In deze kennisbank vind je het laatste nieuws omtrent het Microsoft 365 platform

Wie is verantwoordelijk voor NIS2-compliance binnen een organisatie?

/in /door

NIS2 maakt bestuurders persoonlijk aansprakelijk — ontdek wie wat moet doen en hoe u compliance stap voor stap inricht.

Lees meer
Directeur in maatpak bespreekt beveiligingsrisicorapport met IT-professional aan moderne vergadertafel in licht kantoor.

Hoe bespreek je cyberrisico’s als bestuurder met je IT-team?

/in /door

Als bestuurder bespreek je cyberrisico’s met je IT-team door technische dreigingen te vertalen naar bestuurlijke consequenties: wat betekent een incident voor de continuïteit, de reputatie en de bestuurlijke verantwoordelijkheid van de organisatie? Dat vraagt om een gedeelde taal, een vaste gespreksstructuur en wederzijds begrip van prioriteiten. In dit artikel beantwoorden we de meest gestelde vragen over effectieve cyberrisicocommunicatie tussen bestuur en IT.

Welke cyberrisico’s zijn het meest relevant voor jouw organisatie?

De meest relevante cyberrisico’s voor jouw organisatie zijn die dreigingen die direct raken aan je primaire processen, je gevoelige data en je afhankelijkheid van digitale systemen. Voor organisaties met 100 tot 600 werkplekken zijn dat doorgaans: ransomware-aanvallen, phishing gericht op medewerkers, onbeveiligde toegang tot systemen en datalekken door menselijke fouten.

Niet elke dreiging is even urgent voor elke organisatie. De relevantie hangt af van de sector, de hoeveelheid persoonsgegevens die je verwerkt en de mate waarin je werkprocessen digitaal zijn. Een woningcorporatie loopt bijvoorbeeld een ander risicoprofiel dan een zakelijke dienstverlener. Toch zijn er gemeenschappelijke kwetsbaarheden die vrijwel elke organisatie deelt:

  • Zwakke of hergebruikte wachtwoorden zonder multifactorauthenticatie
  • Medewerkers die phishingmails niet herkennen
  • Verouderde software met bekende beveiligingslekken
  • Onvoldoende controle over wie toegang heeft tot welke systemen
  • Geen of onvoldoende back-up- en herstelstrategie

Een goed startpunt is een risicoanalyse die specifiek kijkt naar de bedrijfskritieke systemen en de data die jouw organisatie beheert. Zo kun je als bestuurder gericht prioriteiten stellen in plaats van te reageren op elke nieuwe dreiging die in het nieuws verschijnt. Bekijk ook welke beveiligingsmogelijkheden binnen Microsoft 365 al beschikbaar zijn voor jouw werkplek.

Hoe vertaal je technische dreigingen naar bestuurlijke taal?

Technische dreigingen vertaal je naar bestuurlijke taal door ze te koppelen aan concrete gevolgen voor de organisatie: uitval van dienstverlening, financiële schade, reputatieverlies of juridische aansprakelijkheid. Een IT-team dat spreekt over “een kritieke kwetsbaarheid in het besturingssysteem” maakt meer indruk als het dat vertaalt naar “als dit wordt misbruikt, liggen onze systemen mogelijk drie dagen plat.”

Dit vraagt om een bewuste vertaalslag van beide kanten. Als bestuurder hoef je de techniek niet tot in detail te begrijpen, maar je hebt wel recht op antwoorden in termen die jij kunt beoordelen en verantwoorden. Vraag je IT-team altijd om dreigingen te beschrijven aan de hand van drie vragen:

  1. Wat kan er gebeuren? Beschrijf het scenario in begrijpelijke termen.
  2. Wat is de impact? Denk aan kosten, uitval, reputatie en compliance.
  3. Wat doen we eraan? Welke maatregel verkleint het risico en wat kost dat?

Door dit format consequent te gebruiken, creëer je een gemeenschappelijke taal. Bestuurders kunnen zo weloverwogen besluiten nemen over investeringen in beveiliging, zonder dat ze afhankelijk zijn van technisch jargon dat de urgentie eerder verhult dan verduidelijkt.

Welke vragen moet een bestuurder stellen aan het IT-team?

Een bestuurder moet aan het IT-team vragen stellen die inzicht geven in de werkelijke beveiligingsstatus van de organisatie, de grootste kwetsbaarheden en de mate van voorbereiding op een incident. Goede vragen sturen het gesprek richting risico en verantwoordelijkheid, niet alleen richting techniek.

Stel deze vragen structureel in elk overleg over cyberbeveiliging binnen het bestuur:

  • Wat zijn op dit moment onze drie grootste beveiligingsrisico’s?
  • Wat gebeurt er als we morgen worden getroffen door ransomware? Hoe lang duurt herstel?
  • Wie heeft toegang tot onze meest gevoelige data, en hoe controleren we dat?
  • Wanneer is onze beveiliging voor het laatst extern getoetst?
  • Voldoen we aan de geldende wet- en regelgeving op het gebied van informatiebeveiliging?
  • Wat hebben we het afgelopen kwartaal verbeterd, en wat staat er nog open?

Deze vragen dwingen je IT-team om buiten de technische details te denken en te rapporteren op het niveau dat voor jou als bestuurder relevant is. Tegelijkertijd laat je zien dat je de verantwoordelijkheid voor cyberbeveiliging serieus neemt, wat intern het signaal geeft dat veiligheid geen IT-feestje is maar een organisatiebrede prioriteit.

Hoe vaak moet een bestuurder cyberrisico’s bespreken met IT?

Een bestuurder moet cyberrisico’s minimaal eens per kwartaal structureel bespreken met het IT-team, aangevuld met een direct overleg na elk significant incident of bij grote wijzigingen in de IT-omgeving. Eénmaal per jaar is onvoldoende gezien het tempo waarop dreigingen zich ontwikkelen.

In de praktijk werkt een gelaagde aanpak het beste:

  • Kwartaaloverleg: Bespreek de actuele risicostand, lopende verbetertrajecten en eventuele incidenten. Dit is het moment voor strategische besluitvorming.
  • Jaarlijkse evaluatie: Beoordeel het totale beveiligingsbeleid, externe audits en de aansluiting op de organisatiestrategie.
  • Ad-hoc overleg: Bij een incident, een nieuwe dreiging in de sector of een grote systeemwijziging schakel je direct.

Consistentie is belangrijker dan frequentie. Een vast ritme zorgt ervoor dat cyberbeveiliging niet alleen op de agenda komt als er iets misgaat, maar een structureel onderdeel wordt van de bestuurlijke cyclus. Dat vergroot de kwaliteit van de gesprekken en de besluitvorming aanzienlijk.

Wat zijn veelgemaakte fouten in het gesprek over cyberbeveiliging?

De meest gemaakte fouten in het gesprek over cyberbeveiliging zijn: te veel focus op technische details zonder bestuurlijke vertaling, beveiliging behandelen als een eenmalig project in plaats van een doorlopend proces, en de verantwoordelijkheid volledig bij IT neerleggen in plaats van het als gedeelde organisatieverantwoordelijkheid te zien.

Andere veelvoorkomende valkuilen zijn:

  • Alleen reageren op incidenten: Beveiliging pas bespreken als er iets misgaat, in plaats van proactief risico’s te beheren.
  • Geen prioritering: Alles lijkt urgent, waardoor er uiteindelijk niets structureel wordt opgepakt.
  • Gebrek aan budget en mandaat: IT signaleert risico’s, maar krijgt niet de middelen om ze aan te pakken.
  • Onvoldoende aandacht voor de menselijke factor: Technische maatregelen zijn nutteloos als medewerkers niet weten hoe ze veilig moeten werken.
  • Geen documentatie: Afspraken en besluiten worden niet vastgelegd, waardoor opvolging ontbreekt.

De kern van het probleem is vaak een communicatiekloof: IT spreekt over systemen, bestuurders denken in risico en verantwoordelijkheid. Wie die kloof erkent en actief overbrugt, legt een stevige basis voor een volwassen beveiligingscultuur binnen de organisatie.

Welke rol speelt een externe IT-partner in cyberrisicobeheer?

Een externe IT-partner speelt een aanvullende en vaak onmisbare rol in cyberrisicobeheer door een onafhankelijk perspectief te bieden, specialistische kennis in te brengen en de continue monitoring en beveiliging van systemen te verzorgen die een interne IT-afdeling niet altijd alleen kan dragen. Zeker voor organisaties zonder een groot intern securityteam is dit van grote waarde.

Een goede externe partner doet meer dan technisch beheer. Hij denkt proactief mee over risico’s, vertaalt dreigingen naar bestuurlijk relevante informatie en helpt bij het inrichten van een beveiligingsbeleid dat aansluit op de strategie van de organisatie. Concreet kan een externe IT-partner bijdragen aan:

  • Periodieke risicoanalyses en beveiligingsaudits
  • Beheer van toegangsrechten en identiteitsbeveiliging
  • Monitoring van systemen op verdachte activiteiten
  • Begeleiding bij incidentrespons en herstelplannen
  • Rapportages die geschikt zijn voor bestuurlijk overleg

Voor bestuurders is het belangrijk dat een externe partner niet alleen reageert op problemen, maar ook proactief adviseert en rapporteert in taal die jij als beslisser kunt gebruiken. Dat maakt het verschil tussen een leverancier en een vertrouwde partner.

Hoe Puur ICT helpt bij cyberrisicobeheer en IT-communicatie

Wij begrijpen dat de gesprekken tussen bestuurders en IT-teams effectiever worden als er een externe partner is die beide werelden verbindt. Als Microsoft 365-specialist ondersteunen we organisaties niet alleen technisch, maar ook op het vlak van structuur, overzicht en bestuurlijke grip op IT-risico’s. Wat wij bieden:

  • Proactief beheer en monitoring van je IT-omgeving via onze ICT-beheer en ondersteuning
  • Een veilige, goed ingerichte werkplek op basis van Microsoft 365, inclusief beveiligingsmaatregelen zoals Intune en multifactorauthenticatie via de Puur Moderne Werkplek
  • Heldere rapportages en adviesgesprekken die aansluiten op bestuurlijke verantwoordelijkheid
  • Begeleiding bij het inrichten van beveiligingsbeleid dat past bij jouw organisatiegrootte en risicoprofiel
  • Korte lijnen en persoonlijk contact, zodat je altijd snel kunt schakelen

Wil je weten hoe wij jouw organisatie kunnen helpen om cyberrisico’s structureel te beheersen en de communicatie tussen bestuur en IT te versterken? Neem contact met ons op en ontdek wat Puur ICT voor jouw organisatie kan betekenen.

Stalen ketting met hangslot om serverbekabeling en netwerkhardware op modern bureau, symbool voor cyberbeveiliging.

Wat is ketenbeveiliging en waarom is het verplicht onder NIS2?

/in /door

Ketenbeveiliging is de verplichting om niet alleen je eigen systemen te beveiligen, maar ook de digitale veiligheid van alle leveranciers en derde partijen in jouw toeleveringsketen te beheren en te bewaken. Onder de NIS2-richtlijn is dit geen vrijblijvende best practice meer, maar een wettelijke eis waaraan organisaties aantoonbaar moeten voldoen. In dit artikel beantwoorden we de meest gestelde vragen over ketenbeveiliging en NIS2, van de concrete verplichtingen tot de eerste stappen die je kunt zetten.

Welke verplichtingen legt NIS2 op aan ketenbeveiliging?

De NIS2-richtlijn verplicht organisaties om de beveiligingsrisico’s van hun toeleveringsketen actief te identificeren, te beoordelen en te beheersen. Dit betekent dat je als organisatie verantwoordelijk bent voor de digitale weerbaarheid van de keten als geheel, niet alleen voor je eigen infrastructuur. Leveranciers en derde partijen die toegang hebben tot jouw systemen of data vallen expliciet onder deze zorgplicht.

Concreet schrijft de NIS2-richtlijn voor dat organisaties:

  • Een risicoanalyse uitvoeren die de toeleveringsketen omvat
  • Contractuele beveiligingseisen stellen aan leveranciers
  • Periodiek de naleving van die eisen controleren
  • Beveiligingsincidenten die via de keten binnenkomen tijdig melden bij de bevoegde autoriteiten
  • Bestuurders persoonlijk verantwoordelijk houden voor de naleving van deze verplichtingen

In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 van kracht wordt. Organisaties die onder deze wet vallen, moeten dan kunnen aantonen dat zij hun leveranciersbeveiliging serieus nemen. Daarbij geldt: ook als jouw organisatie zelf niet direct onder NIS2 valt, maar wel levert aan partijen die dat doen, zul je aan hun beveiligingseisen moeten voldoen.

Wat zijn de grootste risico’s in een digitale toeleveringsketen?

De grootste risico’s in een digitale toeleveringsketen ontstaan doordat aanvallers bewust zoeken naar de zwakste schakel. Een leverancier met onvoldoende beveiliging kan fungeren als toegangspoort tot jouw netwerk, zonder dat jij daar direct zicht op hebt. Supply chain security is daarom zo complex: de aanval begint niet bij jou, maar de schade wel.

De meest voorkomende risico’s zijn:

  • Gecompromitteerde softwareupdates: aanvallers plaatsen malware in legitieme updates van een leverancier, die vervolgens automatisch worden uitgerold bij alle klanten
  • Onbeveiligde externe toegang: leveranciers die via VPN of remote desktop inloggen zonder sterke authenticatie vormen een open deur
  • Gedeelde inloggegevens: wanneer leveranciers dezelfde credentials gebruiken voor meerdere klanten, verspreidt een lek zich razendsnel
  • Onvoldoende contractuele afspraken: als beveiligingseisen niet zijn vastgelegd, weet je niet wat een leverancier wel of niet doet
  • Gebrek aan zichtbaarheid: organisaties weten vaak niet precies welke derde partijen toegang hebben tot welke systemen

Wat dit extra gevaarlijk maakt, is dat een aanval via de keten lang onopgemerkt kan blijven. De aanvaller beweegt zich immers via een vertrouwde verbinding door jouw netwerk. Security binnen Microsoft 365 biedt technische maatregelen die helpen verdachte activiteiten te detecteren, ook wanneer die via een externe partij binnenkomen.

Hoe beoordeel je de beveiligingsstatus van een leverancier?

De beveiligingsstatus van een leverancier beoordeel je door een gestructureerde combinatie van documentatieanalyse, vragenlijsten en technische verificatie. Een eenmalige check is daarbij niet voldoende: leveranciersbeveiliging vereist periodieke herbeoordeling, omdat de situatie bij een leverancier voortdurend verandert.

Een praktische aanpak omvat de volgende stappen:

  1. Stel een leveranciersregister op waarin je vastlegt welke partijen toegang hebben tot jouw systemen, data of netwerk, en in welke mate
  2. Gebruik een beveiligingsvragenlijst gebaseerd op erkende frameworks zoals ISO 27001 of de NIS2-vereisten zelf
  3. Vraag om certificeringen zoals ISO 27001, SOC 2 of vergelijkbare aantoonbare kwaliteitsstandaarden
  4. Leg eisen contractueel vast met daarin minimale beveiligingsnormen, meldplichten bij incidenten en het recht op audit
  5. Monitor doorlopend via periodieke gesprekken, rapportages of geautomatiseerde tooling die afwijkingen signaleert

Prioriteer leveranciers op basis van risico. Een partij die alleen facturen stuurt, vraagt een andere aanpak dan een beheerpartij die dagelijks in jouw Microsoft 365-omgeving werkt. Breng het risiconiveau van elke leverancier in kaart en stem de diepgang van de beoordeling daarop af.

Wat is het verschil tussen directe en indirecte ketenrisico’s?

Directe ketenrisico’s ontstaan bij leveranciers die rechtstreeks toegang hebben tot jouw systemen, netwerken of data. Indirecte ketenrisico’s ontstaan bij partijen die jouw leveranciers op hun beurt gebruiken, de zogeheten subleveranciers. Het onderscheid is cruciaal omdat indirecte risico’s vaak volledig buiten beeld blijven, terwijl ze dezelfde schade kunnen veroorzaken.

Een voorbeeld maakt dit concreet: jouw ICT-beheerder heeft toegang tot jouw netwerk (direct risico). Die beheerder maakt op zijn beurt gebruik van een monitoringtool van een derde partij (indirect risico). Als die tool wordt gecompromitteerd, heeft een aanvaller via twee schakels toch toegang tot jouw omgeving, zonder dat jij ooit een relatie had met die derde partij.

Onder NIS2 ben je als organisatie verantwoordelijk voor het in kaart brengen van beide categorieën. Dat betekent niet dat je elke subleverancier persoonlijk moet beoordelen, maar wel dat je van jouw directe leveranciers mag verwachten dat zij hun eigen keten beheersen. Leg dit vast in contracten: vraag leveranciers aantoonbaar te maken hoe zij hun eigen toeleveringsketen beveiligen.

Wat zijn de gevolgen van niet voldoen aan de NIS2-keteneisen?

Organisaties die niet voldoen aan de NIS2-keteneisen riskeren forse boetes, operationele verstoringen en persoonlijke aansprakelijkheid van bestuurders. De NIS2-richtlijn introduceert een handhavingsregime dat aanzienlijk strenger is dan de oorspronkelijke NIS1-richtlijn, met sancties die vergelijkbaar zijn met die van de AVG.

De gevolgen kunnen zijn:

  • Bestuurlijke boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten
  • Persoonlijke aansprakelijkheid van bestuurders die aantoonbaar hebben nagelaten de vereiste maatregelen te treffen
  • Reputatieschade doordat toezichthouders handhavingsmaatregelen openbaar kunnen maken
  • Operationele gevolgen zoals tijdelijke verboden om bepaalde diensten te verlenen
  • Ketenschade: als een incident via jouw keten andere organisaties treft, vergroot dit de juridische en financiële blootstelling

Naast de juridische risico’s is er ook een praktisch gevaar: organisaties die hun ketenbeveiliging niet op orde hebben, lopen een reëel verhoogd risico op succesvolle cyberaanvallen. De reputatie- en continuïteitsschade van een incident is in de praktijk vaak groter dan de boete zelf.

Hoe begin je met een NIS2-conforme ketenbeveiligingsaanpak?

Begin met een nulmeting: breng in kaart welke leveranciers en derde partijen toegang hebben tot jouw systemen en data, en welk risico zij vertegenwoordigen. Zonder dit overzicht is elke volgende stap gebouwd op een onzeker fundament. Vanuit die inventarisatie werk je stapsgewijs naar een volledige ketenbeveiligingsaanpak.

Een praktische startaanpak ziet er als volgt uit:

  1. Maak een leveranciersregister met alle partijen die toegang hebben tot jouw digitale omgeving
  2. Classificeer leveranciers op risiconiveau op basis van toegangsrechten, dataverwerking en kritikaliteit
  3. Stel minimale beveiligingseisen op die je contractueel vastlegt bij nieuwe en bestaande leveranciers
  4. Voer een risicoanalyse uit die zowel directe als indirecte ketenrisico’s adresseert
  5. Implementeer technische maatregelen zoals meervoudige authenticatie, least-privilege toegang en monitoring van externe verbindingen
  6. Borg periodieke herbeoordeling zodat de aanpak meebeweegt met veranderingen in de keten

Vergeet ook de menselijke kant niet. Medewerkers die samenwerken met externe partijen moeten weten hoe zij verdachte activiteiten herkennen en melden. Bewustwordingsprogramma’s helpen om ketenbeveiliging niet alleen technisch, maar ook organisatorisch te verankeren.

Hoe Puur ICT helpt met ketenbeveiliging en NIS2

Als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener helpen wij organisaties stap voor stap naar een NIS2-conforme aanpak voor ketenbeveiliging. We begrijpen dat dit voor veel directeuren en IT-managers een complexe opgave is, en we doorlopen dit traject graag samen met je, in begrijpelijke taal en zonder onnodig jargon.

Wat wij voor je kunnen doen:

  • Nulmeting en risicoanalyse: we brengen jouw huidige beveiligingssituatie en leveranciersketen in kaart en identificeren de grootste risico’s
  • Advies en implementatie: we adviseren over de juiste technische en organisatorische maatregelen binnen het Microsoft-ecosysteem, van toegangsbeheer tot monitoring
  • Contractuele ondersteuning: we helpen bij het opstellen van beveiligingseisen voor leveranciers en het vastleggen van meldplichten
  • Bestuurderstraining: we verzorgen trainingen waarmee bestuurders aantoonbaar voldoen aan de opleidingsplicht onder de Cyberbeveiligingswet
  • Doorlopend beheer en rapportage: we monitoren de beveiligingsstatus van jouw omgeving en rapporteren proactief over risico’s en aanbevelingen

Wil je weten waar jouw organisatie nu staat op het gebied van ketenbeveiliging en NIS2-compliance? Neem contact op met Puur ICT voor een vrijblijvend gesprek. We helpen je graag verder, in kleine stappen en met een aanpak die past bij jouw organisatie.

Ondernemer bureau met open laptop, hangslot en dampende koffie in koel blauw-wit interieur met zijdelings natuurlijk licht.

Hoe houd je je digitale beveiliging op orde als ondernemer zonder dat het je dagelijkse werk stilzet?

/in /door

Digitale beveiliging op orde houden als ondernemer hoeft je dagelijkse werk niet stil te zetten, mits je kiest voor een aanpak die bescherming inbouwt in de manier waarop je al werkt. De sleutel zit in laagdrempelige maatregelen die medewerkers nauwelijks merken, gecombineerd met slimme automatisering die op de achtergrond actief is. Hieronder beantwoorden we de meest gestelde vragen over cybersecurity voor het mkb, zodat je precies weet waar je moet beginnen en wanneer je hulp kunt inschakelen.

Welke digitale dreigingen lopen ondernemers het meeste risico?

Ondernemers lopen in 2026 het grootste risico op phishing, ransomware en aanvallen via zwakke wachtwoorden. Phishing is veruit de meest voorkomende ingang voor cybercriminelen: een medewerker klikt op een nep-e-mail, vult inloggegevens in en de aanvaller krijgt toegang. Ransomware versleutelt vervolgens bestanden en eist losgeld. Zwakke of hergebruikte wachtwoorden maken het criminelen nog eenvoudiger.

Naast deze drie klassieke dreigingen neemt het aantal aanvallen via externe leveranciers toe. Criminelen weten dat kleine bedrijven minder goed beveiligd zijn dan grote corporaties, en gebruiken mkb-organisaties als springplank naar grotere klanten of partners. Ook het verlies of de diefstal van laptops en smartphones is een onderschat risico: zonder versleuteling of de mogelijkheid om apparaten op afstand te wissen, zijn alle bedrijfsgegevens direct toegankelijk voor wie het toestel vindt.

Tot slot groeit het risico van slecht geconfigureerde cloudomgevingen. Veel organisaties zetten Microsoft 365 of andere cloudoplossingen in, maar laten standaardinstellingen staan die niet optimaal beveiligd zijn. Dat maakt hen kwetsbaar, zelfs als de software zelf betrouwbaar is.

Wat zijn de eerste stappen om digitale beveiliging op orde te krijgen?

De eerste stappen om je digitale veiligheid als bedrijf te verbeteren zijn: meervoudige verificatie (MFA) inschakelen, sterke wachtwoorden afdwingen via een wachtwoordmanager, en zorgen dat software en besturingssystemen altijd up-to-date zijn. Deze drie maatregelen lossen het grootste deel van de meest voorkomende aanvallen op, zonder grote investeringen of complexe infrastructuur.

Concreet betekent dit het volgende:

  • MFA activeren op alle zakelijke accounts, inclusief e-mail en cloudopslag. Hiermee is een gestolen wachtwoord op zichzelf niet meer genoeg voor een aanvaller.
  • Een wachtwoordmanager invoeren zodat medewerkers unieke, sterke wachtwoorden gebruiken zonder ze te hoeven onthouden.
  • Automatische updates inschakelen op alle apparaten en applicaties, zodat bekende kwetsbaarheden direct worden gedicht.
  • Een back-upstrategie implementeren die regelmatig en automatisch draait, bij voorkeur op een locatie die losstaat van je primaire netwerk.

Wie deze stappen heeft gezet, heeft al een stevige basis gelegd. Daarna kun je verder uitbouwen met geavanceerdere maatregelen zoals netwerksegmentatie, endpoint-beveiliging en monitoring.

Hoe bescherm je medewerkers tegen phishing en social engineering?

Medewerkers beschermen tegen phishing en social engineering doe je door training te combineren met technische filters. Training alleen is niet genoeg, want aanvallen worden steeds overtuigender en iedereen maakt wel eens een fout. Technische maatregelen die verdachte e-mails automatisch blokkeren of markeren, vormen de tweede verdedigingslinie wanneer een medewerker toch twijfelt.

Bewustwording als fundament

Regelmatige, korte bewustwordingssessies werken beter dan een jaarlijkse verplichte training. Leer medewerkers om afzenderadressen te controleren, nooit zomaar op links te klikken en altijd te verifiëren via een apart kanaal als iemand vraagt om geld over te maken of inloggegevens te delen. Simuleer af en toe een nep-phishingmail intern, zodat medewerkers ervaren hoe realistisch dit kan zijn.

Technische filters als vangnet

Stel e-mailfilters in die verdachte bijlagen en links automatisch blokkeren. Binnen Microsoft 365 zijn hiervoor specifieke functies beschikbaar, zoals Safe Links en Safe Attachments in Microsoft Defender. Deze tools analyseren links en bijlagen in real time voordat de medewerker ze opent. Combineer dit met een duidelijk meldpunt waar medewerkers verdachte berichten eenvoudig kunnen doorgeven zonder angst voor kritiek.

Welke beveiligingsfuncties in Microsoft 365 worden vaak over het hoofd gezien?

De meest over het hoofd geziene beveiligingsfuncties in Microsoft 365 zijn Conditional Access, Microsoft Secure Score, en de geavanceerde instellingen binnen Microsoft Defender. Veel organisaties activeren Microsoft 365, maar laten het bij de standaardinstellingen. Daarmee missen ze een groot deel van de bescherming die al inbegrepen is in hun licentie.

Specifieke functies die vaak onbenut blijven:

  • Conditional Access: hiermee bepaal je onder welke omstandigheden iemand mag inloggen, bijvoorbeeld alleen vanaf bekende apparaten of vanuit bepaalde landen.
  • Microsoft Secure Score: een dashboard dat je beveiligingsniveau in kaart brengt en concrete aanbevelingen geeft om het te verbeteren.
  • Privileged Identity Management: zorgt ervoor dat beheerders alleen verhoogde rechten hebben wanneer ze die actief nodig hebben, wat het risico bij een gehackt beheerdersaccount sterk beperkt.
  • Microsoft Intune: voor het beheer van apparaten op afstand, inclusief de mogelijkheid om een verloren of gestolen apparaat op afstand te wissen.

Een goede configuratie van beveiliging binnen Microsoft 365 vereist kennis van de beschikbare opties en inzicht in de specifieke risico’s van jouw organisatie. Veel van deze functies zijn direct beschikbaar, maar moeten bewust worden ingeschakeld en ingesteld.

Wanneer is het slim om digitale beveiliging uit te besteden?

Het is slim om digitale beveiliging uit te besteden wanneer je intern niet de tijd, kennis of capaciteit hebt om het structureel bij te houden. Cybersecurity is geen eenmalig project maar een doorlopend proces: dreigingen veranderen, software heeft updates nodig en beleid moet worden aangepast. Voor de meeste mkb-organisaties is het niet realistisch om dit volledig in eigen beheer te doen.

Uitbesteden is zeker verstandig als:

  • Je geen dedicated IT-medewerker in dienst hebt die beveiliging actief monitort.
  • Je organisatie werkt met gevoelige klantdata of persoonsgegevens waarvoor je wettelijk verantwoordelijk bent.
  • Je recent bent gegroeid en de IT-omgeving complexer is geworden dan voorheen.
  • Je na een incident hebt gemerkt dat je reactietijd te lang was.

Een externe partner biedt niet alleen technische kennis, maar ook continuïteit: ook bij vakantie, ziekte of personeelswissels blijft de beveiliging op orde. Dat geeft bestuurlijke rust en voorkomt dat beveiliging afhankelijk wordt van één persoon binnen de organisatie. ICT-beheer en ondersteuning door een gespecialiseerde partij zorgt ervoor dat je altijd een aanspreekpunt hebt dat proactief meekijkt.

Hoe houd je beveiliging werkbaar zonder de organisatie te vertragen?

Beveiliging blijft werkbaar zonder de organisatie te vertragen door maatregelen te kiezen die aansluiten bij de manier waarop mensen al werken, in plaats van extra obstakels toe te voegen. De grootste fout is beveiliging behandelen als een rem op productiviteit. Goede beveiliging is onzichtbaar voor de eindgebruiker en actief op de achtergrond.

Praktische principes om dit te bereiken:

  • Single Sign-On (SSO) invoeren zodat medewerkers met één keer inloggen toegang hebben tot alle applicaties, in plaats van tientallen wachtwoorden te beheren.
  • Automatisering gebruiken voor repetitieve beveiligingstaken zoals updates, back-ups en toegangsbeheer, zodat mensen hier geen omkijken naar hebben.
  • Beleid afstemmen op rollen: niet iedereen heeft toegang nodig tot alles. Door toegangsrechten te beperken tot wat iemand echt nodig heeft, verklein je het aanvalsoppervlak zonder dat medewerkers iets merken.
  • Duidelijke procedures maken voor veelvoorkomende situaties, zoals wat te doen bij een verdachte e-mail of een verloren telefoon. Heldere stappen nemen onzekerheid weg en versnellen de reactie.

De Puur Moderne Werkplek is een goed voorbeeld van hoe beveiliging en gebruiksgemak samengaan: medewerkers werken flexibel vanaf elk apparaat en elke locatie, terwijl beveiliging en apparaatbeheer op de achtergrond geregeld zijn.

Hoe Puur ICT helpt met digitale beveiliging voor jouw organisatie

Wij begrijpen dat digitale beveiliging voor veel ondernemers voelt als een complex en tijdrovend vraagstuk. Daarom helpen wij organisaties om cybersecurity praktisch en werkbaar te maken, zonder dat het ten koste gaat van productiviteit of overzicht. Als Microsoft 365-specialist uit het Noorden van Nederland zetten wij bewezen technologie in en zorgen we voor een configuratie die écht past bij jouw organisatie.

Wat wij voor je doen:

  • Inrichten en optimaliseren van beveiligingsfuncties binnen Microsoft 365, inclusief MFA, Conditional Access en Microsoft Defender
  • Beheer van apparaten op afstand via Microsoft Intune, inclusief de mogelijkheid om verloren toestellen te wissen
  • Proactieve monitoring en rapportage, zodat je altijd weet hoe jouw digitale veiligheid ervoor staat
  • Bewustwordingsprogramma’s voor medewerkers, afgestemd op de dreigingen die relevant zijn voor jouw sector
  • Persoonlijk advies van gecertificeerde professionals, in begrijpelijke taal en zonder onnodige complexiteit

Wil je weten hoe jouw organisatie er nu voor staat op het gebied van digitale beveiliging? Neem contact met ons op en we kijken samen wat er nodig is om jouw organisatie veilig, wendbaar en klaar voor de toekomst te maken.

Zware stalen kluisdeur op een kier in een moderne serverruimte, met zichtbare beveiligingsmechanismen en blauw-amberkleurig licht.

Wat is het verschil tussen NIS1 en NIS2?

/in /door

Het verschil tussen NIS1 en NIS2 zit hem in reikwijdte, strengheid en handhaving. Waar NIS1 een beperkte groep sectoren verplichtte tot basale beveiligingsmaatregelen, breidt NIS2 die scope aanzienlijk uit, stelt strengere eisen aan risicobeheer en incidentmelding, en maakt bestuurders persoonlijk aansprakelijk voor naleving. Voor organisaties in Nederland is dit extra relevant omdat NIS2 via de Cyberbeveiligingswet naar verwachting in het tweede kwartaal van 2026 van kracht wordt. In dit artikel beantwoorden we de meest gestelde vragen over het NIS1-NIS2 verschil, zodat je weet waar je als organisatie aan toe bent.

Waarom is NIS1 vervangen door NIS2?

NIS1 is vervangen door NIS2 omdat de oorspronkelijke richtlijn uit 2016 niet meer aansloot bij de snel veranderende dreigingen en de toenemende digitale afhankelijkheid van organisaties en samenleving. De cybersecurityrichtlijn NIS1 liet lidstaten te veel vrijheid in de implementatie, wat leidde tot grote verschillen in beschermingsniveaus binnen de EU en onvoldoende grip op grensoverschrijdende risico’s.

Bovendien bleek de reikwijdte van NIS1 te smal. Alleen organisaties in een handvol kritieke sectoren vielen eronder, terwijl de praktijk liet zien dat verstoringen in de digitale keten veel bredere gevolgen hebben. Denk aan ransomware-aanvallen die via een toeleverancier een heel netwerk platleggen. NIS2 is de logische reactie hierop: een richtlijn die breder, scherper en uniformer is, en die cybersecurity stevig verankert in de bestuurlijke verantwoordelijkheid van organisaties.

Welke organisaties vallen onder NIS2 maar niet onder NIS1?

NIS2 trekt de scope van de cybersecurityrichtlijn aanzienlijk breder dan NIS1. Sectoren die voorheen buiten de regelgeving vielen, vallen nu wel onder de NIS2 wetgeving Nederland. Denk aan de maakindustrie, voedselproductie, logistiek en transport, afvalwater, digitale dienstverleners en ICT-beheerders.

Concreet maakt NIS2 onderscheid tussen twee categorieën:

  • Essentiële entiteiten: grote organisaties in kritieke sectoren zoals energie, transport, gezondheidszorg, drinkwater en financiële infrastructuur.
  • Belangrijke entiteiten: middelgrote organisaties in een bredere groep sectoren, waaronder ICT-dienstverlening, cloud, food en agri, en overheidsinstanties.

In de praktijk betekent dit dat veel organisaties met 50 of meer medewerkers en een jaaromzet of balanstotaal boven een bepaalde drempel nu voor het eerst te maken krijgen met formele NIS2 verplichtingen. Waar NIS1 misschien langs je organisatie scheerde, is de kans groot dat NIS2 dat niet meer doet.

Wat zijn de nieuwe verplichtingen onder NIS2?

NIS2 verplichtingen gaan verder dan de basismaatregelen die NIS1 voorschreef. Organisaties moeten aantoonbaar een samenhangend pakket aan technische en organisatorische maatregelen treffen, gericht op het beheersen van risico’s voor hun netwerk- en informatiebeveiliging.

De belangrijkste verplichtingen zijn:

  • Risicoanalyse: het systematisch in kaart brengen van dreigingen en kwetsbaarheden.
  • Incidentmelding: beveiligingsincidenten moeten binnen 24 uur gemeld worden bij de bevoegde autoriteit, met een uitgebreider rapport binnen 72 uur.
  • Incident response plan: een actueel plan voor het reageren op en herstellen van incidenten.
  • Ketenbeveiliging: aantoonbaar toezicht op de beveiliging van leveranciers en partners.
  • Cyberhygiëne en awareness: structurele training van medewerkers en bestuurders.
  • Toegangsbeheer en encryptie: technische maatregelen om onbevoegde toegang te voorkomen.
  • Bestuurlijke verantwoordelijkheid: bestuurders zijn persoonlijk aansprakelijk voor de naleving van deze maatregelen.

Dat laatste punt is nieuw en ingrijpend. Onder NIS1 was cybersecurity primair een IT-aangelegenheid. Onder NIS2 is het een bestuurlijk vraagstuk, waarbij directeuren en commissarissen aantoonbaar moeten beschikken over kennis van cyberrisico’s. Security binnen Microsoft 365 biedt een goede technische basis voor het invullen van een deel van deze verplichtingen.

Hoe verschilt de handhaving van NIS2 ten opzichte van NIS1?

De handhaving onder NIS2 is aanzienlijk strenger dan onder NIS1. Waar NIS1 de handhaving grotendeels overliet aan de lidstaten met weinig uniforme sancties, introduceert NIS2 concrete boetes en toezichtsmechanismen die vergelijkbaar zijn met de AVG.

Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de wereldwijde jaaromzet. Toezichthouders krijgen bovendien ruimere bevoegdheden om audits uit te voeren, inspecties te doen en corrigerende maatregelen op te leggen.

Nieuw is ook dat bestuurders persoonlijk aansprakelijk gesteld kunnen worden als zij hun zorgplicht niet nakomen. Dit betekent dat niet-naleving van de NIS2 richtlijn niet langer alleen een organisatierisico is, maar ook een persoonlijk risico voor de mensen aan de top.

Geldt NIS2 ook voor toeleveranciers en IT-partners?

Ja, NIS2 heeft nadrukkelijk aandacht voor de keten. Organisaties die zelf onder de richtlijn vallen, zijn verplicht om ook de beveiliging van hun toeleveranciers en IT-partners te beoordelen en te borgen. Dit wordt ketenbeveiliging of supply chain security genoemd.

In de praktijk betekent dit dat een NIS2-plichtige organisatie niet alleen haar eigen huis op orde moet hebben, maar ook contractuele en technische eisen mag stellen aan partijen die toegang hebben tot haar systemen of data. ICT-beheerders, cloudleveranciers en andere digitale dienstverleners komen daarmee indirect in het vizier van de NIS2 wetgeving Nederland, ook als zij zelf niet formeel als essentiële of belangrijke entiteit worden aangemerkt.

Voor IT-partners is dit een duidelijk signaal: klanten zullen steeds vaker vragen om aantoonbare beveiligingsmaatregelen, rapportages en certificeringen. Wie daar niet op voorbereid is, loopt het risico uit aanbestedingen of samenwerkingen te worden geweerd. Meer weten over hoe ICT-beheer en beveiliging samenkomen? Bekijk onze aanpak rondom ICT-beheer en ondersteuning.

Wanneer moet een organisatie voldoen aan NIS2?

De Europese NIS2 richtlijn had uiterlijk in oktober 2024 door alle EU-lidstaten omgezet moeten zijn in nationale wetgeving. Nederland loopt daarin vertraging op: de Cyberbeveiligingswet, de Nederlandse vertaling van NIS2, wordt naar verwachting in het tweede kwartaal van 2026 van kracht.

Dat betekent dat organisaties in 2026 formeel aan de NIS2 verplichtingen moeten voldoen zodra de wet in werking treedt. Maar wachten tot die datum is geen verstandige strategie. Een risicoanalyse uitvoeren, een incident response plan opstellen, leveranciers screenen en bestuurders trainen kost tijd. Organisaties die nu beginnen, staan straks sterk. Organisaties die wachten, lopen het risico om onder tijdsdruk maatregelen te nemen die oppervlakkig zijn of onvolledig.

Bovendien geldt: de dreiging wacht niet op de wetgever. De maatregelen die NIS2 voorschrijft, zijn ook zonder wettelijke verplichting zinvol om te implementeren.

Hoe Puur ICT helpt met NIS2-compliance

Wij begrijpen dat NIS2 voor veel organisaties een complex en veelomvattend vraagstuk is. Als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener helpen wij je stap voor stap naar aantoonbare naleving, zonder dat je zelf alle losse draden hoeft samen te brengen.

Wat wij voor je doen:

  • Nulmeting en gap-analyse: we brengen je huidige beveiligingssituatie in kaart en bepalen wat er nog ontbreekt om aan de NIS2 verplichtingen te voldoen.
  • Technische implementatie: via het Microsoft 365-ecosysteem zetten we de juiste beveiligingsmaatregelen in, van toegangsbeheer en encryptie tot monitoring en incidentdetectie.
  • Bestuurderstraining en awareness: we verzorgen trainingen waarmee bestuurders en medewerkers aantoonbaar voldoen aan de opleidingsplicht uit de Cyberbeveiligingswet.
  • Ketenbeveiliging: we helpen je bij het beoordelen en contractueel borgen van de beveiliging van jouw leveranciers en partners.
  • Doorlopend beheer en rapportage: na implementatie blijven we betrokken, zodat je altijd inzicht hebt in je beveiligingsstatus en proactief kunt bijsturen.

Klaar om NIS2 serieus aan te pakken? Neem contact op met Puur ICT en ontdek hoe wij jouw organisatie begeleiden naar volledige compliance, in begrijpelijke taal en met de persoonlijke aanpak waar we voor staan.

Zelfstandige winkeleigenaar aan houten bureau met laptop, router en hangslot, warm noordelijk licht door berijpt raam.

Is goede cybersecurity alleen weggelegd voor grote bedrijven met een eigen IT-afdeling?

/in /door

Nee, goede cybersecurity is niet alleen weggelegd voor grote bedrijven met een eigen IT-afdeling. Juist kleinere en middelgrote organisaties kunnen zich uitstekend beveiligen, mits ze de juiste keuzes maken en de juiste partner inschakelen. In dit artikel beantwoorden we de meest gestelde vragen over cybersecurity voor bedrijven zonder eigen IT-afdeling.

Zijn kleine bedrijven echt een doelwit voor cybercriminelen?

Ja, kleine en middelgrote bedrijven zijn nadrukkelijk een doelwit voor cybercriminelen. Sterker nog: cybercriminelen richten zich steeds vaker bewust op het MKB, juist omdat kleinere organisaties doorgaans minder goed beveiligd zijn dan grote corporates. Minder budget, minder expertise en minder aandacht voor IT-beveiliging maken hen een aantrekkelijk doelwit.

De gedachte dat hackers alleen grote bedrijven aanvallen, is een hardnekkig misverstand. In de praktijk zijn veel aanvallen volledig geautomatiseerd: kwaadaardige software scant het internet op zoek naar zwakke plekken, zonder te kijken naar de omvang van een organisatie. Een bedrijf met twintig medewerkers dat verouderde software draait of zwakke wachtwoorden gebruikt, is net zo kwetsbaar als een multinational met een slordig geconfigureerd systeem.

Bovendien beschikken kleine bedrijven vaak over waardevolle data: klantgegevens, financiële informatie, contracten en intellectueel eigendom. Voor cybercriminelen is dat voldoende reden om toe te slaan. De beveiliging van je organisatie serieus nemen is daarom geen luxe, maar een zakelijke noodzaak.

Welke cyberdreigingen treffen bedrijven zonder eigen IT-afdeling het hardst?

Bedrijven zonder eigen IT-afdeling worden het zwaarst getroffen door phishing, ransomware en zwakke toegangsbeveiliging. Dit zijn dreigingen die relatief eenvoudig te voorkomen zijn met de juiste maatregelen, maar zonder technische expertise snel over het hoofd worden gezien.

  • Phishing: Nep-e-mails die medewerkers verleiden tot het klikken op een gevaarlijke link of het invoeren van inloggegevens. Dit is veruit de meest voorkomende aanvalsmethode en treft organisaties van elke omvang.
  • Ransomware: Kwaadaardige software die bestanden versleutelt en losgeld eist. Zonder goede back-ups en beveiligingssoftware kan dit een bedrijf dagenlang of zelfs wekenlang platleggen.
  • Zwakke wachtwoorden en ontbrekende multifactorauthenticatie: Accounts zonder sterke beveiliging zijn eenvoudig te kraken. Eén gecompromitteerd account kan een aanvaller toegang geven tot het hele netwerk.
  • Verouderde software: Systemen die niet worden bijgewerkt, bevatten bekende kwetsbaarheden die actief worden misbruikt.
  • Onbeveiligde thuiswerkomgevingen: Nu hybride werken de norm is, vormt het thuisnetwerk van medewerkers een extra risico als dit niet goed is afgeschermd.

Wat deze dreigingen gemeen hebben: ze zijn allemaal goed beheersbaar met de juiste tools en een helder beleid. Kennis en structuur zijn daarbij belangrijker dan een grote IT-afdeling.

Wat kost een cyberaanval een middelgroot bedrijf gemiddeld?

De kosten van een cyberaanval voor een middelgroot bedrijf lopen al snel op tot tienduizenden euro’s, soms meer. Naast directe herstelkosten zijn er ook indirecte schadeposten zoals omzetverlies door stilstand, reputatieschade en mogelijke boetes bij datalekken onder de AVG.

Het is verleidelijk om cybersecurity te zien als een kostenpost, maar de vergelijking is snel gemaakt: de kosten van preventieve maatregelen zijn vrijwel altijd een fractie van de schade die een succesvolle aanval aanricht. Denk aan de kosten van een paar dagen productieverlies, het inhuren van een crisisteam, het herstellen van systemen en het informeren van klanten over een datalek.

Bovendien heeft een cyberaanval een verborgen prijs: het verlies van vertrouwen bij klanten en partners. Voor organisaties die werken met gevoelige klantdata of in sectoren waar betrouwbaarheid cruciaal is, kan reputatieschade op de lange termijn zwaarder wegen dan de directe financiële schade.

Hoe kan een bedrijf zonder IT-afdeling toch goed beveiligd zijn?

Een bedrijf zonder eigen IT-afdeling kan uitstekend beveiligd zijn door gebruik te maken van moderne cloudoplossingen, multifactorauthenticatie en een externe IT-partner die het beheer en de monitoring overneemt. Goede beveiliging vereist geen groot intern team, maar wel de juiste structuur en tools.

De basis van solide IT-beveiliging bestaat uit een aantal concrete stappen:

  1. Multifactorauthenticatie (MFA) inschakelen: Dit is een van de meest effectieve maatregelen om ongeautoriseerde toegang te voorkomen, ook als een wachtwoord is gestolen.
  2. Software en systemen up-to-date houden: Zorg dat updates automatisch worden uitgevoerd, zodat bekende kwetsbaarheden snel worden gedicht.
  3. Regelmatige back-ups maken: Bewaar back-ups op een locatie die losstaat van het primaire netwerk, zodat je bij een ransomware-aanval snel kunt herstellen.
  4. Medewerkers trainen: Bewustwording is een krachtig wapen. Medewerkers die phishing herkennen, vormen een sterke eerste verdedigingslinie.
  5. Endpoint-beveiliging inrichten: Alle apparaten die toegang hebben tot bedrijfsdata, inclusief laptops van thuiswerkers, moeten voldoen aan minimale beveiligingseisen.

Platforms zoals Microsoft 365 bevatten ingebouwde beveiligingsfuncties die, mits goed geconfigureerd, een stevige bescherming bieden. Veel organisaties laten deze mogelijkheden onbenut, simpelweg omdat ze niet weten dat ze er zijn.

Wat doet een externe IT-partner anders dan een interne IT-afdeling?

Een externe IT-partner biedt brede, gespecialiseerde kennis zonder de vaste overhead van een intern team. Waar een interne IT-medewerker generalistische kennis heeft, beschikt een externe partner over specialisten op meerdere gebieden die continu bijblijven met de nieuwste dreigingen en technologieën.

Een goed functionerende externe partner doet meer dan problemen oplossen als ze zich voordoen. Hij monitort proactief, signaleert risico’s voordat ze uitgroeien tot incidenten en zorgt voor een consistente beveiligingsstrategie die aansluit bij de groei van de organisatie. Dat is een fundamenteel andere benadering dan de klassieke “helpdesk-achtige” IT-ondersteuning.

Daarnaast biedt een externe partner schaalbaarheid: je betaalt voor wat je nodig hebt, en de capaciteit groeit mee met je organisatie. Voor bedrijven met honderd tot zeshonderd werkplekken is dit vaak een aanzienlijk efficiëntere keuze dan het opbouwen van een volledig intern IT-team. Via ICT-beheer en ondersteuning kun je de volledige verantwoordelijkheid voor beheer en beveiliging beleggen bij een partij die daar dagelijks mee bezig is.

Wanneer is het tijd om cybersecurity serieuzer aan te pakken?

Het is tijd om cybersecurity serieuzer aan te pakken zodra je organisatie afhankelijk is van digitale systemen voor haar continuïteit en er geen actueel, gedocumenteerd beveiligingsbeleid bestaat. In de praktijk betekent dit: voor de meeste bedrijven is dat moment al aangebroken.

Er zijn een aantal concrete signalen die aangeven dat het tijd is om actie te ondernemen:

  • Je hebt geen overzicht van welke apparaten toegang hebben tot bedrijfsdata.
  • Medewerkers gebruiken privé-accounts of onbeveiligde apparaten voor werkzaamheden.
  • Er is geen back-upstrategie, of de back-ups worden nooit getest.
  • Softwareupdates worden handmatig of onregelmatig uitgevoerd.
  • Er is geen procedure voor wat te doen bij een datalek of cyberaanval.
  • Je organisatie groeit en er komen steeds meer werkplekken en medewerkers bij.

Wachten op een incident is de duurste manier om te leren dat beveiliging belangrijk is. Proactief handelen, ook als er nog niets is misgegaan, is de enige verstandige aanpak.

Hoe Puur ICT helpt met cybersecurity voor jouw organisatie

Wij begrijpen dat niet elke organisatie een eigen IT-afdeling heeft, en dat cybersecurity voor veel bedrijven aanvoelt als complex en tijdrovend. Toch hoeft dat geen belemmering te zijn. Met de Puur Moderne Werkplek bieden wij een complete, veilige werkplekoplossing die volledig is afgestemd op hoe jouw organisatie werkt, zonder dat je daar zelf technische kennis voor nodig hebt.

Wat wij concreet voor je doen:

  • Inrichten van multifactorauthenticatie en beveiligingsbeleid binnen Microsoft 365, zodat accounts en data goed zijn beschermd.
  • Endpoint Management via Microsoft Intune: wij bewaken op afstand of alle apparaten voldoen aan minimale beveiligingseisen en grijpen in waar nodig.
  • Proactief beheer en monitoring: wij signaleren risico’s voordat ze problemen worden, en handelen direct als dat nodig is.
  • Heldere rapportage en korte lijnen: je weet altijd wat de status is van je beveiliging, in begrijpelijke taal, zonder technisch jargon.
  • Schaalbaarheid: onze oplossingen groeien mee met jouw organisatie, van tientallen tot honderden werkplekken.

Wil je weten hoe jouw organisatie er nu voor staat op het gebied van cybersecurity? Neem contact op met Puur ICT voor een vrijblijvend gesprek. We denken graag met je mee, in kleine stappen en begrijpelijke taal.

Metalen kompas naast een leeg checklist-formulier op wit bureau, zacht ochtendlicht, kantoromgeving op de achtergrond.

Waar begin je als je organisatie nog niets heeft geregeld voor NIS2?

/in /door

Als je organisatie nog niets heeft geregeld voor NIS2, begin je het best met een eerlijke nulmeting: breng in kaart of je onder de richtlijn valt, welke verplichtingen voor jou gelden en waar de grootste gaten zitten. Dat klinkt overweldigend, maar de praktijk is overzichtelijker dan veel organisaties denken. In dit artikel beantwoorden we de meest gestelde vragen over NIS2, zodat je weet waar je staat en hoe je de eerste stap zet.

Welke organisaties vallen eigenlijk onder de NIS2-richtlijn?

De NIS2-richtlijn geldt voor organisaties in sectoren die als kritiek of belangrijk worden beschouwd voor de samenleving. In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 in werking treedt. Of jouw organisatie onder de wet valt, hangt af van je sector en je omvang.

De richtlijn maakt onderscheid tussen twee categorieën:

  • Essentiële entiteiten: grote organisaties in sectoren zoals energie, transport, gezondheidszorg, drinkwater en digitale infrastructuur.
  • Belangrijke entiteiten: middelgrote organisaties in sectoren zoals ICT-dienstverlening, voedselproductie, logistiek, financiële dienstverlening en overheidsnabije instellingen.

Als vuistregel geldt: organisaties met meer dan 50 medewerkers of een jaaromzet boven de 10 miljoen euro in een aangewezen sector vallen hoogstwaarschijnlijk binnen de scope. Maar ook kleinere organisaties die onderdeel zijn van de toeleveringsketen van een NIS2-plichtige partij, kunnen te maken krijgen met contractuele eisen op het gebied van cybersecurity. Twijfel je of jouw organisatie in scope valt? Dan is dat op zichzelf al een signaal om actie te ondernemen.

Wat zijn de concrete verplichtingen die NIS2 oplegt?

NIS2 legt organisaties vier hoofdverplichtingen op: een zorgplicht voor risicobeheer, een meldplicht bij beveiligingsincidenten, een registratieplicht bij de bevoegde autoriteit, en een toezichtverplichting waarbij bestuurders persoonlijk aansprakelijk zijn voor naleving. Dit zijn geen papieren verplichtingen, maar actieve eisen die aantoonbaar moeten worden nageleefd.

Concreet betekent dit dat je als organisatie onder andere het volgende moet regelen:

  • Een actuele risicoanalyse van je digitale omgeving
  • Technische en organisatorische maatregelen zoals multifactorauthenticatie, encryptie en patchbeheer
  • Een incident response plan waarmee je snel kunt handelen bij een cyberaanval of datalek
  • Ketenbeveiliging: aantoonbaar toezicht op de cybersecurity van leveranciers en partners
  • Bewustwording en aantoonbare training van bestuurders en medewerkers
  • Tijdige melding van significante incidenten bij de bevoegde autoriteit, doorgaans binnen 24 uur voor een eerste melding

Wat NIS2 onderscheidt van eerdere wetgeving, is de nadruk op bestuurlijke verantwoordelijkheid. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld als blijkt dat zij onvoldoende toezicht hebben gehouden op de cyberweerbaarheid van hun organisatie. Dat maakt NIS2-compliance niet alleen een IT-vraagstuk, maar een strategische prioriteit.

Hoe voer je een nulmeting uit voor NIS2?

Een NIS2-nulmeting breng je in kaart door je huidige beveiligingssituatie te toetsen aan de verplichtingen uit de richtlijn. Je kijkt daarbij naar drie lagen: technische maatregelen, organisatorische processen en bestuurlijk bewustzijn. Het resultaat is een helder beeld van wat al geregeld is en waar de prioriteiten liggen.

Een praktische aanpak voor de nulmeting ziet er als volgt uit:

  1. Bepaal of je in scope bent: Controleer aan de hand van je sector en omvang of je als essentiële of belangrijke entiteit kwalificeert.
  2. Inventariseer je huidige maatregelen: Welke technische beveiligingsmaatregelen zijn al actief? Denk aan firewalls, toegangsbeheer, back-ups en monitoring.
  3. Beoordeel je processen: Zijn er gedocumenteerde procedures voor incidentrespons, patchbeheer en leveranciersbeheer?
  4. Toets bestuurlijk bewustzijn: Begrijpen bestuurders en het MT hun rol en aansprakelijkheid onder de Cyberbeveiligingswet?
  5. Stel een prioriteitenlijst op: Welke gaten zijn het meest urgent om te dichten, gezien de risico’s en de verwachte inwerkingtreding van de wet?

Een nulmeting hoeft niet perfect te zijn om waardevol te zijn. Zelfs een globale inventarisatie geeft je genoeg inzicht om gerichte keuzes te maken en een realistisch stappenplan op te stellen.

Waar begin je als de achterstand groot is?

Als je achterstand groot is, begin je met de maatregelen die het meeste risico wegnemen en tegelijkertijd de basis vormen voor verdere compliance. Dat zijn doorgaans: sterke toegangsbeveiliging, een werkend back-upsysteem en een basisproces voor incidentmelding. Daarna bouw je stap voor stap verder.

Een grote achterstand voelt ontmoedigend, maar NIS2 vraagt geen perfectie op dag één. Wat het wel vraagt, is aantoonbare voortgang en een serieuze aanpak. De volgende prioritering helpt je om gestructureerd te beginnen:

  • Stap 1 – Zet de basis op orde: Multifactorauthenticatie, sterk wachtwoordbeleid en actuele software-updates zijn laaghangend fruit met grote impact.
  • Stap 2 – Regel je back-ups en herstelplan: Zorg dat je kritieke data regelmatig wordt geback-upt en dat je weet hoe je systemen herstelt na een incident.
  • Stap 3 – Documenteer wat je doet: NIS2 vereist aantoonbaarheid. Leg maatregelen, besluiten en incidenten schriftelijk vast.
  • Stap 4 – Train je bestuur: Bestuurders moeten aantoonbaar kennis hebben van cyberrisico’s. Plan een training in voordat de wet van kracht is.
  • Stap 5 – Betrek je leveranciers: Breng in kaart welke partijen toegang hebben tot jouw systemen en stel minimale beveiligingseisen.

Kleine stappen in begrijpelijke taal zijn effectiever dan een groot project dat strandt op complexiteit. Prioriteer op risico, niet op volledigheid.

Welke rol speelt de IT-partner bij NIS2-compliance?

Een IT-partner speelt een centrale rol bij NIS2-compliance door technische maatregelen te implementeren, je beveiligingssituatie te monitoren en je te begeleiden bij het aantoonbaar voldoen aan de verplichtingen. Omdat NIS2 zowel technische als organisatorische eisen stelt, is een partner die beide domeinen begrijpt van grote waarde.

Concreet kan een IT-partner je ondersteunen bij:

  • Het uitvoeren van een nulmeting en het opstellen van een NIS2-stappenplan
  • De technische implementatie van beveiligingsmaatregelen binnen je bestaande infrastructuur
  • Het inrichten van monitoring en alerting, zodat incidenten snel worden gesignaleerd
  • Het documenteren van maatregelen en processen voor aantoonbaarheid richting toezichthouders
  • Bestuurders- en medewerkerstrainingen om bewustwording te borgen

Belangrijk aandachtspunt: je IT-partner valt zelf ook onder de NIS2-richtlijn als ICT-dienstverlener. Dat betekent dat een goede partner niet alleen jouw compliance ondersteunt, maar ook zelf aantoonbaar voldoet aan de eisen. Vraag daar actief naar. Een partner die ICT-beheer en ondersteuning biedt en zelf NIS2-compliant is, geeft je extra zekerheid over de veiligheid van je keten.

Wat gebeurt er als je niet voldoet aan NIS2?

Als je niet voldoet aan de NIS2-verplichtingen, riskeer je bestuurlijke boetes, aanwijzingen van de toezichthouder en in ernstige gevallen persoonlijke aansprakelijkheid van bestuurders. De hoogte van de boetes verschilt per categorie: voor essentiële entiteiten kan dit oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, voor belangrijke entiteiten tot 7 miljoen euro of 1,4% van de omzet.

Naast financiële sancties zijn er nog andere consequenties om rekening mee te houden:

  • Reputatieschade: Toezichthouders kunnen besluiten overtredingen openbaar te maken, wat directe gevolgen heeft voor klantvertrouwen en marktpositie.
  • Operationele maatregelen: De toezichthouder kan organisaties verplichten om specifieke maatregelen te treffen binnen een vastgestelde termijn.
  • Persoonlijke aansprakelijkheid: Bestuurders kunnen individueel aansprakelijk worden gesteld als zij aantoonbaar hebben nagelaten toezicht te houden op cybersecurity.
  • Ketenrisico: Klanten en opdrachtgevers die zelf NIS2-plichtig zijn, kunnen eisen dat jij als leverancier aantoonbaar voldoet. Doe je dat niet, dan loop je het risico contracten te verliezen.

De kern van de boodschap is: niet voldoen aan de cybersecuritywetgeving is geen administratief risico, maar een strategisch risico dat raakt aan continuïteit, reputatie en bestuurlijke controle tegelijk.

Hoe Puur ICT helpt met NIS2-compliance

Wij begrijpen dat NIS2 voor veel organisaties een complexe opgave is, zeker als je nog weinig hebt geregeld. Als Microsoft 365-specialist en ISO 9001-gecertificeerde ICT-dienstverlener helpen wij je stap voor stap naar aantoonbare naleving, in begrijpelijke taal en met een persoonlijke aanpak.

Wat wij voor je doen:

  • Nulmeting (Digicheck): We brengen je huidige beveiligingssituatie in kaart en bepalen samen waar de prioriteiten liggen.
  • Technische implementatie: We implementeren de juiste beveiligingsmaatregelen binnen het Microsoft-ecosysteem, van toegangsbeheer en monitoring tot ketenbeveiliging.
  • Bestuurderstraining: We verzorgen een interactieve training voor bestuurders en MT, zodat zij aantoonbaar voldoen aan de opleidingsplicht uit de Cyberbeveiligingswet.
  • Doorlopend beheer en rapportage: Na implementatie blijven we actief betrokken als vertrouwde partner die proactief meedenkt en je op de hoogte houdt van relevante ontwikkelingen.
  • Documentatie en aantoonbaarheid: We helpen je de juiste processen en bewijslast op te bouwen, zodat je bij een toezichtcontrole kunt aantonen wat je hebt gedaan en waarom.

Je hoeft NIS2 niet alleen op te lossen. Neem contact op met Puur ICT en ontdek hoe wij jouw organisatie op een pragmatische manier naar volledige compliance begeleiden.

Bovenaanzicht van laptops, smartphones en tablets op wit bureau, verbonden door kabels met centrale laptop in Microsoft-blauw licht.

Hoe beheer je de apparaten van medewerkers centraal via Microsoft Intune?

/in /door

Met Microsoft Intune beheer je de apparaten van medewerkers centraal vanuit één cloudgebaseerd platform. Je bepaalt welke apparaten toegang krijgen tot bedrijfsdata, welke beveiligingsinstellingen gelden en wat er gebeurt als een apparaat verloren raakt. Intune maakt onderdeel uit van Microsoft 365 en sluit naadloos aan op tools als Teams, OneDrive en SharePoint. In dit artikel beantwoorden we de meest gestelde vragen over centraal apparaatbeheer met Intune.

Welke apparaten kun je beheren met Microsoft Intune?

Met Microsoft Intune beheer je vrijwel elk type apparaat dat medewerkers gebruiken: Windows-laptops en desktops, Mac-computers, iPhones, Android-smartphones en iPads. Het maakt daarbij niet uit of het om bedrijfsapparaten gaat of om privéapparaten die medewerkers ook zakelijk inzetten. Intune ondersteunt zowel volledig beheerde apparaten als een bring-your-own-device (BYOD) aanpak.

Dat brede bereik is precies wat moderne werkplekoplossingen zo krachtig maakt. Medewerkers werken tegenwoordig op verschillende locaties en met verschillende apparaten. Intune zorgt ervoor dat je als organisatie altijd grip houdt op wie toegang heeft tot welke bedrijfsgegevens, ongeacht het apparaat of besturingssysteem. Je stelt per apparaattype eigen beleidsregels in, zodat een iPhone andere instellingen kan krijgen dan een Windows-laptop, terwijl het centrale beheer altijd in jouw handen blijft.

Hoe werkt het inschrijven van apparaten in Intune?

Apparaten inschrijven in Intune kan op meerdere manieren, afhankelijk van het type apparaat en de eigendomssituatie. Voor bedrijfsapparaten gebruik je doorgaans automatische inschrijving via Windows Autopilot of Apple Business Manager. Medewerkers met een privéapparaat schrijven hun toestel zelf in via de Intune-bedrijfsportal-app. Na inschrijving ontvangt het apparaat automatisch de ingestelde beleidsregels.

De inschrijfmethode die je kiest, heeft direct invloed op de gebruikerservaring. Bij Autopilot voor Windows-apparaten hoeft een medewerker het apparaat alleen aan te zetten, in te loggen met zijn of haar Microsoft-account en de rest verloopt automatisch. Applicaties worden geïnstalleerd, instellingen worden geconfigureerd en beveiligingsbeleid wordt toegepast, zonder dat de IT-afdeling het apparaat fysiek in handen hoeft te nemen. Dat bespaart tijd en voorkomt handmatige fouten.

Voor BYOD-apparaten geldt een andere aanpak. Hier schrijft de medewerker alleen het werkprofiel in, zodat zakelijke data en privédata gescheiden blijven. De IT-beheerder heeft dan alleen zeggenschap over het zakelijke gedeelte van het apparaat, wat de privacy van de medewerker respecteert.

Stel hier je vraag, want we helpen je graag!

Haal meer uit SharePoint, Teams, Copilot en Power Platform.

Wat is het verschil tussen compliance-beleid en configuratiebeleid in Intune?

Compliance-beleid bepaalt aan welke minimale eisen een apparaat moet voldoen om toegang te krijgen tot bedrijfsresources, zoals een minimale versie van het besturingssysteem of een actieve pincode. Configuratiebeleid legt actief instellingen op aan apparaten, zoals wachtwoordvereisten, Wi-Fi-profielen of het blokkeren van bepaalde apps. Beide beleidstypen vullen elkaar aan, maar hebben een fundamenteel ander doel.

Compliance-beleid: de toegangspoort

Een compliance-beleid werkt als een voorwaarde. Voldoet een apparaat niet aan de gestelde eisen, dan kan Intune in combinatie met Microsoft Entra ID (voorheen Azure AD) de toegang tot bedrijfsapplicaties automatisch blokkeren. Denk aan een medewerker wiens laptop al maanden geen updates heeft ontvangen. Het compliance-beleid markeert dat apparaat als niet-conform, waarna Conditional Access de toegang tot Teams of e-mail weigert totdat het apparaat weer aan de eisen voldoet.

Configuratiebeleid: actief beheer van instellingen

Een configuratiebeleid doet meer dan controleren, het schrijft instellingen actief voor. Je kunt via configuratiebeleid automatisch een VPN-profiel uitrollen, schermvergrendeling na inactiviteit instellen of bepaalde systeemfuncties uitschakelen. Het voordeel is dat medewerkers deze instellingen niet zelf hoeven te configureren en ze ook niet per ongeluk kunnen wijzigen. Dat geeft IT-beheerders en beslissers de zekerheid dat de basisbeveiliging overal consistent is.

Hoe stel je beveiligingsbeleid in voor medewerkers op afstand?

Voor medewerkers op afstand stel je in Intune beveiligingsbeleid in via een combinatie van compliance-beleid, configuratiebeleid en Conditional Access. Je bepaalt dat apparaten versleuteld moeten zijn, dat multifactorauthenticatie verplicht is en dat alleen conforme apparaten toegang krijgen tot bedrijfsdata. Dit beleid geldt automatisch voor iedereen, ongeacht waar de medewerker werkt.

Een goede aanpak voor remote werkers combineert meerdere lagen. Je zorgt er via Intune voor dat apparaten altijd up-to-date zijn met de nieuwste beveiligingsupdates. Daarnaast configureer je BitLocker-versleuteling op Windows-apparaten en stel je in dat zakelijke e-mail en bestanden alleen toegankelijk zijn via goedgekeurde apps. Voor organisaties die werken met gevoelige klant- of persoonsgegevens is dit geen luxe, maar een noodzaak.

Meer weten over hoe je beveiliging organisatiebreed inregelt? De mogelijkheden van security binnen Microsoft 365 reiken verder dan alleen apparaatbeheer en bieden een samenhangend beveiligingsframework.

Wat kun je doen als een apparaat verloren of gestolen is?

Als een apparaat verloren of gestolen is, kun je via Microsoft Intune op afstand actie ondernemen. Je hebt drie opties: het apparaat vergrendelen, alleen de bedrijfsgegevens wissen terwijl persoonlijke data bewaard blijft, of het apparaat volledig terugzetten naar fabrieksinstellingen. Deze acties voer je direct uit vanuit het Intune-beheerportaal, zonder dat het apparaat fysiek aanwezig hoeft te zijn.

De keuze tussen gedeeltelijk wissen en volledig wissen hangt af van het type apparaat en de eigendomssituatie. Bij een bedrijfslaptop kies je doorgaans voor een volledige reset. Bij een privételefoon van een medewerker is selectief wissen de betere optie: de zakelijke apps en gegevens worden verwijderd, maar foto’s en persoonlijke bestanden blijven intact. Dat is niet alleen praktisch, maar ook juridisch verstandig gezien de privacywetgeving.

Naast wissen kun je een verloren apparaat ook in de modus “verloren” zetten. Het apparaat wordt dan vergrendeld en toont een bericht met contactgegevens, zodat een eerlijke vinder weet bij wie hij het toestel kan inleveren. Intune registreert bovendien alle uitgevoerde acties, wat je ook een audittrail geeft voor verantwoording richting toezichthouders of een raad van commissarissen.

Stel hier je vraag, want we helpen je graag!

Haal meer uit SharePoint, Teams, Copilot en Power Platform.

Wanneer is Microsoft Intune de juiste keuze voor jouw organisatie?

Microsoft Intune is de juiste keuze wanneer je organisatie werkt met meerdere apparaattypen, medewerkers op verschillende locaties heeft of al gebruikmaakt van Microsoft 365. Intune is dan geen extra tool, maar een logische uitbreiding op de bestaande Microsoft-omgeving. Organisaties met 100 tot 600 werkplekken profiteren bijzonder sterk van de schaalvoordelen en het centrale beheer dat Intune biedt.

Intune is minder geschikt als je organisatie volledig werkt met apparaten in een traditioneel on-premises netwerk zonder mobiele werknemers en zonder plannen om naar de cloud te migreren. In de meeste gevallen is dat scenario in 2026 echter steeds zeldzamer.

Organisaties die al investeren in Microsoft 365 betalen in veel gevallen al voor Intune als onderdeel van hun licentie, zonder dat ze er gebruik van maken. Dat is een gemiste kans. Het activeren en inrichten van Intune levert direct zichtbare verbeteringen op in beveiliging, beheerbaarheid en de gebruikerservaring van medewerkers. Wil je weten welke mogelijkheden er zijn voor jouw specifieke situatie, dan is het verstandig om te kijken naar de beschikbare Puur modules die aansluiten op jouw Microsoft-omgeving.

Hoe Puur ICT helpt met centraal apparaatbeheer via Microsoft Intune

Wij ondersteunen organisaties van advies tot volledig beheer als het gaat om Microsoft Intune en mobile device management. Als Microsoft 365-specialist uit het Noorden van Nederland richten we Intune in op een manier die past bij jouw organisatie, jouw medewerkers en jouw beveiligingseisen. Concreet bieden we:

  • Inrichting en configuratie van Intune, inclusief compliance- en configuratiebeleid op maat
  • Automatische uitrol van apparaten via Windows Autopilot en Apple Business Manager
  • Beheer op afstand van alle apparaattypen, inclusief actie bij verlies of diefstal
  • Koppeling met Microsoft Entra ID en Conditional Access voor een samenhangend beveiligingsbeleid
  • Proactief beheer en rapportage, zodat jij altijd inzicht hebt in de status van je apparatenpark

Dit alles valt binnen onze ICT-beheer en ondersteuning, waarbij we zorgen dat jouw organisatie veilig, wendbaar en klaar voor de toekomst is. Wil je weten wat Intune voor jouw organisatie kan betekenen? Neem contact op met Puur ICT voor een vrijblijvend gesprek.

Roestige schakel in een stalen ketting op een kantoorbureau naast een laptop, symbool voor kwetsbaarheid in bedrijfsbeveiliging.

Waarom is de beveiliging van je toeleveringsketen zo belangrijk geworden voor kleine en middelgrote bedrijven?

/in /door

De beveiliging van je toeleveringsketen is zo belangrijk geworden voor kleine en middelgrote bedrijven omdat cybercriminelen steeds vaker niet het doelwit zelf aanvallen, maar via een vertrouwde leverancier binnenkomen. Een zwakke schakel in je leveranciersnetwerk kan jouw hele organisatie blootstellen aan dataverlies, ransomware of operationele stilstand. In dit artikel beantwoorden we de meest gestelde vragen over supply chain security voor het MKB.

Wat maakt een toeleveringsketen zo aantrekkelijk voor cybercriminelen?

Een toeleveringsketen is aantrekkelijk voor cybercriminelen omdat één succesvolle aanval op een leverancier toegang kan bieden tot tientallen of zelfs honderden aangesloten organisaties tegelijk. In plaats van elke organisatie afzonderlijk aan te vallen, gebruiken aanvallers een leverancier als springplank. Dit vergroot hun bereik enorm terwijl de inspanning relatief beperkt blijft.

Leveranciers hebben vaak directe toegang tot de systemen, netwerken of data van hun klanten. Denk aan softwareleveranciers die updates uitrollen, IT-dienstverleners die op afstand beheer uitvoeren, of cloudplatforms die geïntegreerd zijn in de bedrijfsvoering. Als een aanvaller die toegang overneemt, heeft hij in één klap een voet tussen de deur bij alle klanten van die leverancier.

Bovendien zijn leveranciers, zeker kleinere partijen, vaak minder goed beveiligd dan de grote organisaties waarvoor ze werken. Ze hebben minder budget, minder beveiligingsexpertise en staan minder in de schijnwerpers van toezichthouders. Dat maakt ze tot een aantrekkelijk doelwit met een hoge opbrengst voor aanvallers die geduldig te werk gaan.

Welke risico’s loopt een klein of middelgroot bedrijf via zijn leveranciers?

Een klein of middelgroot bedrijf loopt via zijn leveranciers het risico op ongeautoriseerde toegang tot bedrijfsdata, verspreiding van malware via vertrouwde software-updates, en operationele uitval als een gedeeld systeem wordt platgelegd. Omdat leveranciersverbindingen doorgaans als betrouwbaar worden beschouwd, worden ze minder kritisch gemonitord, wat de schade extra groot kan maken.

De meest voorkomende risico’s voor het MKB via de toeleveringsketen zijn:

  • Besmette software-updates: een aanvaller plaatst kwaadaardige code in een legitieme update van een leverancier, waarna die automatisch bij alle klanten wordt geïnstalleerd.
  • Gecompromitteerde inloggegevens: als een leverancier toegang heeft tot jouw Microsoft 365-omgeving of netwerk en zijn account wordt overgenomen, heeft de aanvaller direct toegang tot jouw systemen.
  • Datalekken via gedeelde omgevingen: cloudplatforms of beheertools die door meerdere klanten worden gebruikt, kunnen bij een aanval op de leverancier meerdere organisaties tegelijk raken.
  • Reputatie- en aansprakelijkheidsrisico: als klantdata via een leverancier uitlekt, ben jij als verantwoordelijke organisatie aansprakelijk, ongeacht wie de fout heeft gemaakt.

Voor organisaties die werken met gevoelige klantgegevens of kritische bedrijfsprocessen is dit geen theoretisch risico. De beveiliging van je Microsoft 365-omgeving is daarin een concrete eerste stap, maar leveranciersrisico vraagt om een bredere aanpak.

Hoe weet je of een leverancier veilig genoeg is om mee samen te werken?

Je weet of een leverancier veilig genoeg is door te toetsen op aantoonbare beveiligingsmaatregelen, zoals relevante certificeringen, een heldere verwerkersovereenkomst, en transparantie over hoe zij omgaan met toegang tot jouw systemen en data. Een leverancier die deze vragen niet kan beantwoorden, is een risico.

Concrete vragen die je een leverancier kunt stellen voordat je samenwerkt:

  1. Beschik je over een ISO 27001-certificering of vergelijkbare beveiligingsstandaard?
  2. Hoe beheer je de toegangsrechten van je medewerkers tot klantomgevingen?
  3. Voer je regelmatig penetratietests of kwetsbaarheidsscans uit?
  4. Hoe snel communiceer je bij een beveiligingsincident naar je klanten?
  5. Hoe zijn back-ups en herstelprocessen ingericht?

Naast deze vragen is het verstandig om contractueel vast te leggen welke beveiligingseisen je aan leveranciers stelt. Een verwerkersovereenkomst is wettelijk verplicht zodra een leverancier persoonsgegevens verwerkt, maar je kunt daarin ook aanvullende beveiligingsvereisten opnemen. Periodieke evaluatie van leveranciers, ook na de start van de samenwerking, is minstens zo belangrijk als de initiële screening.

Wat is het verband tussen NIS2 en de beveiliging van je toeleveringsketen?

NIS2 verplicht organisaties in aangewezen sectoren om niet alleen hun eigen beveiliging op orde te hebben, maar ook aantoonbaar grip te hebben op de cyberrisico’s die hun leveranciers met zich meebrengen. Supply chain security is daarmee een expliciet onderdeel geworden van de NIS2-verplichting, ook voor organisaties die zelf niet direct onder de wet vallen maar wel leveren aan partijen die dat doen.

De NIS2-richtlijn, die in 2026 steeds breder wordt gehandhaafd, introduceert een zogenaamde ketenverantwoordelijkheid. Dat betekent dat een organisatie die valt onder NIS2 verplicht is om van haar leveranciers te eisen dat zij minimale beveiligingsstandaarden naleven. Als jij als MKB levert aan een zorginstelling, energiebedrijf of overheidsorganisatie, kun je dus indirect te maken krijgen met NIS2-eisen.

Praktisch gezien betekent dit dat je als leverancier vragen kunt verwachten over je beveiligingsbeleid, incidentrespons en toegangsbeheer. Organisaties die hier niet op voorbereid zijn, lopen het risico uit aanbestedingen te vallen of contracten kwijt te raken. NIS2 maakt leveranciersbeveiliging dus niet alleen een technisch vraagstuk, maar ook een zakelijk en strategisch thema.

Welke maatregelen beschermen het MKB het meest effectief tegen supply chain-aanvallen?

De meest effectieve maatregelen tegen supply chain-aanvallen voor het MKB zijn het beperken van leverancierstoegang tot het strikt noodzakelijke, het invoeren van meervoudige verificatie voor alle externe toegang, en het actief monitoren van afwijkend gedrag in systemen en netwerken. Preventie begint bij het principe van minimale rechten en maximale zichtbaarheid.

Een gestructureerde aanpak bestaat uit de volgende bouwstenen:

  • Zero Trust-principe: vertrouw geen enkele gebruiker of verbinding automatisch, ook niet als die van een bekende leverancier komt. Verifieer altijd, beperk toegang tot wat nodig is en controleer continu.
  • Meervoudige authenticatie (MFA): zorg dat alle externe toegang, inclusief die van leveranciers, is beveiligd met MFA. Dit is een van de meest effectieve maatregelen tegen accountovernames.
  • Segmentatie van netwerken: geef leveranciers alleen toegang tot het deel van het netwerk dat zij nodig hebben. Zo beperk je de schade als een leveranciersaccount wordt gecompromitteerd.
  • Patchmanagement: houd alle software en systemen up-to-date. Veel supply chain-aanvallen maken gebruik van bekende kwetsbaarheden in verouderde software.
  • Leveranciersregister en risicobeoordelingen: houd bij welke leveranciers toegang hebben tot welke systemen en beoordeel periodiek of die toegang nog nodig en veilig is.

Voor organisaties die werken met een moderne werkplekoplossing op basis van Microsoft 365 biedt het platform ingebouwde tools voor toegangsbeheer, identiteitsbescherming en monitoring die direct bijdragen aan een stevigere verdediging tegen leveranciersrisico’s.

Wanneer is het tijd om een externe partner in te schakelen voor leveranciersbeveiliging?

Het is tijd om een externe partner in te schakelen voor leveranciersbeveiliging wanneer je organisatie niet beschikt over de interne expertise of capaciteit om leveranciersrisico’s structureel te beoordelen, te monitoren en te beheersen. Voor de meeste MKB-organisaties is dat al vrij vroeg in de groei het geval.

Specifieke signalen dat externe ondersteuning nodig is:

  • Je hebt geen actueel overzicht van welke leveranciers toegang hebben tot welke systemen.
  • Er is geen formeel beleid voor het beoordelen van nieuwe leveranciers op beveiligingsrisico’s.
  • Beveiligingsincidenten of verdacht gedrag worden niet actief gemonitord.
  • Je ontvangt vragen van klanten of aanbestedende partijen over je beveiligingsbeleid en weet niet hoe je die moet beantwoorden.
  • Je organisatie groeit en het aantal leveranciersrelaties neemt toe zonder dat de beveiligingsstructuur meegroeit.

Een externe partner biedt niet alleen technische expertise, maar ook structuur en overzicht. Hij helpt je leveranciersrisico’s in kaart te brengen, beleid op te stellen, contracten te toetsen en incidenten af te handelen. Dat geeft bestuurlijke rust en maakt het mogelijk om verantwoording af te leggen aan toezichthouders of opdrachtgevers zonder dat je zelf alle technische details hoeft te beheersen.

Hoe Puur ICT helpt met de beveiliging van je toeleveringsketen

Wij begrijpen dat supply chain security voor veel MKB-organisaties een complex en onderschat risico is. Als Microsoft 365-specialist helpen wij organisaties met 100 tot 600 werkplekken om hun digitale omgeving structureel te beveiligen, inclusief de risico’s die via leveranciers binnenkomen. Concreet bieden wij:

  • Inrichting en beheer van toegangsbeleid op basis van het Zero Trust-principe, inclusief MFA en Conditional Access via Microsoft Entra ID.
  • Monitoring en detectie van afwijkend gedrag in je Microsoft 365-omgeving, zodat verdachte activiteiten van externe partijen tijdig worden gesignaleerd.
  • Advies over leveranciersrisico’s en ondersteuning bij het opstellen van beveiligingseisen voor nieuwe en bestaande leveranciers.
  • Begeleiding bij NIS2-compliance, zodat jij als leverancier of als organisatie met ketenverantwoordelijkheid aantoonbaar voldoet aan de gestelde eisen.
  • Een complete, veilige werkplekoplossing op basis van Microsoft 365, beheerd door een team van gecertificeerde professionals met korte lijnen en persoonlijk contact.

Wil je weten hoe jouw organisatie er op dit moment voor staat op het gebied van cyberrisico’s in de toeleveringsketen? Neem contact op met Puur ICT voor een vrijblijvend gesprek. Wij denken graag met je mee in begrijpelijke taal en concrete stappen.

Open compliance-dossier met auditchecklist op modern bureau, laptop op achtergrond met beveiligingsdashboard, kantooromgeving met natuurlijk licht.

Hoe maak je NIS2-compliance aantoonbaar richting toezichthouders?

/in /door

NIS2-compliance aantoonbaar maken richting toezichthouders vereist meer dan alleen technische maatregelen. Je moet kunnen bewijzen dat je organisatie structureel en bewust omgaat met cybersecurity, dat risico’s worden beheerd, en dat het bestuur actief betrokken is. Wie dat bewijs niet kan leveren, loopt bij een inspectie of incident direct risico op sancties en reputatieschade.

De Cyberbeveiligingswet, de Nederlandse vertaling van NIS2, treedt naar verwachting in het tweede kwartaal van 2026 in werking. Vanaf dat moment kunnen toezichthouders actief handhaven. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-verantwoording, documentatie en inspectievoorbereiding.

Welke bewijslast verwachten toezichthouders bij NIS2?

Toezichthouders verwachten bij NIS2 aantoonbaar bewijs dat je organisatie een structureel risicobeheerproces voert, beveiligingsmaatregelen heeft geïmplementeerd, en incidenten tijdig meldt. Het gaat niet om een eenmalige controle, maar om doorlopende naleving die je op ieder moment kunt onderbouwen met concrete documentatie.

Concreet betekent dit dat je moet kunnen overleggen:

  • Een actuele risicoanalyse, inclusief de methodologie en de uitkomsten
  • Een gedocumenteerd incident response plan
  • Bewijs van uitgevoerde beveiligingsmaatregelen, zoals toegangsbeheer, encryptie en patchbeleid
  • Aantoonbare ketenbeveiliging, inclusief afspraken met leveranciers
  • Meldingsregistraties bij incidenten die de wettelijke drempel overschrijden
  • Bewijs van bestuurderstraining en bewustwording binnen de organisatie

Toezichthouders beoordelen niet alleen of maatregelen bestaan, maar ook of ze effectief zijn en regelmatig worden geëvalueerd. Een beleidsdocument dat twee jaar geleden is opgesteld en sindsdien niet is bijgewerkt, schiet tekort. Actualiteit en aantoonbare opvolging zijn net zo belangrijk als de maatregelen zelf.

Hoe documenteer je beveiligingsmaatregelen op een auditwaardige manier?

Auditwaardige NIS2-documentatie vereist dat elk beleid, elke maatregel en elke beslissing traceerbaar is: wie heeft wat besloten, wanneer, op basis van welke informatie, en wat is er sindsdien gewijzigd. Structuur en consistentie zijn hierbij belangrijker dan omvang.

Praktische richtlijnen voor goede NIS2-documentatie:

  • Versiebeheer: Elk document krijgt een versienummer, datum en naam van de verantwoordelijke. Zo is altijd duidelijk welke versie actueel is.
  • Koppeling aan risicoanalyse: Elke maatregel verwijst naar het risico dat ermee wordt beheerst. Dit maakt de logica achter je beveiligingsbeleid inzichtelijk.
  • Aantoonbare uitvoering: Documenteer niet alleen het beleid, maar ook de uitvoering. Denk aan logbestanden, testrapportages van penetratietests, of screenshots van ingestelde beveiligingscontroles.
  • Regelmatige review: Leg vast wanneer documenten zijn beoordeeld en door wie. Een jaarlijkse reviewcyclus is een minimumvereiste.
  • Centrale opslag: Bewaar documentatie op een centrale, toegankelijke locatie met een duidelijke eigenaarschapsstructuur.

Een veelgemaakte fout is dat organisaties goede maatregelen nemen, maar dit nergens vastleggen. Bij een audit telt alleen wat je kunt bewijzen, niet wat je in de praktijk doet.

Wat is het verschil tussen NIS2-compliance en NIS2-aantoonbaarheid?

NIS2-compliance betekent dat je organisatie daadwerkelijk voldoet aan de technische en organisatorische eisen van de richtlijn. NIS2-aantoonbaarheid betekent dat je dit ook kunt bewijzen richting toezichthouders, auditors of ketenpartners. Je kunt compliant zijn zonder aantoonbaar te zijn, maar voor toezichthouders is alleen aantoonbaarheid relevant.

Dit onderscheid is cruciaal. Een organisatie kan uitstekende beveiligingspraktijken hebben, maar als die niet zijn gedocumenteerd, geregistreerd en reproduceerbaar gemaakt, bestaat het bewijs niet in de ogen van een toezichthouder. Omgekeerd schiet een organisatie die alleen papieren compliance nastreeft ook tekort: de maatregelen moeten écht werken.

De ideale situatie combineert beide: je neemt effectieve maatregelen én je legt ze zo vast dat je op ieder moment verantwoording kunt afleggen. Dit vraagt om een structureel proces, niet om een eenmalige inspanning voor een audit.

Welke rol speelt de directie bij NIS2-verantwoording?

Onder de Cyberbeveiligingswet zijn bestuurders persoonlijk verantwoordelijk voor NIS2-naleving. Dit betekent dat de directie niet alleen beleid moet goedkeuren, maar ook aantoonbaar betrokken moet zijn bij risicobeheer, incidentrespons en de evaluatie van beveiligingsmaatregelen. Onwetendheid is geen verweer.

Concreet betekent dit voor bestuurders:

  • Aantoonbare kennis: Bestuurders moeten beschikken over actuele kennis van cyberrisico’s en de wettelijke verplichtingen. Dit moet via training worden geborgd en gedocumenteerd.
  • Goedkeuring van beleid: Beveiligingsbeleid en risicoanalyses worden formeel vastgesteld door het bestuur, met een handtekening en datum.
  • Betrokkenheid bij incidenten: Bij significante beveiligingsincidenten is het bestuur aantoonbaar betrokken bij de besluitvorming en communicatie.
  • Periodieke rapportage: Het bestuur ontvangt regelmatig rapportages over de cybersecuritystatus van de organisatie en neemt op basis daarvan aantoonbaar besluiten.

De wet schrijft expliciet voor dat bestuurders binnen twee jaar na inwerkingtreding van de Cyberbeveiligingswet over de vereiste kennis en vaardigheden moeten beschikken. Periodieke bijscholing is daarna verplicht.

Hoe bereid je je organisatie voor op een NIS2-inspectie?

Een NIS2-inspectie voorbereiden begint met een nulmeting: breng in kaart waar je organisatie staat ten opzichte van de wettelijke vereisten. Vervolgens werk je systematisch toe naar een volledig gedocumenteerd en aantoonbaar compliancepakket, zodat je bij een aangekondigde én onaangekondigde inspectie direct kunt overleggen wat gevraagd wordt.

Een praktische voorbereiding bestaat uit de volgende stappen:

  1. Scope bepalen: Stel vast welke systemen, processen en diensten onder de NIS2-verplichtingen vallen.
  2. Nulmeting uitvoeren: Vergelijk je huidige situatie met de wettelijke eisen en identificeer de gaps.
  3. Prioriteiten stellen: Pak de grootste risico’s en de meest zichtbare tekortkomingen als eerste aan.
  4. Documentatie op orde brengen: Zorg dat alle maatregelen, beleidsprocessen en trainingen zijn gedocumenteerd en actueel.
  5. Interne oefening houden: Simuleer een inspectie of audit intern om te testen of je documentatie compleet is en of de juiste mensen de juiste antwoorden kunnen geven.
  6. Contactpersoon aanwijzen: Benoem een verantwoordelijke die bij een inspectie het aanspreekpunt is en de documentatie beheert.

Inspectievoorbereiding is geen eenmalig project. Bouw een ritme in waarbij documentatie kwartaalgewijs wordt gecontroleerd en bijgewerkt, zodat je altijd inspectie-gereed bent.

Welke tools helpen bij het continu monitoren van NIS2-compliance?

Voor het continu monitoren van NIS2-compliance zijn tools nodig die inzicht geven in de beveiligingsstatus van je omgeving, afwijkingen signaleren en rapportages genereren die je bij een audit kunt gebruiken. Binnen het Microsoft-ecosysteem zijn hiervoor meerdere krachtige oplossingen beschikbaar.

Relevante tools en functionaliteiten:

  • Microsoft Secure Score: Geeft doorlopend inzicht in de beveiligingsstatus van je Microsoft 365-omgeving en toont concrete verbeterpunten.
  • Microsoft Defender for Cloud: Monitort continu op beveiligingsrisico’s en geeft aanbevelingen op basis van compliance-frameworks.
  • Microsoft Purview Compliance Manager: Helpt bij het bijhouden van complianceverplichtingen, inclusief NIS2-gerelateerde maatregelen, en genereert auditrapportages.
  • Microsoft Sentinel: Een SIEM-oplossing die beveiligingsincidenten detecteert, registreert en analyseert, inclusief de logging die toezichthouders verwachten.
  • Entra ID (voorheen Azure AD): Biedt uitgebreide logging van toegang en identiteitsbeheer, essentieel voor het aantonen van toegangscontrole.

Naast technische tooling is een GRC-platform (Governance, Risk and Compliance) waardevol voor het beheren van beleidsprocessen, het bijhouden van risicoanalyses en het genereren van compliancerapportages. De combinatie van technische monitoring en gestructureerd beleidsbeheer geeft je de volledigste basis voor NIS2-aantoonbaarheid.

Hoe Puur ICT helpt met NIS2-compliance aantoonbaar maken

Wij begrijpen dat NIS2-compliance voor veel organisaties een complexe en tijdrovende opgave is, zeker als je geen dedicated CISO in huis hebt. Als Microsoft 365-specialist en ISO 9001-gecertificeerde ICT-dienstverlener helpen wij je stap voor stap naar volledige aantoonbare naleving. Dit is wat we voor je doen:

  • Nulmeting en gap-analyse: We brengen je huidige beveiligingssituatie in kaart en identificeren waar je nog tekortkomt ten opzichte van de NIS2-vereisten.
  • Implementatie van technische maatregelen: We configureren en beheren de juiste beveiligingsoplossingen binnen het Microsoft-ecosysteem, van Secure Score tot Sentinel.
  • Documentatie en auditvoorbereiding: We helpen je beveiligingsbeleid, risicoanalyses en procedures op een auditwaardige manier vast te leggen.
  • Bestuurderstraining: We verzorgen de verplichte training voor bestuurders, inclusief aantoonbaar bewijs van deelname en inhoud.
  • Doorlopend beheer en monitoring: We bewaken je compliancestatus continu, zodat je altijd inspectie-gereed bent.

We werken in begrijpelijke taal, met korte lijnen en persoonlijk contact. Zo zorgen we dat jouw organisatie niet alleen voldoet aan de wet, maar ook structureel digitaal veiliger wordt. Wil je weten waar je organisatie nu staat? Neem contact op met Puur ICT en we starten met een vrijblijvende nulmeting.

De ICT Specialist uit het Noorden

De ICT specialist uit het Noorden; het kantoor van Puur ICT in Heerenveen mag dan wel gelegen zijn in Friesland, maar wij zijn actief in het hele land.

Met onze oplossingen om jouw ICT te versimpelen en bedrijfsprocessen te verbeteren ontzorgen wij onze klanten. Onze ICT specialisten nemen jou graag mee op reis naar de Microsoft 365 cloud om de ICT functionaliteit vanuit Microsoft 365 volledig te benutten.

Contactgegevens

Tel:  +31 (0) 88 165 2300
Email:  info@puurict.nl

Hoofdkantoor Heerenveen
Abe Lenstra Boulevard 62
8448 JB HEERENVEEN

Vestiging Amsterdam
Hullenbergweg 413
1101 CS AMSTERDAM

Cookieverklaring
Privacyverklaring
Algemene voorwaarden
Kennisbank

Volg ons ook op

LinkedIn

YouTube

© Copyright - Puur ICT | De Microsoft 365 specialist uit het Noorden