Experts - Pagina 2 van 2

Ivar, kun je heel kort vertellen wat jullie precies doen?

Ivar: ‘Met onze ISOPlanner software helpen we klanten om normen en frameworks te implementeren. We bieden een soort kapstok: klanten krijgen toegang tot normeisen en maatregelen. Dat doen we voor verschillende normen, zoals ISO-normen en NEN-normen, maar ook voor andere frameworks die niet uit ISO of NEN komen.’

Jullie slogan is “Effortless Compliance Management in Microsoft 365.” Wat maakt jullie aanpak uniek?

Ivar: ‘Onze software is de énige die volledig integreert met Microsoft 365 voor het beheren van ISO-normen. ISOPlanner fungeert als een laag bovenop de bestaande Microsoft 365-omgeving. Gebruikers loggen in met hun Microsoft-account, zonder extra wachtwoorden. Documentatie blijft in SharePoint, en ISOPlanner biedt de mogelijkheid om documenten en taken daar direct aan te koppelen. Daarnaast is er een koppeling met Outlook, zodat taken vanuit ISOPlanner automatisch in de Outlook-agenda verschijnen. Medewerkers kunnen die taken zelfs volledig afhandelen vanuit Outlook, inclusief checklists en documentkoppelingen. Dat maakt het heel laagdrempelig.’

Wat is de meest gebruikte norm die jullie helpen implementeren?

Ivar: ‘Binnen ISOPlanner is ISO 27001 de meest gebruikte norm. Wereldwijd is ISO 9001 nog populairder, maar ISO 27001 groeit snel.’

NIS2 en de bijbehorende ketenzorgplicht zijn erg actueel. Hoe past het NIS2 Quality Mark hierin, en hoe zien jullie dat als bedrijf?

Ivar: ‘Het NIS2 Quality Mark is specifiek ontwikkeld voor kleinere mkb’ers die de eisen van ISO 27001 te zwaar vinden. Wij zien dat niet als concurrentie, maar als een aanvulling. Het maakt cybersecurity toegankelijker voor bedrijven die niet klaar zijn voor de complexiteit van een ISO-certificering. Vanuit onze samenwerking met Samen Digitaal Veilig merken we dat er veel vraag is naar concrete oplossingen zoals dit keurmerk.’

Het NIS2 Quality Mark richt zich sterk op het mkb en biedt basisoplossingen. Zien jullie dat als een bedreiging voor jullie werk met ISO 27001?

Ivar: ‘Nee, we zien het eerder als een andere aanpak voor een ander type klant. Voor bedrijven die ISO 27001 te zwaar vinden, is het NIS2 Quality Mark een laagdrempelige oplossing. Voor ons is het belangrijk om klanten passende opties te bieden, of dat nu via ISO 27001 of dit keurmerk is.’
‘Het is logisch omdat ISO 27001 voor veel organisaties te groot of te complex is. Het NIS2 Quality Mark biedt een laagdrempelige manier om te beginnen. Zo kunnen bedrijven kleine stappen zetten, bijvoorbeeld van 10% naar 20% compliance, en uiteindelijk doorgroeien naar ISO 27001.’

Jullie zijn neutraal, maar ik neem aan dat klanten soms advies vragen. Bijvoorbeeld: ‘Moet ik een NIS 2 Quality Mark nemen of toch kiezen voor ISO 27001?’ Hoe gaan jullie daarmee om?

Ivar: ‘Klopt, wij zijn vooral een uitvoerende partij en doen zelf geen audits. Maar als klanten ons om advies vragen, proberen we wel eerlijk mee te denken. Toch geven we nooit een hard advies, omdat het afhankelijk is van veel factoren, zoals wat hun klanten van hen vragen of wat ze nodig hebben voor hun branche.’

‘Vaak leggen we de verschillen tussen de opties uit. Bijvoorbeeld: als geen van je klanten vraagt om ISO 27001, kun je dat overslaan. Maar als je verwacht dat klanten onder NIS2 gaan vallen en je vragen gaan stellen over je beveiliging, is het slim om klein te beginnen met een Quality Mark. Daarmee leg je een basis, en later kun je altijd opschalen naar meer uitgebreide normen. Het draait dus om een pragmatische aanpak.’

Er is dus behoefte aan een praktisch toepasbaar framework?

Ivar: ‘Absoluut. Veel organisaties willen weten: “Wat moet ik nou doen?” De NIS2 Quality Marks bieden daar een antwoord op. Je kunt het zien als een mooie vertaling van de wetgeving naar een praktisch uitvoerbare set maatregelen. Als je dat accepteert, kun je ermee aan de slag.’

Hoe zien jullie de relatie tussen ISO 27001 en NIS2?

Ivar: ‘ISO 27001 dekt al veel gebieden af, maar NIS2 voegt nieuwe elementen toe, zoals de ketenzorgplicht. Dit betekent dat toeleveranciers van een NIS 2-bedrijf extra verantwoordelijkheden hebben. Die aspecten zijn nog niet volledig verankerd in de oude versie van ISO 27001, dus er is wel overlap, maar ook aanvullende eisen.’

Kunnen klanten bij jullie terecht voor ondersteuning met NIS2?

Ivar: ‘Zeker. Klanten kunnen ISOPlanner gebruiken om normen eenvoudiger in hun Microsoft 365-omgeving te implementeren. Als ze vragen hebben over NIS2, kunnen we hen wijzen op de NIS2 Quality Marks. Die zijn in ISOPlanner beschikbaar als het eerste framework voor NIS2. Dat is een belangrijke stap, en misschien volgen er in de toekomst meer opties.’

Waarom hebben jullie besloten om de NIS2 Quality Marks te ondersteunen?

Ivar: ‘Eerlijk gezegd is dat vraag gestuurd. Onze klanten en partners geven aan dat er behoefte is aan een oplossing voor NIS2. Partners die hun eigen klanten ondersteunen met informatiebeveiliging trekken ook bij ons aan de bel en vragen om frameworks in te voeren. De NIS2 Quality Marks zijn de eerste oplossing die we op dit gebied beschikbaar maken.’

Wat vind je tenslotte nog belangrijk om te noemen?

Ivar: ‘Veel bedrijven vragen zich nu af: “Word ik geraakt door NIS2? Val ik zelf onder deze wet? Of heb ik een klant die onder de wet valt en die mij gaat aanspreken?” Vanuit dat perspectief kijken ze: “Moet ik er iets mee?” Persoonlijk vind ik dat elk bedrijf serieus naar informatiebeveiliging moet kijken.’

‘Het is vergelijkbaar met een fietsenmaker die vindt dat je je fiets goed moet onderhouden, terwijl anderen denken: “Het is maar een fiets.” Maar ik vind het raar als een bedrijf geen managementsysteem heeft voor informatiebeveiliging. Hoe kun je geen processen hebben voor het melden van incidenten, geen focus op leren van fouten, of geen aandacht voor risico’s en de maatregelen die daarbij horen? Dat zou standaard moeten zijn.’

Dus jouw advies is om er altijd iets mee te doen, ook als bedrijven twijfelen?

Ivar: ‘Precies. Als je twijfelt, doe er gewoon wat mee. En als je besluit ermee te starten, dan zijn de NIS 2 Quality Marks een heel mooi en laagdrempelig beginpunt. Zelfs als je denkt dat de wet jou niet direct raakt, zou ik zeggen: doe het toch. Je hebt namelijk altijd informatie—of dat nu van klanten, medewerkers, leveranciers of aandeelhouders is. Die informatie zit in jouw systemen, en je bent verantwoordelijk voor de veiligheid daarvan. Dat gaat niet vanzelf; daar moet je actief iets voor doen.’

Kun je kort uitleggen wat Bitsight doet?

Lennart: ‘Bitsight is een soort Centraal Bureau voor de Statistiek, maar dan voor de cybersecurity prestaties van bedrijven wereldwijd. We bieden organisaties inzicht in hun eigen securitypositie en die van hun leveranciers. Daarnaast kunnen bedrijven zichzelf vergelijken met hun peers op het gebied van cybersecurity.’

Hoe helpen jullie organisaties precies?

Lennart: ‘We lossen eigenlijk twee belangrijke problemen op met ons platform en onze data. Ten eerste helpen we organisaties met het beheren van security risico’s in hun supply chain. Ten tweede kunnen bedrijven visualiseren hoe een hacker van buiten hun organisatie ziet. Soms komt de vraag vanuit het bestuur: “Hoe doen wij het dan vergeleken met onze concurrenten?” Dat antwoord kunnen wij volledig datagedreven geven.’

Wat is jullie aanpak?

Lennart: ‘Dertien jaar geleden hadden we het idee om een soort credit rating te creëren, maar dan op het gebied van cybersecurity. Dat concept werkt alleen als je wereldwijd elke organisatie op exact dezelfde manier kunt beoordelen. Dat betekent dat we alleen waarnemingen van buitenaf doen. Als je toestemming nodig hebt om systemen te scannen, zal de helft nee zeggen. Dus we hebben we gekozen om het van buitenaf te doen. We zeggen wel eens dat we de “Criminal’s Eye View” bieden op twee miljoen organisaties wereldwijd, en we scannen, monitoren en updaten die informatie dagelijks.’

Hoe verzamelen en verwerken jullie die data?

Lennart: ‘We hebben een platform ontwikkeld waarmee we wereldwijd data verzamelen via ons eigen scanningsplatform en een groot aantal externe bronnen. We richten ons op verschillende bedrijven, zoals bijvoorbeeld de Nederlandse High Tech Sector, die over de hele wereld actief zijn. De data moet consistent zijn en van dezelfde kwaliteit. Vervolgens verpakken we die informatie in 25 security deelgebieden van. Het interessante is dat we deze data oprollen tot KPI’s, zodat organisaties zichzelf kunnen benchmarken ten opzichte van hun peers of intern.’

Hoe leiden deze KPI’s tot een security rating?

Lennart: ‘We rollen al deze data en KPI’s op tot een algemene security rating. Deze rating is gebaseerd op het Amerikaanse credit ratingsysteem en loopt van 300 tot 850. Het geeft een eenvoudig te begrijpen cijfer dat de algehele cybersecurityprestaties van een organisatie weergeeft.’

Stel dat je bij een organisatie komt met een rating van 600. Ze zitten boven het gemiddelde en doen het relatief goed. Willen de meeste klanten dan streven naar die 850-rating, of zijn ze tevreden met een voldoende?

Lennart: ‘Dat hangt sterk af van de security awareness en maturiteit van de organisatie. Meestal is de eerste reactie: ‘Laat maar zien dan.’ Iedereen wil natuurlijk verbeteren, maar het is ook belangrijk om te realiseren dat niet elke organisatie dezelfde middelen heeft. Daarom is het zo belangrijk om dit in de supply chain te bekijken. Security gaat niet alleen over willen en ambitie, maar ook over of je de middelen hebt om het te realiseren. Banken investeren bijvoorbeeld al tientallen jaren in security en presteren daarom vaak beter. Middelgrote bedrijven hebben die mogelijkheden misschien niet.’

Grote corporates zijn vaak ISO 27001-gecertificeerd, maar dat betekent niet dat ze per se een rating van 850 halen, toch?

Lennart: ‘Dat klopt. Veel mensen denken: “Ik heb mijn ISO 27001-certificaat behaald ,dus ik ben veilig”. Maar zo werkt het niet helemaal. Je kunt het vergelijken met een voetballer die een jaar geleden bij het eerste elftal is aangenomen en daarna dacht dat hij niet meer zo hard hoefde te trainen. In cybersecurity kunnen dingen heel snel veranderen. Het kan zijn dat tijdens de audit alles op orde was, maar als er daarna mensen vertrekken of processen veranderen, kunnen er snel gaten ontstaan. Daarom benadrukken regelgevers steeds meer het belang van continu monitoren. Je moet met je leveranciers afspraken maken over je security-eisen, deze vastleggen in KPI’s en die vervolgens actief monitoren.’

Dus jullie helpen organisaties niet alleen inzicht te krijgen in hun eigen securitypositie, maar ook die van hun leveranciers?

Lennart: ‘Precies. Door een continu en objectief beeld te geven van de securityprestaties in de hele keten, kunnen organisaties beter risico’s beheren en samenwerken met leveranciers om verbeteringen door te voeren. Met de groeiende complexiteit van digitale ecosystemen en strengere regelgeving is het essentieel om continu inzicht te hebben in je eigen securitypositie én die van je ketenpartners. We blijven ons platform ontwikkelen om nog meer waarde te bieden aan onze klanten en om hen te helpen bij het navigeren door het steeds veranderende cybersecuritylandschap.’

Waarom heeft Bitsight besloten het NIS2 Quality Mark te omarmen?

Lennart: ‘De Stichting Kwaliteitsinnovatie heeft een gedegen framework ontworpen waarmee bedrijven zich kunnen laten auditen en certificeren. Door samen te werken, kunnen onze Bitsight-klanten hun supply chain nog beter monitoren. De 25 securitygebieden die wij monitoren, kunnen we visualiseren binnen het framework van het NIS2 Quality Mark. Zo begrijpen onze klanten hoe deze twee tools samenhangen.’

Hoe kijk je naar het NIS2 Quality Mark vanuit je expertise?

Lennart: ‘Ik vind het NIS2 Quality Mark een sterk initiatief, vooral omdat het een groeimodel met drie niveaus biedt. Bedrijven hoeven niet meteen een enorme sprong te maken, maar kunnen geleidelijk groeien naar een voor hen haalbaar niveau. Het biedt eenduidigheid en helpt bij de vertaling en het begrip van cybersecuritynormen in een bepaald geografisch gebied. Mijn enige zorg is dat Europa mogelijk overspoeld wordt met verschillende standaarden, wat verwarrend kan zijn. Maar het NIS2 Quality Mark maakt direct de koppeling met verschillende frameworks, wat helpt bij het begrip en de implementatie.’

Hoe integreren jullie die twee tools precies?

Lennart: ‘Wij integreren het NIS2 Quality Mark in de Bitsight-portal. Gebruikers kunnen direct zien hoe de 25 security-KPI’s die wij monitoren binnen dat framework passen. Je kunt zien waar je goed in bent en waar je kunt groeien, en het verhoudt zich precies tot je niveau binnen het NIS2 Quality Mark. Als een leverancier bijvoorbeeld zegt dat ze level 3 hebben behaald, maar onze data laat iets anders zien, wordt dat contrast direct zichtbaar. Dit helpt bedrijven om eventuele discrepanties te begrijpen en actie te ondernemen.’

Wat maakt de combinatie van Bitsight met het NIS2 Quality Mark zo sterk?

Lennart: ‘Het behalen van het NIS2 Quality Mark is een geweldige stap, maar het is belangrijk om daarna te blijven trainen en verbeteren. Met Bitsight kun je continu in de spiegel kijken en zien hoe je ervoor staat. Je kunt eenvoudig toegang krijgen tot ons platform om te zien of je verwachtingen overeenkomen met de realiteit. Daar kun je alleen maar van leren.’