De AVG schrijft voor dat bedrijven “passende technische en organisatorische maatregelen” moeten nemen. Maar wanneer is iets passend? En hoe bewijs je dat als de Autoriteit Persoonsgegevens (AP) op controle komt?

ISO 27001 als juridisch referentiekader

ISO 27001 is de internationale norm voor informatiebeveiliging. Het geeft een stappenplan voor een Information Security Management System (ISMS). Zo breng je risico’s in kaart en bepaal je welke maatregelen nodig zijn. Artikel 32 AVG vraagt om rekening te houden met de stand van de techniek, de kosten en de aard van je verwerkingsactiviteiten. Microsoft ISO 27001-certificering geldt wereldwijd als maatstaf voor informatiebeveiliging. ISO 27001 helpt bij het maken en documenteren van die afweging. Het voordeel? Je laat zien dat je structureel aan beveiliging werkt. Niet pas als het fout gaat. Juridisch maakt dat verschil.

Verdedigbaarheid bij datalekken

Een datalek betekent direct juridische problemen. Had je het kunnen voorkomen? Zijn er van tevoren genoeg maatregelen genomen? De bewijslast ligt bij jou. ISO 27001-certificering maakt dat makkelijker. Je doet verplicht regelmatig risicoanalyses, registreert incidenten en voert verbeteringen door. Die papieren trail werkt in je voordeel bij procedures. De AP kijkt bij datalekken wat je geregeld had. Instant 27001 versnelt het certificeringsproces. Externe audits en certificering wegen zwaarder dan intern beleid.

Bewijspositie richting toezichthouder

De AP heeft brede bevoegdheden. Onderzoeken, boetes opleggen – het kan allemaal. Bij controles checkt de toezichthouder of je beleid klopt en of je het nakomt. ISO 27001 biedt daar structuur voor. Je doet interne audits, management reviews en externe audits. Precies wat de AVG vraagt: periodiek toetsen en bijstellen. Bij controles leg je je gecertificeerde ISMS en rapportages voor. Stelt de AP vragen? Dan heb je gedocumenteerde antwoorden. Risicoanalyses, keuzes, verbetertrajecten – alles staat op papier. Vaak voorkomt dat verdere problemen.

Relatie tussen ISO 27001 en NIS2

NIS2 stelt strenge eisen aan cybersecurity voor essentiële en belangrijke bedrijven. Risicobeheer, incidentafhandeling, rapportage – veel overlap met ISO 27001. Ben je al gecertificeerd? Dan loop je voor. Je ISMS bevat al de processen die NIS2 vraagt. Scheelt implementatietijd. ISO 27001 dekt AVG én NIS2 grotendeels af. Val je onder beide? Dan werk je efficiënt.

Deze versturen we 3-4x per jaar.