Hoe weet ik of mijn softwareleverancier veilig is?

Patrick de Veer · 13 jun 2026

Je weet of een softwareleverancier veilig is door een combinatie van concrete signalen te checken: denk aan certificeringen zoals ISO 27001, een getekende verwerkersovereenkomst, transparantie over waar data is opgeslagen en duidelijke antwoorden op beveiligingsvragen. Er bestaat geen één-op-één garantie, maar er zijn genoeg praktische handvatten om een goed beeld te vormen. In dit artikel beantwoorden we de meest gestelde vragen over leveranciersbeveiliging, van de risico’s tot de concrete vragen die je moet stellen.

Welke risico’s loop je als je softwareleverancier niet veilig is?

Als je softwareleverancier niet veilig is, loop je risico op datalekken, bedrijfsonderbrekingen en juridische aansprakelijkheid. Je klantgegevens, financiële data en bedrijfsinformatie liggen dan bloot voor aanvallen of misbruik. Voor MKB-bedrijven is de digitale afhankelijkheid van externe software inmiddels zo groot dat een beveiligingsincident bij een leverancier direct jouw bedrijfsvoering kan stilleggen.

Concreet gaat het om de volgende risico’s:

Datalekken: Persoonsgegevens van klanten of medewerkers komen op straat te liggen. Onder de AVG ben jij als verwerkingsverantwoordelijke aansprakelijk, ook als de oorzaak bij je leverancier ligt.
Ransomware via de leverancier: Aanvallers richten zich steeds vaker op softwareleveranciers om via hen meerdere klanten tegelijk te treffen. Dit heet een supply chain aanval.
Bedrijfsonderbreking: Als een leverancier offline gaat door een aanval of storing, heb jij mogelijk geen toegang meer tot je eigen data of processen.
CLOUD Act risico voor jouw bedrijf: Gebruik je Amerikaanse software zoals Microsoft 365 of Google Workspace? Dan kunnen Amerikaanse autoriteiten op basis van de CLOUD Act toegang eisen tot jouw data, ook als die fysiek in Europa is opgeslagen.
NIS2-verplichtingen niet nakomen: De NIS2-richtlijn, die in 2026 volop van kracht is, verplicht bedrijven in bepaalde sectoren om ook de beveiliging van hun toeleveranciers te beoordelen. Een onveilige leverancier kan jou in overtreding brengen.

Wat zijn de signalen dat een softwareleverancier onveilig is?

Een softwareleverancier is mogelijk onveilig als hij geen certificeringen kan tonen, onduidelijk is over de locatie van dataopslag, geen verwerkersovereenkomst aanbiedt of beveiligingsvragen ontwijkt. Dit zijn geen kleine administratieve kwesties, maar concrete indicatoren van hoe serieus een leverancier beveiliging neemt.

Let op deze waarschuwingssignalen:

Geen of verouderde privacyverklaring op de website
Onduidelijkheid over waar jouw data opgeslagen wordt (Europa of buiten de EU?)
Geen antwoord op vragen over beveiligingsmaatregelen of incidentprocedures
Geen ISO 27001-certificering of vergelijkbaar bewijs van informatiebeveiligingsbeheer
Geen verwerkersovereenkomst beschikbaar of bereidheid om die te tekenen
Geen tweefactorauthenticatie (2FA) als standaardoptie
Geen duidelijk beleid over wie intern toegang heeft tot jouw data

Een leverancier die open en transparant is over zijn beveiligingsaanpak, hoeft niet per se perfect te zijn. Maar hij moet wel bereid zijn om vragen te beantwoorden en bewijs te leveren.

Welke vragen moet je een softwareleverancier stellen over beveiliging?

De belangrijkste vragen die je een softwareleverancier moet stellen over beveiliging gaan over datalocatie, certificeringen, incidentbeheer en toegangscontrole. Stel deze vragen schriftelijk, zodat je de antwoorden kunt bewaren als onderdeel van je eigen compliance-dossier.

Gebruik deze lijst als basis:

Waar wordt mijn data opgeslagen en in welk land staan de servers?
Valt jullie bedrijf of moedermaatschappij onder de CLOUD Act of andere niet-Europese wetgeving?
Beschikken jullie over een ISO 27001-certificering of een vergelijkbaar keurmerk?
Hoe gaan jullie om met een datalek? Wat is de procedure en hoe snel word ik geïnformeerd?
Wie heeft intern toegang tot mijn data en hoe is dat geregeld?
Bieden jullie tweefactorauthenticatie aan en is dat standaard ingeschakeld?
Hoe vaak worden beveiligingsaudits of penetratietests uitgevoerd?
Zijn er subverwerkers die ook toegang hebben tot mijn data? Wie zijn dat?

Een leverancier die moeite heeft met deze vragen of ze niet concreet kan beantwoorden, geeft je daarmee al een antwoord.

Wat is een verwerkersovereenkomst en wanneer is die verplicht?

Een verwerkersovereenkomst is een juridisch contract tussen jou en een softwareleverancier waarin staat hoe de leverancier omgaat met persoonsgegevens die hij namens jou verwerkt. Deze overeenkomst is verplicht onder de AVG zodra een leverancier toegang heeft tot persoonsgegevens van jouw klanten, medewerkers of andere betrokkenen.

In de praktijk betekent dit dat je voor vrijwel elke zakelijke software een verwerkersovereenkomst nodig hebt: van je boekhoudsoftware tot je HR-systeem, van je e-mailtool tot je CRM. De overeenkomst moet minimaal het volgende bevatten:

Het doel en de aard van de gegevensverwerking
Welke categorieën persoonsgegevens worden verwerkt
De verplichtingen en rechten van de verwerkingsverantwoordelijke (jij)
Beveiligingsmaatregelen die de verwerker treft
Afspraken over subverwerkers en dataoverdracht buiten de EU

Een leverancier die weigert een verwerkersovereenkomst te tekenen, handelt in strijd met de AVG. Dat is op zichzelf al een reden om de samenwerking te heroverwegen.

Hoe controleer je of een softwareleverancier gecertificeerd is?

Je controleert of een softwareleverancier gecertificeerd is door het certificaat op te vragen en de geldigheid te verifiëren via de certificerende instantie. De bekendste en meest relevante certificering voor informatiebeveiliging is ISO 27001. Een geldig certificaat heeft een einddatum en een naam van de certificerende instelling die je online kunt opzoeken.

Andere relevante certificeringen en keurmerken zijn:

ISO 27001: Internationaal erkende standaard voor informatiebeveiliging
SOC 2 Type II: Veel gebruikt door Amerikaanse SaaS-leveranciers, gericht op beveiliging en beschikbaarheid
NEN 7510: Specifiek voor de zorgsector in Nederland
CSA STAR: Gericht op cloudbeveiliging

Vraag altijd om het volledige certificaatdocument, niet alleen een logo op de website. Controleer ook of het certificaat betrekking heeft op het specifieke product of de dienst die jij gebruikt, want soms geldt een certificering alleen voor een deel van de organisatie.

Voor wie overweegt om over te stappen van Amerikaanse software naar een EU-alternatief voor Google Workspace of om van Microsoft 365 over te stappen naar een Europese aanbieder: ook Europese leveranciers moeten hun certificeringen kunnen aantonen. Het feit dat een leverancier in Europa gevestigd is, is geen garantie voor goede beveiliging.

Hoe vaak moet je de veiligheid van je softwareleveranciers opnieuw beoordelen?

Je moet de veiligheid van je softwareleveranciers minimaal één keer per jaar opnieuw beoordelen, en direct na grote veranderingen zoals een overname, een datalek of een significante wijziging in de dienstverlening. Jaarlijkse beoordeling is niet alleen een goede gewoonte, maar ook een verplichting als je onder de NIS2-richtlijn valt.

Gebruik bij elke beoordeling dezelfde set vragen als bij de eerste selectie. Controleer of certificeringen nog geldig zijn, of de verwerkersovereenkomst nog actueel is en of er nieuwe subverwerkers zijn toegevoegd. Zeker bij leveranciers die toegang hebben tot gevoelige klant- of financiële data is een jaarlijkse check geen overkill.

Triggers voor een tussentijdse beoordeling zijn:

De leverancier wordt overgenomen door een niet-Europese partij
Er wordt een datalek gemeld, ook als jij niet direct betrokken was
De leverancier introduceert nieuwe functionaliteit met extra datatoegang
Je eigen bedrijfsactiviteiten veranderen en je verwerkt plotseling gevoeliger data
Nieuwe wetgeving treedt in werking die extra eisen stelt aan leveranciersbeveiliging

Een handige NIS2 MKB checklist voor leveranciersbeoordeling bevat al deze momenten. Maak er een vaste agenda-afspraak van, zodat het niet blijft liggen.

Benieuwd waar jouw bedrijf staat op het gebied van digitale weerbaarheid? Wij bij GreenAumatic hebben daar een gratis pre-scan voor gebouwd die je in tien minuten een concreet beeld geeft. Doe de gratis Digitale Weerbaarheid pre-scan en weet het in tien minuten. Geen registratie, direct resultaat.

Frequently Asked Questions

Wat moet ik doen als mijn huidige softwareleverancier geen verwerkersovereenkomst wil tekenen?

Als een leverancier weigert een verwerkersovereenkomst te tekenen, handel je door de samenwerking voort te zetten al in strijd met de AVG. Stuur eerst een schriftelijk verzoek met een duidelijke deadline en leg uit dat dit een wettelijke verplichting is. Reageert de leverancier niet of blijft hij weigeren, dan is overstappen naar een alternatief de enige verantwoorde keuze. Documenteer alle communicatie hierover zorgvuldig voor je eigen compliance-dossier.

Geldt de CLOUD Act ook voor Europese dochterondernemingen van Amerikaanse bedrijven?

Ja, de CLOUD Act kan ook van toepassing zijn op Europese dochterondernemingen als de moedermaatschappij Amerikaans is. Zelfs als jouw data fysiek op servers in Nederland of Duitsland staat, kunnen Amerikaanse autoriteiten via de moedermaatschappij toegang eisen. Vraag je leverancier daarom expliciet of het bedrijf of een van zijn moedermaatschappijen onder Amerikaanse jurisdictie valt. Wil je dit risico volledig uitsluiten, kies dan voor een leverancier die volledig Europees eigendom is en geen banden heeft met niet-Europese moederbedrijven.

Hoe pak ik het beoordelen van softwareleveranciers aan als ik geen IT-afdeling heb?

Zonder eigen IT-afdeling begin je het best met een vaste vragenlijst die je bij elke leverancier gebruikt, zoals de vragen uit dit artikel. Je hoeft geen technisch expert te zijn om de antwoorden te beoordelen: een leverancier die helder en concreet antwoordt, scoort al veel beter dan een leverancier die vaag blijft of vragen ontwijkt. Overweeg daarnaast een eenmalige consultatie bij een externe IT-beveiligingsadviseur om je eerste beoordeling op te zetten. Zodra je een werkend proces hebt, is het jaarlijks herhalen ervan goed te doen zonder technische achtergrond.

Is een ISO 27001-certificering altijd voldoende bewijs van goede beveiliging?

ISO 27001 is een sterke indicator, maar geen absolute garantie. De certificering toont aan dat een leverancier een gestructureerd informatiebeveiligingssysteem heeft ingericht en laat controleren, maar het zegt niets over hoe recent de laatste audit was of welke specifieke onderdelen van de organisatie zijn gecertificeerd. Controleer altijd de geldigheid en de scope van het certificaat, en combineer dit met je eigen vragenlijst over incidentbeheer, toegangscontrole en subverwerkers. Een leverancier met ISO 27001 die alsnog beveiligingsvragen ontwijkt, verdient extra aandacht.

Wat moet ik doen als een leverancier een datalek meldt waarbij mijn data betrokken is?

Zodra een leverancier een datalek meldt waarbij jouw data betrokken is, moet jij als verwerkingsverantwoordelijke binnen 72 uur beoordelen of je het lek moet melden bij de Autoriteit Persoonsgegevens. Vraag de leverancier direct om een schriftelijk overzicht van welke data is getroffen, hoeveel betrokkenen het betreft en welke maatregelen al zijn genomen. Informeer ook de betrokkenen zelf als er een hoog risico is voor hun privacy. Gebruik dit incident ook als aanleiding voor een volledige herbeoordeling van de beveiliging van deze leverancier.

Mag ik als MKB-bedrijf zomaar overstappen naar een andere leverancier als ik twijfels heb over de beveiliging?

Ja, en in veel gevallen is overstappen de meest verstandige keuze als een leverancier structureel niet voldoet aan basisvereisten zoals een verwerkersovereenkomst of transparantie over dataopslag. Controleer wel eerst je contract op opzegtermijnen en eventuele boeteclausules. Zorg er ook voor dat je een gegevensoverdracht regelt en dat de oude leverancier jouw data na beëindiging van de samenwerking aantoonbaar verwijdert. Leg dit laatste schriftelijk vast, want ook dat is een AVG-verplichting.

Hoe weet ik of een nieuwe softwareleverancier veilig is nog vóórdat ik een contract teken?

Voer de beoordeling altijd uit vóórdat je tekent, niet erna. Vraag in de offerte- of demofase al om de verwerkersovereenkomst, het ISO 27001-certificaat en een overzicht van subverwerkers. Een betrouwbare leverancier heeft deze documenten direct beschikbaar en aarzelt niet om ze te delen. Doe ook een snelle check op de website: is er een actuele privacyverklaring, staat er informatie over datalocatie en beveiliging, en is er een contactpersoon voor privacyvragen? Ontbreken deze basisonderdelen al in de oriëntatiefase, dan is dat een duidelijk signaal.