Oktober is begrotingsmaand. In veel kmo’s ligt er nu een lijst met beveiligingswensen op tafel: een audit, MFA voor iedereen, betere back-ups, een opleiding. Wie die lijst elk jaar opnieuw onderhandelt, krijgt elk jaar een ander stukje en zelden een geheel. Een cybersecurity roadmap over drie jaar lost dat op: één pagina die de directie goedkeurt, elk kwartaal opvolgt en elk jaar bijstuurt.
Dit artikel geeft een ingevuld sjabloon voor 2027 tot 2029, zet op een rij wat de kaders van uw bestuur vragen, en toont hoe de roadmap in uw begrotingscyclus en uw directievergadering past.
In het kort
- Een cybersecurity roadmap is een plan over drie jaar dat bevindingen omzet in projecten met een eigenaar, een jaartal en een bewijsstuk.
- De Belgische NIS2-wet legt de goedkeuring van en het toezicht op de maatregelen bij het bestuursorgaan. ISO 27001 en NIST CSF 2.0 vragen meetbare doelen en een periodieke directiebeoordeling.
- Zeven thema’s horen in elke kmo-roadmap: identiteit, updates, back-ups, awareness, leveranciers, incidentrespons en onafhankelijke toetsing.
- De kmo-portefeuille stopt op 1 januari 2027. Het VLAIO-verbetertraject met 50 procent steun blijft bestaan.
- Een roadmap is geen vast plan: u volgt ze elk kwartaal op en herziet ze elk jaar.
Wat is een cybersecurity roadmap?
Een cybersecurity roadmap is een meerjarenplan, meestal over drie jaar, dat de bevindingen uit een audit of risicoanalyse omzet in projecten met een eigenaar, een jaartal en een meetbaar bewijs. De directie keurt het plan goed, volgt het elk kwartaal op en stuurt het elk jaar bij tijdens de begrotingsronde.
De roadmap komt na de nulmeting, niet in de plaats ervan. Waar uw bedrijf vandaag staat, brengt een gap-analyse in kaart. Welke risico’s het zwaarst wegen, volgt uit een risicoanalyse. Hoeveel u per jaar uitgeeft, staat in ons artikel over het cybersecuritybudget van een kmo. De roadmap verbindt die drie: wat u in welk jaar doet, wie het doet en hoe u ziet dat het gelukt is.
Cybersecurity strategie of roadmap: wat vragen de kaders?
Wie zoekt op “cybersecurity strategie”, vindt vooral nationale strategieën. Voor een kmo is een cybersecurity strategie concreter: welke risico’s aanvaardt het bedrijf, welke niet, en wat doet het er de komende jaren aan. De roadmap is de uitvoering van die keuze. De kaders vragen beide expliciet aan het bestuur.
| Kader | Referentie | Wat het van planning en bestuur vraagt |
|---|---|---|
| Belgische NIS2-wet (26 april 2024) | Artikel 31 | Het bestuursorgaan keurt de maatregelen goed, ziet toe op de uitvoering, volgt een opleiding en kan aansprakelijk gesteld worden. |
| NIS2-richtlijn (EU) 2022/2555 | Artikel 20 | Dezelfde verantwoordelijkheid van het bestuur op Europees niveau. |
| NIST CSF 2.0 (26 februari 2024) | Functie Govern (GV.OC, GV.RM, GV.RR, GV.PO, GV.OV, GV.SC) | Een risicostrategie, rollen, beleid en toezicht, en de stap van een huidig naar een doelprofiel. |
| CyberFundamentals 2025 (CCB) | Sluit aan op NIST CSF 2.0, inclusief Govern | Dezelfde bestuurslaag, in vier niveaus: Small, Basic, Important en Essential. |
| ISO/IEC 27001:2022 | Clausule 6.2 | Meetbare doelen, met wat er gebeurt, welke middelen nodig zijn, wie verantwoordelijk is, tegen wanneer en hoe het resultaat beoordeeld wordt. |
| ISO/IEC 27001:2022 | Clausule 9.3 | Een directiebeoordeling op geplande tijdstippen. |
Het verschil tussen NIST CSF 2.0 en CyberFundamentals leest u in ons artikel over NIST CSF 2.0 of CyberFundamentals. Tot 18 april 2027 mag een organisatie nog kiezen tussen CyFun 2023 en CyFun 2025. Een roadmap die in 2027 start, bouwt dus beter meteen op de versie van 2025. Wat de opleidingsplicht voor bestuurders inhoudt, staat in ons artikel over cybersecurity-awareness voor de directie.
Het sjabloon: een cybersecurity roadmap op één pagina
Hieronder staat een ingevuld voorbeeld voor een Vlaamse kmo van ongeveer zestig medewerkers met een externe IT-partner. Het is een voorbeeld, geen klantcase, en het bevat bewust geen bedragen. De laatste kolom koppelt elk thema aan NIST CSF 2.0 en aan de maatregelen van ISO/IEC 27001:2022, zodat u bij een audit of een klantvragenlijst meteen weet waar het bewijs hoort.
| Thema | 2027 | 2028 | 2029 | Eigenaar | Bewijs of KPI | Kader |
|---|---|---|---|---|---|---|
| Identiteit en toegang | MFA op alle e-mail-, cloud- en beheeraccounts; vaste procedure bij in- en uitdiensttreding | Aparte beheerdersaccounts, ook voor de IT-partner | Jaarlijkse herziening van toegangsrechten per afdeling | IT-verantwoordelijke en HR | MFA-dekking; verslag van de herziening | PR.AA; A.5.15 tot A.5.18, A.8.5 |
| Updates en kwetsbaarheden | Patchbeleid met maximale termijnen voor kritieke updates | Periodieke kwetsbaarheidsscans op servers en toepassingen | Beveiliging als criterium bij elke softwareaankoop | IT-partner | Doorlooptijd van kritieke updates | ID.RA, PR.PS; A.8.8 |
| Back-up en herstel | Een offline of onveranderbare kopie van kritieke data | Hersteltest twee keer per jaar | Herstel opgenomen in het continuïteitsplan | Financieel directeur en IT-partner | Geteste hersteltijd | PR.DS, RC.RP; A.8.13, A.5.30 |
| Awareness | Phishingsimulaties en de opleiding van het bestuur | Gerichte training voor boekhouding en helpdesk | Beveiliging vast in onboarding en evaluatie | Directie en HR | Meldratio bij simulaties; attest bestuursopleiding | PR.AT; A.6.3 |
| Leveranciers | Lijst van IT- en cloudleveranciers met verwerkersovereenkomsten | Beveiligingsvragen bij elk nieuw contract | Jaarlijkse evaluatie van kritieke leveranciers | Financieel directeur of aankoop | Aandeel beoordeelde kritieke leveranciers | GV.SC; A.5.19 tot A.5.22 |
| Incidentrespons | Incidentresponsplan met escalatieladder en offline contactlijst | Jaarlijkse oefening met de directie | Meldingen aan CCB en GBA ingeoefend | Zaakvoerder | Verslag van de oefening | RS.MA; A.5.24 tot A.5.28 |
| Onafhankelijke toetsing | Nulmeting via een audit | Pentest op de toepassingen die klanten gebruiken | Conformiteitsbeoordeling of certificering als klanten of de wet dat vragen | Zaakvoerder en externe auditor | Aandeel opgeloste hoge en kritieke bevindingen | GV.OV, ID.IM; 9.2, A.5.35 |
Zo vult u het sjabloon in
- Vertrek van de nulmeting en de risicoanalyse, niet van een lijst met tools.
- Kies per thema wat het grootste risico wegneemt met de minste afhankelijkheden. MFA en back-ups komen bijna altijd in het eerste jaar.
- Verdeel de rest over drie jaar. Wat op iets anders wacht, zoals een herziening van rechten die pas kan als iedereen een eigen account heeft, schuift naar later.
- Geef elke regel één eigenaar met een naam, geen afdeling.
- Bepaal per regel welk bewijs aantoont dat het gelukt is: een verslag, een cijfer of een attest.
- Laat de directie het plan formeel goedkeuren en noteer dat in het verslag van de vergadering.
Hoe past de roadmap in uw begrotingscyclus?
Een roadmap overleeft de begroting als ze op dezelfde momenten op tafel komt als de cijfers. De onderstaande kalender is een werkwijze die wij aanraden, geen wettelijke verplichting. Ze volgt wel de logica van ISO 27001, waar de directiebeoordeling de input levert voor het volgende jaar.
| Kwartaal | Bestuur en begroting | Uitvoering en toetsing |
|---|---|---|
| Q1 | De directie keurt het jaarplan goed | Oefening van het incidentresponsplan met de directie |
| Q2 | Voortgangsrapport over updates en leveranciers | Audit of pentest; hersteltest van de back-ups |
| Q3 | Directiebeoordeling: wat lukte, wat niet, wat verandert er | Prioriteiten en investeringsvragen voor volgend jaar |
| Q4 | Goedkeuring van de begroting voor het volgende jaar | Opleiding van bestuur en personeel; voorwaarden van de cyberverzekering nakijken |
Maak in de begroting een onderscheid tussen eenmalige projecten en terugkerende kosten. Een nulmeting of een pentest is een project. Phishingsimulaties, ondersteuning door een externe beveiligingsverantwoordelijke en licenties zijn werkingskosten. Wie die als project inboekt, moet ze elk jaar opnieuw verdedigen, en dan sneuvelen ze bij de eerste besparing.
Welke cijfers ziet de directie elk kwartaal?
Een directie stuurt niet op logbestanden, maar op een handvol indicatoren die risico vertalen naar bedrijfstaal. De Board Toolkit van het Britse NCSC zet in op dezelfde vragen. Deze zes volstaan voor de meeste kmo’s:
- MFA-dekking: het aandeel accounts met meervoudige authenticatie, apart voor gewone gebruikers en beheerders.
- Doorlooptijd van kritieke updates: hoeveel dagen er liggen tussen de publicatie van een kritiek lek en de geïnstalleerde patch.
- Meld- en klikratio bij phishingsimulaties: hoeveel medewerkers klikken, en vooral hoeveel er melden.
- Geteste hersteltijd: hoe lang een echte hersteltest van een kritieke toepassing duurde.
- Leveranciers: het aandeel kritieke leveranciers met een actuele beoordeling.
- Opgeloste bevindingen: het aandeel hoge en kritieke bevindingen uit audit of pentest dat binnen de afgesproken termijn is opgelost.
De streefwaarden bepaalt u zelf, op basis van hoeveel risico uw bedrijf aanvaardt. Belangrijker dan de waarde is dat iemand ze elk kwartaal rapporteert en dat de directie erop reageert. Wie die rol opneemt als er geen interne specialist is, leest u in ons artikel over CISO as a service voor kmo’s. Laat de IT-partner die het werk uitvoert niet ook zijn eigen resultaten beoordelen: de toetsing hoort onafhankelijk te zijn.
Wat verandert er in 2027 voor de financiering?
De Vlaamse regering schrapt de kmo-portefeuille in het begrotingsakkoord van 29 september 2026. VLAIO bevestigde op 1 oktober 2026 dat ondernemingen er vanaf 1 januari 2027 geen beroep meer op kunnen doen, ook niet voor cybersecurity-advies. In 2026 kan een aanvraag nog zolang het jaarbudget niet op is. Wat dat precies betekent voor lopende dossiers, staat in ons artikel over het einde van de kmo-portefeuille.
Het VLAIO-verbetertraject blijft bestaan en betaalt 50 procent van een begeleidingstraject voor kmo’s. Het START-pakket levert precies wat deze roadmap nodig heeft: een nulmeting met een concrete roadmap. MEDIUM en PLUS voegen begeleiding bij de uitvoering toe. Cyberplan is een van de erkende dienstverleners. Hoe het traject werkt, leest u in ons artikel over het VLAIO cybersecurity verbetertraject.
Een plan voor drie jaar, terwijl dreigingen elk kwartaal veranderen?
Het sterkste bezwaar tegen een roadmap komt van mensen die elke dag met beveiliging bezig zijn. Een nieuw lek of een nieuwe ransomwaregroep maakt een plan op papier in een dag achterhaald, zeggen ze, en een kmo heeft meer aan wendbaarheid dan aan een document. In de praktijk falen meerjarenplannen ook vaak: ze zijn een technische verlanglijst zonder link met het bedrijf, ze kopen tools zonder het proces errond, of niemand kijkt er na de goedkeuring nog naar.
Die kritiek klopt voor een slecht plan. Een goede roadmap legt geen tools vast, maar thema’s die niet elk kwartaal veranderen: wie toegang heeft, hoe snel updates komen, of back-ups terugzetten lukt, of mensen een verdacht bericht melden. Een nieuw lek verandert de prioriteit binnen een kwartaal, niet de richting over drie jaar. Daarom de kwartaalrapportering: een incident of een nieuwe dreiging schuift een project naar voren, zonder dat de rest verdwijnt. En een plan dat de directie goedkeurde, beschermt het budget op het moment dat er een kwartaal niets gebeurt.
Uw cybersecurity roadmap voor 2027 opstellen?
Cyberplan start met een audit als nulmeting en zet de bevindingen om in een roadmap op één pagina die uw directie kan goedkeuren, met de koppeling naar CyberFundamentals en ISO 27001 erbij. Waar het kan, loopt dat via het VLAIO-verbetertraject. In een kennismakingsgesprek bekijken we waar uw bedrijf staat. Meer over de aanpak leest u op onze pagina over cybersecurity-audits.
Veelgestelde vragen
Hoe ver vooruit plant een kmo haar cybersecurity?
Een horizon van drie jaar werkt voor de meeste kmo’s. Dat is lang genoeg om processen zoals toegangsbeheer, back-uptests en awareness echt in te bedden, en kort genoeg om realistisch te blijven. Volg het plan elk kwartaal op en herzie het elk jaar tijdens de begrotingsronde.
Wat is het verschil tussen een cybersecurity strategie en een roadmap?
De strategie bepaalt welke risico’s uw bedrijf aanvaardt en welke niet, en waarom. De roadmap zet die keuze om in projecten met een jaartal, een eigenaar en een bewijsstuk. Zonder strategie is een roadmap een losse takenlijst, zonder roadmap blijft een strategie een intentie.
Wie is eigenaar van de cybersecurity roadmap?
Het bestuur. De Belgische NIS2-wet legt de goedkeuring van en het toezicht op de maatregelen bij het bestuursorgaan. De uitvoering ligt bij de IT-verantwoordelijke of de IT-partner, en de toetsing bij iemand die het eigen werk niet beoordeelt, zoals een externe auditor of beveiligingsverantwoordelijke.
Moet een kmo alle maatregelen van CyberFundamentals tegelijk invoeren?
Nee. CyberFundamentals werkt met niveaus: Small, Basic, Important en Essential. Een kmo kiest het niveau dat bij haar risico past en groeit stap voor stap. De roadmap verdeelt de maatregelen van dat niveau over de jaren, met de grootste risico’s in het eerste jaar.
Welke subsidie is er in 2027 voor een cybersecurity roadmap?
Vanaf 1 januari 2027 verdwijnt de kmo-portefeuille. Het VLAIO-verbetertraject blijft en betaalt 50 procent van een begeleidingstraject bij een erkende dienstverlener. Het START-pakket omvat een nulmeting met een concrete roadmap, MEDIUM en PLUS voegen begeleiding bij de uitvoering toe. U start via de erkende dienstverlener, die ook de aanvraag opvolgt.
