Wanneer kan een ENSIA-auditor om aanvullend bewijs vragen?
Een ENSIA-auditor kan om aanvullend bewijs vragen wanneer het aangeleverde bewijsmateriaal onvolledig, onduidelijk of niet aantoonbaar genoeg is om een maatregel te beoordelen. Dit kan op elk moment tijdens de beoordelingsfase van de ENSIA-audit plaatsvinden. In de praktijk gaat het vaak om situaties waarin de zelfevaluatie een maatregel als “ingericht” beschrijft, maar het bijbehorende bewijs ontbreekt of te algemeen is. In dit artikel lees je wanneer dat precies gebeurt, wat geldig bewijs is, hoeveel tijd je hebt en hoe je dit soort situaties voorkomt.
In welke situaties vraagt een ENSIA-auditor om extra bewijs?
Een ENSIA-auditor vraagt om aanvullend bewijs wanneer het ingediende bewijsmateriaal niet voldoende aantoont dat een maatregel daadwerkelijk is ingericht. De audit is assertion based, wat betekent dat de auditor zoveel mogelijk steunt op het bewijsmateriaal dat de gemeente zelf heeft aangeleverd. Als dat bewijs tekortschiet, volgt een verzoek om aanvulling.
Concrete situaties waarin dit voorkomt:
- De zelfevaluatie geeft aan dat een maatregel is ingericht, maar er is geen document of registratie die dit onderbouwt.
- Het aangeleverde document is verouderd en dekt de huidige situatie niet meer.
- Een beleidsdocument beschrijft een maatregel op papier, maar er is geen bewijs dat die ook in de praktijk wordt toegepast.
- Bewijsstukken zijn onduidelijk gelabeld of niet gekoppeld aan de juiste norm.
- Er ontbreekt een handtekening, datum of andere formele vereiste die de geldigheid van een document bevestigt.
Hoe meer bewijsstukken vooraf volledig en overzichtelijk worden aangeleverd, hoe kleiner de kans op aanvullende vragen tijdens de beoordeling.
Wat telt als geldig bewijs voor een ENSIA-auditor?
Geldig bewijs voor een ENSIA-auditor is bewijsmateriaal dat aantoonbaar maakt dat een maatregel is ingericht en van toepassing is op de gemeentelijke situatie. Het gaat niet alleen om het bestaan van een document, maar ook om de actualiteit, de autorisatie en de herkenbaarheid voor de gemeente.
Voorbeelden van bewijsmateriaal dat doorgaans als geldig wordt beschouwd:
- Vastgesteld beleid of procedures, voorzien van een datum en een handtekening van een bevoegde functionaris.
- Logbestanden of rapportages die aantonen dat een technische maatregel actief is.
- Contracten of verwerkersovereenkomsten met leveranciers.
- Notulen of besluitenlijsten waaruit blijkt dat een maatregel formeel is goedgekeurd.
- Schermafbeeldingen of configuratie-exports van systemen, mits voorzien van een toelichting.
Bewijsmateriaal moet altijd aansluiten op de specifieke norm waarop het betrekking heeft. Een algemeen informatiebeveiligingsbeleid is geen geldig bewijs voor een specifieke technische maatregel als er geen directe koppeling is. Zorg er ook voor dat bewijsstukken herkenbaar zijn als gemeentelijk document, met de naam van de gemeente en een actuele versiedatum.
Hoe lang heeft een gemeente de tijd om aanvullend bewijs aan te leveren?
Er is geen vaste wettelijke termijn voor het aanleveren van aanvullend bewijs tijdens een ENSIA-audit, maar de praktische deadline is helder: het ENSIA-assessment moet voor 1 mei zijn afgerond. Dat betekent dat de ruimte voor het aanvullen van bewijsmateriaal volledig afhankelijk is van het moment waarop de audit is gestart en hoe ver de beoordeling al gevorderd is.
In de werkwijze die wij hanteren, ontvangen gemeenten na de beoordeling een conceptrapportage. Op dat moment krijgt de gemeente de gelegenheid om opmerkingen te plaatsen of aanvullende informatie aan te leveren. Dit is het formele moment waarop je als gemeente nog kunt reageren op bevindingen voordat de definitieve rapportage wordt opgesteld.
Hoe eerder de audit wordt gestart, hoe meer ruimte er is om eventuele ontbrekende bewijsstukken tijdig aan te vullen. Gemeenten die pas in april beginnen, lopen het risico dat er te weinig tijd overblijft om bevindingen op te lossen voor de deadline van 1 mei.
Wat gebeurt er als een gemeente het gevraagde bewijs niet kan leveren?
Als een gemeente het gevraagde bewijs niet kan leveren, legt de auditor een bevinding vast in de rapportage. Afhankelijk van de ernst van de bevinding kan dit gevolgen hebben voor het eindoordeel van de ENSIA-audit. In sommige gevallen kan dit leiden tot een heraudit.
Het proces verloopt dan als volgt:
- De auditor legt de bevinding vast in het conceptrapport met een toelichting op wat ontbreekt.
- De gemeente krijgt de gelegenheid om te reageren op het conceptrapport en eventueel alsnog bewijs aan te leveren.
- Als het bewijs ook dan niet geleverd kan worden, wordt de bevinding opgenomen in de definitieve rapportage.
- De rapportage wordt aangeleverd bij de toezichthouder, die op basis daarvan beoordeelt wat de vervolgstap is.
- Als een heraudit wordt opgelegd, bepaalt de toezichthouder de hersteltermijn op basis van de ernst van de bevinding. Die termijn verschilt per situatie en kan variëren van enkele maanden tot een langere periode.
Een heraudit betekent niet automatisch verlies van certificering. De ernst van de bevinding en de mate waarin de gemeente aantoonbaar werkt aan verbetering, spelen een belangrijke rol in de beoordeling. Het is dan ook van belang om bevindingen serieus te nemen en direct op te pakken.
Hoe voorkom je dat een auditor om aanvullend bewijs moet vragen?
De beste manier om te voorkomen dat een ENSIA-auditor om aanvullend bewijs vraagt, is door het bewijsmateriaal volledig, actueel en overzichtelijk aan te leveren nog voordat de beoordeling begint. Voorbereiding is daarbij de sleutel: gemeenten die het ENSIA-proces het hele jaar door borgen, hebben bij de audit zelf veel minder werk.
Praktische stappen die helpen:
- Begin vroeg met het verzamelen van bewijsstukken, bij voorkeur al in het najaar voorafgaand aan de auditperiode.
- Zorg voor duidelijke interne verantwoordelijkheden: wie levert welk bewijs aan, en wie is eindverantwoordelijk voor de volledigheid?
- Koppel elk bewijsstuk expliciet aan de norm waarop het betrekking heeft, zodat de auditor snel de verbinding kan leggen.
- Controleer of beleidsdocumenten actueel zijn en formeel zijn vastgesteld door een bevoegde functionaris.
- Volg bevindingen uit voorgaande jaren structureel op, zodat dezelfde tekortkomingen niet opnieuw terugkomen.
Een goede interne samenwerking tussen de ENSIA-coördinator, de CISO en de betrokken afdelingen maakt het verschil. Wanneer iedereen weet wat er verwacht wordt en wanneer, verloopt het aanleveren van bewijsmateriaal veel soepeler.
Hoe wij helpen bij de ENSIA-bewijslast
Wij begrijpen dat het verzamelen en structureren van bewijsmateriaal voor de ENSIA-audit in de praktijk veel tijd en afstemming vraagt. Daarom werken wij met een aanpak die gemeenten zo vroeg mogelijk duidelijkheid geeft over wat er verwacht wordt.
Wat wij bieden:
- Wij sturen vooraf duidelijke documentatieverzoeken, zodat de gemeente precies weet welk bewijs nodig is.
- Tijdens de beoordeling geven wij tussentijdse terugkoppeling, zodat eventuele hiaten snel worden gesignaleerd.
- Via het conceptrapport krijgt de gemeente de gelegenheid om aanvullende informatie aan te leveren voordat de definitieve rapportage wordt opgesteld.
- Wij werken met vaste aanspreekpunten en korte communicatielijnen, zodat vragen snel worden beantwoord.
- Bij een onvoldoende resultaat voeren wij de heraudit gratis uit, zonder extra kosten voor de gemeente.
Wij voeren jaarlijks ENSIA-audits uit voor meer dan 70 gemeenten en hebben inmiddels meer dan 2.500 audits achter de rug. Die ervaring maakt dat wij precies weten waar gemeenten tegenaan lopen en hoe we het proces zo efficiënt mogelijk kunnen inrichten. Wil je weten wat wij voor jouw gemeente kunnen betekenen? Neem dan contact op voor een vrijblijvende offerte.
Een ENSIA-auditor kan om aanvullend bewijs vragen wanneer het aangeleverde bewijsmateriaal onvolledig, onduidelijk of niet aantoonbaar genoeg is om een maatregel te beoordelen. Dit kan op elk moment tijdens de beoordelingsfase van de ENSIA-audit plaatsvinden. In de praktijk gaat het vaak om situaties waarin de zelfevaluatie een maatregel als “ingericht” beschrijft, maar het bijbehorende bewijs ontbreekt of te algemeen is. In dit artikel lees je wanneer dat precies gebeurt, wat geldig bewijs is, hoeveel tijd je hebt en hoe je dit soort situaties voorkomt.
In welke situaties vraagt een ENSIA-auditor om extra bewijs?
Een ENSIA-auditor vraagt om aanvullend bewijs wanneer het ingediende bewijsmateriaal niet voldoende aantoont dat een maatregel daadwerkelijk is ingericht. De audit is assertion based, wat betekent dat de auditor zoveel mogelijk steunt op het bewijsmateriaal dat de gemeente zelf heeft aangeleverd. Als dat bewijs tekortschiet, volgt een verzoek om aanvulling.
Concrete situaties waarin dit voorkomt:
- De zelfevaluatie geeft aan dat een maatregel is ingericht, maar er is geen document of registratie die dit onderbouwt.
- Het aangeleverde document is verouderd en dekt de huidige situatie niet meer.
- Een beleidsdocument beschrijft een maatregel op papier, maar er is geen bewijs dat die ook in de praktijk wordt toegepast.
- Bewijsstukken zijn onduidelijk gelabeld of niet gekoppeld aan de juiste norm.
- Er ontbreekt een handtekening, datum of andere formele vereiste die de geldigheid van een document bevestigt.
Hoe meer bewijsstukken vooraf volledig en overzichtelijk worden aangeleverd, hoe kleiner de kans op aanvullende vragen tijdens de beoordeling.
Wat telt als geldig bewijs voor een ENSIA-auditor?
Geldig bewijs voor een ENSIA-auditor is bewijsmateriaal dat aantoonbaar maakt dat een maatregel is ingericht en van toepassing is op de gemeentelijke situatie. Het gaat niet alleen om het bestaan van een document, maar ook om de actualiteit, de autorisatie en de herkenbaarheid voor de gemeente.
Voorbeelden van bewijsmateriaal dat doorgaans als geldig wordt beschouwd:
- Vastgesteld beleid of procedures, voorzien van een datum en een handtekening van een bevoegde functionaris.
- Logbestanden of rapportages die aantonen dat een technische maatregel actief is.
- Contracten of verwerkersovereenkomsten met leveranciers.
- Notulen of besluitenlijsten waaruit blijkt dat een maatregel formeel is goedgekeurd.
- Schermafbeeldingen of configuratie-exports van systemen, mits voorzien van een toelichting.
Bewijsmateriaal moet altijd aansluiten op de specifieke norm waarop het betrekking heeft. Een algemeen informatiebeveiligingsbeleid is geen geldig bewijs voor een specifieke technische maatregel als er geen directe koppeling is. Zorg er ook voor dat bewijsstukken herkenbaar zijn als gemeentelijk document, met de naam van de gemeente en een actuele versiedatum.
Hoe lang heeft een gemeente de tijd om aanvullend bewijs aan te leveren?
Er is geen vaste wettelijke termijn voor het aanleveren van aanvullend bewijs tijdens een ENSIA-audit, maar de praktische deadline is helder: het ENSIA-assessment moet voor 1 mei zijn afgerond. Dat betekent dat de ruimte voor het aanvullen van bewijsmateriaal volledig afhankelijk is van het moment waarop de audit is gestart en hoe ver de beoordeling al gevorderd is.
In de werkwijze die wij hanteren, ontvangen gemeenten na de beoordeling een conceptrapportage. Op dat moment krijgt de gemeente de gelegenheid om opmerkingen te plaatsen of aanvullende informatie aan te leveren. Dit is het formele moment waarop je als gemeente nog kunt reageren op bevindingen voordat de definitieve rapportage wordt opgesteld.
Hoe eerder de audit wordt gestart, hoe meer ruimte er is om eventuele ontbrekende bewijsstukken tijdig aan te vullen. Gemeenten die pas in april beginnen, lopen het risico dat er te weinig tijd overblijft om bevindingen op te lossen voor de deadline van 1 mei.
Wat gebeurt er als een gemeente het gevraagde bewijs niet kan leveren?
Als een gemeente het gevraagde bewijs niet kan leveren, legt de auditor een bevinding vast in de rapportage. Afhankelijk van de ernst van de bevinding kan dit gevolgen hebben voor het eindoordeel van de ENSIA-audit. In sommige gevallen kan dit leiden tot een heraudit.
Het proces verloopt dan als volgt:
- De auditor legt de bevinding vast in het conceptrapport met een toelichting op wat ontbreekt.
- De gemeente krijgt de gelegenheid om te reageren op het conceptrapport en eventueel alsnog bewijs aan te leveren.
- Als het bewijs ook dan niet geleverd kan worden, wordt de bevinding opgenomen in de definitieve rapportage.
- De rapportage wordt aangeleverd bij de toezichthouder, die op basis daarvan beoordeelt wat de vervolgstap is.
- Als een heraudit wordt opgelegd, bepaalt de toezichthouder de hersteltermijn op basis van de ernst van de bevinding. Die termijn verschilt per situatie en kan variëren van enkele maanden tot een langere periode.
Een heraudit betekent niet automatisch verlies van certificering. De ernst van de bevinding en de mate waarin de gemeente aantoonbaar werkt aan verbetering, spelen een belangrijke rol in de beoordeling. Het is dan ook van belang om bevindingen serieus te nemen en direct op te pakken.
Hoe voorkom je dat een auditor om aanvullend bewijs moet vragen?
De beste manier om te voorkomen dat een ENSIA-auditor om aanvullend bewijs vraagt, is door het bewijsmateriaal volledig, actueel en overzichtelijk aan te leveren nog voordat de beoordeling begint. Voorbereiding is daarbij de sleutel: gemeenten die het ENSIA-proces het hele jaar door borgen, hebben bij de audit zelf veel minder werk.
Praktische stappen die helpen:
- Begin vroeg met het verzamelen van bewijsstukken, bij voorkeur al in het najaar voorafgaand aan de auditperiode.
- Zorg voor duidelijke interne verantwoordelijkheden: wie levert welk bewijs aan, en wie is eindverantwoordelijk voor de volledigheid?
- Koppel elk bewijsstuk expliciet aan de norm waarop het betrekking heeft, zodat de auditor snel de verbinding kan leggen.
- Controleer of beleidsdocumenten actueel zijn en formeel zijn vastgesteld door een bevoegde functionaris.
- Volg bevindingen uit voorgaande jaren structureel op, zodat dezelfde tekortkomingen niet opnieuw terugkomen.
Een goede interne samenwerking tussen de ENSIA-coördinator, de CISO en de betrokken afdelingen maakt het verschil. Wanneer iedereen weet wat er verwacht wordt en wanneer, verloopt het aanleveren van bewijsmateriaal veel soepeler.
Hoe wij helpen bij de ENSIA-bewijslast
Wij begrijpen dat het verzamelen en structureren van bewijsmateriaal voor de ENSIA-audit in de praktijk veel tijd en afstemming vraagt. Daarom werken wij met een aanpak die gemeenten zo vroeg mogelijk duidelijkheid geeft over wat er verwacht wordt.
Wat wij bieden:
- Wij sturen vooraf duidelijke documentatieverzoeken, zodat de gemeente precies weet welk bewijs nodig is.
- Tijdens de beoordeling geven wij tussentijdse terugkoppeling, zodat eventuele hiaten snel worden gesignaleerd.
- Via het conceptrapport krijgt de gemeente de gelegenheid om aanvullende informatie aan te leveren voordat de definitieve rapportage wordt opgesteld.
- Wij werken met vaste aanspreekpunten en korte communicatielijnen, zodat vragen snel worden beantwoord.
- Bij een onvoldoende resultaat voeren wij de heraudit gratis uit, zonder extra kosten voor de gemeente.
Wij voeren jaarlijks ENSIA-audits uit voor meer dan 70 gemeenten en hebben inmiddels meer dan 2.500 audits achter de rug. Die ervaring maakt dat wij precies weten waar gemeenten tegenaan lopen en hoe we het proces zo efficiënt mogelijk kunnen inrichten. Wil je weten wat wij voor jouw gemeente kunnen betekenen? Neem dan contact op voor een vrijblijvende offerte.