Een ketenvragenlijst aanpakken zonder complianceteam: begin niet bij vraag één

Stap één: lees de lijst, beantwoord hem nog niet

De meeste paniek zit niet in de vragen. Die zit in het idee dat je bij vraag één moet beginnen. Doe dat niet. Lees eerst de hele lijst en beantwoord drie dingen voor jezelf: hoeveel vragen zijn het echt (dubbele vragen en toelichtingen tellen niet mee), welke thema’s raakt de opsteller, en welke vragen gaan over jou en welke over een leverancier van jou.

Bij dat lezen valt bijna altijd hetzelfde op. De vragen zijn minder uniek dan ze lijken. Ze clusteren rond dezelfde thema’s als elke andere ketenlijst: beleid, toegang, apparaten, continuïteit, keten en bewustzijn. Wie zijn antwoorden per thema klaar heeft, beantwoordt de volgende lijst grotendeels met dezelfde stukken. De eerste lijst kost werk. De tweede kost een ochtend.

Stap twee: leg je documenten erlangs

Pas na het lezen ga je zoeken. Niet naar antwoorden, maar naar documenten. Wat is er al, ook als het anders heet of verspreid staat over mails, een handboek en een procedure die iemand ooit schreef. Een back-upafspraak in het contract met je IT-partner is een bron. Een schermafdruk van de MFA-instelling met datum is een bron. Een intern mailtje van twee jaar geleden is dat niet.

Het merendeel van een ketenlijst is te beantwoorden met vier basisdocumenten; welke dat zijn en wat erin hoort, lees je in de blog over het basisdossier. Heb je die vier, dan is de lijst invulwerk. Heb je ze niet, dan is elke vraag een los onderzoek, en dat is precies waar de weken in gaan zitten.

Stap drie: schrijf, met per antwoord de bron

AI kan elke securityvragenlijst invullen. Vloeiend, overtuigend en deels verzonnen. Daarom hanteren wij bij het beantwoorden één hard principe: geen bron is een gap. Elk antwoord verwijst naar het documentfragment waarop het steunt. Kan dat niet, dan schrijven we geen antwoord maar noteren we een gat.

Dat klinkt streng. Het is vooral praktisch. Een toetser vraagt door naar het bewijs, en dan valt een verzonnen ja er direct doorheen, met jouw handtekening eronder. Een eerlijk “nog niet geregeld, gepland voor november” wint het bij serieuze opdrachtgevers van een gladde leugen. Niet omdat ze mild zijn, maar omdat ze zelf ook moeten aantonen dat hun leveranciers veilig werken, en een eerlijke leemte kunnen ze uitleggen.

Wat overblijft is een actielijst, geen restlijst

Na stap drie heb je twee stapels. Beantwoorde vragen met bron, en gaten. Die tweede stapel is geen lijst om je voor te schamen. Het is een actielijst met datums, en die stuur je gewoon mee. Vragen verdelen, per vraag bepalen of er een bron ligt, gaten eerlijk in de planning: dat is gewoon werk, en het antwoord “dit hebben we, dit nog niet, zo lossen we het op” wint het van een perfect ogende lijst zonder bewijs.

Draai het daarna om. Die lijst vertelt je precies wat jouw opdrachtgever belangrijk vindt. Marktonderzoek, rechtstreeks uit hun inkoopproces, en je krijgt het toegestuurd. De leverancier met zijn documenten op orde gebruikt de lijst als visitekaartje. Aantoonbaarheid is dit najaar geen kostenpost. Het is een verkoopargument.

De andere lijst: het entiteitenregister

Er is nog een lijst, en daar hoor je misschien zelf op. Organisaties die onder de Cyberbeveiligingswet vallen, moeten zich sinds 15 augustus registreren in het entiteitenregister van het NCSC, via mijn.ncsc.nl met eHerkenning. Er is geen aparte einddatum: de plicht geldt sinds de wet geldt. Bij de start stond de teller op minder dan de helft van de naar schatting acht- tot tienduizend organisaties die zich moeten registreren.

Registreren bewijst geen compliance. Het bewijst dat je weet dat je onder de wet valt, en dat is de eerste vraag die een toezichthouder en een grote klant stellen. Twijfel je of je eronder valt: de zelfevaluatie van de RDI geeft het antwoord.

De lijst eerst zelf doorgronden, gratis

Stap één kun je door een tool laten doen. Keten-Antwoord leest je vragenlijst (Excel, Word of PDF), telt hoeveel vragen het echt zijn, toont welke thema’s je opdrachtgever raakt en welke vragen je met de vier basisdocumenten kunt beantwoorden. Je uploadt alleen de lijst, geen eigen documenten. Resultaat op scherm, rapport in je mail, gratis.

Eén ding vooraf: de tool verzint niets. Waar geen document onder ligt, komt er een gap in plaats van een antwoord. Dat is bewust. Een verzonnen antwoord kost je bij de eerste doorvraag meer dan een eerlijke leemte.

Hoe ALTA-ICT helpt

De gratis analyse vertelt je waar je staat. Soms is dat genoeg. Soms staat er een deadline en heb je handen nodig. Dan pakken wij het over: jij levert de vragenlijst en je documenten, wij stellen per vraag een conceptantwoord op met bronverwijzing, jij houdt de regie en de handtekening. Wat niet te onderbouwen is, wordt een eerlijke actielijst waarmee je verder kunt. Vraag een offerte aan en stuur je lijst mee. We werken zelf onder ISO 27001:2023, ISO 9001:2015 en NEN 7510:2024, en beantwoorden deze lijsten dus ook voor onze eigen opdrachtgevers.

Veelgestelde vragen

Moet ik elke vraag beantwoorden voordat ik de lijst terugstuur?

Nee. Je moet laten zien waar je staat. Een lijst met bronnen bij wat er is en datums bij wat er nog niet is, is voor een toetser bruikbaarder dan een lijst vol ja’s zonder bewijs.

Mag ik AI gebruiken om de lijst in te vullen?

Om te lezen en te structureren: ja. Om antwoorden te schrijven zonder bron: nee. Wat AI opschrijft zonder onderliggend document, is een belofte met jouw handtekening eronder.

Mijn opdrachtgever valt onder de wet, ik niet. Waarom krijg ik dan een lijst?

Omdat de wet organisaties verplicht hun leveranciers te toetsen. De vraag komt dus via het contract, niet via de overheid. In de blog over de ketendruk staat hoe dat werkt.

Wat doet Keten-Antwoord met mijn lijst?

Hij leest hem, telt en classificeert, en toont het resultaat. Je uploadt alleen de lijst, geen eigen documenten, en waar geen bron ligt toont hij een gap. Het rapport gaat naar het mailadres dat je opgeeft.

Moet ik me registreren in het entiteitenregister?

Alleen als je organisatie onder de Cyberbeveiligingswet valt. Twijfel je, doe dan de zelfevaluatie van de RDI. Registreren is verplicht sinds 15 augustus en heeft geen aparte einddatum.

Conclusie

Een ketenvragenlijst is geen examen. Het is een project met een deadline: lees, leg je documenten erlangs, schrijf met bron, en stuur de gaten mee als actielijst. Wie zo werkt, beantwoordt de tweede lijst in een ochtend en gebruikt de derde als visitekaartje.

Ligt er een lijst? Upload hem op keten.alta-ict.nl en zie in een paar minuten hoe groot hij echt is. Staat er een deadline, dan beantwoorden we mee.