Diensten

Wat DVAD Consultancy voor u kan betekenen

DVAD Consultancy ondersteunt organisaties met consultancy in informatiebeveiliging, met een duidelijke specialisatie in ISO 27001- en NEN 7510-implementaties en in het veilig en verantwoord implementeren van AI. Wij begeleiden trajecten van analyse en documentatie tot invoering, audit en borging, zodat beleid niet alleen op papier klopt, maar ook in de praktijk werkt.

ISO 27001 & NEN 7510

Van analyse en documentatie tot uitvoering, audit en borging

Informatiebeveiliging is geen losstaand vinkje, maar het fundament onder hoe een moderne organisatie omgaat met data, processen en technologie. DVAD Consultancy is gespecialiseerd in het begeleiden van organisaties bij implementatietrajecten rondom ISO 27001 (generieke informatiebeveiliging) en NEN 7510 (informatiebeveiliging voor de zorg). Wij ondersteunen bij:

Het uitvoeren van een nulmeting (waar staat u nu), een gap-analyse (welke eisen voldoet u nog niet aan) en een risicoanalyse (welke informatiebeveiligingsrisico's loopt u, en wat is hun impact).
Het inrichten van een ISMS (Information Security Management System): het geheel van beleid, processen en beheersmaatregelen waarmee uw organisatie informatiebeveiliging structureel borgt. Daarbij horen ook de beheersmaatregelen uit Bijlage A van de norm, een Statement of Applicability (SoA), een Business Impact Analyse (BIA) en een beheerplanning waarmee het ISMS levend blijft.
Het opstellen van beleidsstukken, procedures en procesbeschrijvingen die aansluiten op de identiteit van uw organisatie.
De koppeling met NIS2-verplichtingen (de Europese cyberbeveiligingsrichtlijn), zodat u in één traject ook aan deze wetgeving voldoet.
De begeleiding tot en met de externe audit (de onafhankelijke beoordeling door een certificerende instelling) en het duurzaam borgen van het beleid daarna in de praktijk.

Verantwoord & veilig

AI verantwoord en veilig inzetten in uw organisatie

Veel organisaties willen AI inzetten, maar lopen vast op vragen als: welke tool past bij ons, welke data mag ik daarmee verwerken, hoe regel ik menselijk toezicht, en welke wetgeving is van toepassing? Het veilig inzetten van AI is voor ons een logische uitbreiding van wat wij al doen op het gebied van informatiebeveiliging. Dezelfde principes rondom dataclassificatie, vertrouwelijkheid, integriteit en beschikbaarheid gelden onverkort, alleen wordt het speelveld groter en de wetgeving complexer.

Adviezen op maat

Afgestemd op uw context

DVAD Consultancy adviseert over AI-keuze en -implementatie afgestemd op de organisatiecontext: uw sector, dataclassificatie, gebruikersgroepen, doelen en risicobereidheid. Voor verschillende specifieke organisaties hebben wij al concrete adviezen geschreven over welk AI-platform past, welke data wel en niet mag worden ingevoerd en hoe het gebruik op een verantwoorde manier kan worden ingericht.

Aandachtsgebieden in onze adviezen

Dataclassificatie en gegevensstromenWelke soorten data (openbaar, intern, vertrouwelijk of bijzondere persoonsgegevens) gaan de AI in, wat komt eruit en waar wordt het opgeslagen?
Dataminimalisatie & AVG-grondslagNiet meer gegevens verwerken dan strikt nodig, en de grondslag waarop u zich kunt baseren bij het verwerken van persoonsgegevens via AI.
ModelkeuzeEen AI-model in een publieke cloud, op uw eigen servers (on-premise) of een variant die binnen de EU wordt gehost. Elke keuze heeft eigen afwegingen tussen functionaliteit, kosten en risico.
Human-in-the-loopBij beslissingen met impact controleert en beoordeelt een mens altijd de uitkomst van de AI voordat die effect heeft.
Logging, audittrail en monitoringEen herleidbaar spoor van wie wanneer welke handeling heeft gedaan, plus monitoring van het AI-gebruik.
AI-geletterdheid binnen het personeelOpleiding, beleid en bewustzijn, zoals artikel 4 van de EU AI-verordening voorschrijft.

Wetgevingskader rondom AI en cyberbeveiliging

Een gefaseerd verplichtingenkader voor organisaties die AI inzetten

Sinds de inwerkingtreding van de EU AI-verordening (Verordening (EU) 2024/1689) op 1 augustus 2024 geldt voor organisaties die AI inzetten een gefaseerd verplichtingenkader. Met de Digital Omnibus (Verordening (EU) 2026/1744, in werking op 27 juli 2026) zijn de data voor hoog-risico AI-systemen verschoven, waardoor de tijdlijn er nu zo uitziet:

Sinds 2025

Verboden toepassingen, AI-geletterdheid en GPAI

Per 2 februari 2025 is een aantal AI-toepassingen in de hele EU verboden, zoals social scoring, het ongericht verzamelen van gezichten van internet voor herkenningsdatabases en het realtime monitoren van emoties op de werkvloer. Vanaf diezelfde datum geldt de AI-geletterdheidsplicht uit artikel 4: medewerkers die met AI werken moeten begrijpen wat de techniek doet en welke risico's eraan zitten. Per 2 augustus 2025 kwamen de verplichtingen voor aanbieders van general-purpose AI (GPAI) erbij, waaronder transparantie over de werking, technische documentatie en een samenvatting van de trainingsdata. U kunt bij uw AI-leverancier dus bewijs van naleving opvragen.

Sinds 2 augustus 2026

Transparantieplicht en handhaving door het AI Office

Sinds deze datum gelden de transparantieverplichtingen uit artikel 50. Gebruikers moeten weten dat zij met een AI-systeem communiceren, door AI gegenereerde inhoud moet machineleesbaar gemarkeerd zijn en deepfakes moeten herkenbaar zijn. Ook beschikt het Europese AI Office vanaf deze datum over zijn handhavingsbevoegdheden richting aanbieders van general-purpose AI. Het nalevingskader voor hoog-risico AI ging op deze datum juist niet in: de Digital Omnibus (Verordening (EU) 2026/1744) heeft dat verschoven naar december 2027 en augustus 2028.

Sinds 15 augustus 2026

Cyberbeveiligingswet: NIS2 in Nederlandse wetgeving

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en geldt voor ruim 8.000 organisaties die essentiële of belangrijke diensten leveren. Wie eronder valt moet zich registreren in het entiteitenregister, een risicoanalyse uitvoeren en op basis daarvan passende maatregelen nemen, en incidenten binnen 24 uur melden bij het CSIRT en de toezichthouder. De zorgplicht geldt onverkort voor AI-systemen binnen uw netwerk- en informatiesystemen.

Vanaf 2 augustus 2027

GPAI van vóór augustus 2025 en verplichte sandboxes

GPAI-modellen die vóór 2 augustus 2025 al op de markt waren, moeten vanaf deze datum volledig voldoen aan de verplichtingen voor general-purpose AI. Daarnaast heeft elke lidstaat uiterlijk op deze datum ten minste één AI-testomgeving (regulatory sandbox) operationeel, waarin organisaties nieuwe toepassingen onder toezicht kunnen beproeven voordat zij in productie gaan.

Vanaf 2 december 2027

Hoog-risico AI-systemen, in twee stappen

Het nalevingskader voor hoog-risico AI komt in twee stappen. Per 2 december 2027 gelden de eisen voor zelfstandige systemen uit Bijlage III, zoals AI bij werving en selectie, kredietbeoordeling, toelating tot onderwijs, biometrische identificatie en kritieke infrastructuur. Per 2 augustus 2028 volgt AI die is ingebed in al gereguleerde producten uit Bijlage I, bijvoorbeeld medische hulpmiddelen, machines en speelgoed. Voor aanbieders gelden verplichtingen zoals een conformiteitsbeoordeling, registratie in de EU-databank, technische documentatie en postmarktmonitoring. Voor u als gebruiker (deployer) komen een grondrechteneffectbeoordeling (FRIA) en passend menselijk toezicht erbij.

Vanaf 2 augustus 2030

Bestaande hoog-risicosystemen bij overheden

Sluitstuk voor de publieke sector. Hoog-risico AI-systemen die bestemd zijn voor gebruik door overheidsorganisaties en die al vóór augustus 2026 in gebruik waren, moeten uiterlijk op deze datum aan de verordening voldoen. Relevant voor onderwijsinstellingen, zorgorganisaties en uitvoeringsorganisaties met langlopende systemen die niet zomaar worden vervangen.

Daarnaast onverkort van toepassing

AVG/GDPR (regels voor het verwerken van persoonsgegevens, ook in trainingsdata en prompts van een AI-systeem), de Cyberbeveiligingswet (de Nederlandse uitwerking van NIS2, sinds 15 augustus 2026 van kracht) en sectorale kaders zoals NEN 7510 (zorg) en de BIO (Baseline Informatiebeveiliging Overheid) blijven onverkort van toepassing op AI-toepassingen.

Autoriteit Persoonsgegevens (AP)
Rijksinspectie Digitale Infrastructuur (RDI)
Autoriteit Financiële Markten (AFM)
De Nederlandsche Bank (DNB)
Inspectie Gezondheidszorg en Jeugd (IGJ)

Let op: boetes onder de AI-verordening kunnen oplopen tot € 35 mln of 7% van de wereldwijde jaaromzet. Wij helpen u dit kader te vertalen naar concrete keuzes en beleid, zodat u AI verantwoord kunt inzetten zonder uw informatiebeveiliging of compliance op het spel te zetten.

Onze diensten

Zes vaste vertrekpunten voor uw traject

Onze diensten hangen onderling samen. Analyse en risicobeeld leveren de basis; beleid en procesinrichting geven structuur; implementatie, audit en borging zorgen dat het in de praktijk werkt. Hetzelfde geldt voor onze AI-trajecten.

Dienst 01Analyse

Nulmeting & gap-analyse

Wij brengen in kaart waar uw organisatie nu staat en welke onderdelen nog nodig zijn binnen uw ISO 27001- of NEN 7510-traject. U krijgt een helder beeld van het verschil tussen uw huidige situatie en wat de norm vereist, met een concrete planning om dat verschil te overbruggen.

Dienst 02Risico

Risicoanalyse

Wij helpen risico’s inzichtelijk te maken en vertalen deze naar passende beheersmaatregelen voor uw organisatie. De uitkomst is geen abstracte lijst, maar een gewogen set keuzes die aansluit op uw processen, sector en risicobereidheid.

Dienst 03Beleid & ISMS

Beleid, ISMS-documentatie en procesinrichting

Wij stellen beleidsstukken, procedures en ISMS-documentatie op die aansluiten op uw situatie en zorgen dat de bijbehorende processen ook daadwerkelijk in uw organisatie landen. Beleid pakt pas als de onderliggende processen kloppen. Daarom gaat onze begeleiding altijd verder dan documentatie.

Dienst 04Audit & borging

Implementatie, audit en borging

Wij begeleiden bij de uitvoering van beleid, het aantoonbaar maken voor de auditor en het structureel borgen van afspraken en processen in de praktijk. Onze lead-auditor-blik helpt u documentatie en bewijsvoering al vroeg op het juiste niveau te brengen.

Dienst 05AI op maat

AI-adviezen op maat

Keuze en implementatie van AI-oplossingen afgestemd op uw organisatie, met expliciete aandacht voor wetgeving (AI Act, AVG, NIS2), dataclassificatie, gebruikersgroepen en risico’s. Geen generiek advies, maar een onderbouwde keuze voor uw context.

Dienst 06AI-beleid

AI-geletterdheid en AI-beleid

Het opstellen van AI-beleid, dataclassificatieschema’s (welke data mag wel en niet met welke AI) en bewustwordingsprogramma’s voor uw personeel. Hiermee voldoet u aan artikel 4 van de EU AI-verordening, dat sinds februari 2025 verplicht dat medewerkers die met AI werken voldoende kennis hebben om dat veilig en verantwoord te doen.

Specialismen

Gericht op consultancy in informatiebeveiliging, ISO 27001- en NEN 7510-implementaties en veilige AI-inzet

Bespreek uw vraagstuk

Nulmeting en gap-analyse: waar staat u, wat ontbreekt nog?
Risicoanalyse en het kiezen van passende beheersmaatregelen
Beleidsstukken en ISMS-documentatie
ISO 27001- en NEN 7510-implementatie
Procesinrichting: van beleid naar werkbare processen
Begeleiding bij uitvoering, externe audit en duurzame borging
Veilig en verantwoord implementeren van AI
AI-compliance: EU AI Act, AVG en NIS2
Lead-auditor-perspectief (accreditatietraject ISO 27001 Lead Auditor)

Een vraag of een traject in voorbereiding?

Wij denken graag met u mee.

Een eerste kennismaking, een nulmeting, of een second opinion op uw AI-strategie: neem gerust contact op. Wij bespreken samen wat uw organisatie nodig heeft.

Vrijblijvend kennismaken