Nieuws en wijzigingen
Wijzigingen in de standaard, nieuwe wetsvindplaatsen en wat afnemers en banken in de praktijk zijn gaan vragen — en wat u ermee moet.
Meervoudige verificatie in de metaal- en maakindustrie: waar wel en waar niet verplicht?
De zorgplicht noemt geen technologieën met naam, maar beschrijft wel waar sterke toegangsbeveiliging wordt verwacht — en waarom oudere productiesystemen vaak een andere aanpak vragen.
Lees meer →Back-ups en herstel in de metaal- en maakindustrie: wanneer hebt u het laatst getest?
Een back-up die bestaat zegt niets als niemand heeft geprobeerd hem terug te zetten. Dit artikel legt uit waarom juist in de metaal- en maakindustrie de hersteltest het zwaartepunt is, niet de back-up zelf.
Lees meer →Incidentregistratie in de metaal- en maakindustrie: wat legt u vast?
Wat moet u vastleggen als een cyberincident uw productieomgeving raakt, en waarom machines die aan het netwerk hangen daarbij om een andere aanpak vragen dan een laptop op kantoor.
Lees meer →Toegangsbeheer in de metaal- en maakindustrie: wie mag bij welke productiesystemen?
Een praktische uitleg van toegangsbeheer voor productiebedrijven: wie mag bij welke systemen, hoe richt u dat in voor machines en PLC's die aan het netwerk hangen, en wat vragen afnemers daar precies naar.
Lees meer →Welke eisen stelt een opdrachtgever aan de metaal- en maakindustrie na NIS2?
Opdrachtgevers die zelf onder NIS2 vallen, vertalen hun zorgplicht naar contracteisen voor toeleveranciers in de metaal- en maakindustrie — met specifieke aandacht voor machines en productiesystemen die aan het netwerk hangen.
Lees meer →Valt de metaal- en maakindustrie onder NIS2?
Voor metaalbedrijven en machinebouwers hangt een plicht onder NIS2 af van drie dingen tegelijk: de precieze sector, de bedrijfsomvang en de rol in de keten van een grotere opdrachtgever.
Lees meer →Securityvragenlijst in de metaal- en maakindustrie: welke vragen komen terug?
Toeleveranciers in de metaal- en maakindustrie krijgen vaak dezelfde vragen over hun productieomgeving voorgelegd. Dit artikel zet de terugkerende categorieën op een rij, met productiesystemen die aan het netwerk hangen als kern.
Lees meer →Bewustwording en training in de installatiebranche: wat vraagt de zorgplicht van NIS2?
De zorgplicht vraagt dat medewerkers in een installatiebedrijf regelmatig bewust worden gemaakt van cyberrisico's; voor bestuurders geldt een aparte, persoonlijke trainingsverplichting. Dit artikel legt het verschil uit.
Lees meer →Wat hoort in het informatiebeveiligingsbeleid van een installatiebedrijf?
Een overzicht van wat een informatiebeveiligingsbeleid voor de installatiebranche behoort te bevatten, juist omdat monteurs op locatie bij klanten toegang hebben tot gebouwen en systemen.
Lees meer →Leveranciersbeleid voor installatiebedrijven: hoe beoordeelt u wie er bij uw klant naar binnen mag?
Een installatiebedrijf werkt zelf ook met onderaannemers, zzp'ers en leveranciers die toegang krijgen tot gebouwen en systemen van uw klant. Dit artikel laat zien hoe u die eigen keten in kaart brengt en beoordeelt.
Lees meer →Meervoudige verificatie in de installatiebranche: waar wel en waar niet verplicht?
Een overzicht van waar tweestapsverificatie in de installatiebranche wordt verwacht, en waarom toegang tot gebouwen en systemen bij klanten op locatie vaak een aparte afweging vraagt.
Lees meer →Back-ups en herstel in de installatiebranche: wanneer hebt u het laatst getest?
Een back-up die niemand ooit heeft teruggezet, is geen garantie maar een aanname. Dit artikel legt uit wat 'testen' concreet betekent voor een installatiebedrijf met toegang tot gebouwen en klantsystemen.
Lees meer →Incidentregistratie in de installatiebranche: wat legt u vast als het misgaat?
Een storing, een gestolen sleutel of een verkeerd account bij een klant: wat een installatiebedrijf vastlegt als er iets misgaat, en waarom dat meer is dan een foutmelding in een ticketsysteem.
Lees meer →Toegangsbeheer in de installatiebranche: wie mag bij welke systemen en sleutels?
Toegangsbeheer is de maatregel waar securityvragenlijsten het vaakst op doorvragen. Voor installatiebedrijven gaat dat niet alleen over wachtwoorden, maar ook over sleutels, badges en toegang bij de klant op locatie.
Lees meer →Welke eisen stelt een opdrachtgever aan installatiebedrijven na NIS2?
Opdrachtgevers die zelf onder de NIS2-zorgplicht vallen, vertalen die verplichting naar contracteisen voor installateurs — vooral rond toegang tot gebouwen, sleutels en gebouwsystemen. Dit artikel legt uit wat u kunt verwachten en waarom.
Lees meer →Valt de installatiebranche onder NIS2?
Voor installatiebedrijven hangt het antwoord af van sector, omvang én de toegang die zij hebben tot gebouwen en systemen van klanten die zelf onder NIS2 vallen.
Lees meer →Securityvragenlijst in de installatiebranche: welke vragen komen terug?
Een installatiebedrijf dat bij klanten op locatie werkt en systemen op afstand beheert, krijgt vaak een securityvragenlijst met specifieke vragen over toegang tot gebouwen en systemen. Dit artikel zet de terugkerende vragen op een rij.
Lees meer →Security awareness training in de softwareontwikkeling: wat vraagt de zorgplicht?
De NIS2-zorgplicht vraagt van softwareontwikkelaars dat medewerkers trainen in beveiligingsbewustzijn, en stelt daarnaast een aparte, persoonlijke trainingsplicht aan bestuurders. Dit artikel legt het verschil uit.
Lees meer →Wat hoort in het informatiebeveiligingsbeleid voor softwareontwikkeling?
Een informatiebeveiligingsbeleid voor softwareontwikkeling beschrijft zowel hoe u het product beveiligt dat u bouwt, als hoe u uw eigen ontwikkelstraat beschermt — dit artikel zet uiteen welke onderdelen daarin thuishoren.
Lees meer →Leveranciersbeleid voor softwareontwikkeling: hoe beoordeelt u uw eigen leveranciers?
Softwarebedrijven krijgen zelf securityvragenlijsten, maar moeten ook hun eigen leveranciers beoordelen. Dit artikel laat zien hoe u dat opbouwt, met de ontwikkelstraat en de code in uw product als twee aparte aandachtspunten.
Lees meer →Meervoudige verificatie in de softwareontwikkeling: waar hoort het wel en niet?
Een overzicht van de plekken waar tweestapsverificatie in de softwareontwikkeling voor de hand ligt, en de situaties waarin dat minder vanzelfsprekend is.
Lees meer →Back-ups en herstel in de softwareontwikkeling: wanneer hebt u het laatst getest?
Een back-up die u nooit hebt teruggezet is een aanname, geen maatregel — zeker niet voor de broncode, de ontwikkelstraat en de geheimen die daarachter zitten.
Lees meer →Incidentregistratie bij softwareontwikkeling: wat legt u vast als het misgaat?
Een overzicht van wat een softwarebedrijf vastlegt bij een incident: het onderscheid tussen een kwetsbaarheid in de code die u oplevert en een probleem in uw eigen ontwikkelstraat, en wat een klant daarover wil zien.
Lees meer →Toegangsbeheer in de softwareontwikkeling: wie mag bij de broncode en de ontwikkelstraat?
Een uitleg van wat toegangsbeheer betekent voor een ontwikkelteam: wie bij de broncode, de build-pijplijn en de productieomgeving mag, en wat u daarvan vastlegt voor uw cyber-dossier.
Lees meer →Welke eisen komen er in het contract voor softwareontwikkeling na NIS2?
Een opdrachtgever die zelf onder de NIS2-zorgplicht valt, vertaalt die verplichting naar contracteisen voor de software die u bouwt en naar de manier waarop u die bouwt. Dit artikel zet uit welke eisen dat meestal zijn.
Lees meer →Valt softwareontwikkeling onder NIS2?
Softwareontwikkeling staat niet als aparte sector in de NIS2-bijlagen, maar via cloud- of ICT-dienstverlening, de omvang van uw bedrijf en uw positie als leverancier kunt u alsnog met de richtlijn te maken krijgen.
Lees meer →Welke vragen krijgt een softwarebedrijf in een NIS2-vragenlijst?
Een overzicht van de vragen die specifiek voor softwareontwikkelaars terugkomen in securityvragenlijsten: over de code die u bouwt en over de ontwikkelstraat waarin u dat doet.
Lees meer →Is security awareness training verplicht voor ICT-dienstverleners onder NIS2?
NIS2 noemt bewustwording en training als één van de tien zorgplichtmaatregelen, los van de aparte trainingsverplichting voor het bestuur. Dit artikel legt het verschil uit en wat dat betekent voor een ICT-dienstverlener.
Lees meer →Wat moet er in het informatiebeveiligingsbeleid van een ICT-dienstverlener staan?
Een informatiebeveiligingsbeleid voor een ICT-dienstverlener beschrijft hoe u omgaat met beheer op afstand, toegang tot klantsystemen en onderaannemers — dit artikel laat zien welke onderdelen daarin thuishoren.
Lees meer →Leveranciersbeleid opstellen voor de ICT-dienstverlening: waar begint u?
ICT-dienstverleners krijgen zelf vragenlijsten van klanten, maar horen ook hun eigen leveranciers te beoordelen: onderaannemers, tools voor beheer op afstand en iedereen met toegang tot klantsystemen.
Lees meer →Meervoudige verificatie in de ICT-dienstverlening: waar wel en waar niet verplicht?
Meervoudige verificatie komt bij vrijwel elke NIS2-zorgplicht en elke securityvragenlijst terug, maar de eis verschilt per toegangspad. Dit artikel laat zien waar MFA structureel wordt verwacht en waar de discussie nog open ligt.
Lees meer →Back-ups en herstel in de ICT-dienstverlening: wanneer hebt u het laatst getest?
Een back-up die er is maar nooit is teruggezet, telt bij een zorgplicht-beoordeling niet mee. Wat dat concreet betekent voor beheer op afstand, toegang tot klantsystemen en onderaannemers.
Lees meer →Incidentregistratie in de ICT-dienstverlening: wat legt u vast?
Als ICT-dienstverlener werkt u vaak op afstand in systemen van klanten, soms met een onderaannemer erbij. Dit artikel beschrijft wat u vastlegt zodra er iets misgaat, zodat u dat later kunt tonen.
Lees meer →Toegangsbeheer in de ICT-dienstverlening: wie mag waarbij?
Een uitleg van wat toegangsbeheer binnen de NIS2-zorgplicht inhoudt, en waarom vragenlijsten juist hier het scherpst doorvragen op beheer op afstand, klanttoegang en onderaannemers.
Lees meer →Wat een opdrachtgever van de ICT-dienstverlening eist na NIS2
Opdrachtgevers die zelf onder de NIS2-zorgplicht vallen, vertalen die verplichting naar contracteisen voor hun ICT-leverancier — over toegang tot systemen, beheer op afstand en onderaannemers.
Lees meer →Valt de ICT-dienstverlening onder NIS2?
Voor ICT-dienstverleners is het antwoord tweeledig: een deel valt zelf onder de NIS2-sectorlijst, een veel groter deel wordt geraakt omdat klanten hen als leverancier met toegang tot systemen moeten beoordelen.
Lees meer →Securityvragenlijst in de ICT-dienstverlening: welke vragen komen steeds terug?
ICT-dienstverleners krijgen door hun toegang tot klantsystemen vaak de meest gedetailleerde securityvragenlijsten. Dit artikel zet de terugkerende onderwerpen op een rij: beheer op afstand, toegang tot klantsystemen en onderaannemers.
Lees meer →Securityvragenlijst hergebruiken: waarom de tweede keer minuten kost
De eerste securityvragenlijst van een klant kost uren zoeken en formuleren. Wie de antwoorden vastlegt in een dossier, merkt dat de tweede en derde vragenlijst nog maar een controle en een paar aanpassingen vragen.
Lees meer →NIS2 aanpakken als MKB: hoe bouwt u een dossier zonder er een jaarproject van te maken?
Een NIS2-dossier hoeft geen langlopend project te zijn: begin bij wat uw bedrijf al heeft en werk maatregel voor maatregel bij met status, eigenaar en bewijsstuk.
Lees meer →NIS2 of DORA: welke regeling geldt voor mijn organisatie?
Financiële instellingen vallen onder DORA en niet onder NIS2. Dit artikel legt uit hoe u aan de hand van uw sector ziet welke regeling voor uw organisatie geldt.
Lees meer →Hoe hoog is de boete voor NIS2, en wie kan die eigenlijk krijgen?
De richtlijn noemt hoge maximumbedragen, maar die gelden alleen voor organisaties die zelf onder NIS2 vallen. Voor de veel grotere groep leveranciers is niet de boete het risico, maar het contract dat eerder verdwijnt.
Lees meer →Is een bestuurder persoonlijk aansprakelijk onder NIS2?
NIS2 legt een deel van de zorgplicht rechtstreeks bij het bestuur: goedkeuren, toezicht houden en trainen. Dit artikel legt uit wat dat concreet betekent en waarom het niet aan een leverancier is over te dragen.
Lees meer →Bestaat er een NIS2-certificaat?
Nee — er bestaat geen officieel NIS2-certificaat en geen instantie die dat afgeeft. Dit artikel legt uit wat de richtlijn wél vraagt en hoe u dat op een geloofwaardige manier aantoont.
Lees meer →NIS2 en ISO 27001: wat is het verschil?
Een ISO 27001-certificaat dekt veel van wat de NIS2-zorgplicht vraagt, maar niet de registratieplicht en niet de meldplicht bij een toezichthouder.
Lees meer →NIS2-registratie bij de toezichthouder: hoe gaat dat in zijn werk?
Essentiële en belangrijke entiteiten moeten zich zelf melden bij de nationale toezichthouder — dit artikel legt uit welke gegevens daarvoor nodig zijn en waarom niemand u daaraan herinnert.
Lees meer →NIS2-meldplicht: wat betekent 24 uur, 72 uur en één maand precies?
De NIS2-richtlijn kent drie meldmomenten na een significant incident. Wat op elk moment wordt verwacht, verschilt van wat er meestal wordt beweerd.
Lees meer →Welke tien maatregelen verwacht de NIS2-zorgplicht van uw organisatie?
De zorgplicht uit de NIS2-richtlijn noemt tien soorten beveiligingsmaatregelen. Dit artikel legt in gewone taal uit wat elke maatregel inhoudt en waaraan u ziet dat hij geregeld is.
Lees meer →Securityvragenlijst van een klant: wat moet u ermee?
Een klant stuurt een lange vragenlijst over uw beveiliging en verwijst naar NIS2. Wat die lijst betekent, waarom hij komt en hoe u tot een bruikbaar antwoord komt.
Lees meer →Valt mijn bedrijf onder NIS2?
Twee vragen bepalen of uw bedrijf zelf onder de NIS2-richtlijn valt: de sector waarin u actief bent en de omvang van uw organisatie. Valt u er niet onder, dan kunt u er via een klant of leverancier toch mee te maken krijgen.
Lees meer →