Wat is een veiligheidsvragenlijst, en waarom ontvangt een bedrijf er een?

Wat is een veiligheidsvragenlijst?

Een veiligheidsvragenlijst is een gestandaardiseerd document dat een klant naar een leverancier stuurt om diens informatiebeveiligingspraktijken te beoordelen voordat hij een relatie aangaat. Ze gaat over beveiligingsgovernance, bescherming van persoonsgegevens, toegangsbeheer, bedrijfscontinuïteit en het inschakelen van onderaannemers. Elke vraag vraagt om een bewezen antwoord: een geschreven beleid, een geldig certificaat, een beschrijving van een controle. De veiligheidsvragenlijst volgt hetzelfde mechanisme als een aanbesteding: een inkomend verzoek, een op bewijzen verankerd antwoord, een verifieerbaar spoor.

Waarom ontvangt een bedrijf een veiligheidsvragenlijst?

Een bedrijf ontvangt een veiligheidsvragenlijst omdat zijn klant het risico moet beheersen dat hij neemt door hem gegevens of een dienst toe te vertrouwen. Wanneer een leverancier persoonsgegevens verwerkt namens een klant, verplicht de Algemene Verordening Gegevensbescherming (AVG), van toepassing in de Europese Unie, de klant zich te verzekeren van de garanties die deze leverancier biedt. De veiligheidsvragenlijst is een van de instrumenten van deze controle, naast audit en contractuele bedingen.

Naast de verplichting stuurt een klant een veiligheidsvragenlijst om meerdere leveranciers op een gemeenschappelijke basis te vergelijken: zonder vragenlijst zou hij geen objectief vergelijkingspunt hebben tussen aanbiedingen die allemaal beweren veilig te zijn.

Wie ontvangt en behandelt binnen een bedrijf een veiligheidsvragenlijst?

De veiligheidsvragenlijst wordt ontvangen door het verkoop- of presalesteam, en vervolgens behandeld met de chief information security officer (CISO) en de functionaris voor gegevensbescherming. Deze verdeling bestaat omdat de vragenlijst commerciële, technische en juridische vragen combineert: geen enkele functie alleen bezit alle bewijzen. Het terugkerende knelpunt is de doorlooptijd, omdat elk antwoord wacht op bewijs dat een andere persoon bezit.

Wat is het verschil tussen een veiligheidsvragenlijst en een due-diligencevragenlijst (DDQ)?

Een veiligheidsvragenlijst richt zich op informatiebeveiligingspraktijken; een due-diligencevragenlijst (DDQ), dat wil zeggen de vragenlijst die een klant aan het bedrijf stuurt voordat hij het een opdracht toevertrouwt, bestrijkt een breder domein.

Beide overlappen: een DDQ bevat vaak een beveiligingssectie, en dezelfde antwoordenbibliotheek dient beide.

De concessie die alles verduidelijkt

Voor een eerste, korte veiligheidsvragenlijst over een eenvoudige activiteit is deze begrijpen en er handmatig op antwoorden vormend en voldoende. Een uitgeruste aanpak wordt nuttig wanneer vragenlijsten zich herhalen, hun formuleringen uiteenlopen, en dezelfde bewijzen overal identiek moeten terugkomen. De grens is de frequentie, niet de aard van een geïsoleerde vraag.

De punten om te controleren zodra u een veiligheidsvragenlijst ontvangt

1. Het domein: welke gegevens en welke dienst wil de klant u toevertrouwen?
2. Het verwachte bewijsformaat: volstaat een bewering, of is een bijlage vereist?
3. De te mobiliseren interne actoren: CISO, functionaris voor gegevensbescherming, verkoopdirectie.
4. De consistentie met eerdere antwoorden: heeft dezelfde vraag al een gevalideerd antwoord gekregen?
5. De datum van uw bewijzen: is een geciteerd certificaat of beleid nog geldig?

Op het platform Optivalue.ai, dat deze site uitgeeft, maken veiligheidsvragenlijsten deel uit van vijf gebruikscasussen die door dezelfde gespecialiseerde agenten worden behandeld: aanbestedingen, veiligheidsvragenlijsten, klantvragenlijsten, extra-financiële rapportage, leveranciersanalyse.

Veelgestelde vragen

Is een veiligheidsvragenlijst verplicht? Een veiligheidsvragenlijst is op zich geen wettelijke verplichting, maar vloeit vaak voort uit verplichtingen van de klant, zoals de controle van zijn onderaannemers onder de AVG, van toepassing in de Europese Unie.

Wie moet in het bedrijf een veiligheidsvragenlijst beantwoorden? Het antwoord wordt door meerdere personen opgebouwd: het presalesteam coördineert, de CISO levert het technische bewijs, de functionaris voor gegevensbescherming dekt de vragen over persoonsgegevens.

Zijn een veiligheidsvragenlijst en een audit hetzelfde? Nee: een veiligheidsvragenlijst verzamelt vooraf schriftelijke antwoorden, terwijl een audit deze antwoorden op basis van documenten controleert. Bewezen antwoorden bereiden de eventuele audit voor.

Waarom lijken veiligheidsvragenlijsten op elkaar zonder identiek te zijn? Omdat elke klant de zijne samenstelt vanuit gemeenschappelijke referentiekaders, zoals ISO/IEC 27001, maar aanpast aan zijn eigen risico: vandaar het nut van een herbruikbare antwoordenbibliotheek.

Geschreven door het compliance- en presalesteam van Optivalue.ai. Laatst herzien: 5 september 2026. Deze pagina vormt geen juridisch advies.

Markdown-versie