hoe houd ik de gegevens in mijn dossier up to date

Actueel houden is bijhouden per brongegeven, niet per lijst

Een ketendossier blijft actueel als je het bijwerkt op het moment dat een onderliggend gegeven wijzigt, niet op het moment dat er weer een lijst binnenkomt. Dat scheelt: in plaats van tientallen vragenlijsten na te lopen, houd je een beperkt aantal brongegevens bij — identiteit, omvang, locaties, certificaten, beleid — en die voeden automatisch elk antwoord dat erop steunt. Praktisch betekent dit dat een wijziging in het aantal medewerkers of in de landen waar de onderneming vestigingen heeft maar op één plek hoeft te worden aangepast, waarna die wijziging doorwerkt in elk antwoord dat dat gegeven gebruikt.

De gegevens die het snelst verouderen zijn niet toevallig: omvang (medewerkers, omzet) wijzigt jaarlijks door de jaarrekening, certificaten hebben een geldigheidsdatum en verlopen, en beleidsdocumenten — een continuïteitsplan, een informatiebeveiligingsbeleid — worden periodiek herzien. Een vaste controle bij de jaarrekening en bij elke certificaatvernieuwing dekt het grootste deel van de mutaties. Bij CSRD-rapportage volgens de VSME-basismodule of bij de tien maatregelen van artikel 21 lid 2 van de NIS2-richtlijn is het onderliggende gegeven vaak een beleidsdocument met een versienummer en een datum; die twee zijn de eenvoudigste indicator of een antwoord nog klopt, los van de vraag of het proces zelf inhoudelijk is gewijzigd.

Handelsregisterwet en Annex A van ISO/IEC 27001 als ankers

Twee bronnen laten zien waarom actualiteit een structureel kenmerk van het dossier is, niet een eenmalige actie. De Handelsregisterwet 2007 verplicht ondernemingen om wijzigingen in de geregistreerde gegevens door te geven, en dat register is voor identiteitsgegevens — de statutaire naam en het registratienummer — de meest betrouwbare bron om periodiek tegen te controleren. Annex A van ISO/IEC 27001 werkt met beheersmaatregelen die aantoonbaar actueel gehouden moeten worden, inclusief evaluatiemomenten; een dossier dat die evaluatiedata overneemt, hoeft niet zelf te bepalen wanneer een maatregel aan herziening toe is.