door Peter Vos | 23 okt, 2025 | Nieuws |
Met trots kunnen we melden dat Lemontree opnieuw met uitstekend resultaat de ISO-hercertificeringsaudits heeft doorstaan. Tijdens de audit zijn we niet alleen opnieuw gecertificeerd voor ISO 9001 (kwaliteit) en ISO 27001, maar hebben we ook de transitie gemaakt van ISO 27001:2013 naar de nieuwste ISO 27001:2022-norm. Daarnaast hebben we voor het eerst het certificaat NEN 7510:2024 behaald, de Nederlandse norm voor informatiebeveiliging in de zorg.
Deze certificeringen bevestigen dat Lemontree structureel werkt volgens hoge standaarden op het gebied van kwaliteit, beveiliging en continu verbeteren. We zijn trots op het hele team dat hier dagelijks aan bijdraagt van HR tot de Back office, van projectmanagement tot de Front office.
Wat betekent dit voor onze klanten?
Deze certificeringen bevestigen dat Lemontree structureel werkt volgens hoge standaarden op het gebied van kwaliteit, beveiliging en continu verbeteren. Steeds meer van onze klanten zijn actief binnen zorgorganisaties of werken met privacygevoelige (patiënt)informatie. Met NEN 7510:2024 tonen we aan dat onze processen en maatregelen specifiek voldoen aan de eisen die in de zorgsector gelden.
NIS2-compliance: klaar voor de toekomst
Wij hebben onze governance, risico-management en incidentrespons ingericht in lijn met de vereisten van NIS2. Denk aan aantoonbare risicobeoordelingen, ketenbewaking, strikte change- en patchprocessen, verplichte meldingsprocedures en periodieke toetsing. Zo helpen we essentiële en belangrijke organisaties om weerbaar te blijven tegen cyberdreigingen en te voldoen aan de aankomende wettelijke verplichtingen.
ISAE 3402 Type II: onafhankelijke zekerheid
Met onze ISAE 3402 Type II-verklaring geven wij aanvullende, onafhankelijke zekerheid over de werking van onze beheersmaatregelen over een langere periode. Voor u betekent dit transparantie en vertrouwen in de continuïteit en betrouwbaarheid van onze dienstverlening.
Beknopt overzicht
- ISO 9001 – kwaliteitsmanagement opnieuw gecertificeerd
- ISO 27001:2022 – informatiebeveiliging volgens de nieuwste norm
- NEN 7510:2024 – specifiek voor informatiebeveiliging in de zorg
- ISAE 3402 Type II – onafhankelijke assurance over interne beheersing
- NIS2-compliant – governance, processen en maatregelen afgestemd op de EU-richtlijn
Wij zijn trots op het hele team dat hier dagelijks aan bijdraagt: van HR tot de Backoffice, van projectmanagement tot de Frontoffice. Samen zorgen we ervoor dat onze klanten kunnen rekenen op een veilige, betrouwbare en kwalitatieve dienstverlening.
door Peter Vos | 13 okt, 2025 | Nieuws |
Het Digital Trust Center (DTC) gaat op in een versterkt Nationaal Cyber Security Centrum (NCSC). Met deze bundeling ontstaat één centraal aanspreekpunt voor cyberdreigingen, waarschuwingen en advies voor zowel vitale sectoren als het brede bedrijfsleven. De integratie loopt gefaseerd en bouwt voort op jarenlange samenwerking tussen DTC, NCSC en CSIRT-DSP.
Waarom deze fusie er komt
De dreigingen nemen toe in schaal en complexiteit. Het kabinet besloot daarom al eerder om de rijksoverheidsorganisaties voor cybersecurity in één nationale organisatie samen te brengen, zodat expertise, informatiedeling en incidentrespons centraler en sneller kunnen zijn. In Kamerbrieven en beleidsupdates is die lijn de afgelopen jaren bevestigd.
Techzine meldt nu dat het DTC in 2026 opgaat in een versterkt NCSC. Daarmee komt één aanspreekpunt beschikbaar voor alle organisaties — van zzp’er tot multinational — in plaats van gescheiden loketten voor vitale en niet-vitale doelgroepen.
Wat verandert er voor organisaties
Tot nu toe richtte het NCSC zich primair op vitale organisaties en overheid, het DTC op het overige bedrijfsleven en CSIRT-DSP op digitale dienstverleners. In de nieuwe constellatie wordt die versnippering weggenomen en wordt informatieknooppunt én expertisecentrum onder één dak gebracht. De planning voorziet in een gefaseerde samenvoeging: NCSC en CSIRT-DSP liepen al in 2024 naar elkaar toe; NCSC en DTC volgen in 2026.
Verwachte voordelen voor Nederland
1) Snellere en bredere dreigingsinformatie
Eén centrale organisatie kan waarschuwingen en TLP-geclassificeerde dreigingsinformatie sneller en consequenter delen, zonder dat organisaties hoeven te twijfelen bij welk loket ze moeten zijn. Dat verkort de “waarschuwing-naar-actie”-tijd bij ransomware, phishinggolven en supply-chainincidenten. Deze doelstelling is expliciet genoemd bij de bundeling.
2) Gelijke basis voor grote én kleine bedrijven
DTC en NCSC ontwikkelden in 2025 al gezamenlijke basisprincipes voor digitale weerbaarheid (zoals update-discipline, back-ups en toegangsbeheer). Die gedeelde leidraad wordt nu onderdeel van één organisatie, waardoor mkb en vitale sectoren dezelfde, consistente adviezen en hulpmiddelen krijgen.
3) Efficiëntere inzet van schaarse capaciteit
Door kennis, tooling, huisvesting en ICT te bundelen, gaan minder uren verloren aan overdracht en afstemming. Dat betekent meer tijd voor incidentrespons, sectorale analyses en proactieve voorlichting.
4) Helderheid richting NIS2
Met één loket wordt het eenvoudiger om organisaties te wijzen op hun verplichtingen onder NIS2 en hen te begeleiden met praktische stappenplannen en scans die al in samenwerking zijn ontwikkeld.
Wat blijft hetzelfde (en wat niet)
De fusie verandert niets aan het doel: Nederland digitaal weerbaar maken. Wel verandert de route ernaartoe: in plaats van meerdere kanalen ontstaat één herkenbare ingang voor meldingen, advies en dreigingsinformatie. De bestaande samenwerkingstrajecten — zoals gezamenlijke producten en cultuurintegratie — vormen de opmaat naar de nieuwe organisatie.
Tijdlijn in vogelvlucht
-
7 september 2022 – Kabinet kondigt aan dat NCSC, DTC en CSIRT-DSP één centraal expertisecentrum en informatieknooppunt gaan vormen.
-
26 juni 2023 – Verdere uitwerking aan de Tweede Kamer over integratie en governance.
-
2024 – Integratiestap NCSC ↔ CSIRT-DSP; intensivering samenwerking met DTC.
-
7 april 2025 – Gezamenlijke basisprincipes en leidraad voor weerbaarheid gelanceerd.
-
13 oktober 2025 – Techzine: DTC gaat in 2026 op in een versterkt NCSC; één aanspreekpunt voor alle organisaties.
Wat betekent dit voor Nederlandse organisaties?
Voor Nederlandse organisaties betekent dit: minder versnippering, duidelijkere richtlijnen en snellere toegang tot relevante dreigingsinformatie. Blijf de gezamenlijke leidraad volgen, check periodiek de basisprincipes en maak gebruik van scans en tools die nu al beschikbaar zijn — die lopen straks naadloos mee de nieuwe organisatie in.
Gezamenlijke basisprincipes voor digitale weerbaarheid (april 2025)
Op 4 april 2025 lanceerden NCSC en DTC al gezamenlijk een vernieuwde, gezamenlijke set basisprincipes voor digitale weerbaarheid: een uniforme leidraad met concrete handvatten voor álle Nederlandse organisaties – van mkb tot vitale sectoren – om hun beveiligingsbasis op orde te brengen en incidenten sneller te voorkomen, detecteren en herstellen. De principes zijn bewust generiek en risicogestuurd opgesteld, zodat organisaties ze kunnen vertalen naar hun eigen context; ondersteunend materiaal zoals factsheets en een praktische toolkit maakt interne adoptie eenvoudig. Deze gezamenlijke lijn past bij het streven naar één aanspreekpunt en zorgt voor consistentie in advies, tooling en terminologie richting het bedrijfsleven.
Bronnen: Techzine, NCSC, Rijksoverheid/Digitale Overheid, Digital Trust Center, NLConnect en Security.nl.
door Peter Vos | 2 jul, 2025 | Nieuws |
De Europese NIS2-richtlijn, bedoeld om de digitale weerbaarheid van lidstaten te versterken, zou op 17 oktober 2024 zijn omgezet in nationale wetgeving. Nederland heeft deze deadline echter niet gehaald. De implementatie, via de Cyberbeveiligingswet (Cbw), is vertraagd en wordt nu verwacht in het tweede kwartaal van 2026.
Wat is NIS2?
NIS2 (Network and Information Security Directive 2) is een herziening van de oorspronkelijke NIS-richtlijn uit 2016. De richtlijn beoogt een hoger niveau van cybersecurity in de EU door strengere beveiligingsnormen en meldingsvereisten voor incidenten op te leggen aan een bredere groep sectoren.
Nederlandse implementatie: de Cyberbeveiligingswet
In Nederland wordt NIS2 geïmplementeerd via de Cyberbeveiligingswet (Cbw), die de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni) zal vervangen. De Cbw introduceert onder andere een zorgplicht, meldplicht en registratieplicht voor organisaties die als essentieel of belangrijk worden aangemerkt.
Vertraging in de implementatie
Hoewel de NIS2-richtlijn op 17 oktober 2024 in werking trad, heeft Nederland de deadline voor omzetting naar nationale wetgeving niet gehaald. De complexiteit van het traject, inclusief interdepartementale afstemming en consultaties, heeft geleid tot vertraging. De verwachting is nu dat de Cbw in het tweede kwartaal van 2026 in werking treedt.
Cyberbeveiligingsbesluit en sectorale regelingen
Het concept Cyberbeveiligingsbesluit, dat de Cbw verder uitwerkt, ligt momenteel ter behandeling bij de Tweede Kamer.Dit besluit bevat nadere invulling van de zorgplicht en sectorspecifieke regelingen. Ministeries zoals Binnenlandse Zaken en Volksgezondheid bouwen voort op bestaande normenkaders zoals de Baseline Informatiebeveiliging Overheid (BIO) en NEN7510.
Huidige situatie voor organisaties
Totdat de Cbw van kracht wordt, zijn organisaties nog niet verplicht om aan de nieuwe eisen te voldoen. Echter, bepaalde bepalingen van de NIS2-richtlijn hebben directe werking, zoals het recht op bijstand bij cyberincidenten door een Computer Security Incident Response Team (CSIRT).
Voorbereiding en bewustwording
Ondanks de vertraging roept de overheid organisaties op om zich alvast voor te bereiden op de komende wetgeving. Het Nationaal Cyber Security Centrum (NCSC) biedt informatie en tools om organisaties te helpen bij hun voorbereiding.Toch blijkt uit onderzoek dat slechts 26% van de decentrale overheden een implementatieplan heeft voor NIS2, en bijna een op de vijf nog moet beginnen met voorbereidingen.
Lemontree is er alvast klaar voor… jij ook?
De implementatie van de NIS2-richtlijn in Nederland verloopt met vertraging, maar de noodzaak voor versterkte cyberbeveiliging blijft onverminderd groot. Organisaties doen er verstandig aan om proactief maatregelen te nemen en zich voor te bereiden op de aankomende verplichtingen onder de Cyberbeveiligingswet. Lemontree is al klaar voor de komst van NIS2 in Nederland. Met onze ISAE3402 type II verklaring zijn onze processen aantoonbaar en bewezen kwalitatief in orde. Een belangrijke graadmeter voor partijen die hun IT (deels) willen uitbesteden.
door Peter Vos | 21 apr, 2025 | Blog |
Wat bedoelen we met Data-soevereiniteit?
IT-soevereiniteit (ook: digitale of datasoevereiniteit) is het vermogen van een organisatie om zélf te bepalen waar data en workloads leven, wie er toegang toe heeft, welke wet- en regelgeving van toepassing is en hoe continuïteit wordt geborgd—ongeacht leveranciers, landsgrenzen of politieke veranderingen. Het omvat:
- Data-soevereiniteit: fysieke en logische locatie van data + toepasselijke rechtsmacht.
- Operationele soevereiniteit: controle over configuraties, sleutels, supply chain en exit-mogelijkheden.
- Compliance-soevereiniteit: aantoonbare naleving van GDPR, NIS2 en sectorregels (bijv. DORA in finance).
Waarom dit belangrijk is? Omdat technische keuzes (bijv. SaaS in een niet-EU-jurisdictie) juridische gevolgen hebben. In 2020 vernietigde het Hof van Justitie van de EU Privacy Shield (Schrems II), omdat Amerikaanse surveillancewetgeving onvoldoende waarborgen bood; sindsdien ligt elke trans-Atlantische dataoverdracht onder een vergrootglas.
De geopolitieke context: onzekerheid is een risico
Veranderende beleidsrichtingen in de VS (ongeacht welke president) kunnen direct effect hebben op datatoegang door veiligheids- en opsporingsdiensten. De U.S. CLOUD Act kan Amerikaanse aanbieders verplichten data te overhandigen, ook als die buiten de VS is opgeslagen—een punt van zorg voor Europese verwerkers en verwerkingsverantwoordelijken.
Sinds 2023 is er het EU-US Data Privacy Framework (DPF), waarmee doorgifte naar gecertificeerde Amerikaanse partijen wél kan—maar privacy-organisaties hebben al aangekondigd dat zij het opnieuw juridisch zullen toetsen. Met andere woorden: bouw op het DPF als juridische basis, maar ontwerp uw architectuur alsof het morgen weer kan veranderen.
Europese regels die soevereiniteit concreet maken
- GDPR: bepaalt principes als dataminimalisatie, doelbinding en integriteit en vertrouwelijkheid. Het is de basis voor elke beslissing over dataopslag, -deling en -bescherming.
- NIS2: breidt cybersecurity-plicht uit naar veel meer sectoren en ketenpartners. Vereist risicobeheer, incident-melding, bestuurdersaansprakelijkheid en eisen aan toeleveranciers en cloudproviders.
- DORA (financiële sector): legt nadruk op operationele weerbaarheid en uitbestedingsrisico’s richting kritieke derde partijen. (Zie ook recente analyses over de verschuiving van privacy- naar weerbaarheidseisen.)
Implicatie: IT-soevereiniteit is niet alleen “waar staat mijn data?”, maar ook “kan ik aantonen dat ik regie heb op toegang, doorgifte, incidenten en exit—in de hele keten?”
Hoe grote cloud-vendors hiermee omgaan
Microsoft in het bijzonder
- EU Data Boundary (EUDb): Microsoft verplaatst en verwerkt klantdata voor Microsoft 365, Azure, Dynamics 365 en Power Platform in de EU, met aanvullende transparantie over dataflows en (gefaseerd) EU-afhandeling van supportdata. Dit helpt bij residency en toegangsbeperking binnen de EU-grenzen.
- Microsoft Cloud for Sovereignty (MCfS): sinds eind 2023 generally available; biedt beleidscontroles, lokalisatie, versleuteling met customer-managed keys en auditability bovenop Azure, gericht op overheden en gereguleerde sectoren met strikte soevereiniteitseisen.
Belangrijke nuance: ook met EU-datagrenzen en soevereiniteits-features blijft de rechtsmacht van de aanbieder relevant (CLOUD Act-discussie). Daarom is technische soevereiniteit (encryptie met eigen sleutels/HSM, confidential computing, strikte logging en conditional access) plus contractuele waarborgen essentieel.
Andere grote aanbieders (kort)
- Datagrenzen/sovereign cloud-varianten en lokale regio’s zijn inmiddels breed beschikbaar. Toch verschillen ze in diepgang van controls, mate van EU-lokale supportafhandeling en transparantie van dataflows. Verifieer altijd welke data (bijv. telemetrie, logs, pseudonieme identifiers) binnen de grens blijven en wat de uitzonderingen zijn.
Wat gaat er mis als soevereiniteit niet goed is geregeld?
- Juridisch risico: onrechtmatige doorgifte of onvoldoende waarborgen kan leiden tot klachten, dwangsommen en GDPR-boetes; Schrems-jurisprudentie laat zien dat “modelclauses + business as usual” niet altijd volstaat.
- Operationeel risico: afhankelijkheid van één leverancier zonder exit-strategie kan uw continuïteit raken (lock-in, prijswijzigingen, regio-uitval).
- Security-risico: onvoldoende ketenregie druist in tegen NIS2-verwachtingen (leveranciersbeheer, incident-melding, business continuity).
- Reputatie- en commerciële schade: klanten—zeker in de publieke sector en kritieke infrastructuur—verwachten EU-conforme datamodellen en aantoonbare controle.
Praktisch kader: zo bouwt u soevereiniteit in uw cloudstrategie
1) Breng rechtsmatigheid & datastromen in kaart (GDPR-by-design).
- Registreer verwerkingen, herleid grondslagen en doelen, minimaliseer data, definieer bewaartermijnen.
- Classificeer data (persoonsgegevens, vertrouwelijk, export-beperkt) en koppel aan locatie- en encryptie-eisen.
2) Kies een soeverein architectuurpatroon.
- EU-data-residency: region-pinning + EU Data Boundary.
- Encryptie met eigen sleutels (CMK/HSM), waar mogelijk double-key encryption of hold your own key.
- Confidential computing voor gevoelige workloads (minimaliseert trust in de provider).
- Strikte identity & access: PIM, conditionele toegang, just-in-time en just-enough-admin.
3) Adopteer Microsoft-specifieke soevereiniteitsopties waar passend.
- Overweeg Cloud for Sovereignty voor workloads met hoge compliance-druk (beleidssjablonen, lokalisatie, auditing).
- Gebruik EU-lokale support en beperk cross-border supporttoegang, waar beschikbaar.
4) Richt NIS2-conform ketenbeheer in.
- Evalueer leveranciers op risicobeheer, incident-respons, continuïteit, patching, logging en contractuele waarborgen.
- Leg RTO/RPO en exit-paden vast; test restore en region-failover periodiek.
5) Leg juridische waarborgen vast voor doorgifte buiten de EU.
- Controleer of de ontvanger DPF-gecertificeerd is of werk met SCC’s + aanvullende maatregelen (encryptie, pseudonimisering). Houd rekening met mogelijke juridische veranderingen.
6) Bewijsbaarheid & audit.
- Centreer logging, evidence en policies-as-code (bijv. Azure Policy, Defender for Cloud).
- Automatiseer compliance-rapportages en data lineage.
Koppeling naar NIS2, GDPR en co. — in één oogopslag
- GDPR → rechtmatigheid, dataminimalisatie, beveiliging, DPIA’s, betrokkenenrechten.
- NIS2 → risicobeheer, bestuurdersverantwoordelijkheid, incident-melding (24/72 uur), supply-chain-security, business continuity, testing.
- DORA (indien van toepassing) → ICT-risico’s, scenario-tests, third-party risk, exit-plannen (financiële sector).
- Trans-Atlantisch (DPF/CLOUD Act) → wees realistisch over rechtsmacht en borg aanvullende technische en contractuele maatregelen.
Checklist: “ben ik soeverein genoeg?”
- Dataflow-kaart met locaties en rechtsgronden up-to-date.
- EU-residency afgedwongen (regions, policies) + EU Data Boundary geactiveerd waar mogelijk.
- Encryptie met eigen sleutels (en sleutelbeheerproces) + back-up en KMS-segregatie.
- NIS2-conforme ketenafspraken; leveranciers beoordeeld op incident-respons en continuïteit.
- Doorgifte buiten EU gedekt via DPF/SCC’s + aanvullende maatregelen.
- Exit-strategie getest (data-export, schema’s, infra-as-code portabiliteit).
- Audit-evidence en rapportages automatisch te genereren.
Veelgestelde vragen (FAQ)
Is data in een EU-regio automatisch GDPR-compliant?
Nee. Locatie helpt, maar GDPR vraagt ook om rechtmatigheid, minimalisatie, doelen én passende beveiliging.
Maakt de EU Data Boundary doorgifte-risico’s verleden tijd?
Het reduceert risico’s en verbetert transparantie, maar rechtsmacht en uitzonderingen (bijv. bepaalde telemetrie/support) blijven aandachtspunten. Combineer met encryptie, beleid en contractuele waarborgen.
Is het EU-US DPF ‘veilig’ om op te bouwen?
Ja, het is een geldige grondslag, maar er bestaan juridische uitdagingen. Ontwerp uw architectuur soeverein zodat u niet afhankelijk bent van één mechanisme.
Wat is het verschil tussen soeverein “by vendor” en soeverein “by design”?
Vendor-opties (zoals MCfS) versnellen compliance, maar by design houdt in dat ú de regie neemt over versleuteling, identities, policies, logging en exit—ongeacht leverancier.
IT-soevereiniteit is geen luxe, maar een licence to operate in Europa. Met GDPR, NIS2 en sectorale regels groeit de verplichting om controleerbaar, juridisch robuust en operationeel weerbaar te zijn. Microsoft en andere vendoren bieden serieuze bouwstenen (EU Data Boundary, Cloud for Sovereignty), maar echte soevereiniteit ontstaat pas wanneer u techniek, processen én contracten integraal regisseert.
door Peter Vos | 18 dec, 2024 | Nieuws |
De Europese Unie heeft de afgelopen jaren aanzienlijke stappen gezet om de cyberbeveiliging binnen haar lidstaten te versterken. Een van de belangrijkste initiatieven op dit gebied is de NIS2-richtlijn, de opvolger van de oorspronkelijke NIS-richtlijn (Netwerk- en Informatiebeveiligingsrichtlijn). De nieuwe richtlijn, aangenomen op 16 januari 2023, heeft als doel om de cyberweerbaarheid van essentiële en belangrijke sectoren te verbeteren. Maar wat houdt NIS2 precies in, en wat is de huidige status van de implementatie ervan in Nederland?
Wat is NIS2?
NIS2 staat voor Network and Information Security Directive 2 en richt zich op het vergroten van de digitale weerbaarheid van kritieke infrastructuren en diensten. Waar de oorspronkelijke NIS-richtlijn vooral gericht was op een beperkt aantal sectoren, zoals energie, transport, gezondheidszorg en waterbeheer, breidt NIS2 deze scope aanzienlijk uit. Nieuwe sectoren zoals voedselvoorziening, ruimtevaart en post- en koeriersdiensten vallen nu ook onder de richtlijn. Bovendien stelt NIS2 strengere eisen aan cybersecuritymaatregelen en rapporteerplicht bij incidenten.
Een van de belangrijkste vernieuwingen is de invoering van strengere sancties en toezichtmechanismen. Organisaties die niet voldoen aan de richtlijn kunnen zware boetes opgelegd krijgen, en toezichthoudende instanties hebben meer bevoegdheden om audits uit te voeren en naleving af te dwingen. Ook de harmonisatie van regels tussen lidstaten speelt een grote rol in NIS2, met als doel een gelijk speelveld te creëren binnen de Europese Unie.
Status van NIS2 in Nederland
Hoewel de NIS2-richtlijn al is aangenomen, zijn lidstaten verplicht om deze uiterlijk op 17 oktober 2024 om te zetten in nationale wetgeving. In Nederland is het Ministerie van Economische Zaken en Klimaat (EZK) verantwoordelijk voor deze implementatie. Er zijn inmiddels diverse stappen gezet om de richtlijn te verankeren in de Nederlandse wetgeving, maar de volledige uitvoering is nog in proces.
In maart 2023 publiceerde het EZK (Ministerie van Economische Zaken en Klimaat) een consultatiedocument waarin belanghebbenden konden reageren op de voorgestelde aanpak. Deze consultatie heeft geleid tot waardevolle feedback van bedrijven, brancheorganisaties en experts. Een belangrijk aandachtspunt hierbij is de afstemming tussen de NIS2-richtlijn en bestaande wet- en regelgeving, zoals de Wet beveiliging netwerk- en informatiesystemen (Wbni). Nederland zal deze wetten moeten aanpassen of uitbreiden om te voldoen aan de eisen van NIS2.
Daarnaast speelt ook de praktische uitvoerbaarheid een rol. Bedrijven maken zich zorgen over de extra kosten en administratieve lasten die de richtlijn met zich meebrengt. Het EZK heeft aangegeven hier rekening mee te houden door een evenwichtige aanpak te zoeken die enerzijds zorgt voor naleving van de richtlijn, maar anderzijds bedrijven niet onnodig belast.
Lemontree, NIS2, ISO27001 en ISAE 3402 type1 en type2
Afgelopen tijd is Lemontree druk bezig geweest met een baseline voor security en het verder professionaliseren van processen met als doel het verkrijgen van ISAE3402 verklaringen. Met als gevolg dat we in oktober de felbegeerde type2 verklaring mochten ontvangen. In dit ISAE3402 traject hebben we ons specifiek gefocust op beleid, procedures en richtlijnen die onder andere voor NIS2 belangrijk zijn. In combinatie met ISO27001 zijn hierin alle onderdelen van NIS2 afgevinkt en is Lemontree officieel NIS2 compliant.
Lemontree meer dan klaar voor NIS2
Hoewel NIS2 in Nederland door vertraging bij de overheid nog niet in de wetgeving is verankerd, is Lemontree al klaar om aan de Europese richtlijnen en wetgeving te voldoen. Dat betekent dat onze klanten kunnen vertrouwen op vooraf bewezen kwaliteit van (security)diensten. Om op het vlak van informatiebeveiliging nog meer waarde toe te voegen heeft Lemontree Managed Detection & response en securitytraining voor eindgebruikers aan het dienstenportfolio toegevoegd. Dat betekent dat klanten kunnen terugvallen op het continue monitoren van gebeurtenissen in de IT-omgeving en adequate opvolging als er dreigingen worden waargenomen. En, heel belangrijk, dat eindgebruikers door het gebruik van AI gedreven phishingmails en gamification cyberweerbaarder worden gemaakt.
door Peter Vos | 29 mei, 2024 | Nieuws |
Lemontree is trots partner van het platform ‘Anders werken’. Met andere kennispartners willen we nadenken en inspireren hoe werken er in de toekomst uit gaat zien. Vanuit dit platform worden inspirerende podcasts uitgezonden. En als klap op de vuurpijl zal er op 18 juni een groot summit worden georganiseerd waar heel veel facetten van toekomstig werken aan de orde komen. Dit summit wordt ingeleid door Ben Tiggelaar. Partners van Anders Werken zijn onder andere Microsoft, AWVN, New Business Radio, Ministerie van veiligheid en justitie NCSC, TU Eindhoven, Dutch IT Channel, Nederlandse Vereniging van Commissarissen en Directeuren, Facility Management Nederland, HRMagazine, Lemontree en heel veel andere bedrijven die gespecialiseerd zijn op een deelgebied van nieuwe vormen van werken.
De Anders Werken Summit zal gehouden worden op 18 juni in de Rijtuigenloods in Amersfoort. Ben Tiggelaar zal de aftrap doen van dit unieke evenement voor HR, IT en Facilitair management. De Anders Werken Summit neemt managers en directie mee op een inspirerende reis door de wereld van het nieuwe werken. Met als doel om in één dag de nieuwste trends en succesfactoren te ontdekken mensen te inspireren en bijspijkeren door top experts met veel actuele praktijkcases en takeaways.
Waarom je als management professional de summit niet mag missen!
De summit is dé ontmoetingsplaats waar HR, IT, Facility management professionals samenkomen om meer inzicht in elkaars werkgebieden en uitdagingen te krijgen. Om gezamenlijk inspiratie op te doen om complexe veranderingen in werking te kunnen zetten binnen hun nieuwe werkomgeving. Zo kan de doelgroep zich in één dag bijspijkeren over de nieuwste ontwikkelingen en trends en inspireren door onze praktijk experts.
De summit zit boordevol waardevolle inzichten met levendige forums, diepgaande interviews, inspirerende seminars, boeiende keynotes met veel takeaways. Waarbij actuele onderwerpen als personeelsontwikkeling, HR-strategieën, de nieuwe werkomgeving, personeel en welzijn, de nieuwste AI technologieën, verbinding houden en techniek, teamwork, cyber security (NIS 2) en het nieuwe werken centraal staan!
Keynote van Lemontree
Wat zijn de 10 meest voorkomende verbeterpunten op de digitale werkplek?
Het meest gebruikte middel op een prachtige werkdag is toch wel je computer. Maar hoe ziet nou concreet een inspirerende digitale werkplek eruit? Peter Vos, CMO bij Lemontree laat je op basis van leermomenten bij heel veel bedrijven graag zien hoe je meer uit een werkdag van jouw bedrijf haalt. Of mensen nou op kantoor werken, thuis of bij klanten. Onderwerpen die passeren zijn persoonlijke betrokkenheid, veilig werken, merkbeleving en social engagement.
Het motto: De digitale werkplek anno 2024 gaat niet alleen meer over de techniek, maar juist steeds meer over User Experience, relevantie en slimmer werken. Deze praktische sessie mag je niet missen en is speciaal bedoeld voor HR, communicatie, IT en algemeen management.
Tijd: 10:15 – 10:45
Keynote ruimte 1
Inschrijven voor Anders Werken Summit met korting
Schrijf je snel in voor het evenement op 18 juni. Ontmoet branchegenoten en laat je inspireren. We hebben een (beperkt) aantal ‘Lemontree special guest kortingskaarten’ die je 20% korting geven op deze interessante dag. Hiervoor kun je de volgende kortingscode gebruiken: ZZEJUHREA
Schrijf je snel in via deze link
Partners van Anders werken zijn onder andere:
door Peter Vos | 24 mrt, 2023 | Blog |
Je kunt van alles bedenken om inbrekers buiten de deur te houden. Goede sloten, ramen sluiten, buitenverlichting, camera’s en natuurlijk een alarm waarbij alle toeters en bellen afgaan als er ongenode gasten het huis betreden. Vandaag de dag zijn cybercriminelen zeer actief. Daarom is het eigenlijk best heel raar als je geen alarm hebt op het IT-netwerk, waarmee je direct gewaarschuwd wordt als iemand die er niet hoort het netwerk betreedt. De meeste bedrijven beschikken wel over monitoring, waarmee je kunt zien wat er allemaal in je netwerk gebeurt. Maar in de praktijk gebeurt er zoveel dat het een redelijke taak is om dat allemaal in de gaten te houden. En heel veel meldingen die door monitoring worden gegenereerd zijn vaak niet zo ernstig van aard, waardoor degene achter de schermen druk is met heel veel ‘false positives’. Een Cyber Alarm zorgt ervoor dat je gewaarschuwd wordt als het nodig is, zodat je direct de netwerksystemen in kunt duiken om de boosdoener(s) op te sporen!
Een Cyberalarm
Maar stel je nou eens voor dat je een cyberalarm hebt, waarmee realtime al je netwerkverkeer wordt geanalyseerd op kwaadaardig gedrag en communicatie met kwaadaardige bestemmingen! Een alarm die doorlopend gevoed wordt vanuit alle gerespecteerde security leveranciers met Cyber Threat Intelligence updates. En daarmee de hoogste vorm van relevante matching heeft van alle zogenaamde Intrusion Detection Systemen (IDS). Waarmee zelfs ‘shadow IT’ zoals TeamViewer, Dropbox, WeTransfer, VPN-tunnels en vele anderen worden gedetecteerd. Wat zou zo’n cyberalarm voor jouw organisatie betekenen?
Analyse en alarmering
Het CyberAlarm analyseert al het netwerkverkeer (de metadata, niet de inhoud) op diverse categorieën. Afhankelijk van de context van het verkeer levert dat alarmmeldingen op in de prioriteiten Urgent, Hoog, Middel, Laag en Informatief (Prio 1 t/m 5). De meldingen zijn relevant en bieden direct inzicht in de bron van het alarm tot op de milliseconde van detectie. Een praktische alias-mogelijkheid op mac-adres en/of ip-adres maakt de analyse nog eenvoudiger. De meldingen worden weergegeven in ons overzichtelijke dashboard. Gebruikers kunnen binnen dit dashboard rollen toegewezen krijgen zoals ‘Beheerder’ (mogen notificaties aanmaken, aanpassen en meldingen whitelisten) of ‘Data Protection Officer’ (DPO – alleen kijken). API en integratie middels Syslog is mogelijk. Daarnaast zijn er diverse andere notificatie-mogelijkheden zodat verschillende mensen binnen de organisatie op de hoogte gesteld kunnen worden.
Voordelen van een netwerk cyberalarm
Een groot voordeel van het IDS ten opzichte van andere oplossingen is dat de metadata van jouw organisatie (versleuteld) wordt bewaard op basis van first-in-first-out. Elke keer als er nieuwe threat intelligence wordt ontvangen controleert het platform ‘oude’ netwerkdata nogmaals. Op die manier kan het systeem met ‘de kennis van nu’ malware uitbraken uit het verleden ontdekken. Dat maakt zoeken naar de datum/tijd/endpoint van de infectie veel eenvoudiger. Daarnaast wordt alle data volledig secure bewaard in Nederlandse datacenters. Ook wordt er actief onderhoud uitgevoerd op de eigen sensor om ervoor te zorgen dat de soft- en hardware up-to-date zijn en correct en stabiel blijven functioneren.
Daarbij worden alle actieve onderdelen van een netwerk meegenomen in de detectie oplossing (en dus niet slechts enkele (virtuele) onderdelen of enkel alleen de end-points). Als een apparaat een IP-adres heeft wordt dat verkeer onderzocht. Er zijn dus geen agents nodig met langdurige implementatietrajecten. Mede hierdoor is de oplossing ‘IoT-proof’.
Doordat de analyzer realtime het verkeer beoordeelt, wordt het detecteren van malware zoals een ransomware in een netwerk een stuk eenvoudiger. De sleuteluitwisseling tussen het netwerk en de cybercrimineel wordt direct gezien zodat adequate acties ondernomen kunnen worden. Elke dag voegt het CyberAlarm bij organisaties waarde toe doordat de bedreiging geëlimineerd kan worden voordat er een grote negatieve impact ontstaat.
Dashboard en rapportage
Het dashboard van ‘Mijn CyberAlarm’ laat jouw organisatie zien wat er gebeurt door gebruik te maken van goed leesbare grafieken.Je kunt hier meteen ook meldingen filteren en whitelisten. Zo kunt je ook binnen het dashboard VLAN’s en/of subnetten in- of ex-cluden. Dit maakt de analyses op specifieke verkeersstromen stukken eenvoudiger. Vanuit het dashboard zijn heel gemakkelijk de beschikbare (maand)rapportages te verkrijgen voor het privacy register welke voldoen aan de eisen die de AVG/GDPR stelt aan bedrijven. En de beschikbaarheid en performance van de sensor wordt gemeten, zodat continuïteit van de analyse wordt geborgd. En mocht je gebruik maken van een eigen SIEM-oplossing, dan kan deze oplossing ontsloten worden door Syslog of API.
Wil jij ook een alarm op je IT-netwerk?
Lemontree helpt je graag verder als je meer informatie wilt over Cyber Alarm. Vul onderstaand formulier in en we nemen contact met je op over de mogelijkheden en prijzen.
door Peter Vos | 20 feb, 2023 | Nieuws |
Je hebt er vast al wel wat over gehoord of gelezen: NIS2. Een Europese richtlijn om cybersecurity in heel Europa te verbeteren. NIS2 wijst op de tweede generatie Network and Information Systems richtlijnen. Want in 2016 werd NIS al geïntroduceerd voor bedrijven in de ‘primaire sector’. Ofwel bedrijven en organisaties die essentiële dienstverlening voor de samenleving bieden, zoals nutsbedrijven. Zij moeten al ruime tijd maatregelen nemen om hun informatie te beveiligen en hun weerbaarheid tegen cybercriminaliteit te verbeteren.
Omdat het aantal cyberaanvallen (zoals phishing, ransomware en malware) schrikbarend toeneemt, heeft het Europees Parlement ingestemd met NIS2. een Europese richtlijn om cybersecurity af te dwingen bij bedrijven en organisaties in veel meer sectoren en groottes. Zo zal NIS2 ook gaan gelden voor banken, zorginstellingen, transportbedrijven, productiebedrijven en vele anderen. Waarschijnlijk komt de grens ergens bij 10 miljoen euro omzet of vijftig medewerkers te liggen. Alle Europese landen zijn op dit moment bezig om de Europese NIS2 regels lokaal vorm te geven. In Nederland zal de NIS2 onder de naam NIB2 (Netwerk en InformatieBeveiliging) ingevoerd gaan worden. De verwachting is dat dit in het najaar van 2024 zal plaatsvinden.
Zorgplicht en meldplicht
De basis van de NIS2 richtlijnen bestaat uit twee onderdelen: de zorgplicht en de meldplicht.
- De zorgplicht verplicht organisaties om hun infrastructuur veilig te hebben en veilig te houden. Hiervoor wordt het verplicht om het netwerk goed te monitoren. Wellicht wordt ook geëist dat organisaties voldoen aan de ISO 27001-norm. Dat zal voor veel organisaties een flinke investering in tijd en geld betekenen.
- Organisaties moeten in de nieuwe richtlijn cyberincidenten melden. Die meldplicht geldt nu al voor datalekken, maar wordt straks ook verplicht om bijvoorbeeld een ransomware-aanval of misbruik van een kwetsbare plek te melden. Deze meldplicht moet ervoor zorgen dat organisaties zich beter kunnen beschermen en van elkaar leren.
Straffen
Organisaties die zouden moeten voldoen aan NIS2 maar dit niet doen, kunnen een boete krijgen van maximaal 10 miljoen euro of 2 procent van de totale wereldwijde jaaromzet. Daarnaast kunnen bestuurders en securityverantwoordelijken persoonlijk verantwoordelijk worden gehouden voor het niet naleven van de regels. Soortgelijke straffen dus die we al kennen van de AVG.
Maturity van beveiliging
Veel organisaties moeten flink aan de slag om hun cybersecurity volwassen te maken. En ook al moet de Nederlandse overheid nog besluiten aan welke eisen een bedrijf precies moet voldoen, het is verstandig om nu al in kaart te brengen hoe volwassen je cybersecurity is.
- Heb je een cybersecuritybeleid?
- Wordt het netwerk gemonitoord op bedreigingen, kwetsbaarheden en aanvallen?
- Zijn medewerkers zich bewust van beveiligingsrisico’s en herkennen zij bijvoorbeeld phishingmails en andere technieken die cybercriminelen gebruiken?
- Gebruik je consequent beveiligingsmaatregelen als multifactor-authenticatie?
- ZIjn er op de werkplek beveiligingsmaatregelen genomen om criminelen buiten de deur te houden?
- Heb je vergevorderde stappen gezet op het vlak van identity en access management (IAM)?
Is het antwoord op één of meerdere vragen ‘nee’ dan is het verstandig nu alvast te gaan nadenken over de invulling van dat punt. Vanaf volgend jaar zul je dan in ieder geval op die vlakken aan de bak moeten.
