.svg)
Twee namen komen snel naar voren wanneer teams beginnen met het uitzoeken van privacy- en beveiligingsverantwoordelijkheden: GDPR en ISO 27001. Het zijn geen concurrerende 'of-of'-keuzes en ze lossen niet hetzelfde probleem op. GDPR is een wettelijke vereiste voor de verwerking van persoonsgegevens, terwijl ISO 27001 een certificeerbaar managementsysteem voor informatiebeveiliging is.
Maar hoe verhouden ze zich tot elkaar? Waarin verschillen ze? En hoe kunnen ze elkaar ondersteunen?
In deze blog gaan we kort in op ISO 27001 en GDPR, bekijken we hun overeenkomsten en verschillen en leggen we uit hoe ISO 27001 kan helpen bij het naleven van GDPR. We gaan ook kort in op waarom GDPR en ISO 27701 vaak samen worden genoemd.
ISO 27001 en AVG: een korte introductie
Laten we beginnen met een korte samenvatting van de twee gekozen kaders.
ISO 27001:2022
ISO 27001 is een internationaal erkende norm voor informatiebeveiligingsbeheersystemen (ISMS). Deze norm biedt een gestructureerde aanpak voor het beheer van informatiebeveiligingsrisico's.
Door een ISMS te implementeren, kunnen organisaties:
- Identificeer en beoordeel risico's op het gebied van informatiebeveiliging
- Passende beveiligingsmaatregelen implementeren Hun beveiligingsbeleid voortdurend verbeteren
Kortom, ISO 27001 helpt u bij het opzetten van een systematische en risicogebaseerde aanpak voor de bescherming van informatieactiva.
GDPR (Algemene Verordening Gegevensbescherming)
De AVG is een EU-verordening die is ontworpen om de persoonsgegevens en privacy van individuen te beschermen. De verordening stelt eisen aan de manier waarop organisaties persoonsgegevens verzamelen, verwerken, opslaan en overdragen.
Volgens de AVG moeten organisaties ervoor zorgen dat persoonsgegevens:
- Wettelijk, eerlijk en transparant verwerkt
- Verzameld voor specifieke doeleinden
- Beperkt tot wat noodzakelijk is
- Nauwkeurig en up-to-date gehouden
- Alleen zo lang bewaard als nodig is
- Goed beveiligd
De AVG versterkt ook de rechten van individuen en verplicht organisaties om duidelijk uit te leggen hoe persoonsgegevens worden gebruikt, doorgaans via privacyverklaringen en -beleidsregels.
Hoe naleving van ISO 27001 kan helpen bij het voldoen aan de AVG-vereisten
Meer dan 60% van de organisaties gebruikt ISO 27001 als kader om aan de AVG-vereisten te voldoen.
Hoewel de ISO 27001-norm niet volledig de AVG dekt, kan deze organisaties aanzienlijk helpen om aan de AVG-vereisten en meer te voldoen.
1. Gegevensbescherming
Om te beginnen met het meest voor de hand liggende: dit is een kernpunt voor beide kaders.
ISO 27001 helpt organisaties bij het implementeren van technische en organisatorische beveiligingsmaatregelen om informatie, waaronder persoonsgegevens, te beschermen. De AVG vereist dezelfde soort maatregelen om "passende beveiliging" te waarborgen.
Het verschil is dat:
⭐️ De AVG definieert de wettelijke vereisten om persoonsgegevens te beschermen door middel van technische en organisatorische maatregelen.
🌐 ISO 27001 biedt een gestructureerde manier om ze te implementeren.
2. Risicobeheer
Risicobeheer is een ander kernprincipe in zowel ISO 27001 als GDPR.
De AVG verplicht organisaties om gegevensbeschermingsrisico's te beoordelen, bijvoorbeeld door middel van gegevensbeschermingseffectbeoordelingen (DPIA's). ISO 27001 daarentegen is gebaseerd op continue risicobeoordeling en -behandeling.
Met ISO 27001 kunnen organisaties:
- Risico's voor informatie (inclusief persoonsgegevens) identificeren
- Evalueer hun impact en waarschijnlijkheid
- Controles invoeren om ze te verminderen
- Continu monitoren en verbeteren
Dit sluit direct aan bij de eis van de AVG om "passende" technische en organisatorische maatregelen te nemen.
3. Beheer door derden
Zowel ISO 27001:2022 als de AVG leggen de nadruk op het beheer van risico's van derden.
🌐 ISO 27001 vereist dat organisaties de veiligheidsrisico's van leveranciers beoordelen en beheren.
⭐️ De AVG verplicht organisaties ervoor te zorgen dat gegevensverwerkers voldoen aan de vereisten inzake gegevensbescherming.
Door de leveranciersbeheerprocessen van ISO 27001 te implementeren, wordt voldaan aan de zorgvuldigheids- en contractuele vereisten van de AVG voor externe gegevensverwerkers.
4. Continue verbetering
GDPR-compliance is geen eenmalig project. Het vereist voortdurende monitoring, updates en training.
ISO 27001 ondersteunt dit door middel van:
- Interne audits
- Managementbeoordelingen
- Correctieve maatregelen
- Continue verbeteringsprocessen
Dit zorgt ervoor dat maatregelen voor gegevensbescherming regelmatig worden geëvalueerd en verbeterd, in overeenstemming met de verwachtingen van de AVG.
5. Vertrouwelijkheid en gegevensbewaring
Vertrouwelijkheid en toegangscontrole zijn essentieel als het gaat om gegevensbescherming. De AVG stelt dat organisaties voldoende maatregelen moeten nemen om gevoelige gegevens te beveiligen, en ISO 27001 gaat nog verder door van organisaties te eisen dat ze een beleid voor toegangscontrole opstellen en implementeren met passende procedures.
Organisaties moeten ook voldoen aan de vereisten voor gegevensbewaring, aangezien de AVG voorschrijft dat persoonsgegevens alleen zo lang als nodig worden bewaard. ISO 27001 kan helpen bij het definiëren van het bewaarbeleid en het veilig verwijderen van gegevens.
6. Incidentbeheer
Zowel de AVG als ISO 27001 spelen een rol bij incidentbeheer.
De AVG verplicht organisaties om datalekken op te sporen, te melden en erop te reageren, waarbij bepaalde lekken binnen 72 uur moeten worden gemeld.
ISO 27001 biedt een gestructureerd incidentbeheerproces om organisaties te helpen bij het efficiënt detecteren van, reageren op en herstellen van beveiligingsincidenten. De implementatie van dit raamwerk zorgt ervoor dat de regels voor melding van inbreuken van de AVG worden nageleefd en vermindert de risico's voor betrokkenen.
7. Verantwoordelijkheid en documentatie
Verantwoordingsplicht is een belangrijk principe in de AVG. Organisaties moeten kunnen aantonen dat ze aan de regels voldoen.
De AVG schrijft voor dat verwerkingsverantwoordelijken en verwerkers een register bijhouden van verwerkingsactiviteiten en beveiligingsmaatregelen, terwijl ISO 27001 gedocumenteerde beleidsregels en beveiligingsmaatregelen vereist als bewijs van naleving.
Beide kaders benadrukken ook het belang van betrokkenheid van het topmanagement en voortdurende verbetering, zodat veiligheid en privacy worden geïntegreerd in de organisatiecultuur.
ISO 27001 vereist gedocumenteerd:
- Beleid
- Procedures
- Risicobeoordelingen
- Controleert
- Auditgegevens
Deze gestructureerde documentatie maakt het gemakkelijker om tijdens een AVG-audit aan te tonen dat aan de voorschriften wordt voldaan en vermindert de algehele nalevingslast.
Vergelijk GDPR en ISO 27001 in de praktijk
Als u meer in detail wilt zien hoe de AVG en ISO 27001 elkaar overlappen, kunt u gebruikmaken van de gratis Framework Comparison Tool Cyberday. Hiermee kunt u de vereisten naast elkaar leggen en zien in hoeverre de AVG wordt ondersteund door ISO 27001-controles en waar mogelijk aanvullende maatregelen nodig zijn.
Bonus: ISO 27701 + AVG ⭐️
ISO 27701 is een uitbreiding van ISO 27001 en biedt richtlijnen voor privacybeheer, waarmee de naleving van de AVG verder wordt ondersteund. Terwijl ISO 27001 zich richt op informatiebeveiliging, verbetert ISO 27701 deze door privacycontroles toe te voegen, die nauw aansluiten bij de gegevensbeschermingseisen van de AVG.
Terwijl ISO 27001 zich concentreert op informatiebeveiliging, voegt ISO 27701 privacycontroles toe en sluit het nauw aan bij de GDPR-vereisten.
Met ISO 27701 kunnen organisaties:
- De rollen van gegevensbeheerders en gegevensverwerkers definiëren
- Privacyprocessen structureren
- Ondersteuning van het beheer van de rechten van betrokkenen
- Versterk het privacybeheer
Samen vormen ISO 27001 en ISO 27701 een sterk kader voor zowel informatiebeveiliging als privacybeheer. Deze combinatie maakt het gemakkelijker om aan te tonen dat aan de AVG wordt voldaan en om zich aan te passen aan toekomstige wijzigingen in de regelgeving.
Tot slot
Over het algemeen hebben zowel ISO 27001 als de AVG het gemeenschappelijke doel om gegevens te beschermen. Hoewel de vereisten tussen de kaders kunnen verschillen, is het hoofdidee voor veel van de thema's hetzelfde.
ISO 27001 ondersteunt veel GDPR-vereisten. Als we bijvoorbeeld kijken naar toegangscontrole: terwijl de GDPR vereist dat organisaties passende technische en organisatorische maatregelen nemen, biedt ISO 27001 concrete maatregelen voor hoe toegangscontrole moet worden uitgevoerd.
Door al deze kaders te combineren, beschermt u gevoelige gegevens en bouwt u vertrouwen op bij klanten en belanghebbenden, waarmee u laat zien dat u zich inzet voor de hoogste normen op het gebied van gegevensbescherming. Door ISO 27001 te omarmen, beschikt u over zowel de technische tools als de juiste mentaliteit om succesvol te zijn in een wereld waarin gegevens centraal staan.
