Naar de inhoud
    Opafra
    Nederlands (Nederland)
    Vraag een demo aan

    Het bewijs dat uw klanten vragen, geleverd door het werk zelf.

    Als een klant een vragenlijst stuurt of een auditor een steekproef neemt op uw servers, wordt steeds om dezelfde vier vastleggingen gevraagd: wie toegang had, de review daarvan, een herstel dat werkte en wat er is gewijzigd. Opafra schrijft elke vastlegging terwijl het werk gebeurt. De Cyberbeveiligingswet en het Cyberbeveiligingsbesluit vragen dat maatregelen schriftelijk zijn vastgelegd en aantoonbaar worden toegepast. Elke vastlegging hieronder is bewijs voor een artikel daaruit. Bekijk de pagina over de Cyberbeveiligingswet voor alle artikelen.

    1. Toegang

      Wie bij de server kwam, met wiens goedkeuring en hoe lang

      Elke toekenning begint als een verzoek met een reden, wordt goedgekeurd door een met naam genoemd persoon en eindigt vanzelf op het ingestelde tijdstip. Op een server die voor certificaten is ingericht, gebruikt elke verbinding een certificaat dat vijf minuten geldig is.

      Fig. 1, vastlegging van toegang voor toekenning #a91c op prod

      Access record /grant #a91c on prod

      Sample
      Requested
      Alex Moreau @alex at 13:58:12, for patch nginx across prod
      Approved
      Dana Okafor @dana at 14:02:40
      Window
      14:05:00 to 16:05:00, 2h
      Ended
      Expired on its own
      Connections made under grant #a91c
      TimeServerThroughCertificate
      14:32:11web-01run #4f2a5 min
      14:32:11web-02run #4f2a5 min
      14:32:12web-03run #4f2a5 min

      De eis waarop dit antwoordtCyberbeveiligingsbesluit, artikel 10 en 15

      Artikel 10 vraagt een schriftelijk leveranciersbeleid en een controle van uw rechtstreekse leveranciers. Artikel 15 vraagt een toegangsbeleid waarin autorisaties worden verleend, bewaakt, gebruikt, gewijzigd en ingetrokken. De toelichting herhaalt het steeds: schriftelijk vastgelegd en aantoonbaar toegepast.

      Deze artikelen rusten op uw klant als entiteit onder de wet. Voor die klant bent u de leverancier, en dit is de vastlegging die u kunt tonen. Valt uw organisatie zelf onder Uitvoeringsverordening (EU) 2024/2690, dan vraagt punt 6.7.2(h) dat verbindingen van dienstverleners pas komen na een autorisatieverzoek en voor een bepaalde periode.

    2. Toegangsreview

      De review van die toegang, ondertekend

      Op het interval dat u instelt gaat de beoordelaar iedereen met toegang tot een omgeving langs, behoudt of verwijdert elke persoon en ondertekent, zodat de review een document is en geen herinnering.

      Fig. 2, toegangsreview van prod voor het kwartaal, ondertekend
      Access review of prodSample
      1 July to 30 September 2026, reviewed by Ada Lovelace
      The reviewer’s decision for each person with access to prod
      PersonAccessDecision
      Ada LovelaceOwnerOwner roleKept
      Bo ChenAdminNo grant on prodKept, no access
      Alex MoreauOperatorGrants, 2 hours at a timeKept
      Dana OkaforOperatorStanding grant, approverKept
      Eli NovakViewerView on stagingRemoved, left the team
      Signed off

      Ada Lovelace, Owner, 2026-10-05 10:14. 1 change made.

      De eis waarop dit antwoordtCyberbeveiligingsbesluit, artikel 15

      Het artikel vraagt een periodieke beoordeling van identiteiten, authenticatiemiddelen en autorisaties op noodzaak, juistheid en actualiteit.

      De review beslaat toegang die via Opafra loopt. Accounts die op de servers zelf bestaan, beoordeelt u waar ze staan. Voor Uitvoeringsverordening (EU) 2024/2690 vraagt punt 11.3.3 een review van bevoorrechte accounts met regelmatige tussenpozen, waarvan de uitkomst wordt vastgelegd.

    3. Hersteltest

      Een herstel dat werkte, met de tijd die het kostte

      De tijd van de eerste stap tot de geslaagde smoketest is het getal waar een klant of auditor om vraagt. Een plan dat volgens schema draait, herstelt op een scratch-host en legt die tijd bij elke run vast.

      Fig. 3, hersteltest #7c3e van db-01, geslaagd

      Restore test /db-01 to restore-01

      Sample
      Backup
      2026-10-11 02:00
      Started
      2026-10-11 03:00:04
      Result
      Passed
      Time to restore
      4m 10s
      1. 1Pick the latest backup of db-012s
      2. 2Restore onto restore-013m 41s
      3. 3Start the database18s
      4. 4Smoke test: table and row counts match9s
      5. 5Remove the scratch copy6s

      De eis waarop dit antwoordtCyberbeveiligingsbesluit, artikel 9

      Het artikel vraagt dat back-ups worden gemaakt en periodiek op betrouwbaarheid worden gecontroleerd, en dat het herstelplan periodiek wordt getest.

      De vastlegging bewijst een herstel. Ze toont niet dat er back-ups worden gemaakt, of hoe recent ze zijn. Voor Uitvoeringsverordening (EU) 2024/2690 vraagt punt 4.2.6 regelmatige tests van het herstel van back-ups, met vastgelegde resultaten.

    4. Wijziging

      Wat er veranderde, goedgekeurd voor de exacte revisie

      Een wijziging is een plan. Een persoon of de AI-composer maakt het concept, het wordt per host vooraf getoond, goedgekeurd voor één revisie en uitgevoerd. Past u het plan na de goedkeuring aan, dan vervalt de goedkeuring.

      Fig. 4, vastlegging van de wijziging voor run #4f2a, revisie 7

      Change record /Patch nginx across prod, run #4f2a

      Sample

      @alex → AIDry-run passedApproved by @danaAudited · #4f2a

      Origin
      Drafted by the AI composer for @alex
      Targets
      web-01, web-02, web-03 in prod
      Dry run
      3 hosts, 12 changes, 0 destructive
      Approved
      Dana Okafor at 14:32:07, for revision 7 only
      Outcome
      Completed on 3 hosts, 4 steps

      Diffweb-02

      /etc/nginx/nginx.conf+3/−2
      --- a/etc/nginx/nginx.conf
      +++ b/etc/nginx/nginx.conf
      @@ -1,7 +1,7 @@
       user  www-data;
      −worker_processes  4;
      +worker_processes  auto;
       pid /run/nginx.pid;
      @@ -31,6 +31,7 @@
           ssl_prefer_server_ciphers on;
      −    ssl_protocols TLSv1.2;
      +    ssl_protocols TLSv1.3;
      +    ssl_session_tickets off;

      De eis waarop dit antwoordtCyberbeveiligingsbesluit, artikel 11

      Het artikel vraagt processen voor het onderhouden en beheren van systemen, ten minste configuratiebeheer en wijzigingsbeheer.

      Het artikel vraagt om beheerste wijzigingen. De goedkeuring, gebonden aan de revisie die draait, voegt Opafra daaraan toe. Punt 6.4.2 van Uitvoeringsverordening (EU) 2024/2690 vraagt gedocumenteerde, geteste en beoordeelde wijzigingen.

    Vragenlijsten

    Dezelfde vastleggingen beantwoorden de vragenlijst. Ook waar het antwoord nee is.

    Het antwoordpakket noemt de vragen per ID, in eigen woorden, met wat de vastlegging geeft en de rijen waar Opafra niet helpt.

    Wat dit is en niet is

    Bewijs voor een artikel, geen oordeel.

    De vastleggingen zijn bewijs voor de hierboven genoemde artikelen. Ze zeggen niet dat een organisatie eraan voldoet, en Opafra is geen certificering. De RDI schrijft zelf dat een eigen normenkader nog niet betekent dat aan de zorgplicht is voldaan (veelgestelde vragen). Welke regels voor uw organisatie gelden, is een vraag voor uw eigen adviseurs.

    Opafra legt vast wat er via Opafra loopt: plannen, runs, toekenningen en het inloggen bij Opafra zelf. Werk op een server buiten Opafra om staat niet in deze vastleggingen.

    Zie de vastleggingen voor uw eigen servers.

    Vertel ons wat u beheert. U krijgt een demo en uw prijs schriftelijk binnen één werkdag, zonder gesprek.

    Vraag een demo aan