Wat is het verschil tussen een essentiële en belangrijke entiteit bij NIS2?

Geplaatst op: 27 september 2026

Het verschil tussen een essentiële en belangrijke entiteit bij NIS2 zit in de omvang van de organisatie, de sector waarin zij actief is, en de kritikaliteit van de diensten die zij levert. Essentiële entiteiten zijn doorgaans grote organisaties in sectoren die direct van invloed zijn op de samenleving, terwijl belangrijke entiteiten een bredere groep middelgrote en grote organisaties omvatten in aanvullende sectoren. De classificatie bepaalt welke verplichtingen gelden en hoe streng het toezicht is. In dit artikel beantwoorden we de meest gestelde vragen over de NIS2-classificatie, zodat je precies weet waar jouw organisatie staat.

Welke criteria bepalen of een organisatie essentieel of belangrijk is?

Of een organisatie als essentiële of belangrijke entiteit wordt aangemerkt, hangt af van drie factoren: de sector, de omvang van de organisatie en de aard van de geleverde diensten. Essentiële entiteiten zijn grote organisaties in sectoren die als kritiek worden beschouwd. Belangrijke entiteiten zijn middelgrote of grote organisaties in een bredere set sectoren die minder direct kritiek zijn, maar wel relevant voor de samenleving.

Concreet gelden de volgende maatstaven voor omvang onder de NIS2-richtlijn en de Nederlandse Cyberbeveiligingswet:

• Essentiële entiteit: een organisatie met meer dan 250 medewerkers, een jaaromzet van meer dan 50 miljoen euro of een balanstotaal van meer dan 43 miljoen euro, actief in een van de aangewezen kritieke sectoren.
• Belangrijke entiteit: een organisatie met meer dan 50 medewerkers of een jaaromzet en balanstotaal van meer dan 10 miljoen euro, actief in een van de sectoren die onder NIS2 vallen maar niet als kritiek zijn aangemerkt. Middelgrote organisaties in kritieke sectoren kunnen ook als belangrijke entiteit worden geclassificeerd.

Overheidsinstanties vormen een aparte categorie. Ministeries, provincies, gemeenten en waterschappen vallen automatisch onder de wet en worden doorgaans als essentiële entiteit aangemerkt. Voor zelfstandige bestuursorganen (ZBO’s) en gemeenschappelijke regelingen moet per geval worden beoordeeld of zij aan de vier wettelijke criteria voldoen, zoals rechtspersoonlijkheid, publieke financiering en de bevoegdheid om bestuursrechtelijke besluiten te nemen.

Wat zijn de sectoren die vallen onder essentiële entiteiten?

Essentiële entiteiten zijn actief in sectoren die als hoog-kritiek worden beschouwd onder de NIS2-richtlijn. Dit zijn sectoren waarvan de verstoring direct grote gevolgen heeft voor de openbare veiligheid, de volksgezondheid of de economie van een land.

De sectoren die vallen onder essentiële entiteiten zijn:

• Energie (elektriciteit, aardgas, olie, warmte en waterstof)
• Transport (luchtvaart, spoor, scheepvaart en wegvervoer)
• Bankwezen en financiële marktinfrastructuur
• Gezondheidszorg (ziekenhuizen, laboratoria, farmaceutische industrie)
• Drinkwater en afvalwater
• Digitale infrastructuur (internetknooppunten, DNS-dienstverleners, cloudproviders, datacenters)
• ICT-dienstverlening (beheerde beveiligingsdiensten)
• Ruimtevaart
• Overheidsinstanties

Sectoren die vallen onder belangrijke entiteiten zijn onder meer post- en koeriersdiensten, afvalverwerking, chemische industrie, voedselproductie, de maakindustrie van bepaalde kritieke producten en digitale aanbieders zoals online marktplaatsen en zoekmachines. Het onderscheid is niet altijd zwart-wit: een middelgrote organisatie in de energiesector kan als belangrijke entiteit worden geclassificeerd, terwijl een grote organisatie in de maakindustrie dat ook kan zijn.

Hoe verschillen de verplichtingen tussen essentiële en belangrijke entiteiten?

Essentiële entiteiten hebben zwaardere verplichtingen en staan onder strenger toezicht dan belangrijke entiteiten. Het grootste verschil zit in de manier waarop toezicht wordt gehouden: essentiële entiteiten worden proactief gecontroleerd, terwijl toezicht op belangrijke entiteiten in de meeste gevallen reactief plaatsvindt, dus naar aanleiding van een incident of klacht.

Verplichtingen voor essentiële entiteiten

Essentiële entiteiten moeten voldoen aan de volledige zorgplicht onder de Cyberbeveiligingswet. Dat betekent onder meer:

• Een aantoonbaar risicobeheersingsbeleid voor netwerk- en informatiesystemen
• Maatregelen voor bedrijfscontinuïteit en crisisbeheer
• Beveiliging van de toeleveringsketen (supply chain security)
• Gebruik van multi-factorauthenticatie
• Beleid voor cryptografie en encryptie
• Significante incidenten melden binnen 24 uur bij het NCSC, met een vervolgmelding binnen 72 uur en een eindverslag binnen een maand
• Bestuurders moeten een verplichte cybersecuritytraining volgen

Bij niet-naleving kunnen essentiële entiteiten boetes krijgen tot 10 miljoen euro of 2% van hun wereldwijde jaaromzet.

Verplichtingen voor belangrijke entiteiten

Belangrijke entiteiten hebben grotendeels dezelfde inhoudelijke verplichtingen op het gebied van risicobeheer en incidentmelding. Het verschil zit in de intensiteit van het toezicht en de sancties. Bij niet-naleving kunnen belangrijke entiteiten boetes krijgen tot 7 miljoen euro of 1,4% van hun wereldwijde jaaromzet. Omdat het toezicht reactief is, kan een organisatie in de praktijk langer onopgemerkt tekortschieten, maar dat neemt de juridische aansprakelijkheid niet weg.

Wat zijn de gevolgen als een organisatie haar categorie verkeerd inschat?

Een verkeerde inschatting van de NIS2-classificatie kan leiden tot aanzienlijke juridische en financiële risico’s. Als een organisatie denkt dat zij buiten de wet valt of zich als belangrijke entiteit beschouwt terwijl zij essentieel is, voldoet zij mogelijk niet aan de strengere verplichtingen en het bijbehorende toezicht. Dit kan resulteren in boetes, reputatieschade en persoonlijke aansprakelijkheid van bestuurders.

Concreet zijn de risico’s:

• Financiële sancties: Boetes die oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten die hun verplichtingen niet nakomen.
• Bestuurlijke aansprakelijkheid: Het senior management kan persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen. Dit maakt cybersecurity expliciet een boardroomvraagstuk.
• Operationele kwetsbaarheid: Wie de eigen risicoclassificatie onderschat, investeert mogelijk te weinig in beveiliging en staat daardoor bloot aan grotere cyberdreigingen.
• Reputatieschade: Een significant incident bij een organisatie die haar verplichtingen niet is nagekomen, trekt publieke en politieke aandacht.

Voor overheidsorganisaties geldt overigens dat de aansprakelijkheidsbepaling voor bestuurders uit de NIS2-richtlijn uitdrukkelijk niet van toepassing is verklaard. De verantwoordelijkheid ligt bij de politieke leiding, maar persoonlijke aansprakelijkheid zoals bij private organisaties geldt hier niet op dezelfde manier.

Hoe kan een organisatie haar NIS2-categorie zelf vaststellen?

Een organisatie kan haar NIS2-classificatie zelf vaststellen via de NIS2 Zelfevaluatietool van de Rijksdienst voor Ondernemend Nederland (RVO) of de Flowchart Registratieplicht van het NCSC. Deze tools begeleiden organisaties stap voor stap door de relevante criteria en geven een indicatie van de categorie waarin zij vallen.

Een praktische aanpak om de eigen categorie vast te stellen:

1. Bepaal de sector: In welke sector is de organisatie actief? Valt die sector onder de hoog-kritieke sectoren of de aanvullende sectoren van NIS2?
2. Bepaal de omvang: Hoeveel medewerkers heeft de organisatie en wat zijn de omzet en het balanstotaal? Gebruik de drempelwaarden voor grote en middelgrote ondernemingen als referentie.
3. Gebruik de zelfevaluatietool: De NIS2 Zelfevaluatietool van RVO is specifiek ontwikkeld voor Nederlandse organisaties en houdt rekening met de nationale implementatie via de Cyberbeveiligingswet.
4. Controleer uitzonderingen: Sommige organisaties vallen buiten de wet, zoals kleine en micro-ondernemingen, tenzij zij een specifieke kritieke functie vervullen.
5. Registreer vrijwillig: Essentiële en belangrijke entiteiten kunnen zich al per 17 oktober 2024 vrijwillig registreren bij het NCSC-portaal. De registratieplicht wordt verplicht na inwerkingtreding van de Cyberbeveiligingswet, die naar verwachting in Q2 2026 in werking treedt.

Twijfel je na de zelfevaluatie nog over de juiste classificatie? Dan is het verstandig om juridisch of cybersecurity-advies in te winnen. De consequenties van een verkeerde inschatting zijn groot genoeg om hier niet op te gokken. Voor organisaties die ook willen weten hoe zij hun beveiliging in de praktijk kunnen testen, biedt een penetratietest of red team assessment waardevolle inzichten in de werkelijke kwetsbaarheden.

Hoe Q-Cyber helpt met NIS2-classificatie en compliance

Wij begrijpen dat de NIS2-classificatie voor veel organisaties een complex vraagstuk is. Of je nu twijfelt of je onder de wet valt, niet zeker weet of je essentieel of belangrijk bent, of gewoon wilt weten wat de volgende stap is: wij helpen je erdoorheen. Concreet bieden wij:

• Gap-analyse: We brengen in kaart waar jouw organisatie nu staat ten opzichte van de NIS2-verplichtingen en welke stappen nodig zijn.
• Beleidsvorming op maat: We schrijven cybersecuritybeleid dat aansluit op jouw specifieke risicoprofiel en sectorvereisten.
• Bestuurderstrainingen: We verzorgen trainingen voor het management zodat zij voldoen aan de verplichte trainingseis onder de Cyberbeveiligingswet.
• Virtuele CISO: Via onze Continuous-Q dienst krijg je toegang tot een team van specialisten dat de CISO-rol invult zonder dat je een fulltime functionaris hoeft aan te stellen.
• Onafhankelijk advies: We zijn niet gebonden aan softwarepartijen of leveranciers, waardoor ons advies altijd in jouw belang is.

Wacht niet tot de wet volledig in werking is getreden. De risico’s zijn er nu al, en wie nu in actie komt, is straks beter voorbereid. Neem contact op en we kijken samen welke stap het meeste oplevert voor jouw organisatie.

Lees meer

Wat is een NIS2-audit en hoe bereid je je daarop voor?

Geplaatst op: 26 september 2026

Een NIS2-audit klinkt voor veel organisaties als een flinke drempel. Toch is het in de kern een gestructureerd proces dat je stap voor stap kunt doorlopen. Of je nu valt onder de Cyberbeveiligingswet als essentiële of belangrijke entiteit, of je simpelweg wil weten waar je staat: een goede voorbereiding maakt het verschil tussen een soepele audit en een kostbare inhaalrace.

In dit stappenplan lees je precies wat een NIS2-audit inhoudt, hoe je je organisatie klaarstoomt voor NIS2-compliance en wat je na de audit doet om compliant te blijven. De wet wordt in 2026 van kracht in Nederland, dus de tijd om actie te ondernemen is nu.

Wat je nodig hebt vóór de NIS2-audit

Voordat je de audit ingaat, is het belangrijk om te weten wat er van je verwacht wordt. De NIS2-richtlijn verplicht organisaties om passende technische en organisatorische maatregelen te nemen op basis van een risicobeoordeling. Dat betekent dat je niet alleen technisch op orde moet zijn, maar ook kunt aantonen dat cybersecurity structureel is ingebed in je beleid en bestuur.

Zorg dat je de volgende zaken op orde hebt als startpunt:

• Inzicht in of jouw organisatie valt onder de Cyberbeveiligingswet (essentiële of belangrijke entiteit)
• Betrokkenheid van het bestuur, want de NIS2-trainingsplicht geldt voor alle bestuursleden
• Een aangewezen verantwoordelijke voor informatiebeveiliging, zoals een CISO of een externe equivalent
• Toegang tot bestaande beveiligingsdocumentatie, zoals beleidsplannen, risicoregisters en eerdere audits
• Overzicht van je toeleveringsketen, omdat supply chain security een expliciet onderdeel is van de NIS2-zorgplicht

Controleer ook of je organisatie al geregistreerd staat of moet worden in het entiteitenregister van het NCSC. Registratie geeft je bovendien toegang tot actuele dreigingsinformatie, wat direct nuttig is voor je risicoanalyse.

Breng je huidige beveiligingsniveau in kaart

De eerste echte stap in de NIS2-audit voorbereiding is een nulmeting: waar sta je nu? Zonder dit vertrekpunt weet je niet welke maatregelen al voldoen en waar de grootste gaten zitten. Dit is de basis voor alles wat volgt.

1. Voer een gap-analyse uit op basis van de verplichte NIS2-maatregelen, zoals risicoanalysebeleid, toegangsbeveiliging, cryptografie, bedrijfscontinuïteit en incidentbeheer.
2. Vergelijk je huidige situatie met een erkend normenkader. Voor overheden is dat de BIO2; voor andere sectoren kun je aansluiten bij ISO 27002. Het ministerie van BZK heeft een mapping gepubliceerd die NIS2-maatregelen koppelt aan ISO 27002 en BIO.
3. Gebruik beschikbare zelfevaluatietools, zoals de NIS2 Zelfevaluatie van RVO of het BIO Self Assessment voor overheidsorganisaties.
4. Breng je toeleveringsketen in kaart en beoordeel welke leveranciers toegang hebben tot je systemen of data.

Na deze stap heb je een helder beeld van je huidige beveiligingsniveau en weet je precies op welke gebieden je actie moet ondernemen. Leg de uitkomsten vast in een overzichtelijk rapport, want dit document vormt de basis voor je auditgesprekken.

Stel je beleid en documentatie op orde

Een cybersecurity audit beoordeelt niet alleen wat je technisch doet, maar ook of je het kunt aantonen. Ontbrekende of verouderde documentatie is een van de meest voorkomende struikelblokken tijdens een NIS2-audit. Zorg dat je beleid actueel, goedgekeurd en aantoonbaar geïmplementeerd is.

De volgende beleidsdocumenten zijn minimaal vereist onder de NIS2-zorgplicht:

• Risicoanalysebeleid en een actueel risicoregister
• Informatiebeveiligingsbeleid, inclusief toegangsbeveiliging en cryptografiebeleid
• Incidentresponsplan met heldere escalatieprocedures
• Bedrijfscontinuïteitsplan en herstelplan na een cyberincident
• Supply chain beveiligingsbeleid met eisen aan leveranciers
• Beleid voor beveiligingsbewustzijn en training van medewerkers

Controleer of elk document een eigenaar heeft, een actuele versie en een goedkeuringshandtekening van het bestuur. Auditoren willen zien dat beleid niet alleen bestaat op papier, maar ook actief wordt toegepast. Compliance en beleid is daarbij een onderdeel dat veel organisaties onderschatten totdat de audit al begonnen is.

Voer interne controles en testen uit

Met je documentatie op orde is het tijd om te testen of je maatregelen ook daadwerkelijk werken. Interne controles en technische tests geven je de kans om zwakheden te ontdekken en te verhelpen voordat een externe auditor ze vindt. Dit is een cruciaal onderdeel van elke serieuze NIS2-audit voorbereiding.

1. Plan een interne audit waarbij je de naleving van je eigen beleidsregels toetst. Controleer of procedures worden gevolgd, toegangsrechten up-to-date zijn en logs worden bijgehouden.
2. Voer een vulnerability scan uit op je netwerk en systemen om bekende kwetsbaarheden te identificeren.
3. Test je incidentresponsplan door een tabletop-oefening te doen: simuleer een cyberincident en doorloop de meldprocedure, inclusief de verplichte melding binnen 24 uur aan het NCSC.
4. Overweeg een penetratietest om te controleren of aanvallers daadwerkelijk kunnen binnendringen via de routes die jij als risicovol hebt aangemerkt.
5. Controleer of multi-factorauthenticatie is ingeschakeld voor alle relevante systemen en gebruikers.

Leg de resultaten van al je tests vast, inclusief gevonden kwetsbaarheden en de genomen herstelmaatregelen. Dit bewijsmateriaal is waardevol tijdens de externe audit en laat zien dat je organisatie proactief werkt aan verbetering. Wil je verder gaan dan een standaard pentest, dan biedt red teaming een realistischere simulatie van hoe een aanvaller te werk gaat.

Doorloop de audit zelf stap voor stap

De externe NIS2-audit zelf bestaat doorgaans uit een combinatie van documentatiereviews, interviews en technische verificaties. Weet wat je kunt verwachten, zodat je geen tijd verliest aan verrassingen.

Fase 1: Voorbereiding en planning

Stel een auditdossier samen met alle relevante documentatie: beleidsplannen, risicoregisters, trainingsbewijzen van bestuurders, incidentlogs en eerdere testresultaten. Wijs een contactpersoon aan die de auditor begeleidt en vragen beantwoordt. Zorg dat het bestuur beschikbaar is voor een kort gesprek over hun rol en kennis van cyberrisico’s.

Fase 2: Uitvoering van de audit

1. De auditor beoordeelt je documentatie en toetst of beleid aansluit op de NIS2-vereisten en het toepasselijke normenkader.
2. Er worden interviews gehouden met verantwoordelijken voor informatiebeveiliging, IT en het bestuur.
3. Technische configuraties worden gecontroleerd, zoals toegangsbeheer, logging, patchbeheer en netwerkarchitectuur.
4. De meldprocedure voor cyberincidenten wordt getoetst op volledigheid en haalbaarheid.

Fase 3: Rapportage

Na de uitvoering ontvangt je organisatie een auditrapport met bevindingen, tekortkomingen en aanbevelingen. Lees dit rapport zorgvuldig en prioriteer de bevindingen op basis van risico. Een bevinding is geen eindoordeel, maar een startpunt voor verbetering.

Verwerk auditbevindingen en blijf compliant

De audit is afgerond, maar NIS2-compliance is geen eenmalige exercitie. De Cyberbeveiligingswet verwacht dat organisaties hun beveiliging continu monitoren, verbeteren en aantonen. Behandel de auditbevindingen daarom als input voor een doorlopend verbeterprogramma.

1. Stel een actieplan op voor elke bevinding, met een eigenaar, een deadline en een meetbare doelstelling.
2. Prioriteer bevindingen op basis van risico: kritieke kwetsbaarheden eerst, gevolgd door beleidsmatige tekortkomingen.
3. Leg verbeteringen vast en zorg dat documentatie wordt bijgewerkt zodra maatregelen zijn geïmplementeerd.
4. Plan periodieke herhalingen van je interne controles, minimaal jaarlijks, en voer bij grote wijzigingen in systemen of processen een nieuwe risicoanalyse uit.
5. Zorg dat bestuurders hun trainingsplicht nakomen en dat nieuwe bestuursleden tijdig worden ingewerkt op het gebied van cyberrisico’s.

Blijf ook de ontwikkelingen in de regelgeving volgen. De Cyberbeveiligingswet wordt in 2026 van kracht en de ministeriële regelingen per sector werken de eisen verder uit. Organisaties die nu al structureel werken aan hun cyberweerbaarheid, staan straks sterk wanneer de toezichthouder aanklopt. Actueel inzicht in dreigingen helpt je daarbij om tijdig bij te sturen.

Hoe Q-Cyber helpt met NIS2-audit voorbereiding

Een NIS2-audit succesvol doorlopen vraagt om technische kennis én beleidsmatige expertise. Wij combineren beide en begeleiden je organisatie door het volledige traject, van nulmeting tot aantoonbare compliance. Onafhankelijk, zonder binding aan softwarepartijen en met een pragmatische aanpak die aansluit op jouw specifieke situatie.

Wat wij voor je doen:

• Gap-analyse en nulmeting: we brengen in kaart waar je staat ten opzichte van de NIS2-vereisten en het toepasselijke normenkader
• Beleid op maat: we schrijven of actualiseren je informatiebeveiligingsbeleid, incidentresponsplan en risicoanalyse
• Technische tests: van vulnerability scans en pentests tot red team-oefeningen die realistische aanvalsscenario’s simuleren
• Bestuurstraining: we verzorgen trainingen voor bestuurders zodat zij voldoen aan de NIS2-trainingsplicht
• Virtuele CISO via Continuous-Q®: voor organisaties zonder eigen CISO bieden we doorlopende begeleiding via een team van specialisten
• Actieplan na de audit: we helpen je bevindingen te prioriteren en om te zetten in concrete, haalbare verbetermaatregelen

Wacht niet tot de wet in werking treedt. De risico’s zijn er nu al, en wie nu in actie komt, is straks beter voorbereid. Neem contact op en we kijken samen hoe we jouw organisatie klaarstomen voor de NIS2-audit.

Lees meer

Wat is een ISMS (Information Security Management System)?

Geplaatst op: 25 september 2026

Een Information Security Management System (ISMS) is een gestructureerd raamwerk van beleidsregels, processen en maatregelen waarmee een organisatie haar informatiebeveiliging systematisch beheert en continu verbetert. Het gaat niet om één enkel product of tool, maar om een samenhangende aanpak die mensen, processen en technologie met elkaar verbindt. In dit artikel beantwoorden we de meest gestelde vragen over wat een ISMS inhoudt, hoe het werkt en hoe je het implementeert.

Waarom hebben organisaties een ISMS nodig?

Organisaties hebben een ISMS nodig omdat informatiebeveiliging te complex en te veranderlijk is om ad hoc te beheren. Zonder een systematische aanpak ontstaan blinde vlekken: beveiligingsmaatregelen worden inconsistent toegepast, risico’s worden niet tijdig herkend en bij een incident ontbreekt een duidelijk plan. Een ISMS zorgt voor structuur, aantoonbaarheid en continue verbetering.

De druk vanuit regelgeving neemt bovendien sterk toe. Wetgeving zoals de NIS2-richtlijn verplicht organisaties om cybersecurity structureel in te bedden in beleid, processen en bestuur. Wie dat niet kan aantonen, riskeert niet alleen datalekken en operationele verstoringen, maar ook forse boetes en reputatieschade. Een ISMS biedt de bewijslast die toezichthouders en klanten steeds vaker eisen.

Daarnaast helpt een ISMS organisaties om prioriteiten te stellen. Niet elke bedreiging vraagt om dezelfde maatregel. Door risico’s systematisch te beoordelen, kunnen middelen gericht worden ingezet waar de impact het grootst is. Dat maakt informatiebeveiliging niet alleen veiliger, maar ook kostenefficiënter.

Wat zijn de kerncomponenten van een ISMS?

De kerncomponenten van een ISMS zijn: een risicobeoordelingsproces, een informatiebeveiligingsbeleid, concrete beveiligingsmaatregelen, rollen en verantwoordelijkheden, een intern auditproces en een mechanisme voor continue verbetering. Samen vormen deze elementen een cyclisch systeem dat informatiebeveiliging beheersbaar maakt en aanpasbaar houdt aan veranderende omstandigheden.

In de praktijk bestaat een goed ingericht ISMS uit de volgende bouwstenen:

• Beleid en doelstellingen: een helder informatiebeveiligingsbeleid dat aangeeft wat de organisatie wil bereiken en welke principes daarvoor gelden.
• Risicobeoordeling en -behandeling: een gestructureerde methode om dreigingen en kwetsbaarheden te identificeren, te beoordelen en te prioriteren.
• Beveiligingsmaatregelen: technische en organisatorische maatregelen zoals toegangsbeheer, encryptie, incidentbeheer en bewustzijnstraining.
• Rollen en verantwoordelijkheden: duidelijke toewijzing van wie waarvoor verantwoordelijk is, van directie tot operationeel niveau.
• Monitoring en meting: processen om te controleren of maatregelen effectief zijn en of doelstellingen worden gehaald.
• Interne audit en managementreview: periodieke toetsing van het systeem door interne auditors en de directie.
• Continue verbetering: een feedbackloop waarmee bevindingen leiden tot aanpassingen in beleid en maatregelen.

Wat een ISMS onderscheidt van losse beveiligingsmaatregelen, is de samenhang. Elk onderdeel versterkt de andere. Een risicoanalyse stuurt de keuze van maatregelen, monitoring signaleert waar het beleid tekortschiet, en audits zorgen ervoor dat verbeteringen daadwerkelijk worden doorgevoerd.

Hoe werkt ISO 27001 samen met een ISMS?

ISO 27001 is de internationale norm die beschrijft aan welke eisen een ISMS moet voldoen om gecertificeerd te worden. ISO 27001 en een ISMS zijn dus geen synoniemen: ISO 27001 is de meetlat, het ISMS is het systeem dat je bouwt. Een organisatie kan een ISMS hebben zonder ISO 27001-certificering, maar de norm biedt wel een bewezen en erkend raamwerk om dat systeem op te baseren.

De norm is opgebouwd rond de Plan-Do-Check-Act (PDCA)-cyclus en schrijft voor hoe een organisatie haar ISMS moet documenteren, implementeren, bewaken en verbeteren. Bijlage A van ISO 27001 bevat een uitgebreide set beheersmaatregelen, gebaseerd op ISO 27002, die organisaties kunnen toepassen afhankelijk van hun risicoprofiel.

Een ISO 27001-certificering heeft praktische voordelen. Het geeft klanten, partners en toezichthouders een onafhankelijk bewijs dat informatiebeveiliging serieus wordt genomen. Voor organisaties die onder NIS2 vallen, sluit ISO 27001 bovendien nauw aan op de zorgplicht: de maatregelen die de norm vereist, overlappen grotendeels met wat de Cyberbeveiligingswet verwacht. Naleving van ISO 27001 helpt daarmee ook bij het aantonen van NIS2-compliance.

Wat is het verschil tussen een ISMS en een beveiligingsbeleid?

Een beveiligingsbeleid is één document dat beschrijft wat een organisatie wil bereiken op het gebied van informatiebeveiliging. Een ISMS is het volledige beheersysteem dat dat beleid tot leven brengt: het omvat het beleid, maar ook de processen, de risicoanalyses, de maatregelen, de monitoring en de verbetercyclus. Een beleid zonder ISMS is een intentie zonder uitvoering.

Vergelijk het met een kwaliteitsmanagementsysteem in de productie-industrie. Het kwaliteitsbeleid beschrijft de normen die het bedrijf nastreeft. Het kwaliteitsmanagementsysteem regelt hoe die normen worden gehaald, gecontroleerd en bijgesteld. Zo werkt het ook bij informatiebeveiliging: het beleid geeft richting, het ISMS zorgt ervoor dat die richting daadwerkelijk wordt gevolgd.

Een veelgemaakte fout is dat organisaties een uitgebreid informatiebeveiligingsbeleid opstellen en denken daarmee klaar te zijn. Zonder de bijbehorende processen, verantwoordelijkheden en controles blijft het beleid een papieren tijger. Een ISMS maakt het verschil tussen een document in een la en een levend systeem dat de organisatie daadwerkelijk beschermt.

Hoe implementeer je een ISMS stap voor stap?

Een ISMS implementeer je door zes opeenvolgende stappen te doorlopen: bepaal de scope, voer een risicoanalyse uit, stel beleid en maatregelen vast, implementeer de maatregelen, monitor de effectiviteit en verbeter continu. De sleutel is om klein te beginnen, draagvlak te creëren bij het management en het systeem stap voor stap uit te bouwen.

1. Bepaal de scope: Welke systemen, processen en informatie vallen onder het ISMS? Een duidelijke afbakening voorkomt dat het project onbeheersbaar groot wordt.
2. Voer een risicoanalyse uit: Identificeer welke informatie kritiek is, welke dreigingen en kwetsbaarheden er zijn, en wat de potentiële impact is van een incident.
3. Stel beleid en maatregelen vast: Vertaal de risico’s naar concrete beleidsregels en beveiligingsmaatregelen. Gebruik raamwerken zoals ISO 27001 of de BIO2 als leidraad.
4. Implementeer de maatregelen: Voer de gekozen maatregelen in, wijs verantwoordelijkheden toe en zorg voor training en bewustwording bij medewerkers.
5. Monitor en meet: Stel KPI’s in, voer interne audits uit en rapporteer aan het management over de status van informatiebeveiliging.
6. Verbeter continu: Gebruik de uitkomsten van audits, incidenten en managementreviews om het ISMS aan te scherpen.

Betrokkenheid van het management is bij elke stap essentieel. Informatiebeveiliging is geen IT-aangelegenheid alleen; het vraagt om beslissingen op directieniveau over risicobereidheid, prioriteiten en middelen. Organisaties die dit beseffen, bouwen een ISMS dat echt werkt in plaats van een systeem dat alleen op papier bestaat.

Voor welke organisaties is een ISMS verplicht?

Een ISMS is als zodanig niet altijd wettelijk verplicht, maar de onderliggende vereisten van wetgeving zoals NIS2 maken een vergelijkbaar beheersysteem in de praktijk onvermijdelijk. Organisaties die onder de Cyberbeveiligingswet vallen, zijn verplicht passende technische en organisatorische maatregelen te nemen op basis van een risicobeoordeling. Dat is in essentie wat een ISMS doet.

In Nederland vallen naar schatting ruim 10.000 organisaties direct onder NIS2, verspreid over sectoren als energie, transport, gezondheidszorg, financiën, digitale infrastructuur en overheid. Voor overheidsorganisaties geldt bovendien de Baseline Informatiebeveiliging Overheid (BIO2) als normatief kader, dat nauw aansluit op de structuur van een ISMS. Gemeenten, provincies, waterschappen en rijksoverheidsorganisaties zijn daarmee in de praktijk verplicht een ISMS-achtige structuur te hanteren.

Maar ook organisaties die niet direct onder NIS2 vallen, hebben belang bij een ISMS. Leveranciers aan NIS2-entiteiten krijgen steeds vaker informatieverzoeken over hun eigen beveiligingsmaatregelen. Wie dan geen aantoonbaar beheersysteem heeft, verliest opdrachten of wordt uitgesloten van aanbestedingen. Een goed onderbouwde beveiligingsaanpak is daarmee niet alleen een compliance-instrument, maar ook een concurrentievoordeel.

Hoe Q-Cyber helpt met een ISMS

Een ISMS opzetten of versterken is een traject dat technische kennis, beleidsexpertise en organisatorisch inzicht vraagt. Wij ondersteunen organisaties bij elke fase van dat traject, van de eerste risicoanalyse tot het schrijven van beleid en het begeleiden van de implementatie. Onze aanpak is pragmatisch en onafhankelijk: we zijn niet gebonden aan softwarepartijen of leveranciers, waardoor ons advies altijd in uw belang is.

Wat wij concreet voor u kunnen doen:

• Gap-analyse: we brengen in kaart waar uw huidige informatiebeveiligingspraktijk tekortschiet ten opzichte van ISO 27001, NIS2 of BIO2.
• Beleid op maat: we schrijven informatiebeveiligingsbeleid en onderliggende procedures die aansluiten op uw organisatie en risicoprofiel.
• Risicoanalyse en -behandeling: we begeleiden u bij het structureel in kaart brengen en prioriteren van beveiligingsrisico’s.
• Virtuele CISO: via onze Continuous-Q dienstverlening leveren we een team van specialisten dat de CISO-rol invult zonder dat u een fulltime functionaris hoeft aan te stellen.
• Trainingen voor bestuurders en medewerkers: we vergroten het bewustzijn en de kennis over cybersecurity op alle niveaus van uw organisatie.
• Pentests en scans: we testen de effectiviteit van uw maatregelen met realistische aanvalsscenario’s.

Of u nu net begint met informatiebeveiliging of uw bestaande ISMS wilt laten toetsen aan NIS2-vereisten: we helpen u verder. Neem contact op en we bespreken samen wat de beste aanpak is voor uw organisatie.

Lees meer

KPI’s voor informatiebeveiliging: welke gebruik je?

Geplaatst op: 24 september 2026

De meest waardevolle KPI’s voor informatiebeveiliging meten gedrag, responstijden en blootstelling aan risico’s, niet alleen het aantal incidenten. Denk aan de gemiddelde tijd om een kwetsbaarheid te verhelpen, het percentage medewerkers dat een phishingtest doorstaat, of de dekkingsgraad van je patchbeleid. Voor elke organisatie die serieus werk maakt van informatiebeveiliging meten, is de keuze van de juiste metrics het startpunt.

In dit artikel beantwoorden we de meest gestelde vragen over security KPI’s: van het verschil tussen KPI’s en KRI’s tot welke metrics zinloos zijn en hoe je rapporteert aan het management.

Welke KPI’s geven een realistisch beeld van je beveiligingsniveau?

KPI’s die een realistisch beeld geven van je beveiligingsniveau meten concrete gedragingen en technische prestaties, niet abstracte activiteiten. De sterkste KPI’s voor informatiebeveiliging zijn tijdgebonden, herhaalbaar en direct gekoppeld aan risico’s die je organisatie loopt.

Hieronder staan de meest waardevolle categorieën:

• Patchsnelheid: Hoeveel dagen zit er gemiddeld tussen de publicatie van een kwetsbaarheid en het doorvoeren van de patch? Hoe lager dit getal, hoe kleiner het aanvalsoppervlak.
• Phishing-slagingspercentage: Welk percentage medewerkers klikt door op een gesimuleerde phishingmail? Dit meet menselijk gedrag direct.
• Mean Time to Detect (MTTD): Hoe snel ontdek je een incident nadat het is begonnen? Een hoge MTTD wijst op blinde vlekken in je monitoring.
• Mean Time to Respond (MTTR): Hoe snel reageer je nadat een incident is gedetecteerd? Dit toont de volwassenheid van je incidentrespons.
• Dekkingsgraad van toegangsbeheer: Welk percentage van de accounts heeft multi-factorauthenticatie (MFA) ingeschakeld?
• Openstaande kritieke kwetsbaarheden: Het absolute aantal kritieke bevindingen dat nog niet is verholpen, uitgesplitst naar ouderdom.

Wat deze metrics gemeen hebben: ze zijn objectief meetbaar en veranderen door concrete acties. Een KPI als “we hebben een firewall” zegt niets over prestaties. “95% van de kritieke patches is binnen 72 uur uitgerold” zegt alles.

Wat is het verschil tussen een KPI en een KRI in informatiebeveiliging?

Een KPI (Key Performance Indicator) meet hoe goed je beveiligingsprocessen presteren, terwijl een KRI (Key Risk Indicator) signaleert hoe groot de kans is dat een risico zich gaat manifesteren. KPI’s kijken terug; KRI’s kijken vooruit. Beide zijn nodig voor een volledig beeld van je cybersecurity metrics.

Het onderscheid is in de praktijk het duidelijkst aan een voorbeeld:

• KPI: 98% van de gebruikersaccounts heeft MFA ingeschakeld. Dit meet een prestatie die al bereikt is.
• KRI: Het aantal accounts met verhoogde rechten dat de afgelopen 30 dagen geen inlogactiviteit heeft vertoond. Dit signaleert een oplopend risico op misbruik.

In de praktijk maken veel organisaties de fout om alleen KPI’s bij te houden. Daarmee stuur je op het verleden. KRI’s geven je de mogelijkheid om bij te sturen voordat een risico een incident wordt. Een goed dashboard voor informatiebeveiliging en compliance bevat altijd een combinatie van beide.

Een vuistregel: als de metric je vertelt wat er al is gebeurd, is het een KPI. Als het je vertelt wat er dreigt te gebeuren, is het een KRI.

Hoe stel je meetbare doelen voor beveiligings-KPI’s in?

Meetbare doelen voor beveiligings-KPI’s stel je in door een beginwaarde (baseline) te meten, een ambitieus maar haalbaar streefcijfer te bepalen, en een tijdsperiode te koppelen aan de verbetering. Zonder baseline is elke doelstelling willekeurig.

Volg deze aanpak stap voor stap:

1. Meet de huidige situatie: Voer een nulmeting uit. Wat is de gemiddelde patchtijd nu? Wat is het huidige phishing-slagingspercentage? Zonder dit startpunt kun je geen verbetering aantonen.
2. Koppel de KPI aan een risico: Elke KPI moet terug te voeren zijn op een concreet risico. Patchtijd is gekoppeld aan het risico van exploitatie van bekende kwetsbaarheden. Zo blijft de KPI relevant.
3. Gebruik het SMART-principe: Specifiek, Meetbaar, Acceptabel, Realistisch en Tijdgebonden. “Verbeteren van security” is geen KPI-doel. “De MTTD terugbrengen van 14 dagen naar 3 dagen binnen zes maanden” wel.
4. Bepaal eigenaarschap: Elke KPI heeft een eigenaar nodig, een persoon of team dat verantwoordelijk is voor de meting en de verbetering.
5. Stel een meetfrequentie in: Sommige KPI’s meet je dagelijks (openstaande kwetsbaarheden), andere maandelijks (phishingresultaten) of per kwartaal (MFA-dekking).

Een praktische tip: begin met vijf tot zeven KPI’s in plaats van een uitgebreid dashboard van twintig metrics. Meer is niet beter als de data niet betrouwbaar worden bijgehouden of niet leiden tot actie.

Welke KPI’s zijn verplicht of aanbevolen onder NIS2?

De NIS2-richtlijn schrijft geen specifieke KPI’s voor, maar verplicht organisaties wel om aantoonbaar grip te hebben op hun risico’s en maatregelen. Dit betekent dat je beveiligingsprestaties meetbaar en rapporteerbaar moeten zijn, met name op de gebieden die de wet als minimummaatregelen aanmerkt.

Op basis van de NIS2-zorgplicht zijn de volgende meetgebieden sterk aanbevolen:

• Risicoanalyse: Is er een actuele risicoanalyse? Hoe vaak wordt deze bijgewerkt? De wet vereist een beleid voor risicoanalyse en beveiliging van informatiesystemen.
• Supply chain security: Welk percentage van je kritieke leveranciers heeft een cybersecuritybeoordeling ondergaan? NIS2 vereist expliciet inzicht in de beveiligingsmaatregelen van leveranciers.
• MFA-dekking: De wet noemt het gebruik van multi-factorauthenticatie als minimummaatregel. Een KPI op de dekkingsgraad is daarmee direct relevant voor compliance.
• Incidentresponstijd: NIS2 verplicht organisaties om significante incidenten binnen 24 uur te melden bij de nationale autoriteiten. Je MTTR moet dus aantoonbaar onder die grens liggen.
• Bewustzijnstraining: Het percentage medewerkers dat een beveiligingstraining heeft afgerond is een directe indicator voor de verplichting rondom beveiligingsmaatregelen voor personeel.
• Patchbeheer: Dekkingsgraad en snelheid van patches voor kritieke systemen sluiten aan op de verplichting rondom beveiliging bij onderhoud van netwerk- en informatiesystemen.

Voor organisaties die als essentiële of belangrijke entiteit worden aangemerkt, is het bijhouden van deze metrics niet alleen verstandig, maar ook onderdeel van het aantonen van naleving richting toezichthouders. De Cyberbeveiligingswet, die naar verwachting in 2026 in werking treedt, maakt bestuurders verantwoordelijk voor de cyberweerbaarheid van hun organisatie.

Hoe vaak moet je beveiligings-KPI’s rapporteren aan het management?

Beveiligings-KPI’s rapporteer je aan het management op minimaal kwartaalbasis, met een maandelijks operationeel overzicht voor de CISO of verantwoordelijke manager. De frequentie hangt af van de dynamiek van de metric: operationele metrics vragen om een hogere frequentie, strategische metrics om een lagere.

Een werkbare rapportagestructuur ziet er als volgt uit:

• Dagelijks of wekelijks (operationeel niveau): Openstaande kritieke kwetsbaarheden, actieve incidenten, patchstatus van prioritaire systemen. Dit is voor het security team zelf, niet voor het management.
• Maandelijks (tactisch niveau): MTTD, MTTR, phishingresultaten, MFA-dekking, voortgang op openstaande bevindingen uit scans of audits. Dit is geschikt voor de CISO en lijnmanagement.
• Kwartaal (strategisch niveau): Trendanalyse over meerdere maanden, status van compliance-doelstellingen zoals NIS2, risicorapportage, budgetvoortgang. Dit is de rapportage die het bestuur en de directie ontvangt.

Het management heeft geen behoefte aan ruwe data. Wat telt is de trend: gaat het beter of slechter? Waar zijn acties nodig? Een goed managementrapport bevat drie tot vijf kernindicatoren met een duidelijk signaal (groen, oranje, rood) en een korte toelichting op afwijkingen.

Onder NIS2 is bestuurlijke betrokkenheid bij informatiebeveiliging een expliciete verplichting. Bestuurders moeten voldoende kennis hebben om weloverwogen beslissingen te nemen. Regelmatige rapportage is daarvoor de basis.

Welke KPI’s zijn zinloos of misleidend in de praktijk?

KPI’s die activiteit meten in plaats van effectiviteit zijn zinloos of actief misleidend. Ze geven een gevoel van controle zonder dat ze iets zeggen over het werkelijke beveiligingsniveau. Dit zijn de meest voorkomende valkuilen bij het meten van beveiligingsprestaties.

Activiteitsmetrics die niets bewijzen

Het aantal uitgevoerde beveiligingsscans, het aantal bijgewoonde trainingen of het aantal gesloten tickets zegt niets over kwaliteit of effect. Een organisatie kan tien scans per jaar uitvoeren en toch kwetsbaar zijn als de bevindingen niet worden opgepakt. De metric die telt is niet “hoeveel scans”, maar “welk percentage van de kritieke bevindingen is binnen de afgesproken termijn opgelost”.

Compliance-percentages als schijnzekerheid

“We zijn 87% compliant met ons beleid” is een metric die regelmatig in dashboards verschijnt en bijna altijd misleidend is. Ten eerste zegt het niets over welke 13% ontbreekt: zijn dat kleine administratieve punten of kritieke beveiligingsmaatregelen? Ten tweede meet compliance met papieren beleid niet of dat beleid ook in de praktijk werkt. Een penetratietest toont vaak aan dat een organisatie op papier compliant is, maar in de praktijk kwetsbaar.

Andere metrics om kritisch op te zijn:

• Aantal beveiligingsincidenten als succes-indicator: Nul incidenten kan betekenen dat je goed beveiligd bent, maar ook dat je detectiecapaciteit tekortschiet. Een lage MTTD is veelzeggender.
• Percentage medewerkers dat een training heeft “afgerond”: Als de training bestaat uit het klikken door tien slides zonder toets, zegt het afrondingspercentage niets. Koppel dit altijd aan gedragsmeting, zoals phishingresultaten.
• Uptime van beveiligingstools: Dat je SIEM 99,9% beschikbaar is, zegt niets over de kwaliteit van de alerts die het genereert of de opvolging daarvan.

De rode draad: een KPI is alleen waardevol als een verslechtering ervan leidt tot een concrete actie. Als niemand weet wat er moet gebeuren wanneer de metric daalt, is het geen KPI maar decoratie.

Hoe Q-Cyber helpt met het meten van je beveiligingsprestaties

Weten welke KPI’s je moet meten is één ding; ze structureel bijhouden, interpreteren en vertalen naar beleid is iets anders. Wij helpen organisaties bij het opzetten van een meetbaar en werkbaar beveiligingsprogramma, van de eerste nulmeting tot de kwartaalrapportage aan het bestuur.

Wat wij concreet voor je doen:

• Het uitvoeren van vulnerability scans en pentests die de basis leggen voor je openstaande-kwetsbaarheden-KPI en patchsnelheid
• Het opzetten van een KPI-dashboard dat aansluit op jouw risicoprofiel en de eisen vanuit NIS2
• Het begeleiden van bestuurders en management bij het begrijpen en beoordelen van beveiligingsrapportages, zodat zij aan hun trainingsplicht onder de Cyberbeveiligingswet voldoen
• Het leveren van een virtuele CISO via Continuous-Q die maandelijks rapporteert, trends signaleert en bijstuurt waar nodig
• Onafhankelijk advies zonder binding aan softwarepartijen, zodat de metrics die we aanbevelen in jouw belang zijn en niet in dat van een tool

Of je nu net begint met het structureren van je beveiligingsmetrics of je bestaande dashboard wilt aanscherpen: neem contact op en we kijken samen welke aanpak het beste past bij jouw organisatie.

Lees meer

Hoe rapporteer je over cybersecurity aan het management?

Geplaatst op: 23 september 2026

Cybersecurity rapporteren aan het management doe je door technische bevindingen te vertalen naar zakelijke risico’s, concrete aanbevelingen en meetbare voortgang. Een goed securityrapport voor het management richt zich niet op technische details, maar op de vraag: wat betekent dit voor de continuïteit, reputatie en aansprakelijkheid van de organisatie? De secties hieronder beantwoorden de meest gestelde vragen over effectieve cybersecurityrapportage aan directie en bestuur.

Wat moet er in een cybersecurity rapport aan het management staan?

Een cybersecurity rapport aan het management moet minimaal bevatten: een samenvatting van de huidige risicostand, de meest kritieke kwetsbaarheden of incidenten, de genomen en geplande maatregelen, en een overzicht van de compliance-status ten opzichte van relevante wet- en regelgeving zoals NIS2. Alles wordt uitgedrukt in zakelijke impact, niet in technische termen.

Concreet bestaat een sterk managementrapport uit de volgende onderdelen:

• Executive summary: twee tot drie zinnen die de algehele securitystatus samenvatten voor lezers met weinig tijd
• Risicooverzicht: de belangrijkste dreigingen en kwetsbaarheden, uitgedrukt in kans en potentiële schade
• Incidentoverzicht: een beknopt overzicht van incidenten in de rapportageperiode, inclusief respons en herstelstatus
• Voortgang op maatregelen: welke acties zijn afgerond, welke lopen nog en wat heeft prioriteit
• Compliance-status: in hoeverre voldoet de organisatie aan verplichtingen zoals de NIS2-richtlijn of sectorspecifieke normen
• Beslispunten voor het bestuur: concrete vragen of keuzes waarover het management een beslissing moet nemen

Het rapport is geen technisch logboek. Het is een sturingsinstrument. Bestuurders moeten na het lezen weten of de organisatie voldoende beschermd is, waar de grootste risico’s liggen en welke middelen of besluiten nodig zijn om die risico’s te beheersen.

Hoe vertaal je technische bevindingen naar bestuurstaal?

Technische bevindingen vertaal je naar bestuurstaal door elke bevinding te koppelen aan een zakelijk gevolg. In plaats van “er is een ongepatcht RCE-lek gevonden in de webserver” schrijf je: “Een kwetsbaarheid in onze webomgeving maakt het mogelijk dat aanvallers op afstand toegang krijgen tot klantgegevens. Zonder actie is de kans op een datalek en bijbehorende meldplicht reëel.”

De vertaalsleutel bestaat uit drie stappen:

1. Beschrijf de bevinding in gewone taal: vermijd afkortingen en jargon. Schrijf voor iemand die geen IT-achtergrond heeft.
2. Koppel de bevinding aan een risico: wat kan er misgaan als dit niet wordt opgelost? Denk aan dataverlies, operationele stilstand, reputatieschade of boetes.
3. Formuleer een aanbeveling met prioriteit: geef aan hoe urgent de maatregel is en wat de geschatte impact is van wel of niet handelen.

Een handige structuur is de zogenaamde “risicozin”: Als [kwetsbaarheid] wordt misbruikt, kan [gevolg] optreden, wat leidt tot [zakelijke impact]. We adviseren [maatregel] binnen [termijn]. Deze formule dwingt je om elke technische bevinding te vertalen naar iets wat het management kan beoordelen en prioriteren.

Gebruik bij voorkeur een risicoklassificatie zoals hoog, gemiddeld of laag, zodat het management in één oogopslag ziet welke punten directe aandacht vereisen. Kleurcoderingen en eenvoudige grafieken ondersteunen dit, mits ze de inhoud verduidelijken en niet verbergen.

Hoe vaak moet je het management informeren over cybersecurity?

Het management informeer je over cybersecurity minimaal eens per kwartaal via een gestructureerd rapport, aangevuld met directe melding bij significante incidenten. Organisaties die onder de NIS2-richtlijn vallen, hebben daarnaast wettelijke meldverplichtingen die een hogere rapportagefrequentie bij incidenten vereisen.

Een praktisch rapportageschema ziet er als volgt uit:

• Kwartaalrapportage: een volledig managementrapport met risicostand, KPI’s, voortgang op maatregelen en compliance-status
• Jaarrapportage: een strategisch overzicht van de securityvolwassenheid, trends en plannen voor het komende jaar
• Ad-hoc melding bij incidenten: zodra een significant incident plaatsvindt, informeer je het management direct, ook als het onderzoek nog loopt

Onder NIS2 geldt bij een significant cyberincident een strikte meldprocedure: een vroegtijdige waarschuwing binnen 24 uur na ontdekking, een aanvullende melding binnen 72 uur, en een eindverslag uiterlijk één maand na de eerste melding. Dit vereist dat interne rapportageprocessen op orde zijn ruim voordat een incident plaatsvindt.

De exacte frequentie hangt ook af van de risicobereidheid en het volwassenheidsniveau van de organisatie. Hoe minder volwassen de securitypraktijk, hoe meer sturing vanuit het management nodig is en hoe vaker rapportage zinvol is.

Welke KPI’s zijn relevant voor een cybersecurity rapport?

Relevante KPI’s voor een cybersecurity managementrapport zijn meetpunten die de effectiviteit van de securitymaatregelen en de risicostand van de organisatie weergeven. Denk aan het aantal open kritieke kwetsbaarheden, de gemiddelde tijd om een incident te detecteren en te herstellen, en het percentage medewerkers dat een securitytraining heeft afgerond.

Concrete KPI’s die breed worden gebruikt in securityrapportage aan management:

• Mean Time to Detect (MTTD): hoe snel worden incidenten of dreigingen gemiddeld ontdekt?
• Mean Time to Respond (MTTR): hoe lang duurt het gemiddeld om een incident te beheersen en te herstellen?
• Aantal open kritieke kwetsbaarheden: hoeveel hoog- of kritiekgeclassificeerde kwetsbaarheden staan nog open, en hoe lang al?
• Patch compliance rate: welk percentage van de systemen is up-to-date met beveiligingsupdates?
• Securitytraining voltooiingsgraad: welk percentage van de medewerkers heeft de verplichte awareness-training afgerond?
• Phishing simulatieresultaten: hoeveel medewerkers klikken op gesimuleerde phishingmails, en daalt dit percentage over tijd?
• Compliance-score: in hoeverre voldoet de organisatie aan de van toepassing zijnde normen en wetgeving?

Kies KPI’s die aansluiten bij de risico’s die voor jouw organisatie het meest relevant zijn. Een KPI heeft alleen waarde als er ook een doel of norm aan gekoppeld is. “Tien open kritieke kwetsbaarheden” zegt weinig zonder context; “tien open kritieke kwetsbaarheden terwijl de norm nul is binnen 30 dagen” geeft het management een concreet beeld van de situatie.

Wat is het verschil tussen een technisch rapport en een managementrapport?

Het verschil tussen een technisch rapport en een managementrapport zit in het doel, de doelgroep en het detailniveau. Een technisch rapport beschrijft wat er is gevonden en hoe het werkt; een managementrapport beschrijft wat het betekent voor de organisatie en welke beslissing nodig is.

Technisch rapport

Een technisch rapport is bedoeld voor securityspecialisten, systeembeheerders en IT-teams. Het bevat gedetailleerde beschrijvingen van kwetsbaarheden, exploitmethoden, getroffen systemen, logbestanden en technische aanbevelingen voor herstel. De taal is vakspecifiek, de focus ligt op reproduceerbaarheid en volledigheid. Een penetratietestrapport is een typisch voorbeeld: het documenteert elke stap van de aanval, de gebruikte technieken en de exacte configuratiewijzigingen die nodig zijn om de kwetsbaarheid te dichten.

Managementrapport

Een managementrapport is bedoeld voor directie, bestuur en andere niet-technische beslissers. Het vertaalt technische bevindingen naar zakelijke risico’s, prioriteiten en beslispunten. Details over exploitmethoden of systeemconfiguraties ontbreken bewust; die horen in de bijlagen of in het technische rapport. Het managementrapport beantwoordt de vragen die het bestuur stelt: zijn we voldoende beschermd, wat zijn de grootste risico’s, wat kost het om die te mitigeren, en wat zijn de gevolgen als we niets doen?

In de praktijk werk je met beide documenten naast elkaar. Het technische rapport is de onderbouwing; het managementrapport is de samenvatting die tot actie aanzet. Beide zijn nodig, maar ze mogen nooit worden verward of samengevoegd tot één document.

Wie is verantwoordelijk voor cybersecurity rapportage aan het management?

De verantwoordelijkheid voor cybersecurityrapportage aan het management ligt primair bij de Chief Information Security Officer (CISO) of, bij kleinere organisaties, de securityverantwoordelijke of IT-manager. Onder de NIS2-richtlijn is het bestuur zelf eindverantwoordelijk voor de cyberweerbaarheid van de organisatie, wat betekent dat zij actief geïnformeerd moeten worden en die informatie ook moeten kunnen beoordelen.

De NIS2-richtlijn, die in Nederland wordt omgezet via de Cyberbeveiligingswet (Cbw), legt de verantwoordelijkheid voor beslissingen over netwerk- en informatiebeveiliging expliciet bij het bestuur. Bestuurders moeten voldoende kennis hebben om weloverwogen keuzes te maken. Daarvoor verplicht de wet hen een training te volgen die hen leert beveiligingsrisico’s te herkennen, maatregelen te beoordelen en de impact daarvan op de organisatie te wegen.

In de praktijk betekent dit een gedeelde verantwoordelijkheid:

• De CISO of securityverantwoordelijke stelt de rapportage op, bewaakt de kwaliteit en zorgt dat bevindingen worden vertaald naar bestuurstaal
• Het management neemt kennis van de rapportage, stelt vragen, neemt beslissingen over prioriteiten en middelen, en draagt eindverantwoordelijkheid
• De lijnmanagers zijn verantwoordelijk voor de uitvoering van maatregelen binnen hun eigen domein en leveren input aan de CISO

Organisaties zonder eigen CISO kunnen gebruikmaken van een virtuele CISO-oplossing, waarbij een externe specialist deze rapportagefunctie invult. Dit is met name relevant voor organisaties die onder NIS2 vallen maar niet de omvang hebben om een fulltime CISO in dienst te nemen.

Hoe Q-Cyber helpt met cybersecurity rapportage aan het management

Effectieve cybersecurityrapportage vereist zowel technische kennis als het vermogen om die kennis te vertalen naar beleid en bestuurstaal. Dat is precies waar wij ons in onderscheiden. We combineren diepgaande technische expertise met beleidsmatige kennis, zodat jouw management altijd een helder, bruikbaar beeld heeft van de securitystatus van de organisatie.

Wat we concreet bieden op het gebied van cybersecurityrapportage en managementcommunicatie:

• Virtuele CISO (Continuous-Q): een team van specialisten dat de CISO-functie invult, inclusief periodieke managementrapportages en directe toegang voor het bestuur bij vragen of incidenten
• NIS2-begeleiding: we brengen de compliance-status in kaart, schrijven beleid op maat en zorgen dat jouw rapportage aansluit op de wettelijke verplichtingen van de Cyberbeveiligingswet
• Gap-analyses en risicobeoordelingen: de basis voor elke goede managementrapportage is inzicht in de werkelijke risicostand, en dat inzicht leveren we met concrete, prioriteerbare uitkomsten
• Bestuurstrainingen: we verzorgen trainingen die bestuurders in staat stellen de rapportages te begrijpen, de juiste vragen te stellen en weloverwogen beslissingen te nemen
• Onafhankelijk advies: we zijn niet gebonden aan softwarepartijen of leveranciers, waardoor onze aanbevelingen altijd in het belang van jouw organisatie zijn

Wil je weten hoe jouw organisatie er nu voor staat en hoe je het management beter kunt informeren over cybersecurity? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Cybersecurity governance: wat is het en hoe begin je?

Geplaatst op: 22 september 2026

Cybersecurity governance is het geheel van beleid, verantwoordelijkheden, processen en besluitvormingsstructuren waarmee een organisatie haar informatiebeveiliging stuurt en bewaakt. Het gaat niet om individuele technische maatregelen, maar om de vraag wie verantwoordelijk is, welke kaders gelden en hoe cybersecurity structureel verankerd is in de organisatie. In dit artikel beantwoorden we de meest gestelde vragen over cybersecurity governance, van de basisprincipes tot praktische implementatie en de rol van NIS2.

Wat valt er precies onder cybersecurity governance?

Cybersecurity governance omvat alle structuren, processen en verantwoordelijkheden die bepalen hoe een organisatie omgaat met informatiebeveiliging. Het gaat om de inrichting van beleid, de verdeling van rollen, de manier waarop risico’s worden afgewogen en de wijze waarop naleving wordt geborgd. Governance is de besturingslaag boven de techniek.

Concreet vallen de volgende elementen onder cybersecurity governance:

• Beleid en richtlijnen: gedocumenteerde regels over hoe de organisatie omgaat met toegangsbeheer, datagebruik, incidentrespons en meer
• Rollen en verantwoordelijkheden: wie is eigenaar van welk risico, wie rapporteert aan wie en wie heeft beslissingsbevoegdheid
• Risicobeheer: een systematische aanpak om dreigingen te identificeren, te beoordelen en te prioriteren
• Toezicht en compliance: mechanismen om te meten of beleid wordt nageleefd en of de organisatie voldoet aan wet- en regelgeving
• Bestuursrapportage: periodieke informatievoorziening aan het bestuur over de staat van cybersecurity

Cybersecurity governance verschilt daarmee wezenlijk van operationele beveiliging. Een firewall instellen of een patch uitrollen is operationeel werk. Beslissen welke risico’s acceptabel zijn en wie daarvoor verantwoordelijk is, dat is governance. Zonder die besturingslaag missen technische maatregelen richting en samenhang.

Waarom is cybersecurity governance iets voor het bestuur en niet alleen voor IT?

Cybersecurity governance is een bestuurlijke aangelegenheid omdat cyberrisico’s directe gevolgen hebben voor de continuïteit, reputatie en aansprakelijkheid van een organisatie. Het bestuur is verantwoordelijk voor strategische beslissingen en het afwegen van risico’s, en dat geldt ook voor digitale risico’s. IT kan uitvoeren, maar niet bepalen welk risiconiveau de organisatie accepteert.

Er zijn drie concrete redenen waarom cybersecurity governance niet alleen bij IT mag liggen:

1. Risicoacceptatie is een bestuurlijke keuze. De beslissing om wel of niet te investeren in een bepaalde beveiligingsmaatregel raakt aan bedrijfsdoelstellingen, budgetten en strategische prioriteiten. Dat vereist bestuurlijk mandaat.
2. Aansprakelijkheid ligt bij de top. Wet- en regelgeving, waaronder de aankomende Cyberbeveiligingswet als implementatie van NIS2, legt de verantwoordelijkheid voor cyberweerbaarheid expliciet bij het bestuur. Bestuurders moeten aantoonbaar voldoende kennis hebben om weloverwogen keuzes te maken over beveiligingsrisico’s.
3. Cybersecurity raakt de hele organisatie. Beleid over toegangsbeheer, leveranciersbeveiliging of incidentrespons heeft impact op HR, inkoop, juridische zaken en operations. Alleen het bestuur heeft de positie om die domeinen te verbinden.

De NIS2-richtlijn en de Cyberbeveiligingswet verplichten bestuurders bovendien een training te volgen waarmee zij beveiligingsrisico’s leren identificeren en de gevolgen van maatregelen leren beoordelen. Dat signaleert duidelijk: cybersecurity is een boardroomonderwerp, geen IT-afdeling-intern vraagstuk.

Wat is het verschil tussen een cybersecurity framework en governance?

Een cybersecurity framework is een gestructureerd referentiekader van maatregelen en best practices, zoals ISO 27001 of het NIST Cybersecurity Framework. Governance is de manier waarop een organisatie beslist, stuurt en toeziet op de toepassing van zo’n framework. Een framework geeft wat er gedaan moet worden; governance regelt hoe beslissingen daarover worden genomen en wie daarvoor verantwoordelijk is.

Een vergelijking maakt het onderscheid concreet. Stel dat een organisatie ISO 27002 hanteert als normenkader voor informatiebeveiligingsgovernance. Dat framework beschrijft maatregelen voor toegangsbeveiliging, cryptografie en incidentbeheer. Governance bepaalt vervolgens:

• Welke maatregelen prioriteit krijgen gezien het risicoprofiel van de organisatie
• Wie verantwoordelijk is voor de implementatie en het onderhoud van elke maatregel
• Hoe naleving wordt gecontroleerd en gerapporteerd aan het bestuur
• Wanneer en hoe het beleid wordt herzien

Een framework zonder governance leidt tot een papieren exercitie: er is een beleidsdocument, maar niemand die het bewaakt of bijstuurt. Governance zonder framework mist de inhoudelijke basis om goede keuzes te maken. De twee zijn complementair en versterken elkaar.

Hoe zet je cybersecurity governance op in een middelgrote organisatie?

Cybersecurity governance opzetten in een middelgrote organisatie begint met het benoemen van eigenaarschap, het vastleggen van beleid en het inrichten van een cyclus van meten en bijsturen. Je hoeft niet te starten met een volledig uitgewerkt systeem; een pragmatische, gefaseerde aanpak werkt beter dan een theoretisch perfecte structuur die nooit wordt uitgevoerd.

Stap 1: Bepaal wie verantwoordelijk is

Wijs een eigenaar aan voor cybersecurity op bestuursniveau, ook als er geen fulltime CISO is. In kleinere organisaties kan dat een directielid zijn, ondersteund door een externe adviseur of een virtuele CISO. Zorg dat die persoon mandaat heeft om beleid vast te stellen en budget te alloceren.

Stap 2: Leg beleid vast en maak het werkbaar

Stel een cybersecuritybeleid op dat aansluit bij de werkelijkheid van de organisatie. Dat betekent: geen generieke teksten kopiëren, maar beleid dat beschrijft hoe jullie omgaan met toegangsbeheer, wachtwoorden, incidentmelding en leveranciersrisico’s. Beleid dat medewerkers niet kennen of begrijpen, werkt niet.

Stap 3: Richt een risicobeheercyclus in

Voer minimaal jaarlijks een risicoanalyse uit. Breng in kaart welke systemen en processen kritiek zijn, welke dreigingen realistisch zijn en welke maatregelen ontbreken. Koppel de uitkomsten aan concrete acties met een eigenaar en een deadline. Rapporteer de resultaten aan het bestuur, zodat governance daadwerkelijk op bestuursniveau plaatsvindt.

Stap 4: Meet en verbeter continu

Governance is geen eenmalig project maar een doorlopende activiteit. Stel KPI’s vast, voer periodieke audits of pentests uit en evalueer na incidenten wat er beter kan. Een volwassen governance-structuur past zichzelf aan op basis van nieuwe dreigingen, veranderende wetgeving en organisatieontwikkelingen.

Welke rol speelt NIS2 in cybersecurity governance?

NIS2 maakt cybersecurity governance juridisch verplicht voor duizenden organisaties in Europa. De richtlijn eist niet alleen technische maatregelen, maar ook dat cybersecurity structureel is ingebed in beleid, processen en bestuur. Governance is daarmee geen keuze meer, maar een wettelijke vereiste voor organisaties die onder de richtlijn vallen.

In Nederland wordt NIS2 geïmplementeerd via de Cyberbeveiligingswet (Cbw), waarvan de inwerkingtreding verwacht wordt in Q2 2026. De wet stelt concrete governance-eisen:

• Bestuurlijke verantwoordelijkheid: het bestuur is verantwoordelijk voor beslissingen over netwerk- en informatiebeveiliging en moet aantoonbaar voldoende kennis hebben
• Trainingsplicht: alle leden van het bestuur moeten een training volgen om beveiligingsrisico’s te kunnen beoordelen
• Risicobeheersmaatregelen: organisaties moeten uitgebreid cyberrisicobeheer implementeren, inclusief beleid voor toegangsbeheer, cryptografie en supply chain-beveiliging
• Meldplicht: significante cyberincidenten moeten binnen 24 uur worden gemeld bij de nationale autoriteiten

Organisaties die al werken aan solide cybersecurity governance lopen een voorsprong op de NIS2-vereisten. Wie nu nog niets heeft geregeld, loopt het risico op boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten. Bovendien kunnen bestuurders bij ernstige overtredingen persoonlijk aansprakelijk worden gesteld.

Hoe weet je of je cybersecurity governance volwassen genoeg is?

De volwassenheid van cybersecurity governance meet je door te kijken of beleid, verantwoordelijkheden en risicobeheersprocessen aantoonbaar werken in de praktijk, niet alleen op papier bestaan. Een volwassen governance-structuur is zichtbaar, actief en aanpasbaar. Een onvolwassen structuur is reactief, gefragmenteerd en niet verankerd in de besluitvorming van de organisatie.

Concrete signalen dat governance nog onvoldoende is:

• Cybersecurity staat zelden of nooit op de agenda van het bestuur
• Er is beleid, maar niemand weet wie eigenaar is of wanneer het voor het laatst is bijgewerkt
• Risicoanalyses worden niet of onregelmatig uitgevoerd
• Na een incident is onduidelijk wie de leiding neemt en welke stappen gevolgd worden
• Medewerkers kennen de basisregels rondom wachtwoorden, phishing of dataverwerking niet

Signalen dat governance op de goede weg is:

• Het bestuur ontvangt periodiek rapportages over de staat van cybersecurity
• Er is een benoemde verantwoordelijke voor informatiebeveiliging met mandaat en budget
• Beleid wordt jaarlijks geëvalueerd en aangepast op basis van nieuwe risico’s
• Medewerkers zijn getraind en weten wat ze moeten doen bij een incident
• De organisatie kan aantonen welke maatregelen zijn genomen en waarom

Wil je een objectief beeld van de huidige staat? Een externe gap-analyse of cybersecurityonderzoek geeft inzicht in waar de governance-structuur tekortschiet en welke stappen de grootste impact hebben.

Hoe Q-Cyber helpt met cybersecurity governance

Wij begeleiden organisaties bij het opzetten en versterken van hun cybersecurity governance, van de eerste beleidsvorming tot volledige NIS2-voorbereiding. Onze aanpak is pragmatisch en onafhankelijk: we schrijven beleid dat werkt in de praktijk, adviseren maatregelen die passen bij jullie risicoprofiel en staan niet in dienst van softwareleveranciers of andere toeleveranciers.

Wat we concreet bieden:

• Gap-analyses: we brengen in kaart waar de governance-structuur tekortschiet ten opzichte van NIS2, ISO 27001 of andere relevante kaders
• Beleidsschrijving: we schrijven cybersecuritybeleid op maat, van toegangsbeheer tot incidentrespons, in begrijpelijke taal die medewerkers ook daadwerkelijk gebruiken
• Bestuurstrainingen: we verzorgen trainingen voor bestuurders zodat zij aan de NIS2-trainingsplicht voldoen en weloverwogen beslissingen kunnen nemen over beveiligingsrisico’s
• Virtuele CISO: via ons Continuous-Q programma fungeren we als vaste sparringpartner en adviseur op het gebied van informatiebeveiligingsgovernance, zonder dat je een fulltime CISO hoeft aan te nemen
• NIS2-begeleiding: we begeleiden het volledige traject van zelfevaluatie tot registratie en naleving

Wacht niet totdat de Cyberbeveiligingswet in werking treedt. De risico’s zijn er nu al, en een goede governance-structuur bouw je niet in een week. Neem contact op en we kijken samen waar de grootste winst zit voor jouw organisatie.

Lees meer

Wat moet er in een acceptable use policy staan?

Geplaatst op: 21 september 2026

Een acceptable use policy (AUP) beschrijft welke regels gelden voor het gebruik van ICT-middelen binnen een organisatie: van laptops en e-mail tot cloudapplicaties en bedrijfsnetwerken. De kern van een goede AUP bestaat altijd uit een duidelijke omschrijving van toegestaan en niet-toegestaan gebruik, de verantwoordelijkheden van medewerkers, en de gevolgen bij overtreding. In dit artikel beantwoorden we de meest gestelde vragen over het opstellen en onderhouden van een effectief AUP-beleid.

Wat zijn de verplichte onderdelen van een acceptable use policy?

Een acceptable use policy moet minimaal bevatten: een beschrijving van de scope (welke systemen en medewerkers vallen eronder), de gedragsregels voor het gebruik van ICT-middelen, de rechten en plichten van medewerkers, de gevolgen bij overtreding, en een verwijzing naar gerelateerd beleid zoals een wachtwoordbeleid of incidentprocedure. Zonder deze bouwstenen is een AUP juridisch en praktisch onvolledig.

Concreet betekent dit dat een goede AUP de volgende elementen bevat:

• Doelstelling en scope: voor wie geldt het beleid en op welke systemen, apparaten en diensten is het van toepassing
• Toegestaan gebruik: wat medewerkers mogen doen met bedrijfsmiddelen, inclusief privégebruik als dat is toegestaan
• Verboden gebruik: expliciet verboden handelingen, zoals het installeren van ongeautoriseerde software, het delen van inloggegevens of het bezoeken van bepaalde categorieën websites
• Beveiliging en wachtwoorden: basisregels voor wachtwoordbeheer, vergrendeling van apparaten en omgang met gevoelige gegevens
• Monitoring en privacy: in hoeverre de organisatie het gebruik monitort en hoe dit zich verhoudt tot de privacyrechten van medewerkers
• Sancties: welke maatregelen volgen bij overtreding, van een waarschuwing tot ontslag of aangifte
• Verwijzingen: links naar gerelateerd beleid, zoals een clean desk policy, remote work policy of NIS2-compliance beleid

Organisaties die onder de NIS2-richtlijn vallen, zijn bovendien verplicht om beleid voor informatiebeveiliging structureel te documenteren. Een AUP is daarin een basisonderdeel, maar vormt altijd onderdeel van een breder geheel aan maatregelen.

Waarom verschilt een acceptable use policy per organisatie?

Een AUP verschilt per organisatie omdat de risico’s, de branche, het type medewerkers en de gebruikte systemen sterk uiteenlopen. Een zorginstelling die werkt met patiëntgegevens heeft andere regels nodig dan een creatief bureau waar medewerkers vrijelijk internettoegang nodig hebben. De inhoud van een AUP moet altijd aansluiten op de werkelijkheid van de organisatie.

Factoren die bepalen hoe een AUP eruitziet:

• Sector en regelgeving: organisaties in de zorg, financiële sector of overheid hebben te maken met sectorspecifieke wet- en regelgeving die eisen stelt aan het gebruik van systemen en gegevens
• Werkwijze: werken medewerkers op kantoor, hybride of volledig remote? Dit bepaalt mede welke regels rondom netwerktoegang en apparatuur nodig zijn
• Type medewerkers: een organisatie met veel externe inhuurkrachten of stagiairs heeft andere overwegingen dan een bedrijf met alleen vaste medewerkers
• Risicoprofiel: organisaties die regelmatig doelwit zijn van cyberaanvallen of die kritieke infrastructuur beheren, hebben strengere regels nodig
• Cultuur: een te strenge AUP die niet past bij de organisatiecultuur wordt niet nageleefd; het beleid moet realistisch en uitvoerbaar zijn

Een AUP kopiëren van internet of van een andere organisatie is dan ook een veelgemaakte fout. Het resultaat is een document dat niet aansluit op de praktijk en daardoor al snel als papieren tijger eindigt.

Hoe lang en gedetailleerd moet een acceptable use policy zijn?

Een acceptable use policy moet lang genoeg zijn om alle relevante situaties te dekken, maar kort genoeg om door medewerkers daadwerkelijk gelezen en begrepen te worden. In de praktijk is een AUP van twee tot vijf pagina’s voor de meeste organisaties voldoende. Technische details horen thuis in aparte technische richtlijnen, niet in de AUP zelf.

Het doel van een AUP is gedragsverandering en bewustwording, niet het uitputtend vastleggen van elke technische maatregel. Een te lang document werkt averechts: medewerkers slaan het over, begrijpen het niet volledig of onthouden de kern niet.

Een goede vuistregel is: schrijf de AUP op het niveau van de gemiddelde medewerker, niet op het niveau van de IT-afdeling. Gebruik begrijpelijke taal, vermijd jargon waar mogelijk, en voeg concrete voorbeelden toe bij regels die anders voor interpretatie vatbaar zijn. Denk aan: “Je mag geen software installeren zonder toestemming van IT” in plaats van “Het is verboden ongeautoriseerde executables te deployen op bedrijfseigendommen.”

Technische specificaties, zoals welke poorten geblokkeerd zijn of hoe de monitoring technisch werkt, horen thuis in afzonderlijke technische documentatie. De AUP verwijst daar eventueel naar, maar neemt die inhoud niet over.

Welke gedragsregels horen thuis in een acceptable use policy?

De gedragsregels in een AUP richten zich op het gebruik van e-mail, internet, software, apparaten en bedrijfsgegevens. Concreet gaat het om regels over wachtwoordbeheer, het gebruik van privéapparaten voor werk, social media, het delen van vertrouwelijke informatie en de omgang met verdachte berichten of phishing.

De meest voorkomende gedragsregels in een AUP zijn:

• E-mail en communicatie: geen vertrouwelijke informatie versturen via onbeveiligde kanalen, geen zakelijke e-mail gebruiken voor persoonlijke doeleinden die reputatieschade kunnen veroorzaken
• Wachtwoorden en toegang: nooit inloggegevens delen, gebruik van sterke wachtwoorden of een wachtwoordmanager, vergrendelen van apparaten bij afwezigheid
• Software en downloads: alleen goedgekeurde software installeren, geen illegale software of content downloaden
• Privéapparaten (BYOD): als privéapparaten zijn toegestaan voor werk, welke beveiligingseisen gelden er dan en welke bedrijfsgegevens mogen erop staan
• Social media: wat medewerkers wel en niet mogen delen over de organisatie, collega’s of klanten
• Verdachte situaties: hoe te handelen bij een phishingmail, verdachte link of beveiligingsincident
• Gegevensopslag: waar bedrijfsgegevens mogen worden opgeslagen (alleen in goedgekeurde cloudomgevingen, niet op privé-opslagdiensten)

Organisaties die regelmatig pentests of phishingsimulaties uitvoeren, merken vaak dat juist de regels rondom verdachte e-mails en wachtwoorden in de praktijk het minst worden nageleefd. Dat maakt het extra belangrijk om deze regels concreet en herkenbaar te formuleren.

Hoe zorg je dat medewerkers de acceptable use policy naleven?

Naleving van een acceptable use policy begint met bewustwording: medewerkers moeten de AUP kennen, begrijpen waarom de regels bestaan, en weten wat de gevolgen zijn bij overtreding. Een AUP die eenmalig bij indiensttreding wordt ondertekend maar nooit meer ter sprake komt, heeft nauwelijks effect op het daadwerkelijke gedrag.

Effectieve manieren om naleving te bevorderen:

• Onboarding: bespreek de AUP actief bij indiensttreding, laat medewerkers tekenen voor ontvangst en begrip
• Regelmatige herhaling: verwijs naar de AUP tijdens beveiligingstrainingen, teamvergaderingen of bij het uitrollen van nieuwe systemen
• Bewustwordingstrainingen: trainingen over phishing, wachtwoordveiligheid en veilig internetgebruik maken de regels tastbaar en relevant
• Technische ondersteuning: maak naleving gemakkelijk door technische maatregelen die het gewenste gedrag ondersteunen, zoals een wachtwoordmanager beschikbaar stellen of automatische schermvergrendeling instellen
• Duidelijke meldprocedure: medewerkers moeten weten hoe en waar ze verdachte situaties kunnen melden, zonder angst voor negatieve gevolgen
• Consequent handhaven: als overtredingen geen gevolgen hebben, verliest de AUP zijn geloofwaardigheid; zorg voor een duidelijk en consistent sanctiebeleid

Naleving is geen eenmalige actie maar een doorlopend proces. Organisaties die investeren in continue security awareness zien in de praktijk een aanzienlijk betere naleving van hun ICT-beleid.

Wanneer moet een acceptable use policy worden herzien?

Een acceptable use policy moet minimaal eens per jaar worden herzien, en altijd direct na een significante verandering in de organisatie of het dreigingslandschap. Denk aan de introductie van nieuwe technologie, een fusie, een beveiligingsincident, of nieuwe wet- en regelgeving zoals de NIS2-richtlijn.

Concrete aanleidingen voor een herziening zijn onder meer:

• Introductie van nieuwe systemen, cloudplatforms of samenwerkingstools
• Wijziging in de werkwijze, zoals de overstap naar hybride werken
• Een beveiligingsincident waarbij bleek dat de AUP tekortschoot
• Nieuwe wet- of regelgeving die eisen stelt aan het gebruik van systemen of gegevens
• Uitbreiding of krimp van de organisatie, fusies of overnames
• Feedback van medewerkers of de IT-afdeling over onduidelijkheden in het beleid

In 2026 is het bijhouden van beleid extra relevant voor organisaties die onder de Cyberbeveiligingswet (de Nederlandse uitwerking van NIS2) vallen. Die wet verplicht organisaties om beleid voor risicoanalyse en informatiebeveiliging actueel te houden als onderdeel van de zorgplicht. Een verouderde AUP is daarbij niet alleen een praktisch risico, maar kan ook juridische consequenties hebben.

Stel bij elke herziening ook de vraag of de AUP nog aansluit bij de dagelijkse praktijk. Een beleid dat op papier klopt maar in de werkelijkheid niet wordt gevolgd, biedt geen echte bescherming.

Hoe Q-Cyber helpt met het opstellen van een acceptable use policy

Een AUP opstellen klinkt eenvoudig, maar in de praktijk worstelen veel organisaties met de vraag hoe concreet het beleid moet zijn, hoe het aansluit op andere beleidsdocumenten en hoe het juridisch en technisch klopt. Wij helpen organisaties bij het volledige traject, van de eerste analyse tot een werkbaar en nageleefd beleid.

Wat wij daarin bieden:

• Beleidsschrijving op maat: wij schrijven een AUP die aansluit op jouw organisatie, branche en risicoprofiel, zonder gebruik van generieke templates
• NIS2-alignment: wij zorgen dat het beleid voldoet aan de eisen van de Cyberbeveiligingswet en de NIS2-zorgplicht, inclusief afstemming op gerelateerde beleidsdocumenten
• Bewustwordingstrainingen: wij verzorgen trainingen voor medewerkers en bestuurders om naleving te verankeren in de organisatiecultuur
• Onafhankelijk advies: wij zijn niet gebonden aan softwarepartijen of leveranciers, wat betekent dat ons advies altijd in het belang van jouw organisatie is
• Periodieke review: via onze vCISO-diensten houden wij beleid actueel en signaleren wij tijdig wanneer herziening nodig is

Wil je weten hoe jouw huidige AUP scoort of heb je hulp nodig bij het opstellen van cybersecuritybeleid? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat is het verschil tussen NIS2 en DORA?

Geplaatst op: 20 september 2026

NIS2 en DORA zijn twee verschillende Europese regelgevingen op het gebied van cybersecurity, maar ze richten zich op andere doelgroepen en hebben een andere reikwijdte. NIS2 geldt breed voor essentiële en belangrijke sectoren in de EU, terwijl DORA specifiek van toepassing is op de financiële sector. Voor organisaties in de financiële sector kunnen beide regelgevingen tegelijk van toepassing zijn. Dit artikel beantwoordt de meest gestelde vragen over het verschil tussen NIS2 en DORA, zodat je precies weet wat er voor jouw organisatie geldt.

Voor welke organisaties geldt NIS2 en voor welke DORA?

NIS2 geldt voor organisaties in een breed scala aan essentiële en belangrijke sectoren, zoals energie, transport, drinkwater, gezondheidszorg, digitale infrastructuur en overheid. DORA, de Digital Operational Resilience Act, geldt uitsluitend voor de financiële sector: banken, verzekeraars, beleggingsondernemingen, betalingsinstellingen en hun kritieke ICT-dienstverleners.

In Nederland vallen naar schatting ruim 10.000 organisaties rechtstreeks onder NIS2. Dat zijn niet alleen grote bedrijven, maar ook middelgrote organisaties die actief zijn in sectoren die als essentieel of belangrijk worden aangemerkt. Denk aan ziekenhuizen, drinkwaterbedrijven, aanbieders van digitale diensten en overheidsinstanties zoals gemeenten, provincies en waterschappen. Gemeenten vallen automatisch onder de wet, net als ministeries en waterschappen.

DORA richt zich op een specifiekere groep. De verordening is op 17 januari 2025 volledig van toepassing geworden en geldt voor alle financiële entiteiten die onder Europees financieel toezicht staan. Een belangrijk onderscheid met NIS2 is dat DORA een EU-verordening is en dus rechtstreeks werkt in alle lidstaten, zonder nationale omzetting. NIS2 is een richtlijn die via nationale wetgeving wordt geïmplementeerd. In Nederland gebeurt dat via de Cyberbeveiligingswet, waarvan de inwerkingtreding wordt verwacht in het tweede kwartaal van 2026.

Wat zijn de belangrijkste inhoudelijke verschillen tussen NIS2 en DORA?

Het grootste inhoudelijke verschil tussen NIS2 en DORA zit in de diepgang en focus. NIS2 legt brede cybersecurityverplichtingen op aan een groot aantal sectoren, terwijl DORA specifiek gericht is op de operationele digitale weerbaarheid van financiële instellingen en daarin op bepaalde punten veel verder gaat dan NIS2.

Wat regelt NIS2?

NIS2 verplicht organisaties om cybersecurityrisico’s structureel te beheersen. De kernverplichtingen omvatten:

• Implementeren van technische en organisatorische beveiligingsmaatregelen
• Beleid voor toegangsbeheer, cryptografie en systeembeveiliging
• Supply chain-beveiliging: inzicht in de cybersecuritymaatregelen van leveranciers
• Incidentmelding bij de bevoegde autoriteiten
• Bestuurlijke verantwoordelijkheid: het management is eindverantwoordelijk en moet aantoonbaar voldoende kennis hebben van cybersecurity

Bij niet-naleving kunnen essentiële entiteiten boetes krijgen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de jaaromzet.

Wat regelt DORA?

DORA gaat dieper in op specifieke thema’s die voor de financiële sector extra relevant zijn. De verordening bevat gedetailleerde eisen op het gebied van:

• ICT-risicobeheer: een uitgebreid raamwerk voor het identificeren, beschermen, detecteren en herstellen van ICT-risico’s
• Testen van digitale weerbaarheid: inclusief verplichte dreigingsgestuurde penetratietests (TLPT) voor grote instellingen
• Beheer van ICT-derde partijen: strikte contractuele eisen aan kritieke ICT-leveranciers, met directe toezichtsbevoegdheden van Europese toezichthouders over die leveranciers
• Informatie-uitwisseling over cyberdreigingen binnen de financiële sector

DORA is daarmee veel gedetailleerder en sectorspecifieker dan NIS2, met name op het gebied van leveranciersmanagement en het testen van weerbaarheid.

Overlappen NIS2 en DORA elkaar, of vullen ze elkaar aan?

NIS2 en DORA overlappen elkaar gedeeltelijk, maar vullen elkaar ook aan. Voor financiële instellingen die onder beide regelgevingen vallen, geldt dat DORA op de overlappende gebieden voorrang heeft. De Europese wetgever heeft dit expliciet bepaald: DORA wordt beschouwd als een sectorspecifieke aanvulling op NIS2 voor de financiële sector.

In de praktijk betekent dit dat een bank die voldoet aan DORA op het gebied van ICT-risicobeheer en incidentmelding, daarmee ook grotendeels voldoet aan de overeenkomstige NIS2-verplichtingen. De DORA-eisen zijn op die punten strenger en gedetailleerder, waardoor naleving van DORA als voldoende wordt beschouwd voor de overlappende onderdelen van NIS2.

Toch zijn er ook gebieden waarop NIS2 aanvullende verplichtingen oplegt die DORA niet dekt. Denk aan de bredere zorgplicht voor de beveiliging van netwerk- en informatiesystemen en de specifieke eisen rondom bestuurlijke verantwoordelijkheid zoals die in de Nederlandse Cyberbeveiligingswet worden uitgewerkt. Financiële instellingen moeten dus beide regelgevingen goed kennen en begrijpen waar ze overlappen en waar ze van elkaar afwijken.

Wat zijn de meldplichten onder NIS2 vergeleken met DORA?

Zowel NIS2 als DORA bevatten strikte meldplichten bij ernstige incidenten, maar de termijnen en structuur verschillen. Onder NIS2 moeten organisaties een significant incident binnen 24 uur melden bij de bevoegde autoriteit, gevolgd door een aanvullende melding binnen 72 uur en een eindverslag binnen een maand. DORA hanteert vergelijkbare termijnen, maar kent een gedetailleerdere classificatie van wat als een ernstig incident geldt.

Onder NIS2 is de meldstructuur als volgt:

1. Vroegtijdige waarschuwing: binnen 24 uur na ontdekking van een significant incident
2. Vervolgmelding: aanvullende informatie binnen 72 uur
3. Eindverslag: gedetailleerde beschrijving van het incident, de ernst en de gevolgen, uiterlijk één maand na de eerste melding

DORA kent een vergelijkbare fasering, maar voegt daar een initiële kennisgeving aan toe die al binnen vier uur na classificatie van het incident moet plaatsvinden, gevolgd door een tussentijdse en een eindrapportage. Bovendien moeten financiële instellingen onder DORA ook hun klanten informeren als het incident hen raakt. Dit maakt de DORA-meldplicht operationeel zwaarder dan die van NIS2.

Voor de publieke sector in Nederland zijn de verwachte meldpunten het NCSC (rijksoverheid), de Informatiebeveiligingsdienst voor gemeenten en CERT-Watermanagement voor waterschappen. Voor de financiële sector zijn de relevante toezichthouders de Europese Bankautoriteit, de Europese Autoriteit voor verzekeringen en bedrijfspensioenen en de Europese Autoriteit voor effecten en markten.

Hoe bereid je je voor op zowel NIS2 als DORA tegelijk?

Als jouw organisatie onder zowel NIS2 als DORA valt, is de slimste aanpak om te beginnen met een geïntegreerde gap-analyse die beide regelgevingen tegelijk in kaart brengt. Zo voorkom je dubbel werk en kun je maatregelen slim combineren. Begin met de DORA-vereisten als basis, omdat die op de overlappende gebieden strenger zijn, en vul daarna aan met de specifieke NIS2-verplichtingen die DORA niet dekt.

Praktische stappen voor een gecombineerde voorbereiding:

• Bepaal je scope: Identificeer onder welke categorie je valt (essentieel of belangrijk onder NIS2, en welk type financiële entiteit onder DORA)
• Voer een gap-analyse uit: Breng in kaart welke maatregelen al zijn geïmplementeerd en waar de lacunes zitten ten opzichte van beide regelgevingen
• Stel een geïntegreerd beleidskader op: Ontwikkel beleid dat beide regelgevingen dekt, zodat je niet twee aparte trajecten hoeft te doorlopen
• Breng de toeleveringsketen in kaart: Zowel NIS2 als DORA stellen eisen aan de beveiliging van leveranciers; een gecombineerde aanpak bespaart tijd
• Train je bestuurders: Beide regelgevingen leggen verantwoordelijkheid bij het management; zorg dat zij de risico’s kennen en kunnen beoordelen
• Test je weerbaarheid: DORA verplicht dreigingsgestuurde penetratietests voor grote instellingen; een professionele pentest helpt ook NIS2-compliance aantonen
• Richt incidentmeldprocedures in: Zorg dat je processen de termijnen van beide regelgevingen kunnen halen

Voor organisaties die nog niet weten of en hoe ze onder NIS2 vallen, biedt de NIS2 Zelfevaluatietool van de RVO een goed startpunt. Financiële instellingen doen er verstandig aan ook de richtsnoeren van de Europese toezichthouders te raadplegen voor de DORA-implementatie. Wie nu al actief bezig is met cybersecurity onderzoek en beleidsvorming, staat straks veel sterker wanneer beide regelgevingen volledig van kracht zijn.

Hoe Q-Cyber helpt met NIS2 en DORA compliance

Wij begrijpen dat het navigeren door twee overlappende Europese regelgevingen tegelijk complex en tijdrovend is. Q-Cyber helpt organisaties om dit overzichtelijk en pragmatisch aan te pakken, zonder onnodige bureaucratie. Onze aanpak is concreet:

• Gap-analyse NIS2 en DORA: We brengen in kaart waar jouw organisatie nu staat en wat er nog moet gebeuren om aan beide regelgevingen te voldoen
• Beleidsschrijving op maat: We schrijven beleid dat aansluit op jouw risicoprofiel en voldoet aan de eisen van NIS2 en DORA
• Bestuurderstrainingen: We verzorgen trainingen die voldoen aan de trainingsplicht onder NIS2 en bestuurders in staat stellen weloverwogen beslissingen te nemen
• Technisch testen: Via red teaming en penetratietests toetsen we of jouw technische maatregelen in de praktijk standhouden
• Virtuele CISO: Via Continuous-Q bieden we doorlopende begeleiding door een team van specialisten, zonder dat je een fulltime CISO hoeft aan te nemen

We werken volledig onafhankelijk, zonder binding aan softwarepartijen of andere toeleveranciers. Dat betekent dat ons advies altijd in jouw belang is. Wil je weten wat er voor jouw organisatie nodig is? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Hoe pak je kwetsbaarhedenbeheer aan voor NIS2?

Geplaatst op: 19 september 2026

Kwetsbaarhedenbeheer is een van de concrete verplichtingen die voortvloeien uit de NIS2-richtlijn. Organisaties die onder de Cyberbeveiligingswet vallen, moeten aantonen dat zij actief risico’s identificeren, beoordelen en aanpakken. Maar hoe doe je dat in de praktijk? In dit artikel doorloop je stap voor stap hoe je een solide aanpak voor kwetsbaarhedenbeheer opzet die aansluit bij de eisen van NIS2 compliance.

De NIS2-zorgplicht vereist passende technische en organisatorische maatregelen op basis van een risicobeoordeling. Kwetsbaarhedenbeheer, ofwel vulnerability management, is daarbinnen een essentieel onderdeel. Een gestructureerde aanpak helpt je niet alleen aan de wet te voldoen, maar versterkt ook daadwerkelijk je digitale weerbaarheid.

Breng je huidige kwetsbaarheden in kaart

Begin met een volledig overzicht van je digitale omgeving. Je kunt geen kwetsbaarheden beheren die je niet kent. Dit betekent dat je eerst inzicht moet krijgen in alle systemen, netwerken, applicaties en koppelingen die binnen je organisatie actief zijn, inclusief cloudoplossingen en externe leveranciers.

1. Stel een actuele inventarisatie op van alle IT-assets: servers, werkstations, netwerkapparatuur, applicaties en cloudservices.
2. Voer een vulnerability scan uit op je omgeving om technische zwakheden automatisch te detecteren.
3. Combineer geautomatiseerde scans met een handmatige beoordeling van configuraties, toegangsrechten en verouderde software.
4. Betrek ook je toeleveringsketen: NIS2 stelt uitdrukkelijk eisen aan supply chain security, dus kwetsbaarheden bij leveranciers tellen mee.

Na deze stap heb je een overzicht van alle bekende kwetsbaarheden in je omgeving. Controleer of de inventarisatie compleet is: zijn er systemen die buiten scope zijn gebleven? Zijn schaduw-IT-omgevingen meegenomen? Een onvolledig beeld leidt tot blinde vlekken die later problemen geven.

Prioriteer kwetsbaarheden op risico en impact

Niet elke kwetsbaarheid vraagt om directe actie. Met een lange lijst van bevindingen is het verleidelijk om alles tegelijk aan te pakken, maar dat is niet realistisch. Prioritering op basis van risico en impact maakt je aanpak beheersbaar en effectief.

1. Gebruik een erkend scoringssysteem zoals CVSS (Common Vulnerability Scoring System) als startpunt voor de technische ernst van een kwetsbaarheid.
2. Weeg de score af tegen de context van je organisatie: een kwetsbaarheid in een publiek bereikbaar systeem weegt zwaarder dan dezelfde kwetsbaarheid in een geïsoleerd intern systeem.
3. Houd rekening met de beschikbaarheid, integriteit en vertrouwelijkheid van de betrokken data of dienst. Dit zijn de kernbegrippen uit de NIS2-zorgplicht.
4. Categoriseer kwetsbaarheden in prioriteitsklassen: kritiek, hoog, gemiddeld en laag, en koppel daar maximale hersteltermijnen aan.

Met een geprioriteerde lijst weet je waar je energie naartoe moet. Verifieer de prioritering door die voor te leggen aan een technisch verantwoordelijke én een beleidsverantwoordelijke binnen je organisatie. Zo zorg je dat zowel de technische als de bedrijfsmatige impact is meegewogen.

Stel een herstelplan op per kwetsbaarheid

Een herstelplan maakt de stap van bevinding naar actie concreet. Voor elke kwetsbaarheid bepaal je wie verantwoordelijk is, wat de maatregel is en wanneer die gereed moet zijn. Dit is ook de documentatie die je nodig hebt om aan te tonen dat je als organisatie in control bent, iets wat toezichthouders zoals de Rijksinspectie Digitale Infrastructuur (RDI) kunnen opvragen.

1. Wijs per kwetsbaarheid een eigenaar aan: de persoon of het team dat verantwoordelijk is voor het herstel.
2. Bepaal de herstelmaatregel: patch installeren, configuratie aanpassen, toegangsrechten beperken, of een tijdelijke mitigatie als directe oplossing niet mogelijk is.
3. Stel een realistische deadline vast op basis van de prioriteitsklasse. Kritieke kwetsbaarheden vragen om herstel binnen dagen, niet weken.
4. Documenteer de beslissing inclusief de onderbouwing. Als je bewust kiest voor een tijdelijke mitigatie, leg dan vast waarom en wanneer de definitieve oplossing volgt.

Het herstelplan is ook een communicatiemiddel richting het bestuur. Onder de Cyberbeveiligingswet zijn bestuurders verantwoordelijk voor beslissingen over informatiebeveiliging. Een helder plan helpt hen weloverwogen keuzes te maken, wat aansluit bij de trainingsplicht die de wet voor bestuurders voorschrijft. Meer weten over hoe je beleid en compliance structureel inricht? Dat vraagt om een integrale aanpak.

Verifieer herstel en documenteer de resultaten

Herstel afsluiten zonder verificatie is een veelgemaakte fout. Een patch kan zijn uitgerold zonder correct te zijn toegepast, of een configuratiewijziging kan onbedoeld nieuwe problemen introduceren. Verificatie sluit de cirkel en levert tegelijk de bewijslast die je nodig hebt voor NIS2 compliance.

1. Voer na elk herstel een hertest uit op de specifieke kwetsbaarheid. Dit kan via een gerichte scan of een handmatige controle, afhankelijk van de aard van de maatregel.
2. Controleer of de kwetsbaarheid daadwerkelijk is opgelost en of er geen nieuwe bevindingen zijn ontstaan door de wijziging.
3. Leg de uitkomst vast: datum van herstel, wie de verificatie heeft uitgevoerd en het resultaat van de hertest.
4. Sluit de bevinding formeel af in je registratiesysteem en koppel de documentatie aan de originele bevinding.

Na verificatie heb je een aantoonbaar gesloten cyclus: van ontdekking via herstel naar bevestigde oplossing. Dit is precies de soort gestructureerde verantwoording die toezichthouders verwachten. Bewaar de documentatie minimaal conform de bewaartermijnen die in je sector gelden.

Maak kwetsbaarhedenbeheer een doorlopend proces

Kwetsbaarhedenbeheer is geen project met een einddatum, maar een continu proces. Nieuwe systemen worden toegevoegd, software-updates introduceren nieuwe kwetsbaarheden en het dreigingslandschap verandert voortdurend. De NIS2-richtlijn verwacht dan ook een structurele aanpak, niet een eenmalige exercitie.

1. Plan regelmatige scans in, minimaal kwartaalgewijs, en vaker voor kritieke systemen of na grote wijzigingen in de omgeving.
2. Koppel kwetsbaarhedenbeheer aan je bredere risicobeheerproces: nieuwe risico’s uit de risicoanalyse moeten leiden tot gerichte scans of beoordelingen.
3. Stel KPI’s in voor je herstelproces, zoals het percentage kwetsbaarheden dat binnen de afgesproken termijn is opgelost.
4. Evalueer het proces periodiek: wat werkt goed, waar lopen herstelacties vast en hoe kan de samenwerking tussen teams worden verbeterd?

Een doorlopend proces vraagt ook om doorlopend inzicht. Overweeg proactief onderzoek naar nieuwe dreigingen als aanvulling op periodieke scans, zodat je niet alleen reageert op bekende kwetsbaarheden maar ook vooruitkijkt naar opkomende risico’s. Met een levend kwetsbaarhedenbeheerproces bouw je de dynamische weerbaarheid op die NIS2 beoogt.

Hoe Q-Cyber helpt met kwetsbaarhedenbeheer voor NIS2

Een gestructureerd kwetsbaarhedenbeheerproces opzetten en volhouden vraagt om technische kennis, beleidsmatige inbedding en continue aandacht. Wij ondersteunen organisaties bij elke stap van dit traject, van de eerste inventarisatie tot een doorlopende beheercyclus die aansluit bij de eisen van de NIS2-richtlijn.

• Vulnerability scans en pentests: Wij voeren technische scans en red team-oefeningen uit om kwetsbaarheden in je omgeving bloot te leggen, inclusief aanvallen via de toeleveringsketen.
• Prioritering en hersteladvies: Onze consultants helpen je bevindingen te wegen op risico en impact, en stellen een praktisch herstelplan op dat aansluit bij jouw organisatiecontext.
• Beleid en documentatie: Wij schrijven het beleid dat je nodig hebt voor NIS2 compliance en zorgen dat je herstelcyclus aantoonbaar is voor toezichthouders.
• Continuous-Q: Via ons virtueel CISO-programma borgen we kwetsbaarhedenbeheer als doorlopend proces binnen jouw organisatie, zonder dat je daar zelf een fulltime specialist voor hoeft aan te nemen.
• Onafhankelijk en transparant: Wij zijn niet gebonden aan softwarepartijen of leveranciers, zodat ons advies altijd in jouw belang is.

Wil je weten waar jouw organisatie nu staat en welke stappen het meest urgent zijn? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer