Je Belgische klant stelt CyberFundamentals-vragen
CyberFundamentals (CyFun) is het raamwerk van het Centrum voor Cybersecurity België (CCB) met vier niveaus: Small, Basic, Important en Essential. Belgische NIS2-organisaties gebruiken het om hun eigen beveiliging aan te tonen, en vragen daarom ook leveranciers naar hun maatregelen in dezelfde termen. Je hebt als leverancier niet automatisch zelf een CyFun-label nodig, maar wel antwoorden met bewijs.
In België is de NIS2-wet van kracht sinds 18 oktober 2024. Het Centrum voor Cybersecurity België (CCB) werkt met het CyberFundamentals-raamwerk, kortweg CyFun. Lever je aan een Belgische organisatie die onder NIS2 valt, dan kun je vragen krijgen die naar CyFun verwijzen.
De vier niveaus
| Niveau | Bedoeld voor |
|---|---|
| Small | Een eerste beoordeling, voor zeer kleine organisaties of organisaties met weinig technische kennis |
| Basic | Standaardmaatregelen voor alle bedrijven, met technologie en processen die meestal al beschikbaar zijn |
| Important | Gericht op gerichte aanvallen door partijen met gangbare vaardigheden en middelen |
| Essential | Gericht op geavanceerde aanvallen door partijen met uitgebreide vaardigheden en middelen |
Een geaccrediteerde conformiteitsbeoordelingsinstantie kan nagaan of een organisatie aan een niveau voldoet.
Waarom je klant ernaar vraagt
Belgische essentiële entiteiten moesten volgens het CCB uiterlijk 18 april 2026 aantonen dat ze bezig zijn met een conformiteitsbeoordeling, bijvoorbeeld via een CyFun-verificatie op niveau Basic of Important, of via ISO 27001. NIS2 vraagt organisaties ook de risico's in hun toeleveringsketen te beheersen. Dus kijken ze naar jou, en gebruiken ze daarbij de taal die ze zelf kennen: CyFun.
Wat je kunt krijgen
- Een vraag op welk CyFun-niveau je zit, of je een verificatie of label hebt.
- Een vragenlijst die de opbouw van CyFun volgt, met onderwerpen als identificeren, beschermen, detecteren, reageren en herstellen.
- Vragen over je eigen leveranciers, toegangsbeheer, back-ups, logging en incidentmelding.
- Een verzoek om ISO 27001 of een gelijkwaardig bewijs als je geen CyFun hebt.
Zo pak je het aan
- Vraag wat de klant verwacht. Een label, een zelfbeoordeling of alleen antwoorden? En op welk niveau?
- Gebruik wat je hebt. Heb je ISO 27001, verwijs daar dan naar. De onderwerpen overlappen grotendeels.
- Doe eventueel een zelfbeoordeling op Basic. Het CCB biedt de maatregelen per niveau aan. Een eerlijke zelfbeoordeling laat zien waar je staat.
- Beantwoord met bewijs. Per maatregel het document, de instelling of het rapport waar het uit blijkt.
- Benoem gaten met een plan. Liever “gepland voor Q1” dan een “ja” die bij een audit niet standhoudt.
Hoe Holdvero helpt
Holdvero is geen conformiteitsbeoordelingsinstantie en levert geen CyFun-verificatie of -label. Wel vullen we de vragenlijst van je Belgische klant in op basis van je eigen documentatie, met een bron bij elk antwoord en open punten waar bewijs ontbreekt. Tot 150 vragen: Questionnaire Rescue, €695. Zie ook de NIS2-vragenlijst voor leveranciers en, voor Vlaamse lokale besturen, de VTC-vragenlijst.
Veelgestelde vragen
Moet ik als leverancier zelf een CyFun-label hebben?
Niet automatisch. Val je zelf niet onder NIS2, dan is een label meestal geen wettelijke plicht. Je klant kan het wel vragen of waarderen. Vraag na wat hij verwacht.
Ik ben een Nederlands bedrijf. Krijg ik dit ook?
Ja, als je klant een Belgische organisatie is die onder NIS2 valt. Het gaat om de klant, niet om waar jij gevestigd bent.
Telt ISO 27001 ook?
Voor NIS2-entiteiten is ISO 27001 in België een erkende route naast CyFun. Ook als leverancier is een ISO 27001-certificaat sterk bewijs. Vraag je klant of hij het als gelijkwaardig ziet.
Welk niveau moet ik kiezen?
Dat hangt af van je klant en je risico. Basic is bedoeld voor alle bedrijven en is een logisch begin voor een zelfbeoordeling. Het CCB biedt een hulpmiddel om het niveau te kiezen.
Hulp nodig bij CyberFundamentals-vragen?
Je hoort binnen 1 werkdag wat het kost en wanneer je hem terugkrijgt. Je betaalt pas na akkoord op de prijs.
Vraag een vaste prijs aan