Firewalls, back-ups, multi-factor authenticatie, endpoint security en monitoring. Veel organisaties hebben inmiddels verschillende technische maatregelen getroffen om hun ICT-omgeving te beveiligen. En terecht. Technische beveiliging is essentieel. Maar informatiebeveiliging gaat verder dan techniek. Want weet je ook welke informatiebeveiligingsrisico's voor jouw organisatie het belangrijkst zijn? Wie daarvoor verantwoordelijk is? Of maatregelen daadwerkelijk worden uitgevoerd en gecontroleerd? En kun je dat ook aantonen richting klanten, auditors of toezichthouders? Dat is waar de stap van technische beveiliging naar regie op informatiebeveiliging begint.  

Informatiebeveiliging gaat verder dan techniek

Een goed beveiligde ICT-omgeving is een belangrijk onderdeel van informatiebeveiliging, maar niet het hele verhaal. Normenkaders zoals ISO 27001 en NEN 7510 kijken naar beheersmaatregelen binnen vier domeinen:

• Organisatorisch
• Menselijk
• Fysiek
• Technologisch

Dat betekent dat niet alleen technische oplossingen aandacht vragen. Ook beleid, verantwoordelijkheden, medewerkers, processen en fysieke beveiliging spelen een rol. Juist de samenhang tussen deze onderdelen bepaalt in hoeverre een organisatie daadwerkelijk grip heeft op haar informatiebeveiligingsrisico's.

Van maatregelen treffen naar aantoonbaar beheersen

De noodzaak om die samenhang goed te organiseren wordt steeds groter. Klanten stellen securityvragen, informatiebeveiliging speelt een rol bij aanbestedingen en organisaties krijgen te maken met normenkaders en wet- en regelgeving zoals ISO 27001, NEN 7510 en NIS2/Cyberbeveiligingswet. Daarbij gaat het niet alleen om de vraag óf maatregelen zijn getroffen. Een organisatie moet steeds vaker kunnen laten zien dat zij:

• haar belangrijkste informatiebeveiligingsrisico's kent;
• verantwoordelijkheden heeft belegd;
• passende maatregelen heeft getroffen;
• controleert of deze maatregelen daadwerkelijk worden uitgevoerd;
• en waar nodig bijstuurt en verbetert.

Dat noemen we aantoonbaar in control zijn.  

Governance, risicomanagement en compliance bij elkaar brengen

Om dat structureel te organiseren, moeten verschillende onderdelen bij elkaar komen.

• Governance gaat over de manier waarop informatiebeveiliging wordt bestuurd en verantwoordelijkheden zijn georganiseerd.
• Risicomanagement helpt bepalen welke risico's er zijn, welke prioriteit ze hebben en welke maatregelen nodig zijn.
• Compliance zorgt ervoor dat rekening wordt gehouden met relevante normen, wetgeving en andere eisen waaraan de organisatie moet voldoen.

Door deze drie onderdelen met elkaar te verbinden, ontstaat een continu proces van beoordelen, uitvoeren, controleren en verbeteren.  

Hoe krijg je daar in de praktijk grip op?

Een structurele aanpak begint met inzicht.  

1. Breng de huidige situatie in kaart

Met een gap-analyse wordt bekeken waar de organisatie nu staat en hoe dat zich verhoudt tot het gewenste niveau of normenkader. De analyse wordt uitgevoerd op één of meerdere van de vier domeinen uit ISO 27001. Zo wordt duidelijk waar de belangrijkste verschillen en verbeterpunten zitten en welke aanpak nodig is om het gewenste niveau te bereiken.

2. Richt informatiebeveiliging structureel in

Vervolgens moet worden vastgelegd hoe informatiebeveiliging binnen de organisatie wordt georganiseerd, beheerst en verbeterd. Dat gebeurt in een Information Security Management System (ISMS). Daarin komen onder andere beleid, verantwoordelijkheden, processen, risico's, maatregelen, uitzonderingen en besluitvorming samen. Of kort gezegd: zeggen wat je doet.

3. Zorg dat beleid ook praktijk wordt

Een goed beleidsdocument alleen maakt een organisatie nog niet veiliger. Afspraken moeten worden uitgevoerd, verantwoordelijkheden moeten duidelijk zijn, acties moeten worden opgevolgd en maatregelen moeten worden gemonitord. Oftewel: doen wat je zegt. Binnen Brisk CyberRegie gebruiken we SharePoint voor het vastleggen en beheren van beleid en procedures. Trustbound GRC ondersteunt vervolgens onder andere risicomanagement, compliance-sturing, monitoring en opvolging van acties.

4. Blijf controleren en verbeteren

Informatiebeveiliging is nooit 'af'. Nieuwe cloudoplossingen, wijzigingen in de organisatie, nieuwe medewerkers, veranderende cyberdreigingen en nieuwe wet- en regelgeving kunnen allemaal invloed hebben op het risicoprofiel. Daarom moeten risico's, maatregelen en beleid periodiek opnieuw worden beoordeeld en waar nodig worden aangepast. Dat gebeurt volgens de PDCA-cyclus: Plan – Do – Check – Act.  

Wanneer wordt die regie relevant?

De behoefte aan structurele regie ontstaat bijvoorbeeld wanneer een organisatie te maken krijgt met NIS2/Cyberbeveiligingswet of ketenzorgplicht, wil voldoen aan ISO 27001 of NEN 7510, securityvragen van klanten ontvangt of bij aanbestedingen moet aantonen hoe informatiebeveiliging is georganiseerd. Maar een norm of wettelijke verplichting hoeft niet de aanleiding te zijn. Ook organisaties die simpelweg meer overzicht willen over risico's, maatregelen en verantwoordelijkheden kunnen behoefte hebben aan een structurele aanpak.  

Van technische beveiliging naar Brisk CyberRegie

Dat is het uitgangspunt van Brisk CyberRegie. Brisk CyberRegie helpt organisaties informatiebeveiliging structureel te organiseren, bestuurlijk te borgen en aantoonbaar te beheersen. Daarbij verbinden we governance, risicomanagement en compliance en werken we vanuit erkende normenkaders en relevante wet- en regelgeving. De dienstverlening stopt niet na een adviesrapport of de inrichting van een ISMS. Een CyberRegie consultant blijft periodiek betrokken bij het beoordelen van risico's, actualiseren van beleid en procedures, opvolgen van maatregelen en rapporteren aan management en directie. Zo ontstaat geen verzameling losse beveiligingsmaatregelen, maar blijvende regie op informatiebeveiliging.  

Meer weten over Brisk CyberRegie?

Lees meer over Brisk CyberRegie en ontdek hoe we organisaties helpen om informatiebeveiligingsrisico's praktisch en aantoonbaar te beheersen. [...]

Wil je de cyberbeveiliging van je organisatie verbeteren? Dan is dit een goed moment om een aantal maatregelen op te pakken. Met de subsidieregeling Mijn cyberweerbare zaak (MCZ) kunnen zzp’ers en kleine bedrijven een deel van de kosten voor verschillende cyberbeveiligingsmaatregelen vergoed krijgen. De regeling is sinds 7 september 2026 geopend. Aanvragen kan tot en met 30 november 2026.

 

Hoeveel subsidie kun je krijgen?

De subsidie vergoedt 50% van de subsidiabele kosten, met een maximum van €1.250 per onderneming. De subsidiabele kosten moeten minimaal €400 bedragen. De regeling is bedoeld voor zelfstandig ondernemers en kleine bedrijven die:

• ingeschreven staan bij de KVK;
• maximaal 50 werknemers hebben;
• in het afgelopen boekjaar minder dan €10 miljoen omzet hadden.

 

Voor welke maatregelen is subsidie beschikbaar?

De regeling geldt voor acht maatregelen waarmee je de cyberweerbaarheid van je organisatie kunt verbeteren:

1. Veilige netwerktoegang en wifi Bijvoorbeeld met een firewall, access points of routers.
2. Wachtwoordmanager Voor het veilig beheren en gebruiken van wachtwoorden.
3. Tweefactorauthenticatie en multifactorauthenticatie (2FA/MFA) Een extra beveiligingslaag bij het inloggen op interne applicaties.
4. Patchmanagement Het structureel beheren en uitvoeren van beveiligingsupdates.
5. Antivirussoftware Voor de bescherming van apparaten tegen malware en andere digitale dreigingen.
6. Back-ups instellen en testen Zodat belangrijke gegevens niet alleen worden opgeslagen, maar ook daadwerkelijk kunnen worden hersteld als dat nodig is.
7. Risico-inventarisatie en -evaluatie Om inzicht te krijgen in de belangrijkste cyberrisico’s binnen je organisatie en de maatregelen die nodig zijn.
8. Cyber awareness trainingen Om medewerkers bewuster te maken van cyberrisico’s, zoals phishing, onveilige wachtwoorden en verdachte berichten.

 

Waar moet je rekening mee houden?

Niet iedere ICT-investering valt automatisch onder de regeling. Zo komen bestaande abonnementen en licenties niet in aanmerking. Ook algemene IT-beheerabonnementen of pakketten waarin beveiligingsmaatregelen al zijn opgenomen, zoals Microsoft 365 Premium, vallen buiten de regeling.

Het moet gaan om nieuwe of extra maatregelen. Deze moeten na 7 september 2026 zijn aangeschaft of afgenomen, uitgevoerd én volledig betaald.

Heb je tijdens een eerdere openstelling van Mijn cyberweerbare zaak al subsidie ontvangen voor een bepaalde categorie? Dan kun je in 2026 niet opnieuw subsidie krijgen voor een maatregel uit diezelfde categorie.

 

Eerst de CyberVeilig Check

Wil je gebruikmaken van de subsidie? Dan begin je met de CyberVeilig Check. Hiermee krijg je een persoonlijk advies over maatregelen die passen bij jouw organisatie. Bewaar dit advies goed. Je moet het als pdf meesturen met je subsidieaanvraag. Vervolgens laat je één of meerdere subsidiabele maatregelen uitvoeren en betaal je deze volledig. Daarna dien je de aanvraag in bij RVO, samen met onder andere de factuur en het betaalbewijs.

 

Waar kan Brisk ICT bij helpen?

Verschillende maatregelen uit deze subsidieregeling sluiten aan bij wat we bij Brisk ICT dagelijks voor organisaties doen. Denk aan veilige netwerktoegang, MFA, patchmanagement, antivirusbeveiliging, back-ups, risico-inventarisaties en cyber awareness.

Wil je weten welke maatregelen binnen jouw ICT-omgeving zinvol zijn? Dan denken we daar graag met je over mee en kunnen we helpen bij de uitvoering. De subsidieaanvraag zelf verzorgt Brisk ICT niet. Die dien je als ondernemer rechtstreeks in bij RVO. RVO bepaalt uiteindelijk of de gemaakte kosten voor subsidie in aanmerking komen.

 

Wacht niet te lang

Mijn cyberweerbare zaak is geopend van 7 september tot en met 30 november 2026. Voor de regeling is in totaal €1 miljoen beschikbaar. Bij veel aanvragen kan het beschikbare budget eerder een beperkende factor worden.

Wil je gebruikmaken van de regeling? Kijk dan op tijd welke maatregelen voor jouw organisatie interessant zijn en controleer vooraf de voorwaarden bij RVO. Meer weten over de regeling of direct aanvragen? Bekijk Mijn cyberweerbare zaak op RVO.nl.

Wil je weten welke cyberbeveiligingsmaatregelen binnen jouw organisatie verstandig zijn? Neem dan contact op met Brisk ICT. Meer informatie
Bekijk de officiële informatie over de regeling bij RVO en lees ook de toelichting van het Nationaal Cyber Security Centrum (NCSC). [...]

Microsoft Copilot wordt binnen veel organisaties steeds intensiever gebruikt. Niet alleen in Microsoft 365, maar ook binnen Dynamics 365 en Power Platform. Grote kans dus dat Copilot inmiddels onderdeel is van de dagelijkse werkplek. Microsoft heeft recent een technische wijziging doorgevoerd die gevolgen kán hebben voor waar Copilot-verzoeken worden verwerkt: Flex Routing.

Voor veel organisaties is dit relevant vanuit privacy, compliance en informatiebeveiliging. In dit artikel leggen we uit:

• wat Flex Routing is
• waarom Microsoft dit toepast
• wat dit betekent voor data en privacy
• welke keuze organisaties hierin hebben

Wat is Microsoft Flex Routing?

Wanneer veel gebruikers tegelijk gebruikmaken van Copilot, kan de belasting op Europese datacenters oplopen. Om prestaties stabiel te houden, gebruikt Microsoft sinds 17 april 2026 een techniek genaamd Flex Routing. Hierbij mag Microsoft tijdelijk capaciteit inzetten buiten de Europese Unie, bijvoorbeeld in:

• de Verenigde Staten
• Canada
• Australië

Dit gebeurt alleen wanneer extra capaciteit nodig is om Copilot snel en beschikbaar te houden.

Het voordeel

• Snellere verwerking
• Betere beschikbaarheid van Copilot tijdens piekmomenten

Mogelijk gevolg

• Verwerking van bepaalde Copilot-data buiten de EU

Welke gegevens kunnen worden verwerkt?

Copilot gebruikt niet alleen de prompt die iemand intypt. Om een goed antwoord te kunnen geven, haalt Copilot vaak aanvullende context op uit Microsoft 365. Denk aan:

• e-mails
• Word-documenten
• Excel-bestanden
• PDF’s
• agenda-items
• Teams-informatie
• andere gegevens waar de gebruiker toegang toe heeft

Een voorbeeld:

“Vat deze e-mails en documenten samen.”

In zo’n situatie kan Copilot tijdelijk inhoud verwerken uit meerdere bronnen. Wanneer Flex Routing actief is, kan een deel van die verwerking buiten de EU plaatsvinden.

Microsoft geeft aan dat gegevens tijdens transport en opslag versleuteld blijven en dat beveiligingsstandaarden behouden blijven. Toch kan de fysieke locatie van verwerking dus afwijken van de Europese datagrens.

Staat Flex Routing standaard aan?

Dat verschilt per type organisatie. Voor veel commerciële organisaties geldt meestal een opt-out-model; Flex Routing staat standaard aan, tenzij dit actief wordt uitgeschakeld.

Voor bepaalde sectoren zoals overheid, onderwijs of sommige gereguleerde omgevingen geldt vaker een opt-in-model; Flex Routing staat standaard uit, tenzij het expliciet wordt ingeschakeld.

Microsoft communiceert dit via het Microsoft 365 Admin Message Center.

Kun je Flex Routing uitschakelen?

Ja. Een Microsoft 365- of Power Platform-beheerder kan Flex Routing beheren via het Microsoft-beheercentrum. Wanneer Flex Routing wordt uitgeschakeld:

• blijft verwerking binnen de EU-gegevensgrens
• kan Copilot bij hoge belasting minder snel reageren of tijdelijk minder goed presteren

Het is dus een afweging tussen maximale datalocatiecontrole en optimale prestaties en beschikbaarheid.

Wat betekent dit voor jouw organisatie?

Er is hierin geen standaard goed of fout antwoord. De juiste keuze hangt onder andere af van:

• privacy- en compliance-eisen
• sector en regelgeving
• NIS2-verplichtingen
• interne securityrichtlijnen
• hoe bedrijfskritisch Copilot binnen de organisatie is

Voor sommige organisaties is het essentieel dat verwerking volledig binnen de EU blijft. Voor andere organisaties wegen continuïteit, snelheid en gebruikerservaring juist zwaarder.

Ons advies

Wij adviseren organisaties om hier bewust naar te kijken en niet blind de standaardinstellingen te volgen.

Praktische stappen

• Controleer of Flex Routing actief is binnen de tenant
• Beoordeel of dit past binnen het informatiebeveiligingsbeleid
• Stem dit af met compliance, security of directie
• Leg gemaakte keuzes vast binnen governance en risicomanagement

Hulp nodig?

Wij helpen organisaties dagelijks met Microsoft 365, security en governance-vraagstukken.

We helpen graag bij:

• het controleren van Flex Routing binnen de Microsoft-omgeving
• het maken van een passende afweging
• het vertalen van technische instellingen naar begrijpelijke risico’s en beleid

Wil je sparren over de impact van Copilot, datalocatie of compliance binnen Microsoft 365? Neem gerust contact met ons op.

[...]