IT-audits
Newblend auditeert je informatiebeveiliging tegen NIS2, ISO 27001 en NEN 7510. Wij hebben een eigen auditor in huis, dus je hebt geen extern bureau nodig om te weten waar je staat. Een audit levert geen certificaat op — die geeft alleen een geaccrediteerde instelling af — maar wel het inzicht en de onderbouwing waarmee je die certificering haalt en behoudt.
- Newblend voert interne audits uit op informatiebeveiliging, gericht op NIS2, ISO 27001 en NEN 7510.
- De audits worden uitgevoerd door een eigen auditor en kunnen onafhankelijk worden uitgevoerd.
- Wij certificeren niet. Een certificaat komt van een geaccrediteerde certificerende instelling.
- De interne audit is binnen ISO 27001 en NEN 7510 verplicht, en bepaalt hoe je de externe audit ingaat.
- Je krijgt een auditrapport met bevindingen per norm-eis en een plan van aanpak met prioriteiten.
Waartegen we auditen
NIS2 en de Cyberbeveiligingswet
Wetgeving, geen norm met certificaat. We toetsen of je zorgplicht en meldplicht daadwerkelijk zijn belegd: risicobeoordeling, maatregelen, het incidentproces, leveranciersbeheer en de bestuurlijke verantwoording. Uitkomst: kun je aantonen dat je eraan voldoet.
ISO 27001
De internationale norm voor informatiebeveiliging. We auditen het managementsysteem en de maatregelen uit Annex A, inclusief de Verklaring van Toepasselijkheid en de onderbouwing van uitsluitingen. Zowel als voorbereiding op certificering als in de jaarlijkse cyclus daarna.
NEN 7510
De Nederlandse norm voor informatiebeveiliging in de zorg, gebouwd op ISO 27001 met aanvullende eisen rond patiëntgegevens. Voor zorgaanbieders en hun leveranciers auditen we die aanvullende eisen mee.
Wat wij wel en niet doen
Het verschil tussen een interne en een externe audit wordt vaak door elkaar gehaald, en dat kost tijd in een certificeringstraject. Daarom expliciet:
- Interne audits, met een eigen auditor
- Nulmeting: waar sta je nu ten opzichte van de norm
- Auditrapport met bevindingen per norm-eis
- Plan van aanpak, geprioriteerd naar risico
- Voorbereiding op de externe audit
- De jaarlijkse interne auditcyclus na certificering
- Certificaten afgeven. Dat mag uitsluitend een geaccrediteerde certificerende instelling
- De externe certificerings- of hercertificeringsaudit uitvoeren
Loopt een van deze punten in jouw traject, dan zeggen we vooraf welke partij je daarvoor nodig hebt.
Hoe een audit verloopt
-
STAP 01Scope bepalen
Welke organisatieonderdelen, processen en systemen vallen binnen de audit, en tegen welke norm toetsen we. Vastgelegd voordat we beginnen.
-
STAP 02Documentatie
Beleid, procedures, risicoanalyse en registers doornemen. Wat staat er op papier, en klopt dat met de norm-eisen.
-
STAP 03Interviews en toetsing
Gesprekken met proceseigenaren en steekproeven in de praktijk. Papier en werkelijkheid tegen elkaar leggen.
-
STAP 04Rapportage
Bevindingen per norm-eis, met onderbouwing en een onderscheid tussen afwijkingen en verbeterkansen. Bruikbaar in de management review.
-
STAP 05Opvolging
Plan van aanpak met prioriteiten en eigenaren, en een hertoets op de punten die je hebt opgepakt.
Een eigen auditor, onafhankelijk ingezet
Onze auditor zit niet in de beheerteams en beoordeelt niet zijn eigen werk. Daardoor kunnen we onafhankelijk auditen: de bevindingen zijn wat ze zijn, ook als ze ongelegen komen.
Dat een auditor in huis zit, maakt het traject korter. Je hoeft geen extern bureau in te werken op je organisatie, en de auditor kent de techniek waar de norm-eisen over gaan.
- ISO 27001 verplicht een interne audit binnen de jaarlijkse cyclus, plus een management review.
- NEN 7510 volgt diezelfde systematiek, met de aanvullende zorgeisen.
- NIS2 schrijft geen audit voor, maar wel dat je kunt aantonen dat je maatregelen passend zijn. Een audit is de praktische manier om dat vast te leggen.
Veelgestelde vragen
Kan Newblend ons certificeren voor ISO 27001?
Nee. Een certificaat mag alleen worden afgegeven door een geaccrediteerde certificerende instelling. Wij voeren de interne audits uit die nodig zijn om die certificering te halen en te behouden, en leveren de rapportage waarmee je de externe audit ingaat.
Wat is het verschil tussen een interne en een externe audit?
Een interne audit is de eigen controle van de organisatie op haar managementsysteem, verplicht binnen ISO 27001 en NEN 7510. Een externe audit wordt uitgevoerd door de certificerende instelling en leidt tot het certificaat. De interne audit bepaalt hoe je die externe audit ingaat.
Hoe kan een auditor van jullie onafhankelijk zijn?
Onafhankelijkheid betekent dat de auditor niet het werk beoordeelt dat hij zelf heeft ingericht. Onze auditor zit buiten de beheerteams en heeft geen belang bij de uitkomst.
Hoe lang duurt een interne audit?
Dat hangt af van de omvang van de scope en de staat van je documentatie. Na het bepalen van de scope weet je wat de audit aan doorlooptijd en inzet vraagt; dat leggen we vooraf vast.
Wat lever je op na de audit?
Een auditrapport met bevindingen per norm-eis, onderbouwing per bevinding, een onderscheid tussen afwijkingen en verbeterkansen, en een plan van aanpak met prioriteiten. Dat rapport is bruikbaar als input voor de management review.
Weet je of je het kunt aantonen?
Een nulmeting laat zien waar je staat ten opzichte van NIS2, ISO 27001 of NEN 7510, en wat er nog moet gebeuren voordat een externe auditor langskomt.