Wat is social engineering en hoe voorkom je het?

Geplaatst op: 8 juni 2026

Social engineering is een aanvalstechniek waarbij cybercriminelen mensen manipuleren in plaats van systemen te hacken. In plaats van technische kwetsbaarheden te misbruiken, spelen aanvallers in op menselijke emoties zoals vertrouwen, angst of urgentie. Het resultaat is dat slachtoffers zelf gevoelige informatie vrijgeven of onbewust toegang verlenen tot systemen. In dit artikel beantwoorden we de meest gestelde vragen over social engineering en laten we zien hoe je jezelf en je organisatie beschermt.

Welke technieken gebruiken social engineers om mensen te manipuleren?

Social engineers gebruiken een breed scala aan psychologische technieken om slachtoffers te manipuleren. De meest voorkomende methoden zijn phishing via e-mail of sms, pretexting (waarbij een aanvaller een valse identiteit aanneemt), baiting (het verleiden met een aantrekkelijk aanbod) en tailgating (fysiek meelopen achter een bevoegd persoon). Elk van deze technieken speelt in op een specifieke menselijke neiging.

Bij phishing stuurt een aanvaller een bericht dat afkomstig lijkt van een betrouwbare partij, zoals een bank, collega of overheidsinstantie. Het doel is dat de ontvanger op een link klikt, inloggegevens invult of een bijlage opent. Phishingtests worden door organisaties ingezet om te meten hoe gevoelig medewerkers zijn voor dit soort aanvallen.

Bij pretexting bouwt de aanvaller een geloofwaardig verhaal op. Denk aan iemand die zich voordoet als IT-medewerker die dringend toegang nodig heeft tot een account. Baiting werkt anders: een aanvaller laat een besmette USB-stick liggen op een parkeerplaats of stuurt een link naar een “gratis” download. Nieuwsgierigheid doet de rest. Vishing (voice phishing) via de telefoon en smishing via sms zijn varianten die steeds vaker voorkomen.

Wat al deze technieken gemeen hebben: ze zijn gericht op de menselijke factor in cybersecurity. Systemen kunnen worden gepatcht, maar mensen reageren altijd op emotie en context.

Waarom is social engineering zo moeilijk te herkennen?

Social engineering is moeilijk te herkennen omdat aanvallers bewust inspelen op vertrouwen, tijdsdruk en autoriteit, drie factoren die mensen van nature minder kritisch maken. Een goed opgezette social engineering-aanval ziet er op het eerste gezicht volkomen legitiem uit. De afzender, het taalgebruik en de context kloppen allemaal, waardoor het gevoel van argwaan ontbreekt.

Moderne aanvallers doen uitgebreid vooronderzoek via sociale media, LinkedIn en bedrijfswebsites. Ze weten wie de directeur is, welke leveranciers een bedrijf gebruikt en hoe interne communicatie klinkt. Met die informatie kunnen ze berichten schrijven die bijna niet van echt te onderscheiden zijn.

Daarnaast speelt cognitieve overbelasting een rol. Medewerkers die veel berichten ontvangen en onder tijdsdruk werken, scannen berichten vluchtig in plaats van ze kritisch te beoordelen. Aanvallers spelen hierop in door urgentie te creëren: “Reageer binnen twee uur, anders wordt uw account geblokkeerd.” Die kunstmatige druk schakelt het kritisch denkvermogen uit.

Tot slot zijn aanvallen steeds persoonlijker geworden. Waar phishing vroeger massaal en generiek was, zijn gerichte aanvallen, ook wel spear phishing genoemd, toegesneden op één specifieke persoon of organisatie. Dat maakt ze aanzienlijk gevaarlijker en lastiger te herkennen.

Wat zijn bekende voorbeelden van social engineering-aanvallen?

Bekende voorbeelden van social engineering-aanvallen zijn CEO-fraude, phishing via nep-facturen, helpdesk-impersonatie en het misbruiken van datalekken om geloofwaardige vervolgaanvallen op te zetten. Deze aanvallen komen voor in alle sectoren en bij organisaties van elke omvang.

Bij CEO-fraude (ook wel BEC, Business Email Compromise) doet een aanvaller zich voor als een directeur of leidinggevende en vraagt een medewerker van de financiële afdeling om dringend een bedrag over te maken naar een externe rekening. Omdat het verzoek van “boven” komt, wordt het zelden in twijfel getrokken.

Een ander veelvoorkomend voorbeeld is de nep-factuuraanval. Een leverancier wordt geïmiteerd, en de organisatie ontvangt een factuur met een aangepast rekeningnummer. Zonder verificatie wordt het bedrag overgemaakt naar de aanvaller.

Bij helpdesk-impersonatie belt een aanvaller naar een medewerker en doet zich voor als IT-support. Ze vragen om inloggegevens te resetten of een tool te installeren die vervolgens toegang geeft tot het systeem. Dit type aanval is effectief omdat medewerkers gewend zijn hulp te accepteren van de IT-afdeling.

Wat al deze voorbeelden illustreren, is dat de aanval begint bij mensen, niet bij technologie. Inzicht in actuele dreigingen helpt organisaties om patronen te herkennen voordat ze schade aanrichten.

Hoe herken je een social engineering-poging?

Een social engineering-poging herken je aan een combinatie van signalen: onverwachte urgentie, verzoeken om gevoelige informatie, ongebruikelijke afzenders of telefoonnummers, en berichten die emotionele druk uitoefenen. Geen enkel signaal is op zichzelf doorslaggevend, maar een combinatie van twee of meer is een duidelijke waarschuwing.

Let op de volgende kenmerken:

• Urgentie of dreiging: berichten die aangeven dat je direct moet handelen, anders volgt een negatieve consequentie
• Ongebruikelijke verzoeken: een collega of leidinggevende die via een nieuw kanaal vraagt om een wachtwoord of betaling
• Taalfouten of vreemde opmaak: ook al worden aanvallen steeds professioneler, kleine afwijkingen zijn soms nog zichtbaar
• Onbekende links of bijlagen: URL’s die lijken op bekende domeinen maar net iets afwijken, zoals “rnabobank.nl” in plaats van “rabobank.nl”
• Verzoek om vertrouwelijke informatie: legitieme organisaties vragen nooit via e-mail of telefoon om wachtwoorden of pincodes
• Onverwacht contact: iemand die je niet kent neemt contact op met een aanbieding of vraag die te mooi of te toevallig klinkt

Een eenvoudige vuistregel: als iets een ongemakkelijk gevoel geeft, verifieer het via een ander kanaal. Bel de persoon terug op een bekend nummer in plaats van het nummer in het bericht te gebruiken.

Hoe bescherm je een organisatie tegen social engineering?

Een organisatie beschermen tegen social engineering vereist een combinatie van bewustwording, beleid en technische maatregelen. Geen enkele technische oplossing alleen is voldoende, omdat de aanval gericht is op mensen. De sterkste verdediging is een goed getrainde medewerker die weet hoe hij een verdachte situatie herkent en rapporteert.

Bewustwording en training

Cybersecuritybewustwording begint bij regelmatige training voor alle medewerkers, niet alleen IT-personeel. Trainingen moeten praktisch zijn en gebaseerd op realistische scenario’s. Phishingsimulaties zijn een effectieve manier om te testen hoe medewerkers reageren en om bewustzijn te vergroten zonder dat er echte schade optreedt. Herhaling is essentieel: eenmalige training heeft weinig duurzaam effect.

Beleid en procedures

Duidelijke procedures verminderen de kans op succesvolle aanvallen aanzienlijk. Denk aan een vier-ogen-principe bij financiële transacties, een verificatieprotocol voor externe verzoeken en een heldere procedure voor het melden van verdachte berichten. Medewerkers moeten weten wat ze moeten doen als ze twijfelen, zonder angst voor negatieve gevolgen als ze een vals alarm slaan.

Technische maatregelen zoals multifactorauthenticatie (MFA), e-mailfiltering en toegangsbeperking op basis van het principe van minimale rechten vormen een aanvullende verdedigingslaag. Ze verkleinen de schade als een aanval toch slaagt. Organisaties die vallen onder de NIS2-regelgeving zijn bovendien verplicht om dergelijke maatregelen structureel te implementeren en aantoonbaar te maken.

Wat moet je doen als je slachtoffer bent geworden van social engineering?

Als je slachtoffer bent geworden van een social engineering-aanval, zijn de eerste stappen: meld het direct intern, wijzig gecompromitteerde wachtwoorden onmiddellijk, blokkeer eventuele toegang die is verleend en documenteer wat er is gebeurd. Hoe sneller je handelt, hoe meer schade je kunt beperken.

Volg dit stappenplan:

1. Meld het direct bij de IT-afdeling of security officer van je organisatie, ook als je niet zeker weet of het een echte aanval was
2. Wijzig wachtwoorden van alle accounts die mogelijk zijn blootgesteld, te beginnen met e-mail en zakelijke systemen
3. Blokkeer toegang door eventuele tokens, sessies of verleende rechten in te trekken
4. Informeer betrokkenen als er persoonsgegevens zijn gelekt, zijn er mogelijk ook meldverplichtingen richting de Autoriteit Persoonsgegevens
5. Documenteer de aanval zodat de organisatie ervan kan leren en de aanvalsmethode kan worden herkend bij toekomstige pogingen
6. Evalueer en verbeter analyseer hoe de aanval heeft kunnen slagen en pas beleid of training aan

Schaamte of angst voor negatieve gevolgen zorgen er vaak voor dat medewerkers een incident niet melden. Dat is gevaarlijk: een niet-gemeld incident geeft aanvallers de tijd om dieper in systemen door te dringen. Een veilige meldcultuur is daarom net zo belangrijk als de technische respons.

Hoe Q-Cyber helpt bij het voorkomen van social engineering

Social engineering-aanvallen zijn effectief omdat ze inspelen op menselijk gedrag. Technische maatregelen alleen zijn onvoldoende. Wij helpen organisaties om weerbaarheid op te bouwen die verder gaat dan firewalls en filters, door de menselijke factor structureel te versterken.

Wat wij concreet voor je kunnen doen:

• Phishingsimulaties en bewustwordingstrainingen om te meten hoe medewerkers reageren en hun weerbaarheid te vergroten
• Beleid en procedures schrijven die social engineering-aanvallen structureel moeilijker maken, afgestemd op jouw organisatie
• NIS2-begeleiding voor organisaties die moeten aantonen dat cybersecurity structureel is ingebed, inclusief de menselijke en beleidsmatige kant
• Red team-oefeningen waarbij ethische hackers realistische aanvallen simuleren om kwetsbaarheden bloot te leggen voordat echte aanvallers dat doen
• Virtuele CISO-diensten via Continuous-Q voor organisaties die behoefte hebben aan structurele, onafhankelijke begeleiding op het gebied van cybersecurity

Wij werken onafhankelijk, zonder binding aan softwarepartijen of leveranciers, en geven altijd pragmatisch advies dat past bij jouw specifieke situatie. Wil je weten hoe kwetsbaar jouw organisatie is voor social engineering? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

NIS2-compliance: een stappenplan voor het mkb

Geplaatst op: 5 juni 2026

NIS2-compliance voor het mkb betekent concreet: bepalen of je onder de richtlijn valt, een risicobeoordeling uitvoeren, technische en organisatorische maatregelen implementeren, en een meldproces inrichten voor beveiligingsincidenten. De Nederlandse implementatie via de Cyberbeveiligingswet (Cbw) legt deze verplichtingen vast voor essentiële en belangrijke entiteiten in aangewezen sectoren. Dit artikel loopt stap voor stap door alles wat het mkb moet weten om compliant te worden.

Welke mkb-bedrijven vallen onder de NIS2-richtlijn?

Een mkb-bedrijf valt onder de NIS2-richtlijn als het actief is in een van de aangewezen sectoren én voldoet aan de drempelwaarden voor middelgrote of grote ondernemingen: minimaal 50 medewerkers of een jaaromzet van meer dan 10 miljoen euro. Sectoren die onder de richtlijn vallen, zijn onder andere energie, transport, drinkwater, digitale infrastructuur, gezondheidszorg, financiële dienstverlening en bepaalde digitale aanbieders.

Belangrijk om te weten: ook kleinere bedrijven kunnen onder de NIS2 vallen als zij kritieke diensten leveren of als hun uitval een aanzienlijk maatschappelijk risico vormt. Bovendien geldt de richtlijn indirect voor veel meer organisaties. In Nederland vallen naar schatting ruim 10.000 organisaties direct onder de NIS2, en naar schatting krijgen 50.000 bedrijven die aan deze groep leveren eveneens met de eisen te maken wanneer er sprake is van toeleveringsrisico’s.

Ben je niet zeker of jouw organisatie onder de wet valt? Via de NIS2-zelfevaluatietool op regelhulpenvoorbedrijven.nl kun je dit zelf nagaan. Het NCSC biedt daarnaast een flowchart aan die de registratieplicht verduidelijkt. Organisaties zijn zelf verantwoordelijk voor deze beoordeling.

Wat zijn de concrete verplichtingen onder NIS2?

Onder de NIS2-richtlijn hebben organisaties vier hoofdverplichtingen: een zorgplicht voor technische en organisatorische maatregelen, een registratieplicht bij het NCSC, een meldplicht voor significante incidenten, en een trainingsplicht voor bestuurders. Samen vormen deze verplichtingen het fundament van NIS2-compliance voor het mkb.

Zorgplicht: wat moet je technisch en organisatorisch regelen?

De zorgplicht verplicht organisaties passende maatregelen te nemen om de continuïteit van dienstverlening te waarborgen en informatie te beschermen. De Cyberbeveiligingswet noemt een aantal concrete minimummaatregelen:

• Beleid voor risicoanalyse en beveiliging van informatiesystemen
• Maatregelen voor bedrijfscontinuïteit en crisisbeheer
• Beveiliging van de toeleveringsketen (supply chain security)
• Beleid en procedures voor cryptografie en encryptie
• Beveiligingsmaatregelen voor personeel en toegangsbeheer
• Gebruik van multi-factorauthenticatie of continue authenticatie

Registratieplicht en bestuurlijke verantwoordelijkheid

Organisaties die onder de Cbw vallen, moeten zich registreren via het NCSC-portaal. Na registratie ontvangen zij informatie over actuele cyberdreigingen. Daarnaast legt de NIS2-richtlijn de verantwoordelijkheid voor cyberweerbaarheid expliciet bij het bestuur. Bestuurders moeten voldoende kennis hebben om weloverwogen beslissingen te nemen over informatiebeveiliging, en zijn verplicht een training te volgen. Vanaf de inwerkingtreding van de Cbw hebben zij maximaal twee jaar om aan die trainingsplicht te voldoen.

Hoe begin je met een NIS2-gap-analyse?

Een NIS2-gap-analyse begint met het in kaart brengen van je huidige beveiligingsniveau en het vergelijken daarvan met de minimumvereisten uit de Cyberbeveiligingswet. Het doel is helder te krijgen welke maatregelen al aanwezig zijn, welke ontbreken, en waar de grootste risico’s liggen. Dit vormt de basis voor een realistisch en prioritair actieplan.

Praktisch gezien doorloop je de volgende stappen:

1. Inventariseer je kritieke systemen en processen: Welke systemen zijn essentieel voor je dienstverlening? Wat zijn de gevolgen als deze uitvallen?
2. Toets je huidige maatregelen aan de NIS2-minimumvereisten: Gebruik de mapping van het ministerie van BZK, die aangeeft welke maatregelen verplicht, optioneel of situationeel zijn in relatie tot NEN-EN-ISO/IEC 27002.
3. Identificeer de gaps: Noteer concreet welke maatregelen ontbreken of onvoldoende zijn uitgewerkt.
4. Prioriteer op risico: Niet alle gaps zijn even urgent. Begin bij de maatregelen die de grootste risico’s afdekken.

Een goede gap-analyse is geen eenmalige exercitie. Cyberdreigingen veranderen voortdurend, en je beveiligingsniveau moet meegroeien. Overweeg daarom om de analyse periodiek te herhalen of te laten ondersteunen door een externe specialist.

Welke maatregelen moet het mkb als eerste implementeren?

Het mkb doet er verstandig aan om eerst de maatregelen te implementeren die de meeste risico’s afdekken met de minste complexiteit: multi-factorauthenticatie, een actueel patchbeleid, toegangsbeheer op basis van het least-privilege-principe, en een gedocumenteerd incidentresponsproces. Deze vier maatregelen vormen een solide fundament voor verdere NIS2-compliance.

Daarna richt je je op de bredere organisatorische maatregelen die de NIS2 vereist:

• Risicobeleid: Stel een formeel beleid op voor risicoanalyse en informatiebeveiliging. Dit hoeft niet complex te zijn, maar moet wel aantoonbaar zijn.
• Bedrijfscontinuïteitsplan: Beschrijf hoe je organisatie omgaat met uitval van kritieke systemen, inclusief back-upprocessen en herstelstappen.
• Supply chain security: Breng in kaart welke leveranciers toegang hebben tot je systemen of data, en stel eisen aan hun beveiligingsniveau.
• Bewustwording en training: Zorg dat medewerkers weten hoe ze phishing herkennen en wat ze moeten doen bij een beveiligingsincident. Een phishingtest kan helpen om het bewustzijnsniveau te meten.

De volgorde van implementatie hangt af van de uitkomsten van je gap-analyse. Begin altijd bij de maatregelen die de grootste kwetsbaarheden dichten.

Hoe werkt de meldplicht bij een beveiligingsincident?

Bij een significant beveiligingsincident ben je als mkb-bedrijf verplicht dit te melden via het NCSC-portaal. De meldplicht bestaat uit drie stappen: een vroegtijdige waarschuwing binnen 24 uur na ontdekking, een vervolgmelding met aanvullende informatie binnen 72 uur, en een eindverslag uiterlijk één maand na de eerste melding. Het portaal stuurt de melding automatisch door naar zowel het relevante CSIRT als de toezichthouder, zodat je niet dubbel hoeft te melden.

Een incident is meldingswaardig als het de continuïteit van je dienstverlening aanzienlijk kan verstoren. Factoren die daarbij een rol spelen, zijn het aantal getroffen personen, de duur van de verstoring en de mogelijke financiële schade. De precieze drempelcriteria worden per sector uitgewerkt in ministeriële regelingen.

Praktisch advies: wacht niet tot een incident zich voordoet om je meldproces in te richten. Stel vooraf vast wie in jouw organisatie verantwoordelijk is voor het doen van een melding, welke informatie daarvoor nodig is, en hoe je intern communiceert tijdens een incident. Een vooraf getest incidentresponsplan bespaart kostbare tijd op het moment dat het er echt toe doet.

Wat zijn de gevolgen als het mkb niet voldoet aan NIS2?

Als het mkb niet voldoet aan de NIS2-verplichtingen, riskeer je aanzienlijke financiële boetes en reputatieschade. Essentiële entiteiten kunnen boetes krijgen tot maximaal 10 miljoen euro of 2% van hun wereldwijde jaaromzet. Voor belangrijke entiteiten gelden lagere maxima: tot 7 miljoen euro of 1,4% van de wereldwijde jaaromzet. Bovendien kan het senior management persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen.

Naast de directe financiële gevolgen zijn er ook indirecte risico’s. Klanten en partners, zeker grotere organisaties die zelf NIS2-compliant moeten zijn, zullen steeds vaker eisen stellen aan de beveiliging van hun leveranciers. Wie niet aan die eisen voldoet, loopt het risico contracten te verliezen of uitgesloten te worden van aanbestedingen.

Het toezicht op de naleving ligt bij onafhankelijke toezichthouders. Voor de meeste sectoren is dat de Rijksinspectie Digitale Infrastructuur (RDI). De Rijksoverheid adviseert organisaties nadrukkelijk om niet af te wachten totdat de wet volledig in werking treedt: de risico’s zijn er nu al, en vroegtijdig handelen verkleint zowel de kans op incidenten als de kans op handhaving.

Hoe Q-Cyber helpt met NIS2-compliance

NIS2-compliance is voor veel mkb-bedrijven een complex traject dat zowel technische kennis als beleidsmatige expertise vereist. Wij begeleiden organisaties door dit traject op een pragmatische en onafhankelijke manier, zonder binding aan softwarepartijen of andere toeleveranciers. Concreet bieden wij het volgende:

• Gap-analyse: We brengen je huidige beveiligingsniveau in kaart en vergelijken dit met de NIS2-minimumvereisten, zodat je precies weet waar actie nodig is.
• Beleidsschrijving: We stellen op maat gemaakte beleidsdocumenten op die aansluiten bij jouw organisatie en voldoen aan de eisen van de Cyberbeveiligingswet.
• Bestuurstrainingen: We verzorgen trainingen voor bestuurders waarmee zij voldoen aan de wettelijke trainingsplicht en beter in staat zijn om weloverwogen beslissingen te nemen over cyberrisico’s.
• Technische tests: Via vulnerability scans en phishingtests meten we de technische weerbaarheid van je organisatie en identificeren we concrete kwetsbaarheden.
• Doorlopend advies: Via onze virtuele CISO-dienst zorgen we voor structurele inbedding van cybersecurity in je organisatie, ook na de initiële implementatie.

NIS2-compliance is geen eenmalig project maar een doorlopend proces. Wil je weten waar jouw organisatie nu staat en wat de eerste stap is? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Phishing herkennen: 7 tips voor medewerkers

Geplaatst op: 5 juni 2026

Phishing herkennen doe je door te letten op verdachte afzenderadressen, onverwachte bijlagen, een urgente toon en links die niet overeenkomen met de echte domeinnaam van de organisatie. De meeste phishing e-mails proberen je te verleiden tot een snelle actie, zoals inloggen of een betaling doen, voordat je de tijd neemt om na te denken. In dit artikel beantwoorden we de meest gestelde vragen over phishing herkennen, zodat jij en je collega’s beter voorbereid zijn.

Wat zijn de meest voorkomende kenmerken van een phishing e-mail?

Een phishing e-mail herken je aan een combinatie van signalen: een onbekend of vervalst afzenderadres, een dringende of bedreigende toon, spelfouten, verdachte links en verzoeken om persoonlijke gegevens of inloggegevens. Geen enkel signaal staat op zichzelf, maar hoe meer van deze kenmerken je ziet, hoe groter de kans dat het om een phishing aanval gaat.

Hieronder staan de meest voorkomende kenmerken op een rij:

• Verdacht afzenderadres: De weergegeven naam lijkt betrouwbaar, maar het echte e-mailadres klopt niet. Denk aan “support@microsoft-helpdesk.net” in plaats van “@microsoft.com”.
• Urgentie en druk: Berichten als “Uw account wordt geblokkeerd binnen 24 uur” zijn erop gericht om je zonder nadenken te laten klikken.
• Onverwachte bijlagen: Bestanden met extensies als .exe, .zip of zelfs .pdf kunnen malware bevatten als je ze niet verwacht.
• Vreemde of nep-links: De linktekst toont een vertrouwd domein, maar de werkelijke URL wijst naar een ander adres.
• Slechte opmaak of spelfouten: Professionele organisaties sturen zelden e-mails met taalfouten of een rommelige lay-out.
• Verzoek om gevoelige informatie: Banken, overheidsdiensten en softwareleveranciers vragen nooit per e-mail om wachtwoorden of betaalgegevens.

Houd er rekening mee dat moderne phishing e-mails er steeds professioneler uitzien. Aanvallers kopiëren huisstijlen van bekende merken vrijwel perfect. Juist daarom is het belangrijk om niet alleen op uiterlijk te vertrouwen, maar ook de afzender en de link zelf te controleren.

Hoe verschilt phishing van spear phishing en smishing?

Phishing is een brede aanvalsmethode waarbij criminelen massaal nep-e-mails sturen in de hoop dat iemand bijt. Spear phishing is een gerichte variant waarbij de aanvaller zich specifiek richt op één persoon of organisatie, met gepersonaliseerde informatie. Smishing werkt volgens hetzelfde principe, maar dan via sms of berichten-apps in plaats van e-mail.

Spear phishing: gericht en gevaarlijker

Bij spear phishing gebruikt de aanvaller vooraf verzamelde informatie, zoals je naam, functietitel, de naam van je manager of lopende projecten. Die informatie halen ze vaak van LinkedIn, bedrijfswebsites of eerdere datalekken. Het bericht lijkt daardoor veel geloofwaardiger dan een generieke phishing e-mail. Spear phishing aanvallen zijn moeilijker te herkennen en richten zich vaak op medewerkers met toegang tot financiën of gevoelige systemen.

Smishing: phishing via je telefoon

Smishing berichten komen binnen als sms of via apps als WhatsApp. Ze doen zich voor als pakketbezorgers, banken of de Belastingdienst. Omdat mensen sms-berichten sneller vertrouwen dan e-mails, en omdat links op een klein scherm moeilijker te controleren zijn, zijn smishing aanvallen bijzonder effectief. De vuistregel is dezelfde als bij e-mail: klik nooit op een link in een onverwacht bericht en bel de afzender direct als je twijfelt.

Hoe controleer je of een link in een e-mail veilig is?

Controleer een link door er met je muis overheen te bewegen zonder te klikken. Onderaan je scherm of in een tooltip zie je dan de werkelijke URL. Let op of het domein overeenkomt met de organisatie die beweert het bericht te hebben gestuurd, en of het adres begint met “https://” gevolgd door het juiste domein.

Een aantal praktische stappen om een link te beoordelen:

1. Hover over de link: Beweeg je muis over de link zonder te klikken en bekijk de URL die verschijnt.
2. Controleer het domein nauwkeurig: Let op subtiele variaties zoals “paypa1.com” (met een cijfer 1) in plaats van “paypal.com”, of extra subonderdelen als “login.paypal.nep-site.com”.
3. Kijk naar het protocol: Een “https://” verbinding is versleuteld, maar dat betekent niet automatisch dat de website betrouwbaar is. Criminelen gebruiken ook HTTPS.
4. Gebruik een linkchecker: Tools zoals VirusTotal of de ingebouwde beveiligingscontrole van je browser kunnen een URL scannen voordat je die bezoekt.
5. Navigeer handmatig: Als het bericht zegt dat je moet inloggen bij je bank of een dienst, typ het adres dan zelf in je browser in plaats van op de link te klikken.

Op mobiele apparaten is hoveren niet mogelijk. Houd een link dan ingedrukt om een preview van de URL te zien voordat je beslist of je erop tikt.

Wat moet je doen als je een phishing e-mail hebt ontvangen?

Als je een phishing e-mail ontvangt, klik dan op niets, download geen bijlagen en beantwoord het bericht niet. Meld de e-mail bij je IT-afdeling of securityteam, markeer het als spam of phishing in je e-mailprogramma, en verwijder het bericht daarna. Heb je al geklikt? Meld dat dan direct, ook als er niets lijkt te zijn gebeurd.

Een goede aanpak stap voor stap:

• Niet klikken, niet reageren: Elke interactie kan al informatie aan de aanvaller geven, zoals bevestiging dat jouw e-mailadres actief is.
• Meld het intern: Stuur de e-mail door naar je IT- of securityteam. Zij kunnen onderzoeken of meer collega’s hetzelfde bericht hebben ontvangen.
• Markeer als phishing: De meeste e-mailclients hebben een knop om een bericht als phishing te rapporteren. Dit helpt ook andere gebruikers te beschermen.
• Verwijder het bericht: Na de melding kun je het bericht veilig verwijderen.
• Meld verdachte e-mails extern: In Nederland kun je phishing e-mails ook doorsturen naar valse e-mails herkennen of de Fraudehelpdesk.

Wat zijn de gevolgen als een medewerker op een phishing link klikt?

Als een medewerker op een phishing link klikt, kunnen de gevolgen variëren van het stelen van inloggegevens tot het installeren van malware of ransomware op het bedrijfsnetwerk. In het ergste geval krijgt een aanvaller toegang tot gevoelige systemen, klantdata of financiële rekeningen. De schade kan groot zijn en snel oplopen.

De meest voorkomende gevolgen zijn:

• Gestolen inloggegevens: De medewerker vult zijn gebruikersnaam en wachtwoord in op een nep-inlogpagina. De aanvaller gebruikt deze gegevens vervolgens om in te loggen op bedrijfssystemen.
• Malware-infectie: Door op een link te klikken of een bijlage te openen wordt kwaadaardige software geïnstalleerd, die zich kan verspreiden over het netwerk.
• Ransomware: Bestanden worden versleuteld en de organisatie wordt gevraagd losgeld te betalen om ze terug te krijgen.
• Datalekken: Klantgegevens, financiële informatie of bedrijfsgeheimen komen in verkeerde handen terecht.
• Reputatieschade en boetes: Onder regelgeving zoals de NIS2-richtlijn zijn organisaties verplicht significante incidenten te melden. Niet-naleving kan leiden tot forse boetes.

Het is belangrijk dat medewerkers begrijpen dat een klik op een phishing link geen persoonlijk falen is, maar een beveiligingsincident dat snel gemeld moet worden. Hoe sneller de IT-afdeling op de hoogte is, hoe beter de schade beperkt kan worden.

Hoe train je medewerkers om phishing structureel te herkennen?

Medewerkers train je om phishing structureel te herkennen door een combinatie van bewustwordingstrainingen, gesimuleerde phishing tests en duidelijk beleid. Eenmalige training is niet voldoende: phishing aanvallen evolueren voortdurend, en herhaling zorgt ervoor dat alertheid een gewoonte wordt in plaats van een uitzondering.

Een effectief trainingsprogramma bevat de volgende elementen:

• Regelmatige bewustwordingssessies: Bespreek actuele voorbeelden van phishing aanvallen en laat medewerkers zien hoe deze eruitzien.
• Gesimuleerde phishing tests: Stuur nep-phishing e-mails naar medewerkers om te meten wie erop klikt. Gebruik de resultaten niet als straf, maar als leermomenten.
• Duidelijk meldproces: Zorg dat iedereen weet hoe en waar ze een verdachte e-mail kunnen melden. Een laagdrempelig meldproces verhoogt de meldingsbereidheid.
• Rolspecifieke training: Medewerkers in financiën, HR of management zijn vaker doelwit van gerichte aanvallen. Geef hen extra aandacht in het trainingsprogramma.
• Technische maatregelen als vangnet: Training vervangt geen technologie. Combineer het met spamfilters, multi-factorauthenticatie en e-mailbeveiliging zoals DMARC.

Organisaties die vallen onder de Continuous-Q dienstverlening profiteren van doorlopende begeleiding op het gebied van security awareness, waarbij training en techniek hand in hand gaan. Onderzoek laat zien dat organisaties die regelmatig phishing simulaties uitvoeren, significant minder incidenten rapporteren dan organisaties die alleen vertrouwen op jaarlijkse cursussen.

Hoe Q-Cyber helpt met phishing herkennen en preventie

Phishing blijft een van de meest effectieve aanvalsmethoden, juist omdat het inspeelt op menselijk gedrag. Technische maatregelen alleen zijn niet voldoende: medewerkers moeten weten wat ze moeten herkennen, wat ze moeten doen en hoe ze kunnen bijdragen aan de weerbaarheid van de organisatie. Wij helpen organisaties op een concrete, pragmatische manier om dit voor elkaar te krijgen.

Wat we voor jouw organisatie kunnen doen:

• Phishing simulaties en penetratietesten: We sturen realistische nep-phishing e-mails naar medewerkers en rapporteren wie klikt, wat invult en wat meldt. Op basis daarvan stellen we gerichte verbeteracties op.
• Security awareness trainingen: Praktische sessies afgestemd op de rollen binnen jouw organisatie, van directie tot operationele medewerkers.
• Virtuele CISO via Continuous-Q: Een team van specialisten dat structureel toezicht houdt op je cyberveiligheid, inclusief monitoring van dreigingen en begeleiding bij incidenten.
• Beleid en procedures: We schrijven of verbeteren het meldproces, het incidentresponsbeleid en de cybersecurityrichtlijnen voor medewerkers.
• NIS2-begeleiding: Voor organisaties die onder de NIS2-regelgeving vallen, zorgen we dat awareness-training en technische maatregelen aansluiten op de verplichte zorgplicht.

Wil je weten hoe jouw organisatie er nu voor staat? Neem contact met ons op voor een vrijblijvend gesprek. We kijken graag mee en geven je een eerlijk, onafhankelijk beeld van de risico’s en de stappen die je kunt zetten.

Lees meer

Hoe schrijf je een verwerkersovereenkomst?

Geplaatst op: 4 juni 2026

Een verwerkersovereenkomst opstellen doe je door schriftelijk vast te leggen welke persoonsgegevens een verwerker namens jouw organisatie verwerkt, voor welk doel, hoe lang, en welke beveiligingsmaatregelen daarbij gelden. De AVG verplicht iedere verwerkingsverantwoordelijke om zo’n overeenkomst te sluiten met elke externe partij die persoonsgegevens voor hem verwerkt. In dit artikel beantwoorden we de meest gestelde vragen over de verwerkersovereenkomst, van de verplichte inhoud tot de gevolgen van ontbrekende afspraken.

Wat moet er verplicht in een verwerkersovereenkomst staan?

Een AVG-verwerkersovereenkomst moet minimaal de volgende elementen bevatten: het onderwerp en de duur van de verwerking, de aard en het doel van de verwerking, het type persoonsgegevens en de categorieën betrokkenen, en de rechten en verplichtingen van de verwerkingsverantwoordelijke. Zonder deze elementen voldoet de overeenkomst niet aan artikel 28 van de AVG.

Naast deze basisinformatie schrijft de AVG een aantal concrete verplichtingen voor die in de overeenkomst moeten worden opgenomen. De verwerker mag persoonsgegevens uitsluitend verwerken op basis van gedocumenteerde instructies van de verwerkingsverantwoordelijke. Verder moet worden vastgelegd dat de verwerker:

• passende technische en organisatorische beveiligingsmaatregelen treft;
• medewerkers die toegang hebben tot de gegevens tot geheimhouding verplicht;
• de verwerkingsverantwoordelijke bijstaat bij het nakomen van zijn verplichtingen jegens betrokkenen (zoals het recht op inzage of verwijdering);
• na afloop van de dienstverlening alle persoonsgegevens verwijdert of teruggeeft;
• de verwerkingsverantwoordelijke informeert als een instructie naar zijn mening in strijd is met de AVG;
• alleen met toestemming van de verwerkingsverantwoordelijke subverwerkers inschakelt.

Het is verstandig ook afspraken op te nemen over hoe en wanneer de verwerker een datalek meldt, en binnen welke termijn. De AVG vereist dat een verwerkingsverantwoordelijke een datalek binnen 72 uur meldt bij de Autoriteit Persoonsgegevens. Om die termijn te halen, moet de verwerker een incident zo snel mogelijk doorgeven. Leg die verplichting expliciet vast in de privacywetgeving en contractuele afspraken.

Wanneer ben je verplicht een verwerkersovereenkomst te sluiten?

Je bent verplicht een verwerkersovereenkomst te sluiten zodra een externe partij persoonsgegevens verwerkt namens jouw organisatie, en daarbij zelf geen doel en middelen bepaalt. Dit is het geval bij vrijwel elke uitbestede dienst waarbij persoonsgegevens betrokken zijn, zoals clouddiensten, salarisadministratie, e-mailmarketing of IT-beheer.

Het onderscheid zit in de rol van de externe partij. Een verwerker verwerkt persoonsgegevens uitsluitend op instructie van jou en heeft geen zeggenschap over het doel van de verwerking. Een verwerkingsverantwoordelijke bepaalt zelf het doel en de middelen. Wanneer je een softwareleverancier inschakelt die klantdata opslaat in jouw naam, is die leverancier een verwerker. Wanneer een accountantskantoor jouw jaarrekening opstelt en daarbij ook persoonsgegevens verwerkt voor eigen doeleinden, is er sprake van twee verwerkingsverantwoordelijken en heb je een andere overeenkomst nodig.

Praktische situaties waarin een gegevensverwerkingsovereenkomst verplicht is:

• Gebruik van cloudopslag waarbij persoonsgegevens worden bewaard (zoals Microsoft 365 of Google Workspace);
• Uitbesteding van HR-administratie of loonadministratie;
• Inschakelen van een marketingbureau dat mailinglijsten beheert;
• Gebruik van een ticketsysteem of CRM-pakket beheerd door een derde partij;
• Inzet van een externe helpdesk die klantgegevens inziet.

De verplichting geldt ongeacht de omvang van je organisatie. Ook kleine bedrijven moeten een verwerkersovereenkomst sluiten zodra zij persoonsgegevens uitbesteden aan een derde partij.

Wat is het verschil tussen een verwerkersovereenkomst en een bewerkersovereenkomst?

Een verwerkersovereenkomst en een bewerkersovereenkomst zijn inhoudelijk hetzelfde document. Het enige verschil is de naam: “bewerkersovereenkomst” is de verouderde term uit de Wet bescherming persoonsgegevens (Wbp), die in 2018 werd vervangen door de AVG. Sindsdien is de officiële term “verwerkersovereenkomst”.

Veel organisaties gebruiken beide termen nog door elkaar, maar juridisch gezien is alleen de term “verwerkersovereenkomst” correct onder de huidige Europese privacywetgeving. Een overeenkomst die nog de term “bewerkersovereenkomst” gebruikt, is niet per definitie ongeldig, maar het is aan te raden de terminologie te actualiseren zodat de overeenkomst aansluit op de huidige wet- en regelgeving en geen onduidelijkheid schept over de toepasselijke normen.

Inhoudelijk zijn de eisen ook verzwaard ten opzichte van de Wbp. De AVG stelt meer specifieke eisen aan wat er in de overeenkomst moet staan en legt meer verantwoordelijkheid bij zowel de verwerkingsverantwoordelijke als de verwerker. Een bewerkersovereenkomst die vóór 2018 werd opgesteld, voldoet daardoor vrijwel zeker niet meer aan de huidige GDPR-verwerkereisen.

Hoe stel je een verwerkersovereenkomst stap voor stap op?

Een verwerkersovereenkomst opstellen verloopt in vijf stappen: breng in kaart welke partij welke gegevens verwerkt, bepaal de rollen, beschrijf de verwerkingsactiviteiten, stel de verplichtingen vast, en laat beide partijen tekenen. Hieronder werken we elke stap uit.

1. Identificeer de verwerker en de verwerkingsverantwoordelijke. Bepaal wie de persoonsgegevens verwerkt en in wiens opdracht. Dit vormt de basis voor de overeenkomst.
2. Breng de verwerkingsactiviteiten in kaart. Beschrijf welke categorieën persoonsgegevens worden verwerkt, van welke betrokkenen, voor welk doel en hoe lang de gegevens worden bewaard.
3. Formuleer de instructies. Leg vast dat de verwerker uitsluitend handelt op basis van jouw schriftelijke instructies en geen eigen doeleinden mag nastreven.
4. Neem de verplichte bepalingen op. Voeg alle wettelijk verplichte onderdelen toe: beveiligingsmaatregelen, geheimhoudingsplicht, bijstandsverplichtingen, subverwerkers, datalekprocedure en teruggave of verwijdering van gegevens na afloop.
5. Onderteken de overeenkomst. Zorg voor een schriftelijke of elektronische ondertekening door beide partijen. Bewaar de overeenkomst zodat je kunt aantonen dat je aan de AVG-verantwoordingsplicht voldoet.

Vergeet bij stap vier ook de subverwerkers niet. Als de verwerker andere partijen inschakelt die ook persoonsgegevens verwerken, moet de verwerker met hen een gelijkwaardige verwerkersovereenkomst sluiten. Als verwerkingsverantwoordelijke heb je het recht om hierover geïnformeerd te worden en in sommige gevallen toestemming te verlenen.

Mag je een standaard template gebruiken voor een verwerkersovereenkomst?

Ja, je mag een standaard template gebruiken als startpunt voor een verwerkersovereenkomst, maar een generiek template is zelden voldoende op zichzelf. De overeenkomst moet altijd worden aangevuld met de specifieke verwerkingsactiviteiten, de concrete beveiligingsmaatregelen en de specifieke afspraken die gelden voor jouw situatie.

Veel leveranciers bieden hun eigen standaard verwerkersovereenkomst aan, met name grote cloudleveranciers zoals Microsoft en Google. Dit is toegestaan, maar als verwerkingsverantwoordelijke blijf je verantwoordelijk voor de naleving van de AVG. Controleer daarom altijd of de aangeboden overeenkomst voldoet aan alle wettelijke eisen en of de afspraken aansluiten op jouw specifieke verwerkingssituatie.

Let bij het gebruik van een template in ieder geval op de volgende punten:

• Is de verwerkingsomschrijving specifiek genoeg voor jouw situatie?
• Zijn de beveiligingsmaatregelen concreet beschreven of worden ze vaag omschreven?
• Is de procedure voor datalekmelding duidelijk en haalbaar binnen de wettelijke termijnen?
• Zijn de regels rondom subverwerkers en doorgifte buiten de EU opgenomen?
• Sluit de bewaartermijn aan op jouw eigen bewaarbeleid?

Een template biedt een nuttige structuur, maar maatwerk is nodig om daadwerkelijk aan de AVG te voldoen en om de overeenkomst juridisch afdwingbaar te maken.

Wat zijn de gevolgen van een ontbrekende of onvolledige verwerkersovereenkomst?

Het ontbreken van een verwerkersovereenkomst is een directe overtreding van de AVG en kan leiden tot een boete van de Autoriteit Persoonsgegevens van maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet. Bovendien loop je als organisatie een aanzienlijk juridisch en reputatierisico als er een datalek optreedt zonder dat de verantwoordelijkheden contractueel zijn vastgelegd.

Een onvolledige overeenkomst is bijna even risicovol als een ontbrekende. Als cruciale afspraken ontbreken, zoals de procedure bij datalekken of de instructies voor verwijdering van gegevens, kan dit bij een incident leiden tot onduidelijkheid over wie verantwoordelijk is, vertraging in de melding en mogelijk hogere boetes.

Naast de financiële gevolgen zijn er ook operationele risico’s. Zonder duidelijke contractuele afspraken heb je als verwerkingsverantwoordelijke minder grip op wat er met de persoonsgegevens van jouw klanten, medewerkers of relaties gebeurt. Je kunt een verwerker dan moeilijker aanspreken op naleving van beveiligingsmaatregelen of op het tijdig melden van incidenten.

De Autoriteit Persoonsgegevens controleert actief op de aanwezigheid van verwerkersovereenkomsten, zeker bij sectoren die veel persoonsgegevens verwerken. Organisaties die onder de NIS2-richtlijn vallen, lopen een dubbel risico: zowel de AVG als de NIS2 stellen eisen aan de beveiliging van de toeleveringsketen en de contractuele borging daarvan. Een ontbrekende verwerkersovereenkomst kan dus op meerdere fronten tot handhaving leiden.

Hoe Q-Cyber helpt met privacycompliance en verwerkersovereenkomsten

Een correcte verwerkersovereenkomst is onderdeel van een breder privacybeleid en cybersecuritystrategie. Wij helpen organisaties om niet alleen de juiste documenten op te stellen, maar ook om de onderliggende processen en beveiligingsmaatregelen op orde te brengen. Onze aanpak is pragmatisch en onafhankelijk: wij zijn niet gebonden aan softwarepartijen of andere leveranciers, waardoor we altijd adviseren wat het beste past bij jouw situatie.

Wat wij concreet voor je kunnen doen:

• In kaart brengen welke verwerkersovereenkomsten ontbreken of verouderd zijn;
• Opstellen of beoordelen van verwerkersovereenkomsten die voldoen aan de AVG;
• Adviseren over de relatie tussen AVG-verplichtingen en NIS2-eisen, zoals supply chain security;
• Schrijven van privacybeleid en bijbehorende procedures, inclusief datalekprocedures;
• Begeleiden van bestuurders en medewerkers via trainingen over privacywetgeving en cybersecurity;
• Uitvoeren van een gap-analyse om te bepalen waar je organisatie staat ten opzichte van de AVG en andere relevante regelgeving.

Wil je weten hoe jouw organisatie ervoor staat? Neem contact met ons op en we kijken samen wat er nodig is.

Lees meer

Wat is een DPIA en wanneer is het verplicht?

Geplaatst op: 4 juni 2026

Een DPIA, of Data Protection Impact Assessment, is een verplichte privacy-risicoanalyse die organisaties moeten uitvoeren voordat ze starten met een gegevensverwerking die waarschijnlijk een hoog risico oplevert voor de rechten en vrijheden van betrokkenen. De verplichting is vastgelegd in artikel 35 van de AVG en geldt voor zowel bedrijven als overheidsinstanties. In dit artikel beantwoorden we de meest gestelde vragen over de DPIA: wanneer het verplicht is, wie het moet uitvoeren, wat erin moet staan en wat de gevolgen zijn als je het nalaat.

Wanneer is een DPIA wettelijk verplicht?

Een DPIA is wettelijk verplicht wanneer een verwerking van persoonsgegevens waarschijnlijk een hoog privacyrisico oplevert voor de betrokkenen. Dit is geregeld in artikel 35 van de AVG. De Autoriteit Persoonsgegevens heeft daarnaast een lijst gepubliceerd met verwerkingen waarvoor een DPIA altijd verplicht is, ongeacht de specifieke omstandigheden.

In de praktijk is een DPIA in ieder geval vereist bij:

• Grootschalige verwerking van bijzondere persoonsgegevens, zoals gezondheidsgegevens, biometrische gegevens of gegevens over ras of religie
• Systematische en uitgebreide profilering op basis van persoonsgegevens, inclusief geautomatiseerde besluitvorming met rechtsgevolgen
• Grootschalige en stelselmatige monitoring van openbaar toegankelijke ruimten, bijvoorbeeld via camerabewaking
• Verwerking van persoonsgegevens van kwetsbare groepen, zoals kinderen, patiënten of medewerkers
• Gebruik van nieuwe technologieën waarbij de privacyrisico’s nog niet volledig in kaart zijn gebracht

De AVG schrijft voor dat je de DPIA uitvoert voordat je begint met de verwerking. Een DPIA achteraf uitvoeren is in strijd met de wet en biedt geen bescherming als er iets misgaat.

Welke organisaties moeten een DPIA uitvoeren?

Alle organisaties die persoonsgegevens verwerken en daarbij een hoog risico creëren voor de rechten en vrijheden van betrokkenen, zijn verplicht een DPIA uit te voeren. Dit geldt voor zowel private bedrijven als publieke instellingen, ongeacht hun omvang. De AVG maakt geen uitzondering voor kleine organisaties als de verwerking zelf risicovol is.

Concreet betekent dit dat de DPIA-plicht van toepassing kan zijn op uiteenlopende organisaties:

• Ziekenhuizen en zorginstellingen die medische dossiers verwerken
• HR-afdelingen die personeelsmonitoring of profilering toepassen
• Gemeenten en overheidsinstanties die burgergegevens koppelen of uitwisselen
• Webshops en platformen die op grote schaal gebruikersgedrag analyseren
• Bedrijven die slimme apparaten of sensoren inzetten die continu gegevens verzamelen

Verwerkingsverantwoordelijken zijn primair verplicht de DPIA uit te voeren. Als je als verwerker optreedt voor een andere organisatie, dan rust de plicht op de verwerkingsverantwoordelijke, maar je bent als verwerker wel gehouden alle benodigde informatie te verstrekken. Voor organisaties die actief zijn in sterk gereguleerde sectoren, zoals de overheid of de zorg, gelden bovendien aanvullende kaders. Meer informatie over relevante wet- en regelgeving helpt organisaties inzicht te krijgen in welke verplichtingen op hen van toepassing zijn.

Wat zijn de verplichte onderdelen van een DPIA?

Een DPIA moet minimaal een systematische beschrijving van de verwerking bevatten, een beoordeling van de noodzaak en proportionaliteit, een risicobeoordeling voor de rechten en vrijheden van betrokkenen, en een beschrijving van de maatregelen om die risico’s te beheersen. Dit zijn de vier kernelementen die de AVG voorschrijft in artikel 35, lid 7.

In de praktijk werkt een volledige DPIA dit als volgt uit:

1. Beschrijving van de verwerking: Wat wordt verwerkt, met welk doel, door wie, hoe lang en op welke technische wijze?
2. Noodzakelijkheid en proportionaliteit: Is de verwerking noodzakelijk voor het beoogde doel? Zijn er minder ingrijpende alternatieven?
3. Risicobeoordeling: Welke risico’s brengt de verwerking mee voor betrokkenen, en hoe groot is de kans dat deze risico’s zich voordoen?
4. Beheersmaatregelen: Welke technische en organisatorische maatregelen worden genomen om de geïdentificeerde risico’s te verminderen?
5. Raadpleging van betrokkenen: Zijn de belangen van betrokkenen meegewogen, en is er indien nodig overleg geweest?
6. Advies van de Functionaris Gegevensbescherming (FG): Als de organisatie een FG heeft, is diens advies een verplicht onderdeel van het proces.

Als na de DPIA blijkt dat de risico’s niet voldoende beheersbaar zijn, moet de verwerkingsverantwoordelijke voorafgaand overleg voeren met de Autoriteit Persoonsgegevens. Dit heet een voorafgaande raadpleging en is eveneens wettelijk vastgelegd in de AVG.

Wat is het verschil tussen een DPIA en een PIA?

Een DPIA en een PIA zijn in de kern hetzelfde instrument: beide zijn methoden om privacyrisico’s van een verwerking in kaart te brengen voordat die verwerking start. Het verschil zit in de terminologie en de juridische status. Een PIA (Privacy Impact Assessment) is de informele, internationale benaming die al bestond vóór de AVG. Een DPIA is de officiële term uit de AVG en heeft een wettelijk verplicht karakter.

In de praktijk wordt de term PIA nog veel gebruikt, met name in Angelsaksische landen en in oudere beleidsdocumenten. Wanneer een Nederlandse organisatie spreekt over een privacy impact assessment, bedoelt men doorgaans dezelfde analyse als een DPIA. Het onderscheid is dus vooral terminologisch, niet inhoudelijk.

Wel is het belangrijk om te beseffen dat een PIA die vóór de invoering van de AVG is uitgevoerd, niet automatisch voldoet aan de huidige DPIA-eisen. De AVG stelt specifieke eisen aan de inhoud, het proces en de documentatie die oudere PIA-methodieken mogelijk niet volledig dekken. Als je beschikt over een bestaande PIA, is het verstandig te toetsen of deze nog voldoet aan de huidige wettelijke vereisten.

Hoe lang is een DPIA geldig en wanneer moet je hem herhalen?

Een DPIA heeft geen vaste geldigheidsduur. De AVG schrijft voor dat een DPIA periodiek wordt herzien en in ieder geval opnieuw wordt uitgevoerd wanneer er een wijziging optreedt in de verwerking die nieuwe of hogere risico’s kan meebrengen. In de praktijk hanteren veel organisaties een herziening elke twee tot drie jaar als uitgangspunt, maar de concrete aanleiding is leidend.

Een DPIA moet in ieder geval worden herhaald of herzien bij:

• Wijzigingen in het doel of de reikwijdte van de verwerking
• Introductie van nieuwe technologie of systemen die betrokken zijn bij de verwerking
• Veranderingen in de categorie of het volume van verwerkte persoonsgegevens
• Nieuwe inzichten over risico’s, bijvoorbeeld door een datalek of incident
• Wijzigingen in wet- en regelgeving die de beoordeling beïnvloeden
• Feedback van de Functionaris Gegevensbescherming of de toezichthouder

Een DPIA is daarmee geen eenmalig document, maar een levend instrument dat meegroeit met de organisatie en haar verwerkingen. Het is verstandig om de DPIA op te nemen in de reguliere beleidscyclus, zodat herziening structureel geborgd is en niet afhankelijk is van ad-hocmomenten.

Wat zijn de gevolgen als je geen DPIA uitvoert?

Als een organisatie nalaat een verplichte DPIA uit te voeren, kan de Autoriteit Persoonsgegevens een boete opleggen van maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Naast de financiële sanctie loopt de organisatie ook reputatieschade en operationele risico’s, omdat de onderliggende privacyrisico’s onbeheerst blijven.

De gevolgen zijn niet alleen financieel van aard. Wanneer een organisatie geen DPIA heeft uitgevoerd terwijl dat verplicht was, en er vervolgens een datalek of privacyincident optreedt, kan dit de aansprakelijkheid van de organisatie aanzienlijk vergroten. Betrokkenen kunnen schadevergoeding eisen als zij aantonen dat hun rechten zijn geschonden door een onzorgvuldige verwerking.

Voor overheidsorganisaties en organisaties die onder aanvullende regelgeving vallen, zoals NIS2, zijn de risico’s nog groter. NIS2 vereist dat organisaties aantoonbaar cybersecurityrisico’s beheersen en incidenten melden. Een ontbrekende DPIA kan bij een toezichtonderzoek als bewijs dienen dat de organisatie haar verplichtingen niet serieus neemt, wat kan leiden tot aanvullende handhavingsmaatregelen.

Tot slot is er het risico van reputatieschade. Klanten, partners en burgers verwachten dat organisaties zorgvuldig omgaan met persoonsgegevens. Een publiekelijk bekende overtreding van de DPIA-plicht kan het vertrouwen ernstig beschadigen, met langdurige gevolgen voor de relatie met stakeholders.

Hoe Q-Cyber helpt met DPIA en privacy compliance

Een DPIA uitvoeren vergt meer dan het invullen van een checklist. Het vraagt om inzicht in de technische architectuur van een verwerking, kennis van de toepasselijke wet- en regelgeving én het vermogen om risico’s concreet te vertalen naar beheersmaatregelen. Precies daar onderscheiden wij ons.

Wij ondersteunen organisaties bij het volledige DPIA-traject:

• Inventarisatie en scope: We brengen in kaart welke verwerkingen een DPIA vereisen en stellen prioriteiten op basis van risico
• Uitvoering van de DPIA: We begeleiden het proces van beschrijving tot risicobeoordeling en maatregeladvies, volledig in lijn met de AVG
• Beleidsvorming: We schrijven of herzien privacybeleid zodat het aansluit op de uitkomsten van de DPIA en voldoet aan geldende normen
• Koppeling met NIS2: We verbinden de DPIA-uitkomsten aan de bredere cybersecurity- en complianceverplichtingen van uw organisatie, waaronder NIS2
• Trainingen: We verzorgen trainingen voor bestuurders en medewerkers zodat privacy en beveiliging structureel zijn ingebed in de organisatie

Wij werken onafhankelijk, zonder binding aan softwarepartijen of andere toeleveranciers, zodat ons advies altijd in uw belang is. Wil je weten hoe we uw organisatie kunnen helpen? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat zijn de sancties bij niet-naleving van NIS2?

Geplaatst op: 3 juni 2026

Bij niet-naleving van de NIS2-richtlijn kunnen organisaties te maken krijgen met forse financiële boetes, operationele sancties en in ernstige gevallen persoonlijke aansprakelijkheid van bestuurders. Voor essentiële entiteiten lopen de boetes op tot maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet, voor belangrijke entiteiten tot 7 miljoen euro of 1,4%. De NIS2-sancties zijn daarmee bewust ontworpen om cybersecurity een boardroomprioriteit te maken. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-handhaving, boetes en wat u kunt doen om risico’s te beperken.

Hoe hoog zijn de boetes voor NIS2-overtredingen?

De hoogte van een NIS2-boete hangt af van de categorie waartoe een organisatie behoort. Essentiële entiteiten riskeren boetes tot maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet, waarbij het hoogste bedrag van de twee van toepassing is. Belangrijke entiteiten kunnen worden beboet tot maximaal 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.

Deze boeteplafonds gelden als maximumbedragen. In de praktijk zal een toezichthouder bij het bepalen van de hoogte van een boete rekening houden met de ernst van de overtreding, de mate van nalatigheid, de schade die is ontstaan en of de organisatie aantoonbaar stappen heeft gezet om te voldoen. Een eerste overtreding waarbij de organisatie direct corrigerende maatregelen neemt, zal doorgaans anders worden behandeld dan structurele noncompliance.

In Nederland wordt de NIS2-wetgeving omgezet via de Cyberbeveiligingswet (Cbw), waarvan de inwerkingtreding wordt verwacht in het tweede kwartaal van 2026. De boetebevoegdheden zijn daarin verankerd op basis van de Europese richtlijn. Organisaties die nu al investeren in NIS2-compliance verkleinen hun risico op sancties aanzienlijk zodra de wet van kracht wordt.

Welke toezichthouders handhaven de NIS2-richtlijn in Nederland?

In Nederland is de handhaving van de NIS2-richtlijn verdeeld over meerdere toezichthouders, afhankelijk van de sector. De Rijksinspectie Digitale Infrastructuur (RDI) is aangewezen als primaire toezichthouder voor de overheidssector, met uitzondering van waterschappen. Voor waterschappen is dat de Inspectie Leefomgeving en Transport (ILT).

Voor andere sectoren, zoals energie, transport, financiën en gezondheidszorg, zijn sectorspecifieke toezichthouders verantwoordelijk. Welke toezichthouder bevoegd is, hangt af van de sector waarin een organisatie actief is en of zij als essentieel of belangrijk wordt aangemerkt.

De RDI maakt bij het overheidstoezicht zo veel mogelijk gebruik van bestaande verantwoordingsstructuren om de administratieve lasten te beperken. Voor gemeenten betekent dit dat de ENSIA-methodiek als basis dient voor het NIS2-toezicht. Voor rijkspartijen zijn dat het jaarlijkse Informatiebeveiligingsbeeld van de Audit Dienst Rijk (ADR) en de rapportages van de Algemene Rekenkamer (ARK). De verwachting is dat naarmate overheidsorganisaties volwassener worden in hun informatiebeveiligingspraktijk, er minder actief toezicht nodig is.

Wat zijn de niet-financiële sancties bij NIS2-overtredingen?

Naast financiële boetes voorziet de NIS2-richtlijn ook in een reeks niet-financiële handhavingsmaatregelen. Deze kunnen worden ingezet als aanvulling op of alternatief voor boetes, afhankelijk van de ernst van de situatie en de mate van naleving.

De meest voorkomende niet-financiële sancties zijn:

• Bindende aanwijzingen: de toezichthouder verplicht een organisatie specifieke maatregelen te nemen binnen een bepaalde termijn.
• Bevelen tot naleving: een formele opdracht om te stoppen met een overtreding of om een bepaalde beveiligingsmaatregel te implementeren.
• Tijdelijke schorsing van diensten: in ernstige gevallen kan een toezichthouder een essentiële entiteit opdragen bepaalde activiteiten tijdelijk te staken totdat aan de vereisten is voldaan.
• Publicatie van de overtreding: de toezichthouder kan besluiten een overtreding openbaar te maken, wat reputatieschade tot gevolg kan hebben.
• Verplichte audits: een organisatie kan worden verplicht een onafhankelijke beveiligingsaudit te laten uitvoeren.

Niet-financiële sancties kunnen in de praktijk ingrijpender zijn dan een boete, zeker wanneer een tijdelijke schorsing of publicatie van een overtreding het vertrouwen van klanten, partners of burgers schaadt. De combinatie van reputatierisico en operationele verstoring maakt NIS2-compliance tot een strategisch vraagstuk.

Wanneer kan een bestuurder persoonlijk aansprakelijk worden gesteld?

De NIS2-richtlijn legt de verantwoordelijkheid voor cyberweerbaarheid expliciet bij het bestuur van een organisatie. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld wanneer er sprake is van grove nalatigheid bij ernstige cyberbeveiligingsincidenten die het gevolg zijn van het structureel negeren van verplichtingen.

Concreet betekent dit dat bestuurders geacht worden voldoende kennis te hebben van de cybersecurityrisico’s waarmee hun organisatie te maken heeft. De Cyberbeveiligingswet verplicht alle bestuursleden een training te volgen die hen leert beveiligingsrisico’s te herkennen, risicobeheersmaatregelen te beoordelen en de gevolgen van die risico’s voor de organisatie in te schatten. Bestuurders hebben na inwerkingtreding van de wet maximaal twee jaar om aan deze trainingsplicht te voldoen.

Een belangrijk onderscheid geldt voor overheidsorganisaties: de NIS2-bepaling over persoonlijke aansprakelijkheid van bestuurders bij niet-naleving is uitdrukkelijk niet van toepassing op overheidsinstanties. De Cyberbeveiligingswet brengt voor private organisaties geen nieuwe aansprakelijkheden met zich mee buiten wat al bestond: bestuurders konden al bij grove nalatigheid aansprakelijk worden gesteld op basis van het bestaande recht. NIS2 versterkt echter de normatieve verwachting en maakt het lastiger om onwetendheid als verweer aan te voeren.

Hoe verschilt NIS2-handhaving van de AVG-handhaving?

NIS2-handhaving en AVG-handhaving lijken op elkaar omdat beide Europese regelgeving betreffen met forse boetebevoegdheden, maar er zijn wezenlijke verschillen in focus, reikwijdte en handhavingssystematiek.

De AVG richt zich primair op de bescherming van persoonsgegevens en de rechten van betrokkenen. De handhaving is in Nederland belegd bij de Autoriteit Persoonsgegevens (AP), die optreedt bij datalekken en schendingen van privacyrechten. De boeteplafonds zijn hoger: tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.

NIS2 richt zich op de weerbaarheid van netwerk- en informatiesystemen van organisaties die kritieke of belangrijke diensten leveren. Het gaat niet uitsluitend om persoonsgegevens, maar om de continuïteit en veiligheid van systemen en processen. De handhaving is sectoraal georganiseerd en belegd bij meerdere toezichthouders, afhankelijk van de sector.

Een ander verschil is de proactieve aard van NIS2. Waar de AVG-handhaving vaak reactief is na een incident of klacht, voorziet NIS2 in actief toezicht op de naleving van de zorgplicht, ongeacht of er een incident heeft plaatsgevonden. Organisaties moeten kunnen aantonen dat zij structureel werken aan cyberbeveiliging. Beide wetten kunnen overigens tegelijk van toepassing zijn: een cyberincident waarbij persoonsgegevens zijn gelekt, kan leiden tot handhaving onder zowel de NIS2 als de AVG.

Hoe verklein je het risico op NIS2-sancties?

Het risico op NIS2-sancties verklein je door aantoonbaar en structureel te werken aan cyberbeveiliging, ruim voordat een toezichthouder aan de deur staat. De kern is niet perfecte beveiliging, maar een gedocumenteerde, risicogebaseerde aanpak die laat zien dat uw organisatie haar verplichtingen serieus neemt.

Concrete stappen die het risico significant verlagen:

1. Bepaal of uw organisatie onder NIS2 valt en of u als essentieel of belangrijk wordt aangemerkt. Gebruik hiervoor de NIS2 Zelfevaluatietool van de RVO.
2. Implementeer een risicogebaseerd beveiligingsbeleid dat minimaal de NIS2-zorgplicht dekt: toegangsbeheer, cryptografie, incidentrespons, bedrijfscontinuïteit en supply chain-beveiliging.
3. Stel een meldproces in voor cyberincidenten. NIS2 vereist dat significante incidenten binnen 24 uur worden gemeld bij de bevoegde autoriteit, met een vervolgmelding binnen 72 uur en een eindverslag binnen een maand.
4. Train uw bestuurders op de drie verplichte leerdoelen: risicoherkenning, beoordeling van maatregelen en impactbeoordeling.
5. Breng uw toeleveringsketen in kaart en toets de cybersecuritymaatregelen van uw leveranciers. De NIS2-zorgplicht vereist inzicht in de beveiligingspraktijken in uw keten.
6. Documenteer alles. Aantoonbaarheid is cruciaal: een toezichthouder beoordeelt niet alleen wat u doet, maar ook of u kunt bewijzen dat u het doet.

Voor overheidsorganisaties geldt dat naleving van de BIO2 een logisch en effectief startpunt is, omdat dit normenkader wettelijk wordt verankerd als sectoraal kader onder de Cyberbeveiligingswet. Wie de BIO2 al toepast, heeft een sterke basis voor NIS2-compliance.

Hoe Q-Cyber helpt met NIS2-compliance

NIS2 is complex, maar met de juiste begeleiding hoeft het niet overweldigend te zijn. Wij helpen organisaties stap voor stap richting aantoonbare compliance, zonder onnodige complexiteit en zonder binding aan softwarepartijen. Onze aanpak is pragmatisch, onafhankelijk en afgestemd op uw specifieke situatie.

Wat wij voor uw organisatie kunnen doen:

• Gap-analyse: we brengen in kaart waar uw organisatie nu staat ten opzichte van de NIS2-vereisten en welke stappen prioriteit hebben.
• Beleidsvorming: we schrijven cybersecuritybeleid op maat dat aansluit op de zorgplicht en uw risicoprofiel.
• Bestuurderstrainingen: we verzorgen trainingen die de drie verplichte leerdoelen dekken en bestuurders in staat stellen hun verantwoordelijkheid waar te maken.
• Technische toetsing: via penetratietesten en vulnerability scans toetsen we de technische weerbaarheid van uw systemen.
• Virtuele CISO: via Continuous-Q bieden we doorlopende begeleiding door een team van specialisten, zonder de kosten van een fulltime CISO.
• Supply chain-advies: we helpen u de cybersecuritymaatregelen van uw leveranciers in kaart te brengen en te borgen.

De Rijksoverheid adviseert organisaties om niet te wachten totdat de Cyberbeveiligingswet in werking treedt. De risico’s zijn er nu al, en wie nu in actie komt, staat straks aanzienlijk sterker. Neem contact op en ontdek hoe wij uw organisatie kunnen begeleiden naar NIS2-compliance.

Lees meer

Wat is een CISO en wat doet die precies?

Geplaatst op: 3 juni 2026

Een CISO, voluit Chief Information Security Officer, is de eindverantwoordelijke voor de informatiebeveiliging binnen een organisatie. De CISO bepaalt het cybersecuritybeleid, beheert risico’s en zorgt dat beveiliging structureel is ingebed in de bedrijfsvoering. In dit artikel beantwoorden we de meest gestelde vragen over de CISO-rol: van taken en bevoegdheden tot de vraag wanneer jouw organisatie er een nodig heeft.

Welke verantwoordelijkheden heeft een CISO binnen een organisatie?

Een CISO is verantwoordelijk voor het volledige informatiebeveiligingsbeleid van een organisatie. Dat betekent: risico’s identificeren, beveiligingsmaatregelen bepalen, incidenten managen en ervoor zorgen dat cybersecurity aansluit op de bedrijfsdoelstellingen. De CISO rapporteert doorgaans rechtstreeks aan de directie of het bestuur en maakt beveiliging bespreekbaar op het hoogste niveau.

De dagelijkse taken van een CISO zijn breed en omvatten zowel technische als organisatorische aspecten. Concreet gaat het om verantwoordelijkheden zoals:

• Het opstellen en bewaken van het informatiebeveiligingsbeleid
• Het uitvoeren van risicoanalyses en het prioriteren van beveiligingsmaatregelen
• Het aansturen van beveiligingsincidenten en crisisrespons
• Het borgen van compliance met wet- en regelgeving, zoals NIS2 en andere cyberwetgeving
• Het trainen en bewust maken van medewerkers op het gebied van cybersecurity
• Het bewaken van de beveiliging in de toeleveringsketen
• Het rapporteren aan bestuur en directie over de actuele beveiligingsstatus

Wat de CISO-rol onderscheidt van andere beveiligingsfuncties, is de strategische positie. Een CISO denkt niet alleen in technische oplossingen, maar vertaalt cyberdreigingen naar bedrijfsrisico’s die het bestuur begrijpt en waarop het kan acteren. Dat maakt de functie bij uitstek een brugfunctie tussen de technische wereld en de boardroom.

Onder regelgeving zoals de NIS2-richtlijn wordt van bestuurders verwacht dat zij voldoende kennis hebben om weloverwogen beslissingen te nemen over informatiebeveiliging. De CISO speelt hierin een sleutelrol: hij of zij zorgt dat het bestuur de juiste informatie krijgt om die verantwoordelijkheid waar te kunnen maken.

Wat is het verschil tussen een CISO en een IT-manager?

Het belangrijkste verschil tussen een CISO en een IT-manager is het focusgebied. Een IT-manager is verantwoordelijk voor de beschikbaarheid en werking van IT-systemen, terwijl een CISO verantwoordelijk is voor de beveiliging van informatie en de bijbehorende risico’s. De IT-manager beheert de infrastructuur; de CISO bewaakt wat er met de data en systemen kan misgaan.

In de praktijk werken beide rollen nauw samen, maar ze hebben fundamenteel andere verantwoordelijkheden:

• IT-manager: zorgt dat systemen draaien, beheert netwerken, servers en applicaties, en lost technische problemen op
• CISO: bepaalt het beveiligingsbeleid, identificeert risico’s, bewaakt compliance en rapporteert aan de directie over dreigingen

Een veelgemaakte fout is dat organisaties de cybersecurityverantwoordelijkheid volledig bij de IT-manager leggen. Dat is begrijpelijk in een vroeg stadium, maar brengt risico’s mee. Een IT-manager heeft doorgaans de focus op operationele continuïteit, niet op het bredere risicobeheer dat bij een CISO-rol hoort. Bovendien kan er een belangenconflict ontstaan: snelheid en beschikbaarheid staan soms op gespannen voet met strikte beveiligingsmaatregelen.

Naarmate organisaties groeien of te maken krijgen met strengere regelgeving, wordt het steeds belangrijker om deze rollen te scheiden of in ieder geval duidelijk te definiëren wie de eindverantwoordelijkheid draagt voor informatiebeveiliging.

Wanneer heeft een organisatie een CISO nodig?

Een organisatie heeft een CISO nodig zodra cybersecurity niet langer ad hoc kan worden beheerd, maar structureel beleid en aansturing vereist. Dat moment verschilt per organisatie, maar er zijn duidelijke signalen die aangeven dat de stap naar een dedicated CISO of gelijkwaardige rol noodzakelijk is.

Overweeg een CISO wanneer één of meer van de volgende situaties van toepassing zijn:

• De organisatie valt onder wet- en regelgeving zoals NIS2 of sectorspecifieke beveiligingsnormen
• Er worden grote hoeveelheden gevoelige of persoonsgebonden gegevens verwerkt
• De organisatie heeft te maken gehad met een beveiligingsincident of datalek
• Klanten of partners stellen eisen aan aantoonbare cybersecuritymaatregelen
• De IT-omgeving is complex geworden door groei, cloud-adoptie of digitale transformatie
• Het bestuur wil cybersecurity actief kunnen sturen en verantwoorden

Voor kleinere organisaties is een voltijdse CISO vaak niet haalbaar of noodzakelijk. Toch geldt ook voor hen dat iemand de beveiligingsverantwoordelijkheid moet dragen. In zulke gevallen biedt een virtuele CISO een praktisch alternatief, waarbij expertise op maat wordt ingehuurd zonder de kosten van een fulltime aanstelling.

Wat is een virtuele CISO en hoe werkt dat?

Een virtuele CISO, ook wel vCISO genoemd, is een externe cybersecurityspecialist die de CISO-taken op parttime of projectbasis invult voor een organisatie. De vCISO biedt dezelfde strategische begeleiding, beleidsvorming en risicobeheer als een interne CISO, maar zonder de kosten en verplichtingen van een fulltime functie.

Een virtuele CISO werkt doorgaans op vaste basis samen met de organisatie, bijvoorbeeld een aantal dagen per maand. In die tijd:

• Beoordeelt de vCISO de actuele beveiligingsstatus en risico’s
• Stelt hij of zij beleid op en bewaakt de implementatie daarvan
• Adviseert de vCISO het bestuur over prioriteiten en investeringen
• Begeleidt de vCISO compliance-trajecten, zoals voorbereiding op NIS2
• Treedt de vCISO op als aanspreekpunt bij beveiligingsincidenten

Het grote voordeel van een virtuele CISO is de combinatie van brede expertise en flexibiliteit. Omdat een vCISO voor meerdere organisaties werkt, brengt hij of zij kennis mee uit verschillende sectoren en situaties. Dat levert een breder perspectief op dan een interne medewerker die alleen de eigen organisatie kent.

Voor organisaties die wel behoefte hebben aan strategische cybersecuritybegeleiding maar (nog) niet de omvang hebben voor een fulltime CISO, is de virtuele variant een effectieve en betaalbare oplossing. Bekijk hoe een vCISO-dienst in de praktijk werkt.

Welke opleiding en achtergrond heeft een CISO doorgaans?

Een CISO heeft doorgaans een achtergrond in informatica, informatiebeveiliging of een aanverwante technische richting, aangevuld met ruime werkervaring in IT en security. Daarnaast zijn managementvaardigheden en kennis van wet- en regelgeving steeds belangrijker geworden voor iedereen die de CISO-rol serieus invult.

Er bestaat geen vaste route naar het CISO-vak, maar een aantal elementen komt bij de meeste ervaren CISO’s terug:

Technische basis

De meeste CISO’s zijn begonnen in een technische IT-rol, zoals systeembeheer, netwerkbeveiliging of softwareontwikkeling. Die praktijkervaring is waardevol omdat het helpt om dreigingen en kwetsbaarheden op een realistisch niveau in te schatten. Zonder technische fundering is het lastig om beveiligingsmaatregelen te beoordelen of te prioriteren.

Certificeringen en kennis van regelgeving

Naast een formele opleiding zijn erkende certificeringen een belangrijk onderdeel van het profiel. Veelgenoemde certificeringen zijn CISSP (Certified Information Systems Security Professional), CISM (Certified Information Security Manager) en ISO 27001 Lead Implementer. Daarnaast wordt van een CISO verwacht dat hij of zij de relevante wet- en regelgeving goed begrijpt, zoals de NIS2-richtlijn, de AVG en sectorspecifieke normen.

Naast de technische en juridische kennis vraagt de CISO-rol steeds meer om zachte vaardigheden: communiceren met bestuurders, draagvlak creëren voor beveiligingsmaatregelen en medewerkers bewust maken van risico’s. Een CISO die alleen technisch sterk is maar niet kan uitleggen waarom beveiliging belangrijk is voor de business, mist een cruciaal deel van de functie.

Voor organisaties die op zoek zijn naar een CISO, is het dan ook verstandig om niet alleen te kijken naar technische kennis, maar ook naar communicatieve vaardigheden, strategisch inzicht en ervaring met beleidsvorming.

Hoe Q-Cyber helpt met de CISO-rol in jouw organisatie

Niet elke organisatie heeft de middelen of de behoefte aan een fulltime CISO, maar iedereen heeft wel behoefte aan iemand die de beveiligingsverantwoordelijkheid serieus neemt. Wij bieden daar een concrete oplossing voor, afgestemd op de schaal en het risicoprofiel van jouw organisatie.

Wat wij voor je kunnen doen:

• Virtuele CISO-diensten: via ons Continuous-Q programma leveren wij een team van specialisten dat als vCISO fungeert, beleid schrijft, risico’s beheert en het bestuur adviseert
• NIS2-begeleiding: wij voeren gap-analyses uit, schrijven beleid op maat en begeleiden het volledige compliance-traject
• Trainingen voor bestuurders: wij verzorgen trainingen die bestuurders in staat stellen hun verantwoordelijkheid onder NIS2 waar te maken
• Onafhankelijk advies: wij zijn niet gebonden aan softwarepartijen of leveranciers, waardoor ons advies altijd in jouw belang is
• Pentests en vulnerability scans: wij testen de kwetsbaarheden in jouw omgeving zodat de CISO of het bestuur weet waar de prioriteiten liggen

Of je nu op zoek bent naar structurele begeleiding of een eenmalige beoordeling van je beveiligingspositie: wij denken graag met je mee. Neem contact op en ontdek wat wij voor jouw organisatie kunnen betekenen.

Lees meer

Wat zijn de NIS2-eisen voor toegangsbeheer?

Geplaatst op: 2 juni 2026

De NIS2-eisen voor toegangsbeheer verplichten organisaties om passende technische en organisatorische maatregelen te nemen die de toegang tot netwerken en informatiesystemen beperken tot bevoegde gebruikers. Concreet gaat het om beleid voor toegangscontrole, het gebruik van multi-factorauthenticatie en het beheer van bevoorrechte toegangsrechten. Dit artikel beantwoordt de meest gestelde vragen over NIS2-toegangsbeheer, van de specifieke eisen tot de eerste stappen richting compliance.

Welke specifieke maatregelen schrijft NIS2 voor op het gebied van toegangsbeheer?

NIS2 schrijft voor dat organisaties beveiligingsmaatregelen voor personeel en toegangsbeveiliging implementeren, inclusief het gebruik van multi-factorauthenticatie of continue authenticatie. Toegangsbeheer is daarmee een expliciet onderdeel van de zorgplicht: organisaties moeten aantoonbaar regelen wie toegang heeft tot welke systemen, onder welke voorwaarden en op basis van welk beleid.

De NIS2-richtlijn, en de Nederlandse uitwerking daarvan in de Cyberbeveiligingswet, benoemt de volgende minimummaatregelen die direct raken aan toegangsbeheer:

• Beleid voor risicoanalyse en beveiliging van informatiesystemen: toegangsrechten moeten worden bepaald op basis van een risicoafweging
• Beveiligingsmaatregelen voor personeel en toegangsbeveiliging: denk aan het principe van least privilege, functiescheiding en periodieke toegangsreviews
• Multi-factorauthenticatie (MFA) of continue authenticatie: dit is een expliciete minimummaatregel onder NIS2
• Beveiliging van netwerk- en informatiesystemen bij verwerving, ontwikkeling en onderhoud: toegangsrechten moeten ook bij systeemwijzigingen worden getoetst
• Beleid en procedures voor cryptografie en encryptie: versleuteling beschermt gegevens ook wanneer toegangscontroles falen

De concrete invulling van deze maatregelen is gelaagd geregeld: de Cyberbeveiligingswet stelt de hoofdlijnen vast, het Cyberbeveiligingsbesluit werkt deze nader uit, en sectorspecifieke ministeriële regelingen geven verdere invulling. Voor overheidsorganisaties geldt de Baseline Informatiebeveiliging Overheid 2 (BIO2) als normenkader, dat goed aansluit op de NIS2-vereisten voor toegangscontrole.

Voor welke organisaties gelden de NIS2-eisen voor toegangsbeheer?

De NIS2-eisen voor toegangsbeheer gelden voor alle organisaties die onder de Cyberbeveiligingswet vallen: zowel essentiële als belangrijke entiteiten. In Nederland gaat het om meer dan 10.000 organisaties die direct onder NIS2 vallen, en naar schatting 50.000 bedrijven die aan deze groep leveren, krijgen eveneens met de richtlijn te maken wanneer er sprake is van risico’s in de toeleveringsketen.

De volgende overheidsorganisaties vallen automatisch onder de wet en daarmee onder de NIS2-eisen voor toegangsbeheer:

• Ministeries, inclusief diensten en agentschappen
• Provincies
• Gemeenten
• Waterschappen
• Zelfstandige bestuursorganen (ZBO’s) die onder de Kaderwet ZBO’s vallen

Naast de publieke sector vallen ook organisaties in sectoren zoals energie, transport, gezondheidszorg, digitale infrastructuur en financiële dienstverlening onder de wet. Het onderscheid tussen essentiële en belangrijke entiteiten zit primair in de intensiteit van het toezicht, niet in de inhoud van de verplichtingen. Beide categorieën moeten NIS2 identity management en toegangscontrole aantoonbaar op orde hebben.

Organisaties zijn zelf verantwoordelijk voor het bepalen of zij onder de Cyberbeveiligingswet vallen. Hulpmiddelen hiervoor zijn de NIS2 Zelfevaluatietool van de Rijksoverheid en de Flowchart Registratieplicht van het NCSC.

Wat is het verschil tussen toegangsbeheer onder NIS2 en de AVG?

Toegangsbeheer onder NIS2 richt zich op de beschikbaarheid, integriteit en continuïteit van netwerken en informatiesystemen als geheel, terwijl de AVG toegangsbeheer primair benadert vanuit de bescherming van persoonsgegevens. NIS2 heeft een bredere scope: het gaat niet alleen om persoonsgegevens, maar om alle informatie en systemen die kritiek zijn voor de dienstverlening van een organisatie.

In de praktijk zijn er belangrijke overeenkomsten: beide kaders vereisen dat toegang tot gegevens en systemen wordt beperkt tot bevoegde personen, dat toegangsrechten worden gedocumenteerd en dat er maatregelen zijn om onbevoegde toegang te detecteren en te voorkomen. Maar er zijn ook wezenlijke verschillen:

• Scope: de AVG beschermt persoonsgegevens; NIS2 beschermt de volledige netwerk- en informatieinfrastructuur
• Risicobeoordeling: NIS2 vereist een brede risicoanalyse van de gehele organisatie; de AVG focust op gegevensverwerkingsrisico’s
• MFA-verplichting: NIS2 benoemt multi-factorauthenticatie expliciet als minimummaatregel; de AVG doet dat niet
• Toezichthouder: de AVG wordt gehandhaafd door de Autoriteit Persoonsgegevens; NIS2-toezicht ligt bij de Rijksinspectie Digitale Infrastructuur (RDI) of de Inspectie Leefomgeving en Transport (ILT)
• Meldplicht: NIS2 verplicht melding van significante cyberincidenten binnen 24 uur; de AVG schrijft melding van datalekken voor binnen 72 uur

Voor organisaties die aan beide kaders moeten voldoen, is het verstandig toegangsbeheer integraal in te richten: maatregelen die voldoen aan de strengere NIS2-eisen voor toegangscontrole dekken doorgaans ook de AVG-vereisten op dit vlak af.

Hoe verschilt privileged access management van gewoon toegangsbeheer?

Gewoon toegangsbeheer regelt wie toegang heeft tot welke systemen en gegevens op basis van iemands rol. Privileged Access Management (PAM) gaat een stap verder: het richt zich specifiek op het beheren en bewaken van accounts met verhoogde rechten, zoals systeembeheerders, database-administrators en andere gebruikers die kritieke systemen kunnen wijzigen, uitschakelen of uitlezen.

Het onderscheid is relevant voor NIS2 compliance toegangsbeheer, omdat bevoorrechte accounts een disproportioneel hoog risico vormen. Een aanvaller die een gewoon gebruikersaccount overneemt, kan slechts beperkte schade aanrichten. Een aanvaller die een beheerdersaccount compromitteert, kan systemen platleggen, back-ups verwijderen of de volledige infrastructuur overnemen.

PAM omvat doorgaans de volgende elementen die verder gaan dan standaard NIS2 toegangscontrole:

• Just-in-time toegang: beheerdersrechten worden alleen verleend op het moment dat ze nodig zijn en daarna automatisch ingetrokken
• Sessieregistratie: alle handelingen van bevoorrechte gebruikers worden gelogd en kunnen worden geauditeerd
• Wachtwoordkluis: beheerdersaccounts gebruiken unieke, roterende wachtwoorden die centraal worden beheerd
• Goedkeuringsworkflows: toegang tot kritieke systemen vereist voorafgaande toestemming

NIS2 vereist niet expliciet een PAM-systeem bij naam, maar de zorgplicht en de eis van passende technische maatregelen maken PAM voor grotere organisaties met complexe IT-omgevingen in de praktijk een logische en noodzakelijke maatregel.

Wat zijn de gevolgen van onvoldoende toegangsbeheer onder NIS2?

Onvoldoende NIS2 toegangsbeheer kan leiden tot boetes van maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4% van de jaaromzet voor belangrijke entiteiten. Bovendien kan het senior management persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen, wat cybersecurity tot een directe bestuursverantwoordelijkheid maakt.

Naast de financiële gevolgen zijn er operationele en reputatierisico’s. Zwak toegangsbeheer is een van de meest voorkomende oorzaken van succesvolle cyberaanvallen: gestolen inloggegevens, te brede toegangsrechten en het ontbreken van MFA maken het aanvallers aanzienlijk gemakkelijker om systemen te compromitteren. Als zo’n incident leidt tot verstoring van de dienstverlening, geldt bovendien de meldplicht: een significante verstoring moet binnen 24 uur worden gemeld bij het NCSC.

Voor overheidsorganisaties geldt dat de Rijksinspectie Digitale Infrastructuur (RDI) toezicht houdt op naleving. Hoewel de aansprakelijkheidsbepaling voor bestuurders uitdrukkelijk niet van toepassing is op overheidsinstanties, blijft de politieke leiding verantwoordelijk voor de cyberweerbaarheid van de organisatie. Onvoldoende toegangscontrole kan daarmee ook politieke en bestuurlijke gevolgen hebben.

Hoe begin je met het verbeteren van toegangsbeheer voor NIS2-compliance?

Begin met een risicogebaseerde inventarisatie: breng in kaart welke systemen, gegevens en processen het meest kritiek zijn voor uw dienstverlening, en bepaal vervolgens wie daar nu toegang toe heeft en of dat gerechtvaardigd is. Vanuit die basis bouwt u stapsgewijs naar NIS2-compliant toegangsbeheer.

Een praktische aanpak in stappen:

1. Voer een toegangsaudit uit: inventariseer alle accounts, rechten en rollen in uw organisatie en identificeer overbodige of te brede toegangsrechten
2. Implementeer het least privilege-principe: gebruikers krijgen alleen de toegang die ze nodig hebben voor hun functie, niet meer
3. Activeer multi-factorauthenticatie: MFA is een expliciete NIS2-minimummaatregel en een van de meest effectieve basismaatregelen
4. Stel een toegangsbeleid op: documenteer wie toegang heeft tot welke systemen, hoe rechten worden verleend en ingetrokken, en hoe periodieke reviews plaatsvinden
5. Voer regelmatige toegangsreviews in: controleer periodiek of toegangsrechten nog actueel en gerechtvaardigd zijn, zeker bij functiewijzigingen en uitdiensttreding
6. Pak bevoorrechte accounts apart aan: implementeer extra controles voor beheerders- en serviceaccounts
7. Train medewerkers en bestuurders: de Cyberbeveiligingswet verplicht bestuurders een training te volgen over beveiligingsrisico’s en risicobeheersmaatregelen

Voor organisaties die nog aan het begin staan, biedt de BIO2 een goed startpunt: dit normenkader sluit nauw aan op de NIS2-zorgplicht en dekt een groot deel van de vereisten voor NIS2 identity management en toegangscontrole af. Een gap-analyse helpt u snel inzicht te krijgen in waar uw organisatie nu staat en welke stappen prioriteit verdienen.

Hoe Q-Cyber helpt met NIS2 toegangsbeheer

Wij begeleiden organisaties bij het volledig NIS2-compliant inrichten van toegangsbeheer: van de eerste inventarisatie tot het schrijven van beleid en het uitvoeren van technische tests. Onze aanpak is pragmatisch, onafhankelijk en volledig afgestemd op uw specifieke risicoprofiel.

Wat wij concreet voor u doen:

• Gap-analyse toegangsbeheer: we brengen in kaart waar uw huidige toegangscontrole tekortschiet ten opzichte van de NIS2-eisen
• Beleidsschrijving: we stellen een toegangsbeleid op dat voldoet aan de zorgplicht van de Cyberbeveiligingswet
• Technisch testen: via penetratietesten en vulnerability scans testen we of uw toegangsbeveiliging in de praktijk standhoudt
• Virtuele CISO: via Continuous-Q bieden we doorlopende begeleiding door een team van specialisten, inclusief NIS2-monitoring en advies
• Bestuurderstraining: we verzorgen trainingen die voldoen aan de trainingsplicht van de Cyberbeveiligingswet
• Onafhankelijk advies: we zijn niet gebonden aan softwarepartijen of leveranciers, zodat ons advies altijd in uw belang is

Wacht niet tot de Cyberbeveiligingswet in werking treedt. De risico’s zijn er nu al, en wie nu begint, is straks aantoonbaar beter voorbereid. Neem contact op en ontdek hoe wij uw organisatie verder helpen.

Lees meer

Hoe bereid je jouw bedrijf voor op NIS2?

Geplaatst op: 2 juni 2026

Je bedrijf voorbereiden op NIS2 begint met weten of je eronder valt, gevolgd door het in kaart brengen van de verplichtingen en het stap voor stap invoeren van de juiste maatregelen. De NIS2-richtlijn is inmiddels omgezet in de Nederlandse Cyberbeveiligingswet, waarvan de inwerkingtreding wordt verwacht in het tweede kwartaal van 2026. In dit artikel beantwoorden we de meest gestelde vragen over NIS2 compliance, van reikwijdte tot concrete voorbereiding.

Geldt de NIS2-richtlijn ook voor mijn bedrijf?

De NIS2-richtlijn geldt voor organisaties in sectoren die als essentieel of belangrijk worden beschouwd voor de samenleving. In Nederland vallen naar schatting ruim 10.000 organisaties direct onder de wet, en nog eens circa 50.000 bedrijven die aan deze groep leveren, kunnen indirect met de vereisten te maken krijgen via de supply chain.

Of jouw bedrijf onder de NIS2-regelgeving valt, hangt af van de sector waarin je actief bent en de omvang van je organisatie. Sectoren zoals energie, transport, drinkwater, digitale infrastructuur, gezondheidszorg, financiën en overheid vallen automatisch onder de wet. Voor middelgrote en grote ondernemingen in deze sectoren geldt een directe verplichting.

Overheidsorganisaties vormen een aparte categorie. Gemeenten, provincies, waterschappen en ministeries worden automatisch als essentiële entiteit aangemerkt, ongeacht hun omvang. Het omvangscriterium dat voor commerciële organisaties geldt, is uitdrukkelijk niet van toepassing op overheidsinstanties.

Ben je niet zeker of jouw organisatie eronder valt? Je kunt dit zelf nagaan via de NIS2 Zelfevaluatietool op regelhulpenvoorbedrijven.nl of de Flowchart Registratieplicht van het NCSC. Organisaties zijn zelf verantwoordelijk voor het bepalen of zij onder de Cyberbeveiligingswet vallen.

Wat zijn de concrete verplichtingen onder NIS2?

Organisaties die onder de NIS2-richtlijn vallen, hebben drie hoofdverplichtingen: een zorgplicht, een meldplicht en een registratieplicht. Daarnaast geldt een trainingsplicht voor bestuurders. Samen vormen deze verplichtingen de kern van wat NIS2 compliance in de praktijk betekent.

Zorgplicht: passende beveiligingsmaatregelen

De zorgplicht verplicht organisaties om passende technische en organisatorische maatregelen te nemen om de continuïteit van hun dienstverlening te borgen. Dit is geen vrijblijvende aanbeveling, maar een wettelijke verplichting die gebaseerd is op een risicoanalyse. De minimummaatregelen omvatten onder andere:

• Beleid voor risicoanalyse en beveiliging van informatiesystemen
• Maatregelen voor bedrijfscontinuïteit en crisisbeheer
• Beveiliging van de toeleveringsketen (supply chain security)
• Gebruik van multi-factorauthenticatie
• Beleid voor cryptografie en encryptie
• Beveiligingsmaatregelen voor personeel en toegangsbeheer

Meldplicht: incidenten tijdig rapporteren

Significante cyberincidenten moeten worden gemeld bij het NCSC. De procedure bestaat uit drie stappen: een vroegtijdige waarschuwing binnen 24 uur na ontdekking, een aanvullende melding binnen 72 uur, en een eindverslag uiterlijk één maand na het incident. Een incident is meldingswaardig als het de continuïteit van de dienstverlening aanzienlijk kan verstoren.

Registratieplicht en trainingsplicht

Organisaties die onder de wet vallen, moeten zich registreren in het entiteitenregister van het NCSC. Daarnaast verplicht de Cyberbeveiligingswet alle bestuurders om een training te volgen over het herkennen en beoordelen van beveiligingsrisico’s. Bestuurders hebben na inwerkingtreding maximaal twee jaar om aan deze trainingsplicht te voldoen.

Wat gebeurt er als je niet voldoet aan NIS2?

Organisaties die niet voldoen aan de NIS2-vereisten riskeren aanzienlijke boetes. Essentiële entiteiten kunnen worden beboet tot maximaal 10 miljoen euro of 2% van hun wereldwijde jaaromzet. Voor belangrijke entiteiten liggen de maximumboetes op 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.

Naast financiële sancties is er een bestuurlijke dimensie. De NIS2-richtlijn legt de verantwoordelijkheid voor cyberweerbaarheid expliciet bij het bestuur van een organisatie. Bestuurders moeten voldoende kennis hebben om weloverwogen beslissingen te nemen over informatiebeveiliging. Bij grove nalatigheid kunnen bestuurders persoonlijk aansprakelijk worden gesteld, wat cybersecurity tot een echte boardroomkwestie maakt.

Het toezicht voor de meeste organisaties wordt uitgeoefend door de Rijksinspectie Digitale Infrastructuur (RDI). Voor waterschappen is dat de Inspectie Leefomgeving en Transport (ILT). De toezichthouders maken waar mogelijk gebruik van bestaande verantwoordingsstructuren, zoals de ENSIA-methodiek voor gemeenten, om de administratieve lasten te beperken.

Hoe begin je met de voorbereiding op NIS2?

De voorbereiding op NIS2 begint met het bepalen of je organisatie onder de wet valt, gevolgd door een grondige analyse van de huidige staat van je informatiebeveiliging. Wie nu begint, heeft een voorsprong en voorkomt dat cybersecurity een crisisproject wordt in plaats van een gestructureerd traject.

Een praktische aanpak bestaat uit de volgende stappen:

1. Bepaal je status: Gebruik de zelfevaluatietool of de NCSC-flowchart om vast te stellen of je organisatie onder de Cyberbeveiligingswet valt en als essentieel of belangrijk wordt aangemerkt.
2. Voer een gap-analyse uit: Breng in kaart welke maatregelen al aanwezig zijn en waar de grootste tekortkomingen zitten ten opzichte van de NIS2-vereisten.
3. Stel een risicobeoordeling op: De zorgplicht is gebaseerd op risicobeheer. Een gedegen risicoanalyse vormt de basis voor alle vervolgstappen.
4. Registreer je organisatie: Vrijwillige registratie bij het NCSC is al mogelijk. Door vroeg te registreren ontvang je informatie over actuele cyberdreigingen.
5. Informeer het bestuur: Betrek bestuurders actief bij het traject en zorg dat zij de trainingsplicht serieus nemen.

Het NCSC biedt op zijn overzichtspagina over de Cyberbeveiligingswet diverse hulpmiddelen aan, waaronder checklists, infosheets en een doorverwijsboom om de juiste stappen te zetten.

Welke maatregelen moet je als eerste invoeren?

De maatregelen die je als eerste moet invoeren zijn de basismaatregelen die de grootste risico’s direct verkleinen: een actuele risicoanalyse, multi-factorauthenticatie, een incidentresponsplan en beleid voor toegangsbeheer. Dit zijn de fundamenten waarop alle verdere NIS2-voorbereiding wordt gebouwd.

Prioriteer de maatregelen op basis van je risicoanalyse, maar houd rekening met de volgende aandachtspunten die als minimumvereisten gelden onder de cybersecuritywetgeving:

• Multi-factorauthenticatie: Dit is een van de meest effectieve basismaatregelen en staat expliciet in de NIS2-minimumvereisten vermeld.
• Incidentresponsproces: Zonder een werkend meldproces kun je niet voldoen aan de meldplicht. Stel dit vroeg in het traject op.
• Supply chain beveiliging: Breng in kaart welke leveranciers toegang hebben tot jouw systemen en welke risico’s dat met zich meebrengt.
• Bedrijfscontinuïteitsplan: Zorg dat je weet wat je doet als een aanval toch succesvol is. Back-upbeleid en herstelplannen zijn essentieel.
• Beleid voor informatiebeveiliging: Documenteer je aanpak. NIS2 vereist niet alleen dat je maatregelen neemt, maar ook dat je kunt aantonen dat je dit gestructureerd doet.

Voor een diepgaandere technische toetsing van je huidige beveiligingsniveau kan een penetratietest waardevolle inzichten opleveren in de kwetsbaarheden die als eerste moeten worden aangepakt.

Wanneer moet je NIS2-klaar zijn?

De inwerkingtreding van de Nederlandse Cyberbeveiligingswet wordt verwacht in het tweede kwartaal van 2026. Het wetsvoorstel is op 4 juni 2025 ingediend bij de Tweede Kamer. Organisaties die onder de wet vallen, moeten vanaf de inwerkingtreding direct aan de verplichtingen voldoen.

De Rijksoverheid adviseert expliciet om niet af te wachten totdat de wet in werking treedt. De risico’s waar NIS2 op inspeelt bestaan namelijk al. Organisaties die nu beginnen met hun NIS2-voorbereiding, bouwen stap voor stap aan een solide basis en voorkomen dat zij bij inwerkingtreding in tijdnood komen.

Voor bestuurders geldt een uitzondering op de directe verplichting: zij hebben na inwerkingtreding maximaal twee jaar om de verplichte training te voltooien. Dit neemt echter niet weg dat het verstandig is om bestuurders nu al te betrekken bij het beveiligingsbeleid van de organisatie.

Hoe Q-Cyber helpt met NIS2 voorbereiding

Q-Cyber begeleidt organisaties door het volledige NIS2-traject, van de eerste gap-analyse tot en met de implementatie van beleid en technische maatregelen. Wij combineren diepgaande technische kennis met beleidsexpertise, zodat je niet alleen voldoet aan de wet, maar ook daadwerkelijk weerbaarder wordt.

Wat wij concreet voor je doen:

• Gap-analyse: We brengen in kaart waar jouw organisatie nu staat ten opzichte van de NIS2-vereisten en welke stappen prioriteit hebben.
• Beleidsvorming: We schrijven informatiebeveiligingsbeleid op maat, afgestemd op jouw sector en risicoprofiel.
• Bestuurderstrainingen: We verzorgen trainingen voor het management, zodat bestuurders voldoen aan de trainingsplicht en cybersecurity begrijpen als strategisch vraagstuk.
• Technisch testen: Via vulnerability scans en pentests toetsen we de technische weerbaarheid van je systemen.
• Virtuele CISO: Via Continuous-Q bieden we doorlopende begeleiding door een team van specialisten, zonder dat je een fulltime CISO in dienst hoeft te nemen.
• Onafhankelijk advies: We werken zonder binding aan softwarepartijen of leveranciers, zodat ons advies altijd in jouw belang is.

Wil je weten waar jouw organisatie staat en hoe je de NIS2-voorbereiding het beste kunt aanpakken? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer