fictief voorbeeldbedrijf

Complass bij Kellenbach: een rondleiding in 11 hoofdstukken

De afbeeldingen tonen het echte portaal met de voorbeeldgegevens van Kellenbach Maschinenbau. Kies een hoofdstuk: de stappen lopen vanzelf door en u kunt op elk moment pauzeren. Elke stap toont hoe het nu vaak gaat en wat Complass daaraan verandert.

Rondleiding starten

Hoofdstuk

Overzicht Alle normenkaders in één portaal 3 stappen Aanbevolen start
Van hiaat naar maatregel Gap-analyse, toepasselijkheid, maatregelen 4 stappen
Werken in Teams en Jira Taken en termijnen in de tools die u al gebruikt 2 stappen
Incident met meldingstermijn Een lopend NIS2-incident 2 stappen
Eigen product (CRA) KB Connect Gateway en KB Insight 5 stappen
Toeleveringsketen Leveranciers beoordelen, bewijs in het oog 3 stappen
Vestiging Hagen (OT) Zones, conduits en securitylevels 2 stappen
Risico's Beoordelen, behandelen, rapporteren 3 stappen
Management Verplichtingen van het bestuursorgaan onder NIS2 3 stappen
Audit en toegang Bewijsstukken en machtigingen 2 stappen
Automatisch bewijs Controles uit uw eigen systemen 3 stappen

Familiebedrijf, 380 medewerkers, twee vestigingen in Hagen en Iserlohn
Volgens NIS2 een belangrijke entiteit
Fabrikant volgens CRA en de Machineverordening, met de eigen KB Connect Gateway

Hoofdstuk 1

Overzicht: Alle normenkaders in één portaal

Dashboard van Kellenbach met totale voortgang, volgende audit, openstaande taken, volwassenheidsniveau en lopende meldingstermijnen

Overzicht · 1 van 3

De stand van zaken bij Kellenbach op één pagina

Vaak nu: Wie wil weten waar het bedrijf staat, verzamelt cijfers uit spreadsheets, e-mails en projectmappen.
Met Complass: Het dashboard toont totale voortgang, volgende audit, openstaande taken en volwassenheidsniveau over alle projecten. Daaronder lopen de meldingstermijnen van het actuele incident mee, en elke tegel leidt rechtstreeks naar de lijst erachter.

26 Normenkaders in het portaal

Totale voortgang over alle projecten
Lopende meldingstermijnen

Overzicht van normenkaders: overkoepelende maatregelen en de projecten waarin ze meetellen

Overzicht · 2 van 3

Eén keer uitvoeren, voor elk normenkader aantonen

Vaak nu: ISO 27001, NIS2 en CRA vragen veel dubbel, en elke eis wordt in een eigen lijst bijgehouden.
Met Complass: Het overzicht van normenkaders koppelt aan elke overkoepelende maatregel de projecten waarin die meetelt. Wat eenmaal is uitgevoerd en onderbouwd, werkt door voor elk normenkader dat het vraagt.

Overkoepelende maatregelen
Effect per project

ISO 27001-project voor de vestigingen Hagen en Iserlohn met voortgang, volgende stap en fasen

Overzicht · 3 van 3

Eén project per normenkader, stap voor stap tot aan de audit

Vaak nu: Het projectplan ligt bij één persoon, en alleen die weet wat er hierna komt.
Met Complass: Het ISO 27001-project voor beide vestigingen toont de voortgang van elke fase en de volgende openstaande stap, met één klik om verder te werken. Voorafgaande audit en certificeringsaudit staan als afspraken in het project.

Uw volgende stap
Fasen tot aan de audit

Hoofdstuk 2

Van hiaat naar maatregel: Gap-analyse, toepasselijkheid, maatregelen

Gap-analyse met volwassenheidsschaal en beoordeling per gebied

Van hiaat naar maatregel · 1 van 4

Waar staat Kellenbach vandaag?

Vaak nu: De gap-analyse is het resultaat van een workshop die na enkele maanden door niemand meer wordt bijgewerkt.
Met Complass: Elke overkoepelende maatregel wordt beoordeeld van “niet aanwezig” tot “effectief en beoordeeld”, met doel en motivering. Complass toont waar de grootste hiaten zitten en neemt ze op verzoek rechtstreeks over in het maatregelenplan.

Volwassenheidsschaal
Beoordeling per gebied

Verklaring van toepasselijkheid volgens ISO 27001 bijlage A met beoordelingsstatus en export

Van hiaat naar maatregel · 2 van 4

De verklaring van toepasselijkheid als beheerd document

Vaak nu: De verklaring van toepasselijkheid is een Excel-bestand waarvan niemand bij de volgende audit de motiveringen nog kan herleiden.
Met Complass: Voor elke maatregel uit bijlage A staat in de catalogus of die van toepassing is, waarom, hoe ver die is uitgevoerd en waar het bewijs ligt. Na controle wordt de verklaring als versie goedgekeurd en als Word, Excel of PDF geëxporteerd.

Beoordelingsstatus van de catalogus
Export als Word, Excel, PDF

Maatregelenplan met filters, verantwoordelijken, vervaldata en prioriteiten

Van hiaat naar maatregel · 3 van 4

Elk hiaat wordt een taak met een naam en een datum

Vaak nu: Taken uit audit en gap-analyse zijn verspreid over e-mails, vergadernotities en tickets.
Met Complass: Het maatregelenplan verzamelt alle taken met verantwoordelijke, vervaldatum, prioriteit en het normenkader dat ze vereist. Verantwoordelijken ontvangen een e-mail bij toewijzing en een herinnering vóór de vervaldatum; wat achterstallig is, valt direct op.

Taken met verantwoordelijke en vervaldatum
Filteren op normenkader, prioriteit en persoon

Opmerkingen met vermeldingen en een afgehandelde vraag bij een taak

Van hiaat naar maatregel · 4 van 4

Vragen waar het werk ligt

Vaak nu: De afstemming over een maatregel loopt per e-mail en is bij de volgende audit niet meer terug te vinden.
Met Complass: Opmerkingen met vermeldingen staan direct bij de taak, en een vraag wordt als afgehandeld gemarkeerd. Bij de audit is zo na te gaan wie wat heeft gecontroleerd en besloten.

Opmerkingen bij de taak

Hoofdstuk 3

Werken in Teams en Jira: Taken en termijnen in de tools die u al gebruikt

Microsoft Teams bij de integraties: actief kanaal met zijn gebeurtenissen

Werken in Teams en Jira · 1 van 2

Termijnen en goedkeuringen komen binnen in Microsoft Teams

Vaak nu: Wie geen termijn en geen goedkeuring wil missen, moet steeds opnieuw in de compliancetool kijken.
Met Complass: Het kanaal „Informationssicherheit” krijgt een kaart wanneer een incident wordt aangemaakt, een meldtermijn verstrijkt, een taak wordt toegewezen of achterstallig raakt, of een goedkeuring wacht. Via de link op de kaart openen personen het item in Complass en handelen het daar af, met hun eigen rechten.

Kanaal met zijn gebeurtenissen

Taak met gekoppeld Jira-issue, melding „Jira meldt gereed” en het formulier voor de bevestiging

Werken in Teams en Jira · 2 van 2

Van de maatregel wordt een Jira-issue

Vaak nu: De ontwikkeling werkt in Jira, compliance in lijsten, en aan het eind vergelijkt iemand beide met de hand.
Met Complass: Met één klik wordt een maatregel een Jira-issue, afzonderlijk of voor meerdere tegelijk. Status, opmerkingen en verantwoordelijken lopen terug. Meldt Jira „gereed”, dan bevestigt de verantwoordelijke de maatregel in Complass met een korte opmerking; zo draagt het bewijs een bevestiging door een mens.

Gekoppeld Jira-issue
Bevestiging in Complass

Hoofdstuk 4

Incident met meldingstermijn: Een lopend NIS2-incident

Incidentenlijst met het lopende ransomware-incident en de eerstvolgende meldingstermijn

Incident met meldingstermijn · 1 van 2

Ransomware op de bestandsservers van de administratie

Vaak nu: In een noodsituatie moet het team eerst uitzoeken of er gemeld moet worden, aan wie en uiterlijk wanneer.
Met Complass: Het lopende incident is vastgelegd, als meldingsplichtig volgens NIS2 beoordeeld en toont de eerstvolgende termijn met de resterende tijd. Afgesloten incidenten, waaronder een CRA-geval bij de eigen gateway, blijven met alle meldingen traceerbaar.

3 Incidenten in het voorbeeld

Openstaand incident met de eerstvolgende termijn
Termijnen in beeld

Meldingsfasen van het NIS2-incident met termijnen, de ingediende vroegtijdige waarschuwing en de openstaande melding

Incident met meldingstermijn · 2 van 2

De meldingsfasen volgens NIS2 met hun termijnen

Vaak nu: Iemand berekent de termijnen onder tijdsdruk met de hand, en wat is ingediend, staat in een e-mail.
Met Complass: Complass berekent de termijnen vanaf het moment van kennisname: vroegtijdige waarschuwing, melding, eindverslag. Ingediende fasen staan er met tijdstip en dossiernummer; de melding zelf gaat zoals voorgeschreven via het portaal van de bevoegde instantie.

Eerstvolgende termijn
Meldingsfasen volgens NIS2

Hoofdstuk 5

Eigen product (CRA): KB Connect Gateway en KB Insight

Kwetsbaarhedenlijst met CVSS, KEV, prioriteit, vervaldatum en verantwoordelijken

Eigen product (CRA) · 1 van 5

Kwetsbaarheden op urgentie in plaats van op binnenkomst

Vaak nu: Scannerrapporten komen als pdf binnen, en welke bevinding het eerst wordt verholpen, bepaalt het onderbuikgevoel.
Met Complass: Alle bevindingen staan in één lijst met CVSS, de markering voor actief misbruikte kwetsbaarheden (KEV), prioriteit, termijn en verantwoordelijken. Bovenaan staat wat wordt misbruikt en bereikbaar is.

Bevindingen op prioriteit

Bevinding bij het klantenportaal KB Insight met CVSS, KEV, SSVC-beslissing en getroffen asset

Eigen product (CRA) · 2 van 5

Een bevinding met alles wat de beslissing nodig heeft

Vaak nu: CVE-nummer, beoordeling en getroffen systeem staan in drie verschillende tools.
Met Complass: De bevinding bij het eigen klantenportaal KB Insight toont beoordeling, KEV-vermelding en SSVC-beslissing naast het getroffen asset en de bereikbaarheid ervan vanaf internet. Zo is onderbouwd waarom ze onmiddellijk wordt behandeld.

Beoordeling van de kwetsbaarheid
Getroffen asset

Aanbevolen maatregelen bij een bevinding met bron en “Overnemen als maatregel”

Eigen product (CRA) · 3 van 5

Van bevinding naar maatregel

Vaak nu: Wat er moet gebeuren, staat verspreid over fabrikantmeldingen, databases en forums.
Met Complass: Bij elke bevinding staan de aanbevolen maatregelen met hun bron klaar: update van de fabrikant, voorschrift van de CISA, algemene maatregel voor het type kwetsbaarheid. Met één klik wordt daar een taak met termijn van.

Aanbevolen maatregelen met bron

SBOM van de KB Connect-firmware met componenten, licenties en openstaande kwetsbaarheden

Eigen product (CRA) · 4 van 5

De SBOM van de KB Connect Gateway

Vaak nu: Welke componenten in de firmware zitten, weet de ontwikkeling; productmanagement en support weten het niet.
Met Complass: De SBOM toont de firmware met bootloader, kernel en bibliotheken, hun licenties en openstaande kwetsbaarheden. Ze wordt ingelezen uit CycloneDX, voortdurend vergeleken met nieuwe kwetsbaarheden en in standaardformaat geëxporteerd.

Componenten van de firmware
Export in standaardformaat

Beveiligingsadvies van een voorbeeldfabrikant met de getroffen eigen assets

Eigen product (CRA) · 5 van 5

Fabrikantadviezen aan de eigen apparaten koppelen

Vaak nu: Beveiligingsadviezen van leveranciers komen per e-mail binnen, en of de eigen apparaten getroffen zijn, controleert iemand met de hand.
Met Complass: Adviezen in het CSAF-formaat worden ingelezen en via model en versie aan de eigen assets gekoppeld. De lijst toont direct welk apparaat getroffen is en welk apparaat nog wordt onderzocht.

Uw getroffen assets
Exporteren

Hoofdstuk 6

Toeleveringsketen: Leveranciers beoordelen, bewijs in het oog

Leverancierscockpit met kengetallen over de toeleveringsketen en de lijst „Vraagt aandacht”

Toeleveringsketen · 1 van 3

Waar de toeleveringsketen aandacht vraagt

Vaak nu: Welke leverancier kritiek is en wiens certificaat verloopt, staat verspreid over inkooplijsten en e-mails.
Met Complass: De leverancierscockpit telt kritieke leveranciers, openstaande beoordelingen, verlopend bewijs en ontbrekende verwerkersovereenkomsten. Daaronder staat wie het eerst aandacht nodig heeft: het hoogste risico uit indeling en laatste beoordeling bovenaan.

Stand van de toeleveringsketen
Vraagt aandacht

Beoordelingen van een leverancier: zelfbeoordeling in de externe modus met voortgang, automatische heruitnodiging en herinneringen

Toeleveringsketen · 2 van 3

De leverancier beantwoordt de vragenlijst zelf

Vaak nu: Vragenlijsten gaan als Excel-bestand heen en weer, en welke versie geldt, weet niemand precies.
Met Complass: Druck & Service Hagen beantwoordt de basisbeveiligingseisen in een eigen toegang tot het leveranciersportaal. Kellenbach ziet de voortgang en controleert de antwoorden na het indienen. Vóór het einde van de termijn herinnert Complass de leverancier, en desgewenst gaat voor de volgende herbeoordeling automatisch een nieuwe beoordeling uit.

Zelfbeoordeling van de leverancier
Automatische heruitnodiging

Bewijs van een hostingdienstverlener met geldigheid, melding „Verloopt binnenkort” en controle van de reikwijdte

Toeleveringsketen · 3 van 3

Certificaten en auditrapporten met vervaldatum

Vaak nu: Dat het certificaat van een dienstverlener is verlopen, valt vaak pas bij de audit op.
Met Complass: Per leverancier staan certificaten, auditrapporten en verzekeringen met hun geldigheid en de vraag of hun reikwijdte de dienstverlening dekt. Wat binnenkort verloopt, is gemarkeerd en verschijnt in de cockpit voordat er een hiaat ontstaat.

Bewijs met vervaldatum

Hoofdstuk 7

Vestiging Hagen (OT): Zones, conduits en securitylevels

Zones en conduits van de vestiging Hagen met kerncijfers en netwerkplan volgens Purdue-niveaus

Vestiging Hagen (OT) · 1 van 2

Zones en conduits met doel- en actueel niveau

Vaak nu: Het zonemodel is een tekening uit het vorige project die na de volgende verbouwing niet meer klopt.
Met Complass: De vestiging Hagen is volgens IEC 62443 in zones en conduits verdeeld. Complass toont de hiaten tussen het beoogde en het bereikte securitylevel en waargenomen verkeer zonder goedgekeurde conduit, ook in het netwerkplan volgens Purdue-niveaus.

Zones, conduits en SL-hiaten
Netwerkplan volgens Purdue-niveaus

Asset-inventaris met zone, verantwoordelijke en beschermingsbehoefte

Vestiging Hagen (OT) · 2 van 2

Eén inventaris voor IT en OT

Vaak nu: Servers worden door IT bijgehouden, machines en besturingen beheert elke vestiging in een eigen lijst.
Met Complass: Servers, werkplekken, besturingen en bedieningspanelen staan in één inventaris met zone, beschermingsbehoefte en verantwoordelijke. Open en zichtbaar: de assets in de vestiging Iserlohn hebben nog geen zone, het OT-project daar volgt in 2027.

38 vastgelegde assets

Inventaris met zone en beschermingsbehoefte

Hoofdstuk 8

Risico's: Beoordelen, behandelen, rapporteren

Risicoregister met beoordeling en behandeling

Risico's · 1 van 3

Eén risicoregister voor het hele bedrijf

Vaak nu: Risico’s staan in een lijst die eenmaal per jaar voor de audit wordt opgefrist.
Met Complass: Elk risico heeft een beoordeling, een behandeling, een risico-eigenaar en de datum van de volgende beoordeling, gekoppeld aan assets, kwetsbaarheden en maatregelen. Register, heatmap en methode staan op één pagina.

12 beoordeelde risico’s

Risicoregister
Register, heatmap en methode

Heatmap met inherent risico en restrisico naast elkaar

Risico's · 2 van 3

Voor en na in één oogopslag

Vaak nu: Voor de directie wordt de heatmap elk kwartaal opnieuw in een presentatie opgebouwd.
Met Complass: De heatmap ontstaat uit het register: links het inherente risico, rechts het restrisico na de uitgevoerde maatregelen. Een klik op een getal opent de risico’s erachter.

Inherent risico en restrisico

Beoordeling van een risico met niet-bindend voorstel en de redenen ervoor

Risico's · 3 van 3

Een voorstel voor de beoordeling, de beslissing blijft in huis

Vaak nu: Elke beoordeling begint bij nul, en elke afdeling beoordeelt volgens een eigen maatstaf.
Met Complass: Complass leidt uit de beschermingsbehoefte en blootstelling van de gekoppelde assets en de openstaande kwetsbaarheden een voorstel af en noemt de redenen. Het voorstel is niet bindend; de vakmensen in het bedrijf nemen het over of passen het aan.

Voorstel met motivering

Hoofdstuk 9

Management: Verplichtingen van het bestuursorgaan onder NIS2

Directiecockpit met de verplichtingen van een belangrijke entiteit en hun wettelijke bepalingen

Management · 1 van 3

Waartoe de directie onder NIS2 verplicht is

Vaak nu: De directie is aansprakelijk, maar ziet de stand maar één keer per jaar in een presentatie.
Met Complass: De directiecockpit toont Katharina Kellenbach en Dr. Martin Oberholz wat voor een belangrijke entiteit geldt: risicobeheer uitvoeren, significante incidenten melden, zich registreren, toezicht houden op de uitvoering en training volgen. Bij elke verplichting staat de wettelijke bepaling.

Wat voor u geldt

Besluit over de risicobeheersmaatregelen met de stand van de bevestigingen, toezicht per kwartaal en trainingsstand per lid

Management · 2 van 3

Besluiten, toezicht houden, trainen, telkens bevestigd

Vaak nu: Dat de directie de maatregelen heeft goedgekeurd, blijkt hooguit uit één zin in de notulen van een vergadering.
Met Complass: Sabine Hartwig bereidt het besluit over de risicobeheersmaatregelen voor; elk lid van de directie bevestigt het na opnieuw aanmelden. Het toezicht loopt per kwartaal met een termijn, en per lid staat de laatste training met haar geldigheid. Wat achterstallig is of binnenkort vervalt, valt meteen op.

Besluit over de maatregelen
Toezicht per kwartaal
Training per lid

Bewijs van de leidinggevende plichten als verzegelde pdf en als werkversie

Management · 3 van 3

Een bewijs van de leidinggevende plichten dat standhoudt

Vaak nu: Wat de directie wanneer heeft besloten en geleerd, moet in een noodsituatie eerst uit mappen bij elkaar worden gezocht.
Met Complass: Het bewijs van de leidinggevende plichten bundelt besluiten, toezicht, trainingen en kennisnames van de directie over een periode in één verzegelde PDF. Ontvangers controleren de echtheid zonder aanmelding op de controlepagina.

Bewijs van de leidinggevende plichten

Hoofdstuk 10

Audit en toegang: Bewijsstukken en machtigingen

Auditexport met de omvang van het pakket

Audit en toegang · 1 van 2

Het auditpakket op aanvraag

Vaak nu: Vóór de audit verzamelt iemand dagenlang documenten, lijsten en bewijsstukken uit mappen.
Met Complass: De auditexport stelt documenten, catalogi, registers, bewijsstukken en logboeken samen in één ZIP-bestand, met startpagina en lijst met controlesommen. Alleen opgenomen is wat de aanvragende persoon mag lezen; elke export staat in het klantlogboek.

Omvang van de export

Machtigingen per persoon en gebied met filter

Audit en toegang · 2 van 2

Wie wat mag, onderbouwd voor de audit

Vaak nu: Wie waartoe toegang heeft, staat verspreid over systemen en e-mails, en het overzicht voor de audit wordt telkens opnieuw opgebouwd.
Met Complass: Per persoon en gebied ligt vast: geen toegang, lezen of schrijven, plus bijzondere rechten zoals exporteren of goedkeuren. Het overzicht kan worden gefilterd en als bewijs worden geëxporteerd.

Wie mag wat?
Rechten per gebied

Hoofdstuk 11

Automatisch bewijs: Controles uit uw eigen systemen

Verbinding met Microsoft Entra ID en Microsoft 365 met de resultaten van de controles en de laatste en volgende uitvoering

Automatisch bewijs · 1 van 3

Complass leest de instellingen elke dag

Vaak nu: Voor de audit worden schermafbeeldingen uit het beheer gemaakt, die de volgende dag al verouderd kunnen zijn.
Met Complass: De verbinding met Microsoft Entra ID en Microsoft 365 leest één keer per dag, en alleen-lezen, instellingen zoals de MFA-plicht, sterke aanmelding voor beheerders of het aantal globale beheerders. Elke controle krijgt een stoplicht; opgeslagen worden cijfers en resultaten, geen namen van personen. Een GitHub-organisatie kunt u op dezelfde manier koppelen.

Controles met stoplicht
Dagelijkse uitvoering

Eis uit de verklaring van toepasselijkheid met een statusvoorstel uit een mislukte automatische controle en het automatische bewijs uit Microsoft Entra ID

Automatisch bewijs · 2 van 3

Het bewijs staat bij de eis

Vaak nu: Of aan een eis nog wordt voldaan, controleert iemand pas weer kort voor de volgende audit.
Met Complass: In de verklaring van toepasselijkheid staat bij de toegangsbeleidsregels welke automatische controles ze aantonen, met resultaat, ouderdom en verloop. Omdat één controle mislukt, stelt Complass hier „Gedeeltelijk geïmplementeerd” voor en noemt de reden; het voorstel wordt alleen handmatig overgenomen.

Statusvoorstel met reden
Automatisch bewijs bij de eis

Overzicht van het automatische bewijs met de stand van alle controles en de bewijsbronnen

Automatisch bewijs · 3 van 3

Alle controles in één oogopslag

Vaak nu: Welk bewijs verouderd is, merkt men meestal pas als de auditor ernaar vraagt.
Met Complass: Het overzicht toont hoeveel controles in orde zijn, binnenkort verlopen of mislukt zijn, en uit welke bron ze komen. Naast de connectors leveren ook eigen systemen zoals de back-up of de build-pipeline resultaten via de API.

Stand van alle controles
Bewijsbronnen

Uw volgende stap: Complass met uw eigen gegevens

Maak zelf uw proefaccount aan, 14 dagen gratis en zonder betaalgegevens. Of wij laten u Complass zien in een demo, afgestemd op uw normenkaders.

Gratis uitproberen Demo aanvragen

Toepasselijkheid controleren Pakketten en prijzen