Skip to main content

Passend beveiligen, hoe doe je dat?

Steeds vaker is in wet en regelgeving de verplichting opgenomen om systemen en data passend te beveiligen. Het is voor organisaties lang niet altijd even duidelijk wat hiermee wordt bedoeld. Want wanneer is informatiebeveiliging nu precies passend te noemen? Aan de hand van sanctiebesluiten van de Autoriteit Persoonsgegevens, AP, belichten Jeroen van Helden en Michelle Wijnant tien belangrijke aandachtspunten.

De tijd dat het domein van informatiebeveiliging enkel iets was voor IT ers is voorbij. Steeds vaker is in wet- en regelgeving de verplichting opgenomen om systemen en data te beveiligen. Nalatigheid kan resulteren in civielrechtelijke aansprakelijkheid of sancties van toezichthouders. Met de voorgestelde NIS2-richtlijn komt ook bestuurdersaansprakelijkheid nadrukkelijk in het vizier. Het is daarom belangrijker dan ooit dat IT ers basiskennis hebben van risicomanagement en het relevante juridisch kader en dat juristen ten minste een redelijk begrip hebben van het vakgebied informatiebeveiliging. Dit artikel poogt aan die kruisbestuiving een bijdrage te leveren.

Op grond van de Algemene verordening gegevensbescherming (AVG) moet iedere organisatie technische en organisatorische maatregelen nemen om informatiesystemen die persoonsgegevens verwerken passend te beveiligen. Hierbij moet rekening worden gehouden met de stand van de techniek, de uitvoeringskosten, de risico s voor betrokkenen en met de aard, de omvang, de context en de verwerkingsdoeleinden. Kort samengevat: hoe gevoeliger en omvangrijker de data, hoe strenger de eisen; hoe goedkoper en gebruikelijker een maatregel, hoe eerder deze moet worden toegepast.

Sancties

De afgelopen jaren legde de AP ten minste tien administratieve boetes en-of dwangsommen op wegens gebrekkige informatiebeveiliging. Voor geen enkele andere AVG-verplichting werden door de AP zoveel sancties opgelegd. Dit onderstreept het centrale belang van de beveiligingsverplichting.

Tien aandachtspunten

Aan de hand van deze sanctiebesluiten worden hieronder tien aandachtspunten belicht voor het realiseren van een passende informatiebeveiliging. Voor iedere security expert zijn deze aandachtspunten vermoedelijk redelijk voor de hand liggend, maar dit maakt ze vanuit juridisch oogpunt niet minder belangrijk. Dit zijn immers de aspecten waar de AP als eerste oog voor heeft bij de beoordeling van de kwaliteit van de informatiebeveiliging binnen een organisatie. Het is het laaghangend fruit waar iedere organisatie minimaal aan zou moeten voldoen.

Verder lezen bij de bron
IB&P

Lees ons boek

Gemeenten. Bewustzijn. Privacy.

Het handboek voor informatiebewustzijn bij de lokale overheid.

Nieuwsbrief

Deze versturen we 3-4x per jaar.

Recente blogs

De rol van de lijnmanager op het gebied van privacy
In onze wereld, met alle informatietechnologie, is privacy belangrijker dan ooit. Als lijnmanager heb je een belangrijke rol om ervoor te zorgen dat iedereen zich aan de regels van de van de organisatie houdt. Maar wat houdt deze rol precies in en welke verantwoordelijkheden komen daarbij kijken? Dat lees je in deze blog.
Waarom is contractmanagement ook belangrijk voor informatiebeveiliging?
Contractmanagement speelt een belangrijke rol in het kader van informatiebeveiliging. Het is namelijk niet alleen een manier om zakelijke overeenkomsten te beheren; het vormt ook de basis voor een goede informatiebeveiligingsstrategie. Waarom dat zo is lees je in deze blog.
Een verwerkersovereenkomst afgesloten, en dan?
Een van de belangrijkste eisen uit de AVG is dat je een verwerkersovereenkomst moet opstellen wanneer je persoonsgegevens laat verwerken door anderen. In deze blog lees je meer over wat er moet gebeuren nadat je een verwerkersovereenkomst hebt afgesloten, om te zorgen dat je blijft voldoen aan de AVG.

Meer recente berichten

Netwerksegmentatie houdt Chinese staatshackers tegen bij Defensie
Verder lezen
Inlichtingendiensten onderzochten onrechtmatig hele bevolkingsgroepen
Verder lezen
Overheid dreigt Facebook in de ban te doen vanwege zorgen om privacy
Verder lezen
Vier kritieke kwetsbaarheden in Ivanti Connect Secure en Policy Secure
Verder lezen
Cyber Security Raad vraagt nieuwe kabinet om grote investering
Verder lezen
Onderzoek Kaspersky: Nederlandse consumenten bezuinigen op kosten, maar ook op privacy en veiligheid
Verder lezen
Europees onderzoek: positie FG moet beter
Verder lezen
Aanpassing aan Europese Cyber Resilience Act stelt critici gerust over open source
Verder lezen
Belang cybersecurity neemt evenredig toe met techafhankelijkheid
Verder lezen
Belastingdienst moet nog 72 procent bedrijfsprocessen aan AVG toetsen
Verder lezen