ENSIA en ISO 27001 voor gemeenten
ENSIA (Eenduidige Normatiek Single Information Audit) is de manier waarop gemeenten zich elk jaar verantwoorden over informatiebeveiliging. De gemeente vult zelfevaluaties in op basis van de BIO, een IT-auditor onderzoekt de aansluitingen op DigiD en Suwinet, en het college rapporteert aan de gemeenteraad en de toezichthouders van het rijk. ISO 27001 is daarbij geen verplichting, maar een gemeente die haar beveiliging inricht als ISO 27001-managementsysteem heeft het fundament voor ENSIA al staan.
ENSIA ontstond in 2017 op initiatief van gemeenten en de ministeries van BZK en SZW. VNG Realisatie beheert het stelsel, de vragenlijsten staan op het ENSIA-platform . De BIO zelf bouwt op ISO 27001 en ISO 27002. Hoe die twee zich verhouden, lees je op BIO2 en ISO 27001.
Kort gezegd: ENSIA is geen norm en geen certificaat, maar een verantwoordingscyclus. De norm is de BIO. ISO 27001 is het managementsysteem waarmee je die norm in de praktijk waarmaakt. Een ISO 27001-certificaat vervangt ENSIA niet.
ENSIA in het kort
| Wat is het? | Jaarlijks verantwoordingsstelsel over informatiebeveiliging en datakwaliteit |
| Voor wie | Gemeenten; ook provincies, waterschappen en rijksonderdelen voor de geobasisregistraties |
| Normenkaders 2026 | BIO versie 1.04, DigiD-normenkader 3.0, Suwinet Verantwoordingsrichtlijn GeVS 2026, wet- en regelgeving voor BRP, reisdocumenten, BAG, BGT en BRO |
| Periode | Het kalenderjaar |
| Externe audit | Verplicht voor DigiD en Suwinet, door een bij NOREA geregistreerde IT-auditor (RE) |
| Auditmethode | 3000D: de auditor toetst direct aan het normenkader |
| Rapportage | Aan de gemeenteraad, aan de toezichthouders van het rijk en in het jaarverslag |
De gegevens over het verantwoordingsjaar 2026 komen uit de Notitie Verantwoordingsstelsel ENSIA 2026 van VNG Realisatie.
Hoe werkt de ENSIA-cyclus?
Het ENSIA-jaar heeft vier fases. Hieronder staan ze met de deadlines voor het verantwoordingsjaar 2026.
Zelfevaluatie (1 juli tot en met 31 december 2026)
De ENSIA-coördinator vult namens de gemeente de vragenlijsten in op het ENSIA-platform: de BIO-vragenlijst (met daarin ook vragen over BRP, reisdocumenten en Suwinet), de DigiD-vragenlijst en de vragenlijsten voor BAG, BGT en BRO. Op 31 december sluit het platform.
Opstellen (januari tot 30 april 2027)
Een RE-auditor onderzoekt de DigiD- en Suwinet-aansluitingen en schrijft een auditrapport volgens de 3000D-methode. De auditor toetst de opzet en het bestaan van de maatregelen per 31 december 2026. Het platform maakt daarnaast rapportages voor BAG, BGT en BRO.
Verantwoorden (uiterlijk 30 april 2027)
Het college behandelt de rapporten en uploadt de verantwoordingen voor DigiD, Suwinet en de geobasisregistraties. BRP en reisdocumenten lopen via de Kwaliteitsmonitor. Het college rapporteert aan de gemeenteraad over informatiebeveiliging, onder geheimhouding.
Versturen (uiterlijk 15 juli 2027)
Het jaarverslag bevat in de paragraaf bedrijfsvoering een aparte subparagraaf over informatiebeveiliging. Na vaststelling door de raad gaan de jaarstukken voor 15 juli naar de provincie.
Hoe verhoudt ENSIA zich tot ISO 27001?
ENSIA vraagt elk jaar in hoeverre de gemeente aan de BIO voldoet. ISO 27001 beschrijft hoe je informatiebeveiliging als doorlopend proces inricht, met risicoanalyse, maatregelen, interne audits en directiebeoordeling. De BIO verplicht zo’n managementsysteem op basis van ISO 27001, maar niet een certificaat.
| ENSIA | ISO 27001 | |
|---|---|---|
| Wat is het? | Verantwoordingscyclus | Norm voor een managementsysteem (ISMS) |
| Ritme | Jaarlijks, per kalenderjaar | Doorlopend, met een certificaat van drie jaar |
| Wie toetst? | IT-auditor (RE) voor DigiD en Suwinet, verder zelfevaluatie | Certificerende instelling |
| Uitkomst | Rapporten aan raad, rijk en in het jaarverslag | Certificaat |
| Verplicht voor gemeenten? | Ja | Nee |
Een voorbeeld. Een gemeente vult in ENSIA in dat ze een jaarlijkse hersteltest van back-ups doet. Met een werkend ISMS staat die test in de jaarplanning, ligt het testverslag in het documentbeheer en is de opvolging van fouten vastgelegd. Dan is de zelfevaluatie een kwestie van verwijzen. Zonder ISMS zoekt de coördinator elk jaar opnieuw naar bewijs.
ENSIA en de overstap naar de BIO2
De BIO2 vervangt de BIO 1.04 en is gebaseerd op de ISO 27001- en ISO 27002-versies uit 2022. De actuele versie is BIO2 v1.3 van januari 2026. Volgens de ENSIA-notitie treedt de BIO2 wettelijk in werking samen met de Cyberbeveiligingswet. De inhoud en de datum staan op BIO2 en ISO 27001.
Voor het verantwoordingsjaar 2026 noemt de ENSIA-notitie nog BIO versie 1.04 als normenkader. Wanneer de ENSIA-vragenlijst overgaat op de BIO2, staat niet in die notitie. Houd daarvoor de ENSIA-pagina van VNG in de gaten. Bereid je intussen voor door je verklaring van toepasselijkheid al naast de BIO2-overheidsmaatregelen te leggen.
Ga er niet van uit dat de BIO-vragenlijst en de BIO2 dezelfde nummering gebruiken. De BIO 1.04 volgt de ISO-indeling van 2013, de BIO2 die van 2022. Een vergelijkingstabel tussen beide, zoals bijlage B van ISO 27002, voorkomt dubbel werk.
Wat moeten leveranciers van gemeenten aanleveren voor ENSIA?
Gemeenten blijven verantwoordelijk voor werk dat ze uitbesteden, ook bij leveranciers van leveranciers. De ENSIA-notitie zegt dat gemeenten moeten zorgen dat verantwoordingsrapportages en assurancerapporten van ketenleveranciers op tijd klaar zijn voor de audits.
Lever je software of hosting voor een DigiD-aansluiting of voor Suwinet, dan vraagt de gemeente dus om een assurancerapport over jouw deel. Dat is meestal een rapport onder de 3000-standaard. Het verschil met een ISAE 3402-rapport staat op ISAE 3000 vs ISAE 3402. Zorg dat het rapport vóór de audits van de gemeenten beschikbaar is, dus ruim voor 30 april.
Wat de auditor wil zien bij de ENSIA-audit
De IT-auditor toetst voor DigiD en Suwinet de opzet en het bestaan van de maatregelen op 31 december. Dat betekent: is de maatregel goed ontworpen en bestaat hij echt op die datum.
- Vastgestelde documenten, zoals beleid, procedures en hardeningsrichtlijnen.
- Bewijs uit de praktijk, zoals scanrapporten, pentestrapporten en logging.
- Rapporten van leveranciers voor het deel dat buiten de gemeente ligt.
- Een zelfevaluatie die klopt met wat de auditor in de praktijk aantreft.
Veelgemaakte fouten bij ENSIA en ISO 27001
- ENSIA als jaarlijkse invuloefening zien. Zonder doorlopend proces zoek je elk jaar hetzelfde bewijs opnieuw.
- Leveranciersrapporten te laat opvragen. Zet de datum in het contract.
- Denken dat een ISO 27001-certificaat ENSIA vervangt. De verantwoording aan raad en rijk blijft verplicht.
- Te vroeg overstappen op de BIO2-vragen. Verantwoord je over het normenkader dat voor dat jaar is vastgesteld.
Veelgestelde vragen over ENSIA
Wat betekent ENSIA?
ENSIA staat voor Eenduidige Normatiek Single Information Audit. Het idee is dat een gemeente één keer informatie verzamelt en één keer een IT-audit laat doen, en dat al haar toezichthouders daar hun verantwoording uit halen.
Is de ENSIA-audit hetzelfde als een ISO 27001-audit?
Nee. Bij ENSIA toetst een IT-auditor de DigiD- en Suwinet-aansluitingen aan hun eigen normenkaders. Bij ISO 27001 toetst een certificerende instelling je hele managementsysteem. Het bewijs kan wel grotendeels hetzelfde zijn.
Wat is het verschil tussen 3000A en 3000D bij ENSIA?
Bij 3000A toetst de auditor een verklaring van het college. Bij 3000D toetst de auditor zelf direct aan de normen. Vanaf 2026 verantwoorden gemeenten zich voor DigiD en Suwinet volgens 3000D. Meer over deze varianten lees je op ISAE 3000 vs ISAE 3402.
Meer informatie
- BIO2 en ISO 27001: wat de overheidsbaseline toevoegt
- NIS2 en ISO 27001: de Cyberbeveiligingswet achter de BIO2
- Interne audit: de basis voor een betrouwbare zelfevaluatie
- Leveranciersbeheer: afspraken met ketenleveranciers