NIS2 zelf implementeren of met een adviesbureau? Vergelijking van kosten, doorlooptijd en risico

De keuze om NIS2 zelf te implementeren of een gespecialiseerd adviesbureau in te schakelen, vraagt om meer dan een vergelijking tussen advieskosten en de inzet van het eigen team. De uitkomst wordt vooral bepaald door de reikwijdte van de verplichtingen, de beschikbaarheid van besluitvormers, de kwaliteit van proces- en assetgegevens en het vermogen om de gekozen maatregelen structureel te beheren. De op het eerste gezicht goedkoopste aanpak kan uiteindelijk het duurst uitvallen wanneer zij leidt tot een onjuiste kwalificatie, herhaling van analyses of documentatie die niet aansluit op de werkelijke bedrijfsvoering. Breng daarom eerst de scope en de tekortkomingen in kaart, vergelijk vervolgens de totale kosten, doorlooptijd en risico’s van drie uitvoeringsmodellen en kies pas daarna de uitvoerende partij en projectaanpak.

Kies geen uitvoerende partij voordat de verplichtingen duidelijk zijn

Een vergelijking tussen uitvoering met eigen medewerkers en ondersteuning door een externe partij is pas zinvol nadat is vastgesteld of de organisatie onder NIS2 en de nationale omzettingswetgeving valt. Als dat het geval is, moet worden bepaald op welke diensten, bedrijfsonderdelen, locaties en middelen de analyse betrekking heeft. Zonder deze kwalificatie kunnen de werkomvang, doorlooptijd en kosten niet betrouwbaar worden geraamd. Het bestuur moet bovendien een projecteigenaar aanwijzen die bevoegd is om besluiten tussen de operationele organisatie, juridische afdeling en IT af te stemmen.

Het startpunt is niet de aanschaf van een documentatiepakket of IT-tool, maar een heldere beschrijving van het bedrijfsmodel. Breng de geleverde diensten, ondersteunende processen, systemen en gegevens in kaart, inclusief leveranciers en afhankelijkheden die bepalend zijn voor de bedrijfscontinuïteit. Alleen op basis van deze samenhang kan worden vastgesteld of de volledige onderneming dan wel specifieke diensten en locaties binnen de scope vallen. De eerste fase moet resulteren in een gedocumenteerde kwalificatie van de entiteit, vastgestelde scopegrenzen en een overzicht van gebieden die moeten worden beoordeeld of verbeterd.

Formele toepasselijkheid van wetgeving moet worden onderscheiden van de bedrijfsmatige noodzaak om de weerbaarheid te vergroten. Een organisatie kan buiten de wettelijke reikwijdte vallen en toch moeten voldoen aan eisen van klanten, de ondernemingsgroep, verzekeraars of ketenpartners. Presenteer zo’n project niet als invulling van een wettelijke verplichting, maar als antwoord op concrete contractuele eisen en operationele risico’s.

Denk aan een productiebedrijf dat beschikt over firewalls, back-ups en endpointbeveiliging, maar geen eigenaar heeft aangewezen voor het incidentresponsproces. Ook is niet vastgesteld welke gevolgen uitval van het productieplanningssysteem heeft voor de orderplanning, materiaalbeschikbaarheid en leverbetrouwbaarheid. Het probleem betreft dan niet alleen de technische beveiliging, maar ook ontbrekend eigenaarschap en onvoldoende inzicht in de afhankelijkheid tussen het informatiesysteem en de dienstverlening.

Na het beschrijven van de bedrijfsvoering volgt een juridische beoordeling aan de hand van de op de publicatiedatum geldende sectorale criteria, entiteitscriteria en omvangscriteria. Het formele standpunt moet worden goedgekeurd door het orgaan of de persoon die bevoegd is de organisatie te vertegenwoordigen, met betrokkenheid van de juridische afdeling en de eigenaren van diensten en processen. IT levert gegevens over systemen, maar hoort niet zelfstandig over de kwalificatie te beslissen. Dit onderwerp wordt verder uitgewerkt in „De NIS2-richtlijn: op wie is zij van toepassing en welke bedrijven moeten aan de nieuwe eisen voldoen?”.

De implementatiekosten beperken zich niet tot de factuur

Zelf implementeren is niet kosteloos. Evenmin vertegenwoordigt het honorarium van een adviesbureau de volledige kosten van externe ondersteuning. De begroting moet rekening houden met de inzet van het bestuur, proceseigenaren, IT, inkoop, HR, juridische zaken en de verantwoordelijke voor het managementsysteem. Waardeer hun tijd op basis van interne kostentarieven en werkelijk benodigde uren, inclusief operationele werkzaamheden die tijdens het project niet kunnen worden uitgevoerd. De benodigde inspanning hangt vooral af van het aantal locaties, processen, systemen, leveranciers en vennootschappen binnen de scope.

Vaak worden vooral de volgende activiteiten onderschat: gegevens verzamelen, verantwoordelijkheden afstemmen, assets en leveranciers inventariseren, bewijsvoering opbouwen, tests en trainingen uitvoeren en inconsistente regelingen corrigeren. Een adviesbureau verkort deze werkzaamheden alleen wanneer het de eisen kan vertalen naar bestaande processen, rollen en hulpmiddelen. Standaardbeleid overhandigen zonder de organisatie eerst te doorgronden, verlaagt de kosten niet maar verschuift ze naar de fasen van afstemming, implementatie en toekomstig onderhoud.

Incidentdocumentatie kan snel worden opgesteld, maar blijft papieren werkelijkheid wanneer piketdiensten, escalatieroutes, bewijsveiligstelling en vervanging bij afwezigheid niet zijn geregeld. De werkelijke kosten worden zichtbaar tijdens een test of incident, wanneer de procedure opnieuw moet worden ingericht. Maak daarom onderscheid tussen eenmalige en terugkerende uitgaven. Neem naast advieskosten ook technische investeringen, projectgerelateerde verstoringen, herstelwerk en jaarlijks beheer mee: beoordelingen, tests, trainingen, documentupdates, leveranciersbeoordelingen en incidentafhandeling.

Een operationeel managementsysteem voor informatiebeveiliging of een certificaat kan de benodigde inspanning voor inventarisatie, risicobeoordeling, documentbeheersing en audits beperken, mits de betreffende beheersmaatregelen aantoonbaar functioneren binnen de onderzochte scope. Het vervangt echter niet de beoordeling van concrete verplichtingen uit de toepasselijke wet- en regelgeving. Ook moet nog steeds worden vastgesteld of de bestaande maatregelen passen bij de betrokken diensten. Deze relatie wordt toegelicht in NIS2 en NEN-EN-ISO 27001: wat levert een certificaat op en wat ontbreekt nog voor naleving van de KSC?.

De doorlooptijd hangt af van het vermogen om besluiten te nemen

De snelheid waarmee procedures worden geschreven, is zelden bepalend voor de voorbereiding op NIS2. De belangrijkste beperkingen zijn de beschikbaarheid van betrouwbare gegevens, proceseigenaren en functionarissen die wijzigingen mogen goedkeuren. De planning moet rekening houden met hun werkelijke beschikbaarheid, de vergaderfrequentie van de stuurgroep en de tijd die nodig is om afdelingsoverschrijdende vraagstukken op te lossen. Een toegezegde opleverdatum voor documentatie is geen goede voortgangsmaatstaf zolang scope, verantwoordelijkheden en prioriteiten niet zijn goedgekeurd.

Plan de werkzaamheden op basis van hun onderlinge afhankelijkheden. Bepaal eerst de scope, rollen, processen en assets. Voer daarna de risicoanalyse uit, stel een risicobehandelplan vast, implementeer beheersmaatregelen, voer tests uit en verzamel bewijs van de werking. Activiteiten die van dezelfde goedgekeurde uitgangspunten gebruikmaken, kunnen parallel lopen, zoals het inventariseren van contracten en beoordelen van bestaande maatregelen. Start echter niet met een gedetailleerde risicoanalyse voordat duidelijk is welke diensten, processen, systemen, informatie en leveranciersafhankelijkheden worden beoordeeld.

Maak bij de prioritering onderscheid tussen tekortkomingen waarvoor aankopen, contractwijzigingen, technische integraties of tests nodig zijn. Elke categorie kent een eigen goedkeuringsroute en doorlooptijd. Externe ondersteuning kan de diagnose versnellen, workshops efficiënter maken en de resultaten structureren. Een adviseur kan echter niet namens het bestuur beslissen over risicoacceptatie, investeringsprioriteiten of de aanvaardbare uitvalsduur van diensten. Als deze besluiten tot het einde van het project worden uitgesteld, loopt de documentatie vooruit op de operationele werkelijkheid en moeten analyses deels opnieuw worden uitgevoerd.

Meet de voortgang daarom aan het aantal goedgekeurde besluiten, opgeloste afhankelijkheden en geteste beheersmaatregelen, niet aan het aantal opgeleverde documenten. Zelfs een planning van enkele weken is onhaalbaar wanneer een organisatie niet beschikt over een actuele systeemlijst, een contractenregister voor leveranciers of vastgestelde proceseigenaren. Het team kan dan hooguit de veronderstelde situatie beschrijven, zonder duidelijk eigenaarschap voor continuïteit, dienstherstel en leveranciersbeheersing.

Procesmodellering moet deze besluitvorming ondersteunen en niet leiden tot onnodige documentatie. De vergelijking „BPMN of flowchart: welk hulpmiddel werkt beter voor het modelleren van kwaliteitsprocessen?” helpt bij het kiezen van het juiste detailniveau. Voor deze toepassing is het beste hulpmiddel het hulpmiddel dat rollen, overdrachtsmomenten, informatieafhankelijkheden en gebieden waarvoor beveiliging of vervanging nodig is, ondubbelzinnig zichtbaar maakt.

Het grootste risico ontstaat door onjuiste uitgangspunten

Een succesvolle voorbereiding op NIS2 hangt vaker af van juiste uitgangspunten dan van het aantal uitgevoerde taken. Bij uitvoering in eigen beheer liggen de grootste risico’s in een onjuiste interpretatie van de scope, gemiste bedrijfsafhankelijkheden en de veronderstelling dat cyberbeveiliging uitsluitend onder IT valt. Daardoor kunnen productieprocessen, logistiek, onderhoud, leveringscontinuïteit of verplichtingen tegenover afnemers buiten beeld blijven. Ook ontbreekt vaak een onafhankelijke beoordeling van werkwijzen die intern als voldoende worden beschouwd, alleen omdat ze nog niet tot een zichtbare verstoring hebben geleid.

Externe ondersteuning neemt deze risico’s niet automatisch weg. De risico’s nemen juist toe wanneer een leverancier een uniform documentatiepakket oplevert zonder inzicht in de diensten, processen en afhankelijkheden van de organisatie, proceseigenaren onvoldoende betrekt of de kennis niet overdraagt die nodig is om de maatregelen te onderhouden. Er ontstaat dan een systeem dat afhankelijk is van de auteur van de documentatie in plaats van van de mensen die verantwoordelijk zijn voor de dagelijkse uitvoering.

Het is daarom verstandig de uitvoering te scheiden van een onafhankelijke eindbeoordeling, vooral wanneer dezelfde partij de scope heeft ontworpen, risico’s heeft beoordeeld en beheersmaatregelen heeft geselecteerd. De beslissing om restrisico te accepteren moet bij het bevoegde management blijven.

Schijnbare conformiteit blijkt uit verschillen tussen documentatie en praktijk: beleid beschrijft een andere werkwijze dan feitelijk wordt gevolgd, het risicoregister heeft geen invloed op prioriteiten en investeringen, of de incidentresponsprocedure is nooit geoefend. Bij een documentatietekort ontbreekt een noodzakelijk document of is de vastlegging inconsistent. Een operationeel tekort bestaat wanneer de organisatie een activiteit niet kan uitvoeren, geen verantwoordelijkheid kan aanwijzen of geen bewijs van de doeltreffendheid kan tonen. Een formulier aanvullen kan het eerste probleem oplossen, maar vervangt geen test, besluit of wijziging van de werkwijze.

Een voorbeeld is een vestiging met een goedgekeurde procedure voor het melden van incidenten, terwijl productiemedewerkers niet weten hoe zij de onbeschikbaarheid van een besturings- of planningssysteem moeten melden. Tegelijk zijn met de dienstverlener geen escalatieroute, contactpersonen of afspraken voor buiten kantooruren vastgesteld. Het document bestaat, maar tijdens een verstoring gaan de eerste minuten verloren aan het bepalen van verantwoordelijkheden. Alleen een oefening met de gebruiker, proceseigenaar, IT, management en leverancier brengt zo’n tekort aan het licht.

Een readiness-audit moet beoordelen of de organisatie kan handelen en betrouwbaar bewijs kan overleggen, en niet alleen of de documentatie compleet is. Bruikbare indicatoren zijn het aantal openstaande acties uit eerdere audits en tests, resultaten van hersteltests, bevindingen uit evaluaties van incidenten en verstoringen en het percentage kritieke leveranciers dat is beoordeeld en waarvoor eisen zijn overeengekomen — steeds op basis van organisatiegegevens. De aanpak van zo’n beoordeling wordt verder uitgewerkt in „NIS2-audit bij een productiebedrijf: hoe beoordeelt u of de organisatie klaar is voor de nieuwe verplichtingen?”.

Een hybride model biedt doorgaans de meeste beheersing

Het uitvoeringsmodel moet aansluiten op het werkelijke vermogen van de organisatie om de werkzaamheden uit te voeren, niet alleen op een vergelijking van adviesprijzen. Zelf implementeren is een rationele keuze wanneer het project een competente eigenaar heeft, de risicomanagementprocessen volwassen zijn, inventarisaties van assets en afhankelijkheden actueel zijn en sleutelmedewerkers zowel tijd als voldoende interpretatievermogen hebben. Uitgebreidere externe ondersteuning ligt voor de hand bij grote kennistekorten, een verspreide organisatiestructuur, belangrijke technologische afhankelijkheden, een korte voorbereidingstijd of het ontbreken van een gestructureerd managementsysteem.

In veel situaties biedt een hybride model de beste beheersing van kosten, doorlooptijd en risico. De organisatie behoudt de verantwoordelijkheid voor besluiten, brongegevens, risico-eigenaarschap en uitvoering van operationele acties. De adviseur ondersteunt bij de diagnose, methodiek, begeleiding van workshops, analyses waarvoor specialistische kennis nodig is en kwaliteitscontrole van de resultaten.

Ten minste de volgende verantwoordelijkheden moeten binnen de organisatie blijven:

• het bepalen van de betekenis en kriticiteit van processen en diensten;
• het aanwijzen van risico-eigenaren;
• het accepteren van restrisico;
• het vaststellen van investeringsprioriteiten;
• het bevestigen dat beheersmaatregelen in de praktijk functioneren.

Het bestuur kan de verantwoordelijkheid voor de weerbaarheid van de organisatie niet aan een leverancier overdragen.

Een organisatie met meerdere vestigingen kan zelf informatie verzamelen over diensten, assets, leveranciers en de gevolgen van verstoringen, omdat een betrouwbare beoordeling daarvan operationele kennis vereist. Een externe specialist kan vervolgens de beoordelingsmethode structureren, inconsistenties ter discussie stellen, afdelingsoverschrijdende workshops begeleiden en controleren of de bewijsvoering compleet is. De doelmatigheid van deze taakverdeling wordt bepaald door het aantal medewerkers dat daadwerkelijk kan worden vrijgemaakt en hun competenties, niet door de formele samenstelling van het projectteam.

Vergelijk offertes op basis van dezelfde deliverables en acceptatiecriteria. Beoordeel referenties op overeenkomsten in sector, schaal, processen en technologische omgeving, niet uitsluitend op het aantal uitgevoerde opdrachten. De overeenkomst moet duidelijk omschrijven welke resultaten worden opgeleverd, welke acceptatiecriteria gelden, hoe oplossingen aan de werkelijke processen worden gekoppeld, hoe kennis wordt overgedragen, welke afspraken gelden voor vertrouwelijkheid en toegang tot gevoelige gegevens, wie verantwoordelijk is voor correcties en welke ondersteuning na implementatie wordt geboden. Het verdienmodel moet niet het aantal documenten belonen, maar het behalen van overeengekomen en verifieerbare resultaten.

De praktische verdeling van verantwoordelijkheden tussen bestuur, proceseigenaren en ondersteunende functies wordt verder uitgewerkt in NIS2 in de managementpraktijk: eisen vertalen naar besluiten, verantwoordelijkheden en daadwerkelijke organisatorische weerbaarheid.

Baseer de beslissing op bewijs en het vermogen om het systeem te beheren

Voer vóór de keuze van het implementatiemodel een beknopte organisatiediagnose uit. Bevestig de projectscope, wijs een projecteigenaar aan, beoordeel de beschikbaarheid van competenties, inventariseer bestaand bewijs van de werking en schat de belangrijkste tekortkomingen in. Pas daarna kan worden bepaald welke werkzaamheden intern worden uitgevoerd en waar specialistische ondersteuning het risico op verkeerde interpretaties, omissies of dubbel werk vermindert.

Het bestuursbesluit moet drie varianten vergelijken: uitvoering in eigen beheer, een hybride model en uitgebreidere externe ondersteuning. Pas op elke variant dezelfde criteria toe:

• totale kosten, inclusief interne inzet, correcties en beheer;
• de tijd die nodig is om operationeel gereed te zijn;
• het risico op fouten en herhaling van werkzaamheden;
• de feitelijke beschikbaarheid van competenties;
• het vermogen om de oplossingen zelfstandig te beheren.

Het bestuursbesluit moet het gekozen model, de verantwoordelijkheidsverdeling, de projecteigenaar, beschikbare middelen, rapportagewijze, acceptatiecriteria en prestatie-indicatoren vastleggen. Die indicatoren moeten voortkomen uit de processen van de organisatie en niet uit universele drempelwaarden zonder context.

Accepteer de implementatie niet op basis van het aantal opgestelde beleidsdocumenten. Het resultaat moet bestaan uit een herhaalbare werkwijze: toegewezen rollen, gedocumenteerde risicobesluiten, geïmplementeerde beheersmaatregelen, geteste reacties op verstoringen en incidenten, leveranciersbeheersing en betrouwbare registraties. Een goedgekeurde responsprocedure bewijst geen gereedheid wanneer een test verouderde contactgegevens, een onduidelijke escalatieroute of het ontbreken van een bevoegde besluitvormer blootlegt.

De acceptatiecriteria moeten betrekking hebben op de aansluiting tussen documentatie en praktijk, het oplossen van overeengekomen tekortkomingen, testresultaten, kennisoverdracht en een duidelijk plan voor verdere verbetering, inclusief een intern auditprogramma. Als acceptatiebewijs kunnen onder meer goedkeuringen, registers, testresultaten, trainingsverslagen, risicobesluiten en bevestigingen van uitgevoerde acties dienen. Het voorbereiden en onderhouden van dergelijk bewijs wordt verder toegelicht in NIS2- en KSC-documentatie vóór een controle: welke beleidsdocumenten, registers en bewijzen zijn werkelijk nodig?.

De duurzaamheid van de oplossing kan pas worden beoordeeld wanneer de inzet van de adviseur wordt afgebouwd. Proceseigenaren moeten dan zelfstandig registers actualiseren, risicobesluiten nemen, testresultaten analyseren en corrigerende maatregelen initiëren. Als het systeem alleen dankzij de kennis van de uitvoerende partij functioneert, is het project niet afgerond: de organisatie heeft documentatie ontvangen, maar geen zelfstandig beheerbare werkwijze opgebouwd.