> For the complete documentation index, see [llms.txt](https://docs.dispel.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.dispel.com/documentation/documentation-nl/beveiligen-en-beheren/overview/compliance-and-audit-readiness.md).
# Aan de slag
Geautomatiseerde auditvoorbereidheid met Dispel voor NERC CIP-, NIST 800-53- en NIS2-controles.
## Aan de slag
Het samenstellen van een Dispel Compliance-pakket is een workflow in vier stappen:
1. [**Selecteer**](#step-1-select-a-framework) het raamwerk/de raamwerken waartegen uw organisatie rapporteert.
2. [**Beoordelen**](#step-2-assess-dispels-coverage) de dekking van Dispel ten opzichte van de huidige configuratie van uw tenant.
3. [**Controleren**](#step-3-review-coverage-and-close-gaps) welke controles Dispel dekt, identificeer eventuele hiaten in de dekking en gebruik de simulator om configuratiewijzigingen te plannen die deze dichten.
4. [**Exporteren**](#step-4-export-the-inheritance-package) de OSCAL-componentdefinitie en het PDF-rapport en overhandig deze aan uw GRC-team of auditor.
***
#### Stap 1: Selecteer een raamwerk
Door een raamwerk te selecteren geeft u Dispel aan in welke controlevocabulaire het zijn dekking moet uitdrukken. De meeste organisaties kiezen het raamwerk waar hun auditor of bevoegde autoriteit vanuit werkt. U kunt meerdere raamwerken tegelijk actief hebben — handig wanneer dezelfde Dispel-implementatie wordt geaudit tegen meer dan één regelgevend regime.
1. Navigeer in de linkerzijbalk naar **Instellingen**.
2. Open de **Compliance** tabblad.
3. Klik op **Raamwerk toevoegen**.
4. Selecteer een **catalogus** (bijv., *NIST SP 800-53 Rev 5*).
5. Selecteer een **profiel** of **baseline** (bijv., *Gematigd*). Profielen beperken een catalogus tot de subset van controles die vereist is op een gegeven impactniveau.
6. Klik op **Toevoegen**.
Het raamwerk verschijnt onmiddellijk in uw lijst met actieve raamwerken. Dispel begint op de achtergrond de dekking te evalueren en het dashboard wordt gevuld zodra evaluaties zijn voltooid.
{% hint style="info" %}
Het toevoegen van meerdere raamwerken **niet** leidt niet tot dubbel werk. Dispel produceert één enkele set bewijs over de eigen implementatie en herformuleert dit via elk actief raamwerk. Het toevoegen van NIST CSF bovenop NIST 800-53 hergebruikt hetzelfde onderliggende bewijs.
{% endhint %}
**Een raamwerk verwijderen**
Om een actief raamwerk te verwijderen, klikt u op het prullenbakpictogram ernaast in de lijst met actieve raamwerken. Door een raamwerk te verwijderen wordt de scorekaart verwijderd, maar dit heeft geen invloed op andere actieve raamwerken of op het onderliggende bewijsmateriaal. **U kunt verwijderde raamwerken eenvoudig opnieuw toevoegen zonder dat een van uw geschiedenis verloren gaat.**
***
#### Stap 2: Beoordeel de dekking van Dispel
**Geautomatiseerde beoordeling**
Dispel wordt geleverd met een bibliotheek van **controle-evaluators** die controleren of Dispel — gegeven de huidige configuratie van uw tenant — elke relevante controle implementeert. Bijvoorbeeld: `is MFA afgedwongen op deze tenant`, `is sessieopname ingeschakeld`, `voldoet het wachtwoordbeleid aan de raamwerkdrempel`, en `zijn verklaringen van leveranciers op dossier`. Elke evaluator wordt toegewezen aan een of meer controles in elk actief raamwerk.
Om een beoordeling uit te voeren:
1. Navigeer naar **Instellingen** > **Compliance**.
2. Open het raamwerk dat u wilt beoordelen.
3. Klik op **Beoordeling uitvoeren**.
Beoordelingsresultaten worden met een tijdstempel opgeslagen. Elke controle krijgt een van de volgende statussen, die de implementatie van die controle door Dispel op uw tenant beschrijft:
| Status | Betekenis |
| ----------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **Geïmplementeerd** | Dispel implementeert deze controle volledig op uw tenant. U kunt deze overnemen. |
| **Mislukt** | Dispel **niet** implementeert deze controle momenteel niet op uw tenant — doorgaans omdat een Dispel-instelling moet worden gewijzigd. U kunt deze niet overnemen zoals deze is geconfigureerd. |
| **Niet beoordeeld** | Er wordt geen geautomatiseerde evaluator voor deze controle uitgevoerd, of evaluators zijn nog niet voltooid. |
| **Niet van toepassing** | De controle valt buiten de reikwijdte van Dispel (bijv. fysieke beveiliging op uw locatie) en overname vanuit Dispel is niet van toepassing. |
{% hint style="info" %}
Beoordelingen zijn niet-destructief en alleen-lezen. Ze observeren de configuratie van Dispel; ze wijzigen nooit uw tenant.
{% endhint %}
***
#### Stap 3: Controleer de dekking en los hiaten op
Het Compliance-dashboard is uw dagelijkse werkruimte om te begrijpen wat Dispel op uw tenant dekt en waar de dekking kan worden verbeterd.
**Scorekaart**
Elk actief raamwerk heeft een scorekaart die het percentage in-scope controles toont dat Dispel momenteel op uw tenant implementeert. Gedeeltelijke krediet wordt gegeven wanneer slechts enkele subcontroles of uitbreidingen zijn geïmplementeerd. Beweeg over een getal voor de onderliggende uitsplitsing.
**Sunburstdiagram**
De hiërarchische sunburstvisualisatie toont in één oogopslag de dekking van Dispel: raamwerk → controlegroep → individuele controle. Geïmplementeerde (overdraagbare) controles worden groen weergegeven; mislukte (momenteel niet-overdraagbare) rood; niet-beoordeelde grijs. Klik op een segment om naar de detailpagina van de controle te gaan.
**Detailpagina van de controle**
Bij het selecteren van een controle worden getoond:
* **Status** — de huidige en historische implementatie van de controle door Dispel op deze tenant
* **Bewijs** — de specifieke evaluators die hebben bijgedragen aan de status, met tijdstempels en de onderliggende waarden die zij hebben waargenomen
* **Narratief** — de implementatieverklaring van Dispel voor de controle
* **Herkomst** — elk ander raamwerk waarvan de controles naar hetzelfde bewijs mappen (zodat één overnameclaim in meerdere raamwerktalen kan worden uitgedrukt)
* **Richtlijnen voor herstel** — voor mislukte controles, een beschrijving van de Dispel-instelling of configuratiewijziging die de overname zou herstellen
**Simulatie van configuratie-impact**
Voordat u een Dispel-instelling op uw tenant wijzigt, gebruikt u de simulator om te voorspellen hoe de dekking verschuift:
1. Bekijk op het dashboard **Geschat effect** onder **Aanbevelingen**.
2. Zoek een of meer Dispel-instellingen in het overlaypaneel (bijv., *MFA inschakelen voor alle gebruikers*).
3. Vergelijk de geprojecteerde scorekaart met uw huidige scorekaart.
De simulator wijzigt geen echte instellingen. Het is puur een planningshulpmiddel om wijzigingen te sequencen die de overname van Dispel versterken.
{% hint style="info" %}
Gebruik de simulator om configuratiewijzigingen te plannen in de volgorde die eerst de meeste overdraagbare controles herstelt.
{% endhint %}
***
#### Stap 4: Exporteer het overnamepakket
**OSCAL-componentdefinitie**
De OSCAL-componentdefinitie is het gestandaardiseerde artefact voor het documenteren van de bijdrage van één component aan het System Security Plan van een klant. Voor Dispel is die component uw Dispel-implementatie, en de Component Definition is het gezaghebbende record van waarvoor uw auditor u krediet kan geven voor overname.
1. Open de detailpagina van het raamwerk.
2. Klik op **Exporteren** > **OSCAL-componentdefinitie**.
3. Er wordt een JSON-bestand gedownload dat voldoet aan OSCAL 1.1.2.
De export bevat:
* De catalogus en het profiel waarin de overnameclaim wordt uitgedrukt
* De implementatiestatus van elke in-scope controle aan de kant van Dispel (`geïmplementeerd`, `gedeeltelijk`, `niet-geïmplementeerd`, `niet van toepassing`)
* De implementatienarratief van Dispel voor elke controle
* Links naar de onderliggende bewijslocaties
Dit bestand kan worden geïmporteerd in eMASS-, Xacta-, RegScale-, FedRAMP- en GovRAMP-indieningen, of in elke tool die OSCAL accepteert — waar het naast Component Definitions van uw andere leveranciers en uw interne SSP-inhoud staat.
**Executive-pdfrapport**
Voor interne stakeholders en auditbegeleidende brieven:
1. Open de detailpagina van het raamwerk.
2. Klik op **Exporteren** > **PDF-rapport**.
Het rapport bevat:
* Een managementsamenvatting waarin staat welk percentage van de in-scope controles u vandaag van Dispel kunt overnemen
* Een raamwerkscorekaart
* Elke controle die Dispel momenteel niet op uw tenant implementeert, met de configuratiewijziging die de overname zou herstellen
* De lijst met bewijsbronnen die aan de beoordeling bijdragen
* Generatietijdstempel en de identiteit van de beoordelaar
***
### Doorlopend bewijs en audittrail
Elke uitvoering van een evaluator produceert een **bewijssnapshot** dat met een tijdstempel wordt opgeslagen. De snapshot legt vast wat Dispel op dat moment over zijn eigen dekking observeerde.
Auditors die een specifiek moment in de tijd moeten verifiëren, kunnen:
1. Het beoordelingsrecord voor de betreffende datum opzoeken.
2. Inzoomen op de bewijssnapshot voor elke afzonderlijke controle.
3. De exacte waarden zien die de evaluator observeerde en het tijdstempel van de observatie.
***
### Wat Dispel dekt (en wat het niet dekt)
Dispel dekt de beveiligingscontroles die binnen het Dispel-platform zelf zijn geïmplementeerd — voornamelijk de lagen voor externe toegang, identiteit, sessiemonitoring, netwerksegmentatie en OT-connectiviteit. Controles die afhankelijk zijn van de eigen bedrijfspositie van Dispel (leveranciersbeheer, supply chain, SDLC, personeelscreening) worden ook gedekt via de gepubliceerde implementatienarratieven van Dispel.
Dispel **niet** controles buiten zijn footprint: fysieke beveiliging op uw locaties, endpointverharding op apparatuur die Dispel niet beheert, applicatieontwikkeling binnen uw bedrijfssystemen, HR-praktijken bij uw organisatie, enzovoort. Die controles blijven volledig binnen uw eigen GRC-tooling.
De volgende tabel vat de categorieën bewijs samen die Dispel produceert en de raamwerkcontrolegroepen die zij doorgaans ondersteunen. Dit is illustratief; de gezaghebbende mapping voor uw actieve raamwerk wordt op de detailpagina van elke controle weergegeven.
| Bewijscategorie | Representatieve NIST 800-53-families | Representatieve NERC CIP-vereisten | Representatieve NIS2-maatregelen (Uitvoeringsverordening 2024/2690) |
| -------------------------------------------------- | ------------------------------------ | ---------------------------------- | ------------------------------------------------------------------- |
| Identiteit, MFA, sessielevenscyclus | AC, IA | CIP-004, CIP-005, CIP-007 | Identiteit & toegangsbeheer; authenticatie |
| Externe toegang en segmentatie | AC, SC | CIP-005, CIP-007 | Netwerkbeveiliging; toegangsbeheerbeleid |
| Sessieregistratie en forensisch onderzoek | AU | CIP-007, CIP-008 | Incidentafhandeling; logging & monitoring |
| Configuratie- en wijzigingsregistraties | CM | CIP-010 | Activabeheer; wijzigingsbeheer |
| Verklaringen van leveranciers en toeleveringsketen | SR, PS | CIP-013 | Beveiliging van de toeleveringsketen |
| Platformverklaring en integriteit | SI, SC | CIP-007, CIP-010 | Kwetsbaarheidsafhandeling & openbaarmaking; cryptografie |
***
### Veelgestelde vragen
Verandert het uitvoeren van een beoordeling iets op mijn tenant?
Nee. Beoordelingen zijn alleen-lezen. Ze observeren de huidige status van uw Dispel-configuratie en produceren bewijssnapshots over de dekking van Dispel. Ze wijzigen nooit instellingen, gebruikers, apparaten of beleidsregels.
Hoe vaak moet ik een beoordeling uitvoeren?
Voor de meeste organisaties is het voldoende om een beoordeling uit te voeren na elke significante configuratiewijziging. Sommige auditors eisen bewijs van periodieke beoordeling (bijv. maandelijks of per kwartaal) — plan beoordelingen volgens het ritme dat uw auditprogramma vereist. De OSCAL-export en het PDF-rapport leggen het tijdstempel van de beoordeling vast.
Kan ik Dispel gebruiken als mijn volledige GRC-systeem?
Nee. Dispel is alleen het bronregister voor de controles die Dispel zelf implementeert — de overnamelaag onder uw audit. Voor controles buiten de footprint van Dispel (fysieke beveiliging, HR-processen, softwareontwikkelpraktijken, endpoints die Dispel niet beheert, enz.) bevindt het bewijs zich in uw enterprise GRC-platform. De Dispel OSCAL-componentdefinitie is ontworpen om in dat platform te worden opgenomen als één component onder vele.
Wat betekent "Niet beoordeeld" bij een controle?
Een controle toont *Niet beoordeeld* wanneer er nog geen geautomatiseerde evaluator op draait, of wanneer evaluators nog niet zijn voltooid. Dit is iets anders dan *Niet van toepassing*, wat betekent dat de controle buiten de reikwijdte van Dispel valt en geen deel uitmaakt van wat u van Dispel kunt overnemen.
Kan ik NIS2-naleving aantonen met Dispel?
Voor het deel van NIS2 dat Dispel dekt, denken wij van wel. Selecteer **NIS2** als actief raamwerk en Dispel produceert een Component Definition die is uitgedrukt tegen de maatregelen in de EU NIS2-Uitvoeringsverordening (2024/2690), gekoppeld aan NIST 800-53 volgens ENISA’s technische implementatierichtlijnen. Overhandig dit samen met de rest van uw NIS2-documentatie aan uw bevoegde autoriteit als de overnamelaag voor uw controles op externe toegang, identiteit, sessiemonitoring en OT-connectiviteit.
ENISA heeft nog geen officiële NIS2 OSCAL-catalogus gepubliceerd. De Dispel-catalogus is rechtstreeks opgesteld op basis van de juridische tekst van de Uitvoeringsverordening. Als ENISA in de toekomst een officiële catalogus publiceert, zal Dispel die overnemen.
Waarom tonen sommige controles "Niet van toepassing"?
Een controle wordt gemarkeerd als *Niet van toepassing* wanneer deze buiten de footprint van Dispel valt en daarom niets is wat u van Dispel kunt overnemen — bijvoorbeeld controles die fysieke toegang tot uw locatie, aanwervingspraktijken binnen uw organisatie of softwareontwikkeling aan uw interne applicaties regelen. De N/A-bepaling wordt vastgelegd in de OSCAL-export zodat uw auditor exact kan zien welke controles van de Dispel-overnameclaim zijn uitgesloten en deze via andere kanalen kan verifiëren.
Wat gebeurt er met mijn gegevens als ik een raamwerk verwijder?
Niets, het is volledig veilig. Het verwijderen van een raamwerk verwijdert de scorekaart en haalt het van het dashboard. Onderliggende bewijssnapshots en controlenarratieven blijven behouden en worden opnieuw beschikbaar als u het raamwerk opnieuw toevoegt. Er gaat geen beoordelingsgeschiedenis verloren.
Bevat de OSCAL-export gevoelige configuratie van de tenant?
Nee. De Component Definition bevat de implementatiestatus van Dispel, narratieven en verwijzingen naar bewijs — niet de ruwe configuratiewaarden, inloggegevens, IP-adressen of gebruikersgegevens uit uw tenant. Het is veilig om met auditors te delen en te uploaden naar OSCAL-compatibele GRC-platforms.
Kan hetzelfde Dispel-bewijs meer dan één raamwerk ondersteunen?
Ja. Dit is het belangrijkste voordeel van de OSCAL-gebaseerde architectuur. Eén enkel stuk Dispel-bewijs (bijv. “MFA is enforced on this tenant”) draagt tegelijkertijd bij aan NIST 800-53 IA-2(1), NIST CSF PR.AA-03, NERC CIP-005-7 R2 en elke andere controle die naar dezelfde evaluator mapt. Dezelfde overnameclaim kan worden uitgedrukt in welke raamwerktaal dan ook die elk van uw audits vereist.
Hoe bewijs ik continue dekking van Dispel tijdens een auditperiode?
Voer aan het begin van uw auditperiode een beoordeling uit en aan het einde nog één, en vertrouw op de onderliggende bewijssnapshots daartussen. Elke snapshot is voorzien van een tijdstempel, zodat u kunt laten zien dat uw overnameclaim van Dispel geldig was voor elke dag van de auditperiode — niet alleen op de dag waarop de beoordeling werd gegenereerd.
Kan ik mijn eigen interne controleraamwerk toevoegen?
Het inlezen van een aangepaste catalogus staat op de roadmap. Op dit moment worden interne raamwerken doorgaans weergegeven door de dichtstbijzijnde gepubliceerde baseline te selecteren (bijv. NIST 800-53 Gematigd) — Dispel zal zijn overnamebewijs in die woordenschat produceren, waarna uw GRC-team dit opnieuw kan toewijzen aan het interne raamwerk binnen uw enterprise GRC-platform.
---
# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.
## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.
Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:
```
GET https://docs.dispel.com/documentation/documentation-nl/beveiligen-en-beheren/overview/compliance-and-audit-readiness.md?ask=&goal=
```
`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.
The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.
Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.