Woordenlijst
GRC- en weerbaarheidstermen uitgelegd
Korte, heldere definities van de termen die u tegenkomt in governance, risicobeheer, compliance, bedrijfscontinuïteit en incidentbeheer, inclusief de woordenschat van DORA en NIS2.
Termen
A
- Audittrail
- Een chronologische registratie van wie wat wanneer wijzigde, idealiter met de waarden voor en na de wijziging. Zo kunt u beslissingen reconstrueren en de integriteit van records aantonen.
- Auditunivers
- Het volledige geheel van auditeerbare entiteiten, processen, systemen en onderwerpen in een organisatie. Interne audit gebruikt het om de dekking over meerdere jaren risicogebaseerd te plannen.
B
- BCMSManagementsysteem voor bedrijfscontinuïteit
- Het beleid, de rollen, processen en registraties die een organisatie gebruikt om bedrijfscontinuïteit te plannen, uit te voeren, te evalueren en te verbeteren. ISO 22301 legt de eisen voor een BCMS vast.
- Beheersmaatregel
- Een maatregel die een risico beïnvloedt: een beleid, procedure, technische beveiliging of controle die een ongewenste gebeurtenis moet voorkomen, detecteren of corrigeren. Beheersmaatregelen worden gekoppeld aan de risico's en verplichtingen die ze afdekken, en getest op opzet en effectiviteit.
- Bevestiging
- Een formele bevestiging door een verantwoordelijke persoon dat iets waar is of gedaan werd: bijvoorbeeld dat iemand een beleid heeft gelezen, of dat een beheersmaatregel tijdens een periode werkte zoals ontworpen.
- Bevinding
- Een probleem dat bij een audit, beoordeling of review werd vastgesteld, meestal ingeschaald naar ernst en toegewezen aan een eigenaar. Bevindingen leiden tot afgesproken acties, vaak CAPA's, en worden opgevolgd tot ze afgesloten zijn.
- BIABedrijfsimpactanalyse
- De analyse van hoe een verstoring van elk proces of elke dienst de organisatie in de tijd zou raken. Ze bepaalt herstelprioriteiten en -doelstellingen zoals RTO, RPO en MTPD, en brengt de afhankelijkheden achter elk proces in kaart.
C
- CAPACorrigerende en preventieve acties
- Acties die de oorzaak van een vastgesteld probleem (corrigerend) of van een mogelijk probleem (preventief) wegnemen, meestal naar aanleiding van auditbevindingen, incidenten of oefeningen, en opgevolgd tot de afsluiting.
- Concentratierisico
- Het risico dat ontstaat wanneer veel kritieke diensten afhangen van één aanbieder, of van een kleine groep verbonden aanbieders, zodat één storing een brede impact heeft. DORA vraagt financiële entiteiten om het te beoordelen voor regelingen met derde aanbieders van ICT-diensten.
- Crisiscel
- Een specifieke crisiscommandoruimte, fysiek of virtueel, waar de mensen die een ernstig incident beheren beslissingen, communicatie en taken op één plek coördineren.
- CSIRTResponsteam voor computerbeveiligingsincidenten
- Een team dat cyberbeveiligingsincidenten behandelt. Onder NIS2 wijst elke lidstaat nationale CSIRT's aan, die incidentmeldingen ontvangen en entiteiten ondersteunen bij de afhandeling.
D
- Derde aanbieder van ICT-diensten
- Volgens DORA een onderneming die ICT-diensten levert aan een financiële entiteit, dat wil zeggen digitale diensten en datadiensten die doorlopend via ICT-systemen worden geleverd.
- DORAVerordening digitale operationele weerbaarheid
- Verordening (EU) 2022/2554, sinds 17 januari 2025 van toepassing op financiële entiteiten in de EU. Ze behandelt ICT-risicobeheer, de melding van ICT-gerelateerde incidenten, het testen van digitale operationele weerbaarheid, ICT-risico's van derde partijen en informatie-uitwisseling.
E
- Essentiële en belangrijke entiteiten
- De twee categorieën organisaties binnen het toepassingsgebied van NIS2, hoofdzakelijk bepaald door sector en omvang. Beide moeten maatregelen voor cyberbeveiligingsrisicobeheer nemen en significante incidenten melden; essentiële entiteiten staan onder proactief toezicht, belangrijke entiteiten vooral onder toezicht achteraf.
- Exitstrategie
- Een gedocumenteerd plan om een regeling met een derde aanbieder te beëindigen, bijvoorbeeld na falen of opzegging, zonder onaanvaardbare verstoring. DORA vereist exitstrategieën voor ICT-diensten die kritieke of belangrijke functies ondersteunen.
I
- Inherent risico
- Het niveau van een risico voordat met beheersmaatregelen of andere behandeling rekening wordt gehouden.
- ISMSManagementsysteem voor informatiebeveiliging
- Het beleid, de processen, rollen en beheersmaatregelen die een organisatie gebruikt om informatiebeveiligingsrisico's systematisch te beheren. ISO/IEC 27001 legt de eisen voor een ISMS vast.
K
- KRIKernrisico-indicator
- Een maatstaf die een verandering in het niveau van een risico signaleert, met drempels die aandacht of actie uitlokken voordat het risico zich voordoet.
- Kritieke of belangrijke functie
- Volgens DORA een functie waarvan de verstoring de financiële prestaties van een financiële entiteit, de soliditeit of continuïteit van haar diensten, of de blijvende naleving van haar vergunningsvoorwaarden en wettelijke verplichtingen wezenlijk zou aantasten. Voor ICT-regelingen die zulke functies ondersteunen gelden strengere eisen.
M
- MTPDMaximaal toelaatbare verstoringsduur
- De tijd waarna de impact van een proces dat niet hervat wordt onaanvaardbaar wordt. De RTO moet korter zijn dan de MTPD.
N
- NIS2
- Richtlijn (EU) 2022/2555 betreffende maatregelen voor een hoog gemeenschappelijk niveau van cyberbeveiliging in de Unie. Lidstaten zetten ze om in nationaal recht; ze legt essentiële en belangrijke entiteiten verplichtingen op inzake risicobeheer en incidentmelding.
O
- Oefening
- Een geplande activiteit die plannen, mensen en systemen aan een scenario toetst, van een tabletopsessie tot een volledige technische failover. De resultaten worden vergeleken met de doelstellingen en omgezet in verbeteracties.
P
- Playbook
- Een vooraf bepaalde reeks responsstappen voor een type incident of gebeurtenis, met rollen en taken die vooraf zijn toegewezen, zodat de respons snel en consistent op gang komt.
R
- Register van informatie
- Het register dat financiële entiteiten volgens DORA moeten bijhouden van alle contractuele regelingen voor ICT-diensten van derde aanbieders van ICT-diensten, met inbegrip van de functies die ze ondersteunen en hun kriticiteit.
- Restrisico
- Het niveau van een risico dat overblijft na beheersmaatregelen en andere behandeling, afgezet tegen de risicobereidheid om te beslissen of het aanvaard kan worden.
- Risicobereidheid
- De mate en het soort risico die een organisatie bereid is te nemen of te aanvaarden om haar doelstellingen te bereiken, vastgelegd door het leidinggevend orgaan en vertaald in limieten en toleranties.
- RPORecovery point objective (hersteldoelpunt)
- Het maximale dataverlies, uitgedrukt in tijd, dat een proces kan verdragen. Het bepaalt hoe vaak data geback-upt of gerepliceerd moet worden.
- RTORecovery time objective (hersteltijddoelstelling)
- De streeftijd waarbinnen een proces of systeem na een verstoring hervat moet zijn, op een afgesproken minimaal dienstverleningsniveau.
S
- Significant incident
- Volgens NIS2 een incident dat ernstige operationele verstoring of financiële verliezen voor de entiteit heeft veroorzaakt of kan veroorzaken, of aanzienlijke schade aan anderen. Significante incidenten worden in fasen gemeld: vroegtijdige waarschuwing, incidentmelding en eindverslag.
- SoAVerklaring van toepasselijkheid
- Een ISO/IEC 27001-document dat de beheersmaatregelen opsomt die de organisatie nodig acht, waarom ze zijn opgenomen, of ze geïmplementeerd zijn en waarom eventuele beheersmaatregelen uit bijlage A zijn uitgesloten.
T
- TLPTDreigingsgestuurde penetratietests
- Een gecontroleerde test die de tactieken van echte aanvallers nabootst, op basis van dreigingsinformatie, tegen de live productiesystemen achter kritieke functies. Onder DORA moeten financiële entiteiten die door hun bevoegde autoriteit zijn aangewezen er minstens om de drie jaar een uitvoeren.
- TPRMRisicobeheer van derde partijen
- Het proces om de risico's van de afhankelijkheid van leveranciers en andere derde partijen te identificeren, beoordelen, monitoren en beheersen, van onboarding en due diligence tot periodieke review en exit.
U
- Uitzondering
- Een goedgekeurde, gedocumenteerde afwijking van een beleid, norm of beheersmaatregel, vastgelegd met de motivering, het aanvaarde risico, een eigenaar en meestal een vervaldatum of herzieningsdatum.
V
- Verplichting
- Een specifieke eis waaraan een organisatie moet voldoen, afgeleid uit een wet, regelgeving, norm of contract. Verplichtingen worden gekoppeld aan de beheersmaatregelen, beleidslijnen en eigenaars die ze invullen.
Zie ILSERIS aan het werk.
Een gerichte rondleiding, afgestemd op uw regelgevend landschap en uw operationeel model.