wie is verantwoordelijk voor het invullen van klantvragenlijsten over security

Verantwoordelijk is de rol, niet de afdeling

Er is geen wettelijke aanwijzing wie in het bedrijf de securityvragenlijst invult — dat is intern beleid, geen verplichting uit een regeling. In de praktijk ligt het bij wie het antwoord kan onderbouwen: vaak de IT-manager of security officer voor de technische maatregelen, en HR of directie voor beleid en bewustzijn. Bij een ISO 27001-certificering is dit meestal al vastgelegd in de rolverdeling rond het informatiebeveiligingsmanagementsysteem, en dan is de vragenlijst een kwestie van dat systeem raadplegen, niet van opnieuw uitzoeken.

Waar het vaak misgaat, is niet de vraag wie invult, maar de vraag wie mag bevestigen. Een technisch antwoord kan correct zijn, maar als de persoon die het intoetst geen zicht heeft op wat naar een externe partij mag, komt informatie naar buiten die daar niet hoort. Dat is een reden om het invullen en het vrijgeven als twee losse stappen te zien: de eerste is feitelijk, de tweede is een afweging over vertrouwelijkheid. Diezelfde knip speelt bijvoorbeeld bij de vraag of de onderneming een continuïteitsplan heeft — ook daar is het antwoord vaak wel bekend, maar niet altijd bedoeld om in detail te delen.

Wat de vragenlijst inhoudelijk toetst

De tien maatregelen van artikel 21 lid 2 van de NIS2-richtlijn (Richtlijn (EU) 2022/2555) geven een goed beeld van de categorieën die in klantvragenlijsten terugkomen: risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, leveranciersbeveiliging, toegangsbeleid en dergelijke. Wie ISO/IEC 27001 toepast, herkent dezelfde onderwerpen in de beheersmaatregelen van Annex A — dat maakt de standaard een handig intern naslagwerk, ook als het certificaat zelf niet aan de klant wordt getoond. Voor de vraag of de onderneming ISO 9001-gecertificeerd is geldt dezelfde logica: het gaat om een aparte norm, maar de vraag wie het antwoord kent en beheert, ligt organisatorisch vaak bij dezelfde persoon.