Uw vragen over samenwerken met Cyvra.

Wij bieden vier kernservicegebieden:

Cybersecurity: risicobeoordelingen, penetratietesten, beveiligingsframeworks, identiteits- en toegangsbeheer, incidentrespons en training in beveiligingsbewustzijn.

IT-beheer: IT-strategie, cloudinfrastructuur (Azure, Microsoft 365), servicedesk, leveranciersbeheer, kostenoptimalisatie en back-up en noodherstel.

Artificial Intelligence: Beoordeling van AI-strategieën en -gereedheid, AI-procesautomatisering, Microsoft Copilot-implementatie, ontdekking van AI-gebruiksscenario's en AI-beheer.

Audits en naleving: ISO 27001-certificering, GDPR, PCI DSS, NIS2, DORA, interne audits en voortdurende monitoring van de naleving.

Beide. Afhankelijk van uw behoeften bieden we strategisch advies (beoordelingen, gap-analyses en roadmaps) en praktische ondersteuning bij de implementatie. We zijn een adviesbureau, geen managed service provider: we werken samen met uw eigen IT-team en uw huidige IT-leverancier in plaats van ze te vervangen. We duwen klanten niet in contracten die ze niet nodig hebben. Wij kijken wat goed is voor uw situatie.

Ja. Ons cybersecurityteam kan actieve incidentrespons ondersteunen, inclusief inperking, forensische analyse en herstel. We helpen organisaties ook bij het opstellen van draaiboeken voor incidentrespons en het vooraf uitvoeren van tabletop-oefeningen, zodat uw team precies weet wat ze moeten doen als er iets gebeurt.

Als u op dit moment te maken heeft met een actief incident, neem onmiddellijk contact met ons op en wij zullen uw verzoek voorrang geven.

Bij een lopend incident geven wij uw verzoek voorrang en reageren wij dezelfde werkdag. De eerste uren gaan naar inperking: het isoleren van het property management system (PMS), het intrekken van gecompromitteerde toegang en het veiligstellen van logbestanden. Daarna beoordelen we welke gast- en betaalgegevens zijn geraakt, zodat u de melding bij de Autoriteit Persoonsgegevens binnen 72 uur en, bij kaartgegevens, de melding aan uw acquirer op tijd kunt doen.

Wij kennen de systemen die in hotels het doelwit zijn: PMS, channel manager, boekingsplatforms, betaalterminals en het gastennetwerk. Zie onze pagina over cybersecurity voor de horeca en het Hotel Cybersecurity Risk Report 2026.

Ja. We bestrijken het volledige ISO 27001-traject: gap-analyse, risicobeoordeling, controleontwerp en -implementatie, documentatie, beleidsontwikkeling, interne audit en voorbereiding van certificeringsinstanties. Wij blijven betrokken tijdens het hele proces. Wij geven geen map met documenten af en wensen u veel succes.

We helpen organisaties ook om hun certificering op de lange termijn te behouden, omdat naleving die na de eerste audit afwijkt, naleving is die bij de volgende audit niet lukt.

NIS2 is de bijgewerkte netwerk- en informatiebeveiligingsrichtlijn van de EU, die in oktober 2024 van kracht werd. Het breidt de reikwijdte van de oorspronkelijke NIS-richtlijn aanzienlijk uit en bestrijkt een breder scala aan sectoren, waaronder de gezondheidszorg, financiële diensten, digitale infrastructuur, beheerde diensten en meer.

Onder NIS2 worden organisaties geconfronteerd met strengere eisen op het gebied van risicobeheer, incidentrapportage, beveiliging van de toeleveringsketen en verantwoordelijkheid van leidinggevenden. De boetes voor niet-naleving kunnen aanzienlijk zijn. Als u niet zeker weet of NIS2 op uw bedrijf van toepassing is, neem contact op en wij helpen u snel uw verplichtingen in kaart te brengen.

De Cyberbeveiligingswet zet NIS2 om in Nederlands recht en is sinds 15 augustus 2026 van kracht. U valt eronder als uw organisatie actief is in een van de aangewezen sectoren (onder meer zorg, financiële dienstverlening, digitale infrastructuur, managed IT-diensten, energie, transport, voedsel, chemie en overheid) en minimaal 50 medewerkers of een jaaromzet van meer dan 10 miljoen euro heeft. Kleinere organisaties kunnen alsnog onder de wet vallen als zij een unieke rol in een keten vervullen, en bepaalde aanbieders van digitale diensten vallen eronder ongeacht hun omvang.

De Rijksinspectie Digitale Infrastructuur (RDI) biedt een zelfevaluatie om te bepalen of u een essentiële of belangrijke entiteit bent. Wij helpen u die classificatie te onderbouwen en vertalen de tien zorgplichtmaatregelen uit artikel 21 naar concrete acties. Gebruik onze NIS2-checklist als eerste stap.

Bij een significant incident doet u binnen 24 uur een eerste melding bij het CSIRT en de toezichthouder, binnen 72 uur een uitgebreidere melding met een eerste beoordeling van ernst en impact, en binnen een maand een eindrapport. Dit staat los van de AVG: een datalek met persoonsgegevens meldt u daarnaast binnen 72 uur bij de Autoriteit Persoonsgegevens.

In de praktijk betekent dit dat uw incidentresponsplan, de beoordelingsdrempel voor "significant" en de contactgegevens van de toezichthouder klaar moeten liggen voordat er iets gebeurt. Wij stellen die procedure samen met uw team op en oefenen hem in een tabletop-sessie. Lees meer in ons artikel over melden binnen 72 uur.

Verzekeraars stellen inmiddels harde voorwaarden. De vijf controles die vrijwel elke aanvraag toetst zijn multifactorauthenticatie op e-mail, VPN en beheerdersaccounts, offline of onveranderbare back-ups die regelmatig worden getest, endpoint detection and response (EDR) op alle werkplekken en servers, een gedocumenteerd patchbeleid en een incidentresponsplan. Ontbreekt een van deze punten, dan volgt een hogere premie, een uitsluiting of een afwijzing.

Wij brengen uw huidige stand van zaken in kaart, dichten de gaten vóór de aanvraag of verlenging en leveren het bewijs dat de verzekeraar wil zien. Onze gids over cyberverzekeringen beschrijft het proces stap voor stap.

Ja. Via de regeling Mijn Cyberweerbare Zaak van de Rijksdienst voor Ondernemend Nederland (RVO) kunnen zzp'ers en mkb-bedrijven tot 50 fte 50% van de kosten van cyberweerbaarheidsmaatregelen vergoed krijgen, tot een maximum van 1.250 euro. Het gaat onder meer om back-upoplossingen, wachtwoordmanagers, multifactorauthenticatie en beveiligingstrainingen. Het aanvraagvenster voor 2026 loopt van 7 september tot 30 november en het budget is beperkt, dus vroeg indienen vergroot de kans op toekenning.

Cyvra is geen subsidieadviseur, maar wij zorgen dat het werk aansluit op de voorwaarden van een regeling en leveren de documentatie die u voor de aanvraag nodig heeft. Ons overzicht van subsidies voor cybersecurity behandelt de voorwaarden, aanvraagdata en aanvullende regelingen.

Ons GDPR-werk omvat het in kaart brengen van wettelijke grondslagen, registraties van verwerkingsactiviteiten (RoPA), gegevensbeschermingseffectbeoordelingen (DPIAs), procedures voor melding van inbreuken, processen voor de rechten van betrokkenen en adviesondersteuning voor DPO's. Wij beschouwen compliance als iets dat moet worden ingebed in de manier waarop het bedrijf werkt. Het is geen eenmalige afvinkoefening.

Ja. Wij bieden auditgereedheidsbeoordelingen die repliceren waar auditors naar op zoek zijn: walkthroughs van bewijsmateriaal, voorbereiding van interviews met belanghebbenden, documentatiebeoordelingen en het verhelpen van lacunes. Volgens het GRC-onderzoek uit 2025 van Swimlane zou 71% van de organisaties kunnen mislukken voor een compliance-audit. Het merendeel van deze fouten is te wijten aan lacunes in de documentatie en processen, en niet zozeer aan kwaadwillige acties. Dat is precies het gebied waarin wij werken.

Onze opdrachten zijn beperkt tot een gedefinieerd resultaat, maar we verdwijnen niet zodra het werk klaar is. Als er vervolgvragen naar voren komen, er zes maanden later een bevinding naar boven komt, of als uw auditor iets onverwachts naar voren brengt, kunt u bij ons terugkomen. We zullen al het extra werk dat nodig is eerlijk en zonder onnodige upselling uitvoeren.

Voor doorlopende behoeften zoals monitoring, periodieke beoordelingen of voortdurende ondersteuning via een certificeringscyclus kunnen we ook regelingen voor de langere termijn structureren. We dwingen klanten niet tot houders die ze niet nodig hebben, maar de optie is er als dit zinvol is voor uw situatie.

Wij werken aan afspraken met een vaste prijs en duidelijke tijdlijnen en kosten. Voordat de werkzaamheden beginnen, weet u precies wat u krijgt en wat het gaat kosten. Geen verrassingen, geen scope creep gefactureerd tegen dagtarieven, geen verborgen kosten.

We sluiten klanten niet op aan doorlopende provisies die ze niet nodig hebben. Als u een eenmalige taxatie nodig heeft, dan is dat onze oplossing. Als u doorlopende ondersteuning nodig heeft, kunnen wij die ook structureren, op uw voorwaarden en niet als standaardvoorwaarde.

Wilt u een indicatie vooraf? De vragen hieronder geven per dienst de gebruikelijke prijsklassen voor ISO 27001, een penetratietest en een vCISO.

Voor een organisatie van 20 tot 150 medewerkers liggen de totale kosten in het eerste jaar doorgaans tussen 15.000 en 40.000 euro. Daarin zitten de begeleiding (gap-analyse, risicobeoordeling, documentatie, interne audit), de certificeringsaudit door een geaccrediteerde instelling (meestal 3.000 tot 8.000 euro voor fase 1 en 2) en eventuele tooling. De jaarlijkse surveillance-audits en het onderhoud van het ISMS kosten daarna een fractie van dat bedrag.

De grootste kostenpost is niet de auditor, maar interne tijd. Onze ISO 27001-gids voor het mkb splitst de kosten per fase uit. Na een verkennend gesprek ontvangt u van ons een vaste prijs voor het volledige traject.

Een gerichte externe netwerktest voor een klein bedrijf begint bij ongeveer 2.000 tot 4.000 euro. Een webapplicatietest voor een middelgroot platform kost 3.500 tot 8.000 euro. Bredere opdrachten, red team-oefeningen of tests met fysieke en social engineering-elementen beginnen rond 10.000 euro. De prijs hangt af van de omvang van de scope, de aanpak (black box, grey box of white box) en de vereiste rapportage.

Wees terughoudend met zeer goedkope geautomatiseerde scans die als penetratietest worden verkocht. Een scan vindt bekende kwetsbaarheden; een handmatige test toont aan wat een aanvaller er daadwerkelijk mee kan. Lees onze gids over penetratietesten voor de verschillen.

Een fulltime CISO kost in Nederland 100.000 tot 160.000 euro per jaar, exclusief werving en secundaire arbeidsvoorwaarden. Een vCISO werkt op basis van een vast aantal dagen per maand en kost afhankelijk van de inzet doorgaans 2.000 tot 8.000 euro per maand. U krijgt daarmee senior expertise, een aanspreekpunt voor toezichthouders en verzekeraars en een beveiligingsprogramma dat doorloopt, zonder de kosten van een voltijdsfunctie.

Op onze pagina over de virtuele CISO en in de gids over de vCISO en virtuele IT-manager leest u wanneer dit model past. Na een verkennend gesprek ontvangt u een vaste maandprijs.

Het hangt af van de reikwijdte. Een gerichte beoordeling (zoals een beveiligingsaudit, analyse van de nalevingskloof of beoordeling van de AI-gereedheid) duurt doorgaans twee tot vier weken. Een volledige ISO 27001-implementatie, cloudmigratie of AI-implementatieproject kan drie tot zes maanden duren.

Wij geven u een realistische tijdlijn als onderdeel van uw voorstel, inclusief de belangrijkste mijlpalen. We vullen geen tijdlijnen op en slepen afspraken niet onnodig uit.

Wij werken met bedrijven van elke omvang. Van startups die hun draai vinden tot grote ondernemingen die complexe operaties uitvoeren: wij passen onze aanpak aan uw schaal, sector en doelstellingen aan. Als u een probleem heeft waarmee wij u kunnen helpen, vormt de omvang van uw organisatie geen belemmering.

U stuurt ons een bericht waarin u uw situatie beschrijft en wij reageren binnen 1 werkdag. Vervolgens hebben we een kennismakingsgesprek van 30 tot 45 minuten om uw behoeften, uw omgeving en uw doelen te begrijpen.

Van daaruit hebben we in duidelijke taal een duidelijk voorstel opgesteld, waarin de reikwijdte, de tijdlijn en de kosten zijn vastgelegd. Als wij niet de juiste match zijn, zullen wij u dat vertellen en u in de goede richting wijzen.

Gedurende de opdracht werkt u rechtstreeks samen met senior consultants. Wij zetten geen accountmanagers in als buffer en roteren geen helpdeskmedewerkers op uw project. De mensen met wie u in het begin spreekt, zijn degenen die het werk doen, en zij blijven betrokken tot het klaar is.

Het is duur om een specialist op het gebied van cybersecurity, compliance, AI en IT-beheer fulltime in te huren, en bijna onmogelijk om in één persoon te vinden. Met Cyvra krijgt u een team van specialisten in alle vier de disciplines voor de duur dat u ze nodig heeft, zonder wervingskosten, zonder inwerktijd en zonder doorlopende salarisverplichting als het werk klaar is.

Daarnaast zijn wij leveranciersneutraal. Wij adviseren wat goed is voor uw situatie, niet wat wij commercieel willen verkopen. Die onafhankelijkheid is van belang als u beslissingen neemt over uw infrastructuur en beveiligingspositie.