Encryptie is een techniek die gegevens omzet in een onleesbaar formaat, zodat alleen bevoegde partijen ze kunnen lezen. Je gebruikt het altijd als je gevoelige informatie opslaat of verstuurt: van klantgegevens en financiële data tot interne communicatie. Voor de meeste organisaties is encryptie geen optie meer, maar een basisvereiste, zowel technisch als juridisch.
In dit artikel beantwoorden we de meest gestelde vragen over encryptie: hoe het werkt, wanneer je het wettelijk verplicht bent, welke data je altijd moet versleutelen, en hoe je de juiste methode kiest voor jouw situatie.
Hoe werkt encryptie technisch gezien?
Encryptie werkt door leesbare gegevens (plaintext) via een wiskundig algoritme en een sleutel om te zetten naar onleesbare gegevens (ciphertext). Alleen wie beschikt over de juiste sleutel kan de gegevens terugzetten naar de oorspronkelijke vorm. Zonder die sleutel is de informatie betekenisloos, ook als iemand er fysiek toegang toe krijgt.
Er zijn twee hoofdvormen van encryptie die je in de praktijk tegenkomt:
Symmetrische encryptie
Bij symmetrische encryptie gebruik je dezelfde sleutel om gegevens te versleutelen en te ontsleutelen. Dit is snel en geschikt voor grote hoeveelheden data, zoals het versleutelen van een volledige harde schijf. Een veelgebruikte standaard is AES (Advanced Encryption Standard), die in varianten van 128, 192 of 256 bits beschikbaar is. AES-256 geldt momenteel als de gouden standaard voor gevoelige data.
Asymmetrische encryptie
Asymmetrische encryptie maakt gebruik van een sleutelpaar: een publieke sleutel om gegevens te versleutelen en een privésleutel om ze te ontsleutelen. Dit is de basis van veel beveiligde communicatieprotocollen, zoals HTTPS en e-mailversleuteling. RSA en elliptische-curvecryptografie (ECC) zijn bekende voorbeelden. Asymmetrische encryptie is rekenkundig zwaarder, maar lost het probleem van sleuteldistributie op: je kunt je publieke sleutel vrij delen zonder risico.
In de praktijk combineren systemen beide methoden. HTTPS gebruikt asymmetrische encryptie om een sessie op te starten en een gedeelde symmetrische sleutel uit te wisselen, waarna de rest van de communicatie symmetrisch verloopt. Dit biedt zowel veiligheid als snelheid.
Wat is het verschil tussen encryptie in rust en in transit?
Encryptie in rust beschermt data die opgeslagen is, zoals bestanden op een server of database. Encryptie in transit beschermt data die verstuurd wordt, bijvoorbeeld via een netwerk of internet. Beide vormen zijn noodzakelijk: een aanvaller die toegang krijgt tot je opslag of je netwerkverkeer onderschept, mag in beide gevallen niets kunnen lezen.
Encryptie in rust is relevant voor databases, back-ups, laptops, USB-schijven en cloudopslag. Volledige schijfversleuteling (zoals BitLocker op Windows of FileVault op macOS) en databaseversleuteling zijn veelgebruikte implementaties. Zonder deze bescherming is een gestolen laptop of een gelekt back-upbestand direct een datalek.
Encryptie in transit is van toepassing op alles wat over een netwerk reist: websiteverkeer via HTTPS, e-mail via TLS, API-communicatie en VPN-verbindingen. Het protocol TLS (Transport Layer Security) is de standaard voor beveiligde communicatie over het internet. Wanneer je een website bezoekt met een slotje in de adresbalk, is TLS actief.
Een veelgemaakte misvatting is dat één van de twee voldoende is. Data die versleuteld wordt verstuurd maar onversleuteld wordt opgeslagen, is kwetsbaar zodra een aanvaller toegang krijgt tot de opslagomgeving. Omgekeerd helpt encryptie in rust niet als een aanvaller het verkeer kan onderscheppen. Solide data-encryptiebeleid dekt altijd beide lagen.
Wanneer is encryptie verplicht volgens de wet?
Encryptie is wettelijk verplicht onder meerdere regelgevingskaders zodra je persoonsgegevens of gevoelige informatie verwerkt. De AVG (GDPR) noemt encryptie expliciet als passende technische maatregel voor de bescherming van persoonsgegevens. Daarnaast verplicht de NIS2-richtlijn, die in Nederland wordt omgezet via de Cyberbeveiligingswet, organisaties in essentiële en belangrijke sectoren om encryptie te implementeren als onderdeel van hun zorgplicht.
Concreet betekent dit het volgende voor Nederlandse organisaties:
- AVG: Verwerkers van persoonsgegevens moeten passende technische maatregelen treffen. Encryptie is de meest genoemde maatregel bij datalekken om de ernst te beperken. Versleutelde data die uitlekt, hoeft in veel gevallen niet gemeld te worden als de sleutel niet is gecompromitteerd.
- NIS2 / Cyberbeveiligingswet: Organisaties die onder de wet vallen, zijn verplicht een beleid te hebben voor het gebruik van cryptografie en encryptie. Dit geldt voor gemeenten, provincies, waterschappen, rijksoverheid en tal van sectoren zoals energie, transport en gezondheidszorg.
- BIO2 (Baseline Informatiebeveiliging Overheid): Voor overheidsorganisaties vormt de BIO2 de normatieve invulling van de NIS2-zorgplicht. Encryptie is hierin een concreet vereiste voor de bescherming van informatie.
- Sectorale normen: In de zorgsector (NEN 7510), financiële sector (DNB-richtlijnen) en andere gereguleerde sectoren gelden aanvullende verplichtingen rondom versleuteling.
De inwerkingtreding van de Cyberbeveiligingswet wordt verwacht in Q2 2026. Wachten tot die wet van kracht is, is echter geen verstandige strategie: de risico’s bestaan nu al, en toezichthouders verwachten dat organisaties al bezig zijn met de implementatie.
Welke data moet je als organisatie altijd versleutelen?
Als organisatie moet je altijd data versleutelen die bij een lek schade kan veroorzaken: voor individuen, voor de organisatie zelf of voor de continuïteit van dienstverlening. In de praktijk gaat het om persoonsgegevens, financiële informatie, authenticatiegegevens, medische dossiers en vertrouwelijke bedrijfsinformatie.
Een praktische lijst van datatypes die altijd versleuteld moeten zijn:
- Persoonsgegevens (namen, adressen, BSN-nummers, e-mailadressen)
- Wachtwoorden en authenticatiegegevens (minimaal gehasht met een sterk algoritme zoals bcrypt of Argon2)
- Financiële gegevens (rekeningnummers, betaalgegevens, salarisadministratie)
- Medische en gezondheidsgegevens
- Juridische documenten en contracten
- Inloggegevens voor systemen en API-sleutels
- Back-ups van alle bovenstaande categorieën
- Communicatie over gevoelige onderwerpen (e-mail, chat, videovergaderingen)
Een goede vuistregel: als het verlies of de openbaarmaking van deze data een melding vereist bij de Autoriteit Persoonsgegevens of een toezichthouder, moet de data versleuteld zijn. End-to-end encryptie verdient de voorkeur bij communicatie, omdat het garandeert dat alleen de verzender en ontvanger de inhoud kunnen lezen, ook de dienstverlener zelf niet.
Wat zijn veelgemaakte fouten bij het implementeren van encryptie?
De meest gemaakte fouten bij encryptie zijn het gebruik van verouderde algoritmen, slecht sleutelbeheer en het versleutelen van data zonder na te denken over sleuteltoegang. Technisch correcte encryptie die organisatorisch slecht is ingericht, biedt in de praktijk weinig bescherming.
Dit zijn de meest voorkomende implementatiefouten:
- Verouderde algoritmen gebruiken: MD5 en SHA-1 zijn niet langer veilig voor cryptografische toepassingen. DES en 3DES zijn eveneens achterhaald. Gebruik AES-256 voor symmetrische encryptie en RSA-2048 of ECC voor asymmetrische toepassingen.
- Sleutels onveilig opslaan: Een versleuteld bestand waarvan de sleutel in hetzelfde systeem of hetzelfde bestand staat, is praktisch onbeschermd. Sleutels horen in een apart, beveiligd sleutelbeheersysteem (Key Management System of KMS).
- Geen sleutelrotatie: Sleutels die nooit worden vervangen, vormen een groeiend risico. Stel een rotatiebeleid in, zeker voor langdurig opgeslagen data.
- Encryptie alleen in transit, niet in rust: Veel organisaties implementeren HTTPS maar vergeten databaseversleuteling of schijfversleuteling op werkstations.
- Geen beleid voor sleutelarchivering: Als een sleutel verloren gaat, zijn de versleutelde gegevens onherstelbaar. Zorg voor veilige back-ups van sleutels, met strikte toegangscontrole.
- Zelfgebouwde cryptografie: Eigen encryptie-implementaties bevatten bijna altijd kwetsbaarheden. Gebruik altijd gevalideerde, open standaarden en bibliotheken.
Een penetratietest kan helpen om zwakke plekken in de encryptie-implementatie te identificeren voordat aanvallers dat doen.
Hoe kies je de juiste encryptiemethode voor jouw organisatie?
De juiste encryptiemethode kies je op basis van het type data, de manier waarop die data wordt gebruikt, en de prestatie-eisen van je systemen. Er is geen universele oplossing: de keuze hangt af van of je data opslaat of verstuurt, hoe gevoelig de informatie is, en wie er toegang toe moet hebben.
Gebruik dit als leidraad:
- Voor opgeslagen data (in rust): AES-256 is de standaard. Gebruik volledige schijfversleuteling voor endpoints en databaseversleuteling voor back-ends.
- Voor data in transit: TLS 1.2 of hoger voor webverkeer en API-communicatie. Gebruik geen verouderde TLS-versies of zwakke cipher suites.
- Voor e-mail: S/MIME of PGP voor end-to-end versleuteling van e-mailinhoud. TLS beschermt alleen het transport, niet de inhoud zelf.
- Voor cloudopslag: Kies bij voorkeur een oplossing waarbij jij de sleutels beheert (BYOK: Bring Your Own Key), zodat de cloudprovider geen toegang heeft tot je data.
- Voor wachtwoorden: Gebruik geen encryptie maar hashing met bcrypt, Argon2 of scrypt. Wachtwoorden hoeven nooit ontsleuteld te worden.
Houd ook rekening met toekomstige ontwikkelingen. Kwantumcomputers vormen op termijn een bedreiging voor huidige asymmetrische algoritmen. De AIVD heeft in 2024 een handboek gepubliceerd over kwantumveilige cryptografie (PQC-migratie), en organisaties met een lange datahoudperiode doen er goed aan hier nu al rekening mee te houden.
Hoe Q-Cyber helpt met encryptie en dataveiligheid
Encryptie correct implementeren vraagt om meer dan een technische keuze: het vereist beleid, sleutelbeheer, bewustzijn bij medewerkers en aansluiting op wettelijke verplichtingen zoals de AVG en de Cyberbeveiligingswet. Wij helpen organisaties om encryptie niet als losstaande maatregel te behandelen, maar als onderdeel van een samenhangende cybersecuritystrategie.
Wat wij concreet voor je kunnen doen:
- Een gap-analyse uitvoeren om te bepalen waar encryptie ontbreekt of onvoldoende is ingericht
- Encryptiebeleid opstellen dat aansluit op NIS2, AVG en sectorale normen zoals de BIO2
- Advies geven over sleutelbeheer en de keuze voor de juiste algoritmen en tools
- Penetratietesten uitvoeren om kwetsbaarheden in de huidige encryptie-implementatie bloot te leggen
- Via Continuous-Q als virtuele CISO structureel toezicht houden op de encryptie- en beveiligingsstatus van je organisatie
- Trainingen verzorgen voor bestuurders en medewerkers over hun verantwoordelijkheden rondom dataveiligheid
Wij werken onafhankelijk, zonder binding aan softwarepartijen, en geven altijd pragmatisch advies dat past bij jouw organisatie en risicoprofiel. Wil je weten waar je nu staat? Neem contact op en we kijken samen wat nodig is.
Gerelateerde artikelen
- Hoe weet je of een pentest grondig genoeg is uitgevoerd?
- Crisismanagement bij een datalek: stap voor stap
- Verwerkingsregister: hoe maak je er een?
- Interne vs. externe beveiligingsaudit: wat past bij jou?
- Wat is cloud security?
- Wat is een DPIA en wanneer is het verplicht?
- Hoe lang duurt een pentest?
- Hoe weet je dat je bent gehackt?