Hoe voorkom je dat dezelfde ENSIA-bevinding bij een volgende audit terugkomt?
Dezelfde ENSIA-bevinding voorkom je bij een volgende audit door de gevonden tekortkoming niet alleen op te lossen, maar ook structureel te borgen in de gemeentelijke organisatie. Het verschil zit in de opvolging: een snelle fix haalt de bevinding weg voor dit jaar, maar zonder structurele maatregel keert het probleem vanzelf terug. In dit artikel beantwoorden we de meest gestelde vragen over het opvolgen van ENSIA-bevindingen en het voorkomen van herhaling.
Waarom komen dezelfde bevindingen steeds terug bij ENSIA?
Dezelfde ENSIA-bevindingen keren terug omdat gemeenten bevindingen vaak oplossen als een eenmalige actie, zonder de onderliggende oorzaak aan te pakken. De maatregel wordt ingericht, maar niet geborgd in werkprocessen, verantwoordelijkheden of periodieke controles. Daardoor verdwijnt de verbetering zodra de aandacht voor de ENSIA-audit wegvalt.
In de praktijk zien we een herkenbaar patroon: vlak voor de audit wordt er hard gewerkt om bewijsstukken te verzamelen en tekortkomingen weg te werken. Zodra de audit is afgerond, verschuift de aandacht naar andere prioriteiten. Een jaar later begint het proces opnieuw, met dezelfde bevindingen als resultaat.
Veelvoorkomende oorzaken van terugkerende bevindingen zijn:
- Maatregelen zijn ingericht, maar worden niet actief bijgehouden of gecontroleerd
- Er is geen duidelijke eigenaar aangewezen voor de opvolging
- Bewijsmateriaal wordt pas vlak voor de audit verzameld in plaats van gedurende het jaar
- Bevindingen worden gezien als een auditprobleem in plaats van een organisatieprobleem
- Er is geen verbinding tussen de ENSIA-audit en de reguliere Planning-en-Control-cyclus
Informatiebeveiliging binnen een gemeente vraagt om continue aandacht, niet om een jaarlijkse sprint. Zolang ENSIA alleen vlak voor de deadline aandacht krijgt, blijft herhaling een reëel risico.
Wat is het verschil tussen een bevinding oplossen en een bevinding borgen?
Een bevinding oplossen betekent dat de tekortkoming voor de huidige audit wordt weggenomen, bijvoorbeeld door een ontbrekend beleidsdocument op te stellen. Een bevinding borgen betekent dat de maatregel structureel is ingebed in de organisatie, zodat deze ook volgend jaar nog aantoonbaar werkt. Borging gaat verder dan oplossen.
Een concreet voorbeeld maakt dit verschil duidelijk. Stel dat een auditor constateert dat toegangsrechten niet periodiek worden gecontroleerd. Oplossen betekent: de controle nu uitvoeren en documenteren. Borgen betekent: een vaste procedure instellen waarbij toegangsrechten elk kwartaal worden gereviewd, met een aangewezen verantwoordelijke en een logboek als bewijs.
Tijdens de ENSIA-audit wordt niet alleen beoordeeld of een maatregel bestaat, maar ook of deze aantoonbaar heeft gefunctioneerd gedurende de relevante periode. Alleen het bestaan van beleid of een procedure is daarvoor niet altijd voldoende. Een gemeente moet kunnen aantonen dat de maatregel daadwerkelijk is uitgevoerd en in de praktijk heeft gewerkt. Dat is precies wat borging oplevert: aantoonbare werking over tijd.
Wie is verantwoordelijk voor de opvolging van ENSIA-bevindingen?
De verantwoordelijkheid voor de opvolging van ENSIA-bevindingen ligt bij de gemeente zelf. In de praktijk is de ENSIA-coördinator vaak het centrale aanspreekpunt, maar de daadwerkelijke opvolging vraagt om betrokkenheid van meerdere rollen binnen de gemeentelijke organisatie.
Afhankelijk van de aard van de bevinding zijn verschillende afdelingen en functionarissen betrokken:
- ENSIA-coördinator: bewaakt het overzicht en de voortgang van de opvolging
- CISO: beoordeelt de risico’s en stelt prioriteiten in het verbeterplan
- IT en functioneel beheer: voeren technische maatregelen door en leveren bewijsstukken
- Afdelingshoofden: zijn verantwoordelijk voor de naleving binnen hun eigen afdeling
- Privacy-functionaris: is betrokken bij bevindingen die raken aan gegevensbescherming
Een veelgemaakte fout is dat de opvolging volledig bij de ENSIA-coördinator wordt neergelegd, zonder dat andere afdelingen actief worden aangesproken. Bevindingen die raken aan werkprocessen of systemen vragen om eigenaarschap op de plek waar het werk daadwerkelijk gebeurt. Zonder die betrokkenheid blijft opvolging oppervlakkig.
Hoe zet je een verbeterplan op dat écht werkt na een ENSIA-audit?
Een verbeterplan dat écht werkt, koppelt elke bevinding aan een concrete actie, een verantwoordelijke persoon en een realistische deadline. Het plan moet niet alleen beschrijven wat er moet gebeuren, maar ook hoe de maatregel daarna geborgd blijft in de dagelijkse werkprocessen van de gemeente.
Gebruik de volgende stappen als basis voor een effectief verbeterplan:
- Analyseer de oorzaak – Ga niet direct aan de slag met de symptomen, maar stel vast waarom de tekortkoming is ontstaan.
- Prioriteer op risico – Niet elke bevinding heeft hetzelfde gewicht. Stel samen met de CISO vast welke bevindingen het grootste risico vormen voor de gemeentelijke informatiebeveiliging.
- Wijs een eigenaar aan – Koppel elke actie aan één verantwoordelijke persoon, niet aan een afdeling in het algemeen.
- Stel een haalbare deadline – Geef voldoende tijd voor een structurele aanpak, maar zorg dat de voortgang tussentijds wordt bewaakt.
- Beschrijf hoe de maatregel wordt geborgd – Leg vast hoe de maatregel na implementatie actief blijft, wie dit controleert en hoe dit wordt gedocumenteerd.
- Plan een interne check – Voer ruim voor de volgende ENSIA-audit een interne controle uit om te verifiëren dat de maatregel nog steeds aantoonbaar werkt.
Een verbeterplan is geen document dat je opstelt en daarna in de la legt. Het is een levend instrument dat regelmatig wordt bijgewerkt en besproken, bij voorkeur als vast agendapunt binnen de Planning-en-Control-cyclus van de gemeente.
Wanneer moet je beginnen met de voorbereiding op de volgende ENSIA-cyclus?
De voorbereiding op de volgende ENSIA-cyclus begint direct na afronding van de huidige audit, niet pas in het voorjaar van het volgende jaar. Wie wacht tot een paar maanden voor de deadline van 1 mei, heeft te weinig tijd om bevindingen structureel op te lossen en aantoonbaar te borgen.
Direct na de audit is het moment om de bevindingen te analyseren, een verbeterplan op te stellen en verantwoordelijkheden te beleggen. In de maanden daarna worden maatregelen geïmplementeerd en gedocumenteerd. Gedurende het jaar worden bewijsstukken verzameld op het moment dat maatregelen daadwerkelijk worden uitgevoerd, niet achteraf.
Een praktisch ritme ziet er zo uit: bevindingen opvolgen in het derde kwartaal, interne controle uitvoeren in het vierde kwartaal en het nieuwe jaar ingaan met een actueel en compleet dossier. Zo is de gemeente in het voorjaar goed voorbereid en hoeft er vlak voor de audit geen bewijsmateriaal meer bij elkaar te worden gezocht.
Wat verwacht een ENSIA-auditor bij een heraudit op eerdere bevindingen?
Bij een heraudit verwacht de auditor concreet bewijs dat de eerder geconstateerde tekortkoming daadwerkelijk is opgelost en dat de maatregel aantoonbaar heeft gefunctioneerd. Het is niet voldoende om aan te tonen dat er iets is veranderd. De gemeente moet laten zien dat de maatregel ook in de praktijk werkt.
Een heraudit is niet hetzelfde als de reguliere ENSIA-audit. De focus ligt specifiek op de bevindingen uit de eerdere audit. De auditor beoordeelt of de aangedragen verbeteringen reëel zijn doorgevoerd en of er voldoende bewijsmateriaal is om dit te onderbouwen. De termijn voor een heraudit verschilt per gemeente en per situatie, omdat Logius de rapportages individueel beoordeelt en op basis daarvan de ernst en de hersteltermijn bepaalt.
Wat gemeenten bij een heraudit regelmatig onderschatten, is de bewijslast. Een beleidswijziging of een nieuwe procedure is een goed begin, maar de auditor wil ook zien dat de maatregel in de praktijk is toegepast. Denk aan logbestanden, verslagen van uitgevoerde controles of andere documentatie die aantoont dat de maatregel heeft gewerkt gedurende de relevante periode.
Hoe BKBO B.V. helpt bij het voorkomen van terugkerende ENSIA-bevindingen
Wij voeren jaarlijks ENSIA-audits uit voor meer dan 70 gemeenten en hebben inmiddels meer dan 2.500 audits achter de rug. Die ervaring maakt dat wij precies weten waar het in de gemeentelijke praktijk misgaat bij de opvolging van bevindingen. Wij begeleiden gemeenten gedurende het hele auditproces en maken duidelijk welke informatie en bewijsstukken nodig zijn, zodat er geen verrassingen zijn.
Wat wij bieden bij de ENSIA-audit:
- Een gestructureerde werkwijze met duidelijke stappen en heldere communicatie
- Tussentijdse terugkoppeling zodat de gemeente weet waar zij staat
- Een conceptrapport met concrete aanbevelingen die de gemeente direct kan gebruiken voor het verbeterplan
- Een vaste prijs zonder verborgen kosten, inclusief een gratis heraudit indien van toepassing
- Een vast aanspreekpunt met korte communicatielijnen
Wil je weten wat wij voor jouw gemeente kunnen betekenen bij de ENSIA-audit? Neem dan contact met ons op voor een vrijblijvende offerte.
Dezelfde ENSIA-bevinding voorkom je bij een volgende audit door de gevonden tekortkoming niet alleen op te lossen, maar ook structureel te borgen in de gemeentelijke organisatie. Het verschil zit in de opvolging: een snelle fix haalt de bevinding weg voor dit jaar, maar zonder structurele maatregel keert het probleem vanzelf terug. In dit artikel beantwoorden we de meest gestelde vragen over het opvolgen van ENSIA-bevindingen en het voorkomen van herhaling.
Waarom komen dezelfde bevindingen steeds terug bij ENSIA?
Dezelfde ENSIA-bevindingen keren terug omdat gemeenten bevindingen vaak oplossen als een eenmalige actie, zonder de onderliggende oorzaak aan te pakken. De maatregel wordt ingericht, maar niet geborgd in werkprocessen, verantwoordelijkheden of periodieke controles. Daardoor verdwijnt de verbetering zodra de aandacht voor de ENSIA-audit wegvalt.
In de praktijk zien we een herkenbaar patroon: vlak voor de audit wordt er hard gewerkt om bewijsstukken te verzamelen en tekortkomingen weg te werken. Zodra de audit is afgerond, verschuift de aandacht naar andere prioriteiten. Een jaar later begint het proces opnieuw, met dezelfde bevindingen als resultaat.
Veelvoorkomende oorzaken van terugkerende bevindingen zijn:
- Maatregelen zijn ingericht, maar worden niet actief bijgehouden of gecontroleerd
- Er is geen duidelijke eigenaar aangewezen voor de opvolging
- Bewijsmateriaal wordt pas vlak voor de audit verzameld in plaats van gedurende het jaar
- Bevindingen worden gezien als een auditprobleem in plaats van een organisatieprobleem
- Er is geen verbinding tussen de ENSIA-audit en de reguliere Planning-en-Control-cyclus
Informatiebeveiliging binnen een gemeente vraagt om continue aandacht, niet om een jaarlijkse sprint. Zolang ENSIA alleen vlak voor de deadline aandacht krijgt, blijft herhaling een reëel risico.
Wat is het verschil tussen een bevinding oplossen en een bevinding borgen?
Een bevinding oplossen betekent dat de tekortkoming voor de huidige audit wordt weggenomen, bijvoorbeeld door een ontbrekend beleidsdocument op te stellen. Een bevinding borgen betekent dat de maatregel structureel is ingebed in de organisatie, zodat deze ook volgend jaar nog aantoonbaar werkt. Borging gaat verder dan oplossen.
Een concreet voorbeeld maakt dit verschil duidelijk. Stel dat een auditor constateert dat toegangsrechten niet periodiek worden gecontroleerd. Oplossen betekent: de controle nu uitvoeren en documenteren. Borgen betekent: een vaste procedure instellen waarbij toegangsrechten elk kwartaal worden gereviewd, met een aangewezen verantwoordelijke en een logboek als bewijs.
Tijdens de ENSIA-audit wordt niet alleen beoordeeld of een maatregel bestaat, maar ook of deze aantoonbaar heeft gefunctioneerd gedurende de relevante periode. Alleen het bestaan van beleid of een procedure is daarvoor niet altijd voldoende. Een gemeente moet kunnen aantonen dat de maatregel daadwerkelijk is uitgevoerd en in de praktijk heeft gewerkt. Dat is precies wat borging oplevert: aantoonbare werking over tijd.
Wie is verantwoordelijk voor de opvolging van ENSIA-bevindingen?
De verantwoordelijkheid voor de opvolging van ENSIA-bevindingen ligt bij de gemeente zelf. In de praktijk is de ENSIA-coördinator vaak het centrale aanspreekpunt, maar de daadwerkelijke opvolging vraagt om betrokkenheid van meerdere rollen binnen de gemeentelijke organisatie.
Afhankelijk van de aard van de bevinding zijn verschillende afdelingen en functionarissen betrokken:
- ENSIA-coördinator: bewaakt het overzicht en de voortgang van de opvolging
- CISO: beoordeelt de risico’s en stelt prioriteiten in het verbeterplan
- IT en functioneel beheer: voeren technische maatregelen door en leveren bewijsstukken
- Afdelingshoofden: zijn verantwoordelijk voor de naleving binnen hun eigen afdeling
- Privacy-functionaris: is betrokken bij bevindingen die raken aan gegevensbescherming
Een veelgemaakte fout is dat de opvolging volledig bij de ENSIA-coördinator wordt neergelegd, zonder dat andere afdelingen actief worden aangesproken. Bevindingen die raken aan werkprocessen of systemen vragen om eigenaarschap op de plek waar het werk daadwerkelijk gebeurt. Zonder die betrokkenheid blijft opvolging oppervlakkig.
Hoe zet je een verbeterplan op dat écht werkt na een ENSIA-audit?
Een verbeterplan dat écht werkt, koppelt elke bevinding aan een concrete actie, een verantwoordelijke persoon en een realistische deadline. Het plan moet niet alleen beschrijven wat er moet gebeuren, maar ook hoe de maatregel daarna geborgd blijft in de dagelijkse werkprocessen van de gemeente.
Gebruik de volgende stappen als basis voor een effectief verbeterplan:
- Analyseer de oorzaak – Ga niet direct aan de slag met de symptomen, maar stel vast waarom de tekortkoming is ontstaan.
- Prioriteer op risico – Niet elke bevinding heeft hetzelfde gewicht. Stel samen met de CISO vast welke bevindingen het grootste risico vormen voor de gemeentelijke informatiebeveiliging.
- Wijs een eigenaar aan – Koppel elke actie aan één verantwoordelijke persoon, niet aan een afdeling in het algemeen.
- Stel een haalbare deadline – Geef voldoende tijd voor een structurele aanpak, maar zorg dat de voortgang tussentijds wordt bewaakt.
- Beschrijf hoe de maatregel wordt geborgd – Leg vast hoe de maatregel na implementatie actief blijft, wie dit controleert en hoe dit wordt gedocumenteerd.
- Plan een interne check – Voer ruim voor de volgende ENSIA-audit een interne controle uit om te verifiëren dat de maatregel nog steeds aantoonbaar werkt.
Een verbeterplan is geen document dat je opstelt en daarna in de la legt. Het is een levend instrument dat regelmatig wordt bijgewerkt en besproken, bij voorkeur als vast agendapunt binnen de Planning-en-Control-cyclus van de gemeente.
Wanneer moet je beginnen met de voorbereiding op de volgende ENSIA-cyclus?
De voorbereiding op de volgende ENSIA-cyclus begint direct na afronding van de huidige audit, niet pas in het voorjaar van het volgende jaar. Wie wacht tot een paar maanden voor de deadline van 1 mei, heeft te weinig tijd om bevindingen structureel op te lossen en aantoonbaar te borgen.
Direct na de audit is het moment om de bevindingen te analyseren, een verbeterplan op te stellen en verantwoordelijkheden te beleggen. In de maanden daarna worden maatregelen geïmplementeerd en gedocumenteerd. Gedurende het jaar worden bewijsstukken verzameld op het moment dat maatregelen daadwerkelijk worden uitgevoerd, niet achteraf.
Een praktisch ritme ziet er zo uit: bevindingen opvolgen in het derde kwartaal, interne controle uitvoeren in het vierde kwartaal en het nieuwe jaar ingaan met een actueel en compleet dossier. Zo is de gemeente in het voorjaar goed voorbereid en hoeft er vlak voor de audit geen bewijsmateriaal meer bij elkaar te worden gezocht.
Wat verwacht een ENSIA-auditor bij een heraudit op eerdere bevindingen?
Bij een heraudit verwacht de auditor concreet bewijs dat de eerder geconstateerde tekortkoming daadwerkelijk is opgelost en dat de maatregel aantoonbaar heeft gefunctioneerd. Het is niet voldoende om aan te tonen dat er iets is veranderd. De gemeente moet laten zien dat de maatregel ook in de praktijk werkt.
Een heraudit is niet hetzelfde als de reguliere ENSIA-audit. De focus ligt specifiek op de bevindingen uit de eerdere audit. De auditor beoordeelt of de aangedragen verbeteringen reëel zijn doorgevoerd en of er voldoende bewijsmateriaal is om dit te onderbouwen. De termijn voor een heraudit verschilt per gemeente en per situatie, omdat Logius de rapportages individueel beoordeelt en op basis daarvan de ernst en de hersteltermijn bepaalt.
Wat gemeenten bij een heraudit regelmatig onderschatten, is de bewijslast. Een beleidswijziging of een nieuwe procedure is een goed begin, maar de auditor wil ook zien dat de maatregel in de praktijk is toegepast. Denk aan logbestanden, verslagen van uitgevoerde controles of andere documentatie die aantoont dat de maatregel heeft gewerkt gedurende de relevante periode.
Hoe BKBO B.V. helpt bij het voorkomen van terugkerende ENSIA-bevindingen
Wij voeren jaarlijks ENSIA-audits uit voor meer dan 70 gemeenten en hebben inmiddels meer dan 2.500 audits achter de rug. Die ervaring maakt dat wij precies weten waar het in de gemeentelijke praktijk misgaat bij de opvolging van bevindingen. Wij begeleiden gemeenten gedurende het hele auditproces en maken duidelijk welke informatie en bewijsstukken nodig zijn, zodat er geen verrassingen zijn.
Wat wij bieden bij de ENSIA-audit:
- Een gestructureerde werkwijze met duidelijke stappen en heldere communicatie
- Tussentijdse terugkoppeling zodat de gemeente weet waar zij staat
- Een conceptrapport met concrete aanbevelingen die de gemeente direct kan gebruiken voor het verbeterplan
- Een vaste prijs zonder verborgen kosten, inclusief een gratis heraudit indien van toepassing
- Een vast aanspreekpunt met korte communicatielijnen
Wil je weten wat wij voor jouw gemeente kunnen betekenen bij de ENSIA-audit? Neem dan contact met ons op voor een vrijblijvende offerte.