Control self-assessment voor bewijsmateriaal bij ISO 27001

Het auditprobleem van 2026 is niet het ontbreken van beheersmaatregelen, maar zwak bewijsmateriaal

De videogesprekverbinding kwam op een maandag om 09:10 tot leven. Sarah, CISO van een snelgroeiend fintech-SaaS-bedrijf, keek naar drie gespannen gezichten op haar scherm: het hoofd GRC, de DPO en het hoofd IT-operaties.

Het bedrijf had binnenkort een ISO/IEC 27001:2022-controle-audit. De raad van bestuur wilde uiterlijk vrijdag een briefing over NIS2-gereedheid. Een klant uit de financiële dienstverlening had DORA-achtige vragen over ICT-leveranciers toegevoegd aan een contractverlenging. De DPO bereidde bewijsmateriaal voor GDPR-verantwoordingsplicht voor.

Op papier leek de organisatie volwassen. Er was een risicoregister, een Verklaring van toepasselijkheid, procedures voor toegangsbeheer, draaiboeken voor incidentrespons, back-upbeleid, formulieren voor due diligence van leveranciers en trainingsregistraties.

Daarna begon de beoordeling van het bewijsmateriaal.

Het spreadsheet voor toegangsrechtenbeoordelingen had geen aangewezen beoordelaar. Een kwetsbaarheidsscanrapport was actueel, maar niemand kon aantonen of kritieke bevindingen waren verholpen, geaccepteerd of nog openstonden. Due diligence van leveranciers bestond, maar dateerde van vóór een grote wijziging in de cloudarchitectuur. Schermafbeeldingen van back-uptests waren begraven in een chatthread. Notities van tabletop-oefeningen voor incidenten waren bruikbaar, maar niet herleidbaar. Engineers stuurden configuratieschermafbeeldingen door zonder context. Eigenaren van beheersmaatregelen markeerden kwartaalcontroles als “gereed”, maar het bewijsmateriaal was inconsistent en moeilijk te hergebruiken.

Sarah wist dat het probleem niet het ontbreken van beheersmaatregelen was. Het was het ontbreken van verdedigbaar, herhaalbaar bewijsmateriaal.

Dat is de control self-assessment-kloof van 2026.

Organisaties hebben gedocumenteerde beheersmaatregelen, dashboards en soms tools voor continue monitoring. Maar zij kunnen vaak niet aantonen dat eigenaren van beheersmaatregelen deze consistent toetsen, dat bewijsmateriaal volledig en actueel is en dat uitzonderingen doorstromen naar corrigerende maatregelen, directiebeoordeling en rapportage aan toezichthouders.

Control self-assessment, of CSA, dicht deze operationele kloof. Goed uitgevoerd creëert CSA een gedisciplineerde workflow waarin eigenaren van beheersmaatregelen periodiek het ontwerp en de operationele effectiviteit van beheersmaatregelen toetsen, bewijsmateriaal toevoegen dat voldoet aan auditkwaliteitscriteria, uitzonderingen registreren, corrigerende maatregelen toewijzen en het management een betrouwbaar beeld geven van de status van beheersmaatregelen.

Bij Clarysec wordt CSA gezien als de brug tussen het ISMS, wettelijke verplichtingen en auditbewijsmateriaal. De Zenith Blueprint: een 30-stappenroadmap voor auditors plaatst deze discipline in de fase Audit, beoordeling en verbetering. Stap 26, Audituitvoering, stelt dat het verzamelen van bewijsmateriaal interviews, documentatiebeoordeling, observatie, steekproeven en steekproefsgewijze controles moet omvatten:

✓ Interview relevante medewerkers: Vraag mensen die verantwoordelijk zijn voor processen uit te leggen hoe zij aan de vereisten voldoen.
✓ Beoordeel documentatie: Controleer of documenten en registraties bestaan en actueel zijn.
✓ Observeer werkwijzen: Voer waar mogelijk een directe observatie uit.
✓ Neem steekproeven en voer steekproefsgewijze controles uit: U kunt niet alles controleren, gebruik daarom steekproeven.

Die manier van denken mag niet wachten op de formele interne audit. CSA haalt dit naar voren, naar de eigenaren van beheersmaatregelen, zodat de organisatie maandelijks of per kwartaal kan aantonen dat beheersmaatregelen niet alleen zijn beschreven, maar ook werken.

Waarom handmatige self-assessments falen onder NIS2, DORA en GDPR

Het oude spreadsheet-en-e-mailmodel voor control self-assessment is defect omdat het voltooiing beloont in plaats van kwaliteit van bewijsmateriaal.

Een eigenaar van een beheersmaatregel uploadt een schermafbeelding. Een ander schrijft “bevestigd conform beleid”. Een derde voegt een logexport toe zonder uitleg over het systeem, de periode, de beoordelaar of de conclusie. Het GRC-team besteedt dagen aan het reconstrueren van het verhaal voor auditors, klanten en toezichthouders.

Dit leidt tot vier terugkerende tekortkomingen:

• Inconsistent bewijsmateriaal, waarbij iedere eigenaar een ander beeld heeft van geldig bewijs.
• Zwakke herleidbaarheid, waarbij bestanden niet tonen wie het bewijsmateriaal heeft verzameld, wanneer en uit welke bron.
• Afvinkgedrag, waarbij overbelaste teams bevestigen dat een beheersmaatregel werkt zonder deze te toetsen.
• Geen herbruikbaarheid, waarbij bewijsmateriaal dat voor ISO/IEC 27001:2022 is verzameld niet eenvoudig NIS2, DORA of GDPR kan ondersteunen zonder handmatige herinterpretatie.

Moderne regelgeving is onverbiddelijk voor dat model.

NIS2 Article 20 maakt cyberbeveiligingsrisicobeheer tot een verantwoordelijkheid van het bestuursorgaan. Het management moet maatregelen goedkeuren, toezicht houden op de implementatie en training volgen. Article 21 vereist passende en evenredige technische, operationele en organisatorische maatregelen, waaronder risicoanalyse, incidentenafhandeling, bedrijfscontinuïteit, beveiliging van de toeleveringsketen, kwetsbaarhedenbeheer, effectiviteitsbeoordeling, cyberhygiëne, toegangsbeheer, beheer van bedrijfsmiddelen en authenticatie.

De term “effectiviteitsbeoordeling” is waar CSA essentieel wordt. Een NIS2-entiteit kan het management niet geloofwaardig melden dat cyberbeveiligingsmaatregelen effectief zijn als eigenaren van beheersmaatregelen deze niet toetsen en de resultaten niet documenteren.

DORA heeft sinds 17 januari 2025 de lat hoger gelegd voor financiële entiteiten. Het creëert een regime voor digitale operationele weerbaarheid dat ICT-risicobeheer, incidentrapportage, weerbaarheidstesten, informatiedeling en ICT-risico’s van derde partijen omvat. DORA Article 5 vereist verantwoordelijkheid van het bestuursorgaan voor ICT-risicoregelingen, beleid, rollen, strategie, continuïteitsplannen, auditplannen, beleid voor derde partijen en corrigerende maatregelen. Article 6 vereist een gedocumenteerd ICT-risicobeheerkader, regelmatige beoordeling, interne audit voor niet-micro-ondernemingen en remediatie van kritieke ICT-auditbevindingen. Articles 24 tot en met 26 maken weerbaarheidstesten tot een terugkerend validatieprogramma, met passende onafhankelijkheid en, voor bepaalde entiteiten, threat-led penetratietesten.

CSA is geen vervanging voor DORA-testen. Het is de laag van de eigenaar van de beheersmaatregel die DORA-testen duurzaam maakt.

GDPR voegt vergelijkbare druk op verantwoordingsplicht toe. Article 5(2) vereist dat verwerkingsverantwoordelijken naleving van de gegevensbeschermingsbeginselen aantonen. Article 32 vereist passende beveiliging van de verwerking, waaronder vertrouwelijkheid, integriteit, beschikbaarheid, weerbaarheid, herstel en regelmatige testen of evaluatie waar passend. Voor een DPO is CSA-bewijsmateriaal een praktische manier om aan te tonen dat toegangsrechtenbeoordelingen, encryptie, logging, bewaartermijnen, toezicht op leveranciers en incidentenafhandeling daadwerkelijk rondom persoonsgegevens werken.

Het Clarysec CSA-model, van beleid naar bewijs

Een verdedigbaar CSA-programma begint met drie vragen:

1. Is de beheersmaatregel correct ontworpen voor het risico en de verplichting?
2. Heeft de beheersmaatregel tijdens de beoordelingsperiode gewerkt?
3. Is het bewijsmateriaal volledig, actueel, herleidbaar en herbruikbaar?

Clarysec verankert dit model in beleid, auditworkflow en mapping van beheersmaatregelen.

Het Informatiebeveiligingsbeleid legt de verwachting vast in clausule 6.6.1:

Alle geïmplementeerde beheersmaatregelen moeten auditbaar zijn, worden ondersteund door gedocumenteerde procedures en door bewaard bewijsmateriaal van werking.

Clausule 6.6.2 voegt daaraan toe:

Eigenaren van beheersmaatregelen moeten testresultaten, logboeken en beoordelingsregistraties onderhouden ter ondersteuning van periodieke audits.

Daarmee veranderen beheersmaatregelen van statische verklaringen in actieve, meetbare processen.

Het Beleid voor audit en nalevingsmonitoring - mkb legt de beoordelingsdiscipline vast:

Dit beleid stelt de aanpak van de organisatie vast voor het uitvoeren van interne audits, beoordelingen van beveiligingsmaatregelen en nalevingsmonitoring. Het waarborgt dat alle beheersmaatregelen, beleidslijnen, systemen en dienstverleners onderworpen zijn aan regelmatige en gestructureerde beoordeling.

Clausule 5.2.3 vereist structuur:

Elke audit moet een gedefinieerde reikwijdte, doelstellingen, verantwoordelijk personeel en vereist bewijsmateriaal omvatten.

Voor CSA geldt dezelfde logica op het niveau van de eigenaar van de beheersmaatregel. Elke self-assessment moet reikwijdte, doelstelling, verantwoordelijke persoon, periode, bewijsmateriaal en conclusie hebben.

De Zenith Controls: de cross-compliancegids biedt vervolgens de mappinglens. Voor CSA zijn de belangrijkste verwijzingen naar ISO/IEC 27001:2022 Annex A-beheersmaatregelen onder meer 5.2, rollen en verantwoordelijkheden voor informatiebeveiliging, 5.35, onafhankelijke beoordeling van informatiebeveiliging, en 5.36, naleving van beleidslijnen, regels en normen voor informatiebeveiliging.

Samen vertellen deze beheersmaatregelen het CSA-verhaal. Iemand moet eigenaar zijn van de beheersmaatregel. De organisatie moet controleren of beleid en normen worden gevolgd. Onafhankelijke beoordeling moet het systeem kritisch toetsen. CSA bevindt zich tussen eigenaarschap en onafhankelijke beoordeling. Het is geen interne audit, maar bereidt het bewijsmateriaal voor dat interne audit sneller en betrouwbaarder maakt.

Ontwerptest versus test van operationele effectiviteit

Een veelgemaakte CSA-fout is eigenaren van beheersmaatregelen vragen: “Werkt deze beheersmaatregel?” zonder te definiëren wat “werkt” betekent.

Elke geloofwaardige beoordeling moet de ontwerptest scheiden van de test van operationele effectiviteit.

Een ontwerptest vraagt of de beheersmaatregel, indien uitgevoerd zoals beschreven, het risico of de vereiste zou adresseren. Bij een toegangsrechtenbeoordeling controleert de ontwerptest of de procedure reikwijdte, rol van de beoordelaar, frequentie, betrokken systemen, afhandeling van uitzonderingen, bewaring van bewijsmateriaal en escalatie definieert.

Een test van operationele effectiviteit vraagt of de beheersmaatregel tijdens de periode daadwerkelijk heeft gewerkt. Voor dezelfde toegangsrechtenbeoordeling controleert de operationele test of de beoordeling heeft plaatsgevonden, wie deze heeft uitgevoerd, of alle systemen binnen de reikwijdte zijn meegenomen, of uitzonderingen zijn opgelost en of registraties de voltooiing aantonen.

Beide tests zijn van belang. Een goed geschreven back-upbeleid is zwak als er geen hersteltests zijn uitgevoerd. Een kwetsbaarheidsscan die wekelijks draait, is onvolledig als kritieke bevindingen niet doorstromen naar remediatie of formele risicoacceptatie. Een leveranciersbeoordeling die één keer heeft plaatsgevonden, is niet langer betrouwbaar als de leverancier inmiddels een kritiek proces ondersteunt en van onderaannemers is veranderd.

Dit onderscheid ondersteunt rechtstreeks ISO/IEC 27001:2022-clausules 8.1 voor operationele planning en beheersing, 9.1 voor monitoring, meting, analyse en evaluatie, 9.2 voor interne audit, 9.3 voor directiebeoordeling en 10.2 voor non-conformiteit en corrigerende maatregelen.

Kwaliteitscriteria voor bewijsmateriaal bij audits in 2026

Bewijsmateriaal is niet auditklaar alleen omdat het bestaat. Bewijsmateriaal moet bruikbaar zijn.

Voor CSA moet bewijsmateriaal worden beoordeeld aan de hand van zeven criteria.

Het mkb-beleid versterkt de metadatadiscipline:

Metadata (bijv. wie het heeft verzameld, wanneer en uit welk systeem) moeten worden gedocumenteerd.

Voor onderzoeken met hogere integriteitsvereisten en digitaal bewijsmateriaal is het Beleid voor bewijsverzameling en forensisch onderzoek - mkb preciezer:

Elk item van digitaal bewijsmateriaal moet worden gelogd met:
5.2.1.1. Naam van de verzamelaar
5.2.1.2. Bronsysteem/-apparaat
5.2.1.3. Tijdstempel van verzameling
5.2.1.4. Opslaglocatie
5.2.1.5. Toegangsgeschiedenis (wie het heeft bekeken of gekopieerd)

Een reguliere CSA-registratie hoeft niet altijd forensische chain-of-custody-behandeling te krijgen. Maar elk bewijsmateriaalitem moet voldoende traceerbaar zijn zodat een auditor begrijpt wie het heeft geproduceerd, wanneer, waaruit en waarom het de beheersmaatregel bewijst.

Het Beleid voor juridische en regelgevende naleving voegt de cross-compliancevereiste toe door te vragen om:

Vereiste artefacten of registraties om naleving aan te tonen (bijv. auditlogs, encryptie-instellingen, toestemmingsdocumentatie)

Dat is de sleutel tot herbruikbaar bewijsmateriaal. Eén export van encryptieconfiguratie kan ISO/IEC 27001:2022-risicobehandeling, NIS2 Article 21-beveiligingsmaatregelen, DORA-bescherming van ICT-activa en GDPR Article 32-beveiliging van de verwerking ondersteunen, mits de registratie volledig, herleidbaar en gemapt is.

Een praktische CSA-workflow met de toolkit van Clarysec

Een eigenaar van een beheersmaatregel moet een zinvolle CSA-sessie op een gestructureerde, herhaalbare manier kunnen uitvoeren. De onderstaande workflow kan worden toegepast op geprivilegieerde toegang, back-upherstel, leveranciersmonitoring, incidentgereedheid, kwetsbaarhedenbeheer of onafhankelijke beoordeling.

Stap 1, selecteer de beheersmaatregel en de mapping naar verplichtingen

Begin met de Verklaring van toepasselijkheid, het risicobehandelingsplan en het register van wettelijke verplichtingen. Kies één beheersmaatregel, bijvoorbeeld beoordeling van geprivilegieerde toegang voor productiesystemen.

Map deze naar relevante ISO/IEC 27001:2022 Annex A-beheersmaatregelen, zoals 5.15 toegangscontrole, 5.16 identiteitsbeheer en 5.18 toegangsrechten. Verbind deze in Zenith Controls met 5.2 voor rollen en verantwoordelijkheden en 5.36 voor naleving van beleidslijnen, regels en normen, omdat de beoordeling aantoont dat het toegangsbeleid wordt gevolgd.

Als de organisatie onder NIS2 valt, map het bewijsmateriaal dan naar Article 21-maatregelen voor toegangsbeheer, beheer van bedrijfsmiddelen, personeelsbeveiliging en authenticatie. Als het een financiële entiteit onder DORA betreft, map het dan waar relevant naar ICT-risicogovernance, bescherming, monitoring en vereisten voor derde partijen. Als persoonsgegevens betrokken zijn, map het dan naar GDPR Article 5-integriteit en vertrouwelijkheid en Article 32-beveiliging van de verwerking.

Stap 2, definieer de ontwerptest

Stel praktische ontwerpvragen:

• Identificeert de procedure alle systemen binnen de reikwijdte?
• Omvat deze geprivilegieerde accounts, serviceaccounts en noodtoegang?
• Is de beoordelaar waar praktisch mogelijk onafhankelijk van dagelijkse toegangsverlening?
• Zijn frequentie, escalatie en regels voor uitzonderingen gedefinieerd?
• Is de bewaring van bewijsmateriaal gedefinieerd?
• Zijn GDPR-, DORA-, NIS2- of klantspecifieke verplichtingen opgenomen waar relevant?

Als het antwoord nee is, registreer dan een ontwerpuitzondering.

Stap 3, voer de test van operationele effectiviteit uit

Selecteer een steekproef en toets de daadwerkelijke werking. Voor een kwartaalgewijze beoordeling van geprivilegieerde toegang neemt u een steekproef uit de laatst voltooide beoordeling en uit gebruikers met een hoog risico over kritieke systemen heen. Als de omgeving klein is, test dan alle geprivilegieerde accounts. Als deze groot is, gebruik dan risicogebaseerde steekproeven met hogere dekking voor beheerders, productiesystemen, systemen met persoonsgegevens en extern blootgestelde platforms.

Het enterprise Beleid voor audit en nalevingsmonitoring ondersteunt:

Verzameling van bewijsmateriaal via interviews, rondgangen en steekproeven

Het vereist ook:

Documentatie van de steekproefstrategie, auditreikwijdte en beperkingen

Voeg niet alleen bewijsmateriaal toe. Leg vast waarom de steekproef is gekozen, welke populatie deze vertegenwoordigt en wat is uitgesloten.

Een sterke steekproefverklaring kan als volgt luiden:

“Populatie: 42 geprivilegieerde productieaccounts over cloudconsole, CI/CD-platform en databasebeheer. Steekproef: alle 7 break-glass-accounts, alle 5 productie-databasebeheeraccounts en 10 willekeurig geselecteerde geprivilegieerde engineeringaccounts. Periode: Q1 2026. Uitsluitingen: door derde partijen beheerde firewallaccounts beoordeeld onder CSA-TPR-04 voor toegangsbeoordeling van leveranciers.”

Die zin geeft een auditor de populatie, risicologica, periode en beperking.

Stap 4, beoordeel de kwaliteit van het bewijsmateriaal

Leg voor elk bewijsmateriaalitem vast:

• Bewijsmateriaal-ID
• Beheersmaatregel-ID en eigenaar van de beheersmaatregel
• Beoordelingsperiode
• Bronsysteem
• Verzameldatum
• Verzamelaar
• Beoordelaar of goedkeurder
• Gekoppelde verplichting
• Opslaglocatie
• Bewaartermijn
• Gevonden uitzonderingen
• Remediatieticket of CAPA-referentie

Dit verandert CSA van een subjectieve vragenlijst in een op bewijsmateriaal gebaseerde toetsing van beheersmaatregelen.

Stap 5, registreer uitzonderingen en corrigerende maatregelen

Als twee geprivilegieerde accounts geen gedocumenteerde zakelijke rechtvaardiging hebben, verberg dit dan niet in notities. Maak een bevinding aan, wijs een risicoclassificatie toe, definieer een maatregel, stel een eigenaar aan en spreek een streefdatum af.

Het mkb-beleid vereist:

Alle auditbevindingen moeten worden gedocumenteerd met risicoclassificaties en voorgestelde maatregelen.

Pas vervolgens Zenith Blueprint Stap 27, Auditbevindingen, toe. De Blueprint beveelt de categorieën majeure non-conformiteit, mineure non-conformiteit of observatie aan, gevolgd door oorzaakanalyse. Als serviceaccounts zijn gemist omdat de identiteitsinventaris deze uitsluit, is de oorzaak niet “fout van de beoordelaar”. Het is een onvolledige toegangsinventaris of een onduidelijke procedurele reikwijdte.

Stap 6, sluit af via CAPA en verifieer effectiviteit

Zenith Blueprint Stap 29 beveelt het gebruik van een CAPA-logboek aan met probleembeschrijving, oorzaak, corrigerende maatregel, verantwoordelijke eigenaar, streefdatum en status. De stap benadrukt ook dat de effectiviteit na voltooiing moet worden geverifieerd.

Als de corrigerende maatregel luidt “werk de procedure voor toegangsrechtenbeoordeling bij zodat serviceaccounts worden opgenomen”, moet de verificatiemethode praktisch zijn: beoordeel de volgende toegangscyclus en bevestig dat serviceaccounts zijn opgenomen, uitzonderingen zijn opgelost en bewijsmateriaal wordt bewaard.

Zo wordt CSA voortdurende verbetering in plaats van nalevingstheater.

Cross-compliancemapping zonder vier afzonderlijke programma’s voor beheersmaatregelen

De grootste efficiëntiewinst is “één keer testen, aan meerdere verplichtingen koppelen”.

Afzonderlijke testprocessen bouwen voor ISO/IEC 27001:2022, NIS2, DORA en GDPR creëert dubbel bewijsmateriaal, inconsistente antwoorden en uitgeputte eigenaren van beheersmaatregelen. Een betere aanpak is ISO/IEC 27001:2022 te gebruiken als managementsysteem, CSA als testworkflow en Zenith Controls als cross-compliancegids.

NIST Cybersecurity Framework 2.0 is nuttig als integratielaag. De GOVERN-functie adresseert wettelijke, regelgevende en contractuele vereisten, risicobereidheid, verantwoordingsplicht van leiderschap, beleidsgovernance en toezicht. De Organizational Profiles helpen organisaties huidige en beoogde cyberbeveiligingsuitkomsten te definiëren, hiaten te analyseren en deze om te zetten in geprioriteerde actieplannen.

COBIT 2019 en ISACA-achtige assurancebenaderingen voegen een andere nuttige lens toe. Zij richten zich op governancedoelstellingen, procescapabiliteit, verantwoordingsplicht, metrieken en managementtoezicht. Een COBIT-georiënteerde beoordelaar zal vragen of het proces is gedefinieerd, gemeten en verbeterd, niet alleen of er een artefact bestaat.

Hoe verschillende auditors uw CSA-bewijsmateriaal beoordelen

Dezelfde CSA-registratie wordt verschillend geïnterpreteerd, afhankelijk van de achtergrond van de auditor. Door bewijsmateriaal voor die perspectieven te ontwerpen, wordt het programma robuuster.

Voor onafhankelijke beoordeling zoekt een ISO/IEC 27001:2022-auditor naar het interne auditprogramma onder clausule 9.2, input voor directiebeoordeling onder clausule 9.3 en corrigerende maatregelen onder clausule 10.2. Een DORA-beoordelaar zoekt naar risicogebaseerd testen, onafhankelijkheid, remediatie en managementtoezicht. Een NIS2-toezichthouder richt zich op de vraag of het management de effectiviteit van cyberbeveiligingsmaatregelen kan aantonen. Een GDPR-beoordelaar vraagt of het bewijsmateriaal passende technische en organisatorische maatregelen rond daadwerkelijke verwerkingsactiviteiten aantoont.

Het doel is niet om bewijsmateriaal voor elk publiek te herschrijven. Het doel is het één keer te verzamelen met voldoende context om meerdere perspectieven te bedienen.

Managementrapportage die actie creëert, geen ruis

CSA-resultaten mogen niet in spreadsheets van eigenaren van beheersmaatregelen blijven staan. Zij moeten doorstromen naar de directiebeoordeling.

In Stap 28, Directiebeoordeling, beveelt de Zenith Blueprint input aan over veranderingen in interne en externe kwesties, veranderingen in vereisten van belanghebbenden, ISMS-prestaties, auditresultaten, monitoring en meting, incidenten, non-conformiteiten, verbetermogelijkheden en benodigde middelen.

Dat is precies waar CSA thuishoort.

Een nuttig CSA-dashboard voor leidinggevenden moet het volgende bevatten:

• Dekking van beheersmaatregelen per domein en kritisch proces.
• Percentage beheersmaatregelen dat volgens planning is getest.
• Kwaliteitsscore van bewijsmateriaal per eigenaar van een beheersmaatregel.
• Openstaande uitzonderingen per risicoclassificatie.
• Achterstallige corrigerende maatregelen.
• Terugkerende bevindingen en oorzaken.
• Hoogrisicomappingen voor NIS2, DORA, GDPR en klantverplichtingen.
• Leveranciersgerelateerde uitzonderingen op beheersmaatregelen.
• Bevindingen uit incident-, back-up- en weerbaarheidstesten.
• Besluiten over middelen die van het management nodig zijn.

Het management heeft niet elke schermafbeelding nodig. Het moet weten of de beheersingsomgeving betrouwbaar is, waar het risico toeneemt, of verplichtingen zijn afgedekt en waar besluiten vereist zijn.

Dit ondersteunt NIS2 Article 20-verantwoordingsplicht van het management en DORA Article 5-toezicht door het bestuursorgaan. Voor GDPR helpt het de verwerkingsverantwoordelijke aan te tonen dat verantwoordingsplicht geen eenmalig document is, maar een levend governanceproces.

Veelvoorkomende CSA-valkuilen en hoe u deze voorkomt

De eerste valkuil is CSA uitsluitend op basis van vragenlijsten. Een ja-of-nee-antwoord zonder bewijsmateriaal creëert comfort, geen assurance. Elke materiële bewering moet worden ondersteund door bewijsmateriaal.

De tweede valkuil is bewijsmateriaal zonder context van de beheersmaatregel. Een logexport is betekenisloos tenzij deze is gekoppeld aan een doelstelling van de beheersmaatregel, periode, bron, eigenaar en conclusie.

De derde valkuil is zwakke discipline rond uitzonderingen. Als bevindingen geen risicoclassificaties, eigenaren, streefdatums en verificatiemethoden hebben, wordt CSA een opslagoefening. Zenith Blueprint Stap 29 voorkomt dit door non-conformiteiten te koppelen aan oorzaak, corrigerende maatregel, eigenaar, streefdatum en verificatie van effectiviteit.

De vierde valkuil is het negeren van extern geleverde diensten. ISO/IEC 27001:2022 vereist beheersing van extern geleverde processen, producten of diensten die relevant zijn voor het ISMS. NIS2 omvat beveiliging van de toeleveringsketen. DORA vereist ICT-risicobeheer voor derde partijen, registers, due diligence, contractuele waarborgen, beoordeling van concentratierisico, auditrechten en exitplannen. NIST CSF 2.0 GV.SC-uitkomsten omvatten vergelijkbaar leveranciersrollen, due diligence, contracten, monitoring, incidentplanning en beëindiging. CSA moet leveranciersbewijsmateriaal omvatten, niet alleen intern IT-bewijsmateriaal.

De vijfde valkuil is GDPR behandelen als een juridische bijlage. Als persoonsgegevens in een systeem worden verwerkt, moet CSA toetsen of beveiligingsmaatregelen integriteit, vertrouwelijkheid, beschikbaarheid, bewaartermijnen, toegangsbeperking en gereedheid voor inbreuken ondersteunen.

De checklist voor eigenaren van beheersmaatregelen in 2026

Voordat een CSA-resultaat wordt ingediend, moet elke eigenaar van een beheersmaatregel het volgende kunnen bevestigen:

• Ik ken de doelstelling van de beheersmaatregel en de gekoppelde risico’s.
• Ik weet welke ISO/IEC 27001:2022-, NIS2-, DORA-, GDPR- of contractuele verplichtingen de beheersmaatregel ondersteunt.
• Ik heb ontwerp en operationele effectiviteit afzonderlijk getest.
• Ik heb de populatie en steekproefmethode gedocumenteerd.
• Ik heb bewijsmateriaal toegevoegd dat volledig, actueel, herleidbaar, authentiek, relevant, bewaard en herbruikbaar is.
• Ik heb metadata vastgelegd over wie het bewijsmateriaal heeft verzameld, wanneer en uit welk systeem.
• Ik heb uitzonderingen gedocumenteerd met risicoclassificatie en voorgestelde maatregelen.
• Ik heb de oorzaak van materiële uitzonderingen vastgesteld.
• Ik heb CAPA-registraties aangemaakt of bijgewerkt met eigenaar, vervaldatum en verificatiemethode.
• Ik heb materiële kwesties geëscaleerd voor directiebeoordeling.

Als een eigenaar van een beheersmaatregel deze checklist niet kan voltooien, is het probleem niet alleen een CSA-zwakte. Het kan ook een zwakte in ISMS-monitoring zijn, een hiaat in NIS2-effectiviteitsbeoordeling, een DORA-kwestie rond ICT-risicogovernance of een zwakte in GDPR-verantwoordingsplicht.

Maak CSA onderdeel van uw assurance-operatiemodel

Control self-assessment is geen vervanging voor interne audit, penetratietesten, DORA-weerbaarheidstesten of juridische GDPR-beoordeling. Het is de operationele laag die al deze activiteiten betrouwbaarder maakt.

In 2026 zullen organisaties die audits met minder verstoring doorstaan niet de organisaties zijn met het meeste beleid. Het zullen de organisaties zijn waarvan eigenaren van beheersmaatregelen met kwalitatief bewijsmateriaal kunnen aantonen dat beheersmaatregelen zijn ontworpen, werken, worden gemonitord, gecorrigeerd en gerapporteerd.

Clarysec helpt organisaties deze capaciteit op te bouwen met de Zenith Blueprint, beleidssjablonen zoals het Informatiebeveiligingsbeleid, Beleid voor audit en nalevingsmonitoring, Beleid voor audit en nalevingsmonitoring - mkb, Beleid voor bewijsverzameling en forensisch onderzoek - mkb, Beleid voor juridische en regelgevende naleving, en de kracht van cross-compliancemapping van Zenith Controls.

Als uw ISO/IEC 27001:2022-beheersmaatregelen zijn gedocumenteerd maar uw bewijsmateriaal verspreid, inconsistent of niet herbruikbaar is voor NIS2, DORA en GDPR, begin dan deze week met één hoogrisicodomein. Voer een CSA uit op geprivilegieerde toegang, leveranciersbeveiliging, incidentgereedheid, remediatie van kwetsbaarheden of back-upherstel. Test het ontwerp, test de operationele effectiviteit, beoordeel de kwaliteit van het bewijsmateriaal, registreer uitzonderingen en voer het resultaat door naar de directiebeoordeling.

Klaar om control self-assessment om te zetten in auditklare assurance? Download de Zenith Blueprint, verken Zenith Controls, of vraag een Clarysec-beoordeling van bewijsgereedheid aan om te zien waar uw bewijsmateriaal voor beheersmaatregelen standhoudt en waar verbetering nodig is.