Het korte antwoord
ISO 27001 en de AVG beantwoorden verschillende vragen, hoewel er een belangrijk gebied van overlap is.
ISO/IEC 27001 is een internationale norm voor het beheer van informatiebeveiliging. Het stelt de vraag of uw organisatie risico's voor informatiebeveiliging identificeert, passende maatregelen neemt om deze te beheersen, verantwoordelijkheden toewijst en de manier waarop informatie wordt beschermd voortdurend verbetert.
De AVG is de Europese wetgeving voor gegevensbescherming. Deze gaat verder. De AVG stelt de vraag of en waarom persoonsgegevens mogen worden verwerkt, hoeveel gegevens u verzamelt, hoe lang u deze bewaart, hoe veilig u ze beschermt en of mensen hun rechten met betrekking tot deze gegevens kunnen uitoefenen.
Dat onderscheid is belangrijk. U kunt uitstekende beveiliging hebben en toch persoonsgegevens onrechtmatig verwerken. Een perfect versleutelde database met persoonsgegevens die zonder wettelijke grondslag zijn verzameld, kan nog steeds een AVG-probleem vormen.
Het omgekeerde is ook waar. U kunt een geldige wettelijke grondslag hebben voor het verwerken van persoonsgegevens en er toch niet in slagen die gegevens adequaat te beschermen.
Hoewel de AVG en ISO 27001 dus aanzienlijk overlappen op het gebied van informatiebeveiliging, betekent een ISO 27001-certificering niet dat een organisatie voldoet aan de AVG.
ISO 27001 en de AVG in vogelvlucht
Wat is het?
ISO 27001 is een internationale norm voor informatiebeveiligingsmanagement. De AVG is de EU-wetgeving voor gegevensbescherming.
Primaire focus.
ISO 27001 beheert risico's voor informatiebeveiliging. De AVG regelt de rechtmatige, eerlijke en veilige verwerking van persoonsgegevens.
Van toepassing op.
ISO 27001 heeft betrekking op informatie binnen de scope van het ISMS. De AVG heeft betrekking op de verwerking van persoonsgegevens binnen de scope van de verordening.
Certificering.
ISO 27001 kan worden gecertificeerd. De AVG voorziet in certificeringsmechanismen, maar er is geen algemeen certificaat dat uw AVG-verplichtingen wegneemt.
Rechten van betrokkenen.
Geen primair doel van ISO 27001. Een kernvereiste van de AVG.
Beveiligingsmaatregelen.
Een essentieel onderdeel van ISO 27001. Vereist door de AVG waar persoonsgegevens worden verwerkt.
Bewijst ISO 27001 dat je voldoet aan de AVG? Nee.
Waar ISO 27001 en de AVG elkaar overlappen
De overlap tussen de AVG en ISO 27001 is reëel en organisaties zouden hier gebruik van moeten maken.
De AVG vereist dat organisaties passende technische en organisatorische maatregelen nemen om persoonsgegevens te beschermen. Wat passend is, hangt af van factoren zoals de risico's, de aard van de gegevens en de context waarin deze worden verwerkt.
ISO 27001 biedt een gestructureerde manier om veel van die maatregelen te beheren. Een Information Security Management System (ISMS) geeft je een herhaalbaar proces voor het identificeren van informatiebeveiligingsrisico's, het selecteren van beheersmaatregelen, het toewijzen van verantwoordelijken, het beoordelen van de effectiviteit en het bijhouden van bewijs dat de maatregelen daadwerkelijk worden uitgevoerd.
Dat bewijst niet automatisch dat aan elke AVG-vereiste is voldaan. Het biedt echter wel een sterke managementstructuur voor het beveiligingsgerelateerde deel van AVG-compliance.
Als een toezichthouder vraagt hoe je een beveiligingsrisico hebt beoordeeld, waarom een bepaalde maatregel is gekozen, wie daarvoor verantwoordelijk was en of deze is geëvalueerd, kan een goed beheerd ISMS die vragen veel makkelijker beantwoorden.
Incidentmanagement is een andere belangrijke overlap
De AVG bevat ook specifieke vereisten voor datalekken.
Wanneer een inbreuk in verband met persoonsgegevens waarschijnlijk een risico inhoudt voor de rechten en vrijheden van personen, moet de verwerkingsverantwoordelijke de relevante toezichthouder zonder onredelijke vertraging en, indien mogelijk, binnen 72 uur nadat hij er kennis van heeft genomen, op de hoogte stellen.
Wanneer de inbreuk waarschijnlijk een hoog risico inhoudt voor individuen, moeten de betrokkenen mogelijk ook worden geïnformeerd, met inachtneming van de uitzonderingen die in de AVG zijn vastgelegd.
ISO 27001 creëert deze meldplichten niet. Maar een effectief ISMS kan het proces voor incidentmanagement bieden dat een organisatie helpt om een incident snel genoeg te detecteren, onderzoeken, documenteren en escaleren om aan deze verplichtingen te voldoen.
De 72-uursvereiste wordt veel moeilijker te halen als niemand weet wie verantwoordelijk is voor het incident, wanneer het begon, welke informatie was getroffen of wie de beslissing moet nemen. Dat is precies het type operationeel probleem dat een managementsysteem is ontworpen om te voorkomen.
Waar ISO 27001 stopt en de AVG verdergaat
Het grootste verschil is dat de AVG niet simpelweg een vereiste voor informatiebeveiliging is. Beveiliging is slechts één onderdeel van gegevensbescherming.
De AVG vereist ook dat organisaties vragen beantwoorden zoals: wat is het doel van de verwerking van deze persoonsgegevens en wat is de wettelijke grondslag hiervoor? Verzamelen we meer persoonsgegevens dan we daadwerkelijk nodig hebben? Hoe lang moeten de gegevens worden bewaard? Wie ontvangt de gegevens of heeft er toegang toe? Zijn individuen goed geïnformeerd? Kunnen mensen hun rechten uitoefenen om gegevens in te zien, te corrigeren, te wissen of de verwerking te beperken? Kunnen zij, waar van toepassing, hun recht op dataportabiliteit uitoefenen of bezwaar maken tegen de verwerking? En als er wordt vertrouwd op toestemming, voldoet die toestemming dan aan de AVG-vereisten?
Afhankelijk van de organisatie en de verwerking die plaatsvindt, kan de AVG ook vereisen dat er verwerkingsregisters, Data Protection Impact Assessments (DPIA's), verwerkersovereenkomsten en andere privacy-specifieke documentatie en processen aanwezig zijn.
ISO 27001 vervangt deze verplichtingen niet. Een auditor voor ISO 27001-certificering kan beoordelen of relevante wettelijke en reglementaire vereisten zijn geïdentificeerd en op passende wijze zijn meegenomen in het ISMS. Maar een ISO 27001-certificeringsaudit is geen volledige AVG-compliance-audit. Een toezichthouder voor gegevensbescherming kan veel verder kijken.
Daarom is het een vergissing om een ISO 27001-certificering te beschouwen als bewijs dat een organisatie automatisch voldoet aan de AVG.
Waarom een ISO 27001-certificaat niet gelijkstaat aan AVG-compliance
Dit is belangrijk om helder te stellen, omdat het onderscheid in marketing rondom compliance soms uit het oog wordt verloren. Er bestaat geen ISO 27001-certificaat dat een organisatie automatisch AVG-compliant maakt.
De AVG is rechtstreeks van toepassing op organisaties die binnen het toepassingsgebied vallen. Deze verplichtingen blijven bestaan, ongeacht welke ISO-normen een organisatie heeft geïmplementeerd of waartegen zij is gecertificeerd.
De AVG voorziet wel in goedgekeurde certificeringsmechanismen, maar certificering ontslaat verwerkingsverantwoordelijken of verwerkers niet van hun verantwoordelijkheid om aan de verordening te voldoen. Een ISO 27001-certificaat is specifiek het bewijs dat een managementsysteem voor informatiebeveiliging is getoetst aan ISO 27001, niet dat aan elke AVG-verplichting is getoetst.
Wat een managementsysteem je wel kan bieden, is iets uiterst waardevols: aantoonbaarheid. De AVG bevat een verantwoordingsplicht. Van organisaties wordt niet alleen verwacht dat zij aan hun verplichtingen voldoen; zij moeten ook kunnen aantonen hoe zij dat doen.
Dat betekent dat je bewijslast moet bijhouden. Waarom is een besluit genomen? Wie is verantwoordelijk voor de maatregel? Wanneer is deze voor het laatst geëvalueerd? Werkt de beheersmaatregel nog steeds? Wat is er na een incident gebeurd? Is het risico opnieuw beoordeeld toen er iets veranderde?
Dit is waar veel organisaties na verloop van tijd tegenaan lopen. De uitdaging is vaak niet dat zij de AVG verkeerd begrepen toen ze deze voor het eerst implementeerden. De uitdaging is om de processen, verantwoordelijkheden, maatregelen en bewijslast twee of drie jaar later nog steeds actueel te houden.
Een managementsysteem helpt om eenmalig compliance-werk om te zetten in een continu proces. Niet omdat het systeem zelf je compliant maakt, maar omdat het helpt om compliance beheersbaar, aantoonbaar en herhaalbaar te maken.
Hoe zit het met ISO/IEC 27701?
Voor organisaties die op zoek zijn naar een norm voor managementsystemen die specifiek gericht is op privacy, is ISO/IEC 27701 de meest relevante standaard. Belangrijk is dat dit is veranderd met de publicatie van ISO/IEC 27701:2025.
De vorige editie uit 2019 was ontworpen als een uitbreiding op ISO/IEC 27001 en ISO/IEC 27002. De editie van 2025 is nu een op zichzelf staande norm voor managementsystemen voor het opzetten, implementeren, onderhouden en continu verbeteren van een Privacy Information Management System (PIMS). Het kan daarom onafhankelijk worden geïmplementeerd, terwijl het nog steeds is ontworpen om effectief te integreren met ISO 27001.
ISO 27701 kan organisaties helpen bij het structureren van privacyverantwoordelijkheden, risico's, beheersmaatregelen en bewijslast, en ondersteunt het aantonen van naleving van privacywetgeving zoals de AVG. Maar hetzelfde principe blijft gelden: het implementeren of certificeren van een managementsysteem draagt je wettelijke verantwoordelijkheid niet over aan de norm of de software die je gebruikt om dit te beheren.
Waar de maatregelen daadwerkelijk worden uitgevoerd
Hier begint de praktische uitdaging. Privacy en informatiebeveiliging hebben vaak betrekking op dezelfde systemen, leveranciers, bedrijfsmiddelen, risico's en mensen. Toch worden ze in veel organisaties afzonderlijk beheerd.
Het privacyregister staat in een spreadsheet of tool. De inventaris van bedrijfsmiddelen staat ergens anders. Beveiligingsmaatregelen zijn gedocumenteerd in het ISMS. Acties worden bijgehouden in een andere applicatie. Bewijslast staat in SharePoint of Teams. Incidentinformatie wordt weer apart bijgehouden. Het resultaat is dubbel werk, en na verloop van tijd kunnen die verschillende beschrijvingen van de organisatie elkaar gaan tegenspreken.
ISOPlanner™ is geen oplossing voor AVG-compliance, en zo zouden we het ook niet omschrijven. Geen enkel softwareproduct kan uw grondslag voor de verwerking van persoonsgegevens bepalen, beslissen of een specifieke verwerkingsactiviteit wettelijk is toegestaan of het juridische oordeel vervangen dat nodig is om aan AVG-verplichtingen te voldoen.
Wat ISOPlanner™ wel biedt, is een gestructureerde omgeving voor het operationele beheer rondom compliance. Registers van verwerkingsactiviteiten kunnen worden beheerd naast bedrijfsmiddelen en andere compliance-informatie. Technische en organisatorische maatregelen kunnen worden gekoppeld aan verantwoordelijkheden, acties en bewijslast. Risico's kunnen worden toegewezen aan eigenaren en periodiek worden beoordeeld. Incidenten, beheersmaatregelen en vervolgactiviteiten worden onderdeel van dezelfde managementcyclus in plaats van losstaande compliance-oefeningen.
Voor organisaties die al met Microsoft 365 werken, kan dit ook de noodzaak verminderen om een volledig aparte werkwijze rondom compliance op te zetten.
De waarde zit er niet in dat een tool u AVG-compliant maakt. De waarde zit erin dat de beslissingen, verantwoordelijkheden, maatregelen en bewijslast die uw compliance ondersteunen, minder snel verdwijnen in losgekoppelde spreadsheets, documenten en inboxen.
Begin bij de verplichting, beheer deze daarna
De volgorde is belangrijk. Begin met begrijpen wat de AVG van uw organisatie vereist en waarom u persoonsgegevens verwerkt. Bepaal uw doeleinden, rechtsgronden, verantwoordelijkheden, bewaartermijnen en de rechten die van toepassing zijn.
Zorg er vervolgens voor dat de maatregelen die nodig zijn om aan die verplichtingen te voldoen, worden beheerd op een plek waar ze over jaren nog steeds zichtbaar, eigendom van iemand en actueel zijn.
ISO 27001 kan een sterke managementbasis bieden voor informatiebeveiliging. ISO 27701 kan die managementdiscipline uitbreiden naar privacy. Geen van beide vervangt de AVG. Maar samen met een goed beheerd managementsysteem kunnen ze het aanzienlijk makkelijker maken om van compliance een eenmalige documentatieoefening te veranderen in iets dat uw organisatie daadwerkelijk kan onderhouden en aantonen.
Dit artikel biedt algemene informatie over de AVG en ISO-normen en dient niet te worden beschouwd als juridisch advies.
