Wat is de NIS2 QM10 Quality Mark?

De NIS2 QM10 Quality Mark is een nieuwe standaard die toeleveranciers van NIS2 plichtige bedrijven helpt te voldoen aan de strengere beveiligingsvereisten van de NIS2-richtlijn. In een tijd waarin cyberdreigingen blijven toenemen, biedt deze kwaliteitsmarkering organisaties een gestructureerde aanpak voor informatiebeveiliging, risicobeheer en compliance. In dit artikel ontdek je alles over de QM10, de rol ervan binnen NIS2, en hoe deze zich verhoudt tot de NIS2 QM20 en NIS2 QM30 certificeringen.

Wat is NIS2?

De NIS2-richtlijn (Network and Information Security Directive 2) is de herziene Europese wetgeving die op 18 oktober 2024 in werking is getreden. Ze vervangt de oorspronkelijke NIS-richtlijn en legt strengere eisen op aan een grotere groep organisaties in sectoren zoals energie, transport, gezondheid en digitale infrastructuur. Doel: het verhogen van de digitale weerbaarheid in de EU. Deze norm is niet vrijblijvend. Bedrijven die werkzaam zijn binnen de kritische sectoren en een bepaalde omvang hebben moeten aan de eisen van NIS2 voldoen.

Introductie van het NIS2 Quality Mark Framework

Het zijn de essentiële en belangrijke NIS2-entiteiten die eisen moeten stellen aan directe leveranciers die een risico zijn. Dit betekent dat deze leveranciers – als onderdeel van de supply chain – cybersecuritymaatregelen moet nemen om aan deze ketenverplichtingen te voldoen. Om dat aantoonbaar te maken kan een toeleverancier besluiten om het ISO 27001 certificaat te behalen. Dat is echter voor veel bedrijven een enorme tijds- en geldinvestering. Daarbij komt dat het merendeel van de leveranciers aan NIS2 plichtige bedrijven wat betreft omvang een MKB-bedrijf is.

Dat is de reden dat NIS2 QM10  is opgesteld door de Stichting Kwaliteitsinnovatie. Als Stichting, die werkt voor de belangen van samenwerkende branche- en beroepsorganisaties en de daar aangesloten bedrijven en beroepsbeoefenaren, streeft zij naar verbetering van cybersecurity voor alle bedrijven en organisaties in Europa. Dit doen zij door een breed gedragen norm in meerdere niveaus toegankelijk te maken. Er is gekozen voor relevante en haalbare maatregelen die binnen het bereik van organisaties liggen en tegelijkertijd het draagvlak en de haalbaarheid van digitale beveiliging voor alle bedrijven in Europa verbreden.

Omdat niet ieder bedrijf evenveel risico' s met zich mee brengt is de NIS Quality Mark opgedeeld in drie niveaus:

• NIS2 QM10 – Basisniveau
• NIS2 QM20 – Gevorderd niveau  nis2 quality mark
• NIS2 QM30 – Volwassen niveau

Elk niveau vertegenwoordigt een bepaalde mate van volwassenheid en naleving van de NIS2-richtlijn.

De betekenis van de NIS2 QM10 Quality Mark

De NIS2 QM10 Quality Mark is het instapniveau binnen het kwaliteitskader.  Voor de meeste leveranciers is dit niveau voldoende. Het regelt op basaal niveau de zaken die je geregeld moet hebben op het gebied van informatiebeveiliging. Veel van die zaken komen rechtstreeks uit de bijlage A van de ISO 27001.

Voorbeelden van vereisten in QM10:

• Identificatie van essentiële IT-assets
• Basisrisicoanalyse
• Beveiligingsbeleid op hoofdlijnen
• Toewijzing van verantwoordelijkheden voor cybersecurity

Het biedt organisaties een solide basis voor hun informatiebeveiligingssysteem.

Waarom kiezen voor NIS2 QM10?

Voor veel leveranciers wordt dit geen keuze maar een moetje. wanneer jij immers grote klanten hebt uit de kritische sectoren zullen die dit van jou moeten eisen. Er niet aan willen voldoen betekent in dat geval dat jij je grote klant kwijt bent. Het is een keiharde eis.

Buiten het 'moetje' biedt het behalen van de NIS2 QM 10 certificering ook kansen en voordelen. Dit zijn er enkele:

• Vroegtijdige identificatie van beveiligingsrisico’s
• Bewijs van proactieve naleving richting toezichthouders
• Verhoogd vertrouwen bij klanten en partners
• Startpunt voor verdere ontwikkeling naar QM20 en QM30

Voor veel kleinere of middelgrote organisaties is QM10 een haalbaar en waardevol beginpunt of eindpunt.

Verschillen tussen NIS2 QM10, QM20 en QM30

Hoewel alle drie de niveaus binnen het NIS2 Quality Mark framework onder de NIS2-richtlijn vallen, verschillen ze in scope, complexiteit en mate van volwassenheid:

Door te starten met QM10 kunnen bedrijven later desgewenst doorgroeien naar QM20 en uiteindelijk QM30.

Hoe verkrijg je de NIS2 QM10 Quality Mark?

Om de NIS2 QM10 basic certificering te behalen, doorloop je een auditproces uitgevoerd door een erkende instantie. Dit proces bestaat doorgaans uit:

1. Intake en zelfevaluatie
2. Documentatiecontrole
3. Interview met verantwoordelijken
4. Beoordeling van processen en beleid
5. Rapportage en certificaatuitgifte

De geldigheid van de certificering is doorgaans 2 jaar, met jaarlijkse evaluaties of tussentijdse controles.

Wat zijn de kosten van NIS2 QM10 certificering?

De kosten voor het behalen van de NIS2 QM10 Quality Mark zijn afhankelijk van factoren zoals bedrijfsgrootte, sector, en bestaande beveiligingsmaatregelen. Gemiddeld liggen de kosten vanaf €1.500. Voor veel organisaties is dit een betaalbare investering in compliance en digitale veiligheid. Daarnaast komen nog de kosten voor de software of begeleiding.

Is NIS2 QM10 verplicht?

Hoewel de NIS2-richtlijn op zichzelf verplicht is voor bepaalde sectoren, is de QM10 quality mark niet wettelijk verplicht. Het is echter een praktische en erkende manier om aan te tonen dat je voldoet aan de basiseisen van NIS2. In sommige branches kan het verkrijgen van de NIS2 QM10 Quality Mark een vereiste zijn in aanbestedingen of samenwerkingen met ketenpartners.

Hoe verhoudt QM10 zich tot andere normen zoals ISO 27001?

De NIS2 QM10 quality mark is specifiek ontwikkeld voor de eisen van de NIS2-richtlijn, maar sluit goed aan bij bestaande normen zoals ISO/IEC 27001. In feite kan QM10 dienen als een opstapje naar ISO-certificering, of als aanvullend bewijs van naleving. Organisaties die al voldoen aan ISO 27001 zullen sneller door de QM10-audit kunnen gaan.

De toekomst van NIS2 Quality Marks

De verwachting is dat de vraag naar NIS2-certificeringen, zoals QM10, QM20 en QM30, sterk zal toenemen. Overheden en toezichthouders zullen strikter gaan handhaven, en ketenverantwoordelijkheid wordt steeds belangrijker. Door nu te investeren in de NIS2 QM10 Quality Mark, positioneer je jouw organisatie als toekomstbestendig, betrouwbaar en compliant.

Conclusie: waarom NIS2 QM10 onmisbaar is

De NIS2 QM10 Quality Mark is veel meer dan een papiertje: het is een strategische tool die bedrijven helpt om hun cyberweerbaarheid structureel te verbeteren. Met de invoering van de NIS2-richtlijn is het niet langer de vraag óf je je organisatie beveiligt, maar hoe goed. QM10 biedt daarbij het ideale startpunt. Of je nu groeit naar QM20 of QM30, met QM10 zet je de eerste, essentiële stap naar een veilige digitale toekomst.

ISOmanager.nl is partner van NIS2 Quality Mark.

Wil je hulp bij het behalen van de NIS2 QM10 basic? Klik hier en start vandaag.