Compliance in de cloud: wat moet je als MKB-bedrijf kunnen aantonen?

Je clouddienst zegt op de website dat hij ISO 27001-gecertificeerd en AVG-proof is. Prettig. Maar als een klant of een auditor vraagt of jóuw verwerking van klantgegevens in orde is, kom je met dat logo niet ver. Dan gaat het om jouw afspraken, jouw instellingen en jouw dossier.

Dat is het lastige aan compliance in de cloud: de techniek staat bij een ander, de verantwoordelijkheid blijft grotendeels bij jou. Veel MKB-bedrijven ontdekken dat pas op het moment dat er een vragenlijst binnenkomt van een grote klant, of als er iets mis is gegaan en de vraag komt wie wat had moeten regelen.

Dit artikel gaat niet over welke wetten er bestaan — dat staat in de dataregels die in 2026 voor je gelden. Het gaat over de praktische kant: hoe toon je aan dat de clouddiensten die je gebruikt op orde zijn, en welk papierwerk hoort daar dan bij?

De verdeling die iedereen verkeerd inschat

Clouddiensten werken met een gedeelde verantwoordelijkheid. De aanbieder zorgt voor de infrastructuur: datacenters, hardware, netwerk, de beschikbaarheid van de dienst. Jij zorgt voor alles wat je erin stopt en instelt: wie toegang heeft, welke gegevens erin staan, hoe lang je ze bewaart, of tweefactorauthenticatie aanstaat.

In de praktijk zit vrijwel elk incident in de tweede categorie. Een verkeerd gedeelde map, een oud beheeraccount dat nooit is opgeheven, een instelling die standaard te ruim staat. De aanbieder heeft dan niets fout gedaan, en jij bent alsnog verantwoordelijk. Hoe die verdeling technisch uitpakt lees je in cloudopslag veilig gebruiken en cloudmisconfiguratie voorkomen.

Vier dingen die je van elke clouddienst moet weten

1. Is er een verwerkersovereenkomst, en heb je die?

Zodra een dienst persoonsgegevens voor je verwerkt — klantnamen, e-mailadressen, personeelsdossiers, opnames van gesprekken — schrijft de AVG een verwerkersovereenkomst voor. Grote aanbieders hebben die standaard klaarliggen; bij Microsoft en Google zit hij in de algemene voorwaarden voor zakelijke abonnementen. Bij kleinere leveranciers moet je er soms om vragen.

Belangrijk: hij moet er niet alleen zijn, je moet hem ook kunnen vinden. Een verwerkersovereenkomst die ergens in een mailbox van een oud-collega staat, helpt je niet als er een vraag komt.

2. Waar staat de data, en wie zijn de subverwerkers?

Datalocatie is bij de meeste zakelijke diensten instelbaar of vastgelegd, maar niet altijd op EU. Kijk ook naar subverwerkers: de partijen die jouw leverancier zelf inschakelt. Een Nederlandse dienst kan prima op Amerikaanse infrastructuur draaien. Dat mag, maar dan moeten er aanvullende waarborgen zijn en moet je weten dat het zo is.

3. Wat betekent dat certificaat precies?

ISO 27001 zegt dat een organisatie een managementsysteem voor informatiebeveiliging heeft dat is getoetst. SOC 2 is een rapportage over de werking van beheersmaatregelen over een periode. NEN 7510 is de Nederlandse norm voor de zorg. Nuttige signalen, alle drie — maar ze zeggen iets over de leverancier, niet over jouw configuratie.

Let bovendien op de reikwijdte. Een certificaat kan gelden voor het datacenter en niet voor de dienst die jij afneemt. In het certificaat staat wat eronder valt; dat is één alinea lezen.

4. Hoe kom je eruit?

De vergeten vraag. Kun je je gegevens in een bruikbaar formaat exporteren, hoe lang bewaart de leverancier ze na opzegging, en wat gebeurt er als de dienst stopt? Dat is niet alleen compliance, dat is ook gewoon verstandig. Zie datalevenscyclus en bewaartermijnen.

Praktijkscenario: de vragenlijst die niemand kon invullen

Een technisch dienstverlener met 24 medewerkers kreeg van een grote opdrachtgever een leveranciersvragenlijst. Vijftien vragen, waarvan er zeven over clouddiensten gingen: welke diensten gebruikt u, waar staan de gegevens, heeft u verwerkersovereenkomsten, hoe lang bewaart u logging.

Het antwoord op vraag één kostte al twee dagen. Er bleken elf clouddiensten in gebruik in plaats van de zes die op de begroting stonden. Van drie was geen verwerkersovereenkomst te vinden. Van één — een projectplanningtool die de werkvoorbereiding zelf had aangeschaft — stond de data in de Verenigde Staten, wat niemand wist.

Er was niets onherstelbaars aan de hand. Twee diensten zijn vervangen, van de rest is het papierwerk opgehaald en op één plek gezet. Wat het bedrijf vooral opleverde: de volgende vragenlijst was in een uur ingevuld.

Een werkbaar dossier in vijf stappen

1. Maak een lijst van je clouddiensten. Begin bij je bankafschriften en creditcardafschriften, niet bij je geheugen. Vul aan met de externe apps die toegang hebben tot je Microsoft 365- of Google-omgeving. Reken op meer diensten dan je verwacht — zie ook cloudkosten onder controle houden.
2. Zet per dienst vier dingen vast. Wat gebruiken we het voor, staan er persoonsgegevens in, waar staat de data, en waar ligt de verwerkersovereenkomst. Eén regel per dienst in een spreadsheet is genoeg om te beginnen.
3. Ruim de toegang op. De meeste bevindingen bij een audit gaan over accounts die er niet meer horen te zijn. Koppel dit aan je offboarding-checklist en zorg dat beheeraccounts van externe partijen een einddatum hebben.
4. Regel logging en bewaartermijnen bewust. Standaard bewaren veel diensten hun auditlogging kort — soms dertig of negentig dagen. Bij een incident is dat vaak te weinig om te reconstrueren wat er is gebeurd. Zie event logging in de praktijk.
5. Zet er een moment op in de agenda. Eén keer per jaar de lijst doorlopen is genoeg voor de meeste MKB-bedrijven. Hang het aan je jaarlijkse IT-review of aan je leveranciersbeoordeling.

Waarom dit in 2026 vaker gevraagd wordt

Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, de uitwerking van de Europese NIS2-richtlijn. Die raakt ruim achtduizend organisaties direct. Veel meer bedrijven merken het indirect: organisaties die eronder vallen moeten hun keten op orde hebben, en dus stellen ze vragen aan hun leveranciers. Ben jij die leverancier, dan komt de vragenlijst bij jou terecht. Meer daarover in wat NIS2 voor je betekent.

Dat is geen reden voor paniek, wel voor voorbereiding. Bedrijven die hun clouddossier op orde hebben, winnen hier gewoon opdrachten mee. Wij zijn geen juristen; voor een oordeel over jouw specifieke verplichtingen is een specialist de juiste partij.

Veelgestelde vragen

Is Microsoft 365 of Google Workspace AVG-proof?

De diensten zelf zijn zo in te richten dat ze aan de AVG voldoen, en beide aanbieders leveren de benodigde verwerkersovereenkomst. Maar “AVG-proof” is geen eigenschap van een product, het is een eigenschap van hoe jij het gebruikt. Wie de gegevens ziet, wat je bewaart en hoe je toegang regelt, bepaalt de uitkomst.

Heb ik ISO 27001 nodig als klein bedrijf?

Zelden verplicht, soms commercieel handig. Als grote klanten er structureel naar vragen, kan het een investering waard zijn. Maar begin niet met certificeren; begin met het op orde brengen waar het certificaat over gaat. Dat lost vaak al negentig procent van de vragen op.

Wie is aansprakelijk als mijn clouddienst gehackt wordt?

Dat hangt af van waar het misging. Ligt het aan de infrastructuur van de aanbieder, dan is dat zijn verantwoordelijkheid. Ligt het aan een gestolen wachtwoord van een medewerker, een verkeerde instelling of een te ruime deellink, dan is het de jouwe. Richting de toezichthouder blijf jij als verwerkingsverantwoordelijke wel het aanspreekpunt voor de gegevens van je klanten.

Hoe lang moet ik logging bewaren?

Er is geen algemeen getal. Voor het kunnen reconstrueren van een incident is zes tot twaalf maanden een gangbare praktijk; datalekken worden vaak pas na maanden ontdekt. Weeg dat af tegen dataminimalisatie: bewaar wat je nodig hebt om vragen te kunnen beantwoorden, niet meer.

Welke maatregelen moet je kunnen aantonen?

De AVG vraagt om passende technische en organisatorische maatregelen die passen bij het risico. In de praktijk komt dat neer op versleuteling, tweefactorauthenticatie, toegang op basis van minimale rechten, back-ups, en logging en monitoring waarmee je een datalek herkent en binnen 72 uur kunt melden. Leg die aantoonbare beveiligingsmaatregelen vast in je verwerkingsregister: wat je opslaat, met welk doel, en welke provider die opslag beheert. Boetes lopen in theorie op tot miljoenen euro’s, maar in het MKB is het praktische risico vooral dat je een audit of een klantvraag niet kunt beantwoorden.

Compliance is vooral opschrijven wat je al doet

De meeste MKB-bedrijven doen het beter dan ze denken. Wat ontbreekt is niet de beveiliging, maar het dossier: het overzicht van welke diensten je gebruikt, welke afspraken erbij horen en waar dat staat. Dat is een middag werk om op te zetten en een uur per jaar om bij te houden.

Loop je vast op een leveranciersvragenlijst of weet je niet zeker of je clouddossier compleet is? We kijken graag met je mee en helpen je het overzicht in één keer goed neer te zetten.