Terug naar kennisbank

Forensisch onderbouwde evidence: wat auditors en verzekeraars echt willen zien

Gepubliceerd op 16 juni 2026 · Bijgewerkt op 23 juli 2026

Dit artikel is algemene informatie over wet- en regelgeving en geen juridisch advies.

Bijna elke securitytool kan een lijst met kwetsbaarheden produceren. Het probleem is dat zo'n lijst de verkeerde vraag beantwoordt. Een auditor, een cyberverzekeraar en een grote klant vragen namelijk niet "heb je een rapport?" maar "kun je aantonen dat het klopt, en dat je er iets mee hebt gedaan?" Dat is een wezenlijk andere eis, en het is precies waar de meeste rapportages tekortschieten.

Dit artikel gaat over het verschil tussen een lijst en bewijs. Wat forensisch onderbouwde evidence is, waarom auditors en verzekeraars het willen zien, en hoe je het opbouwt zonder jezelf rijk te rekenen.

In het kort

• Een lijst kwetsbaarheden is geen bewijs. Het zegt wat er mogelijk mis is, niet hoe het is vastgesteld of dat het is opgevolgd. Een screenshot of losse PDF loopt tegen dezelfde muur.
• Forensisch onderbouwde evidence legt de keten vast: wat is aangetroffen en op welk doelwit, met de bewijsvoering, de scandatum en wat ermee is gedaan. Vergelijkbaar met een chain of custody.
• Overtuigend bewijs combineert vier dingen: herleidbaarheid per bevinding, manipulatie-detecteerbaarheid (getekend en getimestampt), een doorlopende tijdlijn en onafhankelijke levering.
• Auditors, verzekeraars en grote klanten beoordelen je proces, niet alleen een momentopname. Herleidbaar, gedateerd bewijs is wat dat proces verdedigbaar maakt.
• Evidence is een bouwsteen, geen keurmerk. Het onderbouwt compliance, het vervangt die niet.

Waarom een lijst kwetsbaarheden geen bewijs is

Een kwetsbaarhedenlijst voelt geruststellend: het ziet eruit als grip. Maar het mist drie dingen die er bij beoordeling toe doen. Het zegt niet hoe de bevinding is verkregen, dus je kunt het niet controleren. Het zegt niet of het nog actueel is, dus het kan al achterhaald zijn. En het zegt niets over opvolging, dus het toont geen proces.

Een schermafdruk of een handmatig geëxporteerde PDF loopt tegen dezelfde muur. Je ziet een uitkomst, maar niet hoe die tot stand kwam, niet of hij nog klopt en niet of iemand hem onderweg heeft bijgewerkt. Zonder herkomst, zonder tijdlijn en zonder zegel is het een plaatje, geen bewijs.

Voor een bestuur betekent dat het verschil tussen een rapport dat je móet geloven en een rapport dat je kunt navertellen. Hoe je van losse signalen naar stuurbare informatie gaat, beschrijven we in van CVE-lijst tot directierapportage, en waarom een lijst nog geen bestuursbewijs is in van kwetsbaarhedenlijst naar bestuursbewijs.

Wat forensisch onderbouwde evidence is

Forensisch onderbouwde evidence legt per bevinding het doelwit en de onderliggende bewijsvoering vast. Niet alleen "deze dienst is kwetsbaar", maar naar welk doelwit is gekeken en welke observatie tot die conclusie leidde — met daarbij de scandatum en de ingezette modules van de meting. Daarmee ontstaat iets dat lijkt op een chain of custody in de forensiek: een aaneengesloten keten van waarnemingen die je kunt navertellen en, als het moet, verdedigen.

Overtuigend wordt dat bewijs pas als het vier dingen combineert:

• Herleidbaarheid per bevinding. Per bevinding het doelwit en de bewijsvoering, met de scandatum en de ingezette modules van de meting — zodat een derde het kan controleren in plaats van geloven.
• Aantoonbaar ongewijzigd. Het rapport is aantoonbaar niet gewijzigd na oplevering en dateert van een vast moment.
• Een doorlopende tijdlijn. Bewijs van een proces dat werkt, niet één losse momentopname.
• Onafhankelijke levering. Het bewijs komt rechtstreeks van de metende partij bij de opdrachtgever, los van wie de omgeving beheert.

Het verschil zit dus niet in wéten dat er een kwetsbaarheid is, maar in kunnen laten zien hoe en wanneer die is aangetroffen en opgevolgd. Dat is wat een zorgplicht verdedigbaar maakt in plaats van een papieren belofte. Scannen levert die evidence, maar scannen alleen maakt je niet compliant; die nuance staat in scannen is geen NIS2-compliance.

Waarom het rapport aantoonbaar ongewijzigd moet zijn

Bewijs dat achteraf onopgemerkt te wijzigen is, is geen bewijs. Een datum in de tekst of een logo op de voorpagina zegt niets: beide zijn in een minuut aan te passen. Daarom verzegelt Exposentry in productie zijn rapporten standaard met een digitale handtekening (PAdES) en een RFC3161-timestamp van een onafhankelijke timestamping-autoriteit. Elke wijziging na ondertekening breekt de handtekening, en de onafhankelijke timestamp legt vast op welk moment het rapport al bestond. Zo is achteraf te controleren dat het rapport sinds de ondertekening geen byte is veranderd, zonder dat de ontvanger daarvoor op jouw woord hoeft af te gaan.

Dezelfde RFC3161-aanpak documenteert ook OpenKAT, de open-source securityscanner van de Nederlandse overheid waaraan Exposentry-oprichter Edward Hasekamp als collaborator bijdraagt. Hoe je zo'n zegel zelf natrekt, staat in zo controleer je of een securityrapport echt is.

Wat auditors willen zien

Een auditor toetst niet of je op één moment veilig was, maar of je een proces hebt dat aantoonbaar werkt. Concreet zoekt die naar: gedateerde bevindingen met herkomst, een eigenaar en een besluit per bevinding, een afgesproken hersteltermijn, en een hercontrole die bevestigt dat het herstel echt is doorgevoerd. Een map met die vier elementen, over de tijd opgebouwd, is bij een audit meer waard dan een beleidsdocument zonder bewijs van uitvoering.

Er is nog een reden waarom auditors en verzekeraars kritisch kijken naar wie het bewijs heeft samengesteld. Bewijs dat de beheerder van de omgeving zelf in elkaar heeft gezet, beoordeelt zijn eigen huiswerk. Meting door een partij die de omgeving niet beheert en het resultaat rechtstreeks aan de opdrachtgever levert, weegt zwaarder. Waarom die scheiding telt, staat in onafhankelijke rapportage.

Wat cyberverzekeraars willen zien

Bij verzekeraars speelt evidence op twee momenten. Bij het afsluiten van de polis willen ze aantoonbare basishygiëne zien; dat bepaalt mede je premie en voorwaarden. Bij een claim willen ze kunnen reconstrueren wat de staat van je omgeving was rond het incident. Gedateerde, herleidbare evidence ondersteunt beide en kan discussie over dekking voorkomen. Zonder die onderbouwing val je terug op je woord, en bij een verzekeraar weegt dat zwaar mee.

Wat grote klanten willen zien

Lever je aan een organisatie die onder NIS2 valt, dan moet die haar eigen ketenzorgplicht kunnen onderbouwen. Dat vertaalt zich naar vragenlijsten en audits waarin jouw bewijs onderdeel wordt van hun dossier. Een gedateerde scanrapportage met herstelstatus zegt daar meer dan een pagina proza; hoe je zo'n uitvraag aanpakt, lees je in een NIS2-leveranciersvragenlijst beantwoorden.

Hoe bouw je dit op?

1. Meet doorlopend, niet eenmalig. Een tijdlijn is bewijs van een proces; een losse scan is dat niet.
2. Leg per bevinding het doelwit en de bewijsvoering vast. Op welk doelwit is gekeken en welke observatie leidde tot de bevinding, en wanneer en met welke modules is er gemeten?
3. Koppel eigenaar, besluit en termijn. Wie pakt het op, of waarom accepteer je het risico bewust, en binnen welke termijn?
4. Hercontroleer en bewaar het resultaat. Bevestig dat herstel daadwerkelijk is doorgevoerd, en houd dat vast.
5. Maak het overlegbaar. Vertaal de evidence naar rapportages die je richting auditor, verzekeraar of klant kunt overleggen.

Exposentry is hierop gebouwd: in de EU gehoste monitoring die per bevinding forensisch onderbouwd bewijs vastlegt en rapporten in productie standaard verzegelt, voor je eigen domeinen en je keten. Bekijk de tarieven of start een scan van je organisatie, zodat je het bewijs al hebt liggen vóór iemand erom vraagt.

Veelgestelde vragen

Wat is forensisch onderbouwde evidence? Bewijs dat per bevinding het doelwit en de bewijsvoering vastlegt, met de scandatum en de ingezette modules van de meting, vergelijkbaar met een chain of custody, zodat het navertelbaar en verdedigbaar is.

Waarom is een lijst kwetsbaarheden niet genoeg? Een lijst zegt wat er mogelijk mis is, maar niet hoe het is vastgesteld, of het klopt en of het is opgevolgd. Beoordelaars kijken naar je proces.

Hoe weet een ontvanger dat het rapport niet is aangepast? In productie verzegelt Exposentry rapporten standaard met een digitale handtekening (PAdES) en een RFC3161-timestamp van een onafhankelijke autoriteit, zodat achteraf te controleren is dat het na ondertekening niet is gewijzigd en op welk moment het bestond.

Wat willen cyberverzekeraars precies zien? Bij het afsluiten aantoonbare basishygiëne, bij een claim een reconstructie van de staat rond het incident. Gedateerde evidence ondersteunt beide.

Is forensische evidence hetzelfde als een compliancekeurmerk? Nee. Evidence is feitelijk technisch bewijs en een noodzakelijke bouwsteen, geen stempel op zichzelf.

Hoe lang moet ik evidence bewaren? Zolang het een doel dient: rond audits, polisperiodes en de looptijd van klantcontracten. Een doorlopende tijdlijn is waardevoller dan losse momentopnamen.

Geschreven door Edward Hasekamp, oprichter van Exposentry en core-maintainer van het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.