ENSIA is de jaarlijkse verantwoording van gemeenten over informatieveiligheid. Je legt in één ronde verantwoording af over de BIO en over je aansluitingen op landelijke voorzieningen zoals DigiD, Suwinet en de BRP, met één IT-audit voor de onderdelen waar dat verplicht is.
Op papier is het een vragenlijst met een deadline. Leg je hem alleen bij de information security officer neer, dan krijg je een ingevulde vragenlijst terug en weet de gemeente daarna nog steeds niet waar ze staat.
Wat is ENSIA?
ENSIA staat voor Eenduidige Normatiek Single Information Audit. Gemeenten en de ministeries van BZK en SZW zetten het stelsel in 2017 op met één idee: je levert informatie één keer aan en laat één IT-audit doen, in plaats van een losse verantwoording per toezichthouder. Provincies, waterschappen en onderdelen van de Rijksoverheid gebruiken het inmiddels ook. De spelregels per jaar staan in de Notitie Verantwoordingsstelsel ENSIA 2026 van de VNG.
Voor verantwoordingsjaar 2026 vallen deze onderdelen onder ENSIA: informatiebeveiliging volgens de BIO, de aansluitingen op DigiD en Suwinet, de BRP, reisdocumenten en de geobasisregistraties BAG, BGT en BRO. Bij die laatste drie gaat het vooral om de kwaliteit en integriteit van de data. De BIO-vragenlijst is in de notitie voor 2026 nog gebaseerd op BIO versie 1.04. Daarnaast kun je vrijwillig meedoen aan de vragenlijst voor Waar Staat Je Gemeente.
Het ENSIA-jaar in vier momenten
1 juli: de zelfevaluatie gaat open
Op 1 juli 2026 ging het platform open voor de zelfevaluatie. Dit jaar is dat een nieuw verantwoordingsplatform. Wie in de zomer de vragen al verdeelt over de proceseigenaren, heeft in het najaar tijd over voor het verzamelen van bewijs.
31 december: de vragenlijsten gaan dicht
Uiterlijk 31 december moet de zelfevaluatie klaar zijn. Daarna kun je de vragenlijsten niet meer aanpassen. Het is ook de datum waarop de IT-auditor de opzet en het bestaan van de beheersmaatregelen voor DigiD en Suwinet beoordeelt. Een maatregel die op oudejaarsdag nog niet werkt, telt dus niet mee.
Januari tot april: audit en vaststelling
Voor DigiD en Suwinet is een audit verplicht, uitgevoerd door een bij NOREA geregistreerde IT-auditor. Vanaf 2026 kan dat alleen nog volgens de 3000D-methode. Voor Suwinet moet je zeven specifieke controls aantonen. Andere onderdelen mag je ook door een IT-auditor laten onderzoeken, maar dat hoeft niet.
In dezelfde periode stelt het college de verantwoording vast en behandelt het de bestuurlijke rapportages over BAG, BGT en BRO. Plan die collegevergadering op tijd. Een auditrapport dat half april binnenkomt, laat weinig ruimte.
30 april: indienen
Op 30 april 2027 moeten de verantwoordingen over DigiD, Suwinet, BAG, BGT en BRO in ENSIA staan, met het auditrapport erbij. BRP en reisdocumenten lopen via de Kwaliteitsmonitor, met dezelfde datum. Daarna volgt de verantwoording richting de raad: het college rapporteert onder geheimhouding aan de gemeenteraad, en in het jaarverslag komt in de paragraaf bedrijfsvoering een subparagraaf over informatiebeveiliging. De goedgekeurde jaarstukken gaan uiterlijk 15 juli naar de provincie.
Wat verandert er door de Cyberbeveiligingswet?
De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Gemeenten zijn daarin een essentiële entiteit, en de Rijksinspectie Digitale Infrastructuur (RDI) houdt toezicht, schrijft de VNG. Met je ENSIA-rapportage kun je laten zien in hoeverre je aan de zorgplicht voldoet. Hoe de RDI die informatie in haar toezicht gebruikt, wordt nog uitgewerkt. Elk collegelid moet binnen twee jaar na inwerkingtreding een verplichte training volgen.
Ook de BIO2 heeft nu een wettelijke basis. Voor organisaties onder de wet is een belangrijk deel ervan via de Cyberbeveiligingsregeling sector overheid verankerd als invulling van de zorgplicht, en BIO2 versie 1.3 blijft de geldende baseline.
Mijn advies: bouw je ENSIA-dossier zo op dat je het ook aan de RDI kunt laten zien. Dat betekent bewijs bij elk antwoord en een eigenaar die het kan toelichten. Een antwoord dat alleen de ISO kan uitleggen, houdt het bij een inspectie niet lang vol.
Wie heb je nodig voor ENSIA?
Mijn mening is simpel. Laat de antwoorden geven door de mensen die de processen draaien, en laat de ISO coördineren. In de praktijk ziet dat er zo uit:
- De information security officer of CISO trekt het proces, verdeelt de vragen, bewaakt de planning en toetst de antwoorden. Wat die rol verder inhoudt, lees je in wat doet een information security officer.
- Proceseigenaren beantwoorden hun eigen deel. Denk aan burgerzaken voor BRP en reisdocumenten, het sociaal domein voor Suwinet, de afdeling die diensten met DigiD aanbiedt, en de beheerders van BAG, BGT en BRO.
- Applicatiebeheer en contractmanagement zorgen dat de verantwoordingen en assurancerapporten van ketenleveranciers op tijd binnen zijn. De notitie legt die verantwoordelijkheid bij de gemeente, niet bij de leverancier.
- Een NOREA-geregistreerde IT-auditor voert de verplichte audit op DigiD en Suwinet uit. Die toetst onafhankelijk, als derde lijn. Hoe die lijnen zich tot elkaar verhouden, staat in mijn stuk over het three lines of defence-model.
- Het college stelt de verantwoording vast, en de raad houdt toezicht.
Waarom ik zo hamer op die verdeling: een ISO die alles zelf invult, beoordeelt maatregelen die hij niet zelf uitvoert. De proceseigenaar leert er niets van, en als de auditor om bewijs vraagt, moet die proceseigenaar het alsnog leveren. Dan ben je in maart dagen kwijt aan uitzoeken wat er in september is ingevuld.
Wanneer haal je tijdelijke hulp?
Extra handen heb je vooral nodig als het werk vastloopt op capaciteit of kennis. De ISO-functie staat in het najaar leeg. De zelfevaluatie ligt in november nog grotendeels open. Of je laat DigiD en Suwinet voor het eerst volgens 3000D auditen en niemand in huis kent die methode.
Reken bij een gemeente op een inhuurtraject via een aanbesteding of raamovereenkomst. Dat kost weken, dus vraag in september aan als je in oktober iemand nodig hebt. Hoe zo'n traject loopt en waar het vastloopt, lees je in cybersecurity-specialist inhuren bij de overheid.
We leveren interim ISO's, CISO's en GRC-specialisten met ervaring bij de overheid. Welke profielen dat zijn, staat op onze pagina's over GRC- en compliancespecialisten, een CISO of ISO inhuren en cybersecurity voor de overheid. Loopt je ENSIA-planning uit, of staat de ISO-rol open? Bel of mail me.
