Inkoop en security ontvangen steeds langere vragenlijsten: NIS2, DORA, ISO, privacy, AI. Zonder structuur ontstaat copy-paste met tegenstrijdige antwoorden — zichtbaar bij audits en due diligence.
Bouw een antwoordbibliotheek
- standaardantwoorden met eigenaar, versie en herzieningsdatum;
- bewijsbijlagen (certificaat, SoA-samenvatting, pentest-samenvatting);
- escalatie naar CISO/juridisch bij afwijkingen;
- mapping: welke vraag hangt aan welke control in uw ISMS.
Proces rondom de vragenlijst
- Intake: deadline, klant, scope product/dienst.
- Match vragen aan bibliotheek — geen herschrijven.
- Review door control owner vóór verzending.
- Log wat u heeft beloofd — contracten volgen soms de vragenlijst.
Meer: leveranciersbeheer en audit bewijsvoering.
In 2026 bevatten vragenlijsten vaak NIS2- en DORA-specifieke vragen naast ISO 27001. Tag antwoorden in uw bibliotheek per kader zodat u niet per ongeluk een NIS2-antwoord kopieert naar een puur ISO-traject met andere scope-definitie.
Versiebeheer is cruciaal: datum van laatste review en wie het antwoord goedkeurde. Due diligence teams vergelijken antwoorden over tijd — inconsistentie tussen twee questionnaires van dezelfde maand is een veelgezien probleem.
Koppel beloftes uit questionnaires aan contract- en risicoregister. Als u in een vragenlijst 24/7 incidentmelding belooft, moet dat in operations en contracten terugkomen — auditors volgen die keten.
Samenwerking tussen sales, legal en security
De snelste manier om tegenstrijdige antwoorden te krijgen is een vragenlijst laten invullen door sales terwijl security dezelfde vragen maanden later anders beantwoordt voor een andere klant. Spreek af dat elke ingediende questionnaire minstens één reviewer uit security of compliance heeft, en dat afwijkingen ten opzichte van de bibliotheek altijd worden gemotiveerd in het logboek.
Houd een eenvoudig register bij: klant, datum, versie van de bibliotheek, reviewer en eventuele uitzonderingen. Due diligence-partijen vragen daar steeds vaker om. Het hoeft geen zwaar GRC-platform te zijn — een gedeeld spreadsheet met vaste velden en links naar PDF-bijlagen volstaat voor veel MKB-organisaties, zolang versie en eigenaar duidelijk zijn.
Als u een standaardantwoord niet kunt geven omdat de klant een strengere eis stelt, behandel dat als contract- en risicobesluit: mag u die belofte waarmaken binnen huidige operations? Zo niet, escaleer vóór verzending. Auditors en inkopers volgen die keten van questionnaire naar contract en incidentrespons.
Plan elk kwartaal een korte review van de tien meest gebruikte antwoorden. Patchbeleid, logging-retentie en AI-gebruik veranderen snel — verouderde standaardteksten zijn erger dan een langere doorlooptijd.
Importeer vragenlijsten waar mogelijk in één werkbestand per klant, zodat u ziet welke vragen nieuw zijn ten opzichte van vorige rondes. Alleen nieuwe of gewijzigde vragen hoeven een bibliotheek-update — dat houdt de set beheersbaar. Deel intern een korte FAQ voor sales: welke vragen altijd naar security gaan en welke standaardantwoorden zij wél mogen gebruiken.
Let op: dit artikel is educatief en vervangt geen juridisch, privacy- of auditorisch advies voor uw specifieke situatie.