Geen compleet stappenplan om je te overweldigen. Gewoon een eerlijk antwoord op waar je vandaag mee kunt beginnen.

[list] In het kort

• Begin niet bij het hele stappenplan, maar bij één ding: weten waar je nu staat.
• Een risico-inventarisatie is een logisch startpunt, maar niet het enige. Ook gewoon een goed gesprek helpt al.
• Zelf oppakken kan voor de eerste oriëntatie, maar bij twijfel is hulp inschakelen sneller én betrouwbaarder.
• Een Cyber Threat Assessment is een goed startpunt, maar geen NIS2-toets op zich. Het is inzicht in je risico's, waar NIS2-voorbereiding op voortbouwt.
• Neem naar een eerste gesprek vooral mee: wat je al weet, en wat je nog niet weet. Dat laatste is minstens zo waardevol.

Nog helemaal niets gedaan aan de NIS2? Dan is de verleiding groot om te wachten tot je een compleet plan hebt. Precies dat wachten is het probleem.

[question] Als ik maar één ding zou doen om te beginnen, wat zou dat dan zijn?

Weten waar je nu staat. Niet het hele stappenplan doorlopen, niet meteen maatregelen gaan uitrollen: eerst een eerlijk beeld van wat er al goed geregeld is, en wat niet. Zonder dat beeld ben je aan het gokken welke maatregel het meest urgent is, en dat kost uiteindelijk meer tijd dan het je bespaart.

De eerste stap is niet "iets doen". De eerste stap is weten wat je moet doen.

[key] Is een risico-inventarisatie een logische eerste stap, of begin je ergens anders?

Een risico-inventarisatie is een logisch startpunt, maar hoeft niet het allereerste te zijn. Voor veel bedrijven is een goed gesprek al genoeg om te bepalen of dit urgent is of kan groeien: welke systemen zijn kritiek, wat gebeurt er als die uitvallen, wie heeft er toegang toe. Een formele inventarisatie volgt daarna vaak vanzelf, als logische vervolgstap zodra duidelijk is waar de aandacht het hardst nodig is.

[check] Is dit iets wat ik met mijn eigen team kan oppakken, of is externe hulp verstandiger?

Voor de eerste oriëntatie kun je prima zelf beginnen: nadenken over welke systemen kritiek zijn, en wat je al aan basismaatregelen hebt staan. Zodra het concreter wordt (welke maatregelen precies nodig zijn, hoe je dat vastlegt, hoe je het technisch inricht), is hulp inschakelen sneller en betrouwbaarder dan het zelf uitzoeken. Niet omdat je het niet zou kunnen, maar omdat het sneller gaat met iemand die dit vaker doet.

[users] Is een Cyber Threat Assessment hier een goed startpunt voor, of is dat iets anders?

Het is een goed startpunt, maar geen NIS2-toets op zich. Een Cyber Threat Assessment geeft je inzicht in de risico's die er nu zijn in je omgeving. Dat inzicht is precies waar NIS2-voorbereiding op voortbouwt. Het is dus geen doel op zich, maar wel een logisch beginpunt: eerst weten waar de risico's zitten, dan pas bepalen welke maatregelen specifiek richting NIS2 nog nodig zijn. Twijfel je hoe je je daarop voorbereidt? Zie "Wat is de beste voorbereiding op een Cyber Threat Assessment?" voor het antwoord.

[doc] Wat neem ik het beste mee naar een eerste gesprek hierover?

Vooral wat je al weet, en wat je nog niet weet. Dat laatste is minstens zo waardevol als het eerste. Weet je al welke systemen kritiek zijn, wie waar toegang toe heeft, en welke basismaatregelen (back-up, MFA, updates) al staan? Neem dat mee. Weet je iets niet zeker? Zeg dat ook gewoon. Dat is precies waar het gesprek voor bedoeld is, niet om een goed rapportcijfer te scoren.

[clock] Tot slot

De eerste stap in NIS2-voorbereiding is niet het grote stappenplan, maar een eerlijk beeld van waar je nu staat. Een gesprek, eventueel gevolgd door een risico-inventarisatie of Cyber Threat Assessment, geeft je dat beeld. Van daaruit weet je pas echt wat de volgende stap moet zijn, in plaats van te gokken en achteraf te ontdekken dat je met het verkeerde begonnen bent.

Wil je eerst begrijpen of je hier überhaupt onder valt en wat er praktisch verandert? Lees dan ook "Val ik onder de NIS2, en wie bepaalt dat?" en "Wat verandert er praktisch als je onder de NIS2 valt?". Deze blog sluit die week af met de eerste concrete actie.

Klaar om te weten waar je nu staat?

Plan een afspraak met Marcel

Wil je eerst weten waar jullie nu staan?

Doe de ICT Quickscan →

Vraag een Cyber Threat Assessment aan →