Wie is verantwoordelijk voor ENSIA als een gemeente IT heeft uitbesteed?
Als een gemeente haar IT heeft uitbesteed, blijft de gemeente zelf eindverantwoordelijk voor de ENSIA-verantwoording. Een IT-leverancier kan bewijsmateriaal aanleveren en technische maatregelen uitvoeren, maar de verantwoordingsplicht richting de gemeenteraad en toezichthouders ligt altijd bij de gemeente zelf. In dit artikel beantwoorden we de meest gestelde vragen over ENSIA bij uitbestede IT, van wat je van een leverancier mag verlangen tot hoe je de voorbereiding organiseert als meerdere partijen betrokken zijn.
Wie voert de ENSIA-verantwoording uit als de IT is uitbesteed?
De gemeente voert de ENSIA-verantwoording altijd zelf uit, ook als de IT volledig is uitbesteed. Uitbesteding van IT-taken betekent niet dat de verantwoordingsplicht mee overgaat naar de leverancier. De gemeente blijft de partij die de zelfevaluatie invult, de collegeverklaring ondertekent en verantwoording aflegt richting de gemeenteraad en de betrokken toezichthouders.
Wat een IT-leverancier wel kan doen, is bewijsmateriaal aanleveren over de maatregelen die hij namens de gemeente uitvoert. Denk aan technische configuraties, beveiligingsinstellingen en procesbeschrijvingen. Dat bewijsmateriaal is essentieel voor de zelfevaluatie, maar de gemeente beoordeelt zelf of het volledig en afdoende is. De ENSIA-coördinator speelt hierin een centrale rol: hij of zij verzamelt de informatie uit de organisatie en bij leveranciers, en zorgt dat alles tijdig beschikbaar is voor de ENSIA-audit.
Wat moet een gemeente van haar IT-leverancier verlangen voor ENSIA?
Voor ENSIA moet een gemeente van haar IT-leverancier aantoonbaar bewijs verlangen dat de afgesproken beveiligingsmaatregelen daadwerkelijk zijn ingericht. Dit gaat verder dan een mondelinge bevestiging. De gemeente heeft concrete documentatie nodig die als bewijsstuk kan dienen bij de ENSIA-audit.
Concreet gaat het om de volgende typen bewijsmateriaal:
- Technische rapportages over beveiligingsinstellingen en toegangsbeheer
- Procesbeschrijvingen en procedures die de leverancier hanteert
- Logbestanden of monitoringrapportages die aantonen dat maatregelen werken
- Auditverklaringen of een Third Party Mededeling (TPM) als de leverancier een SaaS-oplossing levert
- Bewijs van periodieke risicobeoordelingen of penetratietests
Een TPM verdient hier speciale aandacht. Als een leverancier een SaaS-oplossing aanbiedt, kan hij een TPM laten opstellen door een onafhankelijke IT-auditor. Andere auditors kunnen op dit rapport vertrouwen, waardoor zij niet alles opnieuw hoeven te onderzoeken. Dat vermindert de totale auditinspanning voor de gemeente aanzienlijk. Vraag bij SaaS-leveranciers dus altijd actief naar de beschikbaarheid van een TPM.
Welke ENSIA-onderdelen kan een leverancier nooit overnemen?
Een IT-leverancier kan technische uitvoering en bewijslevering voor zijn rekening nemen, maar een aantal ENSIA-onderdelen kan hij nooit overnemen. Dit zijn de onderdelen die onlosmakelijk verbonden zijn aan de gemeentelijke verantwoordingsplicht en de bestuurlijke positie van de gemeente.
De volgende onderdelen blijven altijd bij de gemeente:
- Het invullen van de zelfevaluatielijst
- Het ondertekenen van de collegeverklaring
- De horizontale verantwoording richting de gemeenteraad
- De verticale verantwoording richting departementen en toezichthouders
- De eindverantwoordelijkheid voor de volledigheid en juistheid van het aangeleverde bewijsmateriaal
Een leverancier levert input, maar de gemeente valideert en ondertekent. Dat onderscheid is cruciaal. Als bewijsmateriaal van een leverancier onvolledig of onjuist blijkt, is de gemeente degene die hierop wordt aangesproken, niet de leverancier.
Hoe leg je afspraken over ENSIA vast in een contract met een IT-leverancier?
Afspraken over ENSIA-gerelateerde verplichtingen leg je vast in de verwerkersovereenkomst of het dienstverleningscontract met de IT-leverancier. Zonder contractuele basis is een gemeente afhankelijk van de bereidwilligheid van de leverancier, wat bij een naderende auditdeadline tot problemen kan leiden.
Zorg dat het contract minimaal de volgende punten regelt:
- Bewijsleveringsplicht: de leverancier is verplicht om op verzoek tijdig bewijsmateriaal aan te leveren dat aansluit op de ENSIA-normen.
- Auditrecht: de gemeente of haar auditor heeft het recht om de beveiligingsmaatregelen bij de leverancier te toetsen.
- Meldplicht bij incidenten: de leverancier meldt beveiligingsincidenten die relevant zijn voor de ENSIA-verantwoording direct aan de gemeente.
- TPM-verplichting: als de leverancier een SaaS-dienst levert, is hij verplicht een actuele TPM beschikbaar te stellen.
- Termijnen: er zijn duidelijke afspraken over wanneer bewijsmateriaal uiterlijk beschikbaar is, zodat de gemeente de deadline van 1 mei voor de ENSIA-audit kan halen.
Goede contractafspraken voorkomen dat een gemeente vlak voor de audit achter informatie aan moet jagen. Leg deze afspraken bij voorkeur al vast bij het afsluiten van het contract, niet pas als de audit nadert.
Wat gebeurt er als een leverancier geen of onvoldoende bewijs levert?
Als een IT-leverancier geen of onvoldoende bewijs levert, heeft de gemeente een probleem bij de ENSIA-audit. De zelfevaluatie kan dan niet volledig worden onderbouwd, wat kan leiden tot bevindingen in het auditrapport. De gemeente is en blijft verantwoordelijk voor de volledigheid van het bewijsmateriaal, ook als een leverancier tekortschiet.
In de praktijk betekent dit dat de gemeente zelf actie moet ondernemen. Mogelijke stappen zijn:
- De leverancier formeel aanspreken op de contractuele bewijsleveringsplicht
- Escaleren binnen de eigen organisatie en bij de leverancier
- Compenserende maatregelen documenteren die de gemeente zelf heeft getroffen
- De auditor transparant informeren over de situatie en de ondernomen stappen
Een bevinding in het auditrapport betekent niet automatisch dat de ENSIA-audit mislukt. Auditors beoordelen ook of een gemeente aantoonbaar grip heeft op de situatie en of er herstelmaatregelen zijn getroffen. Transparantie en aantoonbare opvolging wegen mee in dat oordeel. Als na de reguliere ENSIA-audit een heraudit nodig is, verschilt de hersteltermijn per situatie. Er bestaat geen vaste deadline voor heraudits.
Hoe bereidt een gemeente zich voor op ENSIA als meerdere leveranciers betrokken zijn?
Als meerdere IT-leveranciers betrokken zijn, vraagt de voorbereiding op de ENSIA-audit om een gestructureerde aanpak waarbij de gemeente zelf de regie houdt. Zonder centrale coördinatie ontstaat al snel een situatie waarbij bewijsmateriaal verspreid is over verschillende partijen en niemand het overzicht heeft.
Een effectieve voorbereiding begint vroeg in het jaar en volgt een vaste structuur. De ENSIA-coördinator speelt hierin een sleutelrol door het proces te bewaken en leveranciers tijdig aan te sturen. Praktische stappen zijn:
- Breng in kaart welke leveranciers welke systemen en processen beheren die onder de ENSIA-normen vallen.
- Controleer per leverancier of er contractuele afspraken zijn over bewijslevering en auditrecht.
- Vraag bij SaaS-leveranciers actief naar een actuele TPM, zodat de auditinspanning beperkt blijft.
- Stel een interne planning op met duidelijke deadlines per leverancier, ruim voor de ENSIA-deadline van 1 mei.
- Wijs per leverancier een intern aanspreekpunt aan dat de communicatie bewaakt.
- Verzamel het bewijsmateriaal centraal en controleer de volledigheid voordat de zelfevaluatie wordt ingevuld.
Gemeenten die dit proces structureel inrichten, ook buiten de directe aanloopperiode naar de audit, voorkomen dat ENSIA alleen vlak voor de deadline aandacht krijgt. Informatiebeveiliging bij uitbestede IT vraagt om doorlopende aandacht, niet alleen in de maanden voor de audit.
Hoe BKBO B.V. helpt bij ENSIA met uitbestede IT
Wij begrijpen dat de ENSIA-verantwoording complexer wordt als IT is uitbesteed aan een of meerdere leveranciers. Gemeenten lopen dan aan tegen versnipperd bewijsmateriaal, onduidelijke verantwoordelijkheden en leveranciers die niet altijd direct leveren wat nodig is. Wij helpen gemeenten om grip te houden op dit proces, van de eerste voorbereiding tot de afronding van de ENSIA-audit.
Wat wij bieden:
- Ervaring met meer dan 2.500 uitgevoerde audits, waarvan een groot deel bij gemeenten
- Een vaste contactpersoon met korte communicatielijnen gedurende het hele auditproces
- Een assertion-based aanpak waarbij wij zo veel mogelijk steunen op het bewijsmateriaal dat de gemeente zelf aanlevert
- Concrete aanbevelingen bij bevindingen, zodat de gemeente weet welke stappen gezet moeten worden
- Een transparante vaste prijs, inclusief een eventuele heraudit die bij ons gratis is
- Begeleiding bij de collegeverklaring en de waarmerking als onderdeel van het volledige ENSIA-proces
Wil je weten wat wij voor jouw gemeente kunnen betekenen bij de ENSIA-audit? Neem dan contact met ons op voor een vrijblijvende offerte.
Als een gemeente haar IT heeft uitbesteed, blijft de gemeente zelf eindverantwoordelijk voor de ENSIA-verantwoording. Een IT-leverancier kan bewijsmateriaal aanleveren en technische maatregelen uitvoeren, maar de verantwoordingsplicht richting de gemeenteraad en toezichthouders ligt altijd bij de gemeente zelf. In dit artikel beantwoorden we de meest gestelde vragen over ENSIA bij uitbestede IT, van wat je van een leverancier mag verlangen tot hoe je de voorbereiding organiseert als meerdere partijen betrokken zijn.
Wie voert de ENSIA-verantwoording uit als de IT is uitbesteed?
De gemeente voert de ENSIA-verantwoording altijd zelf uit, ook als de IT volledig is uitbesteed. Uitbesteding van IT-taken betekent niet dat de verantwoordingsplicht mee overgaat naar de leverancier. De gemeente blijft de partij die de zelfevaluatie invult, de collegeverklaring ondertekent en verantwoording aflegt richting de gemeenteraad en de betrokken toezichthouders.
Wat een IT-leverancier wel kan doen, is bewijsmateriaal aanleveren over de maatregelen die hij namens de gemeente uitvoert. Denk aan technische configuraties, beveiligingsinstellingen en procesbeschrijvingen. Dat bewijsmateriaal is essentieel voor de zelfevaluatie, maar de gemeente beoordeelt zelf of het volledig en afdoende is. De ENSIA-coördinator speelt hierin een centrale rol: hij of zij verzamelt de informatie uit de organisatie en bij leveranciers, en zorgt dat alles tijdig beschikbaar is voor de ENSIA-audit.
Wat moet een gemeente van haar IT-leverancier verlangen voor ENSIA?
Voor ENSIA moet een gemeente van haar IT-leverancier aantoonbaar bewijs verlangen dat de afgesproken beveiligingsmaatregelen daadwerkelijk zijn ingericht. Dit gaat verder dan een mondelinge bevestiging. De gemeente heeft concrete documentatie nodig die als bewijsstuk kan dienen bij de ENSIA-audit.
Concreet gaat het om de volgende typen bewijsmateriaal:
- Technische rapportages over beveiligingsinstellingen en toegangsbeheer
- Procesbeschrijvingen en procedures die de leverancier hanteert
- Logbestanden of monitoringrapportages die aantonen dat maatregelen werken
- Auditverklaringen of een Third Party Mededeling (TPM) als de leverancier een SaaS-oplossing levert
- Bewijs van periodieke risicobeoordelingen of penetratietests
Een TPM verdient hier speciale aandacht. Als een leverancier een SaaS-oplossing aanbiedt, kan hij een TPM laten opstellen door een onafhankelijke IT-auditor. Andere auditors kunnen op dit rapport vertrouwen, waardoor zij niet alles opnieuw hoeven te onderzoeken. Dat vermindert de totale auditinspanning voor de gemeente aanzienlijk. Vraag bij SaaS-leveranciers dus altijd actief naar de beschikbaarheid van een TPM.
Welke ENSIA-onderdelen kan een leverancier nooit overnemen?
Een IT-leverancier kan technische uitvoering en bewijslevering voor zijn rekening nemen, maar een aantal ENSIA-onderdelen kan hij nooit overnemen. Dit zijn de onderdelen die onlosmakelijk verbonden zijn aan de gemeentelijke verantwoordingsplicht en de bestuurlijke positie van de gemeente.
De volgende onderdelen blijven altijd bij de gemeente:
- Het invullen van de zelfevaluatielijst
- Het ondertekenen van de collegeverklaring
- De horizontale verantwoording richting de gemeenteraad
- De verticale verantwoording richting departementen en toezichthouders
- De eindverantwoordelijkheid voor de volledigheid en juistheid van het aangeleverde bewijsmateriaal
Een leverancier levert input, maar de gemeente valideert en ondertekent. Dat onderscheid is cruciaal. Als bewijsmateriaal van een leverancier onvolledig of onjuist blijkt, is de gemeente degene die hierop wordt aangesproken, niet de leverancier.
Hoe leg je afspraken over ENSIA vast in een contract met een IT-leverancier?
Afspraken over ENSIA-gerelateerde verplichtingen leg je vast in de verwerkersovereenkomst of het dienstverleningscontract met de IT-leverancier. Zonder contractuele basis is een gemeente afhankelijk van de bereidwilligheid van de leverancier, wat bij een naderende auditdeadline tot problemen kan leiden.
Zorg dat het contract minimaal de volgende punten regelt:
- Bewijsleveringsplicht: de leverancier is verplicht om op verzoek tijdig bewijsmateriaal aan te leveren dat aansluit op de ENSIA-normen.
- Auditrecht: de gemeente of haar auditor heeft het recht om de beveiligingsmaatregelen bij de leverancier te toetsen.
- Meldplicht bij incidenten: de leverancier meldt beveiligingsincidenten die relevant zijn voor de ENSIA-verantwoording direct aan de gemeente.
- TPM-verplichting: als de leverancier een SaaS-dienst levert, is hij verplicht een actuele TPM beschikbaar te stellen.
- Termijnen: er zijn duidelijke afspraken over wanneer bewijsmateriaal uiterlijk beschikbaar is, zodat de gemeente de deadline van 1 mei voor de ENSIA-audit kan halen.
Goede contractafspraken voorkomen dat een gemeente vlak voor de audit achter informatie aan moet jagen. Leg deze afspraken bij voorkeur al vast bij het afsluiten van het contract, niet pas als de audit nadert.
Wat gebeurt er als een leverancier geen of onvoldoende bewijs levert?
Als een IT-leverancier geen of onvoldoende bewijs levert, heeft de gemeente een probleem bij de ENSIA-audit. De zelfevaluatie kan dan niet volledig worden onderbouwd, wat kan leiden tot bevindingen in het auditrapport. De gemeente is en blijft verantwoordelijk voor de volledigheid van het bewijsmateriaal, ook als een leverancier tekortschiet.
In de praktijk betekent dit dat de gemeente zelf actie moet ondernemen. Mogelijke stappen zijn:
- De leverancier formeel aanspreken op de contractuele bewijsleveringsplicht
- Escaleren binnen de eigen organisatie en bij de leverancier
- Compenserende maatregelen documenteren die de gemeente zelf heeft getroffen
- De auditor transparant informeren over de situatie en de ondernomen stappen
Een bevinding in het auditrapport betekent niet automatisch dat de ENSIA-audit mislukt. Auditors beoordelen ook of een gemeente aantoonbaar grip heeft op de situatie en of er herstelmaatregelen zijn getroffen. Transparantie en aantoonbare opvolging wegen mee in dat oordeel. Als na de reguliere ENSIA-audit een heraudit nodig is, verschilt de hersteltermijn per situatie. Er bestaat geen vaste deadline voor heraudits.
Hoe bereidt een gemeente zich voor op ENSIA als meerdere leveranciers betrokken zijn?
Als meerdere IT-leveranciers betrokken zijn, vraagt de voorbereiding op de ENSIA-audit om een gestructureerde aanpak waarbij de gemeente zelf de regie houdt. Zonder centrale coördinatie ontstaat al snel een situatie waarbij bewijsmateriaal verspreid is over verschillende partijen en niemand het overzicht heeft.
Een effectieve voorbereiding begint vroeg in het jaar en volgt een vaste structuur. De ENSIA-coördinator speelt hierin een sleutelrol door het proces te bewaken en leveranciers tijdig aan te sturen. Praktische stappen zijn:
- Breng in kaart welke leveranciers welke systemen en processen beheren die onder de ENSIA-normen vallen.
- Controleer per leverancier of er contractuele afspraken zijn over bewijslevering en auditrecht.
- Vraag bij SaaS-leveranciers actief naar een actuele TPM, zodat de auditinspanning beperkt blijft.
- Stel een interne planning op met duidelijke deadlines per leverancier, ruim voor de ENSIA-deadline van 1 mei.
- Wijs per leverancier een intern aanspreekpunt aan dat de communicatie bewaakt.
- Verzamel het bewijsmateriaal centraal en controleer de volledigheid voordat de zelfevaluatie wordt ingevuld.
Gemeenten die dit proces structureel inrichten, ook buiten de directe aanloopperiode naar de audit, voorkomen dat ENSIA alleen vlak voor de deadline aandacht krijgt. Informatiebeveiliging bij uitbestede IT vraagt om doorlopende aandacht, niet alleen in de maanden voor de audit.
Hoe BKBO B.V. helpt bij ENSIA met uitbestede IT
Wij begrijpen dat de ENSIA-verantwoording complexer wordt als IT is uitbesteed aan een of meerdere leveranciers. Gemeenten lopen dan aan tegen versnipperd bewijsmateriaal, onduidelijke verantwoordelijkheden en leveranciers die niet altijd direct leveren wat nodig is. Wij helpen gemeenten om grip te houden op dit proces, van de eerste voorbereiding tot de afronding van de ENSIA-audit.
Wat wij bieden:
- Ervaring met meer dan 2.500 uitgevoerde audits, waarvan een groot deel bij gemeenten
- Een vaste contactpersoon met korte communicatielijnen gedurende het hele auditproces
- Een assertion-based aanpak waarbij wij zo veel mogelijk steunen op het bewijsmateriaal dat de gemeente zelf aanlevert
- Concrete aanbevelingen bij bevindingen, zodat de gemeente weet welke stappen gezet moeten worden
- Een transparante vaste prijs, inclusief een eventuele heraudit die bij ons gratis is
- Begeleiding bij de collegeverklaring en de waarmerking als onderdeel van het volledige ENSIA-proces
Wil je weten wat wij voor jouw gemeente kunnen betekenen bij de ENSIA-audit? Neem dan contact met ons op voor een vrijblijvende offerte.