Wat is een cybersecurity-certificering?
Een cybersecuritycertificering is een onafhankelijke bevestiging dat een organisatie voldoet aan een vastgestelde reeks informatiebeveiligingsmaatregelen. In het Verenigd Koninkrijk vallen certificeringen in drie groepen: door de overheid gesteunde regelingen zoals Cyberbenodigdheden en Cyber Essentials Plus, internationale beheersysteemnormen zoals ISO 27001 en assurance-rapporten zoals SOC 2NIS 2 is een wettelijke verplichting en geen vrijwillige certificering.
Kopers, toezichthouders, verzekeraars en partners in de toeleveringsketen eisen steeds vaker bewijs dat de leveranciers waarmee ze samenwerken voldoen aan een erkende norm. De juiste certificering hangt af van wie erom vraagt, waar u verkoopt en hoe volwassen uw beveiligingsprocessen moeten zijn. Deze gids beschrijft de vijf meest voorkomende certificeringsschema's voor organisaties in het Verenigd Koninkrijk, wat elk schema dekt, wat het kost en voor wie het geschikt is.
ISMS.online Dit is het platform dat Britse organisaties gebruiken om alle cybersecuritycertificeringen op één plek te beheren, waarbij bewijsmateriaal en beheersmaatregelen eenmalig in kaart worden gebracht voor Cyber Essentials, ISO 27001, SOC 2 en NIS 2, in plaats van het werk voor elk schema opnieuw te moeten doen.
Waarom behalen Britse organisaties certificeringen op het gebied van cyberbeveiliging?
Vijf factoren liggen ten grondslag aan vrijwel elk certificeringsproject dat we tegenkomen:
- Inkoopvereisten — Contracten van de Britse centrale overheid vereisen Cyber Essentials voor leveranciers die persoonsgegevens verwerken of bepaalde ICT-diensten leveren (Procurement Policy Note 09/14). Het Ministerie van Defensie vereist Cyber Essentials of Cyber Essentials Plus voor relevante leveranciers onder DEFCON 658. Veel inkopers uit de particuliere sector hanteren dezelfde eis in hun leverancierskwalificatieprocessen.
- Vraag van de klant — B2B-klanten sturen steeds vaker beveiligingsvragenlijsten voordat ze een contract ondertekenen. Een actueel ISO 27001- of SOC 2-certificaat vervangt vaak een vragenlijst met 200 vragen door één enkele bijlage.
- Sectorregulering — NIS 2 (in de EU) en de equivalente regeling in het VK vereisen dat essentiële en belangrijke entiteiten in kritieke sectoren aantonen dat ze cyberbeveiligingsmaatregelen treffen en incidenten rapporteren.
- Cyberverzekering — Verzekeraars vragen standaard om bewijs van basisbeveiligingsmaatregelen voordat ze een polis afsluiten. Een Cyber Essentials-certificering is vaak voldoende voor het MKB; grotere of risicovollere verzekerden hebben steeds vaker een ISO 27001- of SOC 2-certificering nodig.
- Interne controle — Besturen en auditcommissies gebruiken onafhankelijke certificering als bewijs dat de controles die zij goedkeuren daadwerkelijk bestaan en werken.
Weet je nog niet welke bestuurder op jou van toepassing is? Raadpleeg dan onze handleiding. Is Cyber Essentials de moeite waard? Hij doorloopt de kosten-batenanalyse voor het instapmodel, waarna de keuze duidelijker wordt.
Wat zijn de belangrijkste cybersecurity-certificeringen in het Verenigd Koninkrijk?
Vijf certificeringssystemen domineren het Britse landschap voor cyberbeveiliging. De eerste vier zijn vrijwillige certificeringen, variërend van de specifiek voor het VK ontwikkelde Cyber Essentials-reeks tot internationaal erkende standaarden, terwijl de vijfde een wettelijke verplichting is in plaats van een echte certificering. De meeste Britse organisaties beschikken in de loop der tijd over meer dan één van deze certificeringen, afhankelijk van de veranderende klantvraag, sector en geografische locatie.
Cyber Essentials: het door de Britse overheid ondersteunde instapniveau
Cyber Essentials is een door de Britse overheid gesteund certificeringsprogramma dat in 2014 is gelanceerd en nu onder toezicht staat van het National Cyber Security Centre (NCSC), met IASME als enige accreditatie-instantie sinds april 2020. Het programma test de vaardigheden van gebruikers. vijf technische controlegebieden (firewalls en routers, veilige configuratie, toegangscontrole voor gebruikers, malwarebescherming en beheer van beveiligingsupdates) op elk apparaat en elke cloudservice die binnen het toepassingsgebied valt.
Belangrijkste feiten:
- Formaat: Zelfevaluatievragenlijst beoordeeld door een door IASME geaccrediteerde assessor
- geldigheid: 12 maanden, jaarlijks verlengbaar
- Kosten: Vanaf £330 + btw voor micro-organisaties (1-9 medewerkers) tot £500 + btw voor grote organisaties (250+); zie Kosten van Cyber Essentials Voor een volledig prijsoverzicht
- Typische tijdlijn: 4-12 weken van start tot certificaat
- Bonus: In aanmerking komende Britse organisaties met een omzet onder de £20 miljoen ontvangen een gratis cyberaansprakelijkheidsverzekering ter waarde van £25,000.
- Beste voor: Britse mkb's die meedingen naar overheidsopdrachten; leveranciers van grote ondernemingen; verzekeringseisen; eerste formele certificering
Cyber Essentials is de voordeligste en snelste cybersecuritycertificering in het Verenigd Koninkrijk. Het is ook de certificering met de grootste directe waarde voor inkopers, omdat de Britse overheid en veel particuliere kopers deze certificering expliciet vereisen. Voor de gedetailleerde voorbereiding op cybersecurity-gerelateerde problemen, bieden wij onze diensten aan. Checklist Cyber Essentials Controleert elke stap voordat je de aanvraag indient.
Cyber Essentials Plus: onafhankelijk gecontroleerde garantie
Cyber Essentials Plus maakt gebruik van dezelfde vijf controlegebieden als Cyber Essentials, maar voegt daar een onafhankelijke technische audit aan toe. Een door IASME geaccrediteerde auditor scant voorbeeldapparaten, verifieert multifactorauthenticatie via live login, test e-mail- en webfiltering en bevestigt dat de door u aangegeven controles daadwerkelijk in de praktijk werken.
- Formaat: SAQ plus een praktische technische audit van een representatieve steekproef van apparaten
- geldigheid: 12 maanden
- Kosten: Doorgaans £1,500–£3,000 bovenop de basiskosten van Cyber Essentials, afhankelijk van de complexiteit van de omgeving.
- Tijdlijn: 1-2 weken extra bovenop Cyber Essentials, zodra de voorbereidingswerkzaamheden zijn afgerond.
- Beste voor: Leveranciers aan het Ministerie van Defensie of aan risicovolle toeleveringsketens (DEFCON 658), kopers die specifiek Plus vereisen, organisaties die Plus gebruiken als opstapje naar ISO 27001.
De vijf technische controlegebieden zijn gedetailleerd beschreven in Vereisten voor Cyber Essentials PlusAls u CE afweegt tegen CE Plus, is de doorslaggevende factor meestal of een specifiek contract of een verzekeraar de Plus-categorie vereist.
ISO 27001: internationale certificering voor informatiebeveiligingsbeheer
ISO/IEC 27001 is de internationale standaard voor informatiebeveiligingsmanagementsystemen (ISMS). Waar Cyber Essentials vijf technische beheersmaatregelen test, certificeert ISO 27001 een volledig managementsysteem: een risicogestuurd raamwerk dat governance, beleid, activabeheer, leveranciersbeveiliging, incidentrespons, bedrijfscontinuïteit en 93 specifieke beheersmaatregelen in Bijlage A omvat (de herziening van 2022; een reductie ten opzichte van de 114 in de versie van 2013).
- Formaat: Een documentatieaudit in fase 1, vervolgens een implementatieaudit in fase 2, daarna jaarlijkse controleaudits en een volledige hercertificeringsaudit om de drie jaar.
- geldigheid: Drie jaar tussen hercertificeringen, met jaarlijkse controle.
- Kosten: Doorgaans £3,000–£15,000+ voor Britse mkb's, afhankelijk van de omvang en de gekozen certificeringsinstantie.
- Tijdlijn: 4-9 maanden voor een eerste certificering; langer voor complexe organisaties.
- Beste voor: Organisaties die internationaal verkopen, B2B SaaS-bedrijven, gereguleerde sectoren, iedereen wiens klanten specifiek om een ISMS-certificaat vragen.
ISO 27001 is wereldwijd de gouden standaard voor cybersecuritycertificeringen. De meeste zakelijke klanten verwachten dat hun leveranciers deze certificering bezitten; veel Britse organisaties gebruiken Cyber Essentials als basis en stappen vervolgens over op ISO 27001 naarmate de vraag van klanten toeneemt. Voor de verschillen in diepgang, reikwijdte en erkenning, zie Cyber Essentials versus ISO 27001; voor een gedetailleerde beschrijving van het auditproces, zie ISO 27001-certificering.
SOC 2: zekerheid voor Amerikaanse klanten en SaaS-aanbieders
SOC 2 (Service Organisation Control 2) is een in de VS ontwikkeld assurance-rapport dat is opgesteld volgens de standaarden van het American Institute of CPAs (AICPA). Het beoordeelt een serviceorganisatie aan de hand van de vijf Trust Services Criteria (beveiliging, beschikbaarheid, integriteit van de verwerking, vertrouwelijkheid en privacy), waarbij beveiliging verplicht is en de andere criteria optioneel zijn, afhankelijk van de omvang van de organisatie.
- Formaat: Type 1 (momentopname van het ontwerp) of Type 2 (werkingseffectiviteit over een observatieperiode van 3-12 maanden)
- geldigheid: SOC 2 levert een rapport in plaats van een certificaat; rapporten worden doorgaans jaarlijks vernieuwd.
- Kosten: £15,000–£100,000+ afhankelijk van de omvang, de gehanteerde criteria en de observatieperiode.
- Tijdlijn: Een observatieperiode van 3 tot 12 maanden voor type 2; de voorbereidingswerkzaamheden duren doorgaans nog 2 tot 4 maanden langer.
- Beste voor: SaaS-aanbieders die in de VS verkopen, dienstverlenende organisaties die klantgegevens bewaren, en alle Britse organisaties waarvan de Amerikaanse klanten specifiek om een SOC 2-certificaat vragen.
SOC 2 en ISO 27001 overlappen elkaar sterk in de vereiste controles. Britse organisaties die aan beide zijden van de Atlantische Oceaan verkopen, beschikken vaak over beide certificeringen, met ISMS.online als de gemeenschappelijke bewijslaag. Onze SOC 2 Hub behandelt de criteria, het gereedheidsproces en hoe dit verschilt van ISO 27001.
NIS 2: wettelijke cyberbeveiliging voor essentiële en belangrijke entiteiten
NIS 2 is de tweede generatie EU-richtlijn inzake netwerk- en informatiebeveiliging, en het Verenigd Koninkrijk heeft een gelijkwaardige nationale regeling aangenomen. Het is geen certificering, maar een wettelijke vereiste voor essentiële en belangrijke entiteiten in kritieke sectoren (energie, transport, bankwezen, financiële marktinfrastructuren, gezondheidszorg, drinkwater, digitale infrastructuur, openbaar bestuur, ruimtevaart, postdiensten, afvalbeheer, productie en distributie van chemicaliën, voedsel, productie van medische hulpmiddelen en bepaalde aanbieders van digitale diensten).
- Formaat: Wettelijke verplichting om specifieke maatregelen voor cyberbeveiligingsrisicobeheer en termijnen voor incidentrapportage te implementeren.
- geldigheid: Doorlopend, onder toezicht van de toezichthouder.
- Kosten: Er zijn geen certificeringskosten; de kosten zitten in de beheersmaatregelen zelf, die vaak overeenkomen met ISO 27001.
- Tijdlijn: Gefaseerde invoering; organisaties die onder deze regeling vallen, zouden nu al moeten implementeren.
- Beste voor: Elke organisatie die volgens de richtlijn als essentiële of belangrijke entiteit wordt aangemerkt, wordt hierdoor getroffen; ook leveranciers van deze entiteiten worden indirect getroffen.
NIS 2 is soms de aanleiding voor een organisatie om van Cyber Essentials over te stappen naar ISO 27001, omdat ISO 27001 een gestructureerde manier biedt om de risicobeheersingsmaatregelen die de richtlijn vereist, aan te tonen. NIS 2 Hub bespreekt de sectoren die onder de reikwijdte vallen en de specifieke verplichtingen.
Vergelijking: Overzicht van Britse cybersecuritycertificeringen
| Certificering | strekking | Gemiddelde kosten (Britse mkb) | Typische tijdlijn | Geldigheid | Beste pasvorm |
|---|---|---|---|---|---|
| Cyberbenodigdheden | 5 technische controles, zelfbeoordeling | Vanaf £330 + btw | 4-12 weken | 12 maanden | Britse mkb's, overheidscontracten, verzekeringen, eerste certificering |
| Cyber Essentials Plus | Dezelfde 5 controles + onafhankelijke audit | Voeg £1,500–£3,000+ toe | +1–2 weken | 12 maanden | Leveranciers van het Ministerie van Defensie, contracten die Plus vereisen, ISO 27001-tussenstap |
| ISO 27001 | Volledig ISMS, 93 Annex A-controles, governance | £ 3,000 - £ 15,000+ | 4–9 maanden | 3 jaar (jaarlijkse controle) | Internationale verkoop, B2B SaaS, gereguleerde sectoren |
| SOC 2 (Type 2) | 5 Criteria voor vertrouwensdiensten, operationele effectiviteit | £ 15,000 - £ 100,000+ | 3–12 maanden observatie | Jaarverslag | SaaS-verkoop in de VS, dienstverlenende organisaties |
| NIS 2 | Regelgeving inzake cyberrisicobeheer voor essentiële/belangrijke entiteiten | Ingebed in de bedrijfsvoering | Doorlopend | Doorlopend | Sectoren van de kritieke infrastructuur en hun leveranciers |
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Hoe maak je de juiste keuze tussen cybersecurity-certificeringen?
Begin met de vraag die aanleiding gaf tot het project. De juiste certificering hangt af van wat (of wie) erom vraagt.
- Contract met de Britse overheid of leverancier voor het Ministerie van Defensie — Begin met Cyber Essentials, en vervolgens Plus als dit specifiek vereist is. Dit is expliciet vermeld in PPN 09/14 en DEFCON 658.
- Cyberverzekering — Cyber Essentials is meestal voldoende voor het MKB. Grotere of risicovollere verzekerden hebben mogelijk ISO 27001 nodig.
- Een zakelijke klant vraagt om een ISMS-certificaat. — ISO 27001. Klanten noemen dit bijna altijd specifiek.
- Een SaaS-klant uit de VS vraagt om een assurance-rapport. — SOC 2 (meestal Type 2 zodra de relatie is vastgesteld).
- NIS 2 of een gelijkwaardige wettelijke verplichting — Voer de controles uit die de regelgeving vereist; veel organisaties gebruiken ISO 27001 als structureringskader om dit aan te tonen.
- Eerste certificering, niet ingegeven door een specifieke koper. — Cyber Essentials. Het is de voordeligste, snelste en meest transparante aanbestedingsoptie in het VK, en de resultaten tellen direct mee voor ISO 27001 als je het traject doorloopt.
De meeste Britse organisaties behalen na verloop van tijd meer dan één certificering. Een typisch traject ziet er als volgt uit: Cyber Essentials → Cyber Essentials Plus → ISO 27001 → SOC 2 (zodra er Amerikaanse klanten bijkomen). De controles overlappen voldoende, waardoor het behalen van de volgende certificering stapsgewijs verloopt in plaats van helemaal opnieuw te beginnen – mits er één bewijslaag is die de controles in alle schema's in kaart brengt.
Wat als je meerdere certificeringen nodig hebt?
Het afzonderlijk uitvoeren van Cyber Essentials, ISO 27001 en SOC 2 is kostbaar. Dezelfde bewijsstukken (firewallregels, MFA-configuratie, registratie van nieuwe en vertrekkende medewerkers, inventaris van bedrijfsmiddelen, patchrapporten) worden door alle drie de certificeringsinstanties opgevraagd, alleen in verschillende formaten. Meestal komen deze gegevens op drie verschillende plekken terecht, met drie verschillende updatecycli.
Het alternatief is om elke controle en elk bewijsstuk één keer vast te leggen en te koppelen aan elk schema waaraan het voldoet. Dat is wat ISMS.online doet dat — één enkel ISMS dat tegelijkertijd de controlesystemen van Cyber Essentials, ISO 27001, SOC 2 en NIS 2 ontsluit, waarbij bewijsmateriaal eenmaal gekoppeld en overal hergebruikt kan worden. Klanten die beginnen met Cyber Essentials in ISMS.online Ze zijn vaak al halverwege de ISO 27001-gereedheid wanneer de klant erom vraagt.
Wat zijn de meest voorkomende misvattingen over cybersecuritycertificering?
- “Een certificering betekent dat we veilig zijn.” Een certificering betekent dat u op een bepaald moment aan een vastgestelde reeks beheersmaatregelen voldoet. Het betekent niet dat er geen inbreuken kunnen plaatsvinden. Beschouw het certificaat als bewijs van een programma, niet van een resultaat.
- “Cyber Essentials en ISO 27001 zijn hetzelfde.” Dat klopt niet. Cyber Essentials omvat vijf technische controlegebieden; ISO 27001 certificeert een volledig informatiebeveiligingsbeheersysteem dat governance, risicobeheer en 93 specifieke controles omvat.
- “We hebben vanaf dag één zowel ISO 27001 als SOC 2 nodig.” Meestal niet. De meeste Britse organisaties beginnen met het product dat hun grootste afnemer op dit moment nodig heeft, en voegen een tweede product toe wanneer de internationale verkoop daarom vraagt.
- “De certificering van onze cloudprovider dekt ons.” Het certificaat van uw cloudprovider dekt hun infrastructuur, niet uw tenantconfiguratie, toegangsbeheer of gegevensverwerking. U hebt nog steeds uw eigen certificering nodig.
- "Certificering is een eenmalig project." Elke cybersecuritycertificering heeft een jaarlijkse of driejaarlijkse vernieuwingscyclus. Beschouw het als een operationeel programma, niet als een project.
Beheer al uw compliance op één plek
ISMS.online ondersteunt meer dan 100 normen en voorschriften, waardoor u één platform krijgt voor al uw compliancebehoeften.
Waarom kiezen voor ISMS.online voor cybersecuritycertificering?
- Eén platform, alle regelingen — Cyber Essentials, Cyber Essentials Plus, ISO 27001, SOC 2 en NIS 2 zijn allemaal vooraf gekoppeld. ISMS.online, waarbij de controlemechanismen in alle regelingen op elkaar zijn afgestemd, zodat bewijsmateriaal wordt hergebruikt en niet herschreven.
- Enkele bewijsbron — Voeg een schermafbeelding of document eenmalig toe en koppel deze aan elke vereiste controle, voor elke certificering. Geen duplicatie en geen versieverschillen.
- Risicoregister en ISMS-scope — Leg uw informatieactiva, risico's en beheersmaatregelen vast in een gestructureerd ISMS dat voldoet aan de clausulevereisten van ISO 27001 en uw SOC 2-verhaal ondersteunt.
- Voorgedefinieerde beleidsregels en procedures — Een bibliotheek met vooraf opgestelde beleidsregels die zijn afgestemd op de controles van elk schema, zodat u kunt beginnen met een werkende basis in plaats van een leeg document.
- Auditklaar — Toezichtaudits, hercertificeringsaudits en SOC 2-observatieperiodes verlopen soepeler wanneer het platform automatisch de actualiteit van bewijsmateriaal, verantwoordelijken voor acties en vervaldatums bijhoudt.
- Vertrouwd door duizenden organisaties - ISMS.online ondersteunt bedrijven van elke omvang, van bedrijven die voor het eerst een Cyber Essentials-certificering aanvragen tot wereldwijde groepen met meerdere certificeringen.
- Klantensucces dat het heeft meegemaakt — Implementatieondersteuning van mensen die zelf gecertificeerd zijn voor dezelfde schema's, en niet alleen het platform hebben verkocht.
Veelgestelde vragen
Wat is de beste cybersecuritycertificering voor een Brits mkb-bedrijf?
Voor de meeste Britse mkb-bedrijven is Cyber Essentials het juiste startpunt. Het is de voordeligste certificering, de snelste om te behalen en de certificering die verplicht is gesteld door de Britse overheid in het kader van aanbestedingen (PPN 09/14). Cyber Essentials Plus is de volgende stap als een contract of toeleveringsketen dit vereist. Stap over op ISO 27001 zodra er vraag is vanuit grote bedrijven of internationale verkoop.
Is Cyber Essentials een internationaal erkend cybersecuritycertificaat?
Cyber Essentials is specifiek voor het Verenigd Koninkrijk. Het wordt erkend door de Britse overheid, Britse verzekeraars en veel Britse particuliere afnemers, maar heeft buiten het VK geen directe waarde. ISO 27001 is de equivalente, internationaal erkende certificering en SOC 2 is het meest gebruikte kwaliteitsborgingsrapport in de VS. Britse organisaties die wereldwijd verkopen, stappen doorgaans over van Cyber Essentials naar ISO 27001 of SOC 2.
Wat kost een cybersecuritycertificering in het Verenigd Koninkrijk?
De kosten variëren sterk. Cyber Essentials begint bij £330 + btw voor de kleinste organisaties. Cyber Essentials Plus kost doorgaans £1,500 tot £3,000 extra voor de audit. ISO 27001 kost tussen de £3,000 voor zeer kleine organisaties en £15,000 of meer voor complexere projecten. SOC 2 Type 2 kost tussen de £15,000 en £100,000 of meer, afhankelijk van de criteria, de reikwijdte en de observatieperiode. NIS 2 kent geen certificeringskosten, maar vereist wel investeringen in de onderliggende controles.
Hoe lang duurt een cybersecurity-certificering?
Cyber Essentials duurt doorgaans 4 tot 12 weken vanaf de start. Cyber Essentials Plus voegt daar nog 1 tot 2 weken aan toe, plus voorbereidend werk. ISO 27001 duurt 4 tot 9 maanden voor een eerste certificering door een mkb-bedrijf. SOC 2 Type 2 vereist een observatieperiode van 3 tot 12 maanden bovenop het voorbereidend werk. NIS 2 is een continu proces: het is geen eenmalig project.
Omvat een cybersecuritycertificering de AVG (Algemene Verordening Gegevensbescherming)?
Certificering alleen is geen garantie voor naleving van de AVG. ISO 27001 en SOC 2 dekken beide veel van de beveiligingsmaatregelen die de AVG vereist, en ISO 27701 Het breidt ISO 27001 specifiek uit naar een privacybeheersysteem. Geen van beide vervangt de wettelijke en documentatieverplichtingen onder de Britse AVG, maar ze maken het aantonen van de beveiligingsmaatregelen wel veel eenvoudiger.
Moet ik mijn certificaat elk jaar opnieuw behalen?
Cyber Essentials en Cyber Essentials Plus zijn 12 maanden geldig en worden jaarlijks verlengd. ISO 27001 heeft een cyclus van 3 jaar met jaarlijkse controleaudits. SOC 2-rapporten worden doorgaans jaarlijks vernieuwd. NIS 2 is een doorlopende verplichting in plaats van een periodieke certificering. Welk schema u ook heeft, beschouw het als een operationeel programma in plaats van een eenmalig project.
