Scoremethodologie

Wat van de ANSSI komt, en wat van ons komt

Dat onderscheid doet ertoe en wij stellen het meteen voorop, omdat het bepaalt wat de score aantoont:

• Van de ANSSI: de 20 doelstellingen, hun benamingen, hun verdeling over vier pijlers (Governance, Bescherming, Verdediging, Veerkracht) en het EI/EE-toepassingsgebied — referentiekader ReCyF v2.5 van 17/03/2026. Dat document draagt de vermelding “werkdocument”: er wordt geen definitieve versie gepubliceerd voordat de omzetting van NIS 2 is afgerond. Wij spreken daarom van voorbereiding, nooit van conformiteit met een vastliggende norm.
• Van ons: de volwassenheidsschaal 0–4, de verwachte drempel per doelstelling, de onderstaande formule en de toelichtende tekst onder elke doelstelling — de ANSSI publiceert “aanvaardbare middelen om aan de eisen te voldoen” die wij niet overnemen; onze beschrijvingen zijn een herformulering, geschreven voor de consultant. ReCyF definieert geen enkele volwassenheidsschaal — het woord komt er niet in voor. Evenredigheid loopt daar uitsluitend via de doelstellingen 16 tot en met 20, die zijn voorbehouden aan essentiële entiteiten, en via de EI/EE-markering van elk middel om aan de eisen te voldoen. Onze schaal is een instrument om te sturen en te prioriteren; zij heeft geen enkele regelgevende waarde.

De volwassenheidsschaal

• 0 — Niet aanwezig: er is niets ingericht.
• 1 — Initieel: informele, niet-gedocumenteerde praktijken, afhankelijk van personen.
• 2 — In uitvoering: traject gestart, gedeeltelijke dekking.
• 3 — Gedefinieerd: gedocumenteerde, toegepaste en verifieerbare praktijk.
• 4 — Beheerst / geoptimaliseerd: praktijk die in de tijd wordt gemeten en verbeterd.

Het toepassingsgebied: welke doelstellingen meetellen

Alleen de doelstellingen die van toepassing zijn op de NIS 2-categorie van de klant gaan mee in de berekening:

• Essentiële entiteit (EE): alle 20 doelstellingen.
• Belangrijke entiteit (EI): de basis van 15 doelstellingen (de doelstellingen 16 tot en met 20 zijn voorbehouden aan EE).
• Buiten het toepassingsgebied: de basis van 15 doelstellingen wordt toch beoordeeld, om een werkbasis te geven — zonder dat daaruit ook maar enige regelgevende verplichting voortvloeit.

Een niet-toepasselijke doelstelling drukt de score niet: zij wordt eruit gehaald, teller en noemer inbegrepen.

De formule

Voor elke toepasselijke doelstelling wordt het bereikte niveau vergeleken met de verwachte drempel, met aftopping op die drempel:

score = Σ min(niveau, drempel) ÷ Σ drempel × 100

Twee gevolgen die u moet kennen:

• Een drempel overschrijden levert niets op. Een doelstelling op niveau 4 waar 3 wordt verwacht, telt als 3. De score meet de dekking van wat wordt verwacht, niet uitmuntendheid — een blokkerende leemte kan niet worden gecompenseerd door een sterk punt elders.
• De drempels werken feitelijk als wegingen. Een doelstelling met verwachte drempel 3 weegt zwaarder dan een doelstelling met drempel 2, omdat beide ter hoogte van hun drempel in de noemer komen. Er is geen andere, verborgen weging.

Wat meetelt als bereikt niveau

In volgorde van voorrang: het door de consultant gevalideerde niveau, bij gebreke daarvan het door de klant opgegeven niveau. Ontbreken beide, dan telt de doelstelling als 0.

Een voorstel — berekend op basis van de bevindingen of automatisch aangeleverd door een connector — gaat nooit mee in de aangehouden score. Dat is een governanceregel en geen implementatiedetail: een rapport dat aan een klant of een auditor wordt voorgelegd, mag uitsluitend berusten op elementen die een mens heeft gevalideerd. Een niet-gevalideerd voorstel blijft zichtbaar, gemarkeerd als “te valideren”, en voedt uitsluitend de geprojecteerde score.

Geprojecteerde score

De geprojecteerde score past dezelfde formule toe, maar vult de doelstellingen zonder menselijk niveau aan met het openstaande voorstel. Zij beantwoordt de vraag “waar zouden wij staan als ik alles in de huidige stand zou valideren?”. Zij is altijd hoger dan of gelijk aan de aangehouden score, en gelijk daaraan wanneer er geen enkel voorstel openstaat. Staan er voorstellen open, dan verschijnt zij op de samenvattingspagina van het klantrapport, uitdrukkelijk gepresenteerd als voorwaardelijk (“geprojecteerde score indien N voorstellen zouden worden gevalideerd”): zij komt nooit in de plaats van de aangehouden score, die het weergegeven cijfer blijft.

De radar per pijler

Elke pijler toont het rekenkundig gemiddelde van de bereikte niveaus op zijn toepasselijke doelstellingen, vergeleken met het gemiddelde van de drempels. Het is een eenvoudig gemiddelde, zonder weging: het dient om een silhouet te lezen, niet om een rangschikking te maken.

Afwijkingen en actieplan

Een doelstelling vertoont een afwijking zodra zij van toepassing is en haar bereikte niveau strikt lager ligt dan de verwachte drempel. Die vaststelling is deterministisch.

Het actieplan wordt op basis van die lijst opgebouwd: elke afwijking levert een actie op, waarvan de prioriteit volgt uit de omvang van de afstand tot de drempel en uit het effect van de maatregel. Volledig deterministisch.

Het actieplan gaat niet mee in de berekening van de score: het vloeit eruit voort.

Wat de score niet zegt

• Hij stelt geen NIS 2-conformiteit vast. Conformiteit wordt beoordeeld aan de hand van de omzettingsteksten en, in voorkomend geval, van een controle door de bevoegde autoriteit.
• Hij vervangt geen audit. Hij steunt op verklaringen die een consultant heeft gevalideerd, waar mogelijk aangevuld met technische metingen uit de connectoren.
• Hij is er niet voor bedoeld om twee entiteiten met elkaar te vergelijken: de drempels zijn dezelfde, de toepassingsgebieden en de contexten niet.

Reproduceerbaarheid

De formule is deterministisch: bij identieke antwoorden een identieke score. Er komt geen enkel model voor kunstmatige intelligentie aan te pas, niet in de berekening en nergens anders op het platform.