Stap 1: vertaal de klantvraag naar een dienst
Schrijf op welk product of welke dienst de klant bedoelt. Gaat het om één platform, meerdere applicaties of ook implementatie en ondersteuning? Noteer welke rechtspersoon de dienst levert en welke toezeggingen in contracten staan. Controleer of de gevraagde zekerheid ook het verwerken van klantgegevens omvat.
Laat verkoop, productverantwoordelijke en security samen naar deze formulering kijken. Zo voorkomt u dat de commerciële omschrijving ruimer is dan het proces dat u daadwerkelijk voorbereidt op certificering.
Stap 2: volg de dienst van ontwikkeling tot support
Breng de stappen in kaart die de dienstverlening mogelijk maken. Denk aan broncodebeheer, ontwikkelomgevingen, releases, productiebeheer, incidenten en klantondersteuning. Welke medewerkers kunnen wijzigingen doorvoeren? Welke beheerders kunnen gegevens inzien? Waar worden sleutels en geheimen beheerd?
Een team hoeft niet dagelijks productiegegevens te gebruiken om toch relevant te zijn. Wie software naar productie kan brengen, kan de dienst beïnvloeden. Kijk daarom naar bevoegdheden en afhankelijkheden, niet alleen naar de plek waar de data wordt opgeslagen.
Stap 3: maak uitbesteding zichtbaar
Bij een cloudplatform doet een leverancier een deel van het werk. Uw organisatie blijft vaak verantwoordelijk voor configuraties, gebruikers, applicaties en afspraken met klanten. Maak daarom een verdeling: wat doet de leverancier, wat doet u en wat wordt van de klant verwacht?
Een certificaat of rapport van een leverancier kan nuttig bewijs zijn. Controleer of de relevante dienst en locatie binnen zijn scope vallen en of uitzonderingen belangrijk zijn. Uitbesteding maakt een afhankelijkheid beheersbaar wanneer afspraken en toezicht kloppen; zij verwijdert de afhankelijkheid niet.
Een illustratieve scope en de vragen erachter
Een mogelijke werkformulering is: het ontwikkelen, beheren en ondersteunen van het klantenportaal, inclusief de daarbij betrokken medewerkers en beheerprocessen. Dit is een illustratie, geen kant-en-klare scope voor iedere SaaS-organisatie.
Toets de formulering met concrete vragen. Valt het mobiele onderdeel eronder? Hoe zit het met een nieuwe acquisitie? Is support door een externe partij meegenomen? Waar eindigt uw verantwoordelijkheid? Leg de antwoorden vast en bespreek de uiteindelijke formulering met de certificerende instelling.
Stap 4: behandel de scope als een onderhoudbaar besluit
Een nieuwe module, andere hostingpartij of overname kan de scope beïnvloeden. Leg vast wie zulke wijzigingen signaleert en beoordeelt. Een scopebesluit hoort daarom bij product- en organisatiewijzigingen, niet alleen bij de voorbereidingen van de jaarlijkse audit.
Datajuristen helpt de grenzen en verantwoordelijkheden uitwerken. Het resultaat is een beschrijving die uw team kan toelichten en die past bij de klantvraag. Daarna volgt pas een gerichte risicoanalyse en implementatieplanning.
Nog een vraag?
Veelgestelde vragen
Kunnen we alleen de cloudomgeving laten certificeren?
Dat vraagt een zorgvuldige scopebeoordeling. Als ontwikkeling, support of eigen beheer invloed hebben op de bedoelde dienstverlening, moet duidelijk zijn hoe die afhankelijkheden worden beheerst.
Is een smalle scope altijd goedkoper?
Een kleinere scope kan minder werk vragen, maar moet wel betekenisvol zijn. Een certificaat dat niet de dienst dekt waar de klant om vraagt, lost de commerciële vraag niet op.
Bronnen en actualiteit
Deze uitleg gebruikt onderstaande bronnen, geraadpleegd op 12 oktober 2026. De precieze eisen en aanpak hangen af van uw scope, activiteiten en de actuele afspraken met de onafhankelijke toetsende partij.
Van uitleg naar uw praktijk
Wat betekent dit voor uw organisatie?
Vertel waar u staat en welke vraag u wilt oplossen. We bespreken een concrete eerste stap.