Compliance- en risicomanagementsoftware helpt je aantonen dat je voldoet aan wetten en normen zoals de AVG, ISO 27001 en NEN 7510, en beheerst de risico's die daarbij horen. Voor privacy gaat het om verwerkingsregister, DPIA's, verzoeken van betrokkenen, datalekken en verwerkers. Het meeste levert het op als privacy, beveiliging en risico's in één managementsysteem samenkomen.
Privacy, informatiebeveiliging, risicomanagement. Bij veel organisaties zijn dat drie werelden met elk een eigen eigenaar, een eigen Excel-lijst en soms zelfs een eigen tool. De privacy officer houdt het verwerkingsregister bij, de security officer de risicoanalyse en de kwaliteitsmanager de audits. Terwijl het over dezelfde leveranciers, dezelfde systemen en dezelfde incidenten gaat. In deze blog lees je wat compliance- en risicomanagementsoftware (compliance and risk management software, voor de Engelstaligen) moet kunnen, met extra aandacht voor privacy.
Compliance betekent simpelweg: aantoonbaar voldoen aan wat er van je verwacht wordt. Soms is dat wetgeving, zoals de AVG of de Cyberbeveiligingswet. Soms een norm waar een klant om vraagt, zoals ISO 27001 of NEN 7510. Compliance-software helpt je die verplichtingen vast te leggen, te bewaken en aan te tonen.
Risicomanagement hoort daar onlosmakelijk bij. Vrijwel elke norm en ook de AVG vraagt je om risicogestuurd te werken: eerst bepalen wat er mis kan gaan, dan passende maatregelen nemen. Wie compliance en risico's in losse systemen bijhoudt, moet de verbanden zelf blijven leggen. En dat gaat vroeg of laat mis.
Bij privacy-compliancesoftware (data privacy compliance software) draait het om de verplichtingen uit de AVG. Dit zijn de onderdelen waar je in elk geval grip op wilt hebben:
Wil je het aantoonbaar maken met een certificaat? Dan is ISO 27701 de norm voor privacy-informatiemanagement. In onze blog wat is ISO 27701 lees je wat die norm toevoegt.
Privacy, informatiebeveiliging en kwaliteit hebben één ding gemeen: je begint bij de risico's. Een DPIA is in de kern een risicoanalyse. De risicoanalyse uit ISO 27001 ook. En de maatregelen die daaruit volgen, overlappen voor een groot deel. Versleuteling van een laptop beschermt bedrijfsinformatie en persoonsgegevens tegelijk.
Daarom werkt het zo goed om risico's centraal te beheren en ze aan meerdere kaders te koppelen. Eén maatregel, één eigenaar, één plek waar je bijhoudt of hij werkt. In software voor ISO 27001-risicoanalyse gaan we dieper in op wat dat van een tool vraagt.
Er zijn gespecialiseerde privacytools, losse risicotools en aparte auditsoftware. Elk afzonderlijk vaak prima. Het nadeel zie je pas als ze naast elkaar draaien: dezelfde leverancier staat in drie systemen, een incident is in de ene tool een datalek en in de andere een beveiligingsincident, en voor de directiebeoordeling plak je alles weer in één presentatie.
Eén platform voor compliance en risicomanagement heeft dat probleem niet. Je legt een leverancier, een systeem of een incident één keer vast en koppelt het aan alles waar het mee te maken heeft. Nadeel? Je moet wat meer nadenken over de inrichting. Maar dat moet je bij losse tools ook, alleen zie je het daar minder snel.
Normity is een managementsysteem waarin privacy, informatiebeveiliging en kwaliteit samenkomen. Je verwerkingsregister, DPIA's, verzoeken van betrokkenen en verwerkers staan naast je risicoanalyses, maatregelen, audits en documenten. Een datalek registreer je als incident van een eigen type, met dezelfde afhandeling en opvolging als andere incidenten. Verzoeken van betrokkenen bewaken hun wettelijke termijn. En omdat je meerdere normenkaders koppelt, toon je met dezelfde gegevens zowel AVG-naleving als ISO 27001 aan.
Meer over de privacykant lees je bij privacy management en in privacy bijhouden in Normity. Over de informatiebeveiligingskant gaat onze pagina over ISMS-software.
Kortom: compliance wordt pas beheersbaar als privacy, beveiliging en risico's niet langer in aparte hoeken van je organisatie leven. Begin klein, met je verwerkingsregister of je risicoanalyse, en koppel van daaruit verder. Benieuwd hoe dat eruitziet? Vraag een demo aan.
De vragen die we het vaakst krijgen over compliance- en risicomanagementsoftware, met korte en feitelijke antwoorden.
Compliance- en risicomanagementsoftware is software waarmee je aantoont dat je voldoet aan wetten en normen, zoals de AVG, ISO 27001 en NEN 7510, en waarmee je de risico's beheerst die daarbij horen. Denk aan een verwerkingsregister, DPIA's, risicoanalyses, maatregelen, incidenten en audits op één plek.
In elk geval het verwerkingsregister (artikel 30), DPIA's voor verwerkingen met een hoog risico (artikel 35), verzoeken van betrokkenen met de termijn van een maand (artikel 12), het registreren en zo nodig binnen 72 uur melden van datalekken (artikel 33) en verwerkersovereenkomsten met leveranciers (artikel 28).
Meestal niet. Privacy en informatiebeveiliging overlappen sterk: dezelfde leveranciers, dezelfde systemen, dezelfde incidenten. Eén managementsysteem waarin je AVG, ISO 27001 en eventueel ISO 27701 combineert, voorkomt dat je dezelfde informatie twee keer bijhoudt.
Nee. Software helpt je om je verplichtingen vast te leggen, te bewaken en aan te tonen. Of je compliant bent, hangt af van wat je organisatie in de praktijk doet: welke gegevens je verwerkt, op welke grondslag en met welke maatregelen.