Kennisbank · CyFun
CyFun Basic, Important of Essential: welk niveau heeft u nodig?
Uw CyFun-niveau volgt uit uw risicoanalyse en uw NIS2-categorie. Het CCB wijst het niet toe. Dit artikel legt uit wat elk niveau inhoudt, hoe u het uwe bepaalt, wanneer een lager niveau te verantwoorden is en waarom het werk dat u op een lager niveau doet niet verloren gaat.
De niveaus
Elk niveau dekt een ander aanvalsprofielHet niveau volgt het soort aanvaller waartegen u zich wilt wapenen
Het CCB beschrijft vier niveaus. Small is het startniveau voor micro-organisaties met beperkte technische kennis, bedoeld voor een eerste beoordeling. Basic bevat de standaardmaatregelen voor alle ondernemingen. Important moet het risico verkleinen van gerichte aanvallen door actoren met gangbare vaardigheden en middelen. Essential richt zich op geavanceerde aanvallen door actoren met uitgebreide vaardigheden en middelen. Het CCB paste de niveaus achteraf toe op historische aanvalsgegevens: Basic dekt volgens die oefening 82 procent van de aanvallen, Important 94 procent en Essential 100 procent. Over Small is minder gepubliceerd. Vraag bij het CCB of de beoordelingsinstantie na hoe een eventuele externe beoordeling op dat niveau verloopt.
Vergelijking
Drie niveaus naast elkaar, volgens CyFun 2025
De aantallen komen uit de CyFun 2025-gegevens zoals op onze CyFun-pagina vermeld.
| Niveau | Aantal requirements | Beoordeling | Typisch profiel |
|---|---|---|---|
| Basic | 34 | Verificatie door een geaccrediteerde conformiteitsbeoordelingsinstantie, daarna label aanvragen | Organisaties buiten NIS2 die een eerste stap zetten, leveranciers van wie een klant een basisniveau vraagt, lichtere en sectorspecifieke gevallen |
| Important | 133 | Verificatie door een geaccrediteerde conformiteitsbeoordelingsinstantie, daarna label aanvragen | Belangrijke entiteiten en essentiële entiteiten op weg naar Essential |
| Essential | 218 | Certificatie | Essentiële entiteiten en organisaties met het hoogste risicoprofiel |
Niveau bepalen
Uw niveau volgt uit drie bronnen, in deze volgorde
- 1Start bij uw NIS2-categorie. Essentiële entiteiten worden geacht Essential te halen, tenzij hun risicoanalyse een lager niveau verantwoordt. Voor belangrijke entiteiten is Important de gebruikelijke richting. Een strikte één-op-één regel staat niet in de CCB-teksten die wij raadpleegden. Weet u uw categorie nog niet, begin dan met het scope-artikel.
- 2Voer een eigen risicoanalyse uit. Het CCB biedt daarvoor de CyFun Selection Tool aan als eerste stap van zijn vierstappenmodel: risicoanalyse, zelfbeoordeling met de Self-Assessment Tool, beoordeling door een instantie en aanvraag van het label.
- 3Leg uw klanten naast uw analyse. Aanbestedingen en NIS2-plichtige klanten kunnen een niveau contractueel opleggen. Zo'n eis kan hoger liggen dan uw eigen analyse nodig heeft, en dan wint de eis.
- 4Leg de keuze schriftelijk vast met de redenering erbij. Wie later een afwijkend niveau moet verdedigen, heeft die onderbouwing nodig.
Lager dan verwacht
Alleen met onderbouwingEen lager niveau is te verantwoorden als uw risicoanalyse het draagt
Een essentiële entiteit mag een lager CyFun-niveau kiezen als dat objectief gerechtvaardigd is door haar eigen risicoanalyse. Daarvoor is geen goedkeuring van het CCB nodig. De onderbouwing blijft intern gedocumenteerd, en de inspectiedienst kan ze betwisten. Volgens de mededeling van de CCB-inspectiedienst hoeft er geen remediatieplan te komen voor wie op basis van de risicoanalyse een lager zekerheidsniveau kan verantwoorden en tegen 18 april 2027 aantoont aan dat niveau te voldoen. Een lager niveau is dus een verdedigbare keuze, geen sluiproute. Het werkt alleen als de analyse klopt, bij een inspectie standhoudt en niet vooral is geschreven om werk te vermijden.
Scharnierniveau
ImportantImportant is nu het niveau waar veel dossiers samenkomen
De inspectiedienst geeft tot 18 april 2027 voorrang aan het verifiëren van maatregelen die gelijkwaardig zijn aan CyFun Important, en Essential moet tegen 18 april 2028 bereikt zijn. Daardoor is Important het niveau waarop essentiële entiteiten eerst getoetst worden en de tussenstap in een remediatieplan. Wat dat precies betekent per route en per categorie, leest u op de faseringspagina. Die inhoud herhalen we hier niet.
Opbouw
De niveaus bouwen op elkaar op, dus werk gaat niet verloren
Strikte deelverzamelingen
Basic is een strikte deelverzameling van Important, en Important van Essential. Wat u op een lager niveau opbouwt, telt volledig mee op een hoger niveau.
ISO 27001 als ingang
Een ISO 27001-certificaat met de juiste scope en verklaring van toepasselijkheid kan gebruikt worden om het label te verkrijgen. De beoordelingsinstantie controleert de scope.
Kies eerst het doel
Een tussenniveau heeft zin als het in uw eindplan past. Kent u uw doelniveau, dan kunt u de maatregelen zo ordenen dat elke stap de volgende voorbereidt.
Edities
CyFun 2025 vervangt de editie 2023
De nieuwe editie heeft andere requirementteksten en een andere nummering.
Wat er veranderde
Volgens het CCB sluit 2025 aan bij NIST CSF 2.0, nationale en Europese regels en NIS2. Er is meer aandacht voor toeleveringsketen en OT, en de controles zijn duidelijker geformuleerd om auditen te vergemakkelijken. De editie telt zes functies: GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND en RECOVER. GOVERN is nieuw, met governancemaatregelen vanaf Important.
Overgangsperiode
Het CCB zegt dat beide edities nog een periode beschikbaar blijven, waarna enkel de nieuwe wordt aanvaard. Een einddatum vonden wij niet op een CCB-pagina. Vraag ze na bij uw beoordelingsinstantie en start een nieuw traject op 2025.
Scoring en sleutelmaatregelen
Elk niveau heeft sleutelmaatregelen die extra zwaar wegen, en conformiteitsdrempels die rekening houden met de maturiteit. De exacte scores en aantallen staan in de Self-Assessment Tool van het CCB, en die zijn voor u de bron.
Beoordeling
Een erkende instantie beoordeelt, wij leiden het traject
Voor CyFun-beoordeling werkt u met een conformiteitsbeoordelingsinstantie die door BELAC geaccrediteerd is en door het CCB erkend. De lijst staat op Safeonweb@Work. Zelfbeoordeling gebeurt in een Excel-tool met spiderdiagrammen, plus mapping en beleidstemplates uit de CyFun-toolbox. RGI begeleidt als projectleider: scoping, gap-analyse, planning en voorbereiding van de beoordeling, samen met uw IT-partner of specialisten uit ons netwerk. RGI verifieert of certificeert zelf niet.
Veelgestelde vragen
Kort beantwoord
Welk CyFun-niveau past bij u?
In een eerste gesprek van 30 minuten bepalen we samen uw categorie, uw doelniveau en de volgorde van uw stappen. Het gesprek is gratis.