Ict-bedrijven kunnen rekenen op preventieve controles rond beveiliging

De Autoriteit Persoonsgegevens gaat 'op korte termijn' preventieve controles uitvoeren op de beveiliging van data bij ict-bedrijven. Dit bevestigt een woordvoerder van de Nederlandse toezichthouder. Concrete namen of sectoren noemt hij niet voor dit nieuwe initiatief.

De AP controleert volgens de woordvoerder al wel aan steekproefsgewijs in de zorg en bij gemeenten. Daarbij stuurt de toezichthouder een vragenlijst 'over informatiebeveiliging in de brede zin', die ook gaat over analoge beveiliging. Bij deze steekproeven kan de AP ook fysieke bezoeken uitvoeren om instanties en organisaties te controleren.

De preventieve controle bij een aantal ict-bedrijven die in Nederland actief zijn, bouwt hierop voort. Het gaat dan om digitale beveiliging, gezien de aard van de te controleren organisaties. De woordvoerder legt uit dat ict-bedrijven net zoals de zorg en lokale overheden veel data van veel mensen kunnen hebben. Het kan bovendien ook gaan om zeer gevoelige gegevens.

Hoeveelheid plus aard en gevoeligheid

De AP laat niet los welke ict-bedrijven zij gaat controleren of in welke sectoren en geeft ook niet aan of het gaat om bedrijven met klanten in bepaalde sectoren. De woordvoerder verzekert Tweakers dat de selectie niet willekeurig gebeurt. Het is niet 'blind een balletje pakken' zoals bij lotingen voor voetbalwedstrijden. De selectiecriteria voor de preventieve controle op databeveiliging zijn gebaseerd op de hoeveelheid gegevens die ict-bedrijven hebben plus de aard en gevoeligheid daarvan, zegt de woordvoerder.

Reacties (44)

[djoelzz]

Wat is in deze context de definitie van een ICT bedrijf? Overheden, banken, webwinkels, telecomboer…. Allemaal IT bedrijven maar niet in de klassieke vorm.

[R_Zwart]

Logischerwijs bedrijven die persoonsgegevens verwerken. ICT bedrijven die bijvoorbeeld fabrieksautomatisering doen zullen niet de interesse van de AP hebben.

[Mathijs B]

Uit ervaring weet ik dat ook daar heel veel gevoelige informatie in doorgaat. Informatie op een label naar welke klant een ingepakt product toe moet, moet tijdens het proces ergens opgeslagen worden, zodat het op een later moment uitgeprint kan worden.

Heb je een een machine die op die manier 1000 orders afhandelt per dag en dus opslaat, gaat het snel om heel veel informatie.

[Archcry]

Maar gaat dit dan om personen of klanten? Een klant kan namelijk ook een bedrijf zijn en die vallen typisch niet onder de AVG omdat de AVG alleen van toepassing is op de relatie consument en bedrijf.

Over het algemeen produceren fabrieken toch niet direct voor een consument? Of zie ik iets over het hoofd?

[Orangelights23]

De AVG gaat over persoonsgegevens. Een bedrijfsnaam an sich is geen persoonsgegevens, maar zodra je te maken hebt met één mailadres van dat bedrijf, moet je voldoen aan de AVG.

[The Zep Man]

De AVG gaat over persoonsgegevens. Een bedrijfsnaam an sich is geen persoonsgegevens,

Het veld "bedrijfsnaam" moet behandeld worden als een persoonsgegeven als je bijvoorbeeld ook levert aan ZZP'ers. Dat komt omdat de namen van dat soort bedrijven vaak wel persoonsgegevens betreffen omdat ZZP'ers veelal de eigen naam gebruiken. Degene die wat besteld namens zo'n bedrijf is waarschijnlijk de betreffende ZZP'er, dus dat is herleidbaar naar een persoon.

[Reactie gewijzigd door The Zep Man op 16 april 2026 13:45]

[Orangelights23]

Dat is een goede, ik zou mijn reactie moeten aanpassen en beschrijven dat een bedrijfsnaam in vele gevallen geen persoonsgegeven is, maar uitzonderingen daargelaten.

[Floort]

De meeste bedrijven hebben een eigenaar, medewerkers, klanten, personen die bij opdrachtgevers/leveranciers werken of andere manieren waarop er er contact is met echte mensen (loonadministratie, e-mails, etc.). Het is waarschijnlijk niet waar de AP nu prioriteit aan geeft, maar een bedrijf zonder verwerking van gegevens over natuurlijke personen ben ik nog niet tegengekomen.

[Orangelights23]

Kun jij 1 bedrijf in Nederland, Europa of de wereld noemen die geen persoonsgegevens verwerkt dan? Je lijkt een onderscheid te maken in PII van collega's en klanten, maar dat onderscheid is er niet volgens de wet.

[david-v]

Het gaat niet zo zeer om puur het verwerken van persoonsgegevens, want elk bedrijf heeft een personeelsbestand, maar ik interpreteer als een bedrijf die persoonsgegevens van klanten heeft. Denk aan Bol, Coolblue, Booking.com of Transavia/KLM. De eerste 3 zou ik nog scharen onder ICT bedrijven, een vliegmaatschappij niet.

[Orangelights23]

Het probleem in de reacties is dat iedereen zijn eigen aanname neerzet. En hoewel deze aannames veelal te volgen zijn, wordt er vooral gespeculeerd op basis van een vage definitie waar je eigenlijk niets mee kunt doen.

[937mako]

Maar een bedrijf dat persoonsgegevens verwerkt hoeft niet per definitie een ICT bedrijf te zijn. Met die definitie van een ICT bedrijf is een autoschadeherstel bedrijf dat ook. Die verwerken namelijk ook klantgegevens.

[Caelestis]

De selectiecriteria voor de preventieve controle op databeveiliging zijn gebaseerd op de hoeveelheid gegevens die ict-bedrijven hebben plus de aard en gevoeligheid daarvan, zegt de woordvoerder.

De definitie wordt niet bepaald aan de hand van het type bedrijf maar aan de hand van het type data.

[Cyberpuppy]

Maar de AP weet niet hoeveel en welke data wij verwerken. Dus hoe gaan ze die selectie maken?

[Floort]

Waarop de AP gaat controleren is denk ik interessanter dan wie ze gaan controleren. Bovendien kan het antwoord op die vraag misschien helpen beantwoorden hoe de selectie mogelijk gemaakt wordt. Ik kan me bijvoorbeeld voorstellen dat er datalekmeldingen zijn doorgenomen en is geteld welke leveranciers het vaakst terugkomen als (onderdeel van) de oorzaak. In dat geval zou ik me zorgen maken dat de meer transparantie organisaties het zwaarst worden onderzocht. Maar de AP legt dat niet uit dus ik kan alleen maar speculeren.

[Caelestis]

Heel simpel, het is je eigen verantwoordelijkheid om aan te geven welke data jij verwerkt en opslaat.
Ja, je kan er alles aan doen om ze te vermijden maar als de data op straat komt kan je dat even haarfijn uitleggen waarom je het niet gemeld hebt.
De bedrijven die het wel melden en meedoen met het proces kunnen er veel makkelijker vanaf komen.

Uiteindelijk gaat het erom dat de consumenten data niet in handen van criminelen beland. Het AP is niet een of ander machtsmiddel om regels op te leggen naar eigen wil.
Ik zou het zelf zo ver willen doortrekken dat als een bedrijf data lekt en moedwillig om de AP heen heeft proberen te werken, dat de stekker uit het bedrijf in zijn geheel gaat ongeacht hoe groot het is.
Boetes registreren als verwachte verliezen moeten ook einde oefening zijn.

[Cyberpuppy]

In het artikel staat toch echt dat de AP een selectie toepast o.a. op basis van hoeveelheid en gevoeligheid van data. Daar is niks mis mee, maar ik vroeg me af hoe ze dit gaan doen aangezien ze niet over die gegevens beschikken.

[Caelestis]

Laat ik het anders stellen.
Als je meedoet met de AP ben je verzekerd.
Als je niet meedoet met de AP ben je niet verzekerd.

[PhRiXoS]

het gaat om ICT-leveranciers

https://www.autoriteitpersoonsgegevens.nl/actueel/ap-gaat-ict-leveranciers-preventief-controleren

[937mako]

Wat is hierbij de definitie van een ICT bedrijf? Is dat een bedrijf waarvan de core business ICT is? En wat is dan ICT? Is reparatie van telefoons al ICT? Of is software ontwikkelen ICT?

[Reactie gewijzigd door 937mako op 16 april 2026 12:19]

[Cyberpuppy]

Daar zou je de klassenindeling volgens SBI voor kunnen gebruiken.

[937mako]

Nou dat vraag ik me dus af. Daar staat namelijk niet in wat de criteria voor een ICT bedrijf zijn. Daar staan dingen is als:

95210 - Reparatie en onderhoud van consumentenelektronica (met uitzondering van computers)

Beschrijving

Deze subklasse omvat reparatie en onderhoud van consumentenelektronica:
- reparatie van consumentenelektronica:
• televisies, radio's
• audio- en videospelers
• videocamera's en fotoapparatuur voor huishoudelijk gebruik
• apparatuur voor videogames

Trefwoorden
audioapparatuur, bruingoed, consumentenelektronica, dvdspeler, fotoapparatuur voor huishoudelijk gebruik, geluidsapparatuur, radio's, reparatie en onderhoud, spelcomputers, tablets, televisiereparatie, televisies, videoapparatuur, videocamera's

Maar niet wanneer een bedrijf een ICT bedrijf is

[Reactie gewijzigd door 937mako op 16 april 2026 14:13]

[Cyberpuppy]

Wat dacht je van :

SBI-code: 6202 - Advisering en ondersteuning op het gebied van informatietechnologie

[Florimon]

Ik zou zeggen AP, begin lekker met alle bedrijven die Salesforce gebruiken

[oef!]

Ik zou eerder kijken naar bedrijven waar veel bijzondere persoonsgegevens verwerkt worden zoals clubs die in de zorg en het sociale domein actief zijn.

[Tukk]

Ik heb een persoonlijke ervaring bij zo'n medisch incassobureau. Die lui kunnen wel een review gebruiken. Ik bleef uitleggen, en zij bleven niet luisteren. Een melding bij het AP was het uiteindelijke gevolg.

Mijn privegegevens minder beveiligen als business plan, dacht het niet.

[AOC]

Lijkt me wel leuk als een Rob Geus persoon een ICT-bedrijf binnenloopt en de eerste beste computer opent met het wachtwoord 1234. Man man man

[D3F]

Haha ik zie Rob Geus al zitten: "Die configuratiebestanden… daar kan ik echt niet mee leven! Man, man, man man."

[PdeBie]

Wanneer heb je die keys voor het laatst (dat vet ) ververst?

[DR.V]

De bevraagde organisaties gaan er er spel van maken om zo positief mogelijk uit de bus te komen en bovendien ontbreekt het de AP om op grote schaal en passende diepgang onderzoek te doen. Security blijft voor veel organisaties een cost center.

[_JGC_]

Dit. Schrijf op wat wenselijk is. Pas bij een datalek waar je niet meer om het melden heen kunt komt dan de waarheid naarbuiten.

Paar jaar terug had een klant van me een DigID koppeling. Vanuit de overheid moet je dan jaarlijks een audit laten uitvoeren en een pentest laten doen op de omgeving. Toen mij gevraagd werd om dat voor de eerste keer te doen was de opdracht vanuit de klant: "Pak de audit van vorig jaar en kijk of er nieuwe eisen zijn, pas zonodig aan of voer wijzigingen in de omgeving door"

Bij het doornemen van het oude rapport viel mij de bek open. Zoveel dingen die gevraagd werden maar gewoon niet geïmplementeerd waren, maar volgens het rapport prima in orde waren.
Uiteindelijk veel dingen in de omgeving gewijzigd en hier en daar werd nog wat door de vingers gezien omdat er mazen in de audit regels zitten ("als de applicatie kapot gaat door dit te implementeren hoeft het niet", de applicatie ging dus kapot), maar ben blij dat ze die koppeling inmiddels niet meer hebben.

[jannick63]

Waarom alleen bij ICT bedrijven zou je zeggen? Want alle bedrijven hebben te maken met ICT, zelfs steeds meer..

[PdeBie]

Inderdaad. Mijn sportclub heeft ook een ledenbestand met een applicatie die mijn toegang bijhoudt als ik mijn pasje door de lezer haal. Dan zie ik op het scherm mijn naam, foto en nog wat zaken.

[pho-real]

Enkel ICT bedrijven selecteren is voor deze tijd kortzichtig. Elke branche zou in de scope moeten vallen.

[Lampuhkap]

Was de AP pas ook niet gehackt?

Krijgen we dan niet een beetje een 'Wij van WC Eend' gevalletje?

[Monday]

Dat is ook een mooie toegangsdeur voor hackers om fysiek binnen te komen, je meld je laat even snel een zelf gemaakte pas zien en je bent binnen

[bzuidgeest]

Een vragenlijst? Daar kan je niet op vertrouwen. Ze zullen echte experts langs moeten sturen anders is het bijna nutteloos denk ik.

[macaidwin]

Inderdaad, zoals zo vaak, omschrijf je daarin enigszins vaag hoe je de boel hebt beveiligd, met weinig relatie met hoe het daadwerkelijk is ingericht.

[Floort]

"1) Indien verwerkingsverantwoordelijke: Kan [organisatie] conform artikel 5(1)(f) en 5(2) van de AVG aantonen dat de persoonsgevens veilig worden verwerkt? Zo ja, overleg daar bewijs van. Zo nee, leg uit op welke termijn dat wel kan.

2) Indien verwerker: Kan [organisatie] de verwerkingsverantwoordelijken conform artikel 28(3)(h) van de AVG helpen aantonen dat aan alle relevante verplichtingen onder de AVG wordt voldaan? Zo ja, overleg daar bewijs van. Zo nee, leg uit op welke termijn dat wel kan.

3) Overleg een volledige kopie van het register onder artikel 33(5) van de AVG van de afgelopen 5 jaar en alle interne tickets, e-mails en andere berichten die te maken hebben met (mogelijke) inbreuken op de beveiliging van persoonsgegevens."

Niet waterdicht (verre van), maar het zou organisaties wel even aan het werk zetten en de bewijslast neerleggen waar die thuishoort.

[bzuidgeest]

Die bewijslast heb je al als je ook maar enigzins met iso certificeringen in aanraking komt. Maar de iso's zijn al een wassen neus in veel opzichten. Zo een vragen ding kan je wel alles bijstoppen. Gewoon een verhaaltje maken.

Alleen echte controle op wat wel en niet is geimplementeerd en of het ook werkt in de praktijk geeft een echt beeld.

En in antwoord op vraag drie dump je zo een enorme berg data op de avg dat ze er nooit doorheen komen of kaas van kunnen maken.