Hoe bereid je je als gemeente voor op een ENSIA-audit?
Als gemeente begin je het beste zo vroeg mogelijk met de voorbereiding op een ENSIA-audit, bij voorkeur al aan het begin van het jaar. Een goede voorbereiding betekent dat je gedurende het hele jaar werkt aan informatiebeveiliging, bewijslast verzamelt en verantwoordelijkheden belegt, zodat je niet vlak voor de deadline van 1 mei in de problemen komt. In dit artikel beantwoorden we de meest gestelde vragen over het ENSIA-assessment, van de rol van de ENSIA-coördinator tot wat er gebeurt als er bevindingen zijn.
Wat controleert een auditor precies tijdens een ENSIA-assessment?
Tijdens een ENSIA-assessment beoordeelt een auditor in hoeverre een gemeente voldoet aan de Baseline Informatiebeveiliging Overheid (BIO) en aanverwante normen. De audit richt zich op de opzet, het bestaan en de werking van beveiligingsmaatregelen, en omvat ook de verantwoording over DigiD-aansluitingen en andere systemen die persoonsgegevens verwerken.
Concreet kijkt de auditor naar onderwerpen zoals toegangsbeheer, patchmanagement, logging en monitoring, incidentbeheer en de beveiliging van netwerken en systemen. Daarbij wordt niet alleen gekeken of beleid op papier bestaat, maar ook of het daadwerkelijk wordt nageleefd en geborgd in de organisatie.
Een belangrijk onderdeel van de ENSIA-audit is de collegeverklaring. Hierin legt het college van burgemeester en wethouders verantwoording af over de informatiebeveiliging. De auditor controleert of deze verklaring correct en volledig is, en voorziet deze van een waarmerking. Dit zijn twee afzonderlijke onderdelen naast de eigenlijke auditwerkzaamheden.
Wanneer een gemeente gebruikmaakt van een SaaS-oplossing van een externe leverancier, is een Third Party Mededeling (TPM) van die leverancier nodig. Op basis van zo’n TPM hoeft de auditor bij de gemeente zelf alleen een beperkte controle uit te voeren op een specifiek aantal relevante normen. Dit vermindert de totale auditinspanning aanzienlijk, omdat andere IT-auditors kunnen vertrouwen op het al uitgevoerde onderzoek bij de leverancier.
Wanneer moet een gemeente beginnen met de ENSIA-voorbereiding?
Een gemeente doet er verstandig aan om de ENSIA-voorbereiding aan het begin van het kalenderjaar te starten, dus ruim voor de deadline van 1 mei. Wie pas in maart of april begint, loopt het risico dat bewijsstukken ontbreken of dat maatregelen niet aantoonbaar zijn geborgd over een voldoende lange periode.
ENSIA is geen eenmalige exercitie vlak voor de audit, maar een doorlopend proces dat aansluit op de Planning-en-Controlcyclus van de gemeente. Dat betekent dat informatiebeveiliging het hele jaar door aandacht verdient. Denk aan het bijhouden van logbestanden, het tijdig uitvoeren van risicoanalyses en het documenteren van wijzigingen in systemen en processen.
Een praktische aanpak is om aan het begin van het jaar een planning op te stellen met duidelijke mijlpalen, zodat alle betrokkenen weten wanneer welke bewijsstukken aangeleverd moeten worden. Zo voorkom je een last-minute sprint die ten koste gaat van de kwaliteit van de bewijslast.
Wie is verantwoordelijk voor welk onderdeel van de ENSIA-audit?
Bij een ENSIA-audit zijn meerdere rollen binnen de gemeente betrokken, elk met een eigen verantwoordelijkheid. De ENSIA-coördinator is de centrale spil: hij of zij bewaakt de voortgang, coördineert de aanlevering van bewijsstukken en is het aanspreekpunt voor de auditor.
Naast de ENSIA-coördinator spelen ook de volgende rollen een belangrijke rol:
- CISO: verantwoordelijk voor het informatiebeveiligingsbeleid en de risicobeheersing binnen de gemeente
- Informatiemanager: bewaakt de kwaliteit en volledigheid van informatiebeheer
- Privacyfunctionaris (FG): betrokken bij de privacyaspecten van de verantwoording
- IT-afdeling en functioneel beheer: leveren technische bewijsstukken aan, zoals configuratierapporten en logbestanden
- College van B en W: ondertekent de collegeverklaring en draagt eindverantwoordelijkheid
Duidelijke taakverdeling en goede interne samenwerking zijn essentieel. Onduidelijkheid over wie waarvoor verantwoordelijk is, leidt in de praktijk vaak tot vertraging en ontbrekende bewijsstukken.
Welke bewijsstukken worden het vaakst gemist bij een ENSIA-audit?
De meest voorkomende hiaten in de ENSIA-bewijslast hebben te maken met bewijsstukken die aantonen dat maatregelen niet alleen zijn ingericht, maar ook daadwerkelijk werken over een langere periode. Technische documentatie is er vaak wel, maar bewijs van structurele naleving ontbreekt regelmatig.
Bewijsstukken die gemeenten het vaakst missen of onvolledig aanleveren:
- Logbestanden en rapportages over toegangsbeheer en autorisaties
- Aantoonbare opvolging van eerdere bevindingen uit voorgaande audits
- Actuele risicoanalyses en bijbehorende behandelplannen
- Documentatie van patchmanagement over het afgelopen jaar
- TPM’s van SaaS-leveranciers die persoonsgegevens verwerken
- Bewijs van bewustwordingsactiviteiten rondom informatiebeveiliging
Door deze categorieën al vroeg in het jaar te inventariseren en te beleggen bij de juiste personen, voorkom je dat je vlak voor de audit achter de feiten aanloopt.
Hoe verloopt een ENSIA-audit in de praktijk stap voor stap?
Een ENSIA-audit volgt een vaste structuur, van de eerste intake tot de afgifte van de waarmerking. Hoewel de precieze invulling per auditor kan verschillen, zijn de stappen in grote lijnen vergelijkbaar voor alle gemeenten.
Het proces verloopt doorgaans als volgt:
- Intake en planning: de auditor bespreekt de scope, de planning en de verwachtingen met de ENSIA-coördinator
- Aanlevering bewijsstukken: de gemeente verzamelt en uploadt de gevraagde documentatie
- Beoordeling: de auditor beoordeelt de bewijsstukken en stelt eventuele aanvullende vragen
- Terugkoppeling: de auditor geeft feedback over ontbrekende of onvoldoende bewijsstukken
- Rapportage: de auditor stelt het auditrapport op met bevindingen en conclusies
- Collegeverklaring en waarmerking: het college ondertekent de verklaring, de auditor voorziet deze van een waarmerking
- Indiening bij Logius: de gemeente dient de rapportage in, uiterlijk 1 mei
De gemeente blijft gedurende het hele proces eindverantwoordelijk voor de aangeleverde informatie en de communicatie met Logius.
Wat gebeurt er als de auditor bevindingen constateert?
Als de auditor tijdens een ENSIA-audit bevindingen constateert, worden deze opgenomen in het auditrapport met een toelichting op de aard en ernst van de tekortkoming. De gemeente krijgt de gelegenheid om op de bevindingen te reageren voordat het rapport definitief wordt vastgesteld.
Bevindingen variëren in ernst. Sommige zijn relatief klein en kunnen snel worden opgelost, andere wijzen op structurele tekortkomingen in de informatiebeveiliging. In het rapport worden concrete aanbevelingen opgenomen die de gemeente helpen om de situatie te verbeteren.
Het is belangrijk om bevindingen serieus te nemen en de opvolging goed te documenteren. Logius beoordeelt de ingediende rapportages individueel en bepaalt op basis van de ernst van de bevindingen of vervolgstappen nodig zijn.
Hoe voorkom je een heraudit bij de ENSIA?
Een heraudit bij de ENSIA wordt opgelegd wanneer Logius van oordeel is dat de bevindingen ernstig genoeg zijn om aanvullend onderzoek te rechtvaardigen. De termijn voor een heraudit verschilt per situatie en wordt door Logius per geval bepaald, afhankelijk van de aard en ernst van de tekortkomingen.
De beste manier om een heraudit te voorkomen is een grondige voorbereiding gedurende het hele jaar. Dat betekent concreet:
- Bevindingen uit voorgaande audits tijdig opvolgen en aantoonbaar oplossen
- Bewijslast continu bijhouden in plaats van vlak voor de deadline verzamelen
- Verantwoordelijkheden helder beleggen zodat niets tussen wal en schip valt
- De ENSIA-coördinator voldoende mandaat en tijd geven om het proces te coördineren
- Intern regelmatig de voortgang bespreken, zodat knelpunten vroeg worden gesignaleerd
Een heraudit is niet standaard jaarlijks en betekent ook niet automatisch verlies van certificering. Het is wel een extra inspanning die je liever voorkomt door het proces structureel goed in te richten.
Hoe wij gemeenten helpen met de ENSIA-audit
Wij begeleiden gemeenten door het volledige ENSIA-traject, van de eerste intake tot de afgifte van de waarmerking op de collegeverklaring. Onze gecertificeerde register-IT-auditors kennen de gemeentelijke praktijk en weten precies wat Logius verwacht. Dat maakt het proces voor jou overzichtelijk en beheersbaar.
Wat wij bieden:
- Een volledige ENSIA-audit inclusief beoordeling van de collegeverklaring en waarmerking
- Duidelijke terugkoppeling gedurende het proces, zodat je weet waar je aan toe bent
- Vaste prijzen zonder verrassingen achteraf
- Een gratis heraudit als dat nodig is, iets wat bij andere partijen niet standaard het geval is
- Meer dan 2.500 uitgevoerde audits, waarvan een groot deel voor gemeenten
Wil je weten wat wij voor jouw gemeente kunnen betekenen? Neem contact met ons op voor een vrijblijvende offerte.
Als gemeente begin je het beste zo vroeg mogelijk met de voorbereiding op een ENSIA-audit, bij voorkeur al aan het begin van het jaar. Een goede voorbereiding betekent dat je gedurende het hele jaar werkt aan informatiebeveiliging, bewijslast verzamelt en verantwoordelijkheden belegt, zodat je niet vlak voor de deadline van 1 mei in de problemen komt. In dit artikel beantwoorden we de meest gestelde vragen over het ENSIA-assessment, van de rol van de ENSIA-coördinator tot wat er gebeurt als er bevindingen zijn.
Wat controleert een auditor precies tijdens een ENSIA-assessment?
Tijdens een ENSIA-assessment beoordeelt een auditor in hoeverre een gemeente voldoet aan de Baseline Informatiebeveiliging Overheid (BIO) en aanverwante normen. De audit richt zich op de opzet, het bestaan en de werking van beveiligingsmaatregelen, en omvat ook de verantwoording over DigiD-aansluitingen en andere systemen die persoonsgegevens verwerken.
Concreet kijkt de auditor naar onderwerpen zoals toegangsbeheer, patchmanagement, logging en monitoring, incidentbeheer en de beveiliging van netwerken en systemen. Daarbij wordt niet alleen gekeken of beleid op papier bestaat, maar ook of het daadwerkelijk wordt nageleefd en geborgd in de organisatie.
Een belangrijk onderdeel van de ENSIA-audit is de collegeverklaring. Hierin legt het college van burgemeester en wethouders verantwoording af over de informatiebeveiliging. De auditor controleert of deze verklaring correct en volledig is, en voorziet deze van een waarmerking. Dit zijn twee afzonderlijke onderdelen naast de eigenlijke auditwerkzaamheden.
Wanneer een gemeente gebruikmaakt van een SaaS-oplossing van een externe leverancier, is een Third Party Mededeling (TPM) van die leverancier nodig. Op basis van zo’n TPM hoeft de auditor bij de gemeente zelf alleen een beperkte controle uit te voeren op een specifiek aantal relevante normen. Dit vermindert de totale auditinspanning aanzienlijk, omdat andere IT-auditors kunnen vertrouwen op het al uitgevoerde onderzoek bij de leverancier.
Wanneer moet een gemeente beginnen met de ENSIA-voorbereiding?
Een gemeente doet er verstandig aan om de ENSIA-voorbereiding aan het begin van het kalenderjaar te starten, dus ruim voor de deadline van 1 mei. Wie pas in maart of april begint, loopt het risico dat bewijsstukken ontbreken of dat maatregelen niet aantoonbaar zijn geborgd over een voldoende lange periode.
ENSIA is geen eenmalige exercitie vlak voor de audit, maar een doorlopend proces dat aansluit op de Planning-en-Controlcyclus van de gemeente. Dat betekent dat informatiebeveiliging het hele jaar door aandacht verdient. Denk aan het bijhouden van logbestanden, het tijdig uitvoeren van risicoanalyses en het documenteren van wijzigingen in systemen en processen.
Een praktische aanpak is om aan het begin van het jaar een planning op te stellen met duidelijke mijlpalen, zodat alle betrokkenen weten wanneer welke bewijsstukken aangeleverd moeten worden. Zo voorkom je een last-minute sprint die ten koste gaat van de kwaliteit van de bewijslast.
Wie is verantwoordelijk voor welk onderdeel van de ENSIA-audit?
Bij een ENSIA-audit zijn meerdere rollen binnen de gemeente betrokken, elk met een eigen verantwoordelijkheid. De ENSIA-coördinator is de centrale spil: hij of zij bewaakt de voortgang, coördineert de aanlevering van bewijsstukken en is het aanspreekpunt voor de auditor.
Naast de ENSIA-coördinator spelen ook de volgende rollen een belangrijke rol:
- CISO: verantwoordelijk voor het informatiebeveiligingsbeleid en de risicobeheersing binnen de gemeente
- Informatiemanager: bewaakt de kwaliteit en volledigheid van informatiebeheer
- Privacyfunctionaris (FG): betrokken bij de privacyaspecten van de verantwoording
- IT-afdeling en functioneel beheer: leveren technische bewijsstukken aan, zoals configuratierapporten en logbestanden
- College van B en W: ondertekent de collegeverklaring en draagt eindverantwoordelijkheid
Duidelijke taakverdeling en goede interne samenwerking zijn essentieel. Onduidelijkheid over wie waarvoor verantwoordelijk is, leidt in de praktijk vaak tot vertraging en ontbrekende bewijsstukken.
Welke bewijsstukken worden het vaakst gemist bij een ENSIA-audit?
De meest voorkomende hiaten in de ENSIA-bewijslast hebben te maken met bewijsstukken die aantonen dat maatregelen niet alleen zijn ingericht, maar ook daadwerkelijk werken over een langere periode. Technische documentatie is er vaak wel, maar bewijs van structurele naleving ontbreekt regelmatig.
Bewijsstukken die gemeenten het vaakst missen of onvolledig aanleveren:
- Logbestanden en rapportages over toegangsbeheer en autorisaties
- Aantoonbare opvolging van eerdere bevindingen uit voorgaande audits
- Actuele risicoanalyses en bijbehorende behandelplannen
- Documentatie van patchmanagement over het afgelopen jaar
- TPM’s van SaaS-leveranciers die persoonsgegevens verwerken
- Bewijs van bewustwordingsactiviteiten rondom informatiebeveiliging
Door deze categorieën al vroeg in het jaar te inventariseren en te beleggen bij de juiste personen, voorkom je dat je vlak voor de audit achter de feiten aanloopt.
Hoe verloopt een ENSIA-audit in de praktijk stap voor stap?
Een ENSIA-audit volgt een vaste structuur, van de eerste intake tot de afgifte van de waarmerking. Hoewel de precieze invulling per auditor kan verschillen, zijn de stappen in grote lijnen vergelijkbaar voor alle gemeenten.
Het proces verloopt doorgaans als volgt:
- Intake en planning: de auditor bespreekt de scope, de planning en de verwachtingen met de ENSIA-coördinator
- Aanlevering bewijsstukken: de gemeente verzamelt en uploadt de gevraagde documentatie
- Beoordeling: de auditor beoordeelt de bewijsstukken en stelt eventuele aanvullende vragen
- Terugkoppeling: de auditor geeft feedback over ontbrekende of onvoldoende bewijsstukken
- Rapportage: de auditor stelt het auditrapport op met bevindingen en conclusies
- Collegeverklaring en waarmerking: het college ondertekent de verklaring, de auditor voorziet deze van een waarmerking
- Indiening bij Logius: de gemeente dient de rapportage in, uiterlijk 1 mei
De gemeente blijft gedurende het hele proces eindverantwoordelijk voor de aangeleverde informatie en de communicatie met Logius.
Wat gebeurt er als de auditor bevindingen constateert?
Als de auditor tijdens een ENSIA-audit bevindingen constateert, worden deze opgenomen in het auditrapport met een toelichting op de aard en ernst van de tekortkoming. De gemeente krijgt de gelegenheid om op de bevindingen te reageren voordat het rapport definitief wordt vastgesteld.
Bevindingen variëren in ernst. Sommige zijn relatief klein en kunnen snel worden opgelost, andere wijzen op structurele tekortkomingen in de informatiebeveiliging. In het rapport worden concrete aanbevelingen opgenomen die de gemeente helpen om de situatie te verbeteren.
Het is belangrijk om bevindingen serieus te nemen en de opvolging goed te documenteren. Logius beoordeelt de ingediende rapportages individueel en bepaalt op basis van de ernst van de bevindingen of vervolgstappen nodig zijn.
Hoe voorkom je een heraudit bij de ENSIA?
Een heraudit bij de ENSIA wordt opgelegd wanneer Logius van oordeel is dat de bevindingen ernstig genoeg zijn om aanvullend onderzoek te rechtvaardigen. De termijn voor een heraudit verschilt per situatie en wordt door Logius per geval bepaald, afhankelijk van de aard en ernst van de tekortkomingen.
De beste manier om een heraudit te voorkomen is een grondige voorbereiding gedurende het hele jaar. Dat betekent concreet:
- Bevindingen uit voorgaande audits tijdig opvolgen en aantoonbaar oplossen
- Bewijslast continu bijhouden in plaats van vlak voor de deadline verzamelen
- Verantwoordelijkheden helder beleggen zodat niets tussen wal en schip valt
- De ENSIA-coördinator voldoende mandaat en tijd geven om het proces te coördineren
- Intern regelmatig de voortgang bespreken, zodat knelpunten vroeg worden gesignaleerd
Een heraudit is niet standaard jaarlijks en betekent ook niet automatisch verlies van certificering. Het is wel een extra inspanning die je liever voorkomt door het proces structureel goed in te richten.
Hoe wij gemeenten helpen met de ENSIA-audit
Wij begeleiden gemeenten door het volledige ENSIA-traject, van de eerste intake tot de afgifte van de waarmerking op de collegeverklaring. Onze gecertificeerde register-IT-auditors kennen de gemeentelijke praktijk en weten precies wat Logius verwacht. Dat maakt het proces voor jou overzichtelijk en beheersbaar.
Wat wij bieden:
- Een volledige ENSIA-audit inclusief beoordeling van de collegeverklaring en waarmerking
- Duidelijke terugkoppeling gedurende het proces, zodat je weet waar je aan toe bent
- Vaste prijzen zonder verrassingen achteraf
- Een gratis heraudit als dat nodig is, iets wat bij andere partijen niet standaard het geval is
- Meer dan 2.500 uitgevoerde audits, waarvan een groot deel voor gemeenten
Wil je weten wat wij voor jouw gemeente kunnen betekenen? Neem contact met ons op voor een vrijblijvende offerte.