“Wij zijn ISO 27001-gecertificeerd, dus AVG-compliant” is een denkfout, en “wij regelen de AVG al, dus 27001 voegt niets toe” evenzeer. De waarheid: ISO 27001 en de AVG overlappen sterk op beveiliging en vullen elkaar aan op de rest. Slim ingericht doe je het werk één keer.
Waar ze overlappen
AVG artikel 32 eist “passende technische en organisatorische maatregelen”, zonder te zeggen welke. Precies daar levert ISO 27001 het antwoord: een risicogebaseerd systeem met 93 concrete maatregelen, onafhankelijk getoetst. Voor de vraag “was uw beveiliging passend?” is een certificaat het sterkste generieke bewijs dat er bestaat.
Waar de AVG verder gaat
De AVG eist naast beveiliging ook rechtmatigheid, en dat zegt ISO 27001 als norm weinig over:
- Een grondslag per verwerking
- Transparantie (de privacyverklaring)
- Rechten van betrokkenen (inzage, verwijdering)
- Het verwerkingsregister
- DPIA’s bij hoog-risicoverwerkingen
Annex A-maatregel 5.34 eist wél dat je ISMS de privacyverplichtingen afdekt, maar de invulling komt uit de AVG zelf.
Zo laat je de AVG meeliften
Richt je ISMS zo in dat de AVG meelift:
| ISMS-onderdeel | AVG-gezicht |
|---|---|
| Assetregister | Verwerkingsregister ernaast |
| Leveranciersbeheer | Verwerkersovereenkomsten |
| Incidenttriage | De datalekcheck |
| Bewaartermijnen | AVG-maxima verwerkt |
Eén systeem, twee gezichten
Het resultaat: één systeem met twee gezichten. Het certificaat voor de markt, de AVG-verantwoording voor de toezichthouder. De datalekprocedure, toegangsbeheer, versleuteling en leveranciersbeheer bedienen beide kaders tegelijk.
Tip van Control One: Beleg een privacyverantwoordelijke als rol in je rollenoverzicht. Die onderhoudt het verwerkingsregister, bewaakt de DPIA-triggers en handelt betrokkenenverzoeken af. Wie verder wil in privacy-volwassenheid, kan het privacydeel apart certificeren via ISO 27701.
Eén goed ingericht ISMS dekt het gros van je AVG-verplichtingen. Wil je weten hoe ver je bent? Doe de Quickscan of bekijk de ISO 27001-checklist.
Klaar om te starten met ISO 27001?
Control One begeleidt je stap voor stap door het ISMS-implementatieproces. Van gap-analyse tot certificeringsaudit — inclusief 120+ templates en de Annex A-controls.
Naslagwerk uit de kennisbank
ISO 27001 voor kleine bedrijven: haalbaar of overkill?
Kan een bedrijf van 5, 10 of 20 mensen ISO 27001 halen? Ja: de norm schaalt mee. Wat er anders is bij klein, de valkuilen en de realistische aanpak.
Annex A 5.34: Privacy en bescherming van persoonsgegevens
Maatregel 5.34 van ISO 27001 Annex A eist dat privacy en persoonsgegevens worden beschermd conform wet- en regelgeving, in Nederland vooral de AVG. Zo vul je hem in.
Wat is ISO 27001?
ISO 27001 is de internationale norm voor informatiebeveiliging. Lees wat de norm inhoudt, voor wie hij is, wat certificering oplevert en hoe een traject eruitziet.
Gerelateerde artikelen
Veilig informatie delen: het grootste lekkanaal dichten
De meeste datalekken ontstaan onderweg: de verkeerde geadresseerde, de open deellink. Zo regel je veilige informatieoverdracht volgens ISO 27001.
Apparatuur veilig afvoeren: voorkom het datalek op Marktplaats
De afgedankte laptop met de klantendatabase er nog op is een klassiek datalek. Zo voer je apparatuur veilig af volgens ISO 27001, met aantoonbaar wissen.
Capaciteitsbeheer: voorkom uitval door volgelopen systemen
De meest voorspelbare uitval is het systeem dat langzaam volloopt. Zo richt je capaciteitsbeheer in volgens ISO 27001, met alarmering vóór het te laat is.
Threat intelligence voor het MKB: op de hoogte blijven zonder duur platform
Dreigingen veranderen continu. Zo blijf je op de hoogte met threat intelligence die past bij een MKB-budget, en zet je die kennis om in actie.