CloudVision M365-assessment

contoso-demo.example

Contoso Demo BV (demo)

Microsoft 365 Business Premium
Alle kaders · afgerond op 16 okt 2026 11:33 UTC door demo@contoso-demo.example
43% Totaalscore
8
Niet compliant
23 gedeeltelijk compliant
4
Licentietekorten
maatregelen die een hogere licentie vereisen
13
Bevestiging nodig
organisatorische / manuele maatregelen

Categorieën

Score per categorie

Identiteit & toegang 34% Toestellen & endpoints 54% Bescherming tegen dreigingen 25% E-mailbeveiliging 64% Samenwerken & delen 10% Gegevensbescherming 50% Logging & monitoring 86% Governance & weerbaarheid 50% AI-governance 25%

Categorieën

Resultaten per categorie

Identiteit & toegang 13 Toestellen & endpoints 5 Bescherming tegen dreigingen 4 E-mailbeveiliging 6 Samenwerken & delen 3 Gegevensbescherming 3 Logging & monitoring 4 Governance & weerbaarheid 9 AI-governance 8
CompliantGedeeltelijk compliantNiet compliantLicentietekortBevestiging nodig

Kaders

Dekking per kader

NIS2 42% 21.2.a Beleid inzake risicoanalyse en beveili… – 21.2.b Incidentenbehandeling 47% 21.2.c Bedrijfscontinuïteit, back-upbeheer en… 50% 21.2.d Beveiliging van de toeleveringsketen 9% 21.2.e Beveiliging bij aanschaf, ontwikkeling… 75% 21.2.f Beleid om de effectiviteit van cyberbe… 50% 21.2.g Basispraktijken voor cyberhygiëne en o… 56% 21.2.h Beleid inzake cryptografie en versleut… 50% 21.2.i Personeelsbeveiliging, toegangsbeleid … 32% 21.2.j Multifactorauthenticatie en beveiligde… 50% 23 Meldingsverplichtingen (vroegtijdige w… 50%
ISO/IEC 27001:2022 46% A.5.1 Beleid voor informatiebeveiliging – A.5.7 Informatie over dreigingen 25% A.5.9 Inventaris van informatie en andere bi… – A.5.10 Aanvaardbaar gebruik van informatie en… – A.5.12 Classificatie van informatie 50% A.5.13 Labelen van informatie 50% A.5.14 Overdragen van informatie 43% A.5.15 Toegangsbeveiliging 23% A.5.16 Identiteitsbeheer 50% A.5.17 Authenticatie-informatie 83% A.5.18 Toegangsrechten 50% A.5.19 Informatiebeveiliging in leveranciersr… 25% A.5.23 Informatiebeveiliging voor het gebruik… 50% A.5.24 Planning en voorbereiding van het behe… – A.5.26 Reageren op informatiebeveiligingsinci… 0% A.5.28 Verzamelen van bewijsmateriaal 100% A.5.29 Informatiebeveiliging tijdens een vers… – A.5.30 ICT-gereedheid voor bedrijfscontinuïte… – A.5.33 Bescherming van registraties 50% A.5.34 Privacy en bescherming van persoonsgeg… 50% A.6.3 Bewustwording, opleiding en training o… 0% A.8.1 Gebruikersapparatuur 54% A.8.2 Speciale toegangsrechten 36% A.8.5 Beveiligde authenticatie 42% A.8.7 Bescherming tegen malware 50% A.8.8 Beheer van technische kwetsbaarheden 50% A.8.9 Configuratiebeheer 75% A.8.12 Voorkomen van gegevenslekken 50% A.8.13 Back-up van informatie 50% A.8.15 Logging 89% A.8.16 Monitoren van activiteiten 40% A.8.23 Webfiltering 50% A.8.24 Gebruik van cryptografie 50%
EU AI Act 36% Art.4 AI-geletterdheid van personeel dat met… – Art.5 Verboden AI-praktijken worden niet geb… – Art.10 Data en datagovernance (kwaliteit en b… 38% Art.12 Registratie / automatische logging van… 80% Art.14 Menselijk toezicht – Art.15 Nauwkeurigheid, robuustheid en cyberbe… 50% Art.26 Verplichtingen van gebruiksverantwoord… 35% Art.50 Transparantieverplichtingen (AI-gegene… –

Licenties

Microsoft 365 Business Premium

Actieve beveiligingsfuncties

  • Microsoft 365 Copilot
  • Entra ID P1 (Conditional Access)
  • Exchange Online
  • Microsoft Intune
  • Defender for Endpoint / Business
  • Defender for Office 365 P1
  • Purview Information Protection P1
  • SharePoint Online

Abonnementen

  • SPB – 40/45
  • Microsoft_365_Copilot – 5/5

Prioriteiten

Grootste risico's

  1. Legacy-authenticatie geblokkeerd Niet compliant hoog
  2. Toestemming van gebruikers voor applicaties beperkt Niet compliant hoog
  3. Geen openstaande beveiligingswaarschuwingen met hoge ernst Niet compliant hoog
  4. Niveau van extern delen voor SharePoint en OneDrive Niet compliant hoog
  5. Gebruikers kunnen AI-apps niet zonder goedkeuring aan bedrijfsgegevens koppelen Niet compliant hoog
  6. Geen niet-geremedieerde gebruikers met hoog risico Licentietekort hoog
  7. MFA afgedwongen voor beheerdersrollen Gedeeltelijk compliant hoog
  8. Compliancegraad van beheerde toestellen Gedeeltelijk compliant hoog
  9. Schijfversleuteling op Windows- en macOS-toestellen Gedeeltelijk compliant hoog
  10. Policies voor Safe Links en Safe Attachments Gedeeltelijk compliant hoog

Details

Bevindingen

Identiteit & toegang

ID-03 Legacy-authenticatie geblokkeerd hoog Niet compliant
Resultaat: Geen enkele actieve Conditional Access-policy blokkeert clients met legacy-authenticatie.
Oudere protocollen (POP, IMAP, SMTP AUTH, EAS basic) ondersteunen geen MFA en zijn een veelgebruikte aanvalsweg.
Remediëring
Maak een Conditional Access-policy: All users, All cloud apps, Conditions > Client apps = 'Exchange ActiveSync clients' en 'Other clients', Grant = Block access.
NIS2 21.2.jISO/IEC 27001:2022 A.8.5
ID-09 Toestemming van gebruikers voor applicaties beperkt hoog Niet compliant
Resultaat: Gebruikers kunnen toestemming geven aan elke applicatie die toegang tot hun gegevens vraagt.
Gebruikers mogen externe apps (ook AI-apps) geen toegang tot bedrijfsgegevens kunnen geven; misbruikte toestemmingen zijn een gekende aanval en een route voor niet-goedgekeurde AI-tools.
  • ManagePermissionGrantsForSelf.microsoft-user-default-legacy
Remediëring
Entra ID > Enterprise applications > Consent and permissions: zet gebruikerstoestemming op 'Do not allow' of 'Allow for apps from verified publishers, for selected permissions' en schakel de admin consent workflow in zodat gebruikers apps kunnen aanvragen.
NIS2 21.2.dNIS2 21.2.iISO/IEC 27001:2022 A.5.15ISO/IEC 27001:2022 A.5.19EU AI Act Art.26
ID-08 Geen niet-geremedieerde gebruikers met hoog risico hoog Licentietekort
Resultaat: Vereist Entra ID P2 (PIM, Identity Protection) (Microsoft 365 E5 of de Entra ID P2- / E5 Security-add-on).
Gebruikers die Identity Protection als hoog risico markeert, hebben waarschijnlijk gelekte aanmeldgegevens.
Remediëring
Onderzoek elke risicogebruiker in Entra ID > Protection > Risky users, reset de aanmeldgegevens en trek sessies in, en bevestig daarna de compromittering of verwerp het risico.
NIS2 21.2.bISO/IEC 27001:2022 A.5.26 Vereist Entra ID P2 (PIM, Identity Protection)
ID-06 Privileged Identity Management (just-in-time beheerdersrechten) middel Licentietekort
Resultaat: Vereist Entra ID P2 (PIM, Identity Protection) (Microsoft 365 E5 of de Entra ID P2- / E5 Security-add-on).
Bevoorrechte rollen horen eligible te zijn (op aanvraag geactiveerd) in plaats van permanent toegewezen.
Remediëring
Zet in Entra ID > Privileged Identity Management permanente toewijzingen van bevoorrechte rollen om naar eligible toewijzingen met goedkeuring en MFA bij activatie. Houd enkel break-glass-accounts permanent.
NIS2 21.2.iISO/IEC 27001:2022 A.8.2 Vereist Entra ID P2 (PIM, Identity Protection)
ID-07 Risicogebaseerde Conditional Access (Identity Protection) middel Licentietekort
Resultaat: Vereist Entra ID P2 (PIM, Identity Protection) (Microsoft 365 E5 of de Entra ID P2- / E5 Security-add-on).
Policies voor aanmeldrisico en gebruikersrisico vragen automatisch extra verificatie of blokkeren gecompromitteerde sessies.
Remediëring
Maak twee Conditional Access-policies: (1) aanmeldrisico Medium en High -> MFA vereisen, (2) gebruikersrisico High -> veilige wachtwoordwijziging vereisen. Sluit break-glass-accounts uit.
NIS2 21.2.jNIS2 21.2.bISO/IEC 27001:2022 A.8.5ISO/IEC 27001:2022 A.5.7 Vereist Entra ID P2 (PIM, Identity Protection)
ID-02 MFA afgedwongen voor beheerdersrollen hoog Gedeeltelijk compliant
Resultaat: Beheerders moeten MFA gebruiken, maar geen phishingbestendige authentication strength.
Bevoorrechte directoryrollen moeten altijd MFA vereisen, bij voorkeur phishingbestendig.
  • CA001 - Require MFA for all users
Remediëring
Maak een Conditional Access-policy voor de bevoorrechte directoryrollen (Global, Security, Exchange, SharePoint, User, Privileged Role, Conditional Access administrators, ...) voor alle cloud-apps, die enkel toegang geeft met de authentication strength 'Phishing-resistant MFA'.
NIS2 21.2.jNIS2 21.2.iISO/IEC 27001:2022 A.8.2ISO/IEC 27001:2022 A.8.5
ID-04 MFA-registratiegraad middel Gedeeltelijk compliant
Resultaat: 87.5% van 40 gebruikersaccounts is geregistreerd voor MFA (5 niet geregistreerd).
Aandeel actieve gebruikersaccounts dat een MFA-methode registreerde (doel: minstens 95%).
  • user01@contoso-demo.example
  • user10@contoso-demo.example
  • user19@contoso-demo.example
  • user28@contoso-demo.example
  • user37@contoso-demo.example
Remediëring
Start een MFA-registratiecampagne (Entra admin centre > Protection > Authentication methods > Registration campaign) en volg de gemelde gebruikers op. Overweeg een Conditional Access-policy die MFA-registratie enkel vanaf vertrouwde locaties toelaat.
NIS2 21.2.jISO/IEC 27001:2022 A.5.17 Vereist Entra ID P1 (Conditional Access)
ID-05 Aantal globale beheerders middel Gedeeltelijk compliant
Resultaat: 5 actieve toewijzingen van Global Administrator (aanbevolen: 2-4).
Microsoft raadt 2 tot 4 globale beheerders aan (inclusief break-glass-accounts).
  • admin@contoso-demo.example
  • breakglass1@contoso-demo.example
  • breakglass2@contoso-demo.example
  • it.manager@contoso-demo.example
  • ceo@contoso-demo.example
Remediëring
Beperk permanente Global Administrator-toewijzingen tot maximaal 4, gebruik rollen met minimale rechten (bv. Exchange of User Administrator) voor dagelijks werk en houd twee cloud-only break-glass-accounts.
NIS2 21.2.iISO/IEC 27001:2022 A.8.2ISO/IEC 27001:2022 A.5.18
ID-11 Gasttoegang en uitnodigingen beperkt middel Gedeeltelijk compliant
Resultaat: Gastinstellingen zijn gedeeltelijk beperkt.
Gasten horen beperkte directorytoegang te hebben en enkel beheerders/uitnodigers mogen gasten uitnodigen.
  • guestUserRoleId: 10dae51f-b6af-4016-8d66-8c2a99b929b3
  • allowInvitesFrom: everyone
Remediëring
Entra ID > External identities > External collaboration settings: zet de gasttoegang op 'restricted access' en de uitnodigingsinstelling op 'Only users assigned to specific admin roles'.
NIS2 21.2.iISO/IEC 27001:2022 A.5.15ISO/IEC 27001:2022 A.5.19
ID-12 Inactieve accounts (90 dagen niet aangemeld) middel Gedeeltelijk compliant
Resultaat: 3 van 40 actieve gebruikersaccounts (7.5%) hebben zich al 90+ dagen niet aangemeld.
Actieve accounts die zich 90 dagen niet aanmeldden, moeten nagekeken en uitgeschakeld worden.
  • user04@contoso-demo.example
  • user18@contoso-demo.example
  • user30@contoso-demo.example
Remediëring
Overloop de gemelde accounts met hun leidinggevenden, schakel accounts van vertrokken medewerkers uit en stel Entra access reviews (P2) of een terugkerend rapport in om inactieve accounts te vinden.
NIS2 21.2.iISO/IEC 27001:2022 A.5.18ISO/IEC 27001:2022 A.5.16 Vereist Entra ID P1 (Conditional Access)
ID-10 Gebruikers kunnen geen applicaties registreren of tenants aanmaken laag Gedeeltelijk compliant
Resultaat: Standaardgebruikers mogen: allowedToCreateApps
Standaardgebruikers horen geen appregistraties of nieuwe Entra-tenants te kunnen aanmaken.
  • allowedToCreateApps
Remediëring
Entra ID > Users > User settings: zet 'Users can register applications' op No en 'Restrict non-admin users from creating tenants' op Yes.
NIS2 21.2.iISO/IEC 27001:2022 A.5.15ISO/IEC 27001:2022 A.8.9
ID-01 Meervoudige verificatie (MFA) afgedwongen voor alle gebruikers hoog Compliant
Resultaat: 1 actieve policy('s) vereisen MFA voor alle gebruikers.
Elke gebruiker moet MFA gebruiken. Gecontroleerd via Conditional Access-policies voor alle gebruikers en alle cloud-apps, of via Security Defaults.
  • CA001 - Require MFA for all users
NIS2 21.2.jISO/IEC 27001:2022 A.5.17ISO/IEC 27001:2022 A.8.5
ID-13 Wachtwoorden verlopen nooit (met MFA) laag Compliant
Resultaat: Wachtwoorden verlopen niet periodiek.
Actuele richtlijnen van NIST en Microsoft: geen periodiek verlopen van wachtwoorden wanneer MFA afgedwongen wordt, omdat verplichte wijzigingen tot zwakkere wachtwoorden leiden.
ISO/IEC 27001:2022 A.5.17

Toestellen & endpoints

DEV-02 Toestellen zonder compliancepolicy worden als niet compliant gemarkeerd middel Niet compliant
Resultaat: Toestellen zonder toegewezen compliancepolicy worden als compliant beschouwd.
Anders wordt een toestel zonder toegewezen policy als compliant beschouwd en raakt het door Conditional Access.
Remediëring
Intune > Endpoint security > Device compliance > Compliance policy settings: zet 'Mark devices with no compliance policy assigned as' op Not compliant.
NIS2 21.2.iISO/IEC 27001:2022 A.8.1 Vereist Microsoft Intune
DEV-03 Compliancegraad van beheerde toestellen hoog Gedeeltelijk compliant
Resultaat: 86.5% van 37 beheerde toestellen is compliant.
Aandeel Intune-beheerde toestellen dat momenteel aan de compliancepolicies voldoet (doel: 90%).
  • CDM-LT007 (Windows): noncompliant
  • CDM-LT014 (Windows): noncompliant
  • CDM-LT021 (Windows): noncompliant
  • CDM-LT028 (Windows): noncompliant
  • CDM-LT035 (iOS): noncompliant
Remediëring
Bekijk niet-compliante toestellen in Intune > Devices > Monitor > Noncompliant devices en los de falende instellingen op; verwijder verouderde toestellen die niet meer synchroniseren.
NIS2 21.2.gISO/IEC 27001:2022 A.8.1ISO/IEC 27001:2022 A.8.8 Vereist Microsoft Intune
DEV-04 Schijfversleuteling op Windows- en macOS-toestellen hoog Gedeeltelijk compliant
Resultaat: 93.1% van 29 Windows-/macOS-toestellen is versleuteld.
BitLocker / FileVault beschermen gegevens op verloren of gestolen laptops.
  • CDM-LT011
  • CDM-LT022
Remediëring
Rol een Intune-policy voor schijfversleuteling uit (Endpoint security > Disk encryption) voor BitLocker en FileVault met sleutelopslag in Entra ID, en vereis versleuteling in de compliancepolicy.
NIS2 21.2.hISO/IEC 27001:2022 A.8.24ISO/IEC 27001:2022 A.8.1 Vereist Microsoft Intune
DEV-05 Conditional Access vereist een compliant of hybrid-joined toestel middel Gedeeltelijk compliant
Resultaat: Toestelcompliance is enkel vereist voor sommige gebruikers of apps.
Toegang tot bedrijfsgegevens mag enkel mogelijk zijn vanaf beheerde, gezonde toestellen.
  • CA003 - Compliant device for admins
Remediëring
Maak een Conditional Access-policy voor alle gebruikers en Office 365 (of alle apps): Grant = Require device to be marked as compliant OF Require Microsoft Entra hybrid joined device. Gebruik voor mobiel app protection policies met 'Require app protection policy'.
NIS2 21.2.iNIS2 21.2.jISO/IEC 27001:2022 A.8.1ISO/IEC 27001:2022 A.5.15 Vereist Entra ID P1 (Conditional Access)Vereist Microsoft Intune
DEV-01 Compliancepolicies voor toestellen ingesteld hoog Compliant
Resultaat: 2 compliancepolicies voor: ios, windows10
Compliancepolicies leggen de minimale beveiligingsbasis vast (versleuteling, OS-versie, antivirus, firewall).
  • Windows baseline
  • iOS baseline
NIS2 21.2.gNIS2 21.2.eISO/IEC 27001:2022 A.8.1ISO/IEC 27001:2022 A.8.9 Vereist Microsoft Intune

Bescherming tegen dreigingen

THR-02 Geen openstaande beveiligingswaarschuwingen met hoge ernst hoog Niet compliant
Resultaat: 1 waarschuwingen met hoge ernst staan open (2 openstaand in totaal).
Onopgeloste Defender-waarschuwingen met hoge ernst kunnen op een lopend incident wijzen.
  • Suspicious inbox forwarding rule (microsoftDefenderForOffice365, 2026-10-13)
Remediëring
Behandel de openstaande waarschuwingen in de Defender portal > Incidents & alerts, documenteer het onderzoek en beoordeel of het incident significant is volgens NIS2 art. 23 (vroegtijdige waarschuwing binnen 24u aan het CSIRT).
NIS2 21.2.bNIS2 23ISO/IEC 27001:2022 A.5.26ISO/IEC 27001:2022 A.8.16 Vereist Defender for Endpoint / Business
THR-03 Phishingsimulatie in de afgelopen 12 maanden middel Licentietekort
Resultaat: Vereist Defender for Office 365 P2 (Microsoft 365 E5 of de Defender for Office 365 P2-add-on).
Regelmatige phishingsimulaties meten en verbeteren het bewustzijn van gebruikers (NIS2 cyberhygiëne en opleiding).
Remediëring
Voer minstens elk kwartaal Attack simulation training uit (Defender portal > Email & collaboration) en wijs de opvolgtrainingen toe aan gebruikers die geklikt hebben.
NIS2 21.2.gISO/IEC 27001:2022 A.6.3 Vereist Defender for Office 365 P2
THR-04 Policies voor Safe Links en Safe Attachments hoog Gedeeltelijk compliant
Resultaat: Slechts één van Safe Links / Safe Attachments is ingesteld.
Defender for Office 365 opent bijlagen in een sandbox en controleert URL's op het moment van klikken.
  • Safe Links-regels: 0
  • Safe Attachments-regels: 1
  • Vooraf ingestelde policies: -
Remediëring
Pas de vooraf ingestelde beveiligingspolicy 'Standard' of 'Strict' toe (Defender portal > Email & collaboration > Policies > Preset security policies) op alle ontvangers.
NIS2 21.2.eISO/IEC 27001:2022 A.8.7ISO/IEC 27001:2022 A.8.23 Vereist Defender for Office 365 P1
THR-01 Microsoft Secure Score middel Gedeeltelijk compliant
Resultaat: Secure Score is 42 / 78 (52.6%).
Microsofts eigen meting van de beveiligingshouding over identiteit, toestellen, apps en gegevens.
  • BlockLegacyAuthentication: 0%
  • DLPEnabled: 0%
  • mdo_safeattachments: 20%
Remediëring
Open Defender portal > Exposure management > Secure Score en werk de aanbevolen acties met de grootste impact af. Streef naar minstens 70%.
NIS2 21.2.fISO/IEC 27001:2022 A.8.9ISO/IEC 27001:2022 A.5.7

E-mailbeveiliging

EML-02 DMARC-policy afgedwongen (quarantine of reject) hoog Gedeeltelijk compliant
Resultaat: DMARC gecontroleerd voor 1 domein(en): contoso-demo.example: Gedeeltelijk compliant
DMARC vraagt ontvangers om vervalste mail die van uw domeinen lijkt te komen in quarantaine te plaatsen of te weigeren.
  • contoso-demo.example: Gedeeltelijk compliant
Remediëring
Publiceer _dmarc.<domein> TXT 'v=DMARC1; p=none; rua=mailto:...' om rapporten te verzamelen, corrigeer legitieme verzenders en ga daarna naar p=quarantine en uiteindelijk p=reject.
NIS2 21.2.jISO/IEC 27001:2022 A.5.14
EML-04 Automatisch doorsturen naar externe adressen geblokkeerd hoog Gedeeltelijk compliant
Resultaat: Doorsturen staat op 'Automatic' (systeemgestuurd); zet het expliciet op Off.
Aanvallers die een mailbox overnemen, stellen vaak extern doorsturen in om mail buit te maken.
  • Default: Automatic
Remediëring
Defender portal > Policies > Anti-spam > Outbound policy: zet 'Automatic forwarding rules' op Off. Sta uitzonderingen enkel toe met een aparte policy voor specifieke mailboxen.
NIS2 21.2.iISO/IEC 27001:2022 A.8.12ISO/IEC 27001:2022 A.5.14 Vereist Exchange Online
EML-03 DKIM-ondertekening ingesteld middel Gedeeltelijk compliant
Resultaat: DKIM-selectors gecontroleerd voor 1 domein(en): contoso-demo.example: Gedeeltelijk compliant
DKIM ondertekent uitgaande mail zodat ontvangers kunnen nagaan dat ze niet gewijzigd werd en van uw tenant komt.
  • contoso-demo.example: Gedeeltelijk compliant
Remediëring
Defender portal > Email authentication settings > DKIM: publiceer de CNAME-records selector1/selector2 voor elk domein en schakel ondertekening in.
NIS2 21.2.jNIS2 21.2.hISO/IEC 27001:2022 A.5.14ISO/IEC 27001:2022 A.8.24
EML-06 SMTP AUTH tenantbreed uitgeschakeld middel Gedeeltelijk compliant
Resultaat: SMTP AUTH is ingeschakeld voor de organisatie.
SMTP-clientauthenticatie gebruikt basisaanmeldgegevens en omzeilt MFA.
Remediëring
Voer Set-TransportConfig -SmtpClientAuthenticationDisabled $true uit en schakel het per mailbox enkel in voor toestellen/apps die het echt nodig hebben.
NIS2 21.2.jISO/IEC 27001:2022 A.8.5 Vereist Exchange Online
EML-01 SPF-record gepubliceerd voor maildomeinen middel Compliant
Resultaat: SPF gecontroleerd voor 1 domein(en): contoso-demo.example: Compliant
SPF somt de servers op die mail mogen versturen voor een domein; het record hoort te eindigen op -all of ~all.
  • contoso-demo.example: Compliant
NIS2 21.2.jISO/IEC 27001:2022 A.5.14
EML-05 Mailboxauditing ingeschakeld middel Compliant
Resultaat: Mailboxauditing is organisatiebreed ingeschakeld.
Mailboxauditlogs zijn nodig om gecompromitteerde accounts te onderzoeken.
NIS2 21.2.bISO/IEC 27001:2022 A.8.15 Vereist Exchange Online

Samenwerken & delen

COL-01 Niveau van extern delen voor SharePoint en OneDrive hoog Niet compliant
Resultaat: Anonieme 'Iedereen'-links zijn toegestaan (externalUserAndGuestSharing).
'Iedereen'-links geven toegang tot bedrijfsbestanden zonder aanmelding. Delen moet gasten minstens verplichten zich aan te melden.
Remediëring
SharePoint admin centre > Policies > Sharing: zet het organisatieniveau op 'New and existing guests' of strenger, en beperk 'Iedereen'-links tot specifieke sites als ze nodig zijn.
NIS2 21.2.iISO/IEC 27001:2022 A.5.14ISO/IEC 27001:2022 A.5.15EU AI Act Art.10 Vereist SharePoint Online
COL-02 Extern delen beperkt tot toegestane domeinen / geen doordelen laag Niet compliant
Resultaat: Gasten kunnen items doordelen die niet van hen zijn, Geen lijst met toegestane/geblokkeerde domeinen
Gasten horen inhoud niet verder te kunnen delen; delen kan beperkt worden tot domeinen van partners.
  • Gasten kunnen items doordelen die niet van hen zijn
  • Geen lijst met toegestane/geblokkeerde domeinen
Remediëring
SharePoint admin centre > Sharing > More external sharing settings: schakel 'Allow guests to share items they don't own' uit en overweeg delen per domein te beperken.
NIS2 21.2.dISO/IEC 27001:2022 A.5.14ISO/IEC 27001:2022 A.5.19 Vereist SharePoint Online
COL-03 OneDrive-synchronisatie beperkt tot beheerde toestellen laag Gedeeltelijk compliant
Resultaat: De OneDrive-synchronisatie kan op niet-beheerde toestellen gebruikt worden.
Voorkomt dat bedrijfsbestanden gesynchroniseerd worden naar persoonlijke / niet-beheerde pc's.
Remediëring
SharePoint admin centre > Settings > OneDrive sync: sta synchronisatie enkel toe op pc's in specifieke domeinen, of gebruik Conditional Access app-enforced restrictions voor niet-beheerde toestellen.
ISO/IEC 27001:2022 A.8.1ISO/IEC 27001:2022 A.8.12 Vereist SharePoint Online

Gegevensbescherming

DAT-01 Gevoeligheidslabels gepubliceerd hoog Gedeeltelijk compliant
Resultaat: Er bestaan slechts 2 gevoeligheidslabel(s).
Gevoeligheidslabels classificeren (en versleutelen optioneel) documenten en mail. Microsoft 365 Copilot gebruikt ze ook om toegangsgrenzen tot gegevens te respecteren.
  • Public
  • Internal
Remediëring
Purview portal > Information protection > Labels: maak een labelindeling (bv. Openbaar, Intern, Vertrouwelijk, Strikt vertrouwelijk), publiceer ze voor alle gebruikers met een standaardlabel en schakel gevoeligheidslabels in voor SharePoint-/OneDrive-bestanden.
NIS2 21.2.hISO/IEC 27001:2022 A.5.12ISO/IEC 27001:2022 A.5.13EU AI Act Art.10 Vereist Purview Information Protection P1
DAT-03 Policies voor Data Loss Prevention hoog Gedeeltelijk compliant
Resultaat: Er bestaan DLP-policies, maar enkel in test-/simulatiemodus.
DLP detecteert en blokkeert het delen van persoonsgegevens (GDPR) en andere gevoelige informatie.
  • GDPR - test
Remediëring
Purview portal > Data loss prevention > Policies: vertrek van de sjablonen 'EU GDPR' / 'Belgium/Netherlands PII' voor Exchange, SharePoint, OneDrive en Teams in testmodus en dwing ze daarna af.
NIS2 21.2.iISO/IEC 27001:2022 A.8.12ISO/IEC 27001:2022 A.5.34EU AI Act Art.10 Vereist Purview Information Protection P1
DAT-02 Bewaarlabels / -policies voor documenten middel Gedeeltelijk compliant
Resultaat: Er zijn geen bewaarlabels gedefinieerd (bewaarpolicies zijn niet leesbaar via Graph; controleer ze in Purview).
Bewaarbeleid zorgt dat bedrijfsdocumenten de wettelijk vereiste termijn bewaard blijven en beschermd zijn tegen verwijdering.
Remediëring
Purview portal > Data lifecycle management: maak bewaarpolicies voor Exchange, SharePoint, OneDrive en Teams, en bewaarlabels voor documenten met specifieke wettelijke bewaartermijnen.
NIS2 21.2.cISO/IEC 27001:2022 A.5.33ISO/IEC 27001:2022 A.8.13 Vereist Exchange Online

Logging & monitoring

LOG-03 Bewaartermijn auditlog minstens 1 jaar middel Gedeeltelijk compliant
Resultaat: Enkel Audit (Standard) is gelicentieerd (180 dagen). Bevestig dat de logs naar een SIEM met langere bewaartermijn geëxporteerd worden.
Audit (Standard) bewaart logs 180 dagen. Audit (Premium) bewaart ze 1 jaar (10 jaar met de add-on), wat volstaat voor NIS2-incidentonderzoek en de logbewaring voor gebruiksverantwoordelijken onder de AI-verordening (minstens 6 maanden).
Remediëring
Wijs Microsoft 365 E5 / E5 Compliance (Audit Premium) toe, of exporteer het auditlog naar een SIEM met minstens 12 maanden bewaartermijn.
NIS2 21.2.bNIS2 23ISO/IEC 27001:2022 A.8.15EU AI Act Art.26
LOG-04 Beveiligingslogs doorgestuurd naar een SIEM / 24/7 opgevolgd middel Bevestiging nodig
Resultaat: Organisatorische maatregel: bevestig op het dashboard zodra er bewijs is.
Logs zijn pas nuttig als iemand ze opvolgt: waarschuwingen moeten een SOC, MDR-partner of permanentie bereiken.
Remediëring
Koppel Microsoft 365, Entra ID en Defender aan Microsoft Sentinel (of uw SIEM/MDR) en leg vast wie waarschuwingen buiten de kantooruren behandelt.
NIS2 21.2.bNIS2 23ISO/IEC 27001:2022 A.8.16
LOG-01 Unified auditlog ingeschakeld hoog Compliant
Resultaat: Het unified auditlog is ingeschakeld.
Het unified auditlog registreert gebruikers- en beheerdersactiviteit in Microsoft 365, inclusief Copilot-interacties. Zonder dit log kunnen incidenten niet onderzocht worden.
NIS2 21.2.bNIS2 23ISO/IEC 27001:2022 A.8.15ISO/IEC 27001:2022 A.5.28EU AI Act Art.12EU AI Act Art.26 Vereist Exchange Online
LOG-02 Entra-aanmeldlogs beschikbaar middel Compliant
Resultaat: Aanmeldlogs zijn beschikbaar (laatste: 2026-10-16 11:33).
Aanmeldlogs (30 dagen met Entra ID P1) zijn nodig om accountovernames te onderzoeken.
NIS2 21.2.bISO/IEC 27001:2022 A.8.15ISO/IEC 27001:2022 A.8.16 Vereist Entra ID P1 (Conditional Access)

Governance & weerbaarheid

GOV-09 Externe applicaties met tenantbrede toegang tot gegevens middel Gedeeltelijk compliant
Resultaat: 2 externe apps hebben tenantbrede toestemming; 1 kunnen mail of bestanden van alle gebruikers lezen.
Applicaties met beheerderstoestemming hebben toegang tot gegevens van alle gebruikers. Elke app moet gekend zijn, een eigenaar hebben en nog nodig zijn – hier duiken ook niet-goedgekeurde AI-tools op.
  • Otter.ai Notetaker: Calendars.Read Files.Read.All openid profile
  • Zoom: Calendars.ReadWrite User.Read openid
Remediëring
Bekijk Entra ID > Enterprise applications > Permissions. Verwijder ongebruikte of onbekende apps en documenteer een eigenaar voor de rest. Schakel app governance (Defender for Cloud Apps) in als het gelicentieerd is.
NIS2 21.2.dISO/IEC 27001:2022 A.5.19ISO/IEC 27001:2022 A.5.23EU AI Act Art.26
GOV-01 Informatiebeveiligingsbeleid goedgekeurd door het management hoog Bevestiging nodig
Resultaat: Organisatorische maatregel: bevestig op het dashboard zodra er bewijs is.
NIS2 art. 20 maakt de bestuursorganen verantwoordelijk voor het goedkeuren van en toezien op cyberbeveiligingsmaatregelen.
Remediëring
Stel een informatiebeveiligingsbeleid op dat de maatregelen van art. 21 dekt, laat het goedkeuren door de raad van bestuur / het management, herzie het jaarlijks en documenteer de cyberbeveiligingsopleiding van het management.
NIS2 21.2.aISO/IEC 27001:2022 A.5.1
GOV-02 Risicoanalyse uitgevoerd en gedocumenteerd hoog Bevestiging nodig
Resultaat: Organisatorische maatregel: bevestig op het dashboard zodra er bewijs is.
Een actuele risicoanalyse bepaalt welke maatregelen nodig zijn en vormt de kern van ISO 27001 (clausule 6).
Remediëring
Voer minstens jaarlijks een risicoanalyse uit van de Microsoft 365-omgeving en andere kritieke systemen, met een behandelplan, eigenaars en deadlines. Gebruik de bevindingen van dit rapport als input.
NIS2 21.2.aNIS2 21.2.fISO/IEC 27001:2022 A.5.1
GOV-03 Incidentresponsplan incl. NIS2-meldtermijnen hoog Bevestiging nodig
Resultaat: Organisatorische maatregel: bevestig op het dashboard zodra er bewijs is.
NIS2 vereist een vroegtijdige waarschuwing binnen 24u, een incidentmelding binnen 72u en een eindverslag binnen een maand na een significant incident.
Remediëring
Documenteer een incidentresponsplan met rollen, contactgegevens van het nationale CSIRT (bv. het CCB in België), criteria voor een 'significant incident' en de meldstappen na 24u/72u/1 maand. Test het jaarlijks met een tabletopoefening.
NIS2 21.2.bNIS2 23ISO/IEC 27001:2022 A.5.24ISO/IEC 27001:2022 A.5.26
GOV-04 Onafhankelijke back-up van Microsoft 365-gegevens hoog Bevestiging nodig
Resultaat: Organisatorische maatregel: bevestig op het dashboard zodra er bewijs is.
De bewaring van Microsoft is geen back-up: ransomware, kwaadwillige beheerders of synchronisatiefouten kunnen gegevens vernietigen. Een aparte back-up (Microsoft 365 Backup of een product van derden) met geteste herstelprocedures is nodig.
Remediëring
Voer Microsoft 365 Backup of een back-up van derden in voor Exchange, SharePoint, OneDrive en Teams, met onveranderlijke opslag, en voer minstens jaarlijks een gedocumenteerde hersteltest uit.
NIS2 21.2.cISO/IEC 27001:2022 A.8.13ISO/IEC 27001:2022 A.5.30
GOV-05 Bedrijfscontinuïteits- / disaster recovery-plan middel Bevestiging nodig
Resultaat: Organisatorische maatregel: bevestig op het dashboard zodra er bewijs is.
Plannen om verder te werken wanneer Microsoft 365, identiteiten of toestellen niet beschikbaar zijn (bv. bij een overgenomen tenant).
Remediëring
Documenteer een BCP/DRP met break-glass-toegang, offline contactlijsten, hersteltijddoelen en de herstelprocedure voor Microsoft 365-gegevens. Test het jaarlijks.
NIS2 21.2.cISO/IEC 27001:2022 A.5.29ISO/IEC 27001:2022 A.5.30
GOV-06 Beveiligingseisen voor leveranciers en MSP's middel Bevestiging nodig
Resultaat: Organisatorische maatregel: bevestig op het dashboard zodra er bewijs is.
NIS2 vereist het beheersen van risico's in de toeleveringsketen, ook van IT-dienstverleners met beheerderstoegang (GDAP).
Remediëring
Houd een lijst bij van leveranciers met toegang tot de tenant, leg beveiligingsmaatregelen en incidentmelding contractueel vast, gebruik GDAP met rollen met minimale rechten en herzie de toegang van partners elk kwartaal.
NIS2 21.2.dISO/IEC 27001:2022 A.5.19ISO/IEC 27001:2022 A.5.23
GOV-07 Programma voor beveiligingsbewustzijn middel Bevestiging nodig
Resultaat: Organisatorische maatregel: bevestig op het dashboard zodra er bewijs is.
Alle medewerkers (en het management, volgens NIS2 art. 20) horen regelmatig een cyberbeveiligingsopleiding te krijgen.
Remediëring
Organiseer jaarlijks verplichte bewustwordingstraining (bv. via de trainingsmodules van Defender Attack simulation training of een platform van derden) en volg de deelname op.
NIS2 21.2.gISO/IEC 27001:2022 A.6.3
GOV-08 Inventaris van middelen (toestellen, applicaties, gegevens) laag Bevestiging nodig
Resultaat: Organisatorische maatregel: bevestig op het dashboard zodra er bewijs is.
U kunt enkel beschermen wat u kent.
Remediëring
Houd een inventaris bij van toestellen (Intune), SaaS-applicaties (Defender for Cloud Apps discovery) en kritieke gegevensopslag met eigenaars.
NIS2 21.2.iISO/IEC 27001:2022 A.5.9

AI-governance

AI-03 Gebruikers kunnen AI-apps niet zonder goedkeuring aan bedrijfsgegevens koppelen hoog Niet compliant
Resultaat: Gebruikers kunnen toestemming geven aan elke applicatie die toegang tot hun gegevens vraagt.
Niet-goedgekeurde AI-tools (vergaderbots, AI-mailassistenten) krijgen meestal toegang via toestemming van gebruikers.
  • Mogelijke AI-app met tenantbrede toestemming: Otter.ai Notetaker
  • ManagePermissionGrantsForSelf.microsoft-user-default-legacy
Remediëring
Schakel toestemming van gebruikers voor apps uit en schakel de admin consent workflow in, zodat elke AI-app beoordeeld wordt voor ze toegang krijgt (zie ID-09).
EU AI Act Art.26NIS2 21.2.d
AI-09 Ontdekken van schaduw-AI middel Niet compliant
Resultaat: Defender for Cloud Apps is niet gelicentieerd: schaduw-AI kan niet centraal ontdekt of geblokkeerd worden. Overweeg E5 Security of webinhoudfiltering in Defender for Endpoint.
Om te ontdekken welke generatieve AI-webapps medewerkers gebruiken (schaduw-AI) is Defender for Cloud Apps of discovery via Defender for Endpoint nodig.
Remediëring
Schakel de integratie van Defender for Endpoint met Defender for Cloud Apps in, volg de categorie 'Generative AI' op in Cloud Discovery en markeer niet-goedgekeurde AI-apps als geblokkeerd.
EU AI Act Art.26NIS2 21.2.d
AI-02 Data governance op orde vóór de AI-uitrol (labels + overmatig delen) hoog Gedeeltelijk compliant
Resultaat: Copilot is uitgerold terwijl er nog tekorten in data governance zijn.
Copilot kan alle inhoud tonen waar een gebruiker toegang toe heeft. Gevoeligheidslabels en beperkt delen moeten op orde zijn, zodat AI geen te ruim gedeelde gegevens blootlegt.
  • Gevoeligheidslabels: 2
  • Delen in SharePoint: externalUserAndGuestSharing
Remediëring
Vóór (of tijdens) de uitrol van Copilot: publiceer gevoeligheidslabels met versleuteling voor vertrouwelijke gegevens, gebruik de SharePoint-rapporten over 'oversharing' / Data Access Governance, beperk rechten voor 'Everyone except external users' en overweeg Restricted SharePoint Search.
EU AI Act Art.10EU AI Act Art.15ISO/IEC 27001:2022 A.5.12
AI-04 AI-interacties worden geaudit middel Gedeeltelijk compliant
Resultaat: Unified auditlog ingeschakeld, maar slechts 180 dagen bewaartermijn (Audit Standard).
Copilot-prompts en -antwoorden worden geregistreerd in het unified auditlog en kunnen met Purview bewaard worden. Gebruiksverantwoordelijken moeten de logs bewaren van AI-systemen die zij beheren.
Remediëring
Schakel het unified auditlog in, maak een auditbewaarpolicy voor 'CopilotInteraction'-records (Audit Premium) en overweeg DSPM for AI in Purview voor zicht op AI-gebruik.
EU AI Act Art.12EU AI Act Art.26
AI-05 AI-geletterdheid van medewerkers die AI gebruiken hoog Bevestiging nodig
Resultaat: Organisatorische maatregel: bevestig op het dashboard zodra er bewijs is.
Sinds 2 februari 2025 moeten gebruiksverantwoordelijken zorgen voor voldoende AI-geletterdheid bij medewerkers die AI gebruiken.
Remediëring
Geef elke gebruiker een rolgerichte AI-opleiding (mogelijkheden, beperkingen, hallucinaties, omgaan met gegevens, aanvaardbaar gebruik) voordat Copilot of andere AI-tools toegewezen worden, en bewaar aanwezigheidslijsten.
EU AI Act Art.4ISO/IEC 27001:2022 A.6.3
AI-06 Register en risicoclassificatie van AI-systemen hoog Bevestiging nodig
Resultaat: Organisatorische maatregel: bevestig op het dashboard zodra er bewijs is.
Een inventaris van gebruikte AI-systemen, hun doel en risicoklasse (verboden / hoog risico / beperkt / minimaal).
Remediëring
Maak een AI-register met Copilot, Copilot Studio-agents en AI-tools van derden, met doel, eigenaar, gebruikte gegevens en risicoklasse volgens de AI-verordening. Bevestig dat er geen verboden praktijken (art. 5) gebruikt worden.
EU AI Act Art.26EU AI Act Art.5
AI-07 Beleid voor aanvaardbaar gebruik van generatieve AI middel Bevestiging nodig
Resultaat: Organisatorische maatregel: bevestig op het dashboard zodra er bewijs is.
Legt vast welke AI-tools gebruikt mogen worden, met welke gegevens, en dat de output door een mens nagekeken moet worden.
Remediëring
Publiceer een beleid voor aanvaardbaar AI-gebruik: goedgekeurde tools, verboden gegevens (bv. persoonsgegevens van klanten in publieke AI), menselijke controle van AI-output en hoe problemen gemeld worden.
EU AI Act Art.26EU AI Act Art.14ISO/IEC 27001:2022 A.5.10
AI-08 Transparantie over AI-gegenereerde inhoud en AI-interacties laag Bevestiging nodig
Resultaat: Organisatorische maatregel: bevestig op het dashboard zodra er bewijs is.
Mensen moeten weten wanneer ze met een AI-systeem communiceren (chatbots/agents) en deepfakes moeten gelabeld worden.
Remediëring
Label Copilot Studio-agents die klanten gebruiken als AI, en leg vast hoe AI-gegenereerde inhoud die extern gepubliceerd wordt, vermeld wordt.
EU AI Act Art.50
AI-01 Inventaris van de Microsoft 365 Copilot-uitrol laag Informatief
Resultaat: Microsoft 365 Copilot is gelicentieerd en toegewezen aan 5 gebruikers.
Registreert of Microsoft 365 Copilot (een AI-systeem voor algemene doeleinden) uitgerold is en voor hoeveel gebruikers.
EU AI Act Art.26EU AI Act Art.4

Exporteren

Rapport exporteren

Alle kaders-assessment van 16 okt 2026 11:33

Instellingen

Controles voor Exchange Online & Purview

Sommige instellingen (DLP, unified auditlog, automatisch doorsturen, Safe Links) zijn enkel leesbaar met Exchange Online PowerShell. Inschakelen kent de alleen-lezen rol Global Reader toe aan de app; een Global of Privileged Role Administrator moet zich aanmelden.

Gevarenzone

De assessment-app verwijderen

Verwijdert de app (service principal) en haar rechten uit Contoso Demo BV (demo) en wist alle assessmentgegevens die hier bewaard worden. Een Global Administrator (of Application Administrator) van de tenant moet zich aanmelden om te bevestigen.

Demo In een echte tenant verwijdert deze knop de app en alle opgeslagen gegevens.

Gevarenzone

App verwijderen uit Contoso Demo BV (demo)?

Dit trekt alle rechten in, verwijdert de enterprise application in de tenant en wist 1 assessment(s) definitief. U wordt gevraagd om u aan te melden als beheerder van de tenant.