AVG en NIS2 vragen om verschillende beoordelingen en verplichtingen, maar beide zijn gebaat bij actuele registraties en controleerbaar bewijs.
Terugkerende vragen
Welke systemen verwerken persoonsgegevens, wie is verantwoordelijk, welke leveranciers zijn betrokken en welk bewijs ondersteunt de maatregelen? Een verwerkingsregister en beveiligingsbeoordelingen hebben ieder een eigen juridische context, maar gebruiken deels dezelfde operationele informatie.
ITLedger biedt gegevensprofielen en relaties voor verwerkingen, systemen, partijen en bewijs. De structuur is beschikbaar; je team moet die met juiste gegevens vullen en onderhouden.
Belangrijkste aandachtspunten
- Een verwerkingsregister en NIS2 zijn verschillende verplichtingen, met overlappende informatiebehoeften.
- Verbind verwerkingen met systemen, eigenaren, leveranciers en bewijs.
- Laat zien wat is beoordeeld en wanneer de informatie is bijgewerkt.
- Software ondersteunt registratie; de organisatie blijft verantwoordelijk voor kwaliteit, juridische beoordeling en besluiten.
Wanneer de vragen binnenkomen
Een privacyverantwoordelijke vraagt een bijgewerkt register. Een klant stuurt een beveiligingsvragenlijst. De Cyberbeveiligingswet geldt sinds 15 augustus 2026 en vraagt betrokken organisaties onder meer om cybersecuritymaatregelen en incidentafhandeling. Zie de informatie van de Rijksoverheid.
Dan komen vaak dezelfde vragen terug:
- Welke systemen verwerken vandaag persoonsgegevens?
- Wie is per systeem verantwoordelijk, inclusief team en eventuele vervanger?
- Welke leveranciers en verwerkers zijn betrokken, ook bij recent aangeschafte SaaS?
- Welke diensten zijn van het systeem afhankelijk?
- Welke documenten, beoordelingen en goedkeuringen ondersteunen de maatregelen?
- Wanneer is de informatie voor het laatst gecontroleerd?
Beleid en actuele toestand verbinden
Beleid beschrijft de bedoelde werkwijze. Registraties beschrijven de huidige systemen, mensen en gegevensstromen. Die veranderen door nieuwe abonnementen, vertrokken beheerders en vervangen servers.
Een periodiek bijgewerkt spreadsheet kan daarom snel verouderen. Koppel de registratie aan het dagelijkse beheer, zodat relevante wijzigingen ook aanleiding zijn om de privacy- en beveiligingscontext opnieuw te bekijken.
Wat de beschikbare structuur betekent
Gegevensprofielen leggen verwerkingen vast. Relaties verbinden die met applicaties, teams, gebruikers, leveranciers en documenten. Hetzelfde CMDB-model ondersteunt incidenten en wijzigingen.
- Verwerkingen zijn registraties met een doel, scope en bijbehorende systemen.
- Eigenaarschap is gekoppeld aan personen en teams.
- Bewijs staat bij de context die het onderbouwt.
- Historie maakt veranderingen zichtbaar voor volgende beoordelingen.
Een technische wijziging past niet automatisch ieder juridisch oordeel aan. Gebruik wijzigingen als signaal om het betrokken profiel en de onderbouwing te controleren.
Gebruik in de praktijk
Bij een audit of privacyreview bestaat de basis al en kan de aandacht naar verificatie gaan. Een klantvragenlijst kan worden onderbouwd met systeemlijsten, eigenaren, leveranciers en documenten. Bij een incident helpen relaties de betrokken diensten en verantwoordelijken te vinden.
Management kan ontbrekende eigenaren, verouderde registraties en ontbrekend bewijs gericht laten opvolgen. Voor de Nederlandse wetgeving en toepasselijkheid lees je de Cyberbeveiligingswet-uitleg.
Verantwoordelijkheid blijft bij de organisatie
ITLedger bepaalt niet of een verwerking rechtmatig is, of de Cyberbeveiligingswet van toepassing is of maatregelen voldoende zijn. Dat beoordelen je organisatie, privacyverantwoordelijke en adviseurs.
Het product helpt de informatie voor die beoordeling te organiseren. Begin bij CMDB-onboarding als de bronnen nog in spreadsheets en losse documenten staan. Laat onzekere koppelingen beoordelen voordat je ze als feiten gebruikt.
Veelgestelde vragen
Wat is een verwerkingsregister?
Een register van verwerkingsactiviteiten beschrijft de verwerking van persoonsgegevens, waaronder doelen, betrokken categorieën, ontvangers, doorgiften, bewaring en beveiligingsmaatregelen. Artikel 30 AVG beschrijft de verplichting; laat de toepasselijkheid en volledigheid beoordelen.
Verplicht NIS2 een AVG-verwerkingsregister?
Het verwerkingsregister hoort bij de AVG. NIS2 en de Cyberbeveiligingswet hebben eigen verplichtingen. Actuele systeem-, risico-, eigenaarschaps- en bewijsgegevens kunnen beide beoordelingen ondersteunen.
Wat biedt ITLedger voor het register?
Gegevensprofielen en relaties voor verwerkingen, systemen, eigenaren, leveranciers en bewijs. Je vult die structuur met de werkelijkheid van je organisatie en houdt die actueel.
Maakt ITLedger ons automatisch AVG-compliant?
Nee. ITLedger ondersteunt registratie, relaties en bewijshistorie. Rechtmatigheid, toepasselijkheid en voldoende maatregelen blijven organisatorische en juridische beoordelingen.