wie kan er allemaal bij onze gegevens in het dossier

Toegang is een instellingskeuze, geen platformkeuze

Wij bepalen niet wie er bij het ketendossier kan. Dat regelt de organisatie zelf, per gebruiker en per rol. Iemand die alleen identiteitsgegevens mag invullen — zoals de statutaire naam of het registratienummer van de inschrijving — hoeft geen inzage te hebben in bijvoorbeeld de ISO 27001-status of de antwoorden richting banken. Dat scheiden is aan te raden zodra meerdere collega's meewerken aan lijsten, want niet elke afdeling heeft dezelfde gegevens nodig om haar deel te doen.

In de praktijk werkt dat met rollen: een beheerder die accounts aanmaakt en rechten toekent, en gebruikers die alleen kunnen lezen of ook kunnen bevestigen. Vertrouwelijke velden — denk aan omzetcijfers of details over de aansprakelijkheidsverzekering — kunnen apart worden afgeschermd, ook voor gebruikers die verder wel toegang hebben tot het dossier. Wie dat instelt en hoe strikt, is een keuze van de organisatie. Wij bewaren de gegevens en tonen ze aan wie daarvoor geautoriseerd is; wij nemen geen inhoudelijk besluit over wie welk veld ziet.

Waarom wij hier geen rol in hebben

Dat volgt uit hoe het platform is opgezet: wij bouwen de antwoordkant, wij loggen nooit in bij een portaal van een klant en wij lezen geen ingediende vragenlijsten. Toegangsbeheer tot het eigen dossier is dus net als het bijhouden van de sector waarin de onderneming actief is of het aantal medewerkers: gegevens en instellingen van de klant, niet iets waarover wij een oordeel geven. Dit staat los van de eisen die in vragenlijsten zelf kunnen voorkomen over toegangsbeheer als beheersmaatregel — zoals genoemd in Annex A van ISO/IEC 27001 of in de tien maatregelen van artikel 21 lid 2 van de NIS2-richtlijn. Die eisen gaan over hoe de organisatie van de klant zelf is ingericht, niet over de instellingen binnen dit platform.