We vragen u niet om vertrouwen. We tonen het aan.

Het is de nieuwste norm van allemaal en gaat precies hierover: hoe je een systeem met kunstmatige intelligentie bouwt en bewaakt zodat het niet ongemerkt rare dingen gaat doen.

Deze norm geeft u zwart op wit het antwoord op de lastigste vraag van een inkoopcommissie: wie houdt die kunstmatige intelligentie eigenlijk in de gaten? Vastgelegd is wie de modellen traint die uw camera's bekijken, met welke gegevens, wie controleert of ze het goed doen en wat er gebeurt als dat niet zo is. Komt die vraag in de raad of bij een audit, dan laat u een certificaat zien in plaats van te improviseren.

Het is wereldwijd dé norm voor het beschermen van informatie. Iemand van buiten toetst wie waarbij mag, hoe wachtwoorden worden bewaard, wat er gebeurt als iemand een laptop verliest en hoe je merkt dat er iets mis is.

Uw IT-afdeling hoeft ons niet op ons woord te geloven: die vraagt het certificaat op en controleert het. Dat scheelt u de veiligheidsvragenlijst van veertig pagina's die u ons anders zou moeten sturen, afwachten en zelf beoordelen. In een aanbesteding is het vakje informatiebeveiliging al door een externe auditor afgetekend.

Het is de zus van de vorige, maar gericht op gegevens van mensen. Ze regelt wat er van iemand wordt bewaard, waarvoor, hoe lang en wie het mag zien.

Op de dag dat een bewoner vraagt wat er over hem wordt bewaard, ligt er een geschreven procedure en geen improvisatie. En als u de verwerking van beelden moet verantwoorden bij de toezichthouder of bij uw eigen functionaris gegevensbescherming, is het werk al gedaan en getoetst: u begint er niet aan op de dag dat het verzoek binnenkomt.

Het gaat over de slechte dag: een brand, een cyberaanval, een overstroming in de serverruimte. De norm verplicht je het op papier te hebben en het vooral geoefend te hebben.

In een aanbesteding vragen ze wat er gebeurt op de dag dat het systeem uitvalt en hoe lang het duurt voor het weer draait. Met deze norm is dat antwoord gemeten en geoefend, niet geschat door iemand van de verkoop. Het is een continuïteitsplan dat echt is getest, geen plan dat in een la ligt tot de dag van het incident.

De klassieker. Ze verplicht de manier van werken vast te leggen, te meten en bij te sturen als het niet werkt.

Als er iets misgaat, is er een procedure om het te herstellen en om herhaling te voorkomen, en die procedure is te auditen. Het hangt niet af van de ene monteur die het weet en die dag toevallig dienst heeft. In veel openbare aanbestedingen staat deze norm als eis van technische bekwaamheid: bij ons is dat vakje al aangevinkt.

Ze meet en beperkt wat we verbruiken en weggooien: stroomverbruik van servers, elektronisch afval, levensduur van apparatuur.

In een openbare aanbesteding leveren milieucriteria punten op, en een gecertificeerde leverancier telt mee in plaats van af. En als uw organisatie verantwoording moet afleggen over duurzaamheidsdoelen: ons verbruik en onze afvalstromen zijn al gemeten en getoetst, dus u hoeft ze niet zelf te schatten voor uw jaarverslag.

Het gaat over de mensen die installeren en onderhouden: wie een mast van acht meter op klimt om een camera te plaatsen, of een zuiveringsinstallatie of tunnel in gaat.

Wie uw locatie betreedt, komt opgeleid, uitgerust en met een procedure — precies wat u moet kunnen aantonen bij de coördinatie van externe bedrijven op uw terrein. Gebeurt er een ongeval op uw terrein, dan bestaat het dossier en is het door een derde getoetst. Zonder dat dossier wordt het probleem uiteindelijk het uwe.

Het Nationale Veiligheidskader is de verplichte regeling voor systemen van de Spaanse overheid. Het kent drie niveaus en hoog is het strengste: voor systemen waarvan uitval ernstige gevolgen zou hebben.

Bent u een Spaanse overheidsinstantie, dan kunt u ons contracteren zonder een dossier te openen om uit te leggen waarom. De eis is vervuld en bevestigd door een certificerende instelling, en dat scheelt in de doorlooptijd van het dossier. Voor overheidssystemen is de ENS niet optioneel: of de leverancier heeft hem, of het dossier blijft liggen.

Het is de Europese richtlijn die sectoren waarvan het dagelijks leven afhangt — energie, water, vervoer, zorg — verplicht zich tegen cyberaanvallen te wapenen. De hoge categorie geldt voor de meest kritieke entiteiten.

Valt uw organisatie onder NIS2, dan tellen uw leveranciers mee: de richtlijn kijkt naar de hele toeleveringsketen, niet alleen naar uw eigen huis. Bij ons is dat vakje al aangevinkt, dus u hoeft ons niet zelf te auditen en ook niet in uw rapportage uit te leggen waarom u iemand koos die niet voldoet.

IRIS bevat NeuralPax, een zelfstandige licentie, en is vandaag het enige systeem ter wereld met deze goedkeuring: die van het Spaanse metrologiecentrum voor het tellen van mensen, het meten van capaciteit en het beheersen van bezoekersstromen. Het Spaanse metrologiecentrum is de instantie die zegt of een instrument goed meet: dezelfde die een weegbrug of een flitspaal goedkeurt. Het aantal mensen dat IRIS geeft is dus geen schatting van ons: het is een door een derde geverifieerde meting. Let op de reikwijdte: goedgekeurd is die meting, niet het hele product.

Als u zegt dat er twaalfduizend mensen op een evenement waren, heeft dat getal officiële rugdekking. Daarom voldoet het aan de geldende capaciteitsregels voor evenementen: het is geen schatting maar een goedgekeurde meting, en precies die wordt aangevochten wanneer een capaciteit verantwoord moet worden tegenover een inspectie, een verzekeraar of desnoods een rechter. Een schatting houdt daar geen stand. De reikwijdte moet duidelijk zijn: goedgekeurd is het tellen van mensen, niet het hele product.