Hoe lang duurt het voordat Cyber Essentials in het Verenigd Koninkrijk aankomt?
Het eerlijke antwoord is dat een Cyber Essentials-certificering doorgaans tussen de twee en acht weken duurt , waarbij een gemiddeld Brits bedrijf vier tot zes weken nodig heeft. Als uw technische beveiligingsmaatregelen al goed op orde zijn en een toegewijde projectleider het project leidt, kan de certificering al binnen drie tot vijf werkdagen worden behaald. Als uw omgeving complex is of de scope onduidelijk, kan de doorlooptijd aanzienlijk langer dan acht weken zijn.
De meeste variatie zit hem in de voorbereidingsfase, niet in de beoordeling zelf. Zodra je zelfbeoordelingsvragenlijst is ingediend bij een door IASME geaccrediteerde certificeringsinstantie, is de beoordeling door de assessor meestal binnen één tot drie werkdagen afgerond en wordt het certificaat normaal gesproken binnen 24 uur na een voldoende resultaat afgegeven. De hamvraag is hoe lang het duurt voordat je je goed voorbereidt om de vragenlijst met vertrouwen in te dienen.
Deze gids beschrijft het traject stap voor stap, legt uit hoe de Cyber Essentials Plus-vereisten een aparte auditperiode van vier tot zes weken toevoegen en laat de praktische factoren zien die het terugrekenen van contract- of aanbestedingstermijnen voor Britse bedrijven kunnen versnellen of vertragen.
Hoe ziet de fase-indeling er in de praktijk uit?
Cyber Essentials is een zelfbeoordelingsprogramma dat wordt beheerd door de NCSC en uitgevoerd via IASME en haar netwerk van certificeringsinstanties. De certificering bestaat uit één vragenlijst, maar het werk erachter is onderverdeeld in vijf duidelijk te onderscheiden fasen.
Fase 1: Voorbereiding en inventarisatie (1 tot 4 weken)
Hier zit vrijwel alle variabiliteit. U moet de grenzen van de certificering bepalen (de hele organisatie of een deel ervan), de apparaten, cloudservices en gebruikers die binnen het toepassingsgebied vallen inventariseren en controleren of de vijf technische beheersmaatregelen (firewalls, veilige configuratie, toegangscontrole voor gebruikers, malwarebescherming en beheer van beveiligingsupdates) op alle systemen aanwezig zijn. De meeste vertragingen bij Cyber Essentials-projecten ontstaan hier, niet bij de beoordeling.
Fase 2: Invullen en indienen van de vragenlijst (1 tot 2 dagen)
Nadat de voorbereiding is afgerond, kost het invullen van de Cyber Essentials-zelfevaluatievragenlijst een bekwame eigenaar ongeveer een halve tot een hele dag. De vragenlijst wordt elektronisch ingediend via het portaal van de certificeringsinstantie en is normaal gesproken direct beschikbaar.
Fase 3: Beoordeling door de assessor (1 tot 3 werkdagen)
Een door IASME geaccrediteerde assessor beoordeelt elk antwoord aan de hand van de gepubliceerde Cyber Essentials-vereisten. De assessor geeft een voldoende, stelt verduidelijkende vragen of markeert specifieke beheersmaatregelen als niet-conform. De meeste assessoren streven ernaar een eerste beoordeling binnen twee werkdagen af te ronden, hoewel pieken in de vraag (doorgaans in het late voorjaar en aan het einde van het boekjaar) dit kunnen verlengen.
Fase 4: Herstelwerkzaamheden indien nodig (variabel, vaak 1 tot 3 weken)
Als de beoordelaar problemen signaleert, krijgt u een bepaalde tijd (meestal twee werkdagen volgens de standaardprocedure, langer volgens de herindieningsvoorwaarden van sommige certificeringsinstanties) om aanvullend bewijsmateriaal aan te leveren of het onderliggende probleem op te lossen. Echte herstelwerkzaamheden, met name het patchen van niet-ondersteunde software of het implementeren van multifactorauthenticatie, kunnen langer duren dan de beoordeling zelf.
Fase 5: Uitgifte van het certificaat (binnen 24 uur na het behalen van het certificaat)
Zodra de examinator bevestigt dat u geslaagd bent, worden uw certificaat en badge elektronisch verstuurd, meestal binnen dezelfde werkdag. U wordt opgenomen in de openbare IASME-certificatendatabase en kunt de certificering direct gebruiken voor aanbestedingen, verzekeringsaanvragen en opdrachten in de publieke sector.
Start uw gratis proefperiode
Wil je verkennen?
Meld u vandaag nog aan voor uw gratis proefperiode en maak kennis met alle compliance-functies die ISMS.online te bieden heeft
Wat is het typische tijdschema voor Cyber Essentials per fase?
De onderstaande tabel geeft een overzicht van de typische duur van elke fase voor een Britse mkb-onderneming die streeft naar een basiscertificering voor Cyber Essentials. Gebruik deze tabel om terug te plannen vanaf de deadline van uw contract of aanbesteding.
| Fase | Versneld (voorbereid) | Typische MKB-onderneming | Langzaam (rommelige omgeving) |
|---|---|---|---|
| 1. Voorbereiding en afbakening | 1 om 2 dagen | 2 3 weken | 4 8 weken |
| 2. Invullen van de vragenlijst | Een halve dag | 1 dagen | 2 om 3 dagen |
| 3. Beoordeling door de assessor | 1 tot 2 werkdagen | 2 tot 3 werkdagen | 3 tot 5 werkdagen |
| 4. Sanering (indien nodig) | Geen | 2 tot 5 werkdagen | 1 3 weken |
| 5. Certificaatverlening | Dezelfde dag | Binnen 1 werkdag | Binnen 1 werkdag |
| Totaal van begin tot eind | 3 tot 5 werkdagen | 4 6 weken | 8 12 weken |
Deze tijdsindicaties zijn bewust realistisch in plaats van ambitieus. Veel certificeringsinstanties adverteren met "Cyber Essentials binnen 24 uur", en dat is technisch mogelijk – maar alleen als u een schone, conforme omgeving, volledig bewijsmateriaal en een ervaren eigenaar aanlevert. Voor de meeste Britse bedrijven die dit voor het eerst doen, is het verstandig om rekening te houden met vier tot zes weken; alles wat sneller gaat, is mooi meegenomen.
Welke factoren versnellen het behalen van de Cyber Essentials-certificering?
Als je de tijdlijn moet verkorten, zijn de belangrijkste factoren die het verschil maken omgevings- en organisatorische aspecten, niet procedurele. De vragenlijst zelf kan niet korter worden gemaakt; de voorbereiding daarop kan dat absoluut wel.
- Bestaande beveiligingsmaatregelen — Als u al sterke wachtwoorden, MFA, automatische patches en malwarebescherming op eindpunten afdwingt via Groepsbeleid, Intune of een vergelijkbaar systeem, wordt een groot deel van de vragenlijst een documentatieoefening in plaats van een herstelproject.
- Beheer van mobiele apparaten en single sign-on zijn aanwezig. — MDM-tools (Intune, Jamf, Kandji) en SSO-providers (Microsoft Entra ID, Google Workspace, Okta) bieden u direct en aantoonbaar bewijs van veilige configuratie en toegangscontrole op elk apparaat en voor elke gebruiker.
- Een duidelijk afgebakend toepassingsgebied — Een certificering voor de gehele organisatie is eenvoudiger te verdedigen dan een afgebakende subcategorie met netwerksegmentatie. Als u de gehele onderneming kunt certificeren, doe dat dan.
- Een toegewijde eigenaar met gezag Projecten met één aangewezen eigenaar die beslissingen kan nemen over de omvang, het bewijsmateriaal en het budget, worden doorgaans sneller afgerond dan projecten die verspreid zijn over IT, beveiliging en compliance.
- Een ervaren certificeringsinstantie Gecertificeerde, door IASME geaccrediteerde beoordelaars voeren beoordelingen sneller uit en stellen scherpere, nuttigere vragen wanneer iets onduidelijk is.
- Een complianceplatform dat het zware werk voor je doet. — Een platform dat uw bewijsmateriaal koppelt aan de vijf controlecriteria, hiaten bijhoudt en reacties centraal opslaat, voorkomt de klassieke chaos met spreadsheets en e-mails die dagenlang kan duren.
Wat vertraagt het behalen van de Cyber Essentials-certificering?
Daarnaast zijn er ook bekende factoren die de voortgang kunnen vertragen. Door deze vroegtijdig te herkennen, kun je ze aanpakken of ze vanaf het begin in je planning opnemen.
- Niet-ondersteunde software wordt nog steeds gebruikt. — Besturingssystemen, browsers of applicaties die niet langer worden ondersteund, zorgen ervoor dat Cyber Essentials niet meer werkt. Verwijder ze uit het toepassingsgebied (via segmentatie) of voer een upgrade uit — beide processen kosten tijd.
- Ongetrainde gebruikers en inconsistente werkwijzen — Als de helft van het team beheerdersrechten heeft die ze niet zouden mogen hebben, of als het wachtwoordbeleid per afdeling verschilt, kunt u verwachten dat er eerst aanpassingen nodig zijn voordat u uw aanvraag kunt indienen.
- BYOD zonder een duidelijk beleid — Persoonlijke apparaten die toegang hebben tot bedrijfsgegevens vallen binnen het toepassingsgebied. Zonder een door MDM afgedwongen beleid of een verdedigbare uitzondering zal BYOD de certificering blokkeren.
- Clouddiensten zonder een adequate inventarisatie — Schaduw-IT en niet-gecatalogiseerde SaaS-applicaties maken het invullen van de vragenlijst echt lastig en vergroten het risico dat een beoordelaar iets ontdekt.
- Inzending op het laatste moment, vlak voor de deadline voor de aanbesteding. — Het indienen van een rapport met onopgeloste problemen in de hoop "af te wachten wat er terugkomt" kost bijna altijd meer tijd dan het eerst oplossen van de problemen.
- Misverstand over de reikwijdte — Door Cyber Essentials uitsluitend als een IT-project te beschouwen en cloudbeheerdersaccounts, externe medewerkers of thuiswerkers te vergeten, leidt dit tot late herzieningen en herindieningen.
Ga eenvoudig aan de slag met een persoonlijke productdemo
Een van onze onboarding-specialisten legt u graag uit hoe ons platform werkt, zodat u vol vertrouwen aan de slag kunt.
Hoe lang blijft Cyber Essentials Plus aan de top?
Cyber Essentials Plus is het geauditeerde niveau van het certificeringsprogramma. Het maakt gebruik van dezelfde vijf beveiligingsmaatregelen en dezelfde vragenlijst, maar voegt daar een praktische technische audit aan toe, uitgevoerd door een IASME-geaccrediteerde auditor. De audit omvat het steekproefsgewijs controleren van apparaten, het uitvoeren van geauthenticeerde kwetsbaarheidsscans, het testen van malwarebescherming, het valideren van MFA en het bevestigen dat de beweringen in de vragenlijst in de praktijk kloppen.
Je moet rekening houden met nog eens vier tot zes weken extra bovenop de basiscursus Cyber Essentials, grofweg als volgt onderverdeeld:
- Het inplannen van de audit De meeste certificeringsinstanties hebben een doorlooptijd van één tot drie weken nodig, met name voor audits op locatie of hybride audits.
- Audit zelf — Een tot drie werkdagen, afhankelijk van de omvang en complexiteit van de apparaatmonsters.
- Correctie van bevindingen uit de audit — Maximaal 30 dagen onder de IASME-regeling om eventuele gebreken die de beoordelaar constateert te verhelpen.
- Definitieve goedkeuring en afgifte van het Plus-certificaat — Binnen enkele werkdagen nadat de sanering is geverifieerd.
U dient in het bezit te zijn van een geldig basiscertificaat Cyber Essentials op het moment dat uw Plus-certificaat wordt afgegeven, en de Plus-audit moet binnen drie maanden na de datum van uw basiscertificering worden afgerond. Deze termijn is niet onderhandelbaar, dus het is raadzaam om de Plus-audit tegelijk met het basiscertificeringsproces te boeken.
Hoe lang is een Cyber Essentials-certificering geldig?
Een Cyber Essentials-certificaat is 12 maanden geldig vanaf de datum van afgifte . Er is geen tussentijdse controle; zodra u het certificaat heeft, is het een volledig jaar geldig. Om uw certificering te behouden, moet u deze vóór de vervaldatum verlengen door een nieuwe zelfevaluatie in te vullen die uw huidige situatie weerspiegelt.
De vragenlijst voor de verlenging is niet minder uitgebreid dan de oorspronkelijke, en de eisen worden jaarlijks bijgewerkt (de vragenlijst wordt elk jaar herzien door IASME en de NCSC). Dit betekent in de praktijk dat de beveiligingsmaatregelen die u vorig jaar moest doorstaan, dit jaar mogelijk niet meer volstaan. Zo zijn de MFA-vereisten en de regels voor het meenemen van eigen apparaten in recente jaarlijkse updates aangescherpt. Beschouw de verlenging als een weloverwogen beslissing en niet als een simpele kopieeractie. De gedetailleerde procedure wordt beschreven in onze handleiding voor de verlenging van Cyber Essentials.
De kosten zijn afhankelijk van de omvang van de organisatie en worden ingedeeld in categorieën; zie ons overzicht van de kosten van de Cyber Essentials-certificering voor de huidige IASME-tariefcategorieën.
Wat zijn de meest voorkomende fouten bij het opstellen van een tijdlijn in Cyber Essentials?
Bij de duizenden Britse organisaties die aan dit programma deelnemen, zien we steeds dezelfde fouten terugkomen. Vermijd deze fouten en u voorkomt de meeste onverwachte vertragingen.
- Wachten tot het laatste moment — Het project twee weken voor de deadline voor een aanbesteding starten, garandeert bijna zeker een afwijzing bij de eerste indiening. Plan daarom minimaal zes weken extra in.
- De reikwijdte onderschatten — Het buiten beschouwing laten van clouddiensten, thuiswerkers, freelancers of persoonlijke apparaten leidt tot late ontdekkingen en herziening van de scope.
- Zwak of ontbrekend bewijs — Het beantwoorden van een vraag met "ja" zonder dit te kunnen onderbouwen met beleid, configuratie of logboeken, leidt tot nader onderzoek door de beoordelaar en vertraagt de beoordeling.
- Het behandelen als papierwerk Cyber Essentials controleert de realiteit, niet de documentatie. Als de technische beveiligingsmaatregelen niet daadwerkelijk aanwezig zijn, zal de beoordelaar dat ontdekken.
- Het kiezen van de verkeerde certificeringsinstantie voor het juiste moment Sommige instanties hebben in drukke periodes een wachtlijst van meerdere weken. Controleer de beschikbaarheid van de beoordelaars voordat u een deadline vastlegt.
- Jaarlijkse updates negeren — De eisen veranderen elk jaar. Als je de antwoorden van vorig jaar gebruikt zonder ze te controleren aan de hand van de huidige vragen, loop je bij de verlenging problemen op.
De eenvoudigste manier om de eerste drie te vermijden, is door onze Cyber Essentials-checklist door te nemen voordat je je assessmentafspraak boekt.
Waarom kiezen voor ISMS.online voor een snellere Cyber Essentials-certificering?
- Vooraf toegewezen aan alle vijf bedieningselementen - ISMS.online De boeken worden geleverd met de Cyber Essentials-vragenlijst die al is afgestemd op uw bewijsmateriaal, zodat u geen checklist helemaal zelf hoeft samen te stellen.
- Gecentraliseerde bewijsbibliotheek — Alle beleidsregels, configuratieschermafbeeldingen, MDM-exports en schermafbeeldingen bevinden zich op één centrale plek, klaar om direct aan de juiste beheertool te worden gekoppeld — in plaats van verspreid over schijven en inboxen.
- Realtime inzicht in hiaten — Een live dashboard toont welke controles groen, oranje en rood zijn, zodat u precies weet wat er nog moet gebeuren vóór de indiening en niet voor verrassingen komt te staan tijdens de beoordeling door de assessor.
- Hergebruik van meerdere frameworks — Hetzelfde bewijsmateriaal ondersteunt ISO 27001 , SOC 2 en NIS 2 Zo gaat de tijd die je in Cyber Essentials investeert niet verloren wanneer het volgende framework verschijnt.
- Methode voor gegarandeerde resultaten — Een beproefde implementatiemethode die de weg naar certificering consequent verkort door het werk te structureren, in plaats van het alleen maar op te slaan.
- Samenwerkingsruimte voor eigenaren en taxateurs — Stel vragen op, voeg opmerkingen toe, houd bij wie wat heeft beantwoord en presenteer een overzichtelijk bewijsmateriaal aan de certificeringsinstantie in een fractie van de tijd die het via e-mail kost.
- Ontwikkeld voor Britse mkb-bedrijven - ISMS.online is een platform met hoofdkantoor in het Verenigd Koninkrijk dat door duizenden organisaties wordt gebruikt om sneller aan de regelgeving te voldoen, met ondersteuning vanuit het VK.
Gerelateerde Cyber Essentials-handleidingen
Vervolg je Cyber Essentials- avontuur met de andere handleidingen in deze serie:
- Cyber Essentials-vereisten — De vijf controlegebieden, beslissingen over de reikwijdte en naar welk bewijsmateriaal beoordelaars kijken.
- Kosten van Cyber Essentials — IASME-prijsniveaus, plus kosten, verborgen kosten en totalen over 3 jaar voor Britse bedrijven.
- Is Cyber Essentials de investering waard? — Een eerlijke beoordeling van de voordelen, nadelen en wie daadwerkelijk een certificering nodig heeft.
- Vereisten voor Cyber Essentials Plus — De technische audit, kwetsbaarheidsscans en wat Plus meer biedt dan de basiscertificering.
- Cyber Essentials zelfevaluatie — De SASQ-workflow, reikwijdte, bewijsmateriaal en veelvoorkomende valkuilen.
- Verlenging van Cyber Essentials — De cyclus van 12 maanden, veranderingen in de regelgeving voor 2026 en hoe je je 60 dagen van tevoren kunt voorbereiden.
- Cyber Essentials voor kleine bedrijven — Prijsstelling, reikwijdte en kosten-batenanalyse specifiek voor het MKB.
- Cyber Essentials versus ISO 27001 — Omvang, kosten, tijd en erkenning vergeleken.
Veelgestelde vragen
Hoe snel kun je Cyber Essentials realistisch gezien aanschaffen?
Als alle vijf technische beheersmaatregelen al aanwezig zijn, de projectomvang duidelijk is en er een toegewijde projectleider is, kunt u uw aanvraag indienen, laten beoordelen en uw certificaat binnen drie tot vijf werkdagen ontvangen. Voor een doorsnee Britse mkb-onderneming die voor het eerst aan het programma deelneemt, is een doorlooptijd van vier tot zes weken realistischer.
Hoe lang is een Cyber Essentials-certificaat geldig?
Twaalf maanden vanaf de datum van afgifte. Er vindt geen tussentijdse controle plaats, maar om uw certificering te behouden, moet u een nieuwe zelfevaluatie voltooien en deze met goed gevolg afronden voordat het certificaat verloopt.
Hoe lang duurt Cyber Essentials Plus in vergelijking met de basisversie van Cyber Essentials?
De Plus-certificering voegt ongeveer vier tot zes weken toe aan de basis Cyber Essentials-certificering. Deze tijd is nodig voor het inplannen van de audit, de audit zelf (één tot drie werkdagen), eventuele oplossingen voor bevindingen (tot 30 dagen volgens het IASME-schema) en de uiteindelijke goedkeuring. De Plus-audit moet binnen drie maanden na de datum van uw basiscertificering worden afgerond.
Wat gebeurt er als ik zak voor mijn Cyber Essentials-toets?
Normaal gesproken krijgt u een korte periode (doorgaans twee werkdagen volgens de standaard IASME-regeling, langer bij sommige certificeringsinstanties) om de problemen op te lossen en de aanvraag opnieuw in te dienen. Als u de problemen niet binnen die periode kunt verhelpen, moet u mogelijk een geheel nieuwe aanvraag indienen, wat de doorlooptijd verlengt. ISMS.online helpt dit te voorkomen door eventuele tekortkomingen aan het licht te brengen vóórdat u de aanvraag indient, in plaats van erna.
Kan ik Cyber Essentials en ISO 27001 tegelijkertijd aanschaffen?
Ja, en veel Britse organisaties doen dat. Cyber Essentials is een nuttige eerste stap op weg naar ISO 27001, omdat de vijf technische beheersmaatregelen grotendeels overlappen met bijlage A van ISO 27001. Door beide parallel te gebruiken op basis van één enkele bewijsbasis in ISMS.online wordt dubbel werk voorkomen.
Is de Cyber Essentials-vragenlijst echt zo moeilijk?
De vragen zijn technisch gezien niet complex, maar om ze eerlijk en met bewijs te beantwoorden, is het essentieel om precies te begrijpen wat er binnen de scope valt en hoe elk van de vijf beheersmaatregelen wordt geïmplementeerd. De moeilijkheid zit hem in de uitvoering, niet intellectueel – vandaar dat een duidelijke scope, één verantwoordelijke en een gestructureerd platform zo'n groot verschil maken voor de doorlooptijd.
