Cybersecuritybeleid in de praktijk: van NIS2 tot aantoonbare compliance Présentiel

Deze opleiding richt zich tot:

• information security officers, security managers en CISO's;
• IT-managers en IT-verantwoordelijken;
• risk- en complianceverantwoordelijken;
• DPO's, juridische medewerkers en interne auditoren;
• kwaliteits- en beleidsmedewerkers;
• business continuity- en crisismanagementverantwoordelijken;
• medewerkers die cybersecuritypolicies moeten opstellen, beoordelen, goedkeuren of implementeren;
• directieleden die toezicht houden op cybersecurity en compliance.

De opleiding is niet technisch en is ook geschikt voor deelnemers zonder diepgaande IT-kennis.

De opleiding leert deelnemers hoe zij wettelijke, normatieve en organisatorische vereisten vertalen naar een samenhangend en werkbaar cybersecuritybeleid.

Na afloop kunnen deelnemers:

• de belangrijkste Europese en Belgische cybersecuritykaders situeren;
• het verschil herkennen tussen geldende verplichtingen, sectorspecifieke regels, normen, richtlijnen en wetgevingsvoorstellen;
• bepalen welke verplichtingen in een policy, procedure, werkinstructie of register moeten worden opgenomen;
• een logische hiërarchie van cybersecuritypolicies uitwerken;
• duidelijke rollen toewijzen voor goedkeuring, uitvoering, controle en rapportering;
• een policy schrijven die begrijpelijk, toepasbaar en controleerbaar is;
• policies koppelen aan risico's, maatregelen, bewijsstukken en rapportering;
• bestaande policies beoordelen op volledigheid, samenhang en uitvoerbaarheid;
• een prioritaire roadmap voor de ontwikkeling of actualisering van cybersecuritybeleid opstellen.

Een praktijkgerichte opleiding voor medewerkers die Europese en Belgische cybersecurityverplichtingen moeten vertalen naar duidelijke, werkbare en aantoonbare policies.

Cybersecuritywetgeving leidt in organisaties vaak tot een uitgebreide verzameling documenten, maar een policy heeft alleen waarde wanneer ze richting geeft aan concrete beslissingen en aantoonbaar wordt uitgevoerd. Deze opleiding vertrekt daarom niet vanuit standaardteksten, maar vanuit de vraag wat een organisatie moet regelen, wie daarvoor verantwoordelijk is, hoe de regels worden toegepast en welk bewijs daarvan beschikbaar moet zijn.

1.  Het Europese en Belgische cybersecuritylandschap.

Deelnemers krijgen een overzicht van de belangrijkste regelgevende kaders en hun onderlinge verhouding

• de Europese NIS2-richtlijn en de Belgische NIS2-wet;
• de huidige EU Cybersecurity Act en de voorgestelde herziening;
• de Cyber Resilience Act voor producten met digitale elementen;
• DORA voor de financiële sector;
• de CER-richtlijn voor de weerbaarheid van kritieke entiteiten;
• de Cyber Solidarity Act;
• de samenhang met de GDPR, sectorale verplichtingen en contractuele vereisten;
• de rol van ISO/IEC 27001 

De opleiding maakt duidelijk welke teksten rechtstreeks verplichtingen opleggen, welke alleen op bepaalde sectoren of activiteiten van toepassing zijn en welke initiatieven nog in ontwikkeling zijn.

2. Governance en verantwoordelijkheid

Een cybersecuritypolicy moet duidelijk maken wie beslist, wie uitvoert en wie controleert. 

Deelnemers behandelen:

verantwoordelijkheid en toezicht door het bestuursorgaan; 

• rollen van directie, CISO, IT, risk, compliance, DPO, HR en interne audit;
• policy owner, control owner en risk owner;
• goedkeurings- en escalatieprocessen;
• rapportering aan directie en bestuursorgaan;
• beheer van uitzonderingen en formele risicoacceptatie;
• de relatie tussen beleid, risicobeheer en strategische doelstellingen.

3. Een samenhangende policystructuur opbouwen

Deelnemers leren het verschil tussen: Aan de hand van een beleidsarchitectuur bepalen zij welke documenten nodig zijn, welke documenten kunnen worden gecombineerd en waar overlap of tegenstrijdigheid moet worden vermeden.

4. Welke cybersecuritypolicies zijn nodig?

De opleiding behandelt de belangrijkste beleidsdomeinen die voortvloeien uit NIS2, ISO 27001 en goede praktijken:

• cybersecuritygovernance en risicobeheer;
• assetbeheer en gegevensclassificatie;
• identiteits- en toegangsbeheer;
• personeelsbeveiliging en awareness;
• incidentmelding en incident response;
• crisismanagement, back-up, herstel en business continuity;
• kwetsbaarheden-, patch- en configuratiebeheer;
• beveiliging van leveranciers en de toeleveringsketen;
• veilige aankoop, ontwikkeling, wijziging en onderhoud van systemen;
• logging, monitoring en detectie;
• cryptografie en beveiligde communicatie;
• remote access, mobiel werken en cloudgebruik;
• controle van uitzonderingen en periodieke evaluatie.

5. Een duidelijke en bruikbare policy schrijven

Deelnemers leren hoe een policy wordt opgebouwd rond

• doel en aanleiding;
• toepassingsgebied;
• definities;
• rollen en verantwoordelijkheden;
• verplichte beleidsregels;
• goedkeurings- en uitzonderingsproces;
• controle en bewijsvoering;
• overtredingen en escalatie;
• eigenaar, goedkeurder, versie en herzieningsdatum.

Er wordt bijzondere aandacht besteed aan duidelijke taal, toetsbare formuleringen en het vermijden van vage bepalingen zoals “voldoende beveiligd” of “waar mogelijk”.

6. Van policy naar uitvoering

Een goedgekeurde policy is geen eindpunt. De opleiding toont hoe beleid wordt vertaald naar:

• concrete beveiligingsmaatregelen;
• procedures en werkinstructies;
• eigenaars en uitvoerders;
• opleidingen en communicatie;
• KPI's, KRI's en managementrapportering;
• technische en organisatorische bewijsstukken;
• interne controles en audits;
• corrigerende maatregelen en continue verbetering.

7. Policies afstemmen op NIS2  en ISO 27001

Deelnemers leren hoe zij één geïntegreerd beleidskader kunnen gebruiken om meerdere vereisten af te dekken. Zij bespreken hoe een organisatie policies koppelt aan:

• de maatregelen voor het beheer van cyberbeveiligingsrisico's uit NIS2;
• het managementsysteem en de controles van ISO/IEC 27001;
• sectorspecifieke of contractuele verplichtingen
• De nadruk ligt op hergebruik en traceerbaarheid, zonder voor iedere verplichting een afzonderlijke policy te creëren.

Deze opleiding wordt georganiseerd in samenwerking met Nathalie Boschman - www.bnexus.be.

De opleiding bestaat voor ongeveer 70 procent uit toelichting en begeleide analyse en voor 30 procent uit oefeningen, voorbeelden en groepsbespreking.Er wordt gewerkt met:

• korte theoretische toelichtingen;
• herkenbare praktijkvoorbeelden;
• analyse van goede en zwakke policyteksten;
• een beleidsarchitectuuroefening;
• een RACI- en governanceoefening;
• een afsluitende casus met beleidsroadmap.
• Leermiddelen en materialen