Veelgestelde vragen

Dat hangt aan twee dingen: in welke sector je zit en hoe groot je bent. Werk je in een aangewezen sector met vijftig medewerkers of meer, dan raakt de Cyberbeveiligingswet je waarschijnlijk. De AVG raakt je zodra er persoonsgegevens in het spel zijn, dus vrijwel altijd. DORA blijft beperkt tot de financiële sector en de dienstverleners daarachter. Gebruik of lever je AI, dan komt de AI Act erbij.

Dat stel je zelf vast, en twee dingen geven de doorslag. De sector waarin je actief bent, want de aangewezen sectoren staan in bijlage I en II van NIS2. En je omvang, want de ondergrens ligt bij vijftig medewerkers. Op die tweede regel bestaan uitzonderingen: aanbieders van onder meer DNS-diensten vallen eronder ongeacht hun grootte. Ons artikel loopt beide vragen met je af.

NIS2 is wetgeving en ISO 27001 is een certificaat dat je vrijwillig haalt. De Nederlandse wet heet de Cyberbeveiligingswet en noemt geen enkele norm bij naam; hij vraagt beveiliging die in verhouding staat tot je eigen risico, plus het bewijs dat die maatregelen werken. ISO 27001 levert precies zulk bewijs, maar dekt de meldplicht, de registratie en de rol van het bestuur niet af.

Nee, dat staat nergens in de wet. In de wettekst komt geen enkele normnaam voor. Wat er wel staat is dat je beveiliging moet treffen die past bij het risico dat je loopt, en dat je moet kunnen laten zien dat die maatregelen werken. ISO 27001 is een bruikbare route naar dat bewijs en geen verplichting. Klanten en aanbestedingen vragen er wel vaak om.

Dat hangt af van het kader en van hoeveel er al ligt. Voor de Cyberbeveiligingswet is er wel een officiële raming: eenmalig ongeveer 61.000 euro bij een middelgrote onderneming en ongeveer 421.000 euro bij een grote, waarbij de uren van je eigen mensen al zijn meegerekend. Bij ISO 27001 komt de audit van een certificerende instelling daar bovenop. Een abonnement op ons platform is een aparte, veel kleinere post.

Voor ISO 27001 duurt het vanaf een lege start meestal zes tot twaalf maanden tot de fase 2-audit. Heb je al beveiligingsbeleid dat gebruikt wordt, een risicoanalyse en afspraken met je leveranciers, dan is drie tot zes maanden haalbaar. Korter dan drie maanden lukt zelden, want een auditor wil zien dat maatregelen een tijd hebben gedraaid. Het platform verkort die termijn niet maar laat elke dag zien waar je staat: Run 5 (audit-klaar) springt pas om zodra het werk klaar is, er genoeg bewijs onder ligt en geen enkele kritieke voorwaarde meer openstaat.

De bedragen staan per plan op onze prijzenpagina, exclusief btw. Wat je betaalt hangt af van het aantal mensen dat erin werkt, het aantal externen dat meekijkt, het aantal teams dat je opzet en het aantal kaders dat je tegelijk voert. Welke aantallen bij welk plan horen, zie je in de tabel daar.

Ja. Elk plan begint met veertien dagen gratis proberen en je hebt daarvoor geen creditcard nodig. In die periode heb je toegang tot het volledige platform, dus je kunt je scope invullen, je zelfbeoordeling doen en zien welk werk eruit rolt voordat je iets betaalt.

Nee. Alle bedragen op de prijzenpagina zijn per maand en exclusief btw. Dat geldt ook voor de losse licentie van onze projecten-tool. Betaalde abonnementen worden maandelijks of jaarlijks gefactureerd; bij jaarlijkse betaling geldt een korting.

Ja. Je kunt het abonnement op elk moment opzeggen. Je account blijft daarna actief tot het einde van de lopende factureringsperiode, en na beëindiging heb je dertig dagen om een export van je data te maken. Daarna worden de gegevens verwijderd.

Het meeste werk doe je zelf, en die uren staan los van het abonnement. Op onze kostenpagina staat de officiële raming bij het Cyberbeveiligingsbesluit, met de eigen uren erin. Wil je weten wanneer externe begeleiding logischer is dan een abonnement, dan zet de vergelijkingspagina de twee naast elkaar.

Ja, maar niet als onderdeel van het abonnement. Begeleiding is een benoemde add-on naast Business die je los bij ons koopt. De prijs is op aanvraag, want het is een dienst met capaciteitsbeslag en geen prijsregel, en het aantal uren per kwartaal spreken we in het gesprek af. We bouwen daarnaast een kanaal van adviesbureaus die met dit platform werken, zodat je op termijn ook daar terecht kunt. Zonder die add-on verandert er niets aan je plan.

Elk plan heeft een eigen aantal gebruikers, gasten, teams en frameworks; die staan in de tabel op de prijzenpagina. Groei je daaroverheen, dan stap je over naar het volgende plan. Boven het grootste vaste plan wordt het een configuratie op maat, en dan rekenen we het samen door.

Ja. We verkopen geen software van derden, we hebben geen partnerschappen met leveranciers en we verdienen niets aan de keuze die je maakt. Dat is het hele punt van deze dienst. Als het beste antwoord is dat je je huidige leverancier moet houden of dat je onze andere diensten niet nodig hebt, dan is dat het advies dat je krijgt.

Dat beslis jij. Het advies staat op zichzelf en veel opdrachtgevers voeren het zelf uit. Wil je hulp bij de uitvoering, dan blijven we tijdelijk aan boord, bijvoorbeeld bij de gesprekken met een leverancier of bij het opzetten van een architectuur- of projectaanpak. Ook dan dragen we alles over aan je eigen mensen, want het moet zonder ons verder kunnen.

Enterprise-architectuur gaat over het geheel: welke systemen je landschap vormen, hoe ze samenhangen en waar je de komende jaren naartoe wilt. Solution-architectuur gaat over één oplossing binnen dat geheel: hoe dat ene systeem eruitziet, welke koppelingen het krijgt en welke eisen eraan hangen. We doen beide, en meestal heb je ze allebei nodig, want een goede oplossing in een onduidelijk landschap blijft een risico.

Ja. Voor het onderwijs HORA en ROSA, voor de overheid NORA en de BIO, voor de zorg NEN 7510 en ZORA, voor finance DORA. Dwars door alle sectoren heen lopen ISO 27001, NIS2 en de AVG. We gebruiken ze als kader en als vragenlijst, niet als doel op zich: ze bepalen welke vragen je moet beantwoorden, niet welke leverancier je kiest.

Dat is het uitgangspunt. Je krijgt de huidige situatie, een doelarchitectuur, een roadmap met eigenaren per stap en de afwegingen die eronder liggen, alles in bewerkbare vorm. De roadmap toetsen we aan wat je mensen naast hun dagelijkse werk aankunnen. Liever een plan dat uitgevoerd wordt dan een plaat die mooi is.

Dan werken we naast hem of haar. Vaak is de vraag niet meer kennis maar meer tijd, of een onafhankelijke blik op een keuze die intern gevoelig ligt. We vullen de rol ook tijdelijk in als die er niet is, maar het doel blijft hetzelfde: aan het eind ligt de architectuur bij jouw organisatie en niet bij ons.

Met een risicoanalyse die direct in maatregelen landt. Je vertelt eerst kort wat er speelt, en binnen één werkdag hoor je van ons. Daarna plannen we een gesprek en halen we op wat er al is: systemen, leveranciers, bestaand beleid en de kaders die voor jou gelden. Pas daarna schrijven we iets op.

Door het vanaf de eerste dag zo in te richten. We werken in jouw omgeving en in jouw documenten, elke maatregel krijgt een eigenaar bij jou en we leggen vast wat er periodiek moet gebeuren. Aan het eind volgt een overdracht met de mensen die het overnemen, inclusief de afwegingen achter de keuzes. Geen geheimen in IT.

Die zitten in het ontwerp, niet in een controle achteraf. Toegang, logging, afhankelijkheden en de omgang met persoonsgegevens zijn keuzes die tijdens de bouw worden gemaakt en vastgelegd. Dat scheelt reparatiewerk en het levert meteen het bewijs op dat je nodig hebt als de applicatie onder een norm of onder de AVG valt.

Alleen als dat de snelste weg is, en altijd tijdelijk. Vaker coachen we de projectleider en het team die er al zitten, want zij blijven na ons. Nemen we de rol wel over, dan hoort het opleiden van je eigen opvolger vanaf de eerste week bij de opdracht. Een projectleider die onmisbaar wordt heeft zijn werk niet af.

Nee. Scrum en DevOps zijn de manieren van werken die we het vaakst aanleren, maar de methode is geen doel. Soms is een korte cyclus met een duidelijke definitie van klaar genoeg en past een volledig Scrum-raamwerk juist niet bij het werk. We kiezen wat bij je team en je opdracht past en leggen uit waarom.

We kijken mee waar het knelt en stellen binnen een week een aanpak voor. In die aanpak spreken we af waaraan je over een paar weken ziet of het werkt. We beginnen bewust met een kleine verandering die meteen effect heeft, want een team dat weer resultaat ziet pakt de rest zelf op. Hoe lang het geheel duurt hangt af van wat er vastzit.

Ja, onze eigen kanban-tool staat op kanban.middlemen.nl. We werken net zo goed met wat jij al gebruikt. Dat is ook het uitgangspunt: een nieuwe tool lost geen samenwerkingsprobleem op. Eerst duidelijk maken hoe het werk loopt, daarna pas kijken of een ander bord daarbij helpt.

Elke gids draagt de datum waarop hij voor het laatst is bijgewerkt; op de gidsenpagina staat die bij elke kaart. We lopen ze elk kwartaal na en verwerken een wijziging in de wet meteen. Zo staan de inwerkingtreding van de Cyberbeveiligingswet op 15 augustus 2026 en het uitstel van de zware AI-plichten naar 2027 en 2028 er al in. Onderaan elke gids staat de bronnenlijst.

Nee, de gidsen staan alleen op deze site. Zo weet je zeker dat je de bijgewerkte versie leest en geen bestand van een half jaar oud. Wat wel als PDF in je inbox komt is het rapport van onze gratis domeinscan. Daarvoor vragen we alleen een e-mailadres op het domein dat je laat scannen.

Nee. Een gids vat samen wat een regel in de praktijk van je verlangt en wijst door naar de instantie die erover gaat, zoals het NCSC, de Autoriteit Persoonsgegevens of de toezichthouder van jouw sector. Voor een oordeel over jouw eigen situatie heb je iemand nodig die je organisatie kent, een jurist of een adviseur.

Bij de bron. Nederlandse wetgeving staat in de Wettenbank van de overheid, Europese verordeningen op EUR-Lex en de toelichting bij de Cyberbeveiligingswet bij het NCSC. Een artikel noemt het wetsartikel of het normhoofdstuk waar het op steunt, zodat je het daar kunt opzoeken. De volledige bronnenlijst per onderwerp staat onderaan de gids die erbij hoort.

Er verschijnen twee artikelen per maand. De gidsen op deze site krijgen daarnaast elk kwartaal een controle, want een wijziging in een wet hoort daar eerder te landen dan in een nieuw stuk. Bestaande artikelen werken we bij zodra de feiten veranderen, in plaats van er een tweede versie naast te zetten.

Rishi Bhawanidin schrijft ze. Hij werkt dertig jaar in dit vak en heeft de onderwerpen die hier langskomen zelf bij organisaties zien landen: in de industrie, bij overheden, in de zorg, in het onderwijs en in de financiële sector. Onder elk artikel staat zijn naam, en op zijn eigen pagina staat waar die ervaring vandaan komt.

Binnen één werkdag. Een bericht via het contactformulier of de intake komt binnen bij dezelfde mensen als een mail naar info@middlemen.nl, dus het maakt voor de snelheid niet uit welke weg je kiest. Bellen kan ook, op werkdagen tijdens kantooruren.

Het contactformulier is voor een gewone vraag of een bericht. "Vertel wat er speelt" is een korte intake in drie stappen voor als er iets in je organisatie speelt: je kiest de situatie, vertelt iets over je organisatie en ziet meteen welke dienst erbij past. De software-aanvraag stelt de vragen die specifiek voor een softwareaanvraag nodig zijn, zoals welke systemen erbij horen en wanneer het klaar moet zijn. Twijfel je, dan is het contactformulier prima; wij verwijzen je door als dat handiger is.

Drie stappen. Eerst de situatie die het dichtst bij je verhaal komt, met een toelichting die optioneel is. Dan de naam van je organisatie, je sector en hoe snel het moet. Tot slot je naam en een zakelijk e-mailadres; een telefoonnummer mag erbij maar is niet verplicht.

Ja. Je bereikt ons op +31 40 298 5996 en op info@middlemen.nl. Ons adres is Woenselse Markt 13B, 5612 CP Eindhoven, KvK-nummer 61163104. Het formulier is alleen handiger omdat je bericht dan meteen met een onderwerp bij de juiste persoon landt.

Ja, allemaal. Het gesprek voeren we in het Nederlands of in het Engels, wat jij prettig vindt. De site schakel je bovenin om; de publieke site en het platform bestaan volledig in beide talen, en dat geldt ook voor de gidsen en de artikelen over Nederlandse en Europese regelgeving. De bronnen blijven staan zoals ze zijn, want een Nederlandse wettekst bestaat nu eenmaal in het Nederlands.