Welke vragen stel je aan een ENSIA-auditor voordat je een offerte aanvraagt?
Voordat je een ENSIA-auditor benadert voor een offerte, is het slim om een aantal gerichte vragen te stellen. Zo weet je zeker dat je een auditor kiest die ervaring heeft met gemeenten, duidelijk communiceert over het proces en geen verrassingen presenteert op het gebied van kosten of planning. De vragen in dit artikel helpen je om een weloverwogen keuze te maken en goed voorbereid het gesprek in te gaan.
Wat onderscheidt een goede ENSIA-auditor van een gemiddelde?
Een goede ENSIA-auditor heeft aantoonbare ervaring met gemeenten, begrijpt de gemeentelijke Planning & Control-cyclus en communiceert helder over wat er van jou als gemeente wordt verwacht. Een gemiddelde auditor voert de audit technisch correct uit, maar biedt weinig houvast bij de voorbereiding of opvolging van bevindingen.
Het verschil zit in de praktijk vaak in de begeleiding rondom het ENSIA-assessment. Een sterke auditor maakt vooraf duidelijk welke bewijsstukken nodig zijn, welke afdelingen daarbij betrokken zijn en hoe het proces is ingericht. Zo voorkom je dat je vlak voor de deadline nog op zoek bent naar ontbrekende documentatie.
Let bij het vergelijken van auditors op de volgende punten:
- Heeft de auditor aantoonbare ervaring met gemeentelijke informatiebeveiliging en de BIO?
- Is er een vast aanspreekpunt gedurende het hele auditproces?
- Geeft de auditor concrete terugkoppeling over de kwaliteit van aangeleverd bewijs?
- Werkt de auditor met korte communicatielijnen en snelle reactietijden?
- Is de auditor transparant over wat wel en niet binnen de opdracht valt?
Welke ervaring mag je van een ENSIA-auditor verwachten?
Een ENSIA-auditor moet gecertificeerd zijn als register-IT-auditor en aantoonbare ervaring hebben met het uitvoeren van ENSIA-audits bij gemeenten. Kennis van de Baseline Informatiebeveiliging Overheid (BIO) en de gemeentelijke verantwoordingsstructuur is daarbij onmisbaar.
Vraag een auditor concreet hoeveel ENSIA-audits hij of zij heeft uitgevoerd en bij welk type gemeenten. Een auditor die uitsluitend ervaring heeft met grote gemeenten, heeft mogelijk minder zicht op de uitdagingen van kleinere organisaties, en andersom. Relevante vervolgvragen zijn:
- Hoeveel ENSIA-audits heeft u de afgelopen jaren uitgevoerd bij gemeenten?
- Bent u gecertificeerd als register-IT-auditor?
- Heeft u ervaring met zowel horizontale als verticale verantwoording binnen ENSIA?
- Bent u bekend met de zelfevaluatievragenlijst en de bijbehorende bewijsvereisten?
- Verzorgt u ook de controle op de collegeverklaring en de waarmerking?
Dat laatste punt is relevant omdat de collegeverklaring en de waarmerking onderdeel zijn van het totale ENSIA-verantwoordingsproces. Niet elke auditor biedt dit standaard aan.
Hoe werkt het proces van offerte tot eindrapport?
Een goed gestructureerd auditproces begint met een intake waarbij de auditor informatie ophaalt over jouw gemeente, gevolgd door de zelfevaluatie, de beoordeling van bewijsmateriaal en uiteindelijk het eindrapport. De deadline voor de afronding van de ENSIA-audit ligt op 1 mei.
Vraag de auditor vooraf hoe het proces er stap voor stap uitziet. Concreet wil je weten:
- Wanneer start het proces en welke mijlpalen zijn er?
- Hoe worden bewijsstukken aangeleverd en beoordeeld?
- Wie is het vaste aanspreekpunt binnen het auditteam?
- Hoe snel ontvang je terugkoppeling na het aanleveren van documenten?
- Wanneer ontvang je het conceptrapport en hoe verloopt de reviewronde?
Een auditor die dit proces helder kan uitleggen, geeft je als ENSIA-coördinator of CISO de zekerheid dat de planning haalbaar is. Onduidelijkheid over het proces is een signaal dat de communicatie gedurende de audit ook moeizaam kan verlopen.
Wat zijn de kosten van een ENSIA-audit en wat is inbegrepen?
De kosten van een ENSIA-audit variëren per auditor en zijn afhankelijk van de omvang van de gemeente en het aantal DigiD-aansluitingen. Vraag altijd om een gespecificeerde offerte en controleer wat er precies is inbegrepen, zodat je achteraf niet voor onverwachte kosten komt te staan.
Stel bij het opvragen van een offerte de volgende vragen:
- Is de prijs inclusief of exclusief de controle op de collegeverklaring en de waarmerking?
- Zijn er meerkosten als het aanleveren van bewijsstukken meer tijd kost dan verwacht?
- Wat zijn de kosten bij een heraudit?
- Biedt u een meerjarenabonnement en levert dat een prijsvoordeel op?
Een transparante vaste prijs, inclusief eventuele heraudits, geeft gemeenten de meeste zekerheid. Vraag expliciet of de offerte all-in is of dat bepaalde onderdelen apart worden gefactureerd.
Hoe gaat de auditor om met bevindingen en heraudits?
Een goede ENSIA-auditor legt bevindingen helder uit, geeft concrete aanbevelingen voor herstel en maakt duidelijk wat er moet verbeteren voordat een heraudit plaatsvindt. Een heraudit is geen standaard onderdeel van het jaarlijkse proces, maar wordt ingezet als de gemeente niet voldoet aan de gestelde normen.
Het is belangrijk om te weten dat een heraudit niet automatisch verlies van certificering betekent. De hersteltermijn verschilt per gemeente en per situatie, en er bestaat geen uniforme deadline. Stel de auditor de volgende vragen:
- Hoe worden bevindingen gecommuniceerd en hoe concreet zijn de aanbevelingen?
- Wat zijn de kosten van een heraudit?
- Hoe lang heeft de gemeente de tijd om bevindingen te herstellen?
- Wat wordt er tijdens een heraudit precies beoordeeld?
Weet ook dat de auditor het auditrapport opstelt, niet Logius. De gemeente blijft eindverantwoordelijk voor de opvolging van bevindingen en de communicatie richting toezichthouders.
Welke informatie heeft de auditor nodig om een goede offerte te maken?
Om een accurate offerte te kunnen opstellen, heeft een ENSIA-auditor basisinformatie nodig over jouw gemeente. Hoe vollediger je deze informatie aanlevert, hoe beter de offerte aansluit op jouw situatie en hoe minder kans op verrassingen achteraf.
Denk aan de volgende gegevens:
- Het aantal DigiD-aansluitingen dat de gemeente heeft
- Of de gemeente gebruikmaakt van SaaS-oplossingen en of er een TPM van de leverancier beschikbaar is
- De omvang van de gemeente en het aantal betrokken afdelingen
- Of er al een zelfevaluatie is ingevuld of dat dit nog moet starten
- Of er vorig jaar bevindingen waren die nog openstaan
Een auditor die geen vragen stelt voordat hij een offerte uitbrengt, geeft daarmee een signaal af. Een goede ENSIA-auditor wil jouw situatie begrijpen voordat hij een prijs noemt.
Hoe BKBO B.V. gemeenten begeleidt bij de ENSIA-audit
Wij voeren uitsluitend ENSIA-audits uit voor gemeenten en hebben inmiddels meer dan 2.500 audits achter de rug. Onze aanpak is gericht op duidelijkheid, efficiëntie en korte communicatielijnen, zodat jij als ENSIA-coördinator of CISO weet waar je aan toe bent.
Wat wij bieden:
- Een vast aanspreekpunt gedurende het hele auditproces
- Duidelijke begeleiding bij het verzamelen en beoordelen van bewijsstukken
- Controle op de collegeverklaring en de waarmerking
- Een transparante vaste prijs zonder verborgen kosten
- Een gratis heraudit als dat nodig is
- Een meerjarenabonnement met korting voor gemeenten die structureel willen samenwerken
- Garantie dat de planning richting 1 mei wordt gehaald
Wil je weten wat wij voor jouw gemeente kunnen betekenen? Neem contact op voor een vrijblijvende offerte en we kijken samen naar de beste aanpak voor jouw situatie.
Voordat je een ENSIA-auditor benadert voor een offerte, is het slim om een aantal gerichte vragen te stellen. Zo weet je zeker dat je een auditor kiest die ervaring heeft met gemeenten, duidelijk communiceert over het proces en geen verrassingen presenteert op het gebied van kosten of planning. De vragen in dit artikel helpen je om een weloverwogen keuze te maken en goed voorbereid het gesprek in te gaan.
Wat onderscheidt een goede ENSIA-auditor van een gemiddelde?
Een goede ENSIA-auditor heeft aantoonbare ervaring met gemeenten, begrijpt de gemeentelijke Planning & Control-cyclus en communiceert helder over wat er van jou als gemeente wordt verwacht. Een gemiddelde auditor voert de audit technisch correct uit, maar biedt weinig houvast bij de voorbereiding of opvolging van bevindingen.
Het verschil zit in de praktijk vaak in de begeleiding rondom het ENSIA-assessment. Een sterke auditor maakt vooraf duidelijk welke bewijsstukken nodig zijn, welke afdelingen daarbij betrokken zijn en hoe het proces is ingericht. Zo voorkom je dat je vlak voor de deadline nog op zoek bent naar ontbrekende documentatie.
Let bij het vergelijken van auditors op de volgende punten:
- Heeft de auditor aantoonbare ervaring met gemeentelijke informatiebeveiliging en de BIO?
- Is er een vast aanspreekpunt gedurende het hele auditproces?
- Geeft de auditor concrete terugkoppeling over de kwaliteit van aangeleverd bewijs?
- Werkt de auditor met korte communicatielijnen en snelle reactietijden?
- Is de auditor transparant over wat wel en niet binnen de opdracht valt?
Welke ervaring mag je van een ENSIA-auditor verwachten?
Een ENSIA-auditor moet gecertificeerd zijn als register-IT-auditor en aantoonbare ervaring hebben met het uitvoeren van ENSIA-audits bij gemeenten. Kennis van de Baseline Informatiebeveiliging Overheid (BIO) en de gemeentelijke verantwoordingsstructuur is daarbij onmisbaar.
Vraag een auditor concreet hoeveel ENSIA-audits hij of zij heeft uitgevoerd en bij welk type gemeenten. Een auditor die uitsluitend ervaring heeft met grote gemeenten, heeft mogelijk minder zicht op de uitdagingen van kleinere organisaties, en andersom. Relevante vervolgvragen zijn:
- Hoeveel ENSIA-audits heeft u de afgelopen jaren uitgevoerd bij gemeenten?
- Bent u gecertificeerd als register-IT-auditor?
- Heeft u ervaring met zowel horizontale als verticale verantwoording binnen ENSIA?
- Bent u bekend met de zelfevaluatievragenlijst en de bijbehorende bewijsvereisten?
- Verzorgt u ook de controle op de collegeverklaring en de waarmerking?
Dat laatste punt is relevant omdat de collegeverklaring en de waarmerking onderdeel zijn van het totale ENSIA-verantwoordingsproces. Niet elke auditor biedt dit standaard aan.
Hoe werkt het proces van offerte tot eindrapport?
Een goed gestructureerd auditproces begint met een intake waarbij de auditor informatie ophaalt over jouw gemeente, gevolgd door de zelfevaluatie, de beoordeling van bewijsmateriaal en uiteindelijk het eindrapport. De deadline voor de afronding van de ENSIA-audit ligt op 1 mei.
Vraag de auditor vooraf hoe het proces er stap voor stap uitziet. Concreet wil je weten:
- Wanneer start het proces en welke mijlpalen zijn er?
- Hoe worden bewijsstukken aangeleverd en beoordeeld?
- Wie is het vaste aanspreekpunt binnen het auditteam?
- Hoe snel ontvang je terugkoppeling na het aanleveren van documenten?
- Wanneer ontvang je het conceptrapport en hoe verloopt de reviewronde?
Een auditor die dit proces helder kan uitleggen, geeft je als ENSIA-coördinator of CISO de zekerheid dat de planning haalbaar is. Onduidelijkheid over het proces is een signaal dat de communicatie gedurende de audit ook moeizaam kan verlopen.
Wat zijn de kosten van een ENSIA-audit en wat is inbegrepen?
De kosten van een ENSIA-audit variëren per auditor en zijn afhankelijk van de omvang van de gemeente en het aantal DigiD-aansluitingen. Vraag altijd om een gespecificeerde offerte en controleer wat er precies is inbegrepen, zodat je achteraf niet voor onverwachte kosten komt te staan.
Stel bij het opvragen van een offerte de volgende vragen:
- Is de prijs inclusief of exclusief de controle op de collegeverklaring en de waarmerking?
- Zijn er meerkosten als het aanleveren van bewijsstukken meer tijd kost dan verwacht?
- Wat zijn de kosten bij een heraudit?
- Biedt u een meerjarenabonnement en levert dat een prijsvoordeel op?
Een transparante vaste prijs, inclusief eventuele heraudits, geeft gemeenten de meeste zekerheid. Vraag expliciet of de offerte all-in is of dat bepaalde onderdelen apart worden gefactureerd.
Hoe gaat de auditor om met bevindingen en heraudits?
Een goede ENSIA-auditor legt bevindingen helder uit, geeft concrete aanbevelingen voor herstel en maakt duidelijk wat er moet verbeteren voordat een heraudit plaatsvindt. Een heraudit is geen standaard onderdeel van het jaarlijkse proces, maar wordt ingezet als de gemeente niet voldoet aan de gestelde normen.
Het is belangrijk om te weten dat een heraudit niet automatisch verlies van certificering betekent. De hersteltermijn verschilt per gemeente en per situatie, en er bestaat geen uniforme deadline. Stel de auditor de volgende vragen:
- Hoe worden bevindingen gecommuniceerd en hoe concreet zijn de aanbevelingen?
- Wat zijn de kosten van een heraudit?
- Hoe lang heeft de gemeente de tijd om bevindingen te herstellen?
- Wat wordt er tijdens een heraudit precies beoordeeld?
Weet ook dat de auditor het auditrapport opstelt, niet Logius. De gemeente blijft eindverantwoordelijk voor de opvolging van bevindingen en de communicatie richting toezichthouders.
Welke informatie heeft de auditor nodig om een goede offerte te maken?
Om een accurate offerte te kunnen opstellen, heeft een ENSIA-auditor basisinformatie nodig over jouw gemeente. Hoe vollediger je deze informatie aanlevert, hoe beter de offerte aansluit op jouw situatie en hoe minder kans op verrassingen achteraf.
Denk aan de volgende gegevens:
- Het aantal DigiD-aansluitingen dat de gemeente heeft
- Of de gemeente gebruikmaakt van SaaS-oplossingen en of er een TPM van de leverancier beschikbaar is
- De omvang van de gemeente en het aantal betrokken afdelingen
- Of er al een zelfevaluatie is ingevuld of dat dit nog moet starten
- Of er vorig jaar bevindingen waren die nog openstaan
Een auditor die geen vragen stelt voordat hij een offerte uitbrengt, geeft daarmee een signaal af. Een goede ENSIA-auditor wil jouw situatie begrijpen voordat hij een prijs noemt.
Hoe BKBO B.V. gemeenten begeleidt bij de ENSIA-audit
Wij voeren uitsluitend ENSIA-audits uit voor gemeenten en hebben inmiddels meer dan 2.500 audits achter de rug. Onze aanpak is gericht op duidelijkheid, efficiëntie en korte communicatielijnen, zodat jij als ENSIA-coördinator of CISO weet waar je aan toe bent.
Wat wij bieden:
- Een vast aanspreekpunt gedurende het hele auditproces
- Duidelijke begeleiding bij het verzamelen en beoordelen van bewijsstukken
- Controle op de collegeverklaring en de waarmerking
- Een transparante vaste prijs zonder verborgen kosten
- Een gratis heraudit als dat nodig is
- Een meerjarenabonnement met korting voor gemeenten die structureel willen samenwerken
- Garantie dat de planning richting 1 mei wordt gehaald
Wil je weten wat wij voor jouw gemeente kunnen betekenen? Neem contact op voor een vrijblijvende offerte en we kijken samen naar de beste aanpak voor jouw situatie.