Wie is verantwoordelijk voor cybersecurity: jij of je IT-beheerder?
Je betaalt iedere maand voor IT-beheer. Updates, back-ups, laptops en ondersteuning worden verzorgd. Dan is het logisch om te denken dat cybersecurity daarmee ook volledig is geregeld.
Dit artikel hoort bij het thema Cybersecurity in het MKB, onderdeel van ICT-beveiliging voor het MKB.
“Mijn IT-partij regelt dat toch?”
In de praktijk ligt dat genuanceerder.
Het uitbesteden van IT-beheer ontslaat een organisatie niet van haar eigen verantwoordelijkheid voor informatiebeveiliging, privacy en continuïteit. Tegelijk heeft een IT-dienstverlener eigen contractuele en — afhankelijk van zijn rol — wettelijke verplichtingen.
Wie waarvoor verantwoordelijk is, hangt onder meer af van de afspraken, de dienstverlening en de rolverdeling rond persoonsgegevens.
Waarom dit onderscheid belangrijk is
Een IT-partner kan technisch veel uitvoeren: accounts beheren, updates installeren, back-ups controleren en beveiligingssoftware beheren. Maar de organisatie zelf bepaalt vaak nog steeds:
- welke systemen bedrijfskritisch zijn;
- welke gegevens extra bescherming nodig hebben;
- wie toegang mag krijgen;
- hoeveel uitval acceptabel is;
- welke risico’s worden geaccepteerd;
- welke maatregelen en dienstverlening worden ingekocht.
Als die keuzes niet expliciet zijn gemaakt, ontstaat makkelijk een grijs gebied. De ondernemer verwacht dat iets geregeld is; de IT-partner verwacht dat daarvoor geen opdracht of budget is gegeven.
Juist daar ontstaan risico’s.
Verantwoordelijkheid is geen één-regel-verhaal
De organisatie: keuzes, prioriteiten en toezicht
De organisatie blijft verantwoordelijk voor haar eigen bedrijfsvoering. Dat betekent bijvoorbeeld dat zij moet bepalen welke processen, gegevens en systemen kritiek zijn.
De directie hoeft niet zelf technische instellingen te beheren. Wel moet duidelijk zijn wie toezicht houdt, welke afspraken zijn gemaakt en hoe wordt gecontroleerd of die afspraken worden nagekomen.
De IT-partner: uitvoering volgens afspraak
De IT-partner is verantwoordelijk voor de diensten die daadwerkelijk zijn overeengekomen, zoals beheer, monitoring, patching, back-ups of ondersteuning bij incidenten.
De precieze verplichtingen volgen uit de overeenkomst, servicebeschrijving, eventuele service levels en de feitelijke uitvoering. Een algemene afspraak over “beheer” betekent niet automatisch dat alle beveiligingsmaatregelen, controles en herstelverplichtingen inbegrepen zijn.
Privacy en persoonsgegevens: rolverdeling onder de AVG
Bij verwerking van persoonsgegevens moet worden vastgesteld welke rol iedere partij heeft. Een IT-dienstverlener kan in veel situaties als verwerker optreden, maar dat is niet automatisch voor iedere activiteit zo.
Een organisatie die verwerkingsverantwoordelijke is, houdt eigen AVG-verplichtingen wanneer zij IT uitbesteedt. Een dienstverlener die als verwerker optreedt, heeft daarnaast zelfstandige verplichtingen en kan voor eigen tekortkomingen verantwoordelijk of aansprakelijk zijn.
Leg verantwoordelijkheden, beveiligingsmaatregelen en incidentprocedures daarom expliciet vast in contracten en — waar nodig — in een verwerkersovereenkomst.
Wat zeggen normen en regelgeving?
De normen ISO/IEC 27001 en ISO/IEC 27002 bevatten beheersmaatregelen voor informatiebeveiliging. Daaronder vallen ook maatregelen rond leveranciersrelaties: het vastleggen, beheren en monitoren van relevante afspraken met leveranciers.
Deze normen bepalen niet automatisch wie in een specifieke situatie juridisch aansprakelijk is. Ze maken wel duidelijk dat organisaties grip moeten hebben op afspraken met partijen die van invloed zijn op informatiebeveiliging.
De AVG vraagt bovendien om passende technische en organisatorische maatregelen. Wanneer een verwerker wordt ingezet, moet de verwerking onder meer worden geregeld in een overeenkomst die aan artikel 28 AVG voldoet.
Primaire bronnen
- ISO/IEC 27001 — Information security management systems
- ISO/IEC 27002 — Information security controls
- AVG, artikel 28 — EUR-Lex
- Autoriteit Persoonsgegevens — verwerkersovereenkomst
- NCSC — NIS2
Wat betekent dit praktisch voor het MKB?
Voor een MKB-bedrijf hoeft het gesprek met een IT-partner niet te beginnen met technische details. Begin met heldere afspraken:
- wat levert de IT-partner precies;
- wat valt buiten de dienstverlening;
- wie neemt welke beslissing bij een incident;
- welk bewijs krijgt de organisatie periodiek;
- wat moet de organisatie zelf organiseren of goedkeuren.
Een mondelinge geruststelling als “dat regelen wij” is niet hetzelfde als een duidelijke, controleerbare afspraak.
Praktische ICTklaar-richtlijn
Bespreek minimaal deze onderwerpen schriftelijk met je IT-partner:
- back-ups;
- hersteltests;
- patchbeheer;
- toegangsbeheer;
- multifactorauthenticatie;
- monitoring;
- incidentrespons;
- bereikbaarheid;
- rapportage;
- verantwoordelijkheidsverdeling.
ICTklaar adviseert om daarbij niet alleen te vragen of iets geregeld is, maar ook hoe het wordt gecontroleerd en hoe je dat terugziet in een rapportage. Dit is een praktische richtlijn, geen juridische beoordeling van een contract.
Wat moet je kunnen aantonen?
Vraag je IT-partner, waar relevant, om de volgende documenten of bewijzen:
- een actuele servicebeschrijving;
- een SLA of afspraken over servicelevels;
- een verwerkersovereenkomst, indien van toepassing;
- een security-addendum of beveiligingsbijlage;
- patchrapportages;
- back-uprapportages;
- een hersteltest met datum, scope en uitkomst;
- een incidentprocedure en escalatielijst;
- periodieke beveiligingsrapportages;
- een overzicht van verantwoordelijkheden aan beide kanten.
De meest voorkomende onduidelijkheden
| Onderwerp | Vraag die vaak onbeantwoord blijft |
|---|---|
| Back-ups | Maakt de IT-partner alleen back-ups, of test hij ook herstel? |
| Updates | Welke systemen vallen binnen patchbeheer en binnen welke termijn? |
| Monitoring | Worden meldingen alleen geregistreerd, of ook buiten kantooruren opgevolgd? |
| Accounts | Wie beoordeelt of medewerkers nog de juiste rechten hebben? |
| Incidenten | Wie belt wie, wie beslist en wie communiceert met klanten? |
| Bewijs | Welke rapportage ontvangt de organisatie periodiek? |
Als deze onderwerpen niet concreet zijn afgesproken, is het moeilijk om achteraf vast te stellen wat redelijkerwijs verwacht mocht worden.
Kijk verder dan “wij regelen de beveiliging”
Een goede IT-overeenkomst bevat niet alleen een algemeen beveiligingsstatement. Zij maakt ook zichtbaar wat wordt geleverd, gecontroleerd en gerapporteerd.
Vraag bijvoorbeeld om duidelijkheid over:
- systemen die onder beheer vallen;
- maatregelen die wel en niet zijn inbegrepen;
- hersteldoelen en prioriteiten bij een incident;
- responstijden, bereikbaarheid en escalatie;
- rapportages over updates, back-ups, beveiligingsmeldingen en verbeterpunten;
- de verdeling van verantwoordelijkheden binnen de organisatie en bij de IT-partner.
IT-contracten bevatten vaak aansprakelijkheidsbeperkingen, bijvoorbeeld voor indirecte schade of een maximumbedrag voor directe schade. De precieze beperking verschilt per overeenkomst en is niet onder alle omstandigheden afdwingbaar. Laat belangrijke contracten beoordelen wanneer de continuïteit van je bedrijf sterk afhankelijk is van de dienstverlening.
NIS2: niet gokken op toepasselijkheid
NIS2 is Europese regelgeving rond cyberweerbaarheid. Of en wanneer Nederlandse wetgeving op jouw organisatie van toepassing is, hangt af van de Nederlandse implementatie, sector, omvang, ketenpositie en andere omstandigheden.
Ga daarom niet uit van algemene uitspraken over toepasselijkheid of persoonlijke bestuurdersaansprakelijkheid. Gebruik NIS2 liever als aanleiding om te onderzoeken of jouw organisatie, klanten of leveranciers hogere eisen stellen aan beveiliging en aantoonbaarheid.
Voor ICTklaar is de praktische lijn:
ketenbeveiliging → leveranciersafspraken → aantoonbaarheid → regie
Wat kun je nu doen?
Begin met één document: vraag je IT-partner om de actuele servicebeschrijving of overeenkomst. Markeer vervolgens wat daarin staat over back-ups, updates, monitoring, incidenten, rapportage en verantwoordelijkheden.
Wat niet duidelijk is beschreven, is niet automatisch niet geregeld — maar verdient wel een concreet gesprek.
Voor artikel 5 kunnen we logisch doorgaan met “Hoe bewijs je dat je cybersecuritymaatregelen werken?”; dat sluit direct aan op beide artikelen en vormt de eerste sterke audit-/bewijs-pijler in de kennisbank.
Veelgestelde vragen
Is mijn IT-partner altijd verantwoordelijk als er iets misgaat?
Nee. Dat hangt af van de oorzaak, gemaakte afspraken, geleverde dienstverlening en de feitelijke situatie. Een incident kan ook voortkomen uit keuzes, rechten of processen binnen de organisatie zelf.
Is een IT-partner altijd een verwerker onder de AVG?
Nee. Dat hangt af van de verwerking en de feitelijke rol van de partij. Een IT-dienstverlener kan voor bepaalde verwerkingen verwerker zijn, maar dat moet per situatie worden beoordeeld.
Wie krijgt een boete bij een datalek?
Dat hangt af van de omstandigheden, rolverdeling, wettelijke verplichtingen en het onderzoek van de toezichthouder. Een organisatie die verwerkingsverantwoordelijke is, houdt eigen verplichtingen bij uitbesteding. Een verwerker kan daarnaast zelfstandige verplichtingen hebben en voor eigen tekortkomingen verantwoordelijk of aansprakelijk zijn.
Moet ik alle technische details begrijpen?
Nee. Je hoeft geen technisch specialist te zijn. Je moet wel kunnen uitleggen welke risico’s voor jouw bedrijf belangrijk zijn, wat je hebt afgesproken en welk bewijs je ontvangt dat maatregelen werken.