Een klant vraagt om een beveiligingsverklaring, wat stuur ik?

Als een klant om een beveiligingsverklaring vraagt, stuur je het document dat het beste aansluit bij wat zij willen weten: dat kan een ISO 27001-certificaat zijn, maar ook een ingevulde vragenlijst, een eigen verklaring of een auditrapport. Welk document passend is, hangt af van de aard van de relatie, de sector en het risiconiveau dat de klant inschat. Dit artikel legt per situatie uit welk document je stuurt en hoe je dit structureel aanpakt.

Welke soorten beveiligingsverklaringen bestaan er?

Een beveiligingsverklaring is geen vastomlijnd begrip. De term wordt gebruikt voor uiteenlopende documenten die allemaal hetzelfde doel dienen: aantonen dat een organisatie haar informatiebeveiliging serieus neemt. Welk type verklaring een klant verwacht, verschilt per situatie en sector.

De meest voorkomende vormen zijn:

• ISO 27001-certificaat: een door een geaccrediteerde certificeringsinstelling afgegeven bewijs dat de organisatie voldoet aan de internationale norm voor informatiebeveiliging. Dit is de zwaarste en meest erkende vorm van een verklaring informatiebeveiliging.
• NEN-7510-certificaat: de sectorspecifieke norm voor informatiebeveiliging in de zorg, gebaseerd op ISO 27001 maar met aanvullende zorgeisen.
• SOC 2-rapport: een auditrapport dat veelal wordt gevraagd door Amerikaanse of internationaal opererende klanten. Het toetst op vertrouwelijkheid, beschikbaarheid en beveiliging van systemen en data.
• Eigen verklaring informatiebeveiliging: een intern opgesteld document waarin de organisatie beschrijft welke maatregelen zij heeft getroffen. Geen externe toetsing, maar soms voldoende als eerste stap.
• Ingevulde beveiligingsvragenlijst: klanten sturen soms een eigen vragenlijst mee, zoals een ISAE-vragenlijst of een sectorspecifiek format. Beantwoording hiervan geldt als informele verklaring.
• Verwerkersovereenkomst met bijlage: bij AVG-gerelateerde vragen wordt soms een verwerkersovereenkomst met een bijlage met technische en organisatorische maatregelen (TOM) gevraagd.

Het is nuttig om vooraf te weten welk type document een klant bedoelt, want “beveiligingsverklaring” kan elk van bovenstaande vormen dekken.

Wat wil een klant eigenlijk weten met zo’n verzoek?

Achter een verzoek om een beveiligingsverklaring zit vrijwel altijd dezelfde onderliggende vraag: kunnen wij erop vertrouwen dat onze data bij jou veilig is? De klant wil zekerheid dat jouw organisatie geen zwakke schakel is in hun informatieketen, zeker nu wet- en regelgeving zoals NIS2 organisaties verplicht ook hun leveranciers te beoordelen.

Concreet willen klanten doorgaans weten:

• Of er beleid en procedures zijn rondom informatiebeveiliging
• Of medewerkers bewust omgaan met gevoelige informatie
• Of toegang tot systemen en data goed is geregeld
• Of er een proces is voor incidenten en herstel
• Of de beveiligingsmaatregelen extern zijn getoetst

Het verzoek is ook een signaal over het risiconiveau dat de klant ervaart. Een grote opdrachtgever die persoonsgegevens met je deelt, stelt hogere eisen dan een kleine zakelijke klant die alleen een factuur ontvangt. Hoe gevoeliger de samenwerking, hoe zwaarder het bewijs moet wegen. Begrijpen wat de klant werkelijk zoekt, helpt je het juiste document te sturen in plaats van een stapel papier dat de vraag niet beantwoordt.

Welk document stuur je als je geen certificaat hebt?

Als je geen ISO 27001-certificaat of vergelijkbaar keurmerk hebt, betekent dat niet dat je met lege handen staat. Je kunt een eigen verklaring informatiebeveiliging opstellen: een helder document waarin je beschrijft welke maatregelen je organisatie heeft getroffen op het gebied van toegangsbeheer, incidentbeheer, bewustwording en dataopslag.

Een eigen verklaring is geloofwaardiger als ze concreet is. Vermijd vage termen als “wij hechten groot belang aan beveiliging” en beschrijf in plaats daarvan wat je daadwerkelijk doet: hoe toegang wordt beheerd, hoe back-ups worden gemaakt, hoe incidenten worden afgehandeld en welke afspraken er zijn met leveranciers.

Aanvullend kun je de volgende documenten meesturen:

• Een ingevuld beveiligingsbeleid of informatiebeveiligingsbeleid
• Een verwerkersovereenkomst met TOM-bijlage als het om persoonsgegevens gaat
• De resultaten van een recente interne audit of risicoanalyse
• Bewijs van deelname aan bewustwordingstrainingen voor medewerkers

Houd er rekening mee dat een eigen verklaring zonder externe toetsing minder gewicht heeft dan een gecertificeerd keurmerk. Voor klanten die hogere eisen stellen, kan dit aanleiding zijn om een certificeringstraject te starten. Een interne audit is een goede eerste stap om te meten waar je organisatie staat en wat er nodig is om extern aantoonbaar te worden.

Wanneer volstaat een ISO 27001-certificaat als antwoord?

Een ISO 27001-certificaat volstaat als antwoord wanneer de klant vraagt om aantoonbare informatiebeveiliging op basis van een erkende internationale norm. Het certificaat bewijst dat een onafhankelijke partij heeft getoetst of jouw managementsysteem voor informatiebeveiliging voldoet aan de eisen van de norm. Voor de meeste zakelijke klanten, aanbestedingen en leveranciersbeoordelingen is dit het sterkste bewijs dat je kunt leveren.

In de volgende situaties is een ISO 27001-certificaat doorgaans een afdoend antwoord:

• De klant verwijst expliciet naar ISO 27001 in het contract of de vragenlijst
• De klant is zelf NIS2-plichtig en beoordeelt leveranciers op aantoonbare beveiliging
• De aanbesteding stelt een certificaat als minimumeis
• De klant werkt in een gereguleerde sector zoals zorg, financiën of overheid

Er zijn ook situaties waarin het certificaat alleen niet voldoende is. Sommige klanten willen naast het certificaat ook inzage in de scope (welke processen en systemen zijn gecertificeerd?), de meest recente auditbevindingen of aanvullende informatie over specifieke beveiligingsmaatregelen. Stuur in dat geval het certificaat samen met een begeleidende toelichting over de scope en eventuele verbeterpunten die al zijn opgepakt.

Vraagt een klant specifiek om een SOC 2-rapport of een ander type verklaring, dan vervangt een ISO 27001-certificaat dat niet automatisch. In dat geval is het verstandig het gesprek aan te gaan over welke informatie de klant precies nodig heeft en of ISO 27001 als gelijkwaardig alternatief wordt geaccepteerd.

Hoe voorkom je dat dit verzoek steeds terugkomt?

Het structurele antwoord op terugkerende verzoeken om een beveiligingsverklaring is het opbouwen van aantoonbare informatiebeveiliging die je proactief kunt delen. Wie wacht tot een klant erom vraagt, loopt altijd achter de feiten aan. Wie een certificaat, een actueel beveiligingsbeleid en een heldere scope klaar heeft liggen, kan snel en zelfverzekerd reageren.

Praktische maatregelen om dit structureel aan te pakken:

• Behaal een erkend certificaat: een ISO 27001-certificering geeft je een herbruikbaar antwoord dat voor de meeste klanten volstaat en niet elk jaar opnieuw hoeft te worden opgesteld.
• Stel een standaard beveiligingsdossier samen: een map met je certificaat, beleidsdocumenten, scope-omschrijving en een TOM-bijlage, zodat je snel kunt reageren zonder elk verzoek opnieuw van nul te beginnen.
• Communiceer proactief: voeg je certificaat toe aan je website, offertes en contracten. Klanten die al weten dat je gecertificeerd bent, hoeven er niet apart om te vragen.
• Houd je documentatie actueel: een certificaat dat verlopen is of een beleid dat drie jaar oud is, wekt meer twijfel dan het wegneemt. Plan jaarlijkse reviews in als vast onderdeel van je bedrijfsvoering.
• Train medewerkers: zorg dat de mensen die klantcontact hebben weten welke documenten beschikbaar zijn en waar ze die kunnen vinden. Zo verlopen reacties sneller en consistenter.

Organisaties die informatiebeveiliging structureel inrichten via een ISMS, merken dat verzoeken om een verklaring steeds makkelijker te beantwoorden zijn. Het systeem genereert de documentatie als bijproduct van de dagelijkse werkwijze, in plaats van dat je er elke keer opnieuw achteraan moet.

Hoe Kwinzo helpt bij aantoonbare informatiebeveiliging

Wij begrijpen dat een verzoek om een beveiligingsverklaring soms onverwacht komt en dat het onduidelijk kan zijn welk document passend is. Kwinzo helpt organisaties om van reactief naar proactief te gaan: van “wat stuur ik nu?” naar een situatie waarin je altijd klaar bent met het juiste antwoord.

Wat wij daarvoor doen:

• Implementatiebegeleiding: wij begeleiden je stap voor stap naar ISO 27001-certificering, afgestemd op de omvang en complexiteit van jouw organisatie.
• Interne audits: een onafhankelijke interne audit toetst of jouw managementsysteem klaar is voor externe beoordeling en geeft concrete verbeterpunten.
• Onderhoud en beheer van het ISMS: na certificering zorgen wij voor het onderhoud van je managementsysteem, zodat je documentatie altijd actueel en klantklaar is.
• Trainingen voor medewerkers: via onze interactieve trainingen weten medewerkers hoe ze met beveiligingsvragen van klanten omgaan.
• Eigen ISMS-tool en templates: praktische hulpmiddelen die het opstellen en beheren van beveiligingsdocumentatie aanzienlijk vereenvoudigen.

Wil je weten welk document jouw organisatie nu al kan sturen en wat er nodig is om dit structureel goed te regelen? Neem contact met ons op voor een vrijblijvend adviesgesprek.