Hoe lang duurt een NIS2-traject?

Voor een organisatie die bij nul begint: drie tot zes maanden tot een verdedigbaar dossier. Ligt er al beleid en zijn de technische basismaatregelen genomen, dan kan het in zes tot tien weken. Dat is de korte versie; hieronder staat waar die tijd in gaat zitten.

De fasen met een realistische duur

Het verschil tussen doorlooptijd en netto werk is groot, en dat is waar planningen misgaan. Het werk is niet veel; het wachten wel. Leveranciers reageren niet, agenda's van bestuurders zitten vol, en technische wijzigingen moeten in een onderhoudsvenster.

Wat u parallel doet

De grootste tijdwinst zit in niet-wachten. Start deze drie tegelijk in week één:

• de vragenlijsten naar uw leveranciers, want daar wacht u het langst op
• de bestuurstraining inplannen, want daar wacht u op agenda's
• de technische basis, want daar wacht u op onderhoudsvensters

De documentatie kunt u ondertussen schrijven; die hangt van niemand af.

Waar de tijd echt in gaat zitten

Niet in techniek, en niet in schrijven. In afstemming: wie mag beslissen dat een risico aanvaardbaar is, wie is verantwoordelijk voor welk onderdeel, en welke hersteltijd vindt de directie acceptabel. Dat zijn gesprekken, geen taken, en ze kosten doorlooptijd.

Wie die gesprekken vooraan in het traject plant, is aanzienlijk sneller klaar dan wie ze bewaart tot het moment dat de documenten af zijn.

Wat u in de eerste week doet

1. De check doen en de uitkomst vastleggen
2. Registreren als het geldt
3. Meervoudige authenticatie aanzetten op beheeraccounts
4. De meldkaart schrijven: wie belt wie, binnen 24 uur
5. De vragenlijsten uitsturen naar uw kritieke leveranciers

Dat is één dag werk en het dekt het grootste deel van uw acute risico af, ruim voordat de rest van het dossier klaar is.

Certificeren duurt langer

Wilt u daarnaast ISO 27001, reken dan op drie tot negen maanden bovenop wat hierboven staat, plus de audit zelf. Zie wat ISO 27001 kost. Bedenk wel dat de wet geen certificaat vraagt; begin er alleen aan als een klant erom vraagt.

Een planning die werkt in twaalf weken

De overlappende weken zijn geen slordigheid maar het punt: die sporen lopen naast elkaar. Wie ze achter elkaar zet, komt op zes tot negen maanden uit voor precies hetzelfde werk.

Wat uw eigen planning vertraagt of versnelt

• U heeft een eigen IT-afdeling. De technische basis gaat sneller, maar de afstemming met andere afdelingen kost net zoveel tijd als bij ieder ander bedrijf.
• U werkt met een externe IT-partij. Reken op extra doorlooptijd voor wijzigingsverzoeken; die partij plant uw werk naast dat van andere klanten.
• U heeft meerdere vestigingen of entiteiten. Vermenigvuldig de doorlooptijd niet automatisch, maar wel de afstemming: elke vestiging heeft eigen leveranciers en eigen bestuurders die getraind moeten worden.
• U bent al bezig met ISO 27001. Dan loopt een groot deel van het werk al, en is de aanvulling vooral registratie, de 24 uursroute en de bestuurstraining.

Wat een te optimistische planning kost

De meest gemaakte inschattingsfout is de doorlooptijd van externe afhankelijkheden gelijkstellen aan het eigen netto werk. Een risicoanalyse van twee dagen wordt zo ingepland als een project van twee dagen, terwijl de agenda's van de betrokken mensen pas over drie weken ruimte bieden. Dat levert geen falen op, maar wel een dossier dat structureel achterloopt op de eigen planning, wat bij een controle een minder sterke indruk maakt dan een reële planning die op schema loopt.

De volgorde om vertraging te voorkomen

1. Plan de afspraken met de langste wachttijd als eerste: bestuursagenda, externe IT-partij, kritieke leveranciers.
2. Werk aan de documentatie in de wachttijd die daardoor ontstaat, in plaats van te wachten tot alle input binnen is.
3. Stel voor uzelf een tussentijdse controle in na zes weken: wat loopt, wat staat stil, en waarom.
4. Stuur bij op wat stilstaat voordat het de rest van de planning meesleept.

De denkfout: eerst compleet, dan pas beginnen

Sommige organisaties stellen de start uit tot er een compleet plan ligt, met als gevolg dat er weken verstrijken voordat het eerste werk begint. Beginnen met de checklist en de registratie kost een paar uur en kan meteen, ook zonder dat de rest van het traject al is uitgedacht. De wet beloont voortgang, niet perfectie vooraf.

Veelgestelde vragen

Kan het sneller dan drie maanden?

Ja, als er al veel staat. De volgorde is belangrijker dan de snelheid: registratie en meldketen eerst, want daar staan de harde termijnen op.

Wij zijn te laat begonnen, wat nu?

Maak een plan met data en voer het uit. Aantoonbaar bezig zijn weegt zwaar bij een toezichthouder. Zie wat als u niet voldoet.

Hoeveel uur kost het in totaal?

Voor een mkb-organisatie tussen de 60 en 150 uur in het eerste jaar, geconcentreerd bij één of twee mensen. Daarna aanzienlijk minder.

Moeten we hiervoor iemand aannemen?

Bij deze omvang zelden. Iemand die de processen kent en er tijd voor krijgt komt verder dan een externe die de organisatie niet kent.

Kunnen wij het traject uitbesteden om tijd te besparen?

Gedeeltelijk. Een adviseur kan schrijven en structureren, maar de bestuursbesluiten en de kennis van uw eigen processen kan niemand van u overnemen.

Wat als onze branchevereniging een sjabloon aanbiedt?

Gebruik het als startpunt, maar reken nog steeds op enkele weken om het passend te maken voor uw eigen organisatie.

Hoeveel sneller gaat het bij een tweede vestiging die hetzelfde traject doorloopt?

Aanzienlijk sneller, vaak de helft van de tijd, omdat het beleid en de risicoanalyse als basis hergebruikt kunnen worden.