Veelgestelde vragen

Kunnen wij op factuur bestellen?

Ja, als u een Nederlandse overheidsorganisatie bent met een OIN. U kiest bij het afrekenen 'op factuur', vult uw inkoopordernummer in en kunt direct downloaden. De factuur gaat via Peppol. Andere organisaties betalen met iDEAL, Bancontact of kaart.

Wat als de toolkit niet bij ons past?

Binnen 14 dagen na de bestelling krijgt u uw geld terug, zonder opgaaf van reden. Stuur een e-mail naar info@maasiso.nl met uw licentienummer. Na de terugbetaling vervalt de licentie en kunt u niet meer downloaden.

Wat is een OIN en waar vind ik het?

Het Organisatie-identificatienummer (OIN) is het nummer waarmee uw overheidsorganisatie digitaal herkenbaar is; het is ook uw Peppol-adres voor e-facturen. Uw financiële administratie kent het. Het staat ook in de Centrale OIN Raadpleegvoorziening (COR) van Logius.

Kan ik op factuur bestellen zonder OIN?

Op factuur bestellen is er voor Nederlandse overheidsorganisaties met een OIN. Andere organisaties betalen direct met iDEAL, Bancontact of creditcard en ontvangen de factuur per e-mail.

Wanneer kunnen we downloaden?

Direct na de bestelling, ook als de factuur nog niet betaald is. Is de factuur na 60 dagen nog niet betaald, dan stopt het downloaden tot de betaling binnen is.

Staat ons inkoopordernummer op de factuur?

Ja. De e-factuur vermeldt het inkoopordernummer als referentie, zodat uw administratie hem aan de inkooporder kan koppelen.

Moeten we hiervoor aanbesteden?

Dat bepaalt het inkoopbeleid van uw organisatie. De prijzen staan vast en vooraf op de site en in de offerte, zodat u zelf kunt beoordelen welke procedure geldt.

Welke voorwaarden gelden?

Op de levering zijn de algemene voorwaarden en de licentievoorwaarden van MaasISO van toepassing. Heeft u een vraag over uw eigen inkoopvoorwaarden, mail dan naar info@maasiso.nl.

Mag ik de documenten voor meerdere organisaties gebruiken?

Nee. De licentie geldt voor één organisatie met één KvK-nummer; een vestiging of dochter met een eigen KvK-nummer heeft een eigen licentie nodig. Elk document vermeldt de organisatie en het licentienummer waarvoor het is gekocht.

Waarom staat mijn organisatienaam al in de documenten?

Dat scheelt u invulwerk: de naam staat op het voorblad, in de documentinformatie en in de tekst. Daarnaast vermeldt de voettekst uw licentienummer. Zo is elke kopie te herleiden tot de licentie waarvoor hij is gekocht.

In welk formaat krijg ik de documenten?

Als bewerkbare Word- (.docx) en Excel-bestanden (.xlsx), in één zip-bestand. U kunt ze openen in Microsoft Office en in andere programma's die deze formaten lezen.

Hoe en wanneer ontvang ik de toolkit?

Direct na de betaling downloadt u de toolkit in uw account. U logt in met een link die u per e-mail ontvangt, zonder wachtwoord.

Hoe vaak kan ik de toolkit downloaden?

Elke versie kunt u 5 keer downloaden vanuit uw account, bijvoorbeeld voor een nieuwe computer of een collega. De downloadlink is 15 minuten geldig.

Wat gebeurt er als de norm of wet verandert?

Binnen de updateperiode zetten wij een bijgewerkte versie in uw account en sturen u een e-mail met de wijzigingen.

Waar vind ik mijn download?

Na de betaling komt u op een persoonlijke bestelpagina met de downloadknop. Dezelfde link staat in de bevestigingsmail. Bent u de link kwijt? Stuur ons een bericht met uw licentienummer of de naam van uw organisatie.

Is een toolkit genoeg voor certificering?

De toolkit levert de documentatie die de norm vraagt, met aanwijzingen bij elk document. Een certificaat krijgt u alleen na een audit door een geaccrediteerde certificerende instelling, en dan moet het systeem ook in de praktijk werken. MaasISO garandeert geen certificering.

Wat is het verschil met een adviseur inhuren?

Een adviseur schrijft en implementeert met u mee. Met de toolkit doet u dat zelf, met kant-en-klare documenten en aanwijzingen bij elk document. Begeleiding zit er niet bij.

Zit de verklaring van toepasselijkheid erin?

Ja. De verklaring bevat alle 93 beheersmaatregelen uit bijlage A, elk met een besluit en een reden. U past die aan op uw eigen risicobeoordeling, zodat de verklaring aansluit op het risicoregister en het behandelplan.

Hoe lang duurt het om de toolkit in te voeren?

De implementatiegids plant zestien weken, met per week de documenten en stappen. Hoe lang het bij u duurt, hangt af van de omvang van uw organisatie en van wat u al heeft geregeld. Daarna volgt de certificeringsaudit, die u zelf met een certificerende instelling afspreekt.

Wat is het verschil met de Cyberbeveiligingswet Toolkit?

Deze toolkit volgt de eisen van ISO 27001 en is bedoeld voor certificering. De Cyberbeveiligingswet Toolkit volgt de artikelen van de wet: de zorgplicht, de meldplicht, de registratie en de taken van het bestuur. Of uw organisatie onder de wet valt, ziet u met de gratis Cbw-check.

Volgt de toolkit al ISO 9001:2026?

Ja. De documenten volgen de editie 2026, inclusief de eisen over kwaliteitscultuur en ethisch gedrag (document Kwaliteitscultuur en gedragsregels) en de aparte behandeling van risico's en kansen (register en procedure risico's en kansen).

Wij zijn al gecertificeerd op ISO 9001:2015. Wat hebben wij nodig?

U hoeft het systeem niet opnieuw op te bouwen. Het ISO 9001 Transitiepakket zet per wijziging op een rij wat u moet aanpassen; kopers van deze toolkit krijgen het gratis. Spreek de transitie-audit met uw certificerende instelling af, ruim vóór 30 september 2029.

Hoe lang duurt het om de toolkit in te voeren?

Het stappenplan plant vijftien weken, met per week de documenten en stappen. Hoe lang het bij u duurt, hangt af van de omvang van uw organisatie en van wat u al heeft geregeld. Daarna volgt de certificeringsaudit, die u zelf met een certificerende instelling afspreekt.

Valt mijn organisatie onder de Cyberbeveiligingswet?

Dat hangt af van uw sector (bijlagen 1 en 2 van de wet), uw omvang en uw vestiging in Nederland. Met de gratis Cbw-check ziet u of uw organisatie waarschijnlijk onder de wet valt. Bent u leverancier van een organisatie onder de wet, dan is het Cbw-ketenpakket voor leveranciers voor u bedoeld.

Wat is het verschil met de ISO 27001 Toolkit?

Deze toolkit volgt de artikelen van de Cyberbeveiligingswet: de zorgplicht, de meldplicht, de registratie en de taken van het bestuur. De ISO 27001 Toolkit volgt de eisen van ISO 27001 en is bedoeld voor certificering.

Helpt de toolkit bij de meldplicht?

Ja. De procedure meldplicht significante incidenten legt vast wanneer een incident significant is en wie binnen 24 uur, 72 uur en een maand meldt. In het meldingsdossier legt u elke melding vast.

Moet een klein bedrijf een verwerkingsregister hebben?

Meestal wel. Artikel 30, vijfde lid, AVG maakt een uitzondering voor organisaties met minder dan 250 medewerkers, maar die geldt niet als de verwerking een risico inhoudt, niet incidenteel is of bijzondere of strafrechtelijke persoonsgegevens betreft. Een personeels- of klantenadministratie is doorgaans niet incidenteel.

Hebben wij een functionaris gegevensbescherming nodig?

Dat hangt af van uw activiteiten (artikel 37 AVG). Het is verplicht voor overheidsinstanties en voor organisaties waarvan de kernactiviteit bestaat uit grootschalige, stelselmatige observatie of grootschalige verwerking van bijzondere persoonsgegevens. De toolkit bevat een FG-toets om dat vast te leggen.

Zit er een privacyverklaring voor de website in?

Ja. De toolkit bevat een privacyverklaring voor betrokkenen (artikelen 13 en 14 AVG), naast het interne privacybeleid.

Krijg ik twee losse pakketten of één?

Twee pakketten in uw account, elk op naam van uw organisatie, met één factuur.

Moet ik als leverancier zelf aan de Cyberbeveiligingswet voldoen?

Niet als uw organisatie zelf niet onder de wet valt. Uw klant moet wel de beveiliging van zijn toeleveringsketen regelen (artikel 21 Cyberbeveiligingswet) en toetsen of zijn rechtstreekse leveranciers aan zijn beveiligingseisen voldoen (artikel 10 Cyberbeveiligingsbesluit). Die eisen komen dus via uw klant bij u terecht, bijvoorbeeld in een vragenlijst of een contract.

Wat kan mijn klant van mij vragen?

De wet geeft geen vaste lijst: uw klant stelt eisen op basis van zijn eigen risicoanalyse. Volgens de toelichting bij het besluit kan hij u toetsen via certificering of via afspraken in de leveringsovereenkomst. Dit pakket deelt de vragen in naar de tien onderwerpen waarop uw klant zijn eigen beveiliging moet inrichten (artikel 21, derde lid, Cyberbeveiligingswet), zoals incidenten, back-ups, updates, toegang en meerfactorauthenticatie.

Hoe weet ik of mijn organisatie zelf onder de wet valt?

Dat hangt af van uw sector, uw omvang en uw vestiging in Nederland. Lees ons artikel 'Valt mijn bedrijf onder de Cyberbeveiligingswet?' of doe de zelfevaluatie van de overheid op regelhulpenvoorbedrijven.nl. Valt u er zelf onder, dan heeft u de Cyberbeveiligingswet Toolkit nodig in plaats van dit pakket.

Mijn klant vraagt om een ISO 27001-certificaat. Helpt dit pakket?

Als begin wel. De basismaatregelen sluiten aan op maatregelen uit ISO 27001, maar voor certificering is meer nodig, zoals een volledig managementsysteem, een risicobeoordeling, interne audits en een audit door een certificerende instelling. Vraag uw klant of bewijs per maatregel ook volstaat.

Is dit juridisch advies?

Nee. De selector geeft een indicatie op basis van uw antwoorden. Of een wet op uw organisatie van toepassing is, hangt af van uw precieze activiteiten; raadpleeg bij twijfel de officiële bron of een jurist.

Wat gebeurt er met mijn antwoorden?

Niets. De selector werkt volledig in uw browser. We slaan uw antwoorden niet op. Deelt u de link, dan zitten de antwoorden alleen in die link.

Hoe actueel is de selector?

De regels zijn bijgewerkt voor de Cyberbeveiligingswet (in werking sinds 15 augustus 2026) en ISO 9001:2026. Bij wijzigingen in wet- of regelgeving passen we de regels aan.

Ik heb al een certificaat. Wat dan?

Vink het aan bij de laatste vraag. De norm staat dan als 'al op orde' in het resultaat en telt niet mee in uw startpakket.

Wanneer valt mijn organisatie onder de Cyberbeveiligingswet?

Als uw sector in bijlage 1 of 2 van de wet staat, uw organisatie middelgroot of groot is en u in Nederland gevestigd bent. Sommige organisaties vallen er ongeacht hun omvang onder, zoals overheidsinstanties, DNS-diensten en gekwalificeerde vertrouwensdiensten (artikel 8).

Wat is het verschil tussen een essentiële en een belangrijke entiteit?

De verplichtingen zijn gelijk. Essentiële entiteiten staan onder proactief toezicht; bij belangrijke entiteiten volgt toezicht na signalen. Ook de maximale boete verschilt: € 10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten (artikel 80) en € 7 miljoen of 1,4% voor belangrijke entiteiten (artikel 87), telkens het hoogste bedrag.

Wij zijn klein, maar leveren aan een gemeente. Vallen wij eronder?

Meestal niet zelf. Maar de gemeente moet de beveiliging van haar toeleveringsketen regelen (artikel 21, derde lid, onderdeel d), dus u kunt vragenlijsten en contractbepalingen over beveiliging verwachten.

Is de uitkomst van deze check bindend?

Nee. Het is een indicatie op basis van uw antwoorden, geen juridisch oordeel. Controleer het met de zelfevaluatie van de overheid en leg uw onderbouwing vast.

Wat moet ik doen als ik eronder val?

U registreert zich via MijnNCSC (artikel 44), neemt passende maatregelen (zorgplicht, artikel 21), meldt significante incidenten (artikelen 25 tot en met 29) en het bestuur keurt de maatregelen goed en volgt een training (artikel 24). De registratie is verplicht sinds 15 augustus 2026.