Software voor bewijsbeheer bij compliance en audits

Compliance niet alleen documenteren. Maar bewijzen.

Met Complaica beheert u compliancebewijs — bijvoorbeeld voor ISO 27001 en BSI IT-Grundschutz — samen met de eisen, risico’s en maatregelen waar het bij hoort. Relevante wijzigingen worden automatisch vastgelegd; geregistreerd bewijs blijft in de tijd navolgbaar en onafhankelijk controleerbaar. Een cryptografisch gekoppelde bewijsketen en gekwalificeerde eIDAS-tijdstempels borgen geselecteerde toestanden — van de eerste scope tot de audit.

01Eén doorlopende bewijsketen over de hele compliancelevenscyclus
02Automatisch bewijs uit scope, beschermingsbehoefte, risico’s en maatregelen
03Configureerbare gebeurtenisregels en gekwalificeerde eIDAS-tijdstempels
04Cryptografisch controleerbare integriteit en een volledige historie
05Onafhankelijke verificatie en exporteerbaar auditbewijs

Proefaccount aanvragen Prijslijst aanvragen

Bewijsketen

Bewijsketen Complianceconcept ISMS 2026

#1288 Audit afgerond Interne audit ISMS 2026 b5a7b218…a964 eIDAS
#1287 Bevinding gesloten F-07 Patchmanagement 7cc5e4d5…cd40
#1283 Restrisico geaccepteerd R-12 Onbevoegde toegang 1b17a798…bf7f eIDAS
#1280 Terraform-configuratie vastgelegd fw-dmz.tf 3a1424f5…d73a
#1279 Maatregel afgerond M-114 Netwerksegmentatie DMZ 32bf5712…c47c

Keten geverifieerd 1.288 gebeurtenissen Laatste checkpoint 12-10-2026

EVIDENCE 01

Eén bewijsketen voor elk complianceconcept

Zodra in Complaica een complianceconcept wordt aangemaakt, begint ook de bewijsketen ervan.

De keten legt relevante toestanden, beslissingen en wijzigingen vast over de hele levenscyclus. Elke vastgelegde gebeurtenis verwijst naar de betrokken objecten en wordt cryptografisch gekoppeld aan de voorgaande historie.

Zo wordt de keten de controleerbare chronologie van het complianceconcept — van de eerste structuur via de risicobeoordeling en de uitvoering van maatregelen tot de audit.

Uw organisatie bepaalt zelf welke gebeurtenissen automatisch worden vastgelegd en wanneer gekwalificeerde elektronische tijdstempels worden aangemaakt.

EVIDENCE 02

Compliancebewijs voor ISO 27001 en BSI IT-Grundschutz

Normen als ISO 27001 en IT-Grundschutz van het BSI vragen gedocumenteerd bewijs: van risicobehandeling, maatregelen, interne audits en de directiebeoordeling. Een voorbeeld uit een ISMS-concept laat zien hoe een risicobesluit bewijs wordt dat een auditor kan controleren.

Voorbeeld uit een ISMS-concept

01 Risicobehandeling goedkeuren R-12 Onbevoegde toegang De directie keurt de behandeling van het risico goed. Complaica legt besluit, actor en tijdstip vast als bewijsgebeurtenis.
02 Maatregel uitvoeren M-114 Netwerksegmentatie DMZ IT-beheer voert de maatregel uit. Statuswijzigingen en de Terraform-commit uit de pipeline komen in dezelfde keten.
03 Technisch bewijs registreren Pentest-Bericht_DMZ_2026-Q3.pdf Het rapport van de externe tester wordt met hash geregistreerd en gekoppeld aan maatregel, risico en A.8.20.
04 Toestand in de tijd verankeren Checkpoint · eIDAS Een gekwalificeerd tijdstempel bevestigt de toestand van de keten op dat moment. Alleen de hashwaarde gaat naar de vertrouwensdienstverlener.
05 Verificatiepakket exporteren verification-package_ISMS-2026_1288.zip Voor de audit exporteert de CISO een pakket met gebeurtenisgegevens, hashwaarden, ketenbewijzen en het tijdstempel.

Wat de verantwoordelijken zien

Per eis de actuele stand en het bewijs waarop die steunt
Wie een besluit nam of een maatregel afsloot — en wanneer
Waar bewijs ontbreekt of ouder is dan bedoeld

Wat de auditor krijgt

De historie achter de eis: beoordeling, risicobesluit, maatregel, bewijs
Een verificatiepakket waarvan integriteit en tijdstempel te controleren zijn zonder toegang tot Complaica
De basis voor het oordeel — of bewijs inhoudelijk volstaat, beslist nog steeds de auditor

Meer voorbeelden: van eis tot audit

ISO 27001 · 8.3 Behandeling van informatiebeveiligingsrisico’s
1. Risicobehandelplan
2. Goedkeuring van restrisico’s
3. Maatregelen met eigenaren
4. Historie van besluiten
5. Controle in de audit
ISO 27001 · 9.3 Directiebeoordeling
1. Input voor de beoordeling
2. Verslag en besluiten
3. Afgeleide maatregelen
4. Checkpoint met eIDAS-tijdstempel
5. Controle in de audit
IT-Grundschutz · Bepaling van de beschermingsbehoefte (BSI-standaard 200-2)
1. Beschermingsbehoefte van bedrijfsprocessen
2. Overerving naar applicaties en IT-systemen
3. Goedkeuring van de beoordeling
4. Historie van wijzigingen
5. Controle in de audit
IT-Grundschutz · NET.1.1 Netwerkarchitectuur en -ontwerp
1. Modellering van het netwerk
2. IT-Grundschutz-check van de eisen
3. Firewallconfiguratie uit Terraform
4. Penetratietestrapport
5. Controle in de audit

Complaica legt vast wat besloten, uitgevoerd en aangetoond is, en maakt die historie controleerbaar. Daarmee wordt een organisatie niet vanzelf compliant.

Prijslijst aanvragen

… of vraag het gewoon via WhatsApp.

EVIDENCE 03

Compliancebewijs beheren over de hele levenscyclus

Zes fasen, één keten. In elke fase legt Complaica de gebeurtenissen vast die later laten zien wat op welk moment gold en wie het besliste.

01
01 · Scopebeheer

De scope wordt navolgbaar.
Complaica documenteert de scope van een complianceconcept, inclusief de organisatorische en technische structuren.
Relevante wijzigingen worden in de bewijsketen vastgelegd en blijven in de tijd navolgbaar.

Wat aantoonbaar wordt

U kunt nagaan welke organisatie-eenheden, processen en assets op een bepaald moment tot de scope behoorden.
Typische bewijsgebeurtenissen
- e428690 Complianceconcept aangemaakt Gekwalificeerd elektronisch tijdstempel (eIDAS)
- 82069a0 Scope vastgesteld of gewijzigd
- af5cdda Organisatie-eenheid toegevoegd of verwijderd
- fe96c5f Bedrijfsproces aan de scope toegewezen
- 8009ee1 Asset toegevoegd of gewijzigd
- 221a257 Structuurversie vrijgegeven
02
02 · Beschermingsbehoefte en classificatie

Beoordelingen met een navolgbare basis.
Bepalingen van de beschermingsbehoefte en classificaties worden aan de betrokken objecten gekoppeld en in de tijd vastgelegd.

Wat aantoonbaar wordt

Niet alleen het huidige resultaat is zichtbaar, maar ook hoe de beoordelingen zich ontwikkelden en wanneer.
Typische bewijsgebeurtenissen
- 7b56aef Beschermingsbehoefte van een asset beoordeeld
- 2fd5ca4 Beoordeling gewijzigd
- 0da7c18 Overgeërfde beschermingsbehoefte bijgewerkt
- 5591da7 Kriticiteit van een bedrijfsproces aangepast
- 90b0551 Beoordeling bevestigd of vrijgegeven Gekwalificeerd elektronisch tijdstempel (eIDAS)
03
03 · Eisen en compliancebeoordelingen

Elke beoordeling in de context van haar eisen.
Complaica verbindt eisen uit verschillende normen met beheersmaatregelen, maatregelen en hun beoordelingen.

Wat aantoonbaar wordt

Per eis is na te gaan welke beoordeling op welk moment gold en op welk bewijs ze steunde.
Typische bewijsgebeurtenissen
- 3d397df Eis beoordeeld
- 25e20e2 Nalevingsstatus gewijzigd
- 4391a42 Onderbouwing bijgewerkt
- 206115a Bewijs gekoppeld
- 159098b Afwijking vastgesteld
- 34c0416 Beoordeling vrijgegeven
04
04 · Risicomanagement

Van risico-identificatie naar een controleerbare beslissing.
Risico’s, beoordelingen en behandelbeslissingen worden vastgelegd samen met de betrokken assets, processen en eisen.

Wat aantoonbaar wordt

Beslissingen over risico’s blijven over hun hele levenscyclus navolgbaar.
Typische bewijsgebeurtenissen
- 6ec6b44 Risico geïdentificeerd
- 7fb0e35 Waarschijnlijkheid of impact beoordeeld
- 068095c Risicobeoordeling gewijzigd
- 95da879 Risicobehandeling besloten
- 572681e Restrisico geaccepteerd Gekwalificeerd elektronisch tijdstempel (eIDAS)
- 19b8fcc Risico opnieuw beoordeeld
05
05 · Maatregelen en technische uitvoering

Van besluit naar daadwerkelijke uitvoering.
Complaica verbindt maatregelen met eisen, risico’s en het bewijs van hun uitvoering.
De bewijsketen legt relevante wijzigingen en vrijgaven vast. Via integraties kunnen ook externe technische artefacten en gebeurtenissen worden vastgelegd.

Wat aantoonbaar wordt

Het verband tussen inhoudelijke eis, organisatorische beslissing en technische uitvoering wordt zichtbaar.
Typische bewijsgebeurtenissen
- ecf3934 Maatregel aangemaakt of gewijzigd
- e4ebdce Verantwoordelijke toegewezen
- f85c5f2 Uitvoeringsstatus bijgewerkt
- ff4cad8 Maatregel afgerond
- f3e74e3 Uitvoeringsbewijs toegevoegd
- bb6522c Terraform-configuratie vastgelegd
- 5019ad1 Deploymentresultaat vastgelegd
- e08c42f Technische configuratie geverifieerd
Voorbeeld van een samenhangende bewijsketen
1. Beveiligingseis
2. Maatregel
3. Wijzigingsverzoek
4. Terraform-commit
5. Firewallconfiguratie
6. Verificatie
06
06 · Audits en continue verbetering

Auditklaar — met een controleerbare historie.
Audits gebruiken de actuele stand van de compliancegegevens en de vastgelegde historie van relevante gebeurtenissen.

Wat aantoonbaar wordt

Auditors kunnen nagaan welke beoordelingen, maatregelen en bewijsstukken op een bepaald moment waren vastgelegd.
Typische bewijsgebeurtenissen
- 53fe039 Audit gestart
- 980f257 Auditscope vastgesteld
- 2bb0a72 Bewijs beoordeeld
- 185949e Bevinding vastgelegd
- d06539c Corrigerende maatregel bepaald
- 6e11303 Bevinding gesloten
- 561fbb7 Audit afgerond Gekwalificeerd elektronisch tijdstempel (eIDAS)
- d19f1a9 Gekwalificeerd checkpoint aangemaakt Gekwalificeerd elektronisch tijdstempel (eIDAS)

EVIDENCE 04

Bewijs automatisch vastleggen tijdens het werk

De bewijsketen wordt niet achteraf met de hand samengesteld. Complaica legt relevante gebeurtenissen vast op het moment dat ze plaatsvinden.

Configureerbare regels bepalen:

01Welke objecttypen worden gevolgd.
02Welke wijzigingen als bewijsgebeurtenis gelden.
03Welke statuswijzigingen worden genegeerd.
04Welke metadata en objecttoestanden worden vastgelegd.
05Welke gebeurtenissen automatisch een gekwalificeerd tijdstempel opleveren.

Proefaccount aanvragen

Gebeurtenisregels

Complianceconcept ISMS 2026

Regel toevoegen

Object	Gebeurtenis	Bewijsketen	Gekwalificeerd tijdstempel
Complianceconcept	Aangemaakt	Automatisch	Ja
Scope	Gewijzigd	Automatisch	Nee
Asset	Beschermingsbehoefte vrijgegeven	Automatisch	Ja
Risico	Beoordeling gewijzigd	Automatisch	Nee
Risico	Restrisico geaccepteerd	Automatisch	Ja
Maatregel	Afgerond	Automatisch	Nee
Audit	Gesloten	Automatisch	Ja

EVIDENCE 05

Externe documenten en technisch bewijs registreren

Niet al het relevante bewijs ontstaat in Complaica. Gebruikers kunnen op elk moment extra objecten, documenten of technische artefacten in de bewijsketen vastleggen.

Bij het vastleggen worden de cryptografische hash, de identiteit van het object, de bron, het tijdstip en de bijbehorende metadata vastgelegd. De registratie kan worden gekoppeld aan eisen, risico’s, maatregelen, assets of audits.

Voorbeelden

Informatiebeveiligingsbeleid als pdf
Goedgekeurd beveiligingsconcept
Extern auditrapport
Resultaat van een penetratietest
Firewallconfiguratiebestand
Terraform-manifest
SIEM-incidentrapport
Certificaat van een leverancier

Bewijs vastleggen

Bestand

Pentestrapport_DMZ_2026-K3.pdf PDF · 2,4 MB · SHA-256 36a11af3…debe

Koppelen aan

M-114 Netwerksegmentatie DMZ

R-12 Onbevoegde toegangA.8.20 Beveiliging van netwerken

Bron

Externe testpartij

Beschrijving

Penetratietest van de DMZ na afronding van de netwerksegmentatie, eindrapport.

Gekwalificeerd tijdstempel aanmaken Alleen de hashwaarde gaat naar de verlener van vertrouwensdiensten.

Annuleren Vastleggen

EVIDENCE 06

Bewijsketen met gekwalificeerde eIDAS-tijdstempels

Elke bewijsgebeurtenis wordt cryptografisch gekoppeld aan de voorgaande historie. Zo worden latere wijzigingen zichtbaar.

Voor toestanden die u kiest, kunnen gekwalificeerde elektronische tijdstempels volgens eIDAS worden aangemaakt. Ze bevestigen de cryptografische toestand van de keten op een bepaald moment en maken een onafhankelijke controle van de verankering in de tijd mogelijk.

Bewijshash

Identificeert de vastgelegde inhoud of toestand.

Bewijsketen

Koppelt de vastgelegde gebeurtenissen cryptografisch aan elkaar.

Gekwalificeerd tijdstempel

Bevestigt onafhankelijk dat een bepaalde toestand van de keten uiterlijk op het aangegeven tijdstip bestond.

Een checkpoint dekt de hele tot dan toe vastgelegde historie.

Gebeurtenis 001 d56bc121 eIDAS
Gebeurtenis 002 dfe4f0b6
Gebeurtenis 003 c256f59f eIDAS
Gebeurtenis 004 e6e64286
Gebeurtenis 005 e9a8facd eIDAS

Checkpoint bij gebeurtenis 001

Checkpoint bij gebeurtenis 003 · dekt gebeurtenissen 001⁠–⁠003

Checkpoint bij gebeurtenis 005 · dekt gebeurtenissen 001⁠–⁠005

De tijdstempels worden uitgegeven door een gekwalificeerde verlener van vertrouwensdiensten. De gegevens en documenten zelf hoeven daarvoor niet naar de verlener te gaan.

Account aanvragen

… of vraag het gewoon via WhatsApp.

EVIDENCE 07

Auditbewijs navolgen in de verkenner van de keten

Complaica biedt een navigeerbare weergave van de bewijsketen.

Gebruikers kunnen

01Gebeurtenissen chronologisch doorzoeken.
02Afzonderlijke blokken openen.
03Hashwaarden en koppelingen inzien.
04Naar de oorspronkelijke objecten in Complaica navigeren.
05Externe documenten en technische artefacten openen, voor zover beschikbaar en toegestaan.
06Gekwalificeerde tijdstempels en verificatiestatus controleren.
07Historische toestanden reconstrueren.
08Samenhangende gebeurtenissen en bewijsstukken onderzoeken.

Verkenner van de keten

Verkenner van de bewijsketen Zoek op hash, object of actor

Blok #1279

Maatregel afgerond

Hash: 32bf57129b9e9c283bcfcb8f0fc16ed23d168283af8bd558a3c6f33d7abfc47c
Vorige hash: 241fabff52eff6ea9854e96fda0f0fc912f2684bf7ccde289a7ccc042eb39a99
Bronobject: M-114 Netwerksegmentatie DMZ
Actor: T. Yilmaz
Tijdstip: 08-10-2026, 14:02 UTC
Verificatie: Integriteit geverifieerd
Gekwalificeerd tijdstempel: Geen — gedekt door het volgende checkpoint