NIS2 vraagt meer dan technische maatregelen. Het raakt governance, HR, inkoop en de dagelijkse processen op de vestigingen. Ontdek hoe Rotom Group met Fendix en Tidal Control grip kreeg op een programma over 25 vestigingen, en het hoogste niveau van het NIS2 Supply Chain-keurmerk haalde.

‍

Over Rotom Group

Rotom Group levert ladingdragers en logistieke oplossingen vanuit 25 vestigingen in negen Europese landen, met ongeveer 750 medewerkers. Ronald van Beers is als CISO verantwoordelijk voor de digitale infrastructuur, de cybersecurity strategie en de bedrijfscontinuïteit van de groep.

‍

Zijn opdracht reikt verder dan het bewaken van de IT-omgeving. Cybersecurity moet door de hele organisatie lopen, van de werkvloer tot de boardroom. Daarmee was dit traject vanaf dag één meer dan alleen een IT-traject.

‍

"Cybersecurity is niet langer uitsluitend een technisch onderwerp. Het is een noodzakelijk onderdeel van hoe we onze operatie, onze klanten en de continuïteit van onze organisatie beschermen."

- Ronald van Beers, CISO Rotom Group

‍

Negen landen, één norm

De logistieke sector digitaliseert snel. Klanten, leveranciers en interne teams zijn steeds afhankelijker van systemen die continu beschikbaar moeten zijn. Voor een organisatie met 25 vestigingen is dat geen abstract risico maar dagelijkse realiteit.

‍

Rotom Group valt onder NIS2 als belangrijke entiteit. Daar komt een tweede beweging bovenop: klanten in de keten stellen zelf ook eisen, want elke NIS2-plichtige organisatie moet haar leveranciers beoordelen op cybersecurity. Rotom zit in beide rollen tegelijk. Als organisatie met een eigen zorgplicht, en als schakel in de ketens van anderen.

‍

Dat maakte de keuze voor de norm logisch. Het NIS2 Supply Chain-keurmerk vertaalt de eisen uit de richtlijn naar concrete, controleerbare maatregelen. Rotom koos voor SC30 High, het niveau voor organisaties waarbij een cyberincident grote verstoring in de keten veroorzaakt. Geen vrijwillige lat die lager lag dan nodig, maar het niveau dat bij de rol past.

‍

Structuur brengen in complexiteit

25 vestigingen, negen wetgevingen, negen talen en evenveel manieren van werken.Losse documenten en actielijsten per vestiging lijken behapbaar, totdat je ze op groepsniveau samenbrengt. Dan heb je een lappendeken die niemand nog centraal beheert. ''De uitdaging lag niet alleen in het begrijpen van de NIS2-eisen, maar vooral in het organiseren van het werk op een manier die consistent beheerd kon worden binnen de gehele groep", zegt Ronald van Beers, CISO Rotom Group

‍

Rotom had twee dingen nodig. Inhoudelijke expertise om de eisen te vertalen naar concrete acties per afdeling en per land. En een manier om die acties op groepsniveau te volgen, met een eigenaar per actie en op elk moment zicht op de voortgang.

Fendix voor de inhoud, Tidal Control voor de sturing

Fendix bracht de inhoudelijke begeleiding, Tidal Control het platform. Die combinatie was een bewuste keuze. Bij een programma dat negen landen bestrijkt loopt inhoud zonder sturing vast, en sturing zonder inhoud levert een afvinklijst op die niemand snapt.

‍

Fendix vertaalde de SC30-eisen naar wat ze concreet betekenen voor IT, HR, inkoop en operations. Van het inrichten van het incidentresponsproces tot bewustwordingssessies voor medewerkers op de vestigingen. Steeds met dezelfde insteek: een maatregel die mensen niet begrijpen, gaan ze ook niet uitvoeren.

‍

Tidal Control bracht als GRC platform alle acties, verantwoordelijkheden, beleid, deadlines en bewijslast samen op één plek. Vestigingsmanagers zagen wat er van hen werd verwacht. De directie volgde de voortgang zonder er telkens achteraan te bellen. Bij de audit lag het bewijs centraal klaar in plaats van verspreid over mailboxen in negen landen. "De kracht van deze aanpak lag in de combinatie van deskundige begeleiding door Fendix en de gestructureerde projectsturing die Tidal Control mogelijk maakte'', zegt Ronald van Beers, CISO Rotom Group

‍