Ik verkoop geen uren en geen rapport. Hieronder staan vier toestanden die er zijn als het werk klaar is. Bij elk ervan staat welk stuk van mijn eigen infrastructuur bewijst dat ik het zo ook echt doe.
Eén plek waar toegang wordt verleend en ingetrokken: single sign-on, meervoudige authenticatie, een toegangsmatrix die klopt met de werkelijkheid, en logging waarmee u achteraf kunt zien wie wat deed.
Ook onderdeel van dit resultaat: encryptie van data in rust en onderweg, patchbeheer tegen bekende kwetsbaarheden, en monitoring die afwijkingen signaleert.
Bewijs: De soevereine stack, in productie →Back-up met offsite-replicatie. Op grotere implementatietrajecten hoort daar een herstel bij dat daadwerkelijk is uitgevoerd — met datum, doorlooptijd en uitkomst op papier. Een back-up waarvan nooit is teruggezet, is een aanname.
Ook onderdeel van dit resultaat: back-up met offsite-replicatie. Op grotere implementatietrajecten hoort daar een periodiek geteste restore-procedure bij.
Bewijs: Eigen rack, eigen hardware →Een dossier dat de werkende situatie beschrijft in plaats van de bedoelde: welke maatregel waar draait, wie ervoor tekent, welke leverancier eraan hangt en welke eisen u die leverancier hebt opgelegd.
Ook onderdeel van dit resultaat: de ketenbeveiligingseisen die u aan uw eigen leveranciers oplegt, en leveranciersregie op contracten en afspraken.
Bewijs: sovereign-nix →De Cyberbeveiligingswet legt de verantwoordelijkheid expliciet bij het bestuur en verplicht bestuurders tot scholing. Ik praat ze bij in hun eigen taal, met de beslissingen die zij moeten nemen als onderwerp.
Ook onderdeel van dit resultaat: een aparte bestuurssessie die de scholingsplicht uit de Cyberbeveiligingswet invult.
Bewijs: SAIG Academy →Sinds 15 augustus 2026 is de Cyberbeveiligingswet in werking (Staatsblad 2026, 187). De Rijksinspectie Digitale Infrastructuur (RDI) — de toezichthouder belast met de handhaving — is expliciet geweest over wat dat in de praktijk betekent:
“Nee, het voldoen aan een eigen normenkader betekent niet dat een organisatie aan de zorgplicht voldoet.”
— Rijksinspectie Digitale Infrastructuur (RDI)
Diezelfde pagina geeft daar direct de kanttekening bij — en die hoort hier, want een citaat zonder zijn eigen nuance is een half verhaal:
“Een normenkader kan wel houvast geven bij het beheersen van de risico's van de beveiliging van de netwerk- en informatiesystemen.”
— Rijksinspectie Digitale Infrastructuur (RDI), dezelfde pagina
“Ook mogen we ter plekke uw systemen inkijken.”
Deze vier resultaten zijn relevant voor organisaties die:
Geen probleem. In een vrijblijvend gesprek van 30 minuten breng ik uw situatie in kaart en bepalen we samen waar u het beste kunt beginnen.