Informatiebeveiliging · Domein 11

SM.05 Testen, inspectie en toezicht beveiliging

Norm SM.05 gaat over onafhankelijk beoordelen of afgesproken IBP-maatregelen bestaan, werken en aantoonbaar worden verbeterd. Voor een schoolbestuur betekent dit dat beleid, dagelijkse uitvoering en controle op elkaar moeten aansluiten. Niveau 3 is pas aannemelijk als de werkwijze bestuurlijk is vastgesteld, aantoonbaar wordt uitgevoerd en afwijkingen zichtbaar worden opgevolgd.

Praktische vertaling

Wat betekent SM.05 in de praktijk?

Technische beveiligingsmaatregelen moeten niet alleen aanwezig zijn, maar ook aantoonbaar werken en worden verbeterd.

Voor testen, inspectie en toezicht beveiliging betekent dit dat het bestuur niet alleen een wens of document vastlegt, maar kan aanwijzen waar de werkwijze is ingericht, wie beslissingen neemt en hoe de werking wordt gecontroleerd. De context verschilt per schoolbestuur; de bewijslogica blijft hetzelfde: besluit, uitvoering en controle moeten herleidbaar bij elkaar horen.

Aantoonbaarheid

Welk bewijs maakt deze norm sterk?

Een auditor of bestuurder moet zonder mondelinge toelichting kunnen volgen wat is afgesproken, wat werkelijk gebeurt en hoe afwijkingen worden behandeld.

Bewijsvoorbeeld 1

Een vastgesteld audit- of toetsingsplan met scope en onafhankelijkheid.

Bewijsvoorbeeld 2

Rapportages met bevindingen, bewijs en onderbouwde conclusies.

Bewijsvoorbeeld 3

Een opvolgregister met eigenaar, deadline en verificatie van herstel.

Route naar niveau 3

Van afspraak naar aantoonbare uitvoering

Gebruik deze volgorde als praktische werklijn. De officiële criteria per volwassenheidsniveau blijven leidend.

Plan toetsen op basis van risico, wijziging en eerdere bevindingen

Plan toetsen op basis van risico, wijziging en eerdere bevindingen.

Borg voldoende onafhankelijkheid en deskundigheid

Borg voldoende onafhankelijkheid en deskundigheid.

Leg bevindingen en managementreacties traceerbaar vast

Leg bevindingen en managementreacties traceerbaar vast.

Verifieer herstel en rapporteer open risico's aan het bestuur

Verifieer herstel en rapporteer open risico's aan het bestuur.

Bestuurlijke mini-check

Vier vragen om de kwaliteit te toetsen

Met deze vragen toets je niet alleen of er documentatie bestaat, maar vooral of de norm bestuurbaar en controleerbaar is ingericht. Een positief antwoord is geen formeel oordeel over het volwassenheidsniveau; daarvoor moet ieder officieel criterium bij Kennisnet afzonderlijk tegen actueel bewijs worden beoordeeld.

Is expliciet belegd dat onafhankelijk beoordelen of afgesproken IBP-maatregelen bestaan, werken en aantoonbaar worden verbeterd, inclusief mandaat en vervanging?
Kan schoolbestuur, interne audit en onafhankelijke beoordelaar zonder aanvullende toelichting zowel het besluit als recente uitvoering laten zien?
Zijn een vastgesteld audit- of toetsingsplan met scope en onafhankelijkheid. en rapportages met bevindingen, bewijs en onderbouwde conclusies. actueel, onderling consistent en herleidbaar?
Is de werking gecontroleerd volgens het ritme ‘volgens risicogestuurd auditplan, minimaal jaarlijks’ en zijn afwijkingen aantoonbaar opgevolgd?

Kwaliteitscontrole

Veelgemaakte fouten

Een zelfevaluatie presenteren als onafhankelijke toets.
Alleen documentaanwezigheid controleren.
Bevindingen sluiten zonder herstelbewijs.

In Edufort

GRC & compliance: van norm naar opvolging

Koppel normstatus, bewijs, eigenaar, taken en rapportage in één aantoonbare verbetercyclus. Zo blijven normstatus, eigenaar, bewijs en verbeteractie in dezelfde bestuurlijke lijn zichtbaar.

Bekijk GRC & compliance →

Veelgestelde vragen

Vragen over SM.05

Wat betekent norm SM.05 voor een schoolbestuur?

Deze norm vraagt om onafhankelijk beoordelen of afgesproken IBP-maatregelen bestaan, werken en aantoonbaar worden verbeterd. De precieze normtekst en volwassenheidscriteria staan bij Kennisnet; Edufort vertaalt dit naar uitvoering en bewijs.

Welk bewijs helpt bij SM.05?

Gebruik minimaal een vastgesteld kader, operationeel bewijs en een periodieke beoordeling. Op deze pagina staan drie voorbeelden die passen bij testen, inspectie en toezicht beveiliging.

Wie is eigenaar van SM.05?

Een passende inrichting is: Schoolbestuur, interne audit en onafhankelijke beoordelaar. Het schoolbestuur blijft eindverantwoordelijk voor besluitvorming, middelen en toezicht.