• Moeten de CyFun® controles worden opgenomen in de ISO/IEC 27001 Verklaring van Toepasselijkheid (SoA) om als hulpmiddel te dienen bij het vaststellen van het vermoeden van conformiteit onder de Belgische NIS2-wetgeving (dit is het scenario waarbij de NIS

    De certificeringsautoriteit van het CCB (NCCA) zal controleren of de onderbouwde verklaring van toepasselijkheid (SoA) hetzelfde niveau heeft als het relevante CyFun®-zekerheidsniveau. Het opnemen van CyFun® controles in de ISO/IEC 27001 Verklaring van Toepasselijkheid (SoA) blijft een beslissing van de betreffende entiteit.

    Met betrekking tot het bovenstaande zal de certificeringsautoriteit van het CCB (NCCA) de termijnen toepassen die zijn vastgelegd in Art 22 van het KB van 09 juni 2024:

    • Binnen 18 maanden na de inwerkingtreding van de NIS2-wet of de datum van de identificatie bedoeld in artikel 11 van de NIS2-wet de reikwijdte van het ISMS en een onderbouwde verklaring van toepasselijkheid (SoA) van hetzelfde niveau als bepaald in CyFun® Basic of CyFun® Important
    • Binnen 30 maanden een ISO/IEC 27001: 2022 certificering waarbij de onderbouwde SoA hetzelfde niveau heeft als bepaald in CyFun® Belangrijk of Essentieel, afhankelijk van of de entiteit Belangrijk of Essentieel is. 
  • Wat wordt bedoeld met een “onderbouwde” Verklaring van Toepasselijkheid (SoA)?

    De definitie van “onderbouwd” is zoals in ISO/IEC 27006-1:2024 clausule 9.3.2.2 (f); de onderbouwing van de verklaring van toepasselijkheid (SoA) moet de beoordeling van de effectieve implementatie van de controles mogelijk maken. Of met andere woorden: Er moet bewijs zijn dat een controle is geïmplementeerd en effectief is.

  • Wat betekent het in de praktijk als wordt gesteld dat “een onderbouwde SoA hetzelfde niveau heeft als gedefinieerd door CyFun® Basic, Important of Essential”?

    Het doel is om een gelijk speelveld te creëren voor alle in België geregistreerde entiteiten, of ze nu kiezen voor CyFun® of ISO/IEC 27001:2022. Gezien het specifieke karakter van CyFun® dat door verschillende belanghebbenden is bekrachtigd, gebruikt het NCCA de maatregelen die zijn geïdentificeerd in het respectieve zekerheidsniveaus van CyFun® om de Verklaring van Toepasselijkheid van een ISO/IEC 27001:2022 gecertificeerde entiteit te beoordelen om ervoor te zorgen dat gelijkwaardige controles effectief zijn gedefinieerd en geïmplementeerd. Hierbij zal de NCCA specifieke aandacht besteden aan de “key measures” die in CyFun® zijn gedefinieerd, aangezien deze maatregelen rechtstreeks zijn afgeleid van cyberaanvallen die in België plaatsvinden.

    Als toezichthoudende autoriteit mogen we geen advies geven over hoe de relatie tussen het relevante zekerheidsniveau van CyberFundamentals en de ISO/IEC 2700:2022 SoA wordt gelegd.

  • Zijn “uitsluitingen” mogelijk in CyFun®?

    Uitsluitingen in CyFun® zouden specifieke CyFun® vereisten kunnen zijn waarbij het voor de organisatie niet haalbaar is om aan die CyFun® vereisten te voldoen. Omdat het uitgangspunt van CyFun® is dat men controles proportioneel kan invullen op basis van risicomanagement, is er bewust voor gekozen om deze mogelijkheid niet te bieden in de zelfevaluatietool van CyFun®, rekening houdend met de onwaarschijnlijkheid van deze gemotiveerde uitsluitingen.

    Het niet van toepassing zijn van een controle is een “uitzondering” (“exception”) zoals voorzien in de CyFun® Maturity Level Description (CyFun® Toolbox).

    Bij de documentatie moet worden nagegaan dat de uitsluiting goed is gemotiveerd, gedocumenteerd en geautoriseerd door de hoogste leiding van de organisatie.

    Bij de implementatie moet worden nagegaan dat er voldoende bewijs is van due diligence is om aan te tonen dat het uitsluiten van een CyFun® controle de naleving van specifieke wettelijke, reglementaire en/of contractuele verplichtingen niet in het gedrang brengt.

  • Wordt CyFun® in de hele EU geaccepteerd?

    Het CyberFundamentals Framework is oorspronkelijk een Belgisch raamwerk, ontwikkeld door het Centre for Cybersecurity Belgium (CCB), maar zo opgebouwd dat het op Europees niveau erkend kan worden. Een proces dat nu in gang is gezet door BELAC. Op dit moment is CyFun® alleen in de Belgische wetgeving opgenomen om, tot het tegendeel bewezen is, aan te kunnen nemen dat de entiteit aan haar NIS2-cyberbeveiligingsverplichtingen voldoet (vermoeden van conformiteit). Ondertussen is het kader formeel geadopteerd door Roemenië. Hoe het zal worden gebruikt bij de operationele uitrol van NIS2 is daar in ontwikkeling. Andere Europese landen erkennen ook de waarde van CyFun® (waaronder Frankrijk) en bekijken hoe zij dit raamwerk kunnen erkennen of zelfs volledig kunnen overnemen.

    Het CCB onderhoudt het raamwerk en alle documenten die bij het systeem horen als Primaire Eigenaar van het systeem. Dit is opgenomen in een formele procedure die de uitrol van CyFun® naar andere Europese landen mogelijk maakt.

  • Wat zijn de verschillen tussen ISO/IEC 27001:2022 en CyFun®?

    CyFun® is ontworpen om organisaties te helpen hun gegevens te beschermen, het risico op veelvoorkomende cyberaanvallen te verkleinen en de cyberweerbaarheid te vergroten. Het is gebaseerd op vier veelgebruikte cyberbeveiligingsraamwerken (NIST CSF, ISO/IEC 27001, CIS Controls en IEC 62443) en maakt ook gebruik van geanonimiseerde historische gegevens van succesvolle cyberaanvallen om de verschillende maatregelen in het raamwerk te identificeren. Het CyFun® Framework heeft een formeel conformiteitsbeoordelingsschema en is gericht op praktische maatregelen voor het identificeren, beoordelen en beperken van cyberbeveiligingsrisico's, met de nadruk op veerkracht en herstel na cyberincidenten.

    ISO/IEC 27001:2022 is een internationale norm voor managementsystemen voor informatiebeveiliging (ISMS), die een raamwerk biedt voor het beheren en beschermen van informatiemiddelen, en die vereisten bevat voor het instellen, implementeren, onderhouden en voortdurend verbeteren van een ISMS, in lijn met andere ISO managementsysteemnormen.

    De link tussen ISO/IEC 27001:2022 en CyFun® wordt zichtbaar gemaakt in de CyFun® mapping die online beschikbaar is in de CyFun® Toolbox.

  • Hoe kan een entiteit een CyFun®-label verkrijgen?

    Het volgende is een samenvatting van wat in detail beschreven staat in het CyFun® Conformiteitsbeoordelingsschema dat online beschikbaar is.

    Een Belgische rechtspersoon kan kiezen voor een verificatie om een label met bijbehorende QR-code CyberFundamentals “Basic” of “Important” te verkrijgen. Om het CyberFundamentals 'Basic' of 'Important' label te verkrijgen en te gebruiken, moet de entiteit aan het CCB de zelfevaluatie voorleggen die werd geverifieerd en geattesteerd in een verificatieverklaring door dezelfde geaccrediteerde Conformiteitsbeoordelingsinstantie (CAB).

    Voor het CyberFundamentals 'Essential' label geldt dezelfde procedure, maar hier is het gebaseerd op een certificatie in plaats van een verificatie. In dit geval moet bewijs van succesvolle implementatie van sleutelmaatregelen samen met de zelfbeoordeling worden ingediend. Het vereiste bewijs voor elke sleutelmaatregel bestaat uit een toelichting (1-pager) met aantoonbaar bewijs van hoe de maatregel is uitgerold.

    In alle gevallen zal het CCB voor elke labelaanvraag controleren of aan de eisen voor elke sleutelmaatregel is voldaan en of het algemene maturiteitsniveau is bereikt. De certificatie autoriteit van het CCB kan om aanvullende informatie vragen. 

    Belgische entiteiten kunnen een CyberFundamentals-label verkrijgen op basis van een ISO/IEC 27001:2022-certificaat. Dit certificaat moet aan het CCB worden bezorgd, waarna het CCB de geschiktheid zal verifiëren op dezelfde manier als beschreven in de respectieve regels voor het verkrijgen en gebruiken van een CyberFundamentals-label 'Basic', 'Important' of 'Essential', afhankelijk van wat de entiteit aanvraagt. De certificatie-autoriteit van het CCB (NCCA) zal controleren of de onderbouwde verklaring van toepasselijkheid (SoA) hetzelfde niveau heeft als het relevante CyFun®-zekerheidsniveau.

  • Wat is de scope van de conformiteitsbeoordeling die een entiteit moet respecteren onder BE NIS2?

    Het toepassingsgebied van de conformiteitsbeoordeling, ISO/IEC 27001:2022 en CyFun®, betreft een organisatie als geheel, tenzij IT/OT-omgevingen fysiek en/of technisch gescheiden zijn. De scheiding moet zodanig worden uitgevoerd dat de omgevingen buiten het toepassingsgebied de risico's van de omgeving binnen het toepassingsgebied niet beïnvloeden. In elk geval moet dit worden verduidelijkt in het toepassingsgebied van de conformiteitsbeoordeling. Aangezien het toepassingsgebied de hele organisatie omvat, geldt dit ook voor de Verklaring van Toepasselijkheid zoals voorzien in de ISO/IEC 27001:2022.

  • Mag ik het CyFun Framework hergebruiken voor commerciële doeleinden?

    Het CyberFundamentals Framework is een raamwerk dat eigendom is van het Centrum voor Cybersecurity België (CCB), dat onder het gezag van de Eerste Minister van België opereert.

    Het acroniem "CyFun" staat voor "CyberFundamentals Framework" en is een geregistreerd handelsmerk van het CCB.

    Het CyFun Framework en het CyberFundamentals Conformiteitsbeoordelingsschema (CAS) zijn beschikbaar op www.cyfun.be.

    Het gebruik van de afkorting "CyFun" en/of delen van dit document is toegestaan, mits de bron duidelijk wordt vermeld.

    Elk commercieel gebruik van CyFun is onderworpen aan een voorafgaande overeenkomst met het CCB.