Veelgestelde vragen

In een videogesprek dat je direct plant via "Vertel wat er speelt", of telefonisch. Je vertelt wat er moet gebeuren, wij stellen vragen om de omvang scherp te krijgen en aan het eind weten we samen welk resultaat je nodig hebt. Daarna krijg je een voorstel met een vaste prijs en een oplevermoment. De intake zelf is vrijblijvend.

Omdat elke vraag anders is in omvang en resultaat. Een bedrag zonder intake zou gokwerk zijn, en dat willen we niet beloven. Pas na het gesprek weten we precies wat het werk is en wat het kost. Workblock is de uitzondering: dat is een vast abonnement, en die bedragen staan gewoon op de prijzenpagina.

Dat risico ligt bij ons. Het voorstel noemt een vaste prijs en een oplevermoment voor de afgesproken omvang; loopt het uit door onze planning, dan betaal je niet meer dan is afgesproken. Vraagt de situatie onderweg om iets dat buiten de scope valt, dan bespreken we dat apart voordat we het oppakken.

We werken in mijlpalen, dus je ziet het resultaat onderweg en niet pas aan het eind. Wijkt een tussenstap af van wat je bedoelde, dan sturen we bij voordat we verdergaan. Dat is ook de reden dat de eerste mijlpaal klein en snel is: dan weet je vroeg of de richting klopt.

Nee. We spreken een resultaat en een vaste prijs af, geen uurtarief. Wat de uitvoering ons kost is ons risico, niet het jouwe. Dat geldt ook als we tijdelijk in een project of team meewerken: ook dan spreken we vooraf een aanpak en een prijs af.

Ja. We verkopen geen software van derden, we hebben geen partnerschappen met leveranciers en we verdienen niets aan de keuze die je maakt. Dat is het hele punt van deze dienst. Als het beste antwoord is dat je je huidige leverancier moet houden of dat je onze andere diensten niet nodig hebt, dan is dat het advies dat je krijgt.

Dat beslis jij. Het advies staat op zichzelf en veel opdrachtgevers voeren het zelf uit. Wil je hulp bij de uitvoering, dan blijven we tijdelijk aan boord, bijvoorbeeld bij de gesprekken met een leverancier of bij het opzetten van een architectuur- of projectaanpak. Ook dan dragen we alles over aan je eigen mensen, want het moet zonder ons verder kunnen.

Enterprise-architectuur gaat over het geheel: welke systemen je landschap vormen, hoe ze samenhangen en waar je de komende jaren naartoe wilt. Solution-architectuur gaat over één oplossing binnen dat geheel: hoe dat ene systeem eruitziet, welke koppelingen het krijgt en welke eisen eraan hangen. We doen beide, en meestal heb je ze allebei nodig, want een goede oplossing in een onduidelijk landschap blijft een risico.

Ja. Voor het onderwijs HORA en ROSA, voor de overheid NORA en de BIO, voor de zorg NEN 7510 en ZORA, voor finance DORA. Dwars door alle sectoren heen lopen ISO 27001, NIS2 en de AVG. We gebruiken ze als kader en als vragenlijst, niet als doel op zich: ze bepalen welke vragen je moet beantwoorden, niet welke leverancier je kiest.

Dat is het uitgangspunt. Je krijgt de huidige situatie, een doelarchitectuur, een roadmap met eigenaren per stap en de afwegingen die eronder liggen, alles in bewerkbare vorm. De roadmap toetsen we aan wat je mensen naast hun dagelijkse werk aankunnen. Liever een plan dat uitgevoerd wordt dan een plaat die mooi is.

Dan werken we naast hem of haar. Vaak is de vraag niet meer kennis maar meer tijd, of een onafhankelijke blik op een keuze die intern gevoelig ligt. We vullen de rol ook tijdelijk in als die er niet is, maar het doel blijft hetzelfde: aan het eind ligt de architectuur bij jouw organisatie en niet bij ons.

Met een risicoanalyse die direct in maatregelen landt. Je vertelt eerst kort wat er speelt, en binnen één werkdag hoor je van ons. Daarna plannen we een gesprek en halen we op wat er al is: systemen, leveranciers, bestaand beleid en de kaders die voor jou gelden. Pas daarna schrijven we iets op.

Door het vanaf de eerste dag zo in te richten. We werken in jouw omgeving en in jouw documenten, elke maatregel krijgt een eigenaar bij jou en we leggen vast wat er periodiek moet gebeuren. Aan het eind volgt een overdracht met de mensen die het overnemen, inclusief de afwegingen achter de keuzes: niets blijft achter in ons eigen archief.

Die zitten in het ontwerp, niet in een controle achteraf. Toegang, logging, afhankelijkheden en de omgang met persoonsgegevens zijn keuzes die tijdens de bouw worden gemaakt en vastgelegd. Dat scheelt reparatiewerk en het levert meteen het bewijs op dat je nodig hebt als de applicatie onder een norm of onder de AVG valt.

Alleen als dat de snelste weg is, en altijd tijdelijk. Vaker coachen we de projectleider en het team die er al zitten, want zij blijven na ons. Nemen we de rol wel over, dan hoort het opleiden van je eigen opvolger vanaf de eerste week bij de opdracht. Een projectleider die onmisbaar wordt heeft zijn werk niet af.

Nee. Scrum en DevOps zijn de manieren van werken die we het vaakst aanleren, maar de methode is geen doel. Soms is een korte cyclus met een duidelijke definitie van klaar genoeg en past een volledig Scrum-raamwerk juist niet bij het werk. We kiezen wat bij je team en je opdracht past en leggen uit waarom.

We kijken mee waar het knelt en stellen binnen een week een aanpak voor. In die aanpak spreken we af waaraan je over een paar weken ziet of het werkt. We beginnen bewust met een kleine verandering die meteen effect heeft, want een team dat weer resultaat ziet pakt de rest zelf op. Hoe lang het geheel duurt hangt af van wat er vastzit.

Ja, onze eigen kanban-tool staat op kanban.middlemen.nl. We werken net zo goed met wat jij al gebruikt. Dat is ook het uitgangspunt: een nieuwe tool lost geen samenwerkingsprobleem op. Eerst duidelijk maken hoe het werk loopt, daarna pas kijken of een ander bord daarbij helpt.

Ja. ISO 27001 (clausule 9.2), NEN 7510 en de BIO eisen dat de interne audit objectief en onpartijdig gebeurt, niet dat hij intern gebeurt. Een accreditatie is daarvoor niet nodig, die geldt alleen voor de certificerende instelling. Wij voeren de audit uit als wij het ISMS niet zelf hebben opgebouwd; anders ondersteunen we je eigen auditor.

Omdat een auditor die zijn eigen werk beoordeelt zijn eigen fouten niet graag vindt. Bij organisaties waarvan wij het ISMS hebben helpen opbouwen, ondersteunen we in plaats daarvan je eigen interne auditor: programma, checklist, training en meelopen op de auditdag. Voor elke andere organisatie kunnen we wel als onafhankelijke partij optreden.

Nee. De certificeringsaudit is voorbehouden aan een certificerende instelling met accreditatie van de Raad voor Accreditatie; wij mogen daar niet ook adviseur zijn. Een DigiD-assessment vraagt een Register EDP-auditor die bij NOREA is ingeschreven. Wij begeleiden je wel tot het punt waarop je die toets aankan.

Wij begeleiden de keuzes: scope, beleidsopzet, de interne audit en het afronden van de laatste gaten. Jij en je mensen doen het werk in het platform, per rol: scoren, bewijs uploaden, werkblokken oppakken. Zo blijft de kennis in jouw organisatie staan in plaats van in een dossier dat alleen wij begrijpen.

Omdat het een aparte partij en een aparte overeenkomst is: een certificerende instelling met accreditatie van de Raad voor Accreditatie, die niet ook mag adviseren over hetzelfde ISMS. Wat die audit ongeveer kost, staat in de blog over de kosten van ISO 27001-certificering.

Dat is het uitgangspunt: de oplossing moet werken op wat jij hebt, niet op een demo-dataset. We beginnen met een proef op een afgebakende, meestal beperkte toegang en breiden pas uit als die proef het gewenste resultaat geeft. Je gegevens blijven van jou en worden niet gebruikt om een model te trainen.

Dat kiezen we per opdracht, op basis van wat de taak vraagt en waar je gegevens mogen komen. Waar het kan zetten we Europese verwerkers of modellen in die in de EU draaien; past dat niet bij de taak, dan leggen we die keuze en de reden voor voordat we beginnen.

Met een meting voor en na, op het punt dat er echt toe doet: doorlooptijd, foutpercentage of het aantal keren dat iemand iets moet overtypen. Die meting spreken we af voordat we beginnen, zodat we aan het eind kunnen laten zien wat er precies veranderd is en niet alleen dat iets sneller aanvoelt.

Dan zeggen we dat. Niet elk proces wordt beter van AI en niet elke vraag heeft een AI-oplossing nodig; soms is een andere volgorde van werken of een simpele koppeling de betere oplossing. De intake is er om dat onderscheid te maken voordat je betaalt voor iets dat het probleem niet oplost.

Binnen één werkdag. Een bericht via het contactformulier of de intake komt binnen bij dezelfde mensen als een mail naar info@middlemen.nl, dus het maakt voor de snelheid niet uit welke weg je kiest. Bellen kan ook, op werkdagen tijdens kantooruren.

Het contactformulier is voor een gewone vraag of een bericht. "Vertel wat er speelt" is de start van de gratis intake: je kiest in drie stappen de situatie, vertelt iets over je organisatie en ziet meteen welke dienst erbij past. Daarna plannen we het gesprek van maximaal een uur. Dat geldt ook voor software: kies de situatie "software laten bouwen of koppelen". Twijfel je, dan is het contactformulier prima.

Drie stappen. Eerst de situatie die het dichtst bij je verhaal komt, met een toelichting die optioneel is. Dan de naam van je organisatie, je sector en hoe snel het moet. Tot slot je naam en een zakelijk e-mailadres; een telefoonnummer mag erbij maar is niet verplicht.

Ja. Je bereikt ons op +31 40 298 5996 en op info@middlemen.nl. Ons adres is Woenselse Markt 13B, 5612 CP Eindhoven, KvK-nummer 61163104. Het formulier is alleen handiger omdat je bericht dan meteen met een onderwerp bij de juiste persoon landt.

Ja, allemaal. Het gesprek voeren we in het Nederlands of in het Engels, wat jij prettig vindt. De site schakel je bovenin om; de publieke site en het platform bestaan volledig in beide talen, en dat geldt ook voor de gidsen en de artikelen over Nederlandse en Europese regelgeving. De bronnen blijven staan zoals ze zijn, want een Nederlandse wettekst bestaat nu eenmaal in het Nederlands.

Dat hangt aan twee dingen: in welke sector je zit en hoe groot je bent. Werk je in een aangewezen sector met vijftig medewerkers of meer, dan raakt de Cyberbeveiligingswet je waarschijnlijk. De AVG raakt je zodra er persoonsgegevens in het spel zijn, dus vrijwel altijd. DORA blijft beperkt tot de financiële sector en de dienstverleners daarachter. Gebruik of lever je AI, dan komt de AI Act erbij.

Dat stel je zelf vast, en twee dingen geven de doorslag. De sector waarin je actief bent, want de aangewezen sectoren staan in bijlage I en II van NIS2. En je omvang, want de ondergrens ligt bij vijftig medewerkers. Op die tweede regel bestaan uitzonderingen: aanbieders van onder meer DNS-diensten vallen eronder ongeacht hun grootte. Ons artikel loopt beide vragen met je af.

NIS2 is wetgeving en ISO 27001 is een certificaat dat je vrijwillig haalt. De Nederlandse wet heet de Cyberbeveiligingswet en noemt geen enkele norm bij naam; hij vraagt beveiliging die in verhouding staat tot je eigen risico, plus het bewijs dat die maatregelen werken. ISO 27001 levert precies zulk bewijs, maar dekt de meldplicht, de registratie en de rol van het bestuur niet af.

Nee, dat staat nergens in de wet. In de wettekst komt geen enkele normnaam voor. Wat er wel staat is dat je beveiliging moet treffen die past bij het risico dat je loopt, en dat je moet kunnen laten zien dat die maatregelen werken. ISO 27001 is een bruikbare route naar dat bewijs en geen verplichting. Klanten en aanbestedingen vragen er wel vaak om.

Dat hangt af van het kader en van hoeveel er al ligt. Voor de Cyberbeveiligingswet is er wel een officiële raming: eenmalig ongeveer € 61.000 bij een middelgrote onderneming en ongeveer € 421.000 bij een grote, waarbij de uren van je eigen mensen al zijn meegerekend. Bij ISO 27001 komt de audit van een certificerende instelling daar bovenop. Een abonnement op ons platform is een aparte, veel kleinere post.

Voor ISO 27001 duurt het vanaf een lege start meestal zes tot twaalf maanden tot de fase 2-audit. Heb je al beveiligingsbeleid dat gebruikt wordt, een risicoanalyse en afspraken met je leveranciers, dan is drie tot zes maanden haalbaar. Korter dan drie maanden lukt zelden, want een auditor wil zien dat maatregelen een tijd hebben gedraaid. Het platform verkort die termijn niet maar laat elke dag zien waar je staat: Run 5 (audit-klaar) springt pas om zodra het werk klaar is, er genoeg bewijs onder ligt en geen enkele kritieke voorwaarde meer openstaat.

De scan controleert TLS-configuratie, security headers, DNSSEC, IPv6, CAA-records, RPKI, e-mailbeveiliging (SPF, DKIM en DMARC), blootgestelde paden, cookie- en contentbeveiliging, mailtransport-versleuteling en DNS-configuratiehygiene van je domein. De uitslag eindigt niet bij een cijfer maar bij de eerste werkblokken die eruit volgen.

Ja. Je hoeft geen account aan te maken. Wil je het volledige rapport als PDF, dan vragen we alleen een e-mailadres op het gescande domein.

Ja. De scan doet alleen reguliere, leesbare verzoeken zoals een browser of mailserver dat ook doet. Er wordt niets aangepast en niets belast.

De score laat zien hoe je domein er technisch voorstaat. Veel checks raken direct aan eisen uit normen als ISO 27001 en NIS2; in het platform worden geslaagde checks automatisch als bewijs gekoppeld.

Je meldt de organisatie vooraf bij ons aan, met de naam van de organisatie en je contactpersoon daar. Noemt een klant jou zelf bij de registratie of in het eerste gesprek, dan telt dat ook. Wordt de organisatie klant, dan zie je dat in de kwartaalafrekening: per klant het gefactureerde en ontvangen abonnementsbedrag en jouw 20 procent daarvan. Die afrekening maken wij namens jou (self-billing), dus je stuurt zelf geen factuur. Blijft je vergoeding in een kwartaal onder de € 50, dan schuift die door naar het volgende kwartaal; is er wel een afrekening, dan betalen we binnen dertig dagen.

Ja. Een klant die je aanbrengt en daarna ook begeleidt, levert de aanbrengvergoeding op én je eigen tarief voor de begeleiding. Wat wij per traject rekenen als je het platform onder je eigen begeleiding zet, spreken we in het gesprek af; dat staat los van de 20 procent.

Prijs op aanvraag. Er is geen vaste tarieflijst voor bureaus, omdat de afspraak afhangt van het aantal trajecten en van wie de klantrelatie draagt. De gewone abonnementsbedragen staan wel open en bloot op onze prijzenpagina, dus je weet waar het gesprek begint en je kunt zelf inschatten wat er tussen die prijs en jouw tarief te verdelen valt.

Middlemen levert zelf ook advies, dus dat is een terechte vraag. De afspraak is dat de klantrelatie blijft waar hij hoort: een klant die jij binnenbrengt is jouw klant. Wie het gesprek voert, wie factureert en wat er gebeurt als een klant zelf bij ons aanklopt leggen we vooraf vast, want zonder die afspraak is er geen kanaal.

Volledig white label is het niet: het platform draagt de naam Middlemen. Wat wel kan is dat jij de begeleiding levert en het gesprek voert. Je klant werkt in het platform, jij bepaalt het traject, het tarief en het tempo. Wil je verder gaan dan dat, leg het dan in het gesprek voor; we bouwen dit kanaal met de eerste bureaus samen op.