Regelgeving & weerbaarheid · artikel
Testautomatisering onder toezicht: wanneer wordt een groene pipeline bewijs?
AI Act, DORA, de Cyberbeveiligingswet, NEN 7510 en BIO2 veranderen wat een professioneel testteam moet kunnen aantonen.
Een geslaagde test zegt dat een controle op een bepaald moment geen fout vond. Toezicht vraagt om navolgbaar bewijs dat risico’s doelgericht zijn beheerst en afwijkingen aantoonbaar zijn opgevolgd.
Je pipeline is groen. De regressietests zijn geslaagd, de kritieke API’s reageren op tijd en het releaserapport is automatisch gegenereerd.
Dan stelt een auditor één vraag waarop niemand direct antwoord heeft: “Kunt u aantonen dat deze controles ook werkten voor precies de versie, configuratie en data waarmee het incident plaatsvond?”
Dan blijkt het verschil tussen tests uitvoeren en bewijs leveren.
Een geslaagde test zegt dat een bepaalde controle op een bepaald moment geen fout vond. Regelgeving vraagt om een onderbouwing dat risico’s zijn geïdentificeerd, beheersmaatregelen passend zijn getest en tekortkomingen aantoonbaar zijn opgevolgd.
Test Automation moet niet alleen fouten ontdekken, maar ook betrouwbare informatie leveren waarmee de organisatie beheersing kan aantonen.
Begin bij de juiste context
“De regelgeving” bestaat niet
AI Act, DORA, de Cyberbeveiligingswet, NEN 7510 en BIO2 worden vaak in één compliance-overzicht geplaatst. Juridisch en praktisch hebben ze een andere functie. Een organisatie kan bovendien met meerdere kaders tegelijk te maken hebben.
| Kader | Primaire context | Betekenis voor testen |
|---|---|---|
| EU AI Act | Ontwikkeling en gebruik van AI | Risico, logging, toezicht, robuustheid en transparantie |
| DORA | Financiële instellingen en ICT-keten | Weerbaarheid, incidenten, leveranciers en periodieke tests |
| Cyberbeveiligingswet | Nederlandse implementatie van NIS2 | Zorgplicht, risicobeheersing, bestuur en incidentmelding |
| NEN 7510 | Informatiebeveiliging in de zorg | ISMS en zorgspecifieke beveiligingsmaatregelen |
| BIO2 | Nederlandse overheid | Overheidsbreed normenkader en verantwoording |
Welke tests moeten we voor deze wet automatiseren?
Welke risico’s en controls moeten we aantoonbaar beheersen, en welk bewijs is daarvoor sterk genoeg?
Maak eerst het onderscheid
Vier manieren waarop regelgeving Test Automation raakt
Je test een gereguleerd systeem
Het systeem ondersteunt bijvoorbeeld kredietbeoordeling, patiëntenzorg, vitale infrastructuur, overheidstaken of een AI-besluit.
Je gebruikt gereguleerde data
Het product kan buiten een zwaar kader vallen, terwijl testdata, logs of screenshots wel persoonsgegevens bevatten.
Testresultaten zijn bewijs
De organisatie gebruikt tests om aan te tonen dat beveiliging, continuïteit of menselijke controles functioneren.
Automation is zelf een control
Deploymentchecks, monitoring en hersteltests worden onderdeel van de operationele weerbaarheid.
Meer dan modelaccuracy
De AI Act vraagt om systeemgedrag in context
De Europese AI Act werd op 1 augustus 2024 van kracht en is sinds 2 augustus 2026 grotendeels van toepassing. Verboden toepassingen en AI-geletterdheid gelden al sinds februari 2025; andere verplichtingen kennen een gefaseerde invoering. Niet iedere bepaling geldt dus op hetzelfde moment voor ieder AI-systeem.
Voor testers is de belangrijkste technische constatering: een modeltest is geen systeemtest. Invoerselectie, prompts, retrieval, autorisaties, businessrules, menselijk handelen, logging en downstreamacties bepalen samen het werkelijke risico.
Onderzoek representativiteit, proxies, productiedrift, preprocessing en herleidbare versies.
Test ontbrekende input, prompt injection, externe bronnen, uitval en herhaalde variatie.
Bewijs dat een bevoegde professional de AI kan begrijpen, stoppen, negeren en corrigeren.
Koppel model, prompt, configuratie, context, output, menselijke interventie en vervolgactie.
Menselijk toezicht moet werken onder druk
- Kan de medewerker het systeem daadwerkelijk stoppen of negeren?
- Beschikt die persoon op dat moment over voldoende context?
- Wordt afwijking van het AI-advies toegestaan en geregistreerd?
- Ontstaat automation bias door de interface of werkdruk?
- Werkt escalatie ook buiten kantooruren?
Een knop met het label ‘handmatige beoordeling’ bewijst niet dat betekenisvol menselijk toezicht bestaat.
Van uptime naar weerbaarheid
DORA vraagt om het testen van kritieke dienstverlening
DORA is sinds 17 januari 2025 van toepassing op financiële instellingen binnen de reikwijdte. Het kader richt zich onder andere op ICT-risico, incidentmanagement, periodieke weerbaarheidstests en risico’s van ICT-dienstverleners. Voor geselecteerde instellingen kan Threat-Led Penetration Testing verplicht zijn.
De API reageert, de database is bereikbaar en de queue verwerkt berichten.
De kritieke dienst blijft beheerst functioneren of herstelt wanneer meerdere technische en organisatorische controls falen.
Combineer bijvoorbeeld uitval van een cloudregio, beperkte personele beschikbaarheid, een onbereikbare leverancier, corrupte berichten en een herstelprocedure die afhankelijk blijkt van dezelfde infrastructuur.
Wanneer werd de verstoring betrouwbaar herkend?
Welke kritieke bedrijfsfunctie werd werkelijk geraakt?
Wanneer was de dienst bruikbaar en hoeveel data moest opnieuw worden verwerkt?
Werkten fallback, escalatie, exitpad en leverancierslogs?
NIS2 in Nederland
De Cyberbeveiligingswet maakt risicogebaseerd testen minder vrijblijvend
Op 15 augustus 2026 is de Nederlandse Cyberbeveiligingswet in werking getreden. Volgens de Rijksoverheid gelden de nieuwe verplichtingen voor ruim 8.000 organisaties. Voor organisaties binnen de reikwijdte brengt de wet onder meer een zorgplicht en meldplicht mee.
“Passend en evenredig” is geen vast testscript. Een marketingpagina, identiteitsvoorziening en systeem voor vitale procesbesturing mogen niet door dezelfde generieke quality gate worden beoordeeld.
Kritieke dienst
Welke dienstverlening mag niet ongecontroleerd uitvallen?
Dreiging
Welke realistische faalwijze veroorzaakt materiële schade?
Control
Welke maatregel beperkt kans, impact of hersteltijd?
Bewijs
Welke testuitkomst maakt werking en restrisico zichtbaar?
Incidentmelding begint bij detecteerbaarheid
- Bereiken signalen de juiste mensen snel genoeg?
- Kan de impact tijdig worden vastgesteld?
- Zijn eigenaar en beslissingsbevoegdheid duidelijk?
- Werken procedures ook buiten de ideale kantooromgeving?
- Zijn bewijsstukken beschikbaar zonder uren handmatig logonderzoek?
Sectorale vertaling
NEN 7510 en BIO2 vragen meer dan een securityscanner
NEN 7510:2024 en de zorgcontext
NEN 7510:2024 beschrijft een managementsysteem en beheersmaatregelen voor informatiebeveiliging in de zorg. De norm is geen algemene wet die voor ieder product identiek geldt. In de zorg kan een verkeerde koppeling of ontbrekend bericht echter direct patiëntveiligheid raken.
- Hoort het bericht aantoonbaar bij de juiste patiënt?
- Blijft betekenis gelijk na transformatie tussen systemen?
- Worden eenheid, tijdzone en referentiewaarden correct geïnterpreteerd?
- Wordt een correctie ook in afgeleide systemen verwerkt?
- Is uitzonderlijke toegang mogelijk én achteraf controleerbaar?
BIO2: beleid moet als control blijven functioneren
BIO2 is het overheidsbrede normenkader voor informatiebeveiliging. Versie 1.3 werd op 5 maart 2026 gepubliceerd. Met de Cyberbeveiligingswet en de bijbehorende regeling krijgt het kader verdere wettelijke verankering voor de overheidssector.
Een beleidsregel over minimale toegangsrechten is nog geen werkende control. Oude accounts, te ruime servicetokens, permanente tijdelijke rechten en testaccounts met productietoegang kunnen het papieren model ondergraven.
Groen is niet genoeg
Wanneer kun je een testresultaat vertrouwen?
Een screenshot van een dashboard is zwak bewijs wanneer niet duidelijk is welke code, configuratie, data, omgeving en testversie zijn gebruikt — of welke controles tijdens de run zijn overgeslagen.
| Bewijsveld | Waarom het nodig is |
|---|---|
| Control-ID | Verbindt test, risico en beheersmaatregel |
| Systeem- en serviceversie | Maakt duidelijk wat werkelijk is getest |
| Configuratie en omgeving | Voorkomt bewijs over een niet-representatieve situatie |
| Test- en dataversie | Ondersteunt reproduceerbaarheid |
| Verwachte en feitelijke uitkomst | Laat zien wat daadwerkelijk is vastgesteld |
| Afwijking, eigenaar en besluit | Voorkomt dat falen administratief verdwijnt |
| Integriteitscontrole | Helpt manipulatie van bewijs detecteren |
Compliance as code kent een grens
Geautomatiseerde policychecks kunnen snelle, consistente en herhaalbare feedback geven. Maar begrippen als passend, evenredig, tijdig en voldoende zijn niet zonder context te reduceren tot een booleaanse assertie.
Compliance as code automatiseert controles. Het automatiseert niet de volledige beoordeling.
Van regel naar testbaar systeem
Een zeslaags model voor verdedigbare Test Automation
Verplichting
Welke wet, norm, contractuele afspraak of beleidsregel is relevant?
Risico
Welk concreet ongewenst effect moet worden voorkomen, gedetecteerd of hersteld?
Beheersmaatregel
Welke technische, menselijke of organisatorische control reduceert het risico?
Testmechanisme
Welke combinatie van automation, inspectie, oefening of red teaming geeft voldoende zekerheid?
Bewijs
Welke gegevens zijn nodig om de conclusie later betrouwbaar te onderbouwen?
Restrisico en besluit
Wat blijft onzeker, wie mag dat accepteren en wanneer wordt opnieuw getest?
Laat de juridische interpretatie bevestigen door de bevoegde juridische, privacy-, security- of compliancefunctie. De tester vertaalt die interpretatie naar toetsbaar gedrag; hij verzint haar niet zelf.
De impact op jouw rol
Wat verandert dit voor jouw ervaringsniveau?
Maak uitvoering herleidbaar
Bescherm testdata en logs, test negatieve autorisatiepaden en leg vast welke configuratie werkelijk is onderzocht.
Vertaal risico naar bewijs
Ontwerp controltests, resilience-scenario’s, veilige testdata en betrouwbare model- en configuratielineage.
Organiseer besluitvorming
Maak blinde vlekken, zwak bewijs, uitzonderingen, ketenrisico en geaccepteerd restrisico zichtbaar.
Ontwerp een bewijsbare keten
Verbind versionering, functiescheiding, evidence-integriteit, leveranciers, herstel en bewaarbeleid.
Praktische stresstest
Kunnen jullie aantonen dat beheersmaatregelen werkelijk functioneren?
- Welke drie digitale diensten zijn werkelijk kritisch?
- Kunnen belangrijke controls aan een concreet risico worden gekoppeld?
- Testen jullie detectie, escalatie en herstel — niet alleen preventie?
- Is een incident te reconstrueren tot code-, configuratie-, model- en dataversie?
- Wie accepteert een falende control en waar wordt dat besluit vastgelegd?
Een groene pipeline is een claim. Pas herleidbaar, reproduceerbaar en contextueel juist testbewijs maakt die claim verdedigbaar.
De opgebouwde lijn
Van testproductie naar aantoonbare beheersing
De Nederlandse markt wordt selectiever; testproductie alleen onderscheidt onvoldoende.
AI heeft waarde wanneer het onzekerheid vermindert, niet alleen tests genereert.
Agentic testing vraagt begrensde bevoegdheden en controleerbare handelingen.
Quality Engineering verbindt feedback over de volledige lifecycle.
Informatiewaarde is belangrijker dan het aantal geautomatiseerde tests.
Regelgeving vraagt om een traceerbare verbinding tussen risico, control, test en besluit.
Bronnen & afbakening
Actuele officiële bronnen
Dit artikel is inhoudelijk bijgewerkt op 15 augustus 2026. Het biedt een technische vertaling voor testprofessionals en is geen juridisch advies. Reikwijdte en verplichtingen moeten voor de specifieke organisatie en toepassing worden vastgesteld.
- Europese Commissie — AI Act en toepassingsdata
- Europese Commissie — gefaseerde invoering van de AI Act
- EU AI Act Service Desk — artikel 14 over menselijk toezicht
- EU AI Act Service Desk — artikel 26 over deployers
- De Nederlandsche Bank — DORA
- De Nederlandsche Bank — Threat-Led Penetration Testing
- Rijksoverheid — inwerkingtreding Cyberbeveiligingswet
- Officiële bekendmaking — Cyberbeveiligingsbesluit
- NEN — NEN 7510:2024
- Digitale Overheid — Baseline Informatiebeveiliging Overheid
- Digitale Overheid — BIO2 versie 1.3
- Autoriteit Persoonsgegevens — verantwoordingsplicht