CyberFundamentals® (CyFun®) is het cyberbeveiligingsraamwerk van het Centrum voor Cybersecurity België (CCB) en de gangbare manier om aan te tonen dat je aan NIS2 voldoet. Het raamwerk zelf vertelt je wat je moet kunnen aantonen, maar niet hoe je eraan begint. Deze gids beschrijft een werkwijze die in de praktijk werkt, van niveau bepalen tot audit. Wil je eerst weten wat de niveaus inhouden, lees dan CyFun® Basic, Important of Essential: wat is het verschil?.
Het geheel bestaat uit zes functies (Beheren, Identificeren, Beschermen, Detecteren, Reageren, Herstellen), opgedeeld in categorieën en subcategorieën, met daaronder de concrete maatregelen. Basic telt er 34, Essential ruim 200. Je hoeft dat niet in je hoofd te houden: je werkt functie per functie, categorie per categorie.
Het overzicht van een ingevuld dossier: je maturiteit, hoeveel maatregelen audit-ready zijn, en daaronder de functies met hun categorieën.
Stap 1: Bepaal je niveau
Je NIS2-classificatie (belangrijk of essentieel) geeft de richting: essentieel gaat standaard naar CyFun® Essential, belangrijk naar Important. Maar het niveau ligt niet vast. Met een risicoanalyse kan je gemotiveerd een niveau lager kiezen als je risico dat toelaat. Dat scheelt veel werk, want elk niveau erboven voegt tientallen maatregelen toe.
Belangrijk om te begrijpen: die keuze moet je kunnen verdedigen. Gebeurt er een ernstig incident dat je met een maatregel van een hoger niveau had kunnen tegenhouden, dan kan een inspectie je keuze opnieuw bekijken. Bepaal je niveau dus bewust, en leg de motivatie vast.
Stap 2: Verdeel de maatregelen, wijs verantwoordelijken aan
Dit is de stap die het vaakst wordt overgeslagen, en net die maakt het verschil tussen een dossier dat blijft leven en een eenmalige oefening. CyFun® raakt de hele organisatie, niet alleen IT: ook HR, aankoop, facilities en de leidinggevende hebben maatregelen. Je kan die 130 of 200 maatregelen onmogelijk in je eentje correct scoren.
De aanpak: groepeer de maatregelen per domein (de categorieën van CyFun® lenen zich daar goed toe) en geef elk domein een verantwoordelijke. Die persoon kent de praktijk van zijn domein en scoort de maatregelen, jij bewaakt de samenhang en de consistentie over alle domeinen heen. Denk aan het onderscheid tussen wie het kader zet en wie het uitvoert: als informatieveiligheidsverantwoordelijke schrijf je het beleid, de teams schrijven hun eigen werkwijzen en leveren het bewijs.
Per categorie wijs je een verantwoordelijke aan. Zo verdeel je het werk en toon je dat cyberbeveiliging in de hele organisatie verankerd zit, een uitdrukkelijke eis van NIS2.
Stap 3: Begrijp de scoring
Elke maatregel scoor je op twee assen: documentatie (heb je het vastgelegd) en implementatie (draait het ook echt). Beide krijgen een score van 1 tot 5, en het gemiddelde telt. Je moet de drempel van je niveau halen: 2,5 voor Basic, 3 voor Important, 3,5 voor Essential. Sommige maatregelen zijn kernmaatregelen die apart de drempel moeten halen.
Twee vuistregels die veel dossiers de das omdoen:
- Een beleid op papier alleen komt niet hoger dan een 2. Voor een 3 of meer heb je ook een procedure nodig die beschrijft hoe je het concreet doet.
- Scoor eerder voorzichtig dan te hoog. Een inspectie kan scores enkel verlagen, nooit verhogen. Een te optimistische zelfscore die onderuit wordt gehaald, kost je vertrouwen voor de rest van de audit.
Eén maatregel van dichtbij: de vraag in gewone taal, de twee scoringsassen, de herinnering dat een beleid alleen maximaal een 2 is, en welk bewijs telt voor documentatie en voor uitvoering.
Stap 4: De documentatiepiramide
Documentatie is meer dan een beleid. Denk aan een piramide met vier lagen:
- Beleid (policy): de richting, technologie- en toolonafhankelijk. Wat willen we, en wat verwachten we? Relatief stabiel, jaarlijks herzien.
- Procedures (SOP's): de stappen om dat beleid uit te voeren. Wel technisch, maar niet gebonden aan één merk of tool.
- Werkinstructies: hoe je het concreet doet in een bepaalde tool, met schermafbeeldingen. Die wijzigen als je van tool verandert.
- Registraties (bewijs): het bewijs dat het bovenstaande ook echt leeft en wordt opgevolgd.
Je hebt geen honderd beleidsdocumenten nodig. Een set van rond de twintig goed afgebakende beleidsdocumenten dekt het hele raamwerk, omdat één document meerdere maatregelen onderbouwt. Het beleid schrijf je centraal; de procedures en werkinstructies horen bij de teams die het werk doen.
Stap 5: Verzamel bewijs, en het juiste soort
Voor elke maatregel verzamel je twee soorten bewijs:
- Bewijs voor documentatie: een vastgelegd, goedgekeurd document (beleid en procedure), met datum en versie.
- Bewijs voor uitvoering: een recent bewijs dat het echt draait, zoals een schermafbeelding mét datum, een logbestand of een export van de laatste maanden.
Let op de woorden recent en mét datum. Bewijs van uitvoering van maanden geleden telt niet; verzamel het pas een paar weken voor je audit, en zorg dat de datum in beeld staat en de schermafbeelding leesbaar is. Bewaar per maatregel het bewijs bij elkaar, zodat je het later niet moet zoeken.
Stap 6: Leg uitzonderingen vast
Niet elke maatregel zal je (meteen) volledig halen. Dat is geen probleem, zolang je de afwijking bewust vastlegt. Een uitzondering met een reden, een goedkeuring en een einddatum is verdedigbaar voor een auditor; een onverklaarde leemte niet. Houd daarom een uitzonderingenregister bij, naast je risicoregister, en herbekijk elke uitzondering minstens jaarlijks.
Elke uitzondering krijgt een reden, een gekoppelde maatregel, een goedkeuringsdatum en een einddatum. Loopt een uitzondering af, dan krijg je een signaal om ze te herbekijken of te verlengen.
Stap 7: Bereid de audit voor
Een CyFun®-inspectie verloopt anders dan een klassieke audit. De inspecteur (een erkende instantie, een CAB) test niets live: hij bekijkt je ingevulde self-assessment en je bewijsmapje, en gaat na of je claim klopt met je bewijs. Je stuurt je ingevulde bestand meestal twee weken vooraf door; daarna kan je scores niet meer aanpassen.
Dat maakt de voorbereiding voorspelbaar. Zorg dat je bewijs op orde is, noteer per maatregel een korte rechtvaardiging met een verwijzing naar het exacte document of hoofdstuk, en scoor conservatief. Onthoud ook het onderscheid: Basic en Important zijn een verificatie, Essential is een certificatie (strenger, met een nazicht van je beheersysteem).
Een checklist die de manier van werken van een CyFun®-inspectie samenvat: bewijs vooraf, gedateerd, conservatief scoren, en gevoelig bewijs enkel tonen op je eigen systeem.
Drie fouten die je beter vermijdt
- Alles zelf willen scoren. Je kent de finesses van HR, facilities of het netwerk niet even goed als de mensen die er dagelijks mee bezig zijn. Laat hen scoren, en bewaak jij de consistentie.
- Meteen in de maatregelen duiken. Werk top-down: leg eerst de functies en categorieën uit aan de betrokken teams, zodat ze het geheel snappen, en ga dan pas naar de losse maatregelen.
- Alleen op de eerstvolgende inspectie mikken. CyFun® is geen eenmalige oefening. Bouw een dossier dat je jaar na jaar kan onderhouden en dat meegroeit naar een hoger niveau.