Wat moet een gemeente aantonen tijdens een ENSIA-heraudit?
Tijdens een ENSIA-heraudit moet een gemeente aantonen dat zij de eerder geconstateerde tekortkomingen daadwerkelijk heeft opgelost. Dat betekent: concrete bewijsstukken aanleveren die laten zien dat de verbeteringen niet alleen zijn gepland, maar ook zijn doorgevoerd. Welke bewijsstukken dat zijn, hoe een auditor de verbeteringen beoordeelt en wat er op het spel staat als de heraudit opnieuw niet slaagt, lees je in dit artikel.
Wanneer krijgt een gemeente een ENSIA-heraudit opgelegd?
Een gemeente krijgt een ENSIA-heraudit opgelegd wanneer de oorspronkelijke ENSIA-audit heeft uitgewezen dat er sprake is van een onvoldoende op een of meer normen. Logius beoordeelt het auditrapport en bepaalt op basis van de ernst van de bevindingen of een heraudit noodzakelijk is. Er is geen vaste termijn: afhankelijk van de situatie kan de hersteltermijn variëren, bijvoorbeeld van twee tot zes maanden.
Belangrijk om te weten is dat een heraudit niet standaard jaarlijks plaatsvindt en ook niet automatisch leidt tot verlies van een certificering of aansluiting. Het is een gerichte controle op de specifieke punten waarop de gemeente tekortschoot. De gemeente blijft zelf eindverantwoordelijk voor de communicatie met Logius en voor het tijdig doorvoeren van de vereiste verbeteringen.
Wat zijn de meest voorkomende redenen voor een onvoldoende bij ENSIA?
Gemeenten krijgen een onvoldoende bij de ENSIA-audit meestal door een combinatie van onvolledige bewijslast, onduidelijke verantwoordelijkheden en een te late voorbereiding. De bevindingen zijn doorgaans niet willekeurig, maar volgen herkenbare patronen die jaar op jaar terugkomen.
De meest voorkomende oorzaken zijn:
- Ontbrekende of onvolledige bewijsstukken voor technische of organisatorische maatregelen
- Geen aantoonbare opvolging van bevindingen uit eerdere audits
- Onduidelijkheid over wie binnen de gemeente verantwoordelijk is voor welke norm
- Onvoldoende aansluiting op de Baseline Informatiebeveiliging Overheid (BIO)
- Gebrekkige interne samenwerking tussen de ENSIA-coördinator, CISO en betrokken afdelingen
- Te late start van de voorbereiding, waardoor bewijsstukken niet op tijd beschikbaar zijn
Veel van deze problemen zijn te voorkomen door ENSIA niet alleen vlak voor de auditdeadline aandacht te geven, maar het gedurende het hele jaar te borgen binnen de Planning-en-Control-cyclus.
Welke bewijsstukken moet een gemeente aanleveren bij een heraudit?
Bij een ENSIA-heraudit levert een gemeente bewijsstukken aan die specifiek betrekking hebben op de normen waarop eerder een onvoldoende is gescoord. Er is geen standaardlijst die voor elke gemeente gelijk is: de vereiste documentatie volgt direct uit de bevindingen in het oorspronkelijke auditrapport.
Afhankelijk van de aard van de bevindingen kan het gaan om:
- Beleidsdocumenten die aantonen dat een maatregel formeel is vastgesteld
- Procesbeschrijvingen of werkinstructies die laten zien hoe een maatregel in de praktijk werkt
- Technische rapportages, logs of configuratie-overzichten als bewijs van implementatie
- Verslagen van overleggen, risicoanalyses of interne audits
- Schermafdrukken, toegangslijsten of andere operationele bewijsstukken
Het gaat er bij een heraudit niet alleen om dat een gemeente iets heeft ingericht, maar ook dat dit aantoonbaar is. Bewijsstukken moeten actueel zijn en direct koppelbaar aan de specifieke norm die eerder als onvoldoende is beoordeeld.
Hoe beoordeelt een auditor de verbeteringen tijdens een heraudit?
Tijdens een ENSIA-heraudit beoordeelt de auditor of de gemeente de eerder geconstateerde tekortkomingen daadwerkelijk heeft opgelost. De toetsing richt zich uitsluitend op de normen die in de oorspronkelijke audit als onvoldoende zijn aangemerkt. Andere onderdelen worden niet opnieuw beoordeeld.
De auditor kijkt daarbij naar drie aspecten: opzet, bestaan en werking. Dat betekent dat het niet voldoende is om een maatregel op papier te beschrijven. De gemeente moet ook aantonen dat de maatregel daadwerkelijk is ingevoerd en in de praktijk functioneert. Hoe recenter en concreter de bewijsstukken, hoe sterker de onderbouwing.
Er is geen sprake van een pre-audit voorafgaand aan de heraudit. De beoordeling vindt plaats op basis van de aangeleverde documentatie en eventuele aanvullende gesprekken of verificaties. Een goede voorbereiding is daarom essentieel.
Hoe bereid je een gemeente voor op een succesvolle heraudit?
Een succesvolle ENSIA-heraudit begint met een gestructureerde aanpak direct na het ontvangen van de bevindingen. Hoe eerder een gemeente start met de opvolging, hoe meer tijd er is om verbeteringen aantoonbaar te maken.
Volg deze stappen voor een goede voorbereiding:
- Analyseer de bevindingen grondig. Begrijp precies welke normen onvoldoende zijn beoordeeld en wat de auditor heeft gemist of als tekortkoming heeft aangemerkt.
- Wijs verantwoordelijkheden toe. Zorg dat per bevinding duidelijk is wie binnen de gemeente verantwoordelijk is voor de opvolging.
- Stel een intern actieplan op. Bepaal welke maatregelen worden doorgevoerd, door wie en binnen welke termijn.
- Verzamel bewijsstukken tijdig. Begin vroeg met het documenteren van verbeteringen, zodat je bij de heraudit actueel en volledig bewijs kunt aanleveren.
- Betrek de juiste afdelingen. IT, functioneel beheer, de CISO en de ENSIA-coördinator moeten samenwerken om alle relevante bewijsstukken te verzamelen.
- Controleer intern voor indiening. Loop de bewijsstukken intern na om te voorkomen dat er gaten zitten in de onderbouwing.
Wat gebeurt er als een gemeente ook de heraudit niet haalt?
Als een gemeente de ENSIA-heraudit niet met een voldoende afsluit, is dat een serieuze situatie. Logius beoordeelt de uitkomst en kan verdere maatregelen treffen, afhankelijk van de ernst en de aard van de resterende tekortkomingen. Er bestaat geen standaardvervolgprocedure, omdat Logius elk geval individueel beoordeelt.
In de praktijk kan dit betekenen dat de gemeente aanvullende eisen krijgt opgelegd, dat de toegang tot bepaalde systemen of koppelingen onder druk komt te staan, of dat er nadere verantwoording moet worden afgelegd. Het is daarom verstandig om de heraudit serieus te nemen en niet te wachten tot het laatste moment met de voorbereiding. Er bestaat geen heraudit op een heraudit.
Hoe BKBO B.V. gemeenten helpt bij de ENSIA-heraudit
Wij begeleiden gemeenten door het gehele ENSIA-proces, van de eerste audit tot en met een eventuele heraudit. Onze aanpak is praktisch en gericht op wat gemeenten daadwerkelijk nodig hebben: duidelijkheid over de bevindingen, concrete terugkoppeling over de bewijslast en een eerlijk oordeel over wat wel en niet voldoet.
Wat wij bieden bij een ENSIA-heraudit:
- Gerichte beoordeling van de verbeteringen op de specifieke normen uit de oorspronkelijke audit
- Duidelijke terugkoppeling over de kwaliteit van de aangeleverde bewijsstukken
- Begeleiding door gecertificeerde register-IT-auditors met diepgaande kennis van de gemeentelijke praktijk
- Een heraudit die bij ons gratis is, in tegenstelling tot veel andere aanbieders
- Ondersteuning bij zowel de auditwerkzaamheden als de collegeverklaring en waarmerking
Met meer dan 2.500 uitgevoerde audits weten wij precies waar gemeenten tegenaan lopen en hoe we hen het beste kunnen ondersteunen. Wil je weten wat wij voor jouw gemeente kunnen betekenen? Neem contact op voor een vrijblijvende offerte.
Tijdens een ENSIA-heraudit moet een gemeente aantonen dat zij de eerder geconstateerde tekortkomingen daadwerkelijk heeft opgelost. Dat betekent: concrete bewijsstukken aanleveren die laten zien dat de verbeteringen niet alleen zijn gepland, maar ook zijn doorgevoerd. Welke bewijsstukken dat zijn, hoe een auditor de verbeteringen beoordeelt en wat er op het spel staat als de heraudit opnieuw niet slaagt, lees je in dit artikel.
Wanneer krijgt een gemeente een ENSIA-heraudit opgelegd?
Een gemeente krijgt een ENSIA-heraudit opgelegd wanneer de oorspronkelijke ENSIA-audit heeft uitgewezen dat er sprake is van een onvoldoende op een of meer normen. Logius beoordeelt het auditrapport en bepaalt op basis van de ernst van de bevindingen of een heraudit noodzakelijk is. Er is geen vaste termijn: afhankelijk van de situatie kan de hersteltermijn variëren, bijvoorbeeld van twee tot zes maanden.
Belangrijk om te weten is dat een heraudit niet standaard jaarlijks plaatsvindt en ook niet automatisch leidt tot verlies van een certificering of aansluiting. Het is een gerichte controle op de specifieke punten waarop de gemeente tekortschoot. De gemeente blijft zelf eindverantwoordelijk voor de communicatie met Logius en voor het tijdig doorvoeren van de vereiste verbeteringen.
Wat zijn de meest voorkomende redenen voor een onvoldoende bij ENSIA?
Gemeenten krijgen een onvoldoende bij de ENSIA-audit meestal door een combinatie van onvolledige bewijslast, onduidelijke verantwoordelijkheden en een te late voorbereiding. De bevindingen zijn doorgaans niet willekeurig, maar volgen herkenbare patronen die jaar op jaar terugkomen.
De meest voorkomende oorzaken zijn:
- Ontbrekende of onvolledige bewijsstukken voor technische of organisatorische maatregelen
- Geen aantoonbare opvolging van bevindingen uit eerdere audits
- Onduidelijkheid over wie binnen de gemeente verantwoordelijk is voor welke norm
- Onvoldoende aansluiting op de Baseline Informatiebeveiliging Overheid (BIO)
- Gebrekkige interne samenwerking tussen de ENSIA-coördinator, CISO en betrokken afdelingen
- Te late start van de voorbereiding, waardoor bewijsstukken niet op tijd beschikbaar zijn
Veel van deze problemen zijn te voorkomen door ENSIA niet alleen vlak voor de auditdeadline aandacht te geven, maar het gedurende het hele jaar te borgen binnen de Planning-en-Control-cyclus.
Welke bewijsstukken moet een gemeente aanleveren bij een heraudit?
Bij een ENSIA-heraudit levert een gemeente bewijsstukken aan die specifiek betrekking hebben op de normen waarop eerder een onvoldoende is gescoord. Er is geen standaardlijst die voor elke gemeente gelijk is: de vereiste documentatie volgt direct uit de bevindingen in het oorspronkelijke auditrapport.
Afhankelijk van de aard van de bevindingen kan het gaan om:
- Beleidsdocumenten die aantonen dat een maatregel formeel is vastgesteld
- Procesbeschrijvingen of werkinstructies die laten zien hoe een maatregel in de praktijk werkt
- Technische rapportages, logs of configuratie-overzichten als bewijs van implementatie
- Verslagen van overleggen, risicoanalyses of interne audits
- Schermafdrukken, toegangslijsten of andere operationele bewijsstukken
Het gaat er bij een heraudit niet alleen om dat een gemeente iets heeft ingericht, maar ook dat dit aantoonbaar is. Bewijsstukken moeten actueel zijn en direct koppelbaar aan de specifieke norm die eerder als onvoldoende is beoordeeld.
Hoe beoordeelt een auditor de verbeteringen tijdens een heraudit?
Tijdens een ENSIA-heraudit beoordeelt de auditor of de gemeente de eerder geconstateerde tekortkomingen daadwerkelijk heeft opgelost. De toetsing richt zich uitsluitend op de normen die in de oorspronkelijke audit als onvoldoende zijn aangemerkt. Andere onderdelen worden niet opnieuw beoordeeld.
De auditor kijkt daarbij naar drie aspecten: opzet, bestaan en werking. Dat betekent dat het niet voldoende is om een maatregel op papier te beschrijven. De gemeente moet ook aantonen dat de maatregel daadwerkelijk is ingevoerd en in de praktijk functioneert. Hoe recenter en concreter de bewijsstukken, hoe sterker de onderbouwing.
Er is geen sprake van een pre-audit voorafgaand aan de heraudit. De beoordeling vindt plaats op basis van de aangeleverde documentatie en eventuele aanvullende gesprekken of verificaties. Een goede voorbereiding is daarom essentieel.
Hoe bereid je een gemeente voor op een succesvolle heraudit?
Een succesvolle ENSIA-heraudit begint met een gestructureerde aanpak direct na het ontvangen van de bevindingen. Hoe eerder een gemeente start met de opvolging, hoe meer tijd er is om verbeteringen aantoonbaar te maken.
Volg deze stappen voor een goede voorbereiding:
- Analyseer de bevindingen grondig. Begrijp precies welke normen onvoldoende zijn beoordeeld en wat de auditor heeft gemist of als tekortkoming heeft aangemerkt.
- Wijs verantwoordelijkheden toe. Zorg dat per bevinding duidelijk is wie binnen de gemeente verantwoordelijk is voor de opvolging.
- Stel een intern actieplan op. Bepaal welke maatregelen worden doorgevoerd, door wie en binnen welke termijn.
- Verzamel bewijsstukken tijdig. Begin vroeg met het documenteren van verbeteringen, zodat je bij de heraudit actueel en volledig bewijs kunt aanleveren.
- Betrek de juiste afdelingen. IT, functioneel beheer, de CISO en de ENSIA-coördinator moeten samenwerken om alle relevante bewijsstukken te verzamelen.
- Controleer intern voor indiening. Loop de bewijsstukken intern na om te voorkomen dat er gaten zitten in de onderbouwing.
Wat gebeurt er als een gemeente ook de heraudit niet haalt?
Als een gemeente de ENSIA-heraudit niet met een voldoende afsluit, is dat een serieuze situatie. Logius beoordeelt de uitkomst en kan verdere maatregelen treffen, afhankelijk van de ernst en de aard van de resterende tekortkomingen. Er bestaat geen standaardvervolgprocedure, omdat Logius elk geval individueel beoordeelt.
In de praktijk kan dit betekenen dat de gemeente aanvullende eisen krijgt opgelegd, dat de toegang tot bepaalde systemen of koppelingen onder druk komt te staan, of dat er nadere verantwoording moet worden afgelegd. Het is daarom verstandig om de heraudit serieus te nemen en niet te wachten tot het laatste moment met de voorbereiding. Er bestaat geen heraudit op een heraudit.
Hoe BKBO B.V. gemeenten helpt bij de ENSIA-heraudit
Wij begeleiden gemeenten door het gehele ENSIA-proces, van de eerste audit tot en met een eventuele heraudit. Onze aanpak is praktisch en gericht op wat gemeenten daadwerkelijk nodig hebben: duidelijkheid over de bevindingen, concrete terugkoppeling over de bewijslast en een eerlijk oordeel over wat wel en niet voldoet.
Wat wij bieden bij een ENSIA-heraudit:
- Gerichte beoordeling van de verbeteringen op de specifieke normen uit de oorspronkelijke audit
- Duidelijke terugkoppeling over de kwaliteit van de aangeleverde bewijsstukken
- Begeleiding door gecertificeerde register-IT-auditors met diepgaande kennis van de gemeentelijke praktijk
- Een heraudit die bij ons gratis is, in tegenstelling tot veel andere aanbieders
- Ondersteuning bij zowel de auditwerkzaamheden als de collegeverklaring en waarmerking
Met meer dan 2.500 uitgevoerde audits weten wij precies waar gemeenten tegenaan lopen en hoe we hen het beste kunnen ondersteunen. Wil je weten wat wij voor jouw gemeente kunnen betekenen? Neem contact op voor een vrijblijvende offerte.