wie bij ons in het bedrijf kan het ketendossier inzien of aanpassen

Rollen en rechten, niet één account voor iedereen

Wie het ketendossier kan zien of aanpassen, bepaalt de organisatie zelf: dat is geen wettelijke rol maar een instelling in het systeem. In de praktijk werkt het met rollen: een beheerder die velden mag wijzigen en bronnen mag koppelen, en collega's die alleen mogen lezen of alleen een bepaald onderdeel mogen aanvullen — bijvoorbeeld IT voor de vragen over informatiebeveiliging, en finance voor de omzetgegevens. Zo hoeft niet iedereen toegang te hebben tot alles, en blijft duidelijk wie welk antwoord heeft ingevoerd of bevestigd.

Dat onderscheid is vergelijkbaar met wat Voldoen de online diensten van de onderneming aan de toegankelijkheidseisen? en andere technische onderdelen vragen: niet elke medewerker heeft evenveel kennis om een antwoord te beoordelen. Dezelfde logica geldt voor gevoelige velden zoals Zet de onderneming AI-systemen in binnen haar dienstverlening? — daar wil je dat degene die het antwoord bevestigt, ook snapt waar de vraag naar vraagt. Wie uiteindelijk op "ja" of "nee" klikt bij een vragenlijst, blijft een keuze van de organisatie zelf; het systeem legt alleen vast wie dat heeft gedaan en wanneer.

Waarom rolverdeling überhaupt relevant is

Deze indeling volgt niet uit één specifiek wetsartikel, maar uit de aard van de onderliggende eisen zelf. De tien maatregelen van artikel 21 lid 2 van de NIS2-richtlijn noemen toegangsbeheer expliciet als beheersmaatregel, en Annex A van ISO/IEC 27001 werkt dat verder uit met concrete controls voor wie welke gegevens mag inzien of wijzigen. Een ketendossier dat antwoorden op dit soort vragenlijsten bevat, valt onder diezelfde logica: niet omdat de wet het platform voorschrijft, maar omdat de vragenlijsten zelf vaak vragen hoe toegang tot bedrijfsgegevens is geregeld. De rolverdeling in het dossier is dus een praktische afspiegeling van wat er al in die eisen wordt gevraagd, niet een aparte verplichting.