Kennisbank · CyFun
CyFun-verificatie en -certificatie: hoe verloopt de beoordeling en wie mag ze doen?
Een CyFun-label krijgt u niet van uw adviseur en ook niet van uzelf. Een geaccrediteerde beoordelingsinstantie moet uw zelfbeoordeling en bewijs toetsen. Deze pagina legt het verschil tussen verificatie en certificatie uit, wie de beoordeling mag doen, hoe het verloopt en waar het in de praktijk misloopt.
Het verschil
Basic en Important: verificatie. Essential: certificatie.Verifiëren en certificeren zijn niet hetzelfde
Op de niveaus Basic en Important toetst een geaccrediteerde conformiteitsbeoordelingsinstantie of uw zelfbeoordeling klopt. Het resultaat is een verificatieverklaring, waarmee u daarna het label aanvraagt. Op het niveau Essential gaat het om certificatie: een formele auditronde met een certificaat als resultaat. De vuistregel dat CyFun altijd verifieert en ISO certificeert, gaat dus niet op voor Essential. Het niveau hangt samen met het aantal maatregelen: 34 requirements op Basic, 133 op Important en 218 op Essential, telkens als strikte uitbreiding van het niveau eronder. Wat u op Basic opbouwt, telt dus volledig mee op de volgende trap.
Wie mag beoordelen
Alleen een instantie met accreditatie én toelating mag het doen
Accreditatie door BELAC
Een CyFun-beoordelingsinstantie moet geaccrediteerd zijn door BELAC, de Belgische accreditatie-instantie.
Toelating door het CCB
Daarnaast moet de instantie door het Centrum voor Cybersecurity België zijn toegelaten. Alleen de combinatie telt.
Waar de officiële lijst staat
Het CCB publiceert de lijst van toegelaten instanties op de CyFun-pagina van Safeonweb@Work, onder tools en resources. Raadpleeg die lijst zelf, want ze wordt bijgewerkt.
Het aantal is beperkt
Niet elke instantie doet elk niveau of elke editie van het framework. Vraag vroeg na wie wat doet, en reserveer tijdig een slot, zeker als uw datum aan een deadline hangt.
De ISO 27001-route
Een ISO 27001-certificaat met correcte scope en verklaring van toepasselijkheid kan een route zijn naar het label. Dat certificaat moet komen van een instantie met accreditatie en CCB-toelating.
Waarom uw adviseur het niet zelf mag zijn
Wie u begeleidt, mag niet over zijn eigen werk oordelen. Onafhankelijkheid is de reden dat beoordeling en begeleiding gescheiden blijven. RGI begeleidt, en doet zelf geen verificatie of certificatie.
Het verloop
Van zelfbeoordeling tot label in zes stappen
Het CCB beschrijft vier stappen. In de praktijk komen er twee voorbereidende bij.
- 1U bepaalt de scope: welke organisatie, processen en netwerk- en informatiesystemen vallen onder de beoordeling.
- 2U kiest het niveau met de CyFun-selectietool van het CCB, op basis van een risicoanalyse.
- 3U doet de zelfbeoordeling met de self-assessment tool van het CCB en voert de maatregelen door die nog ontbreken.
- 4U kiest een toegelaten beoordelingsinstantie en spreekt de planning af, liefst ruim voor uw deadline.
- 5De instantie beoordeelt uw zelfbeoordeling en de uitvoering, en geeft een verificatieverklaring (Basic, Important) of een certificaat (Essential).
- 6U vraagt het label aan op het portaal Safeonweb@Work.
Checklist
Dit moet klaar liggen vóór de beoordelaar komt
Een afgebakende scope
Schriftelijk, met alle relevante netwerk- en informatiesystemen erin, en een lijst van sites en leveranciers die u meeneemt.
Een ingevulde zelfbeoordeling
Per maatregel een score, met een korte motivering. De beoordelaar vertrekt van uw eigen oordeel en toetst of het klopt.
Bewijsstukken per maatregel
Logbestanden, goedkeuringen, opleidingslijsten, testverslagen, back-upcontroles, vergaderverslagen van het bestuur.
Gedocumenteerde sleutelmaatregelen
Elk niveau heeft sleutelmaatregelen die uitdrukkelijk meetellen. Weet welke het zijn en zorg dat ze in orde zijn.
Aangewezen eigenaars
Per maatregel iemand die kan uitleggen hoe het werkt en wie vragen van de beoordelaar beantwoordt.
Bevestiging van het bestuur
Het bestuursorgaan keurt de risicobeheermaatregelen goed en houdt toezicht op de uitvoering. Zorg dat dat zichtbaar is.
Waar het misloopt
Vier plaatsen waar beoordelingen vertraging oplopen
De scope is te smal
Wie enkel het kantoor of enkel één toepassing afbakent, laat relevante systemen buiten beeld. De beoordelaar kan dan niet bevestigen dat de scope volstaat.
Beleid zonder bewijs van uitvoering
Een mooi beleid is niet genoeg. Als de beoordelaar vraagt om een voorbeeld van de laatste toegangsreview of een testverslag van de back-up en dat niet bestaat, is de maatregel niet aangetoond.
Sleutelmaatregelen onderschat
Een gemiddeld goede score helpt niet als een sleutelmaatregel onder de vereiste ondergrens blijft. Begin daarom bij die maatregelen.
Te laat contact met een instantie
Agenda's van beoordelaars zijn niet oneindig. Wie pas begint te zoeken als de zelfbeoordeling klaar is, wacht langer dan nodig.
Na de beoordeling
Het label is geen eindpunt, maar de geldigheid vraagt u zelf na te kijken
Na de verklaring of het certificaat vraagt u het label aan op Safeonweb@Work. Hoe lang een verklaring of certificaat geldig blijft en welke opvolging de instantie vraagt, verschilt per niveau en per instantie, en hangt af van het geldende beoordelingsschema. Vraag dat uitdrukkelijk aan de instantie vóór u tekent, en plan het onderhoud mee in uw budget. Houd er ook rekening mee dat het framework zelf evolueert: CyFun 2025 vervangt de editie 2023. Vraag aan de instantie welke editie ze beoordeelt en tot wanneer. Een beoordeling is een momentopname van een systeem dat blijft draaien, dus bewijs blijft aanvullen na het label.
De fasering
Wat de data van 2027 en 2028 voor uw beoordeling betekenen
Dit geldt voor essentiële entiteiten. De wettelijke verplichtingen zijn niet gewijzigd. Wat verandert, is waarop de inspectiedienst van het CCB prioritair toetst. Het volledige verhaal staat op de deadlinepagina.
| Datum | Wat de inspectiedienst verwacht | Wat dat voor de beoordeling betekent |
|---|---|---|
| Tot 18 april 2027 | Voorrang voor het verifiëren van maatregelen gelijkwaardig aan CyFun Important. Zonder certificaat op niveau Essential volgt een remediatieplan. | Een Important-verificatie of -certificaat is het scharnier. Plan het slot nu. |
| 18 april 2028 | Uiterste datum voor maatregelen gelijkwaardig aan CyFun Essential, via CyFun-certificatie of ISO 27001-certificatie die ze dekt. | Essential vraagt certificatie. Bekijk tijdig bij welke instantie dat kan. |
Veelgestelde vragen
Kort beantwoord
Weten of u klaar bent voor de beoordelaar?
Plan een gesprek. Het eerste gesprek is gratis. We lopen samen uw scope, zelfbeoordeling en bewijsstukken na.