Het centraliseren van het beheer van online diensten is niet alleen het samenvoegen van identificaties in een gedeeld spreadsheet. Sinds de publicatie van het Cyber France Referentiekader (ReCyF) door de ANSSI op 17 maart 2026, zijn de documentatie-eisen voor toegangscontroles, incidentbeheer en leveranciersbeveiliging aangescherpt. Elke organisatie die het aantal SaaS-accounts zonder gecentraliseerd bestuur verhoogt, loopt het risico op technische kwetsbaarheden en tekortkomingen in de naleving.
ReCyF en NIS2: regelgevende verplichtingen voor de centralisatie van toegang
Het Franse regelgevingskader is veranderd. NIS2 verplicht de bestuursorganen om de cybersecuritymaatregelen goed te keuren, de implementatie te superviseren en een specifieke training te volgen. De centralisatie van online diensten valt niet langer onder de exclusieve verantwoordelijkheid van het IT-team: de algemene directie is verantwoordelijk.
De ReCyF vertaalt deze verplichtingen naar operationele doelstellingen. Het dekt de documentatie van toegangsrechten, back-upprocedures, bedrijfscontinuïteit en de beveiliging van de leveranciersketen. We raden aan het te gebruiken als zelfevaluatietool, zelfs voor structuren die niet direct onder NIS2 vallen.
Een vaak verwaarloosd punt: NIS2 breidt de verantwoordelijkheid uit naar leveranciers die voor een gereguleerde entiteit werken. Leveranciersevaluatie, contractuele clausules, auditrecht, incidentmelding – dit zijn allemaal verplichtingen die een gecentraliseerd overzicht van alle gebruikte externe diensten vereisen. Zonder dit geconsolideerde overzicht is het onmogelijk om gestructureerd bewijs van naleving te leveren tijdens een controle of een contractuele audit via een toegang tot bestellingen op markeonbiz.fr die geschikt is voor dit type opvolging.
Accountbeheerder en controle van gebruikersrechten
Een bedrijfswachtwoordbeheerder (Bitwarden, 1Password Business, Keeper) vormt de minimale bouwsteen. We zien dat veel teams daar stoppen, wat onvoldoende is.
Het centraliseren van identificaties heeft geen waarde zonder een gedetailleerd rechtenbeleid. Het principe van de minste privileges moet van toepassing zijn op elk SaaS-account: een medewerker heeft alleen toegang tot de diensten die nodig zijn voor zijn functie, met een aangepast toestemmingsniveau.
Drie criteria onderscheiden functionele centralisatie van eenvoudige wachtwoordopslag:
- Geautomatiseerde provisioning en deprovisioning van accounts bij de komst of het vertrek van een medewerker, via een directory (LDAP, Azure AD) gekoppeld aan de beheerder
- Logging van inlogpogingen en wijziging van rechten om te voldoen aan de traceerbaarheidseisen van de ReCyF
- Periodieke beoordeling van de toegang, gedocumenteerd en gedateerd, waarmee kan worden aangetoond dat de privileges nog steeds gerechtvaardigd zijn
Zonder deze drie elementen blijft de centralisatie cosmetisch. Het stelt het management gerust zonder de werkelijke aanvalsvector te verkleinen.
Beveiliging van de leveranciersketen: in kaart brengen voordat je beschermt
NIS2 verplicht de betrokken entiteiten om de beveiliging van leveranciers in hun risicobeheer te integreren. In de praktijk begint dit met een uitgebreide inventarisatie van de gebruikte online diensten, inclusief die welke rechtstreeks door de afdelingen zijn aangeschaft zonder goedkeuring van de IT-afdeling (shadow IT).
We raden aan deze inventaris in vier kolommen te structureren:
- Naam van de dienst, uitgever en locatie van de gegevens (toepasselijke jurisdictie)
- Type verwerkte gegevens (persoonlijk, financieel, operationeel) en interne classificatie
- Niveau van kritikaliteit voor de bedrijfscontinuïteit
- Contractuele clausules die van toepassing zijn (SLA, incidentmelding, auditrecht, uitbesteding)
Dit register wordt het belangrijkste onderdeel van het conformiteitsdossier. Het dient zowel voor NIS2-audits als voor de RGPD-verplichtingen van de register van verwerkingen, aangezien iedere SaaS-dienst die persoonlijke gegevens verwerkt hierin moet worden opgenomen.
De bijzondere situatie van financiële instellingen
Financiële actoren moeten NIS2 onderscheiden van DORA. Sinds 17 januari 2025 legt DORA een direct toepasbaar kader voor digitale veerkracht op, inclusief het beheer van ICT-leveranciers. Voor deze structuren geldt dat de centralisatie van diensten onder twee parallelle referentiekaders valt, met verschillende test- en rapportage-eisen. Het verwarren van de twee leidt tot non-conformiteiten binnen een van beide kaders.
Back-ups en bedrijfscontinuïteit: de vergeten schakel van centralisatie
Toegang centraliseren zonder de back-upstrategie te centraliseren is als de voordeur op slot doen terwijl de ramen open blijven. De ReCyF omvat expliciet de back-upprocedures en de bedrijfscontinuïteit in zijn operationele doelstellingen.
Voor elke gecentraliseerde dienst is de vraag eenvoudig: wat gebeurt er als deze dienst 48 uur lang niet toegankelijk is? Het antwoord bepaalt het continuïteitsplan.
De back-ups moeten de configuratie van accounts en rechten dekken, niet alleen de documenten. Het verliezen van de gecentraliseerde directory zonder een bruikbare kopie betekent dat elke toegang, elke toestemming, elke groep handmatig moet worden hersteld. Bij een aantal van tientallen SaaS-diensten kan de reconstructie weken duren.
Een halfjaarlijkse hersteltest, gedocumenteerd en gedateerd, voldoet aan de verwachtingen van de ReCyF. Het stelt ook in staat te controleren of de geschreven procedures overeenkomen met de technische realiteit, wat zelden het geval is als ze nooit zijn getest.
De centralisatie van online diensten is niet langer een optimalisatieproject. Het is een governanceverplichting, gebaseerd op specifieke referentiekaders. Organisaties die zich hier nu aan committeren, vóór de volledige inwerkingtreding van het Franse systeem, zullen een concreet voordeel hebben tijdens de eerste audits.
