Een auditor wil geen beleid lezen, hij wil bewijs zien dat het beleid draait. Deze how-to's vertalen NIS2 art. 21, ISO 27001 Annex A en de CRA naar concrete servertaken en tonen hoe je het bewijs verzamelt zodat het over zes maanden nog klopt. We beschrijven hoe je bewijs verzamelt, niet of je compliant bent — dat blijft een juridische beoordeling.
Vanaf 1 januari 2027 valideert AWS MSP-partners alleen nog op Validation Checklist 8.0: 24 nieuwe en 27 herschreven controls, met GenAI-observability, toil-meting en AI-governance als nieuwe blokken. Dit is de werkwijze om in één middag te weten waar je staat: welke controls je al met bestaande systemen dekt, welke een tijdreeks nodig hebben die je vandaag moet starten, en welke puur organisatorisch zijn. Met twee scripts (AI-dependency-inventaris en toil-baseline) en een invulbare worksheet.
Control A.8.8 vraagt dat je kwetsbaarheden tijdig identificeert, beoordeelt en aanpakt. De meeste organisaties bewijzen dat met een beleid en een screenshot van een scanner. Een auditor wil de keten zien: wanneer werd de CVE bekend, wanneer zag jij hem, wat besliste je, wanneer was hij dicht. Dit is hoe je die vier tijdstippen automatisch uit je servers haalt en er een metriek van maakt — MTTR per severity — die je elk kwartaal kunt tonen.
ISO 27001 A.5.18 en NIS2 art. 21 §2 (i) vragen dat je periodiek nakijkt wie toegang heeft en of dat nog klopt. In de praktijk wordt dat een middag spreadsheets, of het gebeurt niet. Dit script maakt van de review een uur: het legt de technische inventaris (servers, sudo, keys, IdP-accounts) naast de HR-lijst, markeert elke afwijking, en produceert het ondertekende verslag dat een auditor accepteert.
Geen beleid, geen intenties: een auditor wil artefacten met een datum. Dit zijn de twaalf die in vrijwel elke CyFun- of NIS2-audit terugkomen, met per stuk het commando dat het oplevert, en een evidence-pack.sh dat alles in één ondertekend archief zet dat over zes maanden nog controleerbaar is.
NIS2 art. 21 §2 somt tien maatregelen op in juridisch Nederlands. Dit is de vertaling naar wat je maandag op je servers doet — per maatregel het commando, het bestand of het script dat het bewijs oplevert. Met de Belgische context: wet van 26 april 2024, CCB, CyberFundamentals en de registratieplicht.