Informatiebeveiliging · Domein 7

CH.05 Testen van wijzigingen

Norm CH.05 gaat over impact, risico, autorisatie, testen, terugval en overdracht vooraf beheersen voordat een wijziging productie raakt. Voor een schoolbestuur betekent dit dat beleid, dagelijkse uitvoering en controle op elkaar moeten aansluiten. Niveau 3 is pas aannemelijk als de werkwijze bestuurlijk is vastgesteld, aantoonbaar wordt uitgevoerd en afwijkingen zichtbaar worden opgevolgd.

Praktische vertaling

Wat betekent CH.05 in de praktijk?

Wijzigingen blijven beheerst wanneer impact, autorisatie, testen, terugval en productieoverdracht aantoonbaar zijn.

Voor testen van wijzigingen betekent dit dat het bestuur niet alleen een wens of document vastlegt, maar kan aanwijzen waar de werkwijze is ingericht, wie beslissingen neemt en hoe de werking wordt gecontroleerd. De context verschilt per schoolbestuur; de bewijslogica blijft hetzelfde: besluit, uitvoering en controle moeten herleidbaar bij elkaar horen.

Aantoonbaarheid

Welk bewijs maakt deze norm sterk?

Een auditor of bestuurder moet zonder mondelinge toelichting kunnen volgen wat is afgesproken, wat werkelijk gebeurt en hoe afwijkingen worden behandeld.

Bewijsvoorbeeld 1

Wijzigingsrecords met impactanalyse, risico, eigenaar en autorisatie.

Bewijsvoorbeeld 2

Testresultaten, beveiligingscontroles en goedgekeurde acceptatiecriteria.

Bewijsvoorbeeld 3

Implementatie-, terugval- en evaluatieverslagen met productiebevestiging.

Route naar niveau 3

Van afspraak naar aantoonbare uitvoering

Gebruik deze volgorde als praktische werklijn. De officiële criteria per volwassenheidsniveau blijven leidend.

Classificeer wijziging, afhankelijkheden en potentiële impact

Classificeer wijziging, afhankelijkheden en potentiële impact.

Laat de juiste eigenaar risico en uitvoering autoriseren

Laat de juiste eigenaar risico en uitvoering autoriseren.

Test gescheiden van productie tegen vooraf bepaalde criteria

Test gescheiden van productie tegen vooraf bepaalde criteria.

Leg implementatie, terugval en evaluatie aantoonbaar vast

Leg implementatie, terugval en evaluatie aantoonbaar vast.

Bestuurlijke mini-check

Vier vragen om de kwaliteit te toetsen

Met deze vragen toets je niet alleen of er documentatie bestaat, maar vooral of de norm bestuurbaar en controleerbaar is ingericht. Een positief antwoord is geen formeel oordeel over het volwassenheidsniveau; daarvoor moet ieder officieel criterium bij Kennisnet afzonderlijk tegen actueel bewijs worden beoordeeld.

Is expliciet belegd dat impact, risico, autorisatie, testen, terugval en overdracht vooraf beheersen voordat een wijziging productie raakt, inclusief mandaat en vervanging?
Kan change manager, applicatie-eigenaar en it-beheer zonder aanvullende toelichting zowel het besluit als recente uitvoering laten zien?
Zijn wijzigingsrecords met impactanalyse, risico, eigenaar en autorisatie. en testresultaten, beveiligingscontroles en goedgekeurde acceptatiecriteria. actueel, onderling consistent en herleidbaar?
Is de werking gecontroleerd volgens het ritme ‘bij iedere wijziging’ en zijn afwijkingen aantoonbaar opgevolgd?

Kwaliteitscontrole

Veelgemaakte fouten

Een technisch ticket zonder risico- of impactanalyse.
Dezelfde persoon laten bouwen, testen en goedkeuren.
Noodwijzigingen achteraf niet evalueren of formaliseren.

In Edufort

GRC & compliance: van norm naar opvolging

Koppel normstatus, bewijs, eigenaar, taken en rapportage in één aantoonbare verbetercyclus. Zo blijven normstatus, eigenaar, bewijs en verbeteractie in dezelfde bestuurlijke lijn zichtbaar.

Bekijk GRC & compliance →

Veelgestelde vragen

Vragen over CH.05

Wat betekent norm CH.05 voor een schoolbestuur?

Deze norm vraagt om impact, risico, autorisatie, testen, terugval en overdracht vooraf beheersen voordat een wijziging productie raakt. De precieze normtekst en volwassenheidscriteria staan bij Kennisnet; Edufort vertaalt dit naar uitvoering en bewijs.

Welk bewijs helpt bij CH.05?

Gebruik minimaal een vastgesteld kader, operationeel bewijs en een periodieke beoordeling. Op deze pagina staan drie voorbeelden die passen bij testen van wijzigingen.

Wie is eigenaar van CH.05?

Een passende inrichting is: Change manager, applicatie-eigenaar en IT-beheer. Het schoolbestuur blijft eindverantwoordelijk voor besluitvorming, middelen en toezicht.