de vragenlijst vraagt waar en hoe wij de data van de klant opslaan

Opslaglocatie en -methode: onderdeel van artikel 21, niet van de AVG alleen

De vraag waar en hoe je de data van je klant opslaat, komt vaak binnen als privacyvraag, maar in een NIS2-vragenlijst hoort ze bij de tien maatregelen van artikel 21 lid 2 van Richtlijn (EU) 2022/2555. Met name onderdeel h (beveiliging bij verwerving, ontwikkeling en onderhoud van systemen) en onderdeel i (personeelsbeleid en toegangsbeleid) raken direct aan opslag: waar staat de data fysiek of virtueel, wie kan erbij, en is die opslag versleuteld. Een compleet antwoord noemt dus drie dingen: de locatie (eigen datacenter, cloudprovider, welke regio), de scheiding tussen klantomgevingen als je multi-tenant werkt, en de versleuteling van data at rest en in transit.

Heb je dat laatste niet paraat, dan is het antwoord niet "ja" invullen maar eerst nagaan wat het beleid over cryptografie en versleuteling binnen de onderneming feitelijk vastlegt. Veel bedrijven encrypten wel data in transit (TLS) maar niet altijd at rest, en dat verschil vraagt de klant vaak apart uit. Werk je met een externe cloudprovider, dan valt dat ook onder de vraag of er beveiligingseisen aan eigen leveranciers worden gesteld — de opslaglocatie is dan feitelijk een ketenafspraak met die provider, en je antwoord kan verwijzen naar het contract of de SLA met die partij in plaats van naar eigen infrastructuur.

Waar dit in ISO 27001 wordt getoetst

Wie ISO/IEC 27001 gecertificeerd is, heeft opslaglocatie en versleuteling al vastgelegd in de Annex A-maatregelen over cryptografie en over asset management; het antwoord op deze vraag kan dan simpelweg verwijzen naar het certificaat en het bijbehorende Statement of Applicability. Zonder dat ISO 27001-certificaat moet het antwoord uit eigen documentatie komen: een architectuuroverzicht, een verwerkersovereenkomst met de cloudprovider, of een interne notitie over dataresidentie.