Hoe organiseer je ENSIA binnen een gemeentelijk samenwerkingsverband?
ENSIA organiseren binnen een gemeentelijk samenwerkingsverband vraagt om heldere afspraken over verantwoordelijkheden, bewijslast en audit scope, zeker wanneer meerdere gemeenten dezelfde IT-voorzieningen delen. Elke gemeente blijft zelf eindverantwoordelijk voor haar eigen ENSIA-audit, ook als taken zijn belegd bij een shared service center of een gemeenschappelijke regeling. In dit artikel beantwoorden we de meest gestelde vragen over ENSIA in samenwerkingsverbanden, zodat je goed voorbereid de audit ingaat.
Wie is verantwoordelijk voor ENSIA binnen een samenwerkingsverband?
Elke individuele gemeente is en blijft zelf eindverantwoordelijk voor haar ENSIA-audit, ook als zij deelneemt in een samenwerkingsverband. Een gemeenschappelijke regeling of shared service center kan taken uitvoeren, maar neemt de formele verantwoordelijkheid nooit over. De ENSIA-coördinator binnen elke deelnemende gemeente is het centrale aanspreekpunt voor de eigen verantwoording.
Dit onderscheid is in de praktijk een veelvoorkomende bron van verwarring. Gemeenten gaan er soms van uit dat de uitvoerende partij, zoals een regionaal ICT-samenwerkingsverband, ook de verantwoording regelt. Dat is niet het geval. De zelfevaluatie, de collegeverklaring en de waarmerking zijn altijd gemeentespecifiek en moeten door of namens de gemeente zelf worden ingevuld en ondertekend.
De ENSIA-coördinator speelt hierin een sleutelrol. Die persoon zorgt ervoor dat de juiste informatie vanuit alle betrokken afdelingen en externe partijen tijdig beschikbaar is, en dat de zelfevaluatielijst volledig en correct wordt ingevuld. In een samenwerkingsverband betekent dit ook dat de coördinator actief contact onderhoudt met de uitvoerende organisatie om bewijsstukken op te halen.
Hoe verdeel je bewijslast tussen gemeenten en een shared service center?
De bewijslast bij een ENSIA-audit is verdeeld op basis van wie welke maatregel feitelijk uitvoert. Een shared service center dat technische beheertaken uitvoert, levert de bijbehorende bewijsstukken aan. De gemeente is verantwoordelijk voor de maatregelen die zij zelf beheert, zoals beleid, autorisatiebeheer en fysieke beveiliging op de eigen locatie.
In de praktijk werkt dit het beste als je vooraf een duidelijke taakverdeling vastlegt. Denk aan de volgende verdeling:
- Shared service center: technisch beheer, patchmanagement, logging, netwerkbeveiliging, back-upprocedures
- Gemeente zelf: beleid en procedures, autorisatiebeheer voor eigen medewerkers, fysieke toegangsbeveiliging, bewustwording en training
- Gezamenlijk: incidentbeheer, continuïteitsplanning, contractbeheer met leveranciers
Het ENSIA-assessment is assertion based: de auditor steunt zoveel mogelijk op het bewijsmateriaal dat de gemeente zelf aanlevert. Hoe beter de bewijslast vooraf is georganiseerd en gedocumenteerd, hoe soepeler het auditproces verloopt. Zorg er daarom voor dat het shared service center weet welke bewijsstukken verwacht worden en wanneer die aangeleverd moeten zijn.
Welke afspraken moet je vastleggen vóór de ENSIA-audit begint?
Vóór de start van de ENSIA-audit moeten gemeenten en hun samenwerkingspartners concrete afspraken vastleggen over wie welke bewijsstukken aanlevert, wie de zelfevaluatie invult en wie eindverantwoordelijk is voor de tijdige oplevering. Zonder deze afspraken ontstaan er vlak voor de deadline van 1 mei onnodige knelpunten.
Leg de volgende zaken schriftelijk vast, bij voorkeur in een samenwerkingsovereenkomst of dienstverleningsovereenkomst:
- Welke gemeente of organisatie welke maatregelen beheert en de bijbehorende bewijsstukken aanlevert
- De interne contactpersonen per gemeente en bij het shared service center
- De planning voor het aanleveren van bewijsmateriaal, ruim vóór de auditdatum
- De procedure voor het opvolgen van bevindingen na de audit
- Wie de collegeverklaring ondertekent en wie de waarmerking verzorgt
Goede afspraken vooraf voorkomen dat de ENSIA-coördinator vlak voor de deadline achter bewijsstukken aan moet jagen. Structurele borging gedurende het jaar, in plaats van een jaarlijkse sprint richting 1 mei, maakt het proces voor alle betrokken partijen beheersbaar.
Hoe werkt de audit scope als meerdere gemeenten dezelfde IT-voorziening gebruiken?
Als meerdere gemeenten dezelfde IT-voorziening gebruiken, wordt de audit scope per gemeente bepaald op basis van haar eigen aansluitingen en de maatregelen waarvoor zij verantwoordelijk is. De gedeelde voorziening zelf kan één keer worden beoordeeld, maar elke gemeente moet aantonen dat zij haar eigen verantwoordelijkheden invult.
Dit betekent in de praktijk dat een shared service center documentatie aanlevert over de gedeelde infrastructuur, en dat elke deelnemende gemeente aanvullend bewijs levert over haar eigen gebruik en beheer. De auditor beoordeelt per gemeente of de maatregelen aantoonbaar zijn ingericht, ook als de technische uitvoering elders ligt.
Het is verstandig om met de auditor vooraf te bespreken hoe de scope is afgebakend en welke bewijsstukken vanuit de gedeelde voorziening worden geaccepteerd. Zo voorkom je dat dezelfde informatie meerdere keren op verschillende manieren moet worden aangeleverd.
Wat zijn veelgemaakte fouten bij ENSIA in samenwerkingsverbanden?
De meest gemaakte fouten bij ENSIA in samenwerkingsverbanden zijn onduidelijke verantwoordelijkheden, te laat beginnen met de voorbereiding en onvolledig bewijsmateriaal doordat afspraken met de uitvoerende partij niet concreet genoeg zijn vastgelegd.
Andere veelvoorkomende knelpunten zijn:
- Ervan uitgaan dat het shared service center de ENSIA-verantwoording regelt, terwijl de gemeente zelf eindverantwoordelijk blijft
- Geen duidelijke interne eigenaar aanwijzen voor de ENSIA-coördinatie
- Bewijsstukken pas opvragen als de audit al is gestart
- Geen afspraken maken over de opvolging van bevindingen na de audit
- Informatie die verspreid is over meerdere afdelingen en partijen, zonder centrale regie
Deze fouten zijn goed te voorkomen door ENSIA niet te behandelen als een jaarlijkse eenmalige actie, maar als een doorlopend proces dat is ingebed in de Planning- en Controlcyclus van de gemeente.
Wanneer is een gezamenlijke ENSIA-aanpak slim en wanneer niet?
Een gezamenlijke aanpak is slim wanneer meerdere gemeenten dezelfde IT-voorzieningen, processen of leveranciers delen en de coördinatie van bewijslast efficiënter kan verlopen via één centraal punt. Het is minder geschikt wanneer gemeenten sterk van elkaar verschillen in organisatie, beleid of systemen, omdat de audit scope dan toch per gemeente afzonderlijk moet worden ingevuld.
Een gezamenlijke aanpak biedt voordelen als er sprake is van een gedeeld ICT-platform, een gezamenlijke CISO of een regionale informatieveiligheidsorganisatie. In dat geval kunnen bewijsstukken efficiënter worden verzameld en gedeeld, en hoeft niet elke gemeente het wiel opnieuw uit te vinden.
Maar ook bij een gezamenlijke aanpak geldt: elke gemeente tekent haar eigen collegeverklaring en is zelf verantwoordelijk voor haar eigen zelfevaluatie. Een gezamenlijke aanpak vervangt de individuele verantwoording dus nooit, maar kan de voorbereiding en uitvoering aanzienlijk vereenvoudigen als de samenwerking goed is georganiseerd.
Hoe BKBO B.V. helpt bij ENSIA in samenwerkingsverbanden
Wij voeren al meer dan 2.500 audits uit en werken dagelijks met gemeenten die te maken hebben met precies de uitdagingen die in dit artikel worden beschreven. Onze aanpak is praktisch en gericht op duidelijkheid, ook wanneer meerdere gemeenten of uitvoerende partijen betrokken zijn bij het ENSIA-proces.
Wat wij bieden:
- Een vaste contactpersoon voor elke gemeente, met korte communicatielijnen
- Duidelijke terugkoppeling over welke bewijsstukken ontbreken of onvoldoende zijn
- Begeleiding bij de zelfevaluatie, de collegeverklaring en de waarmerking
- Een transparante vaste prijs, inclusief een eventuele heraudit die bij ons gratis is
- Garantie dat de planning richting de deadline van 1 mei wordt gehaald
Wil je weten wat wij voor jouw gemeente of samenwerkingsverband kunnen betekenen? Neem dan contact op via onze contactpagina voor een vrijblijvende offerte.
ENSIA organiseren binnen een gemeentelijk samenwerkingsverband vraagt om heldere afspraken over verantwoordelijkheden, bewijslast en audit scope, zeker wanneer meerdere gemeenten dezelfde IT-voorzieningen delen. Elke gemeente blijft zelf eindverantwoordelijk voor haar eigen ENSIA-audit, ook als taken zijn belegd bij een shared service center of een gemeenschappelijke regeling. In dit artikel beantwoorden we de meest gestelde vragen over ENSIA in samenwerkingsverbanden, zodat je goed voorbereid de audit ingaat.
Wie is verantwoordelijk voor ENSIA binnen een samenwerkingsverband?
Elke individuele gemeente is en blijft zelf eindverantwoordelijk voor haar ENSIA-audit, ook als zij deelneemt in een samenwerkingsverband. Een gemeenschappelijke regeling of shared service center kan taken uitvoeren, maar neemt de formele verantwoordelijkheid nooit over. De ENSIA-coördinator binnen elke deelnemende gemeente is het centrale aanspreekpunt voor de eigen verantwoording.
Dit onderscheid is in de praktijk een veelvoorkomende bron van verwarring. Gemeenten gaan er soms van uit dat de uitvoerende partij, zoals een regionaal ICT-samenwerkingsverband, ook de verantwoording regelt. Dat is niet het geval. De zelfevaluatie, de collegeverklaring en de waarmerking zijn altijd gemeentespecifiek en moeten door of namens de gemeente zelf worden ingevuld en ondertekend.
De ENSIA-coördinator speelt hierin een sleutelrol. Die persoon zorgt ervoor dat de juiste informatie vanuit alle betrokken afdelingen en externe partijen tijdig beschikbaar is, en dat de zelfevaluatielijst volledig en correct wordt ingevuld. In een samenwerkingsverband betekent dit ook dat de coördinator actief contact onderhoudt met de uitvoerende organisatie om bewijsstukken op te halen.
Hoe verdeel je bewijslast tussen gemeenten en een shared service center?
De bewijslast bij een ENSIA-audit is verdeeld op basis van wie welke maatregel feitelijk uitvoert. Een shared service center dat technische beheertaken uitvoert, levert de bijbehorende bewijsstukken aan. De gemeente is verantwoordelijk voor de maatregelen die zij zelf beheert, zoals beleid, autorisatiebeheer en fysieke beveiliging op de eigen locatie.
In de praktijk werkt dit het beste als je vooraf een duidelijke taakverdeling vastlegt. Denk aan de volgende verdeling:
- Shared service center: technisch beheer, patchmanagement, logging, netwerkbeveiliging, back-upprocedures
- Gemeente zelf: beleid en procedures, autorisatiebeheer voor eigen medewerkers, fysieke toegangsbeveiliging, bewustwording en training
- Gezamenlijk: incidentbeheer, continuïteitsplanning, contractbeheer met leveranciers
Het ENSIA-assessment is assertion based: de auditor steunt zoveel mogelijk op het bewijsmateriaal dat de gemeente zelf aanlevert. Hoe beter de bewijslast vooraf is georganiseerd en gedocumenteerd, hoe soepeler het auditproces verloopt. Zorg er daarom voor dat het shared service center weet welke bewijsstukken verwacht worden en wanneer die aangeleverd moeten zijn.
Welke afspraken moet je vastleggen vóór de ENSIA-audit begint?
Vóór de start van de ENSIA-audit moeten gemeenten en hun samenwerkingspartners concrete afspraken vastleggen over wie welke bewijsstukken aanlevert, wie de zelfevaluatie invult en wie eindverantwoordelijk is voor de tijdige oplevering. Zonder deze afspraken ontstaan er vlak voor de deadline van 1 mei onnodige knelpunten.
Leg de volgende zaken schriftelijk vast, bij voorkeur in een samenwerkingsovereenkomst of dienstverleningsovereenkomst:
- Welke gemeente of organisatie welke maatregelen beheert en de bijbehorende bewijsstukken aanlevert
- De interne contactpersonen per gemeente en bij het shared service center
- De planning voor het aanleveren van bewijsmateriaal, ruim vóór de auditdatum
- De procedure voor het opvolgen van bevindingen na de audit
- Wie de collegeverklaring ondertekent en wie de waarmerking verzorgt
Goede afspraken vooraf voorkomen dat de ENSIA-coördinator vlak voor de deadline achter bewijsstukken aan moet jagen. Structurele borging gedurende het jaar, in plaats van een jaarlijkse sprint richting 1 mei, maakt het proces voor alle betrokken partijen beheersbaar.
Hoe werkt de audit scope als meerdere gemeenten dezelfde IT-voorziening gebruiken?
Als meerdere gemeenten dezelfde IT-voorziening gebruiken, wordt de audit scope per gemeente bepaald op basis van haar eigen aansluitingen en de maatregelen waarvoor zij verantwoordelijk is. De gedeelde voorziening zelf kan één keer worden beoordeeld, maar elke gemeente moet aantonen dat zij haar eigen verantwoordelijkheden invult.
Dit betekent in de praktijk dat een shared service center documentatie aanlevert over de gedeelde infrastructuur, en dat elke deelnemende gemeente aanvullend bewijs levert over haar eigen gebruik en beheer. De auditor beoordeelt per gemeente of de maatregelen aantoonbaar zijn ingericht, ook als de technische uitvoering elders ligt.
Het is verstandig om met de auditor vooraf te bespreken hoe de scope is afgebakend en welke bewijsstukken vanuit de gedeelde voorziening worden geaccepteerd. Zo voorkom je dat dezelfde informatie meerdere keren op verschillende manieren moet worden aangeleverd.
Wat zijn veelgemaakte fouten bij ENSIA in samenwerkingsverbanden?
De meest gemaakte fouten bij ENSIA in samenwerkingsverbanden zijn onduidelijke verantwoordelijkheden, te laat beginnen met de voorbereiding en onvolledig bewijsmateriaal doordat afspraken met de uitvoerende partij niet concreet genoeg zijn vastgelegd.
Andere veelvoorkomende knelpunten zijn:
- Ervan uitgaan dat het shared service center de ENSIA-verantwoording regelt, terwijl de gemeente zelf eindverantwoordelijk blijft
- Geen duidelijke interne eigenaar aanwijzen voor de ENSIA-coördinatie
- Bewijsstukken pas opvragen als de audit al is gestart
- Geen afspraken maken over de opvolging van bevindingen na de audit
- Informatie die verspreid is over meerdere afdelingen en partijen, zonder centrale regie
Deze fouten zijn goed te voorkomen door ENSIA niet te behandelen als een jaarlijkse eenmalige actie, maar als een doorlopend proces dat is ingebed in de Planning- en Controlcyclus van de gemeente.
Wanneer is een gezamenlijke ENSIA-aanpak slim en wanneer niet?
Een gezamenlijke aanpak is slim wanneer meerdere gemeenten dezelfde IT-voorzieningen, processen of leveranciers delen en de coördinatie van bewijslast efficiënter kan verlopen via één centraal punt. Het is minder geschikt wanneer gemeenten sterk van elkaar verschillen in organisatie, beleid of systemen, omdat de audit scope dan toch per gemeente afzonderlijk moet worden ingevuld.
Een gezamenlijke aanpak biedt voordelen als er sprake is van een gedeeld ICT-platform, een gezamenlijke CISO of een regionale informatieveiligheidsorganisatie. In dat geval kunnen bewijsstukken efficiënter worden verzameld en gedeeld, en hoeft niet elke gemeente het wiel opnieuw uit te vinden.
Maar ook bij een gezamenlijke aanpak geldt: elke gemeente tekent haar eigen collegeverklaring en is zelf verantwoordelijk voor haar eigen zelfevaluatie. Een gezamenlijke aanpak vervangt de individuele verantwoording dus nooit, maar kan de voorbereiding en uitvoering aanzienlijk vereenvoudigen als de samenwerking goed is georganiseerd.
Hoe BKBO B.V. helpt bij ENSIA in samenwerkingsverbanden
Wij voeren al meer dan 2.500 audits uit en werken dagelijks met gemeenten die te maken hebben met precies de uitdagingen die in dit artikel worden beschreven. Onze aanpak is praktisch en gericht op duidelijkheid, ook wanneer meerdere gemeenten of uitvoerende partijen betrokken zijn bij het ENSIA-proces.
Wat wij bieden:
- Een vaste contactpersoon voor elke gemeente, met korte communicatielijnen
- Duidelijke terugkoppeling over welke bewijsstukken ontbreken of onvoldoende zijn
- Begeleiding bij de zelfevaluatie, de collegeverklaring en de waarmerking
- Een transparante vaste prijs, inclusief een eventuele heraudit die bij ons gratis is
- Garantie dat de planning richting de deadline van 1 mei wordt gehaald
Wil je weten wat wij voor jouw gemeente of samenwerkingsverband kunnen betekenen? Neem dan contact op via onze contactpagina voor een vrijblijvende offerte.