Het nieuwe ITGC-kader: wat is er veranderd en waarom?

De Auditdienst Rijk heeft het ITGC-kader vernieuwd. ITGC staat voor IT General Controls: algemene IT-beheersmaatregelen die helpen om digitale processen betrouwbaar, veilig en controleerbaar te maken. Het kader wordt gebruikt bij IT-onderzoeken, interne controles, jaarrekeningcontroles en onderzoeken naar digitale weerbaarheid. De ADR beschrijft het ITGC-kader als het basisraamwerk voor IT-onderzoeken en geeft aan dat het kader bedoeld is voor iedereen die werkt met de BIO2, van interne controles tot audits.

In dit artikel kijken we vooral naar de wijzigingen in de nieuwste versie. Wil je eerst weten wat het ITGC-kader precies is en hoe Cilde organisaties helpt om dit kader praktisch toe te passen? Lees dan meer op onze ITGC pagina.

Een van de meest zichtbare wijzigingen is de naamgeving. In het wijzigingsbeheer staat dat BIC is hernoemd naar ITGC-kader. Daarmee sluit de ADR aan bij de internationaal herkenbare term IT General Controls.

Die naamswijziging is meer dan cosmetisch. Het kader wordt sterker gepositioneerd als raamwerk voor beheersing, toetsing en verbetering van basis IT-beheer. De nadruk ligt minder op het afvinken van losse normen en meer op het beoordelen of passende beheersmaatregelen bestaan, werken en aansluiten op de risico’s van de organisatie.

Dat zie je ook terug in een andere generieke wijziging: waar eerder het woord norm werd gebruikt, spreekt het kader nu over beheersmaatregel. Die formulering past beter bij de manier waarop IT-beheer in de praktijk wordt ingericht en getoetst: niet alleen kijken of iets op papier staat, maar ook of de maatregel werkt en bijdraagt aan risicobeheersing.

De aanleiding ligt vooral bij de ontwikkeling van de BIO2 en de veranderende digitale werkelijkheid. De ADR geeft aan dat digitalisering leidt tot een toename van IT-risico’s en dat IT General Controls nodig zijn om gevoelige systemen en gegevens te beschermen. Daarbij dragen ITGC’s bij aan de integriteit, beschikbaarheid en vertrouwelijkheid van digitale gegevensverwerking.

De ADR ontwikkelde al in 2017 een ITGC-kader om IT-werkzaamheden voor de jaarrekeningcontrole te uniformeren. De komst van de BIO2 was aanleiding om het kader te vernieuwen. In de BIO2 ligt de nadruk sterker op risicomanagement; organisaties moeten zelf bepalen welk beveiligingsniveau passend is bij hun risico’s. Het vernieuwde ITGC-kader speelt daarop in door risicomanagement centraal te stellen en daarna pas de relevante beheersmaatregelen te toetsen.

Ook de BIO2 zelf beweegt duidelijk naar een risicogerichte benadering. De Staatscourant beschrijft dat BIO2 de eerdere indeling in drie basisbeveiligingsniveaus vervangt door een explicietere risicogerichte aanpak, waarmee overheidsinstanties maatregelen kunnen afstemmen op specifieke risico’s.

De grootste inhoudelijke verschuiving is dat het ITGC-kader nu begint bij risicomanagement. De volgorde van de beheersingsdoelstellingen is aangepast. Het kader start met:

R1. Risicobeoordeling informatiebeveiliging
R2. Behandeling van informatiebeveiligingsrisico’s

Daarna volgen de overige ITGC-onderwerpen:

A1. Authenticatie
G1. Gebruikersbeheer
W1. Wijzigingsbeheer
I1. Incidentbeheer
C1. Continuïteitsbeheer
S1. Security Management

Dat is een fundamentele wijziging. In de vorige benadering konden maatregelen sneller als losse controlepunten worden beoordeeld. In het vernieuwde kader is de koppeling met risicomanagement expliciet vereist. De ADR schrijft dat maatregelen in de nieuwe BIO2 niet meer geïsoleerd kunnen worden getoetst en dat het kader daarom begint met risicomanagement, gevolgd door de basismaatregelen die relevant zijn voor het onderzoek.

Voor organisaties betekent dit dat een ITGC-toets niet meer begint met de vraag: “Hebben we deze maatregel?” maar met de vraag: “Welke risico’s zijn relevant, welke maatregelen horen daarbij en kunnen we aantonen dat die maatregelen bestaan en werken?”

Het vernieuwde ITGC-kader legt daarmee meer verantwoordelijkheid bij de organisatie zelf. Het kader bevat een selectie van ISO 27001, ISO 27002 en overheidsspecifieke maatregelen uit de BIO2, gericht op basis IT-beheer. De ADR benadrukt daarbij dat voldoen aan het ITGC-kader niet automatisch betekent dat aan alle eisen van de BIO2 wordt voldaan.

Dat onderscheid is belangrijk. Het ITGC-kader is geen volledige BIO2-implementatie. Het is een praktisch raamwerk waarmee organisaties en auditors kunnen beoordelen hoe het staat met belangrijke IT-beheersmaatregelen. De waarde zit vooral in de uniformiteit: dezelfde onderwerpen, dezelfde structuur en vergelijkbare testcriteria. Daardoor kunnen organisaties beter zien waar ze staan, waar risico’s zitten en waar verbetering nodig is.

Naast de inhoudelijke verschuiving naar risicomanagement bevat de nieuwe versie een aantal generieke verbeteringen.

Het kader heeft een toelichtingstabblad gekregen, waardoor gebruikers beter begrijpen hoe het kader gelezen en toegepast moet worden. De vormgeving is bovendien opgenomen in de ADR-huisstijl, waardoor het kader consistenter en herkenbaarder is.

Ook de taal is aangescherpt. De term norm is op verschillende plekken vervangen door beheersmaatregel. Dat helpt om duidelijker te maken dat het kader niet alleen gaat over eisen, maar over maatregelen die risico’s moeten beperken.

Daarnaast zijn opsommingstekens uniform gemaakt, is de volgorde van de beheersingsdoelstellingen aangepast en is per testcriterium een type classificatie toegevoegd: Opzet of Bestaan/Werking. Dat maakt het eenvoudiger om onderscheid te maken tussen maatregelen die op papier ingericht moeten zijn en maatregelen waarvan ook de werking moet worden vastgesteld.

Tot slot is het beheerprocessenoverzicht gebruiksvriendelijker gemaakt door linkjes toe te voegen naar de tabbladen in de pictogrammen. Dat lijkt misschien een kleine wijziging, maar voor organisaties die het kader actief gebruiken bij interne controles, auditvoorbereiding of voortgangsbewaking maakt dit het kader praktischer toepasbaar.

R1. Risicobeoordeling informatiebeveiliging

Bij R1 is de nadere concretisering aangepast. Dit onderdeel gaat over het uitvoeren van risicobeoordelingen om actuele risicoprofielen te bepalen. In het kader ligt de nadruk op het identificeren, analyseren, classificeren en prioriteren van informatiebeveiligingsrisico’s. De huidige versie benoemt onder R1 onder meer risicocriteria, uniforme uitvoering en vastlegging van risicobeoordelingen, identificatie van informatiebeveiligingsrisico’s en prioritering van risico’s.

De wijziging maakt duidelijk dat organisaties hun risicoaanpak niet alleen moeten hebben beschreven, maar ook consistent moeten toepassen. Daarmee wordt risicobeoordeling een aantoonbaar onderdeel van IT-beheersing.

R2. Behandeling van informatiebeveiligingsrisico’s

Bij R2 is eveneens de nadere concretisering aangepast. Dit onderdeel gaat over de vraag hoe geïdentificeerde risico’s worden behandeld: welke maatregelen worden gekozen, hoe wordt bepaald of die maatregelen passend zijn en hoe wordt de uitvoering gevolgd?

Het kader vraagt daarmee niet alleen om inzicht in risico’s, maar ook om een navolgbaar besluit over risicobehandeling. Denk aan mitigeren, accepteren, vermijden of overdragen, inclusief de onderbouwing waarom bepaalde beheersmaatregelen passend zijn.

A1. Authenticatie

Bij A1 Authenticatie zijn meerdere nadere concretiseringen aangepast en zijn referenties bijgewerkt. Ook zijn testcriteria A1.4.2 en A1.4.3 van plek gewisseld.

De richting van de wijziging is helder: authenticatie wordt sterker verbonden met actuele risico’s, passende maatregelen en aantoonbare werking. Denk aan het beheer van authenticatiemiddelen, het afdwingen van veilige toegang en het voorkomen van ongeautoriseerde toegang tot systemen.

G1. Gebruikersbeheer

Bij G1 Gebruikersbeheer zijn testcriteria aangepast, toegevoegd en vernummerd. Een belangrijke wijziging is dat G1.3.5 als nieuw testcriterium is toegevoegd en dat enkele testcriteria binnen G1.3 en G1.5 zijn verplaatst.

Gebruikersbeheer blijft daarmee een kernonderwerp binnen het ITGC-kader. Het gaat om de vraag of gebruikers tijdig, juist en volledig toegang krijgen, of rechten worden ingetrokken wanneer dat nodig is en of verhoogde rechten beheerst worden uitgegeven en gecontroleerd.

Voor organisaties is vooral de bewijsvoering belangrijk. Kun je aantonen wie toegang heeft, waarom die toegang nodig is, wie akkoord heeft gegeven en of periodiek wordt beoordeeld of rechten nog passend zijn?

W1. Wijzigingsbeheer

Bij W1 Wijzigingsbeheer zijn meerdere wijzigingen doorgevoerd. Er zijn testcriteria vernummerd, er is een nieuw testcriterium toegevoegd bij W1.4.2, W1.4.5 is vervallen, W1.5.1 is aangepast en W1.5.2 is toegevoegd.

Wijzigingsbeheer is een van de meest praktische ITGC-onderwerpen. Het gaat om gecontroleerde wijzigingen in informatiesystemen, inclusief datafixes. De huidige versie beschrijft dat beheersmaatregelen moeten waarborgen dat wijzigingen gecontroleerd worden uitgevoerd, zodat ongeautoriseerde wijzigingen worden voorkomen. Als wijzigingsbeheer niet effectief is, kunnen wijzigingen kwetsbaarheden, fouten of ongewenste functionaliteiten introduceren die application controls of dataintegriteit aantasten.

De wijzigingen maken dit onderdeel scherper. Niet alleen het reguliere wijzigingsproces is relevant, maar ook de borging dat wijzigingen buiten het reguliere proces worden voorkomen of gesignaleerd. Dat is belangrijk in traditionele omgevingen, maar ook in Agile-, DevOps- en CI/CD-contexten.

I1. Incidentbeheer

Bij I1 Incidentbeheer is de nadere concretisering aangepast en zijn meerdere referenties bijgewerkt. Incidentbeheer gaat over het tijdig herkennen, registreren, behandelen en opvolgen van informatiebeveiligingsincidenten.

De wijziging past bij de bredere lijn van het kader: incidentbeheer is niet alleen een procesbeschrijving, maar een beheersmaatregel waarvan de werking moet kunnen worden aangetoond. Organisaties moeten dus laten zien dat incidenten worden vastgelegd, beoordeeld, opgevolgd en gebruikt om structurele verbeteringen door te voeren.

C1. Continuïteitsbeheer

Bij C1 Continuïteitsbeheer zijn de wijzigingen behoorlijk inhoudelijk. Het risico bij het beheerproces is aangescherpt, C1.2.2 en C1.2.3 zijn vervallen, meerdere testcriteria zijn aangepast en de nadere concretisering is gewijzigd voor C1.1, C1.2 en C1.3.

Dat sluit aan bij het belang van continuïteit in digitale dienstverlening. Organisaties moeten niet alleen plannen hebben voor verstoringen, maar ook kunnen aantonen dat continuïteitsmaatregelen passend zijn, worden getest en aansluiten op de risico’s van de organisatie.

S1. Security Management

Bij S1 Security Management zijn testcriteria aangepast, nadere concretiseringen gewijzigd en referenties bijgewerkt. Security management vormt een breed onderwerp binnen het kader, met aandacht voor de inrichting, bewaking en verbetering van informatiebeveiliging.

De wijzigingen zorgen ervoor dat security management beter aansluit op BIO2, ISO 27001 en ISO 27002. Daarmee wordt security management nadrukkelijk onderdeel van de totale beheerscyclus: beleid, risico’s, maatregelen, monitoring, opvolging en verbetering.

L1. Leveranciersmanagement

Een opvallende wijziging is dat L1 Leveranciersmanagement als afzonderlijke beheersingsdoelstelling is vervallen. Volgens het wijzigingsbeheer komt leveranciersmanagement na herziening in de loop van 2026 weer terug als onderwerp in het kader.

Dat betekent niet dat leveranciersmanagement onbelangrijk is geworden. Integendeel: veel IT-beheerprocessen zijn juist afhankelijk van leveranciers, SaaS-platformen, hostingpartijen, ontwikkelteams en serviceorganisaties. Organisaties doen er daarom goed aan leveranciersafspraken, verantwoordelijkheden en bewijsvoering niet te parkeren, maar alvast te blijven borgen binnen de relevante ITGC-onderwerpen.

De vernieuwing van het ITGC-kader vraagt om meer dan het bijwerken van een controlematrix. Organisaties moeten vooral opnieuw kijken naar de samenhang tussen risico’s, maatregelen, bewijsvoering en eigenaarschap.

1. Begin met risico’s, niet met maatregelen

Omdat het kader start met R1 en R2, wordt risicomanagement het vertrekpunt. Organisaties moeten kunnen uitleggen welke risico’s relevant zijn, welke risico’s worden geaccepteerd en welke risico’s met maatregelen worden beheerst.

2. Actualiseer bestaande mappings

Wie al werkte met BIC of een eerdere ITGC-structuur, moet mappings actualiseren. Door vernummeringen, nieuwe testcriteria, vervallen criteria en aangepaste referenties kan oude bewijsvoering niet zomaar één-op-één worden hergebruikt.

3. Maak onderscheid tussen opzet en werking

De toevoeging van type classificaties per testcriterium helpt, maar vraagt ook om scherpere bewijsvoering. Voor Opzet gaat het om beleid, procesbeschrijvingen, rollen en inrichting. Voor Bestaan/Werking gaat het om aantoonbare uitvoering, logging, controles, rapportages en opvolging.

4. Verdeel eigenaarschap per beheersmaatregel

ITGC raakt meerdere teams: CISO, CIO-office, functioneel beheer, technisch beheer, leveranciersmanagement, proceseigenaren, privacy, compliance en audit. Zonder eigenaarschap blijven bevindingen liggen. Het vernieuwde kader maakt duidelijker welke maatregelen door wie moeten worden ingericht, uitgevoerd en aangetoond.

5. Borg ITGC in de beheerpraktijk

Het nieuwe kader is geen eenmalige auditlijst. De nadruk op risicomanagement, werking en monitoring vraagt om structurele borging. Denk aan periodieke controles, dashboards, verbeterplannen, rapportages en her-metingen.

De belangrijkste conclusie: het vernieuwde ITGC-kader is geen simpele update. Het is een verschuiving naar risicogestuurde IT-beheersing.

De naamswijziging van BIC naar ITGC-kader, de aangepaste terminologie van norm naar beheersmaatregel, de nieuwe volgorde met risicomanagement voorop en de toevoeging van classificaties per testcriterium wijzen allemaal dezelfde kant op: organisaties moeten niet alleen kunnen laten zien dát maatregelen bestaan, maar ook waarom ze nodig zijn, hoe ze werken en hoe ze bijdragen aan het beheersen van risico’s.

Voor Cilde sluit dat aan bij hoe wij naar normenkaders kijken. Normen zijn geen losse checklists, maar stuurinformatie. Door het ITGC-kader te verbinden aan inzicht in het digitale landschap, eigenaarschap, werkpakketten, monitoring en borging wordt het mogelijk om van auditdruk naar structurele beheersing te gaan.

Wil je weten wat het nieuwe ITGC-kader betekent voor jouw organisatie, systemen of digitale portefeuille? Bekijk dan onze ITGC-normpagina voor meer uitleg over de norm en onze aanpak.