Soorten vragenlijsten
Beveiligingsvragenlijst
Een lijst vragen die een klant naar een leverancier stuurt om te beoordelen of die leverancier zijn gegevens en systemen kan worden toevertrouwd. Van dertig vragen in een formulier tot enkele honderden, verspreid over vele werkbladen.
Leveranciersbeoordeling (vendor security assessment, VSA)
Het proces aan klantzijde waar de vragenlijst deel van uitmaakt: de vragenlijst, de beoordeling van het bewijs, een risicoclassificatie en een besluit. Sommige klanten noemen de vragenlijst zelf een “VSA”.
SIG
De Standardized Information Gathering-vragenlijst van Shared Assessments, de standaard bij banken, verzekeraars en grote ondernemingen. SIG Core is de volledige set; SIG Lite de korte versie. Zie SIG vs CAIQ vs DDQ.
CAIQ
De Consensus Assessment Initiative Questionnaire van de Cloud Security Alliance, gemaakt voor clouddiensten en gekoppeld aan de Cloud Controls Matrix.
DDQ
Een due-diligencevragenlijst: breder dan beveiliging, met vragen over het bedrijf, de financiën, verzekeringen en continuïteit, naast de beveiligingsmaatregelen.
Beveiligingsparagraaf in een RFP
De beveiligingsvragen in een aanbestedingsaanvraag (request for proposal). Meestal een verkorte vragenlijst, beantwoord onder een deadline die het verkooptraject bepaalt, niet het beveiligingsteam.
Beantwoorden
Antwoordbibliotheek
De verzameling goedgekeurde antwoorden, één per feit, waaruit vragenlijsten worden beantwoord. Elk item heeft een eigenaar en een datum. Zie een antwoordbibliotheek opbouwen.
Kennisbank
In Responsemate: de antwoordbibliotheek plus de documenten, links en eerdere vragenlijsten waaruit de AI antwoorden opstelt.
Bewijs
Een document dat aantoont dat een antwoord klopt: een beleid, een certificaat, een testrapport, een oefenverslag. Zie welk bewijs u bijvoegt.
Niet van toepassing
Een eerlijk antwoord wanneer een vraag iets beschrijft wat u niet doet of niet heeft, met één zin waarom. Beoordelaars accepteren het als de reden klopt.
Betrouwbaarheidsscore
In Responsemate: een markering High, Medium of Low op elk opgesteld antwoord, met de redenen: hoe direct de bronnen de vraag beantwoorden, hoe goed ze erbij passen en hoe actueel ze zijn.
Bron
Waar een opgesteld antwoord vandaan komt: het Q&A-item, het bestand, de link of het eerdere antwoord waaruit het is opgebouwd. Een antwoord met bronnen is te controleren; een antwoord zonder is een mening.
Actualiteit
Of een bron of antwoord nog actueel is: een certificaat vóór de vervaldatum, een beleid dat binnen het jaar is herzien, een personeelsaantal van dit kwartaal.
Goedkeuren
De stap waarin iemand die verantwoordelijk is voor het antwoord het bevestigt. Een concept wordt pas een antwoord als iemand het goedkeurt.
Raamwerken en normen
ISO 27001
De internationale norm voor een managementsysteem voor informatiebeveiliging. Certificering betekent dat een auditor heeft gecontroleerd dat het systeem bestaat en werkt, binnen een afgebakende scope. Zie ISO 27001-vragenlijsten.
SOC 2
Een attestatierapport over de beheersmaatregelen van een serviceorganisatie, afgegeven door een auditor op basis van de Trust Services Criteria van de AICPA. Type I beschrijft de maatregelen op een bepaald moment; Type II toetst ze over een periode. Zie SOC 2-vragenlijsten.
ISAE 3000 en ISAE 3402
Internationale assurancestandaarden voor auditrapporten over de beheersmaatregelen van een serviceorganisatie, gangbaar in Europa, waar SOC 2 minder wordt gebruikt. Zie ISAE 3000-vragenlijsten.
NIS2
De EU-richtlijn voor de beveiliging van netwerk- en informatiesystemen, sinds 2024 via nationale wetgeving van kracht, die de organisaties die eronder vallen verantwoordelijk maakt voor de beveiliging van hun leveranciers. Zie NIS2-leveranciersvragenlijsten.
DORA
De EU-verordening voor digitale operationele weerbaarheid van de financiële sector, van toepassing sinds 2025, met gedetailleerde eisen aan hoe financiële entiteiten hun externe ICT-aanbieders beheren. Zie DORA-vragenlijsten.
AVG (GDPR)
De Algemene verordening gegevensbescherming van de EU (in het Engels GDPR). In een vragenlijst verschijnt ze als vragen over persoonsgegevens, rechtsgrond, verwerkers en subverwerkers, doorgiften en melding van datalekken. Zie AVG-leveranciersbeoordelingen.
NIST CSF
Het Cybersecurity Framework van het Amerikaanse National Institute of Standards and Technology (NIST): vijf functies (identificeren, beschermen, detecteren, reageren, herstellen) waar veel vragenlijsten omheen zijn opgebouwd.
Cyber Essentials
Een door de Britse overheid gesteunde certificering van vijf basismaatregelen. Vaak gevraagd door Britse overheidsinstanties en hun leveranciers.
Beheersmaatregel (control)
Een concrete maatregel die een risico verkleint: elk kwartaal de toegangsrechten controleren, versleuteling in rust, een geteste back-up. Raamwerken zijn lijsten van beheersmaatregelen; vragenlijsten vragen of u ze heeft.
Controlemapping (control mapping)
Uw antwoorden en bewijs koppelen aan de beheersmaatregelen van een raamwerk, zodat u ziet welke maatregelen u afdekt en welke niet, en een vragenlijst op basis van dat raamwerk kunt beantwoorden met wat u al heeft.
Contracten en privacy
Verwerkersovereenkomst (DPA)
De overeenkomst onder de AVG (GDPR) tussen een klant (verwerkingsverantwoordelijke) en een leverancier (verwerker) waarin staat hoe persoonsgegevens worden verwerkt. Vragenlijsten vragen of u er een heeft, en vaak ook om het document zelf.
Subverwerker
Een leverancier van uw leverancier die de gegevens van de klant verwerkt: de hostingprovider, de e-maildienst, de AI-aanbieder. Klanten verwachten een gepubliceerde lijst en een melding bij wijzigingen.
Gegevenslocatie
Waar gegevens geografisch worden opgeslagen en verwerkt. “EU data residency” betekent dat de gegevens de datacenters in de EU niet verlaten.
Trustcenter
Een openbare pagina waarop een bedrijf zijn beveiligingsstatus, certificaten en beleid publiceert, zodat klanten die kunnen lezen voordat ze vragen stellen. Het beantwoordt veelgestelde vragen vooraf; de eigen vragenlijst van een klant beantwoordt het niet. Zie Responsemate vs. een trustcenter.
Penetratietest
Een test waarbij beveiligingsspecialisten proberen in een systeem in te breken en rapporteren wat ze vonden. Vragenlijsten vragen wanneer de laatste was, wat de scope was en of de bevindingen zijn verholpen.
Recovery point en recovery time objective (RPO, RTO)
Hoeveel gegevens u bij een storing zou kunnen verliezen (de tijd sinds de laatste bruikbare back-up) en hoe lang de dienst buiten gebruik zou kunnen zijn. Vragenlijsten over bedrijfscontinuïteit vragen naar beide.