Ik merk dat veel MKB-bedrijven op dit moment dezelfde vraag krijgen van klanten:
“Hoe hebben jullie informatiebeveiliging geregeld?”
En eerlijk gezegd ontstaat daarna vaak direct de volgende vraag:
“Wat gaat NIS2 ons kosten?”
Logisch ook. Want online lees je bedragen die alle kanten op gaan.
De één heeft het over een audit van een paar honderd euro, terwijl een ander spreekt over complete trajecten van tienduizenden euro’s.
In de praktijk zit de waarheid meestal ergens in het midden.
Daarom wil ik in deze blog gewoon eens rustig uitleggen:
Veel organisaties denken in eerste instantie dat de audit het duurste onderdeel is.
Maar eerlijk gezegd is dat meestal niet zo.
De grootste kosten zitten vaak in:
Met andere woorden:
Niet de controle zelf kost het meeste geld, maar het opzetten van de structuur eromheen.
De totale kosten bestaan daarom meestal uit:
Dat zijn bijvoorbeeld:
Dit zijn de kosten van:
Deze kosten zijn grotendeels gebaseerd op vaste audituren.
De auditkosten vallen voor veel kleinere organisaties uiteindelijk mee.
De audituren zijn namelijk grotendeels gestandaardiseerd.
Het dagdeeltarief van een auditor (4 uur) ligt momenteel vaak rond:
€550 – €650 per dagdeel
De exacte kosten hangen vooral af van:
Voor veel kleinere MKB-bedrijven ziet een SC10 audit er ongeveer zo uit:
Wat veel organisaties prettig vinden: SC10 audits kunnen volledig online plaatsvinden.
Daardoor blijft de belasting voor de organisatie vaak beperkt.
SC20 gaat een stap verder dan SC10.
Daarbij wordt uitgebreider gekeken naar:
Dat betekent automatisch ook meer audituren.
Bij grotere audits vindt meestal ook een deel van de audit op locatie plaats.
Hier zit in de praktijk vaak het grootste verschil. Ik zie regelmatig organisaties die denken:
“We maken gewoon even wat documenten.”
Maar in de praktijk blijkt het vaak lastiger.
Want uiteindelijk moet je ook:
Wanneer je alles vanaf nul gaat opbouwen, lopen de uren snel op.
Zeker wanneer een adviesbureau:
Daar zit behoorlijk verschil in.
Voor een kleiner begeleidingstraject moet je al snel denken aan:
En eerlijk gezegd zijn dat geen vreemde bedragen. Een adviseur stopt vaak veel uren in:
Voor grotere organisaties of complexe IT-omgevingen kan dat absoluut waardevol zijn.
Maar veel MKB-bedrijven zoeken tegenwoordig eigenlijk iets anders.
Die zoeken:
Zonder direct afhankelijk te worden van langdurige consultancytrajecten.
Daarom hebben wij onze aanpak juist anders ingericht.
In plaats van alles vanaf nul op te bouwen, werken organisaties bij ons met een bestaande structuur in VisionManager.
Daarin zitten bijvoorbeeld al:
Daardoor hoeft een organisatie niet eerst maandenlang te bedenken:
“Waar moeten we beginnen?”
Voor veel MKB-bedrijven is dat precies het verschil.
Niet alles zelf uitzoeken, maar ook niet volledig afhankelijk worden van een duur adviesbureau.
Dat hangt natuurlijk af van de situatie.
Kan prima werken wanneer:
Maar onderschat de interne belasting niet.
Vaak geschikt voor:
Dat zie ik vooral goed werken bij MKB-bedrijven die:
Vooral bij NIS2 SC10 zie ik dat veel organisaties liever kiezen voor een praktische aanpak dan voor zware consultancytrajecten.
Voor een klein MKB-bedrijf begint een SC10 audit vaak vanaf ongeveer €550 – €650.
Ja.
SC20 bevat meer maatregelen en vereist meer audituren.
Bij de meeste organisaties zijn de implementatiekosten (veel) hoger dan de auditkosten.
SC10 audits kunnen volledig online plaatsvinden.
Bij SC20 geldt bij grotere audits vaak deels een audit op locatie.
Ja.
Bij bestaande certificeringen zoals ISO 27001 of NEN 7510 kan vermindering van auditinspanning mogelijk zijn.
Wanneer organisaties zoeken op:
“Wat kost NIS2 SC10 of SC20?”
dan denken ze vaak vooral aan de audit. Maar in de praktijk zit het grootste verschil meestal in de implementatieaanpak.
Ga je:
Juist daar ontstaan uiteindelijk de grootste kostenverschillen.
Voor veel MKB-bedrijven blijkt daarom een praktische combinatie van:
Uiteindelijk een stuk efficiënter dan een volledig consultancytraject. En eerlijk gezegd zie ik dat ook steeds vaker terug in de markt.
In de praktijk zie ik dat veel MKB-bedrijven vooral behoefte hebben aan:
Niet aan dikke rapporten of langdurige consultancytrajecten.
Juist daarom hebben wij onze NIS2 SC10 en SC20 aanpak ontwikkeld.
Daarbij werk je met een bestaande structuur in VisionManager inclusief:
Daardoor hoeven organisaties niet alles zelf vanaf nul op te bouwen, maar kunnen ze wel aantoonbaar en gestructureerd werken aan informatiebeveiliging.
Bekijk de NIS2 SC10 aanpak
Bekijk de NIS2 SC20 aanpak
Of plan eventueel een korte online demonstratie om te zien hoe dit er in de praktijk uitziet.