In deze kennisbank vind je het laatste nieuws omtrent het Microsoft 365 platform

Wat zijn organisatorische maatregelen onder de NIS2-richtlijn?

/in /door

Organisatorische maatregelen onder de NIS2-richtlijn zijn de niet-technische beveiligingsmaatregelen die organisaties verplicht moeten treffen om hun cyberweerbaarheid aantoonbaar te borgen. Denk aan risicoanalyses, beleidsdocumenten, incidentprocedures, leveranciersbeoordelingen en bestuurderstraining. Deze maatregelen zijn geen aanvulling op de technische kant, maar een volwaardige pijler van NIS2-compliance. In dit artikel beantwoorden we de meest gestelde vragen over wat de NIS2-richtlijn organisatorisch van je vraagt.

Welke organisaties vallen onder de NIS2-richtlijn?

De NIS2-richtlijn geldt voor organisaties die actief zijn in sectoren die als kritiek of belangrijk worden beschouwd voor de samenleving. In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet (CBW), die naar verwachting in het tweede kwartaal van 2026 in werking treedt. Organisaties worden ingedeeld als essentiële entiteit of belangrijke entiteit, afhankelijk van sector en omvang.

Sectoren die onder de richtlijn vallen zijn onder andere:

  • Energie, drinkwater en transport
  • Gezondheidszorg en farmacie
  • ICT-dienstverlening en managed service providers
  • Digitale diensten en cloudaanbieders
  • Financiële dienstverlening en accountancy
  • Productie en maakindustrie
  • Overheid en overheidsnabije instellingen
  • Logistiek, transport en food & agri

Belangrijk om te weten: ook organisaties die niet formeel onder NIS2 vallen, kunnen indirect verplichtingen hebben. Als je diensten levert aan een NIS2-organisatie, kunnen ketenverplichtingen gelden. Leveranciers en ICT-beheerders worden nadrukkelijk meegenomen in de zorgplicht van hun opdrachtgevers. Lees meer over hoe security binnen Microsoft 365 bijdraagt aan NIS2-naleving voor organisaties die in de keten opereren.

Wat is het verschil tussen technische en organisatorische maatregelen?

Technische maatregelen zijn de digitale beveiligingsoplossingen die je implementeert in je systemen, zoals firewalls, encryptie, multifactorauthenticatie en patchbeheer. Organisatorische maatregelen zijn de menselijke, procesmatige en beleidsmatige kaders die bepalen hoe je organisatie met cyberrisico’s omgaat. Beide zijn verplicht onder NIS2, maar organisatorische maatregelen vormen het fundament waarop technische oplossingen effectief kunnen werken.

Een technische maatregel werkt alleen als er ook een organisatorisch kader omheen zit. Een goed geconfigureerde firewall biedt weinig bescherming als medewerkers niet weten hoe ze phishing herkennen, of als er geen beleid is over hoe incidenten worden gemeld. Organisatorische maatregelen zorgen voor bewustzijn, verantwoordelijkheid en structuur.

Concreet onderscheid:

  • Technisch: antivirussoftware, toegangsbeheer, back-upoplossingen, monitoring
  • Organisatorisch: risicobeleid, incidentprocedures, leveranciersmanagement, bewustzijnstraining, rapportagestructuren

Welke organisatorische maatregelen zijn verplicht onder NIS2?

De NIS2-richtlijn verplicht organisaties een reeks organisatorische maatregelen te treffen als onderdeel van hun zorgplicht voor informatiebeveiliging. Deze maatregelen moeten aantoonbaar zijn ingevoerd en periodiek worden geëvalueerd. De verplichtingen op organisatorisch vlak omvatten minimaal de volgende onderdelen:

  • Risicoanalyse en informatiebeveiligingsbeleid: een gedocumenteerde beoordeling van de risico’s die jouw organisatie loopt, met bijbehorend beleid om die risico’s te beheersen
  • Incidentbeheer: een vastgelegde procedure voor het detecteren, registreren, melden en afhandelen van beveiligingsincidenten, inclusief meldplicht bij de bevoegde autoriteiten
  • Bedrijfscontinuïteitsplan: een plan dat beschrijft hoe de organisatie kritieke processen herstelt na een cyberincident, inclusief back-upbeleid en crisismanagement
  • Ketenbeveiliging: beoordeling en beheer van de beveiligingsrisico’s die voortkomen uit leveranciers en externe dienstverleners
  • Cyberhygiëne en bewustzijnstraining: structurele bewustwording bij medewerkers en aantoonbare training voor bestuurders
  • Beveiligingsbeleid voor menselijke middelen: procedures rondom toegangsrechten, onboarding, offboarding en gedragsregels
  • Gebruik van cryptografie en toegangsbeheer: ook beleidsmatig vastgelegd, niet alleen technisch geïmplementeerd

De nadruk op aantoonbaarheid is essentieel. Het is niet voldoende om maatregelen te treffen; je moet ook kunnen laten zien dat ze zijn ingevoerd, worden nageleefd en periodiek worden herzien.

Wie is verantwoordelijk voor NIS2-naleving binnen een organisatie?

Onder de NIS2-richtlijn zijn bestuurders persoonlijk verantwoordelijk voor de naleving van de cyberbeveiligingsverplichtingen. Dit is een bewuste keuze van de Europese wetgever: cybersecurity is geen IT-aangelegenheid meer, maar een bestuurlijke verantwoordelijkheid die op het hoogste niveau belegd moet zijn.

Concreet betekent dit dat directeuren, bestuurders en leden van het management aantoonbaar moeten beschikken over actuele kennis en vaardigheden op het gebied van cyberbeveiliging. Zij moeten in staat zijn om cyberrisico’s te begrijpen en te wegen, passende maatregelen goed te keuren, en op gelijkwaardig niveau te communiceren met de IT-afdeling of een externe beveiligingspartner.

De Cyberbeveiligingswet en het bijbehorende Cyberbeveiligingsbesluit leggen expliciet vast dat bestuurders deze kennis via training moeten aantonen. Binnen twee jaar na inwerkingtreding van de wet moeten bestuurders van essentiële en belangrijke entiteiten beschikken over de vereiste kennis, en deze periodiek actualiseren.

Dit maakt NIS2-compliance een gedeelde verantwoordelijkheid: de IT-afdeling of externe beheerder voert de technische maatregelen uit, maar de bestuurder draagt de eindverantwoordelijkheid en legt verantwoording af richting toezichthouders, raden van commissarissen of aandeelhouders.

Wat zijn de gevolgen van niet-naleving van de NIS2-richtlijn?

Organisaties die niet voldoen aan de NIS2-verplichtingen riskeren aanzienlijke boetes, toezichtmaatregelen en reputatieschade. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de omzet.

Naast financiële sancties zijn er ook operationele gevolgen. Toezichthouders kunnen tijdelijke bedrijfsstops opleggen, certificeringen intrekken of eisen dat specifieke functies worden ontzet. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld als aantoonbare nalatigheid heeft bijgedragen aan een incident of overtreding.

De indirecte gevolgen zijn minstens zo ingrijpend. Een beveiligingsincident dat voortvloeit uit niet-naleving kan leiden tot dataverlies, verstoring van dienstverlening, verlies van klantvertrouwen en reputatieschade die moeilijk te herstellen is. Voor organisaties in sectoren als zorg, financiën of overheid kan dat ook maatschappelijke en juridische consequenties hebben.

Hoe begin je met het implementeren van organisatorische NIS2-maatregelen?

De eerste stap bij het implementeren van organisatorische NIS2-maatregelen is een nulmeting: breng in kaart waar je organisatie nu staat ten opzichte van de verplichtingen. Zonder inzicht in de huidige situatie is het onmogelijk om gericht te prioriteren en te verbeteren.

Een praktische aanpak in stappen:

  1. Bepaal of je in scope valt: controleer of jouw organisatie als essentiële of belangrijke entiteit wordt aangemerkt, of dat je via de keten verplichtingen hebt
  2. Voer een risicoanalyse uit: identificeer de grootste risico’s voor jouw organisatie en leg deze gedocumenteerd vast
  3. Stel een informatiebeveiligingsbeleid op: vertaal de risicoanalyse naar concreet beleid met eigenaarschap en verantwoordelijkheden
  4. Richt incidentbeheer in: zorg voor een duidelijke procedure voor melding, registratie en afhandeling van incidenten
  5. Train je bestuurders en medewerkers: zorg voor aantoonbare bewustwording en kennis op alle niveaus
  6. Beoordeel je leveranciers: inventariseer welke externe partijen toegang hebben tot jouw systemen of data en stel beveiligingseisen
  7. Monitor en evalueer periodiek: NIS2-compliance is geen eenmalig project, maar een doorlopend proces

Kleine stappen zijn beter dan geen stappen. Begin met de maatregelen die het meeste risico afdekken en bouw van daaruit verder. Professioneel ICT-beheer kan daarbij helpen om technische en organisatorische maatregelen structureel samen te brengen.

Hoe Puur ICT helpt met NIS2-compliance

NIS2-compliance kan overweldigend voelen, zeker als je organisatie geen eigen CISO heeft maar wel bestuurlijke aansprakelijkheid draagt. Wij helpen organisaties van 50 tot 600 werkplekken stap voor stap naar aantoonbare naleving, zonder dat je zelf alle complexiteit hoeft te doorgronden.

Wat wij voor je doen:

  • Nulmeting en gap-analyse: we brengen de huidige beveiligingssituatie in kaart en vergelijken die met de NIS2-verplichtingen
  • Advies over technische en organisatorische maatregelen binnen het Microsoft 365-ecosysteem
  • Bestuurderstraining (CBW-compliant): een tweedaagse training die bestuurders aantoonbaar voorbereidt op hun verantwoordelijkheden onder de Cyberbeveiligingswet
  • Cyber awareness voor medewerkers: van phishingcampagnes tot e-learningmodules die bewustzijn structureel verankeren
  • Doorlopend beheer en rapportage: zodat je altijd inzicht hebt en verantwoording kunt afleggen

We werken pragmatisch, in begrijpelijke taal en met korte lijnen. Zo zorg je ervoor dat jouw organisatie niet alleen voldoet aan de wet, maar ook structureel digitaal veiliger wordt. Neem contact op met Puur ICT en ontdek hoe we jouw organisatie begeleiden naar volledige NIS2-naleving.

Gerelateerde artikelen

Hoe werkt de registratieplicht onder de Cyberbeveiligingswet?

/in /door

De registratieplicht onder de Cyberbeveiligingswet verplicht organisaties die vallen binnen de reikwijdte van de wet om zich actief te registreren bij de bevoegde nationale toezichthouder, de Rijksinspectie Digitale Infrastructuur (RDI). Dit geldt voor zowel essentiële als belangrijke entiteiten in aangewezen sectoren. De Cyberbeveiligingswet is de Nederlandse implementatie van de Europese NIS2-richtlijn en is in 2025 in werking getreden. In dit artikel beantwoorden we de meest gestelde vragen over de registratieplicht, het registratieproces en wat er van jouw organisatie verwacht wordt.

Voor welke organisaties geldt de registratieplicht?

De registratieplicht onder de Cyberbeveiligingswet geldt voor organisaties die actief zijn in sectoren die de wet aanwijst als kritiek of maatschappelijk relevant. Concreet gaat het om twee categorieën: essentiële entiteiten en belangrijke entiteiten. Welke categorie van toepassing is, hangt af van de sector en de omvang van de organisatie.

Essentiële entiteiten zijn doorgaans grote organisaties in sectoren zoals energie, transport, drinkwater, digitale infrastructuur, bancaire diensten en gezondheidszorg. Belangrijke entiteiten omvatten middelgrote organisaties in aanvullende sectoren, zoals afvalbeheer, chemische industrie, voedselproductie en digitale dienstverleners. Woningcorporaties en dienstverleners in bepaalde segmenten kunnen ook binnen de reikwijdte vallen, afhankelijk van hun omvang en maatschappelijke functie.

De wet hanteert als vuistregel de Europese definitie van middelgrote en grote ondernemingen: organisaties met meer dan 50 medewerkers of een jaaromzet van meer dan 10 miljoen euro kunnen registratieplichtig zijn. Kleinere organisaties zijn in principe uitgesloten, tenzij zij een bijzonder kritieke rol vervullen in hun sector. Het is verstandig om dit per situatie te beoordelen, want de grens is niet altijd scherp.

Wanneer moet een organisatie zich registreren?

Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich registreren zodra zij voldoen aan de criteria die de wet stelt. In de praktijk betekent dit dat registratie niet wacht op een uitnodiging van de toezichthouder: de verantwoordelijkheid ligt bij de organisatie zelf om te bepalen of zij registratieplichtig is en om vervolgens actie te ondernemen.

De Cyberbeveiligingswet is in 2025 in werking getreden. Organisaties die op dat moment al actief waren in een aangewezen sector, hadden een overgangsperiode om aan de registratieplicht te voldoen. Voor organisaties die in 2026 voor het eerst in scope komen, bijvoorbeeld door groei of een wijziging van activiteiten, geldt dat zij zich zo snel mogelijk na het moment waarop zij in scope komen moeten registreren.

Wacht niet tot de toezichthouder contact opneemt. De NIS2-registratieplicht is een actieve verplichting: jij bent verantwoordelijk voor het signaleren dat jouw organisatie eronder valt en voor het tijdig doorlopen van het registratieproces.

Hoe verloopt het registratieproces stap voor stap?

Het registratieproces onder de Cyberbeveiligingswet verloopt via een online portal van de Rijksinspectie Digitale Infrastructuur. Het proces bestaat uit een aantal duidelijke stappen die organisaties zelfstandig kunnen doorlopen, al is het verstandig om de voorbereiding serieus te nemen.

  1. Bepaal of jouw organisatie registratieplichtig is. Analyseer in welke sector je actief bent, wat je organisatieomvang is en of je valt onder de categorie essentiële of belangrijke entiteit.
  2. Verzamel de benodigde organisatiegegevens. Denk aan contactgegevens van de verantwoordelijke voor informatiebeveiliging, een beschrijving van de aangeboden diensten en relevante sectorinformatie.
  3. Registreer via het RDI-portaal. Het RDI stelt een digitaal registratieformulier beschikbaar waarmee je de organisatiegegevens invoert en de registratie formeel indient.
  4. Ontvang bevestiging en sectorindeling. Na verwerking ontvang je een bevestiging van registratie en wordt vastgesteld onder welke toezichthouder jouw organisatie valt.
  5. Houd gegevens actueel. Bij wijzigingen in de organisatie, zoals een fusie, een verandering van diensten of een nieuwe verantwoordelijke voor beveiliging, moet de registratie worden bijgewerkt.

Het registreren zelf is relatief eenvoudig, maar de voorbereiding vraagt meer aandacht. Zorg dat je intern helder hebt wie verantwoordelijk is voor de naleving van de beveiliging van digitale systemen en dat die persoon ook het aanspreekpunt is richting de toezichthouder.

Wat zijn de gevolgen van niet registreren?

Organisaties die verplicht zijn zich te registreren maar dit nalaten, riskeren handhavingsmaatregelen van de toezichthouder. De Cyberbeveiligingswet geeft toezichthouders bevoegdheden om bestuurlijke boetes op te leggen, aanwijzingen te geven en in ernstige gevallen zelfs tijdelijk de dienstverlening te beperken.

Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de jaaromzet. Dit zijn maxima: de daadwerkelijke boete hangt af van de ernst van de overtreding, de mate van verwijtbaarheid en de omvang van de organisatie.

Naast financiële risico’s is er ook reputatieschade. Toezichthouders kunnen besluiten handhavingsmaatregelen openbaar te maken, wat voor organisaties in sectoren waar vertrouwen centraal staat een aanzienlijk risico vormt. Voor directeuren en bestuurders geldt bovendien dat zij persoonlijk aansprakelijk kunnen worden gesteld als zij aantoonbaar nalatig zijn geweest.

Wat is het verschil tussen registratie en melding onder de Cyberbeveiligingswet?

Registratie en melding zijn twee afzonderlijke verplichtingen onder de Cyberbeveiligingswet die los van elkaar bestaan. Registratie is een eenmalige administratieve verplichting waarbij een organisatie zichzelf kenbaar maakt bij de toezichthouder. Melding is een operationele verplichting die in werking treedt zodra zich een significant beveiligingsincident voordoet.

Registratie gaat over wie je bent: het vastleggen van de organisatie, haar activiteiten en haar verantwoordelijken in het register van de toezichthouder. Dit doe je bij aanvang en update je bij relevante wijzigingen.

Melding gaat over wat er is gebeurd: wanneer een cyberincident een significante impact heeft op de continuïteit van diensten, moet dit binnen 24 uur worden gemeld bij de toezichthouder via een eerste melding, gevolgd door een gedetailleerder rapport binnen 72 uur. Een volledig eindrapport volgt daarna binnen een maand. Beide verplichtingen staan dus naast elkaar: registratie is de basis, melding is de reactie op een incident.

Hoe blijft een organisatie compliant na registratie?

Registratie is het startpunt van compliance onder de Cyberbeveiligingswet, niet het eindpunt. Na registratie moet een organisatie aantoonbaar voldoen aan de beveiligingseisen die de wet stelt, de registratiegegevens actueel houden en incidenten tijdig melden. Compliance is daarmee een doorlopend proces.

De wet verplicht organisaties tot het nemen van passende technische en organisatorische maatregelen op het gebied van risicobeheer. Denk aan toegangsbeheer, encryptie, back-upbeleid, incidentrespons en bewustzijnstraining voor medewerkers. Deze maatregelen moeten niet alleen worden ingevoerd, maar ook periodiek worden geëvalueerd en bijgesteld op basis van nieuwe dreigingen of veranderingen in de organisatie.

Praktisch gezien betekent dit dat je als organisatie een heldere eigenaar nodig hebt voor informatiebeveiliging, een actueel risicoregister bijhoudt en regelmatig toetst of de genomen maatregelen nog afdoende zijn. Een betrouwbare ICT-beheerpartner kan daarin een structurele rol spelen door proactief te monitoren, te rapporteren en bij te sturen waar nodig.

Hoe Puur ICT helpt bij de Cyberbeveiligingswet registratie

Wij begrijpen dat de registratieplicht onder de Cyberbeveiligingswet voor veel organisaties nieuw terrein is. Als Microsoft 365-specialist helpen wij organisaties niet alleen met de technische kant van beveiliging, maar ook met de structuur en het beleid dat nodig is om aantoonbaar compliant te zijn. Wat wij voor je kunnen betekenen:

  • Inventarisatie van jouw verplichtingen: Wij helpen bepalen of en hoe jouw organisatie onder de Cyberbeveiligingswet valt, zodat je niet voor verrassingen staat.
  • Technische beveiligingsmaatregelen: Via onze Puur Moderne Werkplek zorgen we voor een veilige digitale omgeving met Microsoft-technologie als fundament, inclusief toegangsbeheer, apparaatbeheer en gegevensbeveiliging.
  • Doorlopend beheer en monitoring: We bewaken de beveiliging van jouw omgeving continu, signaleren afwijkingen en zorgen dat je altijd een actueel beeld hebt van de staat van je beveiliging.
  • Heldere rapportage: We leveren de inzichten die jij nodig hebt om verantwoording af te leggen richting toezichthouders, je RvC of aandeelhouders.

Wil je weten wat de Cyberbeveiligingswet concreet betekent voor jouw organisatie en hoe je de registratie goed aanpakt? Neem contact met ons op voor een vrijblijvend gesprek. We denken graag met je mee in begrijpelijke taal en concrete stappen.

Gerelateerde artikelen

Wat is het verschil tussen NIS2 en de AVG?

/in /door

NIS2 en de AVG zijn twee verschillende Europese wetten die allebei gaan over digitale veiligheid, maar ze beschermen iets anders. De AVG beschermt de privacy van personen door regels te stellen aan de verwerking van persoonsgegevens. NIS2 beschermt de digitale infrastructuur van organisaties door eisen te stellen aan cybersecurity en netwerkweerbaarheid. Beide wetten kunnen tegelijk van toepassing zijn op jouw organisatie.

Het is een veelgemaakte vergissing om te denken dat je met de AVG al voldoende beveiligd bent, of dat NIS2 alleen voor grote techbedrijven geldt. In dit artikel beantwoorden we de meest gestelde vragen over het verschil tussen NIS2 en de AVG, zodat je precies weet wat er van jouw organisatie verwacht wordt.

Welke organisaties vallen onder NIS2 en welke onder de AVG?

De AVG geldt voor vrijwel elke organisatie die persoonsgegevens verwerkt, ongeacht grootte of sector. Dat betekent dat een kleine webshop, een huisartspraktijk en een multinational allemaal onder de AVG vallen. NIS2 heeft een veel specifiekere reikwijdte: de richtlijn richt zich op organisaties in sectoren die als essentieel of belangrijk worden beschouwd voor de maatschappij.

Onder NIS2 vallen onder meer organisaties in de volgende sectoren:

  • Energie, water en transport
  • Gezondheidszorg en farmaceutische industrie
  • Digitale infrastructuur en ICT-dienstverlening
  • Financiële dienstverlening
  • Voedselproductie en logistiek
  • Overheid en overheidsnabije instellingen

In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 in werking treedt. Organisaties met meer dan 50 medewerkers of een jaaromzet boven de tien miljoen euro in relevante sectoren vallen waarschijnlijk binnen de scope. Maar ook kleinere organisaties die onderdeel zijn van de keten van een NIS2-plichtige partij kunnen indirect verplichtingen krijgen op het gebied van ketenbeveiliging.

Wat beschermt NIS2 en wat beschermt de AVG precies?

De AVG beschermt de persoonlijke levenssfeer van individuen door organisaties te verplichten zorgvuldig om te gaan met persoonsgegevens. NIS2 beschermt de digitale weerbaarheid van organisaties en de maatschappelijke continuïteit door eisen te stellen aan netwerk- en informatiebeveiliging. Het verschil zit dus in het object van bescherming: mensen versus systemen en infrastructuur.

Concreet stelt de AVG eisen aan:

  • De rechtmatigheid van gegevensverwerking
  • Het informeren van betrokkenen over het gebruik van hun gegevens
  • Het melden van datalekken bij de Autoriteit Persoonsgegevens
  • Technische en organisatorische beveiligingsmaatregelen voor persoonsgegevens

NIS2 stelt eisen aan:

  • Risicoanalyses en risicobeheer voor de gehele digitale omgeving
  • Incidentrespons en het tijdig melden van beveiligingsincidenten
  • Ketenbeveiliging, inclusief de beveiliging van leveranciers en partners
  • Bestuurlijke verantwoordelijkheid voor cybersecurity

Een belangrijk verschil is ook het perspectief. De AVG kijkt primair naar de rechten van de betrokkene wiens gegevens worden verwerkt. NIS2 kijkt naar de operationele weerbaarheid van de organisatie zelf en de bredere maatschappelijke impact van een eventuele verstoring.

Welke toezichthouder handhaaft NIS2 en welke handhaaft de AVG?

De AVG wordt in Nederland gehandhaafd door de Autoriteit Persoonsgegevens (AP). Voor NIS2 en de bijbehorende Cyberbeveiligingswet zijn meerdere sectorale toezichthouders aangewezen, afhankelijk van de sector waarin een organisatie actief is. Er is dus geen één centrale NIS2-toezichthouder zoals de AP dat is voor de AVG.

Voor de ICT-sector en digitale dienstverleners is het Agentschap Telecom aangewezen als bevoegde autoriteit. In de zorgsector is dat de Inspectie Gezondheidszorg en Jeugd, en voor financiële instellingen speelt DNB een rol. Dit sectorale model betekent dat organisaties goed moeten weten welke toezichthouder voor hen relevant is.

Beide toezichthouders hebben vergaande bevoegdheden: ze kunnen audits uitvoeren, documenten opvragen en bij overtredingen sancties opleggen. Onder NIS2 geldt bovendien dat bestuurders persoonlijk verantwoordelijk kunnen worden gesteld voor het niet naleven van de verplichtingen. Dat is een wezenlijk verschil met de AVG, waar de aansprakelijkheid primair bij de organisatie als geheel ligt.

Wat zijn de boetes bij overtreding van NIS2 versus de AVG?

Zowel NIS2 als de AVG kennen forse boetes, maar de systematiek verschilt. Onder de AVG kan de Autoriteit Persoonsgegevens boetes opleggen tot 20 miljoen euro of vier procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. NIS2 hanteert voor essentiële entiteiten een maximum van tien miljoen euro of twee procent van de wereldwijde jaaromzet, en voor belangrijke entiteiten zeven miljoen euro of 1,4 procent van de omzet.

Naast financiële sancties biedt NIS2 toezichthouders ook de mogelijkheid om tijdelijke operationele beperkingen op te leggen of bestuurders persoonlijk aansprakelijk te stellen. Dit laatste is een ingrijpend instrument dat directeuren en commissarissen direct raakt in hun persoonlijke verantwoordelijkheid. Dat maakt NIS2-compliance niet alleen een IT-vraagstuk, maar nadrukkelijk ook een bestuurlijk onderwerp.

Het is goed om te beseffen dat maximumboetes zelden worden opgelegd. Toezichthouders kijken naar de ernst van de overtreding, de mate van nalatigheid en of een organisatie aantoonbaar stappen heeft gezet om te voldoen. Proactief werken aan compliance loont dus altijd, ook als je nog niet volledig op orde bent.

Hoe vullen NIS2 en de AVG elkaar aan in de praktijk?

In de praktijk versterken NIS2 en de AVG elkaar, omdat sterke cybersecurity ook de bescherming van persoonsgegevens ten goede komt. Een goed beveiligd netwerk vermindert de kans op datalekken, wat zowel een NIS2-verplichting als een AVG-vereiste ondersteunt. Wie investeert in cybersecurity voldoet daarmee aan eisen vanuit beide wetten tegelijk.

Concrete raakvlakken zijn onder meer:

  • Incidentmelding: Een ransomware-aanval waarbij persoonsgegevens worden gelekt, moet zowel bij de AP (AVG) als bij de sectorale toezichthouder (NIS2) worden gemeld.
  • Risicoanalyse: Een NIS2-risicoanalyse omvat vaak ook risico’s voor persoonsgegevens, wat aansluit bij de AVG-verplichting tot een Data Protection Impact Assessment.
  • Leveranciersmanagement: Zowel NIS2 als de AVG stellen eisen aan de beveiliging van derde partijen waarmee je samenwerkt.

Een geïntegreerde aanpak, waarbij je beveiligingsmaatregelen zowel NIS2 als AVG-vereisten afdekt, is efficiënter dan beide trajecten los van elkaar te behandelen. Security binnen Microsoft 365 biedt daarvoor een goede technische basis, omdat het platform tools biedt voor zowel gegevensbescherming als netwerkbeveiliging.

Moet een organisatie aan beide wetten voldoen tegelijk?

Ja, als jouw organisatie onder de reikwijdte van beide wetten valt, moet je aan beide tegelijk voldoen. De wetten sluiten elkaar niet uit en bieden geen vrijstelling op basis van de andere wet. Voor veel organisaties in sectoren zoals zorg, financiële dienstverlening en ICT is het dus heel gewoon om gelijktijdig NIS2- en AVG-verplichtingen te hebben.

De vraag is niet óf je aan beide moet voldoen, maar hoe je dat zo efficiënt mogelijk organiseert. Een aantal praktische stappen helpt daarbij:

  1. Breng je scope in kaart: Bepaal of je organisatie formeel onder NIS2 valt of indirect verplichtingen heeft via ketenpartners.
  2. Combineer risicoanalyses: Voer een gecombineerde analyse uit die zowel privacyrisico’s als cybersecurityrisico’s in kaart brengt.
  3. Stel een integraal beleid op: Één informatiebeveiligingsbeleid dat beide wetten afdekt, is overzichtelijker dan twee losse trajecten.
  4. Train je bestuur en medewerkers: Bewustwording is een expliciete verplichting onder NIS2 en ondersteunt ook AVG-naleving.
  5. Documenteer aantoonbaar: Beide wetten vragen om aantoonbaarheid. Zorg dat maatregelen, trainingen en incidenten goed worden vastgelegd.

Organisaties die al een solide AVG-fundament hebben, staan vaak niet bij nul als het om NIS2 gaat. De technische en organisatorische maatregelen overlappen deels, wat de weg naar volledige compliance verkort.

Hoe Puur ICT helpt met NIS2 en AVG compliance

Als Microsoft 365-specialist helpen wij organisaties stap voor stap naar aantoonbare compliance met zowel NIS2 als de AVG. We begrijpen dat dit voor veel directeuren en IT-managers een complexe opgave is, zeker als je tegelijkertijd verantwoordelijk bent voor continuïteit, governance en dagelijkse bedrijfsvoering.

Wat we voor je doen:

  • Nulmeting en scope-analyse: We brengen in kaart of jouw organisatie onder de Cyberbeveiligingswet valt en wat dat concreet betekent voor jouw verplichtingen.
  • Technische implementatie: Via het Microsoft 365-platform implementeren we beveiligingsmaatregelen die zowel NIS2 als AVG-vereisten ondersteunen, van toegangsbeheer tot incidentmonitoring.
  • Bestuurderstraining en cyber awareness: We verzorgen interactieve trainingen voor bestuur en medewerkers, inclusief een Digicheck als nulmeting en een phishingcampagne om waakzaamheid te testen.
  • Doorlopend beheer en rapportage: We zijn niet alleen aanwezig bij de implementatie, maar blijven beschikbaar als vaste partner voor beheer, monitoring en actuele advisering.
  • Begrijpelijke taal, korte lijnen: Geen ingewikkeld jargon, maar heldere uitleg en een pragmatische aanpak die past bij jouw organisatie.

Wil je weten waar jouw organisatie nu staat en welke stappen nodig zijn? Neem contact op met Puur ICT voor een vrijblijvend gesprek. We denken graag met je mee, in begrijpelijke taal en met een aanpak op maat.

Gerelateerde artikelen

Hoe bouw je beveiligingsbewustzijn op bij medewerkers zonder IT-affiniteit?

/in /door

Beveiligingsbewustzijn opbouwen bij medewerkers zonder IT-affiniteit doe je door beveiliging begrijpelijk te maken, niet door technische kennis over te dragen. De sleutel zit in herhaling, herkenbaarheid en praktische oefening: laat medewerkers ervaren hoe een aanval voelt, in plaats van uit te leggen hoe die technisch werkt. Dit artikel behandelt de meest gestelde vragen rondom security awareness op de werkvloer, van de oorzaken van kwetsbaarheid tot de tools en aanpak die echt werken.

Waarom vallen medewerkers zonder IT-affiniteit vaker voor phishing?

Medewerkers zonder IT-affiniteit vallen vaker voor phishing omdat zij minder vertrouwd zijn met de signalen van een nepbericht en minder snel twijfelen aan wat er op hun scherm verschijnt. Ze missen het referentiekader om een verdachte URL, een ongebruikelijke afzender of een urgente toon te herkennen als aanvalstactiek.

Dat is geen kwestie van intelligentie of aandacht, maar van blootstelling. Iemand die dagelijks met systemen werkt, ontwikkelt bijna automatisch een gevoel voor wat normaal is en wat niet. Medewerkers in niet-technische functies, zoals een administratief medewerker, een medewerker in de zorg of iemand op een receptie, werken wel met digitale middelen, maar denken er niet bewust over na.

Aanvallers weten dit. Phishing-berichten zijn steeds vaker gericht op precies deze groep: ze imiteren bekende afzenders zoals de eigen organisatie, de bank of een pakketbezorger, en ze spelen in op emoties zoals urgentie, angst of nieuwsgierigheid. Zonder basiskennis van hoe e-mailadressen werken of hoe links eruitzien, is de kans op een klik aanzienlijk groter.

Wat zijn de meest voorkomende beveiligingsrisico’s op de werkvloer?

De meest voorkomende beveiligingsrisico’s op de werkvloer zijn phishing via e-mail, het gebruik van zwakke of hergebruikte wachtwoorden, onbeveiligde wifi-verbindingen en het onbedoeld delen van gevoelige informatie. Deze risico’s zijn niet technisch van aard, maar menselijk, en daarmee ook beïnvloedbaar.

Een overzicht van de meest voorkomende risico’s:

  • Phishing en social engineering: nep-e-mails, sms-berichten of telefoontjes die medewerkers verleiden tot het klikken op een link of het afgeven van inloggegevens.
  • Wachtwoordbeheer: wachtwoorden die te simpel zijn, op meerdere plekken worden gebruikt of worden gedeeld met collega’s.
  • Schaduw-IT: medewerkers die privé-apps of niet-goedgekeurde tools gebruiken voor werk, zoals persoonlijke cloudopslag of WhatsApp voor gevoelige communicatie.
  • Fysieke beveiliging: schermen die zichtbaar zijn voor anderen, inloggen op openbare netwerken zonder VPN, of werkstations die onbeheerd worden achtergelaten.
  • Onbedoelde datalekken: bestanden die naar het verkeerde e-mailadres worden gestuurd of documenten die buiten de beveiligde omgeving worden opgeslagen.

Wat al deze risico’s gemeen hebben: ze ontstaan niet door kwade opzet, maar door onwetendheid of gewoonte. Dat maakt bewustzijn rondom IT-beveiliging de meest effectieve eerste verdedigingslinie.

Hoe maak je beveiligingstraining begrijpelijk voor niet-technische medewerkers?

Beveiligingstraining wordt begrijpelijk voor niet-technische medewerkers door te vertrekken vanuit herkenbare situaties uit hun eigen werkomgeving, in plaats van technische theorie. Gebruik concrete voorbeelden, korte modules en interactieve oefeningen die aansluiten op wat medewerkers dagelijks meemaken.

Een paar principes die het verschil maken:

  • Gebruik alledaagse taal: vermijd termen als “malware”, “exploit” of “two-factor authentication” zonder uitleg. Zeg liever: “een kwaadaardig programma dat je computer overneemt” of “een extra bevestiging via je telefoon”.
  • Koppel aan eigen ervaringen: laat medewerkers nadenken over e-mails die ze zelf al eens verdacht vonden, of situaties op de werkvloer die risicovol waren.
  • Maak het kort en herhaalbaar: één lange training per jaar werkt niet. Korte sessies van vijf tot tien minuten, regelmatig herhaald, slaan beter aan.
  • Simuleer echte aanvallen: een gesimuleerde phishing-e-mail die intern wordt verstuurd, gevolgd door directe feedback, is een van de meest effectieve leermethoden.
  • Maak het veilig om fouten te maken: medewerkers moeten niet bang zijn om een verdachte e-mail te melden. Een cultuur van openheid is essentieel.

De toon van de training is net zo belangrijk als de inhoud. Wanneer medewerkers het gevoel krijgen dat beveiliging iets is wat hen beschermt in plaats van controleert, is de bereidheid om mee te doen een stuk groter.

Welke tools helpen bij het opbouwen van beveiligingsbewustzijn?

Tools die effectief helpen bij het opbouwen van beveiligingsbewustzijn zijn onder andere phishing-simulatieplatforms, e-learningmodules en de ingebouwde beveiligingsfuncties van Microsoft 365. De beste resultaten komen uit een combinatie van automatische simulaties, gerichte training en directe feedback.

Microsoft 365 biedt hiervoor een sterke basis. Microsoft Defender for Office 365 bevat een functie genaamd Attack Simulator, waarmee je realistische phishing-campagnes kunt uitvoeren binnen je eigen organisatie. Medewerkers die op een gesimuleerde link klikken, krijgen direct een korte uitleg te zien. Dat moment van verrassing is precies wanneer een les het beste landt.

Daarnaast biedt het platform:

  • Microsoft Viva Learning: een leerplatform dat geïntegreerd is in Teams, waarmee je trainingsmodules kunt aanbieden op het moment dat medewerkers er al zijn.
  • Conditional Access en MFA: technische maatregelen die menselijke fouten opvangen, zoals het blokkeren van inlogpogingen van onbekende locaties of het verplichten van een tweede verificatiestap.
  • Beveiligingsrapporten en dashboards: inzicht in wie op verdachte links heeft geklikt, welke accounts risicovol gedrag vertonen en waar extra aandacht nodig is.

Naast Microsoft-tools zijn er ook gespecialiseerde platforms zoals KnowBe4 of Proofpoint Security Awareness Training, die uitgebreide bibliotheken met trainingsmateriaal aanbieden en goed integreren met bestaande Microsoft-omgevingen.

Hoe meet je of beveiligingsbewustzijn daadwerkelijk verbetert?

Je meet verbetering in beveiligingsbewustzijn door te kijken naar gedragsverandering, niet alleen naar trainingsresultaten. Concrete indicatoren zijn het percentage medewerkers dat klikt op gesimuleerde phishing-e-mails, het aantal gemelde verdachte berichten en de snelheid waarmee incidenten worden gerapporteerd.

Een paar meetmethoden die werken in de praktijk:

  • Klikpercentage bij phishing-simulaties: voer regelmatig gesimuleerde aanvallen uit en houd bij hoeveel procent van de medewerkers klikt. Een dalende trend over tijd is een duidelijk teken van verbetering.
  • Meldingsgedrag: hoe vaak melden medewerkers uit zichzelf een verdachte e-mail? Een stijging hiervan laat zien dat medewerkers actiever nadenken over beveiliging.
  • Herhaaltest na training: test medewerkers na een training opnieuw met een vergelijkbare simulatie en vergelijk de resultaten met de nulmeting.
  • Incidentregistratie: zijn er minder beveiligingsincidenten die terug te herleiden zijn tot menselijk handelen? Dat is uiteindelijk de belangrijkste maatstaf.

Rapporteer deze cijfers ook op bestuursniveau. Voor een IT-manager of directeur die verantwoording aflegt aan een raad van commissarissen, zijn meetbare resultaten een belangrijk instrument om te laten zien dat investeringen in security awareness daadwerkelijk effect hebben.

Wanneer is externe begeleiding bij security awareness zinvol?

Externe begeleiding bij security awareness is zinvol wanneer een organisatie niet de interne capaciteit heeft om trainingen op te zetten, wanneer bestaande inspanningen geen aantoonbaar effect hebben, of wanneer de organisatie te maken heeft gehad met een beveiligingsincident. Een externe partner brengt structuur, tooling en onafhankelijke expertise mee.

In de praktijk zijn er een aantal situaties waarin externe ondersteuning duidelijk meerwaarde biedt:

  • De IT-afdeling is klein of ontbreekt, waardoor er niemand is die security awareness structureel kan begeleiden.
  • Er is een incident geweest, zoals een geslaagde phishing-aanval, en de organisatie wil gericht verbeteren.
  • De organisatie groeit snel en er komen regelmatig nieuwe medewerkers bij die onboarding nodig hebben op het gebied van cybersecuritybewustzijn.
  • Er zijn compliancevereisten, zoals ISO 27001 of NEN 7510, waarbij aantoonbaar bewustzijn een vereiste is.

Een externe partner kan ook helpen bij het opzetten van een veilige digitale werkplek als fundament, zodat technische maatregelen en menselijk gedrag samen optrekken. Bewustzijn zonder de juiste technische onderlaag is kwetsbaar, en techniek zonder bewuste gebruikers is onvoldoende.

Hoe Puur ICT helpt met beveiligingsbewustzijn bij medewerkers

Wij helpen organisaties om beveiliging niet alleen technisch op orde te brengen, maar ook menselijk te verankeren. Vanuit onze rol als Microsoft 365-specialist begeleiden we organisaties stap voor stap, in begrijpelijke taal en met concrete resultaten.

Wat wij voor je kunnen doen:

  • Inrichten van Microsoft Defender en Attack Simulator voor geautomatiseerde phishing-simulaties en directe feedback aan medewerkers.
  • Opzetten van een security awareness-programma dat aansluit op de rollen en het kennisniveau binnen jouw organisatie.
  • Technische beveiligingsmaatregelen zoals MFA, Conditional Access en veilig apparaatbeheer via Microsoft Intune, als fundament onder je bewustwordingsstrategie.
  • Rapportages en inzichten die je als directeur of IT-manager in staat stellen om verantwoording af te leggen en bij te sturen waar nodig.
  • Adoptietrajecten waarbij we medewerkers actief begeleiden bij het veilig en effectief gebruiken van Microsoft 365.

Wil je weten hoe jouw organisatie er nu voor staat op het gebied van beveiligingsbewustzijn? Neem contact met ons op voor een vrijblijvend gesprek, en we kijken samen waar de grootste winst te behalen is.

Gerelateerde artikelen

Hoe lang heb je als organisatie om te voldoen aan NIS2?

/in /door

Als organisatie die onder de NIS2-richtlijn valt, heb je in Nederland naar verwachting tot het tweede kwartaal van 2026 om te voldoen aan de eisen van de Cyberbeveiligingswet (CBW). Die wet is de Nederlandse omzetting van de Europese NIS2-richtlijn en stelt concrete verplichtingen op het gebied van risicobeheer, incidentmelding en bestuurlijke verantwoordelijkheid. In dit artikel beantwoorden we de meest gestelde vragen over de NIS2-deadline, de reikwijdte en de eerste stappen die je als organisatie kunt zetten.

Wat is de officiële deadline voor NIS2-compliance?

De officiële deadline voor NIS2-compliance in Nederland is gekoppeld aan de inwerkingtreding van de Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 van kracht wordt. Vanaf dat moment gelden de verplichtingen direct. Bestuurders hebben vervolgens twee jaar de tijd om aantoonbaar te beschikken over de vereiste kennis en vaardigheden op het gebied van cyberbeveiliging.

Dat betekent niet dat je tot 2028 kunt wachten met actie ondernemen. De zorgplicht, de meldplicht bij incidenten en de verplichting tot risicoanalyse gelden zodra de wet in werking treedt. Wie op dat moment nog geen maatregelen heeft getroffen, loopt direct risico op handhaving. Bovendien kost het opbouwen van een solide beveiligingsfundament tijd. Organisaties die nu al beginnen met hun voorbereiding, staan straks aanzienlijk sterker.

De Europese NIS2-richtlijn had al eerder omgezet moeten zijn, maar de Nederlandse wetgeving heeft vertraging opgelopen. Toch is uitstel geen afstel: de verwachting is dat de CBW in 2026 definitief in werking treedt en dat toezichthouders actief gaan handhaven.

Welke organisaties vallen onder de NIS2-richtlijn?

De NIS2-richtlijn maakt onderscheid tussen essentiële entiteiten en belangrijke entiteiten. Essentiële entiteiten zijn grote organisaties in kritieke sectoren zoals energie, gezondheidszorg, transport en digitale infrastructuur. Belangrijke entiteiten zijn middelgrote organisaties in dezelfde en aanverwante sectoren. Beide categorieën vallen onder de verplichtingen van de cyberbeveiligingswetgeving, al verschilt de intensiteit van het toezicht.

Sectoren die expliciet onder NIS2 vallen, zijn onder andere:

  • Productie en maakindustrie
  • Logistiek en transport
  • Zorg en gezondheid
  • ICT-dienstverlening en managed service providers (MSP’s)
  • Digitale diensten en cloud
  • Financiële dienstverlening en accountancy
  • Overheid en overheidsnabije instellingen
  • Food en agri

Daarnaast zijn er organisaties die niet formeel onder NIS2 vallen, maar die wel onderdeel zijn van de keten van NIS2-organisaties of met gevoelige en kritieke data werken. Ook voor hen is het verstandig om te investeren in cyberbeveiliging. Ketenpartners worden namelijk steeds vaker aangesproken op hun digitale weerbaarheid, en zwakke schakels in de keten worden een groeiend risico voor alle betrokken partijen.

Wat zijn de gevolgen als je de NIS2-deadline niet haalt?

Als je als organisatie niet voldoet aan de NIS2-verplichtingen op het moment dat de Cyberbeveiligingswet van kracht is, riskeer je aanzienlijke sancties. Denk aan bestuurlijke boetes die kunnen oplopen tot tientallen miljoenen euro’s of een percentage van de wereldwijde jaaromzet. Bovendien worden bestuurders persoonlijk aansprakelijk gesteld voor het niet naleven van de zorgplicht.

Naast financiële gevolgen zijn er ook operationele en reputatierisico’s. Bij een ernstig beveiligingsincident kan een toezichthouder tijdelijk ingrijpen in de bedrijfsvoering. Dat kan leiden tot gedwongen stillegging van systemen, verplichte audits of verplichte aanwijzingen aan het bestuur. De reputatieschade die daarmee gepaard gaat, is voor veel organisaties minstens zo ingrijpend als de boete zelf.

Voor bestuurders is de persoonlijke aansprakelijkheid een belangrijk nieuw element. Waar cybersecurity vroeger primair een IT-verantwoordelijkheid was, legt NIS2 de verantwoordelijkheid expliciet bij het bestuur. Wie als directeur of commissaris niet aantoonbaar betrokken is bij het cyberbeveiligingsbeleid, loopt een persoonlijk juridisch risico.

Welke maatregelen moet je als organisatie concreet treffen?

De NIS2-richtlijn verplicht organisaties een breed pakket aan technische en organisatorische maatregelen te treffen. De kern bestaat uit risicobeheer, incidentmelding en ketenbeveiliging. Concreet betekent dit dat je een risicoanalyse uitvoert, een incident response plan opstelt, beveiligingsincidenten tijdig meldt bij de bevoegde autoriteiten en de beveiliging van je toeleveranciers actief beheert.

De verplichte maatregelen omvatten onder andere:

  • Het uitvoeren van periodieke risicoanalyses en het opstellen van een informatiebeveiligingsbeleid
  • Het inrichten van een incident response proces, inclusief heldere communicatielijnen bij een cyberincident
  • Het borgen van bedrijfscontinuïteit, inclusief back-upbeheer en herstelplannen
  • Het toepassen van basisbeveiligingsmaatregelen zoals multi-factor authenticatie, encryptie en toegangsbeheer
  • Het bewaken van de beveiliging in de toeleveranciersketen
  • Het trainen van medewerkers en bestuurders op het gebied van cyberbewustzijn

Bestuurders moeten bovendien aantoonbaar beschikken over kennis van cyberrisico’s. Dat vereist een formele training die voldoet aan de eisen van het Cyberbeveiligingsbesluit. Deelname en inhoud moeten aantoonbaar zijn, bijvoorbeeld via een certificaat of deelnemersregistratie.

Hoe begin je met NIS2-voorbereiding als je nog geen nulmeting hebt?

De beste eerste stap voor NIS2-voorbereiding is een nulmeting: een gestructureerde analyse van je huidige beveiligingssituatie ten opzichte van de NIS2-vereisten. Zo weet je precies waar de grootste hiaten zitten, welke maatregelen al op orde zijn en waar je prioriteit aan moet geven. Zonder nulmeting werk je op gevoel, en dat is bij een wettelijke verplichting geen solide basis.

Een praktische aanpak ziet er als volgt uit:

  1. Bepaal of je onder NIS2 valt door je sector en organisatieomvang te toetsen aan de criteria van de Cyberbeveiligingswet.
  2. Voer een nulmeting uit om inzicht te krijgen in je huidige beveiligingsniveau, beleidsmatige gaps en technische kwetsbaarheden.
  3. Stel een prioriteitenlijst op op basis van risico: welke maatregelen zijn het meest urgent en welke kun je gefaseerd aanpakken?
  4. Zorg voor bestuurlijke betrokkenheid door het onderwerp structureel op de agenda te zetten en bestuurders te trainen.
  5. Implementeer maatregelen stap voor stap, met aandacht voor techniek, processen én mensen.

Een veelgemaakte fout is NIS2 te behandelen als een eenmalig project. Cyberbewustzijn en risicobeheer zijn doorlopende processen. Wie dat structureel inricht, voldoet niet alleen aan de wet, maar bouwt ook aan een aantoonbaar digitaal weerbare organisatie.

Hoe Puur ICT helpt met NIS2-compliance

Wij begrijpen dat NIS2-compliance voor veel organisaties een complexe en tijdrovende opgave is. Als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener helpen wij je stap voor stap naar volledige naleving van de Cyberbeveiligingswet. Onze aanpak is concreet, pragmatisch en gericht op aantoonbaar resultaat:

  • Nulmeting (Digicheck): We brengen je huidige beveiligingssituatie in kaart en laten zien waar de risico’s écht zitten.
  • Bestuurderstraining: We verzorgen een tweedaagse CBW-training voor bestuurders en MT-leden, inclusief aantoonbaar bewijs van deelname.
  • Technische implementatie: We adviseren over en implementeren de juiste beveiligingsmaatregelen binnen het Microsoft-ecosysteem, van toegangsbeheer tot incidentmelding.
  • Doorlopend beheer en rapportage: We ondersteunen je bij het structureel bewaken en verbeteren van je cyberbeveiligingsniveau.
  • Cyber awareness: Via e-learning, phishingcampagnes en herhaaltrainingen zorgen we dat medewerkers en bestuurders scherp blijven.

Wil je weten of jouw organisatie onder NIS2 valt en wat de eerste stappen zijn? Neem contact op met Puur ICT voor een vrijblijvend gesprek. We denken graag met je mee, in begrijpelijke taal en met de persoonlijke aanpak waar we voor staan.

Gerelateerde artikelen

Hoe richt je een veilige gastgebruikersomgeving in voor externe partners in Microsoft Teams?

/in /door

Een veilige gastgebruikersomgeving in Microsoft Teams richt je in door gastoegang te activeren via het Microsoft 365-beheercentrum, gerichte beperkingen in te stellen op wat gasten kunnen zien en doen, en een duidelijk beheerproces te hanteren voor het aanmaken én verwijderen van gastaccounts. Dit geldt voor elke organisatie die structureel samenwerkt met externe partners, leveranciers of adviseurs. In dit artikel beantwoorden we de meest gestelde vragen over gastgebruikers in Teams, van rechten en instellingen tot beveiliging en beheer.

Welke rechten hebben gastgebruikers standaard in Microsoft Teams?

Gastgebruikers in Microsoft Teams krijgen standaard toegang tot de teams en kanalen waarvoor ze zijn uitgenodigd. Ze kunnen berichten sturen, bestanden bekijken en delen, deelnemen aan vergaderingen en reageren op berichten. Wat ze niet standaard kunnen, is nieuwe teams aanmaken, andere gebruikers toevoegen of beheerdersinstellingen aanpassen.

Concreet betekent dit dat een externe partner na uitnodiging vrijwel direct productief kan meewerken binnen een afgebakende ruimte. Microsoft heeft het gastmodel ontworpen vanuit het principe van minimale rechten: gasten zien alleen wat jij hen expliciet toont. Ze hebben geen toegang tot de bredere Microsoft 365-omgeving van jouw organisatie, zoals de interne adreslijst, SharePoint-sites buiten het uitgenodigde team of andere Teams-omgevingen.

Toch is het verstandig niet blind op de standaardinstellingen te vertrouwen. Sommige rechten, zoals het kunnen bellen via Teams of het aanpassen van kanaalinstellingen, zijn standaard ingeschakeld en verdienen bewuste aandacht bij de configuratie.

Hoe stel je gastoegang in via het Microsoft 365-beheercentrum?

Gasttoegang voor Microsoft Teams activeer je via het Microsoft 365-beheercentrum onder Teams-instellingen. Navigeer naar het Teams-beheercentrum, kies voor “Gastinstellingen” en zet de schakelaar voor gastoegang aan. Vervolgens stel je per functionaliteit in welke rechten gasten krijgen, zoals bellen, vergaderen en chatten.

De stappen op een rij:

  1. Ga naar admin.teams.microsoft.com en log in als beheerder.
  2. Klik op Gebruikers en vervolgens op Gasttoegang.
  3. Zet gasttoegang op Aan.
  4. Stel per categorie in welke mogelijkheden gasten hebben: bellen, vergaderen, berichten sturen.
  5. Sla de instellingen op. Het kan tot 24 uur duren voordat wijzigingen volledig van kracht zijn.

Naast het Teams-beheercentrum spelen ook Azure Active Directory (Microsoft Entra ID) en de SharePoint-beheerinstellingen een rol. In Azure AD bepaal je of externe gebruikers überhaupt als gast kunnen worden uitgenodigd en welke verificatiemethoden gelden. In het beveiligingsbeleid binnen Microsoft 365 kun je bovendien Conditional Access-regels instellen die ook voor gasten gelden, bijvoorbeeld het verplichten van meervoudige verificatie (MFA).

Welke beveiligingsrisico’s kleven er aan gastgebruikers in Teams?

De voornaamste beveiligingsrisico’s bij gastgebruikers in Teams zijn onbeheerde externe accounts, te ruime toegangsrechten en het ontbreken van zichtbaarheid op wat gasten doen binnen de omgeving. Als gastaccounts niet actief worden beheerd, kunnen voormalige partners of leveranciers onbedoeld toegang houden tot gevoelige informatie.

Specifieke risico’s om rekening mee te houden:

  • Verlopen samenwerking, actieve toegang: Gastaccounts worden niet automatisch verwijderd na afloop van een project. Zonder periodieke controle stapelen inactieve accounts zich op.
  • Beperkte zichtbaarheid: Standaard is er weinig overzicht over wat gasten downloaden of met wie ze bestanden delen buiten Teams.
  • Zwakke authenticatie bij de gast: Je hebt geen controle over het wachtwoordbeleid van de gastgebruiker zelf. Zonder MFA-verplichting vanuit jouw kant is dit een kwetsbaar punt.
  • Onbedoelde informatiedeling: Teamleden kunnen per ongeluk gasten toevoegen aan kanalen met vertrouwelijke informatie als er geen duidelijk beleid is.

Een goed doordacht gastbeleid, gecombineerd met technische maatregelen zoals MFA en auditlogboeken, verkleint deze risico’s aanzienlijk.

Hoe beperk je wat externe gasten kunnen zien en doen?

Je beperkt wat externe gasten in Teams kunnen zien en doen door een combinatie van gastinstellingen in het Teams-beheercentrum, kanaalprivacy-instellingen en een bewuste teamstructuur. Zo zorg je dat gasten alleen toegang hebben tot wat voor hen relevant is, niet meer en niet minder.

Praktische maatregelen:

  • Privékanalen gebruiken: Maak aparte kanalen aan voor interne communicatie die niet zichtbaar zijn voor gasten. Gasten hebben alleen toegang tot de kanalen waarvoor ze expliciet zijn toegevoegd.
  • Gastrechten verfijnen: Via het Teams-beheercentrum schakel je specifieke functies uit, zoals het aanpassen van kanaalnamen, het verwijderen van berichten of het toevoegen van apps.
  • Informatieclassificatie toepassen: Gebruik gevoeligheidslabels (sensitivity labels) om bestanden en teams te classificeren. Teams met een vertrouwelijk label kunnen zo worden ingesteld dat gastgebruikers er geen toegang toe hebben.
  • Conditional Access voor gasten: Via Azure AD stel je in dat gasten altijd MFA moeten gebruiken en alleen toegang krijgen vanaf compliant apparaten of bekende locaties.
  • Toegangsbeoordeling (Access Reviews): Stel periodieke toegangsbeoordelingen in via Azure AD Identity Governance, zodat teamowners regelmatig bevestigen of gastaccounts nog actief en noodzakelijk zijn.

De moderne werkplekarchitectuur die goed is ingericht, maakt dit soort gelaagde beveiliging eenvoudiger te beheren zonder dat het ten koste gaat van de samenwerking.

Wat is het verschil tussen gastgebruikers en externe toegang in Teams?

Gastgebruikers en externe toegang zijn twee verschillende samenwerkingsmechanismen in Microsoft Teams. Gastgebruikers worden toegevoegd aan een specifiek team en krijgen een gastaccount in jouw Azure AD-omgeving. Externe toegang (federatie) stelt gebruikers van andere Microsoft 365-organisaties in staat om met jouw medewerkers te chatten en bellen, zonder dat ze onderdeel worden van jouw omgeving.

Gastgebruikers

Bij gastgebruikers nodig je een externe persoon uit voor een specifiek team. Ze krijgen een tijdelijk account in jouw Azure AD en hebben toegang tot bestanden, kanalen en vergaderingen binnen dat team. Dit model is geschikt voor intensieve, projectmatige samenwerking waarbij je wilt dat externe partners echt onderdeel zijn van de werkruimte.

Externe toegang (federatie)

Externe toegang werkt op organisatieniveau: je staat communicatie toe tussen jouw Teams-omgeving en die van een andere organisatie. Gebruikers kunnen dan 1-op-1 chatten en bellen, maar hebben geen toegang tot elkaars teams, bestanden of kanalen. Dit is geschikt voor losse contacten en snelle communicatie, niet voor structurele B2B-samenwerking.

Voor B2B-samenwerking in Teams waarbij externe partners echt meewerken aan projecten, is het gastgebruikersmodel de aangewezen keuze. Voor organisaties die simpelweg bereikbaar willen zijn voor andere Microsoft 365-gebruikers, volstaat externe toegang.

Hoe beheer en verwijder je gastaccounts na afloop van een samenwerking?

Na afloop van een samenwerking verwijder je een gastaccount door de gebruiker te verwijderen uit het betreffende team in Teams en vervolgens het gastaccount te verwijderen uit Azure Active Directory. Zolang het account in Azure AD bestaat, behoudt de persoon potentieel toegang tot gedeelde bronnen.

Een gestructureerd offboardingproces voor gasten bestaat uit de volgende stappen:

  1. Verwijder de gast uit alle teams en kanalen via het Teams-beheercentrum of direct in Teams.
  2. Controleer of de gast toegang heeft tot gedeelde SharePoint-sites of OneDrive-mappen en trek die toegang in.
  3. Verwijder het gastaccount uit Azure AD via het Microsoft Entra-beheercentrum.
  4. Documenteer de verwijdering als onderdeel van je auditproces.

Om dit structureel te borgen, raden we aan gebruik te maken van Access Reviews in Azure AD. Hiermee stel je automatische beoordelingsmomenten in, waarbij teamowners periodiek bevestigen of gastaccounts nog actief mogen zijn. Zo voorkom je dat inactieve accounts maandenlang onopgemerkt blijven bestaan.

Voor grotere organisaties is het verstandig dit offboardingproces op te nemen in een bredere ICT-beheerstructuur, zodat het niet afhankelijk is van individuele teamowners maar centraal wordt bewaakt.

Hoe Puur ICT helpt met een veilige gastgebruikersomgeving in Teams

Een goed ingericht gastbeleid vraagt om technische kennis, een helder beleid én continue aandacht. Wij helpen organisaties met 100 tot 600 werkplekken om dit van begin tot eind goed te regelen, zonder dat jij als IT-manager of directeur elke technische stap zelf hoeft te zetten.

Wat wij concreet voor je doen:

  • Inventarisatie en advies: We brengen in kaart hoe gastgebruikers nu worden ingezet en waar de risico’s zitten.
  • Technische configuratie: We richten gastinstellingen in via het Teams-beheercentrum, Azure AD en Microsoft Entra ID, inclusief MFA-beleid en Conditional Access voor externe gebruikers.
  • Gevoeligheidslabels en toegangsbeleid: We implementeren een gelaagd beveiligingsmodel zodat gasten alleen zien wat ze mogen zien.
  • Access Reviews en beheerprocessen: We zorgen voor geautomatiseerde toegangsbeoordelingen en een helder offboardingproces voor gastaccounts.
  • Doorlopend beheer: Als onderdeel van de Puur Moderne Werkplek bewaken we proactief of de instellingen up-to-date blijven en passen we aan waar nodig.

Wil je weten hoe jouw huidige Teams-omgeving er qua gasttoegang voorstaat? Neem contact op met Puur ICT voor een vrijblijvend gesprek. We denken graag met je mee in begrijpelijke taal, zonder overbodig jargon.

Gerelateerde artikelen

Wat is het verschil tussen een thin client werkplek en een managed device?

/in /door

Een thin client werkplek en een managed device zijn twee fundamenteel verschillende benaderingen van werkplekbeheer. Een thin client is een lichtgewicht apparaat dat vrijwel geen lokale verwerkingskracht heeft en volledig leunt op een centrale server of cloudinfrastructuur. Een managed device is een volwaardig apparaat, zoals een laptop of desktop, dat centraal wordt beheerd via softwareoplossingen zoals Microsoft Intune. De keuze tussen beide hangt af van je werkprocessen, beveiligingseisen en de mate van flexibiliteit die medewerkers nodig hebben. In dit artikel beantwoorden we de meest gestelde vragen over dit verschil.

Wanneer kies je voor een thin client en wanneer voor een managed device?

Je kiest voor een thin client werkplek wanneer medewerkers voornamelijk vaste, gestandaardiseerde taken uitvoeren op een vaste locatie, en wanneer centrale controle over data en applicaties de hoogste prioriteit heeft. Een managed device is de betere keuze als medewerkers flexibel moeten werken, veel onderweg zijn of toegang nodig hebben tot zware lokale applicaties.

De beslissing draait in de praktijk om een aantal concrete factoren:

  • Mobiliteit: Werken medewerkers altijd op kantoor of ook thuis en onderweg? Managed devices bieden meer vrijheid.
  • Applicatiebehoefte: Zijn de benodigde applicaties volledig cloudgebaseerd, of draaien er zware lokale programma’s? Thin clients werken goed met cloudapplicaties, maar zijn minder geschikt voor grafisch intensieve software.
  • Standaardisatie: Hoe uniform zijn de werkzaamheden? Hoe meer gestandaardiseerd, hoe beter een thin client past.
  • Beheercapaciteit: Beschik je over een IT-team dat apparaten kan onderhouden, of wil je zo min mogelijk lokaal beheer?

Voor organisaties met moderne werkplekoplossingen die zijn gebouwd op Microsoft 365 geldt dat managed devices steeds vaker de voorkeur krijgen, juist omdat de combinatie van flexibiliteit en centrale beheerbaarheid via tools als Intune steeds volwassener is geworden.

Hoe werkt een thin client werkplek technisch gezien?

Een thin client werkplek werkt door de volledige rekenkracht en applicatieverwerking te verplaatsen naar een centrale server of cloudplatform. Het apparaat zelf doet weinig meer dan invoer en uitvoer verzorgen: toetsaanslagen en muisbewegingen worden naar de server gestuurd, en het schermresultaat wordt teruggestuurd naar het apparaat.

Technisch gezien zijn er twee gangbare architecturen:

  • Server-based computing (SBC): Medewerkers verbinden via protocollen zoals RDP of Citrix HDX met een centrale terminalserver. Alle applicaties draaien op die server, niet op het apparaat zelf.
  • Virtual Desktop Infrastructure (VDI): Elke medewerker krijgt een eigen virtuele machine in een datacenter of in de cloud, zoals via Azure Virtual Desktop. Dit biedt meer isolatie en personalisatie dan SBC.

Het thin client apparaat zelf heeft doorgaans een minimale processor, weinig of geen lokale opslag en een lichtgewicht besturingssysteem. Dat maakt het energiezuinig en goedkoop in aanschaf, maar volledig afhankelijk van een stabiele netwerkverbinding. Valt de verbinding weg, dan stopt het werk.

Wat houdt managed device beheer precies in?

Managed device beheer houdt in dat een organisatie volledige controle uitoefent over de configuratie, beveiliging en het gebruik van elk apparaat via een centrale beheertool. In een Microsoft 365-omgeving gebeurt dit vrijwel altijd via Microsoft Intune, onderdeel van het Endpoint Management-platform.

Concreet omvat managed device beheer de volgende mogelijkheden:

  • Automatisch uitrollen van applicaties en updates op alle apparaten
  • Afdwingen van beveiligingsbeleid, zoals verplichte schermvergrendeling of encryptie
  • Controleren of apparaten voldoen aan minimale beveiligingseisen (compliance policies)
  • Op afstand wissen van bedrijfsgegevens bij verlies of diefstal
  • Segmenteren van persoonlijke en zakelijke data op BYOD-apparaten

Het grote voordeel van dit model is dat het apparaat zelf volledig functioneel blijft, ook zonder netwerkverbinding. Medewerkers kunnen offline werken en synchroniseren zodra de verbinding hersteld is. Voor organisaties die medewerkers flexibel willen laten werken zonder in te leveren op beveiliging binnen Microsoft 365, is managed device beheer de meest volwassen aanpak.

Wat zijn de beveiligingsverschillen tussen beide werkplekvormen?

Het grootste beveiligingsverschil is de locatie van data en verwerkingskracht. Bij een thin client werkplek worden data en applicaties centraal bewaard en verwerkt, waardoor er vrijwel niets gevoeligs op het apparaat zelf staat. Bij een managed device staat data ook lokaal, maar wordt de beveiliging afgedwongen via beleid en technische controlemechanismen.

Beveiliging bij thin clients

Thin clients worden traditioneel gezien als veilig omdat er geen lokale opslag is. Gestolen of verloren hardware levert daardoor nauwelijks een datarisico op. Het risico verschuift echter naar de centrale infrastructuur: een kwetsbaarheid in de server of het VDI-platform treft potentieel alle gebruikers tegelijk. Bovendien is de thin client volledig afhankelijk van de beveiliging van de netwerkverbinding.

Beveiliging bij managed devices

Bij managed devices is de beveiliging gelaagd opgebouwd. Tools als Intune zorgen voor device compliance, conditional access voorkomt toegang van niet-conforme apparaten tot bedrijfsdata, en encryptie beschermt lokale bestanden. Het risico zit in het menselijk gedrag: een medewerker die een onveilige applicatie installeert of op een phishinglink klikt, kan alsnog een kwetsbaarheid introduceren. Dat maakt goed beleid en gebruikersbewustzijn essentieel.

Welke kosten zijn verbonden aan thin clients versus managed devices?

Thin clients hebben doorgaans lagere aanschafkosten per apparaat, maar brengen hogere infrastructuurkosten met zich mee door de benodigde server- of cloudcapaciteit. Managed devices kosten meer per apparaat, maar vereisen minder gecentraliseerde infrastructuur en zijn flexibeler inzetbaar.

Een eerlijke kostenvergelijking kijkt naar de total cost of ownership (TCO) over meerdere jaren:

  • Thin client: Lage hardwarekosten, lange levensduur van het apparaat (soms 7 tot 10 jaar), maar hogere licentie- en infrastructuurkosten voor VDI of terminalservers. Het beheer van de centrale omgeving vraagt specialistische kennis.
  • Managed device: Hogere aanschafkosten, vervangingscyclus van gemiddeld 3 tot 5 jaar, maar lagere infrastructuurkosten wanneer de werkplek volledig cloudgebaseerd is via Microsoft 365.

Voor organisaties die al investeren in een Microsoft 365-licentie, valt het managed device model financieel vaak gunstiger uit omdat Intune al is inbegrepen in veel licentieniveaus. De infrastructuurkosten voor VDI of terminalservers komen daar bovenop, terwijl ze bij managed devices niet nodig zijn.

Welke werkplekvorm past het beste bij een organisatie met 100 tot 600 werkplekken?

Voor organisaties met 100 tot 600 werkplekken is een managed device aanpak op basis van Microsoft 365 in de meeste gevallen de meest toekomstbestendige keuze. Deze omvang vraagt om flexibiliteit, schaalbaarheid en centrale beheerbaarheid, zonder de complexe en kostbare serverinfrastructuur die een volledige thin client omgeving vereist.

Een thin client oplossing kan nog steeds zinvol zijn voor specifieke afdelingen of functies binnen die organisatie, zoals callcenters, productieplekken of kioskterminals, waar gestandaardiseerde taken en vaste locaties de norm zijn. Maar als basisarchitectuur voor de hele organisatie is het managed device model robuuster en wendbaarder.

Relevante overwegingen voor deze organisatieomvang:

  • Medewerkers werken hybride en verwachten flexibiliteit
  • IT-beheer moet schaalbaar zijn zonder evenredig meer personeel
  • Beveiliging en compliance moeten aantoonbaar zijn richting bestuur of toezichthouders
  • De werkplek moet snel kunnen worden uitgebreid bij groei of krimp

Een hybride aanpak, waarbij managed devices de standaard zijn en thin clients worden ingezet voor specifieke gebruikersgroepen, combineert het beste van beide werelden. Professioneel ICT-beheer en ondersteuning is daarbij onmisbaar om de omgeving consistent en veilig te houden.

Hoe Puur ICT helpt bij de keuze tussen thin client en managed device

Wij helpen organisaties met 100 tot 600 werkplekken om de werkplekvorm te kiezen die écht past bij hun werkprocessen, beveiligingseisen en groeiambities. Als Microsoft 365-specialist bouwen wij werkplekoplossingen die flexibel, veilig en beheersbaar zijn, zonder onnodige complexiteit.

Wat wij concreet voor je doen:

  • Werkplekanalyse: We brengen in kaart welke medewerkers welke werkplekbehoefte hebben, zodat de keuze voor thin client of managed device per gebruikersgroep wordt gemaakt.
  • Implementatie en inrichting: We richten de Microsoft 365-omgeving in, inclusief Intune voor managed device beheer, en zorgen dat alles binnen enkele weken live staat.
  • Centraal beheer: Via Microsoft Endpoint Management bewaken we op afstand of apparaten voldoen aan beveiligingseisen, verzorgen we updates en kunnen we apparaten op afstand wissen bij verlies of diefstal.
  • Persoonlijk aanspreekpunt: Geen losse leveranciers, maar één partner die proactief meedenkt en heldere taal spreekt.

Wil je weten welke werkplekvorm het beste past bij jouw organisatie? Ontdek de Puur Moderne Werkplek of neem direct contact op voor een vrijblijvend gesprek.

Gerelateerde artikelen

Hoe zet je automatische back-ups in voor Exchange, SharePoint en OneDrive?

/in /door

Automatische back-ups instellen voor Exchange, SharePoint en OneDrive doe je via Microsoft 365 Backup, een native tool binnen het Microsoft 365-beheercentrum waarmee je herstelbeleid instelt voor mailboxen, SharePoint-sites en OneDrive-accounts. Activeer de tool, kies de gewenste retentieperiode en Microsoft beheert de rest op de achtergrond. Wil je meer controle of langere bewaartermijnen, dan is een externe back-upoplossing zoals Veeam of Datto een serieuze aanvulling. In dit artikel beantwoorden we de meestgestelde vragen over cloudback-ups in Microsoft 365, van risico’s tot herstel.

Slaat Microsoft 365 automatisch back-ups op?

Microsoft 365 slaat geen volledige back-ups op in de traditionele zin van het woord. Microsoft zorgt voor de beschikbaarheid en redundantie van de infrastructuur, maar dat is iets anders dan een herstelbare back-up van jouw organisatiedata. Verwijderde bestanden of e-mails zijn slechts beperkt herstelbaar via ingebouwde prullenbakfuncties.

Wat Microsoft standaard biedt, zijn bewaartermijnen via de Prullenbak en functies als Versiegeschiedenis in SharePoint en OneDrive. In SharePoint kun je verwijderde items tot 93 dagen terugzetten via de prullenbak. In Exchange worden verwijderde items standaard 14 tot 30 dagen bewaard, afhankelijk van de licentie en instellingen. Dit zijn echter geen echte back-ups: je kunt niet terugkeren naar een specifiek moment in de tijd voor een volledige mailbox of siteomgeving.

Wil je structureel herstel op een bepaald tijdstip, dan heb je aanvullende tooling nodig, zoals Microsoft 365 Backup of een externe oplossing.

Wat zijn de risico’s van geen back-upbeleid voor Exchange, SharePoint en OneDrive?

Zonder een actief back-upbeleid loop je als organisatie het risico dat data definitief verloren gaat door menselijke fouten, ransomware, kwaadwillende medewerkers of technische storingen. De ingebouwde prullenbakfuncties van Microsoft bieden slechts een beperkt vangnet en zijn niet ontworpen als hersteloplossing voor noodgevallen.

Concreet zijn dit de voornaamste risico’s:

  • Onherstelbaar dataverlies door gebruikersfouten: een medewerker verwijdert per ongeluk een hele SharePoint-bibliotheek of een reeks e-mails. Als de bewaartermijn is verstreken, is die data weg.
  • Ransomware-aanvallen: criminelen versleutelen niet alleen lokale bestanden, maar ook cloudopslag zoals OneDrive. Zonder een externe back-up heb je niets om op terug te vallen.
  • Vertrekkende medewerkers: wanneer een account wordt verwijderd, verdwijnt bijbehorende data, tenzij je dit goed hebt ingericht.
  • Compliance- en auditrisico’s: voor sectoren met strenge bewaarplichten, zoals de zorg of financiële dienstverlening, is het ontbreken van aantoonbare back-ups een serieus juridisch en bestuurlijk risico.

Een goed back-upbeleid is daarmee niet alleen een technische maatregel, maar ook een bestuurlijke verantwoordelijkheid. Meer over beveiliging binnen Microsoft 365 lees je op onze overzichtspagina.

Welke tools kun je gebruiken voor automatische back-ups in Microsoft 365?

Voor automatische back-ups in Microsoft 365 zijn er twee hoofdrichtingen: de native Microsoft-oplossing via Microsoft 365 Backup, of een externe back-uptool van een derde partij. Welke het beste past, hangt af van je hersteleisen, bewaartermijnen en budget.

Microsoft 365 Backup (native)

Microsoft 365 Backup is de ingebouwde back-upoplossing die beschikbaar is via het Microsoft 365-beheercentrum. Het ondersteunt Exchange Online, SharePoint en OneDrive, en maakt herstel op specifieke tijdstippen mogelijk. De oplossing is relatief eenvoudig te activeren en werkt naadloos samen met de rest van de Microsoft-omgeving.

Externe back-upoplossingen

Tools zoals Veeam Backup for Microsoft 365, Datto SaaS Protection en Acronis Cyber Protect Cloud bieden bredere mogelijkheden: langere retentieperioden, meer granulariteit bij herstel en opslag buiten het Microsoft-ecosysteem. Dit is met name relevant voor organisaties met strikte compliance-eisen of die extra onafhankelijkheid van Microsoft willen bewaren.

Hoe stel je automatische back-ups in via Microsoft 365 Backup?

Microsoft 365 Backup activeer je via het Microsoft 365-beheercentrum. Na activatie stel je herstelbeleid in per dienst: Exchange Online, SharePoint en OneDrive. De tool maakt automatisch back-ups op vaste intervallen en bewaart die voor een instelbare periode.

Volg deze stappen om te starten:

  1. Ga naar het Microsoft 365-beheercentrum en navigeer naar Instellingen > Microsoft 365 Backup.
  2. Activeer de back-upfunctie voor de gewenste services: Exchange, SharePoint en/of OneDrive.
  3. Stel de retentieperiode in. Microsoft 365 Backup ondersteunt momenteel herstel tot maximaal 180 dagen terug.
  4. Kies welke mailboxen, sites of accounts je wilt opnemen in het back-upbeleid. Je kunt dit instellen per gebruiker of voor de hele organisatie.
  5. Controleer de back-upstatus regelmatig via het beheercentrum om zeker te zijn dat alles correct wordt uitgevoerd.

Let op: Microsoft 365 Backup is beschikbaar als betaalde add-on en vereist de juiste licenties. Controleer altijd of jouw huidige abonnement toegang geeft tot deze functionaliteit.

Hoe herstel je data vanuit een automatische back-up?

Data herstellen vanuit een Microsoft 365-back-up doe je via het beheercentrum. Je kiest het gewenste herstelpunt, selecteert de specifieke mailbox, site of het account en start het herstelproces. Afhankelijk van de hoeveelheid data duurt dit van enkele minuten tot een paar uur.

Het herstelproces verschilt per dienst:

  • Exchange Online: herstel een volledige mailbox of specifieke items naar een gekozen tijdstip. Herstelde items worden als aparte map in de mailbox geplaatst, zodat de huidige inhoud intact blijft.
  • SharePoint: herstel een volledige site of specifieke documentbibliotheken naar een eerdere staat. Handig bij massale verwijderingen of na een ransomware-aanval.
  • OneDrive: herstel individuele bestanden of een volledig OneDrive-account. De herstelde versie wordt naast de huidige inhoud geplaatst.

Een goed gedocumenteerd herstelproces is minstens zo belangrijk als de back-up zelf. Zorg dat IT-beheerders weten hoe ze moeten handelen bij een herstelverzoek, en test het herstelproces periodiek om zeker te weten dat alles werkt zoals verwacht.

Wanneer is een externe back-upoplossing beter dan de Microsoft-native opties?

Een externe back-upoplossing is beter dan de Microsoft-native opties wanneer je organisatie langere bewaartermijnen nodig heeft dan 180 dagen, werkt met strikte compliance-eisen, of behoefte heeft aan opslag buiten het Microsoft-platform. Ook wanneer je onafhankelijkheid van één leverancier als risicobeheer ziet, biedt een externe oplossing meer zekerheid.

Specifieke situaties waarin een externe cloudback-up voor Microsoft 365 de voorkeur verdient:

  • Langere retentie: sommige sectoren verplichten bewaartermijnen van vijf, zeven of zelfs tien jaar. Microsoft 365 Backup ondersteunt maximaal 180 dagen.
  • Granulaire hersteloptie: externe tools bieden vaak meer mogelijkheden om individuele e-mails, contacten of agenda-items te herstellen zonder de volledige mailbox te raken.
  • Onafhankelijke opslag: bij een ernstig incident binnen het Microsoft-platform, hoe zeldzaam ook, wil je back-ups die buiten dat ecosysteem zijn opgeslagen.
  • Gecentraliseerd beheer: bij grotere organisaties bieden externe tools betere rapportage, auditmogelijkheden en integratie met bredere beveiligingsplatformen.

Voor de meeste middelgrote organisaties is Microsoft 365 Backup een goede basisoplossing. Zodra compliance, risicobeheer of retentievereisten complexer worden, is een externe aanvulling geen luxe maar een noodzaak.

Hoe Puur ICT helpt met automatische back-ups in Microsoft 365

Wij helpen organisaties bij het inrichten van een solide en passend back-upbeleid voor Exchange, SharePoint en OneDrive. Of je nu net begint met het nadenken over cloudback-ups of een bestaande situatie wilt verbeteren, wij denken mee op zowel technisch als strategisch niveau.

Wat wij voor je doen:

  • Inventarisatie van je huidige back-up- en retentiesituatie binnen Microsoft 365
  • Advies over de juiste oplossing: Microsoft 365 Backup, een externe tool of een combinatie
  • Technische implementatie en configuratie van het back-upbeleid voor Exchange, SharePoint en OneDrive
  • Periodieke controle en rapportage zodat je altijd weet dat je data veilig is
  • Begeleiding bij herstelscenario’s, inclusief testprocedures

Dit doen wij als onderdeel van onze Puur Moderne Werkplek aanpak, waarbij veiligheid en continuïteit standaard zijn ingebouwd. Wil je weten hoe jouw organisatie er nu voor staat? Neem contact op met Puur ICT voor een vrijblijvend gesprek. We denken graag met je mee, in begrijpelijke taal en zonder omwegen.

Gerelateerde artikelen

Welke technische maatregelen zijn verplicht onder NIS2?

/in /door

Onder NIS2 zijn organisaties verplicht een breed pakket aan technische beveiligingsmaatregelen te treffen, waaronder risicoanalyses, toegangsbeheer, versleuteling, patchbeheer en het opstellen van een incident response plan. De richtlijn schrijft geen exacte tools voor, maar eist wel dat maatregelen aantoonbaar passend en evenredig zijn aan het risico. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-verplichtingen, van toepassingsgebied tot sancties.

Op welke organisaties is NIS2 van toepassing?

NIS2 is van toepassing op organisaties die actief zijn in sectoren die als essentieel of belangrijk worden aangemerkt, en die voldoen aan bepaalde drempelwaarden qua omvang. In Nederland wordt de richtlijn omgezet in de Cyberbeveiligingswet, die naar verwachting in het tweede kwartaal van 2026 in werking treedt. De reikwijdte is aanzienlijk groter dan onder de oude NIS1-richtlijn.

De NIS2-richtlijn maakt onderscheid tussen twee categorieën:

  • Essentiële entiteiten: organisaties in sectoren zoals energie, transport, drinkwater, financiële infrastructuur en gezondheidszorg. Voor deze categorie gelden de strengste eisen en toezichtmaatregelen.
  • Belangrijke entiteiten: organisaties in sectoren zoals ICT-dienstverlening, digitale diensten, voedselproductie, logistiek en maakindustrie. Ook zij moeten voldoen aan NIS2, maar het toezicht is reactiever van aard.

Als vuistregel geldt dat organisaties met minimaal 50 medewerkers of een jaaromzet van meer dan 10 miljoen euro in een aangewezen sector onder de wet vallen. Maar ook kleinere organisaties kunnen in scope zijn, namelijk wanneer ze een kritieke rol spelen in de keten van een essentiële of belangrijke entiteit. Levert jouw organisatie diensten aan partijen die onder NIS2 vallen, dan is het verstandig te toetsen of je zelf ook verplichtingen hebt.

Welke technische beveiligingsmaatregelen schrijft NIS2 voor?

NIS2 verplicht organisaties tot het nemen van passende en evenredige technische maatregelen om netwerken en informatiesystemen te beveiligen. De richtlijn noemt geen specifieke producten of tools, maar omschrijft wel de domeinen waarop maatregelen verplicht zijn. Organisaties moeten kunnen aantonen dat hun beveiligingsniveau in verhouding staat tot het risico.

De verplichte technische maatregelen omvatten minimaal de volgende onderdelen:

  • Risicoanalyse: een systematische inventarisatie van dreigingen, kwetsbaarheden en de mogelijke impact op bedrijfsprocessen.
  • Toegangsbeheer en authenticatie: het beperken van toegang tot systemen op basis van het principe van minimale rechten, aangevuld met sterke authenticatiemethoden zoals multifactorauthenticatie (MFA).
  • Versleuteling: bescherming van gegevens in transit en in opslag via encryptie.
  • Patchbeheer en kwetsbaarheidsbeheer: het tijdig installeren van beveiligingsupdates en het actief monitoren op bekende kwetsbaarheden.
  • Netwerksegmentatie: het scheiden van kritieke systemen van minder kritieke omgevingen om de impact van een incident te beperken.
  • Back-up en herstel: het regelmatig maken en testen van back-ups, met een gedocumenteerd herstelplan.
  • Beveiliging van de toeleveringsketen: het stellen van eisen aan leveranciers en het monitoren van risico’s in de keten.

Organisaties die Microsoft 365 gebruiken, kunnen veel van deze maatregelen realiseren via ingebouwde functionaliteiten. Denk aan Conditional Access, Microsoft Defender, Entra ID en de beveiligingsinstellingen binnen SharePoint en Teams. Meer over de mogelijkheden lees je op de pagina over security binnen Microsoft 365.

Hoe verschilt NIS2 van de oude NIS1-richtlijn op technisch vlak?

NIS2 gaat op technisch vlak aanzienlijk verder dan NIS1. Waar de eerste richtlijn nog veel ruimte liet voor eigen interpretatie en weinig concrete eisen stelde, introduceert NIS2 een uitgebreider en meer geharmoniseerd kader voor technische beveiliging. De lat ligt hoger, de reikwijdte is breder en de handhaving is strenger.

De belangrijkste technische verschillen zijn:

  • Expliciete maatregelencategorieën: NIS2 benoemt concreet welke domeinen gedekt moeten zijn, zoals ketenbeveiliging, cryptografie en toegangsbeheer. NIS1 liet dit grotendeels open.
  • Ketenverantwoordelijkheid: NIS2 verplicht organisaties actief te sturen op de beveiliging van hun toeleveranciers en dienstverleners. Dit was onder NIS1 geen expliciete eis.
  • Bestuurlijke verantwoordelijkheid: bestuurders worden persoonlijk verantwoordelijk gesteld voor de naleving van technische en organisatorische maatregelen. Dit is een nieuw element dat directe gevolgen heeft voor governance.
  • Bredere sectorale dekking: NIS2 geldt voor een veel grotere groep sectoren en organisaties dan NIS1, waardoor meer partijen nu verplicht zijn technische maatregelen te treffen.

Wat zijn de verplichtingen rondom incidentmelding onder NIS2?

Onder NIS2 zijn organisaties verplicht significante beveiligingsincidenten te melden bij de bevoegde nationale autoriteit, in Nederland het Nationaal Cyber Security Centrum (NCSC) of de relevante sectorale toezichthouder. De meldplicht kent strikte termijnen en een gelaagde structuur.

De meldprocedure verloopt in drie stappen:

  1. Vroegtijdige waarschuwing (binnen 24 uur): zodra een significant incident is vastgesteld, moet er binnen 24 uur een eerste melding worden gedaan. Dit hoeft nog geen volledige analyse te bevatten, maar geeft de autoriteit vroegtijdig inzicht.
  2. Incidentmelding (binnen 72 uur): binnen 72 uur volgt een gedetailleerdere melding met een eerste beoordeling van de ernst, de oorzaak en de getroffen maatregelen.
  3. Eindrapportage (binnen één maand): na afronding van het incident wordt een volledig rapport ingediend met een analyse van de oorzaak, de impact en de genomen herstelmaatregelen.

Een incident geldt als significant wanneer het leidt tot ernstige operationele verstoring, financiële schade of gevolgen voor andere organisaties. Het is daarom essentieel dat je een gedocumenteerd incident response plan hebt liggen, inclusief duidelijke rollen en communicatielijnen, zodat je in geval van een incident direct kunt handelen.

Welke rol speelt ketenbeveiliging binnen NIS2?

Ketenbeveiliging is een van de meest onderscheidende en veeleisende onderdelen van de NIS2-richtlijn. Organisaties zijn niet alleen verantwoordelijk voor hun eigen beveiliging, maar ook voor de risico’s die hun leveranciers en dienstverleners met zich meebrengen. Dit betekent dat je als organisatie actief moet sturen op de cybersecurity van de partijen waarmee je samenwerkt.

Concreet houdt dit in dat je:

  • een overzicht bijhoudt van kritieke leveranciers en de risico’s die zij vertegenwoordigen;
  • contractuele afspraken maakt over beveiligingseisen en meldplichten bij leveranciers;
  • periodiek toetst of leveranciers nog steeds voldoen aan de gestelde eisen;
  • rekening houdt met de beveiliging van de gehele digitale toeleveringsketen bij het uitvoeren van risicoanalyses.

Voor organisaties die samenwerken met ICT-dienstverleners is het dan ook belangrijk te kiezen voor partners die zelf aantoonbaar voldoen aan hoge beveiligingsstandaarden. Een gecertificeerde dienstverlener met een transparante werkwijze en duidelijke afspraken rondom beveiliging verlaagt direct het ketenrisico voor jouw organisatie.

Wat zijn de sancties als een organisatie niet voldoet aan NIS2?

Organisaties die niet voldoen aan de NIS2-verplichtingen kunnen rekenen op aanzienlijke boetes en andere handhavingsmaatregelen. De hoogte van de sancties hangt af van de categorie waarin een organisatie valt: essentiële entiteiten krijgen te maken met hogere maximumboetes dan belangrijke entiteiten.

De maximale boetes zijn:

  • Essentiële entiteiten: tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is.
  • Belangrijke entiteiten: tot 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.

Naast financiële sancties kunnen toezichthouders ook andere maatregelen opleggen, zoals het verplicht laten uitvoeren van een audit, het tijdelijk verbieden van bepaalde activiteiten of het openbaar maken van de overtreding. Bovendien kunnen bestuurders persoonlijk aansprakelijk worden gesteld als blijkt dat zij hun zorgplicht hebben verwaarloosd. Dit maakt NIS2-compliance nadrukkelijk een bestuurlijke verantwoordelijkheid en niet alleen een IT-vraagstuk.

Hoe Puur ICT helpt met NIS2-compliance

NIS2-compliance is voor veel organisaties een complexe opgave, zeker wanneer er geen eigen CISO of grote IT-afdeling aanwezig is. Wij helpen je stap voor stap naar aantoonbare naleving, zonder dat je zelf alle technische details hoeft te overzien. Onze aanpak is concreet, pragmatisch en volledig afgestemd op het Microsoft-ecosysteem dat jouw organisatie al gebruikt.

Wat wij voor je doen:

  • Nulmeting en risicoanalyse: we brengen je huidige beveiligingssituatie in kaart en identificeren waar de grootste risico’s en compliance-gaps zitten.
  • Implementatie van technische maatregelen: van MFA en Conditional Access tot encryptie, patchbeheer en netwerksegmentatie, we richten het in en zorgen dat het werkt.
  • Incident response planning: we helpen je een gedocumenteerd plan opstellen zodat je bij een incident direct kunt handelen en tijdig kunt melden.
  • Ketenbeveiliging: als jouw ICT-dienstverlener voldoen wij zelf aan hoge beveiligingsstandaarden en ondersteunen we je bij het stellen van eisen aan andere leveranciers.
  • Bestuurderstraining en awareness: via onze NIS2 en Cyber Awareness trainingen maken we bestuurders en medewerkers handelingsbekwaam en aantoonbaar compliant.
  • Doorlopend beheer en rapportage: we monitoren, beheren en rapporteren continu, zodat je altijd inzicht hebt en je verantwoording kunt afleggen.

Wil je weten of jouw organisatie onder NIS2 valt en wat dat concreet betekent? Neem contact op met Puur ICT voor een vrijblijvend gesprek. We spreken gewone taal, denken proactief mee en zorgen dat je niet voor verrassingen komt te staan wanneer de Cyberbeveiligingswet in werking treedt.

Gerelateerde artikelen

Wat is het verschil tussen een generalist en een gecertificeerde Microsoft 365-specialist?

/in /door

Een gecertificeerde Microsoft 365-specialist verschilt fundamenteel van een generalist doordat hij of zij aantoonbare, door Microsoft gevalideerde kennis heeft van specifieke producten, architecturen en beveiligingsstandaarden. Een generalist beheert brede ICT-omgevingen op een algemeen niveau, terwijl een specialist diepgaande expertise inzet die direct bijdraagt aan veiligheid, continuïteit en optimaal gebruik van de Microsoft 365-suite. In dit artikel beantwoorden we de meest gestelde vragen over dit verschil, zodat je een weloverwogen keuze kunt maken bij het selecteren van een IT-dienstverlener.

Wat maakt een gecertificeerde Microsoft 365-specialist anders dan een generalist?

Een gecertificeerde Microsoft 365-specialist heeft door Microsoft erkende kennis van de volledige suite, inclusief beveiliging, compliance, identiteitsbeheer en samenwerking. Een generalist heeft brede ICT-kennis, maar mist vaak de diepgang om Microsoft 365 strategisch in te richten, te beveiligen en te optimaliseren. Het verschil zit niet alleen in kennis, maar ook in aanpak en verantwoordelijkheid.

Een generalist kan je helpen met alledaagse ICT-taken: apparaten beheren, netwerken onderhouden, gebruikers ondersteunen. Maar Microsoft 365 is meer dan een pakket kantoorapplicaties. Het is een platform met tientallen diensten, beveiligingslagen, compliance-instellingen en integratiemogelijkheden. Een specialist weet hoe die onderdelen samenhangen en hoe je ze afstemt op de specifieke eisen van jouw organisatie.

Bovendien werkt een gecertificeerde Microsoft 365-specialist volgens actuele best practices die Microsoft zelf vaststelt. Certificeringen worden regelmatig bijgewerkt, wat betekent dat een specialist altijd werkt met de nieuwste inzichten op het gebied van beveiliging, governance en productiviteit.

Welke Microsoft-certificeringen zijn relevant voor Microsoft 365-beheer?

De meest relevante Microsoft-certificeringen voor Microsoft 365-beheer zijn de Microsoft 365 Certified: Administrator Expert, de Security Administrator Associate en de Teams Administrator Associate. Samen dekken deze certificeringen de kerngebieden van een goed beheerde Microsoft 365-omgeving: identiteit, beveiliging, samenwerking en compliance.

Hieronder een overzicht van de belangrijkste certificeringen en wat ze betekenen voor jouw organisatie:

  • Microsoft 365 Certified: Administrator Expert — Valideert de kennis om Microsoft 365-tenants te implementeren, beheren en beveiligen op organisatieniveau.
  • Microsoft 365 Certified: Security Administrator Associate — Gericht op het beveiligen van identiteiten, apparaten, data en applicaties binnen de Microsoft 365-omgeving.
  • Microsoft 365 Certified: Teams Administrator Associate — Specifiek voor het inrichten en beheren van Microsoft Teams als samenwerkingsplatform.
  • Microsoft Certified: Azure Administrator Associate — Relevant wanneer Microsoft 365 is gekoppeld aan Azure-diensten voor identiteitsbeheer of cloudinfrastructuur.

Een gecertificeerde partner beschikt doorgaans over meerdere van deze certificeringen binnen het team. Dat brede certificeringsniveau is een concrete indicator van de diepgang die je als organisatie mag verwachten bij ICT-beheer en ondersteuning.

Wat gaat er mis als een generalist Microsoft 365 beheert?

Als een generalist Microsoft 365 beheert zonder voldoende specialistische kennis, ontstaan er risico’s op het gebied van beveiliging, compliance en onbenut potentieel. De meest voorkomende problemen zijn verkeerde beveiligingsinstellingen, gebrekkig beleid rondom gegevensbeheer en een omgeving die niet aansluit op de werkprocessen van de organisatie.

Concreet zien organisaties met een generalist als beheerder regelmatig de volgende knelpunten:

  • Onvoldoende beveiliging — Standaardinstellingen worden niet aangepast, waardoor kwetsbaarheden ontstaan op het gebied van toegangsbeheer, meervoudige verificatie en databeveiliging.
  • Compliance-risico’s — Organisaties in gereguleerde sectoren zoals woningcorporaties of zorg moeten voldoen aan specifieke wet- en regelgeving. Een generalist mist vaak de kennis om Microsoft 365 hierop correct in te stellen.
  • Onderbenutting van functionaliteit — Tools zoals Microsoft Teams, SharePoint en Power Automate worden niet optimaal ingezet, waardoor de investering in licenties niet rendeert.
  • Reactief beheer — Problemen worden opgelost nadat ze zijn ontstaan, in plaats van proactief te worden voorkomen door monitoring en beleid.

Voor organisaties waarbij continuïteit en bestuurlijke controle op het spel staan, zijn deze risico’s geen theoretische scenario’s, maar reële bedreigingen. Een gedegen beveiligingsaanpak binnen Microsoft 365 vereist specialistische kennis die verder gaat dan algemeen systeembeheer.

Wanneer is een generalist wél voldoende voor Microsoft 365?

Een generalist is voldoende voor Microsoft 365 wanneer het gebruik beperkt blijft tot standaard e-mail en eenvoudige bestandsopslag, de organisatie klein is en geen specifieke compliance-eisen heeft, en er geen complexe integraties of geavanceerde beveiligingsvereisten zijn. In die situaties biedt een generalist een kostenefficiënte oplossing.

Denk aan een eenmanszaak of een klein bedrijf met vijf tot tien medewerkers dat Microsoft 365 puur gebruikt voor Outlook en Word. In dat geval is gespecialiseerde kennis van identiteitsbeheer of geavanceerde beveiligingspolicies minder urgent.

Maar zodra een organisatie groeit, meerdere locaties heeft, gevoelige data beheert of wil profiteren van de volledige Microsoft 365-suite, schiet een generalist tekort. Voor organisaties met 100 tot 600 werkplekken, zoals woningcorporaties of professionele dienstverleners, is de complexiteit van de omgeving simpelweg te groot voor een generalistisch beheermodel. De vraag is dan niet of je een specialist nodig hebt, maar wanneer je die stap zet.

Hoe kies je de juiste Microsoft 365-partner voor jouw organisatie?

De juiste Microsoft 365-partner kiezen doe je door te letten op aantoonbare certificeringen, ervaring in jouw sector, een duidelijk dienstenaanbod en de bereidheid om als langetermijnpartner mee te denken. Een goede partner ontzorgt volledig, van advies en implementatie tot dagelijks beheer en rapportage.

Gebruik de volgende criteria als leidraad bij je selectie:

  1. Controleer certificeringen — Vraag naar actuele Microsoft-certificeringen binnen het team en verifieer of de partner een erkende Microsoft-partner is.
  2. Beoordeel sectorkennis — Een partner met ervaring in jouw branche begrijpt de specifieke compliance-eisen, werkprocessen en uitdagingen die spelen.
  3. Vraag naar proactief beheer — Een sterke partner monitort jouw omgeving continu, signaleert problemen voordat ze escaleren en informeert je proactief over updates en verbeteringen.
  4. Let op communicatie en transparantie — Heldere taal, korte lijnen en een vast aanspreekpunt zijn indicatoren van een betrouwbare samenwerking.
  5. Toets het dienstenaanbod op volledigheid — Van moderne werkplekoplossingen tot procesoptimalisatie: een totaalaanbieder voorkomt dat je meerdere losse leveranciers moet coördineren.

Een gecertificeerde Microsoft-partner die breed inzetbaar is en jouw organisatie kent, is uiteindelijk waardevoller dan de goedkoopste optie. Zeker als je als directeur of IT-manager verantwoording aflegt richting een raad van commissarissen of aandeelhouders, wil je een partner die die verantwoordelijkheid begrijpt en met je meedenkt.

Hoe Puur ICT helpt bij het kiezen van de juiste Microsoft 365-aanpak

Wij zijn dé Microsoft 365-specialist uit het Noorden van Nederland en ondersteunen organisaties van 100 tot 600 werkplekken bij het volledig benutten van hun Microsoft-omgeving. Onze aanpak is concreet, persoonlijk en volledig gericht op continuïteit en bestuurlijke controle. Dit is wat wij voor jouw organisatie doen:

  • We beoordelen jouw huidige Microsoft 365-omgeving en signaleren beveiligingsrisico’s, compliance-hiaten en onbenutte mogelijkheden.
  • We implementeren een toekomstbestendige werkplekarchitectuur, gebouwd op bewezen Microsoft-technologieën zoals Teams, OneDrive, Intune en Azure.
  • We beheren jouw omgeving proactief met Microsoft Endpoint Management, inclusief monitoring, applicatiebeheer en apparaatbeveiliging op afstand.
  • We begeleiden adoptietrajecten zodat medewerkers de tools daadwerkelijk gebruiken en de investering in licenties rendeert.
  • We spreken heldere taal, werken met vaste aanspreekpunten en rapporteren transparant, zodat jij altijd grip hebt op de ICT-omgeving.

Wil je weten hoe een gecertificeerde Microsoft 365-specialist het verschil maakt voor jouw organisatie? Neem contact met ons op voor een vrijblijvend gesprek en ontdek wat Puur ICT voor jou kan betekenen.

Gerelateerde artikelen

De ICT Specialist uit het Noorden

De ICT specialist uit het Noorden; het kantoor van Puur ICT in Heerenveen mag dan wel gelegen zijn in Friesland, maar wij zijn actief in het hele land.

Met onze oplossingen om jouw ICT te versimpelen en bedrijfsprocessen te verbeteren ontzorgen wij onze klanten. Onze ICT specialisten nemen jou graag mee op reis naar de Microsoft 365 cloud om de ICT functionaliteit vanuit Microsoft 365 volledig te benutten.

Contactgegevens

Tel:  +31 (0) 88 165 2300
Email:  info@puurict.nl

Hoofdkantoor Heerenveen
Abe Lenstra Boulevard 62
8448 JB HEERENVEEN

Vestiging Amsterdam
Hullenbergweg 413
1101 CS AMSTERDAM

Cookieverklaring
Privacyverklaring
Algemene voorwaarden
Kennisbank

Volg ons ook op

LinkedIn

YouTube