Compliance gemeten aan je installatie, niet aan een vragenlijst

Compliance

In ontwikkeling - hieronder speelbaar

De meeste compliancetools vragen wat je doet en bewaren het antwoord. Dit leest de configuratie van de workspace die je echt draait - waar de modellen staan, wie wat kan zien, of de bewaartermijntaak draait, of de logs manipulatiebestendig zijn - en toetst die. Waar iets echt niet door een machine te controleren is, zegt de check dat en vraagt een persoon om een verklaring, en de score rapporteert die twee apart. De module is nog in ontwikkeling: alles hieronder draait, maar het is niet af en de details veranderen nog.

Probeer het hieronder

Zie het Compliance Center in 90 seconden

Scores, een falende check, de registers en het bewijs

Het overzicht scoort de AVG, de EU AI Act en ISO 27001 uit checks die je live installatie lezen. Open een falende check om te zien wat hij vond en hoe je het oplost, volg hem naar het datalekregister met de klok van 72 uur, bekijk de Statement of Applicability en exporteer het bewijs voor je auditor.

Live demo · in ontwikkeling

Een fictief kantoor, acht maanden onderweg met een ISMS

Van Dael Assurantien bestaat alleen hier. Wissel links tussen de privacykaders en ISO 27001, open een falende check om te zien wat hij las, werk de inbox met betrokkenenverzoeken door, bekijk het datalekregister, of open de Statement of Applicability en lees een uitgesloten maatregel.

Deze module is nog in ontwikkeling: hij is echt en draait, maar is niet af en de details zullen veranderen. Voorbeeldorganisatie, voorbeeldbevindingen. De checks zijn de echte en de Annex A-catalogus is de echte; de resultaten zijn verzonnen, er wordt niets opgeslagen en de pdf-exports staan uit omdat de demo geen server heeft.

Hoe het werkt

Vier dingen, in de volgorde waarin ze echt gebeuren

Het leest wat je draait

De scan bevraagt je eigen installatie: welke aanbieders zijn ingesteld en in welke regio, of versleuteling in rust aanstaat, wie beheerrechten heeft, of de bewaartermijntaak is ingepland, of uitgaande aanroepen bij het loggen naar een land worden herleid. Er wordt niets ergens heen geüpload om te worden beoordeeld - de checks draaien waar de data al is, en alleen zo gaat het antwoord over jou in plaats van over een formulier dat je invulde.

Het scheidt feit van verklaring

Sommige verplichtingen kan software niet verifiëren. Of je privacyverklaring klopt, of medewerkers AI-geletterdheidstraining hebben gehad, of een leveranciersovereenkomst is getekend - dat zijn menselijke uitspraken, en het centrum legt ze vast als verklaringen met een datum en een persoon erbij. Het overzicht toont de scheiding in plaats van beide te mengen, want een score die zelfverklaringen als geverifieerde feiten presenteert is erger dan geen score.

Het bewaart de registers, niet alleen de score

Een score alleen is geen bewijs. Erachter zitten de documenten waar een toezichthouder of auditor om vraagt: de inbox met betrokkenenverzoeken met zijn wettelijke klok, het datalekregister dat een autoriteitstermijn van 72 uur start zodra een incident wordt vastgelegd, het register van verwerkingsactiviteiten samengesteld uit wat er echt draait, een DPIA per assistent, en voor ISO de Statement of Applicability, de ISMS-beleidsset, het risicoregister, de interne audit en de trainingsverklaringen.

Het laat een spoor achter dat je kunt overhandigen

Elke checkrun schrijft een gehasht bewijsrecord, elk register exporteert als pdf, en de hele bewijsset pakt in een bundel die je als één bestand overhandigt. Tien bewijsconnectoren breiden het bereik uit voorbij de workspace zelf en lezen de systemen waar een ISMS echt over loopt - Google Workspace, Microsoft Entra, Nextcloud, GitHub, je TLS-eindpunten, mailbeveiliging, monitoring - zodat het spoor het hele landschap dekt, niet alleen dit product. Het gaat niet om de exportknop: het document dat je een auditor geeft is gegenereerd uit dezelfde configuratie waarop de systemen draaien, op een datum die het spoor kan bewijzen, in plaats van de week voor de audit uit het hoofd met de hand samengesteld.

Wat dit niet is

Het is geen certificaat en het maakt je niet compliant. Geen auditor heeft goedgekeurd hoe wij een check aan een artikel koppelen, er is geen certificeringsinstelling bij betrokken, en een hoge score zegt iets over je configuratie en niet over je organisatie. Wat de tool wegneemt is het echt mechanische deel - uitzoeken wat de software nu doet, en de registers actueel houden - zodat het oordeelswerk bij de mensen blijft die ervoor gekwalificeerd zijn. Wil je het omgekeerde, dan is dit het verkeerde product.

Waarom de kaders één centrum delen

De AVG, de EU AI Act en ISO 27001 stellen overlappende vragen over dezelfde installatie. Waar je modellen draaien beantwoordt een doorgiftevraag onder de ene, een vraag over dataresidentie onder de andere en een leveranciersmaatregel onder de derde. Ze als drie aparte oefeningen draaien betekent hetzelfde bewijs drie keer verzamelen en drie licht verschillende antwoorden krijgen. Hier wordt het bewijs één keer verzameld en door elk kader in zijn eigen termen gelezen, waarbij de Annex A-maatregelen zijn gekoppeld aan de geautomatiseerde checks die ze aantonen.

Omvang

Wat er in de doos zit

FAQ

Goed om te weten

In welke status is dit?

In ontwikkeling, en de roadmap zegt hetzelfde in dezelfde woorden. Het zit in het Enterprise-plan en is vandaag bereikbaar voor een beheerder met het compliancerecht - echte code die je kunt gebruiken, niet af. Beoordeel het op die basis.

Verlaat er iets onze installatie?

Nee. De checks draaien binnen je eigen deployment en lezen je eigen configuratie; de score, de registers en de bewijsrecords staan in je database. Er is geen beoordelingsdienst om iets heen te sturen, en daarom is het resultaat specifiek voor jou en niet voor een categorie waarin je werd ingedeeld.

Zijn de ISO 27001-maatregelteksten inbegrepen?

De maatregelverwijzingen en onze eigen beschrijvingen ervan wel, en de Statement of Applicability is rond de Annex A-structuur gebouwd. De tekst van de norm zelf is auteursrechtelijk beschermd door ISO en wordt niet weergegeven - je hebt je eigen exemplaar nodig, zoals bij elk ISO-werk.

Kan het oplossen wat het vindt?

Deels. Waar een bevinding naar een instelling van het product verwijst, biedt de check aan die te wijzigen en legt vast dat hij dat deed. De meeste bevindingen werken niet zo, en daarvoor linkt de check naar het scherm waar de beslissing wordt genomen in plaats van te doen alsof hij die voor je kan nemen.

Wie kan dit zien?

Een beheerder met het compliancerecht. Het is bewust een apart recht van algemeen organisatiebeheer, omdat degene die je privacyprogramma draait vaak niet degene is die je workspace beheert, en geen van beiden de ander hoeft te worden om zijn werk te doen.

Richt het op je eigen installatie en lees eerst de rode rijen

De eerste scan vindt meestal twee of drie dingen waar niemand nog aan toe was gekomen. Dat is de nuttige uitkomst - een scan die niets vindt, heeft niet echt gekeken.