Klantportaal laten bouwen voor grote opdrachtgevers: MKB-eisenlijst

Een grote opdrachtgever wil niet voor iedere werkbon, factuur of statusupdate bellen. Die wil kunnen inloggen, documenten vinden en zien wat er nog openstaat. Voor jou als MKB-leverancier kan een klantportaal daarom onderdeel worden van de samenwerking.

Denk aan een corporate die contracten centraal wil bewaren, een vastgoedbeheerder die onderhoud volgt of een ketenpartner die orderstatussen nodig heeft. Een portaal kan dat makkelijker maken. Maar zonder duidelijke afspraken ontstaat juist extra werk: dubbele invoer, onduidelijke rechten en vragen over ontbrekende gegevens.

Een klantportaal laten bouwen begint daarom niet bij het ontwerp, maar bij een toetsbare eisenlijst. Hieronder lees je welke afspraken je vooraf nodig hebt en hoe je die vertaalt naar een beheersbaar project.

Wat is een klantportaal?

Een klantportaal is een beveiligde online omgeving waarin klanten hun eigen gegevens bekijken en afgesproken handelingen uitvoeren. Denk aan documenten downloaden, een storing melden of een offerte goedkeuren.

Een openbare website informeert bezoekers. Een klantportaal toont informatie op basis van een account en bijbehorende rechten. Het is meestal een vorm van een webapplicatie: software die via de browser werkt.

Twijfel je wat je nodig hebt? Gebruik de beslisboom voor een website of webapplicatie.

Een portaal hoeft je bestaande systemen niet te vervangen. Vaak vormt het een toegangspoort tot gegevens uit je planning, boekhouding of CRM. Daarbij is essentieel welk systeem de juiste versie van de gegevens bewaart.

De MKB-eisenlijst voor een klantportaal

Maak van iedere eis een controlepunt. Niet “het portaal is veilig”, maar bijvoorbeeld: “een gebruiker van klant A kan geen documenten van klant B openen, ook niet via een aangepaste link”.

Gebruik per eis vier extra velden: prioriteit, verantwoordelijke, testmethode en akkoordgever. Verdeel prioriteiten in noodzakelijk bij de start, later gewenst en buiten de opdracht.

De onderstaande lijst is een praktische basis, geen bewijs van wettelijke naleving. Bij verwerking in opdracht van een andere organisatie kunnen afspraken over een verwerker nodig zijn. De Autoriteit Persoonsgegevens legt uit wanneer een verwerkersovereenkomst verplicht is en wat daarin hoort. [1]

Categorie	Eis om vast te leggen	Voorbeeld van een acceptatietest
Inloggen	Persoonlijke accounts, veilig herstel en multifactorauthenticatie (MFA)	Test een tweede inlogfactor en het herstelproces
Rollen en rechten	Toegang per organisatie, locatie en functie	Laat een gebruiker een verboden document openen
SSO	Leg vast of aanmelden via de organisatieaccount verplicht is	Test aanmelden én het intrekken van toegang
Gegevensuitwisseling	Versleuteling tijdens transport en passende bescherming van opgeslagen gegevens	Controleer instellingen en beveiligingsrapportage
AVG	Bepaal doelen, persoonsgegevens, rollen en bewaartermijnen	Controleer het gegevensoverzicht en relevante overeenkomsten
Koppelingen	Benoem bronsysteem, richting, frequentie en foutafhandeling	Onderbreek een koppeling en herstel zonder dubbele invoer
Gebruiksgemak	Belangrijke taken werken op mobiel en met toetsenbord	Laat echte gebruikers een melding indienen
Beschikbaarheid	Spreek meetmethode, onderhoud en storingsafhandeling af	Controleer monitoring en het incidentproces
Back-ups	Leg herstelpunten, hersteltijd en verantwoordelijkheden vast	Zet een back-up terug in een testomgeving
Schaalbaarheid	Benoem verwachte gebruikers, bestanden en piekbelasting	Voer een belastingtest uit op afgesproken volumes
Logging	Registreer relevante toegang en wijzigingen met passende bewaartermijnen	Zoek een wijziging terug zonder onnodige persoonsgegevens
Data en vertrek	Regel export, gebruiksrechten, overdracht en verwijdering	Exporteer gegevens en documenten in bruikbaar formaat

Begrippen die je vooraf moet verduidelijken

MFA betekent dat inloggen meer vraagt dan alleen een wachtwoord, bijvoorbeeld een extra bevestiging via een authenticator.

SSO, oftewel single sign-on, laat gebruikers aanmelden met hun bestaande organisatieaccount. SSO vervangt niet automatisch alle afspraken over MFA, rollen en het beëindigen van toegang.

Een API is een afgesproken technische manier waarop systemen gegevens uitwisselen. Vraag niet alleen óf er een API is, maar ook welke gegevens beschikbaar zijn, wat gebruik kost en welke beperkingen gelden.

Een SLA is een overeenkomst over het serviceniveau. Daarin leg je bijvoorbeeld vast wanneer ondersteuning beschikbaar is en hoe snel een leverancier op een storing reageert. Reactietijd is niet hetzelfde als oplostijd.

AVG, BIO en certificering: wat geldt voor jou?

Bepaal per verwerking wie het doel en de middelen vaststelt en wie uitsluitend in opdracht verwerkt. Een softwareleverancier is niet voor iedere activiteit automatisch verwerker. Laat twijfel over die rolverdeling beoordelen.

Werkt een partij als verwerker? Leg dan onder meer instructies, geheimhouding, beveiliging, inzet van andere verwerkers en ondersteuning bij incidenten vast.

Een overheidsopdrachtgever kan daarnaast eisen vanuit de Baseline Informatiebeveiliging Overheid doorgeven. Welke leveranciersmaatregelen relevant zijn, hangt onder meer af van risico, dienstverlening en toegang tot gevoelige informatie. Vraag dus om de concrete eisen en het gevraagde bewijs. [2]

Een ISO-certificaat is niet automatisch verplicht voor ieder MKB-portaal. Controleer contractvoorwaarden en de reikwijdte van eventueel gevraagde certificering. Een certificaat vervangt bovendien geen test van jouw specifieke inrichting.

Fictief voorbeeld: installatiebedrijf en vastgoedbeheerder

Dit voorbeeld is volledig fictief en beschrijft geen bestaande klant of gerealiseerd resultaat.

Een MKB-installatiebedrijf onderhoudt technische installaties voor een grote vastgoedbeheerder. Werkbonnen gaan per e-mail heen en weer. De opdrachtgever vraagt om een portaal met meldingen, onderhoudsdocumenten en voortgang per gebouw.

Het installatiebedrijf wil aanvankelijk ook een eigen planningssysteem bouwen. Tijdens de inventarisatie blijkt dat de bestaande planning kan blijven. Het portaal hoeft alleen relevante gegevens te tonen en nieuwe meldingen door te geven.

Vier eisen blijken doorslaggevend:

• Rechten per gebouw: een locatiemanager ziet alleen toegewezen locaties; de centrale beheerder ziet het hele contract.
• Eén bron voor werkstatus: de planning blijft leidend, zodat medewerkers geen twee systemen hoeven bij te werken.
• Controleerbare documenten: bij iedere werkbon staan datum, versie en de juiste locatie.
• Een uitweg bij storingen: meldingen blijven bewaard als de koppeling tijdelijk uitvalt; een medewerker krijgt een waarschuwing.

Facturen volgen pas in een latere fase. Eerst testen beide partijen het melden, terugvinden en afronden van werkzaamheden.

De belangrijkste keuze is hier niet een bepaalde techniek. Het is de afbakening: wat moet het portaal oplossen, en wat blijft bewust in bestaande software?

Stappenplan: van opdrachtgeverseis tot beheer

1. Verzamel de echte eisen

Vraag om inkoopvoorwaarden, beveiligingsvragenlijsten, gewenste functies en de acceptatieprocedure. Spreek ook met dagelijkse gebruikers. Hun belangrijkste taak kan anders zijn dan de wens van de inkoper.

2. Bepaal de minimale eerste versie

Beschrijf welke taken bij de start moeten werken. Kies bijvoorbeeld eerst voor documenten en meldingen. Zet aanvullende rapportages op een aparte lijst. Leg vast wie wijzigingen mag goedkeuren en hoe meerwerk wordt begroot.

3. Breng gegevens en verantwoordelijkheden in kaart

Noteer welke gegevens je verwerkt, waar ze vandaan komen en wie ze mag aanpassen. Maak afspraken over bewaartermijnen, hosting, toegang vanuit andere landen en eventuele doorgifte buiten de Europese Economische Ruimte.

4. Onderzoek bestaande software en koppelingen

Laat aantonen dat de benodigde gegevens bereikbaar zijn. Controleer API-documentatie, licenties, testomgevingen en afspraken bij wijzigingen. Een beschikbare koppeling is pas bruikbaar als ook fouten en herstel zijn geregeld.

5. Maak een ontwerp en volledige begroting

Test een eenvoudig klikmodel met vertegenwoordigers van de opdrachtgever. Begroot vervolgens niet alleen de bouw, maar ook hosting, licenties, beveiliging, ondersteuning en doorontwikkeling. Gebruik het artikel over kosten van een website of webapplicatie als voorbereiding op je offerteaanvraag.

6. Bouw en test met duidelijke acceptatiecriteria

Test normale taken én uitzonderingen: verkeerde rechten, grote uploads, verlopen accounts en uitvallende koppelingen. Gebruik waar mogelijk fictieve testgegevens. Laat beveiligingsonderzoek uitvoeren dat past bij de risico’s.

7. Lever gecontroleerd op en organiseer beheer

Leg vast wie akkoord geeft, welke restpunten openstaan en wanneer garanties of support starten. Gebruik hiervoor de acceptatiechecklist voor websites en webapplicaties. Plan daarna updates, hersteltests en periodieke controle van gebruikersrechten.

Veelgemaakte fouten

Te veel maatwerk bestellen. Een bestaande klantomgeving kan al voldoende zijn. Vergelijk eerst configureren, uitbreiden en volledig nieuw bouwen.

Vage afspraken over data maken. “De data is van ons” zegt onvoldoende over export, verwijdering en overdracht. Regel ook toegang tot documenten, instellingen en technische documentatie. Afspraken over data veranderen niets aan rechten van betrokken personen onder de AVG.

Alleen naar bouwkosten kijken. Een portaal vraagt blijvend onderhoud. Vraag wie kwetsbaarheden oplost, koppelingen bijwerkt en gebruikersvragen behandelt.

Alle opdrachtgeverseisen zonder onderzoek accepteren. Sommige eisen zijn noodzakelijk, andere zijn onderhandelbaar. Bespreek gevolgen voor prijs en planning voordat je tekent. Wettelijke verplichtingen kun je niet wegonderhandelen.

Geen noodroute afspreken. Bepaal hoe meldingen en spoedwerk doorgaan als het portaal niet beschikbaar is. Test die werkwijze voordat een storing optreedt.

Veelgestelde vragen

Wat kost een klantportaal laten bouwen?

Dat hangt af van functies, koppelingen, beveiliging en beheer. Een bestaande oplossing aanpassen vraagt ander werk dan volledig maatwerk. Vraag om een gesplitste begroting voor onderzoek, bouw, koppelingen en terugkerende kosten. Zonder afgebakende eisen is een bedrag geen betrouwbare offerte.

Moet ik voldoen aan alle eisen van mijn opdrachtgever?

Je moet voldoen aan toepasselijke wetgeving en afspraken die je aangaat. Niet iedere wens is automatisch een wettelijke verplichting. Vraag welke eisen contractueel noodzakelijk zijn en bespreek alternatieven voordat je akkoord gaat.

Kan ik bestaande software koppelen?

Vaak wel, maar dat moet technisch en contractueel worden onderzocht. Controleer API’s, licenties, beschikbare gegevens en gebruikslimieten. Spreek ook af wat er gebeurt als de softwareleverancier de koppeling verandert.

Zijn SSO en MFA allebei nodig?

Dat hangt af van risico’s en opdrachtgeverseisen. SSO maakt aanmelden met een organisatieaccount mogelijk. MFA voegt een extra controle toe. Leg vast waar MFA wordt afgedwongen en hoe toegang bij uitdiensttreding vervalt.

Heb ik een verwerkersovereenkomst nodig?

Als een andere partij namens jou persoonsgegevens verwerkt, is doorgaans een verwerkersovereenkomst nodig. Bepaal eerst de werkelijke rollen per verwerking. Beoordeel ook hosting en andere partijen die bij de dienstverlening betrokken zijn.

Is ISO 27001 verplicht voor een klantportaal?

Niet standaard voor ieder portaal. Een opdrachtgever kan certificering wel contractueel eisen. Vraag dan welke organisatie en dienstverlening onder het certificaat moeten vallen en welk aanvullend bewijs nodig is.

Kan ik later naar een andere leverancier overstappen?

Dat is beter haalbaar als je vooraf een exitregeling vastlegt. Spreek bruikbare exportformaten, overdrachtskosten, ondersteuning, verwijdering en gebruiksrechten af. Laat vóór acceptatie een proefexport uitvoeren.

Bespreek eerst de eisen, dan de oplossing

Wil je een klantportaal laten bouwen voor een grote opdrachtgever? Begin met het proces, de gegevens en de voorwaarden voor acceptatie. Daarmee kun je gerichter offertes vergelijken en voorkom je dat je meer bouwt dan nodig is.

Bekijk onze dienstverlening rond AI en data en bespreek je eisen via het formulier op die pagina. Wil je eerst nadenken over de zakelijke opbrengst? Gebruik de ROI-calculator als hulpmiddel met je eigen aannames, niet als garantie op rendement.