Paradigm, geïdentificeerd als essentiële dienst in het kader van NIS2, moet zijn NIS2-complianceprogramma heropstarten en structureren.

De opdracht is gericht op het opzetten van een operationele NIS2-programmastructuur, het begeleiden van de heropstart van de aansturing, en het bieden van ondersteuning en kennisoverdracht aan de persoon die intern de rol van Programme Manager op zich zal nemen.

De consultant zal voornamelijk optreden als NIS2-expert, ter ondersteuning en begeleiding van de interne Programme Manager. Uitzonderlijk, en uitsluitend tijdens de opstartfase, kan hij tijdelijk de rol van Programme Manager opnemen om de structuur van het NIS2-programma te implementeren: governance, sturingsrituelen, prioritering, roadmap en rapportering. Deze interventie is bedoeld om het werkingskader van het programma neer te zetten, zonder structureel de interne functie over te nemen.

Verantwoording:

Het NIS2-programma moet opnieuw worden opgestart op basis van duidelijke, geprioriteerde en aantoonbare fundamenten, zodat wordt voldaan aan de toepasselijke vereisten voor essentiële diensten en de compliance-traject van Paradigm wordt geborgd.

Externe begeleiding zal toelaten om bestaande elementen te consolideren, governance te structureren, de prioritering van acties te vergemakkelijken, quick wins te identificeren en de zelfstandigheid van de interne Programme Manager te versterken.

De voorgestelde aanpak is gebaseerd op een 'risk-based' logica en de definitie van een 'Minimum Viable Compliance'-basis, om de inspanningen te concentreren op de reële risico’s die wegen op de essentiële activiteiten van de organisatie.

Scope van de opdracht:

• Gestructureerd kennismaken met het bestaande NIS2-programma, op basis van rapporten, zelfevaluaties, gap-analyses, geproduceerde documenten en reeds beschikbare actieplannen
• Bij de start van de opdracht, afbakenen van het interventiegebied samen met de consultant, de sponsor, de CISO en de GRC-cel, rekening houdend met reeds geplande of uitgevoerde werkzaamheden
• Review van de mapping van de bedrijfsactiviteiten, de kritieke diensten en de interne en externe afhankelijkheden, inclusief leveranciers, evenals hun afstemming met cyberrisico’s
• Objectiveren van aandachtspunten binnen het programma, identificeren van elementen die verduidelijking of consolidatie vereisen, en het zichtbaar maken van hefbomen om de voortzetting, prioritering en sturing te vergemakkelijken
• Identificatie van quick wins om snel opnieuw dynamiek in het complianceproces te brengen
• Definiëren van een risk-based methodologische aanpak om acties te prioriteren volgens de reële risico’s op de essentiële activiteiten
• Vastleggen van een Minimum Viable Compliance-aanpak, inclusief een afgebakende scope, gedefinieerde governance, mapping van kritieke activiteiten, een geprioriteerd actieplan en de eerste bijbehorende bewijselementen
• Begeleiding, ondersteuning en opleiding van de interne Programme Manager om de duurzame herovername van het NIS2-programma te faciliteren
• Opbouw van een gefaseerde, graduele en iteratieve roadmap die onmiddellijke acties, prioritaire remediëringen, industrialisatie van de sturing en continue verbetering omvat

Doelstelling:

Paradigm in staat stellen opnieuw de controle te nemen over het NIS2-programma, de inspanningen te richten op de echte prioriteiten en een geloofwaardig traject te bieden naar duurzame compliance.

• Snel de dynamiek van NIS2-compliance herlanceren
• Governance en sturing van het programma transparant structureren
• Acties prioriteren op basis van cyberrisico’s en essentiële activiteiten
• Een minimaal, realistisch en aantoonbaar compliance-niveau definiëren
• De zelfstandigheid van de interne Programme Manager versterken door expertbegeleiding en kennisoverdracht

Verwachte deliverables:

In het kader van de expertbegeleiding rond NIS2 voor Paradigm zal de consultant de volgende deliverables opleveren:

Afbakening en consolidatie van het NIS2-programma:

• Notitie van afbakening van de opdracht en bevestiging van de scope met de stakeholders. Definitie van het projectcharter en de planning van het programma
• Gestructureerde synthese van bestaande elementen: rapporten, zelfevaluaties, gap-analyses, governance-documenten, actieplannen en beschikbare bewijselementen
• Matrix van aandachtspunten, te verduidelijken zones, afhankelijkheden en te nemen beslissingen

Mapping, kriticiteit en prioritering op basis van risico’s:

• Review van de relevantie van de bestaande business mapping en de afstemming met kritieke diensten
• Identificatie van significante interne en externe afhankelijkheden, met name leveranciers en ondersteunende diensten
• Link tussen kritieke activiteiten, cyberrisico’s, NIS2-vereisten en prioriteiten voor remediëring

Risk-based methodologische aanpak en Minimum Viable Compliance

• Methodologische aanpak voor prioritering gebaseerd op de reële risico’s voor de essentiële activiteiten
• Bepaling van het te verwachten Minimum Viable Compliance-niveau om compliance progressief, realistisch en aantoonbaar te maken
• Identificatie van de eerste bewijselementen die moeten worden opgebouwd of geconsolideerd

Verbeterplan en roadmap:

• Geprioriteerd verbeterplan, met onderscheid tussen quick wins, onmiddellijke acties, prioritaire remediëringen en industrialisatietrajecten
• Gefaseerde, graduele en iteratieve roadmap voor de sturing van het NIS2-programma
• Aanbevelingen rond governance, opvolgingsrapporten, indicatoren en rapporteringsmechanismen

Begeleiding van de interne Programme Manager:

• Support- en coachingsessies en kennisoverdracht ten behoeve van de interne Programme Manager
• Voorbereiding en faciliteren van gerichte workshops met relevante stakeholders
• Ondersteuning bij het structureren van beslissingen, keuzes en opvolgingen die nodig zijn voor de heropstart van het programma

Reporting en terugkoppeling:

• Periodieke voortgangsrapportages: status van acties, risico’s, verwachte beslissingen en blockers
• Terugkoppelingspresentatie aan het management, met de status van het programma, prioriteiten en het voorgestelde traject
• Documentatie van methodologische hulpmiddelen voor voortzetting van het programma na afloop van de opdracht

Gewenst profiel:

De consultant moet beschikken over aantoonbare ervaring in de begeleiding van grote of essentiële entiteiten in het kader van NIS2 en het CYFUN Framework, bij voorkeur in de publieke sector.

• Bewezen ervaring in cybersecurity governance, NIS2-compliance, risicomanagement en het structureren van complianceprogramma’s
• Kennis van digitale en publieke dienstomgevingen
• Gewenste certificeringen: CISSP, CISM en ISO 27001 Senior Lead Implementer, of aantoonbare equivalenten
• Vermogen om een interne Programme Manager te begeleiden, stakeholders op te leiden en executive deliverables op te leveren die bruikbaar zijn voor het management

Modaliteiten van de opdracht:

• Rol: NIS2-expert consultant ter ondersteuning en begeleiding van de interne Programme Manager, zonder interimrol als Programme Manager
• Geschatte duur: 50 dagen
• Indicatief ritme: 1 tot 2 dagen per week, met mogelijkheid tot intensievere ondersteuning bij de start of gespreid over de tijd in functie van de prioriteiten van het programma
• Interne coördinatie: betrokkenheid van de interne Programme Manager vanaf de start, met een initiële beschikbaarheid van ongeveer één dag per week en een beoogde opschaling vanaf september
• Wijze van interventie: documentanalyses, interviews, gerichte workshops en validatiemomenten met stakeholders, zowel fysiek als op afstand
• Gewenste startdatum: ASAP, onder voorbehoud van goedkeuring door procurement en, indien van toepassing, toestemming van de Raad van Bestuur

Aanvullende informatie:

De opdracht kan worden verlengd tot een maximale duur (inclusief initiële periode) van: 880 werkdagen.