Wat kost NIS2-compliance echt?

De toelichting bij het Cyberbeveiligingsbesluit rekent voor wat naleving een organisatie gemiddeld kost: 25.000 tot 44.400 euro eenmalig en daarna zo'n 30.000 euro per jaar, ofwel 1.200 tot 3.500 interne uren per jaar. Die bedragen gaan uit van de klassieke route: externe adviseurs, losse audits en handwerk. Het kan aanzienlijk goedkoper, als u weet waar de kosten in gaan zitten.

Waar het geld heen gaat

De grote besparing zit in de documenten en het onderhoud: die zijn voor 80% standaard en dus te automatiseren. De technische maatregelen zelf (MFA aanzetten, back-ups regelen) kosten bij moderne IT-omgevingen vooral tijd, geen grote bedragen.

Wat kost niet-naleven

Ter vergelijking: de boetes lopen op tot 7 of 10 miljoen euro (uitleg), en een gemiste aanbesteding of opgezegd contract omdat u geen leveranciersverklaring kunt overleggen, kost vaak meer dan het hele compliance-traject.

Wat het kost per type organisatie

Het gemiddelde uit de wettoelichting zegt weinig, omdat het bedrag sterk samenhangt met wat er al staat. Drie situaties die we in de praktijk het vaakst tegenkomen.

De belangrijkste conclusie: in de categorie "gemiddeld", waar de meeste organisaties in zitten, zijn de kosten grotendeels papierwerk. Dat is precies het deel dat voor tachtig procent standaard is en dus niet per organisatie opnieuw bedacht hoeft te worden.

De kosten die mensen vergeten

Interne uren. Dit is veruit de grootste post en hij staat nooit op een factuur. Reken op een dag per week voor de trekker gedurende het eerste kwartaal, plus losse uren van ICT, HR en het bestuur.

Onderhoud. Een dossier dat een jaar stilligt, is bij een controle waardeloos. De jaarlijkse herziening, de nieuwe leveranciers en de wijzigingen in uw organisatie kosten structureel tijd.

Vragenlijsten van klanten. Zodra u onder de wet valt, gaan uw eigen klanten u beoordelen. Elke vragenlijst kost uren, tenzij u een dossier heeft waaruit u kunt kopiëren.

Techniek die u toch al nodig had. Multifactorauthenticatie, logging en fatsoenlijke back-ups worden vaak op het NIS2-budget geboekt, terwijl het achterstallig onderhoud is dat sowieso moest gebeuren.

Wat u zelf kunt en wat niet

Zelf doen is goedkoper, maar niet overal. Deze verdeling werkt in de praktijk het beste.

• Zelf: de risicoanalyse invullen, beleid vaststellen, leveranciers in kaart brengen, medewerkers trainen, het dossier bijhouden.
• Zelf, met een sjabloon: het beveiligingsbeleid, het incidentresponsplan, de verklaring van toepasselijkheid en de leveranciersverklaring.
• Uitbesteden: een pentest, complexe technische migraties, en juridisch advies als u een specifieke contractvraag heeft.

Waar het misgaat is de middelste categorie. Organisaties huren een adviseur in om documenten te schrijven die grotendeels standaard zijn, en betalen daar een uurtarief voor. Dat is de post waar de besparing zit.

Wanneer een adviseur wel loont

Er zijn situaties waarin zelf doen onverstandig is. Bij een complexe groepsstructuur met meerdere entiteiten en landen, bij een omgeving met veel oude techniek die niet meer ondersteund wordt, of wanneer u tegelijk een certificering nastreeft omdat klanten daarom vragen. In die gevallen is een adviseur geen luxe maar een versneller.

Voor de doorsnee organisatie van 50 tot 250 medewerkers met een normale, moderne ICT-omgeving geldt het omgekeerde: het traject is grotendeels invulwerk en de kennis die u nodig heeft, zit in uw eigen organisatie.

De kosten van uitstellen

Wachten lijkt gratis maar is het niet. Drie posten lopen op zodra u de beslissing vooruitschuift.

Gemiste opdrachten. Aanbestedingen en grote afnemers vragen nu al om beveiligingsafspraken. Wie niets kan overleggen, valt af in de voorselectie en hoort daar meestal niet eens de reden van.

Haastwerk. Een traject van zes maanden dat in zes weken moet, kost door externe inhuur al snel het dubbele. Dat is precies wat er gebeurt zodra een klant een deadline stelt.

Incidenten die u had kunnen voorkomen. De maatregelen zijn geen papieren exercitie. Multifactorauthenticatie en geteste back-ups zijn de twee die de meeste schade voorkomen, en ze staan niet voor niets in de wet.

Veelgestelde vragen

Is er subsidie voor NIS2?

Er is geen landelijke subsidie die specifiek de nalevingskosten vergoedt. Wel bestaan er regionale en sectorale regelingen voor digitalisering en cyberweerbaarheid waar een deel van de kosten onder kan vallen. Kijk bij uw brancheorganisatie en bij de regionale ontwikkelingsmaatschappij.

Kan ik de kosten spreiden?

Ja, en dat is ook verstandig. De wet vraagt maatregelen die passend en evenredig zijn, en een gefaseerde aanpak met een vastgelegde planning is verdedigbaar. Wat niet verdedigbaar is, is het uitstellen van de registratie of van de meldprocedure: dat zijn geen investeringen maar afspraken.

Wat kost het als er iets misgaat?

De boete is niet de grootste kostenpost. Een gemiddeld ransomware-incident legt de bedrijfsvoering dagen tot weken plat, en de herstelkosten plus omzetverlies lopen bij een middelgrote organisatie snel in de honderdduizenden. Het compliance-traject is daar een fractie van.