Een uitzondering vastleggen: met reden en einddatum

Voorbeeld

Bij Bakkerij De Testoven installeren de engineers zelf software. Eén onderdeel van een maatregel klopt daardoor niet voor hen. De zaakvoerder legt vast dat de maatregel voor dat ene onderdeel niet geldt voor de groep "Engineers", tot volgend jaar. In de plaats kijkt de teamleider elke week na wat er geïnstalleerd werd.

Zo leg je een uitzondering vast

Een uitzondering is een regel op de maatregel, en geldt altijd voor een groep. Maak dus eerst de groep (zie Groepen maken). Open dan de maatregel, bijvoorbeeld vanuit Auditklaarheid. Klik onder Wat geldt per beveiligingsgroep op Regels aanpassen en dan op Regel toevoegen.

1. Kies bovenaan het onderdeel: Hele maatregel, of één Bewijsvraag. Kies zo smal mogelijk: bij één onderdeel blijft de rest van de maatregel gelden voor de groep.
2. Vink onder Beveiligingsgroepen voor deze regel de groep aan, bijvoorbeeld Engineers.
3. Vink Geldt niet voor deze groep aan.
4. Waarom geldt de maatregel niet voor deze groep? Verplicht. De auditor leest deze reden.
5. Geldt niet tot (daarna geldt de maatregel weer): standaard 12 maanden. Je kiest een dag van morgen tot ten laatste 3 jaar vooruit. Daarna telt de groep weer mee.
6. Klik op Regels opslaan.

De eerste regel die past voor een groep, geldt, en Alle andere staat altijd onderaan. Je kan een regel omhoog of omlaag zetten. Een maatregel zonder regels geldt voor alle beveiligingsgroepen.

Staat de groep Buiten NIS2, bij IT-omgeving, Omvang? Dan heb je geen regel nodig: er wordt niets van beoordeeld of gecontroleerd. Gebruik een regel alleen als de groep voor de rest in scope blijft.

Uitgezonderd is grijs, nooit groen

Zonder je een groep uit voor de hele maatregel, dan toont de regel Geldt voor de groep als Uitgezonderd, in het grijs, met de reden en de einddatum. Uitgezonderd telt niet mee, maar het is ook niet in orde.

Gaat de uitzondering over één onderdeel, zoals bij De Testoven, dan krijgt dat onderdeel een eigen regel: een aantal, "voor" en de naam van het onderdeel. Voor de andere onderdelen blijft de groep meetellen.

Een uitzondering maakt een maatregel dus nooit groen. De rest van de scope moet nog altijd in orde zijn. Zondert een uitzondering alles uit, dan blijft de maatregel grijs.

Einddatum wijzigen, of verwijderen

• De regels op de maatregel tonen elke beslissing, met wie ze nam en wanneer: "geldt niet tot ...".
• Verlengen of inkorten: klik op Regels aanpassen, wijzig de datum en klik op Regels opslaan.
• Verwijderen: klik op Regel weghalen en sla op. De groep telt meteen weer mee.

Een uitzondering die je eerder vastlegde, voor de regels bestonden, blijft staan tot ze afloopt. Ze staat onder Eerder vastgelegd: niet van toepassing. Je kan ze daar weghalen. Nieuwe zet je als regel op de maatregel.

Een aanvaard risico stelt een uitzondering voor

Heb je in het risicoregister een risico aanvaard, voor het hele bedrijf of voor één groep? Dan stelt de app een uitzondering voor op de maatregelen waaraan dat risico gekoppeld is. Het blijft een voorstel: pas als een eigenaar of beheerder bevestigt, verandert er iets.

Een risico aanvaarden kan alleen met een herzieningsdatum: tot wanneer de aanvaarding geldt. Het voorstel staat op de maatregel onder Voorstel: uitzondering omdat het risico aanvaard is, en in je takenlijst als voorgestelde uitzonderingen omdat een risico aanvaard is. De reden komt uit de aanvaarding. Pas ze aan als je wil; de auditor leest ze. Tot gaat nooit verder dan de herzieningsdatum van het risico. Klik op Bevestig uitzondering.

Een risico dat voor het hele bedrijf aanvaard is, stelt de hele maatregel voor; een risico dat voor één groep aanvaard is, stelt die groep voor. Er wordt niets voorgesteld zolang een deel van het risico op die maatregel nog open staat, of zolang de delen van het risico overlappen of onleesbaar zijn.

Bij een CyFun-maatregel is de regel strenger, omdat CyFun de maatregel voorschrijft. Een bevestigde regel toont Wijkt af van het niveau en telt niet als geïmplementeerd. De maatregel blijft niet geïmplementeerd, en de afwijking staat in de verklaring van toepasselijkheid, met het risico als reden. Voor sleutelmaatregelen komt er nooit een voorstel, en bij Essential ook niet voor de maatregelen rond managementaspecten.

De uitzondering volgt het risico. Heropen je het risico, loopt de herzieningsdatum af of perk je de scope in, dan vind je de uitzondering terug onder Niet van toepassing nakijken, op de maatregel en in je takenlijst. De app verwijdert ze niet: dat doe je zelf, op de maatregel.

Wie kan dit?

Eigenaars, beheerders en leden die het register mogen beheren.