AVG en marketing: wat mag je wel en niet?

Geplaatst op: 4 augustus 2026

De AVG (Algemene Verordening Gegevensbescherming) bepaalt precies wat je wel en niet mag doen met persoonsgegevens in je marketingactiviteiten. Voor de meeste directe marketing, zoals e-mailcampagnes en gepersonaliseerde advertenties, heb je een geldige verwerkingsgrondslag nodig, waarbij toestemming of gerechtvaardigd belang de meest voorkomende opties zijn. In dit artikel beantwoorden we de meest gestelde vragen over de AVG en marketing, zodat je weet hoe je jouw strategie compliant houdt.

Welke persoonsgegevens mag je voor marketing gebruiken?

Voor marketingdoeleinden mag je persoonsgegevens gebruiken die je rechtmatig hebt verzameld, zolang je daarvoor een geldige verwerkingsgrondslag hebt. Dit geldt voor gegevens zoals naam, e-mailadres, telefoonnummer, aankoopgeschiedenis en gedragsdata op je website. Bijzondere categorieën persoonsgegevens, zoals gezondheidsgegevens of politieke overtuigingen, zijn in principe verboden voor marketingdoeleinden.

De AVG maakt onderscheid tussen gewone persoonsgegevens en gevoelige gegevens. Voor gewone persoonsgegevens in marketing geldt dat je altijd moet kunnen aantonen waarom je ze verwerkt en op welke grondslag. Denk aan:

• Contactgegevens (naam, e-mail, telefoonnummer) voor directe communicatie
• Demografische gegevens (leeftijd, locatie) voor segmentatie
• Gedragsdata (klikgedrag, aankoophistorie) voor personalisatie
• Voorkeuren die de ontvanger zelf heeft opgegeven

Belangrijk is het principe van dataminimalisatie: je mag alleen gegevens verzamelen die je daadwerkelijk nodig hebt voor het marketingdoel. Verzamel je meer dan nodig, dan overtreed je al de AVG, ook als je toestemming hebt gekregen. Koppel je meerdere databronnen aan elkaar, dan moet elke verwerking apart worden beoordeeld op rechtmatigheid. Meer over privacywetgeving en regelgeving lees je op onze overzichtspagina.

Wanneer heb je toestemming nodig voor marketing?

Toestemming is verplicht voor e-mailmarketing aan particulieren (B2C) wanneer er geen bestaande klantrelatie is, en voor alle vormen van tracking via cookies voor marketingdoeleinden. Voor direct marketing via elektronische kanalen, zoals e-mail, sms en pushberichten, geldt in Nederland bovendien de Telecommunicatiewet, die toestemming als standaardvereiste stelt voor nieuwe contacten.

Concreet heb je toestemming nodig in de volgende situaties:

• Het versturen van nieuwsbrieven of commerciële e-mails aan mensen die nog geen klant zijn
• Het plaatsen van tracking- of marketingcookies op je website
• Gepersonaliseerde advertenties op basis van surfgedrag
• Het benaderen van particulieren via sms of pushberichten
• Het doorgeven van contactgegevens aan derden voor marketingdoeleinden

Bij B2B-marketing ligt het iets genuanceerder. Het benaderen van zakelijke contacten via hun zakelijke e-mailadres kan in sommige gevallen worden gebaseerd op gerechtvaardigd belang, mits het aanbod relevant is voor hun functie of branche. Dit ontslaat je echter niet van de verplichting om een afmeldmogelijkheid te bieden en transparant te zijn over de verwerking.

Wat is het verschil tussen toestemming en gerechtvaardigd belang?

Toestemming is een actieve, vrijwillige en specifieke instemming van de betrokkene, terwijl gerechtvaardigd belang een afweging is waarbij jouw belang als organisatie zwaarder weegt dan het privacybelang van de betrokkene. Voor marketing zijn dit de twee meest gebruikte grondslagen, maar ze zijn niet uitwisselbaar en gelden voor verschillende situaties.

Wanneer werkt toestemming?

Toestemming is de juiste grondslag als de betrokkene een echte keuze heeft en als je wilt dat mensen actief instemmen met je marketing. Geldige toestemming onder de AVG moet vrij gegeven, specifiek, geïnformeerd en ondubbelzinnig zijn. Dit betekent dat een vooraf aangevinkt vakje niet geldig is, dat je toestemming niet mag koppelen aan het gebruik van een dienst, en dat je altijd moet kunnen bewijzen wanneer en hoe de toestemming is gegeven. Toestemming kan bovendien op elk moment worden ingetrokken.

Wanneer werkt gerechtvaardigd belang?

Gerechtvaardigd belang kan worden ingezet als je een legitiem doel hebt, de verwerking noodzakelijk is voor dat doel, en de belangen van de betrokkene niet zwaarder wegen. In de marketingcontext wordt dit vaak toegepast bij het benaderen van bestaande klanten met vergelijkbare producten of diensten, of bij B2B-marketing gericht op relevante zakelijke contacten. Je bent verplicht een zogenaamde legitimate interest assessment (LIA) uit te voeren en te documenteren, en je moet altijd een opt-out aanbieden.

Hoe bewaar en beheer je marketingtoestemmingen correct?

Marketingtoestemmingen moet je bewaren op een manier waaruit blijkt wie toestemming heeft gegeven, wanneer dat is gebeurd, waarvoor precies toestemming is gegeven en via welk kanaal. Dit is geen administratieve formaliteit, maar een wettelijke verplichting: als de Autoriteit Persoonsgegevens hierom vraagt, moet je dit kunnen aantonen.

Een goed toestemmingsbeheer omvat de volgende elementen:

1. Vastlegging: Sla per contact op wanneer en via welk formulier of kanaal toestemming is gegeven, inclusief de exacte tekst van de toestemmingsvraag die op dat moment werd getoond.
2. Granulariteit: Registreer per marketingdoel (nieuwsbrief, aanbiedingen, partnerberichten) apart of toestemming is gegeven, zodat intrekking van één toestemming niet alles blokkeert.
3. Vervalbeleid: Stel een vervaldatum in voor toestemmingen die lang niet zijn gebruikt. Inactieve contacten zonder recente interactie opnieuw benaderen zonder herbevestiging is risicovol.
4. Intrekkingsproces: Maak afmelden eenvoudig en verwerk afmeldingen direct. Een afmelding via een nieuwsbrief moet ook doorwerken in andere marketinglijsten.
5. Periodieke audit: Controleer regelmatig of je toestemmingen nog actueel en geldig zijn, en of je systemen correct zijn gekoppeld.

Je CRM of e-mailmarketingsysteem speelt hierin een centrale rol. Zorg dat deze systemen toestemmingen correct registreren en dat er geen handmatige stappen nodig zijn die fouten kunnen introduceren.

Wat zijn de gevolgen van AVG-overtredingen in marketing?

De gevolgen van AVG-overtredingen in marketing kunnen aanzienlijk zijn: de Autoriteit Persoonsgegevens kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Naast financiële sancties riskeer je reputatieschade, verlies van klantvertrouwen en civielrechtelijke claims van betrokkenen.

In de praktijk zijn er meerdere niveaus van gevolgen:

• Boetes van de AP: De Autoriteit Persoonsgegevens handhaaft actief op e-mailmarketing zonder geldige toestemming, onterechte cookieplaatsing en het ontbreken van een privacyverklaring. Nederlandse bedrijven hebben al forse boetes ontvangen voor schendingen in marketingcommunicatie.
• Klachten van betrokkenen: Iedereen wiens gegevens onrechtmatig worden verwerkt, kan een klacht indienen bij de AP of een civiele procedure starten. Dit geldt ook voor concurrenten die misbruik van persoonsgegevens melden.
• Reputatieschade: Publiciteit rondom een AVG-overtreding kan het vertrouwen van klanten en partners ernstig beschadigen, soms met meer langetermijngevolgen dan de boete zelf.
• Operationele gevolgen: De AP kan ook verwerkingsactiviteiten tijdelijk of permanent verbieden, wat directe impact heeft op je marketingcapaciteit.

Kleine organisaties denken soms dat ze buiten het vizier van de AP vallen, maar de toezichthouder behandelt ook klachten over kleinere bedrijven, zeker als het gaat om stelselmatige overtredingen zoals het structureel versturen van e-mail zonder toestemming.

Hoe maak je je marketingstrategie AVG-proof?

Een AVG-proof marketingstrategie bouw je op drie pijlers: rechtmatige gegevensverzameling, transparante communicatie en een robuust beheer van toestemmingen en rechten van betrokkenen. Dit is geen eenmalige actie, maar een doorlopend proces dat je inbeddt in je marketingprocessen.

Praktische stappen om je strategie compliant te maken:

1. Breng je datastromen in kaart: Weet welke persoonsgegevens je verzamelt, waar ze vandaan komen, waar ze naartoe gaan en hoe lang je ze bewaart. Dit is de basis van elk privacy-programma.
2. Kies de juiste grondslag per activiteit: Bepaal per marketingactiviteit of je toestemming of gerechtvaardigd belang gebruikt, documenteer dit en zorg dat je keuze verdedigbaar is.
3. Actualiseer je privacyverklaring: Zorg dat je privacyverklaring duidelijk beschrijft welke gegevens je voor marketing gebruikt, op welke grondslag, en hoe betrokkenen hun rechten kunnen uitoefenen.
4. Implementeer een cookiebeleid: Zorg voor een functionerende cookiebanner die alleen niet-essentiële cookies plaatst na actieve toestemming, en registreer deze toestemmingen.
5. Train je marketingteam: Zorg dat iedereen die met persoonsgegevens werkt begrijpt wat wel en niet mag, en wat de procedures zijn bij een datalek of een verzoek van een betrokkene.
6. Voer periodieke audits uit: Controleer minstens jaarlijks of je processen, systemen en documentatie nog actueel en compliant zijn.

Vergeet ook de keten niet: als je werkt met externe marketingbureaus, e-mailplatforms of advertentienetwerken, ben je als verwerkingsverantwoordelijke verplicht verwerkersovereenkomsten af te sluiten en te controleren of deze partijen AVG-compliant opereren. Meer informatie over hoe je dit aanpakt vind je via onze cyber research.

Hoe Q-Cyber helpt met AVG-compliance in marketing

Privacy en cybersecurity zijn nauw met elkaar verbonden: een datalek via een marketingsysteem of een onbeveiligde e-mailcampagne kan direct leiden tot AVG-overtredingen met alle gevolgen van dien. Wij helpen organisaties niet alleen met technische beveiliging, maar ook met de beleidsmatige kant van gegevensbescherming.

Wat wij voor jouw organisatie kunnen betekenen:

• Privacy- en beveiligingsadvies: We analyseren hoe je marketingprocessen zijn ingericht en waar de risico’s zitten voor AVG-overtredingen of datalekken.
• Beleid op maat: We schrijven privacybeleid, verwerkersovereenkomsten en interne procedures die aansluiten op jouw marketingpraktijk.
• Trainingen: We verzorgen trainingen voor marketing- en communicatieteams over privacywetgeving en veilig omgaan met persoonsgegevens.
• Virtuele CISO: Via ons Continuous-Q programma bieden we doorlopende begeleiding op het snijvlak van beveiliging en compliance, zonder dat je een fulltime CISO hoeft aan te stellen.
• Onafhankelijk advies: We zijn niet gebonden aan softwarepartijen of toeleveranciers, waardoor ons advies altijd in jouw belang is.

Wil je weten of jouw marketingstrategie AVG-proof is? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat is supply chain security binnen de NIS2-richtlijn?

Geplaatst op: 3 augustus 2026

Supply chain security binnen de NIS2-richtlijn verwijst naar de verplichting voor organisaties om niet alleen hun eigen systemen te beveiligen, maar ook de cyberveiligheid van hun leveranciers en ketenpartners actief te beheren. De NIS2-richtlijn erkent dat een aanval op een toeleverancier net zo schadelijk kan zijn als een directe aanval op de organisatie zelf. In dit artikel beantwoorden we de meest gestelde vragen over ketenbeveiliging en wat NIS2 concreet van u vraagt.

Welke verplichtingen legt NIS2 op aan toeleveranciers?

De NIS2-richtlijn verplicht organisaties die onder de wet vallen om de beveiliging van hun volledige toeleveringsketen te borgen. Dit betekent dat u als organisatie verantwoordelijk bent voor het beoordelen en beheersen van de cyberrisico’s die uw leveranciers met zich meebrengen, ook al zijn die leveranciers zelf niet direct onder NIS2 verplicht. Leveranciersbeveiliging is daarmee een expliciete minimummaatregel binnen de zorgplicht.

Concreet betekent dit dat organisaties beleid moeten opstellen voor de beveiliging van de toeleveringsketen. Dit beleid moet beschrijven hoe leveranciers worden geselecteerd, hoe risico’s worden beoordeeld en hoe afspraken over beveiliging contractueel worden vastgelegd. De compliance en beleidsvorming rondom supply chain is daarmee geen vrijblijvende oefening, maar een wettelijke verplichting.

Belangrijk om te weten: in Nederland vallen ruim 10.000 organisaties direct onder de NIS2, maar naar schatting krijgen 50.000 bedrijven die aan deze groep leveren eveneens indirect met de richtlijn te maken. Als toeleverancier van een NIS2-plichtige organisatie zult u dus in toenemende mate worden aangesproken op uw eigen beveiligingsniveau, ook zonder directe wettelijke verplichting.

Waarom is de toeleveringsketen een populair aanvalsdoel?

De toeleveringsketen is een populair aanvalsdoel omdat aanvallers via een leverancier toegang kunnen krijgen tot meerdere grote organisaties tegelijk. Een kleine toeleverancier met minder volwassen beveiliging fungeert als zwakste schakel in een keten van anders goed beveiligde organisaties. Één succesvolle aanval op een leverancier kan zo tientallen of honderden eindklanten raken.

Dit fenomeen noemen we ook wel een supply chain attack. Aanvallers richten zich bewust op softwareleveranciers, IT-dienstverleners, cloudproviders of andere partijen die diepe toegang hebben tot de systemen van hun klanten. Denk aan updates die worden voorzien van kwaadaardige code, of aan inloggegevens van een beheerder die worden gestolen bij een kleine IT-partner.

Wat deze aanvallen extra gevaarlijk maakt, is het vertrouwen dat organisaties hebben in hun leveranciers. Verkeer en toegang vanuit een bekende leverancier wordt zelden als verdacht gezien. Aanvallers maken hier misbruik van door zich te verschuilen achter legitieme verbindingen. Een red team oefening kan helpen om dit soort blinde vlekken in uw keten bloot te leggen.

Hoe beoordeel je de cyberveiligheid van een leverancier?

De cyberveiligheid van een leverancier beoordeelt u aan de hand van een gestructureerde risicoanalyse, waarbij u kijkt naar de toegang die de leverancier heeft tot uw systemen, de gevoeligheid van de data die wordt uitgewisseld en de beveiligingsmaatregelen die de leverancier zelf treft. Dit proces heet ook wel een leveranciersaudit of third-party risk assessment.

Een praktische aanpak bestaat uit de volgende stappen:

1. Inventariseer uw leveranciers en categoriseer ze op basis van de toegang die ze hebben en het risico dat ze vertegenwoordigen.
2. Stel een vragenlijst op over beveiligingsbeleid, incidentrespons, certificeringen (zoals ISO 27001) en toegangsbeheer.
3. Voer een technische beoordeling uit voor leveranciers met directe systeemtoegang, bijvoorbeeld via een penetratietest of vulnerability scan.
4. Herhaal de beoordeling periodiek, want de beveiligingssituatie van een leverancier kan veranderen.
5. Leg de uitkomsten vast en koppel ze aan contractuele afspraken.

Het gaat er niet om dat elke leverancier een perfect beveiligingsniveau heeft, maar dat u als organisatie weet welke risico’s u accepteert en welke maatregelen u neemt om die te beheersen. Dat is precies wat de NIS2-zorgplicht van u vraagt.

Wat staat er minimaal in een NIS2-conform leverancierscontract?

Een NIS2-conform leverancierscontract bevat minimaal afspraken over de beveiligingsmaatregelen die de leverancier moet treffen, de meldplicht bij incidenten, het recht op audit en de gevolgen bij niet-naleving. Zonder deze contractuele basis kunt u als organisatie niet aantonen dat u de beveiliging van uw toeleveringsketen adequaat beheert.

Concreet zijn dit de onderdelen die in elk leverancierscontract thuishoren:

• Beveiligingsvereisten: Welke technische en organisatorische maatregelen moet de leverancier treffen, en op welk niveau?
• Meldplicht bij incidenten: De leverancier moet u tijdig informeren bij een beveiligingsincident dat uw organisatie kan raken, zodat u kunt voldoen aan uw eigen meldplicht binnen 24 uur.
• Auditrecht: U behoudt het recht om de beveiligingsmaatregelen van de leverancier te toetsen, direct of via een derde partij.
• Subverwerkers en ketenaansprakelijkheid: Afspraken over welke partijen de leverancier zelf inschakelt en welke eisen daarvoor gelden.
• Beëindigingsclausule: Wat gebeurt er als de leverancier niet langer voldoet aan de gestelde beveiligingseisen?

Hoe specifieker de contractuele afspraken, hoe sterker uw positie bij een incident en hoe beter u kunt aantonen dat u als organisatie grip heeft op uw supply chain NIS2-verplichtingen.

Wie binnen een organisatie is verantwoordelijk voor supply chain security?

Onder de NIS2-richtlijn ligt de eindverantwoordelijkheid voor supply chain security bij het bestuur van de organisatie. Bestuurders zijn verplicht om voldoende kennis te hebben van beveiligingsrisico’s en om weloverwogen beslissingen te nemen over risicobeheersmaatregelen, inclusief de risico’s die leveranciers met zich meebrengen.

In de praktijk betekent dit dat het bestuur de kaders stelt en de verantwoordelijkheid draagt, maar dat de uitvoering is belegd bij operationele rollen. Afhankelijk van de omvang van de organisatie zijn dat vaak:

• De CISO (Chief Information Security Officer) of een virtuele CISO, die het beleid voor leveranciersbeveiliging opstelt en bewaakt.
• De inkoopverantwoordelijke of contractmanager, die beveiligingseisen meeneemt in aanbestedingen en contractonderhandelingen.
• De IT-afdeling, die technische toegang van leveranciers beheert en monitort.

De NIS2-richtlijn verplicht bestuurders bovendien een training te volgen om beveiligingsrisico’s te leren beoordelen. Dat geldt ook voor risico’s in de toeleveringsketen. Supply chain security is daarmee geen uitsluitend technisch vraagstuk, maar een bestuurlijke verantwoordelijkheid.

Wat zijn de gevolgen als supply chain security niet op orde is?

Als supply chain security niet op orde is, loopt een organisatie zowel operationele als juridische risico’s. Operationeel kan een aanval via een leverancier leiden tot dataverlies, verstoring van dienstverlening of reputatieschade. Juridisch kunnen toezichthouders boetes opleggen tot maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4% voor belangrijke entiteiten.

Naast financiële sancties kan het senior management persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen. Hoewel deze aansprakelijkheid voor overheidsinstanties uitdrukkelijk buiten de NIS2-bepalingen valt, geldt ze voluit voor private organisaties. Dat maakt ketenbeveiliging tot een boardroomvraagstuk dat niet kan worden gedelegeerd zonder adequate opvolging.

Een incident via een leverancier telt bovendien mee voor de meldplicht. Als een significant cyberincident zijn oorsprong vindt bij een toeleverancier, bent u als organisatie verplicht dit binnen 24 uur te melden bij de nationale autoriteiten. Wie zijn leveranciersrisico’s niet kent, loopt het risico die termijn te missen, met extra sancties als gevolg.

Tot slot schaadt een supply chain incident het vertrouwen van klanten en partners. In sectoren waar continuïteit en betrouwbaarheid centraal staan, kan dat langetermijnschade veroorzaken die de directe kosten van een aanval ruimschoots overstijgt. Meer achtergrond over dreigingslandschappen en aanvalsmethoden vindt u in ons cyber research overzicht.

Hoe Q-Cyber helpt met supply chain security

Supply chain security is een van de complexere onderdelen van NIS2-compliance, omdat het vraagt om samenwerking tussen inkoop, IT, juridische zaken en bestuur. Wij helpen organisaties om deze samenwerking te structureren en de juiste maatregelen te treffen, zonder dat het een papieren exercitie wordt.

Wat wij concreet voor u doen:

• Leveranciersrisicoanalyse: We brengen uw toeleveringsketen in kaart en categoriseren leveranciers op basis van risico en toegang.
• Beleid op maat: We schrijven een supply chain beveiligingsbeleid dat aansluit op uw sector en risicoprofiel, en dat voldoet aan de NIS2-zorgplicht.
• Contractadvies: We adviseren over de beveiligingseisen die u contractueel moet vastleggen met leveranciers.
• Technische toetsing: Via pentests en vulnerability scans toetsen we de beveiliging van kritische leveranciers en koppelingen.
• Bestuurstraining: We verzorgen trainingen voor bestuurders om te voldoen aan de NIS2-trainingsplicht, inclusief het thema ketenbeveiliging.
• Virtuele CISO: Via Continuous-Q bieden we een team van specialisten dat doorlopend toezicht houdt op uw beveiligingsprogramma, inclusief leveranciersbeheersing.

Wij werken onafhankelijk, zonder binding aan softwarepartijen of toeleveranciers, zodat u altijd pragmatisch en objectief advies krijgt. Wilt u weten waar uw organisatie staat op het gebied van supply chain NIS2-compliance? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Informatiebeveiliging in de zorg: speciale eisen

Geplaatst op: 3 augustus 2026

De zorgsector valt onder meerdere lagen van wet- en regelgeving voor informatiebeveiliging, waaronder de AVG, de NIS2-richtlijn (in Nederland vertaald naar de Cyberbeveiligingswet), en de sectorspecifieke norm NEN 7510. Samen vormen deze kaders een streng regime dat zorginstellingen verplicht om patiëntgegevens en kritieke systemen actief te beschermen. De vragen hieronder geven antwoord op de meest gestelde vragen over informatiebeveiliging in de zorg.

Welke wet- en regelgeving geldt voor informatiebeveiliging in de zorg?

Zorginstellingen in Nederland vallen onder drie belangrijke kaders: de Algemene Verordening Gegevensbescherming (AVG), de NEN 7510-norm voor informatiebeveiliging in de zorg, en de Cyberbeveiligingswet (Cbw) als nationale vertaling van de Europese NIS2-richtlijn. Grotere zorginstellingen worden aangemerkt als essentiële of belangrijke entiteit onder de Cbw en moeten aantoonbaar voldoen aan de zorgplicht.

De AVG legt de basis: persoonsgegevens, en zeker bijzondere categorieën zoals medische informatie, mogen alleen worden verwerkt met een rechtmatige grondslag en moeten adequaat worden beveiligd. De Autoriteit Persoonsgegevens houdt hier toezicht op en kan bij overtredingen aanzienlijke boetes opleggen.

De NEN 7510 is de zorgspecifieke uitwerking van de internationale ISO 27001-norm en geeft concrete handvatten voor hoe informatiebeveiliging in een zorgomgeving moet worden ingericht. Certificering op NEN 7510 is in bepaalde situaties verplicht, bijvoorbeeld voor zorgaanbieders die aansluiten op landelijke infrastructuren zoals het LSP (Landelijk Schakelpunt).

Daarnaast verplicht de Cyberbeveiligingswet zorginstellingen die als essentieel worden aangemerkt om te voldoen aan uitgebreide eisen op het gebied van cyberrisicobeheer, incidentmelding en bestuurlijke verantwoordelijkheid. De inwerkingtreding van de Cbw wordt verwacht in het tweede kwartaal van 2026.

Waarom is de zorgsector een aantrekkelijk doelwit voor cybercriminelen?

De zorgsector is aantrekkelijk voor cybercriminelen omdat zij beschikt over grote hoeveelheden waardevolle, gevoelige gegevens en tegelijkertijd sterk afhankelijk is van de continue beschikbaarheid van systemen. Medische dossiers zijn op de zwarte markt meer waard dan financiële gegevens, en een zorginstelling kan zich geen langdurige uitval veroorloven zonder directe gevolgen voor patiëntveiligheid.

Dit maakt ransomware-aanvallen bijzonder effectief in de zorg: de druk om snel te betalen is hoog wanneer systemen die levensreddende apparatuur aansturen of toegang tot medicatie regelen uitvallen. Criminelen weten dit en richten zich bewust op ziekenhuizen, huisartsenpraktijken en andere zorginstellingen.

Daarnaast kampt de zorgsector met een aantal structurele kwetsbaarheden. Verouderde IT-infrastructuur, een grote diversiteit aan medische apparaten die op netwerken zijn aangesloten, en medewerkers die primair zijn opgeleid voor zorg en niet voor digitale veiligheid, zorgen samen voor een aanvalsoppervlak dat groter is dan in veel andere sectoren. Phishing-aanvallen zijn effectief omdat zorgmedewerkers dagelijks grote hoeveelheden e-mails ontvangen van uiteenlopende afzenders, van patiënten tot leveranciers.

Wat zijn de speciale eisen voor het beveiligen van patiëntgegevens?

Patiëntgegevens zijn bijzondere persoonsgegevens onder de AVG en vereisen daardoor een hoger beschermingsniveau dan gewone persoonsgegevens. Zorginstellingen zijn verplicht om passende technische en organisatorische maatregelen te treffen, toegang strikt te beperken tot bevoegde medewerkers, en datalekken binnen 72 uur te melden bij de Autoriteit Persoonsgegevens.

Concreet betekent dit voor zorginstellingen onder meer:

• Strikte toegangscontrole op basis van het principe van minimale rechten: medewerkers hebben alleen toegang tot de gegevens die zij voor hun werk nodig hebben.
• Versleuteling van patiëntgegevens, zowel tijdens opslag als bij overdracht via netwerken of externe systemen.
• Logging en monitoring van wie wanneer toegang heeft gehad tot welke dossiers, zodat ongeautoriseerde toegang snel kan worden gedetecteerd.
• Een actueel en getest incidentresponsplan, inclusief procedures voor het melden van datalekken.
• Bewustzijnstraining voor medewerkers, omdat menselijk handelen een van de grootste risicofactoren blijft.

Onder de NIS2-zorgplicht komen hier aanvullende eisen bij, zoals aantoonbaar risicobeheer, ketenbewaking bij leveranciers die toegang hebben tot patiëntgegevens, en bestuurlijke verantwoordelijkheid voor het informatiebeveiligingsbeleid.

Hoe verschilt NEN 7510 van ISO 27001 voor zorginstellingen?

NEN 7510 is een zorgspecifieke uitbreiding van ISO 27001 en ISO 27002, en voegt daar sectorspecifieke beheersmaatregelen aan toe die direct gericht zijn op de bijzondere risico’s van de gezondheidszorg. Waar ISO 27001 een generiek raamwerk biedt voor informatiebeveiliging in elke sector, gaat NEN 7510 specifiek in op de bescherming van patiëntgegevens, medische systemen en de continuïteit van zorgprocessen.

Praktisch gezien betekent dit dat een zorginstelling die al gecertificeerd is op ISO 27001 daarmee een goede basis heeft, maar nog aanvullende stappen moet zetten om aan NEN 7510 te voldoen. NEN 7510 bevat specifieke eisen rondom:

• De bescherming van medische informatie gedurende de volledige levenscyclus van het dossier.
• De toegang tot patiëntgegevens door zorgverleners buiten de eigen instelling, zoals bij waarneming of verwijzing.
• De integratie van informatiebeveiliging in klinische processen en medische apparatuur.
• Eisen aan het beheer van mobiele apparaten die worden gebruikt voor het raadplegen van patiëntinformatie.

Voor zorginstellingen die aansluiten op nationale zorginfrastructuren is NEN 7510-certificering in veel gevallen een harde eis. ISO 27001 alleen is dan onvoldoende.

Welke risico’s ontstaan bij het gebruik van medische apparaten in netwerken?

Medische apparaten die zijn aangesloten op een netwerk, zoals infuuspompen, bewakingsmonitors en beeldvormingsapparatuur, vormen een serieus beveiligingsrisico. Deze apparaten draaien vaak op verouderde software, ontvangen zelden beveiligingsupdates, en zijn ontworpen met beschikbaarheid als prioriteit in plaats van beveiliging. Eén gecompromitteerd apparaat kan een aanvaller toegang geven tot het bredere ziekenhuisnetwerk.

De risico’s zijn tweeledig. Ten eerste het risico op datadiefstal: medische apparaten verwerken en versturen patiëntgegevens, die via een kwetsbaar apparaat kunnen worden onderschept. Ten tweede het risico op verstoring van zorgprocessen: een aanvaller die toegang krijgt tot medische apparatuur kan de werking ervan beïnvloeden, met directe gevolgen voor patiëntveiligheid.

Goede netwerksegmentatie is een van de meest effectieve maatregelen: medische apparaten worden dan in een afgeschermd netwerksegment geplaatst, zodat een aanval op één apparaat niet automatisch toegang geeft tot het volledige ziekenhuisnetwerk. Aanvullend is het belangrijk om een actueel overzicht te hebben van alle aangesloten apparaten, zodat kwetsbaarheden tijdig kunnen worden gesignaleerd. Een penetratietest gericht op medische infrastructuur kan blinde vlekken in de beveiliging zichtbaar maken.

Hoe begin je met een informatiebeveiligingsbeleid in een zorgorganisatie?

Begin met een risicoanalyse: breng in kaart welke informatie en systemen kritiek zijn voor de zorgverlening, welke dreigingen daarvoor relevant zijn, en welke maatregelen al aanwezig zijn. Vanuit die analyse stel je prioriteiten en bouw je stap voor stap een beleid op dat aansluit bij de werkelijkheid van de organisatie.

Een informatiebeveiligingsbeleid in de zorg hoeft niet in één keer perfect te zijn, maar moet wel aantoonbaar zijn ingericht en gedragen worden door de bestuurders. Onder de NIS2-zorgplicht is bestuurlijke verantwoordelijkheid een expliciete eis: het management moet begrijpen welke risico’s er zijn en weloverwogen beslissingen kunnen nemen over de te nemen maatregelen.

Praktische stappen om mee te beginnen:

1. Voer een nulmeting uit op basis van NEN 7510 of de NIS2-zelfevaluatietool om de huidige volwassenheid in kaart te brengen.
2. Stel een verantwoordelijke aan, bijvoorbeeld een (virtuele) CISO, die het beveiligingsbeleid coördineert en bewaakt.
3. Inventariseer alle systemen en gegevensverwerkingen, inclusief koppelingen met externe leveranciers en medische apparaten.
4. Schrijf kernbeleid op het gebied van toegangsbeheer, incidentrespons, back-upbeheer en bewustwording.
5. Train medewerkers regelmatig op herkenning van phishing en veilig omgaan met patiëntgegevens.
6. Test en evalueer de maatregelen periodiek, bijvoorbeeld via een vulnerability scan of phishingtest.

De NEN 7510-norm biedt hiervoor een gestructureerd raamwerk dat specifiek is ontworpen voor de zorgsector en goed aansluit op de NIS2-verplichtingen.

Hoe Q-Cyber helpt met informatiebeveiliging in de zorg

Informatiebeveiliging in de zorg vraagt om een aanpak die zowel technisch als beleidsmatig sterk is, en die aansluit op de specifieke risico’s en verplichtingen van zorginstellingen. Wij ondersteunen zorginstellingen op alle niveaus van dit traject, van de eerste risicoanalyse tot volledige NIS2-implementatie. Onze aanpak is onafhankelijk, pragmatisch en zonder binding aan softwarepartijen.

Wat wij concreet kunnen doen voor uw zorgorganisatie:

• Gap-analyse op basis van NEN 7510 en NIS2: wij brengen in kaart waar uw organisatie staat en welke stappen nodig zijn om aan de wettelijke eisen te voldoen.
• Beleid schrijven op maat: van toegangsbeheer en incidentrespons tot ketenbewaking en bestuurlijke verantwoording.
• Virtuele CISO via Continuous-Q: een team van specialisten dat structureel de informatiebeveiligingsfunctie invult, zonder dat u een fulltime CISO hoeft aan te stellen.
• Penetratietests en vulnerability scans: gericht op uw netwerk, medische apparaten en digitale infrastructuur.
• Bewustzijnstrainingen: voor medewerkers én bestuurders, afgestemd op de zorgsector.

Wacht niet tot de Cyberbeveiligingswet in werking treedt. De risico’s zijn er nu al, en een goede voorbereiding beschermt niet alleen uw organisatie, maar ook uw patiënten. Neem contact op en ontdek hoe wij uw zorgorganisatie weerbaarder maken.

Lees meer

Hoe werkt incidentmelding onder de NIS2-richtlijn?

Geplaatst op: 2 augustus 2026

Een cyberincident kan elke organisatie treffen, maar wat daarna gebeurt, bepaalt hoe groot de schade uitpakt. Onder de NIS2-richtlijn, die in Nederland wordt omgezet via de Cyberbeveiligingswet (Cbw), geldt een strikte meldplicht voor significante cyberincidenten. Wie de procedure niet kent of te laat handelt, riskeert niet alleen operationele schade, maar ook boetes en reputatieverlies.

In dit artikel lees je stap voor stap hoe NIS2-incidentmelding in de praktijk werkt: van de voorbereiding vóór een incident plaatsvindt tot het afsluiten met een eindrapport. Zo weet je precies wat je moet doen en wanneer, zodat je voldoet aan de NIS2-meldplicht zonder kostbare fouten te maken.

Wat je moet regelen vóór een incident plaatsvindt

Effectieve NIS2-incidentmelding begint niet op het moment dat er iets misgaat, maar ruim daarvoor. Organisaties die pas tijdens een incident uitzoeken hoe de meldprocedure werkt, verliezen kostbare uren. De eerste 24 uur zijn cruciaal, en die kun je je niet veroorloven te besteden aan intern overleg over wie wat moet doen.

Zorg dat de volgende zaken op orde zijn voordat een incident zich voordoet:

• Registratie bij het NCSC-portaal: Organisaties die onder de Cbw vallen, zijn verplicht zich te registreren. Meldingen verlopen via dit portaal, dat ze automatisch doorstuurt naar het eigen CSIRT en de toezichthouder. Essentiële en belangrijke entiteiten kunnen zich al vrijwillig registreren.
• Intern incidentresponsplan: Stel vast wie verantwoordelijk is voor het detecteren, beoordelen en melden van incidenten. Leg rollen en escalatiepaden schriftelijk vast.
• Drempelcriteria per sector kennen: De specifieke drempelwaarden voor wat een incident meldingswaardig maakt, worden uitgewerkt in sectorale ministeriële regelingen. Zorg dat je weet welke criteria voor jouw sector gelden.
• Contactgegevens toezichthouder paraat: Voor de meeste overheidsorganisaties is de Rijksinspectie Digitale Infrastructuur (RDI) de aangewezen toezichthouder. Voor waterschappen is dat de Inspectie Leefomgeving en Transport (ILT).
• Logboek en documentatieproces: Zorg voor een systeem waarmee je tijdstippen, maatregelen en beslissingen gedurende een incident kunt bijhouden. Dit is essentieel voor de latere meldingen.

Controleer na het doorlopen van deze voorbereidingen of je registratie in het NCSC-portaal actueel is en of de gegevens in het Register voor Overheidsorganisaties (ROO) kloppen. Een goede voorbereiding is de basis voor alles wat volgt. Bekijk ook onze informatie over compliance en beleid als je wilt weten hoe je dit structureel inbedt in je organisatie.

Bepaal of een incident meldplichtig is onder NIS2

Niet elk beveiligingsincident valt onder de NIS2-meldplicht. De Cbw verplicht organisaties uitsluitend om significante cyberincidenten te melden. Een incident is significant als het de continuïteit van de dienstverlening aanzienlijk kan verstoren of heeft verstoord.

Beoordeel een incident aan de hand van de volgende factoren:

1. Aantal getroffen personen: Zijn er veel gebruikers, burgers of klanten die geen toegang meer hebben tot een essentiële dienst?
2. Duur van de verstoring: Hoe lang duurt de impact al, en hoe lang verwacht je dat die aanhoudt?
3. Financiële schade: Is er sprake van aanzienlijke directe of indirecte financiële gevolgen?
4. Reputatieschade of maatschappelijke impact: Heeft het incident bredere gevolgen voor het vertrouwen in de organisatie of de dienstverlening aan de samenleving?
5. Betrokkenheid van andere organisaties: Heeft het incident gevolgen voor ketenpartners of leveranciers?

Twijfel je of een incident de drempel haalt? Kies dan voor melden. De toezichthouder beoordeelt de ernst, maar een te late of ontbrekende melding wordt zwaarder aangerekend dan een melding die achteraf niet noodzakelijk bleek. Leg je beoordeling en de redenering altijd schriftelijk vast, ook als je besluit niet te melden.

Stuur de vroege melding binnen 24 uur

Zodra je hebt vastgesteld dat een incident significant is, start de klok. De Cbw vereist dat je binnen 24 uur na ontdekking een vroegtijdige waarschuwing instuurt via het NCSC-portaal. Dit is geen volledig rapport, maar een eerste signaal dat aangeeft dat er iets gaande is.

Voer de volgende acties uit voor de vroege melding:

1. Log in op het NCSC-portaal met de gegevens van je geregistreerde organisatie.
2. Selecteer de optie voor een vroegtijdige waarschuwing en vul de basisgegevens in: aard van het incident, tijdstip van ontdekking, en een eerste inschatting van de impact.
3. Geef aan of er vermoedens zijn van kwaadwillende of criminele activiteit, zoals ransomware of een gerichte aanval.
4. Bevestig de melding en sla de bevestiging op als bewijs van tijdige indiening.

Na het indienen van de vroege melding ontvangen zowel het CSIRT als de toezichthouder automatisch een doorgestuurde versie, zodat je geen dubbele melding hoeft te doen. Gebruik de resterende tijd tot de 72-uursmelding om het incident verder te analyseren en beheersmaatregelen te treffen. Documenteer alles wat je doet, inclusief de tijdstippen van elke actie.

Dien de gedetailleerde melding in binnen 72 uur

Met de vroege melding ingediend, verschuift de focus naar de tweede stap: de gedetailleerde incidentmelding. Deze moet binnen 72 uur na ontdekking worden ingediend en bevat een uitgebreidere beschrijving van het incident en de genomen maatregelen.

Verzamel de volgende informatie voor deze melding:

• Een gedetailleerde beschrijving van wat er is gebeurd, inclusief de vermoedelijke oorzaak en aanvalsvector.
• De omvang van de impact: welke systemen, diensten en gebruikers zijn getroffen.
• De maatregelen die al zijn genomen om het incident te beheersen en de dienstverlening te herstellen.
• Een eerste inschatting van de verwachte hersteltijd.
• Eventuele grensoverschrijdende effecten als het incident ook andere EU-lidstaten raakt.

Dien de gedetailleerde melding in via hetzelfde NCSC-portaal als de vroege melding. Zorg dat de informatie feitelijk en zo volledig mogelijk is op basis van wat je op dat moment weet. Het is toegestaan om aan te geven dat het onderzoek nog loopt. Wat telt, is dat je aantoont dat je actief bezig bent met de situatie en transparant communiceert met de autoriteiten.

Sluit het incident af met een eindrapport

De derde en laatste stap in de NIS2-incidentmelding is het eindrapport. Dit rapport sluit de formele meldprocedure af en geeft een volledig beeld van het incident, de oorzaken en de getroffen herstelmaatregelen. Het eindrapport dient te worden ingediend zodra het incident is afgerond, doorgaans binnen een maand na de gedetailleerde melding.

Neem de volgende elementen op in het eindrapport:

1. Grondoorzaakanalyse: Beschrijf wat de werkelijke oorzaak van het incident was en hoe het kon plaatsvinden.
2. Tijdlijn: Geef een chronologisch overzicht van de ontdekking, escalatie, beheersmaatregelen en herstel.
3. Impact: Documenteer de definitieve omvang van de schade, zowel operationeel als financieel.
4. Getroffen maatregelen: Beschrijf welke technische en organisatorische maatregelen zijn genomen om herhaling te voorkomen.
5. Verbeterpunten: Benoem wat er anders had gekund en welke aanpassingen je doorvoert in beleid, processen of technologie.

Het eindrapport is niet alleen een formele verplichting, maar ook een waardevol intern document. Organisaties die leren van incidenten en dat aantoonbaar vastleggen, bouwen aan de dynamische weerbaarheid die de kern vormt van goede cybersecurity. Bewaar het rapport zorgvuldig, want toezichthouders kunnen hier op een later moment om vragen. Overweeg ook een cyberonderzoek te laten uitvoeren om de technische oorzaken grondig in kaart te brengen.

Vermijd veelgemaakte fouten bij NIS2-incidentmelding

Zelfs organisaties die de procedure kennen, maken in de praktijk fouten die vermijdbaar zijn. De tijdsdruk tijdens een actief incident maakt het lastig om alle stappen correct te doorlopen. Door de meest voorkomende valkuilen vooraf te kennen, vergroot je de kans op een vlekkeloze afhandeling.

Veelgemaakte fouten en hoe je ze voorkomt:

• Te laat ontdekken dat een incident significant is: Stel intern duidelijke criteria vast en train medewerkers in het herkennen van meldwaardige situaties. Hoe eerder je de ernst vaststelt, hoe meer tijd je hebt voor de 24-uurmelding.
• Niet geregistreerd zijn bij het NCSC-portaal: Registreer je organisatie nu, niet pas als er een incident is. Zonder registratie kun je niet melden via het officiële kanaal.
• Onvolledige documentatie: Leg tijdens het incident real time vast wat er gebeurt. Achteraf reconstrueren leidt tot hiaten en onnauwkeurigheden in je melding.
• Intern overleg dat de 24-uursgrens overschrijdt: Stel vooraf vast wie de bevoegdheid heeft om een melding in te dienen, zonder dat dit langs meerdere lagen van goedkeuring hoeft.
• Het eindrapport vergeten of uitstellen: Plan de afronding van het eindrapport in zodra het incident is opgelost. Uitstel leidt tot incomplete rapportages en gemiste leermomenten.
• Geen aandacht voor de toeleveringsketen: Als een incident bij een leverancier de oorzaak is, moet je dat meenemen in je melding. De NIS2-zorgplicht omvat ook supply chain security.

Regelmatige oefening van de incidentresponsprocedure, bijvoorbeeld via een tabletop-simulatie of een red team oefening, helpt om zwakke plekken in je proces op te sporen voordat een echt incident dat doet.

Hoe Q-Cyber helpt met NIS2-incidentmelding

De NIS2-meldplicht is complex, tijdkritisch en heeft directe gevolgen voor bestuurders als het misgaat. Wij helpen organisaties om niet alleen compliant te zijn op papier, maar ook daadwerkelijk voorbereid te zijn op het moment dat het erop aankomt.

Wat wij concreet voor je doen:

• Gap-analyse: We brengen in kaart waar je organisatie nu staat ten opzichte van de NIS2-vereisten, inclusief de meldplicht.
• Incidentresponsplan op maat: We schrijven een praktisch plan dat aansluit op jouw organisatiestructuur, met duidelijke rollen, escalatiepaden en meldprocedures.
• Bestuurderstrainingen: We verzorgen trainingen voor het senior management zodat zij de risico’s begrijpen en hun verantwoordelijkheid kunnen nemen.
• Virtuele CISO-diensten: Via ons Continuous-Q programma bieden we doorlopende begeleiding door een team van specialisten, zodat je altijd een expert binnen handbereik hebt.
• Onafhankelijk advies: We zijn niet gebonden aan softwarepartijen of leveranciers, wat betekent dat ons advies altijd in jouw belang is.

NIS2-compliance is geen eenmalig project, maar een doorlopend proces. Wil je weten hoe jouw organisatie er nu voor staat en wat er nog moet gebeuren? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat eist NIS2 op het gebied van back-ups?

Geplaatst op: 1 augustus 2026

NIS2 stelt geen gedetailleerde technische specificaties vast voor back-ups, maar verplicht organisaties wel degelijk om passende maatregelen te treffen voor bedrijfscontinuïteit en herstel na een incident. Back-ups zijn daarmee een kernonderdeel van de NIS2-zorgplicht. Dit artikel beantwoordt de meest gestelde vragen over NIS2 back-ups, van concrete eisen tot de gevolgen van niet-naleving.

Welke specifieke back-upeisen stelt NIS2 aan organisaties?

NIS2 verplicht organisaties om maatregelen te treffen die de beschikbaarheid, integriteit en vertrouwelijkheid van gegevens en systemen waarborgen. Back-ups zijn daarbinnen een essentieel instrument voor bedrijfscontinuïteit. De richtlijn schrijft geen technische minimumspecificaties voor, maar vereist wel dat back-ups aantoonbaar bijdragen aan het vermogen om snel te herstellen na een cyberincident.

De NIS2-zorgplicht, zoals vertaald in de Nederlandse Cyberbeveiligingswet, noemt bedrijfscontinuïteit en crisisbeheer expliciet als minimummaatregel. Hieronder valt het vermogen om kritieke systemen en diensten te herstellen na een verstoring. Back-ups zijn daarvoor onmisbaar. Concreet betekent dit dat organisaties moeten kunnen aantonen dat zij:

• Regelmatig back-ups maken van alle kritieke systemen en gegevens
• Back-ups bewaren op een locatie die losstaat van de primaire omgeving
• Herstelprocessen periodiek testen en documenteren
• Hersteltijden (RTO) en herstelpunten (RPO) hebben vastgesteld op basis van een risicoanalyse
• Back-upbeleid schriftelijk hebben vastgelegd en actueel houden

De mate van detail en de technische invulling hangen af van het risicoprofiel van de organisatie. Essentiële entiteiten, zoals gemeenten, provincies en grote infrastructuurbeheerders, worden aan strengere verwachtingen gehouden dan belangrijke entiteiten. De risicogebaseerde benadering van NIS2 betekent dat een ziekenhuis andere back-upeisen zal stellen dan een middelgrote leverancier.

Hoe vaak moeten back-ups worden gemaakt onder NIS2?

NIS2 schrijft geen vaste back-upfrequentie voor. De frequentie moet worden bepaald op basis van een risicoanalyse: hoe kritiek zijn de gegevens en systemen, en hoeveel dataverlies kan de organisatie accepteren? Dit acceptabele verlies wordt uitgedrukt in het Recovery Point Objective (RPO). Hoe lager de RPO, hoe vaker back-ups nodig zijn.

In de praktijk hanteren organisaties die onder NIS2 vallen doorgaans de volgende uitgangspunten:

• Dagelijkse back-ups voor operationele systemen en klantgegevens
• Meerdere keren per dag voor kritieke processen waarbij dataverlies van meer dan een paar uur onaanvaardbaar is
• Wekelijkse of maandelijkse back-ups voor minder kritieke of zelden veranderende gegevens

Belangrijk is dat de gekozen frequentie aansluit op de risicoanalyse die de organisatie heeft uitgevoerd. Die analyse is zelf ook een NIS2-verplichting. Wie de frequentie niet onderbouwt met een gedocumenteerde risicobeoordeling, voldoet niet aan de zorgplicht, ongeacht hoe vaak er technisch gezien een back-up wordt gemaakt.

Moeten back-ups offline of offsite worden opgeslagen?

NIS2 verplicht niet expliciet tot offline of offsite opslag, maar de praktische vereiste van weerbaarheid tegen ransomware en andere cyberaanvallen maakt dit in de meeste gevallen noodzakelijk. Een back-up die verbonden is met het primaire netwerk kan bij een aanval worden versleuteld of verwijderd, waardoor het herstelplan waardeloos wordt.

De gangbare aanbeveling, ook in lijn met de risicogebaseerde benadering van NIS2, is de 3-2-1 back-upregel:

• 3 kopieën van de gegevens
• 2 verschillende opslagmedia of locaties
• 1 kopie op een volledig afgescheiden of offline locatie

Voor organisaties die werken met cloudopslag geldt dat een cloudback-up niet automatisch voldoende is. Als de cloudopslag toegankelijk is via hetzelfde account of netwerk als de primaire omgeving, biedt dit onvoldoende bescherming bij een gecompromitteerde omgeving. Immutable storage, waarbij back-ups gedurende een bepaalde periode niet kunnen worden gewijzigd of verwijderd, is een effectieve aanvulling die steeds vaker wordt aanbevolen in het kader van NIS2-compliance.

Wat moet er in een NIS2-compliant back-upbeleid staan?

Een NIS2-compliant back-upbeleid is een schriftelijk document dat beschrijft hoe de organisatie omgaat met het maken, bewaren en testen van back-ups. Het beleid moet aantoonbaar zijn afgestemd op de risico’s van de organisatie en moet worden geactualiseerd wanneer de situatie verandert.

Een volledig back-upbeleid bevat minimaal de volgende onderdelen:

1. Scope: welke systemen, applicaties en gegevens vallen onder het back-upbeleid
2. Frequentie: hoe vaak back-ups worden gemaakt per categorie van gegevens
3. Bewaartermijnen: hoe lang back-ups worden bewaard en wanneer ze worden verwijderd
4. Opslaglocaties: waar back-ups worden bewaard en hoe de scheiding van de productieomgeving is geregeld
5. Encryptie: hoe back-ups worden beveiligd, zowel in opslag als tijdens transport
6. Toegangsbeheer: wie toegang heeft tot back-ups en onder welke voorwaarden
7. Herstelprocedures: stapsgewijze beschrijving van hoe herstel plaatsvindt en wie daarvoor verantwoordelijk is
8. Testprotocol: hoe en hoe vaak de werking van back-ups wordt getest
9. Rollen en verantwoordelijkheden: wie binnen de organisatie eigenaar is van het back-upproces

Het beleid moet ook worden gekoppeld aan het bredere bedrijfscontinuïteitsplan van de organisatie. NIS2 beoordeelt back-ups niet als losstaande technische maatregel, maar als onderdeel van een samenhangend stelsel van beveiligingsmaatregelen.

Hoe test je of back-ups voldoen aan de NIS2-herstelvereisten?

Het testen van back-ups is een expliciete vereiste onder NIS2. Het is onvoldoende om back-ups te maken zonder periodiek te verifiëren of herstel ook daadwerkelijk werkt. Een back-up die technisch bestaat maar in de praktijk niet herstelbaar is, biedt geen weerbaarheid en voldoet niet aan de zorgplicht.

Een effectief testprogramma voor back-ups bestaat uit meerdere niveaus:

Reguliere hersteltest

Minstens eenmaal per jaar, maar bij voorkeur vaker, voert de organisatie een volledige hersteltest uit. Daarbij worden systemen of datasets daadwerkelijk teruggezet vanuit de back-up, bij voorkeur in een geïsoleerde testomgeving. De test bevestigt dat de back-up leesbaar is, de hersteltijd realistisch is en de herstelde data volledig en correct zijn.

Tabletop- en crisisoefeningen

Naast technische tests is het waardevol om scenario-oefeningen te doen waarbij het herstelproces als simulatie wordt doorlopen. Red team oefeningen kunnen hierbij helpen door realistische aanvalsscenario’s te simuleren die de back-ups en herstelprocedures onder druk zetten. Dit type oefening test niet alleen de techniek, maar ook de menselijke en organisatorische kant van het herstelproces.

Alle testresultaten moeten worden gedocumenteerd, inclusief eventuele tekortkomingen en de maatregelen die zijn genomen om die te verhelpen. Toezichthouders kunnen om bewijs van deze tests vragen bij een audit of na een incident.

Wat zijn de gevolgen als back-ups niet voldoen aan NIS2?

Als back-ups niet voldoen aan de NIS2-vereisten, loopt een organisatie het risico op handhavingsmaatregelen door de toezichthouder. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de jaaromzet. Bovendien kan het senior management persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen.

De financiële sancties zijn echter niet het enige risico. Ontoereikende back-ups kunnen bij een ransomware-aanval of een ernstig incident leiden tot langdurige uitval van dienstverlening, reputatieschade en verlies van klantvertrouwen. Voor organisaties die essentiële diensten leveren, zoals zorginstellingen of gemeenten, kan dat ook maatschappelijke schade veroorzaken.

Daarnaast geldt de meldplicht: significante incidenten moeten binnen 24 uur worden gemeld bij het NCSC. Als bij zo’n melding blijkt dat het incident had kunnen worden beperkt of hersteld met adequate back-ups, maar dat die ontbraken of niet werkten, vergroot dat de kans op toezichtsmaatregelen. Toezichthouders beoordelen niet alleen of een incident heeft plaatsgevonden, maar ook of de organisatie aantoonbaar alles had gedaan om de schade te beperken.

Hoe Q-Cyber helpt met NIS2 back-upbeleid en compliance

NIS2-compliance rondom back-ups vraagt om meer dan een technische oplossing. Het gaat om beleid, aantoonbaarheid en een aanpak die past bij de specifieke risico’s van uw organisatie. Wij helpen organisaties om dit concreet en werkbaar te maken, zonder onnodige complexiteit.

Wat wij bieden:

• Gap-analyse: we brengen in kaart waar uw huidige back-upbeleid en -processen tekortschieten ten opzichte van de NIS2-vereisten
• Beleidsschrijving: we stellen een volledig NIS2-compliant back-upbeleid op, afgestemd op uw organisatie en risicoprofiel
• Hersteltesten: via onze pentestdiensten en security assessments beoordelen we of uw herstelprocedures in de praktijk werken
• Virtuele CISO: via Continuous-Q ondersteunen we uw organisatie structureel bij het borgen van NIS2-compliance, inclusief back-up en continuïteit
• Bestuurstraining: we verzorgen trainingen voor bestuurders zodat zij hun verantwoordelijkheid onder NIS2 kunnen waarmaken

Wacht niet tot de wet volledig in werking treedt. De risico’s zijn er nu al, en wie nu in actie komt, staat straks veel sterker. Neem contact op en ontdek hoe wij uw organisatie pragmatisch en onafhankelijk begeleiden naar NIS2-compliance.

Lees meer

Wat is de NEN 7510-norm?

Geplaatst op: 31 juli 2026

De NEN 7510-norm is de Nederlandse informatiebeveiligingsnorm, specifiek ontwikkeld voor de zorgsector. De norm beschrijft welke maatregelen zorginstellingen moeten treffen om patiëntgegevens en andere gevoelige informatie veilig te beheren. Ze geldt voor vrijwel alle organisaties die in Nederland gezondheidsinformatie verwerken, van ziekenhuizen en huisartsenpraktijken tot GGZ-instellingen en thuiszorgaanbieders. In dit artikel beantwoorden we de meest gestelde vragen over de NEN 7510-norm, de vereisten, de certificering en de relatie met andere wetgeving.

Voor welke organisaties is de NEN 7510-norm verplicht?

De NEN 7510-norm is verplicht voor alle organisaties in Nederland die gezondheidsinformatie verwerken of beheren. Dit omvat ziekenhuizen, huisartsenpraktijken, apotheken, GGZ-instellingen, thuiszorgorganisaties, laboratoria en andere zorgaanbieders. Ook ICT-leveranciers en andere partijen die toegang hebben tot patiëntgegevens vallen onder de reikwijdte van de norm.

De verplichting vloeit voort uit de Nederlandse wetgeving rondom de bescherming van medische gegevens. De Wet aanvullende bepalingen verwerking persoonsgegevens in de zorg (Wabvpz) en de NEN 7510 werken nauw samen: waar de wet de juridische verplichting tot beveiliging van patiëntgegevens vastlegt, biedt NEN 7510 het praktische kader om aan die verplichting te voldoen.

Naast directe zorgverleners geldt de norm ook voor organisaties die ondersteunende diensten leveren aan de zorg, zoals:

• Leveranciers van elektronische patiëntendossiers (EPD-systemen)
• Hostingpartijen die zorgdata opslaan
• Softwareontwikkelaars die werken voor zorginstellingen
• Administratieve dienstverleners die medische informatie verwerken

De norm is dus breder dan alleen de zorginstelling zelf. Elke schakel in de keten die in aanraking komt met zorggerelateerde regelgeving en patiëntdata moet passende maatregelen treffen.

Wat zijn de belangrijkste eisen van de NEN 7510-norm?

De NEN 7510-norm stelt eisen op het gebied van informatiebeveiliging die zijn afgestemd op de specifieke risico’s van de zorgsector. De kern van de norm draait om het beschermen van de beschikbaarheid, integriteit en vertrouwelijkheid van gezondheidsinformatie. De eisen zijn onderverdeeld in organisatorische, technische en procedurele maatregelen.

De norm bestaat uit twee delen: NEN 7510-1, dat de algemene principes en eisen beschrijft, en NEN 7510-2, dat specifieke beheersmaatregelen uitwerkt. Samen vormen ze een volledig kader voor informatiebeveiliging in de zorg.

Organisatorische eisen

Zorginstellingen moeten een informatiebeveiligingsbeleid opstellen en onderhouden. Dit beleid moet worden gedragen door het management en vertaald worden naar concrete procedures voor medewerkers. Denk aan een heldere verantwoordelijkheidsverdeling, risicoanalyses en een proces voor het beheren van beveiligingsincidenten.

Technische en operationele eisen

Op technisch vlak vereist NEN 7510 onder meer toegangsbeveiliging, encryptie van gevoelige data, logging en monitoring van systemen, en een solide back-upbeleid. Medewerkers mogen alleen toegang krijgen tot informatie die zij nodig hebben voor hun taak, het zogeheten principe van minimale toegang. Daarnaast moeten systemen en netwerken worden beschermd tegen ongeautoriseerde toegang en cyberaanvallen.

Hoe verschilt NEN 7510 van ISO 27001?

NEN 7510 is gebaseerd op de internationale informatiebeveiligingsnorm ISO 27001, maar is specifiek uitgebreid voor de zorgsector. Het grootste verschil is dat NEN 7510 zorgspecifieke eisen toevoegt die in ISO 27001 niet aanwezig zijn, zoals vereisten rondom de beschikbaarheid van medische systemen en de bescherming van bijzondere persoonsgegevens in een zorgcontext.

Wie ISO 27001 al heeft geïmplementeerd, heeft een stevige basis gelegd. Veel beheersmaatregelen overlappen. Toch is ISO 27001-certificering geen vervanging voor NEN 7510 in de zorgsector: de zorgspecifieke uitbreidingen zijn noodzakelijk om te voldoen aan de wettelijke verplichtingen in Nederland.

Omgekeerd geldt dat een organisatie die NEN 7510 implementeert tegelijkertijd grotendeels voldoet aan de eisen van ISO 27001. In de praktijk kiezen veel zorginstellingen dan ook voor een gecombineerde aanpak, waarbij NEN 7510 als leidend kader dient en ISO 27001 als internationaal erkend certificaat kan worden behaald naast de NEN 7510-certificering.

Hoe behaal je een NEN 7510-certificering?

Een NEN 7510-certificering behaal je door een formele audit te doorlopen bij een geaccrediteerde certificerende instelling. De audit beoordeelt of de informatiebeveiliging van de organisatie voldoet aan alle eisen uit de norm. Het proces bestaat uit een voorbereiding, een initieel onderzoek en een certificeringsaudit.

De stappen voor het behalen van een NEN 7510-certificering zijn doorgaans als volgt:

1. Scope bepalen: Definieer welke systemen, processen en locaties onder het informatiebeveiligingssysteem vallen.
2. Risicoanalyse uitvoeren: Breng de informatiebeveiligingsrisico’s in kaart en bepaal welke maatregelen nodig zijn.
3. Beleid en maatregelen implementeren: Stel het informatiebeveiligingsbeleid op en voer de vereiste technische en organisatorische maatregelen door.
4. Interne audit uitvoeren: Controleer intern of de implementatie voldoet aan de norm voordat een externe auditor wordt ingeschakeld.
5. Directiebeoordeling: Het management beoordeelt de werking van het informatiebeveiligingssysteem en stelt verbeterpunten vast.
6. Certificeringsaudit: Een geaccrediteerde certificerende instelling voert een externe audit uit en beoordeelt of de organisatie voldoet aan NEN 7510.

Na het behalen van het certificaat vindt jaarlijks een surveillanceaudit plaats om te controleren of de organisatie blijft voldoen aan de norm. Elke drie jaar volgt een hercertificering. Het is verstandig om tijdig te beginnen met de voorbereiding: afhankelijk van de omvang en volwassenheid van de organisatie kan het implementatietraject meerdere maanden in beslag nemen.

Wat zijn de gevolgen van niet voldoen aan NEN 7510?

Niet voldoen aan de NEN 7510-norm kan leiden tot juridische, financiële en reputatiegevolgen. Zorginstellingen die onvoldoende informatiebeveiliging hebben ingericht, kunnen worden aangesproken door de Autoriteit Persoonsgegevens (AP) bij een datalek. De AP kan boetes opleggen op grond van de AVG, die kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.

Naast boetes zijn er andere concrete risico’s:

• Datalekken: Onvoldoende beveiliging vergroot de kans op ongeautoriseerde toegang tot patiëntgegevens, met ernstige gevolgen voor patiënten en de instelling.
• Verlies van vertrouwen: Patiënten en samenwerkingspartners verwachten dat hun gegevens veilig zijn. Een beveiligingsincident beschadigt de reputatie van de instelling.
• Operationele schade: Ransomware-aanvallen of systeemstoringen kunnen de zorgverlening direct in gevaar brengen.
• Contractuele gevolgen: Veel zorgverzekeraars en inkooporganisaties stellen NEN 7510-certificering als eis bij contractering.

Het niet naleven van de norm is dus niet alleen een juridisch risico, maar ook een operationeel en strategisch risico voor de continuïteit van de zorgverlening.

Hoe verhoudt NEN 7510 zich tot NIS2 en AVG?

NEN 7510, de NIS2-richtlijn en de AVG vullen elkaar aan en overlappen op meerdere punten. De NEN 7510-norm kan voor zorginstellingen dienen als invulling van de zorgplicht onder NIS2, op vergelijkbare wijze als de BIO2 dat doet voor overheidsorganisaties. Wie voldoet aan NEN 7510, heeft een groot deel van de NIS2-vereisten al afgedekt.

De AVG verplicht organisaties die bijzondere persoonsgegevens, waaronder medische gegevens, verwerken tot passende technische en organisatorische beveiligingsmaatregelen. NEN 7510 biedt een concreet kader om aan deze AVG-verplichting te voldoen. De norm specificeert precies welke maatregelen in een zorgcontext als passend worden beschouwd.

De NIS2-richtlijn, die in Nederland wordt omgezet via de Cyberbeveiligingswet, richt zich op het verbeteren van de cyberweerbaarheid van essentiële diensten, waaronder de zorg. Zorginstellingen die onder NIS2 vallen, zijn verplicht om risicobeheermaatregelen te implementeren, incidenten te melden en de beveiliging van hun toeleveringsketen te borgen. Een goed ingericht NEN 7510-stelsel sluit hier nauw op aan en maakt het eenvoudiger om ook aan de NIS2-verplichtingen te voldoen.

Kortom: de drie kaders versterken elkaar. NEN 7510 is het zorgspecifieke fundament, de AVG stelt de juridische kaders voor gegevensbescherming, en NIS2 voegt eisen toe op het gebied van cyberweerbaarheid en incidentmelding. Wie NEN 7510 serieus implementeert, bouwt tegelijkertijd aan naleving van de AVG en NIS2.

Hoe Q-Cyber helpt met NEN 7510-compliance

Wij begrijpen dat het implementeren van de NEN 7510-norm voor veel zorginstellingen een complex traject is. Q-Cyber ondersteunt zorginstellingen en hun leveranciers bij elke stap van dit proces, van de eerste risicoanalyse tot de voorbereiding op de certificeringsaudit. Onze aanpak is pragmatisch en onafhankelijk: wij zijn niet gebonden aan softwarepartijen of andere toeleveranciers, waardoor ons advies altijd in uw belang is.

Wat wij voor uw organisatie kunnen doen:

• Gap-analyse: We brengen in kaart waar uw huidige informatiebeveiliging afwijkt van de NEN 7510-eisen en prioriteren de verbeterpunten.
• Beleidsvorming: We schrijven informatiebeveiligingsbeleid en procedures die aansluiten op uw organisatie en voldoen aan de norm.
• Technische toetsing: Via penetratietesten en vulnerability scans toetsen we de technische beveiliging van uw systemen.
• Trainingen: We verzorgen bewustwordingstrainingen voor medewerkers en bestuurders, zodat informatiebeveiliging in de hele organisatie wordt gedragen.
• Virtuele CISO: Via onze Continuous-Q dienstverlening bieden we doorlopende ondersteuning door een team van specialisten, zonder dat u een fulltime CISO hoeft aan te stellen.
• NIS2-koppeling: We zorgen dat uw NEN 7510-traject ook de NIS2-verplichtingen afdekt, zodat u niet dubbel werk doet.

Wilt u weten waar uw organisatie staat en wat er nodig is om te voldoen aan de NEN 7510-norm? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat is het verschil tussen ISO 27001 en NIS2?

Geplaatst op: 30 juli 2026

ISO 27001 en NIS2 zijn twee verschillende kaders voor informatiebeveiliging, maar ze vullen elkaar aan in plaats van te overlappen. ISO 27001 is een internationale norm voor een informatiebeveiligingsmanagementsysteem (ISMS) waaraan organisaties zich vrijwillig kunnen certificeren. NIS2 is Europese wetgeving die verplicht van toepassing is op organisaties in aangewezen sectoren. Het verschil zit dus niet alleen in de inhoud, maar ook in de juridische status en wie eronder valt.

In dit artikel beantwoorden we de meest gestelde vragen over het verschil tussen ISO 27001 en NIS2, zodat je precies weet wat voor jouw organisatie relevant is.

Wat geldt voor wie: ISO 27001 of NIS2?

ISO 27001 geldt voor elke organisatie die vrijwillig wil aantonen dat zij informatiebeveiliging serieus neemt. NIS2 is verplicht voor organisaties in specifieke sectoren die als essentieel of belangrijk worden aangemerkt, zoals energie, transport, gezondheidszorg, digitale infrastructuur en de overheid. De twee kaders sluiten elkaar niet uit, maar de verplichting om te voldoen aan NIS2 staat los van een eventuele ISO 27001-certificering.

In Nederland vallen naar schatting ruim 10.000 organisaties rechtstreeks onder de NIS2-richtlijn. Daarnaast krijgen circa 50.000 toeleveranciers indirect met de richtlijn te maken, omdat zij risico’s kunnen vormen voor de supply chain van organisaties die wél onder de wet vallen. Voor al deze partijen is het dus relevant om te begrijpen wat NIS2 van hen vraagt.

ISO 27001-certificering is in principe voor iedere organisatie beschikbaar, van een klein softwarebedrijf tot een multinational. De norm schrijft voor hoe je een managementsysteem voor informatiebeveiliging inricht, beheert en verbetert. Een externe audit toetst of je aan de eisen voldoet en levert bij succes een internationaal erkend certificaat op.

Of jouw organisatie onder NIS2 valt, hangt af van de sector waarin je actief bent en de omvang van de organisatie. Overheidsorganisaties zoals ministeries, provincies, gemeenten en waterschappen vallen automatisch onder de wet. Voor andere entiteiten gelden omzetdrempels en personeelscriteria. Organisaties zijn zelf verantwoordelijk om dit te bepalen, bijvoorbeeld via de NIS2-zelfevaluatietool van de Rijksoverheid.

Wat zijn de belangrijkste inhoudelijke verschillen tussen ISO 27001 en NIS2?

Het grootste inhoudelijke verschil is de reikwijdte en het detailniveau van de verplichtingen. ISO 27001 biedt een breed, flexibel raamwerk voor het inrichten van een informatiebeveiligingsmanagementsysteem. NIS2 legt specifieke minimummaatregelen op en stelt concrete eisen aan risicobeheersing, incidentmelding en bestuurlijke verantwoordelijkheid. Waar ISO 27001 vraagt om een systeem, vraagt NIS2 ook om aantoonbaar gedrag.

ISO 27001: een managementsysteem als fundament

ISO 27001 is gebaseerd op de Plan-Do-Check-Act-cyclus. De norm vereist dat een organisatie haar informatiebeveiligingsrisico’s identificeert, maatregelen selecteert en een continu verbeterproces inricht. De maatregelen zelf zijn beschreven in ISO 27002 en beslaan 93 controls verdeeld over vier thema’s: organisatorisch, mensen, fysiek en technologisch. De organisatie heeft veel vrijheid in hoe zij deze controls invult, zolang de keuzes goed onderbouwd zijn.

NIS2: wettelijke minimummaatregelen en meldplicht

NIS2 schrijft een aantal concrete minimummaatregelen voor die organisaties verplicht moeten nemen. Denk aan beleid voor risicoanalyse, beveiliging van de toeleveringsketen, cryptografie, toegangsbeheer en multi-factorauthenticatie. Daarnaast geldt een strikte meldplicht: significante cyberincidenten moeten binnen 24 uur worden gemeld bij de bevoegde autoriteit, gevolgd door een aanvullende melding binnen 72 uur en een eindverslag binnen een maand.

Een ander wezenlijk verschil is de rol van het bestuur. NIS2 legt de verantwoordelijkheid voor cyberweerbaarheid expliciet bij de bestuurders neer. Zij moeten aantoonbaar kennis hebben van cybersecurityrisico’s en zijn verplicht een training te volgen. ISO 27001 vraagt om betrokkenheid van het management, maar stelt geen vergelijkbare persoonlijke verplichtingen aan individuele bestuurders.

Zijn ISO 27001 en NIS2 met elkaar te combineren?

Ja, ISO 27001 en NIS2 zijn goed met elkaar te combineren en overlappen inhoudelijk op veel punten. Een ISO 27001-certificering dekt een groot deel van de NIS2-vereisten af, maar is op zichzelf geen bewijs van NIS2-naleving. Organisaties die al ISO 27001-gecertificeerd zijn, hebben een stevige basis, maar moeten aanvullende stappen zetten om volledig aan NIS2 te voldoen.

Het ministerie van BZK heeft een mapping gepubliceerd die aangeeft hoe NIS2-maatregelen zich verhouden tot de controls in ISO 27002 en de Baseline Informatiebeveiliging Overheid. Voor overheidsorganisaties geldt bovendien dat de BIO2 (de herziene Baseline Informatiebeveiliging Overheid) als normatieve invulling van de NIS2-zorgplicht wordt gebruikt, en dat deze goed aansluit op de risicogebaseerde benadering van de wet.

In de praktijk zijn er drie gebieden waar ISO 27001 de NIS2-vereisten niet volledig afdekt:

• De specifieke meldplicht bij cyberincidenten met vaste termijnen
• De bestuurlijke trainingsplicht en persoonlijke verantwoordelijkheid van leidinggevenden
• Sector-specifieke vereisten die per ministeriële regeling worden vastgesteld

Organisaties die beide kaders combineren, profiteren van een gestructureerd managementsysteem (ISO 27001) dat de basis legt voor de specifieke wettelijke verplichtingen van NIS2. Dit maakt de implementatie efficiënter en vergroot de aantoonbaarheid richting toezichthouders.

Welk framework moet een organisatie als eerste implementeren?

Als jouw organisatie onder NIS2 valt, heeft naleving van die wet prioriteit omdat het een wettelijke verplichting is. Organisaties die niet onder NIS2 vallen maar hun informatiebeveiliging willen structureren, kunnen het beste starten met ISO 27001. In beide gevallen geldt dat een risicogebaseerde aanpak het logische vertrekpunt is.

Voor organisaties die onder NIS2 vallen en nog geen informatiebeveiligingsbeleid hebben, is het verstandig om beide trajecten parallel op te starten. De reden is dat ISO 27001 een solide structuur biedt voor de risicoanalyse en het beleid dat NIS2 vereist. Je bouwt dan niet twee keer iets op, maar je legt één fundament dat aan beide kaders voldoet.

Een praktische aanpak ziet er als volgt uit:

1. Bepaal of je organisatie onder de NIS2 valt via de zelfevaluatietool of een gap-analyse
2. Voer een risicobeoordeling uit als basis voor beide kaders
3. Implementeer de NIS2-minimummaatregelen als verplichte basis
4. Bouw daaromheen een volledig ISMS conform ISO 27001 als je certificering nastreeft
5. Zorg voor aantoonbare bestuurlijke betrokkenheid en documenteer dit

Organisaties die al ISO 27001-gecertificeerd zijn, doen er goed aan een gerichte NIS2-gap-analyse uit te voeren om te bepalen welke aanvullende stappen nodig zijn, met name op het gebied van incidentmelding en bestuurlijke verplichtingen.

Wat zijn de gevolgen als een organisatie niet voldoet aan NIS2?

Niet voldoen aan NIS2 kan leiden tot aanzienlijke boetes en reputatieschade. Essentiële entiteiten riskeren boetes tot maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de jaaromzet. Daarnaast kunnen toezichthouders aanwijzingen geven, audits opleggen en in ernstige gevallen tijdelijke operationele beperkingen opleggen.

Een belangrijk aspect van NIS2 is de bestuurlijke verantwoordelijkheid. Het senior management kan persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen als gevolg van nalatigheid. Dit maakt cybersecurity tot een boardroomissue en vergroot de urgentie voor organisaties die nog niet in actie zijn gekomen.

In Nederland is de Rijksinspectie Digitale Infrastructuur (RDI) aangewezen als toezichthouder voor de meeste overheidsorganisaties. Voor waterschappen is dat de Inspectie Leefomgeving en Transport (ILT). Het toezicht richt zich op naleving van zowel de zorgplicht als de meldplicht. Toezichthouders maken daarbij zoveel mogelijk gebruik van bestaande verantwoordingsstructuren, zoals de ENSIA-methodiek voor gemeenten, om de administratieve lasten te beperken.

Naast de directe financiële gevolgen brengt niet-naleving ook operationele risico’s met zich mee. Organisaties die geen adequate maatregelen hebben getroffen, zijn kwetsbaarder voor cyberaanvallen. En als er dan een incident plaatsvindt zonder dat aan de meldplicht is voldaan, stapelen de gevolgen zich op: zowel de schade van het incident zelf als de handhavingsmaatregelen van de toezichthouder.

Hoe Q-Cyber helpt met ISO 27001 en NIS2

Wij begrijpen dat het navigeren door de eisen van ISO 27001 en NIS2 complex kan zijn, zeker als je beide kaders wilt combineren. Q-Cyber helpt organisaties om dit traject gestructureerd en pragmatisch aan te pakken, zonder overbodige complexiteit. Dit is wat wij concreet voor je kunnen doen:

• Gap-analyse: We brengen in kaart waar jouw organisatie nu staat ten opzichte van de NIS2-vereisten en ISO 27001-norm, zodat je precies weet welke stappen nodig zijn.
• Beleidsvorming: Onze consultants schrijven informatiebeveiligingsbeleid op maat dat aansluit op jouw risicoprofiel en voldoet aan de wettelijke eisen.
• Bestuurderstrainingen: We verzorgen trainingen voor leidinggevenden die voldoen aan de NIS2-trainingsplicht, afgestemd op de context van jouw organisatie.
• Virtuele CISO: Via Continuous-Q® bieden we een team van specialisten dat structureel toezicht houdt op jouw cybersecuritystatus en adviseert bij nieuwe ontwikkelingen.
• Penetratietesten en vulnerability scans: We testen de technische weerbaarheid van jouw systemen en rapporteren concreet over risico’s en verbeterpunten.

We werken volledig onafhankelijk, zonder binding aan softwarepartijen of andere toeleveranciers. Dat betekent dat ons advies altijd in jouw belang is. Wil je weten wat jouw organisatie nu al moet doen om NIS2-compliant te worden of om toe te werken naar ISO 27001-certificering? Neem contact met ons op en we kijken samen naar de beste aanpak.

Lees meer

ISO 27001-certificering: wat kost het en wat levert het op?

Geplaatst op: 29 juli 2026

ISO 27001-certificering kost een gemiddelde Nederlandse organisatie tussen de 15.000 en 80.000 euro, afhankelijk van de omvang, complexiteit en de volwassenheid van de bestaande informatiebeveiliging. Daarbovenop komen jaarlijkse kosten voor surveillanceaudits en hercertificering. Wat de investering oplevert, is minstens zo concreet: aantoonbare betrouwbaarheid, minder kans op datalekken en een sterke positie in aanbestedingen en klantgesprekken. In dit artikel beantwoorden we de meest gestelde vragen over ISO 27001-certificering in Nederland.

Wat zijn de factoren die de kosten van ISO 27001 bepalen?

De ISO 27001-implementatiekosten worden bepaald door vier hoofdfactoren: de omvang van de organisatie, de huidige staat van informatiebeveiliging, de inzet van externe consultants en de keuze van de certificerende instelling. Kleine organisaties met een beperkte scope betalen aanzienlijk minder dan grote bedrijven met complexe IT-omgevingen en meerdere locaties.

Hieronder een overzicht van de kostenposten die bij een typisch ISO 27001-traject komen kijken:

• Gap-analyse: Een nulmeting die in kaart brengt waar de organisatie staat ten opzichte van de ISO 27001-norm. Dit kost doorgaans enkele duizenden euro’s bij externe begeleiding.
• Consultancy en beleidsschrijven: Het opstellen van het Information Security Management System (ISMS), inclusief beleid, procedures en risicobeoordelingen. Dit is vaak de grootste kostenpost, variërend van 5.000 tot 30.000 euro.
• Interne uren: Medewerkers die meewerken aan het traject. Deze kosten worden vaak onderschat, maar kunnen substantieel zijn.
• Trainingen en bewustwording: Sessies voor medewerkers en management, variërend van enkele honderden tot enkele duizenden euro’s.
• Technische maatregelen: Tooling, beveiligingssoftware of infrastructuurwijzigingen die nodig zijn om aan de norm te voldoen.
• Certificeringsaudit: De kosten van de externe certificerende instelling (zoals Bureau Veritas, DNV of Lloyd’s). Voor een mkb-organisatie ligt dit tussen de 3.000 en 10.000 euro per audit.
• Jaarlijkse surveillanceaudits: Na certificering volgen jaarlijks tussenaudits en na drie jaar een hercertificering. Reken op 1.500 tot 5.000 euro per jaar.

Of een organisatie veel of weinig betaalt, hangt ook af van de scope: certificeer je de hele organisatie of slechts een specifieke afdeling of dienst? Een beperktere scope verlaagt de kosten, maar vermindert ook de waarde van het certificaat voor externe partijen. Organisaties die al werken met een raamwerk als de Baseline Informatiebeveiliging Overheid of NIS2-maatregelen hebben al een voorsprong en kunnen het traject efficiënter doorlopen.

Hoeveel tijd kost een ISO 27001-traject gemiddeld?

Een volledig ISO 27001-traject duurt voor de meeste organisaties tussen de zes maanden en anderhalf jaar. Kleine organisaties met een duidelijke scope en al enige beveiligingsvolwassenheid kunnen het traject in zes tot negen maanden afronden. Grotere of complexere organisaties moeten rekenen op twaalf tot achttien maanden.

De doorlooptijd wordt sterk bepaald door de beschikbaarheid van interne capaciteit. Het ISMS opbouwen, beleid schrijven, risicobeoordelingen uitvoeren en medewerkers trainen kost tijd, en dat gaat altijd in concurrentie met de dagelijkse werkzaamheden. Organisaties die een externe consultant inschakelen, versnellen het proces, maar moeten intern wel voldoende betrokkenheid organiseren.

Een globale fasering ziet er als volgt uit:

1. Fase 1 (maand 1-2): Gap-analyse, scope bepalen, projectteam samenstellen.
2. Fase 2 (maand 2-6): ISMS opbouwen, risicoanalyse uitvoeren, beleid en procedures schrijven.
3. Fase 3 (maand 6-9): Maatregelen implementeren, interne audit uitvoeren, management review.
4. Fase 4 (maand 9-12): Stage 1-audit (documentatietoets) en Stage 2-audit (implementatietoets) door de certificerende instelling.

Na het behalen van het certificaat begint de onderhoudsfase. Informatiebeveiliging is geen eenmalig project, maar een continu proces. Jaarlijkse interne audits, management reviews en het bijhouden van wijzigingen in de dreigingsomgeving horen daar structureel bij.

Wat levert ISO 27001-certificering een organisatie concreet op?

De voordelen van ISO 27001-certificering zijn zowel intern als extern aantoonbaar. Intern bouwt de organisatie een systematische aanpak van informatiebeveiliging op die risico’s vermindert en de weerbaarheid vergroot. Extern biedt het certificaat een erkend bewijs van volwassenheid dat vertrouwen wekt bij klanten, partners en toezichthouders.

Interne voordelen

ISO 27001 dwingt een organisatie om haar informatiebeveiligingsrisico’s gestructureerd in kaart te brengen en te beheersen. Dat leidt tot duidelijkere verantwoordelijkheden, betere procedures en een hogere bewustwording bij medewerkers. Organisaties die het certificaat behalen, melden doorgaans dat interne processen overzichtelijker zijn geworden en dat beveiligingsincidenten sneller worden herkend en afgehandeld.

Externe voordelen

Voor veel sectoren is ISO 27001-certificering inmiddels een de facto vereiste in aanbestedingen en inkooptrajecten. Overheidsinstanties, financiële instellingen en grote bedrijven vragen steeds vaker om aantoonbare certificering bij leveranciers. Het certificaat verlaagt de drempel voor nieuwe klantrelaties en versterkt de positie in bestaande partnerships. Bovendien sluit ISO 27001 nauw aan op andere verplichtingen: de norm is direct gerelateerd aan de NEN-EN-ISO/IEC 27002, waarop ook NIS2-maatregelen zijn gebaseerd.

Samengevat levert ISO 27001-certificering in Nederland het volgende op:

• Aantoonbare betrouwbaarheid richting klanten, partners en toezichthouders
• Sterkere positie bij aanbestedingen en inkooptrajecten
• Gestructureerde aanpak die de kans op datalekken en incidenten verlaagt
• Betere voorbereiding op wettelijke verplichtingen zoals NIS2 en AVG
• Hogere bewustwording en duidelijkere verantwoordelijkheden intern
• Concurrentievoordeel ten opzichte van niet-gecertificeerde aanbieders

Wat is het verschil tussen ISO 27001 en NIS2?

ISO 27001 is een internationale norm voor een managementsysteem voor informatiebeveiliging, waaraan een organisatie vrijwillig kan certificeren. NIS2 is een Europese richtlijn die wettelijk verplicht is voor organisaties in aangewezen sectoren. Het grootste verschil: ISO 27001 is een keuze, NIS2 is een verplichting met toezicht en handhaving.

Toch overlappen de twee frameworks aanzienlijk. De maatregelen die NIS2 voorschrijft, zoals risicoanalyse, toegangsbeveiliging, cryptografie, incidentbeheer en supply chain-beveiliging, zijn grotendeels terug te vinden in de ISO 27001-norm. Een organisatie die ISO 27001 correct heeft geïmplementeerd, heeft daarmee al een stevige basis gelegd voor NIS2-compliance.

De belangrijkste verschillen op een rij:

• Vrijwillig vs. verplicht: ISO 27001 is een keuze; NIS2 is wettelijk verplicht voor essentiële en belangrijke entiteiten.
• Scope: ISO 27001 richt zich op het ISMS van een organisatie; NIS2 richt zich op de continuïteit van kritieke diensten en ketens.
• Bestuurlijke verantwoordelijkheid: NIS2 legt expliciet verantwoordelijkheid bij het bestuur en stelt eisen aan trainingen voor leidinggevenden.
• Meldplicht: NIS2 verplicht tot melding van significante incidenten binnen 24 uur; ISO 27001 kent geen wettelijke meldplicht.
• Handhaving: NIS2 kan leiden tot boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten.

Voor organisaties die al aan NIS2 moeten voldoen, is ISO 27001-certificering een logische aanvullende stap: het biedt structuur, aantoonbaarheid en een erkend kader dat de NIS2-implementatie ondersteunt.

Wanneer is ISO 27001-certificering de juiste keuze?

ISO 27001-certificering is de juiste keuze wanneer een organisatie informatiebeveiliging structureel wil inbedden en dat aantoonbaar wil maken aan de buitenwereld. Het is met name zinvol voor organisaties die werken met gevoelige data, actief zijn in sectoren met hoge beveiligingseisen, of leverancier zijn van partijen die certificering vereisen.

Concrete situaties waarin certificering sterk aan te raden is:

• Uw organisatie levert aan overheden, banken, zorginstellingen of andere sterk gereguleerde sectoren.
• Klanten of prospects vragen expliciet om een ISO 27001-certificaat als voorwaarde voor samenwerking.
• Uw organisatie verwerkt grote hoeveelheden persoonsgegevens of bedrijfsgevoelige informatie.
• U wilt de NIS2-naleving onderbouwen met een erkend en geauditeerd kader.
• U wilt intern duidelijkheid scheppen over verantwoordelijkheden en processen rondom informatiebeveiliging.

Wanneer is het minder geschikt? Als de organisatie klein is, weinig gevoelige data verwerkt en geen externe druk ervaart, kan een lichtere aanpak zoals een cybersecurity assessment of een gerichte vulnerability scan een betere eerste stap zijn. Certificering vergt namelijk een continue investering in tijd en geld, en het heeft alleen waarde als het ISMS daadwerkelijk wordt onderhouden en nageleefd.

De afweging is dus altijd: weegt de externe waarde van het certificaat op tegen de interne inspanning? Voor organisaties met ambitie in sectoren waar betrouwbaarheid en compliance centraal staan, is het antwoord vrijwel altijd ja.

Hoe Q-Cyber helpt met ISO 27001-certificering

Wij begeleiden organisaties van begin tot eind door het ISO 27001-traject, zonder binding aan softwarepartijen of andere toeleveranciers. Dat betekent onafhankelijk advies dat aansluit op uw specifieke situatie, niet op een standaardpakket dat we toevallig verkopen.

Wat we concreet voor u doen:

• Gap-analyse: We brengen in kaart waar uw organisatie staat en wat er nodig is om de norm te halen.
• Beleidsschrijven: We stellen uw ISMS op, inclusief alle benodigde beleidsdocumenten, procedures en risicoanalyses.
• NIS2-koppeling: We zorgen dat uw ISO 27001-implementatie direct bijdraagt aan uw NIS2-compliance.
• Trainingen: We verzorgen bewustwordingstrainingen voor medewerkers en bestuurders.
• Continu beheer: Via onze Continuous-Q dienst ondersteunen we uw organisatie ook na certificering met een virtuele CISO die uw informatiebeveiliging levend houdt.
• Pentesting: We testen uw technische maatregelen met realistische aanvalsscenario’s zodat u weet of uw beveiliging ook in de praktijk standhoudt.

Wilt u weten wat een ISO 27001-traject voor uw organisatie kost en oplevert? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Interne vs. externe beveiligingsaudit: wat past bij jou?

Geplaatst op: 28 juli 2026

Een interne beveiligingsaudit wordt uitgevoerd door medewerkers of teams binnen de eigen organisatie, terwijl een externe beveiligingsaudit wordt gedaan door een onafhankelijke derde partij van buitenaf. Welke het beste bij jou past, hangt af van je doel: wil je snel en goedkoop een intern beeld, of heb je een objectief, onafhankelijk oordeel nodig voor compliance of risicobeheer? Dit artikel beantwoordt de meest gestelde vragen over beide vormen, zodat je een weloverwogen keuze kunt maken.

Wat is het verschil tussen een interne en externe beveiligingsaudit?

Het kernverschil zit in wie de audit uitvoert en welk perspectief daarmee gepaard gaat. Bij een interne beveiligingsaudit voert iemand uit de eigen organisatie de beoordeling uit, vaak een interne auditfunctie, een CISO of een IT-afdeling. Bij een externe beveiligingsaudit neemt een onafhankelijk gespecialiseerd bureau of consultant de rol van beoordelaar op zich.

Dat verschil in perspectief heeft directe gevolgen voor de uitkomst. Een interne auditor kent de organisatie van binnenuit, begrijpt de processen en heeft sneller toegang tot systemen en collega’s. Dat maakt interne audits efficiënt en goed inzetbaar voor periodieke controles. Tegelijk brengt die nabijheid een risico met zich mee: blinde vlekken. Wie dagelijks in hetzelfde systeem werkt, ziet bepaalde kwetsbaarheden simpelweg niet meer.

Een externe auditor kijkt met frisse ogen. Omdat er geen organisatiebelang in het spel is, levert een externe security audit een onafhankelijk oordeel op. Dat is niet alleen objectiever, maar ook geloofwaardiger richting bestuurders, toezichthouders en klanten. Bovendien brengen externe specialisten kennis mee uit vergelijkbare trajecten bij andere organisaties, waardoor ze snel patronen herkennen die intern over het hoofd worden gezien.

Samengevat:

• Interne audit: sneller, goedkoper, meer organisatiekennis, maar minder objectief
• Externe audit: onafhankelijk, objectief, breed vergelijkingskader, maar intensiever in tijd en kosten

Wanneer kies je voor een interne beveiligingsaudit?

Een interne beveiligingsaudit is het meest geschikt als je regelmatig wilt toetsen of bestaande beveiligingsmaatregelen nog werken, zonder elke keer een extern traject op te starten. Het is een praktische keuze voor organisaties met een volwassen interne auditfunctie die al beschikt over de juiste kennis en tooling.

Concrete situaties waarin een interne audit goed werkt:

• Periodieke controles als onderdeel van een bredere compliance aanpak, zoals het toetsen aan de BIO of ISO 27001
• Tussentijdse evaluaties na het doorvoeren van wijzigingen in systemen of processen
• Voorbereiding op een externe audit, zodat bekende tekortkomingen al zijn opgelost voordat de externe partij aankomt
• Bewustwording en training binnen teams, waarbij het auditproces zelf educatief werkt

Een interne audit heeft ook beperkingen. Als de organisatie geen dedicated security expertise in huis heeft, of als de bevindingen moeten worden gepresenteerd aan een externe toezichthouder, schiet een interne audit tekort. Hetzelfde geldt wanneer er sprake is van mogelijke belangenverstrengeling, of wanneer de organisatie voor het eerst een grondige beoordeling van haar beveiligingspositie wil maken.

Wanneer is een externe beveiligingsaudit de betere keuze?

Een externe beveiligingsaudit is de betere keuze wanneer objectiviteit, onafhankelijkheid of gespecialiseerde technische kennis doorslaggevend zijn. Denk aan situaties waarbij de uitkomst van de audit gevolgen heeft voor compliance, aansprakelijkheid of het vertrouwen van externe partijen.

Specifieke momenten waarop een externe cybersecurity audit de voorkeur verdient:

• Wettelijke verplichtingen: Organisaties die onder NIS2 vallen, zijn verplicht aantoonbare maatregelen te nemen. Een externe audit biedt de bewijslast die toezichthouders zoals de RDI verwachten.
• Hoog risicoprofiel: Organisaties in kritieke sectoren, met gevoelige klantdata of complexe IT-omgevingen, hebben baat bij een diepgaande externe beoordeling.
• Na een incident: Wanneer er een datalek of aanval heeft plaatsgevonden, is een onafhankelijke externe audit essentieel om de oorzaak te achterhalen en aansprakelijkheid helder te krijgen.
• Fusies en overnames: Bij due diligence wil een kopende partij een betrouwbaar beeld van de beveiligingspositie van de over te nemen organisatie.
• Geen interne expertise: Kleinere organisaties zonder eigen CISO of security team kunnen via een externe penetratietest of audit snel inzicht krijgen in hun kwetsbaarheden.

Hoe verloopt een externe beveiligingsaudit in de praktijk?

Een externe beveiligingsaudit verloopt doorgaans in vier fasen: voorbereiding, beoordeling, rapportage en opvolging. De exacte invulling verschilt per type audit en per aanbieder, maar de grote lijnen zijn herkenbaar.

Voorbereiding en scope

In de eerste fase bepalen de auditor en de organisatie samen de reikwijdte. Welke systemen, processen en locaties worden beoordeeld? Wat is het doel: compliance toetsen, technische kwetsbaarheden opsporen of beleid evalueren? Een heldere scope voorkomt dat de audit te breed wordt en zorgt dat de bevindingen relevant zijn.

Uitvoering en beoordeling

Tijdens de uitvoering combineert de externe auditor doorgaans meerdere methoden: documentreview, interviews met sleutelpersonen, technische scans en soms een gecontroleerde penetratietest. Afhankelijk van het type audit kijkt men naar technische configuraties, toegangsbeheer, beleidsdocumenten, incidentprocedures en de beveiliging van de toeleveringsketen. Bij organisaties die onder NIS2 vallen, zijn dit ook verplichte aandachtsgebieden.

Rapportage en opvolging

Na de uitvoering ontvangt de organisatie een rapport met bevindingen, risiconiveaus en concrete aanbevelingen. Een goede externe auditor levert niet alleen een lijst met problemen, maar geeft ook prioritering en praktische handelingsperspectieven. De opvolgingsfase, waarin aanbevelingen worden geïmplementeerd, is minstens zo belangrijk als de audit zelf.

Wat kost een beveiligingsaudit gemiddeld?

De kosten van een beveiligingsaudit variëren sterk en zijn afhankelijk van de omvang van de organisatie, de diepgang van de audit en het type dienstverlening. Een interne audit is in principe goedkoper omdat je geen externe partij inhuurt, maar de werkelijke kosten zitten in de uren van eigen medewerkers en eventuele tooling.

Voor een externe security audit geldt een breder kostenperspectief:

• Eenvoudige vulnerability scan: Geschikt voor kleinere organisaties, relatief laag in kosten en snel uit te voeren
• Uitgebreide penetratietest: Intensiever, technisch diepgaander en daarmee duurder, maar levert gedetailleerd inzicht in exploiteerbare kwetsbaarheden
• Volledige compliance audit (bijv. NIS2 of ISO 27001): Omvat beleid, processen en techniek tegelijk en vraagt meer tijd en expertise, wat zich vertaalt in hogere kosten

Wat je ook kiest: de kosten van een audit staan altijd in verhouding tot de potentiële schade van een beveiligingsincident. Organisaties die onder NIS2 vallen, kunnen bij niet-naleving boetes oplopen tot 10 miljoen euro of 2% van hun wereldwijde jaaromzet. Vanuit dat perspectief is een audit eerder een investering dan een kostenpost.

Kun je interne en externe audits combineren?

Ja, en in de meeste gevallen is een combinatie van interne en externe audits de meest effectieve aanpak. Beide vormen vullen elkaar aan: de interne audit biedt continuïteit en organisatiekennis, terwijl de externe audit objectiviteit en gespecialiseerde diepgang toevoegt.

Een veelgebruikte aanpak is het werken met een hybride auditcyclus:

1. Voer intern periodieke controles uit op bekende risico’s en procesafwijkingen
2. Gebruik interne bevindingen als input voor de externe audit, zodat die zich kan richten op complexere of minder bekende risico’s
3. Laat een externe partij jaarlijks of tweejaarlijks een onafhankelijke beoordeling uitvoeren voor compliance en bestuurlijke verantwoording
4. Implementeer aanbevelingen uit de externe audit en monitor de voortgang intern

Voor organisaties die vallen onder NIS2 of andere regelgeving is een gecombineerde aanpak niet alleen verstandig, maar in de praktijk ook noodzakelijk. De wet vereist aantoonbare, structurele maatregelen. Dat vraagt om zowel interne bewaking als externe validatie. Meer over de samenhang tussen audits en wettelijke verplichtingen lees je op onze regelgevingspagina.

Hoe Q-Cyber helpt bij jouw beveiligingsaudit

Of je nu een interne audit wilt versterken of behoefte hebt aan een volledige externe beveiligingsaudit, wij helpen je verder. Q-Cyber combineert technische diepgang met beleidsmatige expertise, volledig onafhankelijk en zonder binding aan softwarepartijen of leveranciers.

Wat wij voor je kunnen doen:

• Uitvoeren van een vulnerability scan of penetratietest om technische kwetsbaarheden in kaart te brengen
• Begeleiden van een NIS2 gap-analyse en het schrijven van beleid op maat dat aansluit bij jouw risicoprofiel
• Leveren van een virtuele CISO via ons Continuous-Q programma, zodat je continu toegang hebt tot security expertise zonder een fulltime CISO in dienst te nemen
• Verzorgen van trainingen voor bestuurders die voldoen aan de trainingsplicht onder de Cyberbeveiligingswet
• Adviseren over de juiste combinatie van interne en externe audits die past bij jouw organisatiegrootte en risicoprofiel

Wil je weten welke aanpak het beste bij jouw organisatie past? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer