Technische en organisatorische beveiligingsmaatregelen, afgekort TOMS, zijn de gedocumenteerde en geïmplementeerde maatregelen waarmee een organisatie aantoont dat zij persoonsgegevens en informatiesystemen adequaat beveiligt. Bij verwerking in een soevereine cloudomgeving, of dat nu on-premise, een Europese datacenterlocatie of een Zwitserse cloudinfrastructuur is, bepalen AVG artikel 32 en NIS-2 artikel 21 samen wat die TOMS minimaal moeten inhouden en hoe zij moeten worden verantwoord tegenover toezichthouders zoals de Autoriteit Persoonsgegevens.
Wettelijke grondslag: AVG artikel 32 en NIS-2 artikel 21 naast elkaar
Beide rechtsgronden verplichten passende beveiliging, maar vanuit een andere invalshoek. Wie beide wetten van toepassing ziet, moet de TOMS zo inrichten dat zij aan beide kaders voldoen.
AVG artikel 32 verplicht de verwerkingsverantwoordelijke en de verwerker om, rekening houdend met de stand van de techniek, de uitvoeringskosten en de aard van de verwerking, passende technische en organisatorische maatregelen te treffen. Concreet noemt het artikel pseudonimisering, versleuteling, maatregelen voor vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht, procedures voor herstel na incidenten, en een testproces voor de doeltreffendheid van de maatregelen.
NIS-2 artikel 21 gaat verder en verplicht essentiële en belangrijke entiteiten tot maatregelen op minstens tien specifieke gebieden, waaronder risicoanalyse, incidentbeheer, bedrijfscontinuïteit, beveiliging van de toeleveringsketen, toegangsbeveiliging en cryptografie. De Implementing Regulation (EU) 2024/2690, die direct van toepassing is in alle EU-lidstaten, concretiseert deze eisen voor specifieke sectoren zoals digitale infrastructuur en beheerde dienstverleners. De ENISA NIS2 Technical Implementation Guidance biedt daarbij een praktisch referentiekader voor het invullen van de vereiste maatregelen.
Het Europees Parlement formuleerde in NIS-2 artikel 21 de kerneis als volgt:
“Member States shall ensure that essential and important entities take appropriate and proportionate technical, operational and organisational measures to manage the risks posed to the security of network and information systems.” (NIS-2 Richtlijn (EU) 2022/2555, artikel 21)
Van DPIA naar auditeerbare TOMS-documentatie
Een Data Protection Impact Assessment bij cloudmigratie levert een risicoanalyse op, maar die analyse is slechts het vertrekpunt voor de TOMS-documentatie die toezichthouders verwachten.
De stap van DPIA-bevinding naar geïmplementeerde maatregel vereist een systematische doorvertaling. Elke geïdentificeerde risicofactor in de DPIA moet corresponderen met een maatregel die is beschreven in termen van: wat de maatregel inhoudt, wie verantwoordelijk is voor implementatie en beheer, hoe de werking wordt getest en hoe often, en welk residu-risico resteert nadat de maatregel is getroffen. Dit geheel vormt het TOMS-register dat de AP en de nationale NIS-2-autoriteit kunnen inzien bij een audit.
ISO/IEC 27001:2022 biedt een geschikt structuurraamwerk voor dit register. De Statement of Applicability binnen ISO 27001 is bij uitstek het document waarin de koppeling tussen geïdentificeerde risico’s en geselecteerde beheersmaatregelen (controls) wordt vastgelegd. Wie de scope van zijn ISO 27001-certificering expliciet de verwerking van persoonsgegevens laat omvatten, bouwt een directe brug naar AVG artikel 32.
Aanvullende TOMS bij niet-EU-cloudleveranciers met operationele soevereiniteit
Een leverancier kan operationeel soeverein zijn, door data uitsluitend in Europese datacenters op te slaan en geen Amerikaanse moedermaatschappij te hebben die onder de CLOUD Act valt, maar juridisch toch in een derde land zijn gevestigd. De meest voorkomende variant in de praktijk is de Zwitserse cloud.
Zwitserland heeft een adequaatheidsbesluit van de Europese Commissie, wat gegevensdoorgifte onder de AVG vergemakkelijkt. Dat neemt echter niet weg dat specifieke aanvullende TOMS vereist zijn:
| Soevereiniteitsmodel | Minimale TOMS | Aanvullende TOMS |
|---|---|---|
| On-premise (NL/EU) | Versleuteling, toegangsbeheersing, patchbeheer, logmonitoring | Fysieke toegangsbeveiliging, disaster recovery, SBOM-register |
| Europese cloud (EU-rechtspersoon) | Versleuteling in transit en at rest, verwerkersovereenkomst, auditrecht | Jurisdictie-analyse toeleveringsketen, sleutelbeheer bij verwerkingsverantwoordelijke |
| Zwitserse cloud (adequaatheidsbesluit) | Alle bovenstaande maatregelen, Standard Contractual Clauses of equivalent | Transfer Impact Assessment, analyse Zwitserse inlichtingenwetgeving (NDG), end-to-end-versleuteling met eigen sleutelbeheer |
De Transfer Impact Assessment is bij een Zwitserse cloudleverancier geen formaliteit. Het Zwitserse Nachrichtendienstgesetz (NDG) kent bepalingen die buitenlandse inlichtingendiensten onder omstandigheden toegang kunnen geven tot communicatie. De TOMS-documentatie moet beschrijven hoe de organisatie dit risico mitigeert, doorgaans via client-side versleuteling waarbij de leverancier nooit over de sleutels beschikt.
Proportionaliteit en adequaatheid aantoonbaar maken
AVG artikel 32 schrijft niet voor welke specifieke maatregelen verplicht zijn, maar eist dat ze proportioneel zijn aan het risico. Dat klinkt als beleidsruimte, maar toezichthouders beoordelen achteraf of de organisatie een redelijke afweging heeft gemaakt.
De Autoriteit Persoonsgegevens stelt hierover: “Beveiliging is geen eenmalige handeling maar een doorlopend proces. Organisaties moeten kunnen aantonen dat zij risico’s structureel beheersen, niet slechts op papier.” (AP Richtsnoeren beveiliging persoonsgegevens)
Proportionaliteit aantonen vereist dat de organisatie documenteert welke alternatieven zijn overwogen en waarom de gekozen maatregel het beste evenwicht biedt tussen bescherming en uitvoeringskosten. Bij een on-premise Nextcloud-omgeving voor een advocatenkantoor, waarbij bijzondere categorieën persoonsgegevens worden verwerkt, is end-to-end-versleuteling met hardware security modules geen disproportionele maatregel maar een verwachte standaard. Bij een gemeente die uitsluitend niet-gevoelige interne documenten opslaat, kan een gecertificeerde Europese cloudomgeving met sterk toegangsbeheer volstaan.
Gevolgen van onvoldoende TOMS-documentatie
De financiële en juridische risico’s bij inadequate TOMS zijn concreet en substantieel.
De AP legde in 2023 voor in totaal meer dan 2,5 miljoen euro aan boetes op wegens onvoldoende beveiliging van persoonsgegevens (Autoriteit Persoonsgegevens Jaarverslag 2023). Onder de AVG kan de maximale boete oplopen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor schendingen van artikel 32, en tot 20 miljoen euro of 4 procent van de omzet voor zwaarder wegende overtredingen.
Uit onderzoek van de Europese Commissie (2023) bleek dat slechts 27 procent van de Europese organisaties in de publieke sector een formeel gedocumenteerde set technische en organisatorische beveiligingsmaatregelen kon overleggen bij een audit (Europese Commissie, Cybersecurity of EU Institutions, Bodies and Agencies, 2023). Dat betekent dat bij een datalek de overgrote meerderheid niet kan aantonen dat zij aan haar zorgplicht heeft voldaan.
Persoonlijke aansprakelijkheid van de compliance officer is in Nederland geen theoretisch risico. Onder het Nederlands bestuursrecht bestaat de mogelijkheid dat bestuurders worden aangesproken als zij hun toezichthoudende taak ernstig hebben verwaarloosd. Wie als compliance officer aantoonbaar heeft nagelaten een TOMS-raamwerk in te richten of te onderhouden, kan onder de vennootschapsrechtelijke bestuurdersaansprakelijkheid vallen als de organisatie als gevolg van het datalek schade lijdt.
Integratie met SBOM, cryptografische inventarisatie en incidentresponsplan
Een samenhangende soevereine compliance-architectuur bestaat uit meer dan losse TOMS-documenten. De afzonderlijke registers en plannen moeten met elkaar verbonden zijn en naar elkaar verwijzen.
Het Software Bill of Materials (SBOM) is een inventarisatie van alle softwarecomponenten in de omgeving, inclusief versienummers en bekende kwetsbaarheden. Volgens ENISA’s Threat Landscape 2023 was ransomware de meest gemelde aanvalsvorm bij organisaties in de EU, goed voor meer dan 34 procent van alle ernstige incidenten (ENISA Threat Landscape 2023). Een actueel SBOM maakt het mogelijk om bij een nieuw gepubliceerde kwetsbaarheid, zoals een kritiek lek in een afhankelijkheid van Nextcloud of een onderliggende bibliotheek, onmiddellijk te bepalen welke systemen risico lopen. Zonder SBOM is die analyse niet tijdig uitvoerbaar, wat NIS-2 artikel 21 expliciet als tekortkoming beschouwt.
De cryptografische inventarisatie documenteert welke versleutelingsalgoritmen en sleutellengtes worden gebruikt, waar sleutels worden opgeslagen, en wanneer certificaten verlopen. Met de opkomst van kwantumcomputing wordt dit register strategisch belangrijk: organisaties in gereguleerde sectoren moeten nu al inventariseren welke algoritmen kwetsbaar zijn voor quantum-aanvallen (zoals RSA en elliptische-curvealgoritmen) en een migratieplan naar post-kwantum cryptografie opstellen. De cryptografische inventarisatie is het vertrekpunt voor die migratie.
Het incidentresponsplan beschrijft de stappen die worden genomen bij een beveiligingsincident, inclusief de meldingsprocedure aan de AP (binnen 72 uur na ontdekking van een meldingsplichtig datalek) en aan de nationale NIS-2-autoriteit. De TOMS-documentatie moet expliciet naar het incidentresponsplan verwijzen en omgekeerd: het plan verwijst naar de maatregelen die een incident hadden moeten voorkomen, zodat een na-analyse ook de TOMS zelf beoordeelt en waar nodig bijstelt.
Deze integratie, van TOMS-register naar SBOM, cryptografische inventarisatie en incidentresponsplan, vormt de kern van wat toezichthouders verwachten van een organisatie die serieus werk maakt van soevereine, aantoonbaar beveiligde dataverwerking. Het is een architectuur die continue aandacht vraagt, maar ook de organisatie zelf beschermt: wie bij een incident een compleet en actueel dossier kan overleggen, staat aanzienlijk sterker in het contact met de AP of de NIS-2-toezichthouder.
FAQ
Wat is het verschil tussen TOMS onder AVG artikel 32 en de beveiligingsmaatregelen onder NIS-2 artikel 21?
AVG artikel 32 richt zich op de bescherming van persoonsgegevens en verplicht maatregelen die zijn afgestemd op het risico van de verwerking. NIS-2 artikel 21 is breder en omvat de beveiliging van het gehele netwerk- en informatiesysteem van essentiële en belangrijke entiteiten. In de praktijk overlappen de vereisten sterk, maar NIS-2 stelt ook eisen aan incidentbeheer, continuïteit en toeleveranciersbeveiliging die buiten de directe persoonsgegevensverwerking vallen.
Moet een DPIA altijd worden omgezet in een TOMS-document?
De DPIA identificeert risico’s en beschrijft mitigerende maatregelen. Die maatregelen moeten vervolgens worden vastgelegd als concrete, geïmplementeerde TOMS in het verwerkingsregister en de beveiligingsdocumentatie. Zonder deze doorvertaling blijft de DPIA een papieren exercitie die toezichthouders niet als afdoende bewijs van compliance accepteren.
Welke aanvullende TOMS zijn vereist bij gebruik van een Zwitserse cloudleverancier?
Zwitserland geldt als een land met een adequaatheidsbesluit van de Europese Commissie. Desondanks moet de organisatie aanvullende maatregelen documenteren: een Transfer Impact Assessment, contractuele garanties via Standard Contractual Clauses of equivalenten, end-to-end-versleuteling waarbij sleutelbeheer bij de verwerkingsverantwoordelijke ligt, en een analyse van de Zwitserse inlichtingenwetgeving die toegang door autoriteiten mogelijk maakt.
Kan een compliance officer persoonlijk aansprakelijk worden gesteld bij onvoldoende TOMS?
De AVG richt boetes primair aan de organisatie als verwerkingsverantwoordelijke. In Nederland kan de AP echter ook bestuurders en functionarissen persoonlijk aanspreken bij aantoonbaar nalatig handelen of actieve medewerking aan een overtreding. Onder het Nederlands bestuursrecht en vennootschapsrecht bestaat aanvullend de mogelijkheid van bestuurdersaansprakelijkheid als een compliance officer zijn taken ernstig heeft verwaarloosd.
Hoe verhoudt ISO/IEC 27001:2022 zich tot de TOMS-vereisten van de AP?
ISO/IEC 27001:2022-certificering bewijst dat een organisatie een werkend informatiebeheersysteem heeft ingericht, maar is geen automatische garantie voor AVG-conformiteit. De AP accepteert ISO 27001 als zwaarwegend bewijs van passende maatregelen, mits de organisatie aantoont dat de scope de verwerking van persoonsgegevens omvat en dat specifieke AVG-risico’s zijn geadresseerd in de Statement of Applicability.
