Hoe voer je een kwetsbaarhedenscan uit?

Geplaatst op: 11 juli 2026

Een kwetsbaarhedenscan uitvoeren doe je door geautomatiseerde software in te zetten die je netwerk, systemen of applicaties systematisch doorzoekt op bekende beveiligingslekken. Het resultaat is een overzicht van kwetsbaarheden, ingedeeld op ernst, zodat je gericht actie kunt ondernemen. In dit artikel beantwoorden we de meest gestelde vragen over het uitvoeren van een vulnerability scan: van de concrete stappen tot de frequentie en wie de scan mag uitvoeren.

Wat zijn de stappen van een kwetsbaarhedenscan?

Een kwetsbaarhedenscan verloopt in vijf opeenvolgende stappen: voorbereiding, detectie, scanning, analyse en rapportage. Elke stap bouwt voort op de vorige en samen vormen ze een gestructureerd proces waarmee je een betrouwbaar beeld krijgt van de beveiligingsstatus van je omgeving.

1. Voorbereiding en scopebepaling: Bepaal welke systemen, netwerken of applicaties je wilt scannen. Leg de scope schriftelijk vast en zorg dat je toestemming hebt van de eigenaar van de systemen. Zonder duidelijke scope loop je het risico dat je te weinig of juist te veel scant.
2. Asset discovery: De scantool brengt eerst alle actieve apparaten, diensten en open poorten in kaart. Dit geeft een volledig beeld van wat er binnen de scope aanwezig is, inclusief systemen die je misschien vergeten bent.
3. Geautomatiseerde scanning: De tool vergelijkt de gevonden systemen met een database van bekende kwetsbaarheden, ook wel CVE’s (Common Vulnerabilities and Exposures) genoemd. Hierbij worden configuratiefouten, verouderde software en ontbrekende patches geïdentificeerd.
4. Analyse en prioritering: De gevonden kwetsbaarheden worden ingedeeld op basis van ernst, doorgaans via een CVSS-score (Common Vulnerability Scoring System). Kwetsbaarheden met een hoge score vragen om directe actie; lage scores kunnen worden ingepland.
5. Rapportage en opvolging: De bevindingen worden vastgelegd in een rapport met concrete aanbevelingen. Dit rapport vormt de basis voor het verhelpen van kwetsbaarheden en het bijhouden van voortgang.

Een goede voorbereiding bepaalt voor een groot deel de kwaliteit van de uitkomst. Wie de scope te beperkt houdt, mist kwetsbare systemen. Wie te breed scant zonder toestemming, riskeert verstoringen in productieomgevingen.

Welke tools worden gebruikt bij een kwetsbaarhedenscan?

Bij een kwetsbaarhedenscan worden gespecialiseerde scantools ingezet die netwerken en systemen automatisch doorzoeken op beveiligingslekken. De meest gebruikte tools zijn Nessus, OpenVAS, Qualys en Rapid7 InsightVM. De keuze hangt af van de omgeving, het budget en het gewenste detailniveau.

Voor netwerkkwetsbaarheden zijn tools als Nessus en Qualys breed inzetbaar en beschikken ze over uitgebreide kwetsbaarheidsdatabases die regelmatig worden bijgewerkt. OpenVAS is een open-source alternatief dat veel wordt gebruikt door organisaties die een kosteneffectieve oplossing zoeken. Rapid7 InsightVM biedt naast scanning ook mogelijkheden voor continue monitoring en integratie met andere beveiligingsplatformen.

Naast deze generieke tools zijn er ook gespecialiseerde oplossingen voor specifieke omgevingen:

• Webapplicaties: OWASP ZAP of Burp Suite, gericht op kwetsbaarheden als SQL-injectie en cross-site scripting
• Cloudomgevingen: Prowler (AWS), ScoutSuite of de ingebouwde beveiligingstools van cloudproviders
• Containersomgevingen: Trivy of Anchore, specifiek gericht op Docker-images en Kubernetes-clusters
• Active Directory: BloodHound of PingCastle, voor het in kaart brengen van rechten en configuratiekwetsbaarheden

Professionele security-teams combineren vaak meerdere tools, omdat geen enkele tool alle kwetsbaarheden dekt. Een gespecialiseerd security onderzoek maakt gebruik van een combinatie van geautomatiseerde scans en handmatige validatie om vals-positieven te filteren en de relevantie van bevindingen te beoordelen.

Wat is het verschil tussen een kwetsbaarhedenscan en een pentest?

Een kwetsbaarhedenscan is een geautomatiseerd proces dat bekende kwetsbaarheden identificeert en rapporteert, maar niet actief probeert deze te misbruiken. Een pentest, of penetratietest, gaat een stap verder: een ethisch hacker probeert kwetsbaarheden daadwerkelijk te exploiteren om te bepalen hoe ver een aanvaller kan komen. Het zijn aanvullende methoden, geen vervangers van elkaar.

Wat doet een kwetsbaarhedenscan precies?

Een vulnerability scan vergelijkt de aangetroffen systemen met bekende kwetsbaarheidsdatabases en signaleert risico’s. Het is een brede, snelle en herhaalbare methode die een goed overzicht geeft van de beveiligingsstatus. De scan vertelt je wat er mogelijk kwetsbaar is, maar niet of een kwetsbaarheid in jouw specifieke omgeving daadwerkelijk uitgebuit kan worden.

Wat doet een pentest extra?

Bij een professionele penetratietest denkt een ethisch hacker als een aanvaller. Hij combineert geautomatiseerde tools met handmatig onderzoek, creatief redeneren en kennis van aanvalstechnieken. Zo wordt duidelijk welke kwetsbaarheden echt gevaarlijk zijn in de context van jouw organisatie en welke aanvalspaden een kwaadwillende zou kunnen bewandelen. Een pentest levert daarmee dieper inzicht, maar vraagt ook meer tijd en budget.

Voor de meeste organisaties geldt: begin met regelmatige kwetsbaarhedenscans als basis en voer periodiek een pentest uit voor diepgaandere validatie. Onder wetgeving zoals de NIS2 wordt van organisaties verwacht dat ze beide methoden inzetten als onderdeel van hun cybersecurityverplichtingen.

Hoe interpreteer je de resultaten van een kwetsbaarhedenscan?

De resultaten van een kwetsbaarhedenscan interpreteer je door de bevindingen te beoordelen op ernst, context en uitbuitbaarheid. Niet elke gevonden kwetsbaarheid is even urgent: een hoge CVSS-score betekent niet automatisch dat de kwetsbaarheid direct gevaar oplevert in jouw specifieke omgeving.

De meeste scantools werken met een ernstclassificatie die varieert van informatief tot kritiek. Een praktische aanpak voor het interpreteren van resultaten:

• Kritiek en hoog: Verhelp deze kwetsbaarheden zo snel mogelijk, bij voorkeur binnen 24 tot 72 uur. Dit zijn kwetsbaarheden die actief worden misbruikt of waarvoor publieke exploits beschikbaar zijn.
• Gemiddeld: Plan herstel in binnen een redelijke termijn, doorgaans twee tot vier weken. Beoordeel of er compenserende maatregelen mogelijk zijn die het risico tijdelijk verlagen.
• Laag en informatief: Verwerk deze bevindingen in het reguliere patchbeheerproces. Ze hoeven niet direct actie te vereisen, maar negeer ze ook niet structureel.

Naast de ernstclassificatie is context essentieel. Stel jezelf bij elke bevinding de volgende vragen: Is het betreffende systeem bereikbaar van buitenaf? Welke data of processen zijn er aan gekoppeld? Zijn er al andere beveiligingsmaatregelen actief die de impact beperken? Een kwetsbaarheid op een intern testsysteem zonder gevoelige data weegt anders dan dezelfde kwetsbaarheid op een publiek toegankelijke webserver.

Vals-positieven zijn een bekend aandachtspunt bij geautomatiseerde scans. Valideer twijfelachtige bevindingen altijd handmatig voordat je herstelacties inplant, om onnodige werkdruk te voorkomen.

Hoe vaak moet je een kwetsbaarhedenscan uitvoeren?

Een kwetsbaarhedenscan moet je minimaal eens per kwartaal uitvoeren, maar voor organisaties met een hoger risicoprofiel of dynamische omgevingen is maandelijkse of zelfs continue scanning de norm. De juiste frequentie hangt af van de aard van je systemen, de geldende wet- en regelgeving en hoe snel je omgeving verandert.

Enkele richtlijnen voor de frequentie:

• Continu of wekelijks: Voor organisaties met kritieke infrastructuur, publiek toegankelijke systemen of een hoog aanvalsoppervlak. Denk aan financiële instellingen, zorginstellingen en overheidsorganisaties die onder NIS2 vallen.
• Maandelijks: Voor organisaties die actief werken aan hun cybersecurityvolwassenheid en regelmatig wijzigingen doorvoeren in hun IT-omgeving.
• Kwartaal: Als minimumfrequentie voor kleinere organisaties met een stabiele omgeving en een beperkt aanvalsoppervlak.
• Ad hoc: Altijd na grote wijzigingen zoals een nieuwe applicatie, cloudmigratie, fusie of na een beveiligingsincident.

Nieuwe kwetsbaarheden worden dagelijks ontdekt en gepubliceerd. Een scan die zes maanden geleden schoon was, zegt niets over de huidige situatie. Organisaties die vallen onder de NIS2-zorgplicht worden geacht aantoonbaar en structureel inzicht te hebben in hun beveiligingsstatus, wat regelmatige scanning praktisch verplicht maakt.

Wie mag een kwetsbaarhedenscan uitvoeren binnen een organisatie?

Een kwetsbaarhedenscan mag worden uitgevoerd door een interne IT- of securitymedewerker met de juiste kennis en tools, of door een externe gespecialiseerde partij. De belangrijkste voorwaarde is dat de persoon die de scan uitvoert, aantoonbare toestemming heeft van de eigenaar van de systemen. Zonder toestemming is het uitvoeren van een scan juridisch gezien niet toegestaan, ook niet binnen de eigen organisatie.

Voor de uitvoering zijn er twee routes:

Interne uitvoering

Wanneer een organisatie beschikt over een eigen IT-securityteam of een functionaris informatiebeveiliging, kunnen zij de scan intern uitvoeren. Dit vereist toegang tot de juiste tools, kennis van de omgeving en het vermogen om resultaten correct te interpreteren. Een intern team heeft als voordeel dat het de organisatiecontext goed kent, maar loopt het risico op blinde vlekken door gewenning aan de eigen omgeving.

Externe uitvoering

Een externe partij brengt onafhankelijke expertise en een frisse blik mee. Dit is vooral waardevol voor organisaties die geen eigen securityspecialisten hebben, een objectief oordeel willen, of moeten voldoen aan externe verantwoordingsvereisten. Externe specialisten zijn ook beter in staat om bevindingen te vergelijken met bredere trends en aanvalstechnieken die ze bij andere opdrachtgevers tegenkomen.

Voor organisaties die vallen onder NIS2 of andere wet- en regelgeving is het aan te raden om periodiek een externe partij in te schakelen, ook als er intern capaciteit is. Dit vergroot de geloofwaardigheid van de bevindingen en de onafhankelijkheid van het oordeel.

Hoe Q-Cyber helpt met kwetsbaarhedenscans

Wij helpen organisaties met het opzetten en uitvoeren van professionele kwetsbaarhedenscans, van scopebepaling tot concrete opvolging van bevindingen. Onze aanpak combineert geautomatiseerde scanning met handmatige validatie en securityexpertise, zodat je niet verdrinkt in een lijst met vals-positieven maar juist weet waar je als eerste actie moet ondernemen.

Wat wij bieden:

• Vulnerability scans op netwerken, systemen en webapplicaties, uitgevoerd door onze eigen specialisten
• Heldere rapportages met geprioriteerde bevindingen en concrete aanbevelingen, ook begrijpelijk voor niet-technische stakeholders
• Opvolging en advies over hoe gevonden kwetsbaarheden structureel worden verholpen
• Integratie met NIS2-compliance, zodat scans bijdragen aan het aantonen van je zorgplicht
• Onafhankelijk advies, zonder binding aan softwareleveranciers of andere toeleveranciers
• Continuous-Q voor organisaties die behoefte hebben aan continue security monitoring via een virtuele CISO

Wil je weten wat een kwetsbaarhedenscan voor jouw organisatie oplevert? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat is threat intelligence?

Geplaatst op: 10 juli 2026

Threat intelligence is informatie over bekende en opkomende cyberdreigingen die organisaties helpt begrijpen wie hen aanvalt, hoe aanvallers te werk gaan en welke systemen of gegevens risico lopen. Het gaat niet om ruwe data, maar om verwerkte, gecontextualiseerde kennis die directe actie mogelijk maakt. In dit artikel beantwoorden we de meest gestelde vragen over threat intelligence: van hoe het werkt in de praktijk tot welke organisaties er baat bij hebben.

Hoe werkt threat intelligence in de praktijk?

Threat intelligence werkt door continu informatie te verzamelen over cyberdreigingen, die informatie te analyseren en vervolgens om te zetten in concrete aanbevelingen of automatische beveiligingsacties. Het proces volgt een cyclus: verzamelen, verwerken, analyseren, verspreiden en evalueren. Elke stap voegt waarde toe aan ruwe gegevens totdat er bruikbare dreigingsinformatie ontstaat.

In de praktijk begint het met het verzamelen van gegevens uit uiteenlopende bronnen: openbare feeds met bekende kwaadaardige IP-adressen, darkwebforums waar gestolen inloggegevens worden verhandeld, meldingen van andere organisaties in dezelfde sector, en interne logbestanden van het eigen netwerk. Deze ruwe data heeft op zichzelf weinig waarde. Pas wanneer een analist of geautomatiseerd systeem verbanden legt, patronen herkent en context toevoegt, ontstaat echte dreigingsinformatie.

Een concreet voorbeeld: een beveiligingsteam ontvangt een melding dat een bepaalde groep aanvallers actief is in de financiële sector. Op zichzelf is dat een nieuwsfeit. Maar wanneer threat intelligence aantoont dat deze groep specifieke kwetsbaarheden in veelgebruikte boekhoudsoftware misbruikt, via phishingmails met een herkenbaar patroon binnenkomt, en zich richt op organisaties met minder dan tweehonderd medewerkers, wordt het een actieplan. Het beveiligingsteam weet nu precies waar het op moet letten en welke maatregelen prioriteit verdienen.

Wat zijn de verschillende soorten threat intelligence?

Threat intelligence wordt doorgaans onderverdeeld in vier soorten: strategische, tactische, operationele en technische intelligence. Elke soort richt zich op een ander publiek en een ander doel, van bestuurlijke besluitvorming tot automatische blokkering van kwaadaardig verkeer.

Strategische threat intelligence

Strategische dreigingsinformatie is bedoeld voor bestuurders en beleidsmakers. Het geeft een breder beeld van het dreigingslandschap: welke landen of criminele groepen zijn actief, welke sectoren worden het meest getroffen, en hoe ontwikkelen cyberdreigingen zich op de lange termijn? Deze informatie helpt bij het maken van investeringsbeslissingen rondom beveiliging en het bepalen van risicotolerantie.

Tactische, operationele en technische intelligence

Tactische intelligence richt zich op de werkwijzen van aanvallers, ook wel Tactics, Techniques and Procedures (TTPs) genoemd. Het beschrijft hoe aanvallers te werk gaan, zodat beveiligingsteams hun detectieregels en processen daarop kunnen afstemmen. Operationele intelligence biedt informatie over specifieke, aanstaande aanvallen: welke campagne is in voorbereiding, welk doelwit staat centraal? Technische intelligence ten slotte bestaat uit concrete indicatoren zoals kwaadaardige IP-adressen, domeinnamen of bestandshashes die direct in beveiligingssystemen kunnen worden ingevoerd om aanvallen automatisch te blokkeren.

Wat is het verschil tussen threat intelligence en vulnerability management?

Threat intelligence en vulnerability management zijn complementaire disciplines, maar ze beantwoorden een andere vraag. Vulnerability management richt zich op de vraag: welke zwakke plekken bestaan er in onze eigen systemen? Threat intelligence beantwoordt de vraag: wie wil ons aanvallen, hoe doen ze dat, en welke van onze zwakke plekken lopen daardoor het grootste risico?

Vulnerability management inventariseert en prioriteert kwetsbaarheden in software, configuraties en infrastructuur. Het resultaat is een lijst met patches en herstelacties. Dit is essentieel werk, maar het houdt geen rekening met wie er daadwerkelijk misbruik van maakt. Een kwetsbaarheid die theoretisch ernstig is, maar waarvoor geen actieve exploitcode bestaat en die niet door relevante dreigingsactoren wordt gebruikt, verdient minder urgentie dan een minder kritieke kwetsbaarheid die op dit moment actief wordt misbruikt in aanvallen op vergelijkbare organisaties.

Threat intelligence maakt vulnerability management slimmer. Door te weten welke kwetsbaarheden actief worden uitgebuit door dreigingsactoren die relevant zijn voor jouw sector of organisatiegrootte, kun je de volgorde van patchen beter bepalen. De twee disciplines versterken elkaar: zonder vulnerability management weet je niet wat er te beschermen valt, en zonder threat intelligence weet je niet wat het meeste risico loopt. Meer weten over hoe technische tests en dreigingsinformatie samenkomen? Bekijk onze penetratietestdiensten voor een praktisch voorbeeld.

Welke organisaties hebben baat bij threat intelligence?

Elke organisatie die afhankelijk is van digitale systemen heeft baat bij threat intelligence, maar de vorm en diepgang verschillen per organisatietype en volwassenheidsniveau. Zowel grote ondernemingen als middelgrote organisaties in sectoren als zorg, overheid, financiën en energie profiteren van gerichte dreigingsinformatie.

Grote organisaties met een eigen Security Operations Center (SOC) integreren threat intelligence direct in hun detectie- en responssystemen. Ze verwerken technische indicatoren automatisch en gebruiken strategische intelligence om hun beveiligingsstrategie bij te sturen. Maar ook kleinere organisaties zonder uitgebreide beveiligingsteams hebben baat bij threat intelligence, mits het op de juiste manier wordt aangeboden. Voor hen is het minder zinvol om zelf feeds te verwerken; zij hebben meer aan samenvattingen en concrete aanbevelingen die zijn toegespitst op hun sector.

Organisaties die onder Europese regelgeving vallen, zoals de NIS2-richtlijn, hebben bovendien een formele verplichting om inzicht te hebben in de dreigingen die relevant zijn voor hun dienstverlening. Threat intelligence is daarvoor geen luxe maar een noodzakelijk onderdeel van een volwassen beveiligingsaanpak. Sectoren zoals drinkwater, energie, transport en digitale infrastructuur zijn expliciet aangewezen als essentieel, maar ook organisaties in de toeleveringsketen worden steeds vaker geconfronteerd met eisen rondom dreigingsbewustzijn.

Hoe gebruik je threat intelligence om aanvallen te voorkomen?

Threat intelligence gebruik je om aanvallen te voorkomen door dreigingsinformatie te vertalen naar concrete beveiligingsmaatregelen, detectieregels en responsplannen voordat een aanval plaatsvindt. De sleutel is het koppelen van externe dreigingsinformatie aan de specifieke context van jouw organisatie.

Een effectieve aanpak omvat de volgende stappen:

• Identificeer relevante dreigingsactoren: Niet elke aanvaller is voor elke organisatie relevant. Bepaal welke groepen actief zijn in jouw sector, regio of ten aanzien van organisaties van jouw omvang.
• Vertaal TTPs naar detectieregels: Wanneer je weet hoe aanvallers te werk gaan, kun je je SIEM of andere detectiesystemen configureren om precies die gedragspatronen te herkennen.
• Verrijk patchbeheer: Gebruik threat intelligence om te prioriteren welke kwetsbaarheden als eerste moeten worden verholpen op basis van actieve exploitatie.
• Train medewerkers gericht: Phishingcampagnes en social engineering zijn vaak gebaseerd op actuele gebeurtenissen. Dreigingsinformatie helpt trainingen realistisch en actueel te houden.
• Stel responsplannen bij: Als intelligence aangeeft dat ransomwaregroepen actief zijn in jouw sector, is het moment om te controleren of back-ups werken en herstelplannen actueel zijn.

Dreigingsinformatie is ook waardevol voor supply chain beveiliging. Wanneer een leverancier wordt getroffen door een aanval of kwetsbaar blijkt, wil je dat zo vroeg mogelijk weten. Organisaties die continue beveiligingsmonitoring inzetten, kunnen dreigingsinformatie automatisch koppelen aan hun eigen omgeving en direct actie ondernemen wanneer relevante indicatoren worden gedetecteerd.

Hoe Q-Cyber helpt met threat intelligence

Wij bij Q-Cyber helpen organisaties om van losse dreigingsinformatie een werkende beveiligingsstrategie te maken. Dat doen we onafhankelijk, zonder binding aan softwarepartijen, zodat het advies altijd aansluit op wat jouw organisatie daadwerkelijk nodig heeft. Onze aanpak is concreet en pragmatisch:

• Dreigingsanalyse op maat: We brengen in kaart welke dreigingsactoren en aanvalsmethoden relevant zijn voor jouw sector en organisatieprofiel.
• Koppeling aan NIS2-verplichtingen: Voor organisaties die onder de NIS2-richtlijn vallen, vertalen we dreigingsinformatie naar de concrete zorgplicht- en meldingsvereisten.
• Technische validatie: Via penetratietests en vulnerability scans toetsen we of de dreigingen die voor jou relevant zijn ook daadwerkelijk kunnen worden omgezet in een succesvolle aanval.
• Beleid en training: We schrijven beleid dat aansluit op het actuele dreigingslandschap en verzorgen trainingen voor bestuurders en medewerkers.
• Virtuele CISO: Voor organisaties zonder eigen beveiligingsleiding bieden we een team van specialisten dat threat intelligence structureel inbedt in de beveiligingsstrategie.

Wil je weten hoe jouw organisatie er nu voor staat en welke dreigingen het meest relevant zijn? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat zijn de stappen voor een NIS2-gap analyse?

Geplaatst op: 10 juli 2026

Een NIS2-gap analyse is een gestructureerde beoordeling waarbij je de huidige cybersecuritysituatie van je organisatie vergelijkt met de eisen uit de NIS2-richtlijn, om zo te bepalen waar nog tekortkomingen bestaan. Het resultaat is een helder overzicht van wat er al goed gaat en welke maatregelen nog ontbreken of versterkt moeten worden. In dit artikel beantwoorden we de meest gestelde vragen over het uitvoeren van een NIS2 gap analyse: van wie er verplicht is tot de meest voorkomende tekortkomingen die zo’n analyse blootlegt.

Wat houdt een NIS2-gap analyse precies in?

Een NIS2-gap analyse is een nulmeting van de cybersecurityvolwassenheid van je organisatie, afgezet tegen de verplichtingen uit de NIS2-richtlijn en de Nederlandse Cyberbeveiligingswet (Cbw). De analyse brengt systematisch in kaart welke maatregelen al zijn getroffen, welke gedeeltelijk zijn ingevoerd en welke nog volledig ontbreken. Het eindresultaat is een concreet actieplan voor NIS2 compliance.

De NIS2-richtlijn verplicht organisaties om passende technische en organisatorische maatregelen te nemen op basis van een risicobeoordeling. Een gap analyse vormt daarvoor het fundament: zonder te weten waar je nu staat, kun je niet bepalen welke stappen nodig zijn. De analyse kijkt niet alleen naar technische beveiligingsmaatregelen, maar ook naar beleid, processen, bestuurlijke verantwoordelijkheid en de beveiliging van de toeleveringsketen.

Wat een NIS2 gap analyse onderscheidt van een gewone cybersecurity analyse is de specifieke normering waaraan wordt getoetst. De NIS2-richtlijn hanteert minimummaatregelen die voor alle betrokken organisaties gelden, aangevuld met sectorspecifieke vereisten. Voor overheidsorganisaties is dat de Baseline Informatiebeveiliging Overheid 2 (BIO2), die wettelijk verankerd is als het normenkader onder de Cbw.

Welke organisaties zijn verplicht een NIS2-gap analyse te doen?

Elke organisatie die onder de Cyberbeveiligingswet valt, is verplicht te voldoen aan de NIS2-zorgplicht. Hoewel de wet geen expliciete verplichting tot het uitvoeren van een gap analyse noemt, is zo’n analyse in de praktijk onmisbaar om aan te tonen dat je de vereiste risicogebaseerde aanpak hanteert. In Nederland vallen naar schatting ruim 10.000 organisaties rechtstreeks onder de NIS2.

De Cyberbeveiligingswet onderscheidt twee categorieën: essentiële en belangrijke entiteiten. Alle gemeenten, provincies en waterschappen worden aangemerkt als essentiële entiteiten. Ook de centrale overheid, departementen, agentschappen en ZBO’s die onder de Kaderwet ZBO’s vallen, zijn essentieel. Buiten de overheid gaat het om organisaties in sectoren zoals energie, transport, drinkwater, digitale infrastructuur en de gezondheidszorg.

Organisaties zijn zelf verantwoordelijk om te bepalen of ze onder de wet vallen. Nuttige hulpmiddelen daarvoor zijn de NIS2 Zelfevaluatietool via regelhulpenvoorbedrijven.nl en de Flowchart Registratieplicht van het NCSC. Naast de direct betrokken organisaties krijgen ook toeleveranciers en ketenpartners te maken met NIS2-eisen, omdat de zorgplicht uitdrukkelijk supply chain security omvat. Bedrijven die aan NIS2-plichtige organisaties leveren, worden daardoor indirect ook geraakt.

Enkele categorieën zijn uitgezonderd van de wet, waaronder het Ministerie van Defensie, de AIVD, de MIVD, de politie en de rechterlijke macht. Organisaties die slechts zijdelings te maken hebben met nationale veiligheid vallen wel gewoon onder de richtlijn.

Hoe voer je een NIS2-gap analyse stap voor stap uit?

Een NIS2 gap analyse uitvoeren verloopt in vijf opeenvolgende stappen: bepaal de toepasselijkheid, breng de huidige situatie in kaart, toets aan de NIS2-vereisten, identificeer de gaps en stel een prioriteitenplan op. Elke stap bouwt voort op de vorige en zorgt samen voor een volledig en bruikbaar beeld van de NIS2 compliance-status.

Stap 1: Bepaal de toepasselijkheid en reikwijdte

Bevestig eerst formeel of je organisatie onder de Cyberbeveiligingswet valt en in welke categorie ze valt: essentieel of belangrijk. Breng ook de reikwijdte van de analyse vast: welke systemen, processen en diensten zijn in scope? Denk daarbij aan kritieke bedrijfsprocessen, afhankelijkheden van leveranciers en de digitale infrastructuur die de continuïteit van dienstverlening draagt.

Stap 2: Breng de huidige situatie in kaart

Documenteer welke beveiligingsmaatregelen al aanwezig zijn. Dit omvat technische maatregelen zoals toegangsbeveiliging, encryptie en multi-factorauthenticatie, maar ook organisatorische maatregelen zoals beleid voor risicoanalyse, incidentrespons en bedrijfscontinuïteit. Interviews met sleutelfunctionarissen en een review van bestaande documentatie vormen hierbij een belangrijke informatiebron. Voor overheidsorganisaties biedt het BIO Self Assessment (BIO-SA) een goed startpunt.

Stap 3: Toets aan de NIS2-vereisten

Vergelijk de huidige situatie met de verplichte maatregelen uit de NIS2-richtlijn en de Cyberbeveiligingswet. Het ministerie van BZK heeft een mapping gepubliceerd die inzichtelijk maakt welke NIS2-maatregelen verplicht, optioneel of situationeel zijn en hoe ze zich verhouden tot de NEN-EN-ISO/IEC 27002 en de huidige BIO. Gebruik deze mapping als referentiekader voor de toetsing. Bij compliance en beleid gaat het niet alleen om het aanvinken van maatregelen, maar om aantoonbare implementatie.

Stap 4: Identificeer en documenteer de gaps

Leg per vereiste vast of de maatregel volledig is geïmplementeerd, gedeeltelijk aanwezig is of volledig ontbreekt. Voeg voor elke gap een risicoduiding toe: hoe groot is de kans op een incident als deze gap niet wordt gedicht, en wat zijn de mogelijke gevolgen? Deze risicoduiding bepaalt later de prioritering van maatregelen.

Stap 5: Stel een prioriteitenplan op

Vertaal de geïdentificeerde gaps naar een concreet actieplan met eigenaarschap, doorlooptijden en benodigde middelen. Prioriteer op basis van risico: begin met maatregelen die de grootste kwetsbaarheden dichten. Vergeet daarbij de toeleveringsketen niet: de NIS2-zorgplicht vereist ook inzicht in de cybersecuritymaatregelen van leveranciers.

Welke NIS2-domeinen komen aan bod tijdens een gap analyse?

Tijdens een NIS2 gap analyse worden alle domeinen beoordeeld die de NIS2-richtlijn als minimummaatregelen aanmerkt. Dit zijn zowel technische als organisatorische domeinen die samen de cybersecurityweerbaarheid van een organisatie bepalen.

De voornaamste domeinen die aan bod komen zijn:

• Risicoanalyse en beveiligingsbeleid: Heeft de organisatie een formeel beleid voor het identificeren en beheren van cyberrisico’s?
• Bedrijfscontinuïteit en crisisbeheer: Zijn er procedures voor herstel na een incident, inclusief back-upbeheer en noodplannen?
• Supply chain security: Zijn de cybersecuritymaatregelen van leveranciers en ketenpartners in kaart gebracht en contractueel geborgd?
• Beveiliging van systemen: Worden systemen veilig verworven, ontwikkeld en onderhouden, inclusief patchmanagement?
• Cryptografie en encryptie: Is er beleid voor het gebruik van versleuteling en worden sleutels adequaat beheerd?
• Toegangsbeveiliging en personeelsbeveiliging: Zijn toegangsrechten gebaseerd op het need-to-know principe en worden medewerkers gescreend en getraind?
• Multi-factorauthenticatie: Wordt MFA toegepast op kritieke systemen en beheerdersaccounts?
• Incidentdetectie en meldplicht: Zijn er processen om incidenten tijdig te detecteren en binnen de wettelijke termijnen te melden bij de bevoegde autoriteiten?
• Bestuurlijke verantwoordelijkheid: Heeft het bestuur voldoende kennis van cybersecurity en is de verantwoordelijkheid formeel belegd?

Voor organisaties waarbij geavanceerde dreigingen een reële factor zijn, kan het zinvol zijn om naast een gap analyse ook een red team assessment te overwegen, om te testen of de bestaande maatregelen ook in de praktijk standhouden.

Hoe lang duurt een NIS2-gap analyse gemiddeld?

Een NIS2 gap analyse duurt gemiddeld tussen de twee en zes weken, afhankelijk van de omvang van de organisatie, de complexiteit van de IT-omgeving en de beschikbaarheid van bestaande documentatie. Voor kleinere organisaties met een overzichtelijke infrastructuur kan een analyse sneller worden afgerond; voor grote of complexe organisaties met meerdere vestigingen of uitgebreide leveranciersketens neemt het meer tijd in beslag.

De doorlooptijd wordt ook bepaald door de mate van voorbereiding. Organisaties die al beschikken over actueel beleid, een recente risicoanalyse en goed bijgehouden systeeminventarisaties kunnen de analyse aanzienlijk versnellen. Organisaties die nog nauwelijks met geformaliseerde cybersecurity bezig zijn, moeten rekening houden met een langere doorlooptijd omdat er meer basiswerk nodig is voordat de toetsing kan beginnen.

Een praktische vuistregel: plan voor de daadwerkelijke analyse twee tot drie weken in, en reserveer daarna nog een tot twee weken voor het opstellen van het rapport en actieplan. De inwerkingtreding van de Cyberbeveiligingswet wordt verwacht in Q2 2026, wat betekent dat organisaties die nog niet zijn gestart weinig tijd te verliezen hebben.

Wat zijn de meest voorkomende tekortkomingen die een NIS2-gap analyse blootlegt?

De meest voorkomende tekortkomingen die een NIS2 gap analyse aan het licht brengt zijn: onvoldoende formeel beleid voor risicoanalyse, gebrekkige supply chain beveiliging, ontbrekende of onvolledige incidentresponsprocedures en beperkte bestuurlijke betrokkenheid bij cybersecurity. Dit zijn structurele zwaktes die in vrijwel alle sectoren terugkomen.

Meer specifiek zien we de volgende tekortkomingen regelmatig opduiken:

• Onvoldoende risicogebaseerd beleid: Veel organisaties hebben technische maatregelen getroffen, maar missen een formeel gedocumenteerd beleid dat de risicoafwegingen onderbouwt.
• Blinde vlekken in de toeleveringsketen: Organisaties weten vaak niet welke cybersecuritystandaarden hun leveranciers hanteren, terwijl de NIS2-zorgplicht dit uitdrukkelijk vereist.
• Incompleet incidentbeheer: Procedures voor detectie en respons bestaan soms op papier, maar zijn niet getest of niet actueel. De NIS2 vereist melding van significante incidenten binnen 24 uur, wat strakke interne processen vergt.
• Onvoldoende MFA-implementatie: Multi-factorauthenticatie ontbreekt nog regelmatig op kritieke systemen, beheerdersaccounts of externe toegangspunten.
• Gebrekkige bestuurlijke kennis: Bestuurders zijn formeel verantwoordelijk voor de cyberweerbaarheid van hun organisatie, maar beschikken vaak niet over de kennis om weloverwogen beslissingen te nemen. Training van de politieke en bestuurlijke leiding is een veelgehoorde aanbeveling na een gap analyse.
• Ontbrekende continuïteitsplannen: Back-upprocedures en herstelplannen zijn aanwezig, maar worden zelden getest op effectiviteit in een realistisch incidentscenario.
• Verouderde systemen zonder patchbeleid: Systemen die niet meer worden ondersteund door de leverancier vormen een structureel risico dat in gap analyses veelvuldig naar voren komt.

Een penetratietest kan na de gap analyse helpen om technische kwetsbaarheden verder te verdiepen en te prioriteren op basis van daadwerkelijke exploiteerbaarheid.

Hoe Q-Cyber helpt met een NIS2-gap analyse

Wij begeleiden organisaties van begin tot eind door het NIS2-traject: van de eerste oriëntatie tot een volledig uitgewerkt actieplan. Onze aanpak combineert technische diepgang met beleidsmatige expertise, zodat de gap analyse niet alleen tekortkomingen identificeert maar ook direct vertaalt naar uitvoerbare maatregelen.

Wat wij concreet bieden:

• NIS2 gap analyse op maat: We toetsen uw organisatie aan de NIS2-vereisten en relevante normenkaders zoals de BIO2, en leveren een helder rapport met geprioriteerde bevindingen.
• Beleidsschrijving en implementatieadvies: We schrijven beleid dat aansluit op uw specifieke risicoprofiel en helpen bij de daadwerkelijke implementatie van maatregelen.
• Bestuurderstrainingen: We verzorgen trainingen voor het management en de politieke leiding, zodat zij hun verantwoordelijkheid onder de Cyberbeveiligingswet kunnen waarmaken.
• Virtuele CISO via Continuous-Q®: Via ons Continuous-Q programma bieden we doorlopende begeleiding door een team van specialisten, zodat NIS2-compliance geen eenmalig project wordt maar een levende capaciteit binnen uw organisatie.
• Onafhankelijk en transparant: We werken zonder binding aan softwarepartijen of toeleveranciers, zodat ons advies altijd in uw belang is.

Wacht niet tot de Cyberbeveiligingswet in werking treedt. De risico’s zijn er nu al, en wie nu begint staat straks sterker. Neem contact op en ontdek hoe we uw organisatie snel en pragmatisch op weg helpen.

Lees meer

Wat is SIEM en heb je het nodig als mkb?

Geplaatst op: 9 juli 2026

SIEM, wat staat voor Security Information and Event Management, is een beveiligingsoplossing die loggegevens en beveiligingsinformatie uit verschillende systemen centraal verzamelt, analyseert en correleert om bedreigingen in realtime te detecteren. Voor de meeste mkb-bedrijven is SIEM echter geen vanzelfsprekende keuze: de technologie is krachtig, maar vraagt ook om de nodige kennis, capaciteit en budget om echt effectief te zijn. In dit artikel beantwoorden we de belangrijkste vragen over SIEM, zodat je kunt inschatten of het past bij jouw organisatie.

Hoe werkt SIEM in de praktijk?

Een SIEM-oplossing werkt door loggegevens van alle systemen binnen een organisatie, zoals firewalls, servers, applicaties en eindpunten, te verzamelen op één centrale plek. Vervolgens analyseert het systeem deze gegevens automatisch op afwijkend gedrag, bekende aanvalspatronen en verdachte combinaties van gebeurtenissen, en genereert het meldingen wanneer er iets mis lijkt te gaan.

In de praktijk verloopt dit in drie stappen. Ten eerste vindt dataverzameling plaats: agents of connectoren sturen logbestanden door naar het centrale SIEM-platform. Ten tweede verwerkt het systeem deze data: het normaliseert de informatie, verrijkt deze met dreigingsinformatie en past correlatieregels toe. Ten derde genereert het platform alerts: wanneer een patroon overeenkomt met een bekende dreiging of een drempelwaarde overschrijdt, krijgt een beveiligingsteam een melding.

Stel dat een medewerker buiten kantoortijd inlogt vanuit een onbekend land en vervolgens een grote hoeveelheid data downloadt. Afzonderlijk lijken dit misschien onschuldige gebeurtenissen, maar een SIEM-systeem koppelt ze aan elkaar en markeert de combinatie als verdacht. Dat is precies de kracht van correlatie: context creëren die losse logregels niet bieden.

Wat zijn de voordelen van SIEM voor een organisatie?

De belangrijkste voordelen van een SIEM-oplossing zijn gecentraliseerde zichtbaarheid over de gehele IT-omgeving, snellere detectie van beveiligingsincidenten en een gestructureerd logarchief voor forensisch onderzoek en compliance. Organisaties die SIEM goed inzetten, verkorten de tijd tussen een inbraak en de detectie ervan aanzienlijk.

Concreet biedt SIEM de volgende voordelen:

• Realtime dreigingsdetectie: afwijkend gedrag wordt direct gesignaleerd, niet pas na dagen of weken.
• Compliance-ondersteuning: SIEM helpt bij het voldoen aan regelgeving zoals de NIS2-richtlijn door geautomatiseerde rapportages en auditlogs.
• Centraal overzicht: alle beveiligingsinformatie komt samen op één plek, wat het handmatig controleren van tientallen systemen overbodig maakt.
• Forensische waarde: bij een incident beschik je over een volledig logarchief om de aanval te reconstrueren en schade te beperken.
• Snellere respons: dankzij automatische alerts kan een beveiligingsteam sneller ingrijpen.

Voor grotere organisaties met complexe IT-omgevingen is SIEM dan ook een waardevol instrument. De meerwaarde is het grootst wanneer er daadwerkelijk mensen zijn die de alerts opvolgen en de tool actief beheren.

Wat zijn de nadelen en beperkingen van SIEM?

De grootste nadelen van SIEM zijn de hoge implementatiekosten, de complexe configuratie en het feit dat het systeem alleen effectief is als er bekwaam personeel beschikbaar is om de meldingen te interpreteren en op te volgen. Zonder de juiste expertise genereert SIEM al snel meer ruis dan inzicht.

Specifieke beperkingen om rekening mee te houden:

• Valse positieven: slecht geconfigureerde SIEM-systemen produceren grote aantallen meldingen die geen echte dreiging vormen, wat leidt tot zogenaamde alert fatigue.
• Hoge beheerslast: correlatieregels moeten voortdurend worden bijgesteld naarmate de IT-omgeving verandert.
• Initiële investering: zowel de licentiekosten als de implementatietijd zijn aanzienlijk.
• Vereist expertise: een SIEM-platform werkt pas goed als iemand weet hoe het geconfigureerd moet worden en hoe alerts beoordeeld moeten worden.
• Geen preventie: SIEM detecteert en signaleert, maar blokkeert aanvallen niet zelfstandig.

Voor veel organisaties is het niet zozeer de vraag of SIEM technisch kan werken, maar of er de mensen en processen zijn om het systeem werkelijk te laten renderen.

Wat is het verschil tussen SIEM, SOC en SOAR?

SIEM is een technologisch platform voor het verzamelen en analyseren van beveiligingsdata. Een SOC (Security Operations Center) is het team van mensen dat die data bewaakt en op incidenten reageert. SOAR (Security Orchestration, Automation and Response) is een aanvullende laag die repetitieve taken automatiseert en de respons op incidenten versnelt. De drie werken vaak samen, maar zijn elk afzonderlijk.

SIEM: het technologische fundament

SIEM levert de data en de analyses. Het platform verzamelt logbestanden, past correlatieregels toe en genereert alerts. Zonder mensen die deze alerts opvolgen, heeft SIEM beperkte waarde.

SOC: de mensen achter de technologie

Een SOC is een team van beveiligingsanalisten dat continu of tijdens kantooruren de SIEM-meldingen beoordeelt, incidenten onderzoekt en de juiste acties onderneemt. Grotere organisaties richten een intern SOC in; kleinere organisaties maken gebruik van een extern of virtueel SOC, zoals een Continuous-Q dienst waarbij een team van specialisten de beveiligingsmonitoring op zich neemt.

SOAR: automatisering van de respons

SOAR voegt automatisering toe aan het beveiligingsproces. Waar een SOC-analist handmatig een IP-adres blokkeert of een ticket aanmaakt, doet SOAR dat automatisch op basis van vooraf ingestelde workflows. Dit versnelt de reactietijd en vermindert de werkdruk van het beveiligingsteam.

Wanneer is SIEM zinvol voor een mkb-bedrijf?

SIEM is zinvol voor een mkb-bedrijf wanneer de organisatie beschikt over een complexe IT-omgeving met meerdere systemen, wanneer er complianceverplichtingen gelden die gedetailleerde logregistratie vereisen, en wanneer er intern of extern voldoende capaciteit is om de meldingen actief op te volgen. Zonder deze voorwaarden weegt de investering doorgaans niet op tegen de meerwaarde.

Praktische indicatoren dat SIEM relevant kan zijn voor een mkb-bedrijf:

• Je valt onder de NIS2-richtlijn of andere sectorale regelgeving die aantoonbaar logbeheer vereist.
• Je verwerkt gevoelige klantdata of persoonsgegevens op grote schaal.
• Je hebt al een basisbeveiliging op orde maar wil de detectiecapaciteit verbeteren.
• Je werkt met een externe partij die het SIEM-platform voor je beheert, zodat je zelf geen fulltime beveiligingsanalist hoeft aan te nemen.

Een mkb-bedrijf met tien medewerkers en een standaard Microsoft 365-omgeving heeft in de meeste gevallen meer baat bij eenvoudigere maatregelen. Een bedrijf met vijftig of meer medewerkers, meerdere locaties en kritieke bedrijfsprocessen kan SIEM serieus overwegen, mits de beheerskosten realistisch worden ingeschat.

Wat zijn de alternatieven voor SIEM voor het mkb?

Goede alternatieven voor SIEM voor het mkb zijn onder andere Endpoint Detection and Response (EDR), cloudgebaseerde beveiligingsdiensten van platforms zoals Microsoft 365 Defender, en een beheerde beveiligingsdienst (MSSP) die monitoring en respons uitbesteedt zonder dat je zelf een volledig SIEM-platform hoeft te configureren. Deze opties bieden vaak een betere prijs-kwaliteitverhouding voor kleinere organisaties.

Een overzicht van praktische alternatieven:

• EDR (Endpoint Detection and Response): bewaakt individuele apparaten op verdacht gedrag en blokkeert bedreigingen automatisch. Minder complex dan SIEM, maar wel effectief voor de meeste mkb-dreigingen.
• Microsoft Defender voor Bedrijven: ingebouwde beveiligingsfunctionaliteit die al beschikbaar is binnen Microsoft 365, inclusief basale detectie en alerting.
• Vulnerability scanning: regelmatige pentesten en vulnerability scans helpen kwetsbaarheden te vinden voordat aanvallers dat doen, zonder de continue beheerslast van een SIEM-platform.
• MSSP (Managed Security Service Provider): een externe partij neemt de beveiligingsmonitoring volledig over, soms inclusief een lichtgewicht SIEM-component, maar zonder dat jij de tool zelf hoeft te beheren.
• Awareness training en beleid: veel aanvallen slagen door menselijke fouten. Investeren in training en duidelijk beveiligingsbeleid is voor veel mkb-bedrijven effectiever dan een dure technologische oplossing.

De juiste keuze hangt af van je risiconiveau, budget en de beschikbare interne kennis. Een pragmatische aanpak begint met de vraag: welke dreiging wil ik als eerste adresseren, en wat is de meest kosteneffectieve manier om dat te doen?

Hoe Q-Cyber helpt bij cyberbeveiliging voor het mkb

Wij bij Q-Cyber begrijpen dat de wereld van SIEM, SOC en SOAR overweldigend kan aanvoelen, zeker voor mkb-organisaties die geen fulltime beveiligingsteam hebben. Wij helpen je om de juiste keuzes te maken, zonder je te binden aan dure softwareoplossingen die niet bij jouw situatie passen.

Wat wij concreet voor je kunnen doen:

• Onafhankelijk advies: we beoordelen of SIEM werkelijk nodig is voor jouw organisatie, of dat een lichtere oplossing meer oplevert.
• Gap-analyse en risicoassessment: we brengen in kaart waar de grootste kwetsbaarheden zitten en welke maatregelen de meeste impact hebben.
• Vulnerability scans en pentesten: we testen actief of jouw systemen bestand zijn tegen aanvallen, zodat je weet waar je staat.
• Virtuele CISO-diensten: via onze Continuous-Q aanpak krijg je toegang tot een team van beveiligingsspecialisten dat de beveiligingsmonitoring en het beleid voor je beheert.
• NIS2-begeleiding: we helpen je te bepalen of je onder de NIS2-richtlijn valt en begeleiden je door het volledige compliancetraject.

We werken volledig onafhankelijk, zonder binding aan softwarepartijen, en leveren altijd pragmatisch advies dat aansluit op jouw specifieke situatie. Wil je weten welke aanpak het beste past bij jouw organisatie? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Waarom is netwerkbeveiliging de kern van NIS2?

Geplaatst op: 9 juli 2026

Netwerkbeveiliging is de kern van NIS2 omdat de richtlijn organisaties verplicht hun netwerk- en informatiesystemen actief te beschermen tegen verstoringen, aanvallen en datalekken. Zonder robuuste netwerkbeveiliging kunnen organisaties niet voldoen aan de zorgplicht die de NIS2-richtlijn oplegt. In dit artikel beantwoorden we de meest gestelde vragen over netwerkbeveiliging en NIS2-compliance.

Welke netwerkbeveiligingseisen stelt NIS2 aan organisaties?

NIS2 verplicht organisaties passende technische en organisatorische maatregelen te nemen om de beveiliging van hun netwerk- en informatiesystemen te waarborgen. De kern van deze verplichting is een risicogebaseerde aanpak: organisaties beoordelen hun eigen risicoprofiel en implementeren maatregelen die evenredig zijn aan de dreiging. Dit omvat minimaal beleid voor risicoanalyse, toegangsbeveiliging, encryptie en incidentrespons.

De NIS2-richtlijn benoemt een aantal minimummaatregelen die organisaties in elk geval moeten treffen. Voor netwerkbeveiliging zijn de meest relevante eisen:

• Beleid voor risicoanalyse en beveiliging van informatiesystemen — organisaties moeten structureel in kaart brengen welke risico’s hun netwerken lopen.
• Toegangsbeveiliging en multi-factorauthenticatie — ongeautoriseerde toegang tot netwerksystemen moet worden voorkomen via sterke authenticatiemethoden.
• Encryptie en cryptografiebeleid — gevoelige data die over netwerken wordt verstuurd, moet worden beschermd met encryptie.
• Beveiliging van de toeleveringsketen — ook de netwerkkoppelingen met leveranciers en partners vallen onder de zorgplicht.
• Bedrijfscontinuïteit en crisisbeheer — organisaties moeten kunnen aantonen dat zij bij een netwerkincident de dienstverlening kunnen herstellen.

In Nederland wordt de NIS2-richtlijn omgezet via de Cyberbeveiligingswet (Cbw). De concrete invulling van de zorgplicht is gelaagd: de Cbw stelt de hoofdlijnen vast, het Cyberbeveiligingsbesluit werkt deze nader uit, en per sector gelden aanvullende ministeriële regelingen. Voor overheidsorganisaties vormt de Baseline Informatiebeveiliging Overheid 2 (BIO2) het normenkader voor de zorgplicht.

Hoe verschilt NIS2 van NIS1 op het gebied van netwerkbeveiliging?

NIS2 gaat op het gebied van netwerkbeveiliging aanzienlijk verder dan zijn voorganger NIS1. Waar NIS1 zich beperkte tot een beperkte groep aanbieders van essentiële diensten, breidt NIS2 de reikwijdte drastisch uit en legt het strengere en concretere beveiligingseisen op. De nadruk verschuift van vrijblijvende risicobeheersing naar aantoonbare, structurele naleving.

De belangrijkste verschillen op het gebied van netwerkbeveiliging zijn:

• Bredere reikwijdte — NIS2 treft een veel grotere groep organisaties. In Nederland vallen naar schatting ruim 10.000 organisaties direct onder de wet, en indirect nog eens circa 50.000 toeleveranciers.
• Strengere meldplicht — significante netwerkincidenten moeten binnen 24 uur worden gemeld bij de nationale autoriteiten, gevolgd door een uitgebreid eindverslag binnen een maand.
• Bestuurlijke verantwoordelijkheid — het bestuur van een organisatie is persoonlijk verantwoordelijk voor de keuzes rond netwerkbeveiliging en moet aantoonbaar getraind zijn.
• Supply chain security — NIS2 verplicht organisaties expliciet om ook de netwerkbeveiliging van hun toeleveranciers mee te nemen in hun risicoanalyse.
• Hogere boetes — bij niet-naleving kunnen essentiële entiteiten boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet.

De kern van het verschil is dat NIS2 cybersecurity, en netwerkbeveiliging in het bijzonder, niet langer als een technische aangelegenheid behandelt, maar als een bestuurlijke verantwoordelijkheid. Wie netwerken onvoldoende beveiligt, riskeert niet alleen een aanval, maar ook directe juridische en financiële gevolgen.

Waarom is netwerkmonitoring een kernverplichting binnen NIS2?

Netwerkmonitoring is een kernverplichting binnen NIS2 omdat de richtlijn vereist dat organisaties significante incidenten tijdig detecteren en melden. Zonder actieve monitoring van netwerkverkeer en systeemgedrag is het vrijwel onmogelijk om een incident binnen de verplichte 24 uur te ontdekken en te rapporteren. Monitoring vormt daarmee de praktische basis voor zowel de zorgplicht als de meldplicht.

De redenering achter deze eis is helder. Een organisatie die haar netwerk niet continu in de gaten houdt, kan niet beoordelen of de continuïteit van haar dienstverlening in gevaar is. NIS2 verplicht organisaties expliciet om de beschikbaarheid, vertrouwelijkheid en integriteit van hun informatie te beschermen. Dat lukt alleen als afwijkend gedrag in het netwerk vroegtijdig wordt gesignaleerd.

Effectieve netwerkmonitoring in het kader van NIS2-compliance omvat doorgaans:

• Logging van netwerktoegang en systeemactiviteiten
• Detectie van ongebruikelijke verkeerspatronen of toegangspogingen
• Alerting bij mogelijke beveiligingsincidenten
• Integratie met een incidentresponsproces zodat meldingen snel kunnen worden ingediend

Voor organisaties die hun netwerkbeveiliging willen testen en valideren, biedt een penetratietest inzicht in de werkelijke kwetsbaarheden in het netwerk voordat een aanvaller die vindt.

Wat zijn de gevolgen van onvoldoende netwerkbeveiliging onder NIS2?

Onvoldoende netwerkbeveiliging onder NIS2 kan leiden tot zowel operationele als juridische gevolgen. Essentiële entiteiten riskeren boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Belangrijke entiteiten kunnen worden beboet tot 7 miljoen euro of 1,4% van de jaaromzet. Naast financiële sancties kan het senior management persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen.

De gevolgen zijn echter breder dan alleen financieel. Organisaties die onvoldoende netwerkbeveiliging hebben ingericht, lopen de volgende risico’s:

• Operationele schade — een succesvolle aanval op het netwerk kan de dienstverlening volledig stilleggen, met directe schade voor klanten, burgers en partners.
• Reputatieschade — openbare melding van een significant incident beschadigt het vertrouwen van stakeholders en de bredere markt.
• Toezichtmaatregelen — de toezichthouder (in Nederland de Rijksinspectie Digitale Infrastructuur voor de overheidssector) kan corrigerende maatregelen opleggen, inspecties uitvoeren en in het uiterste geval de bedrijfsvoering beperken.
• Aansprakelijkheid in de keten — organisaties die als toeleverancier van een NIS2-entiteit opereren, kunnen indirect aansprakelijk worden gesteld als een zwakke schakel in de supply chain.

Wat NIS2 onderscheidt van eerdere regelgeving is dat de verantwoordelijkheid expliciet bij het bestuur ligt. Bestuurders die onvoldoende kennis hebben van netwerkbeveiligingsrisico’s of die aantoonbaar hebben nagelaten maatregelen te treffen, kunnen persoonlijk worden aangesproken. Dat maakt netwerkbeveiliging een boardroomvraagstuk, geen IT-vraagstuk.

Hoe begin je met netwerkbeveiliging verbeteren voor NIS2-compliance?

Begin met een grondige risicoanalyse van uw huidige netwerkinfrastructuur. Breng in kaart welke systemen, koppelingen en data het meest kwetsbaar zijn, en bepaal op basis daarvan welke maatregelen prioriteit verdienen. Dit is precies de risicogebaseerde aanpak die de NIS2-richtlijn voorschrijft als fundament voor de zorgplicht.

Een praktische aanpak voor het verbeteren van netwerkbeveiliging richting NIS2-compliance bestaat uit de volgende stappen:

1. Bepaal of uw organisatie onder de wet valt — gebruik de NIS2 Zelfevaluatietool of de Flowchart Registratieplicht van het NCSC om uw status te bepalen.
2. Voer een gap-analyse uit — vergelijk uw huidige netwerkbeveiligingsmaatregelen met de minimumvereisten uit de Cbw en het Cyberbeveiligingsbesluit.
3. Implementeer basismaatregelen — zorg voor multi-factorauthenticatie, encryptiebeleid, toegangsbeheer en netwerkmonitoring als eerste prioriteiten.
4. Test uw netwerk actief — een red team assessment simuleert een echte aanvaller en laat zien waar uw netwerk daadwerkelijk kwetsbaar is.
5. Documenteer uw maatregelen — NIS2 vereist niet alleen dat maatregelen worden genomen, maar ook dat u kunt aantonen dat dit is gebeurd.
6. Train uw bestuur — de Cbw verplicht bestuurders een training te volgen over cybersecurityrisico’s en risicobeheersmaatregelen.
7. Registreer u bij het NCSC — organisaties kunnen zich al vrijwillig registreren via het NCSC-portaal, zodat zij actuele dreigingsinformatie ontvangen.

Wie voor de overheidssector werkt, doet er verstandig aan de BIO2 als startpunt te nemen. De BIO2 sluit nauw aan op de risicogebaseerde benadering van de Cbw en dekt een groot deel van de NIS2-vereisten af. Voor andere sectoren biedt de NEN-EN-ISO/IEC 27002 een vergelijkbaar houvast. Via cyber research kunt u bovendien inzicht krijgen in de dreigingen die specifiek relevant zijn voor uw sector.

Hoe Q-Cyber helpt met NIS2-netwerkbeveiliging

Q-Cyber begeleidt organisaties concreet bij het verbeteren van hun netwerkbeveiliging en het behalen van NIS2-compliance. Wij combineren technische expertise met beleidskennis, zodat u niet alleen weet wat er mis is, maar ook precies weet wat u moet doen. Onze aanpak is onafhankelijk, pragmatisch en volledig afgestemd op uw specifieke risicoprofiel.

Wat wij voor uw organisatie kunnen doen:

• Gap-analyse — wij brengen in kaart waar uw netwerkbeveiliging tekortschiet ten opzichte van de NIS2-eisen.
• Penetratietests en red team assessments — wij testen uw netwerk als gesimuleerde aanvaller en geven concrete aanbevelingen.
• Beleid op maat — wij schrijven het beveiligingsbeleid dat u nodig heeft om aantoonbaar te voldoen aan de zorgplicht.
• Bestuurstraining — wij verzorgen trainingen voor bestuurders zodat zij voldoen aan de trainingsplicht onder de Cbw.
• Virtuele CISO via Continuous-Q — voor organisaties die structurele ondersteuning nodig hebben, leveren wij een team van specialisten dat uw cybersecuritycapaciteit continu versterkt.

De risico’s zijn er nu al, ongeacht wanneer de Cyberbeveiligingswet formeel in werking treedt. Wie nu begint, is straks beter voorbereid en vermijdt de meest kostbare fouten. Neem contact op en ontdek hoe wij uw organisatie op een praktische manier NIS2-ready maken.

Lees meer

Cyberverzekering: wat dekt het en wat niet?

Geplaatst op: 8 juli 2026

Een cyberverzekering dekt financiële schade die ontstaat door cyberincidenten zoals ransomware-aanvallen, datalekken en systeemstoringen. De dekking omvat doorgaans kosten voor herstel, juridische bijstand, crisismanagement en bedrijfsonderbreking. Wat niet gedekt wordt, is minstens zo belangrijk: veel polissen sluiten bewuste nalatigheid, oorlogshandelingen en bekende kwetsbaarheden expliciet uit. In dit artikel beantwoorden we de meest gestelde vragen over cyberverzekeringen, zodat je goed voorbereid een weloverwogen keuze kunt maken.

Welke schades vergoedt een cyberverzekering wel?

Een cyberverzekering vergoedt schade die direct voortvloeit uit een cyberincident, zoals herstelkosten na een ransomware-aanval, kosten voor forensisch onderzoek, juridische bijstand bij datalekken, crisismanagement en gederfde inkomsten door bedrijfsonderbreking. De meeste polissen bieden ook dekking voor aansprakelijkheid richting derden van wie persoonsgegevens zijn gelekt.

Concreet kun je bij de meeste cyberverzekeringen rekenen op vergoeding van de volgende schadeposten:

• Herstelkosten: kosten voor het herstellen van beschadigde of versleutelde systemen en data
• Forensisch onderzoek: het achterhalen van de oorzaak en omvang van het incident
• Bedrijfsonderbreking: gederfde omzet tijdens de periode dat systemen niet beschikbaar zijn
• Crisismanagement en communicatie: PR-kosten en notificatiekosten richting getroffen klanten of betrokkenen
• Juridische kosten: bijstand bij meldplichten, communicatie met toezichthouders en aansprakelijkheidsclaims
• Afpersingskosten: sommige polissen vergoeden losgeld bij ransomware, hoewel dit steeds vaker aan voorwaarden is verbonden

De exacte dekking verschilt per verzekeraar en per polis. Sommige verzekeraars bieden ook ondersteuning in de vorm van een 24/7 incidentresponsteam, wat in de praktijk minstens zo waardevol kan zijn als de financiële vergoeding. Let bij het vergelijken van polissen dan ook op wat er naast geld nog meer wordt geboden.

Wat valt er buiten de dekking van een cyberverzekering?

De uitsluitingen van een cyberverzekering zijn net zo bepalend als de dekking zelf. Veelvoorkomende uitsluitingen zijn bewuste nalatigheid, bekende ongepatchte kwetsbaarheden, cyberoorlog of door staten gesponsorde aanvallen, en schade die al bestond vóór het afsluiten van de polis. Wie deze uitsluitingen negeert, kan bij een incident alsnog met lege handen staan.

De meest voorkomende cyberverzekering uitsluitingen op een rij:

• Bewuste nalatigheid: als een organisatie aantoonbaar basismaatregelen heeft nagelaten, kan de verzekeraar dekking weigeren
• Bekende kwetsbaarheden: systemen die al langere tijd niet zijn gepatcht terwijl updates beschikbaar waren
• Oorlogs- en staatshandelingen: aanvallen die worden toegeschreven aan overheden of als oorlogsdaad worden geclassificeerd
• Schade aan fysieke eigendommen: cyberincidenten die leiden tot fysieke schade zijn doorgaans niet gedekt
• Reputatieschade op lange termijn: indirecte omzetderving door imagoschade valt buiten de meeste polissen
• Boetes en sancties: niet alle polissen vergoeden boetes van toezichthouders, zoals die onder de AVG of NIS2

Dat laatste punt is relevant voor organisaties die onder wet- en regelgeving zoals de NIS2 vallen. Bij niet-naleving kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Veel verzekeraars dekken dergelijke boetes expliciet niet, of slechts gedeeltelijk. Controleer dit altijd zorgvuldig in de polisvoorwaarden.

Welke eisen stellen verzekeraars aan jouw cybersecurity?

Verzekeraars stellen steeds hogere eisen aan de cybersecuritymaatregelen van een organisatie voordat ze een polis aanbieden. Minimale basisvereisten zijn doorgaans: multi-factorauthenticatie, actuele patchprocedures, back-upbeleid, een incidentresponsplan en bewustzijnstraining voor medewerkers. Wie hier niet aan voldoet, krijgt ofwel geen dekking, ofwel een fors hogere premie.

De eisen die verzekeraars stellen zijn de afgelopen jaren aanzienlijk aangescherpt. Waar vroeger een standaard vragenlijst volstond, verlangen verzekeraars nu steeds vaker bewijs van concrete maatregelen. Denk aan:

• Aantoonbaar gebruik van multi-factorauthenticatie voor kritieke systemen en externe toegang
• Een gedocumenteerd en actueel patchbeleid
• Regelmatige back-ups die offline of off-site worden bewaard
• Een aantoonbaar incidentresponsplan met duidelijke rollen en escalatieprocedures
• Periodieke beveiligingstests, zoals een penetratietest of vulnerability scan
• Bewustzijnstraining voor medewerkers, inclusief phishing-simulaties

Sommige verzekeraars vragen ook om een onafhankelijke beoordeling van je beveiligingsniveau voordat ze een offerte uitbrengen. Hoe sterker je aantoonbare beveiligingspositie, hoe gunstiger de premie en hoe ruimer de dekking. Investeren in cybersecurity loont dus niet alleen om aanvallen te voorkomen, maar ook om verzekerbaar te blijven.

Wat is het verschil tussen een cyberverzekering en aansprakelijkheidsverzekering?

Een cyberverzekering dekt schade die jouw organisatie zelf lijdt door een cyberincident, zoals herstelkosten en bedrijfsonderbreking. Een aansprakelijkheidsverzekering dekt schade die jij als organisatie bij derden veroorzaakt. Hoewel er overlap kan bestaan, zijn het fundamenteel verschillende producten die elkaar aanvullen maar niet vervangen.

Het onderscheid zit in de richting van de schade:

• Cyberverzekering (first-party): vergoedt schade die jouw eigen organisatie lijdt als gevolg van een cyberincident. Denk aan herstelkosten, gederfde inkomsten en crisismanagement.
• Aansprakelijkheidsverzekering (third-party): vergoedt schade die jij bij anderen veroorzaakt. Bij een datalek waarbij klantgegevens worden gestolen, kunnen gedupeerden jou aansprakelijk stellen.

Veel moderne cyberverzekeringen bevatten inmiddels ook een aansprakelijkheidscomponent, specifiek gericht op cybergerelateerde claims van derden. Toch is het verstandig om te controleren of je bestaande aansprakelijkheidsverzekering cyberincidenten expliciet uitsluit. Dat is steeds vaker het geval, waardoor een aparte cyberpolis noodzakelijk wordt voor volledige bescherming.

Wanneer is een cyberverzekering zinvol voor jouw organisatie?

Een cyberverzekering is zinvol voor vrijwel elke organisatie die afhankelijk is van digitale systemen en persoonsgegevens verwerkt. De afweging wordt bepaald door drie factoren: de omvang van je cyberrisico, je vermogen om schade zelf op te vangen en de mate waarin een incident jouw continuïteit bedreigt.

Een cyberrisico verzekering is in het bijzonder relevant als:

• Je organisatie persoonsgegevens of gevoelige bedrijfsdata verwerkt
• Systeemstoringen van meerdere dagen direct omzetverlies veroorzaken
• Je klanten of partners afhankelijk zijn van jouw digitale dienstverlening
• Je onder wet- en regelgeving valt die meldplichten en beveiligingseisen oplegt, zoals de AVG of NIS2
• Je organisatie niet over voldoende eigen reserves beschikt om een ernstig incident zelfstandig op te vangen

Voor kleinere organisaties kan de afweging lastiger zijn. De premies zijn de afgelopen jaren gestegen, terwijl de eisen strenger zijn geworden. Toch laat de praktijk zien dat juist kleinere bedrijven kwetsbaar zijn: ze hebben minder herstelcapaciteit en worden steeds vaker getroffen via de toeleveringsketen van grotere organisaties. Wie als leverancier werkt voor een partij die onder NIS2 valt, krijgt bovendien indirect te maken met beveiligingseisen vanuit die opdrachtgever.

Hoe sluit je een cyberverzekering af die écht past?

Een passende cyberverzekering afsluiten begint met een grondige inventarisatie van je eigen cyberrisico’s. Breng eerst in kaart welke systemen, data en processen kritiek zijn voor je bedrijfsvoering, bepaal vervolgens welke risico’s je zelf kunt dragen en zoek daarna een polis die specifiek aansluit op jouw risicoprofiel. Generieke polissen bieden zelden optimale dekking.

Praktische stappen om een cyberverzekering af te sluiten die echt past:

1. Voer een risicoanalyse uit: bepaal welke digitale assets het meest kwetsbaar zijn en welke schade een incident kan veroorzaken
2. Breng je huidige beveiligingsniveau in kaart: verzekeraars beoordelen dit toch, dus wees eerlijk over wat er al is en wat ontbreekt
3. Vergelijk polissen inhoudelijk: let niet alleen op de premie, maar vergelijk dekkingslimieten, uitsluitingen en aangeboden incidentondersteuning
4. Controleer de aansluiting op bestaande verzekeringen: voorkom dubbele dekking en zorg dat er geen gaten vallen tussen polissen
5. Vraag een onafhankelijk advies: een verzekeringstussenpersoon met cyberexpertise kan helpen bij het vergelijken van aanbieders
6. Evalueer jaarlijks: je risicoprofiel verandert, en de verzekeringsmarkt ook. Herzie je polis minimaal één keer per jaar

Een cyberverzekering is geen vervanging voor goede beveiliging, maar een aanvulling daarop. Wie zijn beveiligingsniveau structureel verbetert, vergroot niet alleen zijn weerbaarheid, maar verbetert ook zijn verzekeringsvoorwaarden. Denk aan het uitvoeren van periodieke security assessments of het inrichten van continue monitoring via een virtuele CISO-dienst. Hoe sterker je aantoonbare beveiligingspositie, hoe gunstiger de polis die je kunt bedingen.

Hoe Q-Cyber helpt bij cyberverzekering en cyberweerbaarheid

Een cyberverzekering afsluiten is één stap. Maar verzekerbaar blijven en schade daadwerkelijk voorkomen vraagt om een structureel sterke beveiligingspositie. Precies daar helpen wij organisaties mee. Q-Cyber biedt onafhankelijk advies zonder binding aan softwarepartijen of andere leveranciers, zodat je altijd een eerlijk beeld krijgt van wat je nodig hebt.

Wat wij concreet voor jou doen:

• Uitvoeren van een risicoanalyse die inzicht geeft in je kwetsbaarheden en risicoprofiel
• Schrijven van beveiligingsbeleid dat aansluit op verzekeraarseisen en wettelijke verplichtingen zoals NIS2
• Uitvoeren van penetratietests en vulnerability scans om technische zwakheden in kaart te brengen
• Verzorgen van bewustzijnstrainingen voor medewerkers en bestuurders
• Begeleiden bij NIS2-compliance, inclusief gap-analyses en pragmatische implementatieadviezen
• Bieden van een virtuele CISO via Continuous-Q® voor organisaties die geen eigen CISO hebben

Wil je weten hoe sterk jouw organisatie er nu voor staat en wat je kunt doen om beter verzekerbaar te worden? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Welke cybersecuritytraining hebben medewerkers nodig voor NIS2?

Geplaatst op: 8 juli 2026

Voor NIS2 moeten bestuurders verplicht een cybersecuritytraining volgen die hen leert beveiligingsrisico’s te herkennen, te beoordelen en te beheren. Medewerkers vallen niet onder dezelfde wettelijke trainingsplicht, maar de richtlijn vereist wel dat organisaties passende maatregelen nemen voor personeelsbeveiliging, wat in de praktijk betekent dat een bredere bewustzijnstraining onmisbaar is. In dit artikel beantwoorden we de meest gestelde vragen over cybersecuritytraining binnen NIS2.

Wat verplicht NIS2 precies op het gebied van training?

NIS2 verplicht alle leden van het bestuur om een training te volgen op het gebied van cybersecurity. Via deze training leren bestuurders beveiligingsrisico’s voor netwerk- en informatiesystemen te identificeren, risicobeheersmaatregelen te beoordelen en de gevolgen van die risico’s voor de organisatie in te schatten. Bestuurders hebben na inwerkingtreding van de Cyberbeveiligingswet maximaal twee jaar om aan deze verplichting te voldoen.

De wet stelt geen eisen aan de opleider die de training mag verzorgen. Organisaties mogen de training dus volledig afstemmen op hun eigen context, sector en risicoprofiel. Dat biedt ruimte voor maatwerk, maar vraagt ook om een bewuste keuze: een generieke e-learning voldoet formeel misschien aan de letter van de wet, maar schiet tekort als bestuurders daarna nog steeds niet weten hoe ze een cyberincident herkennen of hoe ze een weloverwogen beslissing nemen over beveiligingsinvesteringen.

Naast de expliciete trainingsplicht voor bestuurders schrijft NIS2 ook beveiligingsmaatregelen voor personeel voor als onderdeel van de bredere zorgplicht. Dat betekent dat organisaties ook voor hun medewerkers moeten nadenken over bewustwording en opleiding, ook al is dat niet met dezelfde wettelijke precisie omschreven.

Welke onderwerpen moet een NIS2-bewustzijnstraining bevatten?

Een effectieve bewustzijnstraining NIS2 behandelt minimaal de volgende onderwerpen: het herkennen van phishing en social engineering, veilig omgaan met wachtwoorden en toegangsbeheer, het belang van multi-factorauthenticatie, meldprocedures bij incidenten en de basisprincipes van informatiebeveiliging. Voor bestuurders komen daar strategische onderwerpen bij, zoals risicobeheersing, supply chain security en de gevolgen van niet-naleving.

Concreet zijn dit de kernthema’s die in een NIS2-training aan bod moeten komen:

• Risicoherkenning: Wat zijn de meest voorkomende dreigingen voor de organisatie en hoe herken je ze?
• Toegangsbeheer: Waarom zijn sterke wachtwoorden en multi-factorauthenticatie niet optioneel, maar noodzakelijk.
• Incidentmelding: Hoe en wanneer meld je een incident intern, en wat zijn de wettelijke meldtermijnen (24 uur voor een eerste melding, 72 uur voor aanvullende informatie)?
• Veilig gedrag: Omgaan met e-mail, links, bijlagen en externe apparaten op een manier die risico’s minimaliseert.
• Bestuurlijke verantwoordelijkheid: Specifiek voor leidinggevenden: hoe weeg je beveiligingsrisico’s mee in beslissingen over beleid en investeringen?

De inhoud moet aansluiten bij de rol van de deelnemer. Een medewerker op de werkvloer heeft andere kennis nodig dan een directeur of IT-beheerder. Een goede bewustzijnstraining NIS2 houdt daar rekening mee en vertaalt abstracte wet- en regelgeving naar herkenbare, praktische situaties.

Hoe vaak moeten medewerkers een cybersecuritytraining volgen?

NIS2 schrijft geen vaste frequentie voor als het gaat om medewerkerstrainingen. De wet verplicht bestuurders tot een eenmalige training, maar voor de bredere organisatie geldt dat beveiligingsmaatregelen passend en evenredig moeten zijn. In de praktijk betekent dit dat een jaarlijkse herhaling voor de meeste organisaties als minimumstandaard wordt beschouwd.

Het dreigingslandschap verandert voortdurend. Aanvalstechnieken zoals phishing worden steeds geraffineerder, en medewerkers vergeten gedragsveranderingen snel zonder herhaling. Onderzoek binnen de beveiligingssector laat consistent zien dat het effect van een eenmalige training na enkele maanden sterk afneemt. Een jaarlijkse opfriscursus is daarom niet alleen verstandig, maar voor veel organisaties feitelijk noodzakelijk om aantoonbaar aan de zorgplicht te voldoen.

Voor sectoren met een hoog risicoprofiel, of organisaties die geclassificeerd zijn als essentiële entiteit, is een hogere trainingsfrequentie aan te raden. Denk aan kwartaalse updates bij nieuwe dreigingen, aanvullende training na een incident, of gerichte sessies wanneer de organisatie grote veranderingen doormaakt, zoals een fusie, een nieuwe IT-omgeving of een uitbreiding van de toeleveringsketen.

Wat is het verschil tussen een eenmalige training en een continu bewustzijnsprogramma?

Een eenmalige training is een afgebakend moment waarop medewerkers of bestuurders kennis opdoen over cybersecurity. Een continu bewustzijnsprogramma is een structureel onderdeel van de bedrijfsvoering dat gedragsverandering als doel heeft en medewerkers doorlopend blootstelt aan relevante informatie, oefeningen en feedback. Het verschil zit niet alleen in frequentie, maar in de aanpak en het doel.

Een eenmalige training voldoet mogelijk aan de wettelijke minimumeis voor bestuurders, maar biedt geen garantie dat kennis beklijft of dat gedrag daadwerkelijk verandert. Een continu programma werkt anders:

• Medewerkers ontvangen regelmatig korte updates, nieuwsbrieven of micro-learnings over actuele dreigingen.
• Gesimuleerde phishingtests meten hoe medewerkers reageren op aanvallen en geven direct inzicht in kwetsbaarheden.
• Resultaten worden bijgehouden, zodat de organisatie kan aantonen dat bewustwording structureel wordt geborgd.
• Nieuwe medewerkers worden direct meegenomen in het programma, zonder te wachten op een volgende trainingscyclus.

Vanuit NIS2-perspectief is een continu programma de sterkste manier om aan te tonen dat de organisatie serieus werk maakt van de zorgplicht. Het laat zien dat cybersecurity niet als jaarlijkse verplichting wordt behandeld, maar als een levende capaciteit die is ingebed in de dagelijkse werkwijze. Wil je weten hoe zo’n programma eruitziet in de praktijk, dan biedt een virtuele CISO-aanpak een goede structuur om dit continu te organiseren.

Wie binnen de organisatie is verantwoordelijk voor NIS2-training?

De eindverantwoordelijkheid voor NIS2-training ligt bij het bestuur van de organisatie. NIS2 legt de verantwoordelijkheid voor cyberweerbaarheid expliciet bij de bestuurders neer, wat inhoudt dat zij niet alleen zelf getraind moeten worden, maar ook moeten zorgen dat de rest van de organisatie adequaat wordt opgeleid. Voor overheidsorganisaties is dit de politieke leiding.

In de praktijk wordt de uitvoering vaak belegd bij de CISO, de IT-afdeling of een HR-functionaris met een security-portefeuille. Maar de bestuurlijke verantwoordelijkheid blijft onverminderd bij de directie. Dat onderscheid is belangrijk: als een organisatie bij een incident niet kan aantonen dat training structureel was georganiseerd, is dat een bestuurlijk tekort, niet een IT-probleem.

Voor organisaties zonder interne CISO is het verstandig om deze verantwoordelijkheid expliciet te beleggen bij een leidinggevende die ook toegang heeft tot de benodigde middelen en het mandaat. Een externe partij kan daarin ondersteunen, maar vervangt de interne verantwoordelijkheid niet. De kennis over dreigingen en risico’s moet uiteindelijk intern worden verankerd om duurzame weerbaarheid te realiseren.

Hoe toon je aan dat je voldoet aan de trainingsplicht van NIS2?

Aantonen dat je voldoet aan de NIS2-trainingsplicht doe je door aantoonbare documentatie bij te houden van wie welke training heeft gevolgd, wanneer en met welk resultaat. Dit betekent: aanwezigheidsregistraties, certificaten of aftekenlijsten, een overzicht van de trainingsinhoud en bewijs dat bestuurders de verplichte training hebben afgerond.

Toezichthouders zoals de Rijksinspectie Digitale Infrastructuur (RDI) kunnen bij een controle vragen om bewijs van naleving. Organisaties die geen documentatie kunnen overleggen, lopen het risico dat zij worden geacht niet aan de zorgplicht te voldoen, ook als de training feitelijk wel heeft plaatsgevonden. Praktische stappen om dit goed te organiseren:

1. Leg trainingen schriftelijk vast: Datum, deelnemers, inhoud en de naam van de opleider.
2. Bewaar certificaten of deelnamebewijzen: Ook voor interne trainingen is een ondertekende bevestiging waardevol.
3. Koppel training aan beleid: Zorg dat de trainingsinhoud aansluit op het vastgestelde informatiebeveiligingsbeleid van de organisatie.
4. Evalueer en actualiseer: Documenteer ook dat de training periodiek wordt herzien en aangepast aan nieuwe dreigingen.
5. Leg bestuurlijke betrokkenheid vast: Notuleer in vergaderingen dat cybersecurity en training op de agenda staan en dat bestuurders actief betrokken zijn.

Een goed gedocumenteerd bewustzijnsprogramma is niet alleen nuttig voor toezichthouders. Het geeft ook intern inzicht in welke medewerkers of afdelingen extra aandacht nodig hebben, en het maakt zichtbaar dat de organisatie cybersecurity serieus neemt als onderdeel van de bedrijfsvoering.

Hoe Q-Cyber helpt met NIS2-training en bewustwording

Wij bij Q-Cyber begrijpen dat de vertaalslag van NIS2-wetgeving naar een werkend trainingsprogramma in de praktijk ingewikkeld kan zijn. Welke training volstaat voor bestuurders? Hoe bouw je een continu bewustzijnsprogramma op dat ook daadwerkelijk gedrag verandert? En hoe zorg je dat je dit alles kunt aantonen bij een toezichthouder? Dat zijn precies de vragen waarbij wij organisaties helpen.

Wat we concreet bieden:

• Trainingen voor bestuurders die voldoen aan de wettelijke trainingsplicht van de Cyberbeveiligingswet, afgestemd op de sector en het risicoprofiel van de organisatie.
• Security awareness trainingen voor medewerkers, inclusief gesimuleerde phishingtests die inzicht geven in het werkelijke gedrag van medewerkers.
• Beleid en documentatie die aantoonbaar maakt dat de organisatie voldoet aan de NIS2-zorgplicht, inclusief trainingsregistraties en beleidsmatige verankering.
• Continu bewustzijnsprogramma’s via onze Continuous-Q dienstverlening, waarbij een team van specialisten structureel betrokken blijft bij de cyberweerbaarheid van de organisatie.
• Onafhankelijk advies zonder binding aan softwarepartijen, zodat onze aanbevelingen altijd in het belang van uw organisatie zijn.

Wil je weten wat jouw organisatie nu al goed doet en waar de grootste risico’s liggen? Neem contact op en we kijken samen naar een aanpak die past bij jouw situatie.

Lees meer

Wat kost een cyberaanval gemiddeld voor het mkb?

Geplaatst op: 7 juli 2026

Een cyberaanval kost een mkb-bedrijf gemiddeld tienduizenden euro’s, maar de totale schade loopt in veel gevallen op tot boven de honderdduizend euro wanneer alle directe en indirecte kosten worden meegeteld. De exacte schade hangt af van het type aanval, de duur van de verstoring en hoe goed een organisatie voorbereid is. In dit artikel beantwoorden we de meest gestelde vragen over de kosten van een cyberaanval voor het mkb.

Welke kosten komen er kijken bij een cyberaanval?

De kosten van een cyberaanval voor het mkb bestaan uit meerdere lagen: directe herstelkosten, omzetverlies door downtime, juridische en meldingskosten, en reputatieschade. Voor de meeste mkb-bedrijven vormen de herstelkosten van IT-systemen en de gederfde omzet tijdens de uitval de grootste kostenposten, maar ook boetes en klantenverlies tellen zwaar mee.

Een cyberaanval brengt de volgende directe kostenposten met zich mee:

• Forensisch onderzoek: het in kaart brengen van hoe de aanval plaatsvond en welke gegevens zijn geraakt
• Herstel van systemen en data: het terugzetten van back-ups, het opnieuw installeren van software en het dichten van kwetsbaarheden
• Juridische kosten: advies over aansprakelijkheid, meldingsverplichtingen en eventuele claims van klanten
• Communicatiekosten: het informeren van klanten, leveranciers en toezichthouders
• Boetes van toezichthouders: bij een datalek zijn bedrijven verplicht melding te doen bij de Autoriteit Persoonsgegevens, en niet-naleving kan leiden tot aanzienlijke sancties

Naast deze directe kosten zijn er ook indirecte gevolgen die moeilijker te kwantificeren zijn, maar minstens zo pijnlijk. Klanten die na een incident het vertrouwen verliezen, leveranciers die de samenwerking heroverwegen en medewerkers die productiviteit verliezen terwijl systemen offline zijn: al deze factoren dragen bij aan de totale schade van een cyberaanval.

Hoeveel downtime veroorzaakt een cyberaanval gemiddeld bij mkb?

Een cyberaanval veroorzaakt bij mkb-bedrijven gemiddeld meerdere dagen tot soms weken aan operationele downtime. Bij ransomware-aanvallen, een van de meest voorkomende vormen, lopen hersteltrajecten regelmatig op tot twee tot vier weken voordat alle systemen volledig operationeel zijn. Hoe langer de uitval duurt, hoe hoger de totale kosten van een cyberaanval oplopen.

De duur van de downtime wordt bepaald door een aantal factoren:

• De aanwezigheid en kwaliteit van recente back-ups
• De complexiteit van de getroffen IT-omgeving
• De beschikbaarheid van interne of externe IT-expertise
• Of er een incident response plan klaarlag

Mkb-bedrijven zonder een actueel herstelplan zijn doorgaans significant langer uitgeschakeld dan organisaties die zich vooraf hebben voorbereid. Elke dag stilstand betekent niet alleen omzetverlies, maar ook extra personeelskosten voor medewerkers die niet kunnen werken, en mogelijk contractuele boetes richting klanten bij wie afspraken niet worden nagekomen.

Welke cyberaanvallen treffen het mkb het vaakst?

Het mkb wordt het vaakst getroffen door ransomware, phishing en CEO-fraude. Ransomware vergrendelt bedrijfsdata totdat losgeld wordt betaald, phishing misleidt medewerkers om inloggegevens af te staan, en bij CEO-fraude worden medewerkers via valse e-mails verleid tot het overboeken van geld. Deze drie aanvalsvormen zijn populair omdat ze relatief eenvoudig uit te voeren zijn en mkb-bedrijven vaak minder goed beveiligd zijn dan grote organisaties.

Aanvallers kiezen bewust voor het mkb omdat kleinere bedrijven minder snel investeren in cybersecurity-onderzoek en preventie. Tegelijkertijd beschikken mkb’ers over waardevolle data, klantgegevens en financiële informatie die aantrekkelijk zijn voor criminelen.

Andere veelvoorkomende aanvallen bij het mkb zijn:

• Business Email Compromise (BEC): het overnemen of spoofen van zakelijke e-mailaccounts
• DDoS-aanvallen: het platleggen van websites of diensten door ze te overspoelen met verkeer
• Supply chain-aanvallen: aanvallen via een leverancier of softwarepartner die toegang heeft tot jouw systemen
• Credential stuffing: het gebruik van gelekte wachtwoorden om in te loggen op bedrijfssystemen

Wat zijn de verborgen kosten die mkb’ers onderschatten?

De verborgen kosten van een cyberaanval voor het mkb zijn vaak groter dan de directe herstelkosten. Reputatieschade, klantverloop, verhoogde verzekeringspremies en de productiviteitsverliezen van medewerkers die maanden later nog hinder ondervinden van verstoorde processen worden door veel ondernemers onderschat of helemaal niet ingecalculeerd.

Enkele verborgen kostenposten die mkb’ers regelmatig verrassen:

• Klantverloop: klanten die na een datalek overstappen naar een concurrent, soms zonder dat dit direct zichtbaar is als gevolg van de aanval
• Verhoogde verzekeringspremies: na een incident stijgen premies voor cyberverzekeringen aanzienlijk, of wordt dekking beperkt
• Verlies van concurrentiepositie: terwijl een bedrijf bezig is te herstellen, lopen kansen mis en loopt de concurrentie door
• Psychologische impact op medewerkers: stress en onzekerheid na een aanval leiden tot verminderde productiviteit en in sommige gevallen tot uitval
• Langdurige IT-aanpassingen: na een aanval zijn investeringen in nieuwe beveiligingsmaatregelen noodzakelijk, wat een extra kostenpost vormt bovenop de directe schade

Bovendien zijn er wettelijke meldingsverplichtingen waar veel mkb’ers zich niet van bewust zijn. Onder de geldende cyberbeveiligingsregelgeving moeten significante incidenten binnen strikte termijnen worden gemeld, wat bij niet-naleving kan leiden tot extra boetes. Wie hier niet op voorbereid is, betaalt dubbel.

Hoe vergelijken de kosten van preventie met de schade van een aanval?

De kosten van preventieve cybersecurity zijn vrijwel altijd aanzienlijk lager dan de schade van een succesvolle cyberaanval. Waar een mkb-bedrijf jaarlijks enkele duizenden euro’s kwijt is aan basisbeveiliging, kunnen de herstelkosten na een aanval al snel tien tot twintig keer hoger uitvallen. Investeren in preventie is daarmee een van de meest rendabele beslissingen die een ondernemer kan nemen.

Preventieve maatregelen die relatief goedkoop zijn maar veel schade voorkomen:

• Regelmatige penetratietesten om kwetsbaarheden te ontdekken voordat aanvallers dat doen
• Medewerkerstrainingen en phishing-simulaties om menselijke fouten te verminderen
• Multi-factorauthenticatie op alle kritieke systemen
• Een actueel en getest back-upbeleid
• Een incident response plan dat klaarligt en regelmatig wordt geoefend

De redenering is eenvoudig: een aanval die niet slaagt omdat een medewerker een phishing-e-mail herkent, kost niets. Een aanval die wel slaagt omdat die training er nooit was, kan een bedrijf tienduizenden euro’s kosten. De vraag is niet of cybersecurity te duur is, maar of een bedrijf zich de gevolgen van een aanval kan veroorloven.

Wanneer is een cyberverzekering de moeite waard voor het mkb?

Een cyberverzekering is de moeite waard voor mkb-bedrijven die afhankelijk zijn van digitale systemen, klantdata verwerken of niet over voldoende reserves beschikken om een groot incident zelf op te vangen. De verzekering dekt doorgaans herstelkosten, aansprakelijkheid bij datalekken en soms ook omzetverlies tijdens downtime, maar is geen vervanging voor goede basisbeveiliging.

Let bij het afsluiten van een cyberverzekering op de volgende punten:

• Wat valt er wel en niet onder de dekking: veel polissen hebben uitsluitingen voor aanvallen via onbeveiligde systemen of verouderde software
• De eigen bijdrage: bij een hoge eigen bijdrage kan een verzekering bij kleinere incidenten weinig uitmaken
• De voorwaarden voor dekking: verzekeraars stellen steeds vaker eisen aan de beveiliging van een bedrijf voordat een polis wordt afgegeven
• Incident response ondersteuning: sommige verzekeraars bieden directe hulp bij een aanval, wat de herstelsnelheid aanzienlijk kan verbeteren

Een cyberverzekering is het meest effectief als aanvulling op een solide beveiligingsfundament. Een bedrijf dat weinig aan preventie doet, zal merken dat het steeds moeilijker en duurder wordt om een adequate dekking te krijgen. Bovendien dekt een verzekering nooit alle schade: reputatieschade en klantverloop blijven altijd voor rekening van het bedrijf zelf.

Hoe Q-Cyber helpt bij het beperken van cyberaanvalkosten voor het mkb

Wij helpen mkb-bedrijven om de risico’s en kosten van een cyberaanval structureel te beperken, zonder onnodige complexiteit of binding aan softwareleveranciers. Onze aanpak is praktisch, onafhankelijk en afgestemd op de specifieke situatie van uw organisatie.

Wat wij voor uw organisatie kunnen doen:

• Kwetsbaarheidsscans en penetratietesten: we brengen in kaart waar uw organisatie vatbaar is voor aanvallen, zodat u gericht kunt investeren in de juiste maatregelen
• Phishing-simulaties en medewerkerstrainingen: we trainen uw team om de meest voorkomende aanvalsvectoren te herkennen en te weerstaan
• NIS2-begeleiding: we helpen u bepalen of uw organisatie onder de nieuwe cyberbeveiligingsregelgeving valt en wat u concreet moet doen om compliant te zijn
• Virtuele CISO via Continuous-Q: via ons Continuous-Q programma heeft u structureel toegang tot cybersecurity-expertise zonder de kosten van een fulltime CISO
• Beleid en incident response planning: we schrijven beleid op maat en zorgen dat uw organisatie weet wat te doen als het toch misgaat

De kosten van een cyberaanval zijn voor het mkb te groot om op het lot te vertrouwen. Wilt u weten hoe uw organisatie er nu voor staat en welke stappen het meeste verschil maken? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Hoe richt je netwerksegmentatie in voor NIS2?

Geplaatst op: 7 juli 2026

Netwerksegmentatie is een van de meest effectieve technische maatregelen die je kunt nemen om je organisatie te beveiligen en tegelijkertijd te voldoen aan de NIS2-vereisten. Door je netwerk op te splitsen in afzonderlijke segmenten beperk je de schade die een aanvaller kan aanrichten als hij eenmaal binnen is. In plaats van vrij spel door je hele infrastructuur stuit hij op grenzen die verdere verspreiding tegenhouden.

In dit artikel doorloop je stap voor stap hoe je netwerksegmentatie inricht op een manier die aansluit bij de NIS2 compliance-eisen. Van het bepalen van je segmenten tot het valideren en documenteren van je architectuur: na het lezen van deze gids weet je precies wat je moet doen en in welke volgorde.

Bepaal welke netwerksegmenten je nodig hebt

Begin met een grondige inventarisatie van je netwerk voordat je ook maar één firewall-regel aanpast. Netwerksegmentatie inrichten zonder dit overzicht is bouwen zonder fundering. Je doel in deze stap is te begrijpen welke systemen, gebruikers en datastromen je organisatie heeft, en hoe gevoelig die zijn.

1. Breng alle systemen in kaart: servers, werkstations, IoT-apparaten, productiesystemen en cloudverbindingen.
2. Classificeer de gegevens die op elk systeem worden verwerkt: persoonsgegevens, financiële informatie, operationele data of publiek toegankelijke informatie.
3. Identificeer welke systemen met elkaar moeten communiceren voor normale bedrijfsvoering en welke verbindingen eigenlijk niet nodig zijn.
4. Groepeer systemen op basis van functie en risicoprofiel: een HR-systeem met persoonsgegevens hoort in een ander segment dan een publieke webserver.

Typische segmenten die organisaties onderscheiden zijn: een kantoornetwerk voor medewerkers, een serverzone voor interne applicaties, een DMZ voor systemen die bereikbaar zijn vanaf het internet, een beheersnetwerk voor IT-beheerders en eventueel een apart segment voor OT- of productiesystemen. Na deze stap heb je een helder beeld van welke segmenten logisch zijn voor jouw situatie. Dat overzicht vormt de basis voor alles wat volgt.

Stel toegangsbeleid per segment op

Met je segmentindeling op papier is de volgende stap het vastleggen wie en wat toegang krijgt tot elk segment. Dit toegangsbeleid is niet alleen een technisch document, het is ook een beleidsmatige verplichting onder NIS2. De richtlijn vereist aantoonbaar beleid voor toegangsbeheer als onderdeel van de zorgplicht.

1. Definieer per segment welke gebruikersgroepen toegang nodig hebben en op welke manier (direct, via VPN, via een jump server).
2. Pas het principe van least privilege toe: geef gebruikers en systemen alleen de minimale toegang die ze nodig hebben voor hun taak.
3. Beschrijf welke communicatie tussen segmenten is toegestaan, inclusief protocol, poortnummer en richting van het verkeer.
4. Leg vast hoe toegang wordt verleend, ingetrokken en gecontroleerd, inclusief de rol van multi-factorauthenticatie voor gevoelige segmenten.

Documenteer dit beleid in een toegangsmatrix: een overzicht per segment met toegestane verbindingen, verantwoordelijke eigenaren en de reden voor elke uitzondering. NIS2 vereist dat je dit soort beslissingen kunt verantwoorden tegenover toezichthouders. Een toegangsmatrix maakt die verantwoording concreet en controleerbaar. Zorg ook dat het beleid aansluit bij je bredere beveiligingsbeleid, zodat er geen tegenstrijdigheden ontstaan tussen documenten.

Implementeer technische segmentatie met firewalls en VLANs

Nu het beleid staat, vertaal je dat naar technische maatregelen. De twee meest gebruikte technieken voor netwerksegmentatie zijn VLANs (Virtual Local Area Networks) op switchniveau en firewallregels op netwerkniveau. Samen vormen ze een gelaagde verdediging die aansluit bij de risicogebaseerde benadering die NIS2 voorschrijft.

VLANs configureren

Configureer op je managed switches aparte VLANs voor elk segment dat je hebt gedefinieerd. Wijs elk VLAN een uniek ID toe en koppel de juiste switchpoorten aan het bijbehorende VLAN. Zorg dat inter-VLAN-verkeer standaard geblokkeerd is en alleen via de firewall loopt, zodat je volledige controle hebt over wat er tussen segmenten beweegt.

Firewallregels instellen

Stel op je firewall of next-generation firewall (NGFW) expliciete regels in voor elk toegestaan communicatiepad tussen segmenten. Werk op basis van een “deny all, permit by exception”-principe: alles wat niet expliciet is toegestaan, wordt geblokkeerd. Voeg logging toe aan alle regels, zodat je later kunt reconstrueren welk verkeer er heeft plaatsgevonden. Dit is niet alleen goede beveiligingspraktijk, het ondersteunt ook de meldplicht en incidentrespons die NIS2 vereist.

Controleer na implementatie of het verkeer daadwerkelijk via de firewall loopt door een eenvoudige verbindingstest uit te voeren tussen twee segmenten. Als verkeer dat geblokkeerd zou moeten zijn toch doorkomt, is er een configuratiefout in je VLAN-tagging of firewallregels. Los dit op voordat je verdergaat naar de volgende stap.

Valideer de segmentatie met een vulnerability scan of pentest

Een netwerksegmentatie die op papier klopt maar in de praktijk lekken vertoont, biedt valse zekerheid. Validatie is daarom geen optionele stap, maar een noodzakelijk onderdeel van je implementatie. Onder NIS2 wordt van organisaties verwacht dat zij aantoonbaar testen of hun beveiligingsmaatregelen effectief zijn.

1. Voer een vulnerability scan uit vanuit elk segment om te controleren welke systemen in andere segmenten bereikbaar zijn.
2. Vergelijk de resultaten met je toegangsmatrix: elke verbinding die de scan vindt maar niet in de matrix staat, is een afwijking die je moet onderzoeken en oplossen.
3. Test specifiek op veelvoorkomende segmentatielekken: misconfigureerde trunk-poorten, firewall-regels met te brede IP-ranges, en onbedoeld doorgaand beheerverkeer.
4. Overweeg een red team test waarbij een ethische hacker actief probeert segmentgrenzen te doorbreken, voor een realistischer beeld van je weerbaarheid.

Leg de bevindingen vast in een rapportage en koppel elk gevonden probleem aan een concrete actie met een eigenaar en deadline. Na het oplossen van de bevindingen voer je een hertest uit om te bevestigen dat de lekken zijn gedicht. Dit iteratieve proces, testen, verbeteren, hertesten, is precies de dynamische benadering die moderne cybersecurity vraagt en die NIS2 beoogt te stimuleren.

Documenteer en onderhoud je segmentatiearchitectuur

Netwerksegmentatie is geen eenmalig project. Systemen worden toegevoegd, applicaties veranderen en bedreigingen evolueren. Documentatie en onderhoud zorgen ervoor dat je segmentatie actueel en effectief blijft, en dat je bij een audit of incident snel kunt aantonen hoe je netwerk is ingericht.

1. Stel een netwerkdiagram op dat alle segmenten, VLAN-IDs, firewallzones en toegestane verkeersstromen weergeeft en houd dit actueel bij elke wijziging.
2. Leg een changemanagementproces vast: elke aanpassing aan de segmentatiearchitectuur doorloopt een beoordeling voordat deze wordt doorgevoerd.
3. Plan periodieke reviews, minimaal jaarlijks, waarbij je controleert of de segmentindeling nog aansluit bij de actuele bedrijfsprocessen en het dreigingslandschap.
4. Koppel de documentatie aan je bredere informatiebeveiligingsbeleid en zorg dat de eigenaren van elk segment bekend zijn en hun verantwoordelijkheid kennen.

Goede documentatie is ook een directe ondersteuning van je NIS2-verplichtingen. Bij een significant cyberincident moet je binnen 24 uur een eerste melding kunnen doen. Als je netwerktopologie goed gedocumenteerd is, kun je veel sneller bepalen welke systemen zijn geraakt en wat de impact is. Bovendien maakt actuele documentatie het eenvoudiger om toezichthouders inzicht te geven in je beveiligingsarchitectuur wanneer dat gevraagd wordt.

Hoe Q-Cyber helpt met netwerksegmentatie en NIS2

Netwerksegmentatie inrichten voor NIS2 vraagt om zowel technische kennis als beleidsmatige expertise. Wij begeleiden organisaties door dit hele traject, van de eerste inventarisatie tot de validatie en doorlopende monitoring. Concreet bieden wij:

• Gap-analyse en advies: We brengen in kaart waar jouw huidige netwerkinrichting afwijkt van de NIS2-vereisten en adviseren pragmatische stappen om dit te verbeteren.
• Beleidsschrijven: We stellen toegangsbeleid, segmentatiearchitectuur en bijbehorende procedures op die aansluiten bij de zorgplicht onder de Cyberbeveiligingswet.
• Technische validatie: Via vulnerability scans en pentests controleren we of je segmentatie in de praktijk effectief is en stellen we een concreet verbeterplan op.
• Virtuele CISO via Continuous-Q: Voor organisaties die structurele ondersteuning nodig hebben, bieden we een team van specialisten dat doorlopend meekijkt en bijstuurt.
• Onafhankelijk en transparant: We zijn niet gebonden aan softwarepartijen of leveranciers, zodat ons advies altijd in jouw belang is.

Wil je weten waar jouw organisatie staat en wat de volgende stap is? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer