Welk CyberFundamentals-niveau heeft je klant nodig?

De CyFun Selection Tool van het CCB scoort een bedrijf op sector en grootte [2]. Elke van de 18 NIS2-sectoren heeft een gepubliceerde risicoscore; de tool schaalt die score naar de grootte van het bedrijf (klein, middelgroot of groot, volgens Aanbeveling 2003/361/EG) en vergelijkt ze met drie banden: onder 100 is Basic, 100 tot 199 is Important, 200 of meer is Essential.

Geen sector kiezen is een geldig antwoord: het is precies wat het CCB zelf aanraadt aan wie niet zeker is, en het resultaat is Basic, het instapniveau om op te bouwen.

Dat is een andere vraag dan of NIS2 voor je klant geldt, en of de wet hen een essentiële of belangrijke entiteit noemt. Een kleine belangrijke entiteit kan toch op CyFun Basic uitkomen als startpunt. De gratis NIS2-scopecheck beantwoordt de juridische scopevraag in vijf vragen.

Het volledige overzicht van de drie niveaus staat op de niveaus-pagina.

Essentiële entiteiten hebben op termijn geen keuze: een certificaat op Essential-niveau is verplicht voor 18 april 2027, afgegeven door een geaccrediteerde beoordelingsinstelling. Een bedrijf kan starten met een verklaring op Important-niveau plus een plan om Essential te bereiken voor 18 april 2028, of een lager niveau rechtvaardigen met de eigen risicoanalyse en voor 18 april 2027 aantonen dat het dat niveau haalt (koninklijk besluit van 9 juni 2024, art. 6-7) [3].

Belangrijke entiteiten staan onder reactief toezicht: na een incident, niet vooraf geaudit. Een vrijwillige CyFun-beoordeling blijft mogelijk, en als die gebeurt, moet ze minstens het Important-niveau verifiëren (koninklijk besluit, art. 11) [3], ook als de eigen risicoscore van het bedrijf op Basic wijst.

Buiten NIS2, of bewust op Basic: er is geen verplichte audit. Basic en Important zijn verificatietrajecten; enkel Essential is een volledige certificatie.