Wat is een beveiligingsvragenlijst?
Een beveiligingsvragenlijst (ook wel vendor security assessment of VSA) is een formeel document dat een (potentiële) klant naar u stuurt — de leverancier — om uw beveiligingsmaatregelen te beoordelen voordat zij gevoelige gegevens delen of systeemtoegang verlenen.
Beschouw het als een gestructureerde audit van buitenaf. In plaats van auditors langs te sturen, vraagt de klant u om zelf te rapporteren over tientallen — soms honderden — beveiligingsonderwerpen, met schriftelijke antwoorden onderbouwd door bewijsmateriaal.
Beveiligingsvragenlijsten zijn niet optioneel. Als u software of diensten verkoopt aan enterprise-organisaties, zult u ze ontvangen. Ze zijn een standaard stap in inkoopprocessen.
Waarom sturen klanten ze?
Enterprise-organisaties zijn wettelijk en contractueel verplicht third-party risk management (TPRM) uit te voeren. Regelgeving zoals AVG, NIS2, HIPAA en SOC 2 verplicht hen de beveiliging te documenteren van elke leverancier die toegang heeft tot hun gegevens.
Vóór het ondertekenen van een contract willen inkoop, legal en security bevestigen:
- Uw gegevens zijn versleuteld in rust en tijdens transport
- U heeft een incidentresponsplan en meldt datalekken tijdig
- U hanteert toegangscontrole (MFA, least privilege, offboarding)
- U bent gecertificeerd of compliant met relevante normen (ISO 27001, SOC 2, etc.)
- Uw sub-verwerkers voldoen aan dezelfde eisen
De vragenlijst is hun formeel papieren spoor — bewijs dat zij hun due diligence hebben gedaan. Het beschermt hen juridisch als er iets misgaat, en daarmee ook hun eigen klanten.
Welke onderwerpen komen aan bod?
De meeste vragenlijsten behandelen dezelfde kerngebieden, ongeacht het framework of de klant. Dit kunt u verwachten:
Informatiebeveiligingsbeleid
Heeft u een schriftelijk beleid? Hoe vaak wordt het herzien? Wie is de eigenaar?
Toegangscontrole
MFA, least privilege, gebruikerslevenscyclus, privileged access management.
Gegevensbescherming
Versleuteling in rust en transport, sleutelbeheer, gegevensclassificatie.
Incidentrespons
Heeft u een gedocumenteerd IR-plan? Hoe informeert u klanten bij datalekken?
Infrastructuur & beschikbaarheid
Cloudproviders, uptime SLA, DR/BCP, frequentie penetratietesten.
Compliance & certificeringen
ISO 27001, SOC 2, AVG, HIPAA — certificaten en auditrapportages.
Sub-verwerkers & leveranciers
Welke derde partijen gebruikt u? Wat zijn hun beveiligingsnormen?
Personele beveiliging
Antecedentenonderzoek, beveiligingstraining, exitprocedures.
Veelgebruikte frameworks
SIG / SIG Lite
Shared AssessmentsDe meest gebruikte enterprise vendor risk vragenlijst. De volledige SIG heeft ~850 vragen. SIG Lite (~135 vragen) is voor leveranciers met lager risico.
CAIQ
Cloud Security AllianceOntworpen voor cloudproviders. Koppelt aan de CSA Cloud Controls Matrix. Gangbaar als u een SaaS- of cloudgehost product aanbiedt.
VSAQ
Vendor Security AllianceEen compacter, breed geaccepteerd framework. Veel gebruikt in tech, financiën en zorg.
Eigen Excel-vragenlijsten
Ad hocVeel enterprise beveiligingsteams schrijven hun eigen vragenlijsten. Typisch 20–100 vragen. Het meest voorkomende formaat in de praktijk.
De werkelijke kosten van handmatig beantwoorden
Beveiligingsvragenlijsten zijn misleidend duur. Een enkele vragenlijst vereist doorgaans:
- 4–20 uur ingenieur- of securityteamtijd
- Cross-team coördinatie — security, engineering, legal en HR
- Context switching — vragenlijsten komen midden in sprints binnen met krappe deadlines
- Herwerk — 60–70% van de vragen is eerder al beantwoord, maar de antwoorden zijn verspreid over oude e-mailthreads
Efficiënt beantwoorden
Het sleutelinzicht: de meeste antwoorden bestaan al ergens in uw organisatie. Uw beveiligingsbeleid, ISO 27001-certificaat, SOC 2-rapport en architectuurdocumenten bevatten bijna alles wat een vragenlijst vraagt. Het probleem is terugvinden, niet kennis.
- Centraliseer uw beveiligingsdocumentatie. Verzamel alle beleidsdocumenten, certificaten en auditrapportages op één plek.
- Bouw een herbruikbare antwoordbibliotheek. Sla antwoorden op zodra u ze schrijft. Gebruik een tool die er automatisch in kan zoeken.
- Gebruik AI om concepten te maken vanuit uw docs. Tools zoals Secreply lezen uw bestaande documentatie en stellen antwoorden voor met bronvermelding, zodat u kunt verifiëren vóór verzending.
- Altijd beoordelen vóór verzending. AI-suggesties moeten altijd door een persoon worden gecontroleerd.
Wil je dit in de praktijk zien?
Download ons voorbeeldpakket en zie hoe Secreply een realistische vragenlijst automatisch invult.
Voorbeeldpakket downloaden (gratis)Veelgestelde vragen
Hoe lang duurt het om een beveiligingsvragenlijst te beantwoorden?
Handmatig: 4 uur tot 3–4 weken. Met een kennisbibliotheek en AI-assistentie: meestal minder dan 2 uur totale teamtijd.
Wie in het bedrijf moet ze beantwoorden?
Doorgaans coördineert een security- of GRC-manager, met input van engineering, HR, legal en soms de CTO of CISO.
Vervangen certificeringen (ISO 27001, SOC 2) de vragenlijsten?
Ze helpen veel — certificeringsrapporten beantwoorden veel standaardvragen. Maar de meeste enterprises sturen toch hun eigen vragenlijst, want ze willen antwoorden specifiek voor hun gebruik.