Over cyberregels wordt veel geroepen en weinig uitgelegd. Deze pagina zet op een rij wat er in Nederland écht voor een kantoor van vijf tot twintig man geldt, wat wij daarvan overnemen, en wat u zelf moet blijven doen. Zonder dreigende taal, want daar wordt niemand veiliger van.
Waar het op neerkomt
Voor een gewoon MKB-kantoor bestaat er geen verplichte cybercertificering. Wat er wél is: een zorgplicht rond persoonsgegevens, een meldplicht bij datalekken, en steeds vaker eisen die via uw klanten en verzekeraar binnenkomen.
Valt u zelf niet onder NIS2, dan valt een deel van uw klanten dat waarschijnlijk wél. Die moeten hun leveranciers beoordelen. Zo komt de regelgeving alsnog bij u binnen, in de vorm van een vragenlijst.
Beleid hebben is niet zo moeilijk. Kunnen laten zien dat het ook draait, dát is waar het bij een audit, een verzekeraar of na een incident op vastloopt. Daar is onze maandrapportage voor.
Links de regel, in het midden wat hij praktisch van u vraagt, rechts wat wij daarvoor inrichten. Geen juridische verhandeling. De bron staat er telkens bij zodat u het zelf kunt nalezen.
De wet noemt geen concrete maatregelen, maar verwacht dat u persoonsgegevens beschermt op een niveau dat past bij het risico. Werkt u voor een ander, dan hoort daar een verwerkersovereenkomst bij. En u moet kunnen uitleggen wat u heeft gedaan.
Een datalek dat waarschijnlijk risico oplevert voor betrokkenen, meldt u binnen 72 uur bij de AP. Ook lekken die u níet meldt, moet u intern registreren. De klok begint te lopen zodra u ervan weet. Dus dat u het snel weet, is het halve werk.
Voor aangewezen sectoren, grofweg vanaf vijftig medewerkers of tien miljoen omzet. Vraagt om risicobeheer, incidentmelding, en een bestuur dat er aantoonbaar op stuurt. De Nederlandse invoering liep vertraging op; controleer de actuele stand bij het Digital Trust Center of de RDI.
In de praktijk merkt een MKB-kantoor de regelgeving vooral hier: een cyberverzekeraar die om MFA vraagt voordat hij uitkeert, een accountant die vraagt hoe u toegang regelt, of een opdrachtgever met een securityvragenlijst van zes pagina’s.
Dit is een praktische samenvatting, geen juridisch advies. Wetgeving verandert en de Nederlandse uitwerking van NIS2 was op het moment van schrijven nog in beweging. Twijfelt u of iets op u van toepassing is, raadpleeg dan het Digital Trust Center, de Rijksinspectie Digitale Infrastructuur of uw jurist. Wij denken graag mee, maar wij zijn geen advocaat.
Er wordt veel mee geschermd, ook richting bedrijven waar het niet voor bedoeld is. Loop deze drie langs; komt u nergens uit, dan valt u er vrijwel zeker niet direct onder, maar lees dan vooral de derde.
Denk aan energie, drinkwater, transport, bankwezen, digitale infrastructuur, overheid, zorg, post, afval, chemie, levensmiddelen en digitale aanbieders. Een administratiekantoor, salon of garage staat daar niet tussen.
Meestal: neeDe ondergrens ligt grofweg bij vijftig medewerkers óf tien miljoen euro omzet en balanstotaal. Onder die grens vallen de meeste organisaties buiten de directe werking, met een enkele uitzondering voor kritieke aanbieders.
Bij 5 tot 20 man: neeDít is de vraag die er voor u toe doet. Organisaties in scope moeten hun toeleveringsketen beoordelen. Levert u aan een ziekenhuis, gemeente, netbeheerder of grote verwerker, dan krijgt u hun eisen doorgeschoven, contractueel, niet vrijblijvend.
Hier zit uw werkWat wij hieraan doen: als een klant van u een securityvragenlijst stuurt, vullen wij die in met bewijs uit uw eigen omgeving. Geen algemene beloftes, maar uw MFA-dekking, uw patchstatus, uw back-uptests en uw trainingsdeelname, met datum.
U vertrouwt ons uw werkplekken, uw e-mail en uw gegevens toe. Dan mag u weten hoe wij zelf zijn ingericht, inclusief wat er gebeurt als het bij óns misgaat.
Wij hebben een eigen cyberverzekering bij Hiscox. Gaat er bij ons iets mis met gevolgen voor u, dan hangt de afhandeling niet af van wat wij op dat moment kunnen dragen.
Onze eigen dekkingStandaard onderdeel van elk contract, niet iets waar u om moet vragen. Gegevens worden binnen de EU verwerkt; waar dat niet kan, hoort u het vooraf en niet in de kleine lettertjes.
Bij elk contractHetzelfde leerplatform en dezelfde maandelijkse phishingsimulaties die onze klanten krijgen, draaien op ons eigen team. Wie beveiliging verkoopt en zichzelf overslaat, verkoopt lucht.
Elke maandMicrosoft Solutions Partner, Kaseya Silver Partner en lid van NLdigital. Dat laatste betekent ook dat wij ons aan hun gedragsregels en algemene voorwaarden houden.
Aangesloten en toetsbaarEen partij die zegt dat u nergens meer naar hoeft om te kijken, vertelt niet de waarheid. Er blijft een deel bij u, klein, maar wel het deel dat bij een incident het verschil maakt.
Vastgelegd in het contract, zichtbaar in de maandrapportage.
Wij helpen en herinneren, maar wij kunnen dit niet voor u tekenen.
Staat uw vraag er niet bij? Bel 088 373 8920. U krijgt iemand die uw omgeving kent.
Dertig minuten waarin we uw situatie langs deze regels leggen en zeggen wat er nodig is. Als dat weinig is, hoort u dat ook. Wilt u eerst iets concreets: de Darkweb Scan is kosteloos en levert een rapport op dat u ook zonder ons kunt gebruiken.
Geen verkooppraatje en geen verplichting. Wilt u erna niets, dan hoort u niets meer van ons.
Klaar om te versnellen? Eén uur, geen verplichting.
Afspraak plannenDe Darkweb Scan is gratis, kost u twee velden en levert een rapport op dat u ook zonder ons kunt gebruiken.
Vink aan wat u wilt. U ziet meteen wat het per maand wordt voor uw kantoor.