Een securityvragenlijst ontvangen? Wat u in de eerste 24 uur doet
Eerst dit: dit is goed nieuws. Securityvragenlijsten komen wanneer een deal procurement of security review bereikt — de koper evalueert u serieus. De vragenlijst is niet de bedreiging. De bedreigingen zijn (a) te laat antwoorden terwijl de deal momentum verliest, en (b) antwoorden met beweringen die later in due diligence instorten. De eerste 24 uur zijn voor beide beslissend.
Uur 1: identificeer wat u werkelijk hebt ontvangen
Open hem en classificeer voordat iemand begint te typen. Het formaat vertelt u de inspanning en het playbook:
- SIG Lite / SIG Core (Shared Assessments): gestandaardiseerd; SIG Lite is de korte variant, SIG Core is aanzienlijk langer. Gebruikelijk bij kopers in financiële dienstverlening, gezondheidszorg en verzekeringen. Sinds de versie van 2026 is er een specifiek AI-domein — zie onze gids over het AI-domein van SIG 2026.
- CAIQ / AI-CAIQ (Cloud Security Alliance): cloudcontroles; de AI-CAIQ (oktober 2025) is in opkomst als gangbaar instrument voor AI due diligence — zie de AI-CAIQ-gids.
- Maatwerk-spreadsheet of portal (Excel, OneTrust, Whistic, KY3P…): alles van 20 tot honderden vragen. Controleer of de vragen daadwerkelijk als vragen zijn geformuleerd — export-eigenaardigheden tellen mee wanneer u de inspanning inschat.
- AI-sectie binnen elk van de bovenstaande: steeds vaker standaard. Als uw product AI-functies bevat, is dit waar nauwkeurigheid nu het meest telt — artikel 50 van de AI-verordening (Verordening (EU) 2024/1689, de "EU AI Act") is van toepassing vanaf 2 augustus 2026.
Tel de vragen, noteer de gestelde deadline en noteer wie hem stuurde (procurement, het securityteam, of uw champion die hem doorstuurt — uw champion is uw bondgenoot voor context en uitstel).
Uur 2: bescherm de tijdlijn
- Bevestig ontvangst dezelfde dag. Eén regel aan de afzender: u hebt hem, u bent ermee bezig, en wanneer ze antwoorden krijgen. Stilte is hoe deals vastlopen.
- Committeer u aan een datum die u echt kunt halen. Bepaal eerst het leveringspad (volgende sectie), beloof daarna de datum.
- Als de deadline onmogelijk is, vraag vroeg om uitstel, niet op de vervaldag. Een kort, specifiek verzoek geframed rond nauwkeurigheid is een normaal onderdeel van vendor reviews. Op dag één vragen komt georganiseerd over; op de deadline vragen komt over als verdrinken.
Uur 3: bepaal wie hem beantwoordt
Drie werkbare paden — de eerlijke beslissingscriteria staan in onze volledige vergelijking met echte prijzen van 2026:
- In-house: juist wanneer iemand in het team de gevraagde frameworks kent en de deal op interne tijd kan wachten. Methode: hoe u de AI-sectie beantwoordt.
- Een dienst per vragenlijst: juist wanneer de vragenlijst de uitzondering is en de deal nu geblokkeerd is. Dat is wat wij doen: $490 vast tot 60 vragen, concepten binnen 48 uur, elke juridische bewering voorzien van een verwijzing naar haar artikel, betaald na levering — beoordeel eerst het publieke voorbeeld.
- Een GRC-platform: juist wanneer dit uw vijfde vragenlijst van dit jaar is en compliance een programma wordt in plaats van een incident — zie platform vs. dienst vs. zelf doen.
Welk pad u ook kiest: één persoon bewaakt de consistentie. Tegenstrijdigheden tussen secties (encryptie "ja" in het ene tabblad, "gedeeltelijk" in het andere) zijn een klassieke red flag in due diligence.
De twee fouten die deals echt om zeep helpen
- Het hoopvolle "ja". "Ja" antwoorden op een controle die u maar gedeeltelijk hebt, voelt onschuldig en is de duurste fout in het document. Beschrijf wat er vandaag bestaat; zet wat ontbreekt in een gap-verklaring met een herstelstap en een datum. Kopers accepteren eerlijke gaps met plannen. Ze vergeven niet dat ze later een overdreven "ja" ontdekken.
- Juridische beweringen zonder bronnen. AI-secties verwijzen inmiddels naar een verordening die van kracht is. Niet-onderbouwde parafrases ("wij voldoen aan de EU AI Act") lokken vervolgvragen uit die u misschien niet wilt. Elke juridische bewering hoort haar artikel te citeren — het signaleert bovendien dat u het terrein beter kent dan de reviewer.
Als uw product AI-functies bevat: controleer welke transparantieverplichtingen van artikel 50 werkelijk op uw functie van toepassing zijn voordat u er iets over beantwoordt — het antwoord hangt af van wat de functie doet en van de vraag of u onder eigen merk levert. Onze gratis Artikel 50-checker brengt het in zes vragen in kaart, geen e-mail vereist. Dieper: wie moet wat op grond van artikel 50.
De checklist voor de eerste 24 uur
- ☐ Het formaat geclassificeerd (SIG / CAIQ / AI-CAIQ / maatwerk) en de vragen geteld
- ☐ Deadline, afzender en uw interne champion genoteerd
- ☐ Ontvangst bevestigd met een toegezegde datum
- ☐ Het leveringspad gekozen (in-house / dienst / platform)
- ☐ Eén eigenaar voor consistentie benoemd
- ☐ De AI-functies door de Artikel 50-checker gehaald (indien van toepassing)