Bakker & Partners B.V. (voorbeeld)

Norm: Beleid is schriftelijk vastgesteld, maximaal 12 maanden geleden getoetst door de directie, en verantwoordelijkheden zijn expliciet belegd.

Constatering: Huidige situatie (50%): Er zijn losse beveiligingsregels en gedragsrichtlijnen, maar een overkoepelend goedgekeurd beleid ontbreekt.

Risico / impact: Binnen Cybersecurity & Weerbaarheid (inherent risico 20, Hoog / acuut) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Stel het beveiligingsbeleid vast en wijs één eindverantwoordelijke aan in de directie.

Reactie IT-partner / management: ………………………………………

Norm: Alle werkstations en servers (100%) beschikken over actieve, centraal beheerde eindpuntbeveiliging waarvan updates en detectiestatus realtime centraal worden bewaakt.

Constatering: Huidige situatie (0%): Geen actieve eindpuntbeveiliging aanwezig op het merendeel van de apparatuur.

Risico / impact: Binnen Cybersecurity & Weerbaarheid (inherent risico 20, Hoog / acuut) laat deze maatregel 100 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Voorkom dat één onbeschermde laptop het hele bedrijf platlegt: maak centrale beveiliging verplicht.

Reactie IT-partner / management: ………………………………………

Norm: Gastennetwerken en niet-vertrouwde randapparatuur zijn aantoonbaar technisch gescheiden van het bedrijfsnetwerk waarin bedrijfsgegevens en bedrijfssystemen worden gebruikt.

Constatering: Huidige situatie (75%): Gasttoegang is aantoonbaar technisch gescheiden; voor een deel van de niet-vertrouwde randapparatuur ontbreekt nog effectieve scheiding.

Risico / impact: Binnen Cybersecurity & Weerbaarheid (inherent risico 20, Hoog / acuut) laat deze maatregel 25 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Beperk de schade van een gehackte camera of printer door netwerkscheiding verplicht te stellen.

Reactie IT-partner / management: ………………………………………

Norm: Voor alle relevante besturingssystemen, toepassingen en netwerkapparaten zijn passende termijnen voor hoogrisicoupdates vastgelegd (bijvoorbeeld 14 tot 30 dagen); tijdige installatie en naleving zijn aantoonbaar gecontroleerd.

Constatering: Huidige situatie (25%): Updates worden alleen bij storingen of op initiatief van individuele gebruikers geïnstalleerd; een vast proces ontbreekt.

Risico / impact: Binnen Cybersecurity & Weerbaarheid (inherent risico 20, Hoog / acuut) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Laat updatetermijnen vastleggen: de meeste hacks gebruiken bekende, ongedichte gaten.

Reactie IT-partner / management: ………………………………………

Norm: Voor alle kritieke IT-leveranciers zijn passende contractuele beveiligingsafspraken en incidentmeldplichten vastgelegd. Waar van toepassing zijn verwerkersovereenkomsten aanwezig. De naleving van deze afspraken wordt periodiek aantoonbaar gecontroleerd.

Constatering: Huidige situatie (50%): Er zijn standaardcontracten aanwezig, maar specifieke beveiligingseisen of concrete afspraken over incidentmelding ontbreken.

Risico / impact: Binnen Cybersecurity & Weerbaarheid (inherent risico 20, Hoog / acuut) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Beperk ketenrisico: eis van kritieke leveranciers beveiligingsafspraken en een incidentmeldplicht.

Reactie IT-partner / management: ………………………………………

Norm: Minimaal halfjaarlijks verplichte training en periodieke gesimuleerde phishingtests met actieve opvolging en meetbare deelnameregistratie.

Constatering: De huidige situatie kon niet worden vastgesteld; de organisatie gaf aan dit niet te weten.

Risico / impact: Zonder zicht op deze maatregel is niet te beoordelen of het risico beheerst wordt; dit telt als blinde vlek.

Aanbeveling: Maak awarenesstraining verplicht: de meeste incidenten beginnen met één klik op een nepmail.

Reactie IT-partner / management: ………………………………………

Norm: Een gedocumenteerd, actueel en jaarlijks getest incidentresponsplan is aanwezig, inclusief 24/7 escalatielijnen met de IT-partner en vaste rollen.

Constatering: Huidige situatie (25%): Bij een incident is men afhankelijk van de reguliere kantoortijden en supportdesk van de IT-partner zonder prioriteitsgarantie.

Risico / impact: Binnen Cybersecurity & Weerbaarheid (inherent risico 20, Hoog / acuut) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Stel een incidentplan vast met rollen, meldplicht (AP binnen 72 uur) en verzekeraarscontact.

Reactie IT-partner / management: ………………………………………

Norm: RPO en RTO zijn per informatiesysteem expliciet en cijfermatig vastgelegd, goedgekeurd door de directie en afgestemd met IT/leverancier.

Constatering: Huidige situatie (100%): RPO en RTO zijn per informatiesysteem expliciet en cijfermatig vastgelegd, goedgekeurd door de directie en afgestemd met IT/leverancier.

Risico / impact: Geen aanvullend risico vastgesteld.

Aanbeveling: Bepaal als directie hoeveel stilstand en dataverlies per systeem acceptabel is.

Reactie IT-partner / management: ………………………………………

Norm: Back-ups worden dagelijks automatisch weggeschreven naar een gescheiden locatie en zijn technisch beschermd tegen overschrijving of directe verwijdering (onveranderbaarheid of strikte toegangsbeperking).

Constatering: Huidige situatie (75%): Dagelijkse automatische offsite back-up aanwezig, maar de back-upopslag is niet expliciet beveiligd met onveranderbaarheid (immutability).

Risico / impact: Binnen Cloud, Data & Back-up (inherent risico 15, Substantieel) laat deze maatregel 25 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Zorg dat ransomware nooit ook de back-up kan versleutelen: eis een gescheiden, onwisbare kopie.

Reactie IT-partner / management: ………………………………………

Norm: Voor alle primaire cloudsuites waarin bedrijfsinformatie staat, is een onafhankelijke herstelvoorziening actief die dataverlies voorbij de standaard retentie voorkomt.

Constatering: Huidige situatie (75%): Externe SaaS-back-up is actief, maar dekt alleen e-mail en centrale bestanden (SharePoint), niet alle Teams- of individuele werkplekopslag.

Risico / impact: Binnen Cloud, Data & Back-up (inherent risico 15, Substantieel) laat deze maatregel 25 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Microsoft en Google garanderen geen herstel na weken: borg een eigen cloudback-up.

Reactie IT-partner / management: ………………………………………

Norm: In de afgelopen 12 maanden is minimaal één volledige hersteltest van bestanden of systemen succesvol uitgevoerd en gedocumenteerd.

Constatering: Huidige situatie (50%): Er is wel eens daadwerkelijk een bestand of onderdeel teruggezet, maar uitsluitend incidenteel en zonder gepland hersteltestproces.

Risico / impact: Binnen Cloud, Data & Back-up (inherent risico 15, Substantieel) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Een back-up die nooit getest is, is geen zekerheid: eis een jaarlijkse hersteltest.

Reactie IT-partner / management: ………………………………………

Norm: Datalocaties (primair en back-up) zijn contractueel vastgelegd binnen de EER/Nederland, inclusief expliciete exit- en dataretentieregelingen bij beëindiging.

Constatering: Huidige situatie (100%): Datalocaties (primair en back-up) zijn contractueel vastgelegd binnen de EER/Nederland, inclusief expliciete exit- en dataretentieregelingen bij beëindiging.

Risico / impact: Geen aanvullend risico vastgesteld.

Aanbeveling: Voorkom AVG-problemen en gijzeling: leg datalocatie en exit contractueel vast.

Reactie IT-partner / management: ………………………………………

Norm: Schriftelijke richtlijnen voor dataopslag en bewaartermijnen zijn actief; lokale opslag op laptops is technisch geblokkeerd of wordt automatisch gesynchroniseerd naar de centrale cloud.

Constatering: Huidige situatie (75%): Duidelijke regels aanwezig en bekend bij medewerkers; geen strikte technische blokkade op lokaal opslaan, maar periodieke instructies.

Risico / impact: Binnen Cloud, Data & Back-up (inherent risico 15, Substantieel) laat deze maatregel 25 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Stel opslag- en bewaarregels vast; verspreide data is onbeschermd en niet AVG-proof.

Reactie IT-partner / management: ………………………………………

Norm: Centrale 24/7 monitoring met geautomatiseerde ticketgeneratie bij fouten; SLA met gegarandeerde hersteltijd van de back-uptaak binnen één werkdag.

Constatering: Huidige situatie (50%): Monitoring gebeurt op basis van automatische e-mailberichten; er is geen ticketingkoppeling en e-mails worden soms gemist.

Risico / impact: Binnen Cloud, Data & Back-up (inherent risico 15, Substantieel) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Zorg dat een mislukte back-up nooit weken onopgemerkt blijft.

Reactie IT-partner / management: ………………………………………

Norm: Formeel vastgelegde rechtenmatrix per rol. Rechten worden strikt rollengebaseerd toegekend; niemand heeft standaard toegang tot niet-relevante afdelingsdata.

Constatering: Huidige situatie (75%): Rechten zijn per afdeling ingedeeld; enkele uitzonderingen hebben om historische redenen ruimere toegang.

Risico / impact: Binnen Toegangsbeheer & Identiteiten (IAM) (inherent risico 16, Hoog / acuut) laat deze maatregel 25 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Beperk de schade van een gehackt account: iedereen alleen toegang tot wat nodig is.

Reactie IT-partner / management: ………………………………………

Norm: Technisch afgedwongen voor 100% van de gebruikers- en beheerdersaccounts via centraal beleid (inloggen zonder tweede factor is technisch onmogelijk).

Constatering: Huidige situatie (50%): Alleen afgedwongen voor beheerders en directie, óf alleen bij inloggen vanaf buiten kantoor.

Risico / impact: Binnen Toegangsbeheer & Identiteiten (IAM) (inherent risico 16, Hoog / acuut) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Maak MFA verplicht: het voorkomt het grootste deel van de accountovernames en is vaak een eis van de verzekeraar.

Reactie IT-partner / management: ………………………………………

Norm: Afwijkende inlogpogingen worden 24/7 automatisch gedetecteerd, direct geblokkeerd en gemeld bij de beheerder.

Constatering: Huidige situatie (0%): Geen enkele logging of controle op verdachte aanmeldingen.

Risico / impact: Binnen Toegangsbeheer & Identiteiten (IAM) (inherent risico 16, Hoog / acuut) laat deze maatregel 100 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Zorg dat een inbraakpoging 's nachts of in het weekend niet onopgemerkt blijft.

Reactie IT-partner / management: ………………………………………

Norm: Uiterlijk bij het einde van de laatste werkdag zijn alle accounts, autorisaties en actieve sessies aantoonbaar volledig ingetrokken. Bij acute beëindiging wordt alle toegang direct, uiterlijk binnen 1 uur, geblokkeerd en ingetrokken.

Constatering: Huidige situatie (25%): Er is geen vast intrekkingsproces; toegang wordt pas beëindigd nadat iemand achtergebleven rechten ontdekt.

Risico / impact: Binnen Toegangsbeheer & Identiteiten (IAM) (inherent risico 16, Hoog / acuut) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Voorkom datadiefstal door oud-medewerkers: koppel HR-uitstroom aan directe accountblokkering.

Reactie IT-partner / management: ………………………………………

Norm: Beheerdersrechten zijn strikt beperkt op basis van noodzaak, staan uitsluitend op persoonlijke naam (geen gedeelde admin-inlogs), en beheerders gebruiken een apart account voor beheertaken (niet voor dagelijkse e-mail/browsen).

Constatering: Huidige situatie (50%): Er is één algemeen administrator-account waarvan de inloggegevens worden gedeeld tussen meerdere interne collega's of de IT-partner.

Risico / impact: Binnen Toegangsbeheer & Identiteiten (IAM) (inherent risico 16, Hoog / acuut) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Beperk beheerrechten: een gehackt beheeraccount geeft toegang tot het hele bedrijf.

Reactie IT-partner / management: ………………………………………

Norm: Een zakelijke wachtwoordmanager is organisatiebreed beschikbaar gesteld en verplicht voor het opslaan en delen van team-inlogs; onveilig delen via mail of notities is verboden.

Constatering: Huidige situatie (75%): Wachtwoordmanager is organisatiebreed beschikbaar; het merendeel van de teams gebruikt deze actief.

Risico / impact: Binnen Toegangsbeheer & Identiteiten (IAM) (inherent risico 16, Hoog / acuut) laat deze maatregel 25 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Maak een wachtwoordkluis verplicht om gelekte en gedeelde wachtwoorden te voorkomen.

Reactie IT-partner / management: ………………………………………

Norm: Minimaal jaarlijks (of halfjaarlijks) ontvangt het management een overzicht van alle actieve accounts en rechten; overbodige rechten worden formeel ingetrokken en afgetekend.

Constatering: De huidige situatie kon niet worden vastgesteld; de organisatie gaf aan dit niet te weten.

Risico / impact: Zonder zicht op deze maatregel is niet te beoordelen of het risico beheerst wordt; dit telt als blinde vlek.

Aanbeveling: Laat jaarlijks alle accounts en rechten aftekenen door de verantwoordelijke manager.

Reactie IT-partner / management: ………………………………………

Norm: Een formeel BCP is schriftelijk vastgesteld, maximaal 12 maanden geleden getoetst door het management, met heldere prioriteiten en herstelvolgordes per bedrijfsproces.

Constatering: Huidige situatie (25%): Er bestaan uitsluitend mondelinge ideeën over uitwijken; niets is schriftelijk vastgelegd.

Risico / impact: Binnen Continuïteit & Calamiteiten (BCP/DRP) (inherent risico 15, Substantieel) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Stel een bedrijfscontinuïteitsplan vast en laat het jaarlijks door het management toetsen.

Reactie IT-partner / management: ………………………………………

Norm: Bij uitval van de primaire verbinding wordt automatisch of binnen een vastgelegde en getoetste norm overgeschakeld naar een werkende alternatieve verbinding, zodat kritieke processen zonder materiële onderbreking doorgaan.

Constatering: Huidige situatie (0%): Bij uitval van de primaire verbinding is geen alternatieve verbinding of werkbare uitwijk beschikbaar.

Risico / impact: Binnen Continuïteit & Calamiteiten (BCP/DRP) (inherent risico 15, Substantieel) laat deze maatregel 100 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Bepaal wat een dag zonder internet kost en investeer in een reserveverbinding.

Reactie IT-partner / management: ………………………………………

Norm: Voor relevante lokale IT- en netwerkapparatuur is aantoonbaar getest dat stroomschommelingen worden opgevangen en dat bij langdurige uitval de werking veilig doorgaat of systemen gecontroleerd en zonder schade worden uitgeschakeld; een specifiek type noodstroomhardware is niet verplicht.

Constatering: Huidige situatie (25%): Er is alleen basisbescherming tegen spanningspieken; bij stroomuitval vallen relevante systemen ongecontroleerd uit.

Risico / impact: Binnen Continuïteit & Calamiteiten (BCP/DRP) (inherent risico 15, Substantieel) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Voorkom datacorruptie en hardwareschade door noodstroom voor kritieke apparatuur.

Reactie IT-partner / management: ………………………………………

Norm: Een actuele calamiteitencommunicatielijst (inclusief privégegevens en alternatieve nummers) is offline en extern beschikbaar; er is een vastgesteld protocol om personeel en externe relaties te informeren.

Constatering: Huidige situatie (50%): Men heeft wel telefoonnummers, maar deze staan uitsluitend opgeslagen binnen het primaire centrale systeem dat bij uitval onbereikbaar is.

Risico / impact: Binnen Continuïteit & Calamiteiten (BCP/DRP) (inherent risico 15, Substantieel) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Zorg dat de directie altijd iedereen kan bereiken, ook als mail en Teams uitvallen.

Reactie IT-partner / management: ………………………………………

Norm: Voor alle kritieke leveranciers gelden contractueel vastgelegde SLA-hersteltijden (bijv. reactie < 1 uur, herstel < 4 uur) bij calamiteiten, inclusief continuïteitswaarborg (escrow of directe broncode-/datatoegang) bij faillissement.

Constatering: De huidige situatie kon niet worden vastgesteld; de organisatie gaf aan dit niet te weten.

Risico / impact: Zonder zicht op deze maatregel is niet te beoordelen of het risico beheerst wordt; dit telt als blinde vlek.

Aanbeveling: Breng afhankelijkheid van sleutelleveranciers in kaart en dek die contractueel af.

Reactie IT-partner / management: ………………………………………

Norm: Alle beheerprocessen en systeemdocumentatie zijn volledig actueel vastgelegd; voor elke kritieke IT-rol is een gekwalificeerde vervanger (intern of via de IT-partner) direct inzetbaar.

Constatering: Huidige situatie (0%): Volledige persoonsafhankelijkheid zonder enige documentatie of back-upbeheerder; wegvallen legt het beheer direct lam.

Risico / impact: Binnen Continuïteit & Calamiteiten (BCP/DRP) (inherent risico 15, Substantieel) laat deze maatregel 100 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Beperk sleutelpersoonrisico: borg documentatie en een vervanger voor kritieke kennis.

Reactie IT-partner / management: ………………………………………

Norm: Minimaal eens per twee jaar wordt een gestructureerde calamiteitenoefening (bijv. tabletop-crisisgame of daadwerkelijke uitwijktest) uitgevoerd, geëvalueerd en schriftelijk gerapporteerd aan de directie.

Constatering: Huidige situatie (25%): Het plan is uitsluitend 'op papier' doorgenomen door één persoon zonder betrokkenheid van het management of team.

Risico / impact: Binnen Continuïteit & Calamiteiten (BCP/DRP) (inherent risico 15, Substantieel) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Laat het continuïteitsplan jaarlijks oefenen en de lessen vastleggen.

Reactie IT-partner / management: ………………………………………

Norm: Formeel apparaatbeleid is schriftelijk vastgesteld door de directie, maximaal 12 maanden geleden herzien, en door 100% van de medewerkers aantoonbaar ondertekend bij uitgifte.

Constatering: Huidige situatie (75%): Beleid is schriftelijk vastgesteld en ondertekend, maar langer dan 12 maanden niet formeel herzien.

Risico / impact: Binnen Apparaatbeheer & Digitale Werkplekken (inherent risico 9, Beperkt) laat deze maatregel 25 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Laat een apparaatreglement vaststellen en borg dat HR dit laat ondertekenen bij indiensttreding.

Reactie IT-partner / management: ………………………………………

Norm: 100% van alle mobiele apparaten met lokale dataopslag is voorzien van actieve opslagversleuteling waarvan de actieve status en herstelmogelijkheden centraal worden beheerd en gemonitord.

Constatering: Huidige situatie (75%): Encryptie is afgedwongen op alle centrale laptops, maar ontbreekt of is niet verifieerbaar op mobiele telefoons of tablets.

Risico / impact: Binnen Apparaatbeheer & Digitale Werkplekken (inherent risico 9, Beperkt) laat deze maatregel 25 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Voorkom meldplichtige datalekken door schijfversleuteling verplicht te stellen op alle apparaten.

Reactie IT-partner / management: ………………………………………

Norm: Voor alle zakelijk gebruikte apparaten kan bij vermissing direct op afstand de toegang worden geblokkeerd en kunnen zakelijke gegevens aantoonbaar worden gewist via centraal beheer.

Constatering: Huidige situatie (50%): Beheer op afstand is technisch beschikbaar binnen de licenties, maar niet uniform geconfigureerd of getest over de gehele vloot.

Risico / impact: Binnen Apparaatbeheer & Digitale Werkplekken (inherent risico 9, Beperkt) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Zorg dat u bij verlies kunt aantonen dat de data op afstand is gewist.

Reactie IT-partner / management: ………………………………………

Norm: Formele innameprocedure met checklist bij uitdiensttreding; afvoer verloopt altijd via gecertificeerde datavernietiging met officiële wiscertificaten per serienummer.

Constatering: Huidige situatie (50%): Apparaten worden ingenomen en opgeslagen in een afgesloten ruimte, maar stapelen zich op zonder dat data structureel wordt gewist.

Risico / impact: Binnen Apparaatbeheer & Digitale Werkplekken (inherent risico 9, Beperkt) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Voer gegevensdragers alleen af met extern wiscertificaat.

Reactie IT-partner / management: ………………………………………

Norm: Privé-apparaten zijn óf formeel verboden voor zakelijke data óf zakelijke data is strikt technisch gescheiden (container/MAM) met de mogelijkheid uitsluitend zakelijke data te wissen.

Constatering: Huidige situatie (75%): Helder schriftelijk BYOD-beleid aanwezig en geaccepteerd, maar de scheiding leunt primair op gebruikersafspraken in plaats van strikte technische containers.

Risico / impact: Binnen Apparaatbeheer & Digitale Werkplekken (inherent risico 9, Beperkt) laat deze maatregel 25 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Stel een BYOD-reglement vast tegen datalekken via privéapparaten.

Reactie IT-partner / management: ………………………………………

Norm: Geautomatiseerde compliance-beleidsregels zijn actief; apparaten die niet voldoen aan encryptie-, patch- of beveiligingseisen worden automatisch geblokkeerd van bedrijfsdata.

Constatering: Huidige situatie (50%): Compliance wordt alleen steekproefsgewijs gecontroleerd; er is geen vast schema voor het opsporen van niet-conforme apparaten.

Risico / impact: Binnen Apparaatbeheer & Digitale Werkplekken (inherent risico 9, Beperkt) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Sluit onveilige apparaten automatisch af ter bescherming van het hele bedrijf.

Reactie IT-partner / management: ………………………………………

Norm: Schriftelijk vastgesteld thuiswerk- en mobiliteitsbeleid is aanwezig, maximaal 12 maanden geleden herzien en ondertekend of expliciet bevestigd door alle externe medewerkers.

Constatering: Huidige situatie (75%): Schriftelijk beleid is aanwezig en bekend bij medewerkers, maar langer dan 12 maanden niet herzien of geëvalueerd.

Risico / impact: Binnen Hybride & Veilig Werken op Afstand (inherent risico 12, Substantieel) laat deze maatregel 25 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Stel een beknopt mobiel-werkenreglement vast.

Reactie IT-partner / management: ………………………………………

Norm: Alle dataverkeer en applicatietoegang buiten kantoor verloopt aantoonbaar en automatisch via getoetste, sterke transportversleuteling; onversleutelde verbindingen worden technisch geblokkeerd.

Constatering: Huidige situatie (50%): Primaire cloudtoepassingen zijn versleuteld (standaard HTTPS), maar er ontbreekt een centrale controle op het afdwingen van veilige protocollen over de gehele vloot.

Risico / impact: Binnen Hybride & Veilig Werken op Afstand (inherent risico 12, Substantieel) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Voorkom onderschepping van bedrijfsdata buiten kantoor.

Reactie IT-partner / management: ………………………………………

Norm: Medewerkers beschikken over goedgekeurde verbindingsfaciliteiten (zoals zakelijke mobiele databundels); heldere richtlijnen en getoetste netwerkinstellingen sluiten het gebruik van risicovolle openbare netwerken voor gevoelige werkzaamheden uit.

Constatering: Huidige situatie (50%): Er is een algemeen advies verstrekt, maar medewerkers zijn onderweg vaak aangewezen op openbare wifinetwerken bij gebrek aan zakelijke alternatieven.

Risico / impact: Binnen Hybride & Veilig Werken op Afstand (inherent risico 12, Substantieel) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Beperk spionagerisico's via openbare netwerken.

Reactie IT-partner / management: ………………………………………

Norm: Korte automatische schermvergrendeling (maximaal 5 minuten inactiviteit) is technisch afgedwongen; privacyfilters zijn beschikbaar voor reizende medewerkers en regels voor bellen worden actief nageleefd.

Constatering: Huidige situatie (25%): Schermvergrendeling is niet afgedwongen; schermen blijven urenlang ontgrendeld openstaan.

Risico / impact: Binnen Hybride & Veilig Werken op Afstand (inherent risico 12, Substantieel) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Voorkom AVG-inbreuken door meekijkende derden.

Reactie IT-partner / management: ………………………………………

Norm: Bedrijfsdata kan buiten kantoor niet ongecontroleerd worden geëxporteerd; printen op thuisprinters is technisch gereguleerd of beleidsmatig verboden en papierloos werken is de norm.

Constatering: Huidige situatie (75%): Duidelijk beleid tegen lokaal printen en privéopslag aanwezig en bekend, maar niet technisch geblokkeerd.

Risico / impact: Binnen Hybride & Veilig Werken op Afstand (inherent risico 12, Substantieel) laat deze maatregel 25 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Sluit datalekken via thuiskantoren uit.

Reactie IT-partner / management: ………………………………………

Norm: Structurele en verplichte instructie over mobiele en thuiswerkrisico's (inclusief openbare laadpunten en netwerken) met aantoonbare jaarlijkse toetsing van alle externe medewerkers.

Constatering: Huidige situatie (50%): Er is een algemene richtlijn gedeeld, maar specifieke risico's (zoals openbare wifi en laadpalen) worden niet actief getraind.

Risico / impact: Binnen Hybride & Veilig Werken op Afstand (inherent risico 12, Substantieel) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Maak een meldtermijn van 1 uur bij verlies bindend.

Reactie IT-partner / management: ………………………………………

Norm: Minimaal jaarlijks vult elke structurele thuiswerker een formele veiligheids- en privacy-audit/checklist in, die door management of IT wordt geverifieerd en gearchiveerd.

Constatering: Huidige situatie (50%): Er is een vrijblijvende checklist beschikbaar gesteld, maar invulling en opvolging worden niet geregistreerd.

Risico / impact: Binnen Hybride & Veilig Werken op Afstand (inherent risico 12, Substantieel) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Voldoe aantoonbaar aan de zorgplicht als werkgever.

Reactie IT-partner / management: ………………………………………

Norm: Er is een schriftelijke en strikt nageleefde inkoopprocedure; software mag uitsluitend worden aangeschaft na schriftelijke goedkeuring van IT/management inclusief getoetste verwerkersovereenkomst.

Constatering: Huidige situatie (50%): Er is een informeel goedkeuringsproces via de directie, maar zonder vaste toetsing op informatiebeveiliging of privacy-eisen.

Risico / impact: Binnen Software, Licenties & SaaS (inherent risico 6, Beperkt) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Voorkom ongecontroleerde uitgaven en datalekken via losse abonnementen.

Reactie IT-partner / management: ………………………………………

Norm: Er is een centraal, actueel en aantoonbaar compleet register van alle gebruikte software en SaaS-abonnementen, inclusief contracttermijnen, eigenaarschap en licentieaantallen (bijv. in een gedocumenteerd register of beheertool).

Constatering: Huidige situatie (75%): Centraal overzicht is aanwezig, maar SaaS-abonnementen van enkele afdelingen ontbreken of contracttermijnen worden handmatig bijgehouden en lopen soms achter.

Risico / impact: Binnen Software, Licenties & SaaS (inherent risico 6, Beperkt) laat deze maatregel 25 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Krijg grip op software-uitgaven en voorkom automatische verlengingen.

Reactie IT-partner / management: ………………………………………

Norm: Actieve detectie is operationeel (bijv. via Cloud Access Security Broker, DNS/firewall logs of periodieke endpoint-inventarisatie gecombineerd met financiële controles op declaraties).

Constatering: Huidige situatie (25%): Men vermoedt dat er schaduw-IT aanwezig is, maar er vindt geen enkele controle of opsporing plaats.

Risico / impact: Binnen Software, Licenties & SaaS (inherent risico 6, Beperkt) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Sluit datastromen naar niet-AVG-conforme tools af.

Reactie IT-partner / management: ………………………………………

Norm: Minimaal eens per kwartaal vindt een formele opschoning en evaluatie plaats van onbenutte licenties; licenties van uitdiensttreders worden direct ontkoppeld en contractueel afgeschaald bij de eerstvolgende mogelijkheid.

Constatering: Huidige situatie (50%): Opschoning gebeurt ad-hoc; er wordt regelmatig langdurig doorbetaald voor licenties die niemand meer gebruikt.

Risico / impact: Binnen Software, Licenties & SaaS (inherent risico 6, Beperkt) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Bespaar direct door slapende accounts te schrappen.

Reactie IT-partner / management: ………………………………………

Norm: Voor alle kritieke SaaS-applicaties zijn data-eigendom, periodieke back-up exportmogelijkheden en exit-strategieën contractueel geborgd en getoetst.

Constatering: Huidige situatie (50%): Standaard algemene voorwaarden van leveranciers worden blind geaccepteerd zonder controle op data-export of continuïteitsrisico's.

Risico / impact: Binnen Software, Licenties & SaaS (inherent risico 6, Beperkt) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Beperk afhankelijkheid van één leverancier.

Reactie IT-partner / management: ………………………………………

Norm: Bij elke nieuwe software-introductie is een formeel adoptieplan met verplichte instructie, handleidingen en toetsing van het daadwerkelijke gebruik operationeel.

Constatering: De huidige situatie kon niet worden vastgesteld; de organisatie gaf aan dit niet te weten.

Risico / impact: Zonder zicht op deze maatregel is niet te beoordelen of het risico beheerst wordt; dit telt als blinde vlek.

Aanbeveling: Borg het rendement van software door training verplicht te stellen.

Reactie IT-partner / management: ………………………………………

Norm: Minimaal jaarlijks wordt een formele, gedocumenteerde licentie-audit uitgevoerd op alle on-premises en SaaS-systemen, met aantoonbare opvolging van afwijkingen.

Constatering: Huidige situatie (75%): Licentie-audit is in de afgelopen 18 maanden uitgevoerd, maar opvolging van niet-kritieke bevindingen verloopt traag.

Risico / impact: Binnen Software, Licenties & SaaS (inherent risico 6, Beperkt) laat deze maatregel 25 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Sluit boetes bij softwarecontroles uit.

Reactie IT-partner / management: ………………………………………

Norm: Er is een actuele en formele SLA met scherpe, gedifferentieerde responstijden (bijv. P1 < 30 min, P2 < 2 uur) en gegarandeerde hersteltermijnen; prestaties worden maandelijks gerapporteerd.

Constatering: Huidige situatie (75%): Er is een formele SLA met vastgelegde responstijden, maar hersteltermijnen zijn indicatief of rapportage over naleving ontbreekt.

Risico / impact: Binnen ICT-Ondersteuning, Monitoring & Beheer (inherent risico 9, Beperkt) laat deze maatregel 25 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Borg continuïteit met contractuele herstelgaranties.

Reactie IT-partner / management: ………………………………………

Norm: Continue geautomatiseerde 24/7-monitoring op vitale werkplek- en systeemparameters is actief; incidenten worden proactief aangemaakt en verholpen vóórdat medewerkers hinder ervaren.

Constatering: Huidige situatie (75%): Geautomatiseerde monitoring is actief op servers en centrale clouddiensten, maar eindgebruikerswerkplekken worden slechts periodiek gecontroleerd.

Risico / impact: Binnen ICT-Ondersteuning, Monitoring & Beheer (inherent risico 9, Beperkt) laat deze maatregel 25 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Verlaag stilstandskosten door proactief beheer contractueel te eisen.

Reactie IT-partner / management: ………………………………………

Norm: Alle IT-vragen en incidenten worden verplicht vastgelegd in een professioneel ticketsysteem; melders ontvangen automatische statusupdates en escalaties worden bewaakt.

Constatering: Huidige situatie (50%): Incidenten worden bijgehouden in een gedeelde mailbox of spreadsheet zonder formele statustracking.

Risico / impact: Binnen ICT-Ondersteuning, Monitoring & Beheer (inherent risico 9, Beperkt) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Vraag elk kwartaal cijfers op over storingen en doorlooptijden.

Reactie IT-partner / management: ………………………………………

Norm: Structureel probleembeheer is ingericht; terugkerende incidenten worden periodiek geanalyseerd op grondoorzaak en resulteren in structurele wijzigingsvoorstellen of vervangingen.

Constatering: Huidige situatie (50%): Men lost storingen reactief op wanneer ze voorkomen; pas bij aanhoudende escalaties wordt naar de diepere oorzaak gekeken.

Risico / impact: Binnen ICT-Ondersteuning, Monitoring & Beheer (inherent risico 9, Beperkt) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Investeer in het oplossen van de oorzaak van chronische storingen.

Reactie IT-partner / management: ………………………………………

Norm: Gegarandeerde en getoetste bezetting tijdens alle operationele werkuren; heldere telefonische en digitale bereikbaarheid met professionele achtervang bij ziekte en vakantie.

Constatering: Huidige situatie (75%): Goede bereikbaarheid tijdens standaard kantooruren, maar bij afwezigheid van vaste sleutelfiguren ontstaat vertraging.

Risico / impact: Binnen ICT-Ondersteuning, Monitoring & Beheer (inherent risico 9, Beperkt) laat deze maatregel 25 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Laat de IT-ondersteuning aansluiten op uw werktijden.

Reactie IT-partner / management: ………………………………………

Norm: Volledig geautomatiseerde, actuele inventaris (RMM/MDM) van alle apparaten, servers, besturingssystemen en softwareversies; binnen één uur exporteerbaar met tijdstempel en periodiek gecontroleerd.

Constatering: Huidige situatie (25%): Alleen losse kennis bij de beheerder of verouderde lijsten; bij een lek moet alles handmatig worden uitgezocht.

Risico / impact: Binnen ICT-Ondersteuning, Monitoring & Beheer (inherent risico 9, Beperkt) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Vraag uw IT-partner om binnen een uur een actuele lijst van alle systemen en versies te kunnen leveren.

Reactie IT-partner / management: ………………………………………

Norm: Minimaal eens per kwartaal vindt een formele, gedocumenteerde service-review plaats op basis van SLA-rapportages, incidentanalyses en strategische plannen, met sluitende actielijsten.

Constatering: Huidige situatie (50%): Gesprekken vinden alleen ad-hoc plaats wanneer er ernstige storingen zijn geweest of bij de jaarlijkse contractverlenging.

Risico / impact: Binnen ICT-Ondersteuning, Monitoring & Beheer (inherent risico 9, Beperkt) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Houd als directie regie op kwaliteit en kosten van de IT-dienstverlening.

Reactie IT-partner / management: ………………………………………

Norm: Kernprocessen en datastromen zijn volledig gedocumenteerd, actueel (maximaal 12 maanden geleden herzien) en gekoppeld aan een formele digitaliseringsroadmap.

Constatering: Huidige situatie (25%): Er zijn louter versnipperde werkinstructies aanwezig zonder procesoverzicht.

Risico / impact: Binnen Procesoptimalisatie & Automatisering (inherent risico 6, Beperkt) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Stel een digitaliseringsagenda op met de top-3 procesknelpunten.

Reactie IT-partner / management: ………………………………………

Norm: Alle relevante gegevensstromen tussen kernsystemen verlopen aantoonbaar geautomatiseerd en betrouwbaar (via API's, native integraties of iPaaS) passend bij het transactievolume; handmatig knip- en plakwerk is geëlimineerd.

Constatering: Huidige situatie (50%): Gedeeltelijke integratie; systemen wisselen periodiek batchbestanden (zoals CSV-exports) uit die handmatig moeten worden klaargezet of geüpload.

Risico / impact: Binnen Procesoptimalisatie & Automatisering (inherent risico 6, Beperkt) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Bespaar loonkosten en voorkom fouten door overtypen te automatiseren.

Reactie IT-partner / management: ………………………………………

Norm: Geautomatiseerde workflows sturen de primaire bedrijfsprocessen; triggers, goedkeuringsflows en taaknotificaties verlopen volledig systeemgestuurd.

Constatering: Huidige situatie (25%): Taaksturing verloopt vrijwel volledig via losse e-mails en mondelinge afspraken; systemen bieden geen workflowondersteuning.

Risico / impact: Binnen Procesoptimalisatie & Automatisering (inherent risico 6, Beperkt) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Verkort doorlooptijden met automatische taaksturing.

Reactie IT-partner / management: ………………………………………

Norm: Geautomatiseerde monitoring en directe storingsnotificatie op alle koppelvlakken actief; mislukte transacties worden direct gelogd, gemeld en voorzien van hertriggering.

Constatering: Huidige situatie (50%): Koppelingen falen stilzwijgend; fouten worden pas ontdekt wanneer een klant klaagt of medewerkers ontbrekende data opmerken.

Risico / impact: Binnen Procesoptimalisatie & Automatisering (inherent risico 6, Beperkt) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Bescherm de omzet tegen ongemerkt falende koppelingen.

Reactie IT-partner / management: ………………………………………

Norm: Onderhoud van koppelingen is contractueel geborgd met leveranciers/IT-partner; API-deprecaties en software-updates worden proactief getoetst vóór uitrol.

Constatering: Huidige situatie (0%): Volledig ontbreken van eigenaarschap of onderhoudsafspraken voor koppelingen.

Risico / impact: Binnen Procesoptimalisatie & Automatisering (inherent risico 6, Beperkt) laat deze maatregel 100 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Voorkom 'maandagochtend-storingen' na weekendupdates.

Reactie IT-partner / management: ………………………………………

Norm: De ingerichte geautomatiseerde processen worden consequent toegepast; parallelle handmatige schaduwadministraties (zoals losse Excel-overzichten) worden actief gesaneerd en komen niet voor.

Constatering: Huidige situatie (25%): Medewerkers omzeilen de geautomatiseerde functionaliteiten structureel en blijven grotendeels handmatig werken.

Risico / impact: Binnen Procesoptimalisatie & Automatisering (inherent risico 6, Beperkt) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Ruim losse spreadsheets op om fouten en afhankelijkheid te voorkomen.

Reactie IT-partner / management: ………………………………………

Norm: Minimaal halfjaarlijks vindt een formele, gedocumenteerde evaluatie plaats van doorlooptijden en procesprestaties; knelpunten leiden aantoonbaar tot aanpassingen in de automatisering.

Constatering: Huidige situatie (50%): Er wordt louter gekeken naar incidentele klachten; structurele meting van procesdoorlooptijden ontbreekt.

Risico / impact: Binnen Procesoptimalisatie & Automatisering (inherent risico 6, Beperkt) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Stuur op het verkorten van de tijd van order tot factuur.

Reactie IT-partner / management: ………………………………………

Norm: Digitale vaardigheidsontwikkeling is structureel geborgd; medewerkers krijgen aantoonbaar tijd en passende faciliteiten (bijv. scholing, leveranciersinstructie of e-learning) om hun computervaardigheden actueel te houden.

Constatering: Huidige situatie (50%): Vaardigheden worden uitsluitend ad-hoc bijgespijkerd wanneer medewerkers vastlopen of er nieuwe software wordt geïntroduceerd.

Risico / impact: Binnen Digitale Adoptie, Kennis & Vaardigheden (inherent risico 6, Beperkt) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Reserveer jaarlijks vast budget voor digitale training.

Reactie IT-partner / management: ………………………………………

Norm: Minimaal jaarlijks vindt een gestructureerde nulmeting of vaardigheidsinventarisatie plaats per afdeling; opleidingsacties worden hier direct op afgestemd.

Constatering: Huidige situatie (25%): Er is alleen een vaag vermoeden wie digitaal handig is en wie niet; geen enkel gestructureerd inzicht.

Risico / impact: Binnen Digitale Adoptie, Kennis & Vaardigheden (inherent risico 6, Beperkt) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Krijg scherp waar tijd verloren gaat door gebrek aan kennis.

Reactie IT-partner / management: ………………………………………

Norm: Elke nieuwe medewerker doorloopt een gestructureerd digitaal inwerkprogramma met gerichte instructie op de kernapplicaties en datastructuren, afgerond met een vaardigheidscheck.

Constatering: Huidige situatie (50%): Nieuwe medewerkers krijgen een lijstje met inloggegevens en moeten het systeemgebruik grotendeels zelf uitzoeken in de praktijk.

Risico / impact: Binnen Digitale Adoptie, Kennis & Vaardigheden (inherent risico 6, Beperkt) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Verkort de inwerktijd van weken naar dagen.

Reactie IT-partner / management: ………………………………………

Norm: Er is een centrale, actuele en doorzoekbare kennisbank/intranetpagina met korte handleidingen en video's voor alle kernsoftware; inhoud wordt periodiek bijgewerkt.

Constatering: Huidige situatie (25%): Kennis zit uitsluitend in de hoofden van individuele medewerkers; niets is vastgelegd.

Risico / impact: Binnen Digitale Adoptie, Kennis & Vaardigheden (inherent risico 6, Beperkt) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Verhoog de efficiëntie door medewerkers zelf antwoorden te laten vinden.

Reactie IT-partner / management: ………………………………………

Norm: Er is een heldere, laagdrempelige ondersteuningsstructuur met herkenbare aanspreekpunten per team die aantoonbaar tijd en waardering krijgen om collega's praktisch te helpen.

Constatering: Huidige situatie (50%): Hulp is afhankelijk van toeval en welwillendheid van directe bureaucollega's; geen vaste structuur.

Risico / impact: Binnen Digitale Adoptie, Kennis & Vaardigheden (inherent risico 6, Beperkt) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Verlaag supportkosten door eenvoudige vragen intern op te lossen.

Reactie IT-partner / management: ………………………………………

Norm: Er is een actieve praktijk waarin handige softwarefuncties, tips-en-tricks en werkwijzen structureel worden gedeeld (bijv. in teamoverleggen of via een vast digi-kanaal).

Constatering: Huidige situatie (50%): Alleen bij grote systeemwijzigingen wordt eenmalig informatie gedeeld; tussentijdse kennisdeling ontbreekt.

Risico / impact: Binnen Digitale Adoptie, Kennis & Vaardigheden (inherent risico 6, Beperkt) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Bouw een cultuur van kennisdelen en verbeteren.

Reactie IT-partner / management: ………………………………………

Norm: Minimaal jaarlijks vindt een formele, gedocumenteerde evaluatie plaats van software-benutting, trainingseffectiviteit en adoptiegraad, resulterend in concrete verbeterplannen.

Constatering: Huidige situatie (25%): Men heeft geen enkel inzicht in de adoptiegraad; systemen worden uitgerold en men hoopt maar dat het gebruikt wordt.

Risico / impact: Binnen Digitale Adoptie, Kennis & Vaardigheden (inherent risico 6, Beperkt) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Haal meer uit bestaande licenties voordat u nieuwe tools koopt.

Reactie IT-partner / management: ………………………………………

Norm: Definities van alle kern-KPI's zijn schriftelijk vastgelegd en geaccordeerd door de directie; per datadomein is een verantwoordelijke functionaris (data-eigenaar) aangewezen.

Constatering: Huidige situatie (50%): Definities zijn informeel bekend, maar niet schriftelijk vastgelegd; afdelingen hanteren incidenteel verschillende berekeningswijzen.

Risico / impact: Binnen Datagedreven Werken & Managementinformatie (inherent risico 4, Laag) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Voorkom discussie in het directieoverleg over de juistheid van cijfers.

Reactie IT-partner / management: ………………………………………

Norm: Voor elk kerngegevenstype (klant, product, financieel, HR) is expliciet één leidend bronsysteem aangewezen en technisch geborgd; nevensystemen worden hier automatisch uit gevoed.

Constatering: Huidige situatie (25%): Data wordt op meerdere plekken tegelijk bijgehouden zonder dat duidelijk is welke bron leidend is.

Risico / impact: Binnen Datagedreven Werken & Managementinformatie (inherent risico 4, Laag) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Voorkom foute leveringen en facturen door stamgegevens centraal te beheren.

Reactie IT-partner / management: ………………………………………

Norm: Managementrapportages en dashboards worden aantoonbaar geautomatiseerd gegenereerd uit de bronsystemen; actuele cijfers zijn direct beschikbaar zonder handmatig Excel-knipwerk.

Constatering: Huidige situatie (25%): Rapportageproductie is een uiterst moeizaam en foutgevoelig handmatig proces dat dagen in beslag neemt.

Risico / impact: Binnen Datagedreven Werken & Managementinformatie (inherent risico 4, Laag) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Win managementtijd terug door rapportages te automatiseren.

Reactie IT-partner / management: ………………………………………

Norm: Minimaal halfjaarlijks vindt een formele, gedocumenteerde data-opschoning plaats (ontdubbeling, controle op verouderde records, verplichte veldvalidatie).

Constatering: Huidige situatie (75%): Data wordt jaarlijks opgeschoond (bijv. rond de jaarwisseling), maar tussentijdse controles ontbreken waardoor vervuiling kan oplopen.

Risico / impact: Binnen Datagedreven Werken & Managementinformatie (inherent risico 4, Laag) laat deze maatregel 25 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Verhoog de slagkracht met een schone klantendatabase.

Reactie IT-partner / management: ………………………………………

Norm: Alle externe gegevensstromen worden automatisch gevalideerd bij binnenkomst (op formaat, consistentie en volledigheid); afwijkingen worden direct gemeld en geblokkeerd.

Constatering: Huidige situatie (50%): Validatie gebeurt achteraf en handmatig; fouten in externe feeds worden pas opgemerkt na verwerking.

Risico / impact: Binnen Datagedreven Werken & Managementinformatie (inherent risico 4, Laag) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Voorkom financiële verschillen door dagelijkse aansluiting.

Reactie IT-partner / management: ………………………………………

Norm: Besluitvorming op directie- en managementniveau wordt aantoonbaar en structureel onderbouwd met cijfers uit betrouwbare rapportages en dashboards; KPI's worden actief gebruikt voor continue bijsturing.

Constatering: Huidige situatie (25%): Besluitvorming vindt vrijwel uitsluitend plaats op basis van aannames en onderbuikgevoel; data speelt nauwelijks een rol.

Risico / impact: Binnen Datagedreven Werken & Managementinformatie (inherent risico 4, Laag) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Bouw een sturingscultuur op basis van feiten.

Reactie IT-partner / management: ………………………………………

Norm: Minimaal per kwartaal vindt een formele, gedocumenteerde aansluiting (reconciliatie) plaats tussen dashboards en de officiële financiële/operationele administratie, met aantoonbare aftekening.

Constatering: Huidige situatie (50%): Aansluiting vindt alleen plaats wanneer cijfers overduidelijk vreemd overkomen; geen vaste controle.

Risico / impact: Binnen Datagedreven Werken & Managementinformatie (inherent risico 4, Laag) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Voorkom verkeerde besluiten door foute rekenregels.

Reactie IT-partner / management: ………………………………………

Norm: Er is een formeel vastgesteld en gecommuniceerd AI-gebruiksbeleid (inclusief lijst van goedgekeurde tools en expliciet verbod op vertrouwelijke data) óf een formeel en gehandhaafd besluit tot beheerst niet-gebruik.

Constatering: Huidige situatie (0%): Geen enkel AI-beleid, richtlijn of visie aanwezig; totale afwezigheid van sturing.

Risico / impact: Binnen Artificiële Intelligentie & Innovatie (inherent risico 9, Beperkt) laat deze maatregel 100 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Stel een AI-gedragscode vast om risico's onder de EU AI Act te beperken.

Reactie IT-partner / management: ………………………………………

Norm: Alle gebruikte AI-tools draaien onder getoetste zakelijke voorwaarden waarin modeltraining contractueel en technisch is uitgesloten (zero-data-retention/enterprise tenancy) óf er is een aantoonbaar en technisch gehandhaafd verbod op externe AI-invoer.

Constatering: Huidige situatie (25%): Medewerkers gebruiken gratis publieke consumenten-AI (waarbij invoer standaard wordt benut voor modeltraining).

Risico / impact: Binnen Artificiële Intelligentie & Innovatie (inherent risico 9, Beperkt) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Sluit AVG-claims door onbedoelde invoer contractueel uit.

Reactie IT-partner / management: ………………………………………

Norm: Er is een formeel risicogebaseerd validatieprotocol; uitkomsten met aanzienlijke operationele, juridische of financiële impact worden aantoonbaar getoetst door een gekwalificeerde medewerker vóór gebruik (bij beheerst niet-gebruik: N/A met motivatie).

Constatering: Huidige situatie (25%): AI-gegenereerde teksten en code worden regelmatig ongezien gekopieerd en direct toegepast zonder feitelijke check.

Risico / impact: Binnen Artificiële Intelligentie & Innovatie (inherent risico 9, Beperkt) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm. Het betreft een zwaar wegende maatregel.

Aanbeveling: Houd 100% menselijke eindverantwoordelijkheid om aansprakelijkheid te voorkomen.

Reactie IT-partner / management: ………………………………………

Norm: AI-leveranciers en modelafhankelijkheden zijn gedocumenteerd inclusief uitwijkmogelijkheden of exit-strategieën; kosten en SLA's worden periodiek gemonitord (bij beheerst niet-gebruik: N/A).

Constatering: Huidige situatie (0%): Volledig ontbreken van leveranciersbeheersing bij AI-inzet.

Risico / impact: Binnen Artificiële Intelligentie & Innovatie (inherent risico 9, Beperkt) laat deze maatregel 100 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Voorkom uit de hand lopende kosten door AI-gebruik te maximeren.

Reactie IT-partner / management: ………………………………………

Norm: Structurele instructie en training over verantwoord AI-gebruik, effectief prompten en het herkennen van hallucinaties is verplicht voor alle actieve gebruikers (bij beheerst niet-gebruik: N/A).

Constatering: Huidige situatie (50%): Medewerkers moeten zichzelf via online filmpjes wegwijs maken; geen gestructureerde begeleiding.

Risico / impact: Binnen Artificiële Intelligentie & Innovatie (inherent risico 9, Beperkt) laat deze maatregel 50 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Verhoog de productiviteit door personeel goed met AI te leren werken.

Reactie IT-partner / management: ………………………………………

Norm: Minimaal halfjaarlijks vindt een formele evaluatie plaats van AI-use cases op productiviteit, kosten en kwaliteit; niet-renderende tools worden gestopt (bij beheerst niet-gebruik: N/A).

Constatering: Huidige situatie (25%): AI-licenties worden betaald zonder dat iemand weet of het iets oplevert; innovatie om de innovatie.

Risico / impact: Binnen Artificiële Intelligentie & Innovatie (inherent risico 9, Beperkt) laat deze maatregel 75 procentpunt ruimte ten opzichte van de norm.

Aanbeveling: Stop onrendabele AI-abonnementen en breid uit waar het aantoonbaar tijd wint.

Reactie IT-partner / management: ………………………………………

Norm: Er is een actueel centraal register van alle goedgekeurde AI-toepassingen en er vindt minimaal halfjaarlijks een formele audit/detectie plaats op schaduw-AI en browser-extensies.

Constatering: De huidige situatie kon niet worden vastgesteld; de organisatie gaf aan dit niet te weten.

Risico / impact: Zonder zicht op deze maatregel is niet te beoordelen of het risico beheerst wordt; dit telt als blinde vlek.

Aanbeveling: Registreer alle AI-tools formeel conform de EU AI Act.

Reactie IT-partner / management: ………………………………………