GDPR-beveiligingseisen: Compliance-checklist & Gids

GDPR-beveiligingseisen vereisen risicogebaseerde technische maatregelen onder Artikelen 25 en 32. Deze gids behandelt handhaving, sancties en een compliance-checklist.

Wat zijn de GDPR-beveiligingseisen?

Een mislukte meldingsplicht bij een datalek kostte Meta miljoenen. Een overtreding van Artikel 25 privacy-by-design leidde tot een nog veel hogere boete. Dit zijn geen hypothetische scenario's. Het zijn handhavingsmaatregelen die zijn vastgelegd in het 2024 Jaarverslag van de Ierse DPC, en ze tonen aan waarom GDPR-beveiligingseisen in 2026 een topprioriteit voor compliance blijven.

Recente incidenten laten hetzelfde patroon zien vanuit het perspectief van de aanval zelf. MGM Resorts gaf aan dat de cyberaanval van september 2023 naar verwachting een negatieve impact van ongeveer $100 miljoen zou hebben op de resultaten van Q3 2023, volgens het MGM 8-K. In de VS meldde de FTC dat Equifax akkoord ging met een schikking tot $575 miljoen na het datalek in 2017 waarbij consumentengegevens werden blootgesteld, volgens de FTC-schikking. GDPR-beveiligingseisen bestaan om te voorkomen dat dit soort incidenten escaleren tot blijvende financiële en operationele schade.

GDPR-beveiligingseisen zijn de technische en organisatorische maatregelen die Artikelen 25 en 32 van de Algemene Verordening Gegevensbescherming verplicht stellen voor elke organisatie die persoonsgegevens van inwoners van de EU/EER verwerkt. GDPR is bewust technologieneutraal en noemt geen specifieke tools of oplossingen. In plaats daarvan vereist het dat u "passende technische en organisatorische maatregelen" implementeert op basis van een gedocumenteerde GDPR-risicobeoordeling die rekening houdt met de stand van de techniek, implementatiekosten en de aard van uw verwerkingsactiviteiten. 

Artikel 32 noemt expliciet vier categorieën maatregelen:

• Pseudonimisering en versleuteling van persoonsgegevens
• Het vermogen om de voortdurende vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht van verwerkingssystemen te waarborgen
• Het vermogen om na een incident tijdig toegang tot persoonsgegevens te herstellen
• Een proces voor het regelmatig testen en evalueren van de effectiviteit van uw beveiligingsmaatregelen

Artikel 25 voegt daar twee extra verplichtingen aan toe: gegevensbescherming vanaf het ontwerp inbouwen en standaard alleen het minimaal noodzakelijke aan persoonsgegevens verwerken.

De handhavingsrisico's zijn aanzienlijk. Toezichthoudende autoriteiten blijven aanzienlijke boetes opleggen voor onvoldoende beveiligingsmaatregelen, zoals bijgehouden door de Enforcement Tracker. Inzicht in de eisen begint bij het begrijpen van de koppeling met uw bestaande beveiligingsoperaties en de organisaties waarop ze van toepassing zijn.

Hoe GDPR-beveiligingseisen zich verhouden tot cybersecurity

GDPR-beveiligingseisen en cybersecurity-operaties overlappen direct, maar zijn niet identiek. Uw cybersecurityprogramma beschermt systemen, netwerken en data tegen aanvallen. GDPR-beveiligingseisen richten zich specifiek op het beschermen van de rechten en vrijheden van individuen van wie u persoonsgegevens verwerkt.

In de praktijk vormen uw bestaande beveiligingsmaatregelen de basis van GDPR-naleving. Endpointbescherming, toegangsbeheer, versleuteling en incidentrespons dragen allemaal bij. Maar GDPR voegt specifieke verplichtingen toe waaraan uw beveiligingsstack moet voldoen: een meldingsplicht van 72 uur bij datalekken onder Artikel 33, forensische mogelijkheden om de omvang en impact van een lek te beoordelen, continue documentatie die aantoont dat uw maatregelen passend zijn, en regelmatige tests die verder gaan dan penetratietests om te evalueren of uw volledige beveiligingsprogramma proportioneel blijft aan het risico. Voor SOC-workflowcontext, stem dit af op XDR-fundamentals.

De verbinding gaat verder dan gedeelde tooling. De EDPB Security digest bevestigt dat toezichthouders beoordelen of uw geïmplementeerde maatregelen passend waren gezien de omstandigheden, niet of u elk mogelijk lek heeft voorkomen. Dit betekent dat uw cybersecurityhouding uw compliancehouding is. Zwakke endpointbescherming, trage incidentrespons en gefragmenteerd inzicht in omgevingen vertalen zich direct in regulatoir risico.

Op wie zijn GDPR-beveiligingseisen van toepassing

De reikwijdte van GDPR gaat veel verder dan de EU. Onder Artikel 3 zijn deze beveiligingseisen van toepassing op elke organisatie die persoonsgegevens verwerkt van individuen die zich in de EU/EER bevinden, ongeacht waar de organisatie zelf is gevestigd. Een in de VS gevestigd SaaS-bedrijf dat Europese klantgegevens opslaat, een Aziatische fabrikant met EU-werknemers en een Braziliaanse e-commercesite die naar EU-adressen verzendt, vallen allemaal onder de reikwijdte als zij EU-persoonsgegevens verwerken.

Zowel verwerkingsverantwoordelijken (organisaties die bepalen waarom en hoe gegevens worden verwerkt) als verwerkers (derden die gegevens namens een verantwoordelijke verwerken) hebben directe beveiligingsverplichtingen onder Artikel 32. Alleen de omvang van de organisatie biedt geen vrijstelling. Hoewel Artikel 30 bepaalde documentatieverplichtingen versoepelt voor organisaties met minder dan 250 werknemers, geldt het nog steeds als de verwerking risico's voor betrokkenen inhoudt, niet incidenteel is of gevoelige gegevenscategorieën omvat. Als uw organisatie op regelmatige basis EU-persoonsgegevens verwerkt, zijn de GDPR-beveiligingseisen op u van toepassing.

Met de reikwijdte en relatie tot cybersecurity vastgesteld, is de volgende stap het begrijpen van elke kernverplichting in detail.

Kern GDPR-beveiligingseisen

GDPR-beveiligingsverplichtingen beslaan twee primaire artikelen, elk gericht op een andere fase van gegevensbescherming. Dit is wat elk vereist van uw beveiligingsteam.

• Versleuteling en pseudonimisering (Artikel 32(1)(a)) : Artikel 32 noemt expliciet versleuteling en pseudonimisering als passende maatregelen. De EDPB-richtlijnen 01/2025 over pseudonimisering definiëren dit als het verwerken van persoonsgegevens zodat deze niet aan een specifieke persoon kunnen worden toegeschreven zonder apart bewaarde aanvullende informatie. U heeft versleuteling nodig voor data in rust, tijdens transport en in back-ups, met gecentraliseerd sleutelbeheer volgens de ICO-richtlijnen. Voor implementatiefundamenten, zie de basisprincipes van versleuteling.
• Vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht (Artikel 32(1)(b)): Deze eis breidt de traditionele CIA-triad uit met veerkracht. De EDPB Security digest noemt "juiste toegangscontrolemechanismen met individuele authenticatie" als een veelvoorkomend aandachtspunt bij toezicht op compliance. U heeft rolgebaseerde toegangscontrole, multi-factor authenticatie voor systemen die persoonsgegevens verwerken en need-to-know toegangsbeleid nodig.
• Tijdig herstel (Artikel 32(1)(c)): Artikel 32(1)(c) verplicht het vermogen om beschikbaarheid en toegang tot persoonsgegevens tijdig te herstellen na een fysiek of technisch incident, waardoor back-up, disaster recovery en rollback expliciete wettelijke eisen zijn.
• Regelmatig testen (Artikel 32(1)(d)): Beveiligingstesten zijn een verplichte, doorlopende verplichting. De ENISA-richtlijnen bevelen driemaandelijkse penetratietests aan voor omgevingen met hoog risico.
• Privacy by Design en Default (Artikel 25): Artikel 25 vereist gegevensbescherming door ontwerp en standaardinstellingen: u bouwt privacycontroles in vanaf de ontwerpfase, niet achteraf, en verwerkt standaard alleen het minimaal noodzakelijke aan gegevens.
• 72-uurs meldingsplicht bij datalekken (Artikel 33): Wanneer een datalek met persoonsgegevens optreedt, moet u uw toezichthouder binnen 72 uur na kennisname informeren. De EDPB-richtlijnen 9/2022 staan gefaseerde melding toe, maar de klok begint te lopen zodra u met redelijke zekerheid weet dat persoonsgegevens zijn gecompromitteerd. Uw proces moet ook aansluiten op moderne incident response-workflows.

Deze eisen vormen een samenhangend systeem. Weten wat de regelgeving vereist is één ding. Begrijpen hoe deze eisen in de praktijk samen functioneren is iets anders.

Hoe GDPR-beveiligingseisen werken

GDPR-beveiligingseisen werken via een GDPR-risicobeoordelingskader, niet via een statische checklist. De EDPB-richtlijnen 4/2019 noemen vier verplichte factoren die u moet beoordelen bij het kiezen van beveiligingsmaatregelen:

1. Stand van de techniek: U moet maatregelen implementeren die aansluiten bij de huidige technologische mogelijkheden. Wat in 2018 als "passend" gold, kan in 2026 onvoldoende zijn.
2. Kosten van implementatie: Maatregelen moeten proportioneel zijn, maar de EDPB waarschuwt dat verwerkingsverantwoordelijken kosten niet als excuus mogen gebruiken om gegevensbescherming achterwege te laten.
3. Aard, omvang, context en doeleinden van de verwerking: Welke gegevens u verwerkt, hoeveel, waar, waarom en hoe lang, beïnvloeden uw vereiste beveiligingsniveau.
4. Kans en ernst van risico's: Zowel de waarschijnlijkheid als de potentiële impact op de rechten en vrijheden van betrokkenen.

Als u niet kunt aantonen hoe uw maatregelen deze vier factoren weerspiegelen, zult u moeite hebben om "passendheid" te verdedigen bij een onderzoek na een datalek.

De cyclus van beoordeling tot implementatie

Uw GDPR-beveiligingsproces werkt als een continue cyclus. Begin met het in kaart brengen van alle verwerkingsactiviteiten, voer vervolgens risicobeoordelingen uit, inclusief formele Data Protection Impact Assessments (DPIA's) onder Artikel 35 voor verwerkingen met hoog risico. Selecteer en implementeer daarna technische en organisatorische maatregelen, en documenteer alles voor de verantwoordingsplicht onder Artikel 5(2). Test en actualiseer ten slotte de maatregelen regelmatig naarmate verwerkingsactiviteiten, technologieën en dreigingen veranderen.

Praktische respons op datalekken

Wanneer een incident zich voordoet, volgt uw respons een specifieke volgorde:

• Bepalen of persoonsgegevens zijn gecompromitteerd
• Risico voor betrokkenen beoordelen
• Uw toezichthouder binnen 72 uur informeren als er risico is
• Betrokkenen direct informeren als het risico hoog is

Artikel 33(5) vereist dat u elk datalek registreert, ongeacht of melding verplicht was, inclusief wat er is gebeurd, gevolgen en genomen herstelmaatregelen.

Verplichtingen voor verwerkers

Als u derde partijen inschakelt als verwerker, vereist Artikel 28 dat u alleen verwerkers inschakelt die voldoende beveiligingsgaranties bieden. Verwerkers moeten u "onverwijld" informeren over datalekken volgens Artikel 33(2), en u heeft bindende verwerkersovereenkomsten nodig die beveiligingsmaatregelen, subverwerkersbeheer en auditrechten afdekken.

Dit onderling verbonden kader creëert specifieke uitdagingen voor beveiligingsteams in ondernemingen, en de financiële gevolgen van tekortschieten zijn concreet.

GDPR-beveiligingseisen | Boetes en handhaving

GDPR-boetes volgen een tweelaags structuur zoals gedefinieerd in Artikel 83. Overtredingen van Artikelen 25 en 32, de kernbeveiligingseisen, vallen onder de lagere categorie: boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Overtredingen van basisverwerkingsprincipes, rechten van betrokkenen of regels voor internationale doorgifte vallen onder de hogere categorie: tot €20 miljoen of 4% van de wereldwijde jaaromzet.

In de praktijk wegen toezichthouders verschillende factoren mee bij het bepalen van de hoogte van de boete: de aard en ernst van de overtreding, of u opzettelijk of nalatig heeft gehandeld, welke stappen u heeft genomen om schade te beperken en uw nalevingsgeschiedenis. Samenwerking met de toezichthouder tijdens het onderzoek kan de boete verlagen, terwijl het uitblijven van samenwerking deze kan verhogen.

Het financiële risico gaat verder dan alleen boetes. Artikel 82 geeft individuen het recht om schadevergoeding te eisen voor materiële of immateriële schade als gevolg van GDPR-overtredingen. Collectieve claims voor datalekken nemen toe in EU-lidstaten, wat betekent dat één beveiligingsfout zowel een boete als civiele procedures kan opleveren. Voor beveiligingsteams betekent dit dat de kosten van zwakke maatregelen direct financieel meetbaar zijn, niet alleen als operationeel risico.

Deze risico's vergroten de urgentie van de operationele uitdagingen die volgen.

Uitdagingen bij het implementeren van GDPR-beveiligingseisen

Zelfs met een duidelijk wettelijk kader en meetbare financiële risico's zorgt de praktische uitvoering van GDPR-beveiliging voor operationele frictie die de meeste compliancegidsen onderschatten. Dit zijn de uitdagingen waar beveiligingsteams in ondernemingen het vaakst tegenaan lopen.

1. Het 72-uur-klokprobleem: De meldingsplicht bij datalekken is een van de lastigste operationele problemen die GDPR creëert. Wanneer uw SOC-team meldingen beheert van tientallen losstaande beveiligingstools, kost het tijd om data te correleren over endpoints, cloudomgevingen en identiteitsystemen om te bepalen of persoonsgegevens zijn gecompromitteerd. Platformen die endpoint-, cloud- en identiteitstelemetrie verenigen, helpen dit correlatievenster te verkorten.
2. Shadow data en hiaten in datamapping: De shadow data-analyse van IAPP laat zien hoe persoonsgegevens zich ophopen in back-ups, archieven en legacy-systemen die organisaties vaak niet volledig kunnen traceren of wissen. U kunt geen persoonsgegevens beschermen waarvan u niet weet dat ze bestaan.
3. Het bewegende doel van "stand van de techniek": Omdat GDPR maatregelen vereist die aansluiten bij de huidige technologische mogelijkheden, verschuift uw compliancebasis naarmate versleutelingsstandaarden, toegangscontrolemechanismen en monitoringmogelijkheden zich ontwikkelen.
4. Complexiteit van grensoverschrijdende doorgifte: De grootste GDPR-boete tot nu toe was gericht op onvoldoende waarborgen bij doorgifte, en grensoverschrijdende datastromen blijven een risicogebied omdat jurisdicties hier verschillend mee omgaan.
5. Dominantie van menselijke fouten: Het 2024 Jaarverslag van de Ierse DPC documenteert dat menselijke fouten een belangrijke oorzaak zijn van gemelde datalekken, waaronder poststukken en e-mails die naar verkeerde ontvangers zijn gestuurd, volgens hetzelfde Jaarverslag. Een handhavingszaak in de EDPB-digest liet zien dat een toezichthouder organisatorische maatregelen alleen afwees en aanvullende technische maatregelen eiste. Volwassen zero trust-toegangs- en uitgaande controles verkleinen de impact van routinematige fouten.
6. Continue documentatielast: Artikel 5(2) verantwoordingsplicht betekent dat documentatie een doorlopende operationele eis is. Verwerkingsregisters, DPIA's, resultaten van beveiligingstests, dataleklogs en opleidingsbewijzen moeten continu worden bijgehouden.

Deze uitdagingen vragen om een gestructureerde aanpak. De volgende best practices laten zien hoe u dat bereikt.

Best practices voor GDPR-beveiligingseisen

Elke onderstaande praktijk koppelt een wettelijke verplichting aan een concrete operationele stap die uw beveiligings- en compliance-teams samen kunnen uitvoeren.

1. Bouw eerst uw risicobeoordelingsfundament

Begin met een gedocumenteerde GDPR-risicobeoordeling voordat u beveiligingsmaatregelen selecteert. Het ENISA-handboek over beveiliging van persoonsgegevens benadrukt dat maatregelen "volgens de GDPR passend moeten zijn bij het gepresenteerde risico." Breng elke verwerkingsactiviteit in kaart, classificeer gegevens naar gevoeligheid en beoordeel kans en ernst van risico's. Uw risicobeoordeling onderbouwt elke beveiligingsbeslissing en is uw primaire verdediging bij een onderzoek door de toezichthouder.

2. Implementeer gelaagde technische maatregelen

Implementeer versleuteling met gecentraliseerd sleutelbeheer. Handhaaf rolgebaseerde toegangscontrole met multi-factor authenticatie voor alle systemen die persoonsgegevens verwerken. Implementeer continue monitoring via SIEM-, MDR- of XDR-platformen om verdachte activiteiten in realtime te detecteren. De ENISA-richtlijnen bevelen aan om alle gegevensverwerkingsactiviteiten te loggen ter ondersteuning van zowel incidentonderzoek als verantwoordingsplicht.

3. Bereid u voor op het 72-uurvenster vóórdat een datalek plaatsvindt

Bouw en test uw incident response-plan specifiek rond de 72-uurs meldingsplicht bij datalekken. Definieer escalatieprocedures, wijs rollen toe voor beoordeling van datalekken en stel communicatielijnen op met uw Data Protection Officer (DPO) en juridisch team. De EDPB staat gefaseerde melding toe, dus uw plan moet snelle initiële beoordeling prioriteren boven een volledig onderzoek. Autonome forensische tools die bewijs verzamelen en aanvalslijnen reconstrueren zonder handmatige tussenkomst verkorten direct uw responstijd.

4. Beheer risico's van derden via bindende overeenkomsten

Artikel 28 vereist verwerkersovereenkomsten met elke verwerker. Ga verder dan contractuele compliance: categoriseer uw leveranciers op risico (volume en gevoeligheid van verwerkte persoonsgegevens, internationale doorgiften, subverwerkersketens) en stem uw monitoring daarop af.

5. Documenteer continu, niet periodiek

Behandel verwerkingsregisters, DPIA's, resultaten van beveiligingstests en dataleklogs als levende documenten. Werk ze bij zodra verwerkingsactiviteiten veranderen. Artikel 33(5) vereist dat u alle datalekken registreert, ook die waarvoor u geen melding hoeft te doen. Deze continue documentatie is uw bewijs van compliance bij onderzoek door toezichthouders.

6. Train op menselijke fouten, niet alleen op cyberaanvallen

Wanneer een groot deel van de gemelde datalekken voortkomt uit operationele fouten, moet uw trainingsprogramma routinefouten aanpakken naast externe aanvallen. Rolgerichte training, phishing-simulaties en technische maatregelen die veelvoorkomende fouten voorkomen (zoals data loss prevention (DLP)-regels die gevoelige gegevens in uitgaande e-mails detecteren) werken samen om uw meest voorkomende oorzaak van datalekken te verminderen.

Met best practices gedefinieerd, heeft u een praktische checklist nodig om de implementatie in uw organisatie te volgen.

GDPR-beveiligingscompliance-checklist

Gebruik deze checklist om uw huidige situatie te beoordelen en hiaten te identificeren binnen de belangrijkste compliance-domeinen. Behandel het als een operationele review die u elk kwartaal en na grote architectuurwijzigingen kunt uitvoeren.

• Technische maatregelen (Artikel 32): Bevestig versleuteling, least-privilege toegang, monitoring, geteste back-ups en regelmatige validatie van maatregelen voor systemen die persoonsgegevens verwerken.
• Organisatorische maatregelen (Artikelen 24, 25, 32): Houd beleid, DPIA's, Artikel 30-registers, opleidingsbewijzen en ontwerpbeslissingen onder Artikel 25 actueel en controleerbaar.
• Incidentrespons (Artikelen 33, 34): Valideer rollen, escalatiepaden, logging van datalekken en bewijsverzameling zodat u tijdig meldingsbeslissingen kunt nemen.
• Leveranciers en doorgiften (Artikel 28): Zorg dat verwerkersovereenkomsten, toezicht op subverwerkers en doorgiftebeoordelingen aansluiten bij uw actuele verwerkingspraktijk, niet bij het diagram van vorig jaar.

Als u elk gebied met bewijs kunt aantonen, heeft u een verdedigbare compliancebasis. Vervolgens heeft u een platform nodig dat bescherming, onderzoek, forensisch onderzoek en respons verenigt.

Belangrijkste punten

GDPR-beveiligingseisen onder Artikelen 25 en 32 verplichten risicogebaseerde technische en organisatorische maatregelen, geen vaste technologiechecklist. Uw compliance hangt af van gedocumenteerde risicobeoordelingen, versleuteling, toegangscontroles, continue monitoring en het vermogen om binnen 72 uur op datalekken te reageren. 

Handhaving is reëel en versnelt, vooral na spraakmakende datalekken en doorgiftezaken. Autonome platformen die bescherming, forensisch onderzoek en respons verenigen, pakken direct de snelheid-, zichtbaarheid- en documentatie-uitdagingen aan die GDPR-compliance operationeel lastig maken.

Veelgestelde vragen

Wat zijn GDPR-beveiligingseisen?

GDPR-beveiligingseisen zijn de technische en organisatorische maatregelen die volgens Artikelen 25 en 32 van de Algemene Verordening Gegevensbescherming verplicht zijn voor elke entiteit die persoonsgegevens uit de EU/EER verwerkt. Artikel 32 behandelt encryptie, toegangscontroles, systeembestendigheid, tijdig herstel van gegevens en regelmatige beveiligingstests. 

Artikel 25 voegt gegevensbescherming door ontwerp en standaardinstellingen toe. Deze verplichtingen zijn risicogebaseerd: u kiest controles die in verhouding staan tot uw verwerkingscontext, documenteert uw onderbouwing en test uw maatregelen doorlopend.

Wat is het verschil tussen GDPR Artikel 25 en Artikel 32?

Artikel 32 richt zich op het beveiligen van verwerking: versleuteling, toegangsbeheer, veerkracht, herstelmogelijkheden en regelmatige evaluatie van maatregelen. Artikel 25 richt zich op hoe u systemen bouwt: gegevensbescherming door ontwerp en standaardinstellingen, gegevensminimalisatie en privacyvriendelijke instellingen vanaf het begin. 

In de praktijk stuurt Artikel 25 architecturale keuzes en waarborgen, terwijl Artikel 32 valideert dat uw dagelijkse maatregelen passend blijven bij uw gedocumenteerde risico, niet alleen uw intentie.

Vereist de GDPR specifieke beveiligingstechnologieën?

De AVG is technologieneutraal: het vereist "passende" beveiliging op basis van risico, geen vaste lijst met tools. Toch noemt Artikel 32 expliciet versleuteling en pseudonimisering als voorbeelden van passende maatregelen. Als u op grote schaal gevoelige gegevens verwerkt, verwachten toezichthouders vaak sterke versleuteling, toegangsbeheer en logging die incidentonderzoek ondersteunt. 

Uw verplichting is om te documenteren waarom uw gekozen maatregelen aansluiten bij uw verwerkingscontext, dreigingslandschap en de "stand van de techniek."

Wanneer gaat de termijn van 72 uur voor melding in?

De termijn van 72 uur gaat in zodra u zich bewust wordt van een inbreuk op persoonsgegevens. De EDPB definieert "bewustwording" als het bereiken van een redelijke mate van zekerheid dat persoonsgegevens zijn gecompromitteerd, niet slechts het opmerken van verdachte activiteiten. 

U kunt binnen 72 uur een gefaseerde melding indienen en later aanvullende details verstrekken. Het belangrijkste is dat u aantoont dat u snel heeft gehandeld, bewijs heeft vastgelegd, het besluitvormingsproces heeft gedocumenteerd en onnodige vertraging heeft voorkomen naarmate de feiten duidelijker werden.

Hoe vaak moet u GDPR-beveiligingsmaatregelen testen?

Artikel 32(1)(d) vereist een proces voor het regelmatig testen, beoordelen en evalueren van de doeltreffendheid van beveiliging, maar stelt geen vaste frequentie verplicht. Uw frequentie moet afgestemd zijn op de gevoeligheid van gegevens, de schaal van verwerking en de snelheid van veranderingen. 

ENISA adviseert driemaandelijkse penetratietests voor omgevingen met een hoog risico, maar u dient ook back-ups, herstelprocedures, toegangscontroles en de kwaliteit van logging te valideren na grote releases of wijzigingen in de infrastructuur. Tabletop-oefeningen helpen aantonen dat uw 72-uurs workflow onder druk werkt.

Voldoen alleen organisatorische maatregelen aan de GDPR-beveiligingseisen?

Nee. Beleid, training en vertrouwelijkheidsovereenkomsten zijn noodzakelijk, maar vervangen technische beveiligingsmaatregelen niet. Toezichthoudende autoriteiten beoordelen vaak of u beschikbare technische controles heeft toegepast die passen bij uw risicoprofiel, met name voor toegangsbeheer, versleuteling en logging. 

Als u alleen vertrouwt op procedurele maatregelen, loopt u het risico dat wordt vastgesteld dat uw maatregelen niet "passend" waren, zelfs als medewerkers meestal het beleid volgden. Gebruik documentatie om aan te tonen hoe mensen en controles samenwerken.