Cloud compliance: welke vragen moeten organisaties stellen?
Cloud compliance draait om het stellen van de juiste vragen aan jezelf en aan leveranciers, en om bewijs dat je kunt controleren.
Cloud compliance betekent aantonen dat je cloudgebruik voldoet aan wet- en regelgeving en interne eisen. Je stelt vragen over verantwoordelijkheidsverdeling, dataverwerking, auditbewijs, incidenten en exit, en verifieert de antwoorden met documentatie.
Voor wie: Compliance officers, security- en privacyteams en inkopers die cloudleveranciers moeten beoordelen.
Wat betekent compliance in de cloud?
Compliance is geen eigenschap die je koopt, maar een toestand die je onderbouwt. Een leverancier kan meewerken door documentatie en rapporten te leveren, maar jouw organisatie blijft verantwoordelijk voor het eigen gebruik, de configuratie en de verwerking van gegevens.
Kaders als de AVG, NIS2, DORA, ISO 27001 als norm en SOC 2 als rapportagekader kunnen relevant zijn. In Nederland is NIS2 geïmplementeerd in de Cyberbeveiligingswet, die op 15 augustus 2026 in werking is getreden. Of en hoe dit geldt hangt af van sector, dienst en regio; laat het juridisch en door je security- en compliance-team toetsen.
Welke vragen stel je aan jezelf?
Begin intern, voordat je een leverancier benadert. Zonder duidelijke eisen kun je antwoorden niet beoordelen.
- Welke gegevens verwerk je, en hoe gevoelig zijn ze?
- Welke wetten, sectorregels en contractuele verplichtingen gelden voor deze dienst?
- Wie is verwerkingsverantwoordelijke en wie verwerker?
- Hoe lang moet je gegevens bewaren, en wanneer moet je ze verwijderen?
- Welke rapportages verwacht je toezichthouder, klant of auditor?
Welke vragen stel je aan de leverancier?
Vraag naar bewijs, niet naar beloftes. Certificeringen en rapporten zeggen iets over een bepaalde reikwijdte op een bepaald moment, dus controleer wat precies is beoordeeld.
- Vraag het actuele auditrapport of certificaat op en lees de reikwijdte.
- Controleer of de beoordeelde dienst en regio overeenkomen met wat jij afneemt.
- Kijk naar de geldigheidsdatum en naar eventuele bevindingen of uitzonderingen.
- Lees de verwerkersovereenkomst en de lijst met subverwerkers.
- Vraag hoe incidenten worden gemeld, binnen welke termijn en aan wie.
- Leg vast hoe data wordt teruggegeven en verwijderd bij einde van het contract.
Hoe houd je compliance op peil?
Compliance vraagt voortdurende aandacht. Wijzigingen in de dienst, nieuwe subverwerkers of een aangepaste reikwijdte kunnen je beoordeling beïnvloeden. Plan periodieke herbeoordelingen en leg vast wie signalen van de leverancier ontvangt.
Bewijs en wat het aantoont
| Document | Wat het laat zien | Waar je op let |
|---|---|---|
| Auditrapport | Onafhankelijke beoordeling van maatregelen | Reikwijdte, periode, dienst en bevindingen |
| Certificaat | Dat een managementsysteem is beoordeeld | Geldigheid en welke locaties en diensten vallen eronder |
| Verwerkersovereenkomst | Afspraken over verwerking van persoonsgegevens | Subverwerkers, locaties en meldplicht |
| Beveiligingsbeschrijving | Technische en organisatorische maatregelen | Of het overeenkomt met de werkelijke inrichting |
| Exitvoorwaarden | Dataterugave en verwijdering | Formaat, termijn en bewijs van verwijdering |
Voor wie is dit minder geschikt?
- Organisaties die compliance willen volledig uitbesteden, omdat de verantwoordelijkheid voor eigen gebruik en configuratie bij hen blijft.
- Teams die alleen op een logo of certificaat vertrouwen, omdat reikwijdte en geldigheid de waarde bepalen.
- Kleine gebruikers zonder specifieke verplichtingen, die met een lichtere beoordeling kunnen volstaan.
Veelgestelde vragen
Is een certificering voldoende om de leverancier te vertrouwen?
Nee, het is een onderdeel. Het toont een beoordeling van een afgebakend deel. Combineer het met contractvoorwaarden, eigen toetsing en doorlopende monitoring.
Wat is het verschil tussen een certificaat en een auditrapport?
Een certificaat meldt dat een beoordeling is afgerond. Een rapport beschrijft de maatregelen en testresultaten uitgebreider en laat je beter beoordelen wat is gecontroleerd.
Wie moet een datalek melden?
Dat hangt af van de rolverdeling en de geldende regels. Leg in het contract vast hoe de leverancier jou informeert, zodat je eigen meldverplichtingen haalbaar blijven.