Bij een consultant koop je oordeelsvermogen voor situaties die uniek zijn. Bij een platform koop je structuur voor werk dat zich herhaalt. Het meeste compliancewerk is het tweede, maar het begin en de lastige keuzes zijn het eerste. In de praktijk kiezen organisaties dan ook zelden puur: ze zetten een platform neer voor de route en het dossier en huren mensen in op de punten waar ervaring het verschil maakt.
Laatst bijgewerkt op
Zodra een organisatie hoort dat ze moet voldoen aan NIS2, ISO 27001 of de AVG, valt het gesprek meestal in twee kampen uiteen. Het ene kamp wil een adviesbureau bellen, het andere wil software. Dat is een schijntegenstelling, want je koopt in beide gevallen iets anders. Een consultant verkoopt uren met een oordeel erin: wat is hier het risico, wat kun je verantwoorden, waar zit de politiek. Een platform verkoopt volgorde en geheugen: wat is de volgende stap, wie doet hem, waar blijkt het uit. Welke van die drie normen je als eerste oppakt is trouwens een aparte vraag, en die beantwoordt ISO 27001, NIS2 of de AVG eerst.
Er is ook iets dat je in geen van beide gevallen wegkoopt, en dat is je eigen tijd. De officiële raming bij de Cyberbeveiligingswet rekent voor een middelgrote onderneming met 614 uur in het eerste jaar en daarna elk jaar ruim 1.200 uur aan interne inzet, ongeveer driekwart fte. Die uren gaan zitten in beslissingen, in bewijs verzamelen en in het aanpassen van je eigen werkwijze. Geen adviseur en geen tool neemt dat over. Wat je wel kunt beïnvloeden is hoeveel van die uren opgaan aan uitzoeken wat er ook alweer moest gebeuren.
Onderstaande bedragen gaan uit van een organisatie van 25 tot 100 medewerkers die aan een norm begint. Het zijn geen offertes maar marktindicaties en gepubliceerde prijzen, bedoeld om de verhouding te laten zien.
| Post | Consultant | Platform |
|---|---|---|
| Tarief | Begeleiding indicatief € 100 tot € 200 per uur, dus € 800 tot € 1.600 voor een dag van acht uur | Vanaf € 399 per maand excl. btw (€ 482,79 incl. btw), veertien dagen gratis proberen |
| Eerste jaar | Externe begeleiding indicatief € 15.000 tot € 40.000 | Instapplan € 4.788 per jaar excl. btw (€ 5.793,48 incl. btw), middelste plan € 9.588 per jaar excl. btw (€ 11.601,48 incl. btw) |
| Eigen uren | 614 uur eenmalig, jaarlijks daarna ruim 1.200 uur | Dezelfde uren, alleen bepaalt het platform de volgorde en bewaart het het bewijs |
| Certificeringsaudit | Komt er los bij: de certificeringsaudit, fase 1 plus fase 2 tussen de € 6.000 en € 18.000, bij een auditdagtarief van indicatief € 1.000 tot € 1.500 | Zelfde bedrag, want geen enkel platform certificeert je |
| Wat er achterblijft | Een rapport, documenten en de kennis die met de adviseur meeloopt | Het dossier zelf, met bewijs gekoppeld aan de normeisen die het dekt |
| Herhaling | Elk jaar een nieuwe opdracht voor de controle-audit | Doorlopend abonnement, het onderhoudswerk komt vanzelf terug in de queue |
Reken het eens om naar dagen. Externe begeleiding gaat per uur, indicatief € 100 tot € 200, dus een dag van acht uur komt op € 800 tot € 1.600. Een jaar op het instapplan kost 399 maal twaalf, dus € 4.788 per jaar excl. btw (€ 5.793,48 incl. btw): in dezelfde orde als drie tot zes adviesdagen. Op het middelste plan is het € 9.588 per jaar excl. btw (€ 11.601,48 incl. btw), ruwweg zes tot twaalf adviesdagen. Een handvol adviesdagen is genoeg voor een gap-analyse en een paar goede gesprekken, en het is te weinig om een jaar lang je bewijs bij te houden.
Andersom geldt hetzelfde. Geen enkel abonnement vervangt de twee dagen waarop iemand met ervaring naar jouw scope kijkt en zegt dat je hem te ruim trekt. Die twee dagen zijn misschien wel de goedkoopste uitgave in het hele traject, want een scope die te ruim is, betaal je elk jaar opnieuw in audittijd en in werk.
Let ook op wat er buiten beide kolommen valt. De certificeringsaudit koop je apart in bij een geaccrediteerde instelling, en die rekening keert terug: een controle-audit komt elk jaar terug op 30 tot 40 procent van het eerste auditbedrag, en de hercertificering na drie jaar op 60 tot 80 procent, afhankelijk van de instelling. Welke posten er verder op die rekening komen, zet wat kost een ISO 27001-certificering op een rij. Voor NIS2 speelt dat niet, want de Cyberbeveiligingswet kent geen certificeringsplicht.
Er zijn situaties waarin software je niet gaat helpen, omdat het probleem niet is dat je niet weet wat er moet gebeuren maar dat je niet weet wat je moet vinden. Dan koop je iemand in die dat vaker heeft meegemaakt.
Een organisatie hoort halverwege een aanbesteding dat de opdrachtgever een ISO 27001-certificaat eist. Er is nog acht maanden. Niemand binnen weet hoe een certificeringstraject loopt, wat een auditor in fase 2 daadwerkelijk toetst en welke keuzes nu al vastliggen voor de komende drie jaar. Dit is het moment om iemand in te huren die dat traject vaker heeft gedaan, en niet het moment om zelf te gaan uitzoeken hoe een Verklaring van Toepasselijkheid werkt.
Zodra het werk herhaalbaar wordt, keert de logica om. Herhaalbaar werk in uren betalen is de duurste manier om het te doen, en het levert bovendien het minst duurzame resultaat op, want de kennis loopt aan het eind de deur uit.
Een organisatie valt onder de Cyberbeveiligingswet en wil daarnaast ISO 27001 halen, omdat klanten erom vragen. Twee trajecten met veel dezelfde inhoud. Zonder structuur worden dat twee projecten met twee dossiers en twee keer dezelfde discussie over toegangsbeheer. Met een platform is het een keer werk dat aan beide kanten meetelt, verdeeld over de mensen die het uitvoeren, met een dossier dat blijft staan als de laatste externe de deur uit is.
In de praktijk is dit de meest voorkomende uitkomst, en het is ook de goedkoopste. Je zet het platform neer voor de route, het werk en het bewijs, en je koopt advies in op de drie of vier momenten waarop een oordeel meer waard is dan een stap.
Dat zijn doorgaans dezelfde momenten. Aan het begin, bij het bepalen van de scope en de vraag of de wet op je van toepassing is, en zo ja in welke categorie. Halverwege, bij de risicoafwegingen die je moet kunnen verantwoorden. Bij de interne audit, waar iemand van buiten scherper kijkt dan een collega. En vlak voor de externe audit, als generale repetitie. Daartussenin is het uitvoering, en uitvoering hoef je niet per uur in te kopen.
Er is ook een reden waarom je die rollen sowieso uit elkaar moet houden. Een certificerende instelling mag volgens ISO/IEC 17021-1 geen advies over managementsystemen leveren, en een partij die bij jou interne audits heeft uitgevoerd mag daarna twee jaar lang niet certificeren. Advies, interne toetsing en certificering horen dus bij verschillende partijen te liggen, hoe aantrekkelijk een pakketprijs ook klinkt.
Twee dagen advies over de scope en de toepasselijkheid, waarna de organisatie zelf aan het werk gaat in het platform. Na een half jaar een dag om de risicoanalyse tegen te lezen, en voor de interne audit een externe auditor die de bevindingen als werk terugzet in de queue. Dat is in dit voorbeeld drie tot vier adviesdagen in plaats van een traject van tientallen dagen, en het dossier blijft van de organisatie zelf.
Wij zijn allebei, en dat is geen marketingpositie maar de reden dat het platform bestaat. Middlemen levert advies en het platform naast elkaar, van bestuursadvies en architectuur tot security, privacy, auditing, compliance, software en teams. Na dertig jaar werken in het midden van organisaties is de conclusie dat het compliancedeel zo herhaalbaar is dat het zonde is om het per uur te blijven verkopen. Dus hebben we het geproductiseerd.
Het platform is daarom prescriptief in plaats van administratief. Het zegt niet alleen wat de norm eist, maar wat je morgen oppakt, welke rol het uitvoert en welke normeisen je ermee afvinkt. In de catalogus zitten ruim 150 prisms en ruim 500 werkblokken, verdeeld over meer dan zeventig normen, en je krijgt alleen het deel dat bij jouw scope en sector hoort. De route loopt over zes runs, van scope tot onderhoud, en audit-klaar springt pas op groen wanneer de werkblokken af zijn, de bewijsdekking boven de drempel ligt en er geen kritieke voorwaarde meer openstaat.
En als je een mens nodig hebt, is dat gewoon een van onze diensten. Bij het abonnement hoort geen verplichte begeleiding, en wie advies wil hoeft er geen platform bij te nemen. Wil je die begeleiding er wél bij, dan kan dat als benoemde add-on naast Business: bij ons, met een prijs op aanvraag en een afgesproken aantal uren per kwartaal, en op termijn ook bij een adviesbureau dat met dit platform werkt. Voor bureaus die zelf klanten begeleiden is het aanbod omgekeerd: het platform als werkinstrument onder hun eigen traject, met gedeelde marge. Dat staat op partner worden.
Voordat je een van beide kanten kiest, kun je twee dingen gratis en zonder account doen. De domeinscan kijkt naar de technische buitenkant van je eigen domein, van TLS en DNSSEC tot security headers en e-mailbeveiliging, en geeft per uitkomst aan of je die als bewijs kunt gebruiken voor NIS2 en ISO 27001. Het is een meting aan je eigen domein, geen inschatting. Is de toets op open standaarden in jouw sector verplicht, dan komt deze scan daar bovenop en niet ernaast: dezelfde basis, plus blootgestelde paden, cookie-vlaggen, mailtransport-afspraken, DNS-hygiëne en je subdomeinen.
De werklast-calculator doet het omgekeerde: in drie stappen rekent hij door hoeveel werk een norm voor jouw sector en omvang is, met de zwaarste werkblokken en de verdeling over rollen. Uren zijn in dit hele verhaal de grootste post, en dus het eerste getal dat je op tafel wilt hebben voordat je een offerte of een abonnement overweegt.
Twee manieren om dit concreet te maken, allebei zonder account.
Deze gids is informatief en geen juridisch advies. Raadpleeg bij twijfel de wettekst of een jurist.
Plan een gratis intake, of begin zelf met een van onze producten.