Autoriteit Persoonsgegevens werkt aan protocol voor AVG-certificeringen

Er komt een officieel AVG-certificaat dat door de Autoriteit Persoonsgegevens wordt erkend. Met het certificaat kunnen bedrijven aantonen dat zij aan de privacywet voldoen. De toezichthouder werkt daarvoor samen met de Raad voor Accreditatie.

Het gaat niet om een certificaat dat door de Autoriteit Persoonsgegevens zelf wordt uitgereikt, maar om een protocol waarmee instellingen zelf hun eigen AVG-certificaat kunnen opstellen. Dat betekent dat een bedrijf naar een certificatie-instelling kan gaan, en zijn product of dienst kan laten toetsen aan de privacywet. De instelling beoordeelt dan zelf of het bedrijf voldoet aan de eisen en zo aanspraak maakt op een AVG-certificaat. De Autoriteit Persoonsgegevens werkt samen met de Raad voor Accreditatie om het protocol op te stellen. "De RvA werkt op dit moment aan de eerste stap in het accreditatieproces van de eerste instellingen die AVG-certificaten uit gaan geven", schrijft de AP. Na die accreditatie beoordeelt ook de toezichthouder zelf de certificatie-instellingen nog. Pas als dat is gebeurd, mogen de instellingen hun certificaten uitreiken.

Voor het opstellen van het protocol voor de certificaten worden de richtlijnen van het European Data Protection Board gevolgd. Een certificaat kan straks aantonen aan welke onderdelen van de Europese privacywetgeving een bedrijf precies voldoet. Het certificaat is geldig voor bepaalde onderdelen of processen die in de AVG beschreven worden. "Wij zijn blij dat het AVG-certificaat er als nieuw instrument van de AVG komt", schrijft AP-voorzitter Aleid Wolfsen. "Met dit informatieprotocol willen we zorgen dat we bedrijven gezamenlijk zo goed en efficiënt mogelijk kunnen helpen om het AVG-certificaat te behalen. Dat is belangrijk, want dat kan helderheid bieden over de privacy-waarborgen die verwacht kunnen worden bij een product of dienst."

Bedrijven en overheden hebben al sinds voor de invoering van de AVG moeite om te voldoen aan de ingewikkelde privacywet, die op veel punten aan interpretatie onderhevig is. De Autoriteit Persoonsgegevens geeft advies, maar zegt niet per bedrijf waaraan zij moeten voldoen om zich aan de wet te houden. Veel adviesbureaus speelden de afgelopen jaren op die onzekerheid in door zelf certificeringen en diploma's aan te bieden aan bedrijven die cursussen volgden of zichzelf lieten testen. Zulke certificeringen hadden echter niet veel juridische waarde. Ook bij de huidige certificaten maakt de toezichthouder een kanttekening: "De organisatie blijft verantwoordelijk voor naleving van de privacywet op alle onderdelen."

Reacties (55)

[RobbieB]

Dit slaat echt nergens op, AVG != compliancy, AVG = wetgeving... Daar heb je geen certificaat voor nodig, daar moet je gewoon aan voldoen.

En wat gaat de AVG doen bij bedrijven die dan zo'n certificaat hebben, maar uiteindelijk niet aan de wetgeving blijken te voldoen? Het bedrijf verschuilt zich dan lekker achter zijn certificaat. Het is al vaak genoeg gebleken dat certificaten geen garantie zijn van compliancy, immers: alle grote partijen die gehackt waren de laatste jaren waren zogenaamd compliant aan iedere denkbare security certificering...

[Reactie gewijzigd door RobbieB op 23 juli 2024 17:20]

[ACM]

Een onderdeel van de AVG is vziw dat je effectief kunt aantonen dat je aan de AVG voldoet. Dat hoeft niet naar het publiek, maar de AP kan je er wel om vragen. Dat omvat o.a. het documenteren van de verwerking van persoonsgegeven (en dus effectief de relevante bedrijfsprocessen en dataopslag).

Ik kan me voorstellen dat zo'n certificaat dan kan helpen bij dat aantonen. Maar je zou inderdaad niet bij je plaatselijke autodealer naast het 'Bovag'-certificeringsbordje een 'AVG'-certificering hoeven te zien.

[Killjoy]

Certificering is gewoon onderdeel van de AVG. Het is namelijk geregeld in artikel 42 en 43 van de verordening. Doel van certificering is om jou als persoon een middel te bieden om snel vast te kunnen stellen of de partij met wie jij zaken wil doen, betrouwbaar is. Vergelijk het maar met keurmerken op producten en voedingsmiddelen.

Uiteraard werkt een certificeringsmechanisme alleen als de gecertificeerde partijen integer handelen, het het certificeringsorgaan functioneert en de toezichthouder de middelen heeft om zijn werk te kunnen doen.

Overigens is de AVG inhoudelijk een gek ding. Want het is een combinatie van normatieve bepalingen en door partijen te maken belangenafwegingen. Dus 'je houden aan de wet' is in de praktijk het houden aan bepalingen en verder het afwegen en documenteren van keuzes.

[CAPSLOCK2000]

Dit slaat echt nergens op, AVG != compliancy, AVG = wetgeving... Daar heb je geen certificaat voor nodig, daar moet je gewoon aan voldoen.

Dan kun je de politie ook wel afschaffen, iedereen moet zich gewoon aan de wet houden.

En wat gaat de AVG doen bij bedrijven die dan zo'n certificaat hebben, maar uiteindelijk niet aan de wetgeving blijken te voldoen? Het bedrijf verschuilt zich dan lekker achter zijn certificaat. Het is al vaak genoeg gebleken dat certificaten geen garantie zijn van compliancy, immers: alle grote partijen die gehackt waren de laatste jaren waren zogenaamd compliant aan iedere denkbare security certificering...

Zo werkt het ook niet, je moet het omdraaien. Een certificaat is niet het eindpunt maar het beginpunt. Zonder certificaat/training/audit/protocol/keurmerk weet je dat er iets niet in de haak is en dat je extra goed moet opletten.

[RobbieB]

Certificeringen zijn in de praktijk vaak niks meer dan een papierboom die opgetuigd wordt vlak voordat de auditor langs komt. Zodra deze weg is gaat alles weer de kast in om bij een volgende ronde weer te updaten waar nodig.

De hele certificerings-industrie is een illusie die gecreeerd is om onze dienstensector draaiende te houden...

Let wel: Dit geldt heus niet voor alle certificeringen, maar bv. de ISO2700x's van deze wereld zijn werkelijk nog minder waard gebleken dan een zwemdiploma A... Ja, je kunt watertrappelen, maar bij de eerste de beste golf gaat 95% gewoon kopje onder.

[markjuh]

Ik weet niet of je ooit bij een ISO27001 certificering betrokken bent geweest maar bij een goede accreditatie en toetsing is toch toch echt wel waardevol. Als je het goed (laat) doe(n)t zijn er echt wel wat eye-openers voor je als bedrijf waarbij je kritischer gaat nadenken over wat je doet, waarom en hoe. Het zal zeker ook wel eens minder secuur gaan maar de gemiddelde certificering haal je echt niet zomaar. Om te zeggen dat het niets waard is gebleken, echt onzin. Ik ben benieuwd waar je die wijsheid vandaan haalt

[RobbieB]

Ik zeg niet dat het niks waard is, het helpt je met de basis op orde krijgen (zwemdiploma A), maar daarna houdt het ook wel op. Ieder groot bedrijf dat de laatste 10 jaar gehackt of een breach heeft gehad was ISO-gecertificeerd (en vele zelfs meer dan dat (ISAE3402, SOC2).

Ik haal mijn wijsheid uit het feit dat ik zelf een gecertificeerd IT-auditor ben, maar na een paar jaar realiseerde dat je met de papieren schijnvertoning die dit soort certificeringen zijn niks beveiligd...

Het is niet voor niks dat bv. de DNB het TIBER-programma heeft gelanceerd. De enige manier om te weten of je security echt op orde is, is door deze constant te testen. bv. via red/purple-teaming of een bug-bounty programma...

[Terr-E]

Helemaal mee eens, maar ik zou het liever andersom zien;
Als je als bedrijf niet de kennis in huis hebt wat je allemaal moet doen en regelen, hoe een privacy officer zijn/haar werk moet doen, dan is zo'n certificering een goede start. Het draagt kennis uit van een instantie die dicht op de materie zit en het kan werknemers helpen bij het implementeren en controleren van de correcte werkwijze.

Het is geen garantie voor eindgebruikers zoals RobbieB al schetst, maar het zou een hulpmiddel moeten/kunnen zijn voor (aspirant) privacy officers.

[Anoniem: 567346]

Het is alleen een uitdaging gebleken of je wel aan de AVG voldoet, dat geeft veel bedrijven onzekerheid. Met dit certificaat weten ze dat ze daar aan voldoen.

[Menn-]

En wat gaat de AVG doen bij bedrijven die dan zo'n certificaat hebben, maar uiteindelijk niet aan de wetgeving blijken te voldoen? Het bedrijf verschuilt zich dan lekker achter zijn certificaat. Het is al vaak genoeg gebleken dat certificaten geen garantie zijn van compliancy, immers: alle grote partijen die gehackt waren de laatste jaren waren zogenaamd compliant aan iedere denkbare security certificering...

Niet helemaal correct in de context van de AVG. Je kunt namelijk leuk gecertificeerd zijn onder de AVG, maar dat betekent niet dat je compliance aangenomen mag worden. Het kan alleen maar een element zijn van je bewijs dat je daadwerkelijk voldoet aan de bepalingen in de AVG (zie bijvoorbeeld artikel 25 lid 3). Dus als je op de een of andere manier een certificaat krijgt en later niet compliant blijkt te zijn ben je alsnog het haasje bij de DPAs (hier dus Autoriteit Persoonsgegevens).

Deze certificaten zijn in principe niet bedoeld om bedrijven te laten voldoen aan de AVG, daar is de AVG zelf al voor namelijk. Het gaat meer om een extra bevestiging richting potentiële klanten of business partners dat je de AVG in acht neemt, dat is dan namelijk gecheckt door een derde partij.

[R4gnax]

Het gaat hier denk ik primair om andere bedrijven die services bij een bedrijf afnemen.
Dus niet om de bedrijven zelf; om de consument; of om de AP.

Een certificering neemt bij die bedrijven een hoop onzekerheid en duur uitzoekwerk weg. Ze kunnen (en mogen, neem ik aan) er dan vanuit gaan dat een gecertificeerde partner ook daadwerkelijk aan de wetgeving voldoet.

De rest wordt dan marktwerking; niemand zal met een niet-gecertificeerd bedrijf in zee willen gaan, omdat de kosten voor het uitzoeken en de risico's van de onzekerheid te groot zijn.

[Reactie gewijzigd door R4gnax op 23 juli 2024 17:20]

[boss-20]

Ik vind het een goed initiatief, zo kun je verwarring voorkomen en helder naar buiten treden wat je nou eigenlijk precies verwacht van leveranciers. Echter, ik vraag mij wel af in hoeverre dit betaalbaar gaat worden voor de gemiddelde ZZP'er die een product of dienst levert aan haar klant.

[Dennisdn]

Ik denk dat dit juist in het leven is geroepen voor de ZZP'ers en kleine bedrijven. Een simpele en goedkope versie van de ISO27001 die de grote bedrijven al hebben.

[fds]

Ik vraag me af waarom de wetgeving zo ingewikkeld moet zijn dat je een certificaat nodig hebt om aan te kunnen tonen dat je er aan kunt voldoen.

[Dennisdn]

Certificaten zijn een licence-to-operate. Niet elke inkoper heeft tijd om leverende bedrijven zelf te gaan beoordelen.

[fds]

De wetgever moet wetten handhaven. Hiermee geven ze eigenlijk al aan dat dat niet gaat gebeuren, Dan kan je de wet beter afschaffen en er een richtlijn van maken.

[Dennisdn]

Wie van de overheid moet dat gaan handhaven dan? De politie? Boa's?
Het is juist beter om het aan de markt over te laten (en kost het ook nog eens geen belastinggeld).

[fds]

De wetgeving en handhavig in particuliere handen?
Zodat degenen met het meeste geld aan het langste eind kunnen trekken?
Erg rechtvaardig (wat de bedoeling van wetgeving is...).

[Dennisdn]

Ik denk dat het het verkeerd begrijpt. De handhaving van deze wet blijft gewoon in handen van de overheid.

Een certificeerder gaat niet handhaven. Een certificeerder kan alleen bevestigen dat zij hebben vastgesteld dat het bedrijf ten tijde van de audit aan de eisen, voor zover gezien, voldeed.

Een certificaat heeft dan ook alleen waarde voor een partij die potentieel zaken wil gaan doen met dat bedrijf en geen tijd heeft om het zelf te beoordelen. Als ik als gemeente een dienst wil inkopen van een bedrijf dan wil ik graag weten dat dat bedrijf goed om gaat met mijn gegevens. Je zult het vooral aan die kant gaan zien als inkoopeis, cq ondergrens voor aanbestedingen.

[Reactie gewijzigd door Dennisdn op 23 juli 2024 17:20]

[tweaknico]

Accountants?
Notarissen?...

Het is niet zo nieuw als dat je denkt...

[ajolla]

Dit is geen licence, het is een lijstje van op welke punten je aan de AVG regels voldoet.
Erg handig, want daaraan kun je gelijk zien aan welke regels je níet voldoet.
De AP kan dus gelijk zien waarop ze je kunnen pakken.

[Dennisdn]

Je kent de uitdrukking license-to-operate niet? Zonder certificaten doe je niet mee als (midden)groot bedrijf. Het is een simpele ondergrens bij aanbestedingen.

Het laatste zou in theorie wel kunnen maar zie ik niet snel gebeuren. Wij (als certificerende instelling) krijgen regelmatig verzoeken van overheden of ze de rapportages mogen hebben van bepaalde bedrijven. Die kunnen ze krijgen, maar pas als een rechter dat heeft afgedwongen. En dat laatste hebben ze in de praktijk nog nooit voor elkaar gekregen.

[Reactie gewijzigd door Dennisdn op 23 juli 2024 17:20]

[boss-20]

Eens. Dat is een onderliggend probleem, maar dit beperkt zich natuurlijk niet alleen tot AVG. Je ziet het overal. Zoveel regels, uitzonderingen e.d. Voor kleinere ondernemers zoals ik is het steeds meer uitzoekwerk, want consultants à 250 per uur kun je ook niet oneindig inhuren.

[ajolla]

Tsja, EU he...

[DrPoncho]

Het zijn niet alleen de 50+ mensen die gegevens lekken via mails/sites, of malafide attachments openen. Dat is van elke generatie.

[ThaddeusX]

Daar heb je gelijk in!

[lallasjip]

Waarom? Als bedrijf moet ik, net als alle andere bedrijven, al aan de AVG voldoen. Ik zie vooral: extra kosten, bureaucratie en weer een overbodig certificaat. Ik voorspel een zelfde toekomst als voor de vele certificeringen en keurmerken in de gezondheidszorg waar ziekenhuizen, verpleeghuizen, etcetera en masse weer vanaf stappen.

[sambalbaj]

Je hebt wel gelijk, er is gewoon al de verplichting om aan de wet te voldoen. Dat moet voldoende zijn en anders heb je de rechtspraak.

Dit levert alleen maar een wildgroei aan commerciële certificeringsbedrijfjes op en een schijnveiligheid want er is een certificaat.

[Anoniem: 310408]

Je hebt wel gelijk, er is gewoon al de verplichting om aan de wet te voldoen. Dat moet voldoende zijn en anders heb je de rechtspraak.

Maar feit is dat bedrijven die 100% aan alle eisen voldoen met een lampje gezocht moeten worden. Tweakers bijvoorbeeld zou nooit in aanmerking kunnen komen voor dit certificaat en dat zegt best wel wat.

[ajolla]

Zeg nooit nooit, want als ze even hun best doen kunnen ze er wél aan voldoen.

[MenN]

Klinkt inderdaad raar. een certificaat om te laten zien dat je aan de wet voldoet

Dat bedrijven niet aan de avg voldoen is voornamelijk hun eigen schuld. Vaak is er gewoon veel te lang gewacht met het aanpassen van interne processen en datastromen. Want dat is dan geen 'prio'. Dan als het ineens een half jaar ervoor is lekker last minute paniek voetbal en klagen dat het niet haalbaar is ect.

[CAPSLOCK2000]

Omdat de verantwoordelijkheid om aan de AVG te voldoen bij de opdrachtgever ligt. Als jij mijn bedrijf in huurt voor een klus en ik ga er met jouw data vandoor dan ben jij verantwoordelijk voor de schade. Jij hebt de plicht om te controleren of ik wel aan de AVG voldoe. De meeste bedrijven zijn niet in staat om dat te controleren, daarom is het handig dat er een certificaat is dat laat zien dat ik weet waar ik het over heb.

[blorf]

Ik moet nog zien of er een compromis komt tussen bedrijven en certificerende instellingen. Hoe gaat zo'n certificaat eruit zien? Het lijkt me niet handig om het bedrijfsleven richting een standaardpakket aan privacy-maatregelen te duwen. Dat is juist weer riskant, de digitale ontwikkelingen gaan daar te snel voor. En de kans bestaat dat er vaak niks gebeurt omdat partijen de verantwoordlijkheid heen en weer gaan schuiven. Hebben ze een lek in de online database, gaan ze zich beroepen op het feit dat ze hun updates op orde hadden en hun wachtwoorden complex genoeg waren volgens de certificaat-eisen. Waar ligt dan de grens?
Wat ik me ook afvraag: komt een custom *nix er ook door, en zo niet, op grond van wat? Dat de certificeerder er niks van snapt?

[Reactie gewijzigd door blorf op 23 juli 2024 17:20]

[locke960]

Waarom? Als bedrijf moet ik, net als alle andere bedrijven, al aan de AVG voldoen.

Probleem is alleen dat heel veel bedrijven dat niet doen. Deels uit onbekwaamheid, deels uit moedwil.
Die onbekwamen hebben blijkbaar hulp nodig. Dan zijn audits en certificatie geen gek idee. Je bent daarmee redelijk zeker dat je aan de wet voldoet en je kunt tegenover de Autoriteit Persoonsgegevens aannemelijk maken dat je niet in de categorie onwilligen valt, wat bij eventuele fouten/problemen waarschijnlijk fors in de boetes kan schelen.
De onwilligen hebben blijkbaar een stok waarmee ze geslagen worden nodig. Het fijne van certificering is dat de Autoriteit Persoonsgegevens zijn aandacht vooral kan richten op bedrijven die die certificering niet hebben.

Puntje en paaltje enzo: blijkbaar zijn bedrijven niet in staat de wet na te leven en moeten ze een handje geholpen worden.

[Reactie gewijzigd door locke960 op 23 juli 2024 17:20]

[regmaster]

Ik snap eigenlijk niet waarom bedrijven zo lopen te zeiken hoe ingewikkeld de AVG is en dat ze moeite hebben om deze toe te passen. Ik ga er vanuit dat ze juist zo hard zeiken om de AVG maar niet te hoeven toe te passen want dat kost geld. Ze vergeten voor het gemak even dat ze al sinds 2001, met de komst van de WBP, al aan de wet moesten voldoen maar weigerden dat.
De AVG is geen hogere raketkunde want zolang je bij bijzondere persoonsgegevens wegblijft (wat moet bijvoorbeeld een MKB'er met bijzondere persoonsgegevens?) dan kan er juist heel veel. Belangrijkste is de doelbinding (waarvoor en waarom heb je de gegevens nu echt nodig), de proportionaliteit (heb je wel zoveel gegevens nodig of kan het ook met minder?), subsidiariteit (kan ik de verwerking ook doen met minder privacy gevoelige gegevens of geen persoonsgegevens (anonieme gegevens bijv.) en de beveiliging van de gegevens die je verwerkt maar ook de systemen waarmee deze verwerkt worden. Dat laatste zou gewoon onderdeel van de bedrijfsvoering moeten zijn want je bent een dom rund als je met de beveiliging van je eigen systemen stunt.
Maar goed, bedrijven blijven nu eenmaal graag zeiken want ook al kost het een kwartje dan nog blijven ze miepen. Wat mij betreft mogen de miljoenen aan boetes nu zo langzamerhand wel eens uitgedeeld gaan worden want met alleen dreigen gaat er niets veranderen.
Voldoen aan wetgeving, met bijbehorende kosten, is nu eenmaal onderdeel van de bedrijfsvoering. En als je dat niet begrijpt of wilt dan heb je niets te zoeken in het bedrijfsleven.

[CAPSLOCK2000]

Eens, de helft van de vermeende complexiteit komt van bedrijven die niet willen veranderen en om de bedoeling van de AVG heen proberen te werken.

[Menn-]

Zeker, maar bedenk ook even dat de AVG intentioneel echt enorm vaag is.
"Rekening houdend met de stand van de techniek" is een zinnetje dat in principe zorgt dat het artikel nooit outdated is, maar het is wel zo vaag dat ik best snap dat je hier als bedrijf moeite mee kan hebben.

[Frogmen]

Weer een certificaat, op zich niet verkeerd was het niet dat het ook meteen complex wordt en dat bedrijven vervolgens externe adviseurs inhuren die het proces op papier voor elkaar brengen alleen voorbijgaan of het nog werkzaam is. Met als gevolg dat er grijze processen ontstaan en het bedrijf er eigenlijk niet aan voldoet. Persoonlijk denk ik dat Nederlanders niet geschikt zijn voor certificering, wij denken te creatief en polderen met de regels. Je ziet dit met VCA en vele andere certificeringen. Op papier klopt het allemaal maar in de praktijk ligt het in de kast, wordt het 1 keer per jaar afgestoft en de administratie bijgewerkt.
Hoor graag van de bedrijven waar een certificerende instantie zomaar mag binnenlopen en alles op orde is.
Het lukt als de procedures simpel en transparant zijn en vooral het management verantwoordelijkheden laag in de organisatie heeft gezet.

[Dennisdn]

Alle belangrijke normen (9001, 14001, 18001, 45001 etc) geven volledige vrijheid voor polderen. Ze eisen namelijk alleen dát je als bedrijf iets moet doen, niet hoé je dat doet. Alleen noem je toevallig VCA wat (helaas nog steeds) alleen een simpele checklist is. De meeste grote bouwers hebben dan ook ISO 18001/45001 en De Veiligheidsladder om de veiligheid en ARBO-omstandigheden te borgen en is VCA alleen nog maar een extra certificaat omdat opdrachtgevers dat nou eenmaal eisen.

[Reactie gewijzigd door Dennisdn op 23 juli 2024 17:20]

[hackerhater]

Betreffende de AVG? Loop maar binnen op een willekeurige dag en mijn bedrijfje slaagt met vlag en wimpel.
Niet moeilijk als je alleen de minimale wettelijke informatie op slaat

[ajolla]

Ok, dus voor ik jou een opdracht geef moet ik eerst een audit uitvoeren? Dan is een certficaat handiger.

[hackerhater]

Neuh, bedoelde dat ik er niet bang voor ben mochten ze het controleren.

[ajolla]

Ok, je hebt dus een certificaat?

[Zebby]

Zie het niet als een verplicht iets wat ieder bedrijf moet halen, maar een certificaat die gebruikt kan worden als extra "kijk wij zijn veilig", net als ISO 27001.

[Anoniem: 515148]

Dit gaat inderdaad weer extra kosten voor de ondernemers. Er wordt misschien al snel gedacht dat je hieraan moet voldoen maar als je geen persoonsgegevens verwerkt (voor jezelf of voor een ander) is er niet zo heel veel nodig.

[5pë©ïàál_Tèkén]

En met die ene laatste regel stippen ze aan wat de toegevoegde waarde is van een dergelijk certificaat - helemaal nul.
Een rijbewijs geeft aan dat er een momentopname is geweest waar je aan een gecertificeerde club (CBR) hebt laten zien dat je op dat moment fatsoenlijk kan rijden. Het rijbewijs heeft geen aantoonbare garantiestelling voor toekomstig rijdgedrag, immers in het verleden behaalde resultaten bieden geen garantie voor de toekomst .
Waar dit protocol mijnziens het meeste in de buurt komt is het theorie examen voor je rijbewijs. Jep, op papier weet de partij hoe het moet, maar dat is geen garantie dat die partij dat later ook doet!

Hoe gaat een grote club zoals een ziekenhuis (of nog leuker - een groep ziekenhuizen) dit certificaat verwerven? Het lijkt me dat een code review dan wel op zijn plaats is. De gene die een beetje thuis zijn in die wereld qua softwarepakketten weten dat dat echt huge ass software pakketten zijn, die review je niet even. Of wordt er alleen naar het ontwerp van het pakket gekeken? 'In theorie ziet dit er goed uit'. Ja, dat zeiden ze bij de parkeergarage bij Eindhoven Airport ook.
En een paar versies later, is het certificaat dan nog geldig?

Verder vind ik het én vroegbarig én aan de late kant om met de certificaten te komen. Vroegbarig, want de wet is nog maar net in werking, de kans is reeel dat deze inhoudelijk veranderd en/of dat er jurisprudentie komt waardoor de wet anders uitgelegd dient te worden. Als dat gebeurd, wat doet dat met de waarde/geldigheid van het certificaat?
En aan de late kant omdat de vraag hiernaar er al geruime tijd is (wat je ook wel had kunnen zien aankomen...). Wat een timing zeg

[Reactie gewijzigd door 5pë©ïàál_Tèkén op 23 juli 2024 17:20]

[Anoniem: 455617]

En met die ene laatste regel stippen ze aan wat de toegevoegde waarde is van een dergelijk certificaat - helemaal nul.

Dat is een erg zwart/witte interpretatie.

Een rijbewijs geeft aan dat er een momentopname is geweest waar je aan een gecertificeerde club (CBR) hebt laten zien dat je op dat moment fatsoenlijk kan rijden. Het rijbewijs heeft geen aantoonbare garantiestelling voor toekomstig rijdgedrag, immers in het verleden behaalde resultaten bieden geen garantie voor de toekomst .

Je hebt helemaal gelijk dat een certificaat dat vandaag word afgegeven morgen alweer achterhaald kan zijn, maar dat geld in zijn algemeenheid voor alle certificaten/dipolomas etc. Dat betekent niet automatisch dat deze geen waarde hebben.

Waar dit protocol mijnziens het meeste in de buurt komt is het theorie examen voor je rijbewijs. Jep, op papier weet de partij hoe het moet, maar dat is geen garantie dat die partij dat later ook doet!

Hier haal je een essentiëel punt aan. De daadwerkelijke compliance. Dat is de achilleshiel van iedere certificering. Frequente, inhoudelijke auditing is de enige manier om dit te waarborgen. Ik weet niet hoe de AP en de raad voor accreditatie dit gaan opstellen, maar daar zal de toegevoegde waarde van dit certificaat door bepaald worden.

Hoe gaat een grote club zoals een ziekenhuis (of nog leuker - een groep ziekenhuizen) dit certificaat verwerven? Het lijkt me dat een code review dan wel op zijn plaats is.

Helemaal mee eens. En niet alleen voor deze situatie maar denk ook eens aan banken, verzekeringsmaatschappijen, HR software etc. etc.

De gene die een beetje thuis zijn in die wereld qua softwarepakketten weten dat dat echt huge ass software pakketten zijn, die review je niet even.

Dat het veel werk kost om een goede review uit te voeren heeft dan gevolgen zoals:

• Extra kosten.
• Vertraagde introductie van nieuwe versies.

Dat is nu eenmaal de prijs die je betaald voor kwaliteit.

Of wordt er alleen naar het ontwerp van het pakket gekeken? 'In theorie ziet dit er goed uit'. Ja, dat zeiden ze bij de parkeergarage bij Eindhoven Airport ook.

Als je grondig wilt zijn is dit geen adequate benadering. Wat wel kan helpen is om de beveiligingsfilosofie achter de software tegen het licht te houden. Dus zaken zoals welke medewerkers onder welke omstandigheden toegang tot welke data hebben. Ga je bijvoorbeeld voor het simplistische account based access of werk je op basis van task based access waarbij één medewerker verschillende access levels kan hebben die op basis van de uit te voeren taken gectiveerd/geauthoriseerd dienen te worden.

En een paar versies later, is het certificaat dan nog geldig?

In principe niet lijkt mij, tenzij je alle addities/modificaties ook weer accrediteert.

Verder vind ik het én vroegbarig én aan de late kant om met de certificaten te komen. Vroegbarig, want de wet is nog maar net in werking, de kans is reeel dat deze inhoudelijk veranderd en/of dat er jurisprudentie komt waardoor de wet anders uitgelegd dient te worden. Als dat gebeurd, wat doet dat met de waarde/geldigheid van het certificaat?

De wet is al sinds 25 mei 2018 van kracht en daarvoor was er al een periode van enkele jaren die bedrijven/overheden konden/dienden te gebruiken om ervoor te zorgen dat ze compliant waren op 25 mei 2018. Aldus is een certificering nu alles behalve voorbarig in mijn ogen.

Het is zeker mogelijk dat er jurisprudentie komt welke invloed kan hebben op de certificering. Dat zou echter geen probleem hoeven te zijn. In een goed systeem heb je tenslotte frequente auditing. Indien er nieuwe jurisprudentie komt dan dient die in de eerstvolgende audit meegenomen te worden. Dat is niet anders dan dat je continue rekening moet houden met de stand der techniek. Wat vandaag als veilig word beschouwd kan morgen tenslotte onveilig zijn door ontdekking van een eerder onbekende zwakte.

En aan de late kant omdat de vraag hiernaar er al geruime tijd is (wat je ook wel had kunnen zien aankomen...).

Helemaal mee eens.

[Vogelnest]

Bijzonder. AP heeft blijkbaar niets te doen, dus hebben ze genoeg tijd voor dit soort merkwaardige "oplossingen". Zullen we dan maar voor elke wet ook een certificaat maken?

[Anoniem: 455617]

Als toezichthouder is dit juist een kerntaak voor de AP. Het helpen van bedrijven/instanties om aan de wet te kunnen voldoen. Als ze dit goed opzetten dan zal het juist minder werk voor ze betekenen omdat het aantal problemen/overtredingen zal dalen.

Er zijn hele reeksen certificaten in hele reeks vakgebieden welke op hele reeks wetten zijn gebaseerd. Wat dat betreft is dit niets nieuws/bijzonders. Denk als voorbeeld aan:

• Beroepsregisters
• Beroepen waarvoor een VOG vereist is
• Vergunningen voor vervoeren of verwerken van gevaarlijke stoffen
• etc. etc. etc.

[01--Rolf--01]

Meer regels meer regels denken ze in denhaag voer de kantoor jobs op. En ik wil grafieken zien zijn we dol op. En natuurlijk jaarlijkse presentaties ook erg belangrijk.....