Regel toegangsrechten voor diagnoselogboeken met een rolgebaseerd model (RBAC), individuele authenticatie voor beveiligde functies en heldere audit- en intrekkingsprocedures. Zo bepaal je precies wie welke diagnosegegevens mag inzien, wijzigen of overdragen. Er zijn systemen met rechtenbeheer en auditlogs die zich kunnen aanpassen aan de functies binnen je werkplaats.
Kort samengevat:
- Alleen de rollen die gekoppeld zijn aan specifieke functies mogen diagnoselogboeken inzien, aanpassen of overdragen, waardoor elke monteur alleen toegang krijgt tot relevante gegevens.
- Individuele authenticatie via certificaten is bij kritieke handelingen zoals herprogrammering verplicht volgens EU-regelgeving, met een strikte administratie en tijdige registratie.
- Het controleren en actualiseren van toegangsrechten moet minimaal vier keer per jaar plaatsvinden, vooral voor bevoegdheden zoals herprogrammering en systeembeheer.
- Rechtenbeheer start met het inventariseren van rollen, het scheiden van kijk- en actierechten, en het koppelen van MFA en certificaten aan elke rol voor optimale beveiliging.
- Geïntegreerde systemen voor rechten en auditlogs zorgen voor consistente vastlegging van diagnosegegevens en bieden overzicht voor betere overdracht en controle.
Inhoudsopgave
- Waarom RBAC het meest praktische model is voor jouw werkplaats
- Wat SERMI en de EU-regels eisen van jouw werkplaats
- Zo richt je rollen, rechten en logging stap voor stap in
- Welke techniek heb je nodig achter de schermen?
- Onboarding, offboarding en periodiek onderhoud van rechten
- Waarom dit werkt in de praktijk
- Regel rechtenbeheer en audit direct in Carozo
- Bronnen
- Veelgestelde vragen
Waarom RBAC het meest praktische model is voor jouw werkplaats
Rolgebaseerde toegangscontrole, beter bekend als RBAC, koppelt rechten aan functies in plaats van aan individuele personen. Wijzigt een monteur van rol, dan verandert automatisch zijn toegang mee. Dat scheelt handmatig geregel en voorkomt dat oude rechten blijven hangen na een functiewijziging.
Het model werkt het beste als je onderscheid maakt tussen twee soorten functies. Programmafuncties gaan over het beheer van de tester zelf, denk aan instellingen en systeemconfiguratie. Projectfuncties zijn gebonden aan concrete diagnosetaken, zoals het uitlezen van foutcodes of het herprogrammeren van een ECU. Zonder die scheiding kan een monteur met gewone systeemtoegang per ongeluk instellingen van de tester aanpassen, met risico's voor de betrouwbaarheid van de hele diagnoseketen.
RBAC sluit ook natuurlijk aan op de functiehiërarchie die je al hebt:
- Chef werkplaats: volledige rechten, inclusief het toewijzen en intrekken van rechten van anderen.
- Ervaren monteur: toegang tot alle diagnosetaken, inclusief herprogrammering waar bevoegd.
- Junior monteur: uitleesrechten en standaarddiagnoses, geen herprogrammeringsrechten.
- Stagiair: alleen kijkrechten, vaak ingericht als extra laag boven een bestaande rol, zoals ook in rolstructuren van Autoflex te zien is.
Softing adviseert dit model juist omdat het schaalbaar blijft naarmate een werkplaats groeit. Beheertools zoals TDX.admin maken het mogelijk rollen te koppelen aan tijdsgebonden rechten, zodat je nooit meer rechten uitdeelt dan een functie nodig heeft.
Pro-tip: Koppel elke rol direct aan een bestaande functieomschrijving in je personeelsdossier. Dat maakt het makkelijker om bij een functioneringsgesprek meteen te checken of de toegangsrechten nog kloppen.
Wat SERMI en de EU-regels eisen van jouw werkplaats
Regulation (EU) 2018/858 en de latere amendering via Commission Delegated Regulation (EU) 2026/699 leggen vast hoe onafhankelijke werkplaatsen veilig toegang krijgen tot beveiligde voertuiginformatie (OBD/RMI). De verordening geeft fabrikanten de ruimte om individuele authenticatie te eisen bij gevoelige handelingen zoals softwareherprogrammering, en stelt eisen aan de compliance van diagnosetools zelf.
Het SERMI-scheme regelt hoe die authenticatie in de praktijk werkt. Drie partijen spelen daarbij een rol:
- CAB (Conformity Assessment Body): voert inspecties uit bij de werkplaats en beoordeelt of iemand voldoet aan de voorwaarden.
- Trust Centre: geeft na een positieve CAB-beoordeling het digitale certificaat uit dat een monteur individueel identificeerbaar maakt.
- Monteur zelf: gebruikt dat certificaat om zich te authenticeren bij beveiligde diagnosefuncties, vaak in combinatie met multifactor-authenticatie.
Voor herprogrammering en andere kritieke functies is die individuele traceerbaarheid niet zomaar een aanrader. De regelgeving maakt haar in bepaalde gevallen verplicht, en dat betekent dat je als garagemanager vooraf je administratie op orde moet hebben.
Bereid daarom concreet voor: houd een geldige arbeidsovereenkomst en identiteitsbewijs van de aanvrager bij, zorg voor een lopende verzekeringsdekking die past bij toegang tot beveiligde systemen, en houd rekening met een doorlooptijd bij de aanvraag van certificaten via de Trust Centre. Diagnosetoolleveranciers kunnen daarnaast gevraagd worden om VIN's en unieke tool-ID's te registreren bij beveiligde operaties, iets wat invloed heeft op hoe je logboeken worden ingericht.
Zo richt je rollen, rechten en logging stap voor stap in
Een goed rechtenbeheer bouw je op in een vaste volgorde, niet ad hoc per medewerker.
- Inventariseer je rollen. Werk met een beperkt aantal rollen, meestal vier tot zes, zoals chef, ervaren monteur, junior monteur, stagiair en eventueel een rol voor externe monteurs.
- Bouw een rol-naar-functie matrix. Zet per rol neer welke acties toegestaan zijn: kijken, aanpassen, herprogrammeren, rechten beheren.
- Scheid kijkrechten van actierechten. Niet iedereen die een diagnose moet inzien, hoeft ook wijzigingen te mogen doorvoeren.
- Beperk herprogrammeringsrechten tot de rollen die daarvoor bevoegd en gecertificeerd zijn.
- Stel tijdelijke toegang in met een automatische einddatum voor vervangers, uitzendkrachten of stagiairs.
- Regel de intrekkingsprocedure: wie meldt een vertrek, en binnen hoeveel tijd worden rechten daadwerkelijk stopgezet?
- Koppel MFA en digitale certificaten aan elke rol die toegang heeft tot beveiligde functies.
Vraag bij de aanschaf van diagnosetools altijd naar:
- Ondersteuning voor rolgebaseerde rechten en tijdsgebonden toegang.
- Mogelijkheden voor offline certificaatvalidatie.
- Standaard exportformaten voor auditlogs.
Voor logging geldt: leg minimaal gebruikers-ID, actieomschrijving, tijdstempel, VIN en tool-ID vast, in lijn met de eisen uit de EU-amendering.
Pro-tip: Zet een terugkerende kalenderafspraak voor de rechtencontrole. Zonder vaste datum schuift die "even later" bijna altijd naar nooit.
Welke techniek heb je nodig achter de schermen?
Een centrale identity directory, zoals Active Directory, vormt de ruggengraat van je rechtenbeheer. Daar leg je vast wie welke rol heeft, en van daaruit synchroniseer je rechten naar je diagnosetools en logboeksoftware.
Voor certificaatdistributie werk je met een RUDB (Rights and User Database) die communiceert met de Trust Centre en met je testers. Softing beschrijft hoe deze database automatisch moet synchroniseren, zodat een ingetrokken certificaat ook echt overal geblokkeerd wordt en niet alleen op één tester.
Voor monteurs die vaak offline werken, in mobiele werkplaatsen of bij pech onderweg, is vooraf uitgegeven en lokaal geldige certificering essentieel. Deze certificaten werken zonder actieve internetverbinding en worden bij de volgende synchronisatie bijgewerkt.
Sommige software vult dit technische fundament aan door structuren voor rechten en auditlogs herkenbaar en toegankelijk te maken. In plaats van losse Excel-lijsten of mondelinge afspraken, zie je in één overzicht wie welke diagnose heeft bekeken, aangepast of overgedragen. Dat maakt zulke systemen een aanvulling op je identity- en certificaatbeheer, geen vervanging.
Onboarding, offboarding en periodiek onderhoud van rechten
Rechtenbeheer is geen eenmalig project. Het vraagt vaste routines rond in en uitstroom van personeel.
Bij onboarding:
- Koppel de nieuwe medewerker meteen aan de juiste rol, nooit aan een kopie van iemand anders zonder controle.
- Vraag het digitale certificaat aan zodra de arbeidsovereenkomst en verzekering rond zijn.
- Geef een korte instructie over certificaatgebruik en waarom individuele authenticatie verplicht is.
Bij offboarding:
- Trek rechten in op de laatste werkdag, niet pas bij de volgende salarisronde.
- Deactiveer het certificaat bij de Trust Centre of via je beheertool.
- Controleer of gedeelde wachtwoorden of apparaten opnieuw ingesteld moeten worden.
Plan minimaal één keer per kwartaal een reviewmoment voor kritieke rechten, zoals herprogrammering en systeembeheer. Bij een incident, een vermoeden van misbruik of een verloren certificaat, schort je toegang direct op en herstel je die pas na verificatie.
Pro-tip: Leg de offboardingstap vast als vaste actie in je exitgesprek-checklist. Zo vergeet niemand het, ook niet bij een spoedig vertrek.
Waarom dit werkt in de praktijk
Werkplaatsen die rechten helder per rol inrichten, zien minder verwarring bij overdrachten tussen monteurs. Een diagnose die goed is vastgelegd, met de juiste rechten om ze terug te vinden, bespaart een collega het opnieuw doorlopen van dezelfde stappen. Dat is precies waar een diagnoselogboek als hulpmiddel waarde aan kan toevoegen: niet als vervanging van je RBAC-inrichting, maar als plek waar die inrichting zichtbaar en bruikbaar wordt in het dagelijkse werk.
De valkuil die ik het vaakst tegenkom is dat garages rechten wel instellen, maar nooit meer controleren. Een stagiair van vorig jaar heeft dan nog steeds actieve toegang, gewoon omdat niemand aan intrekken dacht. SERMI en de EU-regelgeving dwingen die discipline nu af voor beveiligde functies, en dat is een goede zaak. Werkplaatsen die dit al vóór de verplichting op orde hadden, lopen simpelweg voor.
— Jeroen
Regel rechtenbeheer en audit direct in Carozo
Er zijn oplossingen voor garages die rechtenbeheer en auditlogs niet los willen bijhouden naast hun diagnosewerk, maar geïntegreerd in hetzelfde systeem waar diagnoses al worden vastgelegd. Geen losse spreadsheet met rollen, geen mondelinge afspraken over wie wat mag zien: elke diagnose, foutcode en bevinding krijgt een duidelijke eigenaar en een spoor dat je kunt naslaan.
Het platform kan aansluiten op de rolindeling die je al hebt opgezet, van chef werkplaats tot stagiair, en houdt bij wie een diagnose heeft ingezien, aangevuld of overgedragen. Een AI-assistent kan meedenken op basis van eerder vastgelegde diagnoses, zodat monteurs sneller verder komen zonder opnieuw vanaf nul te beginnen. Dat scheelt tijd bij overdrachten tussen collega's en bouwt kennis op die anders verloren gaat bij personeelswisselingen.
Wil je zien hoe dat voor jouw werkplaats werkt? Bekijk de abonnementen van Carozo en start een proefperiode, of ontdek op de productpagina van Carozo hoe het diagnoselogboek aansluit op jouw huidige werkwijze.
Bronnen
Voor de juridische basis van dit artikel raadpleeg je Commission Delegated Regulation (EU) 2026/699 en het SERMI-scheme. Technische achtergrond over RBAC en certificaatbeheer vind je bij Softing en Hella. Praktijkvoorbeelden van roldefinities staan bij Autoflex.
- Commission Delegated Regulation (EU) 2026/699 (amendment to Regulation (EU) 2018/858)
- Scheme for accreditation, approval and authorisation to Access Security-related Repair and Maintenance Information (SERMI)
- Softing – artikelen en praktijkinzichten over security en autorisatie
Veelgestelde vragen
Wat is RBAC precies?
RBAC staat voor rolgebaseerde toegangscontrole: rechten worden gekoppeld aan een functie, zoals chef werkplaats of stagiair, in plaats van los per persoon ingesteld. Verandert iemand van rol, dan verandert de toegang automatisch mee.
Wanneer is een individueel certificaat verplicht?
Bij beveiligde functies zoals softwareherprogrammering kunnen fabrikanten individuele authenticatie eisen, vastgelegd in Commission Delegated Regulation (EU) 2026/699. Het SERMI-scheme regelt de uitgifte van dat certificaat via een CAB-inspectie en het Trust Centre.
Hoe vaak moet ik toegangsrechten controleren?
Voor kritieke rechten, zoals herprogrammering, is een controle van minimaal één keer per kwartaal aan te raden. Voor overige rollen kan een halfjaarlijkse review vaak al voldoende zijn.
Kan Carozo helpen bij het beheren van rechten en auditlogs?
Carozo legt vast wie een diagnose heeft bekeken, aangepast of overgedragen, en maakt dat overzicht toegankelijk voor de hele werkplaats. Actuele abonnementsopties staan op de pricing-pagina van Carozo.
Wat gebeurt er als een monteur offline werkt?
Voor mobiele of offline monteurs worden certificaten vooraf uitgegeven en lokaal gevalideerd, zodat authenticatie ook zonder internetverbinding werkt. Bij de volgende synchronisatie wordt de rechtenstatus automatisch bijgewerkt.