Hoe vraag je als gemeente een offerte aan voor een ENSIA-audit?
Als gemeente een offerte aanvragen voor een ENSIA-audit doe je door eerst intern je zaken op orde te brengen, daarna gecertificeerde auditors te benaderen met een concrete offerteaanvraag, en vervolgens de ontvangen offertes te vergelijken op prijs, werkwijze en ervaring. Het hele proces verloopt het soepelst als je ruim voor de deadline van 1 mei begint, bij voorkeur al in het najaar van het voorgaande jaar. In dit artikel beantwoorden we de meest gestelde vragen over het aanvragen van een ENSIA-assessment, zodat je goed voorbereid de markt op gaat.
Wat moet een gemeente regelen vóór ze offertes opvraagt?
Voordat je als gemeente offertes opvraagt voor een ENSIA-audit, is het verstandig om intern een aantal zaken helder te hebben. Denk aan wie de ENSIA-coördinator is, welke systemen en koppelingen in scope vallen, en of er SaaS-leveranciers betrokken zijn waarvoor een Third Party Mededeling (TPM) nodig is. Zonder die basisinformatie kun je geen goede offerteaanvraag opstellen.
Zorg dat je de volgende punten intern hebt uitgezocht voordat je de markt op gaat:
- Wie is verantwoordelijk voor de ENSIA-coördinatie binnen de gemeente?
- Welke DigiD-aansluitingen heeft de gemeente en zijn er SaaS-leveranciers betrokken?
- Zijn er TPM-rapporten beschikbaar van relevante leveranciers?
- Wat was de uitkomst van de vorige ENSIA-audit en zijn er openstaande bevindingen?
- Wat is het gewenste tijdpad en wanneer moeten de resultaten beschikbaar zijn?
Als er SaaS-oplossingen in gebruik zijn, is een TPM van de leverancier een belangrijk document. Op basis van zo’n TPM hoeft de auditor bij de gemeente zelf alleen een beperkte controle uit te voeren op een specifiek aantal relevante normen. Dat scheelt tijd en kosten, maar dan moet de TPM wel beschikbaar zijn. Regel dit dus tijdig bij je leveranciers.
Waar vind je gecertificeerde ENSIA-auditors?
Gecertificeerde ENSIA-auditors zijn register-IT-auditors die voldoen aan de eisen die Logius stelt aan de uitvoering van de DigiD-audit en het ENSIA-verantwoordingsproces. Je vindt hen via de beroepsvereniging NOREA, via aanbestedingsplatforms zoals TenderNed, of via directe verwijzingen van andere gemeenten.
Let bij het zoeken op de volgende kwalificaties:
- De auditor is ingeschreven als register-IT-auditor (RE) bij NOREA
- De auditor heeft aantoonbare ervaring met gemeenten en het ENSIA-proces
- Het auditbureau is bekend met de Baseline Informatiebeveiliging Overheid (BIO)
- Er is ervaring met zowel de auditwerkzaamheden als de collegeverklaring en de waarmerking
Vraag bij twijfel altijd naar referenties van vergelijkbare gemeenten. Ervaring met de gemeentelijke praktijk maakt een groot verschil in hoe soepel het proces verloopt.
Wat zet je in een offerteaanvraag voor een ENSIA-audit?
Een goede offerteaanvraag voor een ENSIA-audit bevat voldoende informatie zodat de auditor een realistische en vergelijkbare offerte kan opstellen. Hoe concreter je aanvraag, hoe beter je de ontvangen offertes naast elkaar kunt leggen.
Neem in ieder geval de volgende onderdelen op in je aanvraag:
- Omvang van de audit: hoeveel DigiD-aansluitingen, welke systemen, zijn er SaaS-leveranciers met of zonder TPM?
- Gewenste scope: gaat het alleen om de auditwerkzaamheden, of ook om de collegeverklaring en de waarmerking?
- Tijdpad: wanneer moet de audit afgerond zijn en wanneer wil je starten?
- Eerdere bevindingen: zijn er openstaande punten uit de vorige audit die relevant zijn voor de scope?
- Verwachtingen rondom communicatie: hoe wil je gedurende het proces worden geïnformeerd?
- Prijsstructuur: vraag expliciet of de prijs inclusief een eventuele heraudit is.
Dat laatste punt is belangrijk. Niet alle auditbureaus hanteren dezelfde aanpak bij een heraudit. Vraag hier altijd expliciet naar, zodat je niet voor verrassingen komt te staan als de audit niet direct voldoende scoort.
Hoe vergelijk je offertes van verschillende ENSIA-auditors?
Bij het vergelijken van offertes voor een ENSIA-audit kijk je niet alleen naar de prijs, maar ook naar wat er precies in de prijs is inbegrepen, hoe de auditor werkt en hoeveel ervaring het bureau heeft met gemeenten. Een lage prijs kan duurder uitvallen als de begeleiding minimaal is of een heraudit extra kost.
Vergelijk offertes op deze punten:
- Prijs inclusief of exclusief heraudit: sommige bureaus rekenen extra kosten voor een heraudit, andere niet
- Scope van de werkzaamheden: zijn de collegeverklaring en de waarmerking inbegrepen?
- Werkwijze en begeleiding: hoe ondersteunt de auditor bij het aanleveren van bewijsstukken?
- Ervaring met gemeenten: hoeveel ENSIA-audits heeft het bureau uitgevoerd?
- Communicatie tijdens het proces: hoe en wanneer krijg je terugkoppeling?
Let ook op de transparantie van de offerte zelf. Een goede auditor legt helder uit wat er wordt getoetst, wat er van de gemeente wordt verwacht en hoe het proces eruitziet. Dat geeft vertrouwen voor de samenwerking.
Wanneer is het te laat om een ENSIA-auditor in te schakelen?
De deadline voor de ENSIA-audit is 1 mei. Wacht je tot het voorjaar met het inschakelen van een auditor, dan loop je het risico dat er geen capaciteit meer beschikbaar is of dat de voorbereiding te krap wordt. De meeste gemeenten starten het proces het best in het najaar, zodat er voldoende tijd is voor voorbereiding, bewijsverzameling en de daadwerkelijke audit.
Een realistisch tijdpad ziet er zo uit: in het najaar selecteer je een auditor en sluit je een overeenkomst, in het eerste kwartaal van het nieuwe jaar start je met de voorbereiding en het aanleveren van bewijsstukken, en voor 1 mei moet de audit zijn afgerond en ingediend.
Gemeenten die te laat beginnen, merken dat de druk op de organisatie toeneemt, bewijsstukken haastig worden samengesteld en de kans op bevindingen groter wordt. Vroeg starten is niet alleen rustiger, het levert ook betere resultaten op.
Wat kost een ENSIA-audit gemiddeld voor een gemeente?
De kosten van een ENSIA-audit voor een gemeente variëren en zijn afhankelijk van de omvang van de gemeente, het aantal DigiD-aansluitingen, de beschikbaarheid van TPM-rapporten van leveranciers en of de collegeverklaring en waarmerking ook zijn inbegrepen. Een eenduidige gemiddelde prijs is daarom moeilijk te geven zonder de specifieke situatie te kennen.
Wat wel duidelijk is: een TPM van een SaaS-leverancier kan de auditinspanning bij de gemeente aanzienlijk verminderen. Andere IT-auditors kunnen op basis van zo’n TPM vertrouwen op het al uitgevoerde onderzoek bij de leverancier, waardoor zij bij de gemeente zelf alleen een beperkte controle hoeven uit te voeren. Dat heeft direct invloed op de prijs.
Vraag bij het opvragen van offertes altijd om een vaste prijs, inclusief een eventuele heraudit. Zo weet je vooraf waar je aan toe bent en kom je niet voor onverwachte kosten te staan als de audit niet in één keer voldoende scoort.
Welke vragen kun je een ENSIA-auditor stellen voor je tekent?
Voordat je een overeenkomst tekent met een ENSIA-auditor, is het verstandig om een aantal gerichte vragen te stellen. Zo krijg je een goed beeld van de werkwijze, de ervaring en de voorwaarden, en voorkom je verrassingen tijdens het proces.
Stel in ieder geval deze vragen:
- Hoeveel ENSIA-audits heeft u de afgelopen jaren uitgevoerd voor gemeenten?
- Is een eventuele heraudit inbegrepen in de prijs?
- Hoe begeleidt u ons bij het aanleveren van bewijsstukken?
- Wat zijn uw ervaringen met SaaS-leveranciers en TPM-rapporten?
- Verzorgt u ook de collegeverklaring en de waarmerking?
- Hoe ziet de communicatie er tijdens het auditproces uit?
- Wat gebeurt er als wij een bevinding krijgen, hoe verloopt het vervolgtraject?
De antwoorden op deze vragen geven je niet alleen inzicht in de kwaliteit van de auditor, maar ook in hoe prettig de samenwerking waarschijnlijk zal verlopen. Een goede auditor beantwoordt deze vragen helder en zonder omhaal.
Hoe BKBO B.V. helpt bij het aanvragen van een ENSIA-audit
Wij begeleiden gemeenten door het hele ENSIA-proces, van de eerste voorbereiding tot en met de afronding van de audit. Onze aanpak is praktisch en gericht op ontzorging, zodat jij als gemeente weet wat er van je wordt verwacht en wanneer.
Wat wij bieden:
- Vaste prijzen inclusief een eventuele heraudit, zodat je nooit voor verrassingen staat
- Begeleiding bij het aanleveren van bewijsstukken en duidelijke terugkoppeling gedurende het proces
- Uitvoering door gecertificeerde register-IT-auditors met ruime ervaring bij gemeenten
- Verzorging van zowel de auditwerkzaamheden als de collegeverklaring en de waarmerking
- Meer dan 2.500 audits uitgevoerd, waaronder voor veel Nederlandse gemeenten
Wil je weten wat een ENSIA-audit voor jouw gemeente kost en hoe wij te werk gaan? Neem dan contact met ons op voor een vrijblijvende offerte.
Als gemeente een offerte aanvragen voor een ENSIA-audit doe je door eerst intern je zaken op orde te brengen, daarna gecertificeerde auditors te benaderen met een concrete offerteaanvraag, en vervolgens de ontvangen offertes te vergelijken op prijs, werkwijze en ervaring. Het hele proces verloopt het soepelst als je ruim voor de deadline van 1 mei begint, bij voorkeur al in het najaar van het voorgaande jaar. In dit artikel beantwoorden we de meest gestelde vragen over het aanvragen van een ENSIA-assessment, zodat je goed voorbereid de markt op gaat.
Wat moet een gemeente regelen vóór ze offertes opvraagt?
Voordat je als gemeente offertes opvraagt voor een ENSIA-audit, is het verstandig om intern een aantal zaken helder te hebben. Denk aan wie de ENSIA-coördinator is, welke systemen en koppelingen in scope vallen, en of er SaaS-leveranciers betrokken zijn waarvoor een Third Party Mededeling (TPM) nodig is. Zonder die basisinformatie kun je geen goede offerteaanvraag opstellen.
Zorg dat je de volgende punten intern hebt uitgezocht voordat je de markt op gaat:
- Wie is verantwoordelijk voor de ENSIA-coördinatie binnen de gemeente?
- Welke DigiD-aansluitingen heeft de gemeente en zijn er SaaS-leveranciers betrokken?
- Zijn er TPM-rapporten beschikbaar van relevante leveranciers?
- Wat was de uitkomst van de vorige ENSIA-audit en zijn er openstaande bevindingen?
- Wat is het gewenste tijdpad en wanneer moeten de resultaten beschikbaar zijn?
Als er SaaS-oplossingen in gebruik zijn, is een TPM van de leverancier een belangrijk document. Op basis van zo’n TPM hoeft de auditor bij de gemeente zelf alleen een beperkte controle uit te voeren op een specifiek aantal relevante normen. Dat scheelt tijd en kosten, maar dan moet de TPM wel beschikbaar zijn. Regel dit dus tijdig bij je leveranciers.
Waar vind je gecertificeerde ENSIA-auditors?
Gecertificeerde ENSIA-auditors zijn register-IT-auditors die voldoen aan de eisen die Logius stelt aan de uitvoering van de DigiD-audit en het ENSIA-verantwoordingsproces. Je vindt hen via de beroepsvereniging NOREA, via aanbestedingsplatforms zoals TenderNed, of via directe verwijzingen van andere gemeenten.
Let bij het zoeken op de volgende kwalificaties:
- De auditor is ingeschreven als register-IT-auditor (RE) bij NOREA
- De auditor heeft aantoonbare ervaring met gemeenten en het ENSIA-proces
- Het auditbureau is bekend met de Baseline Informatiebeveiliging Overheid (BIO)
- Er is ervaring met zowel de auditwerkzaamheden als de collegeverklaring en de waarmerking
Vraag bij twijfel altijd naar referenties van vergelijkbare gemeenten. Ervaring met de gemeentelijke praktijk maakt een groot verschil in hoe soepel het proces verloopt.
Wat zet je in een offerteaanvraag voor een ENSIA-audit?
Een goede offerteaanvraag voor een ENSIA-audit bevat voldoende informatie zodat de auditor een realistische en vergelijkbare offerte kan opstellen. Hoe concreter je aanvraag, hoe beter je de ontvangen offertes naast elkaar kunt leggen.
Neem in ieder geval de volgende onderdelen op in je aanvraag:
- Omvang van de audit: hoeveel DigiD-aansluitingen, welke systemen, zijn er SaaS-leveranciers met of zonder TPM?
- Gewenste scope: gaat het alleen om de auditwerkzaamheden, of ook om de collegeverklaring en de waarmerking?
- Tijdpad: wanneer moet de audit afgerond zijn en wanneer wil je starten?
- Eerdere bevindingen: zijn er openstaande punten uit de vorige audit die relevant zijn voor de scope?
- Verwachtingen rondom communicatie: hoe wil je gedurende het proces worden geïnformeerd?
- Prijsstructuur: vraag expliciet of de prijs inclusief een eventuele heraudit is.
Dat laatste punt is belangrijk. Niet alle auditbureaus hanteren dezelfde aanpak bij een heraudit. Vraag hier altijd expliciet naar, zodat je niet voor verrassingen komt te staan als de audit niet direct voldoende scoort.
Hoe vergelijk je offertes van verschillende ENSIA-auditors?
Bij het vergelijken van offertes voor een ENSIA-audit kijk je niet alleen naar de prijs, maar ook naar wat er precies in de prijs is inbegrepen, hoe de auditor werkt en hoeveel ervaring het bureau heeft met gemeenten. Een lage prijs kan duurder uitvallen als de begeleiding minimaal is of een heraudit extra kost.
Vergelijk offertes op deze punten:
- Prijs inclusief of exclusief heraudit: sommige bureaus rekenen extra kosten voor een heraudit, andere niet
- Scope van de werkzaamheden: zijn de collegeverklaring en de waarmerking inbegrepen?
- Werkwijze en begeleiding: hoe ondersteunt de auditor bij het aanleveren van bewijsstukken?
- Ervaring met gemeenten: hoeveel ENSIA-audits heeft het bureau uitgevoerd?
- Communicatie tijdens het proces: hoe en wanneer krijg je terugkoppeling?
Let ook op de transparantie van de offerte zelf. Een goede auditor legt helder uit wat er wordt getoetst, wat er van de gemeente wordt verwacht en hoe het proces eruitziet. Dat geeft vertrouwen voor de samenwerking.
Wanneer is het te laat om een ENSIA-auditor in te schakelen?
De deadline voor de ENSIA-audit is 1 mei. Wacht je tot het voorjaar met het inschakelen van een auditor, dan loop je het risico dat er geen capaciteit meer beschikbaar is of dat de voorbereiding te krap wordt. De meeste gemeenten starten het proces het best in het najaar, zodat er voldoende tijd is voor voorbereiding, bewijsverzameling en de daadwerkelijke audit.
Een realistisch tijdpad ziet er zo uit: in het najaar selecteer je een auditor en sluit je een overeenkomst, in het eerste kwartaal van het nieuwe jaar start je met de voorbereiding en het aanleveren van bewijsstukken, en voor 1 mei moet de audit zijn afgerond en ingediend.
Gemeenten die te laat beginnen, merken dat de druk op de organisatie toeneemt, bewijsstukken haastig worden samengesteld en de kans op bevindingen groter wordt. Vroeg starten is niet alleen rustiger, het levert ook betere resultaten op.
Wat kost een ENSIA-audit gemiddeld voor een gemeente?
De kosten van een ENSIA-audit voor een gemeente variëren en zijn afhankelijk van de omvang van de gemeente, het aantal DigiD-aansluitingen, de beschikbaarheid van TPM-rapporten van leveranciers en of de collegeverklaring en waarmerking ook zijn inbegrepen. Een eenduidige gemiddelde prijs is daarom moeilijk te geven zonder de specifieke situatie te kennen.
Wat wel duidelijk is: een TPM van een SaaS-leverancier kan de auditinspanning bij de gemeente aanzienlijk verminderen. Andere IT-auditors kunnen op basis van zo’n TPM vertrouwen op het al uitgevoerde onderzoek bij de leverancier, waardoor zij bij de gemeente zelf alleen een beperkte controle hoeven uit te voeren. Dat heeft direct invloed op de prijs.
Vraag bij het opvragen van offertes altijd om een vaste prijs, inclusief een eventuele heraudit. Zo weet je vooraf waar je aan toe bent en kom je niet voor onverwachte kosten te staan als de audit niet in één keer voldoende scoort.
Welke vragen kun je een ENSIA-auditor stellen voor je tekent?
Voordat je een overeenkomst tekent met een ENSIA-auditor, is het verstandig om een aantal gerichte vragen te stellen. Zo krijg je een goed beeld van de werkwijze, de ervaring en de voorwaarden, en voorkom je verrassingen tijdens het proces.
Stel in ieder geval deze vragen:
- Hoeveel ENSIA-audits heeft u de afgelopen jaren uitgevoerd voor gemeenten?
- Is een eventuele heraudit inbegrepen in de prijs?
- Hoe begeleidt u ons bij het aanleveren van bewijsstukken?
- Wat zijn uw ervaringen met SaaS-leveranciers en TPM-rapporten?
- Verzorgt u ook de collegeverklaring en de waarmerking?
- Hoe ziet de communicatie er tijdens het auditproces uit?
- Wat gebeurt er als wij een bevinding krijgen, hoe verloopt het vervolgtraject?
De antwoorden op deze vragen geven je niet alleen inzicht in de kwaliteit van de auditor, maar ook in hoe prettig de samenwerking waarschijnlijk zal verlopen. Een goede auditor beantwoordt deze vragen helder en zonder omhaal.
Hoe BKBO B.V. helpt bij het aanvragen van een ENSIA-audit
Wij begeleiden gemeenten door het hele ENSIA-proces, van de eerste voorbereiding tot en met de afronding van de audit. Onze aanpak is praktisch en gericht op ontzorging, zodat jij als gemeente weet wat er van je wordt verwacht en wanneer.
Wat wij bieden:
- Vaste prijzen inclusief een eventuele heraudit, zodat je nooit voor verrassingen staat
- Begeleiding bij het aanleveren van bewijsstukken en duidelijke terugkoppeling gedurende het proces
- Uitvoering door gecertificeerde register-IT-auditors met ruime ervaring bij gemeenten
- Verzorging van zowel de auditwerkzaamheden als de collegeverklaring en de waarmerking
- Meer dan 2.500 audits uitgevoerd, waaronder voor veel Nederlandse gemeenten
Wil je weten wat een ENSIA-audit voor jouw gemeente kost en hoe wij te werk gaan? Neem dan contact met ons op voor een vrijblijvende offerte.