Hoe verzamel je gedurende het jaar bewijs voor de volgende ENSIA-audit?
Het beste moment om te beginnen met bewijs verzamelen voor de ENSIA-audit is direct na de vorige audit, zodat je gedurende het hele jaar bewijsstukken opbouwt in plaats van alles vlak voor de deadline bij elkaar te zoeken. Gemeenten die dit structureel aanpakken, gaan beter voorbereid de audit in en lopen minder risico op onvolledige bewijslast. In dit artikel beantwoorden we de meest praktische vragen over hoe je dat proces het hele jaar door goed organiseert, van het type bewijsstukken dat een auditor verwacht tot het slim gebruiken van eerdere bevindingen.
Welke soorten bewijsstukken verwacht een ENSIA-auditor?
Een ENSIA-auditor verwacht bewijsstukken die aantonen dat de beveiligingsmaatregelen uit de Baseline Informatiebeveiliging Overheid (BIO) niet alleen zijn beschreven, maar ook daadwerkelijk zijn ingericht en geborgd. Het gaat om documentatie die de opzet, het bestaan en, waar van toepassing, de werking van maatregelen aantoont. Denk aan beleidsdocumenten, logbestanden, risicoanalyses, verwerkersovereenkomsten en verslagen van interne controles.
Concreet zijn dit de meest voorkomende categorieën bewijsstukken die gemeenten moeten aanleveren:
- Vastgesteld informatiebeveiligingsbeleid en bijbehorende procedures
- Risicoanalyses en risicoacceptatieverklaringen
- Logbestanden van toegangsbeheer en autorisaties
- Verslagen van interne audits of zelfevaluaties
- Verwerkersovereenkomsten met leveranciers
- Bewijs van bewustwordingsactiviteiten, zoals trainingen of e-learnings
- Incidentregistraties en de opvolging daarvan
- Technische rapportages, zoals penetratietestresultaten of kwetsbaarheidsscans
Belangrijk is dat bewijsstukken actueel zijn. Een beleidsdocument uit 2021 dat nooit is herzien, overtuigt een auditor niet. Zorg dus dat documenten een vaststellingsdatum hebben en dat er een beheerproces achter zit. Bij het ENSIA assessment wordt getoetst of maatregelen aantoonbaar zijn ingericht, niet alleen of ze op papier bestaan.
Wanneer begin je het beste met bewijs verzamelen voor ENSIA?
Het beste moment om te beginnen is direct na de vorige ENSIA-audit, dus zodra de bevindingen bekend zijn. Wie pas in het eerste kwartaal van het auditjaar begint met verzamelen, loopt al achter. Bewijslast voor de ENSIA-audit bouw je het hele jaar op, niet in de weken voor de deadline van 1 mei.
Een praktische aanpak is om het jaar in fasen te verdelen:
- Direct na de audit (mei-juni): Verwerk de bevindingen en stel een verbeterplan op. Leg vast wie wat oppakt en wanneer.
- Zomer (juli-augustus): Voer verbeteringen door en documenteer de acties. Zorg dat beleidsdocumenten worden herzien als dat nodig is.
- Najaar (september-november): Voer een tussentijdse zelfevaluatie uit. Controleer welke bewijsstukken al beschikbaar zijn en welke nog ontbreken.
- Begin van het nieuwe jaar (januari-februari): Sluit de bewijsverzameling af, controleer de volledigheid en maak het dossier auditklaar.
- Aanloop naar de deadline (maart-april): Lever het dossier aan bij de auditor en beantwoord eventuele vragen tijdig.
Door dit ritme aan te houden, voorkom je de gebruikelijke stress in het eerste kwartaal en vergroot je de kans op een volledig en overtuigend bewijsdossier.
Wie is verantwoordelijk voor welk bewijsstuk binnen een gemeente?
De verantwoordelijkheid voor ENSIA-bewijsstukken ligt niet bij één persoon, maar is verdeeld over meerdere rollen binnen de gemeente. De ENSIA-coördinator bewaakt het proces en de voortgang, maar de inhoudelijke bewijsstukken komen van de afdelingen die de maatregelen uitvoeren. Onduidelijkheid over eigenaarschap is een van de meest voorkomende oorzaken van onvolledige bewijslast.
Een globale verdeling ziet er als volgt uit:
- ENSIA-coördinator: Bewaakt de planning, coördineert de aanlevering en is het centrale aanspreekpunt.
- CISO: Verantwoordelijk voor het informatiebeveiligingsbeleid, risicoanalyses en de strategische borging van maatregelen.
- IT-afdeling en functioneel beheer: Leveren technische bewijsstukken, zoals toegangslogboeken, patchrapportages en configuratiedocumentatie.
- Privacyfunctionaris (FG): Draagt bij aan bewijsstukken rondom gegevensbescherming en verwerkersovereenkomsten.
- HR en communicatie: Leveren bewijs van bewustwordingstrainingen en personeelsbeleid rondom informatiebeveiliging.
Het helpt om per norm in de zelfevaluatievragenlijst vast te leggen wie de eigenaar is van het bijbehorende bewijsstuk. Zo weet iedereen wat er van hem of haar verwacht wordt en hoeft de ENSIA-coördinator niet zelf alles op te sporen.
Hoe organiseer je een bewijsdossier dat klaar is voor de auditor?
Een goed georganiseerd bewijsdossier is overzichtelijk, volledig en direct te koppelen aan de normen uit de zelfevaluatievragenlijst. De auditor moet snel kunnen zien welk bewijsstuk bij welke norm hoort, zonder zelf te hoeven zoeken. Een logische mappenstructuur die de indeling van de BIO volgt, is daarvoor de meest effectieve aanpak.
Praktische tips voor een auditklaar dossier:
- Gebruik de nummering van de BIO-normen als basis voor je mappenstructuur
- Geef elk bewijsstuk een duidelijke naam met datum en versienummer
- Voeg een overzichtslijst toe die per norm aangeeft welk document als bewijs dient
- Verwijder verouderde versies om verwarring te voorkomen
- Controleer of elk document is vastgesteld door de juiste functionaris
- Sla het dossier op een centrale, toegankelijke locatie op die ook voor de auditor bereikbaar is
Een gedeeld platform, zoals SharePoint of een vergelijkbare omgeving, maakt het eenvoudiger om bewijsstukken gedurende het jaar bij te houden en te delen. Zo hoef je aan het einde van het jaar niet alles opnieuw bij elkaar te zoeken.
Wat zijn veelgemaakte fouten bij het aanleveren van ENSIA-bewijsstukken?
De meest gemaakte fout bij het aanleveren van ENSIA-bewijsstukken is dat documenten verouderd zijn of niet aantoonbaar zijn vastgesteld. Een auditor beoordeelt niet alleen of een maatregel beschreven is, maar ook of die beschrijving actueel en formeel goedgekeurd is. Andere veelvoorkomende fouten zijn het ontbreken van een koppeling tussen het bewijsstuk en de bijbehorende norm, en het aanleveren van generieke documenten die niet specifiek genoeg zijn voor de gemeentelijke situatie.
Meer fouten die we in de praktijk regelmatig tegenkomen:
- Bewijsstukken die betrekking hebben op een ander jaar dan de auditperiode
- Logbestanden zonder context, waardoor de auditor niet kan beoordelen wat er precies is gecontroleerd
- Ontbrekende handtekeningen of vaststellingsdata op beleidsdocumenten
- Bewijsstukken die alleen de opzet beschrijven, terwijl ook het bestaan of de werking moet worden aangetoond
- Te laat aanleveren, waardoor er geen tijd meer is voor herstel
Door gedurende het jaar een vast reviewmoment in te plannen, kun je deze fouten tijdig signaleren en corrigeren voordat het dossier naar de auditor gaat.
Hoe gebruik je bevindingen uit de vorige audit om dit jaar beter voor te bereiden?
Bevindingen uit de vorige ENSIA-audit zijn de meest waardevolle input voor de voorbereiding op de volgende. Ze laten precies zien waar de zwakke plekken zitten en welke bewijsstukken onvolledig of onvoldoende waren. Wie die bevindingen serieus neemt en direct vertaalt naar concrete acties, staat bij de volgende audit al een stuk sterker.
Een effectieve aanpak is om na elke audit een verbeterplan op te stellen met de volgende elementen:
- Een overzicht van alle bevindingen, gerangschikt op prioriteit
- Per bevinding: de verantwoordelijke persoon, de geplande actie en een deadline
- Een moment halverwege het jaar om de voortgang te toetsen
- Een eindcheck voor de volgende auditperiode om te bevestigen dat de verbeteringen zijn doorgevoerd en gedocumenteerd
Bevindingen die terugkeren in meerdere opeenvolgende audits zijn een signaal dat er iets structureel mis is in het proces of de organisatie. Dat vraagt om een diepere analyse, niet alleen om een snelle oplossing. Door bevindingen te behandelen als leerpunten in plaats van afvinkpunten, verbeter je de informatiebeveiliging van de gemeente structureel.
Hoe BKBO B.V. helpt bij de voorbereiding op de ENSIA-audit
Wij begrijpen dat het verzamelen van bewijsstukken voor de ENSIA-audit in de praktijk veel vraagt van gemeenten. Niet alleen qua tijd, maar ook qua afstemming tussen afdelingen en kennis van wat een auditor precies verwacht. Daarom bieden wij een aanpak die gemeenten helpt om dit proces beheersbaar en efficiënt te maken.
Wat gemeenten van ons kunnen verwachten:
- Duidelijke communicatie over wat we van je verwachten en wanneer
- Een vast aanspreekpunt dat goed ingevoerd is in de gemeentelijke praktijk
- Snelle terugkoppeling op aangeleverde bewijsstukken, zodat je tijdig kunt bijsturen
- Een transparante vaste prijs, inclusief eventuele heraudit
- Concrete verbetervoorstellen die je direct kunt implementeren
- Begeleiding bij zowel de auditwerkzaamheden als de collegeverklaring en waarmerking
Wij hebben inmiddels meer dan 2.500 audits uitgevoerd en werken al jaren voor meer dan 90 gemeenten. Die ervaring gebruiken we om jouw gemeente goed voorbereid de audit in te laten gaan. Wil je weten wat wij voor jouw gemeente kunnen betekenen? Neem dan contact op voor een vrijblijvende offerte.
Het beste moment om te beginnen met bewijs verzamelen voor de ENSIA-audit is direct na de vorige audit, zodat je gedurende het hele jaar bewijsstukken opbouwt in plaats van alles vlak voor de deadline bij elkaar te zoeken. Gemeenten die dit structureel aanpakken, gaan beter voorbereid de audit in en lopen minder risico op onvolledige bewijslast. In dit artikel beantwoorden we de meest praktische vragen over hoe je dat proces het hele jaar door goed organiseert, van het type bewijsstukken dat een auditor verwacht tot het slim gebruiken van eerdere bevindingen.
Welke soorten bewijsstukken verwacht een ENSIA-auditor?
Een ENSIA-auditor verwacht bewijsstukken die aantonen dat de beveiligingsmaatregelen uit de Baseline Informatiebeveiliging Overheid (BIO) niet alleen zijn beschreven, maar ook daadwerkelijk zijn ingericht en geborgd. Het gaat om documentatie die de opzet, het bestaan en, waar van toepassing, de werking van maatregelen aantoont. Denk aan beleidsdocumenten, logbestanden, risicoanalyses, verwerkersovereenkomsten en verslagen van interne controles.
Concreet zijn dit de meest voorkomende categorieën bewijsstukken die gemeenten moeten aanleveren:
- Vastgesteld informatiebeveiligingsbeleid en bijbehorende procedures
- Risicoanalyses en risicoacceptatieverklaringen
- Logbestanden van toegangsbeheer en autorisaties
- Verslagen van interne audits of zelfevaluaties
- Verwerkersovereenkomsten met leveranciers
- Bewijs van bewustwordingsactiviteiten, zoals trainingen of e-learnings
- Incidentregistraties en de opvolging daarvan
- Technische rapportages, zoals penetratietestresultaten of kwetsbaarheidsscans
Belangrijk is dat bewijsstukken actueel zijn. Een beleidsdocument uit 2021 dat nooit is herzien, overtuigt een auditor niet. Zorg dus dat documenten een vaststellingsdatum hebben en dat er een beheerproces achter zit. Bij het ENSIA assessment wordt getoetst of maatregelen aantoonbaar zijn ingericht, niet alleen of ze op papier bestaan.
Wanneer begin je het beste met bewijs verzamelen voor ENSIA?
Het beste moment om te beginnen is direct na de vorige ENSIA-audit, dus zodra de bevindingen bekend zijn. Wie pas in het eerste kwartaal van het auditjaar begint met verzamelen, loopt al achter. Bewijslast voor de ENSIA-audit bouw je het hele jaar op, niet in de weken voor de deadline van 1 mei.
Een praktische aanpak is om het jaar in fasen te verdelen:
- Direct na de audit (mei-juni): Verwerk de bevindingen en stel een verbeterplan op. Leg vast wie wat oppakt en wanneer.
- Zomer (juli-augustus): Voer verbeteringen door en documenteer de acties. Zorg dat beleidsdocumenten worden herzien als dat nodig is.
- Najaar (september-november): Voer een tussentijdse zelfevaluatie uit. Controleer welke bewijsstukken al beschikbaar zijn en welke nog ontbreken.
- Begin van het nieuwe jaar (januari-februari): Sluit de bewijsverzameling af, controleer de volledigheid en maak het dossier auditklaar.
- Aanloop naar de deadline (maart-april): Lever het dossier aan bij de auditor en beantwoord eventuele vragen tijdig.
Door dit ritme aan te houden, voorkom je de gebruikelijke stress in het eerste kwartaal en vergroot je de kans op een volledig en overtuigend bewijsdossier.
Wie is verantwoordelijk voor welk bewijsstuk binnen een gemeente?
De verantwoordelijkheid voor ENSIA-bewijsstukken ligt niet bij één persoon, maar is verdeeld over meerdere rollen binnen de gemeente. De ENSIA-coördinator bewaakt het proces en de voortgang, maar de inhoudelijke bewijsstukken komen van de afdelingen die de maatregelen uitvoeren. Onduidelijkheid over eigenaarschap is een van de meest voorkomende oorzaken van onvolledige bewijslast.
Een globale verdeling ziet er als volgt uit:
- ENSIA-coördinator: Bewaakt de planning, coördineert de aanlevering en is het centrale aanspreekpunt.
- CISO: Verantwoordelijk voor het informatiebeveiligingsbeleid, risicoanalyses en de strategische borging van maatregelen.
- IT-afdeling en functioneel beheer: Leveren technische bewijsstukken, zoals toegangslogboeken, patchrapportages en configuratiedocumentatie.
- Privacyfunctionaris (FG): Draagt bij aan bewijsstukken rondom gegevensbescherming en verwerkersovereenkomsten.
- HR en communicatie: Leveren bewijs van bewustwordingstrainingen en personeelsbeleid rondom informatiebeveiliging.
Het helpt om per norm in de zelfevaluatievragenlijst vast te leggen wie de eigenaar is van het bijbehorende bewijsstuk. Zo weet iedereen wat er van hem of haar verwacht wordt en hoeft de ENSIA-coördinator niet zelf alles op te sporen.
Hoe organiseer je een bewijsdossier dat klaar is voor de auditor?
Een goed georganiseerd bewijsdossier is overzichtelijk, volledig en direct te koppelen aan de normen uit de zelfevaluatievragenlijst. De auditor moet snel kunnen zien welk bewijsstuk bij welke norm hoort, zonder zelf te hoeven zoeken. Een logische mappenstructuur die de indeling van de BIO volgt, is daarvoor de meest effectieve aanpak.
Praktische tips voor een auditklaar dossier:
- Gebruik de nummering van de BIO-normen als basis voor je mappenstructuur
- Geef elk bewijsstuk een duidelijke naam met datum en versienummer
- Voeg een overzichtslijst toe die per norm aangeeft welk document als bewijs dient
- Verwijder verouderde versies om verwarring te voorkomen
- Controleer of elk document is vastgesteld door de juiste functionaris
- Sla het dossier op een centrale, toegankelijke locatie op die ook voor de auditor bereikbaar is
Een gedeeld platform, zoals SharePoint of een vergelijkbare omgeving, maakt het eenvoudiger om bewijsstukken gedurende het jaar bij te houden en te delen. Zo hoef je aan het einde van het jaar niet alles opnieuw bij elkaar te zoeken.
Wat zijn veelgemaakte fouten bij het aanleveren van ENSIA-bewijsstukken?
De meest gemaakte fout bij het aanleveren van ENSIA-bewijsstukken is dat documenten verouderd zijn of niet aantoonbaar zijn vastgesteld. Een auditor beoordeelt niet alleen of een maatregel beschreven is, maar ook of die beschrijving actueel en formeel goedgekeurd is. Andere veelvoorkomende fouten zijn het ontbreken van een koppeling tussen het bewijsstuk en de bijbehorende norm, en het aanleveren van generieke documenten die niet specifiek genoeg zijn voor de gemeentelijke situatie.
Meer fouten die we in de praktijk regelmatig tegenkomen:
- Bewijsstukken die betrekking hebben op een ander jaar dan de auditperiode
- Logbestanden zonder context, waardoor de auditor niet kan beoordelen wat er precies is gecontroleerd
- Ontbrekende handtekeningen of vaststellingsdata op beleidsdocumenten
- Bewijsstukken die alleen de opzet beschrijven, terwijl ook het bestaan of de werking moet worden aangetoond
- Te laat aanleveren, waardoor er geen tijd meer is voor herstel
Door gedurende het jaar een vast reviewmoment in te plannen, kun je deze fouten tijdig signaleren en corrigeren voordat het dossier naar de auditor gaat.
Hoe gebruik je bevindingen uit de vorige audit om dit jaar beter voor te bereiden?
Bevindingen uit de vorige ENSIA-audit zijn de meest waardevolle input voor de voorbereiding op de volgende. Ze laten precies zien waar de zwakke plekken zitten en welke bewijsstukken onvolledig of onvoldoende waren. Wie die bevindingen serieus neemt en direct vertaalt naar concrete acties, staat bij de volgende audit al een stuk sterker.
Een effectieve aanpak is om na elke audit een verbeterplan op te stellen met de volgende elementen:
- Een overzicht van alle bevindingen, gerangschikt op prioriteit
- Per bevinding: de verantwoordelijke persoon, de geplande actie en een deadline
- Een moment halverwege het jaar om de voortgang te toetsen
- Een eindcheck voor de volgende auditperiode om te bevestigen dat de verbeteringen zijn doorgevoerd en gedocumenteerd
Bevindingen die terugkeren in meerdere opeenvolgende audits zijn een signaal dat er iets structureel mis is in het proces of de organisatie. Dat vraagt om een diepere analyse, niet alleen om een snelle oplossing. Door bevindingen te behandelen als leerpunten in plaats van afvinkpunten, verbeter je de informatiebeveiliging van de gemeente structureel.
Hoe BKBO B.V. helpt bij de voorbereiding op de ENSIA-audit
Wij begrijpen dat het verzamelen van bewijsstukken voor de ENSIA-audit in de praktijk veel vraagt van gemeenten. Niet alleen qua tijd, maar ook qua afstemming tussen afdelingen en kennis van wat een auditor precies verwacht. Daarom bieden wij een aanpak die gemeenten helpt om dit proces beheersbaar en efficiënt te maken.
Wat gemeenten van ons kunnen verwachten:
- Duidelijke communicatie over wat we van je verwachten en wanneer
- Een vast aanspreekpunt dat goed ingevoerd is in de gemeentelijke praktijk
- Snelle terugkoppeling op aangeleverde bewijsstukken, zodat je tijdig kunt bijsturen
- Een transparante vaste prijs, inclusief eventuele heraudit
- Concrete verbetervoorstellen die je direct kunt implementeren
- Begeleiding bij zowel de auditwerkzaamheden als de collegeverklaring en waarmerking
Wij hebben inmiddels meer dan 2.500 audits uitgevoerd en werken al jaren voor meer dan 90 gemeenten. Die ervaring gebruiken we om jouw gemeente goed voorbereid de audit in te laten gaan. Wil je weten wat wij voor jouw gemeente kunnen betekenen? Neem dan contact op voor een vrijblijvende offerte.