Hoe kiest u een cybersecurity-partner?

De markt voor cybersecurity-dienstverlening in Nederland is breed, van eenpitters tot internationale bureaus, van generalistische IT-dienstverleners die "ook beveiliging doen" tot gespecialiseerde technische partijen. Dat maakt de keuze lastiger, niet makkelijker. Onderstaand kader helpt u de juiste vragen te stellen, ongeacht welke partij u uiteindelijk kiest.

Vragen die u aan elke kandidaat zou moeten stellen

• Wie voert het werk daadwerkelijk uit? Werkt u direct met de engineer of consultant die de opdracht uitvoert, of met een accountmanager die doorschakelt naar een ander team?
• Wat levert u concreet op, naast een rapport? Een lijst met bevindingen is een startpunt, geen eindresultaat. Vraag hoe implementatie en verificatie eruitzien.
• Hoe scoopt u een traject voor een organisatie van onze omvang? Een antwoord dat begint met "dat hangt af van..." is een beter teken dan een vast pakket dat niemand ooit heeft aangepast.
• Wat gebeurt er als iets buiten uw expertise valt? Een partij die eerlijk toegeeft wat ze niet weten, en doorverwijst, is betrouwbaarder dan een partij die op alles "ja" zegt.
• Kunt u een voorbeeld geven van een vergelijkbaar traject? Niet per se een naam en logo (vertrouwelijkheid is normaal), maar wel een concreet, navolgbaar voorbeeld van scope en aanpak.

Signalen om alert op te zijn

• Een vast, ongewijzigd "pakket" ongeacht de omvang of aard van uw organisatie.
• Beloftes van volledige, gegarandeerde compliance of "100% veiligheid": geen enkele partij kan dat waarmaken, en wie het beweert onderschat het probleem.
• Druk om onmiddellijk te tekenen zonder een scopegesprek waarin uw specifieke situatie aan bod komt.
• Onduidelijkheid over wie het werk uitvoert versus wie het verkoopt.

Consultant, engineer, of allebei?

Veel Nederlandse organisaties hebben zowel behoefte aan strategie (wat moet er gebeuren, in welke volgorde) als aan implementatie (het daadwerkelijk configureren en bouwen van maatregelen). Sommige partijen doen alleen het eerste en verwijzen door voor het tweede; andere combineren beide onder één dak. Geen van beide modellen is fout, het is vooral belangrijk te weten welk model u voor u heeft, zodat er geen gat valt tussen advies en uitvoering.

Past de partij bij uw schaal?

Een aanbieder die primair met grote ondernemingen werkt, vertaalt een aanpak niet altijd goed naar een mkb-schaal, en andersom heeft een organisatie met complexe, gereguleerde eisen (NIS2, ISO 27001, sectorspecifieke regelgeving) mogelijk meer nodig dan een generalist kan bieden. Vraag expliciet naar ervaring met organisaties van vergelijkbare omvang en sector, niet alleen naar cybersecurity-ervaring in algemene zin.

Wilt u dit kader gebruiken om ons eigen aanbod te toetsen? Dat mag. Zie onze Cybersecurity Nederland-pagina voor hoe wij werken, of plan een gesprek om deze vragen direct te stellen.