Drie aanbevelingen voor een sterke verwerkersovereenkomst bij een cyberaanval

Impact bij niet-naleven

De Autoriteit Persoonsgegevens heeft onderzoek gedaan naar vijf grote cyberaanvallen op dienstverleners die samen meer dan 1250 Nederlandse organisaties raakten. Hieruit blijkt dat veel organisaties te weinig grip hadden op de situatie omdat hun verwerkersovereenkomsten te vaag waren. Dienstverleners zijn aantrekkelijke doelwitten voor cybercriminelen omdat één aanval meerdere organisaties kan treffen. Dit raakt jouw bedrijf direct als je samenwerkt met dienstverleners die toegang hebben tot klantgegevens. Denk aan je IT-leverancier, administratiekantoor, webshopbouwer, cloudprovider of boekhouder. Als zij gehackt worden, kunnen jouw klantgegevens op straat komen te liggen. Zonder goede afspraken sta je er alleen voor en kun je mogelijk niet eens achterhalen wat er precies is gebeurd. De drie aanbevelingen van de AP zijn: maak afspraken zo concreet mogelijk, houd grip op de hele leveranciersketen, en eis transparantie van je dienstverleners. Vage standaardteksten die alleen de AVG herhalen zijn niet genoeg. Je hebt concrete afspraken nodig over wie wat doet, wanneer je wordt geïnformeerd, en hoe jullie samenwerken bij een incident. Als je dit niet goed regelt, loop je risico op boetes van de AP en claims van klanten. Belangrijker nog: bij een datalek zonder goede afspraken heb je geen overzicht en controle. Je weet niet wat er gebeurd is, welke gegevens zijn gelekt, en wat er wordt gedaan om het op te lossen. Dit kan leiden tot langdurige onzekerheid en reputatieschade voor je bedrijf.