Ja, je kunt volledig compliant zijn en toch gehackt worden. Compliance en cyberbeveiliging zijn verwante begrippen, maar ze zijn niet hetzelfde. Compliance toetst of je aan minimale wettelijke eisen voldoet op een bepaald moment. Echte beveiliging is een doorlopend proces dat verder gaat dan wat een checklist meet. Dit artikel beantwoordt de meest gestelde vragen over dit verschil, zodat je als ondernemer weet waar je echt aan toe bent.
Kun je compliant zijn en toch gehackt worden?
Ja, absoluut. Compliance bevestigt dat je organisatie op een specifiek moment aan de gestelde normen voldeed. Het zegt niets over hoe goed je beveiliging werkt in de praktijk, hoe snel je een aanval detecteert, of hoe weerbaar je bent tegen nieuwe aanvalstechnieken die na de laatste audit zijn ontstaan. Bedrijven die volledig voldoen aan de NIS2-compliancevereisten worden nog steeds slachtoffer van datalekken en ransomware.
De reden is simpel: een audit kijkt terug. Een aanvaller kijkt vooruit. Compliance controleert of je de juiste documenten hebt, de juiste procedures hebt beschreven en de juiste technische basismaatregelen hebt getroffen. Maar een checklist kan niet meten hoe alert je medewerkers zijn, hoe snel je securityteam reageert op een ongewone inlogpoging om drie uur ’s nachts, of hoe goed je leveranciers hun eigen beveiliging op orde hebben.
Dit maakt compliance waardevol, maar niet voldoende. Het is de vloer, niet het plafond. Voor MKB-bedrijven die onder de Cyberbeveiligingswet vallen, is het essentieel om dit onderscheid te begrijpen: voldoen aan de wet beschermt je juridisch, maar beschermt je systemen niet automatisch.
| Afspraak maken |
Wat meet compliance eigenlijk wel en niet?
Compliance meet of je organisatie aantoonbaar voldoet aan een vastgestelde set regels en normen op het moment van toetsing. Denk aan: heb je een informatiebeveiligingsbeleid? Zijn er incidentresponsprocedures gedocumenteerd? Worden medewerkers getraind? Compliance is dus een momentopname van aanwezige maatregelen, niet een meting van hun effectiviteit.
Wat compliance goed meet:
- Of verplichte documenten en procedures aanwezig zijn
- Of technische basismaatregelen zoals encryptie en toegangsbeheer zijn ingericht
- Of meldplichten en registratieverplichtingen zijn nageleefd
- Of risicobeoordelingen periodiek worden uitgevoerd
Wat compliance niet meet:
- Hoe snel en effectief je daadwerkelijk reageert op een incident
- Of medewerkers in de praktijk veilig gedrag vertonen
- Of je detectiesystemen actuele aanvalsmethoden herkennen
- Hoe weerbaar je bent tegen aanvallen via leveranciers of ketenpartners
Voor de NIS2-richtlijn en de aankomende Cyberbeveiligingswet geldt dat de eisen verder gaan dan bij eerdere wetgeving. Toch blijft ook NIS2-compliance een minimumnorm. Het raamwerk beschrijft wat je moet hebben, niet hoe goed het moet werken onder druk.
Welke maatregelen vallen buiten de NIS2-checklist maar zijn cruciaal?
Verschillende cybersecuritymaatregelen zijn cruciaal voor echte bescherming, maar worden niet of nauwelijks getoetst via een NIS2-checklist. Het gaat om continue monitoring, gedrags- en detectieanalyse, gesimuleerde aanvallen en de menselijke factor in dagelijkse situaties. Dit zijn precies de gebieden waar aanvallers hun kansen zoeken.
Maatregelen die vaak buiten de compliance-scope vallen, maar essentieel zijn:
- 24/7 monitoring van netwerkverkeer: Afwijkend gedrag detecteren voordat een aanval escaleert, vereist continue bewaking, niet een jaarlijkse audit.
- Phishing-simulaties en bewustzijnstraining: Een beleidsdocument over phishing is niet hetzelfde als medewerkers die in de praktijk phishing herkennen.
- Penetratietesten: Actief proberen je eigen systemen te kraken onthult zwakke plekken die geen checklist vindt.
- Ketenbeveiliging in de praktijk: NIS2 vraagt om ketenafspraken, maar de kwaliteit van die afspraken en hoe je ze handhaaft, wordt zelden diepgaand getoetst.
- Incidentresponse-oefeningen: Een incidentresponsplan op papier is waardeloos als niemand weet hoe het in de praktijk werkt.
Als managed IT-partner ziet TCA regelmatig dat organisaties hun documentatie op orde hebben, maar hun detectie- en responscapaciteit zwaar onderschatten. Juist daar zit het verschil tussen compliant zijn en echt veilig zijn.
Waarom leggen toezichthouders dan toch boetes op aan ‘compliant’ bedrijven?
Toezichthouders leggen boetes op aan bedrijven die formeel aan eisen voldeden, omdat compliance geen statisch gegeven is. Een incident onthult vaak dat maatregelen weliswaar aanwezig waren, maar niet werkend, niet actueel of niet aantoonbaar effectief. Onder NIS2 en de Cyberbeveiligingswet zijn bestuurders persoonlijk verantwoordelijk voor de aantoonbare werking van beveiligingsmaatregelen, niet alleen voor hun aanwezigheid.
Dit is een belangrijk punt voor directeuren en MT-leden: de wet vraagt om aantoonbare maatregelen. Als na een incident blijkt dat je firewall al maanden niet was bijgewerkt, dat je back-ups niet werkten, of dat medewerkers nooit daadwerkelijk waren getraind ondanks een getekend trainingsplan, dan telt het papierwerk niet als verweer. De toezichthouder kijkt naar de werkelijkheid achter de documentatie.
Boetes onder NIS2 kunnen oplopen tot tien miljoen euro of twee procent van de wereldwijde jaaromzet. Maar het risico gaat verder dan financieel: bestuurders kunnen persoonlijk aansprakelijk worden gesteld. Dat maakt het verschil tussen compliance en echte beveiliging niet alleen een technische kwestie, maar een bestuursverantwoordelijkheid.
| Afspraak maken |
Hoe combineer je compliance en echte beveiliging zonder dubbel werk?
Je combineert NIS2-compliance en echte cyberbeveiliging door te werken vanuit een erkend beveiligingsraamwerk zoals ISO 27001. Dit raamwerk dekt zowel de wettelijke verplichtingen als de praktische beveiligingsmaatregelen. Wie zijn beveiliging opbouwt op basis van ISO 27001, voldoet grotendeels automatisch aan NIS2-eisen en hoeft geen parallel compliance-traject te draaien.
De aanpak werkt in drie stappen:
- Nulmeting: Breng in kaart waar je nu staat op het gebied van beleid, techniek en organisatie. Dit voorkomt dat je maatregelen treft die je al had of die niet passen bij je risicoprofiel.
- Gelaagde implementatie: Werk technische maatregelen zoals security baseline, endpoint protection en netwerksegmentatie uit in combinatie met organisatorische maatregelen zoals incidentresponsprocedures en meldplichtprotocollen. Dit zijn geen aparte trajecten, maar één samenhangend geheel.
- Continue bewaking: Compliance is geen eenmalig project. Periodieke herbeoordelingen, monitoring en bijsturing zorgen dat je beveiliging actueel blijft en je compliance-status intact blijft.
Het voordeel van deze aanpak is efficiëntie: je bouwt één beveiligingsstructuur die zowel de toezichthouder als de aanvaller weerstaat. TCA werkt op basis van dit ISO 27001-raamwerk en begint altijd met een gratis nulmeting. Binnen 48 uur ontvang je een persoonlijk rapport dat laat zien waar je staat en wat er nodig is. Zo weet je direct wat de prioriteiten zijn, zonder te betalen voor maatregelen die je al hebt.
Wil je weten hoe jouw organisatie er nu voor staat? Maak een afspraak voor de gratis securitycheck en krijg binnen twee werkdagen concreet inzicht, zonder verplichtingen. Bekijk ook de certificeringen van TCA als je wilt weten op welke kwaliteitsnormen de aanpak is gebaseerd.