GRC 9.0: waarom de laatste generatie Embedded GRC heet – een voorspelling

Waar het model van Rasmussen eindigt

Michael Rasmussen beschrijft de GRC-markt in generaties. GRC 7.0, “GRC Orchestrate”, is voor hem het heden tot ongeveer 2030: een samenspel van beslissingscontext (Intelligence), agents met duidelijk geregelde bevoegdheden (Action) en capaciteiten die vakafdelingen zelf opbouwen (Configuration). Voor de periode vanaf circa 2030 schetst hij GRC 8.0, “Quantum GRC”: digital twins van de onderneming waarmee organisaties mogelijke toekomsten doorspelen voordat ze beslissen – hij noemt het een “Risk Holodeck”. GRC 20/20 Het model hebben we in detail geduid in GRC 7.0: wat GRC Orchestrate van Michael Rasmussen betekent voor organisaties.

Daarna eindigt het model. Een generatie 9.0 beschrijft Rasmussen niet, en ook verder heeft voor zover wij weten niemand haar gedefinieerd.

Dit artikel vult die leemte met een eigen inschatting. Dat is belangrijk om vooraf te zeggen: wat volgt is geen analistenmodel en geen samenvatting van andermans onderzoek, maar onze onderbouwde voorspelling – afgeleid uit ontwikkelingen die vandaag al aantoonbaar zijn. Aan het einde noemen we de bezwaren die ertegen pleiten.

Eén vraag ordent alle generaties

Wie de generaties 1.0 tot 8.0 na elkaar leest, ziet dat ze in de kern dezelfde vraag beantwoorden: waar vindt governance plaats?

Volgt men deze lijn, dan is er precies één plaats die nog ontbreekt: het systeem zelf. Niet een GRC-tool naast het bedrijf, maar governance als eigenschap van de systemen die het bedrijf draaiende houden.

Onze these: GRC 9.0 is Embedded GRC

We verwachten dat de volgende generatie rond 2035 begint en drie kenmerken heeft.

Compliance wordt een eigenschap van systemen

Vandaag tonen teams achteraf aan dat systemen aan eisen voldoen: ze verzamelen screenshots, exporteren rapporten, vullen auditsjablonen in. In de volgende generatie komen applicaties ter wereld met machineleesbare toezeggingen over hun controls, en het bewijs ontstaat in de operatie als bijproduct. De bouwstenen daarvoor bestaan: OSCAL beschrijft eisen, controls en beoordelingen machineleesbaar (zie Wat is OSCAL?), FedRAMP accepteert al pakketten in dit formaat (zie FedRAMP wordt machineleesbaar), SBOM's en CBOM's beschrijven software- en cryptocomponenten. Een audit toetst dan het voortbrengende systeem en zijn configuratie – niet langer duizend afzonderlijke bewijsstukken.

Vertrouwen wordt tussen organisaties machinaal uitgewisseld

Leveranciersbeoordeling betekent vandaag: vragenlijsten versturen, antwoorden archiveren, jaarlijks herhalen. NIS2 en DORA leggen toeleveringsketens nu al verplichtingen op, met risicomanagement en contractuele toezeggingen, en de Cyber Resilience Act brengt vanaf eind 2027 machineleesbare SBOM's als fabrikantendocumentatie. De volgende stap is voorzienbaar: een leverancier onderbouwt een control één keer, cryptografisch ondertekend, en alle afnemers nemen het bewijs machinaal over. De vragenlijst sterft niet aan een verbod, maar aan zijn overbodigheid.

De schaarse hulpbron is verantwoordelijkheid

Rasmussens eigen kernstelling over GRC 7.0 luidt: AI maakt softwarefuncties goedkoop; waardevol worden betrouwbare informatie, context en verantwoordelijkheid. Doorgedacht betekent dat: wanneer agents beoordelen, simuleren en uitvoeren, blijft als menselijke kern precies één taak over – beslissen wie waarvoor aansprakelijk is en welk risico een organisatie bewust draagt. Het System of Record van de volgende generatie is daarom geen documentenarchief meer, maar een register van beslissingen en bevoegdheden.

Waarom vanaf 2035

Een jaartal in een voorspelling is aanvechtbaar; daarom onderbouwen we het dubbel.

Ten eerste het ritme van het model zelf: GRC 7.0 loopt volgens Rasmussen van 2025 tot 2030, GRC 8.0 begint rond 2030. De jongere generaties duren ongeveer vijf jaar; de volgende zou dus rond 2035 beginnen.

Ten tweede wijst de regelgeving onafhankelijk daarvan naar hetzelfde jaar. Tegen 2035 moet de EU-brede overstap naar post-kwantumcryptografie grotendeels afgerond zijn, en het NIST-concept IR 8547 laat RSA en ECC na 2035 uitfaseren (de termijnen in detail: Post-kwantumcryptografie: de termijnen 2026, 2030 en 2035 en wat daarvan bindend is). Op weg daarnaartoe ontstaan overal cryptografische inventarissen, CBOM's en machineleesbaar bewijs – als dringende aanbeveling van de EU-roadmap en de Duitse leidraad, voor NIS2-entiteiten via de stand van de techniek ook juridisch onderbouwd. Precies de infrastructuur die Embedded GRC veronderstelt, ontstaat dus op dit moment – niet uit visie, maar gedreven door regelgeving.

Preciezer dan “vanaf circa 2035” willen we niet worden. Een voorspelling over acht jaar voorzien van een jaartal tot op het jaar nauwkeurig zou schijnnauwkeurigheid zijn.

Twee bezwaren die we serieus nemen

Het holodeck-bezwaar. GRC 8.0 vereist een datakwaliteit die veel organisaties vandaag niet eens voor hun cryptografische inventaris halen – waarin de EU-roadmap tegen eind 2026 voorziet en die op veel plaatsen nu pas ontstaat. We verwachten daarom dat simulatie eerst werkt in nauw afgebakende, goed modelleerbare deelgebieden, zoals leveringsketen- of uitvalscenario's, en niet als twin van de hele onderneming. Wie vandaag budget verdeelt, zou het eerder in datakwaliteit dan in simulatietools moeten steken.

De tegenthese: versplintering in plaats van versmelting. Het kan ook anders lopen. De regelgeving groeit momenteel sneller dan haar harmonisering: de AI-verordening, DORA, NIS2, de Cyber Resilience Act en nationale alleingangen stellen elk eigen eisen met eigen meldkanalen. In plaats van een convergente discipline zouden opnieuw silo's per rechtsgebied kunnen ontstaan – ditmaal elk met eigen agents. Dat zou GRC 1.0 op een hoger niveau zijn. Welke van de twee richtingen wint, hangt ervan af of de machineleesbare formaten rechtsgebiedoverstijgend worden, of dat elke regulering eigen formaten krijgt.

Wat nu al loont

Het praktische aan deze voorspelling: de voorbereiding is dezelfde, of ze nu uitkomt of niet. Wie eisen, maatregelen en bewijs vandaag gestructureerd en machineleesbaar bijhoudt, staat voor elk van beide richtingen goed opgesteld – voor Embedded GRC sowieso, en in een versplinterde wereld is een gestructureerd bestand de enige realistische kans om meerdere rechtsgebieden zonder dubbel werk te bedienen. Hetzelfde geldt voor het afbakenen van bevoegdheden: wie vandaag vastlegt wat een agent mag voorstellen en wat een persoon moet beslissen, bouwt het beslissingsregister dat later de kern vormt.

Daarom verdwijnt met de categorie GRC niet het werk. Wat verschuift, is wat mensen doen: minder bewijsstukken verzamelen, meer beslissingen nemen en verantwoorden.

Conclusie

Onze voorspelling in één zin: GRC 9.0 begint rond 2035, heet in wezen Embedded GRC – governance als eigenschap van de systemen, gefedereerd vertrouwen tussen organisaties, verantwoordelijkheid als laatste menselijke instantie – en is de laatste generatie, omdat governance daarna geen eigen categorie meer is. Zeker is daaraan niets behalve de richting van de infrastructuur: machineleesbare eisen, inventarissen en bewijzen zetten door, gedreven door regelgeving. Of dat uitmondt in versmelting of versplintering, is open. De voorbereiding is in beide gevallen dezelfde.

Bronnen

• GRC 7.0 – GRC Orchestrate: The Architecture, Economics, and Competitive Reset of the GRC Market (GRC 20/20 Research, oktober 2026)
• GRC: An Ancient Discipline, a Snowy February, and the Architecture of What Comes Next (Michael Rasmussen, 14 oktober 2026)
• A Coordinated Implementation Roadmap for the Transition to Post-Quantum Cryptography (EU PQC Workstream van de NIS Cooperation Group, juni 2025)
• NIST IR 8547: Transition to Post-Quantum Cryptography Standards (Initial Public Draft, 12 november 2024)