Of je nu via ISO 27001, NIS2 Quality Mark of een combinatie werkt: de kern is een werkend managementsysteem voor informatiebeveiliging. Voor bestuur en management zijn dit de belangrijkste bouwstenen, inclusief wat je moet documenteren.
1. Risicoanalyse en beleid
Risico’s
- Onvoldoende inzicht in welke systemen, data en processen kritiek zijn.
- Geen duidelijke prioriteiten, waardoor maatregelen ad hoc blijven.
Maatregelen
- Inventariseer kritieke processen, systemen en informatie (assetregister).
- Voer een structurele risicoanalyse uit op basis van NIS2-zorgplichten.
- Stel een informatiebeveiligingsbeleid vast op directieniveau, met duidelijke doelen en kaders.
Documentatie
- Risico- en assetregister.
- Vastgesteld informatiebeveiligingsbeleid (met datum, versie en goedkeuring door bestuur).
- Overzicht van gekozen maatregelen per risico.
2. Incidentmanagement en meldplicht
Risico’s
- Incidenten worden wel opgelost, maar niet vastgelegd of geëvalueerd.
- Je mist signalen uit herhaalde incidenten en bent niet klaar voor NIS2-meldverplichtingen.
Maatregelen
- Richt een incidentproces in met rollen, responstijden en escalatie.
- Zorg voor 24/7 bereikbaarheid van een vast incidentteam of -contactpersoon.
- Oefen periodiek een cyberincident (tabletop of simulatie).
Documentatie
- Incidentregister (wat is er gebeurd, impact, oorzaak, maatregelen).
- Incidentprocedure en werkafspraken.
- Evaluaties van grote incidenten en verbetermaatregelen.
3. Bedrijfscontinuïteit en herstel
Risico’s
- Onvoldoende getest back-up en herstel.
- Onhelder wie wat doet bij uitval van systemen, leveranciers of locatie.
Maatregelen
- Stel een Business Continuity Plan (BCP) en Disaster Recovery Plan (DRP) op.
- Bepaal maximale uitvaltijd per proces (RTO) en maximaal acceptabel dataverlies (RPO).
- Test minimaal jaarlijks back-ups en recovery-scenario’s.
Documentatie
- BCP en DRP met scenario’s, contactlijsten en herstelstappen.
- Testverslagen van back-up en herstel.
- Overzicht van kritieke leveranciers en afhankelijkheden.
4. Leveranciersmanagement en ketenzorgplicht
Risico’s
- Geen overzicht van leveranciers die toegang hebben tot kritieke systemen of data.
- Geen afspraken over beveiliging in contracten en SLA’s.
Maatregelen
- Maak een leveranciersregister met risicoklasse per leverancier.
- Stel minimale security-eisen op per type leverancier (bijvoorbeeld: NIS2 QM10 verplicht voor bepaalde categorie).
- Leg beveiligingseisen vast in contracten en evalueer die periodiek.
Documentatie
- Leveranciersregister met risico-indeling.
- Standaard beveiligingsclausules voor contracten.
- Verslagen van periodieke leveranciersbeoordelingen.
5. Mens, bewustwording en gedrag
Risico’s
- Medewerkers herkennen phishing en social engineering niet.
- Beleid bestaat, maar wordt niet geleefd.
Maatregelen
- Jaarlijkse trainingen en korte awareness-momenten (bijvoorbeeld microlearnings).
- Duidelijke afspraken over gebruik van wachtwoorden, eigen devices, thuiswerken.
- Simulaties van phishingcampagnes en opvolging.
Documentatie
- Registraties van gevolgde trainingen.
- Instructies en protocollen voor medewerkers.
- Resultaten van awareness-campagnes en opvolgacties.
n NIS2-gedoe naar werkbaar systeem
Normsupport werkt dagelijks met MKB-bedrijven die leveren aan NIS2-plichtige organisaties. Vanuit die praktijk hebben we een aanpak ontwikkeld die twee dingen combineert:
- NIS2 Quality Mark certificering (QM10 en QM20)
- Kant en klaar ingerichte managementsoftware voor jouw NIS2- en securityproces
Op basis van de NIS2 QM10 en QM20 normen richten wij een praktische omgeving voor je in waarin:
- De volledige NIS2 QM10 of QM20 eisenstructuur al is opgenomen.
- Je per eis ziet: welke maatregel nodig is, welke documenten daarbij horen en wie verantwoordelijk is.
- Je risicoanalyses, beleid, procedures, logboeken en audits centraal en aantoonbaar vastlegt.
- Je dashboards krijgt voor voortgang: wat is al geregeld, waar zitten nog gaten.
Daarbij bieden we onder meer:
- Een NIS2 QM-scan die snel duidelijk maakt waar je staat.
- Begeleiding bij het inrichten van beleid, processen en registraties in de software.
- Voorbereiding op de audit en begeleiding tot en met het behalen van NIS2 QM10 of NIS2 QM20.
Het resultaat:
- Je voldoet aantoonbaar aan NIS2-eisen op jouw niveau.
- Je hebt een werkend managementsysteem, in plaats van losse Excel-lijstjes.
- Je kunt klanten direct laten zien hoe jouw organisatie digitale veiligheid en continuïteit borgt.
Samengevat: dit is hét moment om als leverancier in te stappenDe ontwikkelingen in Noord Nederland laten zien wat er landelijk gaat gebeuren: grote organisaties organiseren zich rond NIS2 en nemen hun keten daarin mee. Dat is geen dreiging, maar een kans voor leveranciers die nu in beweging komen.
Met NIS2 QM10 of QM20 laat je zien:
- dat je de taal van NIS2 en digitale veiligheid spreekt;
- dat je processen, risico’s en maatregelen gestructureerd hebt vastgelegd;
- en dat je een betrouwbare partner bent voor kritieke diensten.
Wil je weten welk niveau bij jouw organisatie past of hoe je NIS2 Quality Mark en ISO 27001 slim combineert? Dan is een korte verkennende sessie of QM-scan een logisch eerste stap.