Stel dat vanaf morgen geen enkele klant nog naar uw ISO 27001-certificaat vraagt.

Geen aanbesteding. Geen procurementvraag. Geen salesproces waarin het certificaat moet worden meegestuurd.

Zou u het dan behouden?

Die vraag lijkt eenvoudig, maar raakt aan iets fundamentelers.

Waarom hebben we ISO 27001 eigenlijk?

Voor commerciële toegang? Voor aantoonbaar vertrouwen? Voor interne structuur? Voor governance? Of omdat we het inmiddels als vanzelfsprekend zijn gaan beschouwen?

Met NIS2 en CyberFundamentals wordt die vraag alleen maar relevanter. Organisaties hebben steeds meer behoefte aan aantoonbare cybersecurity, maar dat betekent niet automatisch dat er maar één manier bestaat om die aantoonbaarheid te organiseren.

Een podcastaflevering over ISO 27001, CyFun, NIS2 en vooral over het gepaste kwaliteitskenmerk voor uw cybersecurity.

Tegen 1 oktober 2027 moeten Peppol Service Providers een geldig ISO 27001-certificaat kunnen voorleggen, of een certificering die door OpenPeppol als gelijkwaardig wordt erkend. België maakt daarbij een interessante zet: kan het nationale CyFun-conformiteitskader als gelijkwaardig worden aanvaard?

Die vraag gaat verder dan Peppol alleen. Ze raakt aan NIS2, Europese cybersecurity en de manier waarop organisaties in de toekomst conformiteit kunnen aantonen.

Maar achter die strategische discussie schuilt een veel praktischer probleem: auditcapaciteit. Voor ongeveer 74 Belgische Peppol Service Providers lijkt de rekensom op papier haalbaar. Alleen staan zij niet alleen. Duizenden NIS2-entiteiten hebben in ongeveer dezelfde periode dezelfde auditors, reviewers en certificatiecapaciteit nodig.

In deze aflevering bekijken we daarom niet alleen de deadline, maar vooral de beschikbare bandbreedte. Want uitstel kan extra implementatietijd opleveren. Het creëert geen extra auditors.

Kortom een podcast voor bestuurders, managers, auditors en security-professionals die helpt om dingen scherper te zien, toepasbaar zijn in een professionele context, en die ik zelf ook graag eerder had gehoord.

Een ISO 27001-certificaat staat voor veel organisaties hoog op het verlanglijstje. Klanten vragen ernaar, procurement wil het zien en wetgeving zoals NIS2 zorgt voor bijkomende druk om cybersecurity aantoonbaar te organiseren. Maar wat wilt u eigenlijk bereiken: een goed werkend Information Security Management System, of vooral het certificaat?

In deze aflevering van Invero27 bekijken we waarom dat onderscheid belangrijk is. Een certificaat kan een waardevol onafhankelijk bewijs zijn, maar alleen wanneer het managementsysteem erachter daadwerkelijk wordt gebruikt om risico's te beheersen, beslissingen te nemen en continu te verbeteren.

We staan ook stil bij een vaak onderschat onderdeel van ISO 27001: de scope. Want een geldig certificaat betekent niet automatisch dat precies de diensten, locaties, systemen of gegevens waarop u vertrouwt ook binnen die certificering vallen.

De praktische vraag wordt daarom: wat bewijst het certificaat werkelijk, en wat niet?

Kortom een podcast voor bestuurders, managers, auditors en security-professionals

Organisaties verzamelen vandaag meer cybersecuritybewijs dan ooit. ISO 27001-certificaten, SOC 2-rapporten, pentesten, audits, assessments en compliance-evidence moeten aantonen dat risico's worden beheerst en maatregelen daadwerkelijk bestaan.

Maar beantwoorden al die bewijzen ook de vraag die er uiteindelijk toe doet: hoe veilig zijn we eigenlijk echt?

In deze aflevering van Centered Cybersecurity maakt ik een belangrijk onderscheid tussen security, assurance en confidence. Drie begrippen die nauw met elkaar verbonden zijn, maar niet hetzelfde betekenen.

Aan de hand van ISO 27001, SOC 2 en pentesting bekijken we wat verschillende vormen van assurance werkelijk aantonen, waar hun grenzen liggen en waarom meer bewijs niet automatisch meer zekerheid betekent.

Een aflevering voor bestuurders, managers, auditors en securityprofessionals die niet alleen willen weten wat een rapport bevestigt, maar vooral willen begrijpen wat het níét bevestigt.

Vanaf 11 september 2026 krijgt de Cyber Resilience Act een heel concrete operationele dimensie. Fabrikanten van producten met digitale elementen krijgen te maken met meldingsverplichtingen rond onder meer actief uitgebuite kwetsbaarheden.

Maar weten wat de regelgeving vraagt, is iets anders dan binnen de beschikbare tijd kunnen handelen.

In deze aflevering van Invero27 bekijken we daarom niet alleen de CRA vanuit compliance, maar vooral vanuit governance en operationele paraatheid.

Hoe stelt u snel vast dat een kwetsbaarheid relevant is? Hoe legt u het verband met producten, componenten en versies? Welke rol spelen threat intelligence, productinventarissen en SBOM's? En vooral: wie heeft het mandaat om een beslissing te nemen en de melding daadwerkelijk uit te voeren?

We leggen ook de link met ISO 27001 en incidentmanagement. Want de echte test is niet of uw procedure bestaat, maar of uw organisatie ze onder tijdsdruk als één geheel kan uitvoeren.

Kortom een podcast die helpt om dingen scherper te zien, toepasbaar zijn in een professionele context, en die ik zelf ook graag eerder had gehoord.

AI hoeft niet voortdurend fouten te maken om een governance-risico te vormen. Misschien ontstaat het grotere gevaar juist wanneer AI zo vaak correcte, overtuigende en professioneel geformuleerde resultaten oplevert dat mensen steeds minder reden zien om die resultaten kritisch te onderzoeken.

In deze vierde en laatste aflevering van onze reeks over AI en governance kijken we daarom naar professioneel oordeel en menselijke controle. Wat betekent een human in the loop nog wanneer die mens onvoldoende kennis, informatie, tijd, middelen of bevoegdheid heeft om AI werkelijk tegen te spreken?

We onderzoeken hoe menselijke controle ongemerkt kan verschuiven naar menselijke bevestiging, waarom een overtuigende formulering geen bewijs van juistheid is en hoe feitelijke delegatie aan AI kan ontstaan zonder dat iemand daar formeel toe beslist.

De centrale vraag is uiteindelijk eenvoudig: hebben mensen nog steeds het vermogen én de ruimte om de vragen te stellen die AI zichzelf niet stelt? 

AI gebruiken is één zaak. AI aantoonbaar beheren en beheersen is iets anders.

Met de AI Act, GDPR, NIS2 en andere verplichtingen wordt een ad-hocaanpak steeds moeilijker vol te houden. Organisaties moeten niet alleen weten wat ze met AI doen, maar ook kunnen aantonen hoe ze risico’s, data, verantwoordelijkheden, leveranciers en controles beheren.

Daar komt ISO 42001 in beeld.

In deze derde aflevering van onze AI-reeks bekijken we hoe ISO 42001 een praktisch kader kan bieden voor AI-governance. En vooral: waarom organisaties die al met ISO 27001 werken niet noodzakelijk vanaf nul hoeven te beginnen.

Veel bestaande governance-, risico- en managementprocessen kunnen namelijk een stevige basis vormen voor een geïntegreerd AI-managementsysteem.

We bekijken onder meer de 38 controles van ISO 42001, de negen objectieven, de relatie met ISO 27001 en waarom een gap-analyse vandaag al een zinvolle eerste stap kan zijn.

AI is geen volledig nieuwe managementwereld. Het voegt vooral een nieuwe dimensie toe aan data-, security- en risicobeheer.

Beluister aflevering 3 van onze AI-reeks: "AI, goed bestuur en ISO 42001 helder uitgelegd".

Kortom een podcast die helpt om dingen scherper te zien, toepasbaar zijn in een professionele context, en die ik zelf ook graag eerder had gehoord.

AI verandert organisaties. Maar verandert AI ook de manier waarop een ISO 27001-auditor naar een organisatie kijkt?

Er staat een nieuwe aflevering online van de podcast waarin ik het volgende rustig en in klare taal bekijk.

In deze tweede aflevering van onze AI-reeks bekijken we de audit niet vanuit het standpunt van de organisatie, maar vanuit dat van de auditor. Welke vragen worden vandaag relevant zodra AI deel uitmaakt van de dagelijkse bedrijfsvoering? En hoe beoordeel je AI zonder uitsluitend naar de technologie te kijken?

We bespreken de impact van de AI Act, de rol van governance, risicoanalyse en compliance, en hoe AI aansluit bij bestaande ISO 27001-clausules zoals communicatie, documented information, awareness, supply chain, business continuity en incident management.

De centrale boodschap is eenvoudig: een goede AI-audit draait niet om zoveel mogelijk technische details of extra documentatie. Ze draait om aantoonbaar, doordacht en beheerst gebruik van AI binnen de organisatie.

Deze aflevering is bedoeld voor auditors, CISO's, securityprofessionals, compliance officers, consultants en iedereen die organisaties voorbereidt op de volgende generatie audits.

Kortom een podcast die helpt om dingen scherper te zien, toepasbaar zijn in een professionele context, en die ik zelf ook graag eerder had gehoord.

De Europese AI-regelgeving evolueert snel. Met de publicatie van de AI Omnibus en de naderende deadlines van de AI Act vragen veel organisaties zich af wat dit concreet betekent. Niet alleen voor juridische diensten, maar vooral voor directies, CISO's, IT-managers, ISO 27001-implementers en auditors.

In deze eerste aflevering van een vierdelige reeks bekijken we niet zozeer de juridische details, maar vooral de praktische impact. Welke veranderingen zijn werkelijk belangrijk? Wat blijft verrassend genoeg hetzelfde? En waarom draait AI-governance uiteindelijk veel meer om goed bestuur dan om technologie?

Aan de hand van herkenbare voorbeelden legt Dirk De Nijs uit waarom AI steeds vaker een vast onderdeel wordt van audits en risicobeheer. Deze aflevering helpt u om de grote lijnen te begrijpen, zodat u beter voorbereid bent op toekomstige audits én op een technologie die zich sneller ontwikkelt dan vrijwel alles wat we de voorbije jaren hebben gezien.

Kortom een podcast die helpt om dingen scherper te zien, toepasbaar zijn in een professionele context, en die ik zelf ook graag eerder had gehoord.

ISO/IEC 27001 vraagt niet alleen dat een organisatie haar Information Security Management System beheert. Het systeem moet ook aantoonbaar blijven verbeteren.

In deze aflevering bekijken we hoe de resultaten van managementreviews overgaan in concrete verbeteringen en wat Clause 10 precies vraagt wanneer een non-conformiteit wordt vastgesteld. We maken het belangrijke onderscheid tussen een onmiddellijke correctie en een correctieve actie die de onderliggende oorzaak wegneemt.

Daarnaast bespreken we waarom organisaties moeten onderzoeken of dezelfde afwijking ook elders bestaat of kan ontstaan. We staan stil bij proportionele maatregelen, wijzigingen aan het ISMS en de verplichte gedocumenteerde informatie.

De centrale vraag is eenvoudig: kun je als organisatie niet alleen vertellen wat er misging en wat je hebt gedaan, maar ook aantonen dat de gekozen actie werkelijk heeft gewerkt?

Een praktische aflevering voorsecurity professionals, kwaliteitsverantwoordelijken, auditors en directieleden die verder willen kijken dan compliance alleen.

Kortom een podcast die helpt om dingen scherper te zien, toepasbaar zijn in een professionele context, en die ik zelf ook graag eerder had gehoord.