Wat als een leverancier niet op tijd bewijs voor de ENSIA-audit aanlevert?
Als een leverancier niet op tijd bewijs aanlevert voor de DigiD en Suwinet (ENSIA)-audit, kan dit directe gevolgen hebben voor de volledigheid van het bewijsdossier van de gemeente. De gemeente blijft zelf eindverantwoordelijk voor een compleet en tijdig ingediend dossier, ook als een externe partij tekortschiet. Hoe je dit risico beperkt en wat je kunt doen als het toch misgaat, lees je in dit artikel.
Wat zijn de gevolgen als bewijs te laat binnenkomt?
Als een leverancier bewijs te laat aanlevert voor de DigiD en Suwinet (ENSIA)-audit, loopt de gemeente het risico dat de auditor een bevinding vastlegt over ontbrekende of onvolledige bewijslast. Dit kan leiden tot een onvoldoende beoordeling op een of meerdere normen, wat vervolgens kan resulteren in een heraudit. De deadline van 1 mei voor de reguliere DigiD en Suwinet (ENSIA)-audit is daarbij leidend en biedt weinig ruimte voor vertraging.
Een te laat aangeleverd bewijsstuk betekent niet automatisch dat de hele audit mislukt, maar het vergroot wel de kans op bevindingen. De auditor beoordeelt of maatregelen aantoonbaar zijn ingericht en daadwerkelijk hebben gefunctioneerd. Als bewijs ontbreekt of onvolledig is, kan de auditor geen positief oordeel geven over dat onderdeel, ongeacht of de maatregel in de praktijk wel degelijk aanwezig was.
Praktische gevolgen voor de gemeente zijn onder meer:
- Bevindingen in de conceptrapportage die extra werk opleveren
- Vertraging in de afronding van het auditproces
- Mogelijke noodzaak tot een heraudit voor specifieke onderdelen
- Extra druk op de DigiD en Suwinet (ENSIA)-coördinator en betrokken afdelingen
Welke leveranciers moeten bewijs aanleveren voor de DigiD en Suwinet (ENSIA)-audit?
Voor de DigiD en Suwinet (ENSIA)-audit zijn met name leveranciers relevant die software of diensten leveren waarmee de gemeente persoonsgegevens verwerkt of toegang biedt tot gemeentelijke systemen. Denk aan leveranciers van SaaS-oplossingen die worden gebruikt voor processen die onder de reikwijdte van de DigiD en Suwinet (ENSIA)-audit vallen.
Bij het gebruik van een SaaS-oplossing is een Third Party Mededeling (TPM) van de leverancier nodig. Een TPM is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier beoordeelt. Het grote voordeel is dat andere auditors op dit rapport kunnen vertrouwen, waardoor zij niet alles opnieuw hoeven te onderzoeken bij de gemeente zelf. Dit vermindert de totale auditinspanning aanzienlijk.
Op basis van een TPM hoeft de auditor bij de gemeente alleen een beperkte controle uit te voeren op een specifiek aantal relevante normen. Ontbreekt de TPM of is deze niet tijdig beschikbaar, dan moet de auditor meer werkzaamheden uitvoeren bij de gemeente zelf, wat extra tijd en bewijslast vraagt.
Hoe voorkom je dat een leverancier te laat is met bewijs?
De beste manier om te voorkomen dat een leverancier te laat is met het aanleveren van bewijs, is vroeg beginnen met de voorbereiding en duidelijke afspraken vastleggen. Wacht niet tot de laatste weken voor de deadline, maar neem al in het najaar of vroeg in het nieuwe jaar contact op met relevante leveranciers.
Concrete stappen die helpen:
- Breng in kaart welke leveranciers bewijs moeten aanleveren en welk type bewijs dat is, zoals een TPM of andere documentatie.
- Leg afspraken contractueel vast, inclusief de verplichting om tijdig bewijsstukken te leveren voor de jaarlijkse DigiD en Suwinet (ENSIA)-audit.
- Stuur tijdig een formeel verzoek met een duidelijke deadline die ruim voor 1 mei ligt, zodat er nog ruimte is voor herstel bij vertraging.
- Volg de voortgang actief op en stuur een herinnering als een leverancier niet reageert.
- Maak intern duidelijk wie verantwoordelijk is voor het opvolgen van leveranciersbewijs, zodat dit niet tussen wal en schip valt.
Structurele borging gedurende het jaar is effectiever dan een jaarlijkse sprint vlak voor de audit. Door DigiD en Suwinet (ENSIA)-bewijs als doorlopend aandachtspunt te behandelen, verklein je de kans op verrassingen.
Wat doe je als een leverancier weigert of niet reageert?
Als een leverancier weigert bewijs aan te leveren of simpelweg niet reageert, is het belangrijk dit te documenteren en intern te escaleren. De gemeente blijft eindverantwoordelijk voor het bewijsdossier, maar kan de auditor wel informeren over de situatie en de stappen die zijn ondernomen.
Praktisch gezien zijn er een aantal opties:
- Escaleer intern naar de contractbeheerder of inkoopafdeling om de leverancier formeel aan te spreken op contractuele verplichtingen.
- Stuur een schriftelijk verzoek met een expliciete deadline en verwijs naar de auditverplichtingen van de gemeente.
- Leg de communicatie vast, zodat de auditor kan zien dat de gemeente actief heeft geprobeerd het bewijs te verkrijgen.
- Bespreek de situatie met de auditor, die kan beoordelen of alternatieve bewijsstukken volstaan of hoe de bevinding wordt gewogen.
Een leverancier die structureel niet meewerkt, is ook een signaal voor toekomstige inkoopbeslissingen. Medewerking aan audits kan als eis worden opgenomen in nieuwe contracten of aanbestedingen.
Welke alternatieve bewijsstukken accepteert een auditor?
Als een leverancier geen of onvolledig bewijs aanlevert, kan de auditor in sommige gevallen alternatieve bewijsstukken accepteren. Dit is afhankelijk van de norm die wordt getoetst en de aard van het ontbrekende bewijs. Er bestaat geen vaste lijst van alternatieven, maar de auditor beoordeelt per situatie of het aangeboden bewijs voldoende inzicht geeft in de opzet, het bestaan en de werking van een maatregel.
Mogelijke alternatieven die in de praktijk worden overwogen:
- Contractuele afspraken of verwerkersovereenkomsten die de maatregel beschrijven
- Eigen inspecties of controles die de gemeente heeft uitgevoerd bij de leverancier
- Correspondentie of verklaringen van de leverancier over de getroffen maatregelen
- Eerdere auditrapportages van de leverancier, mits voldoende actueel
Belangrijk is dat de auditor zelf bepaalt of alternatief bewijs volstaat. Stem dit altijd af voordat je ervan uitgaat dat een alternatief bewijsstuk de ontbrekende documentatie vervangt. Transparante communicatie met de auditor gedurende het proces is daarbij essentieel.
Wanneer is een heraudit nodig door ontbrekend leveranciersbewijs?
Een heraudit is nodig als de auditor op basis van het beschikbare bewijsmateriaal geen positief oordeel kan geven over een of meerdere normen en de bevinding ernstig genoeg is om herstel te vereisen. Ontbrekend leveranciersbewijs kan een directe aanleiding zijn voor zo’n bevinding, zeker als het gaat om een norm waarvoor de leverancier de enige bron van bewijs is.
De noodzaak tot een heraudit wordt niet automatisch bepaald door het ontbreken van één bewijsstuk. Logius beoordeelt de rapportages individueel en bepaalt op basis van de ernst van de bevindingen of en binnen welke termijn herstel vereist is. Die termijn verschilt per gemeente en per situatie, en er bestaat geen uniforme deadline voor heraudits.
Een heraudit richt zich op de specifieke bevindingen uit de oorspronkelijke DigiD en Suwinet (ENSIA)-audit. De gemeente moet in die periode alsnog aantonen dat de betreffende maatregelen aantoonbaar zijn ingericht en functioneren. Dit vraagt om gerichte actie, zowel richting de leverancier als intern.
Hoe BKBO B.V. helpt bij leveranciersbewijs voor de DigiD en Suwinet (ENSIA)-audit
Wij begeleiden gemeenten gedurende het volledige DigiD en Suwinet (ENSIA)-auditproces en maken vanaf het begin duidelijk welke informatie en bewijsstukken nodig zijn, ook van externe leveranciers. Zo weet de gemeente tijdig wat er verwacht wordt en is er ruimte om leveranciers op te volgen voordat de deadline in zicht komt.
Wat wij daarin bieden:
- Een helder overzicht van welke bewijsstukken per norm verwacht worden
- Tussentijdse terugkoppeling als bewijs ontbreekt of onvolledig is
- Concrete aanbevelingen als een leverancier niet tijdig levert
- Beoordeling of alternatief bewijs volstaat voor een specifieke norm
- Een vaste prijs zonder verborgen kosten, inclusief een eventuele heraudit die wij gratis uitvoeren
Met meer dan 2.500 uitgevoerde audits en jarenlange ervaring met gemeenten weten wij precies waar het in de praktijk mis kan gaan. Wil je weten hoe wij jouw gemeente kunnen ondersteunen bij de DigiD en Suwinet (ENSIA)-audit? Neem contact met ons op voor een vrijblijvende offerte.
Deze blog is opgesteld met behulp van AI-technologie en gepubliceerd in het kader van onze online zichtbaarheid. Hoewel de inhoud met zorg is samengesteld, kunnen aan deze blog geen rechten worden ontleend. Voor specifieke situaties en vragen adviseren wij altijd contact op te nemen met een specialist van BKBO B.V.
Als een leverancier niet op tijd bewijs aanlevert voor de DigiD en Suwinet (ENSIA)-audit, kan dit directe gevolgen hebben voor de volledigheid van het bewijsdossier van de gemeente. De gemeente blijft zelf eindverantwoordelijk voor een compleet en tijdig ingediend dossier, ook als een externe partij tekortschiet. Hoe je dit risico beperkt en wat je kunt doen als het toch misgaat, lees je in dit artikel.
Wat zijn de gevolgen als bewijs te laat binnenkomt?
Als een leverancier bewijs te laat aanlevert voor de DigiD en Suwinet (ENSIA)-audit, loopt de gemeente het risico dat de auditor een bevinding vastlegt over ontbrekende of onvolledige bewijslast. Dit kan leiden tot een onvoldoende beoordeling op een of meerdere normen, wat vervolgens kan resulteren in een heraudit. De deadline van 1 mei voor de reguliere DigiD en Suwinet (ENSIA)-audit is daarbij leidend en biedt weinig ruimte voor vertraging.
Een te laat aangeleverd bewijsstuk betekent niet automatisch dat de hele audit mislukt, maar het vergroot wel de kans op bevindingen. De auditor beoordeelt of maatregelen aantoonbaar zijn ingericht en daadwerkelijk hebben gefunctioneerd. Als bewijs ontbreekt of onvolledig is, kan de auditor geen positief oordeel geven over dat onderdeel, ongeacht of de maatregel in de praktijk wel degelijk aanwezig was.
Praktische gevolgen voor de gemeente zijn onder meer:
- Bevindingen in de conceptrapportage die extra werk opleveren
- Vertraging in de afronding van het auditproces
- Mogelijke noodzaak tot een heraudit voor specifieke onderdelen
- Extra druk op de DigiD en Suwinet (ENSIA)-coördinator en betrokken afdelingen
Welke leveranciers moeten bewijs aanleveren voor de DigiD en Suwinet (ENSIA)-audit?
Voor de DigiD en Suwinet (ENSIA)-audit zijn met name leveranciers relevant die software of diensten leveren waarmee de gemeente persoonsgegevens verwerkt of toegang biedt tot gemeentelijke systemen. Denk aan leveranciers van SaaS-oplossingen die worden gebruikt voor processen die onder de reikwijdte van de DigiD en Suwinet (ENSIA)-audit vallen.
Bij het gebruik van een SaaS-oplossing is een Third Party Mededeling (TPM) van de leverancier nodig. Een TPM is een apart onderzoek waarbij een IT-auditor de beveiligingsmaatregelen bij de leverancier beoordeelt. Het grote voordeel is dat andere auditors op dit rapport kunnen vertrouwen, waardoor zij niet alles opnieuw hoeven te onderzoeken bij de gemeente zelf. Dit vermindert de totale auditinspanning aanzienlijk.
Op basis van een TPM hoeft de auditor bij de gemeente alleen een beperkte controle uit te voeren op een specifiek aantal relevante normen. Ontbreekt de TPM of is deze niet tijdig beschikbaar, dan moet de auditor meer werkzaamheden uitvoeren bij de gemeente zelf, wat extra tijd en bewijslast vraagt.
Hoe voorkom je dat een leverancier te laat is met bewijs?
De beste manier om te voorkomen dat een leverancier te laat is met het aanleveren van bewijs, is vroeg beginnen met de voorbereiding en duidelijke afspraken vastleggen. Wacht niet tot de laatste weken voor de deadline, maar neem al in het najaar of vroeg in het nieuwe jaar contact op met relevante leveranciers.
Concrete stappen die helpen:
- Breng in kaart welke leveranciers bewijs moeten aanleveren en welk type bewijs dat is, zoals een TPM of andere documentatie.
- Leg afspraken contractueel vast, inclusief de verplichting om tijdig bewijsstukken te leveren voor de jaarlijkse DigiD en Suwinet (ENSIA)-audit.
- Stuur tijdig een formeel verzoek met een duidelijke deadline die ruim voor 1 mei ligt, zodat er nog ruimte is voor herstel bij vertraging.
- Volg de voortgang actief op en stuur een herinnering als een leverancier niet reageert.
- Maak intern duidelijk wie verantwoordelijk is voor het opvolgen van leveranciersbewijs, zodat dit niet tussen wal en schip valt.
Structurele borging gedurende het jaar is effectiever dan een jaarlijkse sprint vlak voor de audit. Door DigiD en Suwinet (ENSIA)-bewijs als doorlopend aandachtspunt te behandelen, verklein je de kans op verrassingen.
Wat doe je als een leverancier weigert of niet reageert?
Als een leverancier weigert bewijs aan te leveren of simpelweg niet reageert, is het belangrijk dit te documenteren en intern te escaleren. De gemeente blijft eindverantwoordelijk voor het bewijsdossier, maar kan de auditor wel informeren over de situatie en de stappen die zijn ondernomen.
Praktisch gezien zijn er een aantal opties:
- Escaleer intern naar de contractbeheerder of inkoopafdeling om de leverancier formeel aan te spreken op contractuele verplichtingen.
- Stuur een schriftelijk verzoek met een expliciete deadline en verwijs naar de auditverplichtingen van de gemeente.
- Leg de communicatie vast, zodat de auditor kan zien dat de gemeente actief heeft geprobeerd het bewijs te verkrijgen.
- Bespreek de situatie met de auditor, die kan beoordelen of alternatieve bewijsstukken volstaan of hoe de bevinding wordt gewogen.
Een leverancier die structureel niet meewerkt, is ook een signaal voor toekomstige inkoopbeslissingen. Medewerking aan audits kan als eis worden opgenomen in nieuwe contracten of aanbestedingen.
Welke alternatieve bewijsstukken accepteert een auditor?
Als een leverancier geen of onvolledig bewijs aanlevert, kan de auditor in sommige gevallen alternatieve bewijsstukken accepteren. Dit is afhankelijk van de norm die wordt getoetst en de aard van het ontbrekende bewijs. Er bestaat geen vaste lijst van alternatieven, maar de auditor beoordeelt per situatie of het aangeboden bewijs voldoende inzicht geeft in de opzet, het bestaan en de werking van een maatregel.
Mogelijke alternatieven die in de praktijk worden overwogen:
- Contractuele afspraken of verwerkersovereenkomsten die de maatregel beschrijven
- Eigen inspecties of controles die de gemeente heeft uitgevoerd bij de leverancier
- Correspondentie of verklaringen van de leverancier over de getroffen maatregelen
- Eerdere auditrapportages van de leverancier, mits voldoende actueel
Belangrijk is dat de auditor zelf bepaalt of alternatief bewijs volstaat. Stem dit altijd af voordat je ervan uitgaat dat een alternatief bewijsstuk de ontbrekende documentatie vervangt. Transparante communicatie met de auditor gedurende het proces is daarbij essentieel.
Wanneer is een heraudit nodig door ontbrekend leveranciersbewijs?
Een heraudit is nodig als de auditor op basis van het beschikbare bewijsmateriaal geen positief oordeel kan geven over een of meerdere normen en de bevinding ernstig genoeg is om herstel te vereisen. Ontbrekend leveranciersbewijs kan een directe aanleiding zijn voor zo’n bevinding, zeker als het gaat om een norm waarvoor de leverancier de enige bron van bewijs is.
De noodzaak tot een heraudit wordt niet automatisch bepaald door het ontbreken van één bewijsstuk. Logius beoordeelt de rapportages individueel en bepaalt op basis van de ernst van de bevindingen of en binnen welke termijn herstel vereist is. Die termijn verschilt per gemeente en per situatie, en er bestaat geen uniforme deadline voor heraudits.
Een heraudit richt zich op de specifieke bevindingen uit de oorspronkelijke DigiD en Suwinet (ENSIA)-audit. De gemeente moet in die periode alsnog aantonen dat de betreffende maatregelen aantoonbaar zijn ingericht en functioneren. Dit vraagt om gerichte actie, zowel richting de leverancier als intern.
Hoe BKBO B.V. helpt bij leveranciersbewijs voor de DigiD en Suwinet (ENSIA)-audit
Wij begeleiden gemeenten gedurende het volledige DigiD en Suwinet (ENSIA)-auditproces en maken vanaf het begin duidelijk welke informatie en bewijsstukken nodig zijn, ook van externe leveranciers. Zo weet de gemeente tijdig wat er verwacht wordt en is er ruimte om leveranciers op te volgen voordat de deadline in zicht komt.
Wat wij daarin bieden:
- Een helder overzicht van welke bewijsstukken per norm verwacht worden
- Tussentijdse terugkoppeling als bewijs ontbreekt of onvolledig is
- Concrete aanbevelingen als een leverancier niet tijdig levert
- Beoordeling of alternatief bewijs volstaat voor een specifieke norm
- Een vaste prijs zonder verborgen kosten, inclusief een eventuele heraudit die wij gratis uitvoeren
Met meer dan 2.500 uitgevoerde audits en jarenlange ervaring met gemeenten weten wij precies waar het in de praktijk mis kan gaan. Wil je weten hoe wij jouw gemeente kunnen ondersteunen bij de DigiD en Suwinet (ENSIA)-audit? Neem contact met ons op voor een vrijblijvende offerte.
Deze blog is opgesteld met behulp van AI-technologie en gepubliceerd in het kader van onze online zichtbaarheid. Hoewel de inhoud met zorg is samengesteld, kunnen aan deze blog geen rechten worden ontleend. Voor specifieke situaties en vragen adviseren wij altijd contact op te nemen met een specialist van BKBO B.V.