Kennisbank · NIS2 en CyFun
Wat kost een NIS2- of CyFun-traject voor een kmo?
Een eerlijk antwoord begint met: dat hangt af van waar u vandaag staat. Een prijskaartje zou hier gokwerk zijn. Wat wel kan: de rekening uit elkaar halen in vijf kostenblokken, tonen wat ze omhoog of omlaag duwt en aangeven waar bedrijven zich misrekenen. Daarmee kunt u elke offerte zelf beoordelen.
Het idee
Vijf blokken, waarvan twee in geen enkele offerte staanDe offerte van de adviseur is maar een deel van de rekening
Wie een NIS2- of CyFun-traject opstart, vraagt meestal offertes aan bij een adviseur en eventueel een IT-partner. Dat zijn de zichtbare bedragen. De uren van uw eigen mensen en het onderhoud nadien staan nergens op papier, terwijl ze over meerdere jaren zwaar wegen. Wie alleen offertes naast elkaar legt, vergelijkt dus het kleinste stuk. Over de beoordeling zelf is er een bijzonderheid: voor zover bekend bestaan er geen officiële tarieven voor een CyFun-beoordeling. Elke beoordelingsinstantie bepaalt haar eigen prijs, dus vraag er meer dan één.
De blokken
Waar het geld naartoe gaat
Begeleiding en projectleiding
Scope bepalen, niveau kiezen, gap-analyse, plan van aanpak en opvolging van de uitvoering. Dit is het blok waar een adviseur zoals RGI in zit.
Technische maatregelen bij de IT-partner
Back-ups, toegangsbeheer, logging, patchbeheer, segmentatie. Dit is werk van uw IT-partner of van specialisten, en het wordt apart gefactureerd.
Interne uren
Beleid laten goedkeuren, processen aanpassen, bewijs verzamelen, personeel opleiden, vragen van de beoordelaar beantwoorden. Meestal het grootste blok en bijna nooit begroot.
Verificatie of certificatie
Een geaccrediteerde beoordelingsinstantie toetst uw zelfbeoordeling en bewijs. Dit is een eigen kostenpost, los van de begeleiding, en dat moet ook zo blijven.
Onderhoud nadien
Maatregelen blijven draaien, bewijs blijft aangevuld, incidenten worden geoefend en de beoordeling moet op termijn hernomen worden. Dit blok verdwijnt nooit.
Prijsdrijvers
Twee bedrijven van dezelfde grootte kunnen ver uit elkaar liggen
Dit zijn de factoren die het verschil maken.
Het vertrekpunt
Een bedrijf met werkende back-ups, toegangsbeheer en een bestuur dat meedraait, heeft een kleinere kloof te dichten dan een bedrijf dat dit nog moet bouwen.
Het gekozen niveau
Basic, Important en Essential vragen een oplopend aantal maatregelen. Het niveau volgt uit uw risicoanalyse en uw categorie, niet uit uw budget.
Aantal sites en systemen
Alle relevante netwerk- en informatiesystemen moeten binnen de scope vallen. Elke extra vestiging, cloudomgeving of toepassing vergroot het werk.
Bestaande ISO 9001 of ISO 27001
Een werkend managementsysteem draagt een deel van het beleid, de documentatie en de interne audit. Een ISO 27001-certificaat met passende scope is bovendien zelf een erkende route. Wat ISO 9001 precies kan hergebruiken, bekijkt u per requirement.
Een OT-omgeving
Productiemachines en sturingen laten zich niet zomaar patchen of segmenteren. Dat vraagt specialistisch werk en overleg met de leverancier.
Beschikbaarheid van eigen mensen
Een traject zonder iemand intern die tijd krijgt, loopt vast of schuift door naar externe uren, en die zijn duurder.
Rekenfouten
Waar de vergelijking scheefloopt
Alleen de eenmalige som tellen
Zet de kosten over drie tot vijf jaar naast elkaar, inclusief onderhoud en herbeoordeling. De rangorde van offertes verandert dan vaak.
De IT-partner vergeten
Een adviseur schrijft het plan, maar de maatregelen moeten ergens worden doorgevoerd. Vraag uw IT-partner vooraf wat zijn deel kost.
Beleid zonder bewijs
Een goedgekeurd beleid volstaat niet. De beoordelaar vraagt bewijs dat het wordt uitgevoerd. Wie dat achteraf moet opbouwen, betaalt dubbel.
Te laat een beoordelaar zoeken
Het aantal instanties is beperkt. Wie pas laat een slot zoekt, werkt onder tijdsdruk en heeft weinig keuze.
Geen budget voor jaar twee
Een label dat niemand onderhoudt, verliest zijn waarde. Voorzie het onderhoud vanaf dag één.
De kost van niets doen
De wettelijke boetes zijn niet de grootste post, maar ze bepalen wel de bovengrens
Dit zijn de boetes uit de Belgische NIS2-wet voor de belangrijkste inbreuken. Daarnaast kunnen bestuurders aansprakelijk zijn als de entiteit de risicobeheerverplichtingen schendt, en kan het CCB bindende instructies of bijkomende maatregelen opleggen.
| Situatie | Boete |
|---|---|
| Essentiële entiteit, risicobeheer of incidentmelding | 500 euro tot 10.000.000 euro of 2% van de wereldwijde jaaromzet van de groep, het hoogste telt |
| Belangrijke entiteit, risicobeheer of incidentmelding | 500 euro tot 7.000.000 euro of 1,4% van de wereldwijde jaaromzet van de groep, het hoogste telt |
| Inbreuk op de identificatie- en registratieplicht | 500 euro tot 125.000 euro |
| Belemmeren van het toezicht | 500 euro tot 200.000 euro |
| Herhaling binnen drie jaar | Boete verdubbeld |
Subsidies
Er is steun, maar de voorwaarden veranderen sneller dan deze pagina
De percentages hieronder staan op de officiële pagina's van de overheid. Controleer altijd de actuele voorwaarden, het beschikbare budget en uw eigen toelaatbaarheid bij de overheid zelf voor u iets beslist of bestelt.
| Maatregel | Wat de officiële bron zegt | Let op |
|---|---|---|
| VLAIO cybersecurity-verbetertrajecten (Vlaanderen) | Voortgezet in 2026 via erkende dienstverleners, in drie pakketten (START, MEDIUM, PLUS). Steun van 50% voor kmo's en maatwerkbedrijven, 35% voor niet-kmo's onder NIS2 die nog geen sterk beleid of roadmap hebben. | De Minimisregel is van toepassing. U kiest een erkende aanbieder, niet zomaar een adviseur. |
| KMO-portefeuille (Vlaanderen) | Advies enkel nog voor cybersecurity. 45% voor kleine en 35% voor middelgrote ondernemingen, plafond 7.500 euro per jaar. | Stopt op 1 januari 2027. VLAIO meldt dat het budget intussen opgebruikt is en dat nieuwe aanvragen niet meer kunnen. Controleer de actuele stand. |
| Cheque cybersecurity (Wallonië) | 75% van de kost van de expert, plafond 50.000 euro per begunstigde over drie jaar, voor kmo's met hoofdzetel in Wallonië. | Enkel advies en begeleiding. Of de cheque op dit moment open staat, moet u nakijken. |
Voor u tekent
Zeven vragen aan elke aanbieder
- 1Welke fase dekt uw offerte precies, en wat valt er uitdrukkelijk buiten?
- 2Hoeveel uren verwacht u van mijn eigen mensen, en welke rollen zijn dat?
- 3Wie voert de technische maatregelen uit, en staat dat in deze prijs of in die van mijn IT-partner?
- 4Is de beoordelaar volledig onafhankelijk van u, en wie kiest hem?
- 5Wat gebeurt er met de prijs als de scope wijzigt of de zelfbeoordeling slechter blijkt dan gedacht?
- 6Wat kost het onderhoud na de beoordeling, en wat moet ik zelf kunnen?
- 7Hoe verloopt de overdracht naar mijn organisatie als het project afgelopen is?
Hoe RGI werkt
Per fase een aparte offerte met vaste prijs
RGI leidt en begeleidt het traject, maar voert zelf geen technische maatregelen uit en doet geen verificatie of certificatie. De technische kant gebeurt met uw IT-partner of met specialisten uit ons netwerk, de beoordeling door een geaccrediteerde instantie. We werken in fasen, en voor elke fase maken we een aparte offerte met een vaste prijs. U beslist dus telkens opnieuw of u verder gaat, en u betaalt niet voor fasen die u niet nodig hebt. Het eerste gesprek is gratis. We bekijken samen waar u staat en welke blokken in uw geval het zwaarst wegen.
Veelgestelde vragen
Kort beantwoord
Een offerte op tafel die u niet kunt beoordelen?
Stuur ze door of plan een gesprek. Het eerste gesprek is gratis. We lopen de vijf kostenblokken samen af en zeggen u wat er ontbreekt.