Voor CISO's: van kwetsbaarhedenlijst naar bestuursbewijs
Gepubliceerd op 5 juni 2026
Voor veel CISO's is kwetsbaarhedenbeheer allang geen technisch achterkamertje meer. De vraag is niet alleen welke CVE's in de omgeving aanwezig zijn, maar vooral of de organisatie aantoonbaar weet wat er online staat, welke risico's prioriteit hebben, wie eigenaar is van herstel en welke bewijslast beschikbaar is wanneer bestuur, auditor, toezichthouder of klant daarom vraagt.
Die verschuiving wordt versneld door NIS2, de Nederlandse Cyberbeveiligingswet en bredere verwachtingen rond digitale weerbaarheid. Het Nationaal Cyber Security Centrum benadrukt in zijn bestuurdersvragen aan de CISO dat het gesprek niet bedoeld is als een eenmalige compliance-checklist, maar als een structurele dialoog over risico's, uitvoering, maatregelen en vertrouwen tussen bestuur en CISO. Ook internationale richtlijnen leggen de nadruk op regelmatige rapportage over de cyber security posture, duidelijke verantwoordelijkheden en inzicht in kritieke systemen.
Voor CISO's betekent dit dat traditionele vulnerability reports tekortschieten. Een spreadsheet met honderden bevindingen helpt zelden om bestuurlijke keuzes te maken. Wat nodig is, is bestuursbewijs: herleidbare, actuele en reproduceerbare informatie over het aanvalsoppervlak, de kwetsbaarheden, de prioritering en de opvolging.
Bestuursbewijs is de set van feiten, metingen, besluiten en opvolgingsinformatie waarmee een CISO kan aantonen dat cyberrisico's niet alleen zijn gevonden, maar ook zijn beoordeeld, geprioriteerd, toegewezen, opgevolgd en opnieuw gecontroleerd.
Exposentry levert daarvan de meet- en bewijsfeiten: de bevinding, het meetmoment en de vastlegging. De schakels toewijzing, opvolging en hercontrole komen uit het proces van de organisatie zelf; Exposentry legt de feiten vast waarop die schakels steunen.
Het verschil tussen een lijst en bewijs zit in vier eigenschappen: de bevinding is herleidbaar tot bron en meetmoment, de vastlegging is tamper-evident zodat manipulatie aantoonbaar is, er is een tijdlijn die verandering laat zien, en de rapportage wordt onafhankelijk van de beheerder van je omgeving geleverd. Een kale kwetsbaarhedenlijst mist die eigenschappen; forensisch onderbouwde evidence en onafhankelijke rapportage voegen ze toe.
Waarom de klassieke kwetsbaarhedenlijst niet genoeg is
Een vulnerability scan levert waardevolle technische signalen op, maar zo'n scan wordt pas bestuurlijk relevant wanneer de uitkomsten worden verbonden aan bedrijfskritieke processen, risicobereidheid, eigenaarschap en hersteltermijnen. Dat is precies waar veel organisaties vastlopen. Zij weten wel dat er kwetsbaarheden zijn, maar niet altijd of het overzicht compleet is, of de juiste systemen worden gescand en of herstel daadwerkelijk is gecontroleerd.
Een belangrijke oorzaak is dat het digitale aanvalsoppervlak voortdurend verandert. Cloudomgevingen, leverancierskoppelingen, testomgevingen, domeinen, API's, vergeten subdomeinen en tijdelijke diensten kunnen sneller ontstaan dan het formele assetregister wordt bijgewerkt.
| Klassieke rapportage | Bestuurlijk bruikbare rapportage |
|---|---|
| Een lijst met technische kwetsbaarheden. | Een risicobeeld per asset, proces, eigenaar en prioriteit. |
| Momentopname op basis van bekende assets. | Doorlopende monitoring van het externe aanvalsoppervlak. |
| Focus op CVSS-score of ernstlabel. | Combinatie van ernst, exploitability, blootstelling, bedrijfsimpact en herstelbaarheid. |
| Onduidelijk wie verantwoordelijk is voor opvolging. | Bevindingen zijn gekoppeld aan eigenaar, besluit, deadline en hercontrole. |
| Beperkte bewijswaarde bij audit of incident. | Vastlegging van wat wanneer is gevonden, herleidbaar en verifieerbaar. |
Voor een CISO is dit onderscheid essentieel. In de praktijk vraagt een bestuur zelden of er "een scan is gedraaid"; de vraag is doorgaans of de organisatie aantoonbaar grip heeft op de risico's die de continuïteit, vertrouwelijkheid, integriteit en ketenpositie kunnen raken.
De CISO als vertaler tussen techniek en bestuur
De moderne CISO bevindt zich tussen technische realiteit en bestuurlijke besluitvorming. Bestuurders worden geacht te begrijpen welke kritieke systemen bestaan, wat hun waarde is, waar zij zich bevinden, wie toegang heeft, hoe zij worden beschermd en hoe die bescherming wordt geverifieerd.
Dat vraagt van de CISO een ander type rapportage. Niet alleen "wat is kwetsbaar?", maar ook "waarom doet dit ertoe?", "welke keuze ligt voor?", "wat is het restrisico?" en "waar is het bewijs dat de maatregel werkt?".
| Bestuursvraag | Benodigde CISO-informatie | Rol van evidence-first monitoring |
|---|---|---|
| Wat zijn onze kroonjuwelen en waar zijn zij blootgesteld? | Overzicht van domeinen, IP's, diensten, cloudcomponenten en gekoppelde leveranciers. | Legt vast wat extern zichtbaar is en hoe dat beeld verandert. |
| Welke kwetsbaarheden vormen nu het grootste risico? | Prioritering op basis van ernst, exploitability, blootstelling en bedrijfscontext. | Combineert bevindingen met meetbare blootstelling en historische trend. |
| Herstellen teams bevindingen op tijd? | Eigenaarschap, SLA's, uitzonderingen en hercontroles. | Toont of herstel werkelijk heeft plaatsgevonden en wanneer. |
| Welke risico's accepteren wij bewust? | Besluitvorming, onderbouwing en looptijd van risicoacceptatie. | Levert het meetbewijs om uitzonderingen periodiek te herbeoordelen. |
| Kunnen we dit aantonen aan auditor, klant of toezichthouder? | Reproduceerbare bewijslast, rapportages en audit trail. | Bewaart feiten, meetmomenten en opvolging op een consistente manier. |
Een CISO die deze informatie structureel beschikbaar heeft, verschuift het gesprek van losse incidenten naar bestuurbare cyberweerbaarheid.
Evidence-first vulnerability monitoring
Exposentry benadert kwetsbaarhedenbeheer vanuit evidence-first vulnerability monitoring. Dat betekent dat het niet alleen gaat om detectie, maar om aantoonbaarheid. De scanuitkomst, context, tijdlijn en opvolging vormen samen een dossier waarmee de organisatie kan laten zien welke risico's zijn vastgesteld en welke keuzes zijn gemaakt.
Deze aanpak past bij de richting van de Cyberbeveiligingswet. Onder NIS2 moeten essentiële en belangrijke entiteiten passende en evenredige technische, operationele en organisatorische maatregelen nemen om risico's voor netwerk- en informatiesystemen te beheersen. Het gaat dus niet uitsluitend om technologie, maar om een risicomanagementproces waarin identificeren, analyseren, behandelen, monitoren en verbeteren elkaar opvolgen. De Rijksinspectie Digitale Infrastructuur benadrukt dat risicomanagement geen eenmalige activiteit is, maar een cyclus van identificeren, analyseren, evalueren en beheersen.
Voor CISO's ontstaat daarmee een praktisch uitgangspunt: ieder gevonden risico moet kunnen worden herleid tot een asset, een eigenaar, een besluit, een maatregel en een controlemoment. Zonder die keten is er wel scanning, maar nog geen aantoonbare beheersing.
Van aanvalsoppervlak naar herstelprioriteit
Niet elke kwetsbaarheid verdient dezelfde aandacht op hetzelfde moment. Een kwetsbaarheid op een intern testsysteem zonder externe blootstelling heeft een ander risicoprofiel dan een kwetsbare internet-facing dienst die onderdeel is van een kritiek klantproces. Een evidence-first benadering helpt om prioriteit te bepalen op basis van feitelijke blootstelling.
Daarbij is het nuttig om als CISO vier lagen te onderscheiden. De eerste laag is asset discovery: wat staat er daadwerkelijk online? De tweede laag is exposure analysis: welke diensten, poorten, configuraties en versies zijn zichtbaar? De derde laag is risk context: welke bevindingen zijn exploiteerbaar, relevant of gekoppeld aan kritieke processen? De vierde laag is remediation evidence: is herstel toegewezen, uitgevoerd en opnieuw gevalideerd?
| Laag | Kernvraag | Bestuurlijke waarde |
|---|---|---|
| Asset discovery | Weten we wat er extern zichtbaar is? | Voorkomt blinde vlekken en shadow IT. |
| Exposure analysis | Welke diensten en configuraties vergroten ons risico? | Maakt het externe risicoprofiel concreet. |
| Risk context | Welke bevindingen raken continuïteit, data of ketenverantwoordelijkheid? | Ondersteunt keuzes over prioriteit en budget. |
| Remediation evidence | Is herstel aantoonbaar afgerond? | Versterkt auditbaarheid en managementverantwoording. |
Deze structuur maakt kwetsbaarhedenbeheer begrijpelijker voor bestuurders, zonder technische diepgang te verliezen. Het bestuur hoeft niet alle CVE-details te kennen, maar moet wel kunnen beoordelen of risico's op de juiste manier worden beheerst.
Welke KPI's hoort een CISO te rapporteren?
Een CISO-dashboard moet niet overladen zijn. Het moet stabiele indicatoren bevatten die de organisatie door de tijd heen kan volgen en die aansluiten op risicobereidheid. Voor Exposentry ligt de nadruk vooral op meetbaarheid van blootstelling en herstel; KPI's rond eigenaarschap en SLA's komen doorgaans uit het proces van de organisatie zelf, waarvoor Exposentry de meetfeiten levert.
| KPI | Wat meet dit? | Waarom relevant voor bestuur? |
|---|---|---|
| Onbekende of nieuwe internet-facing assets | Nieuwe domeinen, subdomeinen, IP's of diensten buiten het bekende register. | Laat zien of het assetbeeld actueel en compleet is. |
| Kritieke bevindingen per risicocategorie | Kwetsbaarheden, misconfiguraties en open diensten met hoge prioriteit. | Maakt het actuele risicoprofiel zichtbaar. |
| Gemiddelde tijd tot triage | Tijd tussen detectie en beoordeling door verantwoordelijke eigenaar. | Meet organisatorische respons, niet alleen techniek. |
| Gemiddelde tijd tot herstel | Tijd tussen detectie en gevalideerde oplossing. | Laat zien of herstelcapaciteit past bij risicobereidheid. |
| Bevindingen buiten SLA | Openstaande risico's boven afgesproken termijn. | Geeft bestuur concreet escalatiemateriaal. |
| Heropende bevindingen | Kwetsbaarheden die terugkomen na eerdere oplossing. | Signaleert structurele proces- of configuratieproblemen. |
| Bewijsdekking | Percentage bevindingen met aantoonbare scan, besluit, eigenaar en hercontrole. | Onderbouwt auditbaarheid en toezichtgereedheid. |
Een goed CISO-dashboard is daarmee geen technische scorekaart, maar een sturingsinstrument. Het laat zien waar risico's ontstaan, waar herstel stokt en welke besluiten nodig zijn.
Hoe Exposentry de CISO helpt
Exposentry is een meet- en bewijslaag, geen totaaloplossing. Het combineert doorlopende kwetsbaarhedenmonitoring op basis van OpenKAT — de open-source scanner van de Nederlandse overheid, waaraan Exposentry-oprichter Edward Hasekamp als collaborator bijdraagt — met vastlegging van elke meting. Zo ontstaat een werkwijze die past bij CISO's die verder willen gaan dan periodieke scanning en aantoonbaar in control willen zijn.
De waarde ligt vooral in drie gebieden. Ten eerste helpt Exposentry om het externe aanvalsoppervlak zichtbaar te maken en blinde vlekken te verkleinen. Ten tweede ondersteunt het risicogebaseerde prioritering, zodat teams niet verdrinken in bevindingen maar werken aan de issues die werkelijk tellen. Ten derde levert het rapporten waarvan manipulatie aantoonbaar is: in productie worden rapporten digitaal ondertekend (PAdES) en voorzien van een onafhankelijke RFC3161-timestamp; signing-fouten blokkeren de levering niet. De rapporten worden onafhankelijk van de beheerder van je omgeving geleverd. Zo is achteraf verifieerbaar wat wanneer is gemeten, waarmee de CISO richting bestuur, auditor, klant of toezichthouder sterker staat.
Dat maakt Exposentry geen "compliance-knop" en geen GRC-platform. NIS2-compliance blijft een bredere bestuurlijke en organisatorische opgave. Wel levert evidence-first monitoring één belangrijke bouwsteen: actuele, verifieerbare feiten over blootstelling, kwetsbaarheden en herstel. Zonder die feiten blijft governance abstract. Lees meer over dit onderscheid in scannen is geen NIS2-compliance.
Conclusie
De CISO van vandaag wordt niet alleen afgerekend op technische detectie, maar op aantoonbare beheersing. Bestuurders willen doorgaans weten of de organisatie haar digitale kroonjuwelen kent, of risico's tijdig worden opgevolgd, of leveranciers en externe diensten in beeld zijn en of keuzes verdedigbaar zijn.
Daarom moet kwetsbaarhedenbeheer verschuiven van een lijst met bevindingen naar bestuursbewijs. Evidence-first vulnerability monitoring maakt zichtbaar wat er is gevonden, waarom het belangrijk is, wie verantwoordelijk is, welke maatregel is genomen en of herstel is bevestigd. Voor CISO's is dat de kortste route van technische signalen naar bestuurbare cyberweerbaarheid. Hoe je die signalen vervolgens praktisch filtert en presenteert, lees je in van CVE-lijst tot directierapportage. En wat auditors en verzekeraars precies van dat bewijs verwachten, staat in forensisch onderbouwde evidence.
Aan de slag
Wil je als CISO aantoonbaar grip krijgen op kwetsbaarheden en aanvalsoppervlak? Bekijk de pakketten en tarieven of start direct met een eerste scan.
Bronnen
- NCSC, "Vragen die je als bestuurder kunt stellen aan de CISO", ncsc.nl
- Australian Signals Directorate / ACSC, "Guidelines for cyber security roles", cyber.gov.au
- Palo Alto Networks, "A CISO's Guide to Attack Surface Management", paloaltonetworks.com
- Deloitte, "The CISO Brief: The what, when, and how of effective board communication", deloitte.com
- EUR-Lex, Directive (EU) 2022/2555, Article 21, eur-lex.europa.eu
- Rijksinspectie Digitale Infrastructuur, "Risicomanagement en cyberbeveiliging", rdi.nl
Geschreven door Edward Hasekamp, oprichter van Exposentry en core-maintainer van het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.