Amsterdam – Een onafhankelijke auditor heeft de ISAE 3000 Type 2-audit van Visma afgerond en de beveiliging als effectief beoordeeld. Het is de eerste keer dat het beveiligingsprogramma van het softwarebedrijf zo is getoetst. Visma maakte de uitkomst op 20 oktober 2026 bekend.
Wat de audit onderzocht
Aan de audit namen zes Nederlandse Visma-bedrijven deel: Genetics, Datapas, Xedule, Your Next Concepts, Roxit en ZorgDomein. De toetsing ging over alle producten van deze bedrijven met een Gold- of Platinum-status binnen het Visma Application Security Program. Bij dit type audit kijkt de auditor niet alleen of de maatregelen goed zijn opgezet. Hij controleert ook of de bedrijven ze gedurende een bepaalde periode consistent uitvoeren. De auditor stelde geen tekortkomingen vast in de onderzochte maatregelen.
Onafhankelijk bewijs voor klanten
Volgens Cindy Wubben, CISO bij Visma in Nederland, willen klanten weten of beveiligingsmaatregelen in de praktijk werken. De audit levert daar volgens haar het bewijs voor. Zij zegt dat de maatregelen niet alleen goed zijn ontworpen, maar ook structureel worden uitgevoerd. Het programma draait volgens Wubben om concrete eisen en continu inzicht in risico’s.
De zes bedrijven kunnen het assurance-rapport gebruiken bij vragen van klanten, aanbestedingen en offerteaanvragen. Ook bij due-diligenceonderzoeken door inkooporganisaties kunnen zij het rapport inzetten. Teun Slijkerman, CTO van Datapas, noemt het certificaat het bewijs dat security bij zijn bedrijf een vast onderdeel van het ontwikkelproces is. Hij zegt: “Het ISAE-certificaat is daarvan het bewijs: onafhankelijk getoetst, niet onze eigen belofte.” Voor klanten in het onderwijs betekent dat volgens hem de zekerheid dat hun data veilig is, en dat Datapas dat kan aantonen.
Verloop van de pilot en vervolg
De deelnemende bedrijven gebruikten tijdens de pilot een gezamenlijke set beheersmaatregelen. Grotendeels beschikten zij al over het bewijs dat ze die maatregelen in de praktijk uitvoeren. Daardoor bleef de inspanning om aanvullende informatie te verzamelen beperkt, en verliep de audit efficiënt. Visma onderzoekt nu hoe bedrijven met Gold- of Platinum-producten in de toekomst op een gestructureerde manier kunnen deelnemen.
Zo werkt het beveiligingsprogramma
Het Visma Application Security Program werkt met een volwassenheidsmodel met verschillende beveiligingsniveaus. Daaraan zijn concrete eisen en meetbare doelstellingen gekoppeld. Het gaat onder meer om veilige softwareontwikkeling, het opsporen en verhelpen van kwetsbaarheden, monitoring en beveiligingstesten.
De individuele Visma-bedrijven blijven zelf verantwoordelijk voor de beveiliging van hun producten. Vanuit de groep krijgen zij toegang tot gezamenlijke expertise, beveiligingstools en centrale voorzieningen. Daaronder vallen een wereldwijd opererend Security Operations Center, ondersteuning bij vulnerability management en informatie over cyberdreigingen. Centrale dashboards laten kwetsbaarheden, openstaande risico’s en de voortgang bij het oplossen ervan zien, tot en met het hoger management.
Kernfeiten
- Visma maakte op 20 oktober 2026 bekend dat zijn beveiligingsprogramma voor het eerst onafhankelijk is getoetst volgens ISAE 3000 Type 2 en als effectief is beoordeeld.
- Zes Nederlandse Visma-bedrijven namen deel aan de audit: Genetics, Datapas, Xedule, Your Next Concepts, Roxit en ZorgDomein.
- De audit betrof alle producten van deze zes bedrijven met een Gold- of Platinum-status binnen het Visma Application Security Program.
- De auditor stelde geen tekortkomingen vast in de onderzochte maatregelen.
Veelgestelde vragen
Welke Visma-bedrijven deden mee aan de ISAE 3000 Type 2-audit?
Zes Nederlandse Visma-bedrijven deden mee aan de ISAE 3000 Type 2-audit: Genetics, Datapas, Xedule, Your Next Concepts, Roxit en ZorgDomein. De toetsing ging over alle producten van deze bedrijven met een Gold- of Platinum-status binnen het Visma Application Security Program.
Wat beoordeelt een auditor bij een ISAE 3000 Type 2-audit?
Bij een ISAE 3000 Type 2-audit kijkt de auditor niet alleen of de beheersmaatregelen goed zijn opgezet. Hij controleert ook of de bedrijven die maatregelen gedurende een bepaalde periode consistent uitvoeren.
Waarvoor kunnen de zes Visma-bedrijven het assurance-rapport gebruiken?
De zes deelnemende Visma-bedrijven kunnen het assurance-rapport gebruiken bij vragen van klanten, aanbestedingen en offerteaanvragen. Ook bij due-diligenceonderzoeken door inkooporganisaties kunnen zij het rapport inzetten.