Verwerkingsregister: hoe maak je er een?

Geplaatst op: 7 augustus 2026

Een verwerkingsregister maak je door alle verwerkingsactiviteiten binnen jouw organisatie systematisch te documenteren: wie de gegevens verwerkt, welke persoonsgegevens het betreft, met welk doel, op welke rechtsgrondslag en hoe lang de gegevens worden bewaard. Dit register is verplicht onder de AVG (Algemene Verordening Gegevensbescherming) en vormt de basis voor aantoonbare privacynaleving. In dit artikel beantwoorden we de meest gestelde vragen over het opstellen, bijhouden en gebruiken van een verwerkingsregister.

Wat moet er in een verwerkingsregister staan?

Een AVG-verwerkingsregister moet minimaal de naam en contactgegevens van de verwerkingsverantwoordelijke bevatten, de doeleinden van de verwerking, een beschrijving van de categorieën betrokkenen en persoonsgegevens, eventuele ontvangers van de gegevens, doorgifte naar derde landen, bewaartermijnen en een beschrijving van de technische en organisatorische beveiligingsmaatregelen.

De AVG, artikel 30, schrijft deze elementen voor als minimumvereisten. In de praktijk is het slim om je register iets uitgebreider in te richten, zodat het ook intern als beheertool functioneert. Denk aan de volgende onderdelen per verwerkingsactiviteit:

• Naam van de verwerking: een herkenbare omschrijving, zoals “salarisadministratie” of “nieuwsbriefverzending”
• Verwerkingsverantwoordelijke: naam, adres en contactgegevens van de organisatie
• Functionaris voor Gegevensbescherming (FG): indien aangesteld, diens contactgegevens
• Doel van de verwerking: waarom worden de gegevens verwerkt?
• Rechtsgrondslag: toestemming, wettelijke verplichting, uitvoering van een overeenkomst, gerechtvaardigd belang, enzovoort
• Categorieën van betrokkenen: klanten, medewerkers, leveranciers, websitebezoekers
• Categorieën van persoonsgegevens: naam, e-mailadres, BSN, gezondheidsgegevens
• Ontvangers of categorieën van ontvangers: interne afdelingen, externe verwerkers, overheidsinstanties
• Doorgifte buiten de EU: of gegevens worden doorgegeven aan landen buiten de Europese Economische Ruimte, en op welke basis
• Bewaartermijnen: hoe lang worden de gegevens bewaard voordat ze worden verwijderd of geanonimiseerd?
• Beveiligingsmaatregelen: een globale beschrijving van de technische en organisatorische maatregelen die de gegevens beschermen

Als jouw organisatie ook als verwerker optreedt, dus persoonsgegevens verwerkt namens een andere organisatie, dan gelden aanvullende registratieverplichtingen. Je moet dan ook de naam van de verwerkingsverantwoordelijke(n) opnemen namens wie je verwerkt, en de categorieën van verwerkingen die je in opdracht uitvoert. Het register van verwerkingsactiviteiten is daarmee tweeledig: één deel voor activiteiten als verwerkingsverantwoordelijke, één deel als verwerker.

Wie is verplicht een verwerkingsregister bij te houden?

In principe is elke organisatie die persoonsgegevens verwerkt verplicht een register van verwerkingsactiviteiten bij te houden. De AVG kent formeel een uitzondering voor organisaties met minder dan 250 medewerkers, maar die uitzondering is in de praktijk vrijwel altijd niet van toepassing.

De uitzondering geldt namelijk alleen als de verwerking niet regelmatig plaatsvindt, geen risico inhoudt voor de rechten en vrijheden van betrokkenen, en geen bijzondere categorieën van persoonsgegevens of strafrechtelijke gegevens betreft. Zodra je als kleine organisatie medewerkers in dienst hebt, klantgegevens bijhoudt of een website met een contactformulier beheert, voldoe je al niet meer aan deze cumulatieve voorwaarden.

De praktische conclusie is dan ook: vrijwel elke organisatie is verplicht een verwerkingsregister bij te houden, ongeacht de omvang. Dit geldt voor:

• Bedrijven met personeel (salarisadministratie en personeelsdossiers zijn al verwerkingsactiviteiten)
• Organisaties die klantgegevens registreren
• Overheidsinstanties en publieke organisaties
• Non-profitorganisaties die leden- of donateursgegevens beheren
• Verwerkers die in opdracht van andere organisaties persoonsgegevens verwerken

Voor overheidsorganisaties geldt bovendien dat de privacyverplichting samenvalt met bredere informatiebeveiligingsvereisten. Zo sluit het verwerkingsregister nauw aan bij de NIS2 en andere regelgeving waaraan publieke entiteiten moeten voldoen.

Hoe stel je stap voor stap een verwerkingsregister op?

Een verwerkingsregister opstellen doe je door eerst alle verwerkingsactiviteiten in kaart te brengen, vervolgens per activiteit de vereiste gegevens te documenteren en het geheel vast te leggen in een overzichtelijk format, zoals een spreadsheet of privacybeheertool. De aanpak is praktischer dan veel organisaties denken.

Stap 1: Breng alle verwerkingen in kaart

Begin met een inventarisatie. Spreek met afdelingshoofden, HR, IT, marketing en financiën om te achterhalen welke persoonsgegevens zij verwerken en waarvoor. Denk aan systemen zoals CRM-software, HR-platformen, boekhoudpakketten, e-mailmarketingtools en cloudopslag. Elke toepassing waarbij persoonsgegevens betrokken zijn, levert waarschijnlijk één of meerdere verwerkingsactiviteiten op.

Stap 2: Groepeer verwerkingen logisch

Bundel verwerkingen die hetzelfde doel dienen in één registratie. Zo hoef je niet elke individuele handeling apart te beschrijven, maar werk je op het niveau van activiteiten. “Werving en selectie” kan bijvoorbeeld alle verwerkingen omvatten rondom sollicitanten: het ontvangen van cv’s, het voeren van gesprekken en het bijhouden van correspondentie.

Stap 3: Documenteer per activiteit de vereiste elementen

Vul voor elke verwerkingsactiviteit de eerder genoemde onderdelen in: doel, rechtsgrondslag, categorieën betrokkenen, categorieën gegevens, ontvangers, bewaartermijnen en beveiligingsmaatregelen. Wees concreet maar niet onnodig gedetailleerd. Het register moet begrijpelijk zijn voor zowel interne gebruikers als een toezichthouder.

Stap 4: Kies een geschikt format

Een eenvoudig spreadsheet met tabbladen per categorie (verwerkingsverantwoordelijke en verwerker) volstaat voor veel organisaties. Grotere organisaties of organisaties met complexe verwerkingen kiezen soms voor gespecialiseerde privacybeheersoftware. Wat je ook kiest: zorg dat het register makkelijk te updaten en doorzoekbaar is.

Stap 5: Laat het register valideren en stel eigenaarschap vast

Bepaal wie verantwoordelijk is voor het beheer van het register. Dat is vaak de privacyofficer of FG. Laat het initiële register valideren door iemand met kennis van de AVG, zodat je zeker weet dat alle verplichte elementen aanwezig zijn en de rechtsgronden correct zijn toegewezen.

Wat is het verschil tussen een verwerkingsregister en een verwerkersovereenkomst?

Een verwerkingsregister is een intern document waarin een organisatie al haar verwerkingsactiviteiten documenteert. Een verwerkersovereenkomst is een juridisch bindend contract tussen een verwerkingsverantwoordelijke en een verwerker, waarin de voorwaarden voor de verwerking van persoonsgegevens zijn vastgelegd. Het zijn twee verschillende, maar aanvullende instrumenten.

Het verwerkingsregister geeft antwoord op de vraag: welke persoonsgegevens verwerken wij, hoe en waarom? De verwerkersovereenkomst regelt de vraag: onder welke voorwaarden mag een externe partij namens ons persoonsgegevens verwerken?

In de praktijk hangen ze nauw samen. Als je in je verwerkingsregister constateert dat een externe partij, zoals een cloudleverancier, salarisverwerker of e-mailmarketingplatform, persoonsgegevens verwerkt namens jouw organisatie, dan ben je verplicht een verwerkersovereenkomst met die partij te sluiten. Het register helpt je dus ook om te identificeren met welke verwerkers je overeenkomsten moet afsluiten of controleren.

Een praktisch onderscheid op een rij:

• Verwerkingsregister: intern document, verplicht voor de verwerkingsverantwoordelijke én de verwerker, gericht op transparantie en verantwoording
• Verwerkersovereenkomst: extern contract tussen twee partijen, verplicht wanneer een verwerker in opdracht persoonsgegevens verwerkt, gericht op het vastleggen van rechten en plichten

Hoe vaak moet je een verwerkingsregister updaten?

Een verwerkingsregister moet actueel zijn en moet dus worden bijgewerkt zodra er iets verandert in de verwerkingsactiviteiten van jouw organisatie. De AVG schrijft geen vaste updatefrequentie voor, maar de verplichting om een nauwkeurig register bij te houden impliceert dat wijzigingen direct worden doorgevoerd.

In de praktijk zijn er twee soorten momenten waarop je het register bijwerkt:

Gebeurtenisgedreven updates vinden plaats wanneer er iets concreets verandert, zoals:

• Een nieuwe verwerkingsactiviteit start, bijvoorbeeld een nieuw CRM-systeem of een loyaliteitsprogramma
• Een bestaande verwerking stopt of verandert van doel
• Een nieuwe verwerker wordt ingeschakeld of een bestaande verwerker valt weg
• Bewaartermijnen worden herzien
• Er worden gegevens doorgegeven aan een nieuw land buiten de EU

Periodieke reviews zijn aan te raden als vangnet, ook als er geen directe aanleiding is. Een jaarlijkse doorloop van het volledige register helpt om verwerkingen te identificeren die stilletjes zijn veranderd, verouderde gegevens te verwijderen en te controleren of rechtsgrondslagen nog steeds kloppen. Veel organisaties koppelen deze review aan hun jaarlijkse privacyaudit of aan de planning- en controlcyclus.

Een verwerkingsregister dat al jaren niet is aangepast, is in de ogen van de Autoriteit Persoonsgegevens een signaal dat de organisatie onvoldoende grip heeft op haar verwerkingen. Actueel houden is dus niet alleen een wettelijke verplichting, maar ook een teken van volwassen privacybeheer.

Wat zijn de gevolgen als je geen verwerkingsregister hebt?

Als je geen verwerkingsregister bijhoudt terwijl je daartoe verplicht bent, riskeer je een boete van de Autoriteit Persoonsgegevens. De AVG staat boetes toe tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Naast de financiële risico’s zijn er ook operationele en reputatiegevolgen.

De Autoriteit Persoonsgegevens kan bij een onderzoek of na een datalek vragen om inzage in het register. Kun je dat niet overleggen, dan is dat direct een overtreding van artikel 30 AVG. De ernst van de sanctie hangt af van factoren zoals de omvang van de organisatie, de aard van de verwerking en of er sprake is van nalatigheid of opzet.

Maar de gevolgen gaan verder dan een boete:

• Geen grip op datalekken: zonder register weet je niet welke gegevens je verwerkt, wat het onmogelijk maakt om bij een datalek snel te bepalen wie er getroffen zijn en wat de impact is
• Niet kunnen voldoen aan inzageverzoeken: als een betrokkene vraagt welke gegevens je van hem verwerkt, kun je dat zonder register moeilijk beantwoorden
• Problemen bij audits en aanbestedingen: steeds meer opdrachtgevers en partners vragen naar privacydocumentatie als onderdeel van hun leveranciersbeoordelingen
• Reputatieschade: een publicatie van een boete of handhavingsactie door de AP is openbaar en kan het vertrouwen van klanten en partners schaden

Het ontbreken van een verwerkingsregister is bovendien vaak een symptoom van bredere privacyproblemen: geen beleid, geen bewustzijn, geen controle. Toezichthouders zien dat als een risicosignaal dat aanleiding kan geven tot diepgaander onderzoek.

Hoe Q-Cyber helpt met privacynaleving en informatiebeveiliging

Een verwerkingsregister opstellen is een essentiële stap, maar het is slechts één onderdeel van een bredere aanpak van informatiebeveiliging en privacynaleving. Organisaties die ook te maken hebben met de NIS2-regelgeving of de Cyberbeveiligingswet, zien dat privacy en cybersecurity steeds meer samenkomen. Een goed verwerkingsregister sluit aan op de bredere zorgplicht die deze wetgeving oplegt.

Wij bij Q-Cyber helpen organisaties om niet alleen compliant te zijn op papier, maar ook daadwerkelijk weerbaar te worden. Dat doen we concreet door:

• Het uitvoeren van gap-analyses om te bepalen waar jouw organisatie staat ten opzichte van AVG, NIS2 en andere relevante kaders
• Het schrijven van beleid op maat, inclusief privacybeleid, informatiebeveiligingsbeleid en verwerkingsregisters
• Het verzorgen van trainingen voor bestuurders en medewerkers over privacybewustzijn en cybersecurity
• Het bieden van virtuele CISO-diensten via Continuous-Q, zodat je structureel toegang hebt tot expertise zonder een fulltime CISO in dienst te nemen
• Het uitvoeren van technische tests zoals pentests om kwetsbaarheden in systemen die persoonsgegevens verwerken tijdig te identificeren
• Het leveren van onafhankelijk advies, zonder binding aan softwarepartijen of andere leveranciers

Wil je weten hoe jouw organisatie ervoor staat op het gebied van privacynaleving en informatiebeveiliging? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat moet er in een privacyverklaring staan?

Geplaatst op: 6 augustus 2026

Een privacyverklaring moet voldoen aan de eisen van de Algemene Verordening Gegevensbescherming (AVG). Concreet betekent dit dat je verplicht informeert over wie de gegevens verwerkt, welke gegevens worden verzameld, op welke rechtsgrond dat gebeurt, hoe lang ze worden bewaard en welke rechten betrokkenen hebben. De AVG geldt voor elke organisatie die persoonsgegevens verwerkt van personen in de EU, ongeacht de omvang van de organisatie. In dit artikel beantwoorden we de meest gestelde vragen over het opstellen van een correcte en volledige privacyverklaring.

Welke wettelijke verplichtingen gelden voor een privacyverklaring?

Op grond van de AVG is iedere organisatie die persoonsgegevens verwerkt verplicht betrokkenen actief te informeren over die verwerking. Dit heet de informatieplicht. Een privacyverklaring is de meest gebruikte manier om aan die plicht te voldoen. De informatie moet begrijpelijk, toegankelijk en volledig zijn. Ontbreekt de verklaring of is ze onvolledig, dan loop je het risico op een boete van de Autoriteit Persoonsgegevens.

De informatieplicht uit de AVG is vastgelegd in artikelen 13 en 14. Artikel 13 geldt wanneer persoonsgegevens rechtstreeks bij de betrokkene worden verzameld, bijvoorbeeld via een contactformulier. Artikel 14 geldt wanneer gegevens via een andere bron worden verkregen. In beide gevallen moet de informatie worden verstrekt op het moment van verzameling of, als dat niet mogelijk is, zo snel mogelijk daarna.

Naast de AVG kunnen aanvullende regels gelden. Organisaties in specifieke sectoren, zoals de zorg of het onderwijs, hebben te maken met sectorspecifieke wet- en regelgeving die extra eisen stelt aan de verwerking van persoonsgegevens. Wil je meer weten over de bredere regelgeving rondom privacy en beveiliging, dan loont het om die context mee te nemen bij het opstellen van je verklaring.

Welke gegevens moeten verplicht worden vermeld?

Een AVG-conforme privacyverklaring moet minimaal de volgende informatie bevatten: de identiteit en contactgegevens van de verwerkingsverantwoordelijke, de contactgegevens van de Functionaris Gegevensbescherming (indien aangesteld), de doeleinden en rechtsgronden van de verwerking, de bewaartermijnen en de rechten van betrokkenen. Dit zijn de verplichte bouwstenen van elk privacybeleid.

Concreet gaat het om de volgende elementen:

• Identiteit van de verwerkingsverantwoordelijke: naam, adres en contactgegevens van de organisatie.
• Contactgegevens FG: indien een Functionaris Gegevensbescherming is aangesteld, moeten diens gegevens worden vermeld.
• Verwerkingsdoeleinden en rechtsgronden: waarom worden de gegevens verwerkt en op welke juridische grondslag.
• Categorieën van persoonsgegevens: welke soorten gegevens worden verwerkt (naam, e-mailadres, locatiegegevens, enzovoort).
• Ontvangers of categorieën van ontvangers: aan wie worden de gegevens verstrekt, inclusief eventuele derde landen buiten de EU.
• Bewaartermijnen: hoe lang worden de gegevens bewaard of op welke criteria wordt de bewaartermijn bepaald.
• Rechten van betrokkenen: inzage, rectificatie, verwijdering, bezwaar en overdraagbaarheid.
• Recht om een klacht in te dienen: verwijzing naar de Autoriteit Persoonsgegevens als toezichthoudende autoriteit.
• Geautomatiseerde besluitvorming: indien van toepassing, informatie over profilering of geautomatiseerde besluiten.

Bij het vermelden van ontvangers in derde landen moet je ook aangeven welke waarborgen zijn getroffen, zoals standaardcontractbepalingen of een adequaatheidsbesluit van de Europese Commissie.

Hoe beschrijf je de rechtsgronden voor gegevensverwerking?

De AVG kent zes rechtsgronden voor gegevensverwerking. Voor elke verwerking moet je in je privacyverklaring expliciet vermelden op welke grondslag die plaatsvindt. De meest voorkomende grondslagen zijn: toestemming van de betrokkene, uitvoering van een overeenkomst, wettelijke verplichting en gerechtvaardigd belang van de verwerkingsverantwoordelijke.

Een korte toelichting per grondslag helpt betrokkenen begrijpen waarom hun gegevens worden verwerkt:

• Toestemming (art. 6 lid 1 sub a): de betrokkene heeft vrijelijk, specifiek en ondubbelzinnig ingestemd. Denk aan het aanmelden voor een nieuwsbrief. Toestemming kan altijd worden ingetrokken.
• Overeenkomst (art. 6 lid 1 sub b): de verwerking is noodzakelijk voor de uitvoering van een contract waarbij de betrokkene partij is, of voor stappen voorafgaand aan het sluiten van dat contract.
• Wettelijke verplichting (art. 6 lid 1 sub c): de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting, zoals het bewaren van financiële gegevens voor de Belastingdienst.
• Vitale belangen (art. 6 lid 1 sub d): verwerking is noodzakelijk om levensbelangen te beschermen. Deze grondslag is beperkt tot uitzonderlijke situaties.
• Algemeen belang of openbaar gezag (art. 6 lid 1 sub e): relevant voor overheidsorganisaties en publieke taken.
• Gerechtvaardigd belang (art. 6 lid 1 sub f): de verwerking is noodzakelijk voor een legitiem belang van de verwerkingsverantwoordelijke, tenzij de belangen van de betrokkene zwaarder wegen. Hier is een zogenaamde belangenafweging vereist.

Vermijd vage omschrijvingen als “we verwerken uw gegevens voor commerciële doeleinden”. Wees specifiek: koppel elk verwerkingsdoel aan een concrete rechtsgrond en leg uit waarom die grondslag van toepassing is.

Wat zijn de rechten van betrokkenen en hoe vermeld je die?

Betrokkenen hebben onder de AVG meerdere rechten die je volledig en begrijpelijk moet vermelden in je privacyverklaring. Het gaat om het recht op inzage, rectificatie, verwijdering, beperking van de verwerking, overdraagbaarheid van gegevens, bezwaar en het recht om niet onderworpen te worden aan geautomatiseerde besluitvorming. Elk recht moet worden beschreven, inclusief hoe betrokkenen het kunnen uitoefenen.

Praktisch gezien betekent dit dat je in je privacyverklaring duidelijk aangeeft:

• Hoe een betrokkene een verzoek kan indienen (e-mail, formulier, post).
• Binnen welke termijn je reageert (de AVG schrijft maximaal één maand voor, met mogelijkheid tot verlenging).
• Of er kosten verbonden zijn aan het uitoefenen van een recht (in de meeste gevallen niet).
• Dat betrokkenen het recht hebben een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Als je toestemming als rechtsgrond gebruikt, vermeld dan ook expliciet dat betrokkenen die toestemming op elk moment kunnen intrekken, zonder dat dit gevolgen heeft voor de rechtmatigheid van de verwerking vóór de intrekking. Dit is een veelgemaakte omissie in privacyverklaringen.

Hoe vaak moet een privacyverklaring worden bijgewerkt?

Er is geen wettelijk vastgelegde minimale updatefrequentie voor een privacyverklaring, maar de AVG vereist dat de informatie te allen tijde actueel, juist en volledig is. In de praktijk betekent dit dat je de verklaring bijwerkt zodra er iets verandert in de manier waarop je persoonsgegevens verwerkt.

Situaties die aanleiding geven tot een update zijn onder meer:

• Je start met het verzamelen van nieuwe categorieën persoonsgegevens.
• Je werkt met nieuwe softwareleveranciers of verwerkers die toegang krijgen tot persoonsgegevens.
• Je bewaartermijnen of verwerkingsdoeleinden wijzigen.
• Er zijn wijzigingen in wet- en regelgeving die van invloed zijn op je verwerkingen.
• Je begint gegevens te delen met partijen buiten de EU.

Een goede praktijk is om de privacyverklaring minimaal jaarlijks te reviewen, ook als er geen directe aanleiding is. Zo voorkom je dat kleine veranderingen in de verwerkingen ongemerkt leiden tot een verouderd document. Vermeld in de verklaring altijd de datum van de laatste wijziging, zodat betrokkenen weten hoe actueel de informatie is.

Wat zijn veelgemaakte fouten in een privacyverklaring?

De meest voorkomende fout in een privacyverklaring is het gebruik van vage, juridisch onjuiste of onvolledige informatie. Organisaties kopiëren regelmatig een sjabloon zonder dat aan te passen aan hun eigen situatie, waardoor de verklaring niet overeenkomt met de werkelijke verwerkingen. Dit is niet alleen een AVG-overtreding, maar ook een risico bij een controle door de Autoriteit Persoonsgegevens.

Andere veelgemaakte fouten zijn:

• Ontbrekende rechtsgronden: alleen vermelden dat gegevens worden verwerkt, zonder aan te geven op welke grondslag.
• Geen of vage bewaartermijnen: “zo lang als nodig” voldoet niet aan de AVG-eis van specifieke of criteria-gebaseerde termijnen.
• Onvolledig overzicht van ontvangers: derde partijen zoals analysediensten, advertentieplatformen of cloudleveranciers worden niet vermeld.
• Geen melding van doorgifte buiten de EU: het gebruik van Amerikaanse softwarediensten (denk aan Google Analytics of Microsoft Azure) impliceert vaak een doorgifte naar een derde land die expliciet moet worden vermeld.
• Rechten van betrokkenen niet uitlegbaar gemaakt: de rechten worden opgesomd maar er staat niet bij hoe betrokkenen die kunnen uitoefenen.
• Verouderde verklaring: de verklaring is nooit bijgewerkt na introductie van nieuwe tools of werkprocessen.
• Onbegrijpelijk taalgebruik: de AVG vereist dat informatie in duidelijke en eenvoudige taal wordt gepresenteerd, met name als de doelgroep ook kinderen omvat.

Een privacyverklaring is geen juridisch document dat je eenmalig opstelt en vergeet. Het is een levend document dat de werkelijkheid van je gegevensverwerkingen weerspiegelt.

Hoe Q-Cyber helpt met privacyverklaring en AVG-compliance

Een correcte privacyverklaring opstellen is meer dan een juridisch vinkje zetten. Het vereist inzicht in je eigen verwerkingen, kennis van de AVG en het vermogen om die informatie begrijpelijk te vertalen voor je gebruikers. Tegelijkertijd raakt privacybeleid steeds vaker aan bredere vraagstukken rondom informatiebeveiliging en wet- en regelgeving zoals de NIS2-richtlijn.

Wij bij Q-Cyber helpen organisaties met het structureel verankeren van beleid rondom privacy en cybersecurity. Concreet bieden we:

• Beleidsadvies en documentatie: we schrijven en beoordelen privacyverklaringen, verwerkingsregisters en informatiebeveiligingsbeleid op maat van jouw organisatie.
• Gap-analyses: we brengen in kaart waar jouw huidige privacydocumentatie tekortschiet ten opzichte van de AVG-vereisten.
• Virtuele CISO-diensten via Continuous-Q: een team van specialisten dat structureel toeziet op de naleving van privacy- en beveiligingsbeleid binnen jouw organisatie.
• Trainingen voor bestuurders en medewerkers: zodat iedereen in de organisatie begrijpt waarom privacybeleid belangrijk is en hoe het in de praktijk werkt.
• NIS2-begeleiding: voor organisaties die ook onder de Cyberbeveiligingswet vallen, combineren we privacyadvies met de bredere NIS2-vereisten.

Wil je weten of jouw privacyverklaring voldoet aan de AVG of heb je hulp nodig bij het opstellen ervan? Neem contact op en we kijken samen wat nodig is.

Lees meer

Cookies en privacy: wat zijn de regels?

Geplaatst op: 5 augustus 2026

Voor cookies en privacy gelden in Nederland duidelijke regels: websites mogen alleen niet-functionele cookies plaatsen als de gebruiker daar vooraf toestemming voor heeft gegeven. Die toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. De regels komen voort uit de Algemene Verordening Gegevensbescherming (AVG) en de Telecommunicatiewet, en gelden voor vrijwel elke website die bezoekers uit de EU ontvangt. In dit artikel beantwoorden we de meest gestelde vragen over cookieregels, toestemming en privacywetgeving.

Welke soorten cookies zijn er en wat doen ze?

Cookies zijn kleine tekstbestanden die een website op het apparaat van een bezoeker plaatst om informatie op te slaan. Er zijn vier hoofdcategorieën: functionele cookies, analytische cookies, tracking- of marketingcookies en sociale mediacookies. Elk type heeft een ander doel en een andere juridische status als het gaat om toestemming.

Functionele cookies

Functionele cookies zijn noodzakelijk voor het correct functioneren van een website. Denk aan cookies die een inlogsessie onthouden, taalvoorkeuren opslaan of een winkelwagentje bijhouden. Voor deze cookies is geen toestemming vereist, omdat ze technisch noodzakelijk zijn voor de dienstverlening.

Analytische cookies

Analytische cookies meten hoe bezoekers een website gebruiken. Tools zoals Google Analytics vallen in deze categorie. Als de gegevens geanonimiseerd worden verwerkt en niet worden gedeeld met derden, zijn sommige analytische cookies toestemmingsvrij te gebruiken. Maar zodra ze persoonsgegevens verwerken of aan een derde partij worden doorgegeven, is toestemming alsnog verplicht.

Tracking- en marketingcookies

Tracking- en marketingcookies volgen het surfgedrag van bezoekers over meerdere websites heen. Ze worden gebruikt om gepersonaliseerde advertenties te tonen. Deze cookies verwerken vrijwel altijd persoonsgegevens en vereisen altijd voorafgaande toestemming van de gebruiker.

Sociale mediacookies

Wanneer een website een like-knop, een ingebedde video of een andere sociale mediafunctie integreert, plaatsen die platforms hun eigen cookies. Ook hiervoor geldt dat toestemming nodig is, tenzij de integratie volledig zonder externe verbinding werkt.

Welke wetten gelden er voor cookies in Nederland?

In Nederland zijn twee wetten bepalend voor cookieregels: de Algemene Verordening Gegevensbescherming (AVG) en de Telecommunicatiewet. De AVG regelt hoe persoonsgegevens verwerkt mogen worden, terwijl de Telecommunicatiewet specifiek het plaatsen van en toegang tot cookies op apparaten van gebruikers regelt. Samen vormen ze het juridische kader voor cookiewetgeving in Nederland.

De Telecommunicatiewet verplicht websites om toestemming te vragen voordat niet-functionele cookies worden geplaatst. De AVG voegt hieraan toe dat als cookies persoonsgegevens verwerken, er een geldige verwerkingsgrondslag moet zijn. Voor de meeste niet-functionele cookies is die grondslag toestemming.

De Autoriteit Persoonsgegevens (AP) is de toezichthouder in Nederland die toeziet op naleving van de AVG. De Autoriteit Consument en Markt (ACM) houdt toezicht op de Telecommunicatiewet. In de praktijk werken beide toezichthouders samen bij handhaving rondom cookies. Voor organisaties die ook onder de NIS2-regelgeving vallen, komen daar nog aanvullende verplichtingen op het gebied van informatiebeveiliging bij.

Wanneer is toestemming voor cookies verplicht?

Toestemming voor cookies is verplicht zodra een cookie niet strikt noodzakelijk is voor de werking van de website of de uitvoering van een dienst die de gebruiker heeft aangevraagd. Concreet betekent dit dat analytische, marketing- en sociale mediacookies in vrijwel alle gevallen toestemming vereisen.

Toestemming is niet vereist voor cookies die:

• Technisch noodzakelijk zijn voor de basisfunctionaliteit van de website
• Uitsluitend worden gebruikt voor de sessie en daarna worden verwijderd
• Anonieme statistieken bijhouden zonder dat gegevens worden gedeeld met derden

Toestemming is wel verplicht voor cookies die:

• Het surfgedrag van gebruikers bijhouden over meerdere websites
• Persoonsgegevens doorgeven aan derde partijen
• Worden gebruikt voor gepersonaliseerde advertenties
• Sociale mediafuncties van externe platforms laden

Belangrijk: toestemming moet vooraf worden gegeven. Een website mag geen cookies plaatsen en daarna pas toestemming vragen. Ook mag het weigeren van cookies geen nadelige gevolgen hebben voor de gebruiker, zoals het volledig ontoegankelijk maken van de website.

Wat moet er in een cookiebanner staan?

Een cookiebanner moet voldoende informatie bevatten zodat gebruikers een geïnformeerde keuze kunnen maken. De banner moet duidelijk uitleggen welke soorten cookies worden gebruikt, waarvoor ze dienen, en wie er toegang toe heeft. Een geldige cookiebanner voldoet aan de volgende eisen:

• Duidelijke omschrijving van de categorieën cookies en hun doel
• Vermelding van derde partijen die cookies plaatsen of gegevens ontvangen
• Gelijkwaardige knoppen voor accepteren en weigeren (de weigerknop mag niet kleiner of minder zichtbaar zijn)
• Geen vooraf aangevinkte vakjes voor niet-functionele cookies
• Een link naar het volledige cookiebeleid voor meer informatie
• De mogelijkheid om toestemming in te trekken, net zo eenvoudig als het geven ervan

Een veelgemaakte fout is het gebruik van een banner met alleen een “Accepteer alles”-knop, zonder gelijkwaardige mogelijkheid om te weigeren. De Autoriteit Persoonsgegevens heeft meerdere malen verduidelijkt dat dit niet voldoet aan de AVG-vereisten voor vrije toestemming.

Wat zijn de gevolgen van niet-naleving van cookieregels?

Organisaties die cookieregels niet naleven, riskeren boetes van de Autoriteit Persoonsgegevens. Onder de AVG kunnen boetes oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Bij schendingen van de Telecommunicatiewet kan de ACM ook handhavend optreden.

Naast financiële sancties zijn er andere risico’s:

• Reputatieschade bij klanten en partners die privacynaleving belangrijk vinden
• Klachten van gebruikers bij de AP, die vervolgens een onderzoek kan starten
• Civielrechtelijke claims van gebruikers van wie gegevens onrechtmatig zijn verwerkt
• Gedwongen aanpassingen aan de website onder toezicht van de toezichthouder

In de praktijk richt handhaving zich vaak op grote websites met veel verkeer, maar ook kleinere organisaties worden aangesproken, zeker als er klachten worden ingediend. Het is dan ook verstandig om cookiebeleid proactief op orde te brengen en niet te wachten op een handhavingsactie.

Hoe stel je een correct cookiebeleid op?

Een correct cookiebeleid opstellen begint met een inventarisatie van alle cookies die jouw website plaatst. Vervolgens documenteer je per cookie het doel, de bewaartermijn, en of er derde partijen bij betrokken zijn. Op basis van die inventarisatie bouw je een transparant beleid op dat voldoet aan de AVG en de Telecommunicatiewet.

De stappen voor een compleet cookiebeleid:

1. Voer een cookiescan uit om te inventariseren welke cookies jouw website plaatst en van welke derde partijen
2. Categoriseer de cookies als functioneel, analytisch, marketing of sociaal
3. Bepaal de rechtsgrondslag per categorie: is toestemming vereist of is er een andere grondslag?
4. Stel een cookiebanner in die voldoet aan de eisen voor vrije, geïnformeerde toestemming
5. Schrijf een cookiebeleidspagina met alle verplichte informatie, inclusief bewaartermijnen en contactgegevens
6. Zorg voor een intrekkingsmechanisme waarmee gebruikers hun toestemming eenvoudig kunnen intrekken
7. Houd het beleid actueel: bij elke nieuwe cookie of wijziging in de verwerking moet het beleid worden bijgewerkt

Het cookiebeleid moet ook aansluiten op de bredere privacyverklaring van de organisatie. Gegevens die via cookies worden verzameld, vallen immers ook onder de verwerkingsregisterverplichting van de AVG. Een goed cookiebeleid is daarmee onderdeel van een breder privacybeleid dat de hele organisatie raakt.

Hoe Q-Cyber helpt met privacy en cookiewetgeving

Cookieregels en privacywetgeving zijn onderdeel van een bredere uitdaging: hoe zorg je ervoor dat jouw organisatie structureel voldoet aan wet- en regelgeving, zonder dat dit ten koste gaat van de dagelijkse bedrijfsvoering? Wij helpen organisaties bij precies dat vraagstuk, van technische analyse tot beleidsdocumentatie.

Wat wij voor jouw organisatie kunnen doen:

• Privacybeleid en cookiebeleid opstellen dat aansluit op de AVG en de Telecommunicatiewet
• Gap-analyses uitvoeren om te bepalen waar jouw huidige beleid tekortschiet
• Adviseren over toestemmingsbeheer, inclusief de technische implementatie van een cookiebanner
• NIS2-compliance begeleiden voor organisaties die ook onder de Cyberbeveiligingswet vallen
• Trainingen verzorgen voor bestuurders en medewerkers over privacyverantwoordelijkheden
• Virtueel CISO-diensten bieden via Continuous-Q voor doorlopend advies en toezicht

Wil je weten of jouw cookiebeleid voldoet aan de geldende regels, of heb je hulp nodig bij het opzetten van een compleet privacykader? Neem contact met ons op en we kijken samen wat er nodig is.

Lees meer

AVG en marketing: wat mag je wel en niet?

Geplaatst op: 4 augustus 2026

De AVG (Algemene Verordening Gegevensbescherming) bepaalt precies wat je wel en niet mag doen met persoonsgegevens in je marketingactiviteiten. Voor de meeste directe marketing, zoals e-mailcampagnes en gepersonaliseerde advertenties, heb je een geldige verwerkingsgrondslag nodig, waarbij toestemming of gerechtvaardigd belang de meest voorkomende opties zijn. In dit artikel beantwoorden we de meest gestelde vragen over de AVG en marketing, zodat je weet hoe je jouw strategie compliant houdt.

Welke persoonsgegevens mag je voor marketing gebruiken?

Voor marketingdoeleinden mag je persoonsgegevens gebruiken die je rechtmatig hebt verzameld, zolang je daarvoor een geldige verwerkingsgrondslag hebt. Dit geldt voor gegevens zoals naam, e-mailadres, telefoonnummer, aankoopgeschiedenis en gedragsdata op je website. Bijzondere categorieën persoonsgegevens, zoals gezondheidsgegevens of politieke overtuigingen, zijn in principe verboden voor marketingdoeleinden.

De AVG maakt onderscheid tussen gewone persoonsgegevens en gevoelige gegevens. Voor gewone persoonsgegevens in marketing geldt dat je altijd moet kunnen aantonen waarom je ze verwerkt en op welke grondslag. Denk aan:

• Contactgegevens (naam, e-mail, telefoonnummer) voor directe communicatie
• Demografische gegevens (leeftijd, locatie) voor segmentatie
• Gedragsdata (klikgedrag, aankoophistorie) voor personalisatie
• Voorkeuren die de ontvanger zelf heeft opgegeven

Belangrijk is het principe van dataminimalisatie: je mag alleen gegevens verzamelen die je daadwerkelijk nodig hebt voor het marketingdoel. Verzamel je meer dan nodig, dan overtreed je al de AVG, ook als je toestemming hebt gekregen. Koppel je meerdere databronnen aan elkaar, dan moet elke verwerking apart worden beoordeeld op rechtmatigheid. Meer over privacywetgeving en regelgeving lees je op onze overzichtspagina.

Wanneer heb je toestemming nodig voor marketing?

Toestemming is verplicht voor e-mailmarketing aan particulieren (B2C) wanneer er geen bestaande klantrelatie is, en voor alle vormen van tracking via cookies voor marketingdoeleinden. Voor direct marketing via elektronische kanalen, zoals e-mail, sms en pushberichten, geldt in Nederland bovendien de Telecommunicatiewet, die toestemming als standaardvereiste stelt voor nieuwe contacten.

Concreet heb je toestemming nodig in de volgende situaties:

• Het versturen van nieuwsbrieven of commerciële e-mails aan mensen die nog geen klant zijn
• Het plaatsen van tracking- of marketingcookies op je website
• Gepersonaliseerde advertenties op basis van surfgedrag
• Het benaderen van particulieren via sms of pushberichten
• Het doorgeven van contactgegevens aan derden voor marketingdoeleinden

Bij B2B-marketing ligt het iets genuanceerder. Het benaderen van zakelijke contacten via hun zakelijke e-mailadres kan in sommige gevallen worden gebaseerd op gerechtvaardigd belang, mits het aanbod relevant is voor hun functie of branche. Dit ontslaat je echter niet van de verplichting om een afmeldmogelijkheid te bieden en transparant te zijn over de verwerking.

Wat is het verschil tussen toestemming en gerechtvaardigd belang?

Toestemming is een actieve, vrijwillige en specifieke instemming van de betrokkene, terwijl gerechtvaardigd belang een afweging is waarbij jouw belang als organisatie zwaarder weegt dan het privacybelang van de betrokkene. Voor marketing zijn dit de twee meest gebruikte grondslagen, maar ze zijn niet uitwisselbaar en gelden voor verschillende situaties.

Wanneer werkt toestemming?

Toestemming is de juiste grondslag als de betrokkene een echte keuze heeft en als je wilt dat mensen actief instemmen met je marketing. Geldige toestemming onder de AVG moet vrij gegeven, specifiek, geïnformeerd en ondubbelzinnig zijn. Dit betekent dat een vooraf aangevinkt vakje niet geldig is, dat je toestemming niet mag koppelen aan het gebruik van een dienst, en dat je altijd moet kunnen bewijzen wanneer en hoe de toestemming is gegeven. Toestemming kan bovendien op elk moment worden ingetrokken.

Wanneer werkt gerechtvaardigd belang?

Gerechtvaardigd belang kan worden ingezet als je een legitiem doel hebt, de verwerking noodzakelijk is voor dat doel, en de belangen van de betrokkene niet zwaarder wegen. In de marketingcontext wordt dit vaak toegepast bij het benaderen van bestaande klanten met vergelijkbare producten of diensten, of bij B2B-marketing gericht op relevante zakelijke contacten. Je bent verplicht een zogenaamde legitimate interest assessment (LIA) uit te voeren en te documenteren, en je moet altijd een opt-out aanbieden.

Hoe bewaar en beheer je marketingtoestemmingen correct?

Marketingtoestemmingen moet je bewaren op een manier waaruit blijkt wie toestemming heeft gegeven, wanneer dat is gebeurd, waarvoor precies toestemming is gegeven en via welk kanaal. Dit is geen administratieve formaliteit, maar een wettelijke verplichting: als de Autoriteit Persoonsgegevens hierom vraagt, moet je dit kunnen aantonen.

Een goed toestemmingsbeheer omvat de volgende elementen:

1. Vastlegging: Sla per contact op wanneer en via welk formulier of kanaal toestemming is gegeven, inclusief de exacte tekst van de toestemmingsvraag die op dat moment werd getoond.
2. Granulariteit: Registreer per marketingdoel (nieuwsbrief, aanbiedingen, partnerberichten) apart of toestemming is gegeven, zodat intrekking van één toestemming niet alles blokkeert.
3. Vervalbeleid: Stel een vervaldatum in voor toestemmingen die lang niet zijn gebruikt. Inactieve contacten zonder recente interactie opnieuw benaderen zonder herbevestiging is risicovol.
4. Intrekkingsproces: Maak afmelden eenvoudig en verwerk afmeldingen direct. Een afmelding via een nieuwsbrief moet ook doorwerken in andere marketinglijsten.
5. Periodieke audit: Controleer regelmatig of je toestemmingen nog actueel en geldig zijn, en of je systemen correct zijn gekoppeld.

Je CRM of e-mailmarketingsysteem speelt hierin een centrale rol. Zorg dat deze systemen toestemmingen correct registreren en dat er geen handmatige stappen nodig zijn die fouten kunnen introduceren.

Wat zijn de gevolgen van AVG-overtredingen in marketing?

De gevolgen van AVG-overtredingen in marketing kunnen aanzienlijk zijn: de Autoriteit Persoonsgegevens kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Naast financiële sancties riskeer je reputatieschade, verlies van klantvertrouwen en civielrechtelijke claims van betrokkenen.

In de praktijk zijn er meerdere niveaus van gevolgen:

• Boetes van de AP: De Autoriteit Persoonsgegevens handhaaft actief op e-mailmarketing zonder geldige toestemming, onterechte cookieplaatsing en het ontbreken van een privacyverklaring. Nederlandse bedrijven hebben al forse boetes ontvangen voor schendingen in marketingcommunicatie.
• Klachten van betrokkenen: Iedereen wiens gegevens onrechtmatig worden verwerkt, kan een klacht indienen bij de AP of een civiele procedure starten. Dit geldt ook voor concurrenten die misbruik van persoonsgegevens melden.
• Reputatieschade: Publiciteit rondom een AVG-overtreding kan het vertrouwen van klanten en partners ernstig beschadigen, soms met meer langetermijngevolgen dan de boete zelf.
• Operationele gevolgen: De AP kan ook verwerkingsactiviteiten tijdelijk of permanent verbieden, wat directe impact heeft op je marketingcapaciteit.

Kleine organisaties denken soms dat ze buiten het vizier van de AP vallen, maar de toezichthouder behandelt ook klachten over kleinere bedrijven, zeker als het gaat om stelselmatige overtredingen zoals het structureel versturen van e-mail zonder toestemming.

Hoe maak je je marketingstrategie AVG-proof?

Een AVG-proof marketingstrategie bouw je op drie pijlers: rechtmatige gegevensverzameling, transparante communicatie en een robuust beheer van toestemmingen en rechten van betrokkenen. Dit is geen eenmalige actie, maar een doorlopend proces dat je inbeddt in je marketingprocessen.

Praktische stappen om je strategie compliant te maken:

1. Breng je datastromen in kaart: Weet welke persoonsgegevens je verzamelt, waar ze vandaan komen, waar ze naartoe gaan en hoe lang je ze bewaart. Dit is de basis van elk privacy-programma.
2. Kies de juiste grondslag per activiteit: Bepaal per marketingactiviteit of je toestemming of gerechtvaardigd belang gebruikt, documenteer dit en zorg dat je keuze verdedigbaar is.
3. Actualiseer je privacyverklaring: Zorg dat je privacyverklaring duidelijk beschrijft welke gegevens je voor marketing gebruikt, op welke grondslag, en hoe betrokkenen hun rechten kunnen uitoefenen.
4. Implementeer een cookiebeleid: Zorg voor een functionerende cookiebanner die alleen niet-essentiële cookies plaatst na actieve toestemming, en registreer deze toestemmingen.
5. Train je marketingteam: Zorg dat iedereen die met persoonsgegevens werkt begrijpt wat wel en niet mag, en wat de procedures zijn bij een datalek of een verzoek van een betrokkene.
6. Voer periodieke audits uit: Controleer minstens jaarlijks of je processen, systemen en documentatie nog actueel en compliant zijn.

Vergeet ook de keten niet: als je werkt met externe marketingbureaus, e-mailplatforms of advertentienetwerken, ben je als verwerkingsverantwoordelijke verplicht verwerkersovereenkomsten af te sluiten en te controleren of deze partijen AVG-compliant opereren. Meer informatie over hoe je dit aanpakt vind je via onze cyber research.

Hoe Q-Cyber helpt met AVG-compliance in marketing

Privacy en cybersecurity zijn nauw met elkaar verbonden: een datalek via een marketingsysteem of een onbeveiligde e-mailcampagne kan direct leiden tot AVG-overtredingen met alle gevolgen van dien. Wij helpen organisaties niet alleen met technische beveiliging, maar ook met de beleidsmatige kant van gegevensbescherming.

Wat wij voor jouw organisatie kunnen betekenen:

• Privacy- en beveiligingsadvies: We analyseren hoe je marketingprocessen zijn ingericht en waar de risico’s zitten voor AVG-overtredingen of datalekken.
• Beleid op maat: We schrijven privacybeleid, verwerkersovereenkomsten en interne procedures die aansluiten op jouw marketingpraktijk.
• Trainingen: We verzorgen trainingen voor marketing- en communicatieteams over privacywetgeving en veilig omgaan met persoonsgegevens.
• Virtuele CISO: Via ons Continuous-Q programma bieden we doorlopende begeleiding op het snijvlak van beveiliging en compliance, zonder dat je een fulltime CISO hoeft aan te stellen.
• Onafhankelijk advies: We zijn niet gebonden aan softwarepartijen of toeleveranciers, waardoor ons advies altijd in jouw belang is.

Wil je weten of jouw marketingstrategie AVG-proof is? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat is supply chain security binnen de NIS2-richtlijn?

Geplaatst op: 3 augustus 2026

Supply chain security binnen de NIS2-richtlijn verwijst naar de verplichting voor organisaties om niet alleen hun eigen systemen te beveiligen, maar ook de cyberveiligheid van hun leveranciers en ketenpartners actief te beheren. De NIS2-richtlijn erkent dat een aanval op een toeleverancier net zo schadelijk kan zijn als een directe aanval op de organisatie zelf. In dit artikel beantwoorden we de meest gestelde vragen over ketenbeveiliging en wat NIS2 concreet van u vraagt.

Welke verplichtingen legt NIS2 op aan toeleveranciers?

De NIS2-richtlijn verplicht organisaties die onder de wet vallen om de beveiliging van hun volledige toeleveringsketen te borgen. Dit betekent dat u als organisatie verantwoordelijk bent voor het beoordelen en beheersen van de cyberrisico’s die uw leveranciers met zich meebrengen, ook al zijn die leveranciers zelf niet direct onder NIS2 verplicht. Leveranciersbeveiliging is daarmee een expliciete minimummaatregel binnen de zorgplicht.

Concreet betekent dit dat organisaties beleid moeten opstellen voor de beveiliging van de toeleveringsketen. Dit beleid moet beschrijven hoe leveranciers worden geselecteerd, hoe risico’s worden beoordeeld en hoe afspraken over beveiliging contractueel worden vastgelegd. De compliance en beleidsvorming rondom supply chain is daarmee geen vrijblijvende oefening, maar een wettelijke verplichting.

Belangrijk om te weten: in Nederland vallen ruim 10.000 organisaties direct onder de NIS2, maar naar schatting krijgen 50.000 bedrijven die aan deze groep leveren eveneens indirect met de richtlijn te maken. Als toeleverancier van een NIS2-plichtige organisatie zult u dus in toenemende mate worden aangesproken op uw eigen beveiligingsniveau, ook zonder directe wettelijke verplichting.

Waarom is de toeleveringsketen een populair aanvalsdoel?

De toeleveringsketen is een populair aanvalsdoel omdat aanvallers via een leverancier toegang kunnen krijgen tot meerdere grote organisaties tegelijk. Een kleine toeleverancier met minder volwassen beveiliging fungeert als zwakste schakel in een keten van anders goed beveiligde organisaties. Één succesvolle aanval op een leverancier kan zo tientallen of honderden eindklanten raken.

Dit fenomeen noemen we ook wel een supply chain attack. Aanvallers richten zich bewust op softwareleveranciers, IT-dienstverleners, cloudproviders of andere partijen die diepe toegang hebben tot de systemen van hun klanten. Denk aan updates die worden voorzien van kwaadaardige code, of aan inloggegevens van een beheerder die worden gestolen bij een kleine IT-partner.

Wat deze aanvallen extra gevaarlijk maakt, is het vertrouwen dat organisaties hebben in hun leveranciers. Verkeer en toegang vanuit een bekende leverancier wordt zelden als verdacht gezien. Aanvallers maken hier misbruik van door zich te verschuilen achter legitieme verbindingen. Een red team oefening kan helpen om dit soort blinde vlekken in uw keten bloot te leggen.

Hoe beoordeel je de cyberveiligheid van een leverancier?

De cyberveiligheid van een leverancier beoordeelt u aan de hand van een gestructureerde risicoanalyse, waarbij u kijkt naar de toegang die de leverancier heeft tot uw systemen, de gevoeligheid van de data die wordt uitgewisseld en de beveiligingsmaatregelen die de leverancier zelf treft. Dit proces heet ook wel een leveranciersaudit of third-party risk assessment.

Een praktische aanpak bestaat uit de volgende stappen:

1. Inventariseer uw leveranciers en categoriseer ze op basis van de toegang die ze hebben en het risico dat ze vertegenwoordigen.
2. Stel een vragenlijst op over beveiligingsbeleid, incidentrespons, certificeringen (zoals ISO 27001) en toegangsbeheer.
3. Voer een technische beoordeling uit voor leveranciers met directe systeemtoegang, bijvoorbeeld via een penetratietest of vulnerability scan.
4. Herhaal de beoordeling periodiek, want de beveiligingssituatie van een leverancier kan veranderen.
5. Leg de uitkomsten vast en koppel ze aan contractuele afspraken.

Het gaat er niet om dat elke leverancier een perfect beveiligingsniveau heeft, maar dat u als organisatie weet welke risico’s u accepteert en welke maatregelen u neemt om die te beheersen. Dat is precies wat de NIS2-zorgplicht van u vraagt.

Wat staat er minimaal in een NIS2-conform leverancierscontract?

Een NIS2-conform leverancierscontract bevat minimaal afspraken over de beveiligingsmaatregelen die de leverancier moet treffen, de meldplicht bij incidenten, het recht op audit en de gevolgen bij niet-naleving. Zonder deze contractuele basis kunt u als organisatie niet aantonen dat u de beveiliging van uw toeleveringsketen adequaat beheert.

Concreet zijn dit de onderdelen die in elk leverancierscontract thuishoren:

• Beveiligingsvereisten: Welke technische en organisatorische maatregelen moet de leverancier treffen, en op welk niveau?
• Meldplicht bij incidenten: De leverancier moet u tijdig informeren bij een beveiligingsincident dat uw organisatie kan raken, zodat u kunt voldoen aan uw eigen meldplicht binnen 24 uur.
• Auditrecht: U behoudt het recht om de beveiligingsmaatregelen van de leverancier te toetsen, direct of via een derde partij.
• Subverwerkers en ketenaansprakelijkheid: Afspraken over welke partijen de leverancier zelf inschakelt en welke eisen daarvoor gelden.
• Beëindigingsclausule: Wat gebeurt er als de leverancier niet langer voldoet aan de gestelde beveiligingseisen?

Hoe specifieker de contractuele afspraken, hoe sterker uw positie bij een incident en hoe beter u kunt aantonen dat u als organisatie grip heeft op uw supply chain NIS2-verplichtingen.

Wie binnen een organisatie is verantwoordelijk voor supply chain security?

Onder de NIS2-richtlijn ligt de eindverantwoordelijkheid voor supply chain security bij het bestuur van de organisatie. Bestuurders zijn verplicht om voldoende kennis te hebben van beveiligingsrisico’s en om weloverwogen beslissingen te nemen over risicobeheersmaatregelen, inclusief de risico’s die leveranciers met zich meebrengen.

In de praktijk betekent dit dat het bestuur de kaders stelt en de verantwoordelijkheid draagt, maar dat de uitvoering is belegd bij operationele rollen. Afhankelijk van de omvang van de organisatie zijn dat vaak:

• De CISO (Chief Information Security Officer) of een virtuele CISO, die het beleid voor leveranciersbeveiliging opstelt en bewaakt.
• De inkoopverantwoordelijke of contractmanager, die beveiligingseisen meeneemt in aanbestedingen en contractonderhandelingen.
• De IT-afdeling, die technische toegang van leveranciers beheert en monitort.

De NIS2-richtlijn verplicht bestuurders bovendien een training te volgen om beveiligingsrisico’s te leren beoordelen. Dat geldt ook voor risico’s in de toeleveringsketen. Supply chain security is daarmee geen uitsluitend technisch vraagstuk, maar een bestuurlijke verantwoordelijkheid.

Wat zijn de gevolgen als supply chain security niet op orde is?

Als supply chain security niet op orde is, loopt een organisatie zowel operationele als juridische risico’s. Operationeel kan een aanval via een leverancier leiden tot dataverlies, verstoring van dienstverlening of reputatieschade. Juridisch kunnen toezichthouders boetes opleggen tot maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4% voor belangrijke entiteiten.

Naast financiële sancties kan het senior management persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen. Hoewel deze aansprakelijkheid voor overheidsinstanties uitdrukkelijk buiten de NIS2-bepalingen valt, geldt ze voluit voor private organisaties. Dat maakt ketenbeveiliging tot een boardroomvraagstuk dat niet kan worden gedelegeerd zonder adequate opvolging.

Een incident via een leverancier telt bovendien mee voor de meldplicht. Als een significant cyberincident zijn oorsprong vindt bij een toeleverancier, bent u als organisatie verplicht dit binnen 24 uur te melden bij de nationale autoriteiten. Wie zijn leveranciersrisico’s niet kent, loopt het risico die termijn te missen, met extra sancties als gevolg.

Tot slot schaadt een supply chain incident het vertrouwen van klanten en partners. In sectoren waar continuïteit en betrouwbaarheid centraal staan, kan dat langetermijnschade veroorzaken die de directe kosten van een aanval ruimschoots overstijgt. Meer achtergrond over dreigingslandschappen en aanvalsmethoden vindt u in ons cyber research overzicht.

Hoe Q-Cyber helpt met supply chain security

Supply chain security is een van de complexere onderdelen van NIS2-compliance, omdat het vraagt om samenwerking tussen inkoop, IT, juridische zaken en bestuur. Wij helpen organisaties om deze samenwerking te structureren en de juiste maatregelen te treffen, zonder dat het een papieren exercitie wordt.

Wat wij concreet voor u doen:

• Leveranciersrisicoanalyse: We brengen uw toeleveringsketen in kaart en categoriseren leveranciers op basis van risico en toegang.
• Beleid op maat: We schrijven een supply chain beveiligingsbeleid dat aansluit op uw sector en risicoprofiel, en dat voldoet aan de NIS2-zorgplicht.
• Contractadvies: We adviseren over de beveiligingseisen die u contractueel moet vastleggen met leveranciers.
• Technische toetsing: Via pentests en vulnerability scans toetsen we de beveiliging van kritische leveranciers en koppelingen.
• Bestuurstraining: We verzorgen trainingen voor bestuurders om te voldoen aan de NIS2-trainingsplicht, inclusief het thema ketenbeveiliging.
• Virtuele CISO: Via Continuous-Q bieden we een team van specialisten dat doorlopend toezicht houdt op uw beveiligingsprogramma, inclusief leveranciersbeheersing.

Wij werken onafhankelijk, zonder binding aan softwarepartijen of toeleveranciers, zodat u altijd pragmatisch en objectief advies krijgt. Wilt u weten waar uw organisatie staat op het gebied van supply chain NIS2-compliance? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Informatiebeveiliging in de zorg: speciale eisen

Geplaatst op: 3 augustus 2026

De zorgsector valt onder meerdere lagen van wet- en regelgeving voor informatiebeveiliging, waaronder de AVG, de NIS2-richtlijn (in Nederland vertaald naar de Cyberbeveiligingswet), en de sectorspecifieke norm NEN 7510. Samen vormen deze kaders een streng regime dat zorginstellingen verplicht om patiëntgegevens en kritieke systemen actief te beschermen. De vragen hieronder geven antwoord op de meest gestelde vragen over informatiebeveiliging in de zorg.

Welke wet- en regelgeving geldt voor informatiebeveiliging in de zorg?

Zorginstellingen in Nederland vallen onder drie belangrijke kaders: de Algemene Verordening Gegevensbescherming (AVG), de NEN 7510-norm voor informatiebeveiliging in de zorg, en de Cyberbeveiligingswet (Cbw) als nationale vertaling van de Europese NIS2-richtlijn. Grotere zorginstellingen worden aangemerkt als essentiële of belangrijke entiteit onder de Cbw en moeten aantoonbaar voldoen aan de zorgplicht.

De AVG legt de basis: persoonsgegevens, en zeker bijzondere categorieën zoals medische informatie, mogen alleen worden verwerkt met een rechtmatige grondslag en moeten adequaat worden beveiligd. De Autoriteit Persoonsgegevens houdt hier toezicht op en kan bij overtredingen aanzienlijke boetes opleggen.

De NEN 7510 is de zorgspecifieke uitwerking van de internationale ISO 27001-norm en geeft concrete handvatten voor hoe informatiebeveiliging in een zorgomgeving moet worden ingericht. Certificering op NEN 7510 is in bepaalde situaties verplicht, bijvoorbeeld voor zorgaanbieders die aansluiten op landelijke infrastructuren zoals het LSP (Landelijk Schakelpunt).

Daarnaast verplicht de Cyberbeveiligingswet zorginstellingen die als essentieel worden aangemerkt om te voldoen aan uitgebreide eisen op het gebied van cyberrisicobeheer, incidentmelding en bestuurlijke verantwoordelijkheid. De inwerkingtreding van de Cbw wordt verwacht in het tweede kwartaal van 2026.

Waarom is de zorgsector een aantrekkelijk doelwit voor cybercriminelen?

De zorgsector is aantrekkelijk voor cybercriminelen omdat zij beschikt over grote hoeveelheden waardevolle, gevoelige gegevens en tegelijkertijd sterk afhankelijk is van de continue beschikbaarheid van systemen. Medische dossiers zijn op de zwarte markt meer waard dan financiële gegevens, en een zorginstelling kan zich geen langdurige uitval veroorloven zonder directe gevolgen voor patiëntveiligheid.

Dit maakt ransomware-aanvallen bijzonder effectief in de zorg: de druk om snel te betalen is hoog wanneer systemen die levensreddende apparatuur aansturen of toegang tot medicatie regelen uitvallen. Criminelen weten dit en richten zich bewust op ziekenhuizen, huisartsenpraktijken en andere zorginstellingen.

Daarnaast kampt de zorgsector met een aantal structurele kwetsbaarheden. Verouderde IT-infrastructuur, een grote diversiteit aan medische apparaten die op netwerken zijn aangesloten, en medewerkers die primair zijn opgeleid voor zorg en niet voor digitale veiligheid, zorgen samen voor een aanvalsoppervlak dat groter is dan in veel andere sectoren. Phishing-aanvallen zijn effectief omdat zorgmedewerkers dagelijks grote hoeveelheden e-mails ontvangen van uiteenlopende afzenders, van patiënten tot leveranciers.

Wat zijn de speciale eisen voor het beveiligen van patiëntgegevens?

Patiëntgegevens zijn bijzondere persoonsgegevens onder de AVG en vereisen daardoor een hoger beschermingsniveau dan gewone persoonsgegevens. Zorginstellingen zijn verplicht om passende technische en organisatorische maatregelen te treffen, toegang strikt te beperken tot bevoegde medewerkers, en datalekken binnen 72 uur te melden bij de Autoriteit Persoonsgegevens.

Concreet betekent dit voor zorginstellingen onder meer:

• Strikte toegangscontrole op basis van het principe van minimale rechten: medewerkers hebben alleen toegang tot de gegevens die zij voor hun werk nodig hebben.
• Versleuteling van patiëntgegevens, zowel tijdens opslag als bij overdracht via netwerken of externe systemen.
• Logging en monitoring van wie wanneer toegang heeft gehad tot welke dossiers, zodat ongeautoriseerde toegang snel kan worden gedetecteerd.
• Een actueel en getest incidentresponsplan, inclusief procedures voor het melden van datalekken.
• Bewustzijnstraining voor medewerkers, omdat menselijk handelen een van de grootste risicofactoren blijft.

Onder de NIS2-zorgplicht komen hier aanvullende eisen bij, zoals aantoonbaar risicobeheer, ketenbewaking bij leveranciers die toegang hebben tot patiëntgegevens, en bestuurlijke verantwoordelijkheid voor het informatiebeveiligingsbeleid.

Hoe verschilt NEN 7510 van ISO 27001 voor zorginstellingen?

NEN 7510 is een zorgspecifieke uitbreiding van ISO 27001 en ISO 27002, en voegt daar sectorspecifieke beheersmaatregelen aan toe die direct gericht zijn op de bijzondere risico’s van de gezondheidszorg. Waar ISO 27001 een generiek raamwerk biedt voor informatiebeveiliging in elke sector, gaat NEN 7510 specifiek in op de bescherming van patiëntgegevens, medische systemen en de continuïteit van zorgprocessen.

Praktisch gezien betekent dit dat een zorginstelling die al gecertificeerd is op ISO 27001 daarmee een goede basis heeft, maar nog aanvullende stappen moet zetten om aan NEN 7510 te voldoen. NEN 7510 bevat specifieke eisen rondom:

• De bescherming van medische informatie gedurende de volledige levenscyclus van het dossier.
• De toegang tot patiëntgegevens door zorgverleners buiten de eigen instelling, zoals bij waarneming of verwijzing.
• De integratie van informatiebeveiliging in klinische processen en medische apparatuur.
• Eisen aan het beheer van mobiele apparaten die worden gebruikt voor het raadplegen van patiëntinformatie.

Voor zorginstellingen die aansluiten op nationale zorginfrastructuren is NEN 7510-certificering in veel gevallen een harde eis. ISO 27001 alleen is dan onvoldoende.

Welke risico’s ontstaan bij het gebruik van medische apparaten in netwerken?

Medische apparaten die zijn aangesloten op een netwerk, zoals infuuspompen, bewakingsmonitors en beeldvormingsapparatuur, vormen een serieus beveiligingsrisico. Deze apparaten draaien vaak op verouderde software, ontvangen zelden beveiligingsupdates, en zijn ontworpen met beschikbaarheid als prioriteit in plaats van beveiliging. Eén gecompromitteerd apparaat kan een aanvaller toegang geven tot het bredere ziekenhuisnetwerk.

De risico’s zijn tweeledig. Ten eerste het risico op datadiefstal: medische apparaten verwerken en versturen patiëntgegevens, die via een kwetsbaar apparaat kunnen worden onderschept. Ten tweede het risico op verstoring van zorgprocessen: een aanvaller die toegang krijgt tot medische apparatuur kan de werking ervan beïnvloeden, met directe gevolgen voor patiëntveiligheid.

Goede netwerksegmentatie is een van de meest effectieve maatregelen: medische apparaten worden dan in een afgeschermd netwerksegment geplaatst, zodat een aanval op één apparaat niet automatisch toegang geeft tot het volledige ziekenhuisnetwerk. Aanvullend is het belangrijk om een actueel overzicht te hebben van alle aangesloten apparaten, zodat kwetsbaarheden tijdig kunnen worden gesignaleerd. Een penetratietest gericht op medische infrastructuur kan blinde vlekken in de beveiliging zichtbaar maken.

Hoe begin je met een informatiebeveiligingsbeleid in een zorgorganisatie?

Begin met een risicoanalyse: breng in kaart welke informatie en systemen kritiek zijn voor de zorgverlening, welke dreigingen daarvoor relevant zijn, en welke maatregelen al aanwezig zijn. Vanuit die analyse stel je prioriteiten en bouw je stap voor stap een beleid op dat aansluit bij de werkelijkheid van de organisatie.

Een informatiebeveiligingsbeleid in de zorg hoeft niet in één keer perfect te zijn, maar moet wel aantoonbaar zijn ingericht en gedragen worden door de bestuurders. Onder de NIS2-zorgplicht is bestuurlijke verantwoordelijkheid een expliciete eis: het management moet begrijpen welke risico’s er zijn en weloverwogen beslissingen kunnen nemen over de te nemen maatregelen.

Praktische stappen om mee te beginnen:

1. Voer een nulmeting uit op basis van NEN 7510 of de NIS2-zelfevaluatietool om de huidige volwassenheid in kaart te brengen.
2. Stel een verantwoordelijke aan, bijvoorbeeld een (virtuele) CISO, die het beveiligingsbeleid coördineert en bewaakt.
3. Inventariseer alle systemen en gegevensverwerkingen, inclusief koppelingen met externe leveranciers en medische apparaten.
4. Schrijf kernbeleid op het gebied van toegangsbeheer, incidentrespons, back-upbeheer en bewustwording.
5. Train medewerkers regelmatig op herkenning van phishing en veilig omgaan met patiëntgegevens.
6. Test en evalueer de maatregelen periodiek, bijvoorbeeld via een vulnerability scan of phishingtest.

De NEN 7510-norm biedt hiervoor een gestructureerd raamwerk dat specifiek is ontworpen voor de zorgsector en goed aansluit op de NIS2-verplichtingen.

Hoe Q-Cyber helpt met informatiebeveiliging in de zorg

Informatiebeveiliging in de zorg vraagt om een aanpak die zowel technisch als beleidsmatig sterk is, en die aansluit op de specifieke risico’s en verplichtingen van zorginstellingen. Wij ondersteunen zorginstellingen op alle niveaus van dit traject, van de eerste risicoanalyse tot volledige NIS2-implementatie. Onze aanpak is onafhankelijk, pragmatisch en zonder binding aan softwarepartijen.

Wat wij concreet kunnen doen voor uw zorgorganisatie:

• Gap-analyse op basis van NEN 7510 en NIS2: wij brengen in kaart waar uw organisatie staat en welke stappen nodig zijn om aan de wettelijke eisen te voldoen.
• Beleid schrijven op maat: van toegangsbeheer en incidentrespons tot ketenbewaking en bestuurlijke verantwoording.
• Virtuele CISO via Continuous-Q: een team van specialisten dat structureel de informatiebeveiligingsfunctie invult, zonder dat u een fulltime CISO hoeft aan te stellen.
• Penetratietests en vulnerability scans: gericht op uw netwerk, medische apparaten en digitale infrastructuur.
• Bewustzijnstrainingen: voor medewerkers én bestuurders, afgestemd op de zorgsector.

Wacht niet tot de Cyberbeveiligingswet in werking treedt. De risico’s zijn er nu al, en een goede voorbereiding beschermt niet alleen uw organisatie, maar ook uw patiënten. Neem contact op en ontdek hoe wij uw zorgorganisatie weerbaarder maken.

Lees meer

Hoe werkt incidentmelding onder de NIS2-richtlijn?

Geplaatst op: 2 augustus 2026

Een cyberincident kan elke organisatie treffen, maar wat daarna gebeurt, bepaalt hoe groot de schade uitpakt. Onder de NIS2-richtlijn, die in Nederland wordt omgezet via de Cyberbeveiligingswet (Cbw), geldt een strikte meldplicht voor significante cyberincidenten. Wie de procedure niet kent of te laat handelt, riskeert niet alleen operationele schade, maar ook boetes en reputatieverlies.

In dit artikel lees je stap voor stap hoe NIS2-incidentmelding in de praktijk werkt: van de voorbereiding vóór een incident plaatsvindt tot het afsluiten met een eindrapport. Zo weet je precies wat je moet doen en wanneer, zodat je voldoet aan de NIS2-meldplicht zonder kostbare fouten te maken.

Wat je moet regelen vóór een incident plaatsvindt

Effectieve NIS2-incidentmelding begint niet op het moment dat er iets misgaat, maar ruim daarvoor. Organisaties die pas tijdens een incident uitzoeken hoe de meldprocedure werkt, verliezen kostbare uren. De eerste 24 uur zijn cruciaal, en die kun je je niet veroorloven te besteden aan intern overleg over wie wat moet doen.

Zorg dat de volgende zaken op orde zijn voordat een incident zich voordoet:

• Registratie bij het NCSC-portaal: Organisaties die onder de Cbw vallen, zijn verplicht zich te registreren. Meldingen verlopen via dit portaal, dat ze automatisch doorstuurt naar het eigen CSIRT en de toezichthouder. Essentiële en belangrijke entiteiten kunnen zich al vrijwillig registreren.
• Intern incidentresponsplan: Stel vast wie verantwoordelijk is voor het detecteren, beoordelen en melden van incidenten. Leg rollen en escalatiepaden schriftelijk vast.
• Drempelcriteria per sector kennen: De specifieke drempelwaarden voor wat een incident meldingswaardig maakt, worden uitgewerkt in sectorale ministeriële regelingen. Zorg dat je weet welke criteria voor jouw sector gelden.
• Contactgegevens toezichthouder paraat: Voor de meeste overheidsorganisaties is de Rijksinspectie Digitale Infrastructuur (RDI) de aangewezen toezichthouder. Voor waterschappen is dat de Inspectie Leefomgeving en Transport (ILT).
• Logboek en documentatieproces: Zorg voor een systeem waarmee je tijdstippen, maatregelen en beslissingen gedurende een incident kunt bijhouden. Dit is essentieel voor de latere meldingen.

Controleer na het doorlopen van deze voorbereidingen of je registratie in het NCSC-portaal actueel is en of de gegevens in het Register voor Overheidsorganisaties (ROO) kloppen. Een goede voorbereiding is de basis voor alles wat volgt. Bekijk ook onze informatie over compliance en beleid als je wilt weten hoe je dit structureel inbedt in je organisatie.

Bepaal of een incident meldplichtig is onder NIS2

Niet elk beveiligingsincident valt onder de NIS2-meldplicht. De Cbw verplicht organisaties uitsluitend om significante cyberincidenten te melden. Een incident is significant als het de continuïteit van de dienstverlening aanzienlijk kan verstoren of heeft verstoord.

Beoordeel een incident aan de hand van de volgende factoren:

1. Aantal getroffen personen: Zijn er veel gebruikers, burgers of klanten die geen toegang meer hebben tot een essentiële dienst?
2. Duur van de verstoring: Hoe lang duurt de impact al, en hoe lang verwacht je dat die aanhoudt?
3. Financiële schade: Is er sprake van aanzienlijke directe of indirecte financiële gevolgen?
4. Reputatieschade of maatschappelijke impact: Heeft het incident bredere gevolgen voor het vertrouwen in de organisatie of de dienstverlening aan de samenleving?
5. Betrokkenheid van andere organisaties: Heeft het incident gevolgen voor ketenpartners of leveranciers?

Twijfel je of een incident de drempel haalt? Kies dan voor melden. De toezichthouder beoordeelt de ernst, maar een te late of ontbrekende melding wordt zwaarder aangerekend dan een melding die achteraf niet noodzakelijk bleek. Leg je beoordeling en de redenering altijd schriftelijk vast, ook als je besluit niet te melden.

Stuur de vroege melding binnen 24 uur

Zodra je hebt vastgesteld dat een incident significant is, start de klok. De Cbw vereist dat je binnen 24 uur na ontdekking een vroegtijdige waarschuwing instuurt via het NCSC-portaal. Dit is geen volledig rapport, maar een eerste signaal dat aangeeft dat er iets gaande is.

Voer de volgende acties uit voor de vroege melding:

1. Log in op het NCSC-portaal met de gegevens van je geregistreerde organisatie.
2. Selecteer de optie voor een vroegtijdige waarschuwing en vul de basisgegevens in: aard van het incident, tijdstip van ontdekking, en een eerste inschatting van de impact.
3. Geef aan of er vermoedens zijn van kwaadwillende of criminele activiteit, zoals ransomware of een gerichte aanval.
4. Bevestig de melding en sla de bevestiging op als bewijs van tijdige indiening.

Na het indienen van de vroege melding ontvangen zowel het CSIRT als de toezichthouder automatisch een doorgestuurde versie, zodat je geen dubbele melding hoeft te doen. Gebruik de resterende tijd tot de 72-uursmelding om het incident verder te analyseren en beheersmaatregelen te treffen. Documenteer alles wat je doet, inclusief de tijdstippen van elke actie.

Dien de gedetailleerde melding in binnen 72 uur

Met de vroege melding ingediend, verschuift de focus naar de tweede stap: de gedetailleerde incidentmelding. Deze moet binnen 72 uur na ontdekking worden ingediend en bevat een uitgebreidere beschrijving van het incident en de genomen maatregelen.

Verzamel de volgende informatie voor deze melding:

• Een gedetailleerde beschrijving van wat er is gebeurd, inclusief de vermoedelijke oorzaak en aanvalsvector.
• De omvang van de impact: welke systemen, diensten en gebruikers zijn getroffen.
• De maatregelen die al zijn genomen om het incident te beheersen en de dienstverlening te herstellen.
• Een eerste inschatting van de verwachte hersteltijd.
• Eventuele grensoverschrijdende effecten als het incident ook andere EU-lidstaten raakt.

Dien de gedetailleerde melding in via hetzelfde NCSC-portaal als de vroege melding. Zorg dat de informatie feitelijk en zo volledig mogelijk is op basis van wat je op dat moment weet. Het is toegestaan om aan te geven dat het onderzoek nog loopt. Wat telt, is dat je aantoont dat je actief bezig bent met de situatie en transparant communiceert met de autoriteiten.

Sluit het incident af met een eindrapport

De derde en laatste stap in de NIS2-incidentmelding is het eindrapport. Dit rapport sluit de formele meldprocedure af en geeft een volledig beeld van het incident, de oorzaken en de getroffen herstelmaatregelen. Het eindrapport dient te worden ingediend zodra het incident is afgerond, doorgaans binnen een maand na de gedetailleerde melding.

Neem de volgende elementen op in het eindrapport:

1. Grondoorzaakanalyse: Beschrijf wat de werkelijke oorzaak van het incident was en hoe het kon plaatsvinden.
2. Tijdlijn: Geef een chronologisch overzicht van de ontdekking, escalatie, beheersmaatregelen en herstel.
3. Impact: Documenteer de definitieve omvang van de schade, zowel operationeel als financieel.
4. Getroffen maatregelen: Beschrijf welke technische en organisatorische maatregelen zijn genomen om herhaling te voorkomen.
5. Verbeterpunten: Benoem wat er anders had gekund en welke aanpassingen je doorvoert in beleid, processen of technologie.

Het eindrapport is niet alleen een formele verplichting, maar ook een waardevol intern document. Organisaties die leren van incidenten en dat aantoonbaar vastleggen, bouwen aan de dynamische weerbaarheid die de kern vormt van goede cybersecurity. Bewaar het rapport zorgvuldig, want toezichthouders kunnen hier op een later moment om vragen. Overweeg ook een cyberonderzoek te laten uitvoeren om de technische oorzaken grondig in kaart te brengen.

Vermijd veelgemaakte fouten bij NIS2-incidentmelding

Zelfs organisaties die de procedure kennen, maken in de praktijk fouten die vermijdbaar zijn. De tijdsdruk tijdens een actief incident maakt het lastig om alle stappen correct te doorlopen. Door de meest voorkomende valkuilen vooraf te kennen, vergroot je de kans op een vlekkeloze afhandeling.

Veelgemaakte fouten en hoe je ze voorkomt:

• Te laat ontdekken dat een incident significant is: Stel intern duidelijke criteria vast en train medewerkers in het herkennen van meldwaardige situaties. Hoe eerder je de ernst vaststelt, hoe meer tijd je hebt voor de 24-uurmelding.
• Niet geregistreerd zijn bij het NCSC-portaal: Registreer je organisatie nu, niet pas als er een incident is. Zonder registratie kun je niet melden via het officiële kanaal.
• Onvolledige documentatie: Leg tijdens het incident real time vast wat er gebeurt. Achteraf reconstrueren leidt tot hiaten en onnauwkeurigheden in je melding.
• Intern overleg dat de 24-uursgrens overschrijdt: Stel vooraf vast wie de bevoegdheid heeft om een melding in te dienen, zonder dat dit langs meerdere lagen van goedkeuring hoeft.
• Het eindrapport vergeten of uitstellen: Plan de afronding van het eindrapport in zodra het incident is opgelost. Uitstel leidt tot incomplete rapportages en gemiste leermomenten.
• Geen aandacht voor de toeleveringsketen: Als een incident bij een leverancier de oorzaak is, moet je dat meenemen in je melding. De NIS2-zorgplicht omvat ook supply chain security.

Regelmatige oefening van de incidentresponsprocedure, bijvoorbeeld via een tabletop-simulatie of een red team oefening, helpt om zwakke plekken in je proces op te sporen voordat een echt incident dat doet.

Hoe Q-Cyber helpt met NIS2-incidentmelding

De NIS2-meldplicht is complex, tijdkritisch en heeft directe gevolgen voor bestuurders als het misgaat. Wij helpen organisaties om niet alleen compliant te zijn op papier, maar ook daadwerkelijk voorbereid te zijn op het moment dat het erop aankomt.

Wat wij concreet voor je doen:

• Gap-analyse: We brengen in kaart waar je organisatie nu staat ten opzichte van de NIS2-vereisten, inclusief de meldplicht.
• Incidentresponsplan op maat: We schrijven een praktisch plan dat aansluit op jouw organisatiestructuur, met duidelijke rollen, escalatiepaden en meldprocedures.
• Bestuurderstrainingen: We verzorgen trainingen voor het senior management zodat zij de risico’s begrijpen en hun verantwoordelijkheid kunnen nemen.
• Virtuele CISO-diensten: Via ons Continuous-Q programma bieden we doorlopende begeleiding door een team van specialisten, zodat je altijd een expert binnen handbereik hebt.
• Onafhankelijk advies: We zijn niet gebonden aan softwarepartijen of leveranciers, wat betekent dat ons advies altijd in jouw belang is.

NIS2-compliance is geen eenmalig project, maar een doorlopend proces. Wil je weten hoe jouw organisatie er nu voor staat en wat er nog moet gebeuren? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat eist NIS2 op het gebied van back-ups?

Geplaatst op: 1 augustus 2026

NIS2 stelt geen gedetailleerde technische specificaties vast voor back-ups, maar verplicht organisaties wel degelijk om passende maatregelen te treffen voor bedrijfscontinuïteit en herstel na een incident. Back-ups zijn daarmee een kernonderdeel van de NIS2-zorgplicht. Dit artikel beantwoordt de meest gestelde vragen over NIS2 back-ups, van concrete eisen tot de gevolgen van niet-naleving.

Welke specifieke back-upeisen stelt NIS2 aan organisaties?

NIS2 verplicht organisaties om maatregelen te treffen die de beschikbaarheid, integriteit en vertrouwelijkheid van gegevens en systemen waarborgen. Back-ups zijn daarbinnen een essentieel instrument voor bedrijfscontinuïteit. De richtlijn schrijft geen technische minimumspecificaties voor, maar vereist wel dat back-ups aantoonbaar bijdragen aan het vermogen om snel te herstellen na een cyberincident.

De NIS2-zorgplicht, zoals vertaald in de Nederlandse Cyberbeveiligingswet, noemt bedrijfscontinuïteit en crisisbeheer expliciet als minimummaatregel. Hieronder valt het vermogen om kritieke systemen en diensten te herstellen na een verstoring. Back-ups zijn daarvoor onmisbaar. Concreet betekent dit dat organisaties moeten kunnen aantonen dat zij:

• Regelmatig back-ups maken van alle kritieke systemen en gegevens
• Back-ups bewaren op een locatie die losstaat van de primaire omgeving
• Herstelprocessen periodiek testen en documenteren
• Hersteltijden (RTO) en herstelpunten (RPO) hebben vastgesteld op basis van een risicoanalyse
• Back-upbeleid schriftelijk hebben vastgelegd en actueel houden

De mate van detail en de technische invulling hangen af van het risicoprofiel van de organisatie. Essentiële entiteiten, zoals gemeenten, provincies en grote infrastructuurbeheerders, worden aan strengere verwachtingen gehouden dan belangrijke entiteiten. De risicogebaseerde benadering van NIS2 betekent dat een ziekenhuis andere back-upeisen zal stellen dan een middelgrote leverancier.

Hoe vaak moeten back-ups worden gemaakt onder NIS2?

NIS2 schrijft geen vaste back-upfrequentie voor. De frequentie moet worden bepaald op basis van een risicoanalyse: hoe kritiek zijn de gegevens en systemen, en hoeveel dataverlies kan de organisatie accepteren? Dit acceptabele verlies wordt uitgedrukt in het Recovery Point Objective (RPO). Hoe lager de RPO, hoe vaker back-ups nodig zijn.

In de praktijk hanteren organisaties die onder NIS2 vallen doorgaans de volgende uitgangspunten:

• Dagelijkse back-ups voor operationele systemen en klantgegevens
• Meerdere keren per dag voor kritieke processen waarbij dataverlies van meer dan een paar uur onaanvaardbaar is
• Wekelijkse of maandelijkse back-ups voor minder kritieke of zelden veranderende gegevens

Belangrijk is dat de gekozen frequentie aansluit op de risicoanalyse die de organisatie heeft uitgevoerd. Die analyse is zelf ook een NIS2-verplichting. Wie de frequentie niet onderbouwt met een gedocumenteerde risicobeoordeling, voldoet niet aan de zorgplicht, ongeacht hoe vaak er technisch gezien een back-up wordt gemaakt.

Moeten back-ups offline of offsite worden opgeslagen?

NIS2 verplicht niet expliciet tot offline of offsite opslag, maar de praktische vereiste van weerbaarheid tegen ransomware en andere cyberaanvallen maakt dit in de meeste gevallen noodzakelijk. Een back-up die verbonden is met het primaire netwerk kan bij een aanval worden versleuteld of verwijderd, waardoor het herstelplan waardeloos wordt.

De gangbare aanbeveling, ook in lijn met de risicogebaseerde benadering van NIS2, is de 3-2-1 back-upregel:

• 3 kopieën van de gegevens
• 2 verschillende opslagmedia of locaties
• 1 kopie op een volledig afgescheiden of offline locatie

Voor organisaties die werken met cloudopslag geldt dat een cloudback-up niet automatisch voldoende is. Als de cloudopslag toegankelijk is via hetzelfde account of netwerk als de primaire omgeving, biedt dit onvoldoende bescherming bij een gecompromitteerde omgeving. Immutable storage, waarbij back-ups gedurende een bepaalde periode niet kunnen worden gewijzigd of verwijderd, is een effectieve aanvulling die steeds vaker wordt aanbevolen in het kader van NIS2-compliance.

Wat moet er in een NIS2-compliant back-upbeleid staan?

Een NIS2-compliant back-upbeleid is een schriftelijk document dat beschrijft hoe de organisatie omgaat met het maken, bewaren en testen van back-ups. Het beleid moet aantoonbaar zijn afgestemd op de risico’s van de organisatie en moet worden geactualiseerd wanneer de situatie verandert.

Een volledig back-upbeleid bevat minimaal de volgende onderdelen:

1. Scope: welke systemen, applicaties en gegevens vallen onder het back-upbeleid
2. Frequentie: hoe vaak back-ups worden gemaakt per categorie van gegevens
3. Bewaartermijnen: hoe lang back-ups worden bewaard en wanneer ze worden verwijderd
4. Opslaglocaties: waar back-ups worden bewaard en hoe de scheiding van de productieomgeving is geregeld
5. Encryptie: hoe back-ups worden beveiligd, zowel in opslag als tijdens transport
6. Toegangsbeheer: wie toegang heeft tot back-ups en onder welke voorwaarden
7. Herstelprocedures: stapsgewijze beschrijving van hoe herstel plaatsvindt en wie daarvoor verantwoordelijk is
8. Testprotocol: hoe en hoe vaak de werking van back-ups wordt getest
9. Rollen en verantwoordelijkheden: wie binnen de organisatie eigenaar is van het back-upproces

Het beleid moet ook worden gekoppeld aan het bredere bedrijfscontinuïteitsplan van de organisatie. NIS2 beoordeelt back-ups niet als losstaande technische maatregel, maar als onderdeel van een samenhangend stelsel van beveiligingsmaatregelen.

Hoe test je of back-ups voldoen aan de NIS2-herstelvereisten?

Het testen van back-ups is een expliciete vereiste onder NIS2. Het is onvoldoende om back-ups te maken zonder periodiek te verifiëren of herstel ook daadwerkelijk werkt. Een back-up die technisch bestaat maar in de praktijk niet herstelbaar is, biedt geen weerbaarheid en voldoet niet aan de zorgplicht.

Een effectief testprogramma voor back-ups bestaat uit meerdere niveaus:

Reguliere hersteltest

Minstens eenmaal per jaar, maar bij voorkeur vaker, voert de organisatie een volledige hersteltest uit. Daarbij worden systemen of datasets daadwerkelijk teruggezet vanuit de back-up, bij voorkeur in een geïsoleerde testomgeving. De test bevestigt dat de back-up leesbaar is, de hersteltijd realistisch is en de herstelde data volledig en correct zijn.

Tabletop- en crisisoefeningen

Naast technische tests is het waardevol om scenario-oefeningen te doen waarbij het herstelproces als simulatie wordt doorlopen. Red team oefeningen kunnen hierbij helpen door realistische aanvalsscenario’s te simuleren die de back-ups en herstelprocedures onder druk zetten. Dit type oefening test niet alleen de techniek, maar ook de menselijke en organisatorische kant van het herstelproces.

Alle testresultaten moeten worden gedocumenteerd, inclusief eventuele tekortkomingen en de maatregelen die zijn genomen om die te verhelpen. Toezichthouders kunnen om bewijs van deze tests vragen bij een audit of na een incident.

Wat zijn de gevolgen als back-ups niet voldoen aan NIS2?

Als back-ups niet voldoen aan de NIS2-vereisten, loopt een organisatie het risico op handhavingsmaatregelen door de toezichthouder. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de jaaromzet. Bovendien kan het senior management persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen.

De financiële sancties zijn echter niet het enige risico. Ontoereikende back-ups kunnen bij een ransomware-aanval of een ernstig incident leiden tot langdurige uitval van dienstverlening, reputatieschade en verlies van klantvertrouwen. Voor organisaties die essentiële diensten leveren, zoals zorginstellingen of gemeenten, kan dat ook maatschappelijke schade veroorzaken.

Daarnaast geldt de meldplicht: significante incidenten moeten binnen 24 uur worden gemeld bij het NCSC. Als bij zo’n melding blijkt dat het incident had kunnen worden beperkt of hersteld met adequate back-ups, maar dat die ontbraken of niet werkten, vergroot dat de kans op toezichtsmaatregelen. Toezichthouders beoordelen niet alleen of een incident heeft plaatsgevonden, maar ook of de organisatie aantoonbaar alles had gedaan om de schade te beperken.

Hoe Q-Cyber helpt met NIS2 back-upbeleid en compliance

NIS2-compliance rondom back-ups vraagt om meer dan een technische oplossing. Het gaat om beleid, aantoonbaarheid en een aanpak die past bij de specifieke risico’s van uw organisatie. Wij helpen organisaties om dit concreet en werkbaar te maken, zonder onnodige complexiteit.

Wat wij bieden:

• Gap-analyse: we brengen in kaart waar uw huidige back-upbeleid en -processen tekortschieten ten opzichte van de NIS2-vereisten
• Beleidsschrijving: we stellen een volledig NIS2-compliant back-upbeleid op, afgestemd op uw organisatie en risicoprofiel
• Hersteltesten: via onze pentestdiensten en security assessments beoordelen we of uw herstelprocedures in de praktijk werken
• Virtuele CISO: via Continuous-Q ondersteunen we uw organisatie structureel bij het borgen van NIS2-compliance, inclusief back-up en continuïteit
• Bestuurstraining: we verzorgen trainingen voor bestuurders zodat zij hun verantwoordelijkheid onder NIS2 kunnen waarmaken

Wacht niet tot de wet volledig in werking treedt. De risico’s zijn er nu al, en wie nu in actie komt, staat straks veel sterker. Neem contact op en ontdek hoe wij uw organisatie pragmatisch en onafhankelijk begeleiden naar NIS2-compliance.

Lees meer

Wat is de NEN 7510-norm?

Geplaatst op: 31 juli 2026

De NEN 7510-norm is de Nederlandse informatiebeveiligingsnorm, specifiek ontwikkeld voor de zorgsector. De norm beschrijft welke maatregelen zorginstellingen moeten treffen om patiëntgegevens en andere gevoelige informatie veilig te beheren. Ze geldt voor vrijwel alle organisaties die in Nederland gezondheidsinformatie verwerken, van ziekenhuizen en huisartsenpraktijken tot GGZ-instellingen en thuiszorgaanbieders. In dit artikel beantwoorden we de meest gestelde vragen over de NEN 7510-norm, de vereisten, de certificering en de relatie met andere wetgeving.

Voor welke organisaties is de NEN 7510-norm verplicht?

De NEN 7510-norm is verplicht voor alle organisaties in Nederland die gezondheidsinformatie verwerken of beheren. Dit omvat ziekenhuizen, huisartsenpraktijken, apotheken, GGZ-instellingen, thuiszorgorganisaties, laboratoria en andere zorgaanbieders. Ook ICT-leveranciers en andere partijen die toegang hebben tot patiëntgegevens vallen onder de reikwijdte van de norm.

De verplichting vloeit voort uit de Nederlandse wetgeving rondom de bescherming van medische gegevens. De Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) en de NEN 7510 werken nauw samen: waar de wet de juridische verplichting tot beveiliging van patiëntgegevens vastlegt, biedt NEN 7510 het praktische kader om aan die verplichting te voldoen.

Naast directe zorgverleners geldt de norm ook voor organisaties die ondersteunende diensten leveren aan de zorg, zoals:

• Leveranciers van elektronische patiëntendossiers (EPD-systemen)
• Hostingpartijen die zorgdata opslaan
• Softwareontwikkelaars die werken voor zorginstellingen
• Administratieve dienstverleners die medische informatie verwerken

De norm is dus breder dan alleen de zorginstelling zelf. Elke schakel in de keten die in aanraking komt met zorggerelateerde regelgeving en patiëntdata moet passende maatregelen treffen.

Wat zijn de belangrijkste eisen van de NEN 7510-norm?

De NEN 7510-norm stelt eisen op het gebied van informatiebeveiliging die zijn afgestemd op de specifieke risico’s van de zorgsector. De kern van de norm draait om het beschermen van de beschikbaarheid, integriteit en vertrouwelijkheid van gezondheidsinformatie. De eisen zijn onderverdeeld in organisatorische, technische en procedurele maatregelen.

De norm bestaat uit twee delen: NEN 7510-1, dat de algemene principes en eisen beschrijft, en NEN 7510-2, dat specifieke beheersmaatregelen uitwerkt. Samen vormen ze een volledig kader voor informatiebeveiliging in de zorg.

Organisatorische eisen

Zorginstellingen moeten een informatiebeveiligingsbeleid opstellen en onderhouden. Dit beleid moet worden gedragen door het management en vertaald worden naar concrete procedures voor medewerkers. Denk aan een heldere verantwoordelijkheidsverdeling, risicoanalyses en een proces voor het beheren van beveiligingsincidenten.

Technische en operationele eisen

Op technisch vlak vereist NEN 7510 onder meer toegangsbeveiliging, encryptie van gevoelige data, logging en monitoring van systemen, en een solide back-upbeleid. Medewerkers mogen alleen toegang krijgen tot informatie die zij nodig hebben voor hun taak, het zogeheten principe van minimale toegang. Daarnaast moeten systemen en netwerken worden beschermd tegen ongeautoriseerde toegang en cyberaanvallen.

Hoe verschilt NEN 7510 van ISO 27001?

NEN 7510 is gebaseerd op de internationale informatiebeveiligingsnorm ISO 27001, maar is specifiek uitgebreid voor de zorgsector. Het grootste verschil is dat NEN 7510 zorgspecifieke eisen toevoegt die in ISO 27001 niet aanwezig zijn, zoals vereisten rondom de beschikbaarheid van medische systemen en de bescherming van bijzondere persoonsgegevens in een zorgcontext.

Wie ISO 27001 al heeft geïmplementeerd, heeft een stevige basis gelegd. Veel beheersmaatregelen overlappen. Toch is ISO 27001-certificering geen vervanging voor NEN 7510 in de zorgsector: de zorgspecifieke uitbreidingen zijn noodzakelijk om te voldoen aan de wettelijke verplichtingen in Nederland.

Omgekeerd geldt dat een organisatie die NEN 7510 implementeert tegelijkertijd grotendeels voldoet aan de eisen van ISO 27001. In de praktijk kiezen veel zorginstellingen dan ook voor een gecombineerde aanpak, waarbij NEN 7510 als leidend kader dient en ISO 27001 als internationaal erkend certificaat kan worden behaald naast de NEN 7510-certificering.

Hoe behaal je een NEN 7510-certificering?

Een NEN 7510-certificering behaal je door een formele audit te doorlopen bij een geaccrediteerde certificerende instelling. De audit beoordeelt of de informatiebeveiliging van de organisatie voldoet aan alle eisen uit de norm. Het proces bestaat uit een voorbereiding, een initieel onderzoek en een certificeringsaudit.

De stappen voor het behalen van een NEN 7510-certificering zijn doorgaans als volgt:

1. Scope bepalen: Definieer welke systemen, processen en locaties onder het informatiebeveiligingssysteem vallen.
2. Risicoanalyse uitvoeren: Breng de informatiebeveiligingsrisico’s in kaart en bepaal welke maatregelen nodig zijn.
3. Beleid en maatregelen implementeren: Stel het informatiebeveiligingsbeleid op en voer de vereiste technische en organisatorische maatregelen door.
4. Interne audit uitvoeren: Controleer intern of de implementatie voldoet aan de norm voordat een externe auditor wordt ingeschakeld.
5. Directiebeoordeling: Het management beoordeelt de werking van het informatiebeveiligingssysteem en stelt verbeterpunten vast.
6. Certificeringsaudit: Een geaccrediteerde certificerende instelling voert een externe audit uit en beoordeelt of de organisatie voldoet aan NEN 7510.

Na het behalen van het certificaat vindt jaarlijks een surveillanceaudit plaats om te controleren of de organisatie blijft voldoen aan de norm. Elke drie jaar volgt een hercertificering. Het is verstandig om tijdig te beginnen met de voorbereiding: afhankelijk van de omvang en volwassenheid van de organisatie kan het implementatietraject meerdere maanden in beslag nemen.

Wat zijn de gevolgen van niet voldoen aan NEN 7510?

Niet voldoen aan de NEN 7510-norm kan leiden tot juridische, financiële en reputatiegevolgen. Zorginstellingen die onvoldoende informatiebeveiliging hebben ingericht, kunnen worden aangesproken door de Autoriteit Persoonsgegevens (AP) bij een datalek. De AP kan boetes opleggen op grond van de AVG, die kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.

Naast boetes zijn er andere concrete risico’s:

• Datalekken: Onvoldoende beveiliging vergroot de kans op ongeautoriseerde toegang tot patiëntgegevens, met ernstige gevolgen voor patiënten en de instelling.
• Verlies van vertrouwen: Patiënten en samenwerkingspartners verwachten dat hun gegevens veilig zijn. Een beveiligingsincident beschadigt de reputatie van de instelling.
• Operationele schade: Ransomware-aanvallen of systeemstoringen kunnen de zorgverlening direct in gevaar brengen.
• Contractuele gevolgen: Veel zorgverzekeraars en inkooporganisaties stellen NEN 7510-certificering als eis bij contractering.

Het niet naleven van de norm is dus niet alleen een juridisch risico, maar ook een operationeel en strategisch risico voor de continuïteit van de zorgverlening.

Hoe verhoudt NEN 7510 zich tot NIS2 en AVG?

NEN 7510, de NIS2-richtlijn en de AVG vullen elkaar aan en overlappen op meerdere punten. De NEN 7510-norm kan voor zorginstellingen dienen als invulling van de zorgplicht onder NIS2, op vergelijkbare wijze als de BIO2 dat doet voor overheidsorganisaties. Wie voldoet aan NEN 7510, heeft een groot deel van de NIS2-vereisten al afgedekt.

De AVG verplicht organisaties die bijzondere persoonsgegevens, waaronder medische gegevens, verwerken tot passende technische en organisatorische beveiligingsmaatregelen. NEN 7510 biedt een concreet kader om aan deze AVG-verplichting te voldoen. De norm specificeert precies welke maatregelen in een zorgcontext als passend worden beschouwd.

De NIS2-richtlijn, die in Nederland wordt omgezet via de Cyberbeveiligingswet, richt zich op het verbeteren van de cyberweerbaarheid van essentiële diensten, waaronder de zorg. Zorginstellingen die onder NIS2 vallen, zijn verplicht om risicobeheermaatregelen te implementeren, incidenten te melden en de beveiliging van hun toeleveringsketen te borgen. Een goed ingericht NEN 7510-stelsel sluit hier nauw op aan en maakt het eenvoudiger om ook aan de NIS2-verplichtingen te voldoen.

Kortom: de drie kaders versterken elkaar. NEN 7510 is het zorgspecifieke fundament, de AVG stelt de juridische kaders voor gegevensbescherming, en NIS2 voegt eisen toe op het gebied van cyberweerbaarheid en incidentmelding. Wie NEN 7510 serieus implementeert, bouwt tegelijkertijd aan naleving van de AVG en NIS2.

Hoe Q-Cyber helpt met NEN 7510-compliance

Wij begrijpen dat het implementeren van de NEN 7510-norm voor veel zorginstellingen een complex traject is. Q-Cyber ondersteunt zorginstellingen en hun leveranciers bij elke stap van dit proces, van de eerste risicoanalyse tot de voorbereiding op de certificeringsaudit. Onze aanpak is pragmatisch en onafhankelijk: wij zijn niet gebonden aan softwarepartijen of andere toeleveranciers, waardoor ons advies altijd in uw belang is.

Wat wij voor uw organisatie kunnen doen:

• Gap-analyse: We brengen in kaart waar uw huidige informatiebeveiliging afwijkt van de NEN 7510-eisen en prioriteren de verbeterpunten.
• Beleidsvorming: We schrijven informatiebeveiligingsbeleid en procedures die aansluiten op uw organisatie en voldoen aan de norm.
• Technische toetsing: Via penetratietesten en vulnerability scans toetsen we de technische beveiliging van uw systemen.
• Trainingen: We verzorgen bewustwordingstrainingen voor medewerkers en bestuurders, zodat informatiebeveiliging in de hele organisatie wordt gedragen.
• Virtuele CISO: Via onze Continuous-Q dienstverlening bieden we doorlopende ondersteuning door een team van specialisten, zonder dat u een fulltime CISO hoeft aan te stellen.
• NIS2-koppeling: We zorgen dat uw NEN 7510-traject ook de NIS2-verplichtingen afdekt, zodat u niet dubbel werk doet.

Wilt u weten waar uw organisatie staat en wat er nodig is om te voldoen aan de NEN 7510-norm? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer