We bepalen samen wat je wilt bereiken, voor welke norm(en) je gaat, en wat de scope wordt. We stellen een Business Model Canvas op, bepalen de risk appetite en maken een implementatieplan met fasering en rolverdeling.

We brengen de huidige situatie in kaart langs onze vijf uitgangspunten: Mens, Informatie, Proces, Assets en Waarde. Hoe zit het met awareness en gedrag van medewerkers? Welke informatie verwerk je en hoe? Hoe lopen je primaire en ondersteunende processen? Welke systemen, gebouwen en leveranciers zijn betrokken? Het resultaat is een rapport met bevindingen, risico's en concrete prioriteiten.

Op basis van strategie en assessment richten we het managementsysteem in. Uitgebreid waar het moet, minimaal waar het kan, opnieuw langs dezelfde vijf uitgangspunten. Beleid en procedures die aansluiten op je processen. Risicoanalyses die passen bij je assets en je waarde. Rollen en verantwoordelijkheden die bij je mensen passen. Zo uitgebreid als nodig, zo compact als mogelijk. Bewustwording is integraal onderdeel: medewerkers worden van begin af aan meegenomen, want een systeem dat mensen niet begrijpen werkt niet.

Voordat de externe auditor komt, toetsen we zelf of opzet, bestaan en werking aansluiten op de norm. Bevindingen pakken we op en de directiebeoordeling bereiden we voor. Daarnaast begeleiden we je door de certificeringsaudit en helpen bij het oplossen van eventuele non-conformiteiten. 

Een certificaat is geen eindpunt. Het is een beginpunt. Je organisatie groeit mee met nieuwe risico's, wetgeving en veranderende business. In deze fase beoordelen we periodiek of scope, maatregelen en doelen nog actueel zijn, sturen we bij op basis van audits en incidenten, en werken we aan cultuurontwikkeling zodat informatiebeveiliging en privacy een normaal onderdeel van het werk worden. Onze as-a-service-diensten (CISO, Security Officer, Privacy Officer, Functionaris Gegevensbescherming) zijn de aangewezen manier om deze fase structureel in te vullen.