Wat is de rol van het management bij NIS2-naleving?

Geplaatst op: 16 augustus 2026

Het management draagt onder de NIS2-richtlijn directe en formele verantwoordelijkheid voor de cyberbeveiliging van de organisatie. Bestuurders moeten aantoonbaar betrokken zijn bij beslissingen over informatiebeveiliging, voldoende kennis hebben van cybersecurityrisico’s en actief toezicht houden op de genomen maatregelen. Dit geldt niet alleen voor grote bedrijven, maar voor alle organisaties die onder de Nederlandse Cyberbeveiligingswet (Cbw) vallen. In dit artikel beantwoorden we de meest gestelde vragen over de rol van het management bij NIS2-naleving.

Welke verantwoordelijkheden legt NIS2 bij het management?

De NIS2-richtlijn legt de eindverantwoordelijkheid voor cyberbeveiliging expliciet bij het bestuur van een organisatie. Dat betekent dat het management niet alleen beslissingen goedkeurt, maar ook aantoonbaar betrokken moet zijn bij het identificeren van risico’s, het beoordelen van maatregelen en het bewaken van de naleving. Cyberbeveiliging is daarmee een bestuurlijke kerntaak geworden, geen IT-aangelegenheid.

Concreet omvat de NIS2-verantwoordelijkheid van het management de volgende verplichtingen:

• Risicoanalyse en beleid: Het bestuur moet zorgen dat de organisatie een actueel beleid heeft voor risicoanalyse en informatiebeveiliging.
• Bedrijfscontinuïteit: Er moeten maatregelen zijn voor crisisbeheersing en herstel na een incident.
• Supply chain security: Het management is verantwoordelijk voor inzicht in de cybersecuritymaatregelen van leveranciers en ketenpartners.
• Incidentmelding: Bij significante cybersecurityincidenten moet de organisatie dit binnen 24 uur melden bij de bevoegde autoriteit. Het bestuur draagt hiervoor de eindverantwoordelijkheid.
• Trainingsplicht: Alle leden van het bestuur zijn verplicht een training te volgen waarin zij leren beveiligingsrisico’s te herkennen, maatregelen te beoordelen en de gevolgen voor de organisatie te begrijpen.

De Cyberbeveiligingswet verplicht bestuurders nadrukkelijk om voldoende kennis en betrokkenheid te tonen. Het is niet voldoende om cybersecurity volledig te delegeren aan een IT-afdeling of externe partij. Het management moet in staat zijn om weloverwogen besluiten te nemen over beveiligingsvraagstukken. Meer over wat compliance en beleid in de praktijk betekent, lees je op onze kennispagina.

Kan het management persoonlijk aansprakelijk worden gesteld bij NIS2?

Voor private organisaties introduceert NIS2 de mogelijkheid om bestuurders persoonlijk aansprakelijk te stellen bij ernstige overtredingen als gevolg van grove nalatigheid. Voor overheidsinstanties geldt dit nadrukkelijk niet: de Cyberbeveiligingswet brengt voor de publieke sector geen nieuwe aansprakelijkheden met zich mee buiten wat al bestond.

Voor bedrijven die onder de NIS2 vallen, is de situatie anders. Wanneer een organisatie de zorgplicht structureel negeert en dit leidt tot een ernstig incident, kan de toezichthouder niet alleen de organisatie beboeten, maar ook het management persoonlijk aanspreken. De maximale boetes voor essentiële entiteiten bedragen 10 miljoen euro of 2% van de wereldwijde jaaromzet. Belangrijke entiteiten kunnen boetes tot 7 miljoen euro of 1,4% van de jaaromzet verwachten.

De persoonlijke aansprakelijkheid van bestuurders maakt NIS2-naleving tot een boardroomkwestie. Bestuurders kunnen zich niet verschuilen achter het argument dat zij niet op de hoogte waren van de risico’s, juist omdat de wet hen verplicht om die kennis actief te verwerven en toe te passen. De trainingsplicht is daarmee niet alleen een formaliteit, maar ook een juridische bescherming: wie aantoonbaar geïnformeerd handelt, staat sterker bij een toezichtsonderzoek.

Hoe verschilt de NIS2-rol van management per organisatietype?

De formele invulling van de managementrol bij NIS2 verschilt afhankelijk van of een organisatie een private onderneming, een overheidsinstantie of een hybride entiteit is. Het principe van bestuurlijke verantwoordelijkheid is universeel, maar de concrete uitwerking varieert.

Private organisaties

Bij bedrijven en private instellingen is het dagelijks bestuur, zoals de directie of het managementteam, aangewezen als verantwoordelijke partij. Zij moeten aantoonbaar betrokken zijn bij het cybersecuritybeleid en kunnen bij grove nalatigheid persoonlijk aansprakelijk worden gesteld. De organisatie bepaalt zelf welke opleider de verplichte bestuurderstraining verzorgt, zolang de inhoud aansluit op de vereisten uit het Cyberbeveiligingsbesluit.

Overheidsinstanties

Voor overheidsorganisaties, zoals gemeenten, provincies en ministeries, is de politieke leiding aangewezen als het bestuur in de zin van de Cyberbeveiligingswet. Dat zijn dus ministers, wethouders en gedeputeerde staten, niet de ambtelijke top. Dit sluit aan bij de Gemeentewet en vergelijkbare wetgeving. Persoonlijke aansprakelijkheid geldt voor hen niet op grond van de Cbw, maar de verantwoordelijkheid voor aantoonbaar beleid en naleving blijft onverminderd van kracht. Voor overheidsorganisaties vormt de Baseline Informatiebeveiliging Overheid 2 (BIO2) het normatieve kader waarmee zij grotendeels aan de NIS2-zorgplicht kunnen voldoen.

Welke beslissingen moet het management zelf nemen bij NIS2?

Het management moet bij NIS2-naleving een aantal beslissingen actief en aantoonbaar zelf nemen. Delegeren aan IT of een externe adviseur is toegestaan voor de uitvoering, maar de strategische keuzes en de formele goedkeuring liggen bij het bestuur.

De beslissingen die het management niet kan overdragen zijn onder andere:

• Vaststellen van het risicobeleid: Het bestuur keurt het beleid voor risicoanalyse en informatiebeveiliging formeel goed en draagt de eindverantwoordelijkheid voor de inhoud.
• Prioritering van maatregelen: Op basis van een risicoanalyse moet het management beslissen welke beveiligingsmaatregelen worden genomen en welke middelen daarvoor beschikbaar worden gesteld.
• Supply chain beslissingen: Het management moet actief betrokken zijn bij het beoordelen van leveranciersrisico’s en de eisen die de organisatie stelt aan haar toeleveringsketen.
• Incidentrespons op bestuursniveau: Bij een ernstig incident moet het management direct betrokken zijn bij de besluitvorming over communicatie, herstel en melding aan de toezichthouder.
• Registratie en toezicht: De verplichting tot registratie in het entiteitenregister van het NCSC ligt bij de organisatie als geheel, maar het bestuur draagt de verantwoordelijkheid voor tijdige en correcte naleving.

Een virtuele CISO kan het management ondersteunen bij de voorbereiding en advisering, maar vervangt de bestuurlijke besluitvorming niet. Meer over hoe een virtuele CISO-aanpak werkt, vind je op onze Continuous-Q pagina.

Hoe bereidt het management zich praktisch voor op NIS2-naleving?

Het management bereidt zich praktisch voor op NIS2-naleving door een gestructureerde aanpak te volgen die begint met bewustwording, gevolgd door een gap-analyse, beleidsvorming en aantoonbare betrokkenheid. De inwerkingtreding van de Cyberbeveiligingswet wordt verwacht in het tweede kwartaal van 2026, maar de risico’s bestaan nu al en voorbereiding loont.

Een praktische aanpak voor bestuurders omvat de volgende stappen:

1. Bepaal of uw organisatie onder de wet valt. Gebruik de NIS2 Zelfevaluatietool van RVO of de flowchart van het NCSC om te beoordelen of uw organisatie als essentiële of belangrijke entiteit wordt aangemerkt.
2. Volg een bestuurderstraining. De trainingsplicht geldt voor alle leden van het bestuur. Vanaf inwerkingtreding van de Cbw hebben bestuurders maximaal twee jaar om hieraan te voldoen. Begin hier niet te laat mee.
3. Laat een gap-analyse uitvoeren. Breng in kaart welke maatregelen al aanwezig zijn en waar de organisatie nog tekortschiet ten opzichte van de NIS2-vereisten. Dit vormt de basis voor een realistisch actieplan.
4. Stel beleid vast en documenteer dit aantoonbaar. Het bestuur moet formeel beleid vaststellen voor risicoanalyse, toegangsbeheer, cryptografie, incidentrespons en bedrijfscontinuïteit.
5. Breng de toeleveringsketen in kaart. De NIS2-zorgplicht vereist dat u inzicht heeft in de cybersecuritymaatregelen van uw leveranciers. Begin met de meest kritieke leveranciers.
6. Registreer de organisatie tijdig. Zorg dat u zich via het NCSC-portaal registreert zodra dat verplicht wordt, en houd de organisatiegegevens actueel.

Voor overheidsorganisaties geldt als extra startpunt: implementeer of versterk de BIO2. Naleving van dit normenkader dekt een groot deel van de NIS2-vereisten af en is het logische vertrekpunt voor voorbereiding. Wil je weten hoe een diepgaand cybersecurityonderzoek uw huidige situatie in kaart brengt? Dat kan een waardevolle eerste stap zijn.

Hoe Q-Cyber helpt met NIS2-naleving voor het management

Wij begrijpen dat NIS2-naleving voor veel bestuurders een complex en tijdrovend traject is, zeker wanneer de technische en beleidsmatige eisen samenkomen op bestuursniveau. Q-Cyber begeleidt organisaties door dit traject met een aanpak die zowel praktisch als onafhankelijk is.

Wat wij concreet voor uw management doen:

• Gap-analyse: Wij brengen in kaart waar uw organisatie staat ten opzichte van de NIS2-vereisten en welke stappen prioriteit hebben.
• Beleid op maat: Wij schrijven cybersecuritybeleid dat aansluit op uw specifieke risicoprofiel en voldoet aan de eisen van de Cyberbeveiligingswet.
• Bestuurderstrainingen: Wij verzorgen trainingen waarmee uw management aantoonbaar voldoet aan de trainingsplicht en in staat is om weloverwogen beslissingen te nemen.
• Virtuele CISO (Continuous-Q): Via ons team van specialisten fungeert een virtuele CISO als vaste sparringpartner voor het bestuur, zonder de kosten van een interne aanstelling.
• Onafhankelijk advies: Wij zijn niet gebonden aan softwarepartijen of leveranciers, zodat ons advies altijd in uw belang is.

De Rijksoverheid adviseert organisaties om niet te wachten totdat de wet in werking treedt. Wie nu handelt, is straks beter voorbereid en aantoonbaar compliant. Neem contact op en ontdek wat Q-Cyber voor uw organisatie kan betekenen.

Lees meer

Welke technische maatregelen eist NIS2 van jouw bedrijf?

Geplaatst op: 15 augustus 2026

De NIS2-richtlijn verplicht bedrijven en organisaties in aangewezen sectoren om concrete technische beveiligingsmaatregelen te implementeren op het gebied van toegangsbeheer, encryptie, netwerksegmentatie, patchbeheer en incidentrespons. Deze eisen gelden voor zowel essentiële als belangrijke entiteiten, maar de intensiteit van het toezicht verschilt. In dit artikel beantwoorden we de meest gestelde vragen over de NIS2 technische maatregelen die jouw organisatie moet nemen.

Welke sectoren vallen onder de technische NIS2-verplichtingen?

De NIS2-richtlijn is van toepassing op organisaties in sectoren die als kritiek worden beschouwd voor de samenleving en economie. In Nederland vallen ruim 10.000 organisaties direct onder de wet, verdeeld over twee categorieën: essentiële entiteiten en belangrijke entiteiten. De sector bepaalt in welke categorie je valt en hoe intensief het toezicht is.

Essentiële sectoren omvatten onder andere energie, transport, drinkwater, digitale infrastructuur, gezondheidszorg, bankwezen en overheid. Alle gemeenten, provincies en waterschappen worden automatisch als essentiële entiteiten aangemerkt, net als ministeries en hun agentschappen. Belangrijke entiteiten bevinden zich in sectoren zoals post- en koeriersdiensten, afvalbeheer, levensmiddelen en digitale aanbieders.

Een cruciale toevoeging die vaak over het hoofd wordt gezien: ook organisaties die aan deze groepen leveren, kunnen indirect met de NIS2 vereisten te maken krijgen. Naar schatting worden 50.000 bedrijven in de toeleveringsketen geraakt wanneer hun diensten of producten risico’s met zich meebrengen voor de primaire entiteit. Supply chain-beveiliging is dan ook expliciet onderdeel van de NIS2 technische maatregelen.

Twijfel je of jouw organisatie onder de wet valt? Via de NIS2 zelfevaluatie en de flowchart van het NCSC kun je dit zelf bepalen. Organisaties zijn zelf verantwoordelijk voor die beoordeling.

Wat zijn de verplichte technische beveiligingsmaatregelen onder NIS2?

De NIS2 beveiliging vereist dat organisaties een breed pakket aan technische maatregelen implementeren op basis van een risicogebaseerde aanpak. De wet schrijft geen specifieke producten voor, maar wel de beveiligingsdomeinen waarop je aantoonbaar actie moet ondernemen. Dit maakt de implementatie maatwerk per organisatie.

De verplichte technische domeinen onder NIS2 omvatten:

• Toegangsbeheer en authenticatie: Sterke authenticatiemechanismen, zoals meerfactorauthenticatie, en het principe van minimale rechten voor gebruikers en systemen.
• Encryptie en cryptografie: Versleuteling van data in rust en in transit, met beleid voor sleutelbeheer en cryptografische standaarden.
• Netwerksegmentatie en monitoring: Scheiding van kritieke systemen, continue monitoring van netwerkverkeer en detectie van afwijkend gedrag.
• Patchbeheer en kwetsbaarheidsbeheer: Structureel en tijdig patchen van systemen, gecombineerd met regelmatige vulnerability scans.
• Back-up en herstel: Betrouwbare back-upprocessen en aantoonbare herstelprocedures als onderdeel van bedrijfscontinuïteit.
• Supply chain-beveiliging: Beoordeling van de beveiligingspraktijken van leveranciers en contractuele verankering van beveiligingseisen.
• Beveiliging bij ontwikkeling en onderhoud: Secure coding-principes en beveiligingstests bij het ontwikkelen of aanpassen van systemen.

Naast deze technische maatregelen verplicht NIS2 ook organisatorische maatregelen, zoals beleid voor informatiebeveiliging, trainingen voor bestuurders en procedures voor incidentrespons. Techniek en beleid zijn onder NIS2 onlosmakelijk met elkaar verbonden.

Hoe verschilt NIS2 technisch van de oude NIS1-richtlijn?

NIS2 is geen kleine update van NIS1, maar een fundamentele uitbreiding in reikwijdte, diepgang en handhaving. Waar NIS1 zich beperkte tot een relatief kleine groep aanbieders van essentiële diensten met globale beveiligingseisen, stelt NIS2 expliciete technische vereisten en breidt de wet het toepassingsgebied drastisch uit.

De belangrijkste technische en structurele verschillen zijn:

• Bredere scope: NIS1 gold voor zeven sectoren; NIS2 omvat achttien sectoren en introduceert de categorie “belangrijke entiteiten” naast essentiële.
• Expliciete maatregelendomeinen: NIS1 liet organisaties grotendeels zelf bepalen welke maatregelen passend waren. NIS2 benoemt specifieke domeinen zoals cryptografie, toegangsbeheer en supply chain-beveiliging expliciet.
• Bestuurlijke verantwoordelijkheid: NIS2 legt de verantwoordelijkheid voor cyberveiligheid direct bij het bestuur neer, inclusief een trainingsplicht. Dit was onder NIS1 niet het geval.
• Strengere meldplicht: De termijnen voor incidentmelding zijn aangescherpt en gestructureerd in drie stappen: een vroegtijdige waarschuwing binnen 24 uur, een vervolgmelding binnen 72 uur en een eindverslag binnen een maand.
• Hogere boetes: De sancties zijn significant verhoogd en ook het senior management kan persoonlijk aansprakelijk worden gesteld.

Hoe voer je een NIS2-conforme risicoanalyse uit?

Een NIS2-conforme risicoanalyse begint met het in kaart brengen van alle netwerk- en informatiesystemen die jouw organisatie gebruikt voor het leveren van diensten, gevolgd door een systematische beoordeling van de dreigingen, kwetsbaarheden en mogelijke impact op de bedrijfscontinuïteit. De risicoanalyse is geen eenmalige exercitie, maar een doorlopend proces.

Praktisch gezien doorloop je de volgende stappen:

1. Inventariseer je assets: Breng alle systemen, applicaties, data en netwerkcomponenten in kaart die relevant zijn voor je dienstverlening.
2. Identificeer dreigingen en kwetsbaarheden: Gebruik dreigingsinformatie van het NCSC en voer regelmatig penetratietests en vulnerability scans uit om zwakke plekken te ontdekken.
3. Beoordeel de impact: Bepaal welke gevolgen een verstoring of inbreuk zou hebben op de continuïteit van je diensten, je klanten en eventueel de samenleving.
4. Prioriteer maatregelen: Koppel beveiligingsmaatregelen aan de geïdentificeerde risico’s en prioriteer op basis van kans en impact.
5. Documenteer en herhaal: Leg de risicoanalyse vast in beleid en herhaal het proces minimaal jaarlijks of na significante wijzigingen in systemen of dreigingslandschap.

Voor overheidsorganisaties sluit de Baseline Informatiebeveiliging Overheid 2 (BIO2) goed aan op deze risicogebaseerde benadering en vormt naleving van de BIO2 het logische startpunt voor NIS2-compliance.

Wanneer moet je een NIS2-incident melden en hoe?

Onder de NIS2 cybersecurity eisen ben je verplicht een incident te melden wanneer het de continuïteit van je dienstverlening aanzienlijk verstoort of kan verstoren. De meldplicht geldt voor significante incidenten en kent een gestructureerde drietrapsaanpak met vaste termijnen die je niet mag overschrijden.

De drie stappen van de meldprocedure zijn:

1. Vroegtijdige waarschuwing: Binnen 24 uur na ontdekking van het incident meld je een eerste signaal, ook als je nog niet alle details kent.
2. Vervolgmelding: Binnen 72 uur na de eerste melding verstrek je aanvullende informatie over de aard, omvang en impact van het incident.
3. Eindverslag: Uiterlijk één maand na de eerste melding lever je een gedetailleerde beschrijving van het incident, de ernst, de gevolgen en de genomen herstelmaatregelen.

Meldingen verlopen via het NCSC-portaal, dat ze automatisch doorstuurt naar zowel het eigen CSIRT als de toezichthouder. Dit voorkomt dat je dubbel hoeft te melden. Factoren die een incident meldingswaardig maken, zijn onder andere het aantal getroffen personen, de duur van de verstoring en de mogelijke financiële schade. De exacte drempelcriteria worden per sector uitgewerkt in ministeriële regelingen.

Een goede voorbereiding op de meldplicht begint met het inrichten van een intern incidentresponsproces. Cyber research en threat intelligence helpen daarbij om snel te kunnen beoordelen of een incident de meldingsdrempel overschrijdt.

Wat kost het niet voldoen aan de NIS2 technische eisen?

Organisaties die niet voldoen aan de NIS2 vereisten in Nederland riskeren aanzienlijke financiële sancties. Essentiële entiteiten kunnen boetes oplopen tot maximaal 10 miljoen euro of 2% van hun wereldwijde jaaromzet, waarbij het hoogste bedrag van toepassing is. Voor belangrijke entiteiten liggen de maximale boetes op 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.

Naast financiële sancties zijn er andere gevolgen die minstens zo zwaar wegen:

• Persoonlijke aansprakelijkheid van bestuurders: Senior management kan persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen. Dit maakt cybersecurity een boardroomvraagstuk, niet alleen een IT-kwestie.
• Reputatieschade: Toezichthouders kunnen besluiten om handhavingsmaatregelen openbaar te maken, wat directe gevolgen heeft voor het vertrouwen van klanten en partners.
• Operationele beperkingen: In ernstige gevallen kunnen toezichthouders tijdelijke beperkingen opleggen aan de bedrijfsvoering totdat de situatie is hersteld.
• Verhoogd risico op daadwerkelijke incidenten: Wie de technische maatregelen niet op orde heeft, is kwetsbaarder voor cyberaanvallen, met alle operationele en financiële schade van dien.

Voor overheidsorganisaties geldt overigens dat de aansprakelijkheidsbepaling voor bestuurders expliciet niet van toepassing is, maar de verantwoordelijkheid voor cyberweerbaarheid rust wel degelijk bij de politieke leiding.

Hoe Q-Cyber helpt met NIS2 technische maatregelen

Wij begeleiden organisaties door het volledige NIS2-traject, van de eerste gap-analyse tot de implementatie van technische maatregelen en de borging in beleid en processen. Onze aanpak is pragmatisch, onafhankelijk en volledig afgestemd op jouw specifieke risicoprofiel, zonder binding aan softwarepartijen of andere toeleveranciers.

Wat wij concreet voor jouw organisatie doen:

• Gap-analyse en nulmeting: We brengen in kaart waar jouw organisatie nu staat ten opzichte van de NIS2 vereisten en welke technische en organisatorische maatregelen prioriteit verdienen.
• Penetratietests en vulnerability scans: We testen actief op kwetsbaarheden in jouw netwerken, systemen en applicaties om risico’s te identificeren voordat aanvallers dat doen.
• Red team oefeningen: Via gesimuleerde aanvallen testen we hoe weerbaar jouw organisatie werkelijk is tegen realistische dreigingsscenario’s.
• Beleidsvorming en documentatie: We schrijven het benodigde informatiebeveiligingsbeleid, incidentresponsplannen en procedures die aansluiten op de NIS2 eisen.
• Bestuurderstrainingen: We verzorgen trainingen voor bestuurders en management zodat zij beveiligingsrisico’s kunnen beoordelen en weloverwogen beslissingen kunnen nemen.
• Virtuele CISO via Continuous-Q: Voor organisaties zonder eigen CISO bieden we via Continuous-Q een team van specialisten dat structureel de cybersecurityregie voert.

De Rijksoverheid adviseert organisaties om niet af te wachten totdat de wet in werking treedt. De risico’s zijn er nu al, en wie nu in actie komt, is straks beter voorbereid. Neem contact met ons op en ontdek wat wij voor jouw organisatie kunnen betekenen.

Lees meer

Hoe beveilig je persoonsgegevens van klanten?

Geplaatst op: 14 augustus 2026

Persoonsgegevens van klanten beveilig je met een combinatie van technische maatregelen, organisatorisch beleid en naleving van de AVG. Dit geldt voor elke organisatie die klantgegevens verwerkt, ongeacht de omvang. De vragen hieronder geven per thema een concreet antwoord op wat je moet weten en doen.

Welke persoonsgegevens van klanten zijn het meest kwetsbaar?

De meest kwetsbare persoonsgegevens zijn gegevens die direct schade kunnen veroorzaken als ze in verkeerde handen vallen. Denk aan financiële gegevens zoals rekeningnummers en betaalkaartinformatie, inloggegevens, gezondheidsgegevens, kopieën van identiteitsdocumenten en contactgegevens gecombineerd met aankoophistorie of gedragsprofielen.

Binnen de AVG worden bepaalde categorieën als bijzondere persoonsgegevens aangemerkt. Hieronder vallen onder andere gezondheidsgegevens, biometrische gegevens, gegevens over ras of etnische afkomst, en gegevens over politieke opvattingen. Voor deze categorieën gelden strengere verwerkingseisen en is beveiliging extra kritisch.

Maar ook ogenschijnlijk onschuldige gegevens kunnen kwetsbaar zijn in combinatie. Een naam plus e-mailadres plus wachtwoord is al genoeg voor identiteitsfraude. Hetzelfde geldt voor klantprofielen die gedragsdata combineren met persoonlijke identificatoren. Bij het bepalen van je beveiligingsstrategie is het verstandig om niet alleen te kijken naar de gevoeligheid van losse velden, maar naar de combinatie van gegevens die je verwerkt en welk risico dat oplevert als die combinatie uitlekt.

Welke maatregelen zijn verplicht onder de AVG?

De AVG verplicht organisaties om passende technische en organisatorische maatregelen te nemen om persoonsgegevens te beveiligen. Wat “passend” is, bepaal je op basis van een risicoanalyse: hoe gevoeliger de gegevens en hoe groter het risico, hoe zwaarder de maatregelen moeten zijn.

De AVG noemt een aantal concrete beveiligingsmaatregelen expliciet als richtlijn:

• Versleuteling en pseudonimisering van persoonsgegevens
• Vertrouwelijkheid, integriteit en beschikbaarheid van systemen en diensten waarborgen
• Herstelvermogen bij incidenten, zodat toegang tot gegevens snel kan worden hersteld
• Regelmatige tests van de effectiviteit van beveiligingsmaatregelen

Daarnaast verplicht de AVG organisaties tot het bijhouden van een verwerkingsregister, het aanstellen van een Functionaris voor Gegevensbescherming (FG) wanneer dat vereist is, en het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) bij hoog-risicoverwerkingen. Ook het principe van privacy by design is verplicht: beveiliging moet al bij het ontwerp van systemen worden meegenomen, niet achteraf.

Naast de AVG zijn er voor steeds meer organisaties aanvullende verplichtingen vanuit de NIS2-richtlijn. Deze richtlijn stelt extra eisen aan cyberrisicobeheer, incidentmelding en supply chain-beveiliging. De overlap met de AVG is groot, maar NIS2 gaat verder op het gebied van weerbaarheid en bestuurlijke verantwoordelijkheid.

Hoe beperk je toegang tot klantgegevens binnen je organisatie?

Toegang tot klantgegevens beperk je door het principe van least privilege toe te passen: medewerkers krijgen alleen toegang tot de gegevens die ze nodig hebben voor hun specifieke taak. Dit voorkomt dat een datalek of een fout van één medewerker de hele klantendatabase blootstelt.

Praktische maatregelen om toegang te beperken zijn onder andere:

• Rolgebaseerde toegangsrechten instellen per systeem en applicatie
• Multi-factorauthenticatie (MFA) verplicht stellen voor toegang tot systemen met persoonsgegevens
• Logging en monitoring van wie welke gegevens inziet of bewerkt
• Tijdelijke toegang verlenen voor externe partijen of tijdelijke medewerkers, en deze tijdig intrekken
• Scheiding van omgevingen: productiedata mag niet zomaar toegankelijk zijn in test- of ontwikkelomgevingen

Organisatorisch is het minstens zo belangrijk. Zorg voor een duidelijk toegangsbeleid, voer periodieke toegangsreviews uit en train medewerkers in bewust omgaan met klantgegevens. Menselijk gedrag is in de praktijk vaak de zwakste schakel bij datalekken, niet de techniek.

Wat moet je doen bij een datalek met persoonsgegevens?

Bij een datalek met persoonsgegevens moet je binnen 72 uur na ontdekking melding doen bij de Autoriteit Persoonsgegevens (AP), tenzij het onwaarschijnlijk is dat het lek een risico vormt voor de betrokkenen. Als het lek een hoog risico inhoudt voor de rechten en vrijheden van personen, moet je ook de betrokkenen zelf informeren.

De stappen die je direct moet zetten zijn:

1. Stel het lek vast: wat is er precies gelekt, welke gegevens en hoeveel personen zijn betrokken?
2. Beperk de schade: sluit de kwetsbaarheid, blokkeer ongeautoriseerde toegang en beveilig de betrokken systemen waar nodig.
3. Beoordeel het risico: is er een reëel risico voor betrokkenen? Denk aan identiteitsfraude, discriminatie of financiële schade.
4. Meld bij de AP: doe dit via het meldloket van de Autoriteit Persoonsgegevens, binnen de gestelde termijn van 72 uur.
5. Informeer betrokkenen: doe dit als het risico hoog is, in begrijpelijke taal en met concrete adviezen wat zij kunnen doen.
6. Documenteer het incident: ook als je besluit niet te melden, moet je het lek intern vastleggen in je datalekregister.

Een goede voorbereiding maakt dit proces veel soepeler. Organisaties die beschikken over een incident response plan en heldere interne procedures reageren aantoonbaar sneller en effectiever op datalekken dan organisaties die dit ad hoc moeten uitzoeken.

Hoe bescherm je klantgegevens in de cloud?

Klantgegevens in de cloud bescherm je door duidelijke afspraken te maken met je cloudprovider, encryptie toe te passen en toegangsbeheer strak in te richten. De AVG stelt dat je als verwerkingsverantwoordelijke altijd zelf verantwoordelijk blijft voor de beveiliging, ook als je data bij een externe partij opslaat.

Concrete maatregelen voor cloudbeveiliging van persoonsgegevens:

• Sluit een verwerkersovereenkomst af met je cloudprovider, zoals de AVG vereist
• Versleutel gegevens zowel in transit als in opslag, bij voorkeur met sleutels die jij zelf beheert
• Controleer de locatie van je data: opslag buiten de EU vereist aanvullende waarborgen
• Gebruik Identity and Access Management (IAM) om toegangsrechten in de cloud te beheren
• Schakel logging en audittrails in zodat je kunt zien wie toegang heeft gehad tot welke data
• Zet beveiligingsinstellingen actief aan: cloudproviders bieden veel beveiligingsopties die standaard uitstaan

Een veelgemaakte fout is aannemen dat de cloudprovider de beveiliging volledig regelt. In werkelijkheid werkt cloudbeveiliging volgens het shared responsibility model: de provider beveiligt de infrastructuur, maar jij bent verantwoordelijk voor de configuratie, toegangsbeheer en de data zelf. Regelmatige controle van je cloudinstellingen is daarom geen luxe maar een verplichting.

Hoe test je of de beveiliging van persoonsgegevens effectief is?

De effectiviteit van je gegevensbeveiliging test je door regelmatig technische en organisatorische controles uit te voeren. De AVG verplicht dit expliciet. Denk aan penetratietests, vulnerability scans, phishing simulaties en interne audits van toegangsrechten en verwerkingsregisters.

Een gestructureerde aanpak voor het testen van je beveiliging omvat meerdere lagen:

Technische tests

Een penetratietest simuleert een echte aanval op je systemen en laat zien welke kwetsbaarheden een aanvaller zou kunnen misbruiken om bij klantgegevens te komen. Vulnerability scans brengen bekende zwakheden in kaart in je netwerk, applicaties en cloudinfrastructuur. Phishing simulaties testen hoe medewerkers reageren op social engineering, een van de meest voorkomende manieren waarop datalekken ontstaan.

Organisatorische controles

Naast technische tests is het essentieel om ook de processen en het beleid te toetsen. Klopt je verwerkingsregister nog? Zijn toegangsrechten actueel? Weten medewerkers wat ze moeten doen bij een verdacht incident? Een interne audit of een externe beoordeling door een onafhankelijke partij geeft inzicht in de volwassenheid van je informatiebeveiligingspraktijk als geheel.

Testen is geen eenmalige actie. Dreigingen veranderen, systemen worden aangepast en medewerkers wisselen. Een continu beveiligingsprogramma zorgt ervoor dat je beveiliging meegaat met die veranderingen in plaats van er achteraan te lopen.

Hoe Q-Cyber helpt met het beveiligen van persoonsgegevens

Wij helpen organisaties om klantgegevens structureel en aantoonbaar te beschermen, van technische tests tot beleid en compliancebegeleiding. Onze aanpak is pragmatisch, onafhankelijk en volledig afgestemd op jouw specifieke risicoprofiel. Concreet bieden wij:

• Vulnerability scans en penetratietests om technische kwetsbaarheden in kaart te brengen
• Phishing simulaties om het menselijk risico binnen je organisatie te meten
• AVG en NIS2 gap-analyses om te bepalen waar jouw organisatie staat ten opzichte van de verplichtingen
• Beleid op maat: wij schrijven toegangsbeleid, datalekprocedures en privacydocumentatie die daadwerkelijk werken
• Virtuele CISO-diensten via Continuous-Q voor organisaties die structurele begeleiding nodig hebben zonder een fulltime CISO aan te nemen
• Trainingen voor medewerkers en bestuurders zodat bewustzijn en kennis op het juiste niveau zitten

Wij werken volledig onafhankelijk, zonder binding aan softwarepartijen of leveranciers. Dat betekent dat ons advies altijd in jouw belang is. Wil je weten hoe jouw organisatie er nu voor staat op het gebied van gegevensbeveiliging? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat zijn de boetes voor AVG-overtredingen?

Geplaatst op: 13 augustus 2026

AVG-boetes kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet van een organisatie, afhankelijk van welk bedrag hoger is. Dit zijn de maximale sancties voor de zwaarste overtredingen onder de Algemene Verordening Gegevensbescherming. Voor minder ernstige overtredingen geldt een lager maximum van 10 miljoen euro of 2% van de jaaromzet. In dit artikel beantwoorden we de meest gestelde vragen over AVG-boetes, van de hoogte tot de gevolgen en hoe je ze voorkomt.

Hoe hoog kunnen AVG-boetes oplopen?

AVG-boetes kennen twee boetecategorieën. De hoogste categorie bedraagt maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet per jaar, afhankelijk van welk bedrag hoger uitvalt. De lagere categorie heeft een maximum van 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor grote multinationals kan dit betekenen dat een boete in de honderden miljoenen euro’s kan oplopen.

Het is belangrijk te begrijpen dat dit maximumbedragen zijn. De Autoriteit Persoonsgegevens (AP), de Nederlandse toezichthouder, legt in de praktijk lang niet altijd het maximum op. Kleine en middelgrote organisaties krijgen doorgaans lagere boetes, maar ook voor hen kunnen de bedragen fors zijn. Zo kan een mkb-bedrijf met een jaaromzet van 5 miljoen euro bij een ernstige overtreding geconfronteerd worden met een boete van honderdduizenden euro’s.

Naast boetes beschikt de AP ook over andere handhavingsinstrumenten, zoals een last onder dwangsom, een berisping of een tijdelijk verwerkingsverbod. Niet elke overtreding leidt direct tot een geldboete. De AP kijkt eerst naar de ernst van de situatie en of een organisatie bereid is te verbeteren.

Welke overtredingen leiden tot de hoogste boetes?

De zwaarste AVG-overtredingen die leiden tot boetes in de hoogste categorie zijn overtredingen van de kernbeginselen van de verordening. Denk aan het verwerken van persoonsgegevens zonder rechtsgeldige grondslag, het schenden van de rechten van betrokkenen, het doorgeven van gegevens naar landen buiten de EU zonder adequate waarborgen, en het negeren van aanwijzingen van de toezichthouder.

De lagere boetecategorie geldt voor technische en organisatorische tekortkomingen, zoals het niet bijhouden van een verwerkingsregister, het niet tijdig melden van een datalek aan de AP, het niet aanstellen van een Functionaris voor Gegevensbescherming (FG) terwijl dat verplicht is, of het niet uitvoeren van een vereiste gegevensbeschermingseffectbeoordeling (DPIA).

In de praktijk zijn de hoogste boetes opgelegd bij grootschalige datalekken waarbij gevoelige categorieën persoonsgegevens betrokken waren, zoals gezondheidsgegevens, financiële informatie of gegevens van minderjarigen. Ook het stelselmatig negeren van verzoeken van betrokkenen om inzage of verwijdering van hun gegevens heeft in meerdere gevallen tot forse sancties geleid.

Hoe bepaalt de AP de hoogte van een boete?

De AP bepaalt de hoogte van een AVG-boete op basis van een reeks factoren die in de verordening zelf zijn vastgelegd. Er is geen vaste formule: het is een afweging van de ernst van de overtreding, de mate van nalatigheid, de omvang van de schade en de bereidheid van de organisatie om mee te werken.

De factoren die de AP meeweegt zijn onder meer:

• De aard, ernst en duur van de overtreding en het aantal getroffen betrokkenen
• De intentie of nalatigheid van de verwerkingsverantwoordelijke of verwerker
• Eerder genomen maatregelen om schade te beperken na de overtreding
• De mate van verantwoordelijkheid en de technische en organisatorische maatregelen die waren getroffen
• Eerdere overtredingen of eerder opgelegde sancties
• Medewerking met de toezichthouder tijdens het onderzoek
• De categorieën persoonsgegevens die bij de overtreding betrokken waren
• De financiële draagkracht van de organisatie

Een organisatie die proactief een datalek meldt, transparant samenwerkt met de AP en aantoonbaar maatregelen heeft getroffen, krijgt in de regel een lagere boete dan een organisatie die de overtreding probeert te verhullen of structureel nalatig is geweest. De AP publiceert haar boetebeleid en richtsnoeren, zodat organisaties inzicht hebben in hoe de afweging werkt.

Welke Nederlandse bedrijven hebben al een AVG-boete gekregen?

Meerdere Nederlandse organisaties hebben al een GDPR-boete ontvangen van de Autoriteit Persoonsgegevens. De bekendste gevallen illustreren goed welke typen overtredingen tot handhaving leiden en hoe hoog de gegevensbeschermingsboetes in Nederland in de praktijk uitvallen.

Enkele opvallende voorbeelden uit de Nederlandse handhavingspraktijk:

• Uber kreeg van de AP een boete van 10 miljoen euro voor het te lang bewaren van chauffeurgegevens en het doorgeven van gegevens naar de VS zonder adequate bescherming.
• TikTok werd beboet voor het verwerken van persoonsgegevens van kinderen zonder voldoende bescherming en een privacyverklaring die niet beschikbaar was in het Nederlands.
• Een ziekenhuis ontving een boete omdat patiëntgegevens onvoldoende waren beveiligd en medewerkers toegang hadden tot dossiers waarvoor zij geen behandelrelatie hadden.
• Een gemeente werd aangesproken op het gebruik van gezichtsherkenningssoftware zonder rechtsgeldige grondslag.

Deze voorbeelden laten zien dat de AP actief handhaaft in uiteenlopende sectoren: van tech-bedrijven tot de zorg en de overheid. De boetes variëren sterk in hoogte, maar de reputatieschade is in alle gevallen aanzienlijk. Via de regelgevingspagina lees je meer over de verplichtingen die voor jouw sector gelden.

Wat zijn de gevolgen van een AVG-overtreding naast de boete?

Een AVG-sanctie gaat zelden alleen over de geldboete. De indirecte gevolgen van een overtreding kunnen voor veel organisaties zwaarder wegen dan het boetebedrag zelf. Reputatieschade, verlies van klantvertrouwen en operationele verstoringen zijn in de praktijk minstens zo ingrijpend.

De voornaamste gevolgen naast de financiële sanctie zijn:

• Reputatieschade: De AP publiceert haar handhavingsbeslissingen. Een boete is daarmee openbaar en kan breed worden opgepikt door media, klanten en partners.
• Civiele aansprakelijkheid: Betrokkenen wier persoonsgegevens zijn geschonden, kunnen schadevergoeding eisen via de rechter. Bij grootschalige datalekken kan dit leiden tot class-action-achtige procedures.
• Verwerkingsverbod: De AP kan een tijdelijk of permanent verbod opleggen op bepaalde gegevensverwerkingen, wat de bedrijfsvoering direct kan raken.
• Verhoogd toezicht: Een organisatie die eenmaal in het vizier van de AP is gekomen, kan rekenen op intensiever toezicht in de toekomst.
• Interne kosten: Het herstelproces na een overtreding brengt aanzienlijke kosten met zich mee: juridisch advies, technische aanpassingen, communicatie naar betrokkenen en mogelijke IT-forensische onderzoeken.

Voor organisaties die ook onder de NIS2-richtlijn vallen, kan een datalek bovendien leiden tot een meldplicht bij de nationale autoriteiten en aanvullende handhaving vanuit die wetgeving. De overlap tussen AVG en NIS2 maakt het des te belangrijker om beide kaders in samenhang te beheren.

Hoe verklein je de kans op een AVG-boete?

De kans op een AVG-boete verklein je door gegevensbescherming structureel in te bedden in je organisatie, niet als eenmalig project maar als doorlopend proces. Organisaties die privacy by design toepassen, hun verwerkingen documenteren en medewerkers trainen, lopen aanzienlijk minder risico op handhaving.

Concrete stappen die het risico op een boete verlagen:

• Voer een verwerkingsregister bij en houd dit actueel. Dit is een wettelijke verplichting en biedt inzicht in welke gegevens je verwerkt en op welke grondslag.
• Stel een datalekprocedure op zodat je weet hoe je moet handelen bij een incident. Tijdige melding aan de AP (binnen 72 uur) kan een boete voorkomen of verlagen.
• Voer DPIA’s uit voor verwerkingen met een hoog privacyrisico, zoals profilering, grootschalige verwerking van gevoelige gegevens of het gebruik van nieuwe technologieën.
• Zorg voor aantoonbare toestemming wanneer je toestemming als grondslag gebruikt, en bied betrokkenen een eenvoudige manier om die toestemming in te trekken.
• Beveilig persoonsgegevens technisch en organisatorisch, onder meer via toegangsbeveiliging, encryptie en regelmatige beveiligingstests.
• Train medewerkers zodat zij weten hoe zij met persoonsgegevens moeten omgaan en wanneer zij een incident moeten melden.
• Controleer verwerkersovereenkomsten met leveranciers die namens jou persoonsgegevens verwerken.

Een periodieke beveiligingstest helpt bovendien om technische kwetsbaarheden op te sporen voordat ze leiden tot een datalek en daarmee tot een mogelijke AVG-overtreding.

Hoe Q-Cyber helpt bij AVG-compliance en het voorkomen van boetes

Wij begrijpen dat de combinatie van AVG-verplichtingen, NIS2-eisen en de dagelijkse bedrijfsvoering voor veel organisaties overweldigend kan zijn. Q-Cyber helpt je om grip te krijgen op je cybersecurity en privacypositie, zodat je niet voor verrassingen komt te staan.

Wat wij voor jouw organisatie kunnen doen:

• Gap-analyse: We brengen in kaart waar jouw organisatie staat ten opzichte van de AVG- en NIS2-vereisten en welke risico’s het meest urgent zijn.
• Beleid op maat: Onze consultants schrijven beleid dat aansluit op jouw specifieke organisatiecontext, van informatiebeveiligingsbeleid tot datalekprocedures.
• Technische beveiligingstests: Via vulnerability scans en pentests identificeren we zwakke plekken in je systemen voordat kwaadwillenden of toezichthouders dat doen.
• Bestuurderstrainingen: We verzorgen trainingen voor directie en management, zodat zij de risico’s begrijpen en weloverwogen beslissingen kunnen nemen.
• Virtuele CISO: Via ons Continuous-Q programma bieden we doorlopende begeleiding door een team van specialisten, zonder dat je een fulltime CISO in dienst hoeft te nemen.

We werken onafhankelijk, zonder binding aan softwarepartijen of leveranciers, en geven altijd pragmatisch advies dat past bij jouw situatie. Wil je weten waar jouw organisatie staat? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Hoe voer je een privacycheck uit op je website?

Geplaatst op: 12 augustus 2026

Een privacycheck uitvoeren op je website doe je door systematisch te controleren of je website voldoet aan de vereisten van de AVG (Algemene Verordening Gegevensbescherming). Dit betekent: een geldig privacybeleid, een AVG-conforme cookiebanner, correcte verwerking van persoonsgegevens en zichtbare contactinformatie voor betrokkenen. De controle is relevant voor elke websitebeheerder die persoonsgegevens verwerkt, en dat geldt voor vrijwel elke website met een contactformulier, analysetool of cookie. Hieronder beantwoorden we de meest gestelde vragen over hoe je dit concreet aanpakt.

Welke privacyrisico’s loop je als websitebeheerder?

Als websitebeheerder loop je privacyrisico’s zodra je website persoonsgegevens verzamelt of verwerkt. Dat kan gaan om namen en e-mailadressen via contactformulieren, IP-adressen via analysetools of gedragsdata via trackingcookies. Bij onzorgvuldige omgang met deze gegevens riskeer je boetes van de Autoriteit Persoonsgegevens, reputatieschade en verlies van vertrouwen bij je bezoekers.

De meest voorkomende privacyrisico’s voor websitebeheerders zijn:

• Onrechtmatige gegevensverwerking: gegevens verzamelen zonder geldige juridische grondslag, zoals toestemming of gerechtvaardigd belang.
• Ontbrekend of onvolledig privacybeleid: bezoekers niet informeren over welke gegevens je verwerkt en met welk doel.
• Niet-conforme cookiebanner: cookies plaatsen voordat de bezoeker toestemming heeft gegeven, of het weigeren van toestemming moeilijker maken dan het accepteren ervan.
• Onbeveiligde gegevensoverdracht: het versturen van persoonsgegevens naar derde partijen zonder verwerkersovereenkomst.
• Gebruik van niet-AVG-conforme tools: analysetools of advertentiepixels die data doorsturen naar servers buiten de EU zonder adequate waarborgen.

Veel van deze risico’s zijn niet direct zichtbaar, maar ze kunnen wel degelijk leiden tot handhavingsmaatregelen. De Autoriteit Persoonsgegevens kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van de ernst van de overtreding. Een proactieve privacycheck op je website helpt je deze risico’s tijdig te identificeren en te beperken.

Wat moet er verplicht op je website staan volgens de AVG?

Volgens de AVG moet je website minimaal een privacyverklaring bevatten, een cookiemelding of cookiebanner, en duidelijke contactinformatie voor privacyvragen. Daarnaast moet je bezoekers informeren over hun rechten, zoals het recht op inzage, correctie en verwijdering van hun persoonsgegevens. Zonder deze elementen voldoe je niet aan de informatieplicht uit de AVG.

Een volledige AVG website checklist voor verplichte elementen ziet er als volgt uit:

• Privacyverklaring: een toegankelijk document dat beschrijft welke persoonsgegevens je verzamelt, met welk doel, op welke juridische grondslag, hoe lang je ze bewaart en met wie je ze deelt.
• Cookiebanner: een melding die verschijnt voordat niet-functionele cookies worden geplaatst, met de mogelijkheid om toestemming te weigeren.
• Contactgegevens van de verwerkingsverantwoordelijke: naam en contactinformatie van de organisatie of persoon die verantwoordelijk is voor de gegevensverwerking.
• Contactgegevens van de Functionaris Gegevensbescherming (FG): indien van toepassing, verplicht voor bepaalde organisaties zoals overheden en grote verwerkers.
• Rechten van betrokkenen: uitleg over hoe bezoekers hun rechten kunnen uitoefenen, inclusief een contactmogelijkheid daarvoor.
• Informatie over doorgifte buiten de EU: als je gegevens deelt met partijen buiten de Europese Economische Ruimte, moet je dit vermelden, inclusief de waarborgen die je hebt getroffen.

Let op: de privacyverklaring moet actueel zijn. Als je nieuwe tools toevoegt aan je website, zoals een chatbot of een nieuw analyseplatform, moet je de verklaring bijwerken. Een verouderd privacybeleid is juridisch net zo problematisch als het ontbreken ervan.

Hoe controleer je of je cookiebanner AVG-proof is?

Een cookiebanner is AVG-proof als bezoekers een vrije, specifieke en geïnformeerde keuze kunnen maken voordat niet-functionele cookies worden geplaatst. Dit betekent dat toestemming weigeren even makkelijk moet zijn als toestemming geven, en dat er geen vooraf aangevinkte vakjes mogen zijn. Controleer ook of de banner alle cookiecategorieën duidelijk benoemt.

Gebruik de volgende criteria om je cookiebanner te beoordelen:

1. Geen cookies vóór toestemming: analysetools, advertentiecookies en trackingpixels mogen pas actief worden nadat de bezoeker expliciet toestemming heeft gegeven. Controleer dit via de browserinspector of een tool als Cookiebot Scanner.
2. Gelijkwaardige knoppen: de knop “Accepteren” en de knop “Weigeren” of “Alleen noodzakelijk” moeten visueel gelijkwaardig zijn. Een grote groene accepteerknop naast een klein grijs tekstlinkje voldoet niet.
3. Geen vooraf aangevinkte vakjes: toestemming moet actief worden gegeven. Categorieën die standaard aangevinkt staan, tellen niet als geldige toestemming.
4. Duidelijke categorieën: de banner moet onderscheid maken tussen functionele, analytische en marketingcookies, met een korte toelichting per categorie.
5. Intrekken van toestemming: bezoekers moeten hun toestemming op elk moment kunnen intrekken, net zo eenvoudig als ze die hebben gegeven. Een link naar de cookieinstellingen in de footer is hiervoor de minimale vereiste.
6. Bewijs van toestemming: je moet kunnen aantonen dat toestemming is gegeven. Gebruik een consent management platform (CMP) dat toestemmingen registreert.

Een veelgemaakte fout is dat Google Analytics actief is voordat de bezoeker de banner heeft beantwoord. Dit is een directe overtreding van de AVG, waarvoor de Autoriteit Persoonsgegevens al meerdere organisaties heeft aangesproken.

Welke tools kun je gebruiken voor een privacycheck op je website?

Voor een privacycheck op je website kun je gebruikmaken van gratis online scanners, browserextensies en gespecialiseerde audittools. De meest toegankelijke opties zijn Cookiebot, Blacklight, de Privacy Badger extensie en de ingebouwde developer tools van je browser. Elk instrument belicht een ander aspect van je privacysituatie.

Tools voor cookiescans en toestemmingsbeheer

Cookiebot Scanner is een veelgebruikte gratis tool die automatisch scant welke cookies je website plaatst, inclusief cookies van derde partijen die je misschien niet bewust hebt toegevoegd. De scanner geeft een overzicht per cookiecategorie en signaleert of er cookies worden geplaatst vóór toestemming.

Blacklight van The Markup is een Engelstalige tool die specifiek kijkt naar verborgen trackers, session recording scripts en advertentiepixels. Dit is nuttig om inzicht te krijgen in gegevensverzameling die niet altijd zichtbaar is in een standaard cookiescan.

Tools voor technische privacycontroles

Internet.nl is een Nederlandse tool van het Forum Standaardisatie waarmee je controleert of je website en e-maildomein moderne internetstandaarden ondersteunen, waaronder HTTPS, DNSSEC en DMARC. Een website zonder geldig HTTPS-certificaat biedt onvoldoende bescherming voor persoonsgegevens die via formulieren worden ingevoerd.

Google Chrome DevTools (via F12 in de browser) stelt je in staat om handmatig te controleren welke cookies worden geplaatst bij het laden van de pagina, voordat je de cookiebanner hebt beantwoord. Open het tabblad “Application” en bekijk de cookies onder “Storage”.

Voor een grondige GDPR website check is het verstandig meerdere tools te combineren, omdat geen enkele scanner een volledig beeld geeft. Een technische scan vertelt je wat er technisch gebeurt, maar beoordeelt niet of je privacybeleid juridisch volledig is. Daarvoor is een inhoudelijke review nodig.

Wanneer is een professionele privacyscan noodzakelijk?

Een professionele privacyscan is noodzakelijk als je website persoonsgegevens verwerkt op grote schaal, als je bijzondere persoonsgegevens verzamelt, als je website onderdeel is van een kritieke dienst, of als je al een waarschuwing of klacht van de Autoriteit Persoonsgegevens hebt ontvangen. Ook bij grote technische wijzigingen aan je website is een professionele controle verstandig.

Concrete situaties waarin een gratis selfcheck niet volstaat:

• Je verwerkt medische gegevens, financiële informatie of gegevens van minderjarigen.
• Je website maakt gebruik van profilering of geautomatiseerde besluitvorming.
• Je organisatie valt onder de NIS2-richtlijn of andere sectorale regelgeving met aanvullende beveiligingseisen.
• Je hebt een verwerkersovereenkomst nodig maar weet niet zeker of je huidige overeenkomsten compleet zijn.
• Je wil een Data Protection Impact Assessment (DPIA) laten uitvoeren voor een nieuwe verwerkingsactiviteit.
• Je organisatie is gegroeid en je privacydocumentatie is niet meer actueel.

Een professionele privacyscan gaat verder dan technische tools: een specialist beoordeelt ook de juridische grondslag van je verwerkingen, de volledigheid van je verwerkersregister en de kwaliteit van je interne procedures. Dat is iets wat geautomatiseerde tools niet kunnen doen. Via een technische beveiligingstest kun je bovendien inzicht krijgen in kwetsbaarheden die de vertrouwelijkheid van persoonsgegevens in gevaar brengen, los van de AVG-compliance.

Hoe Q-Cyber helpt met de privacycheck van je website

Een privacycheck op je website is meer dan een technische exercitie. Het gaat om de combinatie van juridische naleving, technische beveiliging en organisatorische inbedding. Precies die combinatie is waar wij ons in onderscheiden.

Wat wij voor je kunnen doen:

• Technische scan van je website: we brengen in kaart welke cookies, trackers en derde partijen actief zijn op je website en of dit in lijn is met je cookiebanner en privacyverklaring.
• AVG-compliance review: we beoordelen je privacybeleid, cookiebanner en verwerkersovereenkomsten op volledigheid en juridische houdbaarheid.
• Advies op maat: we geven concrete, pragmatische aanbevelingen die aansluiten bij de grootte en het risicoprofiel van jouw organisatie, zonder onnodige complexiteit.
• Begeleiding bij NIS2 en sectorale regelgeving: als jouw organisatie ook onder de NIS2-richtlijn valt, integreren we de privacycheck in een breder cybersecurity- en compliancetraject.
• Onafhankelijk advies: we zijn niet gebonden aan softwarepartijen of toolingvendors. Onze aanbevelingen zijn altijd in jouw belang.

Wil je weten of jouw website AVG-proof is en waar de risico’s zitten? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat is privacy by default?

Geplaatst op: 11 augustus 2026

Privacy by default betekent dat een systeem, dienst of applicatie standaard de meest privacyvriendelijke instellingen gebruikt, zonder dat de gebruiker daar zelf iets voor hoeft te doen. Het principe is vastgelegd in artikel 25 van de AVG en geldt voor elke organisatie die persoonsgegevens verwerkt. In dit artikel beantwoorden we de meest gestelde vragen over privacy by default, van het verschil met privacy by design tot de concrete stappen voor implementatie.

Hoe verschilt privacy by default van privacy by design?

Privacy by design en privacy by default zijn twee verwante maar verschillende principes uit de AVG. Privacy by design betekent dat gegevensbescherming al tijdens het ontwerp van een systeem of proces wordt ingebouwd. Privacy by default gaat een stap verder: het vereist dat de standaardinstellingen van dat systeem automatisch de meest privacyvriendelijke keuze maken, zonder actie van de gebruiker.

Een handige manier om het onderscheid te onthouden: privacy by design gaat over hoe je iets bouwt, privacy by default gaat over hoe het werkt zodra het in gebruik is. Beide principes staan samen in artikel 25 van de AVG en vullen elkaar aan. Je kunt een systeem privacyvriendelijk ontwerpen, maar als de standaardinstellingen vervolgens maximale gegevensdeling toestaan, voldoe je nog steeds niet aan de wet.

Concreet betekent privacy by default dat je bij het verzamelen van persoonsgegevens standaard alleen de gegevens verwerkt die strikt noodzakelijk zijn voor het doel. Denk aan een registratieformulier dat standaard geen optionele velden invult, of een app die locatietoegang standaard uitgeschakeld heeft. De gebruiker moet actief kiezen voor meer gegevensdeling, niet voor minder. Dit sluit direct aan op het principe van dataminimalisatie dat ook in bredere privacywetgeving centraal staat.

Welke eisen stelt de AVG aan privacy by default?

De AVG verplicht organisaties om technische en organisatorische maatregelen te nemen die waarborgen dat standaard alleen de persoonsgegevens worden verwerkt die noodzakelijk zijn voor het specifieke verwerkingsdoel. Dit omvat de hoeveelheid gegevens, de mate van verwerking, de bewaartermijn en de toegankelijkheid van de gegevens.

Artikel 25 lid 2 van de AVG beschrijft vier concrete dimensies waarop privacy by default van toepassing is:

• Hoeveelheid gegevens: Verwerk alleen de gegevens die echt nodig zijn, niet meer.
• Omvang van de verwerking: Beperk het gebruik van gegevens tot het specifieke doel waarvoor ze zijn verzameld.
• Bewaartermijn: Bewaar persoonsgegevens niet langer dan noodzakelijk voor het doel.
• Toegankelijkheid: Zorg dat gegevens standaard niet toegankelijk zijn voor een onbepaald aantal personen.

De AVG schrijft niet voor welke technische oplossing je moet gebruiken. De wet stelt een resultaatverplichting: de standaardinstellingen moeten privacyvriendelijk zijn. Hoe je dat bereikt, mag je als organisatie zelf bepalen, zolang je keuzes proportioneel zijn en je ze kunt verantwoorden. De Autoriteit Persoonsgegevens kan vragen om bewijs dat je aan deze verplichting voldoet, dus documentatie is essentieel.

Wat zijn praktische voorbeelden van privacy by default?

Privacy by default is geen abstract concept, maar een principe dat direct zichtbaar is in de dagelijkse digitale omgeving. Praktische toepassingen zijn onder andere: standaard uitgeschakelde marketingcookies, een opt-in in plaats van opt-out voor nieuwsbrieven, en beperkte zichtbaarheid van profielgegevens op sociale platforms totdat een gebruiker actief kiest voor meer openheid.

Hieronder een aantal concrete voorbeelden per context:

• Websites en apps: Cookiebanners tonen standaard alleen functionele cookies als aangevinkt. Analytische en marketingcookies staan standaard uit.
• Sociale media: Een nieuw account is standaard privé, niet openbaar. Gebruikers moeten actief kiezen voor een publiek profiel.
• HR-systemen: Medewerkersdossiers zijn standaard alleen toegankelijk voor de directe leidinggevende en HR, niet voor de hele organisatie.
• E-mailmarketing: Een aanmeldformulier heeft standaard geen vinkje bij “Ik wil aanbiedingen ontvangen”. De gebruiker moet dit zelf aanvinken.
• Clouddiensten: Gedeelde mappen zijn standaard privé en worden pas gedeeld na een bewuste actie van de gebruiker.

Wat al deze voorbeelden gemeen hebben, is het principe van actieve toestemming voor meer, in plaats van actief bezwaar voor minder. De gebruiker hoeft niets te doen om zijn privacy te beschermen. Dat is precies de kern van privacy by default.

Wat gebeurt er als een organisatie privacy by default niet naleeft?

Als een organisatie niet voldoet aan de verplichting van privacy by default, kan de Autoriteit Persoonsgegevens (AP) handhavend optreden. Dit kan leiden tot een boete van maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Naast financiële sancties zijn er ook reputatierisico’s en mogelijke claims van betrokkenen.

De AP heeft de bevoegdheid om onderzoek in te stellen naar aanleiding van klachten van gebruikers of op eigen initiatief. In de praktijk zijn overtredingen van artikel 25 regelmatig onderdeel van bredere AVG-onderzoeken. Denk aan situaties waarbij een organisatie standaard meer gegevens deelt dan nodig, of waarbij toestemming vooraf aangevinkt staat in een formulier.

Naast boetes kan de toezichthouder ook andere maatregelen opleggen, zoals een verwerkingsverbod of de verplichting om systemen aan te passen. Voor organisaties die ook onder de NIS2-richtlijn vallen, is het risico extra groot: gebrekkige gegevensbescherming kan samenvallen met bredere tekortkomingen in informatiebeveiliging, wat de kans op gecombineerde handhaving vergroot.

Hoe implementeert een organisatie privacy by default stap voor stap?

Een organisatie implementeert privacy by default door systematisch te inventariseren welke gegevens worden verwerkt, welke standaardinstellingen daarbij horen, en of die instellingen de meest privacyvriendelijke optie bieden. Dit is een doorlopend proces, geen eenmalige actie.

Volg deze stappen voor een gestructureerde implementatie:

1. Breng verwerkingen in kaart: Maak een register van alle processen waarbij persoonsgegevens worden verwerkt. Dit is ook een AVG-verplichting op zichzelf.
2. Analyseer de standaardinstellingen: Controleer per systeem, formulier en applicatie wat de standaardinstelling is. Worden er meer gegevens verwerkt dan strikt noodzakelijk?
3. Pas de standaardinstellingen aan: Stel systemen zo in dat ze standaard minimale gegevens verwerken. Voeg geen vooraf aangevinkte vakjes toe en beperk toegangsrechten tot wat noodzakelijk is.
4. Documenteer je keuzes: Leg vast waarom bepaalde instellingen als privacyvriendelijk worden beschouwd. Dit is je bewijs bij een eventuele controle door de AP.
5. Betrek ontwikkelaars en leveranciers: Privacy by default moet ook in inkoopcontracten worden geborgd. Vraag leveranciers aantoonbaar aan te tonen dat hun producten aan artikel 25 voldoen.
6. Evalueer regelmatig: Systemen veranderen, nieuwe functionaliteiten worden toegevoegd. Plan periodieke reviews om te controleren of de standaardinstellingen nog steeds privacyvriendelijk zijn.

Een Data Protection Impact Assessment (DPIA) kan helpen bij stap twee en drie. Hiermee breng je risico’s voor betrokkenen in kaart en onderbouw je de keuzes die je maakt. Voor organisaties die ook werken met gevoelige persoonsgegevens of grootschalige verwerkingen uitvoeren, is een DPIA in veel gevallen zelfs verplicht.

Hoe Q-Cyber helpt met privacy by default

Privacy by default correct implementeren vraagt om kennis van zowel de technische kant als de juridische en beleidsmatige eisen. Wij bij Q-Cyber combineren precies die twee werelden. We helpen organisaties niet alleen begrijpen wat de AVG vereist, maar ook hoe je dat concreet vertaalt naar systemen, processen en beleid.

Wat we voor jouw organisatie kunnen doen:

• Een gap-analyse uitvoeren om te bepalen waar je huidige standaardinstellingen niet voldoen aan artikel 25 AVG
• Beleid schrijven rondom gegevensbescherming, dataminimalisatie en toegangsbeveiliging dat aansluit op jouw organisatie
• Trainingen verzorgen voor medewerkers en bestuurders over privacywetgeving en de praktische toepassing ervan
• Ondersteuning bieden bij NIS2-compliance, waarbij privacy en informatiebeveiliging hand in hand gaan
• Als virtuele CISO structureel meekijken en adviseren, ook op het gebied van gegevensbescherming

We werken onafhankelijk, zonder binding aan softwarepartijen of andere leveranciers. Dat betekent dat ons advies altijd in jouw belang is. Wil je weten waar jouw organisatie staat op het gebied van privacy by default? Neem contact met ons op en we kijken samen naar de volgende stap.

Lees meer

Wat is privacy by design?

Geplaatst op: 10 augustus 2026

Privacy by design is een benadering waarbij gegevensbescherming vanaf het allereerste begin wordt ingebouwd in systemen, processen en producten, in plaats van achteraf als laagje erbovenop te worden geplakt. Het principe stelt dat privacy geen bijzaak is, maar een fundamenteel onderdeel van het ontwerp. Onder de Algemene Verordening Gegevensbescherming (AVG) is privacy by design voor veel organisaties bovendien een wettelijke verplichting. In dit artikel beantwoorden we de meest gestelde vragen over privacy by design: van de oorsprong en de zeven principes tot praktische toepassing en implementatie.

Waar komen de principes van privacy by design vandaan?

De principes van privacy by design zijn ontwikkeld door de Canadese privacytoezichthouder Ann Cavoukian in de jaren negentig van de vorige eeuw. Cavoukian formuleerde het concept als reactie op de toenemende digitalisering en de groeiende hoeveelheid persoonsgegevens die systemen verzamelden. Haar kerngedachte was simpel maar krachtig: wacht niet tot er een privacyprobleem ontstaat, maar voorkom het door privacy in te bouwen in het ontwerp zelf.

Het concept won wereldwijd erkenning en werd in 2010 door de internationale privacytoezichthouders officieel erkend als wereldstandaard. Met de introductie van de AVG in 2018 kregen de principes van privacy by design een wettelijke verankering in Europa. Artikel 25 van de AVG verplicht verwerkingsverantwoordelijken uitdrukkelijk om gegevensbeschermingsmaatregelen al in de ontwerpfase te integreren. Daarmee transformeerde privacy by design van een best practice naar een juridische eis.

Wat zijn de 7 principes van privacy by design?

De zeven privacy by design-principes beschrijven samen hoe organisaties privacy structureel kunnen verankeren in hun systemen en processen. Ze vormen een samenhangend raamwerk dat zowel technische als organisatorische maatregelen omvat. Elk principe versterkt de anderen en samen bieden ze een holistisch beeld van wat gegevensbescherming by design in de praktijk betekent.

• Proactief, niet reactief: Problemen worden voorkomen voordat ze ontstaan. Privacy wordt niet achteraf gerepareerd, maar van tevoren ingecalculeerd.
• Privacy als standaardinstelling: Zonder actieve keuze van de gebruiker worden persoonsgegevens automatisch beschermd. Dit sluit nauw aan bij het concept van privacy by default.
• Privacy ingebouwd in het ontwerp: Gegevensbescherming is geen toevoeging, maar een integraal onderdeel van de architectuur van een systeem of proces.
• Volledige functionaliteit: Privacy en functionaliteit sluiten elkaar niet uit. Het gaat om een win-winsituatie, niet om een compromis.
• End-to-end beveiliging: Gegevens worden beschermd gedurende de gehele levenscyclus, van verzameling tot verwijdering.
• Zichtbaarheid en transparantie: Alle betrokken partijen kunnen verifiëren dat het systeem werkt zoals beloofd. Er is geen verborgen agenda.
• Respect voor de gebruiker: De belangen van de betrokkene staan centraal. Gebruikers krijgen sterke privacystandaarden en begrijpelijke informatie.

Wat is het verschil tussen privacy by design en privacy by default?

Privacy by design gaat over hoe een systeem of product is gebouwd, terwijl privacy by default gaat over hoe een systeem standaard is ingesteld. Het onderscheid is subtiel maar belangrijk: by design is de architecturale keuze, by default is de operationele uitkomst van die keuze voor de eindgebruiker.

Een concreet voorbeeld maakt het verschil duidelijk. Stel dat een organisatie een nieuw klantportaal ontwikkelt. Privacy by design betekent dat de ontwikkelaars al bij het bouwen rekening houden met dataminimalisatie, encryptie en toegangsbeperking. Privacy by default betekent dat wanneer een gebruiker zich aanmeldt, alleen de strikt noodzakelijke gegevens worden verwerkt, zonder dat de gebruiker daar iets voor hoeft te doen of in te stellen.

In de AVG worden beide concepten in hetzelfde artikel behandeld, artikel 25, maar ze hebben elk hun eigen verplichting. Privacy by design verplicht organisaties om technische en organisatorische maatregelen te treffen bij het ontwerpen van verwerkingsprocessen. Privacy by default verplicht hen ervoor te zorgen dat standaard alleen de persoonsgegevens worden verwerkt die noodzakelijk zijn voor het specifieke doel. Beide zijn dus complementair: een goed ontworpen systeem zonder privacyvriendelijke standaardinstellingen schiet tekort, en andersom.

Wat zijn praktische voorbeelden van privacy by design?

Praktische voorbeelden van privacy by design zijn te vinden in vrijwel elke sector waar persoonsgegevens worden verwerkt. De kern is steeds hetzelfde: privacybeschermende keuzes worden gemaakt tijdens de ontwikkeling, niet erna.

In softwareontwikkeling betekent privacy by design dat een applicatie alleen de gegevens vraagt die echt nodig zijn. Een bezorgapp die enkel een adres nodig heeft, vraagt niet om toegang tot contacten of locatiegeschiedenis. In de gezondheidszorg wordt patiëntinformatie standaard gepseudonimiseerd voordat deze wordt gedeeld met onderzoekers. In HR-systemen worden toegangsrechten zo ingericht dat medewerkers alleen de gegevens zien die relevant zijn voor hun functie.

Andere herkenbare voorbeelden zijn:

• Cookiebanners die standaard alle niet-essentiële cookies uitschakelen
• E-mailmarketingsystemen die automatisch uitschrijfopties prominent tonen
• Databases die verouderde klantgegevens automatisch verwijderen na een ingestelde bewaartermijn
• Formulieren op websites die geen onnodige velden bevatten
• Interne systemen die bij het aanmaken van een account standaard de minimale hoeveelheid gegevens opvragen

Wanneer ben je als organisatie verplicht privacy by design toe te passen?

Organisaties zijn verplicht privacy by design toe te passen zodra zij persoonsgegevens verwerken en onder de AVG vallen. Dat geldt voor vrijwel elke organisatie die in Europa actief is of gegevens verwerkt van Europese burgers. De verplichting geldt specifiek bij het ontwerpen van nieuwe systemen, processen of producten waarbij persoonsgegevens een rol spelen.

De AVG stelt in artikel 25 dat de verplichting ingaat op het moment dat de middelen voor verwerking worden bepaald, dus al in de ontwerpfase. Dit betekent dat organisaties niet kunnen wachten tot een systeem live gaat. De privacymaatregelen moeten al zijn ingebouwd voordat de eerste gebruiker het systeem in handen krijgt.

Bijzondere aandacht is vereist bij:

• De ontwikkeling van nieuwe software of applicaties
• Het opzetten van nieuwe bedrijfsprocessen waarbij persoonsgegevens worden verwerkt
• Het inschakelen van nieuwe leveranciers of verwerkers
• Grootschalige verwerking van bijzondere categorieën persoonsgegevens, zoals gezondheidsgegevens
• Situaties waarbij een gegevensbeschermingseffectbeoordeling (DPIA) verplicht is

De toezichthouder, in Nederland de Autoriteit Persoonsgegevens, kan handhaven als een organisatie aantoonbaar heeft nagelaten privacy by design te implementeren. De sancties kunnen oplopen tot aanzienlijke boetes.

Hoe begin je met het implementeren van privacy by design?

Beginnen met de implementatie van privacy by design vraagt om een gestructureerde aanpak waarbij privacy een vaste plek krijgt in bestaande werkprocessen. De eerste stap is bewustwording: zorg dat iedereen die betrokken is bij het ontwerpen van systemen en processen begrijpt wat privacy by design inhoudt en waarom het verplicht is.

Een praktische aanpak bestaat uit de volgende stappen:

1. Breng verwerkingen in kaart: Maak een register van verwerkingsactiviteiten en identificeer welke systemen en processen persoonsgegevens verwerken.
2. Voer een DPIA uit: Bij hoog-risicoprocessen is een gegevensbeschermingseffectbeoordeling verplicht. Dit instrument dwingt je om privacyrisico’s systematisch te analyseren.
3. Stel dataminimalisatie als norm: Vraag bij elk nieuw systeem of proces: welke gegevens zijn echt noodzakelijk? Alles wat niet noodzakelijk is, wordt niet verzameld.
4. Integreer privacy in het ontwikkelproces: Voeg privacychecks toe aan bestaande ontwikkelmethoden, zoals sprints of ontwerpreviews. Privacy wordt zo een vast agendapunt, geen bijzaak.
5. Stel standaardinstellingen in: Zorg dat systemen standaard de meest privacyvriendelijke instelling hanteren, in lijn met het principe van privacy by default.
6. Documenteer keuzes: Leg vast welke privacymaatregelen zijn genomen en waarom. Dit is niet alleen goed voor de interne verantwoording, maar ook noodzakelijk bij toezicht.

Privacy by design is geen eenmalig project maar een doorlopende verantwoordelijkheid. Naarmate systemen evolueren en nieuwe verwerkingen worden geïntroduceerd, moeten privacyoverwegingen steeds opnieuw worden meegenomen.

Hoe Q-Cyber helpt met privacy by design

Privacy by design implementeren is eenvoudiger gezegd dan gedaan. Het vraagt om technische kennis, beleidsmatig inzicht en een pragmatische aanpak die past bij de specifieke situatie van jouw organisatie. Wij ondersteunen organisaties bij elke stap van dit traject, van de eerste analyse tot concrete beleidsvorming en begeleiding bij implementatie.

Wat wij voor jouw organisatie kunnen doen:

• Een grondige analyse van bestaande verwerkingen en systemen om privacyrisico’s in kaart te brengen
• Het opstellen of verbeteren van privacybeleid dat aansluit op de AVG-vereisten, inclusief privacy by design en privacy by default
• Begeleiding bij het uitvoeren van DPIA’s voor hoog-risicoverwerkingen
• Trainingen voor medewerkers en bestuurders die betrokken zijn bij systeemontwikkeling en gegevensverwerking
• Onafhankelijk advies over technische en organisatorische maatregelen, zonder binding aan softwareleveranciers
• Ondersteuning bij bredere compliance trajecten, waaronder NIS2-regelgeving

Wil je weten hoe jouw organisatie er nu voor staat op het gebied van gegevensbescherming by design? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Kan een bestuurder persoonlijk aansprakelijk zijn onder NIS2?

Geplaatst op: 9 augustus 2026

Ja, een bestuurder kan onder NIS2 persoonlijk aansprakelijk worden gesteld, maar alleen bij aantoonbare nalatigheid of het structureel negeren van de zorgplicht. De NIS2-richtlijn legt de eindverantwoordelijkheid voor cyberbeveiliging expliciet bij het bestuur neer, wat van cybersecurity een boardroomonderwerp maakt. Hieronder beantwoorden we de meest gestelde vragen over NIS2-bestuurdersaansprakelijkheid, van de wettelijke basis tot concrete stappen om risico’s te beperken.

Wat zegt NIS2 precies over de rol van bestuurders?

NIS2 verplicht bestuurders om actief verantwoordelijkheid te nemen voor de cyberbeveiliging van hun organisatie. Zij moeten beveiligingsmaatregelen goedkeuren, toezicht houden op de uitvoering ervan en voldoende kennis hebben om weloverwogen beslissingen te nemen over risico’s en maatregelen. Cybersecurity is daarmee geen delegeerbare technische taak meer, maar een bestuurlijke kerntaak.

In de Nederlandse vertaling van NIS2, de Cyberbeveiligingswet (Cbw), wordt dit concreet uitgewerkt. Bestuurders zijn verantwoordelijk voor beslissingen over netwerk- en informatiebeveiliging en moeten in staat zijn beveiligingsrisico’s te herkennen, maatregelen te beoordelen en de gevolgen van die risico’s voor de organisatie te overzien. Dit vereist actieve betrokkenheid, niet slechts een handtekening onder een beleidsdocument.

Voor overheidsorganisaties is als “bestuur” in de zin van de Cbw de politieke leiding aangewezen: ministers, wethouders en gedeputeerde staten. Dit sluit aan bij bestaande wetgeving zoals de Gemeentewet. Bij private organisaties valt het bestuur samen met de directie of het management dat formeel bevoegd is namens de organisatie te handelen.

Naast de verantwoordelijkheid voor beleid en uitvoering geldt er ook een expliciete trainingsplicht. Alle leden van het bestuur zijn verplicht een training te volgen die hen in staat stelt beveiligingsrisico’s te identificeren, risicobeheersmaatregelen te beoordelen en de gevolgen van die risico’s voor de organisatie in te schatten. Bestuurders hebben maximaal twee jaar na inwerkingtreding van de Cbw om aan deze verplichting te voldoen.

Wanneer kan een bestuurder persoonlijk aansprakelijk worden gesteld?

Een bestuurder kan persoonlijk aansprakelijk worden gesteld wanneer er sprake is van grove nalatigheid bij het nakomen van de NIS2-zorgplicht. Dit betekent dat een bestuurder bewust of ernstig verwijtbaar tekortschiet in zijn of haar verantwoordelijkheid om adequate cyberbeveiligingsmaatregelen te treffen of te handhaven. Normale fouten of incidenten waarbij aantoonbaar wel zorgvuldig is gehandeld, leiden in principe niet tot persoonlijke aansprakelijkheid.

Belangrijk is dat de Cbw geen nieuwe aansprakelijkheden introduceert buiten wat al bestond in het Nederlandse recht. Bestuurders konden al aansprakelijk worden gesteld bij grove nalatigheid. NIS2 versterkt dit echter door de zorgplicht expliciet te benoemen en toezichthouders de bevoegdheid te geven om te handhaven wanneer bestuurders aantoonbaar hebben nagelaten te handelen.

Concrete situaties die tot persoonlijke aansprakelijkheid kunnen leiden, zijn onder meer:

• Het structureel negeren van bekende beveiligingsrisico’s ondanks herhaalde waarschuwingen
• Het weigeren van budgetten of middelen voor wettelijk vereiste beveiligingsmaatregelen zonder deugdelijke onderbouwing
• Het niet naleven van de meldplicht bij ernstige incidenten
• Het aantoonbaar niet volgen van de verplichte bestuurderstraining
• Het ontbreken van enig beleid of enige governance rondom informatiebeveiliging

Voor overheidsinstanties geldt een uitzondering: de NIS2-bepaling over persoonlijke aansprakelijkheid van bestuurders bij niet-naleving is uitdrukkelijk niet van toepassing op overheidsorganisaties. Daar blijft aansprakelijkheid beperkt tot wat al gold onder bestaande wetgeving.

Welke sancties en boetes riskeert een bestuurder onder NIS2?

Onder NIS2 kunnen organisaties boetes oplopen tot maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Dit geldt voor essentiële entiteiten. Voor belangrijke entiteiten liggen de maximale boetes op 7 miljoen euro of 1,4% van de wereldwijde jaaromzet. Bovenop organisatieboetes kan de toezichthouder ook een bestuurder persoonlijk aanpakken.

De sanctiemogelijkheden voor toezichthouders zijn breed. Naast financiële boetes kunnen zij:

• Waarschuwingen en bindende aanwijzingen opleggen
• Eisen dat specifieke maatregelen binnen een bepaalde termijn worden getroffen
• Bij herhaalde of ernstige overtredingen een tijdelijk verbod opleggen aan een bestuurder om leidinggevende functies te vervullen
• Publiekelijk bekendmaken dat een organisatie de regels overtreedt

Het tijdelijk verbod om leidinggevende functies te vervullen is de meest ingrijpende maatregel die direct de bestuurder als persoon raakt. Deze maatregel is bedoeld voor situaties van aanhoudende, ernstige niet-naleving waarbij de bestuurder aantoonbaar verantwoordelijk is. Dit maakt NIS2-directieverantwoordelijkheid tot meer dan een papieren verplichting.

In Nederland wordt de inwerkingtreding van de Cyberbeveiligingswet verwacht in Q2 2026. Tot die tijd geldt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni), maar organisaties doen er verstandig aan zich nu al voor te bereiden, omdat de risico’s er nu al zijn.

Wat is het verschil tussen aansprakelijkheid bij essentiële en belangrijke entiteiten?

Het onderscheid tussen essentiële en belangrijke entiteiten bepaalt hoe streng het toezicht is en hoe hoog de maximale boetes uitvallen. Essentiële entiteiten vallen onder proactief toezicht en riskeren hogere boetes. Belangrijke entiteiten worden reactief gecontroleerd, doorgaans pas nadat er een incident of klacht is, en de maximale sancties liggen lager. De bestuurlijke verantwoordelijkheid is in beide gevallen gelijkwaardig.

Essentiële entiteiten

Essentiële entiteiten zijn organisaties in sectoren die als kritiek worden beschouwd voor de samenleving, zoals energie, transport, drinkwater, digitale infrastructuur en de financiële sector. Alle overheidslagen (ministeries, provincies, gemeenten, waterschappen) worden automatisch als essentiële entiteit aangemerkt. Voor hen geldt actief toezicht: toezichthouders kunnen op eigen initiatief controles uitvoeren, ook zonder dat er een incident heeft plaatsgevonden. De maximale boete bedraagt 10 miljoen euro of 2% van de wereldwijde jaaromzet.

Belangrijke entiteiten

Belangrijke entiteiten vallen in sectoren die relevant zijn maar minder direct kritiek zijn, zoals post- en koeriersdiensten, afvalverwerking en bepaalde digitale dienstverleners. Het toezicht is reactief: toezichthouders treden pas op na een melding, incident of aanwijzing van niet-naleving. De maximale boete ligt op 7 miljoen euro of 1,4% van de wereldwijde jaaromzet. De zorgplicht en de bestuurlijke trainingsplicht gelden echter ook voor deze categorie volledig.

Voor bestuurders van beide categorieën geldt dat de persoonlijke aansprakelijkheid in de kern hetzelfde werkt: grove nalatigheid kan leiden tot sancties. Het verschil zit vooral in de kans dat niet-naleving wordt ontdekt, omdat essentiële entiteiten veel frequenter worden gecontroleerd.

Hoe kunnen bestuurders aantonen dat zij aan hun zorgplicht voldoen?

Bestuurders tonen naleving van de NIS2-zorgplicht aan door te kunnen bewijzen dat zij actief betrokken zijn bij het cyberbeveiligingsbeleid van de organisatie, dat zij de verplichte training hebben gevolgd en dat er aantoonbare maatregelen zijn getroffen op basis van een risicoanalyse. Documentatie en governance zijn daarbij de sleutelwoorden.

Concreet betekent dit dat bestuurders het volgende op orde moeten hebben:

• Aantoonbare training: Deelname aan een bestuurderstraining die de drie wettelijke leerdoelen dekt: risicoherkenning, beoordeling van maatregelen en impactbeoordeling. Er worden geen eisen gesteld aan de opleider, zodat de training op de eigen context kan worden afgestemd.
• Goedgekeurd beveiligingsbeleid: Formele goedkeuring door het bestuur van het informatiebeveiligingsbeleid, inclusief de risicoanalyse die eraan ten grondslag ligt.
• Aantoonbaar toezicht: Verslaglegging van bestuursvergaderingen waaruit blijkt dat cybersecurity periodiek op de agenda staat en dat beslissingen worden genomen op basis van actuele risico-informatie.
• Naleving van de meldplicht: Ingerichte processen voor het tijdig melden van incidenten bij de bevoegde autoriteiten, inclusief de eerste melding binnen 24 uur en een eindverslag uiterlijk een maand na het incident.
• Supply chain-beheer: Inzicht in de cyberbeveiligingsmaatregelen van leveranciers, zoals vereist door de NIS2-zorgplicht.

Voor overheidsorganisaties biedt de Baseline Informatiebeveiliging Overheid 2 (BIO2) een praktisch kader dat grotendeels invulling geeft aan de NIS2-zorgplicht. De NIS2 Zelfevaluatietool en de BIO Self Assessment helpen bij het bepalen waar de organisatie staat. De Handreiking “De bestuurder aan zet” biedt een praktisch startpunt voor bestuurders die hun rol willen invullen. Voor technische toetsing van de beveiligingsmaatregelen is het verstandig ook periodiek onafhankelijk te laten beoordelen of de genomen maatregelen in de praktijk effectief zijn.

Het bijhouden van een actueel risicoregister, het documenteren van beslissingen en het aantonen van continue verbetering zijn de meest overtuigende bewijzen dat een bestuurder de zorgplicht serieus neemt. Een toezichthouder die ziet dat een organisatie bewust en structureel werkt aan haar cyberweerbaarheid, heeft weinig grond om persoonlijke aansprakelijkheid te claimen.

Hoe Q-Cyber helpt met NIS2-compliance voor bestuurders

NIS2-bestuurdersaansprakelijkheid is geen abstracte juridische kwestie, maar een concreet risico dat vraagt om concrete actie. Wij helpen organisaties en hun bestuurders om die verantwoordelijkheid op een praktische en effectieve manier in te vullen, zonder onnodige complexiteit.

Wat wij voor uw organisatie kunnen doen:

• Gap-analyse: We brengen in kaart waar uw organisatie staat ten opzichte van de NIS2-vereisten en waar de grootste risico’s liggen voor bestuurders.
• Beleid op maat: We schrijven informatiebeveiligingsbeleid dat aansluit op uw organisatie en voldoet aan de wettelijke eisen, inclusief de documentatie die toezichthouders verwachten.
• Bestuurderstrainingen: We verzorgen trainingen die de drie wettelijke leerdoelen dekken en zijn afgestemd op uw sector en organisatiegrootte.
• Virtuele CISO via Continuous-Q: Onze vCISO-dienst biedt doorlopende begeleiding en advies, zodat cybersecurity structureel is geborgd in uw bestuurlijke processen.
• Onafhankelijk advies: We zijn niet gebonden aan softwarepartijen of leveranciers, wat betekent dat ons advies altijd in uw belang is.

Wacht niet totdat de Cyberbeveiligingswet formeel in werking treedt. De risico’s zijn er nu al, en bestuurders die nu handelen, staan straks een stuk sterker. Neem contact met ons op en ontdek hoe we uw organisatie kunnen helpen.

Lees meer

Hoe helpt Microsoft 365 bij NIS2-compliance?

Geplaatst op: 8 augustus 2026

Microsoft 365 is voor veel organisaties het kloppende hart van de dagelijkse bedrijfsvoering. E-mail, samenwerking, documentbeheer en communicatie lopen allemaal via dit platform. Dat maakt het ook een logisch vertrekpunt voor NIS2-compliance: een groot deel van de technische beveiligingsmaatregelen die de NIS2-richtlijn vereist, kun je direct binnen Microsoft 365 implementeren. Toch is het platform geen kant-en-klare compliance-oplossing. Je moet bewust kiezen welke functies je activeert, hoe je logging inricht en wat je aanvullend moet regelen buiten het platform.

In deze handleiding doorloop je stap voor stap hoe je Microsoft 365 inzet als fundament voor je NIS2-compliance. Van de juiste voorbereiding tot het documenteren van maatregelen en de grenzen van het platform: na het lezen weet je precies wat je kunt doen en waar je extra aandacht nodig hebt.

Wat je nodig hebt voordat je begint

Voordat je beveiligingsfuncties gaat activeren, is het belangrijk om helder te hebben welke verplichtingen voor jouw organisatie gelden. De NIS2-richtlijn maakt onderscheid tussen essentiële en belangrijke entiteiten, en de specifieke eisen verschillen per sector. Zorg dat je weet in welke categorie je organisatie valt voordat je technische maatregelen implementeert, anders loop je het risico maatregelen te nemen die niet aansluiten bij je werkelijke risicoprofiel.

Naast die juridische voorbereiding heb je ook praktische zaken op orde nodig. Controleer het volgende voordat je begint:

• Een Microsoft 365 Business Premium, E3 of E5 licentie (veel beveiligingsfuncties zijn niet beschikbaar in lagere abonnementen)
• Toegang tot het Microsoft 365 Defender-portal en het Microsoft Entra-beheercentrum als globale beheerder of beveiligingsbeheerder
• Een actueel overzicht van alle gebruikers, apparaten en applicaties die verbinding maken met je Microsoft 365-omgeving
• Een basisrisicobeoordeling van je organisatie, zoals vereist onder de NIS2-zorgplicht
• Inzicht in je toeleveringsketen: welke externe partijen hebben toegang tot jullie Microsoft 365-omgeving?

Met deze informatie op orde kun je gerichte keuzes maken in de stappen die volgen. Mis je een van deze elementen, los dat dan eerst op. Een NIS2 gap-analyse kan helpen om snel duidelijkheid te krijgen over waar je staat.

Activeer de juiste beveiligingsfuncties in Microsoft 365

Microsoft 365 bevat een uitgebreide set aan beveiligingsfuncties, maar ze staan lang niet allemaal standaard aan. Voor Microsoft 365 NIS2-compliance zijn er een aantal functies die je als prioriteit moet behandelen, omdat ze direct invulling geven aan de technische minimummaatregelen uit de richtlijn.

Multi-factor authenticatie en toegangsbeheer

Activeer multi-factor authenticatie (MFA) voor alle gebruikers. De NIS2-richtlijn noemt MFA expliciet als minimummaatregel. Doe dit via Microsoft Entra (voorheen Azure Active Directory):

1. Ga naar het Microsoft Entra-beheercentrum en navigeer naar Beveiliging > Beleid voor voorwaardelijke toegang.
2. Maak een beleid aan dat MFA verplicht stelt voor alle gebruikers bij elke aanmelding, of gebruik de ingebouwde Beveiligingsinstellingen als startpunt voor kleinere organisaties.
3. Sluit beheerdersaccounts nooit uit van MFA. Configureer voor privileged accounts bij voorkeur phishing-resistente methoden zoals FIDO2-sleutels of de Microsoft Authenticator met nummermatching.
4. Activeer Privileged Identity Management (PIM) als je een E5-licentie hebt, zodat beheerdersrechten tijdelijk en aanvraagplichtig zijn in plaats van permanent.

Controleer na activatie via het Entra-portaal of alle gebruikers daadwerkelijk MFA hebben ingesteld. Gebruik het rapport onder Identiteitsbeveiliging > MFA-registratiestatus om gebruikers zonder registratie te identificeren en op te volgen.

E-mailbeveiliging en anti-phishing

Configureer in het Microsoft Defender-portal de anti-phishing-, anti-malware- en Safe Links-beleidsregels. Stel DMARC, DKIM en SPF correct in voor je e-maildomeinen. Dit zijn niet alleen technische best practices, maar ook maatregelen die aantoonbaar bijdragen aan de bescherming van je informatiesystemen, zoals vereist onder de NIS2-zorgplicht.

Endpoint-beveiliging via Microsoft Defender

Zorg dat alle apparaten die toegang hebben tot Microsoft 365 worden beheerd via Microsoft Intune en beschermd zijn met Microsoft Defender for Endpoint. Stel nalevingsbeleid in dat apparaten zonder actuele beveiliging blokkeert via voorwaardelijke toegang. Dit geeft je directe controle over de beveiligingsstatus van alle endpoints in je organisatie.

Stel logging en monitoring in voor NIS2

De NIS2-richtlijn vereist dat organisaties significante incidenten binnen 24 uur melden bij de bevoegde autoriteit. Dat lukt alleen als je tijdig weet dat er iets aan de hand is. Logging en monitoring zijn daarvoor de basis. Zonder goede detectie kun je niet voldoen aan de meldplicht.

1. Activeer Unified Audit Logging in het Microsoft 365 Compliance-portaal. Ga naar Audit en controleer of logging is ingeschakeld voor je tenant. Sla logbestanden op voor minimaal 180 dagen, of langer als je sector dat vereist.
2. Configureer Microsoft Defender for Cloud Apps (onderdeel van E5 of als add-on) om verdacht gebruikersgedrag te detecteren, zoals aanmeldingen vanuit ongebruikelijke locaties of massale downloads van bestanden.
3. Stel waarschuwingsbeleid in via het Defender-portal voor kritieke gebeurtenissen: meerdere mislukte aanmeldpogingen, wijzigingen in beheerdersrollen, ongebruikelijke bestandsactiviteit in SharePoint of OneDrive.
4. Overweeg de integratie van Microsoft Sentinel als SIEM-oplossing. Sentinel verzamelt signalen uit de hele Microsoft 365-omgeving, correleert ze en helpt je patronen te herkennen die op een incident wijzen.

Verifieer je monitoring door een testgebeurtenis te genereren, bijvoorbeeld een aanmelding buiten kantooruren, en controleer of de bijbehorende waarschuwing daadwerkelijk wordt gegenereerd en bij de juiste persoon terechtkomt. Als je geen waarschuwing ontvangt, werkt je monitoring niet zoals bedoeld. Voor organisaties die dit continu willen laten bewaken zonder een eigen SOC op te bouwen, biedt een virtuele CISO-dienst een praktische aanvulling.

Documenteer en toets je NIS2-maatregelen

Technische maatregelen activeren is niet voldoende. De NIS2-richtlijn vereist dat je kunt aantonen dat je beveiligingsmaatregelen passend en evenredig zijn voor de risico’s die je organisatie loopt. Documentatie en periodieke toetsing zijn daarvoor onmisbaar.

Leg voor elke geactiveerde beveiligingsfunctie vast:

• Welk risico de maatregel adresseert
• Wanneer de maatregel is geconfigureerd en door wie
• Hoe de maatregel wordt gemonitord en bijgehouden
• Wanneer de maatregel voor het laatst is getoetst of bijgewerkt

Gebruik de Microsoft Secure Score in het Defender-portal als vertrekpunt voor een periodieke beoordeling van je beveiligingspostuur. De Secure Score geeft aanbevelingen op basis van je huidige configuratie en laat zien welke verbeteringen de meeste impact hebben. Koppel deze score aan je interne risicobeoordelingscyclus.

Plan daarnaast minstens eenmaal per jaar een actieve toets van je maatregelen. Een penetratietest of een red team oefening laat zien of je beveiliging in de praktijk standhoudt, niet alleen op papier. De uitkomsten van zo’n test vormen waardevolle input voor je documentatie en laten zien dat je beveiliging een levend proces is, geen eenmalige configuratie.

Waar Microsoft 365 alleen niet voldoende is

Microsoft 365 is een krachtig platform, maar het dekt niet alle NIS2-verplichtingen af. Het is belangrijk om te begrijpen waar de grenzen van het platform liggen, zodat je geen valse zekerheid creëert.

De volgende gebieden vereisen aanvullende maatregelen buiten Microsoft 365:

• Supply chain beveiliging: Microsoft 365 geeft je geen inzicht in de beveiligingsmaatregelen van je leveranciers. De NIS2-zorgplicht vereist dat je de toeleveringsketen in kaart brengt en leveranciersrisico’s beheert. Dit vraagt om contractuele afspraken en periodieke beoordelingen.
• Beleid en governance: Technische maatregelen moeten zijn ingebed in formeel beleid. Denk aan een informatiebeveiligingsbeleid, een incidentresponsplan en procedures voor toegangsbeheer. Microsoft 365 kan dit niet voor je schrijven.
• Bestuurderstraining: De NIS2-richtlijn verplicht bestuurders een training te volgen over cybersecurityrisico’s. Dit is een organisatorische verplichting die losstaat van je technische configuratie.
• Meldprocedures: Je hebt een helder intern proces nodig voor het herkennen, escaleren en melden van significante incidenten bij het NCSC, binnen de vereiste termijnen van 24 uur voor de eerste melding en 72 uur voor aanvullende informatie.
• Operationele technologie (OT): Als je organisatie ook industriële of operationele systemen beheert, vallen die buiten de scope van Microsoft 365 en vereisen ze een aparte beveiligingsaanpak.

Microsoft 365 is een sterk fundament, maar NIS2-compliance is breder dan één platform. Wie alleen naar de technische instellingen kijkt, mist de beleidsmatige en organisatorische kant van de richtlijn.

Hoe Q-Cyber helpt met NIS2-compliance

NIS2-compliance vraagt om meer dan het aanvinken van technische instellingen. Het vraagt om een combinatie van technische kennis, beleidsexpertise en een pragmatische aanpak die past bij de schaal en het risicoprofiel van jouw organisatie. Dat is precies waar wij bij Q-Cyber in gespecialiseerd zijn.

Wij helpen organisaties concreet verder met:

• Gap-analyse: We brengen in kaart waar je organisatie staat ten opzichte van de NIS2-vereisten, inclusief de technische configuratie van Microsoft 365 en de beleidsmatige kant.
• Beleid op maat: We schrijven informatiebeveiligingsbeleid, incidentresponsplannen en procedures die aansluiten op jouw organisatie en voldoen aan de NIS2-zorgplicht.
• Bestuurderstraining: We verzorgen trainingen voor het management zodat zij hun wettelijke verantwoordelijkheid kunnen invullen.
• Technische toetsing: Via penetratietests en red team oefeningen toetsen we of je beveiliging in de praktijk standhoudt.
• Virtuele CISO: Via ons Continuous-Q-programma bieden we doorlopende begeleiding door een team van specialisten, zonder dat je een fulltime CISO in dienst hoeft te nemen.

We werken onafhankelijk, zonder binding aan softwarepartijen, en adviseren altijd op basis van wat het beste past bij jouw situatie. Wil je weten hoe je organisatie er nu voor staat? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer