Joey wordt Security Consultant: security vraagt steeds vaker om bewijs

Op 1 september is Joey gestart als Security Consultant bij BK IT Solutions. Die functie is nieuw binnen ons bedrijf, maar de aanleiding is duidelijk. Klanten krijgen steeds vaker te maken met NIS2, ISO 27001, cyberverzekeringen en beveiligingsvragenlijsten. Daardoor gaat cybersecurity allang niet meer alleen over techniek, maar ook over beleid, processen en aantoonbaarheid.

Precies op dat snijvlak ligt de expertise van Joey. Tijdens zijn opleiding Business IT & Management specialiseerde hij zich in IT-compliance. Voor zijn afstudeeronderzoek onderzocht hij hoe wij klanten praktisch kunnen begeleiden bij de implementatie van NIS2. Inmiddels vertaalt hij die kennis dagelijks naar beleid, verbeterplannen en concrete maatregelen voor onze klanten.

Een duidelijke keuze voor IT-compliance

Joey kent BK IT Solutions al langer. Tijdens zijn mbo-opleiding liep hij voor het eerst stage bij ons. Daarna vervolgde hij zijn ontwikkeling met de hbo-opleiding Business IT & Management en deed hij ervaring op bij een IT-auditbedrijf. Daar ontstond zijn interesse in IT-compliance.

“Bij het auditbedrijf ontdekte ik hoe belangrijk de combinatie van techniek, beleid en aantoonbaarheid is. In deze functie kan ik mij daar volledig in verdiepen.”

Voor zijn afstudeeronderzoek keerde Joey terug naar BK IT Solutions. Zijn opdracht richtte zich op een actueel vraagstuk: hoe kunnen we organisaties niet alleen technisch beveiligen, maar ook begeleiden bij het aantoonbaar voldoen aan NIS2?

Het onderzoek sloot direct aan op wat wij bij klanten zagen. De vraag naar ondersteuning bij cybersecuritybeleid, risicobeheer, audits en certificering groeide. Daarom besloten we deze expertise onder te brengen in een vaste rol binnen ons bedrijf. Wat begon als een afstudeeronderzoek, groeide zo uit tot een nieuwe functie.

Van technische ondersteuning naar professioneel advies

Joey begon zijn loopbaan dicht bij de dagelijkse praktijk. Op de servicedesk hielp hij gebruikers, loste hij technische problemen op en ging hij zelfstandig naar klanten. Dat was waardevol, omdat security- en complianceadvies niet alleen op papier moet kloppen. Het moet ook uitvoerbaar zijn voor de organisatie en begrijpelijk blijven voor de mensen die ermee werken. Vooral de communicatie met klanten heeft hem daarin gevormd.

“In het begin vond ik het best spannend om klanten telefonisch te helpen. Ik was inhoudelijk druk met een oplossing, maar vergat soms te vertellen wat ik aan het doen was. Daardoor kon het lijken alsof er niets gebeurde.”

Sindsdien koppelt Joey tussentijds terug, ook wanneer een oplossing nog niet direct beschikbaar is. Hij legt uit wat er wordt onderzocht, wat de volgende stap is en wanneer de klant weer iets hoort. Juist bij een beveiligingsincident, audit of compliance vraagstuk is dat belangrijk. Technische kennis alleen is dan niet genoeg. Een klant moet begrijpen wat er gebeurt, welke risico’s er zijn en wat er van de organisatie wordt verwacht.

Waarom security steeds vaker over aantoonbaarheid gaat

Een veilige IT-omgeving blijft de basis. Denk aan multi-factor authenticatie, veilige back-ups, patchmanagement, monitoring en goed ingerichte toegangsrechten. Maar steeds vaker komt daarna een tweede vraag: Kun je aantonen dat dit structureel goed is geregeld?

Die vraag komt meestal vanuit drie richtingen.

De wetgever

Organisaties die onder de Cyberbeveiligingswet vallen, krijgen verplichtingen op het gebied van risicobeheer, incidentmelding, bedrijfscontinuïteit en bestuurlijke verantwoordelijkheid. Dat vraagt meer dan alleen het inschakelen van een beveiligingsfunctie. Er moeten afspraken, verantwoordelijkheden, procedures en bewijsstukken zijn.

Op onze pagina over NIS2 en de Cyberbeveiligingswet leggen we uit welke organisaties ermee te maken krijgen en hoe je de implementatie praktisch kunt aanpakken.

De verzekeraar

Bij het afsluiten of verlengen van een cyberverzekering krijgen organisaties steeds uitgebreidere vragenlijsten. Is multi-factor authenticatie actief? Hoe worden back-ups beschermd? Binnen welke termijn worden kwetsbaarheden opgelost? Is er continue monitoring? Bestaat er een incidentresponseplan?

Het is belangrijk om deze vragen niet alleen positief te beantwoorden, maar ook te controleren of de antwoorden echt overeenkomen met de praktijk. Bij een incident moet je namelijk kunnen onderbouwen welke maatregelen daadwerkelijk waren ingericht.

Je eigen klanten en opdrachtgevers

Ook organisaties die niet direct onder NIS2 vallen, krijgen steeds vaker met compliance-eisen te maken.

Lever je aan een organisatie die zelf onder de Cyberbeveiligingswet valt? Dan kan die opdrachtgever beveiligingseisen doorleggen naar leveranciers. Beveiligingsvragenlijsten, contractuele voorwaarden en certificaateisen worden daardoor een steeds normaler onderdeel van aanbestedingen en offertetrajecten.

Een onafhankelijke certificering kan helpen om aan te tonen dat passende maatregelen zijn genomen. BK IT Solutions heeft zelf het hoogste niveau van de NIS2 Supply Chain-certificering behaald. In ons artikel over NIS2 en ketenverantwoordelijkheid leggen we uit waarom aantoonbaarheid binnen de keten steeds belangrijker wordt.

Daarnaast ondersteunen we organisaties die ISO 27001-gecertificeerd zijn en hun managementsysteem jaarlijks moeten onderhouden en verdedigen tijdens een audit. In al deze situaties gaat het niet alleen om de vraag of je veilig bent. Je moet laten zien hoe je beveiliging is georganiseerd, wie waarvoor verantwoordelijk is en hoe je controleert of maatregelen blijven werken.

Dat is precies het werkgebied van een Security Consultant.

Wat Joey als Security Consultant gaat doen

Joey begeleidt klanten bij vraagstukken rondom informatiebeveiliging, NIS2 en compliance. Daarbij brengt hij techniek, beleid en organisatie bij elkaar.

Een NIS2-traject bestaat meestal uit drie onderdelen.

Inzicht in de huidige situatie

Samen brengen we in kaart welke maatregelen al aanwezig zijn, welke risico’s nog bestaan en welke onderdelen onvoldoende zijn vastgelegd.

Een haalbare roadmap opstellen

Niet iedere organisatie hoeft direct een uitgebreid certificeringstraject te starten. Daarom bepalen we eerst welke stappen passen bij de risico’s, verplichtingen en doelstellingen van de organisatie.

Dat kan bijvoorbeeld gaan om:

• cybersecuritybeleid;
• een risicoanalyse;
• een continuïteits- en herstelplan;
• incidentmanagement;
• leveranciersmanagement;
• rollen en verantwoordelijkheden;
• technische beveiligingsmaatregelen;
• security awareness;
• het verzamelen en onderhouden van bewijslast.

Implementeren, onderhouden en aantoonbaar maken

Compliance is geen project met een einddatum. Beleid moet actueel blijven, risico’s veranderen en maatregelen moeten periodiek worden gecontroleerd.

Wil een organisatie de implementatie onafhankelijk laten beoordelen? Dan kan een NIS2 Supply Chain-certificering een logische vervolgstap zijn. Daarmee kun je richting opdrachtgevers, ketenpartners en verzekeraars aantonen dat belangrijke beveiligingsmaatregelen zijn ingericht en geborgd.

Joey heeft inmiddels meerdere audits en NIS2-implementatietrajecten bij klanten ondersteund. Daardoor weet hij welke vragen auditors stellen, welk bewijs relevant is en waar organisaties in de praktijk tegenaan lopen.

Ervaring met audits vanuit beide kanten

BK IT Solutions is zelf ISO 27001 en NEN 7510-gecertificeerd. Dat betekent dat ook onze eigen processen, technische maatregelen en documentatie periodiek onafhankelijk worden beoordeeld. Joey is intern verantwoordelijk voor het onderhouden en verder ontwikkelen van ons Information Security Management System. Hij werkt mee aan interne en externe audits, houdt verbeteracties bij en actualiseert beleid wanneer normen, risico’s of onze dienstverlening veranderen.

In juli 2026 nam Joey bijvoorbeeld als Security Consultant deel aan onze NEN 7510-transitieaudit. De transitie naar de nieuwe NEN 7510-1:2024-norm is vervolgens formeel goedgekeurd.

Ook het informatiebeveiligingsbeleid van BK IT Solutions bevat meerdere inhoudelijke bijdragen van Joey, waaronder aanvullingen rond operationele technologie, leveranciersrisico’s en externe meldplichten.

Die ervaring gebruikt hij bij klanten. Niet vanuit een theoretisch model, maar vanuit een omgeving die zelf jaarlijks wordt gecontroleerd en continu moet kunnen aantonen dat informatiebeveiliging wordt onderhouden.

Beleid en techniek moeten in de praktijk werken

Hoewel Joey zich specialiseert in compliance, staat dat nooit los van technische beveiliging. Een beleidsdocument waarin staat dat updates tijdig worden uitgevoerd, heeft weinig waarde wanneer niemand controleert of dat werkelijk gebeurt. Hetzelfde geldt voor back-ups die nooit worden getest, accounts die niet tijdig worden afgesloten of een incidentprocedure die alleen op papier bestaat.

Daarom werkt Joey nauw samen met onze technische consultants, engineers en securitypartners. Onderdeel daarvan is het periodiek testen van beveiligingsmaatregelen. Zo laten we bij onze eigen organisatie pentesten uitvoeren. Een gespecialiseerde partij probeert daarbij gecontroleerd kwetsbaarheden te vinden en rapporteert wat wel en niet mogelijk bleek. Op verzoek kunnen we dit ook voor klanten organiseren.

Een beveiligingsmaatregel die nooit is getest, blijft uiteindelijk een aanname.

“Veel organisaties hebben al meer geregeld dan ze zelf denken. De uitdaging is om te controleren of maatregelen goed werken, ontbrekende onderdelen aan te vullen en het geheel aantoonbaar te maken.”

Technische beveiliging, continue monitoring en compliance versterken elkaar. Op onze pagina over cyberveiligheid voor bedrijven lees je meer over de maatregelen die helpen om digitale risico’s structureel te beperken.

Nog lang niet uitgeleerd

Joey heeft inmiddels zijn hbo-opleiding Business IT & Management afgerond en zijn eerste NIS2- en audittrajecten uitgevoerd. De volgende stap is verdere verdieping op het gebied van auditing. Hij wil hiervoor de opleiding tot Lead Auditor volgen.

“Op het gebied van cybersecurity en compliance ben je nooit uitgeleerd. Normen veranderen, risico’s ontwikkelen zich en organisaties stellen steeds hogere eisen. Je moet je kennis dus blijven bijhouden.”

Die instelling past bij de manier waarop we binnen BK IT Solutions werken. We willen niet alleen maatregelen implementeren, maar ook begrijpen waarom ze nodig zijn en hoe ze bijdragen aan de continuïteit van een organisatie.

Wat de komst van Joey voor klanten betekent

Security en compliance zijn bij BK IT Solutions geen onderwerpen die iemand er tussendoor bij doet. Met Joey hebben klanten een vast aanspreekpunt dat zich specifiek richt op beleid, risicobeheersing, audits en aantoonbaarheid.

Je kunt bijvoorbeeld bij hem terecht met vragen zoals:

• Valt onze organisatie onder NIS2 en wat betekent dat concreet?
• Welke maatregelen hebben we al genomen en wat ontbreekt nog?
• Onze opdrachtgever stuurt een beveiligingsvragenlijst. Kunnen we die eerlijk en onderbouwd invullen?
• Onze verzekeraar vraagt om bewijs van beveiligingsmaatregelen. Wat kunnen we aanleveren?
• We hebben technisch veel geregeld, maar ons beleid en onze procedures zijn niet volledig vastgelegd.
• Hoe houden we onze ISO 27001-certificering aantoonbaar op orde?
• Is een NIS2 Supply Chain-certificering voor onze organisatie relevant?
• Hoe controleren we of onze beveiligingsmaatregelen in de praktijk goed werken?

We beginnen daarbij niet automatisch met een uitgebreid rapport of certificeringstraject. Eerst brengen we in kaart waar je staat, welk risico je loopt en wat er werkelijk van je organisatie wordt gevraagd.

Wil je alvast controleren welke NIS2-vragen voor jouw organisatie relevant zijn? Bekijk dan ook onze veelgestelde vragen over NIS2.

Herken je één van deze vraagstukken? Neem dan contact op met je vaste contactpersoon bij BK IT Solutions en vraag naar Joey. Samen bepalen we welke stappen nodig zijn om niet alleen veilig te werken, maar dat ook overtuigend te kunnen aantonen.