Welke logging moet een gemeente kunnen aantonen bij een Suwinet-audit?
Bij een Suwinet-audit moet een gemeente kunnen aantonen dat zij toegang tot Suwinet registreert, bewaart en actief controleert. Concreet gaat het om loggegevens van raadplegingen: wie heeft wanneer welke gegevens ingezien, en was dat gebruik doelmatig? De eisen komen voort uit de normen die BKWI stelt aan gemeenten die Suwinet gebruiken voor de uitvoering van de Participatiewet of voor adresonderzoek door Burgerzaken. In dit artikel beantwoorden we de meest gestelde vragen over logging bij een Suwinet-audit.
Welke soorten logging zijn verplicht bij Suwinet?
Bij een Suwinet-audit moet een gemeente aantonen dat zij raadplegingslogging bijhoudt. Dit betekent dat elke opvraging van gegevens via Suwinet wordt vastgelegd, inclusief de identiteit van de gebruiker, het tijdstip van de raadpleging en de geraadpleegde gegevens of het geraadpleegde dossier. Zonder deze basisregistratie is aantoonbaarheid niet mogelijk.
In de praktijk gaat het om twee typen logging die gemeenten moeten kunnen overleggen:
- Raadplegingslogging: een overzicht van alle opvragingen via Suwinet, gekoppeld aan een specifieke medewerker en een tijdstip.
- Beheerslogging: registratie van wijzigingen in gebruikersrechten, zoals het aanmaken of verwijderen van accounts en het aanpassen van autorisaties.
Beide vormen van logging zijn nodig om aan te tonen dat de gemeente grip heeft op wie toegang heeft tot Suwinet en hoe die toegang wordt gebruikt. De raadplegingslogging is daarbij het meest kritische onderdeel, omdat dit de basis vormt voor de periodieke controle op doelmatig gebruik.
Hoe lang moet een gemeente Suwinet-logging bewaren?
Gemeenten zijn verplicht om Suwinet-logging minimaal één jaar te bewaren. Dit is de bewaartermijn die BKWI hanteert en die terugkomt in de normen waarop een auditor toetst. Een kortere bewaartermijn maakt het onmogelijk om bij een audit een volledig beeld te geven van het gebruik over de afgelopen periode.
In de praktijk betekent dit dat de logging technisch beschikbaar moet zijn en niet tussentijds mag worden overschreven of verwijderd. Gemeenten die werken met een externe applicatie of een SaaS-oplossing voor Suwinet-toegang, moeten bij hun leverancier nagaan of de logging correct wordt opgeslagen en voor de vereiste periode beschikbaar blijft. Dit is een punt dat regelmatig voor verrassingen zorgt tijdens de voorbereiding op een audit.
Wat controleert een auditor precies in de Suwinet-logging?
Een auditor beoordeelt bij een Suwinet-audit niet alleen of logging technisch aanwezig is, maar ook of de gemeente die logging actief gebruikt om misbruik of onrechtmatig gebruik te signaleren. De controle richt zich op drie hoofdpunten: de volledigheid van de logging, de bewaartermijn en het aantoonbare gebruik van de logging voor periodieke controle.
Concreet kijkt een auditor naar het volgende:
- Volledigheid: worden alle raadplegingen geregistreerd, inclusief de gebruikersidentiteit en het tijdstip?
- Bewaartermijn: is de logging aantoonbaar minimaal één jaar beschikbaar?
- Periodieke analyse: voert de gemeente regelmatig een controle uit op de loggegevens, en is dit gedocumenteerd?
- Opvolging: worden afwijkingen of onregelmatigheden gesignaleerd en opgevolgd, en is dat vastgelegd?
Het gaat dus niet alleen om het hebben van logging, maar om het aantoonbaar beheren en benutten ervan. Een gemeente die wel logging heeft maar nooit controleert, voldoet niet aan de norm.
Wat zijn veelvoorkomende tekortkomingen in Suwinet-logging bij gemeenten?
De meest voorkomende tekortkoming bij Suwinet-logging is dat gemeenten wel logging hebben, maar niet kunnen aantonen dat zij die logging ook periodiek controleren. De technische registratie is dan aanwezig, maar de organisatorische borging ontbreekt. Dit leidt vrijwel altijd tot een bevinding tijdens de audit.
Andere tekortkomingen die regelmatig terugkomen:
- Logging is niet volledig, omdat niet alle Suwinet-aansluitingen zijn meegenomen. Veel gemeenten hebben twee aansluitingen, één voor de Participatiewet en één voor adresonderzoek, en vergeten soms één van beide.
- De bewaartermijn wordt niet gehaald doordat logbestanden automatisch worden overschreven of verwijderd.
- Er is geen vastgelegde procedure voor de periodieke controle op raadplegingen.
- Afwijkingen worden wel gesignaleerd, maar niet gedocumenteerd of opgevolgd, waardoor de opvolging niet aantoonbaar is.
- Bij gebruik van een externe leverancier is onduidelijk wie verantwoordelijk is voor het bewaren en beschikbaar stellen van de logging.
Deze tekortkomingen zijn goed te voorkomen met een duidelijke interne procedure en heldere afspraken met eventuele leveranciers.
Wie is binnen een gemeente verantwoordelijk voor Suwinet-logging?
De eindverantwoordelijkheid voor Suwinet-logging ligt bij de gemeente zelf. In de praktijk zijn meerdere rollen betrokken. De functioneel beheerder of applicatiebeheerder is doorgaans verantwoordelijk voor de technische inrichting van de logging. De CISO of informatiemanager is verantwoordelijk voor het beleid rondom toegangsbeheer en periodieke controle. De ENSIA-coördinator bewaakt het totaalproces en zorgt dat de benodigde bewijsstukken tijdig beschikbaar zijn voor de audit.
Een veelgemaakte fout is dat deze verantwoordelijkheden niet expliciet zijn belegd. Iedereen gaat ervan uit dat een ander het regelt, waardoor de periodieke controle op logging structureel wordt overgeslagen. Het vastleggen van verantwoordelijkheden in een procedure of taakomschrijving is daarom geen formaliteit, maar een praktische noodzaak. Gemeenten met twee Suwinet-aansluitingen moeten bovendien zorgen dat de verantwoordelijkheid voor beide aansluitingen duidelijk is geregeld, ook als die bij verschillende afdelingen liggen.
Hoe toont een gemeente aan dat logging actief wordt gemonitord?
Een gemeente toont actieve monitoring aan door periodieke controles op de loggegevens te documenteren en de uitkomsten daarvan te bewaren. Het gaat niet om een eenmalige actie vlak voor de audit, maar om een structureel proces dat gedurende het jaar plaatsvindt. Een auditor wil zien dat de gemeente op vaste momenten de raadplegingslogging analyseert en dat afwijkingen worden opgevolgd.
Praktisch betekent dit dat de gemeente beschikt over:
- Een vastgestelde procedure of werkinstructie voor de periodieke controle op Suwinet-logging.
- Verslagen of rapportages van uitgevoerde controles, met datum en uitkomst.
- Documentatie van gesignaleerde afwijkingen en de opvolging daarvan.
- Een duidelijke frequentie voor de controles, bijvoorbeeld maandelijks of per kwartaal.
Gemeenten die dit proces pas inrichten als de audit eraan komt, lopen het risico dat zij geen aantoonbare historie kunnen overleggen. Structurele borging gedurende het jaar is daarmee niet alleen een auditvereiste, maar ook een teken van volwassen informatiebeheer.
Hoe BKBO B.V. helpt bij Suwinet-logging en de Suwinet-audit
Wij voeren jaarlijks Suwinet-audits uit voor gemeenten in heel Nederland en weten precies waar het in de praktijk misgaat. Met meer dan 2.500 uitgevoerde audits hebben wij een scherp beeld van de meest voorkomende tekortkomingen rondom logging, bewaring en monitoring. Onze aanpak is concreet en gericht op wat de gemeente zelf kan verbeteren.
Wat wij bieden:
- Een duidelijk auditplan vooraf, zodat de gemeente weet wat er wordt verwacht.
- Beoordeling van de aangeleverde bewijsstukken, inclusief tussentijdse terugkoppeling.
- Concrete aanbevelingen voor het inrichten of verbeteren van logging en monitoringprocedures.
- Een vaste prijs zonder verborgen kosten, inclusief een eventuele heraudit.
- Korte communicatielijnen en één vast aanspreekpunt voor de gemeente.
De gemeente blijft altijd zelf eindverantwoordelijk, maar wij zorgen dat het auditproces helder en beheersbaar verloopt. Wilt u weten wat een Suwinet-audit voor uw gemeente inhoudt? Neem contact met ons op voor een vrijblijvende offerte.
Bij een Suwinet-audit moet een gemeente kunnen aantonen dat zij toegang tot Suwinet registreert, bewaart en actief controleert. Concreet gaat het om loggegevens van raadplegingen: wie heeft wanneer welke gegevens ingezien, en was dat gebruik doelmatig? De eisen komen voort uit de normen die BKWI stelt aan gemeenten die Suwinet gebruiken voor de uitvoering van de Participatiewet of voor adresonderzoek door Burgerzaken. In dit artikel beantwoorden we de meest gestelde vragen over logging bij een Suwinet-audit.
Welke soorten logging zijn verplicht bij Suwinet?
Bij een Suwinet-audit moet een gemeente aantonen dat zij raadplegingslogging bijhoudt. Dit betekent dat elke opvraging van gegevens via Suwinet wordt vastgelegd, inclusief de identiteit van de gebruiker, het tijdstip van de raadpleging en de geraadpleegde gegevens of het geraadpleegde dossier. Zonder deze basisregistratie is aantoonbaarheid niet mogelijk.
In de praktijk gaat het om twee typen logging die gemeenten moeten kunnen overleggen:
- Raadplegingslogging: een overzicht van alle opvragingen via Suwinet, gekoppeld aan een specifieke medewerker en een tijdstip.
- Beheerslogging: registratie van wijzigingen in gebruikersrechten, zoals het aanmaken of verwijderen van accounts en het aanpassen van autorisaties.
Beide vormen van logging zijn nodig om aan te tonen dat de gemeente grip heeft op wie toegang heeft tot Suwinet en hoe die toegang wordt gebruikt. De raadplegingslogging is daarbij het meest kritische onderdeel, omdat dit de basis vormt voor de periodieke controle op doelmatig gebruik.
Hoe lang moet een gemeente Suwinet-logging bewaren?
Gemeenten zijn verplicht om Suwinet-logging minimaal één jaar te bewaren. Dit is de bewaartermijn die BKWI hanteert en die terugkomt in de normen waarop een auditor toetst. Een kortere bewaartermijn maakt het onmogelijk om bij een audit een volledig beeld te geven van het gebruik over de afgelopen periode.
In de praktijk betekent dit dat de logging technisch beschikbaar moet zijn en niet tussentijds mag worden overschreven of verwijderd. Gemeenten die werken met een externe applicatie of een SaaS-oplossing voor Suwinet-toegang, moeten bij hun leverancier nagaan of de logging correct wordt opgeslagen en voor de vereiste periode beschikbaar blijft. Dit is een punt dat regelmatig voor verrassingen zorgt tijdens de voorbereiding op een audit.
Wat controleert een auditor precies in de Suwinet-logging?
Een auditor beoordeelt bij een Suwinet-audit niet alleen of logging technisch aanwezig is, maar ook of de gemeente die logging actief gebruikt om misbruik of onrechtmatig gebruik te signaleren. De controle richt zich op drie hoofdpunten: de volledigheid van de logging, de bewaartermijn en het aantoonbare gebruik van de logging voor periodieke controle.
Concreet kijkt een auditor naar het volgende:
- Volledigheid: worden alle raadplegingen geregistreerd, inclusief de gebruikersidentiteit en het tijdstip?
- Bewaartermijn: is de logging aantoonbaar minimaal één jaar beschikbaar?
- Periodieke analyse: voert de gemeente regelmatig een controle uit op de loggegevens, en is dit gedocumenteerd?
- Opvolging: worden afwijkingen of onregelmatigheden gesignaleerd en opgevolgd, en is dat vastgelegd?
Het gaat dus niet alleen om het hebben van logging, maar om het aantoonbaar beheren en benutten ervan. Een gemeente die wel logging heeft maar nooit controleert, voldoet niet aan de norm.
Wat zijn veelvoorkomende tekortkomingen in Suwinet-logging bij gemeenten?
De meest voorkomende tekortkoming bij Suwinet-logging is dat gemeenten wel logging hebben, maar niet kunnen aantonen dat zij die logging ook periodiek controleren. De technische registratie is dan aanwezig, maar de organisatorische borging ontbreekt. Dit leidt vrijwel altijd tot een bevinding tijdens de audit.
Andere tekortkomingen die regelmatig terugkomen:
- Logging is niet volledig, omdat niet alle Suwinet-aansluitingen zijn meegenomen. Veel gemeenten hebben twee aansluitingen, één voor de Participatiewet en één voor adresonderzoek, en vergeten soms één van beide.
- De bewaartermijn wordt niet gehaald doordat logbestanden automatisch worden overschreven of verwijderd.
- Er is geen vastgelegde procedure voor de periodieke controle op raadplegingen.
- Afwijkingen worden wel gesignaleerd, maar niet gedocumenteerd of opgevolgd, waardoor de opvolging niet aantoonbaar is.
- Bij gebruik van een externe leverancier is onduidelijk wie verantwoordelijk is voor het bewaren en beschikbaar stellen van de logging.
Deze tekortkomingen zijn goed te voorkomen met een duidelijke interne procedure en heldere afspraken met eventuele leveranciers.
Wie is binnen een gemeente verantwoordelijk voor Suwinet-logging?
De eindverantwoordelijkheid voor Suwinet-logging ligt bij de gemeente zelf. In de praktijk zijn meerdere rollen betrokken. De functioneel beheerder of applicatiebeheerder is doorgaans verantwoordelijk voor de technische inrichting van de logging. De CISO of informatiemanager is verantwoordelijk voor het beleid rondom toegangsbeheer en periodieke controle. De ENSIA-coördinator bewaakt het totaalproces en zorgt dat de benodigde bewijsstukken tijdig beschikbaar zijn voor de audit.
Een veelgemaakte fout is dat deze verantwoordelijkheden niet expliciet zijn belegd. Iedereen gaat ervan uit dat een ander het regelt, waardoor de periodieke controle op logging structureel wordt overgeslagen. Het vastleggen van verantwoordelijkheden in een procedure of taakomschrijving is daarom geen formaliteit, maar een praktische noodzaak. Gemeenten met twee Suwinet-aansluitingen moeten bovendien zorgen dat de verantwoordelijkheid voor beide aansluitingen duidelijk is geregeld, ook als die bij verschillende afdelingen liggen.
Hoe toont een gemeente aan dat logging actief wordt gemonitord?
Een gemeente toont actieve monitoring aan door periodieke controles op de loggegevens te documenteren en de uitkomsten daarvan te bewaren. Het gaat niet om een eenmalige actie vlak voor de audit, maar om een structureel proces dat gedurende het jaar plaatsvindt. Een auditor wil zien dat de gemeente op vaste momenten de raadplegingslogging analyseert en dat afwijkingen worden opgevolgd.
Praktisch betekent dit dat de gemeente beschikt over:
- Een vastgestelde procedure of werkinstructie voor de periodieke controle op Suwinet-logging.
- Verslagen of rapportages van uitgevoerde controles, met datum en uitkomst.
- Documentatie van gesignaleerde afwijkingen en de opvolging daarvan.
- Een duidelijke frequentie voor de controles, bijvoorbeeld maandelijks of per kwartaal.
Gemeenten die dit proces pas inrichten als de audit eraan komt, lopen het risico dat zij geen aantoonbare historie kunnen overleggen. Structurele borging gedurende het jaar is daarmee niet alleen een auditvereiste, maar ook een teken van volwassen informatiebeheer.
Hoe BKBO B.V. helpt bij Suwinet-logging en de Suwinet-audit
Wij voeren jaarlijks Suwinet-audits uit voor gemeenten in heel Nederland en weten precies waar het in de praktijk misgaat. Met meer dan 2.500 uitgevoerde audits hebben wij een scherp beeld van de meest voorkomende tekortkomingen rondom logging, bewaring en monitoring. Onze aanpak is concreet en gericht op wat de gemeente zelf kan verbeteren.
Wat wij bieden:
- Een duidelijk auditplan vooraf, zodat de gemeente weet wat er wordt verwacht.
- Beoordeling van de aangeleverde bewijsstukken, inclusief tussentijdse terugkoppeling.
- Concrete aanbevelingen voor het inrichten of verbeteren van logging en monitoringprocedures.
- Een vaste prijs zonder verborgen kosten, inclusief een eventuele heraudit.
- Korte communicatielijnen en één vast aanspreekpunt voor de gemeente.
De gemeente blijft altijd zelf eindverantwoordelijk, maar wij zorgen dat het auditproces helder en beheersbaar verloopt. Wilt u weten wat een Suwinet-audit voor uw gemeente inhoudt? Neem contact met ons op voor een vrijblijvende offerte.