Een goede vraag.
Een duidelijk vertrekpunt.

Een AI-verslag blijft een concept dat de zorgverlener zorgvuldig moet controleren. Onderzoek vóór gebruik hoe spraak, transcript en samenvatting worden verwerkt. De KNMG vraagt bij een geluidsopname toestemming van de patiënt en adviseert de opname te vernietigen zodra de schriftelijke vastlegging is gemaakt. Een praktische privacy- en leveranciersbeoordeling hoort daar naast te staan.

Wacht niet op een geruststellende reactie voordat u intern handelt. Beperk de verspreiding, leg de feiten vast en beoordeel direct de risico’s voor de betrokken patiënt. Een verwijderbevestiging kan meewegen, maar bewijst niet dat niemand de informatie heeft gezien. Melden aan de AP en informeren van de patiënt zijn twee afzonderlijke beoordelingen.

De bodycam of functietitel bepaalt het regime niet alleen. Onderzoek met welk doel, in welke taak en onder welke bevoegdheid de beelden worden verwerkt. Opnames voor medewerkersveiligheid kunnen onder de AVG vallen; verwerking voor de opsporingstaak van een boa vraagt beoordeling onder de Wpg. Ook later gebruik en verstrekking moeten afzonderlijk worden onderbouwd.

Een map met beleid is onvoldoende om de werking van Wpg-maatregelen te beoordelen. Koppel iedere onderzochte norm aan het proces, de verantwoordelijke en bewijs uit de praktijk. Leg vast welke periode en steekproef zijn onderzocht, wat niet kon worden vastgesteld en hoe verbeteringen opnieuw worden gecontroleerd. De organisatie blijft verantwoordelijk; de FG houdt onafhankelijk toezicht.

Voer persoonsgegevens alleen in binnen een beoordeelde toepassing, voor een rechtmatig doel en met passende afspraken en beveiliging. Beperk de invoer tot wat werkelijk nodig is. Namen verwijderen, een betaald account gebruiken of modeltraining uitschakelen is ieder afzonderlijk onvoldoende om een prompt veilig of rechtmatig te maken.

Een DPIA onderzoekt risico’s van persoonsgegevensverwerking voor mensen. Het IAMA ondersteunt beoordeling van de gevolgen van algoritmen voor grondrechten, vooral binnen de overheid. Een ethische afweging onderzoekt breder welke keuze verantwoord is en waarom. De instrumenten kunnen elkaar versterken, maar vervangen elkaar niet automatisch. Welke beoordeling verplicht is, hangt af van de verwerking, het systeem en de organisatie.

Begin een camera-DPIA bij het probleem dat u wilt oplossen, niet bij de mogelijkheden van het camerasysteem. Beschrijf waar, wanneer en wie u filmt, toets minder ingrijpende oplossingen en onderzoek gevolgen voor medewerkers en bezoekers. Vertaal de uitkomst naar aantoonbare instellingen en werkafspraken. Beoordeel vooraf of een DPIA verplicht is, betrek een aangewezen FG en regel eventuele OR-instemming. Een ingevuld rapport of akkoord van de OR vervangt geen rechtmatige, noodzakelijke inzet.

Een oud-medewerker kan inzage vragen in persoonsgegevens die uw organisatie nog verwerkt. Beperk het onderzoek niet automatisch tot het personeelsdossier: ook e-mail, beoordelingen en andere systemen kunnen relevante gegevens bevatten. Stel een navolgbaar zoekplan op, beoordeel bescherming van anderen en verstrek een begrijpelijke kopie met de benodigde informatie. Een arbeidsconflict is op zichzelf geen reden om inzage te weigeren. Reageer zonder onnodige vertraging en bewaak de toepasselijke AVG-termijn.

Verbind Wpg-toegang aan de concrete taak van de medewerker en controleer wat die bevoegdheid in het systeem mogelijk maakt. Logging moet vervolgens relevante handelingen kunnen reconstrueren; alleen vastleggen dat iemand heeft ingelogd is daarvoor niet genoeg. Organiseer beoordeling en opvolging van afwijkingen en bewaar passend bewijs. Autorisatiebeheer, logcontrole en onafhankelijk toezicht hebben eigen verantwoordelijken. Voorbereiding van dit dossier vervangt de wettelijke externe Wpg-audit niet.

De Wpg kent verschillende verwerkingsregimes en maakt onderscheid tussen gegevens uit de operationele verwerking verwijderen en ze definitief vernietigen. Bepaal eerst op welke bepaling de gegevens worden verwerkt en welk moment de termijn laat lopen. Vertaal daarna iedere fase naar toegang, gebruik en systeemacties. Een algemene instelling ‘tien jaar bewaren’ is onvoldoende. Controleer ook kopieën, koppelingen en migraties, en leg vast hoe u noodzakelijkheid, uitzonderingen en daadwerkelijke vernietiging onderbouwt.

Beoordeel een SaaS-verwerkersovereenkomst samen met de feitelijke dienst. Bepaal welke partij doelen en middelen vaststelt, welke gegevens worden gebruikt en wat de leverancier voor eigen doeleinden doet. Controleer daarna of instructies, beveiliging, subverwerkers, hulp bij verzoeken, incidenten en beëindiging voldoende concreet zijn geregeld. Een standaardcontract of certificaat vervangt die beoordeling niet. Neem ook de productinstellingen en internationale toegang mee: contractuele beloften moeten in uw gekozen pakket uitvoerbaar zijn.

Bepaal per fase waarom sollicitatiegegevens nog nodig zijn. De AP noemt voor afgewezen kandidaten verwijderen binnen vier weken als praktisch uitgangspunt, tenzij andere afspraken zijn gemaakt. Langer bewaren voor toekomstige vacatures vraagt een afzonderlijk doel, grondslag en duidelijke termijn. Controleer niet alleen het recruitmentplatform, maar ook mailboxen, downloads en notities. Bij indiensttreding verhuist alleen relevante informatie naar het personeelsdossier. Een concreet geschil kan een afzonderlijke, beperkte bewaarbeoordeling vragen.

Lees een privacyklacht eerst op wat de persoon feitelijk vraagt en meldt. In één bericht kunnen een klacht, een AVG-verzoek en een mogelijk datalek samenkomen. Geef die onderdelen ieder een passende route en verantwoordelijke, terwijl één contactpersoon de communicatie bewaakt. Onderzoek feiten zonder de uitkomst vooruit te lopen, leg keuzes vast en antwoord concreet. De termijn voor een AVG-verzoek geldt niet automatisch als universele termijn voor iedere algemene klacht.

Een AVG-audit toetst afgesproken privacycriteria aan bewijs uit uw organisatie. Een privacyvolwassenheidstoets onderzoekt hoe structureel u privacy organiseert, uitvoert en verbetert. De onderzoeksvraag en afgesproken methode bepalen wat u aan de uitkomst heeft.

Koppel iedere bevinding aan het getoetste criterium, de vastgestelde afwijking, een passende maatregel, een eigenaar en bewijs van werking. Controleer daarna of de maatregel de bevinding daadwerkelijk oplost. Een beleidswijziging alleen is niet altijd voldoende.

Bij boa’s kan de verwerking voor de opsporingstaak onder de Wet politiegegevens vallen, terwijl andere verwerkingen onder de AVG vallen. De concrete taak, het doel en de gegevensstroom zijn bepalend. Een functietitel of applicatienaam alleen geeft geen antwoord.

Recente privacyzaken gaan over dagelijkse beheersing: menselijke controle, bewaartermijnen, beveiliging, verzoeken, kinderen en toestemming. De bedragen verschillen sterk per zaak. Hieronder staat een selectie uit 2025–2026, gecontroleerd op 12 september 2026, met links naar de toezichthouders.

Een Functionaris Gegevensbescherming, afgekort FG, houdt onafhankelijk toezicht op de toepassing van de AVG binnen een organisatie. De FG informeert en adviseert, controleert naleving, adviseert over DPIA’s en is contactpunt voor betrokkenen en de Autoriteit Persoonsgegevens.

Een FG is onder de AVG verplicht voor overheidsinstanties en publieke organen, bij regelmatige en stelselmatige observatie op grote schaal en wanneer de kernactiviteiten bestaan uit grootschalige verwerking van bijzondere persoonsgegevens of strafrechtelijke gegevens.

Een Privacy Officer maakt privacybeleid uitvoerbaar. De PO beheert onder meer het verwerkingsregister, begeleidt DPIA’s, coördineert datalekken en betrokkenenrechten, beoordeelt leveranciers en bewaakt verbeteracties.

Een datalek moet in beginsel zonder onredelijke vertraging en waar mogelijk binnen 72 uur na kennisname aan de Autoriteit Persoonsgegevens worden gemeld, tenzij het lek waarschijnlijk geen risico inhoudt voor de rechten en vrijheden van personen. Bij een waarschijnlijk hoog risico moeten ook betrokkenen worden geïnformeerd, tenzij een uitzondering geldt.

Een DPIA is een gegevensbeschermingseffectbeoordeling waarmee een organisatie vóór een waarschijnlijk hoog-risicoverwerking de noodzaak, proportionaliteit, privacyrisico’s en maatregelen systematisch onderzoekt.

Ja, een Functionaris Gegevensbescherming kan grotendeels op afstand werken als de FG goed bereikbaar is, tijdig informatie krijgt, toegang heeft tot bestuur en medewerkers en de organisatie effectief kan begrijpen en toetsen. Datajuristen werkt online. Vooraf beoordelen we of informatievoorziening en onderzoeksmogelijkheden voldoende zijn voor de opdracht.

Een externe Privacy Officer is verstandig wanneer privacywerk structureel blijft liggen, projecten te laat worden getoetst of interne capaciteit ontbreekt. De PO kan een vaste werkvoorraad beheren zonder dat direct een volledige functie in loondienst nodig is.

Een DPIA is bij AI nodig wanneer de verwerking van persoonsgegevens waarschijnlijk een hoog privacyrisico oplevert. Dat kan bijvoorbeeld spelen bij profilering, grootschalige monitoring, bijzondere gegevens, kwetsbare personen, innovatieve technologie of besluiten met belangrijke gevolgen.

Een verwerkingsregister is voor veel organisaties verplicht. De uitzondering voor organisaties met minder dan 250 medewerkers is beperkt en geldt niet wanneer verwerking niet incidenteel is, waarschijnlijk risico oplevert of bijzondere of strafrechtelijke gegevens omvat.

Een AVG-audit onderzoekt of privacy niet alleen is gedocumenteerd, maar aantoonbaar werkt. De controle omvat doorgaans governance, verwerkingsregister, grondslagen, transparantie, rechten, DPIA’s, leveranciers, beveiliging, datalekken, bewaartermijnen en bewustwording.

De AVG kent geen algemene bewaartermijn voor alle persoonsgegevens. Bewaar gegevens zolang dat nodig is voor een concreet, rechtmatig doel en houd rekening met specifieke wettelijke bewaarplichten. Bepaal per gegevenscategorie de termijn, het startmoment en wat er daarna met de gegevens gebeurt.

Een verwerkersovereenkomst is nodig wanneer een zelfstandige partij persoonsgegevens voor uw organisatie verwerkt en daarbij uw instructies volgt. Beoordeel eerst de feitelijke rol per verwerking. Bij gezamenlijke of afzonderlijke verwerkingsverantwoordelijkheid gelden andere afspraken.

Een zorgorganisatie regelt minimaal duidelijk eigenaarschap, een actueel verwerkingsregister, passende toegang tot dossiers, transparantie en cliëntrechten, bewaartermijnen, DPIA’s, leveranciersafspraken, een werkende datalekroute en periodieke controle en awareness.

Voor een medisch dossier geldt in het algemeen een bewaartermijn van twintig jaar vanaf de laatste wijziging. Langer bewaren kan noodzakelijk zijn voor goede zorg of voortvloeien uit andere regels. Een patiënt kan ook eerder om vernietiging vragen; dat verzoek vraagt een afzonderlijke beoordeling.

Beperk de schade, bescherm de zorgverlening en leg onmiddellijk vast wat bekend is. Meld een meldplichtig datalek zonder onnodige vertraging en waar mogelijk binnen 72 uur nadat de organisatie ervan kennis heeft genomen. Informeer patiënten bij waarschijnlijk hoog risico en registreer elk datalek, ook als geen melding nodig is.

PO-as-a-Service bij Datajuristen start vanaf €595 exclusief btw per maand voor vier uur vaste inzet. Meer capaciteit hangt af van werkvoorraad, omvang, risico’s, aantal entiteiten, systemen en gewenste beschikbaarheid.

Microsoft 365 Copilot respecteert bestaande toegangsrechten. Daardoor kan een medewerker ook via Copilot informatie tegenkomen waarvoor de toegang technisch wel bestaat, maar organisatorisch onbedoeld te ruim is. Controleer daarom eerst de feitelijke rechten en gegevensstromen. Beoordeel daarnaast afzonderlijk of uw concrete gebruik een DPIA vereist; een Microsoft-licentie beantwoordt die vraag niet.

Een mens die op de laatste knop drukt, biedt niet automatisch betekenisvolle controle. Onderzoek wie cv’s werkelijk beoordeelt, welke kandidaten buiten beeld blijven en of de recruiter tijd, informatie en bevoegdheid heeft om van de ranking af te wijken. De AVG-beoordeling en de AI Act-classificatie moeten afzonderlijk worden uitgevoerd.

Begin bij het proces en de gevolgen voor inwoners. Een DPIA beoordeelt privacyrisico’s van persoonsgegevensverwerking; het IAMA ondersteunt een bredere mensenrechtenafweging bij algoritmen. Een FRIA heeft een specifieke wettelijke reikwijdte voor bepaalde hoogrisico-AI. U kunt onderzoeksgegevens hergebruiken, maar moet per instrument vastleggen welke vragen zijn beantwoord en welke conclusie daarbij hoort.

Begin met één afgebakende werktaak en teken de gegevensstroom van invoer tot gebruik van het antwoord. Beoordeel vervolgens noodzaak, grondslag, rollen, beveiliging en gevolgen voor mensen. Leg vast onder welke voorwaarden de toepassing mag starten, wie daarvoor verantwoordelijk is en welke verandering een nieuwe beoordeling vraagt.

Leg op het juiste moment uit welke rol AI speelt, welke persoonsgegevens worden verwerkt, wat de gevolgen kunnen zijn en waar iemand met vragen terechtkan. Maak onderscheid tussen AVG-informatie, specifieke AI Act-verplichtingen en aanvullende uitleg die mensen helpt. Een algemeen AI-label of een lange privacyverklaring is daarvoor zelden een complete oplossing.

Beoordeel bias in de hele beslisketen: van het gekozen doel en de invoergegevens tot de uitkomst en de reactie van medewerkers. Onderzoek verschillen tussen relevante groepen en de gevolgen van verschillende fouten. Een goed gemiddeld prestatieniveau bewijst geen gelijke behandeling. Ook het verwijderen van beschermde kenmerken sluit indirect onderscheid niet uit; technische tests en juridische beoordeling vullen elkaar aan.

Begin bij het verslag dat u nodig heeft en bepaal daarna of een opname noodzakelijk is. Onderzoek afzonderlijk de audio, transcriptie, AI-samenvatting en definitieve notulen. Leg vast wie deze gegevens mag zien, hoe lang ze worden bewaard en wie besluiten controleert. Beoordeel de privacygrondslag en leveranciersafspraken vóór gebruik. Een opnamewaarschuwing of vinkje van de organisator vervangt die beoordeling niet. Geef deelnemers vooraf begrijpelijke informatie en organiseer een route bij vragen of bezwaren.

Maak het leerplan vanuit taken en beslissingen, niet alleen vanuit functietitels. Noteer per groep welke AI wordt gebruikt, welke gevolgen fouten kunnen hebben en wat medewerkers zelf moeten beoordelen. Vertaal dat naar waarneembare leerdoelen, passende oefeningen en een eigenaar voor vervolgvragen. Een gezamenlijke basis kan efficiënt zijn, met verdieping voor specifieke rollen. Leg ook vast wanneer nieuw gebruik of een functiewijziging om aanvullende uitleg vraagt en hoe leerpunten terugkomen in werkinstructies.

Verbind AI-instructie met de toegang tot tools en de eerste taken van een medewerker. Laat zien welke omgeving is toegestaan, welke gegevens daarin passen en wie helpt bij twijfel. Oefen met fictieve informatie voordat iemand een echte taak zelfstandig uitvoert. Leg de relevante instructieversie en open vragen vast en plan begeleiding bij het eerste gebruik. Herhaal deze afstemming bij functiewijzigingen, tijdelijke inzet en nieuwe toepassingen; ervaring met AI elders vervangt uw eigen werkafspraken niet.

Een bruikbare controle-instructie benoemt het doel van de uitkomst, de leidende bron, de te controleren onderdelen en de beslissing na controle. Laat medewerkers feiten, volledigheid, voorwaarden en gevolgen beoordelen. Spreek af wanneer aanpassen voldoende is en wanneer een deskundige of bevoegde beslisser nodig is. Geef de beoordelaar toegang tot bronnen en tijd om fouten te onderzoeken. Alleen bevestigen dat iemand heeft meegekeken maakt de controle nog niet betekenisvol of uitvoerbaar.

Inventariseer schaduw-AI vanuit het werk dat medewerkers proberen te doen. Combineer gesprekken met bestaande informatie over software, inkoop en toegestane koppelingen. Leg per toepassing doel, gegevens, accounttype, eigenaar en gebruik van de uitkomst vast. Geef onbekende toepassingen een duidelijke beoordeling en opvolging. Wees open over het doel van de inventarisatie en beperk gegevens over medewerkers. Het resultaat is een bijgehouden gebruiksoverzicht met besluiten, niet alleen een lijst met verboden productnamen of gevonden websites.

Begin met een beschrijving van uw eigen toepassing en stel daarop gerichte leveranciersvragen. Onderzoek welke gegevens worden verwerkt, voor welke doelen, door welke partijen en met welke instellingen. Vraag bewijs dat past bij de aangeboden dienst en configuratie. Beoordeel daarnaast kwaliteit, menselijke controle, wijzigingen en beëindiging. Leg vast welke antwoorden voldoende zijn, welke voorwaarden gelden en welke onzekerheden ingebruikname blokkeren. Een algemeen beveiligingscertificaat of verkoopbelofte beantwoordt niet automatisch de vragen over uw concrete gebruik.

Een bestuur moet kunnen beoordelen welk probleem een AI-toepassing oplost, welke gevolgen fouten hebben en wie het gebruik beheert. Vraag om een afgebakend voorstel met gegevens, controles, capaciteit en stopcriteria. Beoordeel baten samen met kosten van controle, correctie en leveranciersafhankelijkheid. Leg het besluit en de voorwaarden vast en vraag gerichte voortgangsinformatie. AI-geletterdheid voor bestuurders richt zich daarmee op hun eigen beslissingen, zonder dat iedere bestuurder het model technisch hoeft te kunnen bouwen of programmeren.

Maak onderscheid tussen algemene informatie, klantgebonden antwoorden en beslissingen over aanspraken. Leer medewerkers welke gegevens en bronnen bij iedere taak passen en wanneer AI alleen een concept mag maken. Oefen met verkeerde voorwaarden, ontbrekende context en ongefundeerde toezeggingen. Richt een bruikbare overdracht naar een bevoegde collega in. Beoordeel ook hoe klanten over een rechtstreeks AI-gesprek worden geïnformeerd. Meet kwaliteit en herhaalcontact naast snelheid, zodat fouten niet verdwijnen achter gunstige afhandeltijden of aantallen automatisch gesloten gesprekken.

Maak zichtbaar welke AI uw mensen gebruiken, welke begeleiding daarbij past en wat u daadwerkelijk organiseert. Leg activiteiten, doelgroepen, verantwoordelijken en vervolgacties vast. Artikel 4 verlangt ondersteunende maatregelen; een voorgeschreven certificaat of garantie op een bepaald individueel kennisniveau geldt niet.

De AI Act geldt gefaseerd. In september 2026 zijn onder meer verboden toepassingen, maatregelen voor AI-geletterdheid en transparantieregels relevant. De AI Omnibus geldt sinds 27 juli 2026. Voor veel hoogrisicotoepassingen volgt het regime op 2 december 2027; voor bepaalde productgebonden systemen op 2 augustus 2028.

Artikel 50 kent verschillende transparantieregels. Denk aan informatie bij directe interactie met AI, machineleesbare markering door aanbieders en openbaarmaking bij deepfakes. Niet iedere tekst of afbeelding waarbij AI helpt vereist automatisch hetzelfde zichtbare label.

Beoordeel AI bij HR op het werkelijke gebruik en de gevolgen voor mensen. Een vacaturetekst schrijven is iets anders dan kandidaten selecteren. AVG-regels gelden nu al; bepaalde HR-toepassingen vallen onder het toekomstige hoogrisicoregime. Emotieherkenning op basis van biometrische gegevens op het werk is in beginsel al verboden, met beperkte uitzonderingen.

Beoordeel het doel, de ingevoerde persoonsgegevens, de leverancier en de manier waarop uitkomsten worden gebruikt. Maak afspraken over toegang, bewaartermijnen, modeltraining en menselijke controle. Een zakelijke licentie of uitgeschakelde trainingsoptie is op zichzelf geen volledige AVG-beoordeling.

Aanbieders en gebruiksverantwoordelijken moeten maatregelen nemen die de ontwikkeling van AI-geletterdheid ondersteunen bij personeel en anderen die namens hen met AI werken. Sinds de wijziging van artikel 4 op 27 juli 2026 wordt geen garantie op een bepaald individueel kennisniveau verlangd. Kennis, ervaring, opleiding, gebruikscontext en de betrokken personen blijven richtinggevend.

AI-geletterdheid is het geheel van kennis, vaardigheden en begrip waarmee mensen AI verantwoord kunnen gebruiken en de kansen, risico’s en mogelijke schade herkennen. Het gewijzigde artikel 4 vraagt aanbieders en gebruiksverantwoordelijken maatregelen te nemen die de ontwikkeling van AI-geletterdheid ondersteunen; een gegarandeerd individueel niveau is niet vereist.

AI-beleid beschrijft waarvoor uw organisatie AI gebruikt, welke toepassingen en gegevens zijn toegestaan, wie beslist en hoe mensen de uitkomsten controleren. Het verbindt de regels met het dagelijkse werk.

Een intern AI-register is een overzicht van de AI-toepassingen in uw organisatie. Per toepassing legt u het doel, de eigenaar, leverancier, gebruikte gegevens, beoordeling en afspraken vast. Het helpt besluiten en opvolging bij elkaar te houden.

Een klant die onder de Cyberbeveiligingswet valt, maakt u niet automatisch zelf wettelijk plichtig. Onderzoek eerst uw eigen activiteiten, omvang, groepsverband en eventuele uitzonderingen. Beantwoord daarna de concrete leveranciersvragen van de klant met aantoonbare maatregelen en heldere afspraken. Een algemene verklaring ‘NIS2-compliant’ zegt zonder scope en onderbouwing weinig.

Een cybersecurity-nulmeting begint met een duidelijke onderzoeksvraag, een afgebakende organisatie en beschikbare informatie over systemen, toegang, leveranciers en herstel. Verzamel bestaande stukken en benoem wat ontbreekt. Betrek naast IT ook een proceseigenaar en iemand die beslissingen over risico en budget kan nemen. Spreek vooraf af wat wordt onderzocht, hoe bevindingen worden onderbouwd en welke keuzes het eindrapport moet ondersteunen. U hoeft uw beveiliging niet eerst perfect te maken om te kunnen beginnen.

Een cybersecurity-nulmeting onderzoekt binnen een afgesproken scope hoe uw organisatie beveiliging bestuurt en uitvoert. Een pentest onderzoekt technisch of zwakheden in geselecteerde systemen kunnen worden benut. De eerste helpt prioriteiten en verantwoordelijkheden bepalen; de tweede geeft technisch bewijs over een gerichte onderzoeksvraag. Ze kunnen elkaar aanvullen. Beide hebben grenzen in tijd, scope en methode. Geen van beide levert vanzelf een certificaat of zekerheid over alle systemen en processen op.

Bij een tabletop-cyberoefening doorloopt een team een fictief incident in gespreksvorm. De oefenleider voegt informatie toe; deelnemers bespreken gevolgen, verantwoordelijkheden en besluiten. Kies vooraf enkele concrete leerdoelen, gebruik de echte rollen en leg waarnemingen vast. Bespreek daarna welke afspraken moeten veranderen en controleer de uitvoering. Een tabletop laat zien hoe mensen redeneren en samenwerken. Zij bewijst niet dat back-ups technisch werken of dat systemen een aanval kunnen weerstaan.

Bruikbaar herstelbewijs beschrijft wat is teruggezet, uit welke back-up, onder welke omstandigheden en met welke uitkomst. Leg de werkelijk gemeten hersteltijd en ouderdom van herstelde gegevens vast en vergelijk die met vooraf afgesproken doelen. Laat daarnaast een proceseigenaar controleren of het werk ermee kan worden hervat. Een melding dat de back-uptaak succesvol is uitgevoerd, is waardevolle beheerinformatie, maar toont deze volledige herstelketen niet aan. Technische uitvoering vraagt bevoegde beheerders.

Begin bij het bedrijfsproces dat door leveranciersuitval kan stilvallen. Bepaal de gevolgen, aanvaardbare onderbreking en informatie die u nodig heeft om tijdelijk door te werken. Leg vervolgens vast wie beslist, welke noodwerkwijze beschikbaar is en welke afspraken met de leverancier gelden. Controleer of die werkwijze uitvoerbaar is en plan hervatting. Een beschikbaarheidspercentage of recht op compensatie helpt bij contractbeheer, maar vervangt geen eigen plan voor het werk dat tijdens uitval moet doorgaan.

Koppel toegang aan een bevestigde arbeids- of opdrachtrelatie, een concrete taak en goedkeuring door een bevoegde eigenaar. Laat HR of de opdrachtgever wijzigingen tijdig melden en laat beheerders de afgesproken rechten uitvoeren. Controleer bij functiewijziging ook oude toegang en bij vertrek alle relevante omgevingen. Bewaar bewijs van aanvraag, besluit, uitvoering en controle. Het blokkeren van één centraal account is alleen voldoende wanneer aantoonbaar alle relevante toegang daarmee wordt beëindigd.

Begin bij concrete scenario’s die uw dienstverlening, gegevens of veiligheid kunnen raken. Beoordeel gevolgen, aannemelijkheid, bestaande maatregelen en onzekerheden en vergelijk vervolgens handelingsopties. Neem naast aanschafkosten ook beheer, personeelscapaciteit en afhankelijkheden mee. Leg vast welke maatregel prioriteit krijgt, wie het resterende risico draagt en wanneer u de keuze heroverweegt. Een risicoscore helpt ordenen, maar vervangt geen bestuurlijke afweging of geldende verplichting. Budget volgt zo uit de te beschermen belangen en het benodigde resultaat.

Een CISO geeft strategische en bestuurlijke regie aan informatiebeveiliging. De rol vertaalt digitale dreigingen naar organisatierisico, organiseert eigenaarschap en maatregelen, rapporteert aan het bestuur en bereidt de organisatie voor op incidenten.

CISO-as-a-Service start bij Datajuristen vanaf vier uur per maand voor €795 exclusief btw. Meer inzet kan nodig zijn bij meerdere locaties, complexe leveranciersketens, lage securityvolwassenheid, Cyberbeveiligingswet-verplichtingen of een actief incident.

De Cyberbeveiligingswet is de Nederlandse uitvoering van de Europese NIS2-richtlijn en geldt sinds 15 augustus 2026. De wet stelt eisen aan digitale weerbaarheid, risicobeheersing, incidentmelding, registratie en bestuurlijke verantwoordelijkheid voor organisaties die binnen de reikwijdte vallen.

Een externe CISO past wanneer de organisatie wel senior cybersecurityregie nodig heeft, maar geen volledige CISO-functie kan of wil opbouwen. De CISO organiseert risico-eigenaarschap, bestuurlijke rapportage, verbeterprioriteiten en incidentvoorbereiding.

Zorgorganisaties die binnen de reikwijdte van de Cyberbeveiligingswet vallen, moeten digitale risico’s aantoonbaar beheersen, significante incidenten volgens de geldende termijnen melden en bestuurders actief betrekken. Ook ketenpartners, medische systemen en continuïteit van zorg moeten in het risicobeeld worden opgenomen.

Een bruikbaar incident response plan beschrijft hoe u een incident herkent, wie mag beslissen en hoe schadebeperking, meldingen, communicatie en herstel samenkomen. Neem bereikbare contactpersonen, alternatieve communicatie, herstelcriteria en een beslislogboek op. Oefen het plan onder omstandigheden waarin gewone systemen of sleutelfiguren ontbreken.

Bepaal eerst welke dienstverlening afhankelijk is van de leverancier en wat uitval, onjuiste informatie of onbevoegde toegang betekent. Onderzoek daarna de maatregelen, contractafspraken, herstelmogelijkheden en alternatieven die bij die afhankelijkheid passen. Eindig met een onderbouwd besluit, een risico-eigenaar en concrete voorwaarden voor gebruik en herbeoordeling.

Volgens de IGJ moeten zorgaanbieders die persoonsgegevens in een zorginformatiesysteem verwerken aantoonbaar volgens NEN 7510 werken. Dat geldt ook voor kleine aanbieders. Een NEN 7510-certificaat is niet algemeen wettelijk verplicht; het managementsysteem en de maatregelen moeten wel regelmatig onafhankelijk worden beoordeeld.

Awareness en opleiding ondersteunen de risicobeheersmaatregelen onder NIS2 en de Cyberbeveiligingswet. Daarnaast geldt voor bestuurders van essentiële en belangrijke entiteiten een specifieke trainingsplicht. Of en hoe deze regels gelden, hangt af van de toepasselijkheid op uw organisatie.

NIS2 is de Europese richtlijn en de Cyberbeveiligingswet is de Nederlandse wettelijke uitwerking. ISO 27001 is een internationale norm voor een managementsysteem voor informatiebeveiliging. ISO 27001 kan veel bruikbaar bewijs en structuur leveren, maar een certificaat bepaalt niet automatisch of de wet geldt of dat aan alle wettelijke verplichtingen is voldaan.

Menselijke controle is betekenisvol wanneer een bevoegde en bekwame persoon relevante informatie zelfstandig kan beoordelen en de uitkomst daadwerkelijk kan veranderen. Een akkoordknop of steekproef maakt individuele besluiten niet vanzelf menselijk. Beoordeel het hele proces, inclusief de timing, werkdruk, presentatie van de AI-uitkomst en gevolgen voor betrokkenen.

Een bruikbaar afwegingskader voor data-ethiek begint bij de beslissing die gegevens gaan beïnvloeden. Breng vervolgens betrokkenen, botsende waarden, juridische grenzen en alternatieven in beeld. Onderbouw de keuze, vertaal voorwaarden naar uitvoerbare maatregelen en bepaal wanneer u het besluit heropent. Dat is ook nodig bij dashboards en spreadsheets: ethische gevolgen ontstaan niet uitsluitend door AI.

Een ethisch dilemma bespreekt u door een concrete handelingsvraag te formuleren, feiten van aannames te scheiden en de waarden achter verschillende standpunten te onderzoeken. Vergelijk uitvoerbare opties, inclusief hun nadelen voor betrokkenen. Eindig met een gemotiveerd besluit, voorwaarden en nazorg. Het gesprek hoeft niet unaniem te eindigen, maar moet wel laten zien waarom de keuze verdedigbaar is.

Maak bij due diligence onderscheid tussen onderzoek naar privacyrisico’s en het delen van persoonsgegevens voor ander overnameonderzoek. Begin waar mogelijk met geaggregeerde informatie en geanonimiseerde stukken. Beoordeel per volgende stap doel, noodzaak, grondslag, ontvangers en beveiliging. Een geheimhoudingsverklaring beschermt vertrouwelijkheid, maar geeft op zichzelf geen AVG-grondslag. Leg ook vast wat gebeurt als een kandidaat-koper afvalt. De informatie die voor een bod nodig is, hoeft niet dezelfde te zijn als voor overdracht na de transactie.

Een FG mag andere werkzaamheden verrichten zolang die geen belangenconflict veroorzaken. Kijk daarom verder dan de functietitel: wie bepaalt waarvoor persoonsgegevens worden gebruikt, hoe de verwerking wordt ingericht en welke risico’s worden aanvaard? Een FG die zulke keuzes zelf maakt, kan vervolgens het eigen beleid moeten beoordelen. Onderzoek taken, mandaten en feitelijke invloed. Leg een passende rolverdeling vast en controleer deze opnieuw bij reorganisaties, projecten of aanvullende opdrachten.

Een bruikbaar bewijsdossier koppelt ieder onderzocht criterium aan passende informatie over inrichting, uitvoering en opvolging. Een beleidsdocument laat zien wat is afgesproken; registraties, controles en afgehandelde afwijkingen tonen wat daadwerkelijk gebeurt. Noteer herkomst, datum, verantwoordelijke en beperkingen. Verzamel alleen wat nodig is en scherm persoonsgegevens gericht af. Een grote documentenmap bewijst geen algemene AVG-naleving. De onderzoeksvraag, periode en steekproef bepalen welke conclusies verantwoord zijn.

Een interne FG kent de organisatie vaak van dichtbij; een externe FG biedt doorgaans meer flexibele capaciteit, brede praktijkervaring en afstand voor onafhankelijk toezicht. De beste keuze hangt af van omvang, risicoprofiel, beschikbare expertise en mogelijke belangenconflicten.

De FG houdt onafhankelijk toezicht en adviseert; de Privacy Officer voert privacybeleid en processen uit. De FG beoordeelt de werking van de organisatie, terwijl de PO registers, DPIA’s, verzoeken, contracten en verbeteracties organiseert.

Bij Datajuristen start FG-as-a-Service vanaf vier uur per maand voor €595 exclusief btw. De uiteindelijke inzet hangt af van omvang, sector, risicoprofiel, aantal entiteiten, volwassenheid en gewenste aanwezigheid.

Een externe FG huurt u in via een dienstverleningsovereenkomst waarin taken, onafhankelijkheid, rapportagelijn, bereikbaarheid, capaciteit en vertrouwelijkheid zijn vastgelegd. De organisatie moet de FG tijdig betrekken, voldoende middelen geven en waar nodig aanmelden bij de Autoriteit Persoonsgegevens.

De CISO is doorgaans eindverantwoordelijk voor strategische cybersecurityregie en bestuurlijke rapportage. Een Security Officer werkt vaker operationeel of tactisch aan beleid, controles, awareness en opvolging. Titels verschillen per organisatie; mandaat en taken zijn daarom belangrijker dan de naam.

Bestuurders van organisaties binnen de Cyberbeveiligingswet moeten cyberbeveiligingsmaatregelen kunnen beoordelen, de uitvoering ervan bewaken en voldoende kennis onderhouden. Cyberrisico hoort daarmee aantoonbaar thuis in de bestuurlijke besluitvorming en rapportage.

AI-governance is de manier waarop uw organisatie verantwoordelijkheden, besluiten en controles rond AI organiseert. U legt vast welke toepassing voor welk doel mag worden gebruikt, wie risico’s beoordeelt, wie beslist en hoe fouten of veranderingen worden opgevolgd. De aanpak loopt door van eerste idee en inkoop tot dagelijks gebruik en beëindiging.

Een goede CISO-rapportage maakt duidelijk welke dienstverlening gevaar loopt, welke maatregelen aantoonbaar werken en welk risico overblijft. Benoem de eigenaar, veranderingen sinds de vorige rapportage en de besluiten die het bestuur moet nemen. Technische details ondersteunen die afweging; aantallen zonder context geven onvoldoende richting.

Er bestaat geen universele wettelijke regel dat iedere medewerker exact één keer per jaar dezelfde awareness-training moet volgen. Een effectief ritme is risicogestuurd en combineert onboarding, korte herhaling, rolgerichte verdieping en extra leermomenten bij veranderingen of incidenten.

Een goed awarenessprogramma bevat een risicobeeld, doelgroepen, concrete leerdoelen, onboarding, herhaling, rolgerichte verdieping, oefeningen, duidelijke meldroutes, meting en aantoonbare opvolging. Privacy, cybersecurity en AI kunnen samenkomen zonder hun verschillende regels te vermengen.

E-learning is sterk voor schaalbare basiskennis, onboarding en registratie. Interactieve training is sterker voor dilemma’s, rolgerichte keuzes en het oefenen van gedrag. De beste aanpak combineert beide op basis van doelgroep en leerdoel.

ISO 27001 en NEN 7510 kunnen vaak vanuit één managementsysteem worden ingericht. Dat voorkomt dubbel werk in risicoanalyse, documentbeheer en evaluatie. De certificeringsdoelgroep, scope en zorgspecifieke maatregelen moeten wel afzonderlijk worden beoordeeld. Begin daarom bij de diensten en gegevens waarvoor u zekerheid wilt geven.

Een ISO 27001-scope voor SaaS begint bij de dienstverlening waarvoor u aantoonbare informatiebeveiliging wilt organiseren. Alleen de productieserver noemen is meestal geen bruikbaar vertrekpunt. Ontwikkeling, cloudbeheer, ondersteuning en toegangsrechten kunnen allemaal invloed hebben op diezelfde dienst.

De verklaring van toepasselijkheid, vaak SoA genoemd, verbindt uw informatiebeveiligingsrisico's met de relevante beheersmaatregelen. Het document helpt uitleggen wat voor uw scope van toepassing is, waarom en hoe de implementatie ervoor staat. Het moet aansluiten op echte besluiten en uitvoering.

De kosten en doorlooptijd van ISO 27001 hangen vooral af van de scope, uw startpunt en de beschikbare capaciteit. Ook technische verbeteringen en de planning van de onafhankelijke certificerende instelling spelen mee. Vergelijk daarom werkzaamheden en aannames, niet alleen een totaalbedrag.

Een FG mag andere taken hebben, zolang zijn onafhankelijke positie niet wordt aangetast. Advies over een ISO 27001-traject kan passen. Zelf beslissen over doeleinden en middelen van persoonsgegevensverwerking en daar vervolgens toezicht op houden kan een belangenconflict opleveren. De concrete rolverdeling is doorslaggevend.

Een interne audit helpt uw organisatie beoordelen of het managementsysteem voldoet en werkt zoals afgesproken. De externe certificatieaudit is de onafhankelijke beoordeling voor een certificaat. Beide hebben een eigen doel. De implementatiebegeleider neemt de certificatiebeslissing niet over.