Hoe je kunt groeien in cyberweerbaarheid met het NIS2 Quality Mark

tl;dr:
De NIS2-richtlijn raakt ook mkb’ers, vooral als je levert aan grotere organisaties. Die gaan eisen stellen aan jouw cybersecurity. Het NIS2 Quality Mark helpt hierbij: een praktische norm in drie niveaus waarmee je stapsgewijs groeit in cybervolwassenheid. Ook als je al ISO- of NEN-gecertificeerd bent, moet je mogelijk extra stappen zetten. Certificeren kan in vijf overzichtelijke stappen. Zo toon je aan dat je een betrouwbare schakel bent in de digitale keten – en bescherm je zowel je klanten als je eigen organisatie.

De NIS2-richtlijn heeft flinke impact op bedrijven, zeker als je onderdeel bent van een keten waarin grote organisaties actief zijn. Misschien denk je: “Maar ik ben geen kritieke infrastructuur.” Toch is de kans groot dat jouw klant dat wél is. En dat die klant straks van jou gaat eisen dat je voldoet aan bepaalde cybersecuritynormen. Gelukkig is er nu een praktisch hulpmiddel ontwikkeld dat speciaal voor mkb-toeleveranciers is bedoeld: het NIS2 Quality Mark.

Geschreven door: Jacco Wildeman

Een initiatief van en vóór het bedrijfsleven

Samen met VNO-NCW en MKB Nederland hebben tien grote brancheorganisaties de handen ineengeslagen om een cyberveiligheidsnorm op te stellen, die realistisch én haalbaar is voor mkb’ers. Denk aan organisaties als Bouwend Nederland, Techniek Nederland, Schoonmakend Nederland en BOVAG. Samen hebben zij het NIS2 Quality Mark ontwikkeld – een norm die in drie niveaus werkt en helpt om stapsgewijs te groeien in cybervolwassenheid.

Drie niveaus: groeien in volwassenheid

Het NIS2 Quality Mark is opgebouwd uit drie niveaus: 10, 20 en 30. Heb je nog weinig gedaan op het gebied van cybersecurity? Dan begin je met niveau 10: “de basis op orde”. Dat zijn maatregelen die het Nationaal Cyber Security Centrum (NCSC) al jarenlang aanbeveelt. Denk aan netwerksegmentatie, backup procedures, en multi-factor authenticatie.

Deze maatregelen zijn verdeeld over vier categorieën:

1. Organisatorisch: Je moet een plan hebben waarin staat wat je beschermt, waarom en hoe – en dat moet door de directie zijn goedgekeurd.
2. Fysiek: Alleen bevoegde medewerkers mogen toegang krijgen tot ruimtes en applicaties.
3. Mensgericht: Denk aan awareness-trainingen voor je medewerkers én management, zodat zij weten hoe ze moeten handelen bij bijvoorbeeld phishing of CEO-fraude.
4. Technisch: Hier komt technologie om de hoek kijken – iets waar partners zoals Ekco je ook bij kunnen helpen.

Waarom dit relevant is

Ook al ben je zelf niet direct NIS2-plichtig, jouw klanten kunnen dat wél zijn. En zij gaan hun keten onder de loep nemen met risicoanalyses. Stel: je levert kaas aan een supermarktketen of bent verantwoordelijk voor transport. De supermarkt zal kijken: wat gebeurt er als deze leverancier uitvalt? Is het risico dan laag of hoog? Hoe hoger het risico voor hen, hoe zwaarder de eisen die ze aan jou gaan stellen. Dat kan dus betekenen dat jij als leverancier een bepaald NIS2 Quality Mark moet behalen – bijvoorbeeld niveau 20 of 30 – om de relatie in stand te houden.

Wat als je al ISO of NEN gecertificeerd bent?

Heb je al een ISO 27001 of NEN 7510-certificering? Dan ben je al goed op weg. Maar dat betekent niet automatisch dat je volledig NIS2-compliant bent. De wet vereist namelijk ook zaken als meldplicht, registratie, opleiding van de directie en ketenverantwoordelijkheid – en dat zijn punten die niet standaard in ISO of NEN zitten. Je zult dus een ‘gap-analyse’ moeten uitvoeren om te zien welke extra maatregelen je nog moet nemen.

Certificeren in 5 stappen

Wil je aan de slag met het NIS2 Quality Mark? Dan doorloop je vijf stappen:

1. Preregistratie – Je meldt je aan en toont hiermee dat je werkt aan je cyberweerbaarheid. Je krijgt een QR-code voor op je website waarmee klanten dit kunnen zien.
2. Auditvoorbereiding – Samen met bijvoorbeeld een consultant van Ekco bereid je je voor.
3. Pre-audit webinar – Verplicht onderdeel georganiseerd door de Stichting Kwaliteitsinnovatie.
4. Onafhankelijke audit – Je kiest een externe partij die jouw organisatie toetst.
5. Certificaat – Bij een positieve uitkomst krijg je een certificaat voor drie jaar én een geüpdatete QR-code.

En hoe zit het met toezicht?

In Nederland komen er zeven toezichthouders die toezicht houden op de naleving van NIS2, zoals de Autoriteit Persoonsgegevens (AP), de Rijksinspectie Digitale Infrastructuur (RDI) en de Inspectie Gezondheidszorg & Jeugd (IGJ). Hun rol is vooral stimulerend en controlerend, niet straffend. Ze willen bedrijven helpen om digitaal weerbaarder én wendbaarder te worden. Pas als je aantoonbaar niets doet, kunnen er sancties volgen.

Samengevat

Of je nu gemotiveerd bent om je cybersecurity naar een hoger niveau te tillen of je klant dat straks van jou eist: het NIS2 Quality Mark is een praktische en haalbare manier om jouw organisatie klaar te stomen voor de toekomst. Je begint waar je staat, groeit stap voor stap, en toont met een certificaat aan dat jij een betrouwbare schakel bent in de digitale keten. Want uiteindelijk gaat het niet alleen om voldoen aan regels – het gaat erom dat jij je klanten en je eigen bedrijf beschermt.

Bekijk ons webinar over NIS2