Audit

Wat is een audit?

Een audit is een systematisch, onafhankelijk en gedocumenteerd onderzoek waarin een auditor objectief bewijs verzamelt en beoordeelt om vast te stellen in hoeverre processen, systemen, documenten of producten voldoen aan vooraf vastgestelde criteria, zoals normen, wetgeving of interne richtlijnen. Deze omschrijving volgt de definitie uit ISO 19011, de internationale richtlijn voor het auditen van managementsystemen. Audits worden uitgevoerd in IT- en OT-omgevingen, maar ook voor kwaliteit, veiligheid en compliance, om risico’s te beheersen, betrouwbaarheid aan te tonen en aan regelgeving te voldoen.

🧾 Welke soorten audits bestaan er?

ISO 19011 onderscheidt drie partijen die een audit kunnen uitvoeren. Daarnaast verschillen audits in onderwerp en methode.

🔄 Wat is het verschil tussen een procesaudit en een technische audit?

Een procesaudit beoordeelt of beleid, procedures en registraties bestaan en worden gevolgd. De auditor neemt steekproeven: hij vraagt bijvoorbeeld tien recente wijzigingen op en controleert of elk ervan via Change Management is goedgekeurd. Een technische audit richt zich op cybersecurity en kijkt naar de daadwerkelijke configuratie van systemen: firewallregels, accounts, patchniveaus en netwerkverbindingen.

Een pentest en een kwetsbaarheidsscan zijn strikt genomen geen audits, maar technische tests. Ze leveren wel vaak het bewijs waarop een audit steunt. Een audit vraagt dus niet alleen “is er een pentest gedaan?”, maar ook “zijn de bevindingen opgevolgd en is dat vastgelegd?“.

🧠 Wat wordt er tijdens een IT/OT-audit gecontroleerd?

• Beleid en procedures - bijvoorbeeld Change Management, Incident Management en patchmanagement
• Logboeken en audit trails - of logging aanstaat, centraal wordt bewaard (bijvoorbeeld in een SIEM) en daadwerkelijk wordt beoordeeld
• Documentatie en versiebeheer - actuele tekeningen, netwerkschema’s en versiebeheer van PLC-programma’s
• Toegang en rechtenbeheer - IAM, RBAC, gedeelde accounts en toegang op afstand door leveranciers
• Assets en configuratie - een volledige assetinventaris en CMDB
• Back-ups en disaster recovery - of herstel ook echt getest is
• Fysieke en digitale beveiliging - afgesloten kasten, controlekamers en netwerksegmentatie
• Kalibraties, validaties en GxP-naleving - in gereguleerde sectoren zoals farma en voedingsmiddelen

🔧 Hoe verloopt een audit stap voor stap?

ISO 19011 beschrijft een vaste volgorde van auditactiviteiten, die ook in ISMS-, kwaliteits- en OT-audits wordt gebruikt:

Bevindingen krijgen meestal een van deze classificaties:

• Major non-conformiteit - een eis wordt niet of structureel niet nageleefd; bij certificering blokkeert dit het certificaat totdat de certificerende instelling de correctie en de corrigerende maatregelen heeft geaccepteerd
• Minor non-conformiteit - een incidentele afwijking die het systeem als geheel niet ondermijnt
• Observatie - een risico dat nog geen afwijking is, maar dat kan worden
• Verbetermogelijkheid - een suggestie zonder verplichting

De opvolging valt onder de PDCA-cyclus: in ISO 27001 borgt clausule 10.2 dat afwijkingen worden gecorrigeerd en dat de oorzaak wordt aangepakt.

📜 Welke normen en wetten gaan over audits?

De zeven principes van ISO 19011 zijn integriteit, eerlijke presentatie, professionele zorgvuldigheid, vertrouwelijkheid, onafhankelijkheid, een op bewijs gebaseerde aanpak en een risicogebaseerde aanpak. Dat laatste principe kwam erbij in de editie van 2018. De vierde editie, ISO 19011:2026, verscheen in mei 2026 en vervangt die van 2018. De principes bleven gelijk, maar audits op afstand en hybride audits zijn nu een volwaardige werkwijze naast het bezoek op locatie, en van auditors wordt ook ICT-kennis verwacht.

Een ISO 27001-certificaat is drie jaar geldig. Het traject begint met een stage 1-audit (documentatie en gereedheid) en een stage 2-audit (werking in de praktijk), gevolgd door jaarlijkse surveillance-audits en een hercertificering in het derde jaar. Certificaten op basis van de oude versie uit 2013 zijn sinds 31 oktober 2025 niet meer geldig. In Nederland worden certificerende instellingen geaccrediteerd door de Raad voor Accreditatie.

🏭 Waarin verschilt een OT-audit van een IT-audit?

In een productieomgeving staan veiligheid en beschikbaarheid voorop. Dat bepaalt hoe een auditor te werk gaat:

• Geen actieve scans zonder toestemming - oudere PLC’s en RTU’s kunnen vastlopen op een netwerkscan; NIST SP 800-82 waarschuwt daar uitdrukkelijk voor. Actieve tests gebeuren alleen na schriftelijke goedkeuring van de procesverantwoordelijke, in een onderhoudsstop of op een testomgeving.
• Passief meten - de auditor gebruikt bij voorkeur passieve monitoring via een SPAN-poort of netwerktap, of exports uit bestaande tools, om assets en verbindingen in kaart te brengen.
• Rondgang op locatie - veel bevindingen zie je alleen ter plekke: een open schakelkast, een onbeheerde engineeringlaptop of een 4G-modem van een leverancier.
• Werkvergunning en veiligheidsinstructie - ook een auditor volgt de site-regels, met persoonlijke beschermingsmiddelen en begeleiding.
• Leveranciers in scope - veel OT-beheer is uitbesteed; IEC 62443-2-4 geeft eisen waarop u een systeemintegrator kunt auditen.
• Volwassenheid in plaats van ja/nee - OT-assessments meten vaak per zone het bereikte Security Level of een volwassenheidsniveau, omdat volledige naleving in een bestaande installatie zelden in één stap haalbaar is.

🇪🇺 Wat betekenen NIS2 en de Cyberbeveiligingswet voor audits?

De Cyberbeveiligingswet, de Nederlandse omzetting van NIS2, is op 15 augustus 2026 in werking getreden en geldt voor ruim 8.000 organisaties. Het toezicht is per sector belegd; zo houdt de Inspectie Gezondheidszorg en Jeugd toezicht op de zorg.

Voor essentiële entiteiten is het toezicht proactief: de toezichthouder mag inspecties uitvoeren en regelmatige of gerichte beveiligingsaudits opleggen, uitgevoerd door de toezichthouder zelf of door een onafhankelijke partij. Gerichte audits zijn gebaseerd op een risicobeoordeling en worden door de geauditeerde organisatie betaald. Belangrijke entiteiten worden vooral achteraf gecontroleerd, bijvoorbeeld na een incident. Boetes kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten.

Een bestaand ISO 27001-certificaat of een IEC 62443-assessment is geen wettelijke vrijstelling, maar levert wel veel bewijs dat een toezichthouder vraagt.

✅ Wat levert een audit op?

Een goed uitgevoerde audit is meer dan een verplichting. Hij levert:

• Inzicht in risico’s, tekortkomingen en verbeterpunten - onderbouwd met bewijs in plaats van aannames
• Borging van kwaliteit, veiligheid en compliance - afwijkingen worden structureel opgevolgd
• Vertrouwen bij klanten, toezichthouders en certificerende instellingen - een certificaat of assurancerapport maakt uw beheersing aantoonbaar
• Minder kans op boetes, terugroepacties of datalekken - omdat zwakke plekken eerder aan het licht komen

📋 Hoe bereidt u zich voor op een audit?

1. Ken de criteria - lees de norm of de wettelijke eisen waartegen wordt getoetst, en bepaal de scope.
2. Houd documentatie actueel - beleid, procedures, netwerkschema’s en risicoanalyses moeten de werkelijkheid beschrijven.
3. Controleer of processen gevolgd worden - houd wijzigingen en meldingen bij in een CMDB en versiebeheer.
4. Verzamel bewijs vooraf - logbestanden, toegangsoverzichten, testverslagen van back-ups en pentestrapporten.
5. Oefen met een interne audit of pre-assessment - zo vindt u de grootste gaten voordat een externe partij dat doet.
6. Betrek alle disciplines - IT, OT, QA, productie, security en de leveranciers die systemen beheren.

❓ Veelgestelde vragen

Hoe vaak moet een organisatie een audit uitvoeren?

Voor ISO 27001 voert een organisatie interne audits uit volgens een eigen, gepland auditprogramma; de norm schrijft geen vaste frequentie voor, maar de meeste organisaties auditen jaarlijks en dekken de hele scope binnen de certificeringscyclus van drie jaar. Daarnaast volgt jaarlijks een surveillance-audit door de certificerende instelling en elke drie jaar een hercertificering. Onder NIS2 kan de toezichthouder bovendien extra audits opleggen aan essentiële entiteiten.

Wat is een audit trail?

Een audit trail is een beveiligd, automatisch gegenereerd logboek dat vastlegt wie wanneer welke gegevens heeft aangemaakt, gewijzigd of verwijderd. In de farmaceutische industrie eist 21 CFR Part 11 dat zo’n audit trail van tijdstempels is voorzien en eerdere waarden niet overschrijft. Een auditor gebruikt audit trails als objectief bewijs dat procedures daadwerkelijk zijn gevolgd.

Mag een auditor een OT-netwerk actief scannen?

Een auditor mag een OT-netwerk alleen actief scannen na uitdrukkelijke toestemming van de eigenaar van de installatie, omdat scans oudere besturingen kunnen verstoren. Meestal gebeurt dat in een onderhoudsstop of op een testsysteem. Voor de rest van de audit volstaan passieve monitoring, configuratie-exports en een rondgang op locatie.

Wat is het verschil tussen een audit en een assessment?

Een audit toetst aan vaste criteria en levert een oordeel over conformiteit op, vaak met formele non-conformiteiten. Een assessment is breder en adviserender: het meet bijvoorbeeld de volwassenheid of het bereikte Security Level volgens IEC 62443 en geeft verbeterpunten. Veel OT-trajecten beginnen met een assessment en eindigen met een audit.

Wat is het verschil tussen ISAE 3402 en SOC 2?

ISAE 3402 is een internationale assurancestandaard die vooral gaat over beheersmaatregelen die relevant zijn voor de financiële verslaggeving van klanten. SOC 2 is een Amerikaans raamwerk van de AICPA dat beheersmaatregelen beoordeelt op beveiliging, beschikbaarheid, integriteit van verwerking, vertrouwelijkheid en privacy. Beide bestaan in een Type I-variant (opzet op één moment) en een Type II-variant (werking over een periode, meestal 6 tot 12 maanden).

Wat gebeurt er na een major non-conformiteit?

Na een major non-conformiteit moet de organisatie de oorzaak analyseren en corrigerende maatregelen nemen binnen een afgesproken termijn. De auditor verifieert daarna of de maatregelen effectief zijn, soms met een extra bezoek. Bij een certificeringsaudit wordt het certificaat pas verleend of verlengd als de major is afgesloten.

📌 Samengevat

Een audit toetst met objectief bewijs of processen en systemen aan vooraf vastgestelde criteria voldoen. Dat kan intern, bij een leverancier of door een onafhankelijke certificerende instelling of toezichthouder. In OT-omgevingen vraagt een audit om extra voorzichtigheid, met passieve methoden en toestemming voor elke actieve test. Met de Cyberbeveiligingswet worden beveiligingsaudits voor veel organisaties ook een wettelijk instrument.

Een audit is een systematische, onafhankelijke toets aan vaste criteria die u inzicht geeft in risico’s en afwijkingen, en die met NIS2 en ISO 27001 een vast onderdeel van IT/OT-beveiliging is geworden.