DORA (Digital Operational Resilience Act) is een Europese verordening die eisen stelt aan de digitale weerbaarheid van financiële instellingen. De verordening richt zich onder andere op ICT-risicobeheer, incidentrapportage, weerbaarheidstesten en het beheersen van risico's bij externe leveranciers. Voor wie? Banken, verzekeraars, pensioenfondsen en andere financiële instellingen.

ISO/IEC 27001 is een internationale norm voor informatiebeveiliging die organisaties helpt bij het opzetten, implementeren en continu verbeteren van een Information Security Management System (ISMS). De norm ondersteunt organisaties bij het systematisch beheersen van risico's en het beschermen van informatie, systemen en processen. Voor wie? Organisaties die hun informatiebeveiliging aantoonbaar willen organiseren en verbeteren.

NEN 7510 is de Nederlandse norm voor informatiebeveiliging in de zorg. De norm stelt eisen aan hoe zorgorganisaties patiëntgegevens en andere vertrouwelijke informatie beschermen, met aandacht voor risicobeheersing, continuïteit en privacy. Voor wie? Zorginstellingen en andere organisaties die medische gegevens verwerken.

De Baseline Informatiebeveiliging Overheid (BIO) is het Nederlandse normenkader voor informatiebeveiliging binnen de overheid. Het beschrijft hoe overheidsorganisaties omgaan met risico's, beveiligingsmaatregelen en verantwoording rondom informatiebeveiliging. Voor wie? Overheidsorganisaties en instellingen binnen de publieke sector.

PCI DSS is een internationale beveiligingsstandaard voor organisaties die betaalkaartgegevens verwerken, opslaan of verzenden. De standaard helpt risico's op fraude, misbruik en datalekken te beperken door eisen te stellen aan processen, systemen en beveiligingsmaatregelen. Voor wie? Organisaties die creditcard- en betaalkaartgegevens verwerken.

De AI Act is de eerste Europese wetgeving voor het ontwikkelen, aanbieden en gebruiken van kunstmatige intelligentie. De wet introduceert eisen op basis van risico en stelt aanvullende verplichtingen aan toepassingen met een hoog risico. Voor wie? Organisaties die AI-systemen ontwikkelen, aanbieden of gebruiken.

TIBER (Threat Intelligence-Based Ethical Red Teaming) is een Europees framework dat organisaties helpt hun cyberweerbaarheid te testen door middel van gesimuleerde, realistische cyberaanvallen gebaseerd op actuele dreigingsinformatie. Voor wie? Met name financiële instellingen en andere organisaties met kritieke processen.

Voldoen aan cybersecurity wet- en regelgeving

Q: Cyberbeveiligingswet (NIS2)

De Cyberbeveiligingswet is de Nederlandse implementatie van de NIS2-richtlijn. De wet verplicht organisaties om cyberrisico's structureel te beheren, passende beveiligingsmaatregelen te nemen en significante incidenten tijdig te melden. Daarnaast worden bestuurders nadrukkelijk betrokken bij toezicht en besluitvorming rondom cybersecurity. Het doel is om de digitale weerbaarheid van organisaties en vitale diensten te versterken. Voor wie? Essentiële en belangrijke organisaties binnen aangewezen sectoren. Lees hier meer over de Cyberbeveiligingswet.

Q: CRA (Cyber Resilience Act)

De Cyber Resilience Act (CRA) stelt eisen aan fabrikanten en leveranciers van digitale producten. Het doel is om cybersecurity structureel mee te nemen in het ontwerp, de ontwikkeling en het onderhoud van hard- en software. Voor wie? Fabrikanten, leveranciers en ontwikkelaars van digitale producten en software.

Cybersecurity compliance vraagt om keuzes

Cyberbeveiligingswet, DORA, NEN 7510, BIO en ISO 27001. Organisaties krijgen te maken met een groeiend aantal wetten, normen en kaders. Tegelijkertijd nemen ook de verwachtingen van klanten, leveranciers en toezichthouders toe.

Wet- en regelgeving is vaak niet het ingewikkeldste onderdeel. De uitdaging zit meestal in het maken van de juiste keuzes. Welke maatregelen zijn relevant? Welke risico's hebben prioriteit? En hoe zorg je dat compliance bijdraagt aan de continuïteit en weerbaarheid van de organisatie?

Organisaties die wet- en regelgeving verbinden aan risicobeheer, krijgen meer overzicht in risico's, afhankelijkheden en prioriteiten. Dat helpt bij het maken van betere keuzes en het versterken van de digitale weerbaarheid.

Compliance raakt de hele organisatie

Cybersecurity compliance vraagt om input van verschillende disciplines. Security, IT, legal, inkoop, compliance en management hebben allemaal een rol. Risico's moeten worden beoordeeld, leveranciers gecontroleerd, incidenten gemeld en maatregelen aantoonbaar gemaakt.

Daardoor raakt compliance meerdere afdelingen tegelijk. Verantwoordelijkheden zijn verdeeld over de organisatie, terwijl veel compliance-eisen juist vragen om een samenhangende aanpak.

Juist op die raakvlakken ontstaan vaak de grootste uitdagingen. Wie neemt eigenaarschap? Welke risico's verdienen als eerste aandacht? En hoe voorkom je dat verschillende teams hetzelfde werk uitvoeren?

Een effectieve aanpak begint daarom met overzicht, heldere afspraken en een gedeeld beeld van de belangrijkste risico's. Dat helpt organisaties om prioriteiten te stellen en gericht te werken aan compliance en digitale weerbaarheid.

Verken je opties

Wat levert een gestructureerde compliance-aanpak op?

Meer inzicht in risico's

Breng in kaart welke systemen, processen en afhankelijkheden het meest kritisch zijn voor de organisatie.

Betere besluitvorming

Gebruik risico's en compliance-eisen als basis voor prioriteiten, investeringen en verbeterinitiatieven.

Aantoonbare beheersing

Laat zien welke maatregelen zijn genomen en hoe risico's worden beheerst, gemonitord en verbeterd.

Sterkere digitale weerbaarheid

Bouw een organisatie die niet alleen voldoet aan regelgeving, maar ook beter voorbereid is op incidenten en verstoringen.

Samenhang in cybersecurity compliance

De Cyberbeveiligingswet stelt eisen aan risicobeheer, incidentmanagement en bestuurdersverantwoordelijkheid. DORA richt zich op de digitale weerbaarheid van financiële instellingen. Normen, kaders en frameworks zoals ISO 27001, BIO, NEN 7510 en NIST ondersteunen organisaties bij het inrichten van processen en controles.

Hoewel de vereisten verschillen, hebben ze hetzelfde doel: organisaties helpen cyberrisico's beheersbaar te maken en de continuïteit van hun dienstverlening te beschermen.

Orange Cyberdefense helpt organisaties om deze verplichtingen terug te brengen tot een overzichtelijke aanpak. Door risico's, compliance-eisen en bestaande maatregelen samen te brengen ontstaat een duidelijk beeld van wat nodig is, wat al aanwezig is en waar prioriteiten liggen. Daarbij wordt onze expertise ondersteund door internationaal erkende certificeringen.

Zo ontstaat meer samenhang tussen compliance, risicobeheer en digitale weerbaarheid.

Relevante wetgeving, normen en kaders

Niet iedere organisatie krijgt met dezelfde verplichtingen te maken. Welke wet- en regelgeving van toepassing is, hangt onder meer af van sector, dienstverlening en omvang van de organisatie. Hieronder vind je een overzicht van veelvoorkomende wetten, normen en kaders op het gebied van cybersecurity.

Cyberbeveiligingswet (NIS2)

DORA

ISO/IEC 27001

NEN 7510

BIO

PCI DSS

AI Act

TIBER

CRA (Cyber Resilience Act)

Waar begin je?

Welke wet- en regelgeving is relevant voor jouw organisatie? Welke risico's hebben de grootste impact? En welke maatregelen maken het meeste verschil voor compliance en digitale weerbaarheid?

Bespreek jouw situatie met een specialist en ontdek welke stappen passen bij jouw organisatie.