NIS2 en ISO 27001: wat wij in de praktijk zien bij kmo’s
Wie eronder valt en sinds wanneer, staat in onze FAQ. Dit gaat over iets anders: wat er gebeurt zodra een kmo er echt mee aan de slag moet.
De feitelijke basis van NIS2 en ISO 27001 (wie eronder valt, welke drempels gelden en sinds wanneer) staat uitgelegd in de veelgestelde vragen op onze cybersecuritypagina. Dit artikel gaat over iets anders: wat wij in de praktijk meemaken wanneer we een kmo door zo’n traject begeleiden.
Wat een kmo er concreet van merkt
Voor de meeste bedrijfsleiders begint NIS2 als iets abstracts: een wetgeving waar de sectorfederatie of de boekhouder een mail over stuurde. Het wordt pas concreet zodra men beseft dat het niet enkel over het eigen bedrijf gaat.
Wat meestal als eerste binnenkomt, is een vragenlijst. Een klant of opdrachtgever die zelf onder NIS2 valt, stuurt die door naar zijn leveranciers. Plots moet er iemand antwoorden op vragen over incidentbeheer, toegangsbeheer en bewustwordingstraining, en die iemand heeft vaak geen IT-achtergrond.
Wat mensen daarna merken, is dat het niet bij techniek blijft. Er komt bestuurlijke verantwoordelijkheid bij kijken. Zaakvoerders en bestuurders moeten kunnen aantonen dat ze over de nodige kennis beschikken, en kunnen bij nalatigheid persoonlijk aansprakelijk gesteld worden. Dat besef verandert doorgaans de toon van het gesprek, van “moet dat echt” naar “hoe pakken we dit ernstig aan”.
Bij ISO 27001 ligt het anders. Dat traject start zelden uit vrees voor een boete, maar bijna altijd omdat een klant of partner het uitdrukkelijk als voorwaarde stelt, of omdat het bedrijf zijn informatiebeveiliging structureel en aantoonbaar op punt wil zetten.
De vragen die wij het vaakst krijgen
“Moeten wij hier echt iets mee doen, of kunnen we afwachten?” Verreweg de meest gestelde vraag. Het antwoord hangt sterker af van uw sector en uw klantenrelaties dan van de wettelijke drempel op zich.
“Kunnen we dit erbij nemen naast onze bestaande IT-werking, of moet er iemand voltijds op zitten?” De realiteit ligt meestal in het midden. Het vraagt structurele aandacht, maar zeker in het begin niet noodzakelijk een voltijdse functie.
“Wat als we het niet perfect doen, is een beetje beter dan niets genoeg?” Hier zien we vaak opluchting wanneer we uitleggen dat dit een groeitraject is. Een eerste, oprechte stap is veel waard, zolang die stap ook effectief gezet wordt.
“Kan onze bestaande IT-partner dit niet gewoon meenemen?” Soms wel, soms niet. Veel klassieke IT-partners zijn sterk in infrastructuur en support, maar minder vertrouwd met de bestuurlijke kant: beleid, documentatie en bewustwording bij medewerkers. Dat is precies het stuk waar wij bijspringen.
Hoe zo’n traject in de praktijk begint
Bijna nooit met een grote, geplande actie. Meestal is er een concrete aanleiding: een vragenlijst van een klant die beantwoord moet worden, een verzekeraar die naar het securitybeleid vraagt, of een bestuurder die op een netwerkevent hoort dat een collega-bedrijf er al volop mee bezig is.
Vanaf daar volgt bijna altijd hetzelfde patroon. Eerst een gesprek waarin we samen in kaart brengen waar het bedrijf vandaag staat: welke systemen er zijn, wie waarvoor verantwoordelijk is, en wat er al aan beleid en procedures bestaat, ook al staat dat nog nergens op papier. Pas daarna volgt een actieplan, met prioriteiten die aansluiten bij het werkelijke risico en de druk vanuit klanten of sector.
Wat wij sterk aanraden als eerste stap, en wat bedrijven zelf zelden spontaan doen: een nulmeting. Niet om meteen alles op te lossen, maar om te weten waar de grootste risico’s zitten en om met kennis van zaken te kunnen prioriteren.
De misvattingen die het duurst uitvallen
De grootste misvatting is dat NIS2 en ISO 27001 in essentie IT-projecten zijn. Ze worden vaak doorgeschoven naar “de IT-persoon” of de externe IT-partner, terwijl het merendeel van het werk over mensen en processen gaat: wie mag wat, hoe wordt een incident gemeld, wie neemt beslissingen, hoe worden medewerkers opgeleid.
Een tweede misvatting is dat compliance een eindpunt is, iets wat u haalt en dan is het klaar. In werkelijkheid is het een doorlopend proces. Beleid moet onderhouden worden, medewerkers hebben herhaling nodig, en risico’s veranderen mee met het bedrijf. Wie dit als eenmalig project aanpakt, valt na verloop van tijd terug en mag een deel van het werk overdoen.
Tot slot horen we vaak de veronderstelling dat kleine bedrijven vanzelf onder de radar blijven. In de praktijk is het net de druk vanuit de keten die kleinere bedrijven in beweging brengt: een grotere klant die zelf compliant moet zijn en dat doorschuift naar zijn leveranciers, ongeacht of die er strikt genomen zelf onder vallen.
Benieuwd waar uw bedrijf vandaag staat? Een eerste gesprek kost niets en geeft meteen een realistisch beeld van de volgende stap.