ISO-certificering voor NIS2? Voor de meeste bedrijven veel te zwaar

Grote klanten pushen leveranciers regelmatig richting een volledige ISO-certificering voor NIS2-compliance. Dat klinkt misschien logisch, maar in de praktijk blijkt dit voor de meeste organisaties, veelal mkb’ers, te zwaar, te kostbaar en simpelweg niet nodig.

Dit schrikt veel leveranciers af. Onnodig, want grote organisaties mogen en moeten hun leveranciers proportioneel beoordelen. Dat is een stuk praktischer.

Wat zien we in de praktijk?

Organisaties worden regelmatig geconfronteerd met:

trajecten met 90+ maatregelen
implementaties die > 1 jaar duren
kosten die oplopen tot €20.000 of meer
uitgebreide audits

Voor complexe of grote organisaties kan dat passend zijn. Maar voor veel mkb-leveranciers in de keten is dit disproportioneel.

Wat vraagt NIS2?

De NIS2 Cyberbeveiligingswet draait vooral om aantoonbare basisbeveiliging en risicobeheersing in de keten. Het is veelal voldoende dat leveranciers kunnen aantonen dat ze hun basiscybersecurity op orde hebben

NIS2 schrijft namelijk niet voor dat iedere leverancier dezelfde (zware) certificering moet behalen. Proportionaliteit staat juist een goede interpretatie van de wetgeving.

Een praktische route: NIS2 Supply Chain SC10

Voor veel mkb-bedrijven is NIS2 Supply Chain SC10 daarom een logische en beter uitvoerbare oplossing. Dit niveau richt zich op basis cyberhygiëne en bevat in totaal slechts 17 maatregelen. Denk aan:

MFA instellen
veilige wachtwoorden gebruiken
back-ups regelen
basis leveranciersbeheer
incidentmeldingen organiseren

In de praktijk zien we dat veel bedrijven hiervan al 7 tot 8 maatregelen op orde hebben. Daardoor blijft er een overzichtelijk en haalbaar traject over.

Slim omgaan met NIS2

Voor organisaties die vooral willen aantonen dat hun basis cyberbeveiliging op orde is, hoeft NIS2 dus geen langdurig of kostbaar traject te zijn.

Met een proportionele aanpak zoals NIS2 Supply Chain SC10 kunnen bedrijven snel, praktisch en betaalbaar voldoen aan de verwachtingen vanuit klanten, ketenpartners en de aankomende wetgeving.

Cybersecurity hoeft niet ingewikkelder gemaakt te worden dan nodig is. Juist een haalbare aanpak zorgt ervoor dat meer organisaties daadwerkelijk stappen zetten richting een veiligere digitale keten.