ICT-nulmeting voor het mkb: zo brengt u de stand van zaken in kaart
Gepubliceerd op
Een ICT-nulmeting is een momentopname van hoe uw ICT er nu voor staat: wat goed geregeld is, waar risico's zitten en wat als eerste aandacht nodig heeft. Het is het vertrekpunt waartegen u later verbeteringen meet.
Dit artikel hoort bij het thema Cybersecurity in het MKB, onderdeel van ICT-beveiliging voor het MKB.
Wat is een ICT-nulmeting?
Een ICT-nulmeting is een gestructureerde inventarisatie van de actuele stand van zaken binnen de informatie- en communicatietechnologie van een organisatie. Het doel van de meting is eenvoudig: een objectief vertrekpunt vastleggen. Voordat je investeert in nieuwe software, overstapt naar een andere IT-dienstverlener of een beveiligingstraject start, moet je immers weten wat er nu al draait, wat goed functioneert en waar de blinde vlekken zitten.
Een nulmeting is geen examen met een goed- of foutcijfer, maar een diagnostisch instrument. De betrouwbaarheid van de uitkomst hangt af van de kwaliteit van de ingevoerde gegevens: een zelfevaluatie toont het zelfbeeld van de organisatie, terwijl een technische audit de werkelijke configuraties controleert.
Wanneer is een nulmeting zinvol?
In het MKB ontstaat de behoefte aan een nulmeting vaak op natuurlijke scharnierpunten:
- Bij wisseling of evaluatie van de IT-partner: Voordat je een nieuw meerjarig Service Level Agreement (SLA) tekent, wil je weten welke knelpunten eerst opgelost moeten worden.
- Bij sterke groei of herstructurering: Systemen die voldeden bij 10 medewerkers, blijken bij 35 medewerkers vaak te traag, onveilig of onoverzichtelijk.
- Na incidenten of twijfels over de back-up: Een bijna-incident (zoals een medewerker die op een phishinglink klikte) legt bloot dat het beleid niet helder is.
- Vóór een grote softwareaanschaf: Een nieuw ERP- of CRM-systeem mislukt vaak als de onderliggende werkplekken, netwerken en rechtenstructuren niet stabiel zijn.
De 6 basisdomeinen van een gedegen nulmeting
Een zinvolle nulmeting kijkt verder dan alleen de vraag of de computers aanstaan. De inventarisatie toetst zes kerngebieden:
| Domein | Wat breng je in kaart? | Typische MKB-aandachtspunten |
|---|---|---|
| 1. Gebruikers & Toegang | Wie heeft toegang tot welke data? | Aparte beheeraccounts, aanwezigheid van MFA, offboarding bij vertrek. |
| 2. Apparaten & Netwerk | Welke hardware is in gebruik? | Leeftijd van laptops, scheiding van gastenwifi, beveiliging van thuiswerkers. |
| 3. Software & Licenties | Welke pakketten draaien er? | Actieve cloudlicenties vs. feitelijke gebruikers, verouderde softwareversies. |
| 4. Back-up & Herstel | Hoe is continuïteit geborgd? | Onafhankelijkheid van de back-up, hersteltesten, gedefinieerde hersteltijd. |
| 5. Leveranciers & Contracten | Welke afspraken gelden er? | Responstijden van de IT-beheerder, verwerkersovereenkomsten conform de AVG. |
| 6. Organisatie & Beleid | Hoe gaan medewerkers ermee om? | Wachtwoordbeleid, procedures bij incidenten, bewustwording van het team. |
Stappenplan: Zo voer je een effectieve nulmeting uit
- Stap 1: Bepaal wie meedoet.
Laat een nulmeting niet uitsluitend invullen door de IT-beheerder. Een directeur of operationeel manager heeft vaak een ander beeld van de dagelijkse praktijk dan de externe technicus.
- Stap 2: Verzamel feitelijke gegevens.
Zoek licentiefacturen, het huidige beheercontract en een actuele lijst met actieve medewerkers erbij.
- Stap 3: Beoordeel per onderwerp realistisch.
Wees eerlijk bij onderdelen die je niet zeker weet. "Weet ik niet" is een waardevolle uitkomst: het legt een blinde vlek bloot die besproken moet worden.
- Stap 4: Koppel prioriteiten aan de uitkomst.
Verdeel bevindingen in drie categorieën: direct oplossen (acuut risico), binnen drie maanden oppakken (verbeterpunt) en accepteren als aanvaardbaar restrisico.
- Stap 5: Plan een herhalingsmoment.
Een nulmeting heeft pas blijvende waarde als je na 6 of 12 maanden dezelfde vragenlijst opnieuw doorloopt om de voortgang te meten.
Veelgestelde vragen
Hoe voorkom ik dat een zelfevaluatie een te rooskleurig beeld geeft?
Door bij elk positief antwoord te vragen: "Kunnen we dit aantonen als er nu naar gevraagd wordt?" Als het antwoord gebaseerd is op een aanname ("dat regelt onze beheerder vast wel"), classificeer het dan als een aandachtspunt.
Is een nulmeting een formeel keurmerk?
Nee. Het resultaat is een intern diagnostisch rapport. Het levert geen formeel certificaat op, maar geeft richting aan je beheer en budget.