GRC-werk delegeren vanuit je agent

Wat te delegeren, wat lokaal te houden

Een nuttige test: als het antwoord afhangt van wat een standaard of regelgeving precies zegt, of van je werkruimtecontext, delegeer dan. Als het afhangt van wat je repository bevat, houd het dan lokaal en stuur ISMS Copilot een korte samenvatting van de relevante feiten in plaats van de bestanden zelf. Als je model het antwoord al weet, geen opzoeking nodig heeft en het direct naar een bestand schrijft, houd het dan ook lokaal: delegeren voegt beurten toe en kost meer Claude-gebruik voor kleine taken zoals deze. Zie waar delegatie niet helpt.

Routeringsregels, per orchestrator

Elke regel hieronder heeft dezelfde inhoud; alleen het bestand verschilt. Plak het in het bestand dat je orchestrator leest. De regels gaan ervan uit dat de server is geregistreerd onder de naam ismscopilot, zoals in de installatiegidsen.

Claude Code

Voeg toe aan CLAUDE.md in de projectroot, of aan ~/.claude/CLAUDE.md voor elk project:

## Compliance work: delegate to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Installatie: Verbind ISMS Copilot met Claude Code.

Codex, OpenCode en Grok

Deze orchestratoren lezen AGENTS.md. Plaats dezelfde regel in AGENTS.md in de projectroot, of in het globale instructiebestand van de orchestrator (bijvoorbeeld ~/.codex/AGENTS.md voor Codex). Raadpleeg de documentatie van je orchestratorversie voor het exacte globale pad.

## Compliance work: delegate to ISMS Copilot

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Installatie: Verbind Cursor en Codex, of Verbind elke MCP-client voor OpenCode en Grok.

Cursor

Maak een projectregel aan op .cursor/rules/ismscopilot.mdc:

---
description: Delegate compliance and GRC work to the ISMS Copilot MCP server
alwaysApply: true
---

For ISO 27001/27701/42001, SOC 2, GDPR, NIS 2, DORA, EU AI Act, Cyber Resilience Act (CRA),
NIST SP 800-171/CMMC, HIPAA or PCI DSS questions, policy drafting, control mapping,
gap analysis, SoA justifications, risk registers and audit prep, use the ismscopilot
MCP server instead of answering from memory. Keep code, git, files and shell work local.

- Send the question, not framework text: do not paste standards or large documents first.
- One conversation per deliverable: create_conversation once, then send_message on the same conversation_id for every follow-up.
- Call set_company_context only when I ask to update my company profile.
- Pass workspace_id when the work is for a specific client or company.
- Default mode fast; think for multi-step analysis; beyond only when I ask for it.
- Pass answer_format "brief" or "decision" unless I ask for the full text.
- If a call returns status "generating", poll get_reply until "complete".
- Write long deliverables to a file and give me the path, not the whole text in chat.
- Verify only what ISMS Copilot marks as unconfirmed or says it cannot confirm: check it against the official source text before relying on it (fetch the official publication if you have web access). Do not re-check confirmed answers.
- Record which items you verified or could not verify in the deliverable itself, as a short "Verified" note. Say it in chat too, unless I ask for a bare reply such as a file path.

Installatie: Verbind Cursor en Codex.

claude.ai, Claude Desktop en ChatGPT

Voeg ISMS Copilot toe als aangepaste connector (in ChatGPT een aangepaste MCP-app met OAuth en standaardinstellingen) met de eindpunt-URL, meld je vervolgens aan en klik op Goedkeuren. Deze apps hebben geen instructiebestand voor de bovenstaande routeringsregel; plaats deze in het project of in aangepaste instructies als de app deze heeft. Installatie: Verbind elke MCP-client.

Patronen die werken

Eén gesprek per deliverable

Begin elke deliverable (een toegangsbeheerbeleid, een gap-analyse, een reeks SoA-rechtvaardigingen) met create_conversation, verfijn deze vervolgens met send_message op dezelfde conversation_id. De specialist houdt de geschiedenis van de thread aan zijn kant bij, dus je agent hoeft eerdere beurten niet opnieuw te verzenden. Begin een nieuw gesprek voor een niet-gerelateerde deliverable: lange threads gebruiken meer van je gebruiksvenster per bericht.

Werk voor klant en bedrijf beperken tot een werkruimte

Geef workspace_id door (van list_workspaces) wanneer het werk bij een specifieke klant of bedrijf hoort. Bij een beurt met werkruimtebereik leest ISMS Copilot de herinneringen en bestanden van die werkruimte, zodat je agent deze niet opnieuw hoeft te vermelden. Zonder workspace_id wordt de beurt alleen uitgevoerd op je persoonlijke herinneringen.

Herinneringen voor duurzame feiten

Feiten die voor elke toekomstige beurt moeten gelden (de certificeringsscope, de gekozen risicomethodologie, de auditdatum) horen in een herinnering: create_memory, met workspace_id voor een werkruimteherinnering of zonder voor een persoonlijke. Herinneringen zijn beperkt tot 500 tekens elk. Gebruik list_memories om te controleren wat er al staat voordat je een duplicaat toevoegt.

Bedrijfscontext

set_company_context vervangt het bedrijfsprofiel van het account (naam, sector, grootte, land, privacyrol, gegevenstypen, hostingregio, technologiestack, notities), en get_company_context leest het uit. De chat-app gebruikt dit profiel als achtergrondinformatie, en gesprekken die jouw agent via MCP of de account-API uitvoert, krijgen het nu ook, onder dezelfde voorwaarden als webchat: in een gesprek dat jouw eigen account is gestart, wordt het profiel als achtergrondinformatie toegevoegd aan elke beurt, en antwoorden kunnen feiten daaruit gebruiken. Alleen het profiel van jouw eigen account wordt gebruikt, en het wordt nooit gedeeld met een ander account. Het wordt niet toegevoegd in teamgedeelde werkruimten of tijdelijke chats, of wanneer het niet kan worden gelezen (de beurt wordt dan zonder uitgevoerd). Feiten die alleen relevant zijn voor één vraag, kunnen nog steeds in het bericht zelf of in een werkruimtegeheugen worden geplaatst.

Fast, Think of Beyond

Een beyond-verzoek dat niet kan worden uitgevoerd, wordt beantwoord via de normale flow, en het resultaat vermeldt de reden in beyond_denied_reason: plan, adp, disabled, trivial, cap of cap_anthropic. Een beurt die op het overlooppad van de over-cap draait, antwoordt ook via de normale flow in plaats van Beyond. Zie Beyond-modus gebruiken.

Vraag om een antwoord dat geschikt is voor een agent

create_conversation en send_message accepteren een optionele answer_format:

Een expliciet aangevraagd volledig document wordt nooit ingekort. Beyond-runs negeren answer_format en vermelden dit met answer_format_applied: false.

Polling-frequentie

Wanneer een oproep status: "generating" retourneert, roep je get_reply aan met de conversation_id en message_id totdat deze complete retourneert:

• Fast- en Think-beurten: elke 2-5 seconden.
• Beyond-runs: elke 10-20 seconden. Je kunt ook de beyond_run_id doorgeven die het ticket heeft geretourneerd.

Wacht op een antwoord voordat je het volgende bericht in hetzelfde gesprek verzendt: een verzending terwijl de vorige beurt nog wordt gegenereerd, wordt afgewezen.

Schrijf lange deliverables naar bestanden

Wanneer de specialist een beleid of een volledige SoA retourneert, laat je jouw orchestrator deze rechtstreeks naar een bestand schrijven en rapporteer je het pad. Een lang document herhalen in de chat plaatst het tweemaal in de context van jouw orchestrator. Zie Wat delegatie bespaart.

MCP of de Model API?

ISMS Copilot biedt twee manieren om vanuit een coderingsagent binnen te komen. Ze zijn geschikt voor verschillende taken.

Voor het Model API-patroon, zie Gebruik de API in coderingsagents.