IRMA

Voor bestuur en directie

IRMA voor bestuurders en directie

Onder NIS2 en de Cyberbeveiligingswet keurt het bestuur de maatregelen voor cyberbeveiliging goed en ziet het toe op de uitvoering. Dat vraagt geen technische kennis, wel overzicht: welke risico's boven de risicobereidheid uitkomen, welke bevindingen openstaan en welke besluiten nog niet zijn uitgevoerd. IRMA geeft u dat overzicht uit het register van uw eigen organisatie.

Plan een demo

Vanaf € 149 per maand. Proefomgeving op aanvraag.

De directiebeoordeling in IRMA: de input als ringmeters voor eerdere acties, context, belanghebbenden, auditresultaten, afwijkingen, doelstellingen, monitoring en risico's. Demo-omgeving van een fictieve gemeente.
De directiebeoordeling: besluiten, actiepunten en de input uit het ISMS als ringmeters, van eerdere acties tot risico's buiten de risicobereidheid.

Wat NIS2 van het bestuur vraagt

Artikel 20 van NIS2 legt de verantwoordelijkheid voor cyberbeveiliging bij het bestuur. Bestuurders keuren de maatregelen voor het beheer van cyberrisico's goed, zien toe op de uitvoering en volgen een opleiding. Artikel 21 beschrijft die maatregelen, van risicoanalyse en incidentbehandeling tot de beveiliging van de keten. Artikel 23 vraagt een gefaseerde melding van significante incidenten: een vroegtijdige waarschuwing binnen 24 uur, een melding binnen 72 uur en een eindverslag binnen een maand. In Nederland is dat uitgewerkt in de Cyberbeveiligingswet.

Toezien kan alleen als u ziet wat u goedkeurt. IRMA bevat het normenkader NIS2 en de Cyberbeveiligingswet, met de zorgplicht en de meldplicht, en laat per eis zien wat uw organisatie heeft afgedekt.

De directiebeoordeling met de input al ingevuld

Clausule 9.3 van ISO/IEC 27001 vraagt een directiebeoordeling op geplande momenten. De voorbereiding kost vaak weken: cijfers verzamelen uit audits, afwijkingen, doelstellingen en risico's. In IRMA staat die input klaar, rechtstreeks uit de registers: de stand van eerdere acties, de context en de belanghebbenden, de auditresultaten, de afwijkingen, de doelstellingen, de monitoring en de risico's.

U legt de besluiten en de actiepunten vast met een eigenaar en een datum. Verbeteringen gaan direct naar het verbeterregister, en IRMA bewaart de input waarop de beoordeling rustte, zodat u later kunt laten zien waarop een besluit was gebaseerd.

U stelt de risicobereidheid vast, IRMA laat zien wat erboven uitkomt

De risicobereidheid is een bestuurlijke keuze. U legt de acceptatiewaarde voor uw organisatie vast, en IRMA zet ieder risico daartegen af: bruto, voor maatregelen, en netto, na maatregelen. Op het overzicht en in de directiebeoordeling ziet u welke risico's buiten de risicobereidheid vallen. Een risico accepteren blijft een besluit van de risico-eigenaar en de directie; IRMA legt het vast met de onderbouwing.

De scores komen niet uit één spreadsheet van één persoon. Met een groepsassessment scoren afdelingsmanagers en controllers de risico's via een persoonlijke link, zonder account. De uitkomsten worden eerst beoordeeld voordat ze in het register komen.

De heatmap van IRMA: de vijf-bij-vijf risicomatrix, wisselend van bruto naar netto risico.
De risicomatrix van vijf bij vijf, van bruto naar netto risico.

Weerstandsvermogen onderbouwd met een Monte Carlo-simulatie

Voor gemeenten, provincies, waterschappen, onderwijs en woningcorporaties rekent IRMA het weerstandsvermogen door. Een Monte Carlo-simulatie over de risico's in uw eigen register geeft de verdeling van de mogelijke jaarschade, met de percentielen en per risico het aandeel. Het rapport zet de benodigde tegen de beschikbare weerstandscapaciteit, met een ratio en een waarderingsklasse van A tot en met F, als onderbouwing voor de paragraaf weerstandsvermogen en risicobeheersing.

De methode volgt de notitie van Geert Haisma, algemeen directeur van Prudai, die dertig jaar in risicomanagement werkt.

Een Monte Carlo-simulatie in IRMA met 2.000 iteraties: P90 € 4.650.764, de percentielen P50 tot en met P99 en het histogram van de gesimuleerde jaarschade. Demo-omgeving van een fictieve gemeente.
Een simulatie met 2.000 iteraties: de percentielen en het histogram van de gesimuleerde jaarschade.

Rapportages die u kunt terugvinden zoals ze waren

IRMA maakt rapporten in PDF, Word en Excel: het risicoprofiel, de Verklaring van Toepasselijkheid, de stand van de maatregelen, het auditresultaat en de rapportage weerstandsvermogen. Er is een bestuurlijke rapportage in de stijl van ENSIA, naar het format van de VNG, en u kunt eigen sjablonen en uw eigen huisstijl gebruiken.

Een gemaakt rapport blijft bewaard zoals het was, met de gegevens waarmee het is opgesteld. Een latere wijziging in het register herschrijft het niet. Zo kunt u bij een volgende vergadering laten zien wat het bestuur toen heeft gezien.

Een rapport samenstellen in IRMA: risicoprofiel, Verklaring van Toepasselijkheid, maatregelstatus of auditresultaat, met scope, sjabloon en formaat. Demo-omgeving van een fictieve gemeente.
Een rapport samenstellen: risicoprofiel, Verklaring van Toepasselijkheid, maatregelstatus of auditresultaat, in het gewenste formaat.

Normen en wetgeving

  • NIS2, artikel 20, 21 en 23
  • Cyberbeveiligingswet
  • ISO/IEC 27001:2022, clausule 5.1 en 9.3
  • ENSIA

Vragen

Veelgestelde vragen.

  • Dat hoeft niet. IRMA heeft een vaste rol Bestuurder die standaard alle registers kan inzien. Veel bestuurders gebruiken vooral de directiebeoordeling, het overzicht en de rapportages; het werk in de registers doen de CISO, de risicomanager en de eigenaren.

Verder lezen

Hoort hierbij.

Plan een demo

Begin bij een leeg register.

In een demo laten wij zien hoe IRMA uw risico's, maatregelen en bewijs in één keten brengt, gebaseerd op uw eigen documenten. Daarna zetten wij op aanvraag een proefomgeving klaar met voorbeeldinhoud van uw eigen organisatie. Vanaf € 149 per maand.

Plan een demo

Verwerking & naleving

GDPR
ISO 27001
NEN 7510

Prudai is gecertificeerd volgens ISO/IEC 27001:2022 en NEN 7510-1:2024