Databeveiliging is voor elk bedrijf verplicht zodra je persoonsgegevens verwerkt, en dat geldt voor vrijwel elke onderneming in Nederland. De belangrijkste wettelijke basis is de Algemene Verordening Gegevensbescherming (AVG), die concrete eisen stelt aan zowel technische als organisatorische beveiligingsmaatregelen. In dit artikel beantwoorden we de meest gestelde vragen over de regels voor databeveiliging voor het kleine bedrijf, zodat je precies weet waar je aan toe bent.
Welke wetten bepalen wat verplicht is voor databeveiliging?
De belangrijkste wet voor databeveiliging in Nederland is de Algemene Verordening Gegevensbescherming (AVG), ook wel bekend als de GDPR. Deze Europese verordening geldt voor elk bedrijf dat persoonsgegevens verwerkt van inwoners van de Europese Unie, ongeacht de grootte van de organisatie. Naast de AVG zijn er aanvullende sectorspecifieke regels, zoals de NIS2-richtlijn voor organisaties in kritieke sectoren.
De AVG verplicht bedrijven om persoonsgegevens te beschermen met passende technische en organisatorische maatregelen. Wat “passend” betekent, hangt af van het type gegevens dat je verwerkt, het risico dat een datalek oplevert en de omvang van je organisatie. Voor een klein bedrijf dat alleen naam en e-mailadres van klanten bijhoudt, gelden andere verwachtingen dan voor een zorginstelling die medische dossiers beheert.
De Autoriteit Persoonsgegevens (AP) is in Nederland de toezichthouder die controleert of bedrijven zich aan de AVG houden. Zij kan onderzoeken instellen, waarschuwingen geven en boetes opleggen. Het is dus niet iets wat je vrijblijvend kunt benaderen.
Wat zijn de verplichte technische maatregelen voor databeveiliging?
De AVG schrijft geen specifieke technische maatregelen voor, maar verplicht wel dat je “passende” technische beveiliging toepast. In de praktijk betekent dit voor de meeste kleine bedrijven een combinatie van basismaatregelen die samen een stevige beveiligingslaag vormen.
De meest gangbare verplichte technische maatregelen zijn:
- Versleuteling van gegevens: Persoonsgegevens moeten versleuteld worden opgeslagen en verstuurd, zodat ze onleesbaar zijn voor onbevoegden.
- Toegangsbeveiliging: Alleen medewerkers die gegevens nodig hebben voor hun werk mogen er toegang toe hebben. Dit regel je met gebruikersaccounts, sterke wachtwoorden en bij voorkeur tweefactorauthenticatie.
- Regelmatige back-ups: Je moet kunnen aantonen dat gegevens niet verloren gaan bij een storing of aanval. Back-ups moeten getest worden op herstelbaarheid.
- Antivirussoftware en firewalls: Basisbeveiliging tegen malware en ongeautoriseerde toegang is voor elk bedrijf een minimumvereiste.
- Software-updates: Verouderde software bevat kwetsbaarheden. Tijdig patchen en updaten is een technische verplichting die voortkomt uit de zorgplicht.
Voor bedrijven die werken met cloudoplossingen is het belangrijk om te controleren of de cloudprovider ook voldoet aan de AVG-eisen. De verantwoordelijkheid voor de beveiliging van persoonsgegevens blijft namelijk bij jou als verwerkingsverantwoordelijke liggen.
Wat zijn de verplichte organisatorische maatregelen voor databeveiliging?
Naast technische maatregelen verplicht de AVG ook organisatorische maatregelen. Dit zijn interne afspraken, processen en documenten die ervoor zorgen dat iedereen binnen het bedrijf weet hoe om te gaan met persoonsgegevens en wat te doen als er iets misgaat.
De belangrijkste organisatorische verplichtingen voor een klein bedrijf zijn:
- Verwerkingsregister: Je bent verplicht bij te houden welke persoonsgegevens je verwerkt, waarvoor en hoe lang je ze bewaart.
- Privacybeleid: Een duidelijk beleid over hoe je met gegevens omgaat, intern en extern.
- Verwerkersovereenkomsten: Als je persoonsgegevens deelt met externe partijen (zoals een boekhouder of softwareleverancier), moet je een verwerkersovereenkomst afsluiten.
- Bewustwording bij medewerkers: Medewerkers moeten weten hoe ze veilig met gegevens omgaan. Regelmatige training of instructie is onderdeel van je zorgplicht.
- Incidentprocedure: Je moet een procedure hebben voor het geval er toch iets misgaat, zodat je snel en correct kunt handelen bij een datalek.
Wanneer ben je verplicht een datalek te melden?
Je bent verplicht een datalek te melden bij de Autoriteit Persoonsgegevens wanneer het lek waarschijnlijk een risico oplevert voor de rechten en vrijheden van de betrokken personen. Dit moet binnen 72 uur na ontdekking van het lek gebeuren. Als het lek ook een hoog risico oplevert voor de betrokkenen zelf, moet je hen ook direct informeren.
Niet elk beveiligingsincident is een meldplichtig datalek. Een lek waarbij versleutelde gegevens zijn buitgemaakt en de sleutel veilig is, hoeft bijvoorbeeld niet gemeld te worden. Maar een gestolen laptop met onversleutelde klantgegevens is wel degelijk meldplichtig.
Voorbeelden van situaties waarbij je moet melden:
- Een medewerker stuurt een e-mail met klantgegevens naar de verkeerde ontvanger
- Ransomware versleutelt je systemen en gegevens zijn tijdelijk niet beschikbaar
- Een inbraak in je systemen waarbij persoonsgegevens zijn ingezien of gestolen
- Een verloren USB-stick met klantinformatie
Twijfel je of iets meldplichtig is? De AP heeft een zelfevaluatietool op haar website waarmee je dit kunt beoordelen. Meld liever te snel dan te laat, want een te late melding kan extra consequenties hebben.
Wat zijn de boetes als je niet voldoet aan de databeveiligingseisen?
De boetes voor het niet naleven van de AVG kunnen fors oplopen. De Autoriteit Persoonsgegevens kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor kleine bedrijven zijn de boetes doorgaans lager, maar ook een boete van enkele duizenden euro’s kan een stevige impact hebben.
Naast directe boetes zijn er ook andere gevolgen om rekening mee te houden:
- Reputatieschade: Een datalek of boete wordt vaak openbaar, wat klanten en partners kan afschrikken.
- Schadeclaims van betrokkenen: Personen van wie gegevens zijn gelekt, kunnen jou aansprakelijk stellen voor geleden schade.
- Dwangsommen: De AP kan naast een boete ook een last onder dwangsom opleggen als je niet snel genoeg corrigeert.
De AP kijkt bij het bepalen van de hoogte van een boete onder andere naar de ernst van de overtreding, of je aantoonbaar hebt geprobeerd de regels na te leven en hoe snel je hebt gehandeld na ontdekking van een probleem.
Hoe weet je of jouw bedrijf aan alle verplichtingen voldoet?
De beste manier om te weten of jouw bedrijf voldoet aan de databeveiligingsregels is door een privacyaudit of ICT-beveiligingsscan uit te laten voeren. Hierbij worden je huidige maatregelen getoetst aan de eisen van de AVG en worden eventuele kwetsbaarheden in kaart gebracht. Voor veel kleine bedrijven is dit een eyeopener.
Je kunt zelf ook een eerste check doen door de volgende vragen te beantwoorden:
- Weet je welke persoonsgegevens je verwerkt en waarom?
- Heb je een verwerkingsregister bijgehouden?
- Zijn er verwerkersovereenkomsten afgesloten met externe partijen?
- Zijn je systemen up-to-date en beveiligd met antivirussoftware?
- Weten je medewerkers wat ze moeten doen bij een datalek?
- Maak je regelmatig back-ups en test je of ze werken?
Als je op een of meerdere vragen “nee” antwoordt, zijn er verbeterpunten. De kosten van ICT uitbesteden wegen voor veel kleine bedrijven op tegen het risico van een boete of datalek. Een externe ICT-partner kan je helpen om snel en volledig compliant te worden.
Hoe Nieuwenborg helpt met databeveiliging voor jouw bedrijf
Bij Nieuwenborg begrijpen we dat de regels rondom databeveiliging voor een klein bedrijf overweldigend kunnen voelen. Wij vertalen de verplichtingen uit de AVG naar concrete, behapbare stappen en zorgen ervoor dat jouw ICT-omgeving voldoet aan de eisen, zonder dat jij er dagelijks mee bezig hoeft te zijn.
Wat wij voor jou regelen:
- Technische beveiliging op orde: Van versleuteling en toegangsbeheer tot firewalls, antivirussoftware en automatische updates.
- Veilige cloudoplossingen: Onze Hosted ICT-omgeving voldoet aan de hoogste beveiligingsnormen, inclusief onze full scope ISO27001-certificering.
- ICT-Manager as a Service: Geen eigen ICT-manager? Wij nemen die rol op ons, inclusief het bewaken van je beveiligingsbeleid en het adviseren over AVG-compliance.
- 24/7 helpdesk: Bij een incident staan we direct voor je klaar, zodat je snel en correct kunt handelen.
- Begrijpelijke taal: We leggen alles uit zonder jargon, zodat jij als ondernemer altijd weet wat er speelt.
Wil je weten of jouw bedrijf voldoet aan de databeveiligingsregels? Neem contact met ons op voor een vrijblijvend gesprek. We kijken graag samen met je naar wat er nodig is.
Benieuwd wat Nieuwenborg voor jouw bedrijf kan betekenen?
Overweeg je om je ICT (gedeeltelijk) uit te besteden? Of wil je weten wat de kosten zijn van werken in de cloud?