Wat is een cybersecurity maturity assessment?

Een cybersecurity maturity assessment, of volwassenheidsmeting informatiebeveiliging, beoordeelt hoe goed de securitycapaciteiten van een organisatie zijn gedefinieerd, geïmplementeerd, gemeten en verbeterd, gescoord tegen de niveaus van een gepubliceerd model zoals de NIST CSF 2.0-tiers, de CIS Controls-implementatiegroepen, C2M2 of CMMC 2.0. De oplevering is een huidig profiel per domein, een doelprofiel en een roadmap daartussen. Het meet capaciteit en herhaalbaarheid, niet of een specifieke aanval vandaag zou slagen.

Wat is het verschil tussen een maturity assessment en een security audit?

Een audit toetst conformiteit aan een norm zoals ISO 27001, SOC 2 of PCI DSS en levert een oordeel, een certificaat of een lijst van afwijkingen op een peildatum. Een volwassenheidsmeting waardeert hoe capabel en herhaalbaar elk domein is op een schaal met meerdere niveaus en zegt waar u vervolgens moet investeren. U kunt gecertificeerd zijn en toch onvolwassen in detectie en respons, en daarom draaien de meeste programma's beide.

Welk volwassenheidsmodel moet een Nederlandse organisatie gebruiken?

Het model dat uw toezichthouders en klanten kennen. Overheidsorganisaties meten tegen de BIO 2.0; de meeste andere organisaties gebruiken NIST CSF 2.0 met zijn vier tiers, eventueel met de CIS Controls v8.1-implementatiegroepen als concrete maatregelenladder; zorgaanbieders ijken op NEN 7510:2024. Organisaties met Amerikaanse defensiecontracten hebben CMMC 2.0 nodig. ISO 27001 is een certificering, geen volwassenheidsmodel, en wordt waar nodig met een tierschaal aangevuld.

Is ISO 27001-certificering hetzelfde als hoge securityvolwassenheid?

Nee. ISO 27001 certificeert dat een managementsysteem voor informatiebeveiliging aan de norm voldoet; het beoordeelt niet hoe effectief de 93 maatregelen uit bijlage A werken. Een gecertificeerde organisatie kan in detectie, respons of leveranciersrisico op een lage volwassenheidstier zitten. Beschouw certificering als ondergrens en gebruik een volwassenheidsmodel om het programma daarboven te meten.

Hoe lang duurt een cybersecurity maturity assessment?

Vier tot acht weken doorlooptijd voor een middelgrote onderneming, inclusief bewijsreview, twaalf tot twintig interviews, steekproeven op maatregelen, kalibratie van de scoring en rapportage. De inspanning van uw team bedraagt in totaal enkele dagen. Reken twee tot drie weken extra wanneer op dezelfde scope een penetratietest wordt uitgevoerd om de scores te valideren.

Hoe vaak moet de volwassenheid opnieuw worden gemeten?

Jaarlijks, met een lichtere voortgangsmeting na zes maanden tegen de roadmap. Meet buiten de cyclus opnieuw na een ernstig incident, een fusie of overname, een nieuwe CISO, een grote cloudmigratie of een verzoek van de toezichthouder. Houd hetzelfde model en dezelfde scoringsbladen aan, zodat elk jaar een gemeten verschil is en geen nieuwe nulmeting.

Waarom een maturity assessment combineren met een penetratietest?

Omdat een volwassenheidsmodel scoort wat is gedocumenteerd en beschreven, en een penetratietest laat zien wat werkelijk standhoudt onder aanval. Het testen van de beoordeelde scope vangt het verschil tussen de bedoeling van een maatregel en haar werkelijke werking, precies waar zelfbeoordelingen te hoog uitvallen. De combinatie geeft het bestuur een verdedigbare trend en het securityteam een testprogramma dat op werkelijk risico is gericht.

2 november 2026 · 11 min leestijd · Door Michael van Mameren, Lead Penetration Tester (OSCP)

Cybersecurity maturity assessment: wat de volwassenheidsmeting meet, welk model u kiest en hoe u het resultaat omzet in een roadmap die het bestuur financiert

Een cybersecurity maturity assessment, in het Nederlands een volwassenheidsmeting van de informatiebeveiliging, scoort hoe herhaalbaar, meetbaar en bestuurd uw securitycapaciteiten zijn tegen een erkend model en vertaalt de hiaten naar een geprioriteerde roadmap. Deze gids legt uit hoe de meting verschilt van een audit, een penetratietest en een posture scan, welk model bij welke organisatie past, hoe een assessment verloopt en hoe offensief testen de score eerlijk houdt.

Plan een maturity assessment

Wat een cybersecurity maturity assessment is

Een cybersecurity maturity assessment is een gestructureerde beoordeling van hoe goed de securitycapaciteiten van een organisatie zijn gedefinieerd, geïmplementeerd, gemeten en verbeterd, gescoord tegen de niveaus van een gepubliceerd volwassenheidsmodel. Het beantwoordt een andere vraag dan het meeste securitywerk. Een penetratietest vraagt of een aanvaller vandaag binnenkomt. Een audit vraagt of u aan een norm voldoet. Een volwassenheidsmeting vraagt of uw programma gebouwd is om te blijven werken: zijn maatregelen gedocumenteerd, belegd, herhaalbaar, bewaakt en aangepast wanneer de organisatie of de dreiging verandert? Het resultaat is een profiel per domein (governance, identiteit, assetbeheer, detectie, respons, herstel, leveranciersrisico), een doelprofiel en de roadmap daartussen.

De term wordt door elkaar gebruikt met security posture assessment en cyber maturity assessment. Het onderscheid dat telt, is dat met een cyberrisicoanalyse. Een risicoanalyse inventariseert dreigingen en kwetsbaarheden voor specifieke assets en schat kans en impact; zij is tactisch en assetgericht. Een volwassenheidsmeting is capaciteitsgericht en strategisch. De meeste organisaties hebben beide nodig, en volwassen programma's koppelen ze: het risicoregister zegt waar de blootstelling zit, het volwassenheidsprofiel zegt of de organisatie de capaciteit heeft om die te beheersen.

Besturen en auditcommissies laten een assessment uitvoeren wanneer een toezichthouder of klant vraagt hoe volwassen het programma is, na een incident, vóór een transactie, bij de komst van een nieuwe CISO, of wanneer het securitybudget een verdedigbare onderbouwing nodig heeft. In de EU maakt artikel 20 NIS2, in Nederland omgezet in de Cyberbeveiligingswet, bestuursorganen verantwoordelijk voor het goedkeuren van en toezien op de maatregelen voor cyberbeveiligingsrisicobeheer, en legt artikel 5 DORA dezelfde plicht op het bestuur van financiële entiteiten. In de VS vereisen de SEC-regels voor cyberdisclosure uit 2023 (Regulation S-K Item 106) dat beursgenoteerde ondernemingen hun risicobeheerprocessen en het bestuurstoezicht beschrijven, en een volwassenheidsprofiel is de gebruikelijke manier om die beschrijving inhoud te geven.

Maturity assessment versus audit versus penetratietest versus posture scan

Vier exercities die geregeld worden verward, en geregeld in de verkeerde volgorde worden ingekocht.

Aspect	Maturity assessment	Audit	Penetratietest	Posture scan
Beantwoorde vraag	Hoe capabel en herhaalbaar is het programma, en waar moet het heen?	Voldoen de maatregelen aan een vastgestelde norm, met bewijs, op een peildatum?	Kan een bekwame aanvaller een vastgesteld doel bereiken, en hoe?	Welke bekende zwaktes en misconfiguraties liggen nu bloot?
Referentie	Een volwassenheidsmodel: NIST CSF 2.0-tiers, CIS Controls-implementatiegroepen, C2M2, CMMC-niveaus	Een norm of regeling: ISO 27001, SOC 2, PCI DSS, NIS2, BIO	Aanvallerstechnieken, MITRE ATT&CK, OWASP, PTES	Kwetsbaarheidsdatabases, CIS Benchmarks, baselines van cloudaanbieders
Methode	Interviews, documentreview, steekproeven op maatregelen, scoringsworkshops	Toetsing van bewijs per eis, steekproeven, oordeel van de auditor	Handmatige exploitatie door testers, geketende bevindingen	Geautomatiseerd scannen van hosts, cloudaccounts, identiteiten en extern aanvalsoppervlak
Resultaat	Gescoord profiel per domein, doelprofiel, roadmap, bestuurssamenvatting	Oordeel, certificaat of verklaring, lijst van afwijkingen	Rapport met geëxploiteerde bevindingen, aanvalsverhaal, CVSS-scores, herstel	Lijst van bevindingen met ernst, vaak duizenden, weinig context
Wie voert uit	Securityconsultants, vaak met vCISO- of governance-achtergrond	Geaccrediteerde certificerende instelling of registeraccountant	Gecertificeerde offensieve testers (OSCP, OSWE, CREST)	Intern team of beheerde scandienst
Frequentie	Jaarlijks, of bij een aanleiding: nieuwe CISO, incident, transactie, verzoek van de toezichthouder	Jaarlijkse opvolgingsaudit, hercertificering elke drie jaar	Jaarlijks, plus na grote wijzigingen	Continu of wekelijks
Blinde vlek	Zelfgerapporteerde antwoorden drijven scores op tenzij technisch gevalideerd	Compliance is geen veiligheid; een gecertificeerd ISMS kan nog altijd worden gekraakt	Toont uitbuitbaarheid, niet of het programma de fixes kan volhouden	Vindt het bekende; mist logische fouten, aanvalsketens en procesfalen

De volwassenheidsmodellen die in 2026 worden gebruikt

Kies het model dat uw toezichthouders, klanten en bestuur al kennen. Later wisselen van model zet uw nulmeting terug op nul.

NIST Cybersecurity Framework 2.0

CSF 2.0, uitgebracht in februari 2024, ordent uitkomsten in zes functies: Govern, Identify, Protect, Detect, Respond en Recover. De vier tiers (Partial, Risk Informed, Repeatable, Adaptive) beschrijven hoe streng risico wordt bestuurd en beheerd. NIST stelt dat de tiers geen volwassenheidsniveaus in strikte zin zijn en dat Tier 4 geen universeel doel is; de meeste assessments gebruiken ze toch als scoringsschaal, gecombineerd met een huidig en een doelprofiel.

CIS Controls v8.1 en implementatiegroepen

Achttien controls en 153 safeguards, verdeeld over drie implementatiegroepen. IG1 (56 safeguards) is essentiële cyberhygiëne voor elke organisatie; IG2 voegt safeguards toe voor organisaties met eigen IT-personeel en gevoelige gegevens; IG3 maakt de set compleet voor organisaties die gerichte aanvallen te vrezen hebben. De groepen vormen een praktische volwassenheidsladder, en de v8.1-update van 2024 bracht de controls in lijn met de Govern-functie van CSF 2.0.

C2M2 (Cybersecurity Capability Maturity Model)

Onderhouden door het Amerikaanse Department of Energy; versie 2.1 dekt tien domeinen en scoort elk op maturity indicator levels 0 tot 3, van ad-hocpraktijken tot beheerde, gedocumenteerde en van middelen voorziene praktijken. Gebouwd voor energie en andere beheerders van operationele technologie, en door andere sectoren overgenomen omdat de praktijken concreet zijn en het zelfevaluatie-instrument openbaar is.

CMMC 2.0

Het model van het Amerikaanse ministerie van Defensie voor leveranciers die federale contractinformatie en controlled unclassified information verwerken. Level 1 omvat 17 praktijken met een jaarlijkse zelfbeoordeling; Level 2 volgt de 110 eisen van NIST SP 800-171 met driejaarlijkse beoordeling door een derde partij voor de meeste leveranciers; Level 3 voegt eisen uit NIST SP 800-172 toe met beoordeling door de overheid. Sinds eind 2025 gefaseerd opgenomen in defensiecontracten.

ISO/IEC 27001:2022: een certificering, geen volwassenheidsmodel

ISO 27001 certificeert dat een managementsysteem voor informatiebeveiliging aan de norm voldoet; het resultaat is binair. Het beoordeelt niet hoe goed de 93 maatregelen uit bijlage A presteren. Organisaties die een volwassenheidsbeeld van hun ISMS willen, leggen er een tierschaal overheen, meestal ontleend aan CSF 2.0 of aan procescapaciteitsniveaus in de stijl van ISO/IEC 33000, en gebruiken ISO/IEC 27004 voor de meting.

Nederlandse en sectorale baselines

In Nederland is de BIO 2.0 de verplichte baseline voor overheidsorganisaties, publiceert het NCSC basismaatregelen en handreikingen waar veel organisaties hun nulmeting op ijken, geldt NEN 7510:2024 voor de zorg en de DigiD-norm van Logius voor aangesloten dienstverleners. De Cyberbeveiligingswet vult daar de zorgplicht van artikel 21 NIS2 aan. In de VS gelden sectorlagen als HHS 405(d) voor de zorg, het Cyber Risk Institute Profile voor financiële instellingen en NYDFS Part 500.

Hoe een assessment verloopt

Een geloofwaardig assessment vraagt vier tot acht weken doorlooptijd en enkele dagen aandacht van uw team. Dit zijn de stappen.

1. Scoping en modelkeuze

Spreek de organisatorische grens af (entiteiten, locaties, cloudtenants, OT), het model en de tierschaal, en voor wie het resultaat bedoeld is. Een bestuurssamenvatting en een engineering-roadmap vragen hetzelfde bewijs maar een andere inkadering.

2. Verzamelen van documentatie en bewijs

Beleid, standaarden, risicoregister, assetinventaris, architectuurtekeningen, eerdere audit- en pentestrapporten, incidentregistraties, leverancierscontracten. De assessor leest deze vóór elk interview, zodat interviews beweringen toetsen in plaats van verzamelen.

3. Interviews met belanghebbenden

Gestructureerde gesprekken met de CISO, IT-beheer, eigenaren van identiteits- en toegangsbeheer, applicatie-eigenaren, het SOC of de MDR-aanbieder, juridische zaken en privacy, HR en inkoop. Twaalf tot twintig interviews is gebruikelijk voor een middelgrote onderneming.

4. Steekproeven en technische validatie

Controleren of wat wordt beschreven ook is uitgerold: MFA-configuratie, EDR-dekking, hersteltests van back-ups, bewaartermijnen van logging, inventaris van bevoorrechte accounts. Deze stap scheidt een assessment van een vragenlijst, en hier worden offensieve bevindingen ingebracht.

5. Scoring en kalibratie

Elk domein wordt gescoord tegen de niveaus van het model, met het bewijs dat de score onderbouwt. Kalibratiesessies met uw team lossen meningsverschillen op vóór het rapport, zodat het resultaat wordt gedragen in plaats van ontvangen.

6. Doelprofiel en gap-analyse

De doeltier per domein is een bedrijfsbeslissing, geen standaardwaarde. Een betaalbedrijf heeft Adaptive detectie en respons nodig; zijn facilitaire functie kan prima op Repeatable zitten. Het verschil tussen huidig en doel stuurt de roadmap.

7. Roadmap, quick wins en rapport

Initiatieven in golven gepland met eigenaren, afhankelijkheden, inspanning en de volwassenheidswinst die elk oplevert, plus een samenvatting op bestuursniveau en een technische bijlage waar uw engineers mee aan de slag kunnen.

Hoe het resultaat eruitziet

Vraag een geanonimiseerd voorbeeld voordat u opdracht geeft. Een goede oplevering bevat het volgende.

Een heat map per domein en subcategorie die huidige en doelvolwassenheid op één pagina toont, in het vocabulaire van het model zelf
Gescoorde bevindingen met het bewijs achter elke score, zodat het volgende assessment beweging meet in plaats van mening
Quick wins: veranderingen die binnen 90 dagen haalbaar zijn met bestaande mensen en budget, meestal MFA-hiaten, bewaartermijnen van logging, opschoning van bevoorrechte accounts en hersteltests van back-ups
Een roadmap in golven van zes tot twaalf maanden, elk met eigenaren, afhankelijkheden, indicatieve inspanning en de volwassenheidswinst die zij oplevert
Koppeling van elke bevinding aan de kaders waarover u rapporteert: ISO 27001 bijlage A, de maatregelen van artikel 21(2) NIS2, BIO 2.0, DORA, SOC 2, PCI DSS v4.0.1
Een bestuurssamenvatting van twee pagina's: waar u staat, waar sectorgenoten staan, de vijf grootste risico's, en wat de roadmap kost aan inspanning en wat zij oplevert
Een basis voor hermeting: scoringsbladen en bewijsindex in een formaat dat van u is, zodat jaar twee een verschilmeting is en geen nieuwe start

Het resultaat gebruiken voor budget- en bestuursgesprekken

Een volwassenheidsprofiel verandert securityuitgaven van een lijst tools in een verhaal over capaciteit. In plaats van een EDR-verlenging aan te vragen, laat de CISO zien dat Detect op Risk Informed staat terwijl het doel Repeatable is, dat twee initiatieven het gat sluiten en wat elk aan inspanning kost. Besturen reageren op die inkadering omdat zij elke andere functie op dezelfde manier beoordelen. Hetzelfde profiel beantwoordt de verantwoordingsplichten die nu gelden: de bestuurdersverantwoordelijkheid van artikel 20 NIS2 in de Cyberbeveiligingswet, artikel 5 DORA, en voor Amerikaanse beursfondsen de beschrijving van risicobeheer en governance onder SEC Item 106 en de jaarlijkse schriftelijke rapportage van de CISO aan het bestuur onder NYDFS Part 500.4.

Twee waarschuwingen. Stel Tier 4 of Level 3 niet als universeel doel; overinvesteren in domeinen die weinig bedrijfsrisico dragen is evenzeer een governancefout als onderinvesteren in domeinen die dat wel doen. En laat het assessment geen zelfbeoordeling worden. Interne teams scoren zichzelf in bijna elke opdracht die wij hebben gezien één niveau hoger dan externe assessors, niet uit oneerlijkheid maar omdat zij de bedoeling van een maatregel kennen in plaats van de werkelijke werking.

Hoe offensief testen de zelfbeoordeling valideert

De zwakte van elk volwassenheidsmodel is dat het scoort wat mensen zeggen en documenteren. Offensief testen scoort wat werkelijk gebeurt. Een penetratietest op de beoordeelde scope controleert of de Protect-tier die voor identiteit en toegang wordt geclaimd een password spray en tokendiefstal overleeft; of de Detect-tier die voor het SOC wordt geclaimd een alert oplevert wanneer een tester lateraal beweegt; of Respond Repeatable is of een wikipagina die niemand heeft geopend. Wij nemen de bevindingen van een gescopete penetratietest of red-team-opdracht op in de scoringsstap, zodat een domein niet op papier Repeatable kan scoren terwijl de tester er ongezien doorheen liep.

Het omgekeerde geldt ook. Een volwassenheidsmeting vertelt het offensieve team waar het moet richten. Laag gescoorde domeinen zijn snel bevestigd; hoog gescoorde domeinen zijn waar een red team zijn vergoeding verdient door de claim te toetsen. Organisaties die beide elk jaar combineren, krijgen een volwassenheidstrend die zij tegenover een toezichthouder kunnen verdedigen, en een testprogramma dat het werkelijke risico volgt in plaats van de scope van vorig jaar. De gids over soorten security testen legt uit hoe die opdrachten verschillen en hoe ze samengaan.

Hoe HackersHub maturity assessments uitvoert

HackersHub is een offensief securitybedrijf uit Amsterdam met meer dan tien jaar ervaring, dat enterprise-klanten in de EU en de VS bedient op afstand en met inzet op locatie waar nodig. Onze consultingpraktijk voert volwassenheidsmetingen uit tegen NIST CSF 2.0, CIS Controls v8.1, ISO 27001:2022, de BIO 2.0 en de zorgplicht van NIS2, en voor Amerikaanse klanten CMMC 2.0, en valideert de scoring met testers die minimaal OSCP hebben, met OSWE- en CREST-gecertificeerde specialisten in het team.

Elk assessment wordt afzonderlijk gescopet: entiteiten, cloudtenants, OT en de kaders waarover u rapporteert. U ontvangt de heat map, het gescoorde bewijs, de roadmap en de bestuurssamenvatting, in een formaat dat van u is voor de hermeting van volgend jaar. Wil een klant de score getoetst zien, dan combineren wij het assessment met een penetratietest of red-team-opdracht op dezelfde scope.

Veelgestelde vragen

Gerelateerde gidsen

Een volwassenheidsscore waar uw bestuur op kan vertrouwen?

Onze consultingpraktijk voert het assessment uit en onze testers valideren het op dezelfde scope. Praat met een expert over het model dat uw toezichthouders verwachten en de roadmap die uw budgetcyclus nodig heeft.

Ontdek security consulting Plan een gesprek