| A.5.1 | Beleid voor Informatiebeveiliging• IB-beleid en onderwerpspecifieke beleidsregels gedocumenteerd, goedgekeurd, gepubliceerd en toegankelijk voor alle medewerkers? • Beleidsregels beoordeeld op geplande intervallen of na significante wijzigingen? • Erkenning van beleidsregels door medewerkers vastgelegd? | — | IB-beleidsset; versiegeschiedenis; management goedkeuring; ondertekeningslog medewerkers | |
| A.5.2 | IB-Rollen en Verantwoordelijkheden• IB-rollen formeel gedefinieerd met schriftelijke verantwoordelijkheden (CISO, data-eigenaren, systeemeigenaren)? • Rollen toegewezen aan bekwame personen en gecommuniceerd in de gehele organisatie? | — | RACI-matrix; functiebeschrijvingen; organisatieschema | |
| A.5.3 | Functiescheiding• Conflicterende taken geïdentificeerd voor gevoelige processen (financiën, toegangsverlening, beheer)? • Scheidingsmaatregelen geïmplementeerd; compenserende maatregelen waar volledige scheiding niet haalbaar is? • Functiescheiding periodiek beoordeeld en uitzonderingen gedocumenteerd? | — | Functiescheidingsmatrix; procesbeheersing; toegangsbeoordelingen | |
| A.5.4 | Managementverantwoordelijkheden• Management vereist actief dat medewerkers IB-beleid toepassen? • Betrokkenheid aangetoond via beveiligingsvergaderingen, communicaties, toewijzing van middelen? | — | Managementcommunicaties; notulen IB-stuurgroep | |
| A.5.5 | Contact met Autoriteiten• Contacten met relevante autoriteiten (toezichthouders, wetshandhaving, nationale CERT's) onderhouden? • Procedure voor wanneer en hoe contact op te nemen met autoriteiten aanwezig en getest? | — | Register autoriteitscontacten; incident-escalatieprocedure | |
| A.5.6 | Contact met Speciale Belangengroepen• Organisatie neemt deel aan relevante IB-forums, ISAC's of beroepsgroepen? • Dreigingsinformatie en best practices uitgewisseld via deze kanalen? | — | Lidmaatschapsregistraties; bewijs dreigingsinformatie-abonnementen | |
| A.5.7 | Dreigingsinformatie• Dreigingsinformatie verzameld uit meerdere relevante bronnen (overheid, ISAC, commerciële feeds)? • Informatie geanalyseerd en gebruikt voor bijwerking van risicobeoordelingen en maatregel beslissingen? • Dreigingsinformatieproces gedocumenteerd en regelmatig beoordeeld? | — | Dreigingsinformatiebronnen; analyserapporten; updates risicoregister | |
| A.5.8 | IB in Projectmanagement• IB geïntegreerd in projectmanagementmethodologie vanaf initiatie? • IB-risicobeoordelingen uitgevoerd voor alle significante projecten? • IB-vereisten bijgehouden en geverifieerd bij projectafsluiting? | — | PM-beleid; sjablonen IB-risicobeoordeling; checklists projectafsluiting | |
| A.5.9 | Inventaris van Informatie en Andere Bijbehorende Activa• Volledige en actuele inventaris bijgehouden voor informatie, software, hardware en diensten? • Registraties bevatten: activatype, locatie, classificatie en eigenaar? • Inventaris op regelmatige intervallen beoordeeld en gereconcilieerd? | — | Activaregister; datum laatste beoordeling; aftekeningen activaeigenaren | |
| A.5.10 | Aanvaardbaar Gebruik van Informatie en Andere Bijbehorende Activa• Beleid Aanvaardbaar Gebruik (AUP) gedocumenteerd voor alle relevante activatypes? • AUP gecommuniceerd aan alle medewerkers en contractors; erkenning vastgelegd? • AUP-overtredingen gemonitord, gerapporteerd en aangepakt? | — | AUP-document; ondertekende erkennissen; overtredingslog | |
| A.5.11 | Teruggave van Activa• Proces voor teruggave van activa bij beëindiging of rolwijziging gedocumenteerd? • Checklists voor activateruggave ingevuld en getekend bij uitdiensttreding? • Activaregister direct bijgewerkt na teruggave? | — | Uitdienstredingschecklist; activateruggaveregistraties; registerupdates | |
| A.5.12 | Classificatie van Informatie• Classificatieschema gedocumenteerd met duidelijke categorieën (bijv. Openbaar/Intern/Vertrouwelijk/Beperkt)? • Classificatiecriteria consistent toegepast op alle informatie-activa? • Niveaus afgestemd op wettelijke, regelgevende en contractuele vereisten? | — | Classificatiebeleid; activaregister met classificatie; trainingsregistraties | |
| A.5.13 | Labelen van Informatie• Labelprocedure gedefinieerd en geïmplementeerd voor alle classificatieniveaus? • Labels aangebracht op documenten, e-mails, opslagmedia en systemen? • Naleving labeling geaudit? | — | Labelprocedure; DLP/labeltoelconfiguratie; auditresultaten | |
| A.5.14 | Informatieoverdracht• Beleid en procedures voor informatieoverdracht (intern en extern) gedocumenteerd? • Overdrachtsovereenkomsten met derden voor vertrouwelijkheid en beveiliging? • Versleuteling gebruikt voor overdracht van gevoelige informatie? | — | Gegevensoverdrachtsbeleid; NDA's; bewijs versleuteling; overdrachtslogboeken | |
| A.5.15 | Toegangsbeheersing• Toegangsbeheerbeleid gedocumenteerd op basis van need-to-know en minimale bevoegdheden? • Toegang verleend en ingetrokken via formeel goedkeuringsproces? • Toegangsrechten op regelmatige intervallen beoordeeld (ten minste jaarlijks)? | — | Toegangsbeheerbeleid; toegangsaanvraagregistraties; periodieke toegangsbeoordelingen | |
| A.5.16 | Identiteitsbeheer• Formeel identiteitslevenscyclusbeheerproces ingericht (aanmaken, wijzigen, opschorten, verwijderen)? • Gedeelde/generieke accounts beheerst, onderbouwd en geaudit? • Identiteitsbeheer geïntegreerd met HR in-/door-/uitdiensttredingsprocessen? | — | IAM-systeemregistraties; bewijs HR-IT-integratie; register generieke accounts | |
| A.5.17 | Authenticatie-informatie• Authenticatiegegevens beheerd via formeel proces? • Standaardgegevens gewijzigd op alle systemen voor ingebruikname? • Sterk wachtwoord-/wachtzinbeleid technisch gehandhaafd (lengte, complexiteit, MFA)? | — | Wachtwoordbeleid; AD/IdP-configuratie; audit standaardgegevens | |
| A.5.18 | Toegangsrechten• Toegangsrechten verleend op basis van formele goedkeuring en zakelijke onderbouwing? • Periodiek beoordeeld (driemaandelijks voor bevoorrechte, jaarlijks voor standaardaccounts)? • Toegangsrechten direct ingetrokken bij beëindiging of rolwijziging? | — | Toegangsgoedkeuringsregistraties; toegangsbeoordelingsrapporten; bewijs intrekking | |
| A.5.19 | IB in Leveranciersrelaties• Beleid voor beheersing IB-risico's in leveranciersrelaties gedocumenteerd? • IB-vereisten geïdentificeerd en beoordeeld voor leveranciersengagement? • IB-risicobeoordelingen voor leveranciers uitgevoerd en gedocumenteerd? | — | IB-leveranciersbeleid; leveranciersrisicobeoordelingen; leveranciersregister | |
| A.5.20 | IB in Leveranciersovereenkomsten• Leveranciersovereenkomsten bevatten IB-vereisten (gegevensbescherming, incidentmelding, auditrecht)? • Overeenkomsten beoordeeld en bijgewerkt bij wijziging van IB-vereisten? • Naleving van contractuele IB-clausules gemonitord? | — | Leverancierscontracten met IB-clausules; registraties contractbeoordeling | |
| A.5.21 | Beheer van IB in de ICT-toeleveringsketen• IB-vereisten gecommuniceerd aan en door de ICT-toeleveringsketen? • IB-risico's in toeleveringsketen beoordeeld (herkomst hardware/software, leveranciers due diligence)? • Proces voor verificatie van IB-praktijken leveranciers en subcontractant maatregelen? | — | Toeleveringsrisico beoordelingen; IB-inkoopvereisten; SBOM | |
| A.5.22 | Monitoring, Beoordeling en Wijzigingsbeheer van Leveranciersdiensten• IB-prestaties leveranciers gemonitord ten opzichte van contractuele verplichtingen? • Leveranciersbeoordelingen uitgevoerd op geplande intervallen? • Wijzigingen in leveranciersdiensten beoordeeld op IB-impact? | — | Notulen leveranciersbeoordelingen; SLA-prestatieraporten; wijzigingsbeoordelingen | |
| A.5.23 | IB voor Gebruik van Clouddiensten• Beleid voor aanschaf, gebruik, beheer en beëindiging van clouddiensten gedocumenteerd? • Cloudovereenkomsten beoordeeld op IB-clausules (gegevenslocatie, versleuteling, auditrecht)? • Clouddiensten beoordeeld op basis van organisatieclassificatie en risicocriteria? | — | Cloudgebruiksbeleid; leverancierscontracten; cloudrisicobeoordelingen | |
| A.5.24 | Planning en Voorbereiding IB-incidentbeheer• IB-incidentbeheerprocedure gedocumenteerd met rollen, escalatietrajecten en tijdlijnen? • Incidentresponsteam gedefinieerd, getraind en 24/7 bereikbaar? • Procedure getest (tafelsessie of live oefening) op geplande intervallen? | — | Incidentresponsplan; teamtoewijzingen; oefenrapporten | |
| A.5.25 | Beoordeling en Besluitvorming over IB-gebeurtenissen• Proces gedefinieerd voor categorisering en prioritering van IB-gebeurtenissen op basis van ernstigheidscriterien? • Triage uitgevoerd binnen gedefinieerde tijdsbestekken? | — | Triageprocedure voor gebeurtenissen; criteria ernstigheidsclassificatie; gebeurtenislogboeken | |
| A.5.26 | Respons op IB-incidenten• Incidentrespons draaiboek voor insluiting, uitroeiing en herstel? • Incidenten afgehandeld binnen gedefinieerde SLA's? • Bewijs bewaard voor mogelijke juridische of regelgevende doeleinden? | — | IR-draaiboek; incidentregistraties; procedure bewijsbehandeling | |
| A.5.27 | Leren van IB-incidenten• Na-incident beoordelingen (PIR's) uitgevoerd voor alle significante incidenten? • Geleerde lessen gedocumenteerd en gecommuniceerd? • Terugkerende incidenten bijgehouden; grondoorzaken aangepakt via corrigerende maatregelen? | — | PIR-rapporten; log geleerde lessen; registraties corrigerende maatregelen | |
| A.5.28 | Verzameling van Bewijs• Procedures voor verzameling, bewaring en behandeling van digitaal forensisch bewijs gedocumenteerd? • Bewijsketen gehandhaafd voor al het verzamelde bewijs? | — | Procedure bewijsbehandeling; formulieren bewijsketen; trainingsregistraties | |
| A.5.29 | IB Tijdens Verstoringen• IB-maatregelen gehandhaafd tijdens verstorende incidenten? • IB-continuïteit opgenomen in BCP/DRP en getest als onderdeel van oefeningen? | — | BCP/DRP met IB-sectie; testresultaten IB-continuïteit | |
| A.5.30 | ICT-gereedheid voor Bedrijfscontinuïteit• ICT-hersteldoelstellingen (RTO/RPO) gedefinieerd en gedocumenteerd voor alle kritieke systemen? • Redundantie- en failovercapaciteiten aanwezig en getest? • ICT-continuïteit geïntegreerd in het algehele BCP-programma? | — | ICT-BCP; RTO/RPO-register; resultaten DR-tests | |
| A.5.31 | Wettelijke, Statutaire, Regelgevende en Contractuele Vereisten• Van toepassing zijnde wettelijke, regelgevende en contractuele IB-vereisten geïdentificeerd en gedocumenteerd? • Proces voor bijhouden van wijzigingen in vereisten ingericht? • Verplichtingen vastgelegd in een nalevingsregister en toegewezen aan eigenaren? | — | Register wettelijke/regelgevende verplichtingen; nalevingsopvolgingsproces | |
| A.5.32 | Intellectuele Eigendomsrechten• Procedures voor naleving van IE-rechten (softwarelicenties, auteursrecht, octrooien) geïmplementeerd? • Softwarelicentieregister bijgehouden en gereconcilieerd? | — | Softwarelicentieregister; IE-beleid; trainingsregistraties | |
| A.5.33 | Bescherming van Registraties• Bewaartermijnschema gedefinieerd, gedocumenteerd en geïmplementeerd? • IB-registraties beschermd tegen verlies, vernietiging, vervalsing en ongeautoriseerde toegang? • Registraties veilig vernietigd aan het einde van de bewaartermijn? | — | Bewaartermijnschema; procedurebeheer registraties; vernietigingsregistraties | |
| A.5.34 | Privacy en Bescherming van Persoonsgegevens• Privacy-/gegevensbeschermingsbeleid gedocumenteerd en geïmplementeerd? • DPIA-proces ingericht voor systemen die persoonsgegevens verwerken? • Vereisten voor verwerking van persoonsgegevens opgenomen in systeem- en leverancierscontracten? | — | Privacybeleid; DPIA-register; verwerkersovereenkomsten; AVG-verwerkingsregister | |
| A.5.35 | Onafhankelijke Beoordeling van IB• Onafhankelijke IB-beoordelingen (interne audit, externe beoordeling) uitgevoerd op geplande intervallen? • Beoordelingsresultaten gerapporteerd aan management; bevindingen bijgehouden tot afsluiting? | — | Interne auditrapporten; externe beoordelingsrapporten; NC-tracker | |
| A.5.36 | Naleving van IB-beleid, Regels en Normen• Reguliere nalevingsbeoordelingen uitgevoerd ten opzichte van IB-beleid en normen? • Niet-naleving gedocumenteerd, verholpen en bijgehouden tot afsluiting? | — | Nalevingsmonitoringsrapporten; managementverklaringen; NC-log | |
| A.5.37 | Gedocumenteerde Operationele Procedures• Operationele procedures voor IB-relevante processen gedocumenteerd en beschikbaar voor degenen die ze nodig hebben? • Procedures beoordeeld en bijgewerkt bij proceswijzigingen? | — | Procedurebibliotheek; versiebeheersregistraties; beoordelingslogboeken | |