditor moet het spoor kunnen volgen van de eis en het geïdentificeerde risico naar de proceseigenaar, de toegepaste beheersmaatregel, de registratie van de uitvoering, het monitoringsresultaat en de reactie op een vastgestelde afwijking. Een beleid, procedure of werkinstructie toont op zichzelf geen effectiviteit aan. Daarvoor zijn objectieve bewijzen uit de normale bedrijfsvoering nodig, zoals tickets, logbestanden, goedkeuringen, testverslagen, beoordelingsresultaten, risicobesluiten en afgesloten corrigerende maatregelen.

Het voorbereidingsprogramma moet beschrijven hoe steekproeven uit werkelijke cases worden geselecteerd en niet alleen welke documenten beschikbaar moeten zijn. De steekproef hoort onder meer de toekenning en intrekking van toegang, kwetsbaarhedenbeheer, een incident, gegevensherstel, een systeemwijziging, medewerkerstraining, leverancierskwalificatie en een directiebeoordeling te omvatten. Voor elke steekproef moeten de bronregistratie, de verantwoordelijke persoon en het effectiviteitscriterium worden bepaald.

Het is zinvol om het aantal conforme cases, afwijkingen en ontbrekende bewijsstukken naast elkaar te rapporteren. Wanneer de organisatie metingen uitvoert, moeten ook de reactie- en afhandeltijden van incidenten en de resultaten van hersteltests, oefeningen en toegangsbeoordelingen worden meegenomen. De bewaartermijn van bewijs moet lang genoeg zijn om de consistente werking van het proces te kunnen beoordelen en relevante risicogebeurtenissen te omvatten. De auditdatum mag niet het enige uitgangspunt voor de bewaartermijn zijn.

Een procedure voor het intrekken van toegangsrechten is onvoldoende bewijs als uit een steekproef van accounts van voormalige medewerkers vertragingen, nog actieve accounts of ontbrekende uitvoeringsbevestigingen blijken. De auditor kan HR-gegevens, servicemanagementtickets, directoryregistraties en activiteitenlogs met elkaar vergelijken. Automatisch gegenereerd bewijs is waardevol wanneer de volledigheid, betrouwbare tijdregistratie en koppeling aan een specifieke case kunnen worden aangetoond. Besluiten over risicoacceptatie, uitzonderingen, incidentafsluiting of leverancierskwalificatie vereisen daarnaast een goedgekeurde registratie waaruit de verantwoordelijkheid herleidbaar is.

Een interne auditsteekproef moet de beoordelingsroute van de externe auditor nabootsen: van criterium via steekproef naar een oordeel over implementatie en effectiviteit. Daarbij mogen medewerkers hun eigen werk niet beoordelen. Voor het onderzoek naar toezicht op externe partijen biedt Leveranciersaudit in de nucleaire energiesector: wat wordt beoordeeld en hoe bereidt u de organisatie voor op kwalificatie? bruikbare context, mits de afzonderlijke beoordelingscriteria gerespecteerd blijven.

Een bestaand managementsysteem kan mechanismen bieden voor documentbeheer, interne audits, corrigerende maatregelen en directiebeoordelingen. Gebruik deze mechanismen waar mogelijk in plaats van een parallel proces op te zetten. Een bestaand certificaat vervangt echter niet het aantonen van conformiteit met de toepasselijke KSC-criteria. De uitkomst hangt af van de vraag of de maatregelen binnen de vastgestelde scope daadwerkelijk functioneren en of de organisatie consistent en betrouwbaar bewijs van toepassing kan overleggen.

Leveranciers vallen binnen de scope

Het uitbesteden van systeembeheer, gegevensverwerking of beveiligingsmonitoring verlegt de verantwoordelijkheid van de essentiële entiteit niet naar de leverancier. Een leverancier kan maatregelen uitvoeren en incidenten afhandelen, maar de organisatie moet de risico’s van de dienst blijven begrijpen, eisen vaststellen en effectief toezicht aantonen. De auditvoorbereiding moet daarom ook externe diensten omvatten waarvan bedrijfscontinuïteit, vertrouwelijkheid van informatie of beschikbaarheid van systemen afhankelijk zijn.

De diepgang van de beoordeling moet aansluiten op de kritikaliteit van de leverancier. Relevante factoren zijn de impact van een storing op de dienst, de mate van toegang tot informatie en systemen, de vervangbaarheid van de leverancier, de inzet van onderaannemers, de verwerkingslocatie en de praktische mogelijkheid om bewijs te verkrijgen. Leveranciers met beperkte impact kunnen worden beoordeeld met een vragenlijst en documentreview. Voor strategische partners kunnen interviews, continuïteitstests, onderzoek van operationele registraties of een tweedepartijaudit passend zijn.

Als een leverancier geen auditrecht toestaat, moet de organisatie alternatieve bewijsbronnen vaststellen, het restrisico beoordelen en beslissen of aanvullende maatregelen, contractheronderhandeling of een exitplan nodig zijn. Een eigen verklaring of certificaat van de leverancier kan onvoldoende zijn wanneer dit niet de relevante dienst, locatie of operationele scope omvat.

Een veelvoorkomende tekortkoming ontstaat wanneer een contract wel de beschikbaarheid van de dienst regelt, maar geen termijn bevat voor het melden van incidenten, geen afspraken maakt over samenwerking bij oorzaakanalyse en geen recht geeft om de maatregelen van de leverancier te verifiëren. Dit is niet uitsluitend een formele tekortkoming. Zonder zulke bepalingen ontvangt de organisatie mogelijk niet tijdig de informatie die nodig is om de gevolgen te beoordelen, besluiten te nemen en de auditor een consistent verloop van de respons te tonen. Een contractuele tekortkoming kan niet met alleen een interne procedure worden opgelost.

De beoordeling van contracten en beveiligingsaddenda moet ten minste betrekking hebben op informatiebeveiliging, incidentmelding, bedrijfscontinuïteit, onderaanneming, beëindiging van de samenwerking, teruggave of verwijdering van gegevens, toegang tot bewijs en verificatierechten. De voortgang kan worden gemeten aan de hand van het aantal kritieke leveranciers, het percentage partners met een actuele risicobeoordeling en aantoonbaar toezicht, het aantal contracten dat moet worden aangevuld en het aantal diensten zonder bevestigd continuïteits- of exitplan. De methode voor een diepgaande beoordeling wordt verder uitgewerkt in het artikel Hoe bereidt u een organisatie voor op een tweedepartijaudit bij een kritieke leverancier?

Plan van aanpak tot aan de eerste beoordeling

Het voorbereidingsprogramma moet een vaste volgorde volgen: bevestig de status van de entiteit en de toepasselijke juridische criteria, bepaal de grenzen van de te beoordelen omgeving, wijs verantwoordelijkheden toe, voer een risico- en gap-analyse uit en keur vervolgens het verbeterplan goed. Een proefaudit is pas zinvol nadat maatregelen zijn geïmplementeerd en registraties uit de werking ervan beschikbaar zijn. De uitkomsten moeten leiden tot het wegnemen van de oorzaken van afwijkingen, niet alleen de symptomen, en tot een definitieve beoordeling van de auditgereedheid door het management.

De planning wordt terug gerekend vanaf de termijn die volgt uit de op dat moment geldende regelgeving of een formeel besluit voor de betreffende entiteit. Er bestaat geen universeel veilig startmoment voor alle organisaties. Dit hangt af van de juridische status, de technische scope, de volwassenheid van de maatregelen, het aantal externe afhankelijkheden en de tijd die nodig is om registraties van de feitelijke werking op te bouwen. Het bestuur moet prioriteiten goedkeuren op basis van risico en onderlinge afhankelijkheden, niet op basis van de snelheid waarmee taken administratief kunnen worden gesloten.

Een taak die na publicatie van een procedure als uitgevoerd wordt gemarkeerd, blijft in werkelijkheid open totdat de procedure is ingevoerd, op een representatieve steekproef is getoetst en met registraties is bevestigd. Dit geldt ook voor technische maatregelen, incidentrespons, continuïteitsplannen en leverancierstoezicht. Auditgereedheid vereist bewijs van de volledige beheerscyclus: besluitvorming, uitvoering, controle van het resultaat en reactie op afwijkingen. Wanneer een tekortkoming betrekking heeft op de samenwerking met een externe partij, biedt Leveranciersaudit vóór contractondertekening: risico’s voor kwaliteit en leverbetrouwbaarheid beperken aanvullende context.

Rapportage aan het bestuur mag niet beperkt blijven tot het percentage afgeronde acties. Managementinformatie moet ten minste het volgende tonen:

• het aantal tekortkomingen per ernstniveau, inclusief eigenaar en geplande sluitingsdatum;
• het percentage maatregelen waarvan de werking met registraties is bevestigd;
• openstaande risico’s die op het juiste managementniveau zijn geaccepteerd;
• belemmeringen, zoals ontbrekend eigenaarschap, een niet-geïmplementeerde maatregel, een niet-getest plan, een niet-afgerond contract of een tekortkoming zonder betrouwbaar bewijs van sluiting.

Begin tijdig met de selectie van de partij die de audit zal uitvoeren, maar pas nadat de actuele KSC-eisen voor de uitvoerende partij en de rapportage van resultaten zijn geverifieerd. Prijs mag niet het enige criterium zijn. Beoordeel de vereiste bevoegdheden, onafhankelijkheid, sectorkennis, methodiek en het vermogen om de feitelijke technische omgeving te onderzoeken. Het contracteren van een auditor vervangt geen proefaudit of directiebeoordeling. Daarmee wordt alleen het organisatorische deel van de voorbereiding op de formele beoordeling afgerond.

De eerste KSC-audit moet worden gezien als een toets van het vermogen van de organisatie om de beveiliging van haar diensten te beheersen, niet als een eenmalige documentreview. Een entiteit is pas gereed wanneer zij haar status en scope kan onderbouwen, risico-eigenaren kan aanwijzen, de werking van maatregelen kan aantonen en betrouwbaar bewijs kan overleggen van het toezicht op processen en leveranciers.