Je grootste klant stuurt een securityvragenlijst, en de verzekeraar wil ook wat zien.
Grote klanten moeten hun leveranciers beoordelen, onder NIS2, DORA en hun eigen beleid, en dus komen de vragenlijsten: veertig pagina's over toegang, back-ups, incidenten en leveranciers, met een deadline en soms een contract dat ervan afhangt. Tegelijk wil de cyberverzekeraar bij de verlenging MFA, back-ups en een incidentplan zien. Binnen twee dagen heb je een ervaren security officer of GRC-specialist op gesprek die het beantwoordt, de gaten dicht en het zo vastlegt dat de volgende vragenlijst dagen kost in plaats van weken. Zoek je iemand voor vast, dan werven we die net zo goed, al gaat dat niet in twee dagen.
Het moment
Hij komt binnen via de accountmanager: een spreadsheet of een portaal van je grootste klant, met honderden vragen over hoe jullie toegang regelen, back-ups testen, incidenten melden en je eigen leveranciers beoordelen, in te vullen binnen drie weken. Soms hangt er een contractverlenging aan, soms de toelating als leverancier. De IT-manager herkent de helft van de vragen, de andere helft gaat over beleid dat niet op papier staat. En in dezelfde maand vraagt de cyberverzekeraar bij de verlenging om bewijs van MFA, geteste back-ups en een incidentplan, anders gaat de premie omhoog of de dekking eraf. Twee vragen uit twee richtingen, met hetzelfde antwoord: er moet iemand zijn die dit kan beantwoorden én waarmaken.
Waarom de vragenlijsten niet meer ophouden
Grote organisaties moeten hun keten beoordelen. De Cyberbeveiligingswet en DORA verplichten hen om risico's bij leveranciers te beheersen en afspraken vast te leggen, en hun eigen klanten en toezichthouders vragen daar bewijs van. Dat bewijs halen ze bij jou, en de vragenlijst wordt elk jaar langer en strenger. Wie de eerste goed beantwoordt en de antwoorden vastlegt, heeft bij de tweede een halve dag werk; wie elke keer opnieuw begint, raakt er een week per klant aan kwijt en op een dag een contract. Verzekeraars doen hetzelfde met hun eigen lijst van basismaatregelen. Beide zijn eigenlijk een cadeau: een concrete lijst van wat op orde moet zijn, van iemand die het meent.
Wat er nu moet gebeuren
- Deze vragenlijst op tijd en eerlijk. Beantwoorden wat klopt, en bij wat niet klopt een plan met een datum; klanten accepteren dat vaker dan een geschoonde waarheid. Een security officer of GRC-officer, in de eerste week.
- De gaten dichten. Meestal MFA, back-ups testen, toegangsreviews, een incidentplan en afspraken met eigen leveranciers. Een security engineer die het doet, naast de eigen beheerders.
- Eén set antwoorden en bewijs. Een beleidsset en een map met bewijs die voor elke klant en verzekeraar hergebruikt wordt. De GRC-officer, zodat de volgende vragenlijst geen project is.
- De eigen leveranciers. Wie bij jou de vragen stelt, verwacht dat jij ze ook aan je leveranciers stelt. Een third-party-risk-specialist zet dat op.
- Besluiten over certificering. Als elke klant om ISO 27001 of SOC 2 gaat vragen, is een certificaat op een gegeven moment goedkoper dan tien vragenlijsten. Dat gesprek voert de interimmer met de directie.
Wie dit trekt
Organisaties zoeken hier een security officer of GRC-officer die de vragenlijsten beantwoordt en het bewijs opbouwt, een security engineer die de basismaatregelen uitvoert, en bij grotere ketens een third-party-risk-specialist. Welke van die rollen het bij jou wordt hangt af van hoeveel klanten vragen en wat er al ligt; daar beginnen we mee in de intake. Zoek je iemand voor vast, dan is dat gewoon werving & selectie; tijdelijk is het interim. Allebei doen we al jaren.
Interim: binnen twee dagen, en wat het kost
Snel betekent bij ons niet slordig. We beginnen met een echte intake: wie vraagt, wat vraagt hij, wanneer moet het terug, wat ligt er al. Daarna zoeken we in een netwerk van interimmers die we meestal al jaren kennen, en zo heb je bij een interim-opdracht binnen twee dagen je eerste kandidaat op gesprek. Zoek je iemand voor vast, dan werkt het anders en duurt het langer. De beste vaste kandidaten zijn zelden actief op zoek: ze zitten ergens goed en komen alleen in beweging voor de juiste argumenten, van iemand die hen kent en weet wat hen drijft. Dat is precies ons werk, en het levert de beste match op, maar niet in twee dagen. Interimmers zijn ondernemers: commerciëler, flexibeler naar beide kanten, en daardoor sneller voor te stellen vanuit het netwerk dat we actief onderhouden. Hebben we niemand die écht past, dan zeggen we dat. Het tarief van de professional en onze marge zie je altijd apart, en die marge is nooit meer dan € 15 per uur bij een fulltime opdracht; bij een parttime opdracht, en dat is dit vaak, kan de marge per uur hoger liggen, en ook dat zie je vooraf. Contracteren kan rechtstreeks met de zzp'er of via je eigen broker, waarbij wij alleen onze marge factureren, of volledig via Gruzzy met één factuur. Wie er nu beschikbaar is, en in welke tariefband, staat anoniem bij de beschikbare interimmers.
Zzp, en de Wet DBA
Een vragenlijst beantwoorden, de gaten dichten en een herbruikbare bewijsset opbouwen is een opdracht met een kop en een staart: er is een resultaat, de professional bepaalt zelf hoe het werk gebeurt, en er is geen gezagsverhouding zoals bij een werknemer. Dat is wat de Belastingdienst wil zien sinds de handhaving op schijnzelfstandigheid in 2025 weer is begonnen, en dus past zzp hier goed, met een modelovereenkomst. Blijkt dat de vragen elk kwartaal terugkomen en er structureel iemand nodig is, dan zeggen we dat. Meestal is dat een vaste rol via werving; wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern. We adviseren hier graag over, vóór je tekent.
Vandaag bellen?.
Bel, of plan zelf een moment. Dan weet je binnen een kwartier of we kunnen helpen en wie daarvoor de juiste persoon is.
Bellen: 020 399 1●●●
Nu beschikbaar voor interim.
Een greep uit de interimmers die op dit moment kunnen starten. Anoniem tot je contact opneemt; tarief en beschikbaarheid staan erbij.
NIS2 / Cyberbeveiligingswet · DORA · SOX (ITGC)
- interim · €95k–100k bruto per jaar
ISO 27001 · ISO 27002 · NIS2 / Cyberbeveiligingswet
- Interim / ZZP · €120–130 per uur
ISO 27001 · NIS2 / Cyberbeveiligingswet · AVG/GDPR
- Arnhem-Nijmegen
- interim / zzp · €120–130 per uur
Veelgestelde vragen.
Kan iemand de vragenlijst van onze klant invullen?
Ja, en liever iemand die dat al vaker deed, want de eerste vragenlijst is de langzaamste. Een security officer of GRC-officer beantwoordt hem samen met jullie, legt de antwoorden en het bewijs vast zodat de volgende vragenlijst dagen in plaats van weken kost, en ziet meteen waar de echte gaten zitten. Eerlijk antwoorden met een plan voor wat nog niet klopt, werkt bij klanten beter dan een geschoonde waarheid.
Hoe snel kunnen jullie iemand leveren?
Voor interim geldt: binnen twee dagen heb je je eerste kandidaat op gesprek; voor een vaste rol duurt het langer, omdat de beste kandidaten zelden actief zoeken en met de juiste argumenten in beweging moeten komen; wat realistisch is, bespreken we bij de intake. We beginnen met een intake over wie de vragen stelt, wanneer het terug moet en wat er al ligt, en zoeken daarna in een netwerk van interimmers die we meestal al jaren kennen. Hebben we niemand die echt past, dan zeggen we dat ook.
Waarom stellen klanten ineens zoveel securityvragen?
Omdat ze het moeten. De Cyberbeveiligingswet en DORA verplichten grote organisaties om risico's bij hun leveranciers te beheersen en afspraken vast te leggen, en hun eigen klanten en toezichthouders vragen daar bewijs van. Dat bewijs halen ze bij jou. De lijsten worden elk jaar langer en strenger, dus wie nu een herbruikbare set antwoorden opbouwt, is de volgende keer snel klaar.
De cyberverzekeraar stelt eisen bij de verlenging. Is dat hetzelfde werk?
Grotendeels. Verzekeraars vragen om dezelfde basismaatregelen als klanten: MFA, geteste back-ups, toegangsbeheer, een incidentplan, soms detectie. Een security engineer die de gaten dicht en een security officer die het bewijs vastlegt, bedienen beide tegelijk. Zeg bij de intake wat de verzekeraar precies vraagt, dan nemen we dat mee.
Zzp'er, detachering of vast: wat past hierbij?
Een vragenlijst beantwoorden, de gaten dichten en een bewijsset opbouwen is een opdracht met een kop en een staart, en dan past een zzp'er met een modelovereenkomst goed. Blijkt dat de vragen elk kwartaal terugkomen en er structureel iemand nodig is, dan zeggen we dat en werven we die voor vast. Wil je echt tijdelijk iemand in dienst, dan kan detachering, al is dat niet onze kern.
Wat kost dit?
Dat hangt af van de persoon en de omvang, en je ziet het tarief van de professional altijd los van onze marge. Die marge is nooit meer dan € 15 per uur bij een fulltime opdracht; bij een parttime opdracht, en dat is dit vaak, kan de marge per uur hoger liggen. Dat zie je vooraf, net als het tarief.
Moeten wij dan ook onze eigen leveranciers gaan beoordelen?
Wie bij jou de vragen stelt, verwacht meestal dat jij ze ook aan je leveranciers stelt; dat is wat ketenbeveiliging betekent. Een third-party-risk-specialist zet een lichte, werkbare beoordeling op die past bij jullie omvang, zodat je die vraag de volgende keer met ja kunt beantwoorden.
Is een ISO 27001-certificaat niet makkelijker dan al die vragenlijsten?
Op een gegeven moment wel. Als elke grote klant om ISO 27001 of SOC 2 gaat vragen, is een certificaat goedkoper dan tien vragenlijsten per jaar, en veel klanten accepteren het certificaat in plaats van hun eigen lijst. Dat gesprek voert de interimmer met de directie; wordt het een certificeringstraject, kijk dan ook bij onze pagina over ISO 27001.
Vragenlijst met een deadline op de mat?
Vertel wie hem stuurt en wanneer hij terug moet. Zoek je een interimmer, dan zit je eerste kandidaat binnen twee dagen op gesprek — en hebben we niemand die past, dan zeggen we dat ook.