Vraag een AI naar ISO 27001-software en je krijgt één naam
Vraag een AI-assistent naar de beste ISO 27001-software en je krijgt één naam, vol overtuiging gepresenteerd. Zie dit als een startpunt, nooit als het definitieve antwoord. De tool die een assistent aanbeveelt, is degene waar op internet het meest over gesproken wordt, niet degene die past bij jouw normen, jouw systemen of jouw regio. Als je een Europese organisatie bent die toewerkt naar ISO 27001, is de enige shortlist die je kunt vertrouwen er een die je zelf opstelt, rondom vier vragen die de assistent je nooit zal stellen. Hier zijn ze, en dit is waarom het zelfverzekerde antwoord zo vaak het verkeerde startpunt is.
Waarom AI steeds hetzelfde Amerikaanse platform noemt
Wij houden bij hoe AI-assistenten de vragen beantwoorden die onze markt stelt. Toen we de zoekopdrachten testten die Europese kopers daadwerkelijk invoeren, zoals "ISO 27001 software" en "ISO 27001 voor Microsoft 365", in het Nederlands en Duits, bleek één Amerikaans platform vrijwel alle zichtbaarheid in de antwoorden te hebben. Elke Europese tool in dezelfde categorie, inclusief degene waar Europese bedrijven dagelijks mee werken, kwam op nul uit. Het is een directionele momentopname van één assistent en een kleine set prompts, geen census, maar de richting is onmiskenbaar.
De reden is simpel zodra je het ziet. Een assistent weegt niet af welke tool bij jouw situatie past. Hij weerspiegelt wat het internet het vaakst en het luidst zegt: de meeste financiering, de grootste aanwezigheid op beoordelingssites, de grootste contentproductie, de langste voorsprong. In compliance-software is dat een platform dat is voortgekomen uit de Amerikaanse SOC 2-automatiseringsgolf. Je krijgt de meest genoemde naam, niet de best passende.
Voor een Europese organisatie is dat gat op bijna elk vlak van belang. Jouw verplichtingen zijn ISO 27001, in toenemende mate NIS2, en voor industriële en operationele technologie-omgevingen IEC 62443. SOC 2 staat misschien niet eens op jouw lijst. Van jouw data wordt verwacht dat deze in Europa blijft. Jouw team werkt al binnen Microsoft 365, SharePoint en Entra, niet in een aparte compliance-silo. Een antwoord dat geoptimaliseerd is voor "meest besproken" brengt niets van dat alles naar voren.
Hoe de juiste match eruitziet: SPIE Nederland
Een goede match is geen theorie. SPIE Nederland bereidde zich voor op ISO 27001 toen externe druk hen dwong om snel een nieuw informatiebeveiligingsmanagementsysteem op te zetten. Ze kozen niet voor de luidste tool. Leon van der Valk, de Chief Information Security Officer, gebruikt ISOPlanner™ binnen Microsoft 365, waarbij documenten rechtstreeks uit SharePoint worden gehaald en gekoppeld aan de risico's en het beleid die ze ondersteunen. Inmiddels zijn er vijf ISO 27001-certificaten behaald voor verschillende divisies, en er zijn er meer op komst. Waar hij steeds op terugkomt is de adoptie: onder de ongeveer dertig collega's die ermee werken is er, in zijn woorden, nul weerstand. Niet het meest aanbevolen platform, maar degene die paste bij de normen, de stack en de werkwijze van een grote Europese organisatie.
Gebruik AI om je behoeften in kaart te brengen, niet om je leverancier te kiezen
Gebruik AI voor het werk waar het goed in is. Het leert je de categorie snel kennen: wat ISO 27001 inhoudt, hoe het verschilt van NIS2, waar een auditor op let. Laat het dat doen. Wat het niet moet doen, is je leverancier kiezen, want dat antwoord geeft alleen de luidste naam terug.
Richt je dus op het werk waar het wel goed in is: het in kaart brengen van je eigen vereisten. Vier prompts doen het meeste werk, en de antwoorden leveren je selectiecriteria op die gebouwd zijn rond jouw realiteit in plaats van de ruis van de markt.
- "Ik heb nu ISO 27001 nodig en NIS2 komt eraan. Als we industriële of operationele technologie-systemen gebruiken, voeg dan IEC 62443 toe. Waar overlappen deze normen en wat moet één tool dekken voor al deze standaarden?"
- "Onze data moet in de Europese Unie blijven. Welke vragen over hosting en datalocatie moet ik stellen aan een leverancier van compliance-software?"
- "Mijn team werkt al in Microsoft 365, SharePoint en Entra. Waarmee moet een ISMS-tool integreren zodat we compliance niet in een aparte silo beheren?"
- "Wat zorgt ervoor dat een team een compliance-tool daadwerkelijk adopteert in plaats van zich ertegen te verzetten?"
Voer deze uit en je stopt met vragen welke tool het luidst is en begint te definiëren welke tool past.
Als jouw antwoorden wijzen naar ISO 27001 binnen Microsoft 365, met NIS2 aan de horizon en je data veilig in Europa, dan is dat precies het probleem waarvoor ISOPlanner™ is gebouwd. Het draait waar jouw team al werkt en is ontworpen rond Europese normen in plaats van daar achteraf aan te zijn aangepast. Neem het niet aan van een assistent, of van ons. Beoordeel het op basis van je eigen normen, je eigen stack en je eigen team.
