- Een cybersecurity roadmap beschermt bedrijfsprocessen, niet alleen assets. Begin met wat de bedrijfsvoering zou stilleggen, en werk terug naar de systemen, data en maatregelen die dat beschermen.
- De juiste volgorde: bedrijfscontext → assetinventarisatie → dreigingen en risico → huidige volwassenheid → doelstatus → kloof-analyse → prioritering → gefaseerd plan → eigenaarschap en budget → testen → governance.
- Volwassenheidsscoring over mensen, processen en technologie geeft een eerlijker startpunt dan een binaire 'aanwezig of niet'-kloof-analyse.
- Incidentrespons hoort in de eerste 90 dagen. U hebt een responscapaciteit nodig vóórdat het programma volwassen is.
- Drie roadmap-horizons werken in de praktijk: Stabiliseren (0 tot 90 dagen), Fundament bouwen (3 tot 12 maanden), Volwassen worden (12 tot 24+ maanden). Ga geen 36-maandenplan aan: bedreigingen, technologie en bedrijfsprioriteiten veranderen te snel.
- De uitkomst van de roadmap is een tabel, geen strategiedeck: prioriteit, risico, initiatief, eigenaar, afhankelijkheid, doeldatum, inspanning en succesmaatstaf voor elk initiatief.
Wat een cybersecurity roadmap daadwerkelijk is
De meeste Nederlandse organisaties behandelen cybersecurity als een productenverzameling: antivirusse hier, een firewall daar, een wachtwoordbeleid omdat de IT-leverancier erom vroeg. Elke maatregel bestaat in isolatie. Wanneer een incident zich voordoet, is er geen geprioriteerde lijst, geen duidelijke eigenaar en geen plan.
Een cybersecurity roadmap legt uw huidige beveiligingspositie vast, bepaalt de doelstatus die uw risicoprofiel en wettelijke verplichtingen vereisen, en brengt in kaart welke maatregelen het verschil sluiten, in volgorde, met benoemde eigenaren en datums. Die koppelt aan het risicoregister, heeft een budgetdimensie en wordt op een vaste cadans bijgewerkt. Dat maakt het een investeringsplan, geen boodschappenlijst.
Stap 1: Begrijp het bedrijf
Beveiligingsprogramma's die beginnen met assetinventarisatie of kaderelectie slaan de belangrijkste vraag over: wat zou deze organisatie daadwerkelijk beschadigen? Een kwetsbaarheid op een publiek gerichte webserver kan technisch ernstig zijn. Een compromittering van uw identiteitsplatform kan alle bedrijfsdiensten tegelijkertijd stilleggen. Dat zijn niet gelijkwaardige risico's, en een roadmap die ze zo behandelt, verspilt budget aan de verkeerde problemen.
Stel de bedrijfscontext vast vóórdat u assets gaat catalogiseren:
- Kritieke diensten en processen: welke activiteiten, als die verstoord raken, materiële schade zouden veroorzaken aan klanten, omzet of regulatoire positie
- Kroonjuwelen: systemen en data: de systemen en datasets waarvan compromittering het slechtst denkbare scenario zou zijn: financiële gegevens, klant-PII, intellectueel eigendom, operationele technologie
- Maximale tolereerbare uitvaltijd: voor elke kritieke dienst, hoe lang de organisatie zonder die dienst kan functioneren voordat de gevolgen ernstig worden
- Wettelijke verplichtingen en risicobereidheid: sectorspecifieke vereisten (NIS2, AVG, sectorale toezichthouders) en de gearticuleerde tolerantie van de organisatie voor beveiligingsrisico
- Belangrijke afhankelijkheden van derden: MSP's, SaaS-aanbieders, cloudplatforms en leveranciers met bevoorrechte toegang of gegevensuitwisselingsrelaties
- Bedrijfsprioriteiten voor de komende 12 tot 24 maanden: geplande overnames, geografische expansie, nieuwe producten, cloudmigraties of uitbesteding die het aanvalsoppervlak materieel zullen veranderen
Met die context heeft elke maatregel een concreet bedrijfsanker, en wordt de roadmap iets wat een bestuur kan beoordelen en financieren.
Stap 2: Bouw uw asset- en afhankelijkheidsinventaris
U kunt assets die u niet heeft gecatalogiseerd niet beoordelen, prioriteren of beschermen. Een bruikbare inventaris omvat vier categorieën: hardware (elk apparaat dat verbinding maakt met uw netwerk of toegang heeft tot bedrijfsdata, inclusief medewerkerseigen apparaten die worden gebruikt voor hybride werken); software en diensten (elke applicatie, cloudplatform en SaaS-tool in actief gebruik, inclusief schaduw-IT en integraties van derden); data (waar gevoelige data zich bevindt, wie die kan bereiken, en hoe die tussen systemen beweegt); en mensen en derden (gebruikers, contractors, leveranciers met systeemtoegang en managed serviceproviders).
De meeste organisaties vinden gevoelige data op meer plekken dan verwacht: e-mailarchief, onbeheerde OneDrive-mappen, gedeelde schijven zonder toegangsbeoordeling, spreadsheets die als geïmproviseerde databases worden gebruikt. Begin met wat u nu kunt catalogiseren. Prioriteer nauwkeurigheid boven volledigheid, en koppel alles terug aan de kritieke bedrijfsdiensten uit stap 1.
Stap 3: Identificeer dreigingen en beoordeel risico
De aanvallen die Nederlandse organisaties in 2025 en 2026 treffen, volgen bekende patronen: ransomware die systemen versleutelt en losgeld eist; zakelijke e-mailfraude die betalingen omleidt of data onttrekken; diefstal van aanmeldingsgegevens via phishing en password-spray-aanvallen op cloudaccounts; en compromittering via de toeleveringsketen via een vertrouwde softwareleverancier of managed service. Uw risicoanalyse richt zich op die patronen, toegepast op uw specifieke assets en bedrijfscontext.
Kroonjuwelen en bedrijfsimpact
Breng voor elke kritieke bedrijfsdienst uit stap 1 de specifieke assets in kaart waarvan die dienst afhankelijk is. Stel dan de vraag: wat zijn de bedrijfsgevolgen als die asset wordt gecompromitteerd of onbeschikbaar wordt? Het antwoord stuurt prioritering betrouwbaarder dan een generieke ernstscore.
Risicoscoring
Scoor voor elk asset of dienst de kans op een succesvolle aanval (1 tot 5) en de bedrijfsimpact als die slaagt (1 tot 5). Vermenigvuldig de scores. Maatregelen die de score verlagen van risico's met hoge kans en hoge impact leveren het meeste rendement per geïnvesteerde euro op.
Stap 4: Beoordeel uw huidige volwassenheid
Een binaire kloof-analyse ('aanwezig' of 'niet aanwezig') geeft een vertekend beeld van de werkelijke beveiligingspositie van de meeste organisaties. Een maatregel die bestaat maar inconsistent wordt toegepast, nooit getest of ongedocumenteerd is, staat niet gelijk aan een maatregel die betrouwbaar werkt. Volwassenheidsscoring legt het verschil bloot.
Scoor elk beveiligingsdomein op een vijfpuntsschaal: 0 = niet ingevoerd, 1 = ad hoc (bestaat informeel of in geïsoleerde pockets), 2 = gedefinieerd (gedocumenteerd en consistent toegepast), 3 = beheerd (gemonitord met meetwaarden), 4 = gemeten (kwantitatief begrepen met feedbacklussen), 5 = geoptimaliseerd (continu verbeterd op basis van bewijs).
Beoordeel over drie dimensies: mensen, processen en technologie:
Scoor deze domeinen eerlijk; het resultaat is uw nulpuntmeting. Het verschil tussen die meting en uw doelstatus (stap 5) genereert de initiatiefenlijst. Behandel elk domein met score 0 of 1 als prioriteit, ongeacht de positie in de risicoanalyse. Ad-hoc-maatregelen zijn geen maatregelen.
Stap 5: Bepaal uw doelstatus
Kies een erkend kader als ankerpunt voor uw doelstatus. Drie zijn het meest relevant voor Nederlandse organisaties:
Bouw de roadmap rondom bedrijfsrisico. Gebruik kaders en regelgeving om maatregelenvereisten te definiëren en te valideren dat uw programma de juiste gebieden dekt.
Stap 6: Voer de kloof-analyse uit
Met een volwassenheidsbaseline (stap 4) en een doelkader (stap 5), vergelijkt u uw huidige volwassenheid met uw doelstatus per beheersingsgebied. Leg vast: huidige score, doelscore en de initiatieven die het verschil sluiten. Een kloof-analyse is alleen nuttig als die specifiek genoeg is om op te handelen: 'MFA wordt niet afgedwongen op gedeelde serviceaccounts' is uitvoerbaar; 'toegangsbeheer heeft verbetering nodig' niet.
Stap 7: Prioriteer
Risicogebaseerde prioritering overtreft compliance-eerste. Compliance-eerste vraagt wat de auditor heeft gevlagd. Risicogebaseerd vraagt wat het meeste reële risico vermindert voor de minste inspanning.
Rangschik initiatieven op twee assen: de risicobeperking die ze leveren, en de vereiste inspanning. Hoge reductie, lage inspanning gaat eerst. Lage reductie, hoge inspanning gaat als laatste of wordt uitgesteld. Wettelijke deadlines voegen een derde beperking toe: een NIS2-verplichting met een harde deadline kan het rechtvaardigen eerder in te plannen dan een hoger-risico-initiatief zonder externe datum.
Stap 8: Bouw de gefaseerde roadmap
Drie tijdshorizons werken voor de meeste organisaties. Stel een buitengrens van 24 maanden in met een jaarlijkse herziening.
Uitgewerkt roadmap-voorbeeld
De roadmap is een tabel. Elk initiatief heeft een benoemde eigenaar, een afhankelijkheid, een doeldatum, een inspanningsschatting en een meetbaar succescriterium. Zonder specifieke succescriteria heeft voortgangsbewaking niets om tegen te meten.
| Prioriteit | Risico | Initiatief | Eigenaar | Afhankelijkheid | Doel | Inspanning | Succesmaatstaf |
|---|---|---|---|---|---|---|---|
| Fase 1: Stabiliseren (0–90 dagen) | |||||||
| Kritiek | Gecompromitteerde cloudaccounts | MFA afdwingen; legacy-authenticatie blokkeren | IT / Security | Identiteitsinventaris | 30 dagen | M | 100% accountdekking, legacy geblokkeerd |
| Kritiek | Ransomware / dataverlies | Onveranderbare back-up met kwartaalse hersteltest | IT | Back-upanalyse | 60 dagen | M | Hersteltest geslaagd, RTO kwartaalsgewijs gevalideerd |
| Hoog | Onopgelaapte kwetsbaarheden | Geautomatiseerd kwetsbaarheidsbeheer | IT | Assetinventaris | 90 dagen | M | ≥95% van systemen binnen patch-SLA |
| Hoog | Geen responscapaciteit | Minimaal IR-plan + tabletop-oefening | CISO / IT | Geen | 60 dagen | S | Plan gedocumenteerd, oefening voltooid, rollen toegewezen |
| Hoog | Verouderde accounts (oud-medewerkers) | Procedure voor uitdiensttreding op dezelfde dag | IT / HR | HR-procesafstemming | 30 dagen | S | Geen actieve accounts voor oud-medewerkers binnen 48 uur |
| Fase 2: Fundament bouwen (3–12 maanden) | |||||||
| Hoog | Onbeheerde endpoints | Apparaatbeheer en naleving-afdwinging | IT | MDM-inkoop, MFA uitgerold | 6 maanden | L | 100% bedrijfsapparaten ingeschreven en conform |
| Hoog | Compromittering via de toeleveringsketen | Risicobeoordeling-programma voor derden | Security / Inkoop | Leveranciersinventaris | 6 maanden | M | Alle kritieke leveranciers beoordeeld; contractuele eisen aanwezig |
| Gemiddeld | Phishinggevoeligheid | Beveiligingsbewustwording + kwartaalse simulaties | HR / Security | Geen | 6 maanden | M | Klikratio <5% gedurende twee opeenvolgende kwartalen |
| Gemiddeld | Misbruik van bevoorrechte toegang | Beheer van bevoorrechte toegang (JIT / PIM) | IT | MFA uitgerold | 9 maanden | L | Alle beheerdersrollen gebruiken tijdgebonden activering; geen permanente rechten |
| Fase 3: Volwassen worden (12–24+ maanden) | |||||||
| Gemiddeld | Holistische beveiligingshiaten | ISO 27001-certificeringsprogramma | CISO / Senior management | Volwassen maatregelen, managementsysteem | 18+ maanden | XL | Stage 2-audit geslaagd; certificaat uitgereikt |
Stap 9: Wijs eigenaarschap en budget toe
Benoem een eigenaar en een gefinancierd budget voor elk initiatief. Elk initiatief heeft ook nodig: een eigenaar met de autoriteit om het te leveren; een kostenraming inclusief externe uitgaven en interne capaciteitsuren; eventuele vaardigheden of externe ondersteuning die ingekocht moeten worden; en een verwijzing terug naar het risico of de compliance-vereiste die het adresseert.
Formuleer het budget voor bestuurlijke rapportage als een investeringsbeslissing. Elk initiatief vermindert een benoemd risico met een kwantificeerbaar bedrag. Als een kritiek risico ongedekt blijft, moet dat een expliciete bestuursbeslissing zijn, niet iets dat ze ontdekken na een incident.
Verzekeraars stellen specifieke maatregelen als voorwaarde voor dekking: MFA, onveranderbare back-up en procedures voor incidentmelding zijn de meest voorkomende minimale vereisten. Controleer voor het finaliseren van de roadmap de voorwaarden en uitsluitingen van uw polis. Maatregelen die door de verzekeraar worden vereist, horen in fase 1, ongeacht hun risicoclassificering. Een claim afgewezen omdat een verplichte maatregel ontbrak, is kostbaar; dat elimineert ook het budgetargument tegen de invoering ervan.
Stap 10: Testen en meten
Ongeteste maatregelen zijn aannames. Niet geoefend herstel is een aanname.
Begin met het testen van back-upherstel. Een back-up die nooit is hersteld, is geen herstelvermogen. Test ten opzichte van de maximale tolereerbare uitvaltijd uit uw stap 1-analyse. Als herstel langer duurt dan de organisatie kan absorberen, heeft de back-uparchitectuur aanpassing nodig.
Incidentresponsoefeningen (tabletop als minimum, volledige simulatie naarmate het programma volwassen wordt) testen de proces- en mensdimensies die technologie niet kan dekken. Wie neemt de beslissing om een systeem te isoleren? Wie keurt externe communicatie goed? Wie contacteert de AP? Oefen voordat die vragen opkomen bij een echt incident.
Penetratietesten vertellen of uw technische maatregelen standhouden tegen de aanpak van een tegenstander. Richt de scope eerst op uw kroonjuwelen-systemen.
Meetwaarden om bij te houden: MFA-dekking (percentage accounts ingeschreven), patch-nalevingsscore (percentage binnen SLA), klikratio bij phishing-simulaties per kwartaal, gemiddelde tijd om beveiligingsincidenten te detecteren en in te perken, en openstaande kritieke kwetsbaarheden die de SLA hebben overschreden.
Stap 11: Governance en refresh
Twee mechanismen houden de roadmap levend. Kwartaalreviews volgen voortgang, signaleren vertragende initiatieven en werken de dreigingscontext bij. Jaarlijkse refresh herziet de risicoanalyse, verwerkt nieuwe dreigingen, regelgevingswijzigingen en bedrijfsveranderingen zoals overnames of nieuwe markttoetreding, en herprioriteer voor het komende jaar.
Bestuurlijke rapportage vertaalt beveiligingsvoortgang naar termen waarop een bestuur kan handelen: trend in risicopositie, incidenten in de periode, status van kritieke maatregelen, en wat gefinancierd is versus wat niet. Besturen moeten weten of risico omhoog of omlaag gaat, en welke beslissing hun gevraagd wordt te nemen.
Afstemming op regelgeving
Bouw de roadmap op basis van bedrijfsrisico, en de grote kaders worden validatielagen in plaats van afzonderlijke projecten.
NIS2-richtlijn Artikel 21 vereist beleid voor risicoanalyse, incidentafhandeling, back-up en herstel, beveiliging van de toeleveringsketen, netwerkbeveiliging, encryptie, toegangsbeheer en multifactorauthenticatie. Elk item is een roadmap-initiatief. NIS2-conformiteit volgt uit een programma dat de vereiste maatregelen dekt. Het is geen parallel traject.
AVG Artikel 32 vereist passende technische en organisatorische beveiligingsmaatregelen. Een datalek waarbij persoonsgegevens zijn betrokken, moet binnen 72 uur worden gemeld bij de AP (Autoriteit Persoonsgegevens). Een getest IR-plan met een gedocumenteerde meldprocedure is een directe AVG-vereiste, geen optionele toevoeging.
ISO 27001 Clausule 6.1.2 vereist een risicobehandelingsplan dat elk geïdentificeerd risico koppelt aan een behandelingsbeslissing en een maatregel. Dat plan is structureel identiek aan uw roadmap. Bouw de roadmap correct en u produceert het ISO 27001-risicobehandelingsplan als directe uitkomst.
DORA verplicht financiële entiteiten in Nederland tot een ICT-risicobeheerframework, veerkrachttests en beheer van ICT-risico's van derden. De roadmap-structuur sluit aan op elke verplichting. Veerkrachttesten en risicobeoordeling van derden horen in de fundering-fase voor elke entiteit in DORA-scope.
Een roadmap opgebouwd rond compliance-vereisten adresseert wat auditors controleren, niet wat de organisatie het meest zou beschadigen. Risicogebaseerde prioritering levert een andere volgorde op.
