CyFun 2025, maatregel voor maatregel, met de vastlegging die Opafra erbij schrijft.
Vraagt een klant of u de CyFun-maatregelen toepast, of laat hij zijn eigen maatregelen verifiëren en vraagt hij u het bewijs, dan heeft een deel van het antwoord een vastlegging die Opafra al schreef. Hieronder staan 20 maatregelen uit CyFun 2025 die raken aan toegang, logging, back-ups, kwetsbaarheden en leveranciers, per ID en in eigen woorden. Vijf daarvan zijn sleutelmaatregelen van het CCB. Ook de maatregelen die Opafra niet beantwoordt staan erbij.
Leveranciers van entiteiten die CyFun toepassen.
CyFun is het kader van het CCB waar Belgische entiteiten onder de NIS2-wet naartoe worden gewezen, en kopers wordt gezegd van hun leveranciers CyFun-bewijs te vragen. We lazen in september 2026 de maatregelen in het CyFun 2025-boekje (niveau Important). Het CCB staat overname van uittreksels alleen toe voor niet-commercieel gebruik, dus de maatregelen zijn per ID genoemd en in eigen woorden weergegeven. Hoe de wet en de verificatie zich verhouden, staat op de pagina over de NIS2-wet.
Een gemiddelde van documentatie en uitvoering, per sleutelmaatregel.
De score per sleutelmaatregel is het gemiddelde van de documentatiescore en de uitvoeringsscore, zoals de formules van het CCB-instrument het berekenen. Bewijs van de uitvoering telt dus mee. Basic vraagt 2,5 van 5 in totaal en per sleutelmaatregel, Important 3 van 5, en Essential 3,5 in totaal, met 3 per categorie en per sleutelmaatregel.
Een eerste verificatie is altijd volledig: elke sleutelmaatregel wordt ter plaatse nagegaan. Het CCB legt geen vorm op voor het bewijs, maar het moet de beoordeling van de daadwerkelijke uitvoering mogelijk maken, en de beoordelaar zoekt het niet zelf op.
5 maatregelen beantwoordt een vastlegging. Voor werk dat via Opafra loopt.
Het antwoord is een vastlegging die Opafra schrijft, voor werk dat via Opafra loopt.
5 ja, 9 gedeeltelijk, 6 nee
- DE.CM-06.1: externe dienstverleners bewaken
- Worden activiteiten en diensten van externe dienstverleners beveiligd en bewaakt, zodat nadelige gebeurtenissen worden opgemerkt? De vastlegging van toegang is wat een klant van zijn MSP in handen heeft: wie toegang kreeg tot welke server, met welke goedkeuring, hoe lang en onder welke run. Het bewaken van gebeurtenissen daarbuiten valt erbuiten.
- PR.AA-03.2 (sleutelmaatregel): multifactorauthenticatie op afstand
- Is multifactorauthenticatie vereist voor toegang op afstand tot de netwerken van de organisatie? Inloggen bij Opafra gebruikt multifactorauthenticatie, en SSH-toegang gebruikt certificaten van vijf minuten per persoon.
- PR.DS-11.2: back-ups testen (2023: PR.IP-4.2)
- Worden de betrouwbaarheid en de integriteit van back-ups regelmatig geverifieerd en getest? De hersteltest legt bij elke run het resultaat vast en de tijd die het herstel kostte. Dat er back-ups worden gemaakt, en hoe recent ze zijn, toont ze niet.
- ID.AM-08.11: onderhoud op afstand (2023: PR.MA-2.1)
- Wordt onderhoud op afstand vooraf goedgekeurd en de uitvoering ervan vastgelegd? De vastlegging toont het verzoek, de goedkeurder, het venster en elke verbinding eronder. De sessie zelf wordt niet opgenomen.
- PR.PS-06.2: wijzigingen testen (2023: PR.IP-3.1)
- Worden wijzigingen en uitzonderingen getest en gevalideerd voordat ze in operationele systemen terechtkomen? De proefrun per host is die test vooraf. De goedkeuring, gebonden aan de revisie die draait, voegt Opafra daaraan toe.
9 maatregelen beantwoordt de vastlegging voor een deel. De rest ligt elders.
De vastlegging is een deel van het antwoord. De rest is een beleid, een document of een systeem dat Opafra niet ziet.
- GV.SC-02.1: personeelswijzigingen bij dienstverleners
- Melden externe dienstverleners elke overdracht, beëindiging of overgang van personeel met fysieke of logische toegang tot bedrijfskritische systeemelementen? Het logboek van rolwijzigingen toont wijzigingen binnen Opafra. De melding aan de klant is een proces.
- PR.AA-01.1: identiteiten en inloggegevens
- Worden identiteiten en inloggegevens beheerd? Elke run en verbinding is gekoppeld aan een met naam genoemde persoon, en de SSH-certificaten komen uit de eigen autoriteit van de organisatie. De directory van uw organisatie valt erbuiten.
- PR.AA-03.3 (sleutelmaatregel): toegang op afstand beperken en autoriseren
- Liggen gebruiksbeperkingen, verbindingsvereisten en autorisatieprocedures voor toegang op afstand vast in documentatie? De vastlegging van toegang is het bewijs dat de procedure is gevolgd. De documentatie zelf is niet van Opafra.
- PR.AA-05.1: toegangsrechten beheren en beoordelen
- Worden toegangsrechten en autorisaties gedefinieerd, beheerd, gehandhaafd en beoordeeld? De toegangsreview toont iedereen met toegang tot een omgeving, de beslissing per persoon, de beoordelaar, de datum en de wijzigingen. Accounts op uw servers beoordeelt u waar ze staan.
- PR.AA-05.3: minimale rechten
- Geldt het principe van minimale rechten? Rollen en toekenningen met een einddatum bestaan in Opafra. Dat het principe wordt toegepast, is een beleidsverklaring.
- PR.AA-05.4 (sleutelmaatregel): geen beheerdersrechten voor routinetaken
- Heeft niemand beheerdersrechten voor routinematige dagelijkse taken? Toegang per goedkeuring, met een venster of een certificaat van vijf minuten, ondersteunt dit. Het dekt alleen toegang die via Opafra loopt.
- PR.AA-05.6: functiescheiding
- Wordt functiescheiding gewaarborgd bij het beheer van toegangsrechten? Aanvrager en goedkeurder worden beide vastgelegd, en een toegangsverzoek kan niet worden goedgekeurd door wie het deed. Zelfgoedkeuring van runs kan worden geblokkeerd, en de vastlegging markeert elke run waarvoor het is toegestaan. Functiescheiding buiten Opafra is uw beleid.
- PR.PS-04.1: logs bijhouden
- Worden logs bijgehouden, gedocumenteerd en bewaakt? Runs, goedkeuringen, toekenningen, aanmeldingen, rolwijzigingen en exports staan in het auditlog, met wie, wat en wanneer. Bewaking gebeurt in uw SIEM, dat het log via de API kan ophalen.
- ID.RA-08.1 (sleutelmaatregel): beheer van kwetsbaarheden
- Is er een plan voor het beheer van kwetsbaarheden? Patchruns en hun termijnen worden vastgelegd, en ook de reden als een patch wordt overgeslagen. Opafra scant niet op kwetsbaarheden, en het plan zelf is uw document.
6 maatregelen beantwoordt Opafra niet. Ook die staan erbij.
Dit zijn de maatregelen waar het eerlijke antwoord nee is, of waar het antwoord een document is en geen vastlegging.
- GV.SC-05.1: afspraken met leveranciers
- Liggen de afspraken met leveranciers vast in contracten? Nee. Dit ligt aan de kant van de afnemer en is een kwestie van beleid.
- GV.SC-07.1: leveranciers beoordelen
- Worden leveranciers minstens jaarlijks beoordeeld op risico, en opnieuw bij wijzigingen? Nee. Ook dit ligt aan de kant van de afnemer: een beoordeling is een document en geen vastlegging van Opafra.
- GV.SC-08.1: leveranciers en incidentenplanning
- Worden leveranciers betrokken bij de planning voor incidenten? Nee. Dit is beleid aan de kant van de afnemer en geen vastlegging van Opafra.
- PR.DS-11.1 (sleutelmaatregel): back-ups op een ander systeem
- Staan back-ups op een ander systeem? Nee. Opafra legt niet vast waar back-ups staan.
- PR.PS-01.1: basisconfiguratie
- Is er een basisconfiguratie? Nee. Een basisconfiguratie is een document of een norm voor uw servers, en Opafra beantwoordt het niet vanuit de vastlegging.
- PR.PS-04.2: tijdbron voor logs
- Wordt een betrouwbare tijdbron gebruikt voor logvermeldingen? Nog niet vermeld. De tijdbron voor logvermeldingen is niet gepubliceerd, dus dit wordt niet beantwoord vanuit de vastlegging.
Bewijs voor een maatregel, geen oordeel.
Een ja of gedeeltelijk antwoord geldt voor werk dat via Opafra loopt. Het zegt niet dat een organisatie een bepaald niveau haalt: de score geeft de beoordelaar, en Opafra is geen CyFun-verificatie, geen label en geen certificering.
Beantwoord de CyFun-vragen met vastleggingen.
Noem het kader dat uw klanten gebruiken. U krijgt een demo en uw prijs schriftelijk binnen één werkdag, zonder gesprek.