De Cyberbeveiligingswet, artikel voor artikel, met de vastlegging die Opafra erbij schrijft.
De Cyberbeveiligingswet en het Cyberbeveiligingsbesluit leggen verplichtingen op aan entiteiten zoals uw klanten. Voor die klanten bent u de leverancier, en zij vragen u wat zij zelf schriftelijk moeten vastleggen en aantoonbaar moeten toepassen. Hieronder staat per artikel wat het vraagt en welke vastlegging van Opafra daarop antwoordt, ook waar het antwoord gedeeltelijk of nee is.
Verplichtingen van uw klant, met u als leverancier.
De wet legt de zorgplicht op aan entiteiten in de sectoren die de wet noemt, en het Cyberbeveiligingsbesluit werkt die uit in artikelen. Een hoster, een managed serviceprovider of een datacenter kan zelf ook zo'n entiteit zijn: de wet kent aanbieders van beheerde diensten, datacentrumdiensten en cloudcomputingdiensten.
Artikel 4 van het besluit laat de artikelen 6 tot en met 18 niet gelden voor entiteiten die alleen van een type zijn dat onder Uitvoeringsverordening (EU) 2024/2690 valt. Die volgen de verordening. Voor hen staan de punten daarvan verderop op deze pagina.
De artikelen hieronder rusten daarom op uw klant, als die onder de wet valt en niet onder de verordening. Voor die klant bent u de leverancier. Hij moet zijn leveranciers controleren en de toegang tot zijn systemen aantoonbaar beheersen, en de vastlegging van Opafra is wat u hem kunt geven.
De wet geldt voor entiteiten van minstens middelgrote omvang. Een kleinere aanbieder kan de eisen toch merken, via de vragenlijst van een klant die wel onder de wet valt. Welke regels voor uw organisatie gelden, is een vraag voor uw eigen adviseurs.
Wat elk artikel vraagt, en de vastlegging die erbij hoort.
Ja betekent: een vastlegging die Opafra schrijft beantwoordt het artikel, voor werk dat via Opafra loopt. Gedeeltelijk betekent dat de vastlegging een deel van het antwoord is. De artikelen staan in eigen woorden; de tekst staat in het Staatsblad (Stb. 2026, 189).
5 ja, 4 gedeeltelijk
- Artikel 10: leveranciers
- Gedeeltelijk. Het artikel vraagt een schriftelijk leveranciersbeleid en een controle van de rechtstreekse leveranciers. Uw klant controleert u als leverancier, en de vastlegging van toegang toont wat u kunt laten zien: welke persoon van uw organisatie bij welke server kwam, met wiens goedkeuring en hoe lang. Het beleid en de beoordeling van de leverancier blijven documenten van uw klant.
- Artikel 15: toegangsbeleid
- Gedeeltelijk. Het artikel vraagt een toegangsbeleid waarin autorisaties worden verleend, bewaakt, gebruikt, gewijzigd en ingetrokken, en aantoonbaar toegepast. In Opafra begint een toekenning als verzoek met een reden, wordt ze goedgekeurd door een met naam genoemd persoon en eindigt ze op het ingestelde tijdstip. Elke wijziging van een rol of toekenning staat in het auditlog, met wie het deed en wanneer. Het geschreven beleid is uw document.
- Artikel 15, lid 3: periodieke beoordeling
- Ja. Het artikel vraagt een periodieke beoordeling van identiteiten, authenticatiemiddelen en autorisaties op noodzaak, juistheid en actualiteit. De toegangsreview doet dat per omgeving op het interval dat u instelt: de beoordelaar behoudt of verwijdert elke persoon en ondertekent. De review beslaat toegang die via Opafra loopt. Accounts die op de servers zelf bestaan, beoordeelt u waar ze staan.
- Artikel 11, lid 3: onderhoud en wijzigingsbeheer
- Gedeeltelijk. Het artikel vraagt processen voor het onderhouden en beheren van systemen, ten minste configuratiebeheer en wijzigingsbeheer. Voor wijzigingsbeheer is de vastlegging van de wijziging het antwoord: het plan met zijn revisie, de proefrun per host, de goedkeuring voor die ene revisie en de uitkomst. Configuratiebeheer beantwoordt Opafra niet als vastlegging.
- Artikel 9, leden 2 tot en met 4: continuïteit en herstel
- Gedeeltelijk. Het artikel vraagt dat back-ups worden gemaakt en periodiek op betrouwbaarheid worden gecontroleerd, en dat het herstelplan periodiek wordt getest. De hersteltest legt bij elke run het resultaat vast en de tijd die het herstel kostte. Dat er back-ups worden gemaakt, en hoe recent ze zijn, toont ze niet, en het herstelplan zelf is uw document.
Valt uw organisatie zelf onder de verordening, dan gelden andere punten.
Voor hosters, managed serviceproviders, datacentra en cloudproviders noemt Uitvoeringsverordening (EU) 2024/2690 technische eisen in een bijlage. Dit zijn de vier punten waarop de vastleggingen antwoorden, in eigen woorden. De volledige lijst staat op de Engelse pagina over de verordening.
- Punt 6.7.2(h): verbindingen van dienstverleners
- Ja. Verbindingen van dienstverleners komen pas na een autorisatieverzoek en voor een bepaalde periode. De vastlegging van toegang toont het verzoek, de goedkeurder, het venster en hoe de toekenning eindigde.
- Punt 11.3.3: review van bevoorrechte accounts
- Ja. Toegangsrechten van bevoorrechte en beheeraccounts worden met regelmatige tussenpozen beoordeeld, en de uitkomst wordt vastgelegd. De toegangsreview bewaart wie beoordeelde, wanneer, en wat er veranderde.
- Punt 4.2.6: hersteltests
- Ja. Het herstel van back-ups wordt regelmatig getest en de resultaten worden vastgelegd. De hersteltest bewijst een herstel. Dat er back-ups worden gemaakt, toont ze niet.
- Punt 6.4.2: wijzigingen
- Ja. Wijzigingen zijn gedocumenteerd en worden getest en beoordeeld op hun mogelijke gevolgen voordat ze worden doorgevoerd. Het plan, de proefrun per host en de uitkomst zijn die vastlegging. De verordening noemt bij dit punt geen goedkeuring: de goedkeuring voor één revisie voegt Opafra daaraan toe.
Bewijs voor een artikel, geen oordeel.
- Werk buiten Opafra
- Nee. Opafra legt vast wat er via Opafra loopt: plannen, runs, toekenningen en het inloggen bij Opafra zelf. Werk op een server buiten Opafra om staat niet in de vastleggingen.
- Beleid en risicoanalyse
- Nee. Het leveranciersbeleid, het toegangsbeleid, het herstelplan en de risicoanalyse zijn documenten van uw klant of van u. Opafra levert de vastlegging van de toepassing, niet de tekst.
- Kwetsbaarheden en detectie
- Nee. Opafra scant niet op kwetsbaarheden en is geen SIEM. Het auditlog is te exporteren als CSV of NDJSON en kan via de API worden opgehaald door het systeem dat dat wel doet.
- Incidenten melden
- Nee. Meldingen aan het NCSC en de toezichthouder doet de organisatie zelf. Dat is geen functie van Opafra.
- Een oordeel over de wet
- Nee. De vastleggingen zijn bewijs voor de genoemde artikelen. Ze zeggen niet dat een organisatie aan de wet voldoet, en Opafra is geen certificering. De RDI schrijft zelf dat een eigen normenkader nog niet betekent dat aan de zorgplicht is voldaan (veelgestelde vragen). Welke regels voor uw organisatie gelden, is een vraag voor uw eigen adviseurs.
Zie de vastleggingen voor uw eigen servers.
Vertel ons wat u beheert en welke vragen uw klanten stellen. U krijgt een demo en uw prijs schriftelijk binnen één werkdag, zonder gesprek.