Wat is een ICT-audit? Uitleg, soorten en verschil met een zelfevaluatie

Gepubliceerd op 4 november 2026

Een ICT-audit is een onafhankelijke, systematische toetsing van hoe uw ICT is ingericht, beveiligd en beheerd, tegen een vooraf bepaald normenkader. Een formele audit wordt uitgevoerd door een onafhankelijke auditor. Een zelfevaluatie, zoals de ICTklaar pre-assessment, is een indicatieve nulmeting die u zelf invult om knelpunten vooraf in beeld te krijgen.

Dit artikel hoort bij het thema Cybersecurity in het MKB, onderdeel van ICT-beveiliging voor het MKB.

Wat is een ICT-audit?

Een ICT-audit is een formeel, gestructureerd onderzoek naar de kwaliteit, beheersing, continuïteit en beveiliging van de informatie- en communicatietechnologie binnen een organisatie. Tijdens een audit toetst een onafhankelijke onderzoeker (vaak een IT-auditor of registerauditor) of systemen, processen en afspraken voldoen aan specifieke normen, wettelijke vereisten of interne doelstellingen.

In tegenstelling tot regulier beheerwerk door een IT-partner kijkt een ICT-audit met afstand naar de feitelijke situatie. Er wordt niet alleen gekeken naar de techniek ("draait de server?"), maar vooral naar de beheersing ("is vastgelegd wie toegang heeft, en wordt dat periodiek gecontroleerd?").

Waarom een ICT-audit laten uitvoeren?

Voor kleine en middelgrote organisaties ontstaat de aanleiding voor een audit meestal door een externe of interne prikkel:

1. Vragen van klanten of ketenpartners: Grote opdrachtgevers eisen steeds vaker dat toeleveranciers aantonen dat hun dataveiligheid op orde is, mede onder invloed van ketenverplichtingen vanuit de Cyberbeveiligingswet (de Nederlandse implementatie van de Europese NIS2-richtlijn).
2. Acceptatie of verlenging van een cyberverzekering: Verzekeraars vragen vooraf om onderbouwing van maatregelen zoals meervoudige verificatie (MFA), back-upgescheidenheid en patchbeleid.
3. Fusie, overname of directiewissel: Bij een overname (due diligence) wil de koper weten of er verborgen technische schulden, licentietekorten of overdrachtsrisico's zijn.
4. Behoefte aan onafhankelijke regie: Directies willen een neutraal oordeel over de vraag of de huidige IT-dienstverlener levert wat contractueel is afgesproken.

De vaste onderdelen van een ICT-audit

Een ICT-audit heeft altijd een vooraf vastgelegde scope (reikwijdte). Niet elke audit onderzoekt alles. Typische aandachtsgebieden zijn:

• Toegangsbeheer en accounts: Wie heeft beheerderstoegang? Worden accounts van uitdienstgetreden medewerkers direct ingetrokken? Is MFA overal afgedwongen?
• Back-up en herstel: Worden back-ups onafhankelijk van het primaire netwerk bewaard? Is er een recent hersteltestlogboek dat aantoont dat herstel daadwerkelijk lukt binnen een acceptabele tijd?
• Update- en patchbeheer: Worden besturingssystemen en software tijdig bijgewerkt tegen bekende kwetsbaarheden?
• Leveranciersbeheer en SLA’s: Welke afspraken gelden er met softwareleveranciers en de IT-beheerder over responstijden, eigenaarschap van data en calamiteiten?
• Continuïteit en incidentrespons: Is er een calamiteitenplan voor het geval de primaire systemen uitvallen door een storing of ransomware-aanval?

Hoe verloopt een audittraject? (Het 5-stappenplan)

1. Afbakening en doel: De auditor en opdrachtgever bepalen de norm (bijvoorbeeld ISO 27001, CIS Controls of een specifiek contractkader) en welke bedrijfsonderdelen meedoen.
2. Documentatie en interviews: De auditor bestudeert beleidsdocumenten, contracten en systeemconfiguraties en voert gesprekken met management, kerngebruikers en de IT-beheerder.
3. Toetsing van opzet, bestaan en werking:

• Opzet: Is de maatregel beschreven? (Bijvoorbeeld: "We hebben een wachtwoordbeleid").
• Bestaan: Is de maatregel ingericht? (Er is een wachtwoordmanager aangeschaft).
• Werking: Werkt het in de praktijk over een langere periode? (Uit steekproeven blijkt dat niemand meer wachtwoorden deelt via e-mail of post-its).

1. Bevindingen en rapportage: De auditor stelt een rapport op met geconstateerde afwijkingen (hiaten), het daaraan verbonden risico en aanbevelingen.
2. Opvolging en actieplan: De organisatie maakt samen met haar IT-partner afspraken over het herstel van de tekortkomingen.

Het verschil tussen een audit, securityscan en pre-assessment

In de markt worden verschillende termen door elkaar gebruikt, wat voor verwarring zorgt:

• Technische securityscan / pentest: Een geautomatiseerde scan of ethische hacker die zoekt naar technische kwetsbaarheden in poorten, IP-adressen of software.
• Formele ICT-audit: Een diepgaand, onafhankelijk onderzoek naar zowel techniek als processen, resulterend in een formeel auditrapport met oordeel.
• Pre-assessment (zelfevaluatie): Een laagdrempelige vragenlijst of zelfinspectie waarmee je als ondernemer zelf de huidige stand van zaken in kaart brengt vóórdat je externe partijen inschakelt.

Praktijkvoorbeeld: Groothandel met back-uptwijfels

Een technische groothandel met 30 kantoorwerkplekken wilde zekerheid over de bedrijfscontinuïteit. De IT-partner rapporteerde maandelijks: "Back-ups succesvol voltooid." Tijdens een gerichte controle vroeg de auditor om het verslag van de meest recente hersteltest. Wat bleek: de back-ups werden wel gemaakt, maar er was in twee jaar tijd nooit getest of de database van het ERP-pakket daadwerkelijk foutloos teruggezet kon worden. Na de constatering werd een halfjaarlijks testprotocol vastgelegd, waardoor het reële uitvalrisico substantieel daalde.

Veelgestelde vragen

Lees verder

• Wat staat er in een ICT-auditrapport?
• ICT-nulmeting voor het mkb
• Alle artikelen in de kennisbank