ze vragen wie er allemaal toegang heeft tot hun data

Toegangsbeleid, niet een namenlijst

De klant wil hier meestal niet weten welke individuele persoon inlogt, maar of er een systeem is dat regelt wie waar bij mag. Dat valt onder toegangsbeheer: wie heeft toegang tot welke systemen en gegevens, op basis van welke rol, en hoe wordt dat toegekend en weer ingetrokken. Het antwoord bestaat dus uit twee delen: het beleid (hoe wordt toegang toegekend, herzien, ingetrokken bij uitdiensttreding) en de praktijk (wordt er gewerkt met rolgebaseerde rechten, least privilege, periodieke controle van wie nog toegang heeft).

Als er geen los toegangsbeleid-document is maar de praktijk wel op orde is — bijvoorbeiden rollen in een systeem, een vast proces bij in- en uitdiensttreding — is dat vaak voldoende om met "ja" te beantwoorden, mits dat ook echt aantoonbaar is. Ontbreekt beide, dan is "nee" het eerlijke antwoord; een vraag hierover voorstellen als "ja" zonder dat er een bron in het ketendossier staat, gebeurt niet. Aanverwante vragen op dezelfde lijst gaan vaak over meerfactorauthenticatie voor bedrijfssystemen en over het beleid voor risicoanalyse en beveiliging van informatiesystemen — die twee horen inhoudelijk bij elkaar, want toegang is meestal een van de beheersmaatregelen die uit de risicoanalyse volgen.

Terug te voeren op artikel 21 lid 2 en Annex A

Toegangsbeheer is een van de tien maatregelen uit artikel 21 lid 2 van de NIS2-richtlijn (Richtlijn (EU) 2022/2555): het noemt expliciet beleid voor toegangscontrole en het beheer van bedrijfsmiddelen als verplicht onderdeel van het risicobeheer. In ISO/IEC 27001 komt dit terug in de beheersmaatregelen van Annex A, onder de categorie access control. Klanten die zelf onder de Cyberbeveiligingswet gaan vallen — de Nederlandse omzetting van NIS2, die op 15 augustus 2026 in werking treedt — leggen deze vraag daarom steeds vaker standaard voor aan hun leveranciers, ook als ze zelf nog niet zijn aangewezen als entiteit onder de richtlijn.