Nieuw houvast bij digitale risico’s
De eerste twee ICT-dienstverleners zijn gecertificeerd voor het Keurmerk Digitale Basisveiligheid MKB. Het keurmerk maakt beter zichtbaar of een dienstverlener de beveiligingsmaatregelen uit de Risicoklassenindeling Digitale Veiligheid (RKIDV) aantoonbaar en professioneel kan uitvoeren.
Daarmee ondersteunt certificering organisaties bij het beheersen van digitale risico’s in de keten.
Het Centrum voor Criminaliteitspreventie en Veiligheid (het CCV) ontwikkelde het keurmerk naar aanleiding van een motie in de Tweede Kamer om het mkb te helpen de digitale basisveiligheid te verbeteren. Het sluit aan op de Risicoklassenindeling Digitale Veiligheid (RKIDV) en biedt een praktische brug tussen risico-inschatting en uitvoering.
Passende maatregelen
De RKIDV is een tool van het Nationaal Cyber Security Centrum (NCSC). Aan de hand van negen vragen bepaalt een bedrijf zijn risicoklasse en de bijbehorende beveiligingsmaatregelen. Die systematiek helpt veiligheidskundigen om digitale dreigingen mee te nemen in een bredere risicoaanpak. De maatregelen kunnen intern worden uitgevoerd of worden uitbesteed aan een ICT-dienstverlener.
“Deze eerste certificeringen zijn een belangrijke stap. Het keurmerk geeft mkb’ers extra zekerheid doordat onafhankelijk is beoordeeld dat de ICT-dienstverleners de maatregelen voor digitale basisveiligheid goed uitvoeren. De volgende stap is dat meer ICT-dienstverleners zich laten certificeren en meer mkb’ers het keurmerk weten te vinden.”
— Herman Dooijewaard, adviseur Keurmerken CCV
Waarom certificering van belang is
Een onafhankelijke certificerende instelling beoordeelt of de ICT-dienstverlener aan de eisen van het keurmerk voldoet en de RKIDV-maatregelen correct uitvoert. Dat verkleint de afhankelijkheid van alleen eigen verklaringen van leveranciers. Voor veiligheidskundigen levert het keurmerk daarmee bruikbare onderbouwing bij leveranciersselectie, beheersmaatregelen en periodieke evaluaties van digitale risico’s.
Het keurmerk is niet hetzelfde als ISO 27001. Dat certificaat zegt vooral iets over de manier waarop een ICT-dienstverlener de informatiebeveiliging binnen de eigen organisatie heeft ingericht. Het Keurmerk Digitale Basisveiligheid MKB richt zich juist op de kwaliteit van de dienstverlening aan de klant en op de juiste uitvoering van beveiligingsmaatregelen bij die klant. Voor de beoordeling van keten- en uitbestedingsrisico’s is dat onderscheid essentieel.
Veiligheidskundigen kunnen het keurmerk gebruiken als aanvullend selectie- en verificatiecriterium, naast de eigen risicoanalyse en contractuele afspraken. Op de website van het CCV staat welke ICT-dienstverleners zijn gecertificeerd. ICT-dienstverleners vinden daar ook informatie over de eisen en de mogelijkheden om zich te laten certificeren.
