ECP vs Cyber Essentials (VK): CyFun vs het NCSC-basisschema

Nee. Cyber Essentials is een Brits overheidsschema van NCSC. Het maakt geen deel uit van het EU-regelgevingskader, en het Belgische NIS2-compliancepad is CyFun, uitgegeven door het CCB. Een Belgische entiteit die wordt geaudit door een Belgische CAB-instantie wordt beoordeeld tegen CyFun, niet tegen Cyber Essentials. De twee frameworks overlappen in sommige technische controls (patching, toegangscontrole, bescherming tegen malware) maar zijn volledig separate juridische regimes met verschillende bestuur, certificeringsinstanties en rechtsgevolgen.

Niet native. ECP implementeert CyFun (het Belgische CCB-framework). De onderliggende technische controls overlappen (de vijf CE-gebieden zijn aanwezig binnen CyFun Small en Basic), dus ECP-werk versterkt de technische gereedheid voor CE. Maar ECP genereert geen NCSC/IASME-opgemaakte bewijs, maakt geen verbinding met IASME-bevoegde certificeringsinstanties en produceert niet het documentatieformaat dat Britse beoordelaars vereisen. Een Britse klant die ECP als compliance-tool gebruikt zou sterke technische hygiëne krijgen, maar zou een apart CE/CE+-beoordelingsproces nodig hebben voor formele certificering.

De Britse Cyber Security and Resilience Bill werd in november 2025 ingediend bij het Parlement en bereikte het Hogerhuis als HL Bill 32 op 17 juni 2026, waar hij op 14 augustus 2026 nog steeds lag. Het is het Britse binnenlandse NIS2-equivalent dat de reikwijdte van de oorspronkelijke Britse NIS-verordeningen uitbreidt tot MSPs (de Britse beleidsnota schat 900 tot 1.100 Britse MSPs) en datacenterleveranciers, met verbeterde beveiligingsplichten en meldingsverplichtingen voor incidenten. Koninklijke bekrachtiging wordt verwacht eind 2026 met gefaseerde implementatie tot 2028. Deze wet beïnvloedt Britse MSPs, niet Belgische. Belgische MSPs vallen onder EU NIS2 en CCB/CyFun, niet onder de Britse wet.

CE heeft significante merkbekendheid op de Britse markt en wordt vermeld in het aanbestedingsbeleid van sommige multinationals met Brits hoofdkantoor. Het wordt erkend in toeleveringsketenvereisten in Australië en Canada, waar sommige organisaties het naast ISO 27001 vermelden als geaccepteerde basislijn. Binnen de EU is CE geen erkend compliancepad onder NIS2. EU-lidstaten hebben elk nationale frameworks (CyFun in België, ReCyF in Frankrijk, ENS in Spanje, IT-Grundschutz in Duitsland) die de beoordeelde paden zijn. Als een Belgisch bedrijf een Brits overheidscontract wint, kan CE naast, en niet in plaats van, CyFun worden vereist.