9 valkuilen in antwoorden op een security-vragenlijst
Veel problemen met security-vragenlijsten komen niet door een ontbrekende maatregel, maar door een antwoord dat meer zegt dan het bewijs draagt. Let op absolute woorden, een scope die niet past, verouderd bewijs, tegenstrijdige antwoorden, nieuwe beloftes, juridische claims, plannen die als feit worden gebracht, beleid zonder praktijk en gedrag dat niemand heeft getest. Loop elk belangrijk antwoord langs deze negen punten voordat je het verstuurt.
Een koper leest je antwoorden vaak naast elkaar en vraagt door waar iets niet klopt. Een “ja” dat bij de eerste doorvraag niet blijkt te kloppen, kost meer vertrouwen dan een eerlijk “deels”. Hieronder negen valkuilen, elk met een voorbeeld en een betere versie. De voorbeelden zijn verzonnen.
1. Absolute woorden
Woorden als altijd, nooit, alle, volledig of 100%. Ze klinken sterk, maar één uitzondering maakt het antwoord onwaar.
- Liever niet: “Alle data is altijd versleuteld.”
- Beter: “Klantgegevens zijn versleuteld in opslag en tijdens transport (TLS 1.2 of hoger). Zie ons beveiligingsbeleid, paragraaf 2.”
Wat je doet: Maak de bewering zo smal als je bewijs, of zorg voor bewijs dat de hele bewering dekt.
2. Een scope die niet past
De vraag gaat over het hele bedrijf, je bewijs alleen over productie. De vraag gaat over alle medewerkers, je bewijs alleen over beheerders.
- Liever niet: “Vraag: Gebruiken al uw medewerkers MFA? Antwoord: Ja.”
- Beter: “Deels. MFA is verplicht voor de cloudconsole en e-mail. Voor de supporttool volgt het uiterlijk 1 december.”
Wat je doet: Noem de scope in je antwoord. Past die niet bij de vraag, dan is “deels” het eerlijke antwoord.
3. Verouderd bewijs
Een pentestrapport van twee jaar geleden, een verlopen certificaat of een beleid dat een oude situatie beschrijft.
- Liever niet: “We laten jaarlijks een pentest uitvoeren. (Laatste rapport: maart 2025.)”
- Beter: “De laatste pentest was in maart 2025. De volgende staat gepland voor november 2026.”
Wat je doet: Werk het bewijs bij, of noem de datum eerlijk.
4. Tegenstrijdige antwoorden
Twee antwoorden in dezelfde vragenlijst zeggen iets anders. Of je antwoord wijkt af van je beleid, je website of een eerdere vragenlijst bij dezelfde klant.
- Liever niet: “Vraag 12: back-ups dagelijks. Vraag 40: back-ups wekelijks.”
- Beter: “Beide antwoorden: dagelijkse back-up van de database, wekelijkse back-up van bestanden.”
Wat je doet: Houd één plek bij met goedgekeurde antwoorden en gebruik die overal.
5. Een nieuwe belofte
Een antwoord belooft iets wat niet in je contract of in je werkwijze staat: een kortere termijn, een extra controle, een datum.
- Liever niet: “We verhelpen kritieke kwetsbaarheden binnen 24 uur. (Patchbeleid: binnen 7 dagen.)”
- Beter: “Kritieke kwetsbaarheden verhelpen we binnen 7 dagen na ontdekking, zoals in ons patchbeleid.”
Wat je doet: Beloof alleen wat je contract en je praktijk dragen. Wil je meer beloven, beslis dat dan bewust en leg het vast.
6. Een juridische of compliance-claim
Zinnen als “wij zijn AVG-compliant”, “wij voldoen aan NIS2” of “ISO 27001-compliant” zonder certificaat. Dat is een juridisch oordeel of een certificering, geen feit dat je met een document laat zien.
- Liever niet: “Wij zijn volledig AVG-compliant.”
- Beter: “We hebben een verwerkingsregister, een verwerkersovereenkomst met elke subverwerker en een procedure voor datalekken.”
Wat je doet: Beschrijf je maatregelen, met bewijs. Noem een certificaat alleen met scope en geldigheid.
7. Een plan als feit
Iets wat gepland is, staat in de tegenwoordige tijd. “We hebben SSO”, terwijl het pas volgend kwartaal live gaat.
- Liever niet: “Wij ondersteunen SSO via SAML.”
- Beter: “SSO via SAML staat gepland voor het eerste kwartaal van 2027. Nu: e-mail en wachtwoord met verplichte MFA.”
Wat je doet: Tegenwoordige tijd alleen voor wat nu bestaat. Gepland werk noem je als plan, met een datum.
8. Beleid zonder praktijk
Het beleid zegt het, maar gebeurt het ook? “Toegangsrechten worden elk kwartaal herzien” is pas sterk met een verslag van de laatste herziening.
- Liever niet: “Toegangsrechten worden elk kwartaal herzien. (Bewijs: alleen het beleid.)”
- Beter: “Toegangsrechten worden elk kwartaal herzien. De laatste herziening was op 2 september 2026.”
Wat je doet: Zoek bewijs uit de praktijk: een verslag, ticket, export of schermafbeelding. Zie de bewijsladder.
9. Gedrag dat niemand heeft getest
De claim gaat over wat een systeem doet, vaak een AI-functie. “De chatbot geeft nooit gegevens van andere klanten.” Beleid en ontwerpdocumenten tonen alleen de bedoeling.
- Liever niet: “Onze AI-assistent deelt nooit gegevens van andere klanten.”
- Beter: “Elke klant heeft een eigen omgeving en de zoekfunctie filtert op klant. Het gedrag van de assistent is nog niet apart getest.”
Wat je doet: Beschrijf de maatregel, niet het gedrag, tot het gedrag getest is.
Drie vragen voordat je verstuurt
- Als de koper om bewijs vraagt, kun je het dan binnen een werkdag laten zien?
- Zou de eigenaar van het antwoord dit met zijn naam eronder versturen?
- Staat er nergens een certificering, een juridisch oordeel of een garantie die je niet kunt onderbouwen?
Hoe Holdvero helpt
Bij Questionnaire Rescue lopen we elk antwoord langs deze negen punten voordat we het opleveren, en koppelen we het aan je eigen bewijs. Waar bewijs ontbreekt, schrijven we een open punt in plaats van een “ja”. Jij blijft eigenaar van je antwoorden en beslist wat je verstuurt. Holdvero levert geen certificering of juridisch advies.
Twijfel je over een paar vragen? Met de gratis Deal Review bekijken we er tot 10, binnen 2 werkdagen. Wil je zelf aan de slag, gebruik dan het gratis Open Evidence Pack.
Veelgestelde vragen
Is “deels” niet slecht voor de deal?
Meestal niet. Een koper verwacht niet dat alles perfect is. Hij wil weten waar hij aan toe is. Een eerlijk “deels” met een plan en een datum is sterker dan een “ja” dat later niet blijkt te kloppen.
Mag ik schrijven dat we AVG-compliant zijn?
Liever niet. Of je aan de AVG voldoet, is een juridisch oordeel. Beschrijf wat je hebt geregeld en laat het bewijs zien.
Hoe voorkom ik tegenstrijdige antwoorden?
Houd één plek bij met goedgekeurde antwoorden en het bewijs erachter, bijvoorbeeld het gratis Open Evidence Pack. Gebruik die plek voor elke nieuwe vragenlijst.
Wat doe ik met een vraag over AI-gedrag?
Beschrijf de maatregelen die je hebt, en zeg eerlijk of het gedrag getest is. Belangrijke claims kun je laten testen, voor de versie en instellingen die je gebruikt.
Wil je een tweede blik op je antwoorden?
Je hoort binnen 1 werkdag wat het kost en wanneer je hem terugkrijgt. Je betaalt pas na akkoord op de prijs.
Vraag een vaste prijs aan