Er bestaat geen vast tarief voor NIS2
Een concreet bedrag voor "NIS2-naleving" bestaat niet, en niemand kan u dat vooraf met zekerheid geven. De richtlijn schrijft tien categorieën van maatregelen voor, maar de manier waarop een bedrijf die invult, en dus wat het kost, verschilt sterk per situatie. Een installatiebedrijf met een paar laptops en een boekhoudpakket in de cloud heeft een ander uitgangspunt dan een bedrijf met een eigen serverruimte en meerdere IT-leveranciers.
Wat de kosten wél bepaalt, is een beperkt aantal factoren: de omvang en complexiteit van uw IT-omgeving, hoeveel van de gevraagde maatregelen u al heeft, of u werk uitbesteedt aan een externe partij, en welke tools of software u aanschaft. Dat maakt het lastig om een bedrag te noemen, maar wel mogelijk om te begrijpen waar het geld naartoe gaat.
Wat de eigen situatie bepaalt
De eerste kostenpost is vaak niet zichtbaar in een factuur: de tijd die intern nodig is om te inventariseren wat er al is. Wie moet toegang hebben tot welke systemen, welke leveranciers hebben toegang tot uw netwerk, en hoe is een incident nu geregeld. Bedrijven die deze basis al op orde hebben, bijvoorbeeld omdat ze eerder een ISO 27001-traject zijn gestart, hebben minder werk dan bedrijven die vanaf nul beginnen.
De tweede factor is de keuze tussen zelf doen en uitbesteden. Sommige maatregelen, zoals een beleid voor toegangsbeheer of een procedure voor het melden van incidenten, zijn vooral een kwestie van documentatie en afspraken. Andere maatregelen, zoals versleuteling van gegevens of monitoring van netwerkverkeer, vragen eerder om techniek en dus om software of een externe leverancier. Hoeveel van dat laatste nodig is, hangt af van wat er al staat.
De derde factor is de vraag of u een adviesbureau inschakelt voor het hele traject, of alleen voor onderdelen. Volledige begeleiding kost meer dan gerichte hulp bij specifieke punten, maar bespaart intern tijd. Welke keuze voordeliger is, verschilt per bedrijf en is geen vraag die in algemene zin te beantwoorden is. Wie eerst wil zien welke onderdelen voor het eigen bedrijf relevant zijn, kan dat met een paar korte vragen zelf nagaan.
Kosten die vaak worden vergeten
Buiten de directe kosten van maatregelen en advies zijn er kosten die pas later zichtbaar worden. Bewijsstukken zoals een risicoanalyse of een overzicht van toegangsrechten hebben vaak een geldigheidsduur en moeten periodiek worden bijgewerkt. Dat is geen eenmalige uitgave maar een terugkerende taak, en de tijd die dat kost telt mee in het totaalplaatje.
Daar komt bij dat afnemers steeds vaker vragenlijsten over cyberveiligheid sturen, en dat elke afnemer zijn eigen format en portaal gebruikt. Het steeds opnieuw invullen van grotendeels dezelfde informatie kost tijd die makkelijk wordt onderschat. Een overzicht van welke onderwerpen daarbij terugkomen, staat per situatie uitgezocht in de kennisbank.
Wat supplia wel en niet doet in dit proces
Supplia.eu bouwt geen certificering en geeft geen beoordeling van uw beveiligingsniveau; dat blijft aan uzelf, uw adviseur en de bevoegde toezichthouder. Wat het platform wel doet, is helpen om de antwoorden die u al heeft vastgelegd, consistent terug te laten komen in de vragenlijsten die uw klanten u sturen. Dat bespaart geen euro op de onderliggende maatregelen, maar wel op de tijd die het kost om ze telkens opnieuw te documenteren en aan te leveren.
De basisinformatie over NIS2 en de andere begrippen die in vragenlijsten terugkomen, is gratis te raadplegen, inclusief de vindplaats in de officiële tekst. Wat een abonnement toevoegt, is de uitwerking per verplichting met de bijbehorende termijnen en sjablonen, en een melding zodra er iets verandert dat uw situatie raakt. De verschillen tussen gratis en betaald staan overzichtelijk op de prijzenpagina.
Hoe u tot een realistische inschatting komt
Omdat het bedrag afhangt van uw eigen uitgangspositie, is de meest bruikbare eerste stap niet het zoeken naar een gemiddeld tarief, maar het vaststellen waar u nu staat. Pas daarna is een gesprek met een IT-leverancier, adviesbureau of de bevoegde toezichthouder zinvol, want die kan pas iets zeggen over kosten als bekend is wat er al aanwezig is en wat nog ontbreekt. Voor vragen die specifiek uw bedrijf raken, blijft een jurist of gespecialiseerd adviesbureau het aangewezen aanspreekpunt; dit artikel beschrijft de algemene lijn, geen advies voor een individuele situatie.
Wilt u eerst zien welke onderdelen voor uw bedrijf relevant zijn voordat u kosten gaat vergelijken? Doe de gratis quick-scan of blader door de onderwerpen in de kennisbank om te zien waar u staat.