fictief voorbeeldbedrijf

Complass bij Kellenbach: een rondleiding in zeven hoofdstukken

Kellenbach Maschinenbau is fictief; de afbeeldingen tonen het echte portaal met de voorbeeldgegevens van het bedrijf. Bij elke stap ziet u hoe het nu vaak gaat en wat Complass daaraan verandert. Loop de hoofdstukken in uw eigen tempo door; elk hoofdstuk kunt u afzonderlijk starten.

Familiebedrijf, 380 medewerkers, twee vestigingen in Hagen en Iserlohn
Volgens NIS2 een belangrijke entiteit
Fabrikant volgens CRA en de Machineverordening, met de eigen KB Connect Gateway

Rondleiding starten

Hoofdstuk

Overzicht Alle normenkaders in één portaal 3 stappen Aanbevolen start
Van hiaat naar maatregel Gap-analyse, toepasselijkheid, maatregelen 4 stappen
Incident met meldingstermijn Een lopend NIS2-incident 2 stappen
Eigen product (CRA) KB Connect Gateway en KB Insight 5 stappen
Vestiging Hagen (OT) Zones, conduits en securitylevels 2 stappen
Risico's Beoordelen, behandelen, rapporteren 3 stappen
Audit en toegang Bewijsstukken en machtigingen 2 stappen

Hoofdstuk 1

Overzicht: Alle normenkaders in één portaal

Dashboard van Kellenbach met totale voortgang, volgende audit, openstaande taken, volwassenheidsniveau en lopende meldingstermijnen

Overzicht · 1 van 3

De stand van zaken bij Kellenbach op één pagina

Vaak nu: Wie wil weten waar het bedrijf staat, verzamelt cijfers uit spreadsheets, e-mails en projectmappen.
Met Complass: Het dashboard toont totale voortgang, volgende audit, openstaande taken en volwassenheidsniveau over alle projecten. Daaronder lopen de meldingstermijnen van het actuele incident mee, en elke tegel leidt rechtstreeks naar de lijst erachter.

20 Normenkaders in het portaal

Totale voortgang over alle projecten
Lopende meldingstermijnen

Overzicht van normenkaders: overkoepelende maatregelen en de projecten waarin ze meetellen

Overzicht · 2 van 3

Eén keer uitvoeren, voor elk normenkader aantonen

Vaak nu: ISO 27001, NIS2 en CRA vragen veel dubbel, en elke eis wordt in een eigen lijst bijgehouden.
Met Complass: Het overzicht van normenkaders koppelt aan elke overkoepelende maatregel de projecten waarin die meetelt. Wat eenmaal is uitgevoerd en onderbouwd, werkt door voor elk normenkader dat het vraagt.

Overkoepelende maatregelen
Effect per project

ISO 27001-project voor de vestigingen Hagen en Iserlohn met voortgang, volgende stap en fasen

Overzicht · 3 van 3

Eén project per normenkader, stap voor stap tot aan de audit

Vaak nu: Het projectplan ligt bij één persoon, en alleen die weet wat er hierna komt.
Met Complass: Het ISO 27001-project voor beide vestigingen toont de voortgang van elke fase en de volgende openstaande stap, met één klik om verder te werken. Voorafgaande audit en certificeringsaudit staan als afspraken in het project.

Uw volgende stap
Fasen tot aan de audit

Hoofdstuk 2

Van hiaat naar maatregel: Gap-analyse, toepasselijkheid, maatregelen

Gap-analyse met volwassenheidsschaal en beoordeling per gebied

Van hiaat naar maatregel · 1 van 4

Waar staat Kellenbach vandaag?

Vaak nu: De gap-analyse is het resultaat van een workshop die na enkele maanden door niemand meer wordt bijgewerkt.
Met Complass: Elke overkoepelende maatregel wordt beoordeeld van “niet aanwezig” tot “effectief en beoordeeld”, met doel en motivering. Complass toont waar de grootste hiaten zitten en neemt ze op verzoek rechtstreeks over in het maatregelenplan.

Volwassenheidsschaal
Beoordeling per gebied

Verklaring van toepasselijkheid volgens ISO 27001 bijlage A met beoordelingsstatus en export

Van hiaat naar maatregel · 2 van 4

De verklaring van toepasselijkheid als beheerd document

Vaak nu: De verklaring van toepasselijkheid is een Excel-bestand waarvan niemand bij de volgende audit de motiveringen nog kan herleiden.
Met Complass: Voor elke maatregel uit bijlage A staat in de catalogus of die van toepassing is, waarom, hoe ver die is uitgevoerd en waar het bewijs ligt. Na controle wordt de verklaring als versie goedgekeurd en als Word, Excel of PDF geëxporteerd.

Beoordelingsstatus van de catalogus
Export als Word, Excel, PDF

Maatregelenplan met filters, verantwoordelijken, vervaldata en prioriteiten

Van hiaat naar maatregel · 3 van 4

Elk hiaat wordt een taak met een naam en een datum

Vaak nu: Taken uit audit en gap-analyse zijn verspreid over e-mails, vergadernotities en tickets.
Met Complass: Het maatregelenplan verzamelt alle taken met verantwoordelijke, vervaldatum, prioriteit en het normenkader dat ze vereist. Verantwoordelijken ontvangen een e-mail bij toewijzing en een herinnering vóór de vervaldatum; wat achterstallig is, valt direct op.

Taken met verantwoordelijke en vervaldatum
Filteren op normenkader, prioriteit en persoon

Opmerkingen met vermeldingen en een afgehandelde vraag bij een taak

Van hiaat naar maatregel · 4 van 4

Vragen waar het werk ligt

Vaak nu: De afstemming over een maatregel loopt per e-mail en is bij de volgende audit niet meer terug te vinden.
Met Complass: Opmerkingen met vermeldingen staan direct bij de taak, en een vraag wordt als afgehandeld gemarkeerd. Bij de audit is zo na te gaan wie wat heeft gecontroleerd en besloten.

Opmerkingen bij de taak

Hoofdstuk 3

Incident met meldingstermijn: Een lopend NIS2-incident

Incidentenlijst met het lopende ransomware-incident en de eerstvolgende meldingstermijn

Incident met meldingstermijn · 1 van 2

Ransomware op de bestandsservers van de administratie

Vaak nu: In een noodsituatie moet het team eerst uitzoeken of er gemeld moet worden, aan wie en uiterlijk wanneer.
Met Complass: Het lopende incident is vastgelegd, als meldingsplichtig volgens NIS2 beoordeeld en toont de eerstvolgende termijn met de resterende tijd. Afgesloten incidenten, waaronder een CRA-geval bij de eigen gateway, blijven met alle meldingen traceerbaar.

3 Incidenten in het voorbeeld

Openstaand incident met de eerstvolgende termijn
Termijnen in beeld

Meldingsfasen van het NIS2-incident met termijnen, de ingediende vroegtijdige waarschuwing en de openstaande melding

Incident met meldingstermijn · 2 van 2

De meldingsfasen volgens NIS2 met hun termijnen

Vaak nu: Iemand berekent de termijnen onder tijdsdruk met de hand, en wat is ingediend, staat in een e-mail.
Met Complass: Complass berekent de termijnen vanaf het moment van kennisname: vroegtijdige waarschuwing, melding, eindverslag. Ingediende fasen staan er met tijdstip en dossiernummer; de melding zelf gaat zoals voorgeschreven via het portaal van de bevoegde instantie.

Eerstvolgende termijn
Meldingsfasen volgens NIS2

Hoofdstuk 4

Eigen product (CRA): KB Connect Gateway en KB Insight

Kwetsbaarhedenlijst met CVSS, KEV, prioriteit, vervaldatum en verantwoordelijken

Eigen product (CRA) · 1 van 5

Kwetsbaarheden op urgentie in plaats van op binnenkomst

Vaak nu: Scannerrapporten komen als pdf binnen, en welke bevinding het eerst wordt verholpen, bepaalt het onderbuikgevoel.
Met Complass: Alle bevindingen staan in één lijst met CVSS, de markering voor actief misbruikte kwetsbaarheden (KEV), prioriteit, termijn en verantwoordelijken. Bovenaan staat wat wordt misbruikt en bereikbaar is.

Bevindingen op prioriteit

Bevinding bij het klantenportaal KB Insight met CVSS, KEV, SSVC-beslissing en getroffen asset

Eigen product (CRA) · 2 van 5

Een bevinding met alles wat de beslissing nodig heeft

Vaak nu: CVE-nummer, beoordeling en getroffen systeem staan in drie verschillende tools.
Met Complass: De bevinding bij het eigen klantenportaal KB Insight toont beoordeling, KEV-vermelding en SSVC-beslissing naast het getroffen asset en de bereikbaarheid ervan vanaf internet. Zo is onderbouwd waarom ze onmiddellijk wordt behandeld.

Beoordeling van de kwetsbaarheid
Getroffen asset

Aanbevolen maatregelen bij een bevinding met bron en “Overnemen als maatregel”

Eigen product (CRA) · 3 van 5

Van bevinding naar maatregel

Vaak nu: Wat er moet gebeuren, staat verspreid over fabrikantmeldingen, databases en forums.
Met Complass: Bij elke bevinding staan de aanbevolen maatregelen met hun bron klaar: update van de fabrikant, voorschrift van de CISA, algemene maatregel voor het type kwetsbaarheid. Met één klik wordt daar een taak met termijn van.

Aanbevolen maatregelen met bron

SBOM van de KB Connect-firmware met componenten, licenties en openstaande kwetsbaarheden

Eigen product (CRA) · 4 van 5

De SBOM van de KB Connect Gateway

Vaak nu: Welke componenten in de firmware zitten, weet de ontwikkeling; productmanagement en support weten het niet.
Met Complass: De SBOM toont de firmware met bootloader, kernel en bibliotheken, hun licenties en openstaande kwetsbaarheden. Ze wordt ingelezen uit CycloneDX, voortdurend vergeleken met nieuwe kwetsbaarheden en in standaardformaat geëxporteerd.

Componenten van de firmware
Export in standaardformaat

Beveiligingsadvies van een voorbeeldfabrikant met de getroffen eigen assets

Eigen product (CRA) · 5 van 5

Fabrikantadviezen aan de eigen apparaten koppelen

Vaak nu: Beveiligingsadviezen van leveranciers komen per e-mail binnen, en of de eigen apparaten getroffen zijn, controleert iemand met de hand.
Met Complass: Adviezen in het CSAF-formaat worden ingelezen en via model en versie aan de eigen assets gekoppeld. De lijst toont direct welk apparaat getroffen is en welk apparaat nog wordt onderzocht.

Uw getroffen assets
Exporteren

Hoofdstuk 5

Vestiging Hagen (OT): Zones, conduits en securitylevels

Zones en conduits van de vestiging Hagen met kerncijfers en netwerkplan volgens Purdue-niveaus

Vestiging Hagen (OT) · 1 van 2

Zones en conduits met doel- en actueel niveau

Vaak nu: Het zonemodel is een tekening uit het vorige project die na de volgende verbouwing niet meer klopt.
Met Complass: De vestiging Hagen is volgens IEC 62443 in zones en conduits verdeeld. Complass toont de hiaten tussen het beoogde en het bereikte securitylevel en waargenomen verkeer zonder goedgekeurde conduit, ook in het netwerkplan volgens Purdue-niveaus.

Zones, conduits en SL-hiaten
Netwerkplan volgens Purdue-niveaus

Asset-inventaris met zone, verantwoordelijke en beschermingsbehoefte

Vestiging Hagen (OT) · 2 van 2

Eén inventaris voor IT en OT

Vaak nu: Servers worden door IT bijgehouden, machines en besturingen beheert elke vestiging in een eigen lijst.
Met Complass: Servers, werkplekken, besturingen en bedieningspanelen staan in één inventaris met zone, beschermingsbehoefte en verantwoordelijke. Open en zichtbaar: de assets in de vestiging Iserlohn hebben nog geen zone, het OT-project daar volgt in 2027.

38 vastgelegde assets

Inventaris met zone en beschermingsbehoefte

Hoofdstuk 6

Risico's: Beoordelen, behandelen, rapporteren

Risicoregister met beoordeling en behandeling

Risico's · 1 van 3

Eén risicoregister voor het hele bedrijf

Vaak nu: Risico’s staan in een lijst die eenmaal per jaar voor de audit wordt opgefrist.
Met Complass: Elk risico heeft een beoordeling, een behandeling, een risico-eigenaar en de datum van de volgende beoordeling, gekoppeld aan assets, kwetsbaarheden en maatregelen. Register, heatmap en methode staan op één pagina.

12 beoordeelde risico’s

Risicoregister
Register, heatmap en methode

Heatmap met inherent risico en restrisico naast elkaar

Risico's · 2 van 3

Voor en na in één oogopslag

Vaak nu: Voor de directie wordt de heatmap elk kwartaal opnieuw in een presentatie opgebouwd.
Met Complass: De heatmap ontstaat uit het register: links het inherente risico, rechts het restrisico na de uitgevoerde maatregelen. Een klik op een getal opent de risico’s erachter.

Inherent risico en restrisico

Beoordeling van een risico met niet-bindend voorstel en de redenen ervoor

Risico's · 3 van 3

Een voorstel voor de beoordeling, de beslissing blijft in huis

Vaak nu: Elke beoordeling begint bij nul, en elke afdeling beoordeelt volgens een eigen maatstaf.
Met Complass: Complass leidt uit de beschermingsbehoefte en blootstelling van de gekoppelde assets en de openstaande kwetsbaarheden een voorstel af en noemt de redenen. Het voorstel is niet bindend; de vakmensen in het bedrijf nemen het over of passen het aan.

Voorstel met motivering

Hoofdstuk 7

Audit en toegang: Bewijsstukken en machtigingen

Auditexport met de omvang van het pakket

Audit en toegang · 1 van 2

Het auditpakket op aanvraag

Vaak nu: Vóór de audit verzamelt iemand dagenlang documenten, lijsten en bewijsstukken uit mappen.
Met Complass: De auditexport stelt documenten, catalogi, registers, bewijsstukken en logboeken samen in één ZIP-bestand, met startpagina en lijst met controlesommen. Alleen opgenomen is wat de aanvragende persoon mag lezen; elke export staat in het klantlogboek.

Omvang van de export

Machtigingen per persoon en gebied met filter

Audit en toegang · 2 van 2

Wie wat mag, onderbouwd voor de audit

Vaak nu: Wie waartoe toegang heeft, staat verspreid over systemen en e-mails, en het overzicht voor de audit wordt telkens opnieuw opgebouwd.
Met Complass: Per persoon en gebied ligt vast: geen toegang, lezen of schrijven, plus bijzondere rechten zoals exporteren of goedkeuren. Het overzicht kan worden gefilterd en als bewijs worden geëxporteerd.

Wie mag wat?
Rechten per gebied

Uw volgende stap: Complass bekijken met uw voorbeeld

In de demonstratie laten wij Complass zien aan de hand van een voorbeeldproject, afgestemd op uw normenkaders. Of controleer eerst welke normenkaders voor u gelden.

Demo aanvragen Toepasselijkheid controleren Prijzen