Minder dubbel werk, meer grip op vier kaders tegelijk.
ISO 27001, DORA, de Cyberbeveiligingswet (NIS2) en de AVG vragen vaak dezelfde maatregel. TRIAS legt die maatregel één keer vast, koppelt hem aan de normonderdelen van elk kader en volgt hem van zelfassessment via beoordeling tot bewijs met een vervaldatum. Wie uitvoert, wie beoordeelt en wie toetst zijn in de app gescheiden machten, en de server bewaakt die grens. Gebouwd en gehost in de EU.
Van nu naar straks
Van vier spreadsheets naar één keten die zichzelf bewaakt
Een organisatie met een risico-, compliance- of auditfunctie van een tot vijf fte zit tussen twee werelden: tooling die bewijs verzamelt voor de eerste en tweede lijn, en auditpakketten die een dossier veronderstellen dat er al ligt. Het gat daartussen wordt met spreadsheets gedicht.
Vier kaders, vier keer dezelfde maatregel
Toegangsbeheer staat in de ISO-spreadsheet, in het DORA-register, in het NIS2-overzicht en bij de verwerkingen onder de AVG. Vier versies, vier eigenaren, vier data.
Eén maatregel, gekoppeld aan vier kaders
U beschrijft de maatregel in uw eigen woorden en koppelt hem aan normonderdelen in meerdere kaders, met per koppeling de dekkingsgraad en een verplichte onderbouwing.
De eigenaar beoordeelt zijn eigen werk
Zelfassessment en review komen van dezelfde persoon, of de review ontbreekt. Een afwijking valt pas op bij de externe audit.
Beoordelen doet altijd iemand anders
De indiener van een zelfassessment kan het nooit zelf beoordelen; de server weigert dat. Akkoord vraagt een volledige inzending met minstens één bewijsstuk.
Bewijs ligt in mappen en veroudert stil
Een pentestrapport van drie jaar oud telt nog als bewijs, omdat niemand de vervaldatum bijhoudt.
Bewijs met een vervaldatum en regels op schema
Elk bewijsstuk heeft een geldigheidsperiode en telt over kaders heen mee. Bewijsregels toetsen maandelijks of per kwartaal of het gekoppelde bewijs nog geldt; zonder bewijs is een maatregel nooit groen.
De RCSA is een jaarlijkse Excel-ronde
Eigenaren scoren mild, de risicomanager typt over, en het bestuur ziet een samenvatting zonder herkomst.
Een RCSA-ronde met persoonlijke link en review
Eigenaren beoordelen hun risico's en maatregelen via een persoonlijke link, ook op hun telefoon. Risico en compliance beoordeelt, en de rapportage vergelijkt ronde tegen ronde en laat zien waar eigenaren structureel milder scoren dan de review.
Zo ziet het eruit
Een greep uit TRIAS
Klik op een miniatuur voor dat scherm, of op het beeld voor de volledige weergave.
Veelgestelde vragen
Wat u vooraf wilt weten over TRIAS
Wat is TRIAS?
TRIAS is de nalevingsketen van Audirium voor ISO 27001, DORA, de Cyberbeveiligingswet (NIS2) en de AVG. Eén maatregel koppelt aan normonderdelen in meerdere kaders en wordt gevolgd van zelfassessment via beoordeling tot bewijs met een vervaldatum. De naam verwijst naar de trias politica: wie uitvoert, wie beoordeelt en wie toetst zijn in de app gescheiden machten.
Voor wie is TRIAS bedoeld?
Voor organisaties die onder DORA of NIS2 vallen en een risico-, compliance- of auditfunctie van ongeveer een tot vijf fte hebben. Proceseigenaren vullen in, risico en compliance beoordeelt, de functionaris gegevensbescherming toetst binnen de AVG, interne audit en de externe auditor lezen mee, en het bestuur ziet samenvattingen en geeft zijn akkoord.
Wat doet TRIAS concreet?
TRIAS koppelt maatregelen aan normonderdelen met dekkingsgraad en onderbouwing, laat eigenaren een zelfassessment doen op opzet, bestaan en werking dat een ander beoordeelt, bewaart bewijs met een geldigheidsperiode en toetst dat op schema, draait RCSA-rondes met een persoonlijke link, review en rapportage, stuurt beleid met leesbevestiging naar medewerkers en levert het bestuursbeeld en de exports voor de audit.
Waarin verschilt TRIAS van een spreadsheet of een standaard GRC-pakket?
De scheiding tussen rollen zit in TRIAS in het datamodel en in de server. De indiener kan zijn eigen assessment niet beoordelen, interne audit en de externe auditor kunnen nergens in het dossier schrijven, en een maatregel zonder vastgesteld oordeel heet 'niet gemeten' en wordt nooit groen. Een spreadsheet kent die grenzen niet, en een generiek pakket legt ze bij een gebruiksafspraak.
Hoe werkt AI in TRIAS en wie beslist?
AI komt in TRIAS alleen voor in de RCSA-review, en alleen op verzoek. De AI leest de oordelen van eigenaren naast incidenten, KRI-standen en open bevindingen en zet vlaggen; bij een vage omschrijving schrijft hij een toetsbaar voorstel. De beoordelaar beslist over elke vlag, en een nieuwe omschrijving geldt pas na akkoord van de eigenaar. Uw beheerder zet de functie per onderdeel aan of uit.
Hoe zit het met data en hosting?
Elke organisatie heeft in TRIAS een eigen database op een server van Audirium in de Europese Unie (Hetzner). De organisatiecontext komt uit de ingelogde sessie en nooit uit een verzoek. De kaderbibliotheek met ISO 27001, DORA, NIS2 en AVG wordt alleen gelezen. Elke wijziging in het dossier staat in de audittrail, die interne audit en de externe auditor kunnen inzien.
Wat TRIAS biedt
Eén dossier, zes taken, en grenzen die de server bewaakt
TRIAS verenigt het dossier van de eerste lijn, de beoordeling van de tweede lijn en het leeswerk van de derde lijn in één omgeving, zonder dat die rollen elkaars werk kunnen overschrijven.
AI ingebouwd, niet aangebouwd
In de RCSA-review leest de AI op verzoek eerst mee en zet vlaggen: tegenspraak met een incident of KRI-stand, een vage omschrijving, een gekopieerd antwoord. De beoordelaar beslist over elke vlag. Een herschreven maatregelomschrijving geldt pas na akkoord van de eigenaar. Per functie aan of uit te zetten, met een verbruiksplafond.
Vier kaders, één maatregel
ISO 27001:2022, DORA, de Cyberbeveiligingswet (NIS2) en de AVG komen uit één gedeelde kaderbibliotheek. Een maatregel koppelt aan normonderdelen in elk kader, met dekkingsgraad volledig, deels of compenserend, en de normenbrowser toont bij elk artikel de ISO-tegenhanger.
Zes taken, rechten op de server
Proceseigenaar, risico en compliance, functionaris gegevensbescherming, interne audit, externe auditor en bestuur. Interne audit en de externe auditor lezen alleen, het bestuur ziet samenvattingen zonder dossier. De beheerder van uw organisatie past de matrix aan binnen vergrendelde grenzen, en elke wissel van taak staat in het logboek.
Zelfassessment in gewone taal
Opzet, bestaan en werking als drie vragen: is hij goed bedacht, gebeurt het echt, werkt het? Elk oordeel vraagt een toelichting. De beoordelaar kiest uit akkoord werkt, werkt deels, werkt niet of terugsturen met een vraag. Akkoord bevriest het assessment.
Bewijs dat verloopt, en regels die dat bewaken
Bewijsstukken hebben een geldigheidsperiode en tellen over kaders heen mee. Een fragment uit een opgenomen gesprek of besluit kan als bewijsstuk dienen, bevroren en ondertekend. Bewijsregels draaien op schema en melden een maatregel waarvan het bewijs is verlopen.
De RCSA als doorlopende lus
Rondes op het risicoregister, herinneringen en escalatie, review door risico en compliance, en het vastgestelde restrisico als voorstel terug naar de Risk Heat Map. Tussen rondes komen incidenten en KRI's over hun grens binnen als aanleiding voor een herbeoordeling. Rapportage met radar, heatmap en scoredrift.
Beleid met leesbevestiging
Een richtlijn met versies gaat naar medewerkers, die via hun account of een persoonlijke link bevestigen dat ze hem gelezen hebben, na een controlevraag. Met herinneringen, jaarlijkse herhaling en een bewijsrapport per organisatie-eenheid.
Het bestuur aan zet
Het bestuursbeeld toont hoe de organisatie ervoor staat, wat op akkoord wacht en de eigen scholing. Een vastgestelde directiebeoordeling krijgt een bestuurlijk akkoord met toelichting, zoals de Cyberbeveiligingswet dat van het bestuur vraagt.
Datasoevereiniteit, gebouwd in de EU
Uw dossier staat in een eigen database per organisatie op een server in de EU. De kaderbibliotheek wordt alleen gelezen en nooit vanuit uw sessie gewijzigd. Elke mutatie staat in de audittrail, en interne audit en de externe auditor lezen dat logboek mee.
Werkwijze
Van inrichten tot auditdossier in zes stappen
Richt in
Kies welke kaders gelden, wijs taken toe aan mensen en laad een startset maatregelen uit de bibliotheek. Een wizard loopt de vijf stappen met u door en zegt wat nog ontbreekt.
Koppel maatregelen aan normonderdelen
Per koppeling een dekkingsgraad en een onderbouwing. De normenbrowser toont bij elk DORA- of NIS2-artikel de ISO-tegenhanger en omgekeerd.
Laat eigenaren invullen en beoordeel
Eigenaren beantwoorden drie vragen per maatregel en voegen bewijs toe. Risico en compliance beoordeelt; akkoord maakt de maatregel vastgesteld en bevriest het assessment.
Leg bewijs vast en zet regels op schema
Koppel bewijsstukken met een geldigheidsperiode en laat bewijsregels maandelijks of per kwartaal toetsen of het bewijs nog geldt.
Draai de RCSA-ronde en de beleidsronde
Zet een ronde uit op het risicoregister, stuur richtlijnen naar medewerkers en volg de voortgang per eenheid. Toetsers zonder account werken via dezelfde persoonlijke link.
Rapporteer en bereid de audit voor
Stand per kader met één definitie, het bestuursbeeld, en de exports: bewijsregister, managementrapportage, verklaring van toepasselijkheid en de volledige data-export.
De vier kaders
Vier kaders uit één bibliotheek, elk met zijn eigen status
TRIAS staat naast de andere apps van de suite: incidenten leven in Incident, risico's in de Risk Heat Map, acties in Action Tracking en controls in CRAFT. TRIAS leest mee en verwijst, zonder een tweede waarheid te maken.
ISO 27001:2022
Vrijwillige norm, certificering door een geaccrediteerde instelling. De ISO-controls zijn het scharnier: de kruisverwijzingen naar de andere kaders lopen via ISO, in beide richtingen.
DORA
Verordening (EU) 2022/2554, rechtstreeks werkend voor financiële entiteiten sinds 17 januari 2025. In TRIAS als controlekader, met een RCSA-regime dat per ronde te kiezen is.
Cyberbeveiligingswet (NIS2)
De Nederlandse omzetting van NIS2. Legt goedkeuring van de maatregelen en scholing bij het bestuur; TRIAS geeft het bestuur daarvoor een eigen scherm met akkoordveld.
AVG
Van toepassing sinds 25 mei 2018. De functionaris gegevensbescherming beoordeelt in TRIAS uitsluitend maatregelen die een AVG-normonderdeel dekken; de rest van het dossier leest zij alleen.
Eén maatregel vastleggen. Vier kaders aantonen.
Vraag een demo aan en zie hoe de keten van eigenaar tot bestuur in uw organisatie zou lopen.