{"id":12468,"date":"2026-08-12T11:19:15","date_gmt":"2026-08-12T11:19:15","guid":{"rendered":"https:\/\/jaguarit.nl\/?p=12468"},"modified":"2026-08-12T11:21:55","modified_gmt":"2026-08-12T11:21:55","slug":"wij-beoordelen-een-fictief-bedrijf-zou-jij-dit-certificeren","status":"publish","type":"post","link":"https:\/\/jaguarit.nl\/en\/wij-beoordelen-een-fictief-bedrijf-zou-jij-dit-certificeren\/","title":{"rendered":"Wij beoordelen een fictief bedrijf: zou jij dit certificeren?"},"content":{"rendered":"
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Stel je voor: je bent auditor<\/strong>. Je krijgt het dossier van een organisatie die zegt dat informatiebeveiliging goed geregeld is. Er zijn policies. Medewerkers krijgen securitytraining. Er is een firewall. Back-ups draaien iedere nacht en er ligt een risicoanalyse op tafel en op papier ziet het er prima uit., maar zodra je doorvraagt, komen de eerste scheurtjes.<\/p>\n

<\/p>\n

Zou jij deze organisatie certificeren?<\/strong> In deze blog nemen we je mee in een fictieve NIS2-situatie. Geen theoretische checklist, maar een bedrijf met echte dilemma\u2019s, twijfelachtige keuzes en een paar flinke rode vlaggen. Aan het einde is de vraag simpel: Geef jij groen licht, of stuur je ze terug naar de tekentafel?<\/strong><\/p>\n

<\/p>\n

\n

<\/p>\n

Maak kennis met NexaFlowy<\/h2>\n

<\/p>\n

NexaFlowy B.V.<\/strong> is een Nederlandse softwareleverancier met ongeveer 85 medewerkers. Het bedrijf ontwikkelt logistieke software waarmee klanten hun transport, planning en voorraadbeheer regelen.<\/p>\n

<\/p>\n

NexaFlowy groeit hard. Nieuwe klanten komen binnen, het bedrijf werkt steeds meer met cloudoplossingen en ondertussen wordt cybersecurity steeds belangrijker en ook NIS2 begint serieus te spelen. De directie besluit daarom: “We moeten onze informatiebeveiliging aantoonbaar op orde krijgen.\u201d<\/p>\n

<\/p>\n

Er wordt een projectteam samengesteld. De IT-manager krijgt de leiding en er wordt een externe adviseur ingeschakeld. Na enkele maanden ligt er een mooi pakket documenten. Er is een informatiebeveiligingsbeleid, er is een incidentprocedure, er is een back-upbeleid, maar ook een risicoanalyse en er zijn zelfs jaarlijkse trainingen voor medewerkers. Klaar toch?<\/strong> Niet helemaal.<\/p>\n

<\/p>\n

\n

<\/p>\n

De audit begint<\/h2>\n

<\/p>\n

Als auditor krijgen we toegang tot het beleid, de risicoanalyse, een aantal systemen en gesprekken met medewerkers. Op het eerste gezicht lijkt NexaFlowy behoorlijk volwassen, maar tijdens de gesprekken beginnen we vragen te stellen en daar wordt het interessant.<\/p>\n

<\/p>\n

De IT-manager vertelt trots: “Alle belangrijke systemen zijn beveiligd met MFA.\u201d Klinkt goed.<\/p>\n

<\/p>\n

1. \u201cWij hebben MFA\u201d<\/h4>\n

<\/p>\n

We vragen vervolgens:<\/p>\n

<\/p>\n

\u201cAlle belangrijke systemen?\u201d<\/strong><\/p>\n

<\/p>\n

\u201cJa.\u201d<\/p>\n

<\/p>\n

\u201cOok beheerdersaccounts?\u201d<\/strong><\/p>\n

<\/p>\n

\u201cVolgens mij wel.\u201d<\/p>\n

<\/p>\n

Volgens mij. Dat is het eerste moment waarop de wenkbrauw omhooggaat. Na controle blijkt dat MFA inderdaad is ingeschakeld voor Microsoft 365, maar voor een aantal externe beheeraccounts van leveranciers staat MFA nog uit. Daarnaast blijken enkele oudere serviceaccounts helemaal niet onder dezelfde beveiligingsregels te vallen.<\/p>\n

<\/p>\n

Ons oordeel<\/h6>\n

<\/p>\n

Verbeterpunt.<\/strong> MFA hebben is niet hetzelfde als MFA aantoonbaar en consequent toepassen. Voor NIS2 draait het niet alleen om de technische maatregel, maar ook om het beheersen van risico\u2019s en het kunnen aantonen dat maatregelen daadwerkelijk werken.<\/p>\n

<\/p>\n

\n

<\/p>\n

2. De back-ups zijn geregeld. Toch?<\/h4>\n

<\/p>\n

NexaFlow maakt iedere nacht back-ups. Mooi.<\/p>\n

<\/p>\n

We vragen:<\/p>\n

<\/p>\n

\u201cWanneer hebben jullie voor het laatst een volledige restore getest?\u201d<\/strong><\/p>\n

<\/p>\n

Stilte.<\/p>\n

<\/p>\n

\u201cVolgens mij ergens vorig jaar.\u201d<\/p>\n

<\/p>\n

We vragen om het testrapport.<\/p>\n

<\/p>\n

Dat blijkt er niet te zijn. Er is dus wel een back-up, maar niemand weet zeker of een volledige omgeving daadwerkelijk succesvol kan worden teruggezet.<\/p>\n

<\/p>\n

Ons oordeel<\/h6>\n

<\/p>\n

Rode vlag.<\/strong> Een back-up die je nooit hebt teruggezet, is vooral een theorie. Voor bedrijfscontinu\u00efteit wil je niet alleen weten dat data wordt opgeslagen. Je wilt weten dat je na een incident daadwerkelijk kunt herstellen.<\/p>\n

<\/p>\n

Back-up is niet hetzelfde als herstel.<\/strong><\/p>\n

<\/p>\n

\n

<\/p>\n

3. Een medewerker klikt op een phishingmail<\/h4>\n

<\/p>\n

Tijdens de audit vragen we aan een medewerker:<\/p>\n

<\/p>\n

\u201cWat doe je als je een verdachte e-mail ontvangt?\u201d<\/strong><\/p>\n

<\/p>\n

\u201cDie stuur ik door naar IT.\u201d<\/p>\n

<\/p>\n

Prima.<\/p>\n

<\/p>\n

\u201cEn als je per ongeluk op een link hebt geklikt?\u201d<\/p>\n

<\/p>\n

\u201cDan hoop ik dat er niks gebeurt.\u201d<\/p>\n

<\/p>\n

Niet helemaal het gewenste antwoord. We ontdekken dat medewerkers \u00e9\u00e9n keer per jaar een algemene securitytraining krijgen. Er wordt echter niet structureel getest met phishing-simulaties, ook wordt niet gemeten welke teams extra risico lopen.<\/p>\n

<\/p>\n

Ons oordeel<\/h6>\n

<\/p>\n

Verbeterpunt.<\/strong> Security awareness moet meer zijn dan \u00e9\u00e9n jaarlijkse PowerPoint. Menselijk gedrag is onderdeel van cybersecurity en juist daar wil je risico\u2019s kunnen meten, verbeteren en opnieuw testen.<\/p>\n

<\/p>\n

\n

<\/p>\n

4. Incidenten? Die houden we bij in Teams<\/h4>\n

<\/p>\n

NexaFlowy heeft een incidentprocedure. Daarin staat wie moet worden ge\u00efnformeerd wanneer er een beveiligingsincident plaatsvindt en op papier ziet het er prima uit.<\/p>\n

<\/p>\n

Maar wanneer we vragen:<\/p>\n

<\/p>\n

\u201cKunnen jullie een recent incident laten zien en aantonen hoe jullie dat hebben afgehandeld?\u201d<\/strong><\/p>\n

<\/p>\n

Komt er een interessant antwoord:<\/p>\n

<\/p>\n

\n

<\/p>\n

\u201cWe hebben gelukkig nog geen serieus incident gehad.\u201d<\/p>\n

<\/p>\n<\/blockquote>\n

<\/p>\n

Dat klinkt positief. Totdat we vragen naar kleinere incidenten, zoals een verloren laptop, een verkeerd gedeelde SharePoint-map, een medewerker die bijna slachtoffer werd van phishing of een tijdelijke storing bij een belangrijke leverancier. Deze gebeurtenissen zijn wel bekend bij IT, maar worden niet consequent als security-incident geregistreerd.<\/p>\n

<\/p>\n

Ons oordeel<\/h6>\n

<\/p>\n

Rode vlag.<\/strong> Je hoeft geen grote cyberaanval te hebben gehad om incidentmanagement te kunnen aantonen. Juist kleine incidenten kunnen waardevolle informatie opleveren. Wat gebeurde er?, Waarom gebeurde het?, Wat hebben we aangepast? en is het probleem daarna daadwerkelijk opgelost?<\/p>\n

<\/p>\n

\n

<\/p>\n

5. \u201cOnze leverancier regelt security\u201d<\/h4>\n

<\/p>\n

NexaFlowy maakt gebruik van verschillende externe leveranciers. bOnder andere voor cloudhosting, softwareontwikkeling en IT-beheer.<\/p>\n

<\/p>\n

We vragen:<\/p>\n

<\/p>\n

\u201cHoe beoordelen jullie de cybersecurity van deze leveranciers?\u201d<\/strong><\/p>\n

<\/p>\n

Het antwoord:<\/p>\n

<\/p>\n

\n

<\/p>\n

\u201cDat is een betrouwbare partij. We werken er al jaren mee.\u201d<\/p>\n

<\/p>\n<\/blockquote>\n

<\/p>\n

Dat is geen leveranciersbeoordeling, want het is een mening. Bij twee kritieke leveranciers ontbreekt een recente securitybeoordeling, ook zijn de security-eisen richting leveranciers niet overal contractueel vastgelegd.<\/p>\n

<\/p>\n

Ons oordeel<\/h6>\n

<\/p>\n

Rode vlag.<\/strong> Je cybersecurity stopt niet bij je eigen firewall. Als een kritieke leverancier toegang heeft tot systemen, data of bedrijfsprocessen, moet je ook weten welke risico\u2019s daar zitten.<\/p>\n

<\/p>\n

\n

<\/p>\n

6. De risicoanalyse<\/h4>\n

<\/p>\n

Nu komen we bij misschien wel het interessantste onderdeel. NexaFlowy heeft een risicoanalyse. Er staan 37 risico\u2019s in en alles netjes in een Excelbestand. Risico, Kans, Impact, Maatregel, Rest-risico en Klaar, toch?<\/p>\n

<\/p>\n

We vragen:<\/p>\n

<\/p>\n

\u201cWanneer is deze risicoanalyse voor het laatst aangepast?\u201d<\/strong><\/p>\n

<\/p>\n

Antwoord:<\/p>\n

<\/p>\n

\n

<\/p>\n

\u201cToen we begonnen met het project.\u201d<\/p>\n

<\/p>\n<\/blockquote>\n

<\/p>\n

Dat was acht maanden geleden. In die periode heeft NexaFlow:<\/p>\n

<\/p>\n

    \n
  • \n
      <\/ul>\n<\/li>\n<\/ul>\n

      \u00a0<\/p>\n

        \n
      • \n
          \n
        • twee nieuwe SaaS-platformen toegevoegd;<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n

          <\/p>\n

            \n
          • \n
              \n
            • een nieuwe cloudleverancier gekozen;<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n

              <\/p>\n

                \n
              • \n
                  \n
                • tientallen nieuwe medewerkers aangenomen;<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n

                  <\/p>\n

                    \n
                  • \n
                      \n
                    • een nieuwe ontwikkelomgeving geopend;<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n

                      <\/p>\n

                        \n
                      • \n
                          \n
                        • en een deel van de IT uitbesteed.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n

                          <\/p>\n

                          <\/p>\n

                          Geen van deze wijzigingen staat in de risicoanalyse.<\/p>\n

                          <\/p>\n

                          Ons oordeel<\/h6>\n

                          <\/p>\n

                          Rode vlag.<\/strong> Een risicoanalyse is geen document dat je \u00e9\u00e9n keer maakt om vervolgens in een map te bewaren. Risicomanagement moet aansluiten op de werkelijkheid van je organisatie. Verandert je organisatie? Dan veranderen je risico\u2019s.<\/p>\n

                          <\/p>\n

                          \n

                          <\/p>\n

                          7. Maar er is ook goed nieuws<\/h6>\n

                          <\/p>\n

                          Niet alles is een probleem, want NexaFlowy heeft namelijk al behoorlijk wat goed geregeld.<\/p>\n

                          <\/p>\n

                            \n
                          • Er is duidelijke directieverantwoordelijkheid<\/li>\n
                          • Er zijn security policies<\/li>\n
                          • Er is een assetregistratie.<\/li>\n
                          • Er is MFA op de belangrijkste gebruikersaccounts<\/li>\n
                          • Er zijn back-ups<\/li>\n
                          • Er is een incidentprocedure<\/li>\n
                          • Medewerkers krijgen security awareness-training<\/li>\n
                          • De directie stelt daadwerkelijk budget beschikbaar voor cybersecurity<\/li>\n<\/ul>\n

                            <\/p>\n

                            Dat laatste is belangrijk, want security is uiteindelijk niet alleen een IT-project.<\/p>\n

                            <\/p>\n

                            \n

                            <\/p>\n

                            Dus\u2026 zou jij NexaFlow certificeren?<\/h2>\n

                            <\/p>\n

                            Tijd om de auditorpet op te zetten. Als we alleen kijken naar het aantal documenten, zou NexaFlowy misschien een 9\/10<\/strong> krijgen, maar cybersecurity werkt niet zo. Een organisatie kan twintig policies hebben en toch kwetsbaar zijn. De echte vraag in de casus is: Werkt het beleid in de praktijk?<\/strong> Bij NexaFlowy zien we meerdere belangrijke verbeterpunten:<\/p>\n

                            <\/p>\n

                            \n\n\n\n\n\n\n\n\n\n\n\n\n
                            Onderdeel<\/th>\nBeoordeling<\/th>\n<\/tr>\n
                            MFA<\/td>\nVerbeteren<\/td>\n<\/tr>\n
                            Back-ups & herstel<\/td>\nOnvoldoende aangetoond<\/td>\n<\/tr>\n
                            Security awareness<\/td>\nVerbeteren<\/td>\n<\/tr>\n
                            Incidentmanagement<\/td>\nOnvoldoende<\/td>\n<\/tr>\n
                            Leveranciersbeheer<\/td>\nOnvoldoende<\/td>\n<\/tr>\n
                            Risicomanagement<\/td>\nNiet actueel<\/td>\n<\/tr>\n
                            Directieverantwoordelijkheid<\/td>\nGoed<\/td>\n<\/tr>\n
                            Securitybeleid<\/td>\nGoed<\/td>\n<\/tr>\n
                            Assetmanagement<\/td>\nGoed<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/figure>\n

                            <\/p>\n

                            Ons verdict?<\/h4>\n

                            <\/p>\n

                            Nee. Nog niet<\/strong> en dat is eigenlijk goed nieuws, want NexaFlowy is niet per definitie \u201conveilig\u201d. Het probleem is dat ze nog onvoldoende kunnen aantonen dat hun beveiliging structureel wordt beheerst en werkt<\/strong> en precies daar gaat het bij compliance vaak mis.<\/p>\n

                            <\/p>\n

                            \n

                            <\/p>\n

                            De grootste NIS2-valkuil?<\/h2>\n

                            <\/p>\n

                            Denken dat cybersecurity hetzelfde is als documenten verzamelen. Een mooi beleid maakt je organisatie niet automatisch veiliger, een risicoanalyse maakt je organisatie niet automatisch veiliger, een incidentprocedure maakt je organisatie niet automatisch veiliger. De uitvoering maakt het verschil<\/strong> en daarom zouden wij bij NexaFlowy niet simpelweg zeggen: “Afgekeurd. Succes ermee.\u201d We zouden zeggen: “Dit zijn de risico\u2019s. Dit moet aantoonbaar beter. En dit is wat we nodig hebben om jullie klaar te maken.\u201d Dat is het verschil tussen alleen compliance regelen en daadwerkelijk grip krijgen op informatiebeveiliging.<\/p>\n

                            <\/p>\n

                            \n

                            <\/p>\n

                            En nu jij: zou jij NexaFlowy certificeren?<\/h2>\n

                            <\/p>\n

                            Stel dat jij de auditor bent en je ziet de documenten, je ziet de risicoanalyse en je weet dat MFA grotendeels geregeld is. Maar je weet ook dat:<\/p>\n

                            <\/p>\n

                              \n
                            • \n
                                <\/ul>\n<\/li>\n<\/ul>\n

                                \u00a0<\/p>\n

                                  \n
                                • \n
                                    \n
                                  • back-ups nog nooit volledig zijn getest;<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n

                                    <\/p>\n

                                      \n
                                    • \n
                                        \n
                                      • kritieke leveranciers niet structureel worden beoordeeld;<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n

                                        <\/p>\n

                                          \n
                                        • \n
                                            \n
                                          • incidenten niet consequent worden geregistreerd;<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n

                                            <\/p>\n

                                              \n
                                            • \n
                                                \n
                                              • de risicoanalyse acht maanden oud is;<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n

                                                <\/p>\n

                                                  \n
                                                • \n
                                                    \n
                                                  • en medewerkers nauwelijks praktisch worden getest.<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n

                                                    <\/p>\n

                                                    <\/p>\n

                                                    Geef jij groen licht?<\/strong><\/p>\n

                                                    <\/p>\n

                                                    Of zeg je:<\/p>\n

                                                    <\/p>\n

                                                    \u201cNog even niet.\u201d<\/strong><\/p>\n

                                                    <\/p>\n

                                                    Laat het ons weten.<\/p>\n

                                                    <\/p>\n

                                                    \n

                                                    <\/p>\n

                                                    Wil je weten hoe jouw organisatie ervoor staat?<\/h2>\n

                                                    <\/p>\n

                                                    Bij Jaguar IT kijken we verder dan alleen de documenten. We kijken naar wat er daadwerkelijk gebeurt binnen je organisatie<\/strong> en waar de grootste risico\u2019s zitten.Van een eerste quickscan tot volledige begeleiding richting certificering: het doel is niet om zoveel mogelijk papierwerk te produceren.<\/p>\n

                                                    <\/p>\n

                                                    \u00a0<\/p>\n

                                                    Het doel is simpel: jouw organisatie aantoonbaar beter beveiligen \u00e9n klaarstomen voor de eisen die eraan komen<\/strong> en ja soms betekent dat ook dat we eerst eerlijk zeggen: \u201cNee, zo zouden wij je nog niet certificeren.\u201d<\/strong> Liever duidelijkheid vooraf dan een probleem tijdens de audit.<\/p>\n

                                                    <\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t<\/div>","protected":false},"excerpt":{"rendered":"

                                                    Stel je voor: je bent auditor. Je krijgt het dossier van een organisatie die zegt dat informatiebeveiliging goed geregeld is. […]<\/p>\n","protected":false},"author":6,"featured_media":12469,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"var(--ast-global-color-4)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[116],"tags":[161,166,167],"class_list":["post-12468","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-expert-blogs","tag-compliance","tag-mkb","tag-nis2"],"acf":[],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t