Kreeg u van een opdrachtgever een vragenlijst over informatiebeveiliging?

Het informatiebeveiligingsdossier dat uw opdrachtgever van u vraagt. Wij schrijven het.

U heeft er geen IT-afdeling voor, en het is niet het werk waarvoor u bent ingehuurd. U vertelt onze assistent in gewone taal hoe het bij u gaat, en wij schrijven het dossier. Heeft u een vragenlijst van uw opdrachtgever, dan schrijven wij er conceptantwoorden bij. U controleert ze, vult de lijst zelf in en dient hem zelf in.

Doe de gratis scan Bekijk hoe het werkt
Herkent u een van deze? SC10 ISO 27001 NEN 7510 BIO Inkoopeisen Cybersecurity Overheid

Of stuurde uw opdrachtgever gewoon een vragenlijst zonder naam? Ook goed. Wij schrijven de conceptantwoorden, welk kader er ook achter zit. U hoeft dat vooraf niet te weten.

Waarom u dit ineens krijgt

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet. Niet voor u, wel voor uw opdrachtgever.

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Ruim 8.000 organisaties in achttien sectoren, zoals energie, drinkwater, zorg, overheid en vervoer, met minimaal vijftig medewerkers of tien miljoen euro omzet, moeten hun cybersecurity op orde hebben en dat kunnen aantonen. Daar hoort bij dat ze weten hoe het bij hun leveranciers geregeld is.

  1. Tot augustus 2026 Uw opdrachtgever vroeg hier niet naar. Een contract ging over levertijd en prijs.
  2. 15 augustus 2026 De Cyberbeveiligingswet treedt in werking.
  3. Sindsdien Hij moet kunnen aantonen hoe cybersecurity bij zijn leveranciers geregeld is. Dus vraagt hij het aan u.
  4. Uw volgende opdracht De vragenlijst komt mee als bijlage bij het contract. Met een datum erop.

Valt u daar zelf niet onder? Klopt. Maar uw opdrachtgever moet kunnen aantonen dat hij weet met wie hij werkt en hoe cybersecurity bij zijn leveranciers geregeld is. Dus geeft hij een deel van zijn eisen aan u door. Dat kan een bijlage bij het contract zijn, een vragenlijst of een paragraaf in de inkoopvoorwaarden waar u eerder overheen las.

U riskeert dus geen boete. U riskeert dat ze bij de volgende ronde met iemand anders in zee gaan.

Waar dit op gebaseerd is
Cyberbeveiligingswet In werking getreden op 15 augustus 2026. De Nederlandse wet die de Europese richtlijn omzet. Na te lezen op wetten.overheid.nl.
NIS2-richtlijn (EU) 2022/2555 De Europese richtlijn waar die wet uit voortkomt. Te vinden op eur-lex.europa.eu.
Inkoopeisen Cybersecurity Overheid Het kader dat veel gemeenten en provincies bij inkoop hanteren. Uw opdrachtgever kan u vertellen of hij dit gebruikt.
Hoe het bij u terechtkomt Uw opdrachtgever moet weten hoe cybersecurity bij zijn leveranciers geregeld is. Die verplichting geeft hij contractueel aan u door. Het NCSC schrijft het zo op: “Cbw-organisaties kunnen cybersecuritymaatregelen opleggen aan hun rechtstreekse leveranciers en dienstverleners.” ncsc.nl

Wij zijn geen overheidsinstantie en geen certificerende instelling. Wij helpen u de vragen te beantwoorden die hieruit voortkomen.

Eerst even kijken

Speelt dit bij u?

Drie situaties. Alleen bij de eerste twee heeft het zin om nu iets te doen.

Situatie 1

Er ligt een vragenlijst op uw bureau

Of een set inkoopvoorwaarden met een hoofdstuk over informatiebeveiliging. Met of zonder deadline.

Dan kunnen we meteen beginnen.
Situatie 2

U heeft net een opdracht gewonnen

Bij een gemeente, een zorginstelling of een groot bedrijf. Het contract is onderweg.

Dan komt het eraan. Meestal binnen enkele weken, als bijlage bij het contract.
Situatie 3

Geen van beide

Niemand heeft u er tot nu toe naar gevraagd, en er staat geen aanbesteding op stapel.

Dan heeft u ons nog niet nodig. Doe de scan en beoordeel zelf hoe u ervoor staat.

Voorbeeldvragen

Zo staat het in de vragenlijst. Zo bedoelen ze het.

Drie onderwerpen uit de zeventien. In het grijze kader staat de vraag zoals hij bij u binnenkomt, met de verwijzing naar het normenkader. Daaronder staat wat er bedoeld wordt. Dat is het werk: die vertaalslag maken, en een conceptantwoord erbij schrijven in taal die uw opdrachtgever accepteert.

1
Zoals uw opdrachtgever het vraagt

“Beschikt uw organisatie over een door de directie vastgesteld informatiebeveiligingsbeleid, en wanneer is dit voor het laatst herzien?”

ISO 27002, 5.1
Wat er bedoeld wordt

Staat ergens opgeschreven hoe u met informatiebeveiliging omgaat, en heeft de directie daar een handtekening onder gezet?

Waar het misgaat
Er is niets op papier, omdat het altijd goed ging. Of er ligt een beleid van veertig pagina's, ergens van internet gehaald, dat niemand in het bedrijf ooit heeft gelezen.

Zo staat het in het dossier Uit een oefendossier, geen echte klant

InformatiebeveiligingsdossierDossierklaar · versie 1.0

Hoofdstuk 1

Beveiligingsbeleid

Wat is vastgelegd

Tot op heden was hierover niets afzonderlijk vastgelegd. Met dit hoofdstuk stelt de directie voor het eerst een samenhangend beveiligingsbeleid vast.

Het beleid geldt voor alle medewerkers, inclusief uitzendkrachten. Het geldt voor alle apparatuur waarop bedrijfsinformatie staat, dus ook voor privéapparatuur. Denk aan de eigen telefoons van de chauffeurs, waarop zij de planning ontvangen.

Onderbouwing

WatWaar te vindenDatum / versie
Dit beleidshoofdstuk, ondertekend door de directieBijlage B van dit dossier2 september 2026
Bepaling internetgebruikPersoneelshandboek2016, niet herzien

Pagina 5 van 31

2
Zoals uw opdrachtgever het vraagt

“Op welke wijze en binnen welke termijn worden beveiligingsupdates van besturingssystemen en software doorgevoerd?”

ISO 27002, 8.8
Wat er bedoeld wordt

Worden updates op computers en telefoons op tijd geïnstalleerd, en wie let daarop?

Waar het misgaat
Die ene oude computer in de werkplaats waar nog een verouderd systeem op draait, omdat het programma van de machine alleen daarop werkt.

Zo staat het in het dossier Uit een oefendossier, geen echte klant

InformatiebeveiligingsdossierDossierklaar · versie 1.0

Bijlage A

Wat nog geregeld moet worden

Bij het opstellen vastgesteld en nog niet geregeld. De onderneming voert dit zelf uit, al dan niet met hulp van haar ICT-leverancier.

NrWatWaarom dit teltWie en wanneer
4Vaststellen welk besturingssysteem op de werkplaatscomputer draait en of dat nog updates krijgt. Zo niet: vervangen of van het netwerk halenSystemen die geen beveiligingsupdates meer krijgen worden actief gezocht door aanvallers en zijn een ingang naar het hele netwerk.PC-Hulp Brabant, vóór 31 oktober 2026

De instellingen voor automatische updates op de overige computers zijn opgevraagd bij PC-Hulp Brabant. Zodra het antwoord binnen is, wordt dit dossier aangevuld.

Pagina 29 van 31

3
Zoals uw opdrachtgever het vraagt

“Hoe is de fysieke toegang tot ruimten waar informatie en ICT-middelen zich bevinden beveiligd en geregistreerd?”

ISO 27002, 7.2
Wat er bedoeld wordt

Wie kan er bij u binnenlopen, en wie heeft een sleutel?

Waar het misgaat
Niemand weet meer hoeveel sleutels er in omloop zijn. En de server staat in de kantine.

Zo staat het in het dossier Uit een oefendossier, geen echte klant

InformatiebeveiligingsdossierDossierklaar · versie 1.0

Hoofdstuk 12

Fysieke toegang

Wat is vastgelegd

  • Sleutels, passen en poortcodes worden uitgegeven door de directeur en geregistreerd.
  • De kast met de server is afgesloten. Alleen de directeur en PC-Hulp Brabant hebben toegang.
  • Bezoekers melden zich bij de administratie en lopen niet zelfstandig door het pand.

Vastgestelde afwijking

Volgens opgave van de onderneming staat de server in een kast in de kantine die niet op slot kan. Het aanbrengen van een slot staat als punt 7 in bijlage A.

NaamFunctieWat is uitgegeven
R. de WitDirecteurSleutel kantoor, poortcode
Vorige plannerUit dienst circa 2023Sleutel, teruggave niet vastgesteld

Pagina 27 van 31

Dit zijn er drie. De vragenlijst van uw opdrachtgever telt er zeventien, soms tientallen.

De verwijzingen hierboven zijn naar ISO 27002. Dat is het kader waar de meeste beveiligingsvragenlijsten uit putten, ook als er SC10, NEN 7510 of BIO boven staat.

Zes andere onderwerpen stelt de scan u zelf, in gewone taal: wie er verantwoordelijk is, uw gegevens, het vertrek van een medewerker, uw ICT-contract, uw back-up en het melden van een inbraak. Het kost een paar minuten, en u ziet meteen waar u staat.

Doe de gratis scan

Hoe het werkt

Een gesprek. Wij schrijven, u controleert.

Alles in uw dossier is gecontroleerd tegen wat u ons vertelde. Wat bij u anders gaat dan gebruikelijk, staat er ook anders in.

U

Het gesprek

We lopen zeventien onderwerpen met u door, met onze assistent. U hoeft niets voor te bereiden.

Wij

Het dossier

Twaalf hoofdstukken uitgeschreven, plus een plan van aanpak voor wat nog niet geregeld is.

U, 1 uur

Uw controle

U leest na. Klopt er iets niet, dan passen we het aan. Twee correctierondes zitten erbij.

U

U tekent en dient in

Het is uw dossier en uw handtekening. De vragenlijst vult u zelf in. Wij dienen nooit iets namens u in.

Hoeveel van uw eigen tijd het kost

Met Dossierklaar ± 2 uur
Zelf regelen ± 40 uur

Beide balken staan op dezelfde schaal. Die twee uur zijn het gesprek plus het nalezen van wat wij opleveren. De veertig uur is onze inschatting van wat het u kost om zeventien onderwerpen en twaalf documenten zelf uit te zoeken, naast uw gewone werk.

Wat wij er zelf aan besteden zit in de prijs en kost u niets extra.

Nog iets dat u ervoor terugkrijgt

Het is papier voor een ander. Maar niet alleen.

Het dossier telt twaalf hoofdstukken en een actielijst. Vier momenten waarop u er zelf iets aan heeft, los van welke opdrachtgever dan ook.

  • Als u er zelf een tijd niet bentUw administratie kan nalezen hoe het werkt. Dat zit nu in uw hoofd.
  • Als uw ICT-partij wegvaltOverstappen kost dagen in plaats van maanden.
  • Als er wordt ingebrokenWie u belt, binnen hoeveel uur, en wat u dan zegt.
  • Als de volgende opdrachtgever ernaar vraagtU antwoordt in een middag in plaats van in een week.

Het is gemaakt omdat uw opdrachtgever ernaar vroeg. Daarna is het gewoon van u. Lees wat er precies in staat

Plus de actielijstWat er nog geregeld moet worden, op volgorde van wat het meeste oplevert. In gewone taal, met wie het kan doen. U bepaalt zelf wat u ermee doet en wanneer.

Niet zeker of dit bij u speelt?

Doe de scan. Vijf minuten, en u weet waar u staat. Geen vragenlijst en geen opdracht in aantocht? Dan kan ik u zo vertellen of deze dienst iets voor uw bedrijf is.

Doe de gratis scan

Eerlijk zijn kost niets

Wat u niet van ons krijgt

Geen certificaatWij zijn geen certificerende instelling en geven geen keurmerk af. Dat kunnen wij niet leveren, en dat zeggen wij liever vooraf.
Geen technische werkzaamhedenWij installeren niets en komen niet aan uw netwerk. Wat technisch geregeld moet worden, doet uw eigen ICT-partij.
Wij dienen niets namens u inHet dossier gaat met uw handtekening naar uw opdrachtgever. U bent en blijft de afzender.
Geen mooier verhaal dan de werkelijkheidWat niet is aangetoond, staat in het dossier als “volgens opgave van de onderneming”.

Wat het kost

Eén bedrag, vooraf bekend

Informatiebeveiligingsdossier € 495

Excl. btw, alles inbegrepen. Geen abonnement, geen nacalculatie, geen meerwerk achteraf.

Betaling achteraf, veertien dagen na oplevering.
  • Gesprek met onze assistent, of als u dat liever heeft telefonisch
  • Dossier met zeventien beheersmaatregelen, uitgeschreven
  • Plan van aanpak voor wat nog niet geregeld is
  • Heeft u een vragenlijst van uw opdrachtgever: conceptantwoorden per vraag, met verwijzing naar het dossier
  • Twee correctierondes, opmerkingen tot vier weken na oplevering
  • Levertijd in overleg, bij de opdrachtbevestiging

Veelgestelde vragen

Wat mensen ons vragen voordat ze ja zeggen

Ik heb geen IT-afdeling. Kan ik die vragen wel beantwoorden?

Ja. Twaalf van de zeventien punten gaan over afspraken en werkwijzen, niet over techniek. Dat weet u zelf het beste, ook al staat het nergens op papier. Wij stellen de vragen in gewone taal en schrijven het antwoord voor u uit.

Voor de vijf technische punten hebben we bewijs nodig van u of van uw ICT-leverancier. Meestal is dat een schermafbeelding of een mail van die leverancier. Wij vertellen u vooraf wat we nodig hebben.

Waarom is dit goedkoper dan een adviesbureau?

Een adviesbureau begint doorgaans bij €2.500 en levert daarvoor een risicoanalyse, een implementatietraject en begeleiding richting certificering. Dat is een ander product, en die prijs is gerechtvaardigd als u dat nodig heeft.

Wij schrijven het dossier waarmee u de vragenlijst van uw opdrachtgever beantwoordt. Meer niet. Voor een bedrijf van vijf tot vijftig man dat één klant tevreden moet stellen, is dat meestal wat er nodig is.

Wat als mijn opdrachtgever het dossier niet accepteert?

Dan bekijken wij zijn opmerkingen samen met u en passen wij het dossier aan. Twee correctierondes zijn in de prijs inbegrepen en u heeft vier weken de tijd om uw opmerkingen aan te leveren.

Wij kunnen niet garanderen dat een opdrachtgever tevreden is, want soms is het antwoord dat er echt iets geregeld moet worden. In dat geval staat het in het plan van aanpak, met wat het betekent en wie het kan doen.

Kan ik dit ergens zelf nakijken?

Ja, en dat raden wij aan. De Rijksoverheid heeft drie hulpmiddelen die u zonder ons kunt gebruiken.

Wat de wet van toeleveranciers vraagt ncsc.nl, bij het NCSC. Begin hier. Deze pagina legt uit waarom uw opdrachtgever eisen aan u mag stellen, ook als u zelf niet onder de wet valt.

De NIS2-zelfevaluatie regelhulpenvoorbedrijven.nl van de Rijksinspectie Digitale Infrastructuur. Die vertelt u of uw eigen bedrijf onder de wet valt. Bij een bedrijf van vijf tot vijftig man is het antwoord bijna altijd nee, en dat klopt. Het verandert alleen niets aan de vragenlijst die uw opdrachtgever u stuurt, want die komt uit uw contract en niet uit de wet.

De Basisscan Cyberweerbaarheid basisscan.ncsc.nl van het NCSC. Vijfentwintig stellingen, tien minuten, en u krijgt een score op vijf principes. Nuttig om te zien waar u staat. Wat u er niet mee krijgt is een dossier: uw opdrachtgever vraagt niet om een score, hij vraagt om vastgelegde afspraken met namen en data erbij. Dat is het stuk werk dat wij doen.

Krijg ik hiermee een certificaat of een keurmerk?

Nee. Wij zijn geen certificerende instelling en dit dossier is geen certificaat. Een certificaat kan alleen worden afgegeven door een geaccrediteerde instelling, na een audit. Dat is een ander traject met een andere prijs.

Wat u krijgt is een onderbouwd antwoord op de vragen die uw opdrachtgever stelt, uitgewerkt in een dossier dat hij kan beoordelen.

Hoe snel heb ik het?

Dat spreken we per opdracht af, bij de opdrachtbevestiging. Het gesprek zelf kunnen we vaak binnen enkele dagen inplannen, ook 's avonds als dat u beter uitkomt. Heeft u een deadline van uw opdrachtgever, geef die dan aan in het eerste gesprek. Dan stellen wij samen vast of die haalbaar is, voordat wij de opdracht aannemen.

Wat gebeurt er met mijn gegevens?

De scan en het eerste contact gaan alleen over de vraag of dit bij u speelt. Daar is geen geheimhouding voor nodig. Zodra de opdracht rond is en vóór het intakegesprek begint, tekenen wij een geheimhoudingsverklaring. Dat moment is bewust gekozen: in dat gesprek vertelt u ons ook wat er nog niet op orde is, en dat hoort nergens anders terecht te komen.

Welke partijen gegevens voor ons verwerken en hoe lang wij iets bewaren, leest u in de privacyverklaring.

Wie wij zijn

Wie achter Dossierklaar zit.

Maurice Zoontjens

Ik ben Maurice Zoontjens. Twintig jaar bij Defensie gewerkt, in functies waar beveiliging het werk zelf is.

Acht jaar als militair in verbindingsfuncties: communicatie, informatiestromen en de procedures die daarbij horen. Daarna twaalf jaar bij de Defensie Bewakings- en Beveiligingsorganisatie, waarvan tien jaar als Commandant Interventieteam. Leidinggeven aan de ploeg die uitrukt als er iets misgaat en verantwoordelijk voor de regels eromheen: wie mag waar komen, wie tekent daarvoor, en wat gebeurt er als iemand zich er niet aan houdt.

Een beveiligingsvragenlijst stelt dezelfde vragen. Wie is verantwoordelijk, wie heeft toegang, wat gebeurt er als het misgaat en kunt u het aantonen. Bij u gaat het alleen niet over een poort, maar over een mailbox.

Dossierklaar doe ik omdat dat papierwerk ergens moet gebeuren en omdat het zonde is als een goed bedrijf een opdracht verliest op een bijlage. U hoeft daar geen week in te verdwijnen. Dat is mijn werk, niet het uwe.

Dossierklaar, eenmanszaak van M. ZoontjensKvK 85604380Dongen

Contact

Bel of app me

Vijf minuten aan de telefoon en u weet of dit op uw bedrijf van toepassing is.

06 15 56 62 57 Stuur een appje

Bellen mag ook als u alleen wilt weten of dit voor u geldt. Geen dossier, geen wachtwoorden, geen huiswerk.