Terug naar kennisbank

Onafhankelijke rapportage: waarom je beheerder niet zijn eigen werk moet beoordelen

Gepubliceerd op 3 juli 2026 · Bijgewerkt op 4 augustus 2026

Veel organisaties krijgen hun securityrapportage via hun IT-dienstverlener: dezelfde partij die de servers inricht, de firewall beheert en de updates draait. Dat voelt logisch en efficiënt. Maar stel de vraag die een auditor stelt: wie beoordeelt hier eigenlijk wiens werk?

Dit artikel gaat over die vraag. Waarom rapportage via je beheerder je bewijs verzwakt, waarom dat onder NIS2 dubbel telt, en wat onafhankelijke rapportage in de praktijk betekent.

In het kort

• Een beheerder die rapporteert over zijn eigen omgeving, beoordeelt zijn eigen werk. Twee mechanismen spelen mee: de prikkel om bevindingen te dempen, en de blinde vlek voor keuzes die je zelf hebt gemaakt. Beide zijn structureel, ook bij integere partijen.
• Onafhankelijke assurance versterkt de derde lijn in het gangbare "three lines of defence"-model; een rapport van je beheerder kan nuttig eerste- of tweedelijnsmateriaal zijn, maar vult die lijn niet.
• Onder NIS2 telt dit dubbel: je IT-dienstverlener is zelf een leverancier in de keten die je moet beheersen.
• Onafhankelijke rapportage betekent: rechtstreeks aan de opdrachtgever, zonder dat de beheerde partij ertussen zit.
• Vraag het jezelf af: krijgt je auditor nu bewijs, of een gefilterde samenvatting?

De slager en zijn eigen vlees

Een IT-dienstverlener die scanresultaten presenteert over infrastructuur die hij zelf heeft ingericht, zit in een onmogelijke positie. Elke kwetsbaarheid die het rapport haalt, roept de vraag op waarom die er staat: had de dienstverlener dat niet moeten voorkomen? Elke bevinding is dus impliciet kritiek op zijn eigen werk.

Dat betekent niet dat dienstverleners liegen. Het betekent dat de prikkel om een bevinding af te zwakken, te herclassificeren of "eerst even zelf op te lossen voordat de klant het ziet" structureel aanwezig is. Precies daarom bestaat functiescheiding in elke volwassen controleomgeving: de accountant controleert niet zijn eigen boekhouding, en de keurmeester werkt niet bij de slager.

Naast die prikkel speelt een tweede, subtieler mechanisme: de blinde vlek. Wie een omgeving zelf ontwerpt, beoordeelt hem vanuit dezelfde aannames waarmee hij hem heeft gebouwd. Een poort die ooit bewust is opengezet, een uitzondering die "tijdelijk" was, een component dat "altijd zo heeft gestaan": juist die keuzes vallen de bouwer zelf het minst op, omdat ze voor hem vanzelfsprekend zijn. Een meting van buitenaf vertrekt niet vanuit die aannames en ziet daardoor dingen die van binnenuit onzichtbaar blijven. Dat staat los van kunde: ook een uitstekend team heeft blinde vlekken in zijn eigen werk.

De derde verdedigingslinie

Dit principe is beproefd. Veel organisaties ordenen hun risicobeheersing volgens het "three lines of defence"-model. De eerste lijn is de uitvoering: de teams die de omgeving beheren en dagelijks keuzes maken. De tweede lijn is risicobeheer en compliance: intern toezicht dat kaders stelt en meekijkt. De derde lijn is onafhankelijke assurance: een partij die losstaat van de uitvoering en vaststelt of het geheel klopt.

Onafhankelijke rapportage hoort thuis in die derde lijn, en haar waarde zit juist in de afstand tot de uitvoering: het oordeel komt van buiten de lijn die het werk heeft gedaan. Strikt genomen ís de derde lijn in dit model de interne auditfunctie; een externe meting door een partij buiten de organisatie staat daar nog los van en versterkt die derde lijn als externe assurance: de onafhankelijkheid is er dan een graad scherper, omdat de meter ook organisatorisch niet in de lijn zit. Een rapport van je beheerder kan prima eerste- of tweedelijnsmateriaal zijn (waardevol om intern op bij te sturen), maar het vult de derde lijn niet, omdat de onafhankelijkheid ontbreekt die die lijn juist definieert. Interne en onafhankelijke rapportage bestaan dus naast elkaar, elk met een eigen functie.

Wanneer interne rapportage wél volstaat

Niet elke situatie vraagt om een externe meting, en dat eerlijk benoemen hoort erbij. Rapporteert je beheerder puur zodat je intern kunt bijsturen en prioriteren (welke kwetsbaarheden pak je deze sprint op), dan is een intern rapport daarvoor prima. Zolang niemand van buiten om bewijs vraagt, is de onafhankelijkheid geen doel op zich.

Onafhankelijke rapportage gaat wegen zodra er een externe assurancevraag ontstaat: een auditor die je zorgplicht toetst, een grote klant die onder de NIS2-ketenzorgplicht bewijs opvraagt, of een verzekeraar die je securityhouding wil zien. Heb je geen NIS2-verplichting, geen ketenpositie waarin een afnemer je bevraagt, en vraagt geen auditor of verzekeraar om bewijs, dan kun je met intern materiaal toe. De afweging is dus: zodra iemand buiten je organisatie op het rapport moet kunnen vertrouwen, telt de vraag wie het heeft gemaakt.

Waarom dit onder NIS2 dubbel telt

De NIS2-ketenzorgplicht verplicht je om risico's bij je leveranciers aantoonbaar te beheersen. Je IT-dienstverlener is daarbij niet alleen de partij die je daarbij kan helpen: hij is zelf een van die leveranciers, en vaak de meest kritieke. Wat je grote klant daarover kan vragen, lees je in wat vraagt je grote klant onder de NIS2-ketenzorgplicht.

Ketenzorgplicht aantonen met een rapport van de partij waarover dat rapport (mede) gaat, verzwakt je bewijs precies daar waar het sterk moet zijn. Niet alleen de auditor kijkt hiernaar. Een grote klant die je onder zijn eigen ketenzorgplicht bevraagt, wil aantoonbaar op jouw rapport kunnen leunen zonder dat een belanghebbende het heeft samengesteld. Anders erft hij jouw belangenconflict. Een cyberverzekeraar vraagt onafhankelijk bewijs om een andere reden: hij prijst risico en wil een securityhouding zien die niet is gekleurd door de partij die er baat bij heeft dat alles in orde lijkt. Waar de auditor vooral naar de opzet van de functiescheiding kijkt, gaat het die twee eerder om de betrouwbaarheid van het cijfer waarop ze hun beslissing baseren. Bij veel auditors en inkopers weegt onafhankelijke rapportage daarom zwaarder dan een rapport dat via de beheerde partij binnenkomt. De vraag die je jezelf kunt stellen: krijg ik mijn securityrapportage nu via de partij die mijn omgeving beheert, en zou mijn auditor dat voldoende vinden?

Wat onafhankelijke rapportage betekent

Onafhankelijk rapporteren is meer dan een ander logo op het rapport. Het gaat om drie dingen:

1. Directe levering. Het rapport gaat van de meetende partij rechtstreeks naar de opdrachtgever. De beheerder kan meelezen als de opdrachtgever dat wil, maar zit nooit als filter in de lijn.
2. Herleidbare bevindingen. De opdrachtgever kan per bevinding nagaan hoe en wanneer die is vastgesteld, zonder op de interpretatie van een belanghebbende te leunen. Hoe dat werkt, staat in forensisch onderbouwde evidence.
3. Verifieerbaarheid. In productie worden rapporten digitaal ondertekend (PAdES) en voorzien van een RFC3161-tijdstempel; een signing-fout blokkeert de levering niet, maar waar de seal aanwezig is kan een derde het rapport zelfstandig controleren. De onafhankelijkheid zit in twee dingen: de tijdstempel legt onafhankelijk vast dat het rapport op dat moment al bestond, en de integriteitscontrole laat zien dat elke wijziging na ondertekening de handtekening breekt: manipulatie is daardoor aantoonbaar. Zie zo controleer je of een securityrapport echt is.

Je IT-dienstverlener blijft daarbij gewoon waardevol: hij lost de bevindingen op. De rollen zijn alleen gescheiden. Meten en herstellen zijn twee verschillende dingen, en juist die scheiding maakt het herstel geloofwaardig. En andersom geldt net zo goed: onafhankelijkheid zonder meting blijft papier. Onafhankelijke rapportage weegt omdat ze op een feitelijke meting rust in plaats van op een verklaring.

Hoe Exposentry dit zelf borgt

Onafhankelijkheid claimen is makkelijk; hem organiseren is het echte werk. Exposentry is een dienst van Hasecon, en Hasecon levert ook implementatie-, onderhouds- en ontwikkeldiensten rond OpenKAT, zoals on-premise installaties en maatwerkmodules. Oprichter Edward Hasekamp draagt bovendien als collaborator bij aan OpenKAT zelf. Juist die betrokkenheid maakt de functiescheiding belangrijk, en daarom is die vastgelegd, zwart op wit:

• Rapporten gaan altijd rechtstreeks naar de opdrachtgever, ook als een andere partij de klant heeft aangebracht.
• Doet Hasecon voor dezelfde klant of in dezelfde omgeving OpenKAT-werk, dan staat die samenloop expliciet in het rapport.
• Hasecon brengt geen securityrapportages over gescande omgevingen uit buiten Exposentry om: er is maar een rapportagekanaal.
• Bij actieve ketenverificaties voert Hasecon in de geverifieerde omgeving geen herstel- of beheerwerk uit.

Dit beleid staat in onze algemene voorwaarden, zodat een auditor er niet naar hoeft te raden.

De toets voor je eigen situatie

Pak je laatste securityrapport erbij en stel drie vragen. Wie heeft het gemaakt? Beheert die partij (een deel van) de omgeving waarover het gaat? En kwam het rapport rechtstreeks bij jou, of via die partij? Bij twee keer "ja" op de laatste vragen blijft het rapport bruikbaar, maar staat het als bewijs richting auditor, klant of verzekeraar zwakker dan je denkt.

Geschreven door Edward Hasekamp, oprichter van Exposentry en collaborator op het open-source OpenKAT-project. Zie het project op GitHub en het profiel op github.com/hasecon. Exposentry levert EU-soevereine, forensisch onderbouwde vulnerability monitoring op basis van OpenKAT. Meer artikelen in de Kennisbank.