De bewijsladder: hoe sterk is het bewijs achter je antwoord?
Niet elk bewijs is even sterk. Een eigen verklaring (“ja, dat doen we”) is het zwakst. Daarboven komen documenten zoals beleid en procedures, dan bewijs uit de praktijk zoals registraties en schermafbeeldingen, en dan onafhankelijk bewijs zoals een auditrapport of certificaat. Gaat een claim over wat een systeem doet, bijvoorbeeld een AI-assistent, dan geeft een herhaalde test direct bewijs van hoe het zich gedroeg in de geteste situaties. De ladder is een praktische leidraad: welk bewijs past, hangt af van de claim.
Een koper die je een security-vragenlijst stuurt, leest niet alleen wat je antwoordt, maar ook waar het op rust. Met de bewijsladder zie je per antwoord hoe sterk het staat, en wat je kunt doen om een trede hoger te komen.
De vijf treden
De bewijsladder is een praktische leidraad, geen assurance-standaard. Een hogere trede is niet automatisch beter: welk bewijs past, hangt af van wat je beweert. Trede 5 gaat bijvoorbeeld over een andere vraag dan trede 4.
| Trede | Wat het is | Voorbeelden | Wat de koper eraan heeft |
|---|---|---|---|
| 1. Eigen verklaring | Je zegt het, zonder iets te laten zien | “Ja, wij versleutelen alle data.” | Weinig. Vraagt de koper door, dan is er niets om te laten zien. |
| 2. Documentair | Een document beschrijft hoe het hoort | Beleid, procedure, contract, architectuurbeschrijving | Laat zien dat er over is nagedacht. Zegt niet of het ook gebeurt. |
| 3. Operationeel | Bewijs dat het in de praktijk gebeurt | Verslag van een toegangsherziening, systeemexport, schermafbeelding van een instelling, verslag van een hersteltest | Laat zien dat de maatregel op een bepaald moment was ingericht of uitgevoerd. |
| 4. Onafhankelijk | Een derde partij heeft ernaar gekeken | Auditrapport, certificaat met scope, pentestrapport van een extern bureau | Het sterkst voor maatregelen, binnen de scope en de periode van het rapport. |
| 5. Gedragstest | Een herhaalde test van wat een systeem werkelijk doet | Vaste scenario’s voor een AI-assistent, elk meerdere keren uitgevoerd en vastgelegd | Direct bewijs van hoe het systeem zich gedroeg in de geteste scenario’s. Geldt alleen voor de geteste versie, instellingen, scenario’s en periode. |
De vijfde trede is niet “beter” dan een audit. Hij beantwoordt een andere vraag: niet hoe je iets geregeld hebt, maar wat het systeem doet. Bij AI-functies stellen kopers die vraag steeds vaker.
Zo gebruik je de ladder
- Bepaal per antwoord de hoogste trede die je echt hebt. Niet wat je zou kunnen laten zien, maar wat je vandaag kunt laten zien.
- Vergelijk met het belang van de vraag. Voor een vraag met weinig risico is trede 1 normaal. Voor MFA, back-ups of toegang tot klantgegevens verwacht een koper trede 2 of 3.
- Klim één trede waar het telt. De stap van 2 naar 3 is vaak klein: een schermafbeelding van de instelling of het verslag van de laatste herziening.
- Wees eerlijk over de scope. Een certificaat dekt alleen wat in de scope staat. Het auditrapport van je cloudleverancier dekt hun deel, niet jouw applicatie.
- Zet de datum erbij. Bewijs veroudert. Een pentest van twee jaar oud blijft trede 4, maar de koper zal om een nieuwere vragen.
Voorbeeld: één vraag, vier treden
De vraag: “Is meervoudige authenticatie (MFA) verplicht voor beheerders?”
| Trede | Antwoord |
|---|---|
| 1 | “Ja.” |
| 2 | “Ja. Zie ons toegangsbeleid, paragraaf 3.” |
| 3 | “Ja. Zie het toegangsbeleid, paragraaf 3, en de schermafbeelding van de MFA-instelling in onze identity provider van 28 september.” |
| 4 | “Ja. Toegangsbeheer valt binnen de scope van ons ISO/IEC 27001-certificaat. Het certificaat en de verklaring van toepasselijkheid sturen we op verzoek mee.” |
Een gedragstest is hier niet nodig: de instelling zelf is het bewijs. Dat is het verschil met de claims hieronder.
Wanneer een gedragstest nodig is
Gaat een claim over wat een systeem doet in situaties die je niet allemaal kunt voorspellen, dan tonen beleid en ontwerpdocumenten alleen de bedoeling. Bewijs over gedrag komt dan uit logboeken en monitoring van echt gebruik (trede 3), of uit een gerichte test. Dat geldt vooral voor AI-functies. Voorbeelden:
- “Onze AI-assistent toont nooit gegevens van andere klanten.”
- “Een creditnota boven €500 wordt alleen na goedkeuring van een medewerker uitgegeven.”
- “Vraagt een gebruiker om een mens, dan verbindt de assistent door.”
- “De assistent antwoordt alleen op basis van onze goedgekeurde kennisbank.”
- “Volledige rekeningnummers worden nooit getoond.”
AI geeft niet elke keer hetzelfde antwoord. Eén geslaagde poging bewijst daarom weinig. Een gedragstest voert elk scenario meerdere keren uit en legt elke run vast. Hij laat zien wat er in die scenario’s gebeurde; hij bewijst niet dat iets nooit gebeurt. Lees ook AI due diligence van je klant beantwoorden.
De ladder in het Open Evidence Pack
In het gratis Open Evidence Pack leg je elk bewijsstuk vast in het Bewijsregister, met een soort bewijs. Zo vertaal je dat naar de ladder:
| Soort bewijs in het Evidence Pack | Meestal trede |
|---|---|
| beleid, procedure, documentatie, contract | 2 · documentair |
| registratie, configuratie, systeemexport, schermafdruk | 3 · operationeel |
| auditrapport, certificaat | 4 · onafhankelijk |
| testresultaat | 3 bij een eigen test, 4 als een derde partij testte, 5 bij een herhaalde gedragstest |
Een antwoord zonder bewijscode staat op trede 1. In het werkboek zie je dat meteen.
Hoe Holdvero helpt
Bij Questionnaire Rescue koppelen we elk antwoord aan je eigen bewijs, met de bron erbij. Waar bewijs ontbreekt, schrijven we een open punt in plaats van een “ja”. Bij AI Deal Assurance testen we claims over het gedrag van je AI-functie, voor de versie en instellingen die je ons laat testen. Holdvero levert geen certificering, geen audit en geen juridisch advies.
Twijfel je over een paar vragen? Met de gratis Deal Review bekijken we er tot 10, binnen 2 werkdagen.
Veelgestelde vragen
Is een eigen verklaring altijd slecht?
Nee. Voor vragen met weinig risico is het normaal. Het probleem is een eigen verklaring bij een belangrijke vraag, of een “ja” dat je niet kunt onderbouwen als de koper doorvraagt.
Is een certificaat genoeg?
Binnen zijn scope en geldigheid is het sterk bewijs. Kijk altijd of de vraag binnen die scope valt. Een certificaat voor je hosting zegt niets over je eigen applicatie.
Moet ik vertrouwelijke documenten meesturen?
Nee. Je kunt naar een document verwijzen en het onder NDA of in een gesprek laten zien. In het Open Evidence Pack leg je per stuk vast of het openbaar, op aanvraag of alleen onder NDA te delen is.
Hoe lang geldt een gedragstest?
Alleen voor de geteste versie en instellingen. Verandert het model, de instructies of de koppelingen, dan test je de belangrijkste scenario’s opnieuw.
Wil je weten hoe sterk je antwoorden staan?
Je hoort binnen 1 werkdag wat het kost en wanneer je hem terugkrijgt. Je betaalt pas na akkoord op de prijs.
Vraag een vaste prijs aan