Derde partijen en cybersecurity: risico’s en maatregelen

Geplaatst op: 20 augustus 2026

Derde partijen vormen een van de grootste cybersecurityrisico’s voor moderne organisaties. Leveranciers, partners en dienstverleners hebben vaak directe toegang tot systemen, data of netwerken, waardoor een beveiligingsincident bij hen direct gevolgen kan hebben voor uw eigen organisatie. Dit artikel beantwoordt de belangrijkste vragen over derde partijen en cybersecurity: van de risico’s en aanvalsmethoden tot concrete maatregelen en de verplichtingen vanuit NIS2.

Welke cyberrisico’s brengen derde partijen met zich mee?

Derde partijen brengen cybersecurityrisico’s met zich mee doordat zij als verlengstuk van uw organisatie functioneren, maar buiten uw directe beveiligingscontrole vallen. Elke leverancier, cloudprovider of externe dienstverlener met toegang tot uw omgeving vergroot het aanvalsoppervlak. Een zwakke schakel in de toeleveringsketen kan leiden tot datalekken, ransomware-infecties of langdurige verstoringen.

De risico’s zijn breed en divers. Bij supply chain risico’s gaat het niet alleen om directe leveranciers, maar ook om de partijen waarmee die leveranciers samenwerken. Een aanvaller die één schakel in de keten compromitteert, kan zo meerdere organisaties tegelijk raken. Bekende risicocategorieën zijn:

• Leveranciers met directe netwerktoegang of beheertoegang tot systemen
• Softwareleveranciers waarvan updates kwaadaardig worden gemaakt
• Cloudproviders en SaaS-diensten die gevoelige bedrijfsdata verwerken
• Uitbestede IT-dienstverleners die namens u systemen beheren
• Partijen die fysieke toegang hebben tot uw locaties of apparatuur

Wat dit risico extra lastig maakt, is dat u beperkt zicht heeft op de beveiligingspraktijken van externe partijen. Uw eigen beveiligingsniveau is daardoor nooit hoger dan dat van de zwakste leverancier in uw keten.

Hoe krijgen aanvallers toegang via externe leveranciers?

Aanvallers gebruiken externe leveranciers als indirecte toegangsroute tot hun eigenlijke doelwit. In plaats van een goed beveiligde organisatie frontaal aan te vallen, richten zij zich op een minder goed beveiligde leverancier die al toegang heeft. Dit heet een supply chain aanval of een indirecte aanval via de toeleveringsketen.

De meest voorkomende methoden zijn:

1. Compromitteren van beheertoegang: Aanvallers stelen inloggegevens van een IT-leverancier die beheerderstoegang heeft tot meerdere klantomgevingen. Met die toegang bewegen ze lateraal door netwerken van alle klanten.
2. Kwaadaardige software-updates: Aanvallers infiltreren het ontwikkelproces of de distributie van legitieme software en voegen kwaadaardige code toe aan een reguliere update. Organisaties installeren de update in vertrouwen, waarna de aanvaller toegang krijgt.
3. Gecompromitteerde API-koppelingen: Veel leveranciers zijn via API’s verbonden met klantomgevingen. Een kwetsbaarheid in zo’n koppeling biedt aanvallers een directe toegangspoort.
4. Phishing via vertrouwde afzenders: Aanvallers sturen phishingmails namens een bekende leverancier, waardoor medewerkers eerder geneigd zijn te klikken of inloggegevens te delen.

Wat deze aanvallen zo effectief maakt, is het vertrouwen dat organisaties in hun leveranciers stellen. Dat vertrouwen wordt bewust misbruikt. Zie ook de geldende regelgeving rondom cybersecurity voor meer context over hoe wetgeving hierop inspeelt.

Wat verplicht NIS2 over het beheer van leveranciersrisico’s?

De NIS2-richtlijn verplicht organisaties expliciet om de cybersecurityrisico’s in hun toeleveringsketen te beheren. Dit betekent dat u niet alleen uw eigen beveiliging op orde moet hebben, maar ook inzicht moet hebben in de cybersecuritymaatregelen van uw leveranciers. NIS2 derde partijen beheer is daarmee een wettelijke verplichting geworden, geen optionele best practice.

Concreet schrijft NIS2, via de Nederlandse Cyberbeveiligingswet (Cbw), voor dat organisaties:

• De toeleveringsketen in kaart brengen en de bijbehorende risico’s beoordelen
• Contractuele afspraken maken over cybersecurityvereisten met leveranciers
• Periodiek de naleving van die afspraken toetsen
• Significante incidenten melden bij de bevoegde autoriteiten, ook als die via een leverancier zijn ontstaan

Voor overheidsorganisaties geldt daarnaast de Baseline Informatiebeveiliging Overheid 2 (BIO2) als normenkader, dat supply chain beveiliging expliciet adresseert. In Nederland vallen ruim 10.000 organisaties direct onder NIS2, en naar schatting 50.000 bedrijven die aan deze groep leveren, krijgen eveneens met de richtlijn te maken wanneer er sprake is van risico’s. Bij niet-naleving kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet.

Hoe beoordeel je de cyberveiligheid van een leverancier?

De cyberveiligheid van een leverancier beoordeelt u aan de hand van een gestructureerde risicoanalyse die zowel technische als organisatorische aspecten omvat. Een goede beoordeling combineert een vragenlijst, contractuele toetsing en waar mogelijk een technische verificatie van de beveiligingsmaatregelen die de leverancier heeft getroffen.

Stap 1: Classificeer de leverancier op basis van risico

Niet elke leverancier verdient dezelfde diepgang van beoordeling. Begin met een classificatie op basis van de toegang die een leverancier heeft. Een partij die beheerstoegang heeft tot kritische systemen vraagt om een intensievere beoordeling dan een leverancier van kantoorartikelen. Factoren die het risiconiveau bepalen, zijn: het type data waartoe de leverancier toegang heeft, de mate van systeemintegratie, en de afhankelijkheid van de dienst voor uw bedrijfscontinuïteit.

Stap 2: Toets aan concrete beveiligingscriteria

Vraag leveranciers om aantoonbare informatie over hun beveiligingspraktijken. Relevante vragen en toetspunten zijn:

• Beschikt de leverancier over een erkende certificering zoals ISO 27001 of SOC 2?
• Heeft de leverancier een aantoonbaar incidentresponsproces?
• Hoe regelt de leverancier toegangsbeheer en tweefactorauthenticatie?
• Voert de leverancier regelmatig penetratietesten uit op eigen systemen?
• Welke subverwerkers of sub-leveranciers gebruikt de leverancier zelf?

Leg de uitkomsten van deze beoordeling vast en herhaal het proces periodiek, zeker bij leveranciers met hoog risico.

Welke maatregelen beperken het risico van derde partijen?

Het risico van derde partijen beperkt u door een combinatie van contractuele afspraken, technische toegangscontroles en periodieke monitoring. Cybersecurity maatregelen voor leveranciers zijn het meest effectief wanneer ze structureel zijn ingebed in uw inkoopproces en contractbeheer, niet als eenmalige actie achteraf.

De meest effectieve maatregelen op een rij:

• Minimale toegangsrechten (least privilege): Geef leveranciers alleen toegang tot de systemen en data die zij strikt noodzakelijk nodig hebben voor hun dienstverlening.
• Contractuele beveiligingseisen: Leg in contracten vast welke beveiligingsstandaarden een leverancier moet naleven, inclusief meldplicht bij incidenten.
• Segmentatie van netwerken: Zorg dat leveranciers niet onbeperkt door uw netwerk kunnen bewegen door netwerksegmentatie toe te passen.
• Multi-factor authenticatie: Verplicht MFA voor alle externe partijen die op uw systemen inloggen.
• Periodieke audits en beoordelingen: Plan jaarlijkse of halfjaarlijkse herbeoordelingen van kritische leveranciers.
• Incidentresponsafspraken: Maak afspraken over hoe en hoe snel een leverancier u informeert bij een beveiligingsincident aan hun kant.

Voor organisaties die werken met een groot aantal leveranciers is het zinvol om een formeel third party risk management programma op te zetten, met een centrale registratie van alle externe partijen en hun risicoclassificatie.

Wanneer is een virtual CISO zinvol voor leveranciersbeheer?

Een virtual CISO is zinvol voor leveranciersbeheer wanneer een organisatie de kennis of capaciteit mist om een structureel leveranciersrisicobeleid op te zetten en te onderhouden. Dit geldt met name voor middelgrote organisaties die wel onder NIS2 vallen, maar geen fulltime CISO kunnen of willen aanstellen. Een virtual CISO via Continuous-Q biedt op maat gesneden expertise zonder de kosten van een vaste aanstelling.

Concreet kan een virtual CISO bijdragen aan leveranciersbeheer door:

• Het opstellen van een leveranciersrisicobeleid dat aansluit op NIS2-vereisten
• Het uitvoeren of begeleiden van leveranciersbeoordelingen
• Het vertalen van beveiligingseisen naar concrete contractclausules
• Het opzetten van een monitoringsproces voor kritische leveranciers
• Het adviseren van het bestuur over resterende risico’s in de keten

Vooral wanneer een incident via een leverancier plaatsvindt en u moet aantonen dat u voldoende maatregelen had getroffen, is een gedocumenteerd en professioneel beheerd leveranciersrisicobeleid van grote waarde. Een virtual CISO zorgt ervoor dat dit beleid niet alleen op papier staat, maar ook daadwerkelijk wordt nageleefd en bijgehouden.

Hoe Q-Cyber helpt met leveranciersrisico’s en derde partijen

Wij helpen organisaties om grip te krijgen op de cybersecurityrisico’s die derde partijen met zich meebrengen. Of het nu gaat om het opzetten van een leveranciersrisicobeleid, het uitvoeren van beoordelingen of het voldoen aan NIS2-verplichtingen rondom supply chain beveiliging: wij bieden concrete, onafhankelijke begeleiding zonder binding aan softwarepartijen of tooling.

Wat wij voor u kunnen doen:

• NIS2 gap-analyse: Wij brengen in kaart waar uw organisatie staat ten opzichte van de NIS2-zorgplicht voor leveranciersbeheer
• Leveranciersrisicobeleid: Wij schrijven beleid op maat dat aansluit op uw specifieke risicoprofiel en toeleveringsketen
• Leveranciersbeoordelingen: Wij voeren gestructureerde beoordelingen uit van uw kritische leveranciers
• Virtual CISO via Continuous-Q: Wij bieden doorlopende strategische begeleiding voor organisaties die structureel hun leveranciersrisico willen managen
• Trainingen voor bestuurders: Wij verzorgen trainingen die voldoen aan de NIS2-trainingsplicht, inclusief aandacht voor supply chain risico’s

Wilt u weten hoe uw organisatie er nu voor staat op het gebied van derde partijen en cybersecurity? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Supply chain security: hoe beveilig je je leveranciersketen?

Geplaatst op: 19 augustus 2026

Supply chain security betekent het beschermen van je organisatie tegen cyberdreigingen die binnenkomen via leveranciers, partners of andere externe partijen in je keten. Je beveiligt je leveranciersketen door risico’s te inventariseren, leveranciers te beoordelen op hun beveiligingsniveau, contractuele afspraken te maken en doorlopend te monitoren. Dit is geen eenmalige actie maar een continu proces, want aanvallers richten zich steeds vaker op de zwakste schakel in een keten in plaats van op de organisatie zelf. De vragen hieronder helpen je stap voor stap grip te krijgen op je leveranciersrisico’s.

Wat zijn de grootste cybersecurity risico’s in een leveranciersketen?

De grootste supply chain risico’s zijn onvoldoende beveiligde toegang van leveranciers tot je systemen, kwetsbare software of componenten die via de keten worden geleverd, en een gebrek aan transparantie over hoe derden omgaan met jouw data. Deze risico’s zijn gevaarlijk omdat ze buiten je directe controle liggen, maar wel directe gevolgen hebben voor jouw organisatie.

Een leverancier die toegang heeft tot je netwerk of klantgegevens, maar zelf geen sterke authenticatie of patchbeleid hanteert, vormt een open deur voor aanvallers. Bekende aanvalsmethoden zijn:

• Software supply chain-aanvallen: aanvallers infecteren software of updates van een leverancier, zodat kwaadaardige code automatisch bij alle afnemers terechtkomt.
• Gecompromitteerde inloggegevens: leveranciers met zwakke wachtwoorden of geen multi-factorauthenticatie bieden aanvallers een toegangspoort tot jouw omgeving.
• Onvoldoende incidentrespons bij leveranciers: als een leverancier een incident niet tijdig detecteert of meldt, kan schade zich ongemerkt verspreiden naar jouw organisatie.
• Vierde partijrisico’s: je leverancier werkt zelf ook met onderaannemers, en die onderaannemers vallen buiten je directe zicht terwijl ze indirect toegang kunnen hebben tot jouw data.

Het risico is niet hypothetisch. Organisaties die denken dat hun eigen beveiliging op orde is, worden regelmatig getroffen via een partner die ze vertrouwen. Derde partij beveiliging begint daarom met het besef dat je aanvalsoppervlak veel groter is dan je eigen netwerk.

Hoe beoordeel je de cybersecurity volwassenheid van een leverancier?

Je beoordeelt de cybersecurity volwassenheid van een leverancier door een combinatie van vragenlijsten, technische controles en certificeringseisen te gebruiken. Vraag leveranciers om aantoonbaar bewijs van hun beveiligingspraktijken en beoordeel of die aansluiten bij het risico dat zij voor jouw organisatie vormen. Hoe hoger de toegang of gevoeligheid, hoe diepgaander de beoordeling moet zijn.

Een gestructureerde aanpak voor leveranciersbeheer cybersecurity omvat minimaal de volgende stappen:

1. Risicoclassificatie: deel leveranciers in op basis van het type toegang dat ze hebben (netwerktoegang, verwerking van persoonsgegevens, kritieke systemen) en de schade die een incident via hen kan veroorzaken.
2. Beveiligingsvragenlijst: stuur leveranciers een gestandaardiseerde vragenlijst over hun patchbeleid, toegangsbeheer, incidentrespons en gebruik van encryptie.
3. Certificeringen: vraag naar relevante certificeringen zoals ISO 27001 of SOC 2. Deze geven een onafhankelijk oordeel over de beheersing van informatiebeveiliging.
4. Technische verificatie: voer waar mogelijk een technische controle uit, zoals het scannen van publiek toegankelijke systemen van de leverancier op bekende kwetsbaarheden.
5. Periodieke herbeoordeling: een eenmalige beoordeling is niet voldoende. Plan jaarlijkse of risicogerelateerde herbeoordelingen in.

Houd er rekening mee dat kleine leveranciers vaak niet beschikken over formele certificeringen. In dat geval zijn concrete gesprekken over hun beveiligingsmaatregelen en aantoonbaar beleid minstens zo waardevol als een papiertje.

Wat zegt NIS2 over supply chain security?

NIS2 verplicht organisaties die onder de richtlijn vallen expliciet om de beveiliging van hun toeleveringsketen als onderdeel van hun zorgplicht te adresseren. Supply chain security is geen optionele maatregel maar een minimumvereiste: je moet aantoonbaar beleid hebben voor het beheren van risico’s die via leveranciers en partners binnenkomen.

De Nederlandse omzetting van NIS2 via de Cyberbeveiligingswet (Cbw) benoemt de beveiliging van de toeleveringsketen uitdrukkelijk als een van de aandachtspunten binnen de zorgplicht. Organisaties moeten passende en evenredige maatregelen nemen, waarbij de concrete invulling afhankelijk is van het risicoprofiel van de organisatie en haar keten.

Praktisch betekent dit voor organisaties die onder NIS2 vallen:

• Een gedocumenteerd beleid voor supply chain risicobeheer, inclusief criteria voor het selecteren en beoordelen van leveranciers.
• Contractuele afspraken met leveranciers over beveiligingseisen en meldplichten bij incidenten.
• Aantoonbare processen voor het monitoren van leveranciersrisico’s en het opvolgen van bevindingen.

Naar schatting krijgen ruim 50.000 bedrijven die leveren aan NIS2-entiteiten indirect met de richtlijn te maken, omdat afnemers hen zullen bevragen over hun eigen cybersecuritymaatregelen. Ben je leverancier van een organisatie die onder NIS2 valt? Bereid je dan voor op informatieverzoeken en zorg dat je beveiligingspraktijken aantoonbaar zijn.

Welke contractuele afspraken beschermen je tegen supply chain-aanvallen?

Contractuele afspraken die je beschermen tegen supply chain-aanvallen zijn minimaal: een meldplicht bij beveiligingsincidenten, eisen aan beveiligingsmaatregelen van de leverancier, het recht op audit of inzage, en afspraken over onderaannemers. Zonder deze afspraken heb je bij een incident weinig juridische basis om actie te eisen of schade te verhalen.

Neem de volgende bepalingen op in contracten met leveranciers die toegang hebben tot je systemen of gegevens:

• Incidentmeldplicht: de leverancier is verplicht jou binnen een afgesproken termijn (bij voorkeur 24 tot 48 uur) te informeren over beveiligingsincidenten die jouw organisatie kunnen raken.
• Minimale beveiligingseisen: stel eisen aan maatregelen zoals multi-factorauthenticatie, encryptie van data in transit en in rust, en een patchbeleid met concrete termijnen.
• Auditrecht: leg vast dat je het recht hebt om de beveiligingsmaatregelen van de leverancier periodiek te laten toetsen, door jezelf of een onafhankelijke partij.
• Subcontractorclausule: zorg dat beveiligingseisen ook gelden voor onderaannemers die de leverancier inschakelt, en dat de leverancier jou hierover informeert.
• Beëindigingsrecht bij niet-naleving: neem een clausule op die je het recht geeft de samenwerking te beëindigen als een leverancier structureel niet voldoet aan de overeengekomen beveiligingseisen.

Contracten zijn een fundament, geen garantie. Ze werken alleen als je ook daadwerkelijk controleert of leveranciers de afspraken nakomen.

Hoe monitor je doorlopend de veiligheid van je leveranciers?

Je monitort de veiligheid van je leveranciers doorlopend door een combinatie van periodieke beoordelingen, geautomatiseerde technische monitoring en heldere escalatieprocedures. Doorlopende monitoring van je leveranciersketen is noodzakelijk omdat het dreigingslandschap verandert en een leverancier die vandaag veilig is, morgen een kwetsbaarheid kan introduceren.

Een werkende aanpak voor continue leveranciersmonitoring bestaat uit meerdere lagen:

Periodieke beoordelingen en herbeoordelingen

Plan voor leveranciers met een hoog risicoprofiel minimaal jaarlijkse herbeoordelingen in. Gebruik daarvoor dezelfde vragenlijsten en criteria als bij de initiële beoordeling, zodat je trends kunt signaleren. Koppel de frequentie van herbeoordeling aan het risiconiveau: een leverancier met directe netwerktoegang vraagt om meer aandacht dan een leverancier die alleen facturen verwerkt.

Technische en informatiegestuurde monitoring

Gebruik technische hulpmiddelen om publiek zichtbare kwetsbaarheden bij leveranciers te monitoren, zoals openstaande poorten, verlopen certificaten of bekende kwetsbaarheden in door hen gebruikte software. Abonneer je ook op dreigingsinformatie over sectoren of technologieën die relevant zijn voor jouw keten. Een virtual CISO kan helpen bij het structureel opzetten en bewaken van dit soort processen.

Zorg daarnaast voor een intern proces waarbij wijzigingen bij leveranciers (nieuwe onderaannemers, fusies, technologiewijzigingen) automatisch leiden tot een heroverweging van het risicoprofiel. Leveranciersbeheer cybersecurity is geen statisch register maar een levend proces dat meeverandert met de keten. Door regelmatige pentests en scans in te zetten kun je bovendien zelf controleren of de toegangspunten van leveranciers tot jouw omgeving daadwerkelijk goed beveiligd zijn.

Hoe Q-Cyber helpt met supply chain security

Supply chain security vraagt om zowel technische kennis als het vermogen om beleid te schrijven, leveranciers te beoordelen en processen te borgen. Dat is precies waar wij organisaties bij helpen. Wij combineren hands-on technische expertise met pragmatisch advies, zonder afhankelijkheid van softwarepartijen of andere toeleveranciers.

Wat wij voor jou kunnen doen op het gebied van leveranciersketen beveiliging:

• Gap-analyse en risicokaart: we brengen in kaart welke leveranciers het grootste risico vormen en waar de huidige beheersing tekortschiet.
• Beleid en contracttemplates: we schrijven leveranciersbeleid en contractuele beveiligingseisen die aansluiten op NIS2 en jouw specifieke risicoprofiel.
• Leveranciersbeoordeling: we voeren beoordelingen uit van de cybersecurity volwassenheid van je leveranciers, inclusief technische controles en vragenlijsten.
• Doorlopend toezicht via Continuous-Q: via onze virtual CISO-dienst houden we continu toezicht op je leveranciersrisico’s en adviseren we proactief bij wijzigingen in de keten.
• NIS2-begeleiding: we begeleiden je door het volledige NIS2-traject, inclusief de supply chain-vereisten, van gap-analyse tot aantoonbare naleving.

Wil je weten hoe jouw organisatie er nu voor staat op het gebied van supply chain security? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Hoe lang mag je persoonsgegevens bewaren?

Geplaatst op: 18 augustus 2026

Persoonsgegevens mag je niet langer bewaren dan noodzakelijk is voor het doel waarvoor je ze hebt verzameld. Dit is een van de kernbeginselen van de Algemene Verordening Gegevensbescherming (AVG). Er is geen vaste maximale bewaartermijn die voor alle gegevens geldt: de termijn hangt af van het doel van de verwerking, de wettelijke verplichtingen die op jouw organisatie rusten, en de aard van de gegevens zelf. In dit artikel beantwoorden we de meest gestelde vragen over bewaartermijnen, bewaarbeleid en wat je riskeert als je persoonsgegevens te lang bewaart.

Wat zegt de AVG over bewaartermijnen?

De AVG stelt dat persoonsgegevens niet langer bewaard mogen worden dan noodzakelijk is voor het doel waarvoor ze zijn verzameld. Dit wordt het opslagbeperkingsbeginsel genoemd en is vastgelegd in artikel 5, lid 1, sub e van de AVG. De wet schrijft geen concrete termijnen voor: jij als verwerkingsverantwoordelijke bepaalt zelf hoe lang gegevens nodig zijn, mits je dat kunt onderbouwen.

Wat de AVG wel eist, is dat je de bewaartermijn van tevoren vaststelt en documenteert. Dat betekent concreet dat je in je verwerkingsregister per categorie persoonsgegevens moet aangeven hoe lang je die bewaart en waarom. Kun je die termijn niet beargumenteren, dan is er een goede kans dat je langer bewaart dan is toegestaan.

Het opslagbeperkingsbeginsel werkt nauw samen met het doelbindingsbeginsel: zodra het oorspronkelijke doel is bereikt en er geen andere wettelijke grondslag voor verdere bewaring bestaat, moeten de gegevens worden verwijderd of anoniem gemaakt. Anonimisering is daarbij een volwaardig alternatief voor verwijdering, mits de gegevens na anonimisering niet meer herleidbaar zijn tot een individu.

Welke wettelijke bewaartermijnen gelden in Nederland?

Hoewel de AVG zelf geen vaste termijnen noemt, schrijven andere Nederlandse wetten specifieke bewaartermijnen voor bepaalde categorieën gegevens voor. Deze wettelijke termijnen gaan boven de AVG-norm uit: je bent verplicht de gegevens minimaal zo lang te bewaren, maar niet langer dan nodig.

Enkele veelvoorkomende wettelijke bewaartermijnen in Nederland zijn:

• Fiscale gegevens: op grond van de Belastingwet geldt een bewaarplicht van 7 jaar voor de financiële administratie, inclusief facturen, loongegevens en btw-records.
• Personeelsdossiers: salarisgegevens moeten 7 jaar bewaard worden; kopieën van identiteitsbewijzen 5 jaar na uitdiensttreding; andere personeelsgegevens doorgaans 2 jaar na vertrek van de medewerker.
• Medische dossiers: op grond van de Wet op de geneeskundige behandelingsovereenkomst (WGBO) geldt een bewaartermijn van 20 jaar na de laatste behandeling.
• Camerabeelden: in de meeste gevallen maximaal 4 weken, tenzij er een incident is dat langere bewaring rechtvaardigt.
• Sollicitatiegegevens: maximaal 4 weken na afronding van de procedure, tenzij de sollicitant toestemming geeft voor bewaring in een talentpool (maximaal 1 jaar).

Voor organisaties die onder relevante wet- en regelgeving vallen, zoals de NIS2-richtlijn of sectorspecifieke normen, kunnen aanvullende verplichtingen gelden rondom het bewaren van loggegevens en incidentregistraties. Het is verstandig om per categorie gegevens na te gaan welke sectorwetgeving van toepassing is.

Wat gebeurt er als je persoonsgegevens te lang bewaart?

Als je persoonsgegevens langer bewaart dan noodzakelijk en toegestaan, overtreed je de AVG. De Autoriteit Persoonsgegevens (AP) kan daarvoor handhavend optreden met boetes die kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Bovendien kan langdurige bewaring leiden tot reputatieschade en verlies van vertrouwen bij klanten en medewerkers.

Naast financiële sancties zijn er andere risico’s verbonden aan te lange bewaring:

• Groter aanvalsoppervlak bij datalekken: hoe meer gegevens je bewaart, hoe meer er gelekt kan worden bij een cyberaanval of beveiligingsincident. Organisaties die onnodige gegevens bewaren, lopen bij een inbreuk een groter risico op ernstige schade voor betrokkenen.
• Hogere kosten: meer data betekent meer opslagcapaciteit, meer beveiligingsmaatregelen en meer beheerlast.
• Rechten van betrokkenen: mensen hebben het recht om hun gegevens te laten verwijderen (het recht op vergetelheid). Als je geen helder bewaarbeleid hebt, is het lastig om dit recht correct uit te voeren.

De AP heeft de afgelopen jaren meerdere organisaties beboet en gewaarschuwd wegens het ontbreken van een adequaat bewaarbeleid. Preventief handelen is dan ook verstandiger dan reactief reageren op een handhavingstraject.

Hoe stel je een bewaarbeleid op voor jouw organisatie?

Een bewaarbeleid is een intern document waarin je per categorie persoonsgegevens vastlegt hoe lang je ze bewaart, op welke grondslag, en hoe je zorgt voor tijdige verwijdering. Het opstellen van zo’n beleid is verplicht onder de AVG en vormt de basis voor aantoonbare naleving.

Een goed bewaarbeleid opzetten doe je stap voor stap:

1. Inventariseer alle verwerkingen: breng in kaart welke categorieën persoonsgegevens je verwerkt en voor welk doel. Dit doe je op basis van je verwerkingsregister.
2. Bepaal de bewaartermijn per categorie: kijk eerst of er een wettelijke bewaartermijn geldt. Is dat niet het geval, bepaal dan zelf hoe lang de gegevens nodig zijn voor het beoogde doel en onderbouw die keuze.
3. Leg de termijnen schriftelijk vast: documenteer de termijnen en de bijbehorende motivering. Dit is essentieel voor de verantwoordingsplicht onder de AVG.
4. Richt technische processen in: zorg dat gegevens automatisch worden verwijderd of geanonimiseerd zodra de bewaartermijn is verstreken. Handmatige processen zijn foutgevoelig en schalen slecht.
5. Evalueer het beleid periodiek: doelen veranderen, wetgeving verandert. Controleer het bewaarbeleid minimaal jaarlijks op actualiteit.

Voor organisaties die ook loggegevens en beveiligingsdata bewaren in het kader van informatiebeveiliging, is het verstandig om het bewaarbeleid te koppelen aan bredere beleidsprocessen rondom gegevensbescherming en beveiligingsbeheer.

Wanneer mag je persoonsgegevens langer bewaren dan normaal?

Er zijn situaties waarin de AVG langere bewaring van persoonsgegevens toestaat, ook als het oorspronkelijke doel al is bereikt. Dit is toegestaan wanneer de verdere bewaring een uitdrukkelijk omschreven, gerechtvaardigd doel dient dat in de wet is erkend.

De AVG noemt drie uitzonderingsgronden voor langere bewaring:

• Archivering in het algemeen belang: denk aan historische archieven, wetenschappelijk onderzoek of statistische doeleinden. Overheden en onderzoeksinstellingen maken hier regelmatig gebruik van, mits er passende waarborgen zijn getroffen.
• Wetenschappelijk of historisch onderzoek: gegevens mogen langer worden bewaard als ze noodzakelijk zijn voor legitiem onderzoek. Er moeten dan wel technische en organisatorische maatregelen zijn om de privacy te beschermen, zoals pseudonimisering.
• Statistische doeleinden: voor het bijhouden van statistieken mogen gegevens langer worden bewaard, mits de gegevens niet worden gebruikt om besluiten te nemen over individuele personen.

Buiten deze drie gronden geldt dat expliciete toestemming van de betrokkene een langere bewaring kan rechtvaardigen, maar alleen als die toestemming vrijwillig, specifiek en geïnformeerd is gegeven. Toestemming is geen vrijbrief: het doel van de langere bewaring moet helder zijn en de betrokkene moet zijn toestemming te allen tijde kunnen intrekken.

Een andere situatie die langere bewaring kan rechtvaardigen, is een lopend juridisch geschil. Als je gegevens nodig hebt om een rechtszaak te voeren of te verdedigen, mag je ze bewaren zolang dat noodzakelijk is, ook als de normale bewaartermijn al is verstreken.

Hoe Q-Cyber helpt met gegevensbescherming en bewaarbeleid

Een goed bewaarbeleid is meer dan een AVG-verplichting: het is een onderdeel van een bredere, volwassen aanpak van informatiebeveiliging. Organisaties die hun gegevensstromen niet onder controle hebben, lopen niet alleen privacyrisico’s, maar ook beveiligingsrisico’s. Te veel data betekent een groter aanvalsoppervlak.

Wij bij Q-Cyber helpen organisaties om beleid en techniek samen te laten werken. Concreet ondersteunen wij bij:

• Het opstellen en implementeren van een bewaarbeleid dat aansluit op de AVG en sectorspecifieke wetgeving
• Gap-analyses om te bepalen waar jouw organisatie nu staat op het gebied van gegevensbescherming en informatiebeveiliging
• Beleidsschrijving en procesbegeleiding, ook in het kader van NIS2-compliance
• Trainingen voor bestuurders en medewerkers over privacyrisico’s en beveiligingsbewustzijn
• Onafhankelijk advies, zonder binding aan softwarepartijen of leveranciers

Wil je weten hoe jouw organisatie ervoor staat en waar de risico’s zitten? Neem contact op met Q-Cyber voor een vrijblijvend gesprek.

Lees meer

Wat is dataminimalisatie en hoe pas je het toe?

Geplaatst op: 17 augustus 2026

Dataminimalisatie betekent dat je alleen persoonsgegevens verzamelt en verwerkt die strikt noodzakelijk zijn voor een welomschreven doel. Dit principe is vastgelegd in de AVG (Algemene Verordening Gegevensbescherming) en geldt voor elke organisatie die persoonsgegevens verwerkt. In dit artikel beantwoorden we de meest gestelde vragen over dataminimalisatie: van wat je mag verzamelen tot hoe je het in de praktijk toepast en welke gevolgen niet-naleving heeft.

Welke gegevens mag je eigenlijk verzamelen onder de AVG?

Onder de AVG mag je alleen persoonsgegevens verzamelen die toereikend, ter zake dienend en beperkt zijn tot wat noodzakelijk is voor het doel waarvoor ze worden verwerkt. Dit staat letterlijk in artikel 5, lid 1, sub c van de AVG en vormt de kern van het dataminimalisatieprincipe. Er is geen ruimte voor “misschien later van pas komende” gegevens.

Concreet betekent dit dat je voor elk gegeven dat je verzamelt een duidelijk antwoord moet kunnen geven op drie vragen:

• Waarom heb ik dit gegeven nodig? Er moet een specifiek, omschreven verwerkingsdoel zijn.
• Is dit gegeven echt noodzakelijk voor dat doel? Als het doel ook zonder dit gegeven bereikt kan worden, mag je het niet verzamelen.
• Heb ik een geldige rechtsgrond? Denk aan toestemming, een wettelijke verplichting, of een gerechtvaardigd belang.

Bijzondere categorieën van persoonsgegevens, zoals gezondheidsgegevens, biometrische gegevens of gegevens over etnische afkomst, genieten extra bescherming. Voor deze gegevens gelden strengere vereisten en is verwerking in principe verboden, tenzij een van de specifieke uitzonderingen van de AVG van toepassing is.

Een praktisch voorbeeld: een webshop die een bestelling verwerkt, heeft een naam, afleveradres en betaalgegevens nodig. Geboortedatum, geslacht of telefoonnummer zijn voor dat doel niet per definitie noodzakelijk. Vraag je ze toch uit, dan moet je dat kunnen rechtvaardigen. De privacywetgeving en regelgeving rondom de AVG laat weinig ruimte voor twijfel: verzamel alleen wat je écht nodig hebt.

Hoe verschilt dataminimalisatie van dataretentie?

Dataminimalisatie gaat over hoeveel gegevens je verzamelt, terwijl dataretentie gaat over hoe lang je gegevens bewaart. Beide principes vloeien voort uit de AVG, maar ze sturen op verschillende momenten in de levenscyclus van persoonsgegevens: minimalisatie bij het verzamelen, retentie bij het bewaren en verwijderen.

Het verschil is in de praktijk belangrijk, omdat organisaties soms wel zorgvuldig zijn bij het verzamelen, maar daarna vergeten gegevens tijdig te verwijderen. Andersom komt het ook voor: gegevens worden na een bepaalde periode keurig gewist, maar er zijn in de eerste plaats te veel gegevens verzameld.

Dataminimalisatie: minder is meer bij het verzamelen

Dataminimalisatie richt zich op de voorkant van het proces. Je stelt jezelf de vraag: welke gegevens zijn echt nodig om mijn doel te bereiken? Alles wat je niet nodig hebt, verzamel je simpelweg niet. Dit principe sluit nauw aan bij het concept van privacy by design, waarbij privacybescherming al in het ontwerp van systemen en processen wordt ingebouwd.

Dataretentie: tijdig verwijderen wat niet meer nodig is

Dataretentie richt zich op de achterkant van het proces. Gegevens mogen niet langer worden bewaard dan noodzakelijk voor het doel waarvoor ze zijn verzameld. Organisaties zijn verplicht een retentiebeleid op te stellen: per categorie gegevens leg je vast hoe lang je ze bewaart en wanneer je ze verwijdert of anonimiseert. Wettelijke bewaarplichten, zoals voor de Belastingdienst of arbeidsrecht, kunnen hierbij een rol spelen en rechtvaardigen langere bewaartermijnen.

Samen vormen dataminimalisatie en dataretentie een compleet kader voor verantwoord omgaan met persoonsgegevens gedurende hun volledige levenscyclus.

Hoe pas je dataminimalisatie toe in de praktijk?

Dataminimalisatie toepassen in de praktijk begint met een systematische inventarisatie van welke gegevens je verwerkt en waarom. Vervolgens stel je per gegevenscategorie vast of de verzameling echt noodzakelijk is voor het opgegeven doel. Wat overblijft, is wat je mag verwerken. Dit klinkt eenvoudig, maar vraagt om een gestructureerde aanpak.

De volgende stappen helpen je op weg:

1. Maak een verwerkingsregister. Breng in kaart welke persoonsgegevens je verwerkt, voor welk doel, op welke rechtsgrond en hoe lang je ze bewaart. Dit is ook een wettelijke verplichting onder de AVG.
2. Beoordeel de noodzakelijkheid. Ga per gegevensveld na of het echt bijdraagt aan het verwerkingsdoel. Stel jezelf de vraag: wat verandert er als ik dit gegeven niet heb?
3. Pas formulieren en systemen aan. Verwijder onnodige velden uit registratieformulieren, bestelprocessen en inschrijfpagina’s. Maak optionele velden niet verplicht tenzij dat echt noodzakelijk is.
4. Bouw privacy by design in. Zorg dat nieuwe systemen, applicaties en processen van meet af aan worden ontworpen met dataminimalisatie als uitgangspunt. Betrek privacyoverwegingen al in de ontwerpfase.
5. Train medewerkers. Zorg dat iedereen die met persoonsgegevens werkt begrijpt wat dataminimalisatie inhoudt en waarom het belangrijk is.
6. Voer periodieke audits uit. Dataminimalisatie is geen eenmalige actie. Controleer regelmatig of je verwerkingen nog steeds noodzakelijk zijn en of er nieuwe gegevensverzamelingen zijn ingeslopen.

Bij grotere organisaties of complexere IT-omgevingen is het verstandig een Data Protection Impact Assessment (DPIA) uit te voeren voor verwerkingen met een hoog risico. Dit dwingt je om gegevensverzameling grondig te onderbouwen en alternatieven te overwegen.

Welke tools helpen bij het toepassen van dataminimalisatie?

Er zijn verschillende soorten tools die organisaties ondersteunen bij het toepassen van AVG-dataminimalisatie. De keuze hangt af van de omvang van je organisatie, de complexiteit van je gegevensverwerking en de fase waarin je zit: inventarisatie, implementatie of monitoring.

Nuttige categorieën van tools zijn:

• Verwerkingsregistersoftware: Tools zoals OneTrust, Privacyware of Nederlandse alternatieven helpen bij het bijhouden van een gestructureerd overzicht van al je verwerkingsactiviteiten, inclusief de rechtsgrond en bewaartermijnen.
• Data discovery tools: Deze tools scannen je IT-omgeving op de aanwezigheid van persoonsgegevens, ook op plekken waar je ze niet verwacht, zoals oude back-ups, e-mailsystemen of spreadsheets.
• Identity & Access Management (IAM): Door toegang tot persoonsgegevens te beperken tot medewerkers die ze echt nodig hebben, beperk je indirect ook de verspreiding en het gebruik van die gegevens.
• Pseudonimisering en anonimiseringstechnieken: Technische maatregelen die persoonsgegevens vervangen door pseudoniemen of ze volledig anonimiseren, zodat ze buiten de scope van de AVG vallen.
• Vulnerability scans en pentests: Hoewel primair gericht op beveiliging, helpen deze tests ook bij het opsporen van systemen die onnodig veel gegevens verwerken of opslaan.

Naast technische tools is een goed beleidskader onmisbaar. Technologie ondersteunt, maar dataminimalisatie begint bij bewuste keuzes in processen en organisatiecultuur. Een tool kan je helpen inzicht te krijgen, maar de beslissing om bepaalde gegevens niet te verzamelen is altijd een menselijke keuze.

Wat zijn de gevolgen van niet naleven van dataminimalisatie?

Het niet naleven van het dataminimalisatieprincipe kan leiden tot aanzienlijke boetes, reputatieschade en verlies van klantvertrouwen. De Autoriteit Persoonsgegevens (AP) kan bij overtredingen van de AVG boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Dataminimalisatie is een kernverplichting, geen bijzaak.

De gevolgen zijn breder dan alleen financieel:

• Boetes van de toezichthouder: De AP houdt actief toezicht en heeft al meerdere Nederlandse organisaties beboet voor het onnodig verzamelen of te lang bewaren van persoonsgegevens.
• Reputatieschade: Een datalek of handhavingsactie wordt vaak publiek. Klanten, partners en de media reageren kritisch op organisaties die slordig omgaan met persoonsgegevens.
• Verhoogd risico bij datalekken: Hoe meer gegevens je opslaat, hoe groter de schade bij een eventueel datalek. Dataminimalisatie is daarmee ook een beveiligingsmaatregel.
• Juridische aansprakelijkheid: Betrokkenen kunnen schadevergoeding eisen als hun gegevens onrechtmatig zijn verwerkt.
• Problemen bij audits en aanbestedingen: Steeds meer opdrachtgevers, zeker in de publieke sector, toetsen leveranciers op AVG-naleving. Tekortkomingen kunnen leiden tot uitsluiting.

Bovendien vergroot niet-naleving van dataminimalisatie de risico’s in het kader van andere regelgeving. Organisaties die onder de NIS2-richtlijn vallen, zijn verplicht om naast technische ook organisatorische maatregelen te treffen. Onnodig verzamelde gegevens vergroten het aanvalsoppervlak en kunnen bij een incident de meldplicht activeren.

Hoe Q-Cyber helpt met dataminimalisatie en privacybeleid

Dataminimalisatie toepassen is meer dan een technische exercitie. Het vraagt om een combinatie van beleidskennis, technisch inzicht en pragmatisch advies. Dat is precies waar wij bij Q-Cyber in gespecialiseerd zijn.

Wij helpen organisaties op de volgende manieren:

• Gap-analyse en verwerkingsregister: We brengen in kaart welke persoonsgegevens je verwerkt, of de verzameling noodzakelijk is en waar verbeterpunten liggen.
• Beleid op maat: We schrijven privacybeleid, retentiebeleid en verwerkingsovereenkomsten die aansluiten op jouw specifieke situatie en sector.
• Privacy by design advies: Bij nieuwe systemen of processen adviseren we hoe je dataminimalisatie van meet af aan inbouwt.
• NIS2 en AVG-combinatietrajecten: Voor organisaties die met beide regelgevingen te maken hebben, bieden we een geïntegreerde aanpak die overlap benut en dubbel werk voorkomt.
• Trainingen voor medewerkers en bestuurders: We verzorgen praktische trainingen die bewustzijn vergroten en medewerkers handvatten geven voor dagelijks gebruik.

We werken volledig onafhankelijk, zonder binding aan softwarepartijen of andere toeleveranciers. Zo krijg je advies dat echt in jouw belang is. Wil je weten hoe jouw organisatie er nu voor staat op het gebied van dataminimalisatie en AVG-naleving? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat is de rol van het management bij NIS2-naleving?

Geplaatst op: 16 augustus 2026

Het management draagt onder de NIS2-richtlijn directe en formele verantwoordelijkheid voor de cyberbeveiliging van de organisatie. Bestuurders moeten aantoonbaar betrokken zijn bij beslissingen over informatiebeveiliging, voldoende kennis hebben van cybersecurityrisico’s en actief toezicht houden op de genomen maatregelen. Dit geldt niet alleen voor grote bedrijven, maar voor alle organisaties die onder de Nederlandse Cyberbeveiligingswet (Cbw) vallen. In dit artikel beantwoorden we de meest gestelde vragen over de rol van het management bij NIS2-naleving.

Welke verantwoordelijkheden legt NIS2 bij het management?

De NIS2-richtlijn legt de eindverantwoordelijkheid voor cyberbeveiliging expliciet bij het bestuur van een organisatie. Dat betekent dat het management niet alleen beslissingen goedkeurt, maar ook aantoonbaar betrokken moet zijn bij het identificeren van risico’s, het beoordelen van maatregelen en het bewaken van de naleving. Cyberbeveiliging is daarmee een bestuurlijke kerntaak geworden, geen IT-aangelegenheid.

Concreet omvat de NIS2-verantwoordelijkheid van het management de volgende verplichtingen:

• Risicoanalyse en beleid: Het bestuur moet zorgen dat de organisatie een actueel beleid heeft voor risicoanalyse en informatiebeveiliging.
• Bedrijfscontinuïteit: Er moeten maatregelen zijn voor crisisbeheersing en herstel na een incident.
• Supply chain security: Het management is verantwoordelijk voor inzicht in de cybersecuritymaatregelen van leveranciers en ketenpartners.
• Incidentmelding: Bij significante cybersecurityincidenten moet de organisatie dit binnen 24 uur melden bij de bevoegde autoriteit. Het bestuur draagt hiervoor de eindverantwoordelijkheid.
• Trainingsplicht: Alle leden van het bestuur zijn verplicht een training te volgen waarin zij leren beveiligingsrisico’s te herkennen, maatregelen te beoordelen en de gevolgen voor de organisatie te begrijpen.

De Cyberbeveiligingswet verplicht bestuurders nadrukkelijk om voldoende kennis en betrokkenheid te tonen. Het is niet voldoende om cybersecurity volledig te delegeren aan een IT-afdeling of externe partij. Het management moet in staat zijn om weloverwogen besluiten te nemen over beveiligingsvraagstukken. Meer over wat compliance en beleid in de praktijk betekent, lees je op onze kennispagina.

Kan het management persoonlijk aansprakelijk worden gesteld bij NIS2?

Voor private organisaties introduceert NIS2 de mogelijkheid om bestuurders persoonlijk aansprakelijk te stellen bij ernstige overtredingen als gevolg van grove nalatigheid. Voor overheidsinstanties geldt dit nadrukkelijk niet: de Cyberbeveiligingswet brengt voor de publieke sector geen nieuwe aansprakelijkheden met zich mee buiten wat al bestond.

Voor bedrijven die onder de NIS2 vallen, is de situatie anders. Wanneer een organisatie de zorgplicht structureel negeert en dit leidt tot een ernstig incident, kan de toezichthouder niet alleen de organisatie beboeten, maar ook het management persoonlijk aanspreken. De maximale boetes voor essentiële entiteiten bedragen 10 miljoen euro of 2% van de wereldwijde jaaromzet. Belangrijke entiteiten kunnen boetes tot 7 miljoen euro of 1,4% van de jaaromzet verwachten.

De persoonlijke aansprakelijkheid van bestuurders maakt NIS2-naleving tot een boardroomkwestie. Bestuurders kunnen zich niet verschuilen achter het argument dat zij niet op de hoogte waren van de risico’s, juist omdat de wet hen verplicht om die kennis actief te verwerven en toe te passen. De trainingsplicht is daarmee niet alleen een formaliteit, maar ook een juridische bescherming: wie aantoonbaar geïnformeerd handelt, staat sterker bij een toezichtsonderzoek.

Hoe verschilt de NIS2-rol van management per organisatietype?

De formele invulling van de managementrol bij NIS2 verschilt afhankelijk van of een organisatie een private onderneming, een overheidsinstantie of een hybride entiteit is. Het principe van bestuurlijke verantwoordelijkheid is universeel, maar de concrete uitwerking varieert.

Private organisaties

Bij bedrijven en private instellingen is het dagelijks bestuur, zoals de directie of het managementteam, aangewezen als verantwoordelijke partij. Zij moeten aantoonbaar betrokken zijn bij het cybersecuritybeleid en kunnen bij grove nalatigheid persoonlijk aansprakelijk worden gesteld. De organisatie bepaalt zelf welke opleider de verplichte bestuurderstraining verzorgt, zolang de inhoud aansluit op de vereisten uit het Cyberbeveiligingsbesluit.

Overheidsinstanties

Voor overheidsorganisaties, zoals gemeenten, provincies en ministeries, is de politieke leiding aangewezen als het bestuur in de zin van de Cyberbeveiligingswet. Dat zijn dus ministers, wethouders en gedeputeerde staten, niet de ambtelijke top. Dit sluit aan bij de Gemeentewet en vergelijkbare wetgeving. Persoonlijke aansprakelijkheid geldt voor hen niet op grond van de Cbw, maar de verantwoordelijkheid voor aantoonbaar beleid en naleving blijft onverminderd van kracht. Voor overheidsorganisaties vormt de Baseline Informatiebeveiliging Overheid 2 (BIO2) het normatieve kader waarmee zij grotendeels aan de NIS2-zorgplicht kunnen voldoen.

Welke beslissingen moet het management zelf nemen bij NIS2?

Het management moet bij NIS2-naleving een aantal beslissingen actief en aantoonbaar zelf nemen. Delegeren aan IT of een externe adviseur is toegestaan voor de uitvoering, maar de strategische keuzes en de formele goedkeuring liggen bij het bestuur.

De beslissingen die het management niet kan overdragen zijn onder andere:

• Vaststellen van het risicobeleid: Het bestuur keurt het beleid voor risicoanalyse en informatiebeveiliging formeel goed en draagt de eindverantwoordelijkheid voor de inhoud.
• Prioritering van maatregelen: Op basis van een risicoanalyse moet het management beslissen welke beveiligingsmaatregelen worden genomen en welke middelen daarvoor beschikbaar worden gesteld.
• Supply chain beslissingen: Het management moet actief betrokken zijn bij het beoordelen van leveranciersrisico’s en de eisen die de organisatie stelt aan haar toeleveringsketen.
• Incidentrespons op bestuursniveau: Bij een ernstig incident moet het management direct betrokken zijn bij de besluitvorming over communicatie, herstel en melding aan de toezichthouder.
• Registratie en toezicht: De verplichting tot registratie in het entiteitenregister van het NCSC ligt bij de organisatie als geheel, maar het bestuur draagt de verantwoordelijkheid voor tijdige en correcte naleving.

Een virtuele CISO kan het management ondersteunen bij de voorbereiding en advisering, maar vervangt de bestuurlijke besluitvorming niet. Meer over hoe een virtuele CISO-aanpak werkt, vind je op onze Continuous-Q pagina.

Hoe bereidt het management zich praktisch voor op NIS2-naleving?

Het management bereidt zich praktisch voor op NIS2-naleving door een gestructureerde aanpak te volgen die begint met bewustwording, gevolgd door een gap-analyse, beleidsvorming en aantoonbare betrokkenheid. De inwerkingtreding van de Cyberbeveiligingswet wordt verwacht in het tweede kwartaal van 2026, maar de risico’s bestaan nu al en voorbereiding loont.

Een praktische aanpak voor bestuurders omvat de volgende stappen:

1. Bepaal of uw organisatie onder de wet valt. Gebruik de NIS2 Zelfevaluatietool van RVO of de flowchart van het NCSC om te beoordelen of uw organisatie als essentiële of belangrijke entiteit wordt aangemerkt.
2. Volg een bestuurderstraining. De trainingsplicht geldt voor alle leden van het bestuur. Vanaf inwerkingtreding van de Cbw hebben bestuurders maximaal twee jaar om hieraan te voldoen. Begin hier niet te laat mee.
3. Laat een gap-analyse uitvoeren. Breng in kaart welke maatregelen al aanwezig zijn en waar de organisatie nog tekortschiet ten opzichte van de NIS2-vereisten. Dit vormt de basis voor een realistisch actieplan.
4. Stel beleid vast en documenteer dit aantoonbaar. Het bestuur moet formeel beleid vaststellen voor risicoanalyse, toegangsbeheer, cryptografie, incidentrespons en bedrijfscontinuïteit.
5. Breng de toeleveringsketen in kaart. De NIS2-zorgplicht vereist dat u inzicht heeft in de cybersecuritymaatregelen van uw leveranciers. Begin met de meest kritieke leveranciers.
6. Registreer de organisatie tijdig. Zorg dat u zich via het NCSC-portaal registreert zodra dat verplicht wordt, en houd de organisatiegegevens actueel.

Voor overheidsorganisaties geldt als extra startpunt: implementeer of versterk de BIO2. Naleving van dit normenkader dekt een groot deel van de NIS2-vereisten af en is het logische vertrekpunt voor voorbereiding. Wil je weten hoe een diepgaand cybersecurityonderzoek uw huidige situatie in kaart brengt? Dat kan een waardevolle eerste stap zijn.

Hoe Q-Cyber helpt met NIS2-naleving voor het management

Wij begrijpen dat NIS2-naleving voor veel bestuurders een complex en tijdrovend traject is, zeker wanneer de technische en beleidsmatige eisen samenkomen op bestuursniveau. Q-Cyber begeleidt organisaties door dit traject met een aanpak die zowel praktisch als onafhankelijk is.

Wat wij concreet voor uw management doen:

• Gap-analyse: Wij brengen in kaart waar uw organisatie staat ten opzichte van de NIS2-vereisten en welke stappen prioriteit hebben.
• Beleid op maat: Wij schrijven cybersecuritybeleid dat aansluit op uw specifieke risicoprofiel en voldoet aan de eisen van de Cyberbeveiligingswet.
• Bestuurderstrainingen: Wij verzorgen trainingen waarmee uw management aantoonbaar voldoet aan de trainingsplicht en in staat is om weloverwogen beslissingen te nemen.
• Virtuele CISO (Continuous-Q): Via ons team van specialisten fungeert een virtuele CISO als vaste sparringpartner voor het bestuur, zonder de kosten van een interne aanstelling.
• Onafhankelijk advies: Wij zijn niet gebonden aan softwarepartijen of leveranciers, zodat ons advies altijd in uw belang is.

De Rijksoverheid adviseert organisaties om niet te wachten totdat de wet in werking treedt. Wie nu handelt, is straks beter voorbereid en aantoonbaar compliant. Neem contact op en ontdek wat Q-Cyber voor uw organisatie kan betekenen.

Lees meer

Welke technische maatregelen eist NIS2 van jouw bedrijf?

Geplaatst op: 15 augustus 2026

De NIS2-richtlijn verplicht bedrijven en organisaties in aangewezen sectoren om concrete technische beveiligingsmaatregelen te implementeren op het gebied van toegangsbeheer, encryptie, netwerksegmentatie, patchbeheer en incidentrespons. Deze eisen gelden voor zowel essentiële als belangrijke entiteiten, maar de intensiteit van het toezicht verschilt. In dit artikel beantwoorden we de meest gestelde vragen over de NIS2 technische maatregelen die jouw organisatie moet nemen.

Welke sectoren vallen onder de technische NIS2-verplichtingen?

De NIS2-richtlijn is van toepassing op organisaties in sectoren die als kritiek worden beschouwd voor de samenleving en economie. In Nederland vallen ruim 10.000 organisaties direct onder de wet, verdeeld over twee categorieën: essentiële entiteiten en belangrijke entiteiten. De sector bepaalt in welke categorie je valt en hoe intensief het toezicht is.

Essentiële sectoren omvatten onder andere energie, transport, drinkwater, digitale infrastructuur, gezondheidszorg, bankwezen en overheid. Alle gemeenten, provincies en waterschappen worden automatisch als essentiële entiteiten aangemerkt, net als ministeries en hun agentschappen. Belangrijke entiteiten bevinden zich in sectoren zoals post- en koeriersdiensten, afvalbeheer, levensmiddelen en digitale aanbieders.

Een cruciale toevoeging die vaak over het hoofd wordt gezien: ook organisaties die aan deze groepen leveren, kunnen indirect met de NIS2 vereisten te maken krijgen. Naar schatting worden 50.000 bedrijven in de toeleveringsketen geraakt wanneer hun diensten of producten risico’s met zich meebrengen voor de primaire entiteit. Supply chain-beveiliging is dan ook expliciet onderdeel van de NIS2 technische maatregelen.

Twijfel je of jouw organisatie onder de wet valt? Via de NIS2 zelfevaluatie en de flowchart van het NCSC kun je dit zelf bepalen. Organisaties zijn zelf verantwoordelijk voor die beoordeling.

Wat zijn de verplichte technische beveiligingsmaatregelen onder NIS2?

De NIS2 beveiliging vereist dat organisaties een breed pakket aan technische maatregelen implementeren op basis van een risicogebaseerde aanpak. De wet schrijft geen specifieke producten voor, maar wel de beveiligingsdomeinen waarop je aantoonbaar actie moet ondernemen. Dit maakt de implementatie maatwerk per organisatie.

De verplichte technische domeinen onder NIS2 omvatten:

• Toegangsbeheer en authenticatie: Sterke authenticatiemechanismen, zoals meerfactorauthenticatie, en het principe van minimale rechten voor gebruikers en systemen.
• Encryptie en cryptografie: Versleuteling van data in rust en in transit, met beleid voor sleutelbeheer en cryptografische standaarden.
• Netwerksegmentatie en monitoring: Scheiding van kritieke systemen, continue monitoring van netwerkverkeer en detectie van afwijkend gedrag.
• Patchbeheer en kwetsbaarheidsbeheer: Structureel en tijdig patchen van systemen, gecombineerd met regelmatige vulnerability scans.
• Back-up en herstel: Betrouwbare back-upprocessen en aantoonbare herstelprocedures als onderdeel van bedrijfscontinuïteit.
• Supply chain-beveiliging: Beoordeling van de beveiligingspraktijken van leveranciers en contractuele verankering van beveiligingseisen.
• Beveiliging bij ontwikkeling en onderhoud: Secure coding-principes en beveiligingstests bij het ontwikkelen of aanpassen van systemen.

Naast deze technische maatregelen verplicht NIS2 ook organisatorische maatregelen, zoals beleid voor informatiebeveiliging, trainingen voor bestuurders en procedures voor incidentrespons. Techniek en beleid zijn onder NIS2 onlosmakelijk met elkaar verbonden.

Hoe verschilt NIS2 technisch van de oude NIS1-richtlijn?

NIS2 is geen kleine update van NIS1, maar een fundamentele uitbreiding in reikwijdte, diepgang en handhaving. Waar NIS1 zich beperkte tot een relatief kleine groep aanbieders van essentiële diensten met globale beveiligingseisen, stelt NIS2 expliciete technische vereisten en breidt de wet het toepassingsgebied drastisch uit.

De belangrijkste technische en structurele verschillen zijn:

• Bredere scope: NIS1 gold voor zeven sectoren; NIS2 omvat achttien sectoren en introduceert de categorie “belangrijke entiteiten” naast essentiële.
• Expliciete maatregelendomeinen: NIS1 liet organisaties grotendeels zelf bepalen welke maatregelen passend waren. NIS2 benoemt specifieke domeinen zoals cryptografie, toegangsbeheer en supply chain-beveiliging expliciet.
• Bestuurlijke verantwoordelijkheid: NIS2 legt de verantwoordelijkheid voor cyberveiligheid direct bij het bestuur neer, inclusief een trainingsplicht. Dit was onder NIS1 niet het geval.
• Strengere meldplicht: De termijnen voor incidentmelding zijn aangescherpt en gestructureerd in drie stappen: een vroegtijdige waarschuwing binnen 24 uur, een vervolgmelding binnen 72 uur en een eindverslag binnen een maand.
• Hogere boetes: De sancties zijn significant verhoogd en ook het senior management kan persoonlijk aansprakelijk worden gesteld.

Hoe voer je een NIS2-conforme risicoanalyse uit?

Een NIS2-conforme risicoanalyse begint met het in kaart brengen van alle netwerk- en informatiesystemen die jouw organisatie gebruikt voor het leveren van diensten, gevolgd door een systematische beoordeling van de dreigingen, kwetsbaarheden en mogelijke impact op de bedrijfscontinuïteit. De risicoanalyse is geen eenmalige exercitie, maar een doorlopend proces.

Praktisch gezien doorloop je de volgende stappen:

1. Inventariseer je assets: Breng alle systemen, applicaties, data en netwerkcomponenten in kaart die relevant zijn voor je dienstverlening.
2. Identificeer dreigingen en kwetsbaarheden: Gebruik dreigingsinformatie van het NCSC en voer regelmatig penetratietests en vulnerability scans uit om zwakke plekken te ontdekken.
3. Beoordeel de impact: Bepaal welke gevolgen een verstoring of inbreuk zou hebben op de continuïteit van je diensten, je klanten en eventueel de samenleving.
4. Prioriteer maatregelen: Koppel beveiligingsmaatregelen aan de geïdentificeerde risico’s en prioriteer op basis van kans en impact.
5. Documenteer en herhaal: Leg de risicoanalyse vast in beleid en herhaal het proces minimaal jaarlijks of na significante wijzigingen in systemen of dreigingslandschap.

Voor overheidsorganisaties sluit de Baseline Informatiebeveiliging Overheid 2 (BIO2) goed aan op deze risicogebaseerde benadering en vormt naleving van de BIO2 het logische startpunt voor NIS2-compliance.

Wanneer moet je een NIS2-incident melden en hoe?

Onder de NIS2 cybersecurity eisen ben je verplicht een incident te melden wanneer het de continuïteit van je dienstverlening aanzienlijk verstoort of kan verstoren. De meldplicht geldt voor significante incidenten en kent een gestructureerde drietrapsaanpak met vaste termijnen die je niet mag overschrijden.

De drie stappen van de meldprocedure zijn:

1. Vroegtijdige waarschuwing: Binnen 24 uur na ontdekking van het incident meld je een eerste signaal, ook als je nog niet alle details kent.
2. Vervolgmelding: Binnen 72 uur na de eerste melding verstrek je aanvullende informatie over de aard, omvang en impact van het incident.
3. Eindverslag: Uiterlijk één maand na de eerste melding lever je een gedetailleerde beschrijving van het incident, de ernst, de gevolgen en de genomen herstelmaatregelen.

Meldingen verlopen via het NCSC-portaal, dat ze automatisch doorstuurt naar zowel het eigen CSIRT als de toezichthouder. Dit voorkomt dat je dubbel hoeft te melden. Factoren die een incident meldingswaardig maken, zijn onder andere het aantal getroffen personen, de duur van de verstoring en de mogelijke financiële schade. De exacte drempelcriteria worden per sector uitgewerkt in ministeriële regelingen.

Een goede voorbereiding op de meldplicht begint met het inrichten van een intern incidentresponsproces. Cyber research en threat intelligence helpen daarbij om snel te kunnen beoordelen of een incident de meldingsdrempel overschrijdt.

Wat kost het niet voldoen aan de NIS2 technische eisen?

Organisaties die niet voldoen aan de NIS2 vereisten in Nederland riskeren aanzienlijke financiële sancties. Essentiële entiteiten kunnen boetes oplopen tot maximaal 10 miljoen euro of 2% van hun wereldwijde jaaromzet, waarbij het hoogste bedrag van toepassing is. Voor belangrijke entiteiten liggen de maximale boetes op 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.

Naast financiële sancties zijn er andere gevolgen die minstens zo zwaar wegen:

• Persoonlijke aansprakelijkheid van bestuurders: Senior management kan persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen. Dit maakt cybersecurity een boardroomvraagstuk, niet alleen een IT-kwestie.
• Reputatieschade: Toezichthouders kunnen besluiten om handhavingsmaatregelen openbaar te maken, wat directe gevolgen heeft voor het vertrouwen van klanten en partners.
• Operationele beperkingen: In ernstige gevallen kunnen toezichthouders tijdelijke beperkingen opleggen aan de bedrijfsvoering totdat de situatie is hersteld.
• Verhoogd risico op daadwerkelijke incidenten: Wie de technische maatregelen niet op orde heeft, is kwetsbaarder voor cyberaanvallen, met alle operationele en financiële schade van dien.

Voor overheidsorganisaties geldt overigens dat de aansprakelijkheidsbepaling voor bestuurders expliciet niet van toepassing is, maar de verantwoordelijkheid voor cyberweerbaarheid rust wel degelijk bij de politieke leiding.

Hoe Q-Cyber helpt met NIS2 technische maatregelen

Wij begeleiden organisaties door het volledige NIS2-traject, van de eerste gap-analyse tot de implementatie van technische maatregelen en de borging in beleid en processen. Onze aanpak is pragmatisch, onafhankelijk en volledig afgestemd op jouw specifieke risicoprofiel, zonder binding aan softwarepartijen of andere toeleveranciers.

Wat wij concreet voor jouw organisatie doen:

• Gap-analyse en nulmeting: We brengen in kaart waar jouw organisatie nu staat ten opzichte van de NIS2 vereisten en welke technische en organisatorische maatregelen prioriteit verdienen.
• Penetratietests en vulnerability scans: We testen actief op kwetsbaarheden in jouw netwerken, systemen en applicaties om risico’s te identificeren voordat aanvallers dat doen.
• Red team oefeningen: Via gesimuleerde aanvallen testen we hoe weerbaar jouw organisatie werkelijk is tegen realistische dreigingsscenario’s.
• Beleidsvorming en documentatie: We schrijven het benodigde informatiebeveiligingsbeleid, incidentresponsplannen en procedures die aansluiten op de NIS2 eisen.
• Bestuurderstrainingen: We verzorgen trainingen voor bestuurders en management zodat zij beveiligingsrisico’s kunnen beoordelen en weloverwogen beslissingen kunnen nemen.
• Virtuele CISO via Continuous-Q: Voor organisaties zonder eigen CISO bieden we via Continuous-Q een team van specialisten dat structureel de cybersecurityregie voert.

De Rijksoverheid adviseert organisaties om niet af te wachten totdat de wet in werking treedt. De risico’s zijn er nu al, en wie nu in actie komt, is straks beter voorbereid. Neem contact met ons op en ontdek wat wij voor jouw organisatie kunnen betekenen.

Lees meer

Hoe beveilig je persoonsgegevens van klanten?

Geplaatst op: 14 augustus 2026

Persoonsgegevens van klanten beveilig je met een combinatie van technische maatregelen, organisatorisch beleid en naleving van de AVG. Dit geldt voor elke organisatie die klantgegevens verwerkt, ongeacht de omvang. De vragen hieronder geven per thema een concreet antwoord op wat je moet weten en doen.

Welke persoonsgegevens van klanten zijn het meest kwetsbaar?

De meest kwetsbare persoonsgegevens zijn gegevens die direct schade kunnen veroorzaken als ze in verkeerde handen vallen. Denk aan financiële gegevens zoals rekeningnummers en betaalkaartinformatie, inloggegevens, gezondheidsgegevens, kopieën van identiteitsdocumenten en contactgegevens gecombineerd met aankoophistorie of gedragsprofielen.

Binnen de AVG worden bepaalde categorieën als bijzondere persoonsgegevens aangemerkt. Hieronder vallen onder andere gezondheidsgegevens, biometrische gegevens, gegevens over ras of etnische afkomst, en gegevens over politieke opvattingen. Voor deze categorieën gelden strengere verwerkingseisen en is beveiliging extra kritisch.

Maar ook ogenschijnlijk onschuldige gegevens kunnen kwetsbaar zijn in combinatie. Een naam plus e-mailadres plus wachtwoord is al genoeg voor identiteitsfraude. Hetzelfde geldt voor klantprofielen die gedragsdata combineren met persoonlijke identificatoren. Bij het bepalen van je beveiligingsstrategie is het verstandig om niet alleen te kijken naar de gevoeligheid van losse velden, maar naar de combinatie van gegevens die je verwerkt en welk risico dat oplevert als die combinatie uitlekt.

Welke maatregelen zijn verplicht onder de AVG?

De AVG verplicht organisaties om passende technische en organisatorische maatregelen te nemen om persoonsgegevens te beveiligen. Wat “passend” is, bepaal je op basis van een risicoanalyse: hoe gevoeliger de gegevens en hoe groter het risico, hoe zwaarder de maatregelen moeten zijn.

De AVG noemt een aantal concrete beveiligingsmaatregelen expliciet als richtlijn:

• Versleuteling en pseudonimisering van persoonsgegevens
• Vertrouwelijkheid, integriteit en beschikbaarheid van systemen en diensten waarborgen
• Herstelvermogen bij incidenten, zodat toegang tot gegevens snel kan worden hersteld
• Regelmatige tests van de effectiviteit van beveiligingsmaatregelen

Daarnaast verplicht de AVG organisaties tot het bijhouden van een verwerkingsregister, het aanstellen van een Functionaris voor Gegevensbescherming (FG) wanneer dat vereist is, en het uitvoeren van een gegevensbeschermingseffectbeoordeling (DPIA) bij hoog-risicoverwerkingen. Ook het principe van privacy by design is verplicht: beveiliging moet al bij het ontwerp van systemen worden meegenomen, niet achteraf.

Naast de AVG zijn er voor steeds meer organisaties aanvullende verplichtingen vanuit de NIS2-richtlijn. Deze richtlijn stelt extra eisen aan cyberrisicobeheer, incidentmelding en supply chain-beveiliging. De overlap met de AVG is groot, maar NIS2 gaat verder op het gebied van weerbaarheid en bestuurlijke verantwoordelijkheid.

Hoe beperk je toegang tot klantgegevens binnen je organisatie?

Toegang tot klantgegevens beperk je door het principe van least privilege toe te passen: medewerkers krijgen alleen toegang tot de gegevens die ze nodig hebben voor hun specifieke taak. Dit voorkomt dat een datalek of een fout van één medewerker de hele klantendatabase blootstelt.

Praktische maatregelen om toegang te beperken zijn onder andere:

• Rolgebaseerde toegangsrechten instellen per systeem en applicatie
• Multi-factorauthenticatie (MFA) verplicht stellen voor toegang tot systemen met persoonsgegevens
• Logging en monitoring van wie welke gegevens inziet of bewerkt
• Tijdelijke toegang verlenen voor externe partijen of tijdelijke medewerkers, en deze tijdig intrekken
• Scheiding van omgevingen: productiedata mag niet zomaar toegankelijk zijn in test- of ontwikkelomgevingen

Organisatorisch is het minstens zo belangrijk. Zorg voor een duidelijk toegangsbeleid, voer periodieke toegangsreviews uit en train medewerkers in bewust omgaan met klantgegevens. Menselijk gedrag is in de praktijk vaak de zwakste schakel bij datalekken, niet de techniek.

Wat moet je doen bij een datalek met persoonsgegevens?

Bij een datalek met persoonsgegevens moet je binnen 72 uur na ontdekking melding doen bij de Autoriteit Persoonsgegevens (AP), tenzij het onwaarschijnlijk is dat het lek een risico vormt voor de betrokkenen. Als het lek een hoog risico inhoudt voor de rechten en vrijheden van personen, moet je ook de betrokkenen zelf informeren.

De stappen die je direct moet zetten zijn:

1. Stel het lek vast: wat is er precies gelekt, welke gegevens en hoeveel personen zijn betrokken?
2. Beperk de schade: sluit de kwetsbaarheid, blokkeer ongeautoriseerde toegang en beveilig de betrokken systemen waar nodig.
3. Beoordeel het risico: is er een reëel risico voor betrokkenen? Denk aan identiteitsfraude, discriminatie of financiële schade.
4. Meld bij de AP: doe dit via het meldloket van de Autoriteit Persoonsgegevens, binnen de gestelde termijn van 72 uur.
5. Informeer betrokkenen: doe dit als het risico hoog is, in begrijpelijke taal en met concrete adviezen wat zij kunnen doen.
6. Documenteer het incident: ook als je besluit niet te melden, moet je het lek intern vastleggen in je datalekregister.

Een goede voorbereiding maakt dit proces veel soepeler. Organisaties die beschikken over een incident response plan en heldere interne procedures reageren aantoonbaar sneller en effectiever op datalekken dan organisaties die dit ad hoc moeten uitzoeken.

Hoe bescherm je klantgegevens in de cloud?

Klantgegevens in de cloud bescherm je door duidelijke afspraken te maken met je cloudprovider, encryptie toe te passen en toegangsbeheer strak in te richten. De AVG stelt dat je als verwerkingsverantwoordelijke altijd zelf verantwoordelijk blijft voor de beveiliging, ook als je data bij een externe partij opslaat.

Concrete maatregelen voor cloudbeveiliging van persoonsgegevens:

• Sluit een verwerkersovereenkomst af met je cloudprovider, zoals de AVG vereist
• Versleutel gegevens zowel in transit als in opslag, bij voorkeur met sleutels die jij zelf beheert
• Controleer de locatie van je data: opslag buiten de EU vereist aanvullende waarborgen
• Gebruik Identity and Access Management (IAM) om toegangsrechten in de cloud te beheren
• Schakel logging en audittrails in zodat je kunt zien wie toegang heeft gehad tot welke data
• Zet beveiligingsinstellingen actief aan: cloudproviders bieden veel beveiligingsopties die standaard uitstaan

Een veelgemaakte fout is aannemen dat de cloudprovider de beveiliging volledig regelt. In werkelijkheid werkt cloudbeveiliging volgens het shared responsibility model: de provider beveiligt de infrastructuur, maar jij bent verantwoordelijk voor de configuratie, toegangsbeheer en de data zelf. Regelmatige controle van je cloudinstellingen is daarom geen luxe maar een verplichting.

Hoe test je of de beveiliging van persoonsgegevens effectief is?

De effectiviteit van je gegevensbeveiliging test je door regelmatig technische en organisatorische controles uit te voeren. De AVG verplicht dit expliciet. Denk aan penetratietests, vulnerability scans, phishing simulaties en interne audits van toegangsrechten en verwerkingsregisters.

Een gestructureerde aanpak voor het testen van je beveiliging omvat meerdere lagen:

Technische tests

Een penetratietest simuleert een echte aanval op je systemen en laat zien welke kwetsbaarheden een aanvaller zou kunnen misbruiken om bij klantgegevens te komen. Vulnerability scans brengen bekende zwakheden in kaart in je netwerk, applicaties en cloudinfrastructuur. Phishing simulaties testen hoe medewerkers reageren op social engineering, een van de meest voorkomende manieren waarop datalekken ontstaan.

Organisatorische controles

Naast technische tests is het essentieel om ook de processen en het beleid te toetsen. Klopt je verwerkingsregister nog? Zijn toegangsrechten actueel? Weten medewerkers wat ze moeten doen bij een verdacht incident? Een interne audit of een externe beoordeling door een onafhankelijke partij geeft inzicht in de volwassenheid van je informatiebeveiligingspraktijk als geheel.

Testen is geen eenmalige actie. Dreigingen veranderen, systemen worden aangepast en medewerkers wisselen. Een continu beveiligingsprogramma zorgt ervoor dat je beveiliging meegaat met die veranderingen in plaats van er achteraan te lopen.

Hoe Q-Cyber helpt met het beveiligen van persoonsgegevens

Wij helpen organisaties om klantgegevens structureel en aantoonbaar te beschermen, van technische tests tot beleid en compliancebegeleiding. Onze aanpak is pragmatisch, onafhankelijk en volledig afgestemd op jouw specifieke risicoprofiel. Concreet bieden wij:

• Vulnerability scans en penetratietests om technische kwetsbaarheden in kaart te brengen
• Phishing simulaties om het menselijk risico binnen je organisatie te meten
• AVG en NIS2 gap-analyses om te bepalen waar jouw organisatie staat ten opzichte van de verplichtingen
• Beleid op maat: wij schrijven toegangsbeleid, datalekprocedures en privacydocumentatie die daadwerkelijk werken
• Virtuele CISO-diensten via Continuous-Q voor organisaties die structurele begeleiding nodig hebben zonder een fulltime CISO aan te nemen
• Trainingen voor medewerkers en bestuurders zodat bewustzijn en kennis op het juiste niveau zitten

Wij werken volledig onafhankelijk, zonder binding aan softwarepartijen of leveranciers. Dat betekent dat ons advies altijd in jouw belang is. Wil je weten hoe jouw organisatie er nu voor staat op het gebied van gegevensbeveiliging? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat zijn de boetes voor AVG-overtredingen?

Geplaatst op: 13 augustus 2026

AVG-boetes kunnen oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet van een organisatie, afhankelijk van welk bedrag hoger is. Dit zijn de maximale sancties voor de zwaarste overtredingen onder de Algemene Verordening Gegevensbescherming. Voor minder ernstige overtredingen geldt een lager maximum van 10 miljoen euro of 2% van de jaaromzet. In dit artikel beantwoorden we de meest gestelde vragen over AVG-boetes, van de hoogte tot de gevolgen en hoe je ze voorkomt.

Hoe hoog kunnen AVG-boetes oplopen?

AVG-boetes kennen twee boetecategorieën. De hoogste categorie bedraagt maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet per jaar, afhankelijk van welk bedrag hoger uitvalt. De lagere categorie heeft een maximum van 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor grote multinationals kan dit betekenen dat een boete in de honderden miljoenen euro’s kan oplopen.

Het is belangrijk te begrijpen dat dit maximumbedragen zijn. De Autoriteit Persoonsgegevens (AP), de Nederlandse toezichthouder, legt in de praktijk lang niet altijd het maximum op. Kleine en middelgrote organisaties krijgen doorgaans lagere boetes, maar ook voor hen kunnen de bedragen fors zijn. Zo kan een mkb-bedrijf met een jaaromzet van 5 miljoen euro bij een ernstige overtreding geconfronteerd worden met een boete van honderdduizenden euro’s.

Naast boetes beschikt de AP ook over andere handhavingsinstrumenten, zoals een last onder dwangsom, een berisping of een tijdelijk verwerkingsverbod. Niet elke overtreding leidt direct tot een geldboete. De AP kijkt eerst naar de ernst van de situatie en of een organisatie bereid is te verbeteren.

Welke overtredingen leiden tot de hoogste boetes?

De zwaarste AVG-overtredingen die leiden tot boetes in de hoogste categorie zijn overtredingen van de kernbeginselen van de verordening. Denk aan het verwerken van persoonsgegevens zonder rechtsgeldige grondslag, het schenden van de rechten van betrokkenen, het doorgeven van gegevens naar landen buiten de EU zonder adequate waarborgen, en het negeren van aanwijzingen van de toezichthouder.

De lagere boetecategorie geldt voor technische en organisatorische tekortkomingen, zoals het niet bijhouden van een verwerkingsregister, het niet tijdig melden van een datalek aan de AP, het niet aanstellen van een Functionaris voor Gegevensbescherming (FG) terwijl dat verplicht is, of het niet uitvoeren van een vereiste gegevensbeschermingseffectbeoordeling (DPIA).

In de praktijk zijn de hoogste boetes opgelegd bij grootschalige datalekken waarbij gevoelige categorieën persoonsgegevens betrokken waren, zoals gezondheidsgegevens, financiële informatie of gegevens van minderjarigen. Ook het stelselmatig negeren van verzoeken van betrokkenen om inzage of verwijdering van hun gegevens heeft in meerdere gevallen tot forse sancties geleid.

Hoe bepaalt de AP de hoogte van een boete?

De AP bepaalt de hoogte van een AVG-boete op basis van een reeks factoren die in de verordening zelf zijn vastgelegd. Er is geen vaste formule: het is een afweging van de ernst van de overtreding, de mate van nalatigheid, de omvang van de schade en de bereidheid van de organisatie om mee te werken.

De factoren die de AP meeweegt zijn onder meer:

• De aard, ernst en duur van de overtreding en het aantal getroffen betrokkenen
• De intentie of nalatigheid van de verwerkingsverantwoordelijke of verwerker
• Eerder genomen maatregelen om schade te beperken na de overtreding
• De mate van verantwoordelijkheid en de technische en organisatorische maatregelen die waren getroffen
• Eerdere overtredingen of eerder opgelegde sancties
• Medewerking met de toezichthouder tijdens het onderzoek
• De categorieën persoonsgegevens die bij de overtreding betrokken waren
• De financiële draagkracht van de organisatie

Een organisatie die proactief een datalek meldt, transparant samenwerkt met de AP en aantoonbaar maatregelen heeft getroffen, krijgt in de regel een lagere boete dan een organisatie die de overtreding probeert te verhullen of structureel nalatig is geweest. De AP publiceert haar boetebeleid en richtsnoeren, zodat organisaties inzicht hebben in hoe de afweging werkt.

Welke Nederlandse bedrijven hebben al een AVG-boete gekregen?

Meerdere Nederlandse organisaties hebben al een GDPR-boete ontvangen van de Autoriteit Persoonsgegevens. De bekendste gevallen illustreren goed welke typen overtredingen tot handhaving leiden en hoe hoog de gegevensbeschermingsboetes in Nederland in de praktijk uitvallen.

Enkele opvallende voorbeelden uit de Nederlandse handhavingspraktijk:

• Uber kreeg van de AP een boete van 10 miljoen euro voor het te lang bewaren van chauffeurgegevens en het doorgeven van gegevens naar de VS zonder adequate bescherming.
• TikTok werd beboet voor het verwerken van persoonsgegevens van kinderen zonder voldoende bescherming en een privacyverklaring die niet beschikbaar was in het Nederlands.
• Een ziekenhuis ontving een boete omdat patiëntgegevens onvoldoende waren beveiligd en medewerkers toegang hadden tot dossiers waarvoor zij geen behandelrelatie hadden.
• Een gemeente werd aangesproken op het gebruik van gezichtsherkenningssoftware zonder rechtsgeldige grondslag.

Deze voorbeelden laten zien dat de AP actief handhaaft in uiteenlopende sectoren: van tech-bedrijven tot de zorg en de overheid. De boetes variëren sterk in hoogte, maar de reputatieschade is in alle gevallen aanzienlijk. Via de regelgevingspagina lees je meer over de verplichtingen die voor jouw sector gelden.

Wat zijn de gevolgen van een AVG-overtreding naast de boete?

Een AVG-sanctie gaat zelden alleen over de geldboete. De indirecte gevolgen van een overtreding kunnen voor veel organisaties zwaarder wegen dan het boetebedrag zelf. Reputatieschade, verlies van klantvertrouwen en operationele verstoringen zijn in de praktijk minstens zo ingrijpend.

De voornaamste gevolgen naast de financiële sanctie zijn:

• Reputatieschade: De AP publiceert haar handhavingsbeslissingen. Een boete is daarmee openbaar en kan breed worden opgepikt door media, klanten en partners.
• Civiele aansprakelijkheid: Betrokkenen wier persoonsgegevens zijn geschonden, kunnen schadevergoeding eisen via de rechter. Bij grootschalige datalekken kan dit leiden tot class-action-achtige procedures.
• Verwerkingsverbod: De AP kan een tijdelijk of permanent verbod opleggen op bepaalde gegevensverwerkingen, wat de bedrijfsvoering direct kan raken.
• Verhoogd toezicht: Een organisatie die eenmaal in het vizier van de AP is gekomen, kan rekenen op intensiever toezicht in de toekomst.
• Interne kosten: Het herstelproces na een overtreding brengt aanzienlijke kosten met zich mee: juridisch advies, technische aanpassingen, communicatie naar betrokkenen en mogelijke IT-forensische onderzoeken.

Voor organisaties die ook onder de NIS2-richtlijn vallen, kan een datalek bovendien leiden tot een meldplicht bij de nationale autoriteiten en aanvullende handhaving vanuit die wetgeving. De overlap tussen AVG en NIS2 maakt het des te belangrijker om beide kaders in samenhang te beheren.

Hoe verklein je de kans op een AVG-boete?

De kans op een AVG-boete verklein je door gegevensbescherming structureel in te bedden in je organisatie, niet als eenmalig project maar als doorlopend proces. Organisaties die privacy by design toepassen, hun verwerkingen documenteren en medewerkers trainen, lopen aanzienlijk minder risico op handhaving.

Concrete stappen die het risico op een boete verlagen:

• Voer een verwerkingsregister bij en houd dit actueel. Dit is een wettelijke verplichting en biedt inzicht in welke gegevens je verwerkt en op welke grondslag.
• Stel een datalekprocedure op zodat je weet hoe je moet handelen bij een incident. Tijdige melding aan de AP (binnen 72 uur) kan een boete voorkomen of verlagen.
• Voer DPIA’s uit voor verwerkingen met een hoog privacyrisico, zoals profilering, grootschalige verwerking van gevoelige gegevens of het gebruik van nieuwe technologieën.
• Zorg voor aantoonbare toestemming wanneer je toestemming als grondslag gebruikt, en bied betrokkenen een eenvoudige manier om die toestemming in te trekken.
• Beveilig persoonsgegevens technisch en organisatorisch, onder meer via toegangsbeveiliging, encryptie en regelmatige beveiligingstests.
• Train medewerkers zodat zij weten hoe zij met persoonsgegevens moeten omgaan en wanneer zij een incident moeten melden.
• Controleer verwerkersovereenkomsten met leveranciers die namens jou persoonsgegevens verwerken.

Een periodieke beveiligingstest helpt bovendien om technische kwetsbaarheden op te sporen voordat ze leiden tot een datalek en daarmee tot een mogelijke AVG-overtreding.

Hoe Q-Cyber helpt bij AVG-compliance en het voorkomen van boetes

Wij begrijpen dat de combinatie van AVG-verplichtingen, NIS2-eisen en de dagelijkse bedrijfsvoering voor veel organisaties overweldigend kan zijn. Q-Cyber helpt je om grip te krijgen op je cybersecurity en privacypositie, zodat je niet voor verrassingen komt te staan.

Wat wij voor jouw organisatie kunnen doen:

• Gap-analyse: We brengen in kaart waar jouw organisatie staat ten opzichte van de AVG- en NIS2-vereisten en welke risico’s het meest urgent zijn.
• Beleid op maat: Onze consultants schrijven beleid dat aansluit op jouw specifieke organisatiecontext, van informatiebeveiligingsbeleid tot datalekprocedures.
• Technische beveiligingstests: Via vulnerability scans en pentests identificeren we zwakke plekken in je systemen voordat kwaadwillenden of toezichthouders dat doen.
• Bestuurderstrainingen: We verzorgen trainingen voor directie en management, zodat zij de risico’s begrijpen en weloverwogen beslissingen kunnen nemen.
• Virtuele CISO: Via ons Continuous-Q programma bieden we doorlopende begeleiding door een team van specialisten, zonder dat je een fulltime CISO in dienst hoeft te nemen.

We werken onafhankelijk, zonder binding aan softwarepartijen of leveranciers, en geven altijd pragmatisch advies dat past bij jouw situatie. Wil je weten waar jouw organisatie staat? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Hoe voer je een privacycheck uit op je website?

Geplaatst op: 12 augustus 2026

Een privacycheck uitvoeren op je website doe je door systematisch te controleren of je website voldoet aan de vereisten van de AVG (Algemene Verordening Gegevensbescherming). Dit betekent: een geldig privacybeleid, een AVG-conforme cookiebanner, correcte verwerking van persoonsgegevens en zichtbare contactinformatie voor betrokkenen. De controle is relevant voor elke websitebeheerder die persoonsgegevens verwerkt, en dat geldt voor vrijwel elke website met een contactformulier, analysetool of cookie. Hieronder beantwoorden we de meest gestelde vragen over hoe je dit concreet aanpakt.

Welke privacyrisico’s loop je als websitebeheerder?

Als websitebeheerder loop je privacyrisico’s zodra je website persoonsgegevens verzamelt of verwerkt. Dat kan gaan om namen en e-mailadressen via contactformulieren, IP-adressen via analysetools of gedragsdata via trackingcookies. Bij onzorgvuldige omgang met deze gegevens riskeer je boetes van de Autoriteit Persoonsgegevens, reputatieschade en verlies van vertrouwen bij je bezoekers.

De meest voorkomende privacyrisico’s voor websitebeheerders zijn:

• Onrechtmatige gegevensverwerking: gegevens verzamelen zonder geldige juridische grondslag, zoals toestemming of gerechtvaardigd belang.
• Ontbrekend of onvolledig privacybeleid: bezoekers niet informeren over welke gegevens je verwerkt en met welk doel.
• Niet-conforme cookiebanner: cookies plaatsen voordat de bezoeker toestemming heeft gegeven, of het weigeren van toestemming moeilijker maken dan het accepteren ervan.
• Onbeveiligde gegevensoverdracht: het versturen van persoonsgegevens naar derde partijen zonder verwerkersovereenkomst.
• Gebruik van niet-AVG-conforme tools: analysetools of advertentiepixels die data doorsturen naar servers buiten de EU zonder adequate waarborgen.

Veel van deze risico’s zijn niet direct zichtbaar, maar ze kunnen wel degelijk leiden tot handhavingsmaatregelen. De Autoriteit Persoonsgegevens kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van de ernst van de overtreding. Een proactieve privacycheck op je website helpt je deze risico’s tijdig te identificeren en te beperken.

Wat moet er verplicht op je website staan volgens de AVG?

Volgens de AVG moet je website minimaal een privacyverklaring bevatten, een cookiemelding of cookiebanner, en duidelijke contactinformatie voor privacyvragen. Daarnaast moet je bezoekers informeren over hun rechten, zoals het recht op inzage, correctie en verwijdering van hun persoonsgegevens. Zonder deze elementen voldoe je niet aan de informatieplicht uit de AVG.

Een volledige AVG website checklist voor verplichte elementen ziet er als volgt uit:

• Privacyverklaring: een toegankelijk document dat beschrijft welke persoonsgegevens je verzamelt, met welk doel, op welke juridische grondslag, hoe lang je ze bewaart en met wie je ze deelt.
• Cookiebanner: een melding die verschijnt voordat niet-functionele cookies worden geplaatst, met de mogelijkheid om toestemming te weigeren.
• Contactgegevens van de verwerkingsverantwoordelijke: naam en contactinformatie van de organisatie of persoon die verantwoordelijk is voor de gegevensverwerking.
• Contactgegevens van de Functionaris Gegevensbescherming (FG): indien van toepassing, verplicht voor bepaalde organisaties zoals overheden en grote verwerkers.
• Rechten van betrokkenen: uitleg over hoe bezoekers hun rechten kunnen uitoefenen, inclusief een contactmogelijkheid daarvoor.
• Informatie over doorgifte buiten de EU: als je gegevens deelt met partijen buiten de Europese Economische Ruimte, moet je dit vermelden, inclusief de waarborgen die je hebt getroffen.

Let op: de privacyverklaring moet actueel zijn. Als je nieuwe tools toevoegt aan je website, zoals een chatbot of een nieuw analyseplatform, moet je de verklaring bijwerken. Een verouderd privacybeleid is juridisch net zo problematisch als het ontbreken ervan.

Hoe controleer je of je cookiebanner AVG-proof is?

Een cookiebanner is AVG-proof als bezoekers een vrije, specifieke en geïnformeerde keuze kunnen maken voordat niet-functionele cookies worden geplaatst. Dit betekent dat toestemming weigeren even makkelijk moet zijn als toestemming geven, en dat er geen vooraf aangevinkte vakjes mogen zijn. Controleer ook of de banner alle cookiecategorieën duidelijk benoemt.

Gebruik de volgende criteria om je cookiebanner te beoordelen:

1. Geen cookies vóór toestemming: analysetools, advertentiecookies en trackingpixels mogen pas actief worden nadat de bezoeker expliciet toestemming heeft gegeven. Controleer dit via de browserinspector of een tool als Cookiebot Scanner.
2. Gelijkwaardige knoppen: de knop “Accepteren” en de knop “Weigeren” of “Alleen noodzakelijk” moeten visueel gelijkwaardig zijn. Een grote groene accepteerknop naast een klein grijs tekstlinkje voldoet niet.
3. Geen vooraf aangevinkte vakjes: toestemming moet actief worden gegeven. Categorieën die standaard aangevinkt staan, tellen niet als geldige toestemming.
4. Duidelijke categorieën: de banner moet onderscheid maken tussen functionele, analytische en marketingcookies, met een korte toelichting per categorie.
5. Intrekken van toestemming: bezoekers moeten hun toestemming op elk moment kunnen intrekken, net zo eenvoudig als ze die hebben gegeven. Een link naar de cookieinstellingen in de footer is hiervoor de minimale vereiste.
6. Bewijs van toestemming: je moet kunnen aantonen dat toestemming is gegeven. Gebruik een consent management platform (CMP) dat toestemmingen registreert.

Een veelgemaakte fout is dat Google Analytics actief is voordat de bezoeker de banner heeft beantwoord. Dit is een directe overtreding van de AVG, waarvoor de Autoriteit Persoonsgegevens al meerdere organisaties heeft aangesproken.

Welke tools kun je gebruiken voor een privacycheck op je website?

Voor een privacycheck op je website kun je gebruikmaken van gratis online scanners, browserextensies en gespecialiseerde audittools. De meest toegankelijke opties zijn Cookiebot, Blacklight, de Privacy Badger extensie en de ingebouwde developer tools van je browser. Elk instrument belicht een ander aspect van je privacysituatie.

Tools voor cookiescans en toestemmingsbeheer

Cookiebot Scanner is een veelgebruikte gratis tool die automatisch scant welke cookies je website plaatst, inclusief cookies van derde partijen die je misschien niet bewust hebt toegevoegd. De scanner geeft een overzicht per cookiecategorie en signaleert of er cookies worden geplaatst vóór toestemming.

Blacklight van The Markup is een Engelstalige tool die specifiek kijkt naar verborgen trackers, session recording scripts en advertentiepixels. Dit is nuttig om inzicht te krijgen in gegevensverzameling die niet altijd zichtbaar is in een standaard cookiescan.

Tools voor technische privacycontroles

Internet.nl is een Nederlandse tool van het Forum Standaardisatie waarmee je controleert of je website en e-maildomein moderne internetstandaarden ondersteunen, waaronder HTTPS, DNSSEC en DMARC. Een website zonder geldig HTTPS-certificaat biedt onvoldoende bescherming voor persoonsgegevens die via formulieren worden ingevoerd.

Google Chrome DevTools (via F12 in de browser) stelt je in staat om handmatig te controleren welke cookies worden geplaatst bij het laden van de pagina, voordat je de cookiebanner hebt beantwoord. Open het tabblad “Application” en bekijk de cookies onder “Storage”.

Voor een grondige GDPR website check is het verstandig meerdere tools te combineren, omdat geen enkele scanner een volledig beeld geeft. Een technische scan vertelt je wat er technisch gebeurt, maar beoordeelt niet of je privacybeleid juridisch volledig is. Daarvoor is een inhoudelijke review nodig.

Wanneer is een professionele privacyscan noodzakelijk?

Een professionele privacyscan is noodzakelijk als je website persoonsgegevens verwerkt op grote schaal, als je bijzondere persoonsgegevens verzamelt, als je website onderdeel is van een kritieke dienst, of als je al een waarschuwing of klacht van de Autoriteit Persoonsgegevens hebt ontvangen. Ook bij grote technische wijzigingen aan je website is een professionele controle verstandig.

Concrete situaties waarin een gratis selfcheck niet volstaat:

• Je verwerkt medische gegevens, financiële informatie of gegevens van minderjarigen.
• Je website maakt gebruik van profilering of geautomatiseerde besluitvorming.
• Je organisatie valt onder de NIS2-richtlijn of andere sectorale regelgeving met aanvullende beveiligingseisen.
• Je hebt een verwerkersovereenkomst nodig maar weet niet zeker of je huidige overeenkomsten compleet zijn.
• Je wil een Data Protection Impact Assessment (DPIA) laten uitvoeren voor een nieuwe verwerkingsactiviteit.
• Je organisatie is gegroeid en je privacydocumentatie is niet meer actueel.

Een professionele privacyscan gaat verder dan technische tools: een specialist beoordeelt ook de juridische grondslag van je verwerkingen, de volledigheid van je verwerkersregister en de kwaliteit van je interne procedures. Dat is iets wat geautomatiseerde tools niet kunnen doen. Via een technische beveiligingstest kun je bovendien inzicht krijgen in kwetsbaarheden die de vertrouwelijkheid van persoonsgegevens in gevaar brengen, los van de AVG-compliance.

Hoe Q-Cyber helpt met de privacycheck van je website

Een privacycheck op je website is meer dan een technische exercitie. Het gaat om de combinatie van juridische naleving, technische beveiliging en organisatorische inbedding. Precies die combinatie is waar wij ons in onderscheiden.

Wat wij voor je kunnen doen:

• Technische scan van je website: we brengen in kaart welke cookies, trackers en derde partijen actief zijn op je website en of dit in lijn is met je cookiebanner en privacyverklaring.
• AVG-compliance review: we beoordelen je privacybeleid, cookiebanner en verwerkersovereenkomsten op volledigheid en juridische houdbaarheid.
• Advies op maat: we geven concrete, pragmatische aanbevelingen die aansluiten bij de grootte en het risicoprofiel van jouw organisatie, zonder onnodige complexiteit.
• Begeleiding bij NIS2 en sectorale regelgeving: als jouw organisatie ook onder de NIS2-richtlijn valt, integreren we de privacycheck in een breder cybersecurity- en compliancetraject.
• Onafhankelijk advies: we zijn niet gebonden aan softwarepartijen of toolingvendors. Onze aanbevelingen zijn altijd in jouw belang.

Wil je weten of jouw website AVG-proof is en waar de risico’s zitten? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer