Oktober was cybersecuritymaand. Maar bij TenderNed is het iedere maand cybersecuritymaand: digitale dreigingen veranderen voortdurend en TenderNed moet daarop inspelen. Een belangrijk aspect van informatiebeveiliging is het kunnen aantonen dat informatie goed beschermd is. Daarom zet TenderNed een volgende stap: bij wijze van pilot gaat TenderNed DueCare Management Data Hub (MDH) implementeren. In dit platform komen informatiebeveiliging, risicomanagement, compliance en privacy samen in één digitale omgeving, als centrale basis voor sturing en verantwoording.
Van losse documenten naar één omgeving
TenderNed is ISO 27001-gecertificeerd. Deze internationale norm voor informatiebeveiliging vraagt dat TenderNed risico's beoordeelt, beveiligingsmaatregelen uitvoert en aantoont dat die maatregelen werken. Ook moet TenderNed zorgvuldig omgaan met persoonsgegevens en voldoen aan privacywetgeving, zoals de Algemene verordening gegevensbescherming (AVG).
Daar komt veel administratie bij kijken. Tot nu toe gebruikt TenderNed daarvoor, naast Excel en Word, een workflowsysteem dat hier niet voor gebouwd is. De huidige werkwijze voldoet, maar de informatie staat op verschillende plekken, gegevens worden soms meerdere keren bijgehouden en een actueel totaaloverzicht samenstellen kost tijd.
Daarom gaat TenderNed DueCare MDH implementeren, bij wijze van pilot, binnen het informatiebeveiligingshuishouden van TenderNed. DueCare is een Nederlandse softwareonderneming, in 2024 opgericht vanuit ruim zestien jaar praktijkervaring in informatiebeveiliging, risicomanagement en IT-architectuur. De ontwikkeling van het eigen platform, DueCare MDH, begon eind 2019. Het platform is ontwikkeld vanuit de behoefte om organisaties meer grip te geven op de samenhang tussen compliance, risico's, privacy en informatiebeveiliging.
Verbanden leggen en informatie hergebruiken
Het grootste verschil met de huidige werkwijze: DueCare legt niet alleen informatie vast, maar ook de verbanden ertussen. Eén beveiligingsmaatregel kan bijvoorbeeld bijdragen aan meerdere eisen uit ISO 27001, verschillende risico's beperken en belangrijk zijn voor de bescherming van persoonsgegevens. Die verbanden worden zichtbaar, zodat TenderNed beter kan beoordelen wat een verandering betekent voor andere onderdelen.
Informatie hoeft bovendien maar één keer te worden vastgelegd. Dezelfde maatregel kan dan terugkomen in een risicoanalyse, een privacybeoordeling en de onderbouwing van de ISO 27001-certificering. Dat voorkomt dubbel werk en verkleint de kans op tegenstrijdige of verouderde informatie.
Meer grip op risico's en privacy
Risico's, de bijbehorende maatregelen en verbeteracties worden in samenhang vastgelegd. Dat geeft een duidelijker beeld van de risico's die aandacht vragen. Dashboards laten de actuele stand van zaken zien en de voortgang van verbetermaatregelen. Zo kunnen zowel specialisten als het management beter onderbouwde keuzes maken.
Ook privacy krijgt een centrale plek. DueCare bevat onder meer een verwerkingsregister. Daarin legt TenderNed vast welke persoonsgegevens worden verwerkt, waarom dat gebeurt en welke maatregelen deze gegevens beschermen. Risico's en maatregelen die al zijn vastgelegd, kunnen daarbij opnieuw worden gebruikt.
Het hele jaar inzicht, niet alleen tijdens audits
Elk jaar beoordeelt een externe auditor of TenderNed nog voldoet aan de eisen van ISO 27001. Daarvoor moet TenderNed laten zien welke maatregelen zijn getroffen en hoe wordt gecontroleerd of ze goed werken. Met DueCare moet die onderbouwing makkelijker terug te vinden zijn. Voor een audit hoeft TenderNed dan niet telkens opnieuw dezelfde gegevens te verzamelen.
Het gaat niet alleen om de jaarlijkse audit. TenderNed wil het hele jaar weten hoe het ervoor staat: welke maatregelen werken goed, waar zijn verbeteringen nodig en welke risico's vragen extra aandacht? In de toekomst kan technisch bewijsmateriaal bovendien automatisch vanuit systemen worden aangeleverd. Dat vermindert handmatige administratie en laat meer tijd over voor het beoordelen van risico's.
Informatiebeveiliging blijft mensenwerk
Een digitaal platform maakt informatiebeveiliging niet vanzelf beter. Daar blijven deskundige en betrokken medewerkers voor nodig. DueCare ondersteunt hen: door informatie centraal vast te leggen, te hergebruiken en verbanden zichtbaar te maken, ontstaat meer ruimte om risico's daadwerkelijk aan te pakken.
Want veilig aanbesteden vraagt niet alleen om goede technische beveiliging. Het vraagt ook om inzicht in de risico's, processen en maatregelen die daarachter zitten. En daar werkt TenderNed iedere dag aan.
