BIC en leveranciersregie: welke onderbouwing vraagt u als woningcorporatie?

Uw IT-leverancier meldt dat de informatiebeveiliging op orde is. Toch wilt u als woningcorporatie weten waarop die conclusie is gebaseerd, welke risico’s nog openstaan en wie daarop handelt. De BIC geeft richting aan dat gesprek. Met goede leveranciersregie verbindt u het normenkader aan concrete afspraken, passende onderbouwing en gerichte opvolging.

BIC als vertrekpunt voor uw leveranciersgesprek

De Baseline Informatiebeveiliging Corporaties (BIC) is een normenkader voor informatiebeveiliging in de corporatiesector. Volgens CorpoNet richt het zich op de beschikbaarheid, integriteit en vertrouwelijkheid van informatie en systemen. Voor de praktische toepassing zijn er de BIC Building Blocks, met toelichting en hulpmiddelen die corporaties ondersteunen bij het organiseren van informatiebeveiliging.

Ons advies: gebruik de BIC als vertrekpunt om te bepalen welke afspraken en onderbouwing voor uw eigen organisatie nodig zijn. Betrek daarbij de verantwoordelijke voor informatiebeveiliging en de mensen die de dienstverlening gebruiken. Onderstaande vijf vragen helpen om dat gesprek met uw leverancier concreet te maken.

1. Welke afspraken gelden voor onze dienstverlening?

Begin met de diensten, systemen en gegevens die de leverancier voor uw corporatie beheert. Voor welk deel daarvan heeft u beveiligingsafspraken gemaakt? Wat levert de leverancier, wat doet uw eigen organisatie en waar is een andere partij betrokken? Leg ook vast welke wijzigingen aanleiding geven om de afspraken opnieuw te bekijken.

Vraag bijvoorbeeld welke afspraken gelden voor het herstellen van uw huurdersadministratie na uitval. Binnen welke termijn moet deze weer bruikbaar zijn, hoeveel gegevensverlies is aanvaardbaar en wie bepaalt of medewerkers weer verantwoord kunnen werken? Zo ontstaat een bespreekbaar resultaat, met een duidelijke afbakening.

2. Welke onderbouwing laat zien dat de afspraken werken?

Vraag informatie die past bij de afspraak en het belang van de dienstverlening. Spreek vooraf af welke onderbouwing beschikbaar komt, over welke periode die gaat en wie deze binnen de corporatie beoordeelt. Denk bijvoorbeeld aan:

• Herstel na uitval: een verslag van een uitgevoerde hersteltest, met de betrokken systemen, de uitkomst en de verbeterpunten.

• Toegangsrechten: een overzicht van de controle op rechten, de geconstateerde afwijkingen en de opvolging daarvan.

• Beveiligingsincidenten: een toelichting op relevante incidenten, gevolgen voor uw dienstverlening en genomen maatregelen.

Ons advies is om eerst een gerichte samenvatting te vragen. Laat noodzakelijke details waar nodig door een deskundige beoordelen en spreek af hoe gevoelige informatie wordt gedeeld. Controleer steeds of de onderbouwing betrekking heeft op uw diensten en op de periode die u wilt beoordelen.

3. Welke afwijkingen en onzekerheden staan nog open?

Reserveer in ieder leveranciersgesprek ruimte voor openstaande punten. Welke afspraak is nog niet ingevuld? Waar ontbreekt informatie? Welke maatregel is uitgesteld en wat betekent dat voor de corporatie? Maak daarbij onderscheid tussen een vastgestelde afwijking en een onderwerp waarover nog onvoldoende onderbouwing beschikbaar is.

Vraag bij ieder belangrijk punt om de mogelijke gevolgen, de voorgestelde oplossing en een haalbare termijn. Bespreek of tijdelijk aanvullende maatregelen nodig zijn. Voor besluiten over het aanvaarden van een risico is een duidelijk mandaat nodig binnen de corporatie. Leg daarom vast wie hierover mag beslissen en op basis van welke informatie.

4. Wie is verantwoordelijk voor de volgende stap?

Een afspraak is pas werkbaar wanneer duidelijk is wie handelt. Wijs daarom per actie een verantwoordelijke aan bij de leverancier én een contactpersoon binnen de corporatie die de voortgang bewaakt. Spreek ook af wie vragen beoordeelt waarvoor specialistische kennis nodig is.

Let vooral op onderwerpen waarbij meerdere partijen betrokken zijn, zoals het afsluiten van toegang wanneer een medewerker vertrekt. Wie geeft het vertrek door, wie verwerkt de wijziging en wie controleert of alle relevante toegang is beëindigd? Maak ook duidelijk wie de partijen bij elkaar brengt wanneer een actie tussen organisaties blijft hangen.

5. Welk besluit nemen we en wanneer beoordelen we het resultaat?

Sluit het overleg af met een korte lijst besluiten en acties. Noteer per punt wat moet gebeuren, wie dit uitvoert, wanneer het klaar is en welke onderbouwing nodig is om het af te ronden. Neem de belangrijkste openstaande punten mee naar het volgende overleg.

Plan de frequentie op basis van het risico en de veranderingen in uw dienstverlening. Een ingrijpende wijziging of ernstig incident kan aanleiding zijn voor extra overleg. Voor het management is vooral van belang welke risico’s voortduren, welke acties achterlopen en waar een besluit over mensen, middelen of prioriteiten nodig is.

Voorbeeld: van herstelrapport naar actie

Stel dat uw corporatie een rapport ontvangt waarin staat dat een hersteltest is geslaagd. Tijdens het leveranciersgesprek blijkt dat alleen het terugzetten van bestanden is getest. Of medewerkers daarna ook met de huurdersadministratie kunnen werken, is nog niet beoordeeld.

U kunt dan met de leverancier een aanvullende test afspreken, met deelname van een medewerker uit het primaire proces. Leg vast wanneer die plaatsvindt, welk resultaat nodig is en wie de uitkomst beoordeelt. Totdat die test is afgerond, blijft het onderwerp zichtbaar als openstaand punt. Het gesprek levert zo een concrete vervolgstap op die aansluit op de bedrijfsvoering.

Maak leveranciersregie onderdeel van uw vaste werkwijze

Ons advies is om klein te beginnen: kies één belangrijke leverancier en doorloop deze vijf vragen voor een dienst waarvan uw corporatie sterk afhankelijk is. Gebruik de uitkomst om afspraken, rapportages en overleg te verbeteren.

Inducem ondersteunt woningcorporaties bij IT-advies en leveranciersregie. Met Regie as a Service helpen we om afspraken, prestaties en opvolging samenhangend te beoordelen. Daarnaast ontwikkelen we Regiduce, bedoeld om leveranciersafspraken, rapportages en verbeteracties met elkaar te verbinden. Regiduce is in ontwikkeling; de beoordeling en besluitvorming blijven mensenwerk.

Wilt u weten welke onderbouwing u van uw leverancier kunt vragen? Bespreek uw leveranciersvraag met Inducem.

Bronnen

CorpoNet: informatie over BIC en het domein security en CorpoNet: vernieuwde BIC Building Blocks. Geraadpleegd in oktober 2026. De vijf leveranciersvragen en het voorbeeld zijn praktische adviezen van Inducem.