Wat is privacy by default?

Geplaatst op: 11 augustus 2026

Privacy by default betekent dat een systeem, dienst of applicatie standaard de meest privacyvriendelijke instellingen gebruikt, zonder dat de gebruiker daar zelf iets voor hoeft te doen. Het principe is vastgelegd in artikel 25 van de AVG en geldt voor elke organisatie die persoonsgegevens verwerkt. In dit artikel beantwoorden we de meest gestelde vragen over privacy by default, van het verschil met privacy by design tot de concrete stappen voor implementatie.

Hoe verschilt privacy by default van privacy by design?

Privacy by design en privacy by default zijn twee verwante maar verschillende principes uit de AVG. Privacy by design betekent dat gegevensbescherming al tijdens het ontwerp van een systeem of proces wordt ingebouwd. Privacy by default gaat een stap verder: het vereist dat de standaardinstellingen van dat systeem automatisch de meest privacyvriendelijke keuze maken, zonder actie van de gebruiker.

Een handige manier om het onderscheid te onthouden: privacy by design gaat over hoe je iets bouwt, privacy by default gaat over hoe het werkt zodra het in gebruik is. Beide principes staan samen in artikel 25 van de AVG en vullen elkaar aan. Je kunt een systeem privacyvriendelijk ontwerpen, maar als de standaardinstellingen vervolgens maximale gegevensdeling toestaan, voldoe je nog steeds niet aan de wet.

Concreet betekent privacy by default dat je bij het verzamelen van persoonsgegevens standaard alleen de gegevens verwerkt die strikt noodzakelijk zijn voor het doel. Denk aan een registratieformulier dat standaard geen optionele velden invult, of een app die locatietoegang standaard uitgeschakeld heeft. De gebruiker moet actief kiezen voor meer gegevensdeling, niet voor minder. Dit sluit direct aan op het principe van dataminimalisatie dat ook in bredere privacywetgeving centraal staat.

Welke eisen stelt de AVG aan privacy by default?

De AVG verplicht organisaties om technische en organisatorische maatregelen te nemen die waarborgen dat standaard alleen de persoonsgegevens worden verwerkt die noodzakelijk zijn voor het specifieke verwerkingsdoel. Dit omvat de hoeveelheid gegevens, de mate van verwerking, de bewaartermijn en de toegankelijkheid van de gegevens.

Artikel 25 lid 2 van de AVG beschrijft vier concrete dimensies waarop privacy by default van toepassing is:

• Hoeveelheid gegevens: Verwerk alleen de gegevens die echt nodig zijn, niet meer.
• Omvang van de verwerking: Beperk het gebruik van gegevens tot het specifieke doel waarvoor ze zijn verzameld.
• Bewaartermijn: Bewaar persoonsgegevens niet langer dan noodzakelijk voor het doel.
• Toegankelijkheid: Zorg dat gegevens standaard niet toegankelijk zijn voor een onbepaald aantal personen.

De AVG schrijft niet voor welke technische oplossing je moet gebruiken. De wet stelt een resultaatverplichting: de standaardinstellingen moeten privacyvriendelijk zijn. Hoe je dat bereikt, mag je als organisatie zelf bepalen, zolang je keuzes proportioneel zijn en je ze kunt verantwoorden. De Autoriteit Persoonsgegevens kan vragen om bewijs dat je aan deze verplichting voldoet, dus documentatie is essentieel.

Wat zijn praktische voorbeelden van privacy by default?

Privacy by default is geen abstract concept, maar een principe dat direct zichtbaar is in de dagelijkse digitale omgeving. Praktische toepassingen zijn onder andere: standaard uitgeschakelde marketingcookies, een opt-in in plaats van opt-out voor nieuwsbrieven, en beperkte zichtbaarheid van profielgegevens op sociale platforms totdat een gebruiker actief kiest voor meer openheid.

Hieronder een aantal concrete voorbeelden per context:

• Websites en apps: Cookiebanners tonen standaard alleen functionele cookies als aangevinkt. Analytische en marketingcookies staan standaard uit.
• Sociale media: Een nieuw account is standaard privé, niet openbaar. Gebruikers moeten actief kiezen voor een publiek profiel.
• HR-systemen: Medewerkersdossiers zijn standaard alleen toegankelijk voor de directe leidinggevende en HR, niet voor de hele organisatie.
• E-mailmarketing: Een aanmeldformulier heeft standaard geen vinkje bij “Ik wil aanbiedingen ontvangen”. De gebruiker moet dit zelf aanvinken.
• Clouddiensten: Gedeelde mappen zijn standaard privé en worden pas gedeeld na een bewuste actie van de gebruiker.

Wat al deze voorbeelden gemeen hebben, is het principe van actieve toestemming voor meer, in plaats van actief bezwaar voor minder. De gebruiker hoeft niets te doen om zijn privacy te beschermen. Dat is precies de kern van privacy by default.

Wat gebeurt er als een organisatie privacy by default niet naleeft?

Als een organisatie niet voldoet aan de verplichting van privacy by default, kan de Autoriteit Persoonsgegevens (AP) handhavend optreden. Dit kan leiden tot een boete van maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Naast financiële sancties zijn er ook reputatierisico’s en mogelijke claims van betrokkenen.

De AP heeft de bevoegdheid om onderzoek in te stellen naar aanleiding van klachten van gebruikers of op eigen initiatief. In de praktijk zijn overtredingen van artikel 25 regelmatig onderdeel van bredere AVG-onderzoeken. Denk aan situaties waarbij een organisatie standaard meer gegevens deelt dan nodig, of waarbij toestemming vooraf aangevinkt staat in een formulier.

Naast boetes kan de toezichthouder ook andere maatregelen opleggen, zoals een verwerkingsverbod of de verplichting om systemen aan te passen. Voor organisaties die ook onder de NIS2-richtlijn vallen, is het risico extra groot: gebrekkige gegevensbescherming kan samenvallen met bredere tekortkomingen in informatiebeveiliging, wat de kans op gecombineerde handhaving vergroot.

Hoe implementeert een organisatie privacy by default stap voor stap?

Een organisatie implementeert privacy by default door systematisch te inventariseren welke gegevens worden verwerkt, welke standaardinstellingen daarbij horen, en of die instellingen de meest privacyvriendelijke optie bieden. Dit is een doorlopend proces, geen eenmalige actie.

Volg deze stappen voor een gestructureerde implementatie:

1. Breng verwerkingen in kaart: Maak een register van alle processen waarbij persoonsgegevens worden verwerkt. Dit is ook een AVG-verplichting op zichzelf.
2. Analyseer de standaardinstellingen: Controleer per systeem, formulier en applicatie wat de standaardinstelling is. Worden er meer gegevens verwerkt dan strikt noodzakelijk?
3. Pas de standaardinstellingen aan: Stel systemen zo in dat ze standaard minimale gegevens verwerken. Voeg geen vooraf aangevinkte vakjes toe en beperk toegangsrechten tot wat noodzakelijk is.
4. Documenteer je keuzes: Leg vast waarom bepaalde instellingen als privacyvriendelijk worden beschouwd. Dit is je bewijs bij een eventuele controle door de AP.
5. Betrek ontwikkelaars en leveranciers: Privacy by default moet ook in inkoopcontracten worden geborgd. Vraag leveranciers aantoonbaar aan te tonen dat hun producten aan artikel 25 voldoen.
6. Evalueer regelmatig: Systemen veranderen, nieuwe functionaliteiten worden toegevoegd. Plan periodieke reviews om te controleren of de standaardinstellingen nog steeds privacyvriendelijk zijn.

Een Data Protection Impact Assessment (DPIA) kan helpen bij stap twee en drie. Hiermee breng je risico’s voor betrokkenen in kaart en onderbouw je de keuzes die je maakt. Voor organisaties die ook werken met gevoelige persoonsgegevens of grootschalige verwerkingen uitvoeren, is een DPIA in veel gevallen zelfs verplicht.

Hoe Q-Cyber helpt met privacy by default

Privacy by default correct implementeren vraagt om kennis van zowel de technische kant als de juridische en beleidsmatige eisen. Wij bij Q-Cyber combineren precies die twee werelden. We helpen organisaties niet alleen begrijpen wat de AVG vereist, maar ook hoe je dat concreet vertaalt naar systemen, processen en beleid.

Wat we voor jouw organisatie kunnen doen:

• Een gap-analyse uitvoeren om te bepalen waar je huidige standaardinstellingen niet voldoen aan artikel 25 AVG
• Beleid schrijven rondom gegevensbescherming, dataminimalisatie en toegangsbeveiliging dat aansluit op jouw organisatie
• Trainingen verzorgen voor medewerkers en bestuurders over privacywetgeving en de praktische toepassing ervan
• Ondersteuning bieden bij NIS2-compliance, waarbij privacy en informatiebeveiliging hand in hand gaan
• Als virtuele CISO structureel meekijken en adviseren, ook op het gebied van gegevensbescherming

We werken onafhankelijk, zonder binding aan softwarepartijen of andere leveranciers. Dat betekent dat ons advies altijd in jouw belang is. Wil je weten waar jouw organisatie staat op het gebied van privacy by default? Neem contact met ons op en we kijken samen naar de volgende stap.

Lees meer

Wat is privacy by design?

Geplaatst op: 10 augustus 2026

Privacy by design is een benadering waarbij gegevensbescherming vanaf het allereerste begin wordt ingebouwd in systemen, processen en producten, in plaats van achteraf als laagje erbovenop te worden geplakt. Het principe stelt dat privacy geen bijzaak is, maar een fundamenteel onderdeel van het ontwerp. Onder de Algemene Verordening Gegevensbescherming (AVG) is privacy by design voor veel organisaties bovendien een wettelijke verplichting. In dit artikel beantwoorden we de meest gestelde vragen over privacy by design: van de oorsprong en de zeven principes tot praktische toepassing en implementatie.

Waar komen de principes van privacy by design vandaan?

De principes van privacy by design zijn ontwikkeld door de Canadese privacytoezichthouder Ann Cavoukian in de jaren negentig van de vorige eeuw. Cavoukian formuleerde het concept als reactie op de toenemende digitalisering en de groeiende hoeveelheid persoonsgegevens die systemen verzamelden. Haar kerngedachte was simpel maar krachtig: wacht niet tot er een privacyprobleem ontstaat, maar voorkom het door privacy in te bouwen in het ontwerp zelf.

Het concept won wereldwijd erkenning en werd in 2010 door de internationale privacytoezichthouders officieel erkend als wereldstandaard. Met de introductie van de AVG in 2018 kregen de principes van privacy by design een wettelijke verankering in Europa. Artikel 25 van de AVG verplicht verwerkingsverantwoordelijken uitdrukkelijk om gegevensbeschermingsmaatregelen al in de ontwerpfase te integreren. Daarmee transformeerde privacy by design van een best practice naar een juridische eis.

Wat zijn de 7 principes van privacy by design?

De zeven privacy by design-principes beschrijven samen hoe organisaties privacy structureel kunnen verankeren in hun systemen en processen. Ze vormen een samenhangend raamwerk dat zowel technische als organisatorische maatregelen omvat. Elk principe versterkt de anderen en samen bieden ze een holistisch beeld van wat gegevensbescherming by design in de praktijk betekent.

• Proactief, niet reactief: Problemen worden voorkomen voordat ze ontstaan. Privacy wordt niet achteraf gerepareerd, maar van tevoren ingecalculeerd.
• Privacy als standaardinstelling: Zonder actieve keuze van de gebruiker worden persoonsgegevens automatisch beschermd. Dit sluit nauw aan bij het concept van privacy by default.
• Privacy ingebouwd in het ontwerp: Gegevensbescherming is geen toevoeging, maar een integraal onderdeel van de architectuur van een systeem of proces.
• Volledige functionaliteit: Privacy en functionaliteit sluiten elkaar niet uit. Het gaat om een win-winsituatie, niet om een compromis.
• End-to-end beveiliging: Gegevens worden beschermd gedurende de gehele levenscyclus, van verzameling tot verwijdering.
• Zichtbaarheid en transparantie: Alle betrokken partijen kunnen verifiëren dat het systeem werkt zoals beloofd. Er is geen verborgen agenda.
• Respect voor de gebruiker: De belangen van de betrokkene staan centraal. Gebruikers krijgen sterke privacystandaarden en begrijpelijke informatie.

Wat is het verschil tussen privacy by design en privacy by default?

Privacy by design gaat over hoe een systeem of product is gebouwd, terwijl privacy by default gaat over hoe een systeem standaard is ingesteld. Het onderscheid is subtiel maar belangrijk: by design is de architecturale keuze, by default is de operationele uitkomst van die keuze voor de eindgebruiker.

Een concreet voorbeeld maakt het verschil duidelijk. Stel dat een organisatie een nieuw klantportaal ontwikkelt. Privacy by design betekent dat de ontwikkelaars al bij het bouwen rekening houden met dataminimalisatie, encryptie en toegangsbeperking. Privacy by default betekent dat wanneer een gebruiker zich aanmeldt, alleen de strikt noodzakelijke gegevens worden verwerkt, zonder dat de gebruiker daar iets voor hoeft te doen of in te stellen.

In de AVG worden beide concepten in hetzelfde artikel behandeld, artikel 25, maar ze hebben elk hun eigen verplichting. Privacy by design verplicht organisaties om technische en organisatorische maatregelen te treffen bij het ontwerpen van verwerkingsprocessen. Privacy by default verplicht hen ervoor te zorgen dat standaard alleen de persoonsgegevens worden verwerkt die noodzakelijk zijn voor het specifieke doel. Beide zijn dus complementair: een goed ontworpen systeem zonder privacyvriendelijke standaardinstellingen schiet tekort, en andersom.

Wat zijn praktische voorbeelden van privacy by design?

Praktische voorbeelden van privacy by design zijn te vinden in vrijwel elke sector waar persoonsgegevens worden verwerkt. De kern is steeds hetzelfde: privacybeschermende keuzes worden gemaakt tijdens de ontwikkeling, niet erna.

In softwareontwikkeling betekent privacy by design dat een applicatie alleen de gegevens vraagt die echt nodig zijn. Een bezorgapp die enkel een adres nodig heeft, vraagt niet om toegang tot contacten of locatiegeschiedenis. In de gezondheidszorg wordt patiëntinformatie standaard gepseudonimiseerd voordat deze wordt gedeeld met onderzoekers. In HR-systemen worden toegangsrechten zo ingericht dat medewerkers alleen de gegevens zien die relevant zijn voor hun functie.

Andere herkenbare voorbeelden zijn:

• Cookiebanners die standaard alle niet-essentiële cookies uitschakelen
• E-mailmarketingsystemen die automatisch uitschrijfopties prominent tonen
• Databases die verouderde klantgegevens automatisch verwijderen na een ingestelde bewaartermijn
• Formulieren op websites die geen onnodige velden bevatten
• Interne systemen die bij het aanmaken van een account standaard de minimale hoeveelheid gegevens opvragen

Wanneer ben je als organisatie verplicht privacy by design toe te passen?

Organisaties zijn verplicht privacy by design toe te passen zodra zij persoonsgegevens verwerken en onder de AVG vallen. Dat geldt voor vrijwel elke organisatie die in Europa actief is of gegevens verwerkt van Europese burgers. De verplichting geldt specifiek bij het ontwerpen van nieuwe systemen, processen of producten waarbij persoonsgegevens een rol spelen.

De AVG stelt in artikel 25 dat de verplichting ingaat op het moment dat de middelen voor verwerking worden bepaald, dus al in de ontwerpfase. Dit betekent dat organisaties niet kunnen wachten tot een systeem live gaat. De privacymaatregelen moeten al zijn ingebouwd voordat de eerste gebruiker het systeem in handen krijgt.

Bijzondere aandacht is vereist bij:

• De ontwikkeling van nieuwe software of applicaties
• Het opzetten van nieuwe bedrijfsprocessen waarbij persoonsgegevens worden verwerkt
• Het inschakelen van nieuwe leveranciers of verwerkers
• Grootschalige verwerking van bijzondere categorieën persoonsgegevens, zoals gezondheidsgegevens
• Situaties waarbij een gegevensbeschermingseffectbeoordeling (DPIA) verplicht is

De toezichthouder, in Nederland de Autoriteit Persoonsgegevens, kan handhaven als een organisatie aantoonbaar heeft nagelaten privacy by design te implementeren. De sancties kunnen oplopen tot aanzienlijke boetes.

Hoe begin je met het implementeren van privacy by design?

Beginnen met de implementatie van privacy by design vraagt om een gestructureerde aanpak waarbij privacy een vaste plek krijgt in bestaande werkprocessen. De eerste stap is bewustwording: zorg dat iedereen die betrokken is bij het ontwerpen van systemen en processen begrijpt wat privacy by design inhoudt en waarom het verplicht is.

Een praktische aanpak bestaat uit de volgende stappen:

1. Breng verwerkingen in kaart: Maak een register van verwerkingsactiviteiten en identificeer welke systemen en processen persoonsgegevens verwerken.
2. Voer een DPIA uit: Bij hoog-risicoprocessen is een gegevensbeschermingseffectbeoordeling verplicht. Dit instrument dwingt je om privacyrisico’s systematisch te analyseren.
3. Stel dataminimalisatie als norm: Vraag bij elk nieuw systeem of proces: welke gegevens zijn echt noodzakelijk? Alles wat niet noodzakelijk is, wordt niet verzameld.
4. Integreer privacy in het ontwikkelproces: Voeg privacychecks toe aan bestaande ontwikkelmethoden, zoals sprints of ontwerpreviews. Privacy wordt zo een vast agendapunt, geen bijzaak.
5. Stel standaardinstellingen in: Zorg dat systemen standaard de meest privacyvriendelijke instelling hanteren, in lijn met het principe van privacy by default.
6. Documenteer keuzes: Leg vast welke privacymaatregelen zijn genomen en waarom. Dit is niet alleen goed voor de interne verantwoording, maar ook noodzakelijk bij toezicht.

Privacy by design is geen eenmalig project maar een doorlopende verantwoordelijkheid. Naarmate systemen evolueren en nieuwe verwerkingen worden geïntroduceerd, moeten privacyoverwegingen steeds opnieuw worden meegenomen.

Hoe Q-Cyber helpt met privacy by design

Privacy by design implementeren is eenvoudiger gezegd dan gedaan. Het vraagt om technische kennis, beleidsmatig inzicht en een pragmatische aanpak die past bij de specifieke situatie van jouw organisatie. Wij ondersteunen organisaties bij elke stap van dit traject, van de eerste analyse tot concrete beleidsvorming en begeleiding bij implementatie.

Wat wij voor jouw organisatie kunnen doen:

• Een grondige analyse van bestaande verwerkingen en systemen om privacyrisico’s in kaart te brengen
• Het opstellen of verbeteren van privacybeleid dat aansluit op de AVG-vereisten, inclusief privacy by design en privacy by default
• Begeleiding bij het uitvoeren van DPIA’s voor hoog-risicoverwerkingen
• Trainingen voor medewerkers en bestuurders die betrokken zijn bij systeemontwikkeling en gegevensverwerking
• Onafhankelijk advies over technische en organisatorische maatregelen, zonder binding aan softwareleveranciers
• Ondersteuning bij bredere compliance trajecten, waaronder NIS2-regelgeving

Wil je weten hoe jouw organisatie er nu voor staat op het gebied van gegevensbescherming by design? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Kan een bestuurder persoonlijk aansprakelijk zijn onder NIS2?

Geplaatst op: 9 augustus 2026

Ja, een bestuurder kan onder NIS2 persoonlijk aansprakelijk worden gesteld, maar alleen bij aantoonbare nalatigheid of het structureel negeren van de zorgplicht. De NIS2-richtlijn legt de eindverantwoordelijkheid voor cyberbeveiliging expliciet bij het bestuur neer, wat van cybersecurity een boardroomonderwerp maakt. Hieronder beantwoorden we de meest gestelde vragen over NIS2-bestuurdersaansprakelijkheid, van de wettelijke basis tot concrete stappen om risico’s te beperken.

Wat zegt NIS2 precies over de rol van bestuurders?

NIS2 verplicht bestuurders om actief verantwoordelijkheid te nemen voor de cyberbeveiliging van hun organisatie. Zij moeten beveiligingsmaatregelen goedkeuren, toezicht houden op de uitvoering ervan en voldoende kennis hebben om weloverwogen beslissingen te nemen over risico’s en maatregelen. Cybersecurity is daarmee geen delegeerbare technische taak meer, maar een bestuurlijke kerntaak.

In de Nederlandse vertaling van NIS2, de Cyberbeveiligingswet (Cbw), wordt dit concreet uitgewerkt. Bestuurders zijn verantwoordelijk voor beslissingen over netwerk- en informatiebeveiliging en moeten in staat zijn beveiligingsrisico’s te herkennen, maatregelen te beoordelen en de gevolgen van die risico’s voor de organisatie te overzien. Dit vereist actieve betrokkenheid, niet slechts een handtekening onder een beleidsdocument.

Voor overheidsorganisaties is als “bestuur” in de zin van de Cbw de politieke leiding aangewezen: ministers, wethouders en gedeputeerde staten. Dit sluit aan bij bestaande wetgeving zoals de Gemeentewet. Bij private organisaties valt het bestuur samen met de directie of het management dat formeel bevoegd is namens de organisatie te handelen.

Naast de verantwoordelijkheid voor beleid en uitvoering geldt er ook een expliciete trainingsplicht. Alle leden van het bestuur zijn verplicht een training te volgen die hen in staat stelt beveiligingsrisico’s te identificeren, risicobeheersmaatregelen te beoordelen en de gevolgen van die risico’s voor de organisatie in te schatten. Bestuurders hebben maximaal twee jaar na inwerkingtreding van de Cbw om aan deze verplichting te voldoen.

Wanneer kan een bestuurder persoonlijk aansprakelijk worden gesteld?

Een bestuurder kan persoonlijk aansprakelijk worden gesteld wanneer er sprake is van grove nalatigheid bij het nakomen van de NIS2-zorgplicht. Dit betekent dat een bestuurder bewust of ernstig verwijtbaar tekortschiet in zijn of haar verantwoordelijkheid om adequate cyberbeveiligingsmaatregelen te treffen of te handhaven. Normale fouten of incidenten waarbij aantoonbaar wel zorgvuldig is gehandeld, leiden in principe niet tot persoonlijke aansprakelijkheid.

Belangrijk is dat de Cbw geen nieuwe aansprakelijkheden introduceert buiten wat al bestond in het Nederlandse recht. Bestuurders konden al aansprakelijk worden gesteld bij grove nalatigheid. NIS2 versterkt dit echter door de zorgplicht expliciet te benoemen en toezichthouders de bevoegdheid te geven om te handhaven wanneer bestuurders aantoonbaar hebben nagelaten te handelen.

Concrete situaties die tot persoonlijke aansprakelijkheid kunnen leiden, zijn onder meer:

• Het structureel negeren van bekende beveiligingsrisico’s ondanks herhaalde waarschuwingen
• Het weigeren van budgetten of middelen voor wettelijk vereiste beveiligingsmaatregelen zonder deugdelijke onderbouwing
• Het niet naleven van de meldplicht bij ernstige incidenten
• Het aantoonbaar niet volgen van de verplichte bestuurderstraining
• Het ontbreken van enig beleid of enige governance rondom informatiebeveiliging

Voor overheidsinstanties geldt een uitzondering: de NIS2-bepaling over persoonlijke aansprakelijkheid van bestuurders bij niet-naleving is uitdrukkelijk niet van toepassing op overheidsorganisaties. Daar blijft aansprakelijkheid beperkt tot wat al gold onder bestaande wetgeving.

Welke sancties en boetes riskeert een bestuurder onder NIS2?

Onder NIS2 kunnen organisaties boetes oplopen tot maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Dit geldt voor essentiële entiteiten. Voor belangrijke entiteiten liggen de maximale boetes op 7 miljoen euro of 1,4% van de wereldwijde jaaromzet. Bovenop organisatieboetes kan de toezichthouder ook een bestuurder persoonlijk aanpakken.

De sanctiemogelijkheden voor toezichthouders zijn breed. Naast financiële boetes kunnen zij:

• Waarschuwingen en bindende aanwijzingen opleggen
• Eisen dat specifieke maatregelen binnen een bepaalde termijn worden getroffen
• Bij herhaalde of ernstige overtredingen een tijdelijk verbod opleggen aan een bestuurder om leidinggevende functies te vervullen
• Publiekelijk bekendmaken dat een organisatie de regels overtreedt

Het tijdelijk verbod om leidinggevende functies te vervullen is de meest ingrijpende maatregel die direct de bestuurder als persoon raakt. Deze maatregel is bedoeld voor situaties van aanhoudende, ernstige niet-naleving waarbij de bestuurder aantoonbaar verantwoordelijk is. Dit maakt NIS2-directieverantwoordelijkheid tot meer dan een papieren verplichting.

In Nederland wordt de inwerkingtreding van de Cyberbeveiligingswet verwacht in Q2 2026. Tot die tijd geldt de huidige Wet beveiliging netwerk- en informatiesystemen (Wbni), maar organisaties doen er verstandig aan zich nu al voor te bereiden, omdat de risico’s er nu al zijn.

Wat is het verschil tussen aansprakelijkheid bij essentiële en belangrijke entiteiten?

Het onderscheid tussen essentiële en belangrijke entiteiten bepaalt hoe streng het toezicht is en hoe hoog de maximale boetes uitvallen. Essentiële entiteiten vallen onder proactief toezicht en riskeren hogere boetes. Belangrijke entiteiten worden reactief gecontroleerd, doorgaans pas nadat er een incident of klacht is, en de maximale sancties liggen lager. De bestuurlijke verantwoordelijkheid is in beide gevallen gelijkwaardig.

Essentiële entiteiten

Essentiële entiteiten zijn organisaties in sectoren die als kritiek worden beschouwd voor de samenleving, zoals energie, transport, drinkwater, digitale infrastructuur en de financiële sector. Alle overheidslagen (ministeries, provincies, gemeenten, waterschappen) worden automatisch als essentiële entiteit aangemerkt. Voor hen geldt actief toezicht: toezichthouders kunnen op eigen initiatief controles uitvoeren, ook zonder dat er een incident heeft plaatsgevonden. De maximale boete bedraagt 10 miljoen euro of 2% van de wereldwijde jaaromzet.

Belangrijke entiteiten

Belangrijke entiteiten vallen in sectoren die relevant zijn maar minder direct kritiek zijn, zoals post- en koeriersdiensten, afvalverwerking en bepaalde digitale dienstverleners. Het toezicht is reactief: toezichthouders treden pas op na een melding, incident of aanwijzing van niet-naleving. De maximale boete ligt op 7 miljoen euro of 1,4% van de wereldwijde jaaromzet. De zorgplicht en de bestuurlijke trainingsplicht gelden echter ook voor deze categorie volledig.

Voor bestuurders van beide categorieën geldt dat de persoonlijke aansprakelijkheid in de kern hetzelfde werkt: grove nalatigheid kan leiden tot sancties. Het verschil zit vooral in de kans dat niet-naleving wordt ontdekt, omdat essentiële entiteiten veel frequenter worden gecontroleerd.

Hoe kunnen bestuurders aantonen dat zij aan hun zorgplicht voldoen?

Bestuurders tonen naleving van de NIS2-zorgplicht aan door te kunnen bewijzen dat zij actief betrokken zijn bij het cyberbeveiligingsbeleid van de organisatie, dat zij de verplichte training hebben gevolgd en dat er aantoonbare maatregelen zijn getroffen op basis van een risicoanalyse. Documentatie en governance zijn daarbij de sleutelwoorden.

Concreet betekent dit dat bestuurders het volgende op orde moeten hebben:

• Aantoonbare training: Deelname aan een bestuurderstraining die de drie wettelijke leerdoelen dekt: risicoherkenning, beoordeling van maatregelen en impactbeoordeling. Er worden geen eisen gesteld aan de opleider, zodat de training op de eigen context kan worden afgestemd.
• Goedgekeurd beveiligingsbeleid: Formele goedkeuring door het bestuur van het informatiebeveiligingsbeleid, inclusief de risicoanalyse die eraan ten grondslag ligt.
• Aantoonbaar toezicht: Verslaglegging van bestuursvergaderingen waaruit blijkt dat cybersecurity periodiek op de agenda staat en dat beslissingen worden genomen op basis van actuele risico-informatie.
• Naleving van de meldplicht: Ingerichte processen voor het tijdig melden van incidenten bij de bevoegde autoriteiten, inclusief de eerste melding binnen 24 uur en een eindverslag uiterlijk een maand na het incident.
• Supply chain-beheer: Inzicht in de cyberbeveiligingsmaatregelen van leveranciers, zoals vereist door de NIS2-zorgplicht.

Voor overheidsorganisaties biedt de Baseline Informatiebeveiliging Overheid 2 (BIO2) een praktisch kader dat grotendeels invulling geeft aan de NIS2-zorgplicht. De NIS2 Zelfevaluatietool en de BIO Self Assessment helpen bij het bepalen waar de organisatie staat. De Handreiking “De bestuurder aan zet” biedt een praktisch startpunt voor bestuurders die hun rol willen invullen. Voor technische toetsing van de beveiligingsmaatregelen is het verstandig ook periodiek onafhankelijk te laten beoordelen of de genomen maatregelen in de praktijk effectief zijn.

Het bijhouden van een actueel risicoregister, het documenteren van beslissingen en het aantonen van continue verbetering zijn de meest overtuigende bewijzen dat een bestuurder de zorgplicht serieus neemt. Een toezichthouder die ziet dat een organisatie bewust en structureel werkt aan haar cyberweerbaarheid, heeft weinig grond om persoonlijke aansprakelijkheid te claimen.

Hoe Q-Cyber helpt met NIS2-compliance voor bestuurders

NIS2-bestuurdersaansprakelijkheid is geen abstracte juridische kwestie, maar een concreet risico dat vraagt om concrete actie. Wij helpen organisaties en hun bestuurders om die verantwoordelijkheid op een praktische en effectieve manier in te vullen, zonder onnodige complexiteit.

Wat wij voor uw organisatie kunnen doen:

• Gap-analyse: We brengen in kaart waar uw organisatie staat ten opzichte van de NIS2-vereisten en waar de grootste risico’s liggen voor bestuurders.
• Beleid op maat: We schrijven informatiebeveiligingsbeleid dat aansluit op uw organisatie en voldoet aan de wettelijke eisen, inclusief de documentatie die toezichthouders verwachten.
• Bestuurderstrainingen: We verzorgen trainingen die de drie wettelijke leerdoelen dekken en zijn afgestemd op uw sector en organisatiegrootte.
• Virtuele CISO via Continuous-Q: Onze vCISO-dienst biedt doorlopende begeleiding en advies, zodat cybersecurity structureel is geborgd in uw bestuurlijke processen.
• Onafhankelijk advies: We zijn niet gebonden aan softwarepartijen of leveranciers, wat betekent dat ons advies altijd in uw belang is.

Wacht niet totdat de Cyberbeveiligingswet formeel in werking treedt. De risico’s zijn er nu al, en bestuurders die nu handelen, staan straks een stuk sterker. Neem contact met ons op en ontdek hoe we uw organisatie kunnen helpen.

Lees meer

Hoe helpt Microsoft 365 bij NIS2-compliance?

Geplaatst op: 8 augustus 2026

Microsoft 365 is voor veel organisaties het kloppende hart van de dagelijkse bedrijfsvoering. E-mail, samenwerking, documentbeheer en communicatie lopen allemaal via dit platform. Dat maakt het ook een logisch vertrekpunt voor NIS2-compliance: een groot deel van de technische beveiligingsmaatregelen die de NIS2-richtlijn vereist, kun je direct binnen Microsoft 365 implementeren. Toch is het platform geen kant-en-klare compliance-oplossing. Je moet bewust kiezen welke functies je activeert, hoe je logging inricht en wat je aanvullend moet regelen buiten het platform.

In deze handleiding doorloop je stap voor stap hoe je Microsoft 365 inzet als fundament voor je NIS2-compliance. Van de juiste voorbereiding tot het documenteren van maatregelen en de grenzen van het platform: na het lezen weet je precies wat je kunt doen en waar je extra aandacht nodig hebt.

Wat je nodig hebt voordat je begint

Voordat je beveiligingsfuncties gaat activeren, is het belangrijk om helder te hebben welke verplichtingen voor jouw organisatie gelden. De NIS2-richtlijn maakt onderscheid tussen essentiële en belangrijke entiteiten, en de specifieke eisen verschillen per sector. Zorg dat je weet in welke categorie je organisatie valt voordat je technische maatregelen implementeert, anders loop je het risico maatregelen te nemen die niet aansluiten bij je werkelijke risicoprofiel.

Naast die juridische voorbereiding heb je ook praktische zaken op orde nodig. Controleer het volgende voordat je begint:

• Een Microsoft 365 Business Premium, E3 of E5 licentie (veel beveiligingsfuncties zijn niet beschikbaar in lagere abonnementen)
• Toegang tot het Microsoft 365 Defender-portal en het Microsoft Entra-beheercentrum als globale beheerder of beveiligingsbeheerder
• Een actueel overzicht van alle gebruikers, apparaten en applicaties die verbinding maken met je Microsoft 365-omgeving
• Een basisrisicobeoordeling van je organisatie, zoals vereist onder de NIS2-zorgplicht
• Inzicht in je toeleveringsketen: welke externe partijen hebben toegang tot jullie Microsoft 365-omgeving?

Met deze informatie op orde kun je gerichte keuzes maken in de stappen die volgen. Mis je een van deze elementen, los dat dan eerst op. Een NIS2 gap-analyse kan helpen om snel duidelijkheid te krijgen over waar je staat.

Activeer de juiste beveiligingsfuncties in Microsoft 365

Microsoft 365 bevat een uitgebreide set aan beveiligingsfuncties, maar ze staan lang niet allemaal standaard aan. Voor Microsoft 365 NIS2-compliance zijn er een aantal functies die je als prioriteit moet behandelen, omdat ze direct invulling geven aan de technische minimummaatregelen uit de richtlijn.

Multi-factor authenticatie en toegangsbeheer

Activeer multi-factor authenticatie (MFA) voor alle gebruikers. De NIS2-richtlijn noemt MFA expliciet als minimummaatregel. Doe dit via Microsoft Entra (voorheen Azure Active Directory):

1. Ga naar het Microsoft Entra-beheercentrum en navigeer naar Beveiliging > Beleid voor voorwaardelijke toegang.
2. Maak een beleid aan dat MFA verplicht stelt voor alle gebruikers bij elke aanmelding, of gebruik de ingebouwde Beveiligingsinstellingen als startpunt voor kleinere organisaties.
3. Sluit beheerdersaccounts nooit uit van MFA. Configureer voor privileged accounts bij voorkeur phishing-resistente methoden zoals FIDO2-sleutels of de Microsoft Authenticator met nummermatching.
4. Activeer Privileged Identity Management (PIM) als je een E5-licentie hebt, zodat beheerdersrechten tijdelijk en aanvraagplichtig zijn in plaats van permanent.

Controleer na activatie via het Entra-portaal of alle gebruikers daadwerkelijk MFA hebben ingesteld. Gebruik het rapport onder Identiteitsbeveiliging > MFA-registratiestatus om gebruikers zonder registratie te identificeren en op te volgen.

E-mailbeveiliging en anti-phishing

Configureer in het Microsoft Defender-portal de anti-phishing-, anti-malware- en Safe Links-beleidsregels. Stel DMARC, DKIM en SPF correct in voor je e-maildomeinen. Dit zijn niet alleen technische best practices, maar ook maatregelen die aantoonbaar bijdragen aan de bescherming van je informatiesystemen, zoals vereist onder de NIS2-zorgplicht.

Endpoint-beveiliging via Microsoft Defender

Zorg dat alle apparaten die toegang hebben tot Microsoft 365 worden beheerd via Microsoft Intune en beschermd zijn met Microsoft Defender for Endpoint. Stel nalevingsbeleid in dat apparaten zonder actuele beveiliging blokkeert via voorwaardelijke toegang. Dit geeft je directe controle over de beveiligingsstatus van alle endpoints in je organisatie.

Stel logging en monitoring in voor NIS2

De NIS2-richtlijn vereist dat organisaties significante incidenten binnen 24 uur melden bij de bevoegde autoriteit. Dat lukt alleen als je tijdig weet dat er iets aan de hand is. Logging en monitoring zijn daarvoor de basis. Zonder goede detectie kun je niet voldoen aan de meldplicht.

1. Activeer Unified Audit Logging in het Microsoft 365 Compliance-portaal. Ga naar Audit en controleer of logging is ingeschakeld voor je tenant. Sla logbestanden op voor minimaal 180 dagen, of langer als je sector dat vereist.
2. Configureer Microsoft Defender for Cloud Apps (onderdeel van E5 of als add-on) om verdacht gebruikersgedrag te detecteren, zoals aanmeldingen vanuit ongebruikelijke locaties of massale downloads van bestanden.
3. Stel waarschuwingsbeleid in via het Defender-portal voor kritieke gebeurtenissen: meerdere mislukte aanmeldpogingen, wijzigingen in beheerdersrollen, ongebruikelijke bestandsactiviteit in SharePoint of OneDrive.
4. Overweeg de integratie van Microsoft Sentinel als SIEM-oplossing. Sentinel verzamelt signalen uit de hele Microsoft 365-omgeving, correleert ze en helpt je patronen te herkennen die op een incident wijzen.

Verifieer je monitoring door een testgebeurtenis te genereren, bijvoorbeeld een aanmelding buiten kantooruren, en controleer of de bijbehorende waarschuwing daadwerkelijk wordt gegenereerd en bij de juiste persoon terechtkomt. Als je geen waarschuwing ontvangt, werkt je monitoring niet zoals bedoeld. Voor organisaties die dit continu willen laten bewaken zonder een eigen SOC op te bouwen, biedt een virtuele CISO-dienst een praktische aanvulling.

Documenteer en toets je NIS2-maatregelen

Technische maatregelen activeren is niet voldoende. De NIS2-richtlijn vereist dat je kunt aantonen dat je beveiligingsmaatregelen passend en evenredig zijn voor de risico’s die je organisatie loopt. Documentatie en periodieke toetsing zijn daarvoor onmisbaar.

Leg voor elke geactiveerde beveiligingsfunctie vast:

• Welk risico de maatregel adresseert
• Wanneer de maatregel is geconfigureerd en door wie
• Hoe de maatregel wordt gemonitord en bijgehouden
• Wanneer de maatregel voor het laatst is getoetst of bijgewerkt

Gebruik de Microsoft Secure Score in het Defender-portal als vertrekpunt voor een periodieke beoordeling van je beveiligingspostuur. De Secure Score geeft aanbevelingen op basis van je huidige configuratie en laat zien welke verbeteringen de meeste impact hebben. Koppel deze score aan je interne risicobeoordelingscyclus.

Plan daarnaast minstens eenmaal per jaar een actieve toets van je maatregelen. Een penetratietest of een red team oefening laat zien of je beveiliging in de praktijk standhoudt, niet alleen op papier. De uitkomsten van zo’n test vormen waardevolle input voor je documentatie en laten zien dat je beveiliging een levend proces is, geen eenmalige configuratie.

Waar Microsoft 365 alleen niet voldoende is

Microsoft 365 is een krachtig platform, maar het dekt niet alle NIS2-verplichtingen af. Het is belangrijk om te begrijpen waar de grenzen van het platform liggen, zodat je geen valse zekerheid creëert.

De volgende gebieden vereisen aanvullende maatregelen buiten Microsoft 365:

• Supply chain beveiliging: Microsoft 365 geeft je geen inzicht in de beveiligingsmaatregelen van je leveranciers. De NIS2-zorgplicht vereist dat je de toeleveringsketen in kaart brengt en leveranciersrisico’s beheert. Dit vraagt om contractuele afspraken en periodieke beoordelingen.
• Beleid en governance: Technische maatregelen moeten zijn ingebed in formeel beleid. Denk aan een informatiebeveiligingsbeleid, een incidentresponsplan en procedures voor toegangsbeheer. Microsoft 365 kan dit niet voor je schrijven.
• Bestuurderstraining: De NIS2-richtlijn verplicht bestuurders een training te volgen over cybersecurityrisico’s. Dit is een organisatorische verplichting die losstaat van je technische configuratie.
• Meldprocedures: Je hebt een helder intern proces nodig voor het herkennen, escaleren en melden van significante incidenten bij het NCSC, binnen de vereiste termijnen van 24 uur voor de eerste melding en 72 uur voor aanvullende informatie.
• Operationele technologie (OT): Als je organisatie ook industriële of operationele systemen beheert, vallen die buiten de scope van Microsoft 365 en vereisen ze een aparte beveiligingsaanpak.

Microsoft 365 is een sterk fundament, maar NIS2-compliance is breder dan één platform. Wie alleen naar de technische instellingen kijkt, mist de beleidsmatige en organisatorische kant van de richtlijn.

Hoe Q-Cyber helpt met NIS2-compliance

NIS2-compliance vraagt om meer dan het aanvinken van technische instellingen. Het vraagt om een combinatie van technische kennis, beleidsexpertise en een pragmatische aanpak die past bij de schaal en het risicoprofiel van jouw organisatie. Dat is precies waar wij bij Q-Cyber in gespecialiseerd zijn.

Wij helpen organisaties concreet verder met:

• Gap-analyse: We brengen in kaart waar je organisatie staat ten opzichte van de NIS2-vereisten, inclusief de technische configuratie van Microsoft 365 en de beleidsmatige kant.
• Beleid op maat: We schrijven informatiebeveiligingsbeleid, incidentresponsplannen en procedures die aansluiten op jouw organisatie en voldoen aan de NIS2-zorgplicht.
• Bestuurderstraining: We verzorgen trainingen voor het management zodat zij hun wettelijke verantwoordelijkheid kunnen invullen.
• Technische toetsing: Via penetratietests en red team oefeningen toetsen we of je beveiliging in de praktijk standhoudt.
• Virtuele CISO: Via ons Continuous-Q-programma bieden we doorlopende begeleiding door een team van specialisten, zonder dat je een fulltime CISO in dienst hoeft te nemen.

We werken onafhankelijk, zonder binding aan softwarepartijen, en adviseren altijd op basis van wat het beste past bij jouw situatie. Wil je weten hoe je organisatie er nu voor staat? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Verwerkingsregister: hoe maak je er een?

Geplaatst op: 7 augustus 2026

Een verwerkingsregister maak je door alle verwerkingsactiviteiten binnen jouw organisatie systematisch te documenteren: wie de gegevens verwerkt, welke persoonsgegevens het betreft, met welk doel, op welke rechtsgrondslag en hoe lang de gegevens worden bewaard. Dit register is verplicht onder de AVG (Algemene Verordening Gegevensbescherming) en vormt de basis voor aantoonbare privacynaleving. In dit artikel beantwoorden we de meest gestelde vragen over het opstellen, bijhouden en gebruiken van een verwerkingsregister.

Wat moet er in een verwerkingsregister staan?

Een AVG-verwerkingsregister moet minimaal de naam en contactgegevens van de verwerkingsverantwoordelijke bevatten, de doeleinden van de verwerking, een beschrijving van de categorieën betrokkenen en persoonsgegevens, eventuele ontvangers van de gegevens, doorgifte naar derde landen, bewaartermijnen en een beschrijving van de technische en organisatorische beveiligingsmaatregelen.

De AVG, artikel 30, schrijft deze elementen voor als minimumvereisten. In de praktijk is het slim om je register iets uitgebreider in te richten, zodat het ook intern als beheertool functioneert. Denk aan de volgende onderdelen per verwerkingsactiviteit:

• Naam van de verwerking: een herkenbare omschrijving, zoals “salarisadministratie” of “nieuwsbriefverzending”
• Verwerkingsverantwoordelijke: naam, adres en contactgegevens van de organisatie
• Functionaris voor Gegevensbescherming (FG): indien aangesteld, diens contactgegevens
• Doel van de verwerking: waarom worden de gegevens verwerkt?
• Rechtsgrondslag: toestemming, wettelijke verplichting, uitvoering van een overeenkomst, gerechtvaardigd belang, enzovoort
• Categorieën van betrokkenen: klanten, medewerkers, leveranciers, websitebezoekers
• Categorieën van persoonsgegevens: naam, e-mailadres, BSN, gezondheidsgegevens
• Ontvangers of categorieën van ontvangers: interne afdelingen, externe verwerkers, overheidsinstanties
• Doorgifte buiten de EU: of gegevens worden doorgegeven aan landen buiten de Europese Economische Ruimte, en op welke basis
• Bewaartermijnen: hoe lang worden de gegevens bewaard voordat ze worden verwijderd of geanonimiseerd?
• Beveiligingsmaatregelen: een globale beschrijving van de technische en organisatorische maatregelen die de gegevens beschermen

Als jouw organisatie ook als verwerker optreedt, dus persoonsgegevens verwerkt namens een andere organisatie, dan gelden aanvullende registratieverplichtingen. Je moet dan ook de naam van de verwerkingsverantwoordelijke(n) opnemen namens wie je verwerkt, en de categorieën van verwerkingen die je in opdracht uitvoert. Het register van verwerkingsactiviteiten is daarmee tweeledig: één deel voor activiteiten als verwerkingsverantwoordelijke, één deel als verwerker.

Wie is verplicht een verwerkingsregister bij te houden?

In principe is elke organisatie die persoonsgegevens verwerkt verplicht een register van verwerkingsactiviteiten bij te houden. De AVG kent formeel een uitzondering voor organisaties met minder dan 250 medewerkers, maar die uitzondering is in de praktijk vrijwel altijd niet van toepassing.

De uitzondering geldt namelijk alleen als de verwerking niet regelmatig plaatsvindt, geen risico inhoudt voor de rechten en vrijheden van betrokkenen, en geen bijzondere categorieën van persoonsgegevens of strafrechtelijke gegevens betreft. Zodra je als kleine organisatie medewerkers in dienst hebt, klantgegevens bijhoudt of een website met een contactformulier beheert, voldoe je al niet meer aan deze cumulatieve voorwaarden.

De praktische conclusie is dan ook: vrijwel elke organisatie is verplicht een verwerkingsregister bij te houden, ongeacht de omvang. Dit geldt voor:

• Bedrijven met personeel (salarisadministratie en personeelsdossiers zijn al verwerkingsactiviteiten)
• Organisaties die klantgegevens registreren
• Overheidsinstanties en publieke organisaties
• Non-profitorganisaties die leden- of donateursgegevens beheren
• Verwerkers die in opdracht van andere organisaties persoonsgegevens verwerken

Voor overheidsorganisaties geldt bovendien dat de privacyverplichting samenvalt met bredere informatiebeveiligingsvereisten. Zo sluit het verwerkingsregister nauw aan bij de NIS2 en andere regelgeving waaraan publieke entiteiten moeten voldoen.

Hoe stel je stap voor stap een verwerkingsregister op?

Een verwerkingsregister opstellen doe je door eerst alle verwerkingsactiviteiten in kaart te brengen, vervolgens per activiteit de vereiste gegevens te documenteren en het geheel vast te leggen in een overzichtelijk format, zoals een spreadsheet of privacybeheertool. De aanpak is praktischer dan veel organisaties denken.

Stap 1: Breng alle verwerkingen in kaart

Begin met een inventarisatie. Spreek met afdelingshoofden, HR, IT, marketing en financiën om te achterhalen welke persoonsgegevens zij verwerken en waarvoor. Denk aan systemen zoals CRM-software, HR-platformen, boekhoudpakketten, e-mailmarketingtools en cloudopslag. Elke toepassing waarbij persoonsgegevens betrokken zijn, levert waarschijnlijk één of meerdere verwerkingsactiviteiten op.

Stap 2: Groepeer verwerkingen logisch

Bundel verwerkingen die hetzelfde doel dienen in één registratie. Zo hoef je niet elke individuele handeling apart te beschrijven, maar werk je op het niveau van activiteiten. “Werving en selectie” kan bijvoorbeeld alle verwerkingen omvatten rondom sollicitanten: het ontvangen van cv’s, het voeren van gesprekken en het bijhouden van correspondentie.

Stap 3: Documenteer per activiteit de vereiste elementen

Vul voor elke verwerkingsactiviteit de eerder genoemde onderdelen in: doel, rechtsgrondslag, categorieën betrokkenen, categorieën gegevens, ontvangers, bewaartermijnen en beveiligingsmaatregelen. Wees concreet maar niet onnodig gedetailleerd. Het register moet begrijpelijk zijn voor zowel interne gebruikers als een toezichthouder.

Stap 4: Kies een geschikt format

Een eenvoudig spreadsheet met tabbladen per categorie (verwerkingsverantwoordelijke en verwerker) volstaat voor veel organisaties. Grotere organisaties of organisaties met complexe verwerkingen kiezen soms voor gespecialiseerde privacybeheersoftware. Wat je ook kiest: zorg dat het register makkelijk te updaten en doorzoekbaar is.

Stap 5: Laat het register valideren en stel eigenaarschap vast

Bepaal wie verantwoordelijk is voor het beheer van het register. Dat is vaak de privacyofficer of FG. Laat het initiële register valideren door iemand met kennis van de AVG, zodat je zeker weet dat alle verplichte elementen aanwezig zijn en de rechtsgronden correct zijn toegewezen.

Wat is het verschil tussen een verwerkingsregister en een verwerkersovereenkomst?

Een verwerkingsregister is een intern document waarin een organisatie al haar verwerkingsactiviteiten documenteert. Een verwerkersovereenkomst is een juridisch bindend contract tussen een verwerkingsverantwoordelijke en een verwerker, waarin de voorwaarden voor de verwerking van persoonsgegevens zijn vastgelegd. Het zijn twee verschillende, maar aanvullende instrumenten.

Het verwerkingsregister geeft antwoord op de vraag: welke persoonsgegevens verwerken wij, hoe en waarom? De verwerkersovereenkomst regelt de vraag: onder welke voorwaarden mag een externe partij namens ons persoonsgegevens verwerken?

In de praktijk hangen ze nauw samen. Als je in je verwerkingsregister constateert dat een externe partij, zoals een cloudleverancier, salarisverwerker of e-mailmarketingplatform, persoonsgegevens verwerkt namens jouw organisatie, dan ben je verplicht een verwerkersovereenkomst met die partij te sluiten. Het register helpt je dus ook om te identificeren met welke verwerkers je overeenkomsten moet afsluiten of controleren.

Een praktisch onderscheid op een rij:

• Verwerkingsregister: intern document, verplicht voor de verwerkingsverantwoordelijke én de verwerker, gericht op transparantie en verantwoording
• Verwerkersovereenkomst: extern contract tussen twee partijen, verplicht wanneer een verwerker in opdracht persoonsgegevens verwerkt, gericht op het vastleggen van rechten en plichten

Hoe vaak moet je een verwerkingsregister updaten?

Een verwerkingsregister moet actueel zijn en moet dus worden bijgewerkt zodra er iets verandert in de verwerkingsactiviteiten van jouw organisatie. De AVG schrijft geen vaste updatefrequentie voor, maar de verplichting om een nauwkeurig register bij te houden impliceert dat wijzigingen direct worden doorgevoerd.

In de praktijk zijn er twee soorten momenten waarop je het register bijwerkt:

Gebeurtenisgedreven updates vinden plaats wanneer er iets concreets verandert, zoals:

• Een nieuwe verwerkingsactiviteit start, bijvoorbeeld een nieuw CRM-systeem of een loyaliteitsprogramma
• Een bestaande verwerking stopt of verandert van doel
• Een nieuwe verwerker wordt ingeschakeld of een bestaande verwerker valt weg
• Bewaartermijnen worden herzien
• Er worden gegevens doorgegeven aan een nieuw land buiten de EU

Periodieke reviews zijn aan te raden als vangnet, ook als er geen directe aanleiding is. Een jaarlijkse doorloop van het volledige register helpt om verwerkingen te identificeren die stilletjes zijn veranderd, verouderde gegevens te verwijderen en te controleren of rechtsgrondslagen nog steeds kloppen. Veel organisaties koppelen deze review aan hun jaarlijkse privacyaudit of aan de planning- en controlcyclus.

Een verwerkingsregister dat al jaren niet is aangepast, is in de ogen van de Autoriteit Persoonsgegevens een signaal dat de organisatie onvoldoende grip heeft op haar verwerkingen. Actueel houden is dus niet alleen een wettelijke verplichting, maar ook een teken van volwassen privacybeheer.

Wat zijn de gevolgen als je geen verwerkingsregister hebt?

Als je geen verwerkingsregister bijhoudt terwijl je daartoe verplicht bent, riskeer je een boete van de Autoriteit Persoonsgegevens. De AVG staat boetes toe tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Naast de financiële risico’s zijn er ook operationele en reputatiegevolgen.

De Autoriteit Persoonsgegevens kan bij een onderzoek of na een datalek vragen om inzage in het register. Kun je dat niet overleggen, dan is dat direct een overtreding van artikel 30 AVG. De ernst van de sanctie hangt af van factoren zoals de omvang van de organisatie, de aard van de verwerking en of er sprake is van nalatigheid of opzet.

Maar de gevolgen gaan verder dan een boete:

• Geen grip op datalekken: zonder register weet je niet welke gegevens je verwerkt, wat het onmogelijk maakt om bij een datalek snel te bepalen wie er getroffen zijn en wat de impact is
• Niet kunnen voldoen aan inzageverzoeken: als een betrokkene vraagt welke gegevens je van hem verwerkt, kun je dat zonder register moeilijk beantwoorden
• Problemen bij audits en aanbestedingen: steeds meer opdrachtgevers en partners vragen naar privacydocumentatie als onderdeel van hun leveranciersbeoordelingen
• Reputatieschade: een publicatie van een boete of handhavingsactie door de AP is openbaar en kan het vertrouwen van klanten en partners schaden

Het ontbreken van een verwerkingsregister is bovendien vaak een symptoom van bredere privacyproblemen: geen beleid, geen bewustzijn, geen controle. Toezichthouders zien dat als een risicosignaal dat aanleiding kan geven tot diepgaander onderzoek.

Hoe Q-Cyber helpt met privacynaleving en informatiebeveiliging

Een verwerkingsregister opstellen is een essentiële stap, maar het is slechts één onderdeel van een bredere aanpak van informatiebeveiliging en privacynaleving. Organisaties die ook te maken hebben met de NIS2-regelgeving of de Cyberbeveiligingswet, zien dat privacy en cybersecurity steeds meer samenkomen. Een goed verwerkingsregister sluit aan op de bredere zorgplicht die deze wetgeving oplegt.

Wij bij Q-Cyber helpen organisaties om niet alleen compliant te zijn op papier, maar ook daadwerkelijk weerbaar te worden. Dat doen we concreet door:

• Het uitvoeren van gap-analyses om te bepalen waar jouw organisatie staat ten opzichte van AVG, NIS2 en andere relevante kaders
• Het schrijven van beleid op maat, inclusief privacybeleid, informatiebeveiligingsbeleid en verwerkingsregisters
• Het verzorgen van trainingen voor bestuurders en medewerkers over privacybewustzijn en cybersecurity
• Het bieden van virtuele CISO-diensten via Continuous-Q, zodat je structureel toegang hebt tot expertise zonder een fulltime CISO in dienst te nemen
• Het uitvoeren van technische tests zoals pentests om kwetsbaarheden in systemen die persoonsgegevens verwerken tijdig te identificeren
• Het leveren van onafhankelijk advies, zonder binding aan softwarepartijen of andere leveranciers

Wil je weten hoe jouw organisatie ervoor staat op het gebied van privacynaleving en informatiebeveiliging? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat moet er in een privacyverklaring staan?

Geplaatst op: 6 augustus 2026

Een privacyverklaring moet voldoen aan de eisen van de Algemene Verordening Gegevensbescherming (AVG). Concreet betekent dit dat je verplicht informeert over wie de gegevens verwerkt, welke gegevens worden verzameld, op welke rechtsgrond dat gebeurt, hoe lang ze worden bewaard en welke rechten betrokkenen hebben. De AVG geldt voor elke organisatie die persoonsgegevens verwerkt van personen in de EU, ongeacht de omvang van de organisatie. In dit artikel beantwoorden we de meest gestelde vragen over het opstellen van een correcte en volledige privacyverklaring.

Welke wettelijke verplichtingen gelden voor een privacyverklaring?

Op grond van de AVG is iedere organisatie die persoonsgegevens verwerkt verplicht betrokkenen actief te informeren over die verwerking. Dit heet de informatieplicht. Een privacyverklaring is de meest gebruikte manier om aan die plicht te voldoen. De informatie moet begrijpelijk, toegankelijk en volledig zijn. Ontbreekt de verklaring of is ze onvolledig, dan loop je het risico op een boete van de Autoriteit Persoonsgegevens.

De informatieplicht uit de AVG is vastgelegd in artikelen 13 en 14. Artikel 13 geldt wanneer persoonsgegevens rechtstreeks bij de betrokkene worden verzameld, bijvoorbeeld via een contactformulier. Artikel 14 geldt wanneer gegevens via een andere bron worden verkregen. In beide gevallen moet de informatie worden verstrekt op het moment van verzameling of, als dat niet mogelijk is, zo snel mogelijk daarna.

Naast de AVG kunnen aanvullende regels gelden. Organisaties in specifieke sectoren, zoals de zorg of het onderwijs, hebben te maken met sectorspecifieke wet- en regelgeving die extra eisen stelt aan de verwerking van persoonsgegevens. Wil je meer weten over de bredere regelgeving rondom privacy en beveiliging, dan loont het om die context mee te nemen bij het opstellen van je verklaring.

Welke gegevens moeten verplicht worden vermeld?

Een AVG-conforme privacyverklaring moet minimaal de volgende informatie bevatten: de identiteit en contactgegevens van de verwerkingsverantwoordelijke, de contactgegevens van de Functionaris Gegevensbescherming (indien aangesteld), de doeleinden en rechtsgronden van de verwerking, de bewaartermijnen en de rechten van betrokkenen. Dit zijn de verplichte bouwstenen van elk privacybeleid.

Concreet gaat het om de volgende elementen:

• Identiteit van de verwerkingsverantwoordelijke: naam, adres en contactgegevens van de organisatie.
• Contactgegevens FG: indien een Functionaris Gegevensbescherming is aangesteld, moeten diens gegevens worden vermeld.
• Verwerkingsdoeleinden en rechtsgronden: waarom worden de gegevens verwerkt en op welke juridische grondslag.
• Categorieën van persoonsgegevens: welke soorten gegevens worden verwerkt (naam, e-mailadres, locatiegegevens, enzovoort).
• Ontvangers of categorieën van ontvangers: aan wie worden de gegevens verstrekt, inclusief eventuele derde landen buiten de EU.
• Bewaartermijnen: hoe lang worden de gegevens bewaard of op welke criteria wordt de bewaartermijn bepaald.
• Rechten van betrokkenen: inzage, rectificatie, verwijdering, bezwaar en overdraagbaarheid.
• Recht om een klacht in te dienen: verwijzing naar de Autoriteit Persoonsgegevens als toezichthoudende autoriteit.
• Geautomatiseerde besluitvorming: indien van toepassing, informatie over profilering of geautomatiseerde besluiten.

Bij het vermelden van ontvangers in derde landen moet je ook aangeven welke waarborgen zijn getroffen, zoals standaardcontractbepalingen of een adequaatheidsbesluit van de Europese Commissie.

Hoe beschrijf je de rechtsgronden voor gegevensverwerking?

De AVG kent zes rechtsgronden voor gegevensverwerking. Voor elke verwerking moet je in je privacyverklaring expliciet vermelden op welke grondslag die plaatsvindt. De meest voorkomende grondslagen zijn: toestemming van de betrokkene, uitvoering van een overeenkomst, wettelijke verplichting en gerechtvaardigd belang van de verwerkingsverantwoordelijke.

Een korte toelichting per grondslag helpt betrokkenen begrijpen waarom hun gegevens worden verwerkt:

• Toestemming (art. 6 lid 1 sub a): de betrokkene heeft vrijelijk, specifiek en ondubbelzinnig ingestemd. Denk aan het aanmelden voor een nieuwsbrief. Toestemming kan altijd worden ingetrokken.
• Overeenkomst (art. 6 lid 1 sub b): de verwerking is noodzakelijk voor de uitvoering van een contract waarbij de betrokkene partij is, of voor stappen voorafgaand aan het sluiten van dat contract.
• Wettelijke verplichting (art. 6 lid 1 sub c): de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting, zoals het bewaren van financiële gegevens voor de Belastingdienst.
• Vitale belangen (art. 6 lid 1 sub d): verwerking is noodzakelijk om levensbelangen te beschermen. Deze grondslag is beperkt tot uitzonderlijke situaties.
• Algemeen belang of openbaar gezag (art. 6 lid 1 sub e): relevant voor overheidsorganisaties en publieke taken.
• Gerechtvaardigd belang (art. 6 lid 1 sub f): de verwerking is noodzakelijk voor een legitiem belang van de verwerkingsverantwoordelijke, tenzij de belangen van de betrokkene zwaarder wegen. Hier is een zogenaamde belangenafweging vereist.

Vermijd vage omschrijvingen als “we verwerken uw gegevens voor commerciële doeleinden”. Wees specifiek: koppel elk verwerkingsdoel aan een concrete rechtsgrond en leg uit waarom die grondslag van toepassing is.

Wat zijn de rechten van betrokkenen en hoe vermeld je die?

Betrokkenen hebben onder de AVG meerdere rechten die je volledig en begrijpelijk moet vermelden in je privacyverklaring. Het gaat om het recht op inzage, rectificatie, verwijdering, beperking van de verwerking, overdraagbaarheid van gegevens, bezwaar en het recht om niet onderworpen te worden aan geautomatiseerde besluitvorming. Elk recht moet worden beschreven, inclusief hoe betrokkenen het kunnen uitoefenen.

Praktisch gezien betekent dit dat je in je privacyverklaring duidelijk aangeeft:

• Hoe een betrokkene een verzoek kan indienen (e-mail, formulier, post).
• Binnen welke termijn je reageert (de AVG schrijft maximaal één maand voor, met mogelijkheid tot verlenging).
• Of er kosten verbonden zijn aan het uitoefenen van een recht (in de meeste gevallen niet).
• Dat betrokkenen het recht hebben een klacht in te dienen bij de Autoriteit Persoonsgegevens.

Als je toestemming als rechtsgrond gebruikt, vermeld dan ook expliciet dat betrokkenen die toestemming op elk moment kunnen intrekken, zonder dat dit gevolgen heeft voor de rechtmatigheid van de verwerking vóór de intrekking. Dit is een veelgemaakte omissie in privacyverklaringen.

Hoe vaak moet een privacyverklaring worden bijgewerkt?

Er is geen wettelijk vastgelegde minimale updatefrequentie voor een privacyverklaring, maar de AVG vereist dat de informatie te allen tijde actueel, juist en volledig is. In de praktijk betekent dit dat je de verklaring bijwerkt zodra er iets verandert in de manier waarop je persoonsgegevens verwerkt.

Situaties die aanleiding geven tot een update zijn onder meer:

• Je start met het verzamelen van nieuwe categorieën persoonsgegevens.
• Je werkt met nieuwe softwareleveranciers of verwerkers die toegang krijgen tot persoonsgegevens.
• Je bewaartermijnen of verwerkingsdoeleinden wijzigen.
• Er zijn wijzigingen in wet- en regelgeving die van invloed zijn op je verwerkingen.
• Je begint gegevens te delen met partijen buiten de EU.

Een goede praktijk is om de privacyverklaring minimaal jaarlijks te reviewen, ook als er geen directe aanleiding is. Zo voorkom je dat kleine veranderingen in de verwerkingen ongemerkt leiden tot een verouderd document. Vermeld in de verklaring altijd de datum van de laatste wijziging, zodat betrokkenen weten hoe actueel de informatie is.

Wat zijn veelgemaakte fouten in een privacyverklaring?

De meest voorkomende fout in een privacyverklaring is het gebruik van vage, juridisch onjuiste of onvolledige informatie. Organisaties kopiëren regelmatig een sjabloon zonder dat aan te passen aan hun eigen situatie, waardoor de verklaring niet overeenkomt met de werkelijke verwerkingen. Dit is niet alleen een AVG-overtreding, maar ook een risico bij een controle door de Autoriteit Persoonsgegevens.

Andere veelgemaakte fouten zijn:

• Ontbrekende rechtsgronden: alleen vermelden dat gegevens worden verwerkt, zonder aan te geven op welke grondslag.
• Geen of vage bewaartermijnen: “zo lang als nodig” voldoet niet aan de AVG-eis van specifieke of criteria-gebaseerde termijnen.
• Onvolledig overzicht van ontvangers: derde partijen zoals analysediensten, advertentieplatformen of cloudleveranciers worden niet vermeld.
• Geen melding van doorgifte buiten de EU: het gebruik van Amerikaanse softwarediensten (denk aan Google Analytics of Microsoft Azure) impliceert vaak een doorgifte naar een derde land die expliciet moet worden vermeld.
• Rechten van betrokkenen niet uitlegbaar gemaakt: de rechten worden opgesomd maar er staat niet bij hoe betrokkenen die kunnen uitoefenen.
• Verouderde verklaring: de verklaring is nooit bijgewerkt na introductie van nieuwe tools of werkprocessen.
• Onbegrijpelijk taalgebruik: de AVG vereist dat informatie in duidelijke en eenvoudige taal wordt gepresenteerd, met name als de doelgroep ook kinderen omvat.

Een privacyverklaring is geen juridisch document dat je eenmalig opstelt en vergeet. Het is een levend document dat de werkelijkheid van je gegevensverwerkingen weerspiegelt.

Hoe Q-Cyber helpt met privacyverklaring en AVG-compliance

Een correcte privacyverklaring opstellen is meer dan een juridisch vinkje zetten. Het vereist inzicht in je eigen verwerkingen, kennis van de AVG en het vermogen om die informatie begrijpelijk te vertalen voor je gebruikers. Tegelijkertijd raakt privacybeleid steeds vaker aan bredere vraagstukken rondom informatiebeveiliging en wet- en regelgeving zoals de NIS2-richtlijn.

Wij bij Q-Cyber helpen organisaties met het structureel verankeren van beleid rondom privacy en cybersecurity. Concreet bieden we:

• Beleidsadvies en documentatie: we schrijven en beoordelen privacyverklaringen, verwerkingsregisters en informatiebeveiligingsbeleid op maat van jouw organisatie.
• Gap-analyses: we brengen in kaart waar jouw huidige privacydocumentatie tekortschiet ten opzichte van de AVG-vereisten.
• Virtuele CISO-diensten via Continuous-Q: een team van specialisten dat structureel toeziet op de naleving van privacy- en beveiligingsbeleid binnen jouw organisatie.
• Trainingen voor bestuurders en medewerkers: zodat iedereen in de organisatie begrijpt waarom privacybeleid belangrijk is en hoe het in de praktijk werkt.
• NIS2-begeleiding: voor organisaties die ook onder de Cyberbeveiligingswet vallen, combineren we privacyadvies met de bredere NIS2-vereisten.

Wil je weten of jouw privacyverklaring voldoet aan de AVG of heb je hulp nodig bij het opstellen ervan? Neem contact op en we kijken samen wat nodig is.

Lees meer

Cookies en privacy: wat zijn de regels?

Geplaatst op: 5 augustus 2026

Voor cookies en privacy gelden in Nederland duidelijke regels: websites mogen alleen niet-functionele cookies plaatsen als de gebruiker daar vooraf toestemming voor heeft gegeven. Die toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. De regels komen voort uit de Algemene Verordening Gegevensbescherming (AVG) en de Telecommunicatiewet, en gelden voor vrijwel elke website die bezoekers uit de EU ontvangt. In dit artikel beantwoorden we de meest gestelde vragen over cookieregels, toestemming en privacywetgeving.

Welke soorten cookies zijn er en wat doen ze?

Cookies zijn kleine tekstbestanden die een website op het apparaat van een bezoeker plaatst om informatie op te slaan. Er zijn vier hoofdcategorieën: functionele cookies, analytische cookies, tracking- of marketingcookies en sociale mediacookies. Elk type heeft een ander doel en een andere juridische status als het gaat om toestemming.

Functionele cookies

Functionele cookies zijn noodzakelijk voor het correct functioneren van een website. Denk aan cookies die een inlogsessie onthouden, taalvoorkeuren opslaan of een winkelwagentje bijhouden. Voor deze cookies is geen toestemming vereist, omdat ze technisch noodzakelijk zijn voor de dienstverlening.

Analytische cookies

Analytische cookies meten hoe bezoekers een website gebruiken. Tools zoals Google Analytics vallen in deze categorie. Als de gegevens geanonimiseerd worden verwerkt en niet worden gedeeld met derden, zijn sommige analytische cookies toestemmingsvrij te gebruiken. Maar zodra ze persoonsgegevens verwerken of aan een derde partij worden doorgegeven, is toestemming alsnog verplicht.

Tracking- en marketingcookies

Tracking- en marketingcookies volgen het surfgedrag van bezoekers over meerdere websites heen. Ze worden gebruikt om gepersonaliseerde advertenties te tonen. Deze cookies verwerken vrijwel altijd persoonsgegevens en vereisen altijd voorafgaande toestemming van de gebruiker.

Sociale mediacookies

Wanneer een website een like-knop, een ingebedde video of een andere sociale mediafunctie integreert, plaatsen die platforms hun eigen cookies. Ook hiervoor geldt dat toestemming nodig is, tenzij de integratie volledig zonder externe verbinding werkt.

Welke wetten gelden er voor cookies in Nederland?

In Nederland zijn twee wetten bepalend voor cookieregels: de Algemene Verordening Gegevensbescherming (AVG) en de Telecommunicatiewet. De AVG regelt hoe persoonsgegevens verwerkt mogen worden, terwijl de Telecommunicatiewet specifiek het plaatsen van en toegang tot cookies op apparaten van gebruikers regelt. Samen vormen ze het juridische kader voor cookiewetgeving in Nederland.

De Telecommunicatiewet verplicht websites om toestemming te vragen voordat niet-functionele cookies worden geplaatst. De AVG voegt hieraan toe dat als cookies persoonsgegevens verwerken, er een geldige verwerkingsgrondslag moet zijn. Voor de meeste niet-functionele cookies is die grondslag toestemming.

De Autoriteit Persoonsgegevens (AP) is de toezichthouder in Nederland die toeziet op naleving van de AVG. De Autoriteit Consument en Markt (ACM) houdt toezicht op de Telecommunicatiewet. In de praktijk werken beide toezichthouders samen bij handhaving rondom cookies. Voor organisaties die ook onder de NIS2-regelgeving vallen, komen daar nog aanvullende verplichtingen op het gebied van informatiebeveiliging bij.

Wanneer is toestemming voor cookies verplicht?

Toestemming voor cookies is verplicht zodra een cookie niet strikt noodzakelijk is voor de werking van de website of de uitvoering van een dienst die de gebruiker heeft aangevraagd. Concreet betekent dit dat analytische, marketing- en sociale mediacookies in vrijwel alle gevallen toestemming vereisen.

Toestemming is niet vereist voor cookies die:

• Technisch noodzakelijk zijn voor de basisfunctionaliteit van de website
• Uitsluitend worden gebruikt voor de sessie en daarna worden verwijderd
• Anonieme statistieken bijhouden zonder dat gegevens worden gedeeld met derden

Toestemming is wel verplicht voor cookies die:

• Het surfgedrag van gebruikers bijhouden over meerdere websites
• Persoonsgegevens doorgeven aan derde partijen
• Worden gebruikt voor gepersonaliseerde advertenties
• Sociale mediafuncties van externe platforms laden

Belangrijk: toestemming moet vooraf worden gegeven. Een website mag geen cookies plaatsen en daarna pas toestemming vragen. Ook mag het weigeren van cookies geen nadelige gevolgen hebben voor de gebruiker, zoals het volledig ontoegankelijk maken van de website.

Wat moet er in een cookiebanner staan?

Een cookiebanner moet voldoende informatie bevatten zodat gebruikers een geïnformeerde keuze kunnen maken. De banner moet duidelijk uitleggen welke soorten cookies worden gebruikt, waarvoor ze dienen, en wie er toegang toe heeft. Een geldige cookiebanner voldoet aan de volgende eisen:

• Duidelijke omschrijving van de categorieën cookies en hun doel
• Vermelding van derde partijen die cookies plaatsen of gegevens ontvangen
• Gelijkwaardige knoppen voor accepteren en weigeren (de weigerknop mag niet kleiner of minder zichtbaar zijn)
• Geen vooraf aangevinkte vakjes voor niet-functionele cookies
• Een link naar het volledige cookiebeleid voor meer informatie
• De mogelijkheid om toestemming in te trekken, net zo eenvoudig als het geven ervan

Een veelgemaakte fout is het gebruik van een banner met alleen een “Accepteer alles”-knop, zonder gelijkwaardige mogelijkheid om te weigeren. De Autoriteit Persoonsgegevens heeft meerdere malen verduidelijkt dat dit niet voldoet aan de AVG-vereisten voor vrije toestemming.

Wat zijn de gevolgen van niet-naleving van cookieregels?

Organisaties die cookieregels niet naleven, riskeren boetes van de Autoriteit Persoonsgegevens. Onder de AVG kunnen boetes oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Bij schendingen van de Telecommunicatiewet kan de ACM ook handhavend optreden.

Naast financiële sancties zijn er andere risico’s:

• Reputatieschade bij klanten en partners die privacynaleving belangrijk vinden
• Klachten van gebruikers bij de AP, die vervolgens een onderzoek kan starten
• Civielrechtelijke claims van gebruikers van wie gegevens onrechtmatig zijn verwerkt
• Gedwongen aanpassingen aan de website onder toezicht van de toezichthouder

In de praktijk richt handhaving zich vaak op grote websites met veel verkeer, maar ook kleinere organisaties worden aangesproken, zeker als er klachten worden ingediend. Het is dan ook verstandig om cookiebeleid proactief op orde te brengen en niet te wachten op een handhavingsactie.

Hoe stel je een correct cookiebeleid op?

Een correct cookiebeleid opstellen begint met een inventarisatie van alle cookies die jouw website plaatst. Vervolgens documenteer je per cookie het doel, de bewaartermijn, en of er derde partijen bij betrokken zijn. Op basis van die inventarisatie bouw je een transparant beleid op dat voldoet aan de AVG en de Telecommunicatiewet.

De stappen voor een compleet cookiebeleid:

1. Voer een cookiescan uit om te inventariseren welke cookies jouw website plaatst en van welke derde partijen
2. Categoriseer de cookies als functioneel, analytisch, marketing of sociaal
3. Bepaal de rechtsgrondslag per categorie: is toestemming vereist of is er een andere grondslag?
4. Stel een cookiebanner in die voldoet aan de eisen voor vrije, geïnformeerde toestemming
5. Schrijf een cookiebeleidspagina met alle verplichte informatie, inclusief bewaartermijnen en contactgegevens
6. Zorg voor een intrekkingsmechanisme waarmee gebruikers hun toestemming eenvoudig kunnen intrekken
7. Houd het beleid actueel: bij elke nieuwe cookie of wijziging in de verwerking moet het beleid worden bijgewerkt

Het cookiebeleid moet ook aansluiten op de bredere privacyverklaring van de organisatie. Gegevens die via cookies worden verzameld, vallen immers ook onder de verwerkingsregisterverplichting van de AVG. Een goed cookiebeleid is daarmee onderdeel van een breder privacybeleid dat de hele organisatie raakt.

Hoe Q-Cyber helpt met privacy en cookiewetgeving

Cookieregels en privacywetgeving zijn onderdeel van een bredere uitdaging: hoe zorg je ervoor dat jouw organisatie structureel voldoet aan wet- en regelgeving, zonder dat dit ten koste gaat van de dagelijkse bedrijfsvoering? Wij helpen organisaties bij precies dat vraagstuk, van technische analyse tot beleidsdocumentatie.

Wat wij voor jouw organisatie kunnen doen:

• Privacybeleid en cookiebeleid opstellen dat aansluit op de AVG en de Telecommunicatiewet
• Gap-analyses uitvoeren om te bepalen waar jouw huidige beleid tekortschiet
• Adviseren over toestemmingsbeheer, inclusief de technische implementatie van een cookiebanner
• NIS2-compliance begeleiden voor organisaties die ook onder de Cyberbeveiligingswet vallen
• Trainingen verzorgen voor bestuurders en medewerkers over privacyverantwoordelijkheden
• Virtueel CISO-diensten bieden via Continuous-Q voor doorlopend advies en toezicht

Wil je weten of jouw cookiebeleid voldoet aan de geldende regels, of heb je hulp nodig bij het opzetten van een compleet privacykader? Neem contact met ons op en we kijken samen wat er nodig is.

Lees meer

AVG en marketing: wat mag je wel en niet?

Geplaatst op: 4 augustus 2026

De AVG (Algemene Verordening Gegevensbescherming) bepaalt precies wat je wel en niet mag doen met persoonsgegevens in je marketingactiviteiten. Voor de meeste directe marketing, zoals e-mailcampagnes en gepersonaliseerde advertenties, heb je een geldige verwerkingsgrondslag nodig, waarbij toestemming of gerechtvaardigd belang de meest voorkomende opties zijn. In dit artikel beantwoorden we de meest gestelde vragen over de AVG en marketing, zodat je weet hoe je jouw strategie compliant houdt.

Welke persoonsgegevens mag je voor marketing gebruiken?

Voor marketingdoeleinden mag je persoonsgegevens gebruiken die je rechtmatig hebt verzameld, zolang je daarvoor een geldige verwerkingsgrondslag hebt. Dit geldt voor gegevens zoals naam, e-mailadres, telefoonnummer, aankoopgeschiedenis en gedragsdata op je website. Bijzondere categorieën persoonsgegevens, zoals gezondheidsgegevens of politieke overtuigingen, zijn in principe verboden voor marketingdoeleinden.

De AVG maakt onderscheid tussen gewone persoonsgegevens en gevoelige gegevens. Voor gewone persoonsgegevens in marketing geldt dat je altijd moet kunnen aantonen waarom je ze verwerkt en op welke grondslag. Denk aan:

• Contactgegevens (naam, e-mail, telefoonnummer) voor directe communicatie
• Demografische gegevens (leeftijd, locatie) voor segmentatie
• Gedragsdata (klikgedrag, aankoophistorie) voor personalisatie
• Voorkeuren die de ontvanger zelf heeft opgegeven

Belangrijk is het principe van dataminimalisatie: je mag alleen gegevens verzamelen die je daadwerkelijk nodig hebt voor het marketingdoel. Verzamel je meer dan nodig, dan overtreed je al de AVG, ook als je toestemming hebt gekregen. Koppel je meerdere databronnen aan elkaar, dan moet elke verwerking apart worden beoordeeld op rechtmatigheid. Meer over privacywetgeving en regelgeving lees je op onze overzichtspagina.

Wanneer heb je toestemming nodig voor marketing?

Toestemming is verplicht voor e-mailmarketing aan particulieren (B2C) wanneer er geen bestaande klantrelatie is, en voor alle vormen van tracking via cookies voor marketingdoeleinden. Voor direct marketing via elektronische kanalen, zoals e-mail, sms en pushberichten, geldt in Nederland bovendien de Telecommunicatiewet, die toestemming als standaardvereiste stelt voor nieuwe contacten.

Concreet heb je toestemming nodig in de volgende situaties:

• Het versturen van nieuwsbrieven of commerciële e-mails aan mensen die nog geen klant zijn
• Het plaatsen van tracking- of marketingcookies op je website
• Gepersonaliseerde advertenties op basis van surfgedrag
• Het benaderen van particulieren via sms of pushberichten
• Het doorgeven van contactgegevens aan derden voor marketingdoeleinden

Bij B2B-marketing ligt het iets genuanceerder. Het benaderen van zakelijke contacten via hun zakelijke e-mailadres kan in sommige gevallen worden gebaseerd op gerechtvaardigd belang, mits het aanbod relevant is voor hun functie of branche. Dit ontslaat je echter niet van de verplichting om een afmeldmogelijkheid te bieden en transparant te zijn over de verwerking.

Wat is het verschil tussen toestemming en gerechtvaardigd belang?

Toestemming is een actieve, vrijwillige en specifieke instemming van de betrokkene, terwijl gerechtvaardigd belang een afweging is waarbij jouw belang als organisatie zwaarder weegt dan het privacybelang van de betrokkene. Voor marketing zijn dit de twee meest gebruikte grondslagen, maar ze zijn niet uitwisselbaar en gelden voor verschillende situaties.

Wanneer werkt toestemming?

Toestemming is de juiste grondslag als de betrokkene een echte keuze heeft en als je wilt dat mensen actief instemmen met je marketing. Geldige toestemming onder de AVG moet vrij gegeven, specifiek, geïnformeerd en ondubbelzinnig zijn. Dit betekent dat een vooraf aangevinkt vakje niet geldig is, dat je toestemming niet mag koppelen aan het gebruik van een dienst, en dat je altijd moet kunnen bewijzen wanneer en hoe de toestemming is gegeven. Toestemming kan bovendien op elk moment worden ingetrokken.

Wanneer werkt gerechtvaardigd belang?

Gerechtvaardigd belang kan worden ingezet als je een legitiem doel hebt, de verwerking noodzakelijk is voor dat doel, en de belangen van de betrokkene niet zwaarder wegen. In de marketingcontext wordt dit vaak toegepast bij het benaderen van bestaande klanten met vergelijkbare producten of diensten, of bij B2B-marketing gericht op relevante zakelijke contacten. Je bent verplicht een zogenaamde legitimate interest assessment (LIA) uit te voeren en te documenteren, en je moet altijd een opt-out aanbieden.

Hoe bewaar en beheer je marketingtoestemmingen correct?

Marketingtoestemmingen moet je bewaren op een manier waaruit blijkt wie toestemming heeft gegeven, wanneer dat is gebeurd, waarvoor precies toestemming is gegeven en via welk kanaal. Dit is geen administratieve formaliteit, maar een wettelijke verplichting: als de Autoriteit Persoonsgegevens hierom vraagt, moet je dit kunnen aantonen.

Een goed toestemmingsbeheer omvat de volgende elementen:

1. Vastlegging: Sla per contact op wanneer en via welk formulier of kanaal toestemming is gegeven, inclusief de exacte tekst van de toestemmingsvraag die op dat moment werd getoond.
2. Granulariteit: Registreer per marketingdoel (nieuwsbrief, aanbiedingen, partnerberichten) apart of toestemming is gegeven, zodat intrekking van één toestemming niet alles blokkeert.
3. Vervalbeleid: Stel een vervaldatum in voor toestemmingen die lang niet zijn gebruikt. Inactieve contacten zonder recente interactie opnieuw benaderen zonder herbevestiging is risicovol.
4. Intrekkingsproces: Maak afmelden eenvoudig en verwerk afmeldingen direct. Een afmelding via een nieuwsbrief moet ook doorwerken in andere marketinglijsten.
5. Periodieke audit: Controleer regelmatig of je toestemmingen nog actueel en geldig zijn, en of je systemen correct zijn gekoppeld.

Je CRM of e-mailmarketingsysteem speelt hierin een centrale rol. Zorg dat deze systemen toestemmingen correct registreren en dat er geen handmatige stappen nodig zijn die fouten kunnen introduceren.

Wat zijn de gevolgen van AVG-overtredingen in marketing?

De gevolgen van AVG-overtredingen in marketing kunnen aanzienlijk zijn: de Autoriteit Persoonsgegevens kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Naast financiële sancties riskeer je reputatieschade, verlies van klantvertrouwen en civielrechtelijke claims van betrokkenen.

In de praktijk zijn er meerdere niveaus van gevolgen:

• Boetes van de AP: De Autoriteit Persoonsgegevens handhaaft actief op e-mailmarketing zonder geldige toestemming, onterechte cookieplaatsing en het ontbreken van een privacyverklaring. Nederlandse bedrijven hebben al forse boetes ontvangen voor schendingen in marketingcommunicatie.
• Klachten van betrokkenen: Iedereen wiens gegevens onrechtmatig worden verwerkt, kan een klacht indienen bij de AP of een civiele procedure starten. Dit geldt ook voor concurrenten die misbruik van persoonsgegevens melden.
• Reputatieschade: Publiciteit rondom een AVG-overtreding kan het vertrouwen van klanten en partners ernstig beschadigen, soms met meer langetermijngevolgen dan de boete zelf.
• Operationele gevolgen: De AP kan ook verwerkingsactiviteiten tijdelijk of permanent verbieden, wat directe impact heeft op je marketingcapaciteit.

Kleine organisaties denken soms dat ze buiten het vizier van de AP vallen, maar de toezichthouder behandelt ook klachten over kleinere bedrijven, zeker als het gaat om stelselmatige overtredingen zoals het structureel versturen van e-mail zonder toestemming.

Hoe maak je je marketingstrategie AVG-proof?

Een AVG-proof marketingstrategie bouw je op drie pijlers: rechtmatige gegevensverzameling, transparante communicatie en een robuust beheer van toestemmingen en rechten van betrokkenen. Dit is geen eenmalige actie, maar een doorlopend proces dat je inbeddt in je marketingprocessen.

Praktische stappen om je strategie compliant te maken:

1. Breng je datastromen in kaart: Weet welke persoonsgegevens je verzamelt, waar ze vandaan komen, waar ze naartoe gaan en hoe lang je ze bewaart. Dit is de basis van elk privacy-programma.
2. Kies de juiste grondslag per activiteit: Bepaal per marketingactiviteit of je toestemming of gerechtvaardigd belang gebruikt, documenteer dit en zorg dat je keuze verdedigbaar is.
3. Actualiseer je privacyverklaring: Zorg dat je privacyverklaring duidelijk beschrijft welke gegevens je voor marketing gebruikt, op welke grondslag, en hoe betrokkenen hun rechten kunnen uitoefenen.
4. Implementeer een cookiebeleid: Zorg voor een functionerende cookiebanner die alleen niet-essentiële cookies plaatst na actieve toestemming, en registreer deze toestemmingen.
5. Train je marketingteam: Zorg dat iedereen die met persoonsgegevens werkt begrijpt wat wel en niet mag, en wat de procedures zijn bij een datalek of een verzoek van een betrokkene.
6. Voer periodieke audits uit: Controleer minstens jaarlijks of je processen, systemen en documentatie nog actueel en compliant zijn.

Vergeet ook de keten niet: als je werkt met externe marketingbureaus, e-mailplatforms of advertentienetwerken, ben je als verwerkingsverantwoordelijke verplicht verwerkersovereenkomsten af te sluiten en te controleren of deze partijen AVG-compliant opereren. Meer informatie over hoe je dit aanpakt vind je via onze cyber research.

Hoe Q-Cyber helpt met AVG-compliance in marketing

Privacy en cybersecurity zijn nauw met elkaar verbonden: een datalek via een marketingsysteem of een onbeveiligde e-mailcampagne kan direct leiden tot AVG-overtredingen met alle gevolgen van dien. Wij helpen organisaties niet alleen met technische beveiliging, maar ook met de beleidsmatige kant van gegevensbescherming.

Wat wij voor jouw organisatie kunnen betekenen:

• Privacy- en beveiligingsadvies: We analyseren hoe je marketingprocessen zijn ingericht en waar de risico’s zitten voor AVG-overtredingen of datalekken.
• Beleid op maat: We schrijven privacybeleid, verwerkersovereenkomsten en interne procedures die aansluiten op jouw marketingpraktijk.
• Trainingen: We verzorgen trainingen voor marketing- en communicatieteams over privacywetgeving en veilig omgaan met persoonsgegevens.
• Virtuele CISO: Via ons Continuous-Q programma bieden we doorlopende begeleiding op het snijvlak van beveiliging en compliance, zonder dat je een fulltime CISO hoeft aan te stellen.
• Onafhankelijk advies: We zijn niet gebonden aan softwarepartijen of toeleveranciers, waardoor ons advies altijd in jouw belang is.

Wil je weten of jouw marketingstrategie AVG-proof is? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer

Wat is supply chain security binnen de NIS2-richtlijn?

Geplaatst op: 3 augustus 2026

Supply chain security binnen de NIS2-richtlijn verwijst naar de verplichting voor organisaties om niet alleen hun eigen systemen te beveiligen, maar ook de cyberveiligheid van hun leveranciers en ketenpartners actief te beheren. De NIS2-richtlijn erkent dat een aanval op een toeleverancier net zo schadelijk kan zijn als een directe aanval op de organisatie zelf. In dit artikel beantwoorden we de meest gestelde vragen over ketenbeveiliging en wat NIS2 concreet van u vraagt.

Welke verplichtingen legt NIS2 op aan toeleveranciers?

De NIS2-richtlijn verplicht organisaties die onder de wet vallen om de beveiliging van hun volledige toeleveringsketen te borgen. Dit betekent dat u als organisatie verantwoordelijk bent voor het beoordelen en beheersen van de cyberrisico’s die uw leveranciers met zich meebrengen, ook al zijn die leveranciers zelf niet direct onder NIS2 verplicht. Leveranciersbeveiliging is daarmee een expliciete minimummaatregel binnen de zorgplicht.

Concreet betekent dit dat organisaties beleid moeten opstellen voor de beveiliging van de toeleveringsketen. Dit beleid moet beschrijven hoe leveranciers worden geselecteerd, hoe risico’s worden beoordeeld en hoe afspraken over beveiliging contractueel worden vastgelegd. De compliance en beleidsvorming rondom supply chain is daarmee geen vrijblijvende oefening, maar een wettelijke verplichting.

Belangrijk om te weten: in Nederland vallen ruim 10.000 organisaties direct onder de NIS2, maar naar schatting krijgen 50.000 bedrijven die aan deze groep leveren eveneens indirect met de richtlijn te maken. Als toeleverancier van een NIS2-plichtige organisatie zult u dus in toenemende mate worden aangesproken op uw eigen beveiligingsniveau, ook zonder directe wettelijke verplichting.

Waarom is de toeleveringsketen een populair aanvalsdoel?

De toeleveringsketen is een populair aanvalsdoel omdat aanvallers via een leverancier toegang kunnen krijgen tot meerdere grote organisaties tegelijk. Een kleine toeleverancier met minder volwassen beveiliging fungeert als zwakste schakel in een keten van anders goed beveiligde organisaties. Één succesvolle aanval op een leverancier kan zo tientallen of honderden eindklanten raken.

Dit fenomeen noemen we ook wel een supply chain attack. Aanvallers richten zich bewust op softwareleveranciers, IT-dienstverleners, cloudproviders of andere partijen die diepe toegang hebben tot de systemen van hun klanten. Denk aan updates die worden voorzien van kwaadaardige code, of aan inloggegevens van een beheerder die worden gestolen bij een kleine IT-partner.

Wat deze aanvallen extra gevaarlijk maakt, is het vertrouwen dat organisaties hebben in hun leveranciers. Verkeer en toegang vanuit een bekende leverancier wordt zelden als verdacht gezien. Aanvallers maken hier misbruik van door zich te verschuilen achter legitieme verbindingen. Een red team oefening kan helpen om dit soort blinde vlekken in uw keten bloot te leggen.

Hoe beoordeel je de cyberveiligheid van een leverancier?

De cyberveiligheid van een leverancier beoordeelt u aan de hand van een gestructureerde risicoanalyse, waarbij u kijkt naar de toegang die de leverancier heeft tot uw systemen, de gevoeligheid van de data die wordt uitgewisseld en de beveiligingsmaatregelen die de leverancier zelf treft. Dit proces heet ook wel een leveranciersaudit of third-party risk assessment.

Een praktische aanpak bestaat uit de volgende stappen:

1. Inventariseer uw leveranciers en categoriseer ze op basis van de toegang die ze hebben en het risico dat ze vertegenwoordigen.
2. Stel een vragenlijst op over beveiligingsbeleid, incidentrespons, certificeringen (zoals ISO 27001) en toegangsbeheer.
3. Voer een technische beoordeling uit voor leveranciers met directe systeemtoegang, bijvoorbeeld via een penetratietest of vulnerability scan.
4. Herhaal de beoordeling periodiek, want de beveiligingssituatie van een leverancier kan veranderen.
5. Leg de uitkomsten vast en koppel ze aan contractuele afspraken.

Het gaat er niet om dat elke leverancier een perfect beveiligingsniveau heeft, maar dat u als organisatie weet welke risico’s u accepteert en welke maatregelen u neemt om die te beheersen. Dat is precies wat de NIS2-zorgplicht van u vraagt.

Wat staat er minimaal in een NIS2-conform leverancierscontract?

Een NIS2-conform leverancierscontract bevat minimaal afspraken over de beveiligingsmaatregelen die de leverancier moet treffen, de meldplicht bij incidenten, het recht op audit en de gevolgen bij niet-naleving. Zonder deze contractuele basis kunt u als organisatie niet aantonen dat u de beveiliging van uw toeleveringsketen adequaat beheert.

Concreet zijn dit de onderdelen die in elk leverancierscontract thuishoren:

• Beveiligingsvereisten: Welke technische en organisatorische maatregelen moet de leverancier treffen, en op welk niveau?
• Meldplicht bij incidenten: De leverancier moet u tijdig informeren bij een beveiligingsincident dat uw organisatie kan raken, zodat u kunt voldoen aan uw eigen meldplicht binnen 24 uur.
• Auditrecht: U behoudt het recht om de beveiligingsmaatregelen van de leverancier te toetsen, direct of via een derde partij.
• Subverwerkers en ketenaansprakelijkheid: Afspraken over welke partijen de leverancier zelf inschakelt en welke eisen daarvoor gelden.
• Beëindigingsclausule: Wat gebeurt er als de leverancier niet langer voldoet aan de gestelde beveiligingseisen?

Hoe specifieker de contractuele afspraken, hoe sterker uw positie bij een incident en hoe beter u kunt aantonen dat u als organisatie grip heeft op uw supply chain NIS2-verplichtingen.

Wie binnen een organisatie is verantwoordelijk voor supply chain security?

Onder de NIS2-richtlijn ligt de eindverantwoordelijkheid voor supply chain security bij het bestuur van de organisatie. Bestuurders zijn verplicht om voldoende kennis te hebben van beveiligingsrisico’s en om weloverwogen beslissingen te nemen over risicobeheersmaatregelen, inclusief de risico’s die leveranciers met zich meebrengen.

In de praktijk betekent dit dat het bestuur de kaders stelt en de verantwoordelijkheid draagt, maar dat de uitvoering is belegd bij operationele rollen. Afhankelijk van de omvang van de organisatie zijn dat vaak:

• De CISO (Chief Information Security Officer) of een virtuele CISO, die het beleid voor leveranciersbeveiliging opstelt en bewaakt.
• De inkoopverantwoordelijke of contractmanager, die beveiligingseisen meeneemt in aanbestedingen en contractonderhandelingen.
• De IT-afdeling, die technische toegang van leveranciers beheert en monitort.

De NIS2-richtlijn verplicht bestuurders bovendien een training te volgen om beveiligingsrisico’s te leren beoordelen. Dat geldt ook voor risico’s in de toeleveringsketen. Supply chain security is daarmee geen uitsluitend technisch vraagstuk, maar een bestuurlijke verantwoordelijkheid.

Wat zijn de gevolgen als supply chain security niet op orde is?

Als supply chain security niet op orde is, loopt een organisatie zowel operationele als juridische risico’s. Operationeel kan een aanval via een leverancier leiden tot dataverlies, verstoring van dienstverlening of reputatieschade. Juridisch kunnen toezichthouders boetes opleggen tot maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4% voor belangrijke entiteiten.

Naast financiële sancties kan het senior management persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen. Hoewel deze aansprakelijkheid voor overheidsinstanties uitdrukkelijk buiten de NIS2-bepalingen valt, geldt ze voluit voor private organisaties. Dat maakt ketenbeveiliging tot een boardroomvraagstuk dat niet kan worden gedelegeerd zonder adequate opvolging.

Een incident via een leverancier telt bovendien mee voor de meldplicht. Als een significant cyberincident zijn oorsprong vindt bij een toeleverancier, bent u als organisatie verplicht dit binnen 24 uur te melden bij de nationale autoriteiten. Wie zijn leveranciersrisico’s niet kent, loopt het risico die termijn te missen, met extra sancties als gevolg.

Tot slot schaadt een supply chain incident het vertrouwen van klanten en partners. In sectoren waar continuïteit en betrouwbaarheid centraal staan, kan dat langetermijnschade veroorzaken die de directe kosten van een aanval ruimschoots overstijgt. Meer achtergrond over dreigingslandschappen en aanvalsmethoden vindt u in ons cyber research overzicht.

Hoe Q-Cyber helpt met supply chain security

Supply chain security is een van de complexere onderdelen van NIS2-compliance, omdat het vraagt om samenwerking tussen inkoop, IT, juridische zaken en bestuur. Wij helpen organisaties om deze samenwerking te structureren en de juiste maatregelen te treffen, zonder dat het een papieren exercitie wordt.

Wat wij concreet voor u doen:

• Leveranciersrisicoanalyse: We brengen uw toeleveringsketen in kaart en categoriseren leveranciers op basis van risico en toegang.
• Beleid op maat: We schrijven een supply chain beveiligingsbeleid dat aansluit op uw sector en risicoprofiel, en dat voldoet aan de NIS2-zorgplicht.
• Contractadvies: We adviseren over de beveiligingseisen die u contractueel moet vastleggen met leveranciers.
• Technische toetsing: Via pentests en vulnerability scans toetsen we de beveiliging van kritische leveranciers en koppelingen.
• Bestuurstraining: We verzorgen trainingen voor bestuurders om te voldoen aan de NIS2-trainingsplicht, inclusief het thema ketenbeveiliging.
• Virtuele CISO: Via Continuous-Q bieden we een team van specialisten dat doorlopend toezicht houdt op uw beveiligingsprogramma, inclusief leveranciersbeheersing.

Wij werken onafhankelijk, zonder binding aan softwarepartijen of toeleveranciers, zodat u altijd pragmatisch en objectief advies krijgt. Wilt u weten waar uw organisatie staat op het gebied van supply chain NIS2-compliance? Neem contact met ons op voor een vrijblijvend gesprek.

Lees meer