3.5.2 Technische maatregelen en organisatorische maatregelen

De AVG-beveiligingsbepalingen verplichten verwerkings­verant­woordelijken en verwerkers om ‘technische en organisatorische’ beveiligings­maatregelen te treffen.1 De EU-wetgever licht niet toe welke beveiligingsmaatregelen technisch zijn, en welke organisatorisch. Ook informatie­beveiligingsspecialisten hebben weinig over deze categorisering geschreven. Zij verdelen maatregelen in technical (technische), operational (operationele) en managerial (bestuurlijke) maatregelen.2 Hoe zich dit relateert tot het in de AVG gemaakte onderscheid tussen technische en organisatorische maatregelen, bespreek ik in deze paragraaf.

Binnen het informatiebeveiligingsdomein wordt de term technische maatregelen gebruikt voor alle maatregelen die gebruik maken van techniek, zoals digitale authenticatie-mechanismen, firewalls en logging systemen.3 Ook meer fysieke maatregelen, zoals sloten op deuren, gelden als technische maatregelen.4 Technische maatregelen vervullen een belangrijke rol bij de beveiliging, maar zijn op zichzelf vaak niet genoeg. Zo vereist een van de grootste dreigingen – de dreigingen die komen vanuit een organisatie zelf, de zogenoemde insider-threats – niet alleen dat informatie wordt beveiligd door middel van wachtwoorden, maar ook dat werknemers zorgvuldig met wachtwoorden omgaan.5

Informatiebeveiligingsspecialisten verdelen de maatregelen die niet technisch van aard zijn in operationele maatregelen en bestuurlijke maatregelen. Operationele maatregelen zien op het management of op procedures en betreffen het functioneren van de operationele kant van de beveiliging van de organisatie. Denk hierbij bijvoorbeeld aan speciale trainingen voor werknemers, en een incident response plan; een beleidsdocument waarin wordt beschreven wat een organisatie doet in het geval van een beveiligingsincident.In de laatste categorie, de bestuurlijke maatregelen, vallen procedures die in het algemeen beschrijven hoe binnen een organisatie met beveiliging wordt omgegaan, wat er moet worden beveiligd en wie er bij deze beveiliging zijn betrokken (de ‘security policy’). Zij schrijven voor wat voor technische en operationele maatregelen in de organisatie moeten worden getroffen, of hoe wordt besloten welke maatregelen moeten worden getroffen. Hieronder valt ook het risicomanagement (zie §3.4).6

Zowel operationele maatregelen als bestuurlijke maatregelen dienen dus te worden afgestemd op de organisatie zelf en organiseren de manier waarop zij met beveiliging omgaat. Het is dan ook aannemelijk dat zowel operationele maatregelen als bestuurlijke maatregelen als ‘organisatorische maatregelen’ in de zin van de AVG-beveiligingsbepalingen kwalificeren. Het belangrijkste voorbeeld van zo’n organisatorische maatregelen is de implementatie van een ISMS.7 De verplichting tot het treffen van passende technische en organisatorische maatregelen omvat al met al alle maatregelen die binnen het informatiebeveiligingsdomein worden onderscheiden. Dat de AVG verwerkingsverantwoordelijken en verwerkers verplicht tot het treffen van beide, lijkt dan ook vooral bedoeld te zijn om te verduidelijken dat het treffen van technische beveiligingsmaatregelen niet voldoende is.