Onze experts
aan het woord

Kaseya is een wereldwijde leverancier van IT- en beveiligingsbeheeroplossingen voor Managed Service Providers (MSP’s) en middelgrote ondernemingen. Het bedrijf biedt een geïntegreerd platform waarmee IT-professionals hun infrastructuur efficiënt kunnen beheren en beveiligen. In juni 2022 heeft Kaseya Datto overgenomen, een aanbieder van beveiligings- en cloudgebaseerde softwareoplossingen die speciaal zijn ontwikkeld voor MSP’s. Wij spreken met expert Hans ten Hove.

Preventie en herstel zijn de twee kernpunten van de (aankomende) NIS2. Hoe belangrijk is het om die goed uit te leggen?

Hans: “Heel belangrijk. Veel bedrijven zien cybersecurity nog steeds als een kwestie van ‘ik koop een antiviruspakket en dan ben ik veilig’. Maar NIS2 gaat over een bredere aanpak:

• Preventie: wat moet je als onderneming doen om je zo goed mogelijk te beschermen
• Herstel: wat doe je als het tóch misgaat? Heb je een noodplan? Hoe snel kun je operationeel zijn na een cyberaanval?

Het probleem met wetgeving is vaak dat het wordt opgelegd zonder dat er een begrijpelijke vertaalslag wordt gemaakt naar ondernemers. Dat is waarom het NIS2 Quality Mark zo’n goed initiatief is. Het helpt bedrijven om te begrijpen wat ze moeten doen en geeft MSP’s handvatten om hun klanten hierin te begeleiden.”

Hoe kijk jij vanuit jouw expertise naar het NIS2 Quality Mark?

Hans: “Nou, ten eerste bestond het nog niet, en ik denk dat het echt noodzakelijk is. De wetgeving rondom NIS2 is vrij abstract en geeft ondernemers niet concreet aan wat ze moeten doen en waarom. Het NIS2 Quality Mark helpt om die vertaalslag te maken, en dat is cruciaal.

Daarnaast zijn niet alle bedrijven gelijk, en het is goed dat er verschillende niveaus binnen het keurmerk bestaan. Dat maakt het toegankelijker voor mkb’ers en helpt hen samen met hun MSP naar een gedeeld dashboard te kijken: hoe staan we ervoor, wat hebben we geregeld en waar moeten we nog aan werken? Zo’n referentiekader is essentieel. Zonder dit soort frameworks blijven de implementatie en naleving van NIS2 achter. Ik juich dit initiatief daarom enorm toe.”

Het keurmerk is expliciet in begrijpelijke taal geschreven. Hoe belangrijk is dat?

Hans: “Ontzettend belangrijk. Niet omdat ondernemers niet slim genoeg zijn, maar omdat cybersecurity vaak in een technische taal wordt uitgelegd die voor veel ondernemers onbegrijpelijk is. Maar uiteindelijk gaat het niet om de techniek, maar om de business impact. IT is allang geen losstaand cluster meer binnen een bedrijf—het is integraal onderdeel van de bedrijfsvoering. Daarom moet je ook in business-termen praten, niet alleen in technische specificaties.”

Sommigen omschrijven het NIS2 Quality Mark als een ‘license to operate’. Terecht?

Hans: “Absoluut. Steeds vaker vragen grotere bedrijven aan hun leveranciers hoe ze cybersecurity hebben geregeld. Sommigen denken dat ze niet hoeven te voldoen aan NIS2, maar dat is een misvatting. Hackers kijken niet naar regelgeving—ze zoeken kwetsbare doelwitten. En als klein bedrijf ben je niet alleen verantwoordelijk voor je eigen cybersecurity, maar ook een potentiële zwakke schakel in de keten. Als jouw bedrijf wordt aangevallen en daardoor een grote klant geraakt wordt, dan is de impact veel groter dan alleen jouw onderneming. Dit is geen keuze, dit is een verplichting.”

Wat is bepalend voor het succes van het NIS2 Quality Mark in jouw optiek?

Hans: “De vertaalslag van risico-inventarisatie naar concrete technische maatregelen moet zo helder mogelijk zijn. NIS2 zegt bijvoorbeeld dat je kwetsbaarheden op het gebied van mensen, processen en technologie moet inventariseren. Maar wat betekent dat concreet? Welke tooling heb je nodig? Hoe ver moet je gaan?
Het keurmerk moet ondernemers duidelijk maken wat het minimale niveau van beveiliging is en welke vragen ze aan hun MSP moeten stellen. Zonder die praktische vertaalslag denken bedrijven misschien dat een antivirusprogramma voldoende is, terwijl dat totaal onvoldoende is.”

Jij zegt feitelijk; cybersecurity draait niet alleen om technologie, maar ook om mensen.

Hans: “Absoluut. De menselijke factor is een van de grootste risico’s. Het maakt niet uit hoe goed je technische beveiliging is—als een medewerker op een verkeerde link klikt of een phishing-mail opent, kan de schade enorm zijn. Daarom zijn cyberweerbaarheidstrainingen en simulaties essentieel. Elke ondernemer zou hier aandacht aan moeten besteden, en MSP’s zouden dit standaard aan hun klanten moeten aanbieden. Dat gebeurt nog te weinig.”

Cees van der Wens is een expert op het gebied van informatiebeveiliging, vooral in het auditen en implementeren van de ISO/IEC 27001-standaard. Hij heeft tal van audits uitgevoerd bij verschillende organisaties, waaronder ziekenhuizen, en hen geholpen bij het behalen van certificeringen. Met een achtergrond in industriële automatisering ondersteunt hij voornamelijk kleine en middelgrote bedrijven bij het opzetten van informatieveiligheidsbeheersystemen.

Cees fungeert vaak als lead auditor en is auteur van boeken over de implementatie en audit van beveiligingsnormen. Zijn werk speelt een belangrijke rol in de cybersecuritywereld, vooral op het gebied van compliance en risicomanagement.

Je bent betrokken bij het NIS2 Quality Mark-project als adviseur. Wat houdt die betrokkenheid precies in en waarom dacht je: ‘Dit wil ik wel doen’?

Cees: ‘Ik hou me al vanaf 2007 actief bezig met de norm ISO 27001 en vanaf 2011 met de norm NEN 7510. In al die jaren, en vooral toen ik ging auditen, heb ik veel organisaties zien worstelen met deze materie. Ik werd sterk aangetrokken door het idee om bedrijven die moeite hebben met het in één keer voldoen aan de zware eisen van ISO 27001, stapsgewijs vooruit te helpen. Voor veel kleine en middelgrote bedrijven – het mkb – is het soms echt te belastend of te duur om direct volledig aan deze norm te voldoen. Zo ben ik op dit moment een zzp’er aan het helpen die een fantastische webapplicatie heeft gebouwd van zijn klanten een ISO-certificering moet halen. In z’n eentje dus. Er is gewoon een sterke behoefte aan een alternatief. In Nederland zijn er misschien wel honderdduizend mkb-bedrijven die waarschijnlijk nooit de volledige stap naar ISO 27001 zullen maken. Daarom is het belangrijk om hen op een praktische manier te ondersteunen.’

Wat is jouw specifieke bijdrage aan dit project om ervoor te zorgen dat het goed wordt uitgevoerd?

Cees: ‘Samen met het team achter het NIS2 Quality Mark kijk ik hoe we een aanpak kunnen ontwikkelen waarmee bedrijven stap voor stap richting goede informatiebeveiliging kunnen werken. Mijn rol is om de basisgedachten en goede ideeën uit de ISO 27001-norm en andere normen mee te nemen en op een nieuwe manier te verwerken. Een manier die beter aansluit op de behoeften van vaak kleinere mkb-bedrijven. Niet alle maatregelen zijn voor iedereen even relevant of noodzakelijk, dus ik onderzoek hoe we een goede balans kunnen vinden. We moeten ervoor zorgen dat het systeem niet te zwaar wordt, maar wel waardevol blijft voor de leveranciers en hun klanten. Het moet een niveau van zekerheid bieden dat begrijpelijk en toepasbaar is voor mkb’ers, maar ook erkend wordt door de markt en auditoren.’

Kun je wat meer vertellen over hoe je dit gaat borgen?

Cees: ‘Het is belangrijk dat we een duidelijk kader neerzetten zodat mkb-bedrijven hun digitale veiligheid kunnen verhogen en dat ze na een audit aan hun klanten kunnen bewijzen dat ze gecertificeerd zijn. Om dat te laten slagen, moeten bedrijven precies weten wat ze moeten doen en hoe ze dat moeten doen. Het systeem moet een bepaalde kwaliteitsstandaard vertegenwoordigen die herkenbaar en betrouwbaar is, zoals de NIS2 Quality Mark met drie niveaus: NIS2-QM10 Basic, NIS2-QM20 Substantial en NIS2-QM30 High. We willen ervoor zorgen dat bedrijven die hieraan voldoen, door de markt worden gewaardeerd en dat de norm duidelijk en consistent is.’

Wat is de grootste uitdaging bij het opstellen van deze norm?

Cees: ‘Taalgebruik is een grote uitdaging. In de huidige formulering van normen is de taal niet altijd consistent of duidelijk. Ik heb uit ervaring geleerd hoeveel verwarring er kan ontstaan door taal. Woorden als ‘leidinggevende’ of ‘systeem’ kunnen op verschillende manieren worden geïnterpreteerd, wat leidt tot onduidelijkheid over wat precies wordt bedoeld. Zulke onduidelijkheden kunnen grote verschillen veroorzaken in hoe maatregelen worden genomen of juist niet. En ook hoe ze worden geïnterpreteerd door een auditor. Daarom blijf ik me richten op het versimpelen en consistent maken van de formulering van de normen. Bovendien heb ik teksten ontwikkeld die het doel van de maatregelen beter duidelijk moeten maken. Zodat mensen snappen welk cyberrisico ze met welke maatregel eigenlijk aan het verlagen zijn.’

Gezien de hoeveelheid betrokken partijen en brancheorganisaties, denk je dat het gaat lukken? En wat zal het voordeel zijn voor mkb’ers?

Cees: ‘Bedrijven die een certificaat behalen, zijn altijd blij. In dit geval geeft het hun meer zekerheid dat ze digitaal veilig werken en dat kunnen ze aan hun grote klanten laten zien. Voor opdrachtgevers is het fijn om het bewijs te hebben dat hun leverancier digitaal veilig werkt. Daarnaast biedt NIS2 Quality Mark een laagdrempelige instap met de mogelijkheid om stapsgewijs te groeien. Het NIS2 Quality Mark heeft drie niveaus—QM10, QM20 en QM30—en bedrijven kunnen instappen op een niveau dat bij hen past. Het idee is dat bedrijven op een lager niveau kunnen beginnen en geleidelijk kunnen doorgroeien. Dat maakt het toegankelijk voor mkb’ers die anders nooit aan een zware norm zouden kunnen voldoen.’

In landen als België en Engeland zijn er al pogingen gedaan met een getrapt model voor cybersecurity, maar daar is het nog niet echt van de grond gekomen. Wat maakt dit project anders?

Cees: ‘Ik ben op de hoogte van die initiatieven, maar niet van alle details. In België hebben ze een trapsgewijs model geïntroduceerd dat vanuit de overheid komt. Dat loopt nog niet echt, omdat de overheid een vreemde partij is om zich met normering te bemoeien; ze zou zich eigenlijk alleen met wetgeving moeten bezighouden. In Engeland is het anders. Daar zijn veel bedrijven met een hele kleine norm—die hebben wel grote aantallen gebruikers—en een hele hoge norm met heel weinig gebruikers. Daar ontbreekt dus het groeimodel. Dit project prikkelt mij omdat we lessen hebben kunnen trekken voor Nederland. De markt zal uiteindelijk een grote rol spelen. Als de markt bijvoorbeeld de QM10-norm voldoende vindt, zullen mkb’ers niet snel naar QM20 of QM30 overstappen. Met het NIS2 Quality Mark hebben we gekozen voor een dynamische, groeiende norm, dus bedrijven zullen wellicht steeds iets moeten doen, en mogelijk komt er ook een prikkel vanuit de markt om naar een hoger niveau te gaan.’

Denk je dat bedrijven het idee van een trapsgewijs model omarmen, of zullen ze dit zien als ‘weer een set regels’? 

Cees: ‘Ik verwacht dat veel bedrijven het als een kans zien. Er zijn zeker bedrijven die met QM10 beginnen en dat voldoende vinden, maar er zijn ook genoeg bedrijven die direct op een hoger niveau kunnen instappen, zoals QM20 of QM30. Het systeem is flexibel, waardoor bedrijven in hun eigen tempo kunnen groeien. Het biedt een haalbare route voor mkb’ers die aan hun grote klanten willen laten zien dat ze een certificering hebben verkregen via een audit.’

Denk je dat het NIS2 Quality Mark voldoende is voor grote opdrachtgevers?

Cees: ‘Ja, dat denk ik wel. Opdrachtgevers willen hun leveranciers niet wegjagen en kunnen dus blijven samenwerken met leveranciers die over het NIS2 QM beschikken. Ze zullen ook waarderen dat er meer keuze is dan alleen tussen bedrijven met of zonder ISO27001- of NEN7510-certificaat. Zoals het nu is, hebben sommige opdrachtgevers maar weinig opties; ze moeten kiezen uit een paar partijen die een norm hebben. Straks zijn er dus meer opties. Hoe dan ook, het kan een oplossing zijn voor zowel opdrachtgevers als kleinere bedrijven, die dan niet gedwongen worden de zware lasten van een zware certificering te dragen.’

Je schrijft zelf boeken over dit onderwerp. Je ‘Handboek ISO27001’ is het meest bekende cyberboek van Nederland. Hoe komt het dat het succes nog niet naar je hoofd is gestegen?

Cees: ‘Ik hou van mijn vak. Mijn passie zit in normen en audits. Dat probeer ik zo goed mogelijk te doen. Door het op te schrijven help ik ook anderen met mijn kennis en inzichten. Wat mij betreft moet NIS2 Quality Mark leiden tot een nog betere bescherming van de beschikbaarheid, integriteit en vertrouwelijkheid van informatie, waaronder informatie van mensen zoals jij en ik die dagelijks door talloze mkb’ers verwerkt wordt. Uiteindelijk profiteert dus iedereen van deze aanpak.’

Rick van der Gaag is de Projectmanager Ondernemerschap bij Schoonmakend Nederland, de brancheorganisatie voor de schoonmaaksector in Nederland. Hij ondersteunt schoonmaakbedrijven bij hun bedrijfsvoering en stimuleert ondernemerschap binnen de sector. Ook adviseert hij over risicomanagement en verzekeringen om de continuïteit van ondernemingen te waarborgen. Daarnaast heeft de branche een eigen keurmerk en is men – na een grondige analyse van de inhoud – heel enthousiast over de NIS2 Quality Mark; een handige norm voor cyberveilig werken in de keten.

Wat houdt jullie eigen keurmerk in?

Rick: ‘Onze norm heet Keurmerk Schoon. Het keurmerk staat voor professionaliteit en financiële betrouwbaarheid van schoonmaak- en glazenwassersbedrijven. Die richt zich met name op naleving van de wet en focust op administratie en bedrijfsvoering.

Kun je daar wat meer over vertellen?

Rick: ‘In ons keurmerk gaat het – net als bij het NIS2 Quality Mark – om ketenaansprakelijkheid maar dan op een heel ander vlak, namelijk: netjes en fatsoenlijk werken. Er zijn verschillende criteria waarop getoetst wordt, zoals het netjes afdragen van belasting en premies, toepassing van de CAO, en het op orde hebben van de administratie. Een onafhankelijke certificerende instelling toetst dit twee keer per jaar, één keer met een uitgebreide audit en één keer met een verplichte audit.

Schoonmakers komen bij allerlei opdrachtgevers zoals hotels, vakantieparken, stations, openbare gelegenheden en overheidsgebouwen. Ketenaansprakelijkheid is belangrijk om ervoor te zorgen dat er netjes met mensen omgegaan wordt en dat het salaris netjes betaald wordt. Zo mag je bijvoorbeeld in hotels niet per kamer betalen. Ons keurmerk zorgt ervoor dat dit soort misverstanden niet meer voorkomen.’

Wat is de algemene houding ten opzichte van keurmerken en normen? Zijn mensen daar enthousiast over of is er aanvankelijk weerstand?

Rick: Er is zeker weerstand omdat een norm niet nóg een administratieve laag moet zijn. Het succes van een keurmerk hangt ook af van in hoeverre opdrachtgevers ernaar vragen. In het begin zijn bedrijven enthousiast, maar na een aantal audits gaan ze de kosten en baten afwegen. Zorgen dat leden het Keurmerk blijven omarmen blijft een aandachtspunt.’

Wat is jouw mening over het NIS2 Quality Mark voor mkb’ers als norm op het gebied van cyberveiligheid?

Rick: ‘In eerste instantie was ik terughoudend omdat cybersecurity vaak niet direct met de kernactiviteiten van een bedrijf te maken heeft. Maar zodra je de krant openslaat lees je over hacking en recent heel veel over NIS2 en cyberveiligheid. Het is dus belangrijk om hier aandacht aan te besteden omdat grote bedrijven eisen gaan stellen aan hun leveranciers, waaronder ook kleinere bedrijven.’

‘Het is belangrijk om een hele praktische en betaalbare oplossing te vinden die de lopende bedrijfsvoering niet in de knoop brengt. En met veel ondersteuning voor de onderneming. Dat is nu precies wat het NIS2 Quality Mark doet. Het feit dat er nu al 75 vestigingen meedoen met Samen Digitaal Veilig en wij samen al 125.000 bedrijven bereiken, stemt mij heel positief.’

Hoe is de IT-beveiliging en veilig digitaal werken over het algemeen geregeld bij jullie leden?

Rick: ‘Dit varieert sterk. Grotere bedrijven hebben vaak eigen afdelingen die zich hiermee bezighouden, terwijl kleinere bedrijven er minder aandacht aan besteden. Het is doorgaans niet het favoriete gespreksonderwerp van ondernemers.

Denk je dat het NIS2 Quality Mark uiteindelijk jullie leden kan helpen?

Rick: ‘Ik denk zeker dat het een uitkomst kan bieden. Het is belangrijk om nu te beginnen en stapsgewijs aan de slag te gaan, zodat je straks je zaakjes op orde hebt. Het biedt bovendien een concurrentievoordeel als je voorbereid bent.’

Wat zeg jij tegen jullie leden bij eventuele weerstand als het gaat om cybersecurity en de aankomende NIS2 richtlijn?

Rick: ‘Begin vandaag nog en neem stapsgewijs de nodige maatregelen. De dingen die je als bedrijf moet zijn op het gebied van veilig werken zijn logisch en het is beter om nu te beginnen dan straks verrast te worden door verplichtingen. En nogmaals, de norm biedt ondernemers een voorsprong ten opzichte van andere bedrijven en voorkomt veel gedoe en potentiële schade achteraf.

De digitale wereld is continu in beweging, en met die verandering komen ook nieuwe uitdagingen voor bedrijven, vooral als het gaat om cybersecurity. Voor veel mkb-bedrijven en kleine ondernemingen is het vaak een (te) abstract begrip dat moeilijk te vatten is. Dat je je huisdeur en je auto goed op slot moet doen, snapt iedereen. Maar data beveiligen en back-ups versleutelen… dat is niet voor iedereen direct herkenbaar. Als journalist die veel over cybersecurity en technologie schrijft, merk ik dat veel bedrijven cyberveiligheid en informatiebeveiliging dan ook lastige onderwerpen vinden. Men snap de urgentie maar wordt vaak overweldigt door jargon. Toch moet iedereen de komende tijd aan de bak.

De hele toeleveringsketen veilig

Met de nieuwe Europese cyberwet in aantocht, de NIS2, komt er het nodige af op álle bedrijven in Nederland. Organisaties die belangrijk zijn voor de samenleving, de zogenaamde NIS2-bedrijven, moeten extra hun best doen om hun digitale netwerken en systemen te beschermen tegen problemen zoals storingen of afpersing. Dit betekent ook dat ze moeten samenwerken met hun directe leveranciers om de hele toeleveringsketen veilig te maken. Hier komt het NIS2 Quality Mark in beeld, een keurmerk dat specifiek is ontwikkeld voor die laatste doelgroep.

Het NIS2 Quality Mark biedt namelijk een lichtpuntje voor veel ondernemers die toeleveranciers zijn van grote en essentiële bedrijven. Vaak worden deze kleinere bedrijven overrompeld door complexe wetgevingen die hen verplichten om zware, vaak onbegrijpelijke maatregelen te nemen. Het resultaat? Hakken in het zand en weerstand tegen de veranderingen. Maar dit keurmerk pakt het anders aan.

Begrijpelijke taak, drie niveaus

Wat het NIS2 Quality Mark zo toegankelijk maakt, is de begrijpelijke mensentaal waarin het is opgesteld. Geen ingewikkeld jargon, maar duidelijke, toepasbare richtlijnen. Hierdoor weten ondernemers precies wat er van hen verwacht wordt zonder overweldigd te raken.

Daarnaast is het keurmerk opgebouwd uit drie niveaus: QM10, QM20 en QM30. Deze niveaus zijn afgestemd op het belang en de omvang van de organisatie, waardoor het behalen van het keurmerk een stuk eenvoudiger wordt. Het is niet nodig om onnodig zware maatregelen door te voeren; de lijsten zijn overzichtelijk en duidelijk, wat de drempel verlaagt om aan de slag te gaan.

En dat is cruciaal, want het behouden van grote klanten is voor veel kleine ondernemers van levensbelang. Door het NIS2 Quality Mark kunnen zij aantonen dat zij voldoen aan de benodigde cybersecuritymaatregelen, wat vertrouwen wekt bij hun grotere klanten en hen een stap voor blijft in de concurrerende markt.

Waardevolle klanten behouden

Kortom, het NIS2 Quality Mark biedt een laagdrempelige, begrijpelijke en effectieve manier voor mkb-bedrijven om hun cybersecurity op orde te krijgen. Dit niet alleen om te voldoen aan wetgevingen, maar vooral om hun waardevolle klanten te behouden en hun positie in de markt te versterken.

Kristel is communicatiespecialist en cybersecuritynorm-expert. Voor het NIS2 Quality Mark – bestaande uit drie niveaus, te weten NIS2-QM10, NIS2-QM20 en NIS2-QM30 – herschreef ze technische en juridische eisen die bij een cybersecurity keurmerk horen naar begrijpelijke taal.

Je hebt de formele Europese richtlijn-teksten van NIS2 omgezet naar begrijpelijke maatregelen, checklijsten en voorbeelddocumenten. Wat was voor jou hierin de grootste uitdaging?

Kristel: ’De grootste uitdaging zit in de combinatie van juridisch en technisch jargon. Juristen schrijven in termen die vanuit een wettelijke context vaak complex zijn, en cybersecurity-experts gebruiken technische taal die niet direct toegankelijk is voor een niet-IT’er. Mijn taak is om die twee werelden te vertalen naar iets waar ondernemers die weinig tot geen technische achtergrond hebben, direct iets mee kunnen. Daarbij moet ik ervoor zorgen dat niets van de juridische of technische precisie verloren gaat, maar dat het wel zo geschreven is dat ondernemers begrijpen wat ze moeten doen zonder dat het hen overweldigt.’

Veel mkb-ondernemers hebben hun IT-afdeling uitbesteed en kunnen moeite hebben om deze cybersecurity-normen te begrijpen. Hoe vereenvoudig je de taal zonder dat je de essentiële juridische en technische details verliest die nodig zijn voor naleving?

Kristel: ‘De truc is om de technische details om te zetten in concrete, praktische stappen. In plaats van te zeggen dat je ‘vulnerability scanners moet implementeren’, leg ik uit dat je ‘moet controleren of je systemen regelmatig worden gecontroleerd op beveiligingsrisico’s, net zoals je bijvoorbeeld je alarmsysteem thuis regelmatig test’. Ik gebruik zoveel mogelijk dagelijkse analogieën en vermijd vaktaal. Het moet voor mkb’ers direct duidelijk zijn wat ze moeten doen, zonder dat ze zich in technische of juridische termen verliezen.’

Je hebt samen met een team gewerkt, onder andere met experts zoals Cees van der Wens, de schrijver van het bekende ISO 27001 handboek. Hoe heeft deze samenwerking hierbij geholpen?

Kristel: ‘Het werken met experts zoals Cees helpt enorm omdat hij vanuit zijn ervaring meteen kan aangeven wat cruciale elementen zijn in een cybersecurity-context. Hij weet precies welke technische maatregelen belangrijk zijn, en dat maakt het makkelijker voor mij om te beslissen wat absoluut in de tekst moet staan en wat we op een meer begrijpelijke manier kunnen omschrijven.’

Toelichtingsdocumenten bij de maatregelen helpen om abstracte technische normen begrijpelijker te maken. Kun dat eens concreet maken waarbij het gebruik van een praktijkvoorbeeld een ondernemer kan helpen?

Kristel: ‘Zeker, toelichtingsdocumenten zijn ontzettend waardevol om technische normen begrijpelijk en toepasbaar te maken voor ondernemers. Ze vertalen abstracte richtlijnen naar duidelijke, uitvoerbare stappen. Neem bijvoorbeeld de beveiliging van de toeleveringsketen. Veel ondernemers weten dat dit belangrijk is, maar hoe pak je dat concreet aan? In de toelichtingsdocumenten vind je een volledige stap-voor-stap uitleg over hoe je je leveranciers kunt beoordelen op hun beveiliging, welke afspraken je moet vastleggen, en hoe je de keten continu kunt monitoren. Ook zijn er kant-en-klare checklists waarmee je direct kunt controleren of je alles goed hebt ingericht.

Een ander voorbeeld is een ICT-continuïteitsplan. In plaats van zelf alles te moeten bedenken, krijg je in het document een uitgewerkt voorbeeldplan dat je zo kunt overnemen en aanpassen aan je eigen bedrijfssituatie. Dit soort praktijkvoorbeelden en direct bruikbare tools helpen ondernemers om snel en zonder ingewikkelde technische kennis de juiste stappen te zetten om hun organisatie te beveiligen.’

Toen de teksten eenmaal in het Nederlands uitgewerkt waren, moesten ze naar het Engels worden vertaald. Hoe brengt dit weer nieuwe uitdagingen met zich mee, en hoe zorg je ervoor dat de nuances behouden blijven in beide talen?

Kristel: ‘Bij het vertalen naar het Engels moet je heel goed opletten dat de juridische en technische details correct blijven, maar ook dat de taal begrijpelijk blijft. Engels heeft bijvoorbeeld meer ruimte voor technische termen die voor een breder publiek begrijpelijk zijn, maar ik wil ervoor zorgen dat die toegankelijkheid die we in het Nederlands hebben bereikt, behouden blijft. Het is een kwestie van continu herlezen en afstemmen met native speakers, om er zeker van te zijn dat het in beide talen klopt.’

Nu de NIS2 normen geïmplementeerd worden, hoe zie je dat deze vertalingen zoals opgeschreven in NIS2-QM10, NIS2-QM20 en NIS2-QM30 mkb-bedrijven gaan helpen in hun cybersecurity-inspanningen?

Kristel: ‘Ik denk dat het mkb, juist door deze begrijpelijke vertalingen, veel minder schroom zal hebben om met cybersecurity aan de slag te gaan. Waar het voorheen vaak een ver-van-mijn-bed-show was, zien ze nu dat het om praktische, uitvoerbare maatregelen gaat die hen echt kunnen helpen om veiliger te opereren. Dat geeft ze het vertrouwen dat ze ook zonder diepgaande IT-kennis aan de wettelijke eisen kunnen voldoen.’