Over Tech Compliance

Waarom wij bestaan

Wij bestaan om de overheid en de vitale infrastructuur te ondersteunen bij een opgave die in korte tijd sterk is gegroeid: aantoonbaar weerbaar zijn, onder nieuwe wetgeving en tegen dreigingen die sneller gaan dan ooit.

De NCTV, het NCSC, ENISA, de Europese Commissie en toezichthouders als de RDI doen dezelfde oproep: maak weerbaarheid een bestuurlijke verantwoordelijkheid, breng risico’s en afhankelijkheden in kaart, detecteer sneller en zorg dat de basis op orde is. Tegelijk moet de regeldruk omlaag. Tech Compliance voelt zich door die oproepen aangesproken.

Daarom richten wij onze capabilities op cybersecurity risicomanagement en compliance, en willen wij daarin de standaard voor Nederland neerzetten: één samenhangend stelsel dat de regeldruk verlaagt en de organisatie tegelijk veiliger maakt. Omdat de keten vaak de zwakste schakel is, beheersen wij ook leveranciers- en ketenrisico’s. Met detectie helpen wij overheid en vitale infrastructuur aanvallen sneller te zien, ook nu AI die aanvallen versnelt. Elke dienst is los af te nemen.

Wij leveren in vier vormen: ontwerp, realisatie, beheer en managed services, dat laatste wanneer tijdelijke onderbezetting, drukte of een structurele behoefte daarom vraagt. Voor IT, OT en AI.

De oproepen waar wij gehoor aan geven

De oprichter

In grote organisaties zit de moeilijkheid van compliance zelden in de norm zelf, maar in de laag eronder: één control raakt meerdere beheerteams, elk team draagt een ander deel van de maatregel, en niemand heeft vastgelegd wie welk bewijs oplevert. De focus ligt daarom op twee dingen: in kaart brengen en aantoonbaar maken. In kaart brengen welke controls gelden, hoe die zich vertalen naar beheersmaatregelen en welk team welk deel draagt; aantoonbaar maken dat eraan wordt voldaan, met bewijs dat per team en per implementatiestack is belegd.

Bij het inrichten van compliance en GRC worden de best practices van Gartner toegepast: profielen per team of platformtype, overlays voor contextspecifieke eisen en evidence-overerving, zodat centraal belegde maatregelen één keer worden aangetoond en teams alleen het bewijs leveren dat echt bij hen hoort.

Die ervaring zit niet alleen in wat werkt, maar vooral in wat niet werkt. Een normenkader één-op-één over teams heen leggen, hetzelfde bewijs bij elk team opnieuw uitvragen, registraties per domein die nooit één geheel worden: die routes zijn van dichtbij meegemaakt. Dat is de reden dat onze aanpak begint bij de teams en niet bij het kader.

Uit de praktijk

• Bij een rijksbrede dienst een integraal control framework ontleed naar beheersmaatregelen en bewijs, per team en per implementatiestuk belegd bij beheerteams die volgens Agile werken.
• In de vitale infrastructuur projecten en de gecontracteerde dienstverlening van leveranciers getoetst aan de baselines, IEC 62443 voor OT en de BIO voor IT, een leveranciersuitvraag opgezet die er nog niet was en de uitkomsten vertaald naar de inrichting van de GRC-tooling.
• Een volledig informatiebeveiligingsbeleidskader onder de Cyberbeveiligingswet opgesteld, met risicomanagementbeleid en supply chain risicomanagement.
• Bij een rijksbrede dienst advies over het compliancebeleid onder de Cyberbeveiligingswet, het opzetten van risicomanagement- en dataclassificatiebeleid en de voorbereiding van de GRC-invoering.
• Daarvoor onder meer SIEM- en SOC-trajecten met use cases en detectieregels, ISO 27001-implementatie, interne audits volgens NEN 7510 en gekwantificeerde risicomodellen.

Het team

Yashar Rahiminejad werkt samen met een vast team van ervaren engineers en architecten. De architecten vertalen uw eisen naar een ontwerp dat past in uw landschap; de engineers richten de technische maatregelen daadwerkelijk in en borgen die samen met uw beheerteams. Zo blijven ontwerp en realisatie in één hand.

Voor juridische en adviespartners

Cliënten blijven regelmatig steken tussen juridisch advies, technische tooling en daadwerkelijke naleving. Het advies is er, de tooling is aangeschaft, maar niemand vertaalt het ene naar het andere en maakt het aantoonbaar.

Voor een samenwerking is de rolverdeling helder: u behoudt de juridische regie en de cliëntrelatie. Tech Compliance zorgt dat het juridische advies wordt vertaald naar een werkend en aantoonbaar beheersingsstelsel. Wij kunnen daarbij optreden als implementatiepartner, als managed-servicepartner of als aanvullende uitvoeringscapaciteit.

Ontwerp

Vaststellen welke kaders gelden, waar de samenloop zit en wat er al ligt, en daar één ontwerp van maken: risico’s, controls, eigenaren en bewijs. Met een uitkomst waarop u kunt besluiten, niet met een rapport dat om vervolgonderzoek vraagt.

Realisatie

Uitvoeren wat uit het ontwerp volgt. Onze consultants en engineers stellen de deliverables op, richten processen en technische maatregelen daadwerkelijk in en borgen ze bij de teams die ze dragen, als implementatiepartner, ook naast uw platformleverancier.

Beheer

Controls, bewijs en detectieregels actueel houden en periodiek herzien, samen met uw teams, zodat een herziening bijwerken is in plaats van opnieuw beginnen.

Managed Services

Het doorlopende deel overnemen wanneer tijdelijke onderbezetting, drukte of een structurele behoefte daarom vraagt: bewijs actueel houden, wetswijzigingen verwerken en bestuurlijk rapporteren. Afgebakend, opzegbaar en zo vastgelegd dat uw eigen organisatie het kan overnemen.

Hoe wij werken

• Wetten en normen gescheiden. Bindende regelgeving en normenkaders worden in onze communicatie nooit vermengd. Certificering is geen bewijs van wettelijke conformiteit.
• Geen aannames over uw situatie. Toepasselijkheid stellen wij vast; wij nemen hem niet aan op basis van sector of omvang.
• Onzekerheid wordt benoemd. Waar uitvoeringsregelgeving of Europese wijzigingstrajecten nog lopen, staat dat er, met datum en stand.
• Overdraagbaar opgeleverd. Alles wat wij inrichten, leggen wij zo vast dat uw organisatie het zelf kan voortzetten.
• Uitleggen hoort erbij. Uw mensen krijgen niet alleen de maatregel maar ook de redenering erachter, zodat zij hem zelf kunnen verantwoorden aan bestuur, auditor en toezichthouder.