ISO 27001, BIO2, de Cyberbeveiligingswet (NIS2), DORA: de kaders stapelen zich op, en met hen het risico van compliance op papier die in de praktijk niets beschermt. Het kan anders: een managementsysteem dat licht is ingericht, echt gebruikt wordt en moeiteloos door een audit komt.
ISO 27001, BIO2, the Dutch Cyberbeveiligingswet (NIS2), DORA: the frameworks keep stacking up, and with them the risk of paper compliance that protects nothing in practice. There is another way: a management system that is light, actually used, and passes audits effortlessly.
Compliance die bijdraagt aan veiligheid in plaats van eraan voorbij te leven.
Compliance that contributes to security instead of living past it.
Voor een middelgrote organisatie meestal zes tot twaalf maanden tot de certificeringsaudit, afhankelijk van wat er al ligt en hoeveel tijd je eigen mensen hebben. De doorlooptijd wordt zelden bepaald door de norm, maar door besluitvorming en beschikbaarheid. Een licht ingericht managementsysteem dat echt gebruikt wordt, is sneller klaar dan een perfect systeem op papier.
For a mid-sized organisation usually six to twelve months until the certification audit, depending on what is already in place and how much time your own people have. The lead time is rarely set by the standard, but by decision-making and availability. A lightly designed management system that is actually used is ready sooner than a perfect system on paper.
ISO 27001 is de internationale norm voor een managementsysteem voor informatiebeveiliging; je kunt je erop laten certificeren. BIO2 is de verplichte baseline voor de Nederlandse overheid, gebaseerd op diezelfde norm, en vult sinds de Cyberbeveiligingswet de zorgplicht van overheidsorganisaties in. Wie BIO2 goed implementeert, heeft het grootste deel van ISO 27001 staan, en andersom.
ISO 27001 is the international standard for an information security management system; you can be certified against it. BIO2 is the mandatory baseline for the Dutch public sector, based on that same standard, and since the Cyberbeveiligingswet it specifies the duty of care for public bodies. Implement BIO2 well and most of ISO 27001 is in place, and vice versa.
Dat moet je zelf vaststellen: de wet geldt voor essentiële en belangrijke entiteiten in achttien sectoren, van energie en zorg tot digitale diensten en overheid, en die organisaties moeten zich registreren bij het NCSC. Val je er niet direct onder, dan kun je er via klanten alsnog mee te maken krijgen, want zij zijn verantwoordelijk voor hun leveranciersrisico's. We helpen je de vraag in een middag te beantwoorden.
You have to establish that yourself: the law applies to essential and important entities in eighteen sectors, from energy and healthcare to digital services and government, and those organisations must register with the NCSC. If you are not directly in scope, you may still encounter it through clients, because they are responsible for their supplier risks. We help you answer the question in an afternoon.
DORA (Digital Operational Resilience Act) is de Europese verordening voor digitale weerbaarheid in de financiële sector: banken, verzekeraars, pensioenfondsen, beleggingsondernemingen en hun kritieke ICT-leveranciers. De verordening is sinds januari 2025 van toepassing. De kern lijkt op NIS2, met extra nadruk op ICT-risicobeheer, incidentmelding, testen en uitbesteding.
DORA (Digital Operational Resilience Act) is the European regulation for digital resilience in the financial sector: banks, insurers, pension funds, investment firms and their critical ICT providers. It has applied since January 2025. Its core resembles NIS2, with extra emphasis on ICT risk management, incident reporting, testing and outsourcing.
We bereiden je organisatie voor op een interne of externe audit, lopen de bewijsvoering na, oefenen de gesprekken en zitten desgewenst aan tafel tijdens de audit zelf. Het doel is niet om de auditor te slim af te zijn, maar om te zorgen dat wat je zegt en wat je doet hetzelfde is. Dan is een audit geen stressmoment meer.
We prepare your organisation for an internal or external audit, check the evidence, rehearse the interviews and, if you wish, sit at the table during the audit itself. The goal is not to outsmart the auditor, but to make sure that what you say and what you do are the same. Then an audit is no longer a stressful moment.
Plan een vrijblijvende kennismaking van 30 minuten. Je krijgt geen verkooppraatje, wel drie concrete observaties over je huidige weerbaarheid.
Book a free 30-minute introduction. No sales pitch: you will leave with three concrete observations about your current resilience.
