ICT-volwassenheid meten: van ad hoc naar aantoonbaar geregeld
Gepubliceerd op
ICT-volwassenheid beschrijft hoe structureel uw ICT geregeld is: van ad hoc en afhankelijk van één persoon, tot vastgelegd, getest en aantoonbaar. U meet het door per thema te kijken of afspraken bestaan, worden nageleefd en met bewijs zijn te onderbouwen.
Dit artikel hoort bij het thema Cybersecurity in het MKB, onderdeel van ICT-beveiliging voor het MKB.
Wat is ICT-volwassenheid?
ICT-volwassenheid beschrijft in welke mate de informatievoorziening en technologie binnen een organisatie structureel, beheerst en voorspelbaar zijn georganiseerd. Waar een onvolwassen organisatie gekenmerkt wordt door ad-hoc handelen en afhankelijkheid van individuele personen, heeft een volwassen organisatie duidelijke standaarden, geteste procedures en grip op kosten en leveranciers.
Het meten van volwassenheid helpt directies om het gesprek met hun IT-partner naar een hoger niveau te tillen. In plaats van te praten over losse technische storingen ("de printer doet het niet"), ontstaat inzicht in het structurele fundament van het bedrijf.
Een praktisch volwassenheidsmodel voor het MKB
In de wetenschap en enterprise-omgevingen bestaan complexe modellen (zoals CMMI of COBIT). Voor het MKB is een eenvoudiger 4-niveaumodel aanzienlijk praktischer:
text Niveau 1: Ad-hoc (Reactief / Brandjes blussen) ↓ Niveau 2: Beheerd (Basisbeheer uitbesteed, afspraken informeel) ↓ Niveau 3: Gestandaardiseerd (Vaste richtlijnen, periodiek gecontroleerd) ↓ Niveau 4: Strategisch (ICT stuurt processen en innovatie aan)
Niveau 1: Ad-hoc (Reactief)
- Kenmerken: Geen centraal overzicht van apparaten. Wachtwoorden worden gedeeld via briefjes of chatberichten. Updates worden handmatig of niet uitgevoerd.
- Risico: Uitval van één sleutelfiguur of een computercrash legt het werk urenlang of dagenlang stil.
Niveau 2: Beheerd
- Kenmerken: Een externe IT-dienstverlener verzorgt het reguliere onderhoud. Er is een helpdesk beschikbaar. Back-ups draaien automatisch.
- Knelpunt: De organisatie vertrouwt blind op de leverancier. Er wordt zelden gecontroleerd of hersteltests slagen en licentiekosten worden niet actief beheerd.
Niveau 3: Gestandaardiseerd
- Kenmerken: Beleid is vastgelegd en technisch afgedwongen (zoals MFA via Conditional Access). Nieuwe medewerkers krijgen een vaste standaardwerkplek. Contracten en verwerkersovereenkomsten zijn op orde en getoetst.
- Voordeel: Lage uitval, voorspelbare kosten en rust binnen de organisatie.
Niveau 4: Strategisch
- Kenmerken: ICT en data worden actief ingezet om bedrijfsprocessen te optimaliseren en marges te vergroten. Directie en IT-partner voeren periodiek strategisch overleg over digitalisering en beveiliging.
Waarom één totaalscore misleidend kan zijn
Een klassieke valkuil bij volwassenheidsmetingen is het berekenen van één enkel gemiddeld cijfer. Een organisatie kan op het gebied van werkplekbeheer uitstekend scoren (Niveau 3: moderne laptops, snelle helpdesk), maar op het gebied van bedrijfscontinuïteit kwetsbaar zijn (Niveau 1: nooit getest of de ERP-database hersteld kan worden na een cyberaanval).
Beoordeel volwassenheid daarom altijd per thema. Een keten is immers zo sterk als de zwakste schakel.
Moet elk MKB-bedrijf naar Niveau 4?
Zeker niet. Het hoogste niveau nastreven kost onevenredig veel tijd en geld. Voor het merendeel van de MKB-bedrijven is Niveau 3 (Gestandaardiseerd en beheerst) het optimale evenwicht tussen beveiliging, rust, wendbaarheid en kosten.
Veelgestelde vragen
Hoe voorkom je schijnnauwkeurigheid bij het meten?
Door niet te werken met percentages achter de komma, maar te kijken naar aantoonbare feiten. Vraag niet: "Hoe veilig voelen we ons?", maar: "Is MFA verplicht voor iedereen, ja of nee?"
Wie stelt het gewenste volwassenheidsniveau vast?
De directie, in overleg met de IT-verantwoordelijke. De gewenste volwassenheid hangt af van je bedrijfsrisico's en de eisen van je klanten.
Uw volgende stap
2. Lees hierna
ICT-risicoanalyse voor het mkb: kans en gevolg in kaart