Werken met VBS als groter bedrijf, van vragenlijst tot livegang

Een groter bedrijf stuurt een leverancier meestal eerst een vragenlijst: over toegang, versleuteling, back-ups, incidenten, hosting en subverwerkers. Wij vullen die zelf in, vraag per vraag, en schrijven nee waar het antwoord nee is. Een lijst vol ja's die bij de eerste audit sneuvelt, helpt je beoordeling niet vooruit.

Wat we wel kunnen tonen, is hoe we bouwen. Elke maatregel hieronder staat in software die vandaag live is, of is een afspraak die we per project met je vastleggen.

Twijfel je nog of maatwerk de juiste route is, of een pakket met een grote leverancier erachter, lees dan eerst software bouwen of kopen. Die keuze bepaalt welke vragen in je beoordeling zwaar wegen.

De AVG geeft elke partij een rol. De verwerkingsverantwoordelijke bepaalt waarom en hoe persoonsgegevens verwerkt worden: dat ben jij, als bedrijf dat de software gebruikt. De verwerker verwerkt persoonsgegevens in jouw opdracht: dat zijn wij, zodra we in je software, je database of je server met persoonsgegevens werken.

Artikel 28 van de AVG vraagt dan een schriftelijke overeenkomst. Daarin staan onderwerp en duur, aard en doel van de verwerking, het soort gegevens en de groepen mensen over wie het gaat. Verder onder meer dat we alleen op jouw gedocumenteerde instructies werken, dat wie toegang heeft geheimhouding belooft, welke beveiliging we nemen, dat we je helpen bij vragen van betrokkenen, wat er aan het einde met de gegevens gebeurt en dat je mag controleren.

Wij tekenen een verwerkersovereenkomst waar we persoonsgegevens voor je verwerken. Het is een afspraak tussen jou en ons. Heeft je bedrijf een eigen model, dan vertrekken we daarvan en stellen we een wijziging voor waar een clausule niet past bij wat we echt doen.

Subverwerkers. Een verwerker mag een andere partij pas inschakelen met jouw schriftelijke toestemming. We noemen onze subverwerkers daarom vooraf, met hun rol en regio. Voor hosting en e-mail is dat AWS, dat zelf met een eigen verwerkersaddendum en een eigen lijst van subverwerkers werkt. Gebruikt het project een andere dienst, zoals een betaalprovider of een AI-model, dan staat die op dezelfde lijst voor je tekent.

• Met verwerkersrolals we in productie persoonsgegevens zien, bewaren of verwerken, de server of de database voor je beheren, of support geven waarbij we in echte dossiers kijken. Dan tekenen we een verwerkersovereenkomst.
• Zonder verwerkersrolals we bouwen met testdata en jouw team de productie zelf beheert, of als we alleen code leveren die in je eigen omgeving draait, zonder toegang tot echte gegevens. Dan volstaat een vastlegging in het contract.

Hoe dat precies op papier komt, beslist je DPO. Wil je weten wat de AVG vraagt van de site zelf, met formulieren en cookies, lees dan een website volgens de AVG.

We hosten op AWS. Binnen de EU kies je zelf de regio: Frankfurt, Ierland, Parijs, Stockholm, Milaan of Spanje. Het platform voor Business Centrum draait in Parijs. Moet je data in een bepaald land blijven, dan zetten we de hele omgeving daar, back-ups inbegrepen.

Veel grotere bedrijven hebben een eigen AWS-organisatie met eigen regels voor accounts, logging en kosten. Dan kan de omgeving in jouw account komen. Wij krijgen toegang op naam, met rechten die jouw team bepaalt en kan intrekken. Dat leggen we per project vast, net als wie de rekening van AWS betaalt.

Meer over waar data mag staan en wat een Amerikaanse moeder van de cloudleverancier betekent, staat in de gids data residency in Europa.

De Belgische NIS2-wet van 26 april 2024 is in werking sinds 18 oktober 2024. Bedrijven die eronder vallen, moeten ook de beveiliging van hun toeleveringsketen beheren: wie er aan hun systemen werkt, welke software ze afnemen en wat ze van die leveranciers vragen. Het Centrum voor Cybersecurity België raadt leveranciers van zulke bedrijven aan om minstens het niveau CyberFundamentals Basic te halen, en een NIS2-bedrijf kan een niveau contractueel opleggen.

We zijn een kleine leverancier in jouw keten. We hebben geen CyberFundamentals-label en geen certificaat. Eist je contract er een, dan zeggen we dat voor je offerte. Wat we wel doen: je vragen per maatregel beantwoorden, met de testomgeving erbij, en je helpen bepalen wat je van al je softwareleveranciers vraagt. Een NIS2-plichtig bedrijf weet vaak wat het zelf moet doen, maar minder goed hoe het dat bij een klein bureau of een SaaS-pakket toetst.

Wat NIS2 precies is, lees je in het begrip NIS2. De volgende termijnen voor Belgische bedrijven staan in het stuk over de NIS2-deadline van 18 april 2027.

Wat je per fase krijgt en wat je tekent of goedkeurt. De inhoud van elk document spreken we per project af.

We spreken af dat niets naar productie gaat zonder je akkoord. Je krijgt een testomgeving, gescheiden van productie en gevuld met testdata, waar je team elke oplevering kan nalopen. De acceptatie leggen we per project vast:

1. we spreken vooraf af wat er af moet zijn en hoe je dat test;
2. we zetten de versie op de testomgeving en melden wat er veranderde;
3. je team test en meldt wat niet klopt;
4. pas na je akkoord gaat de versie live, met back-up en een terugweg.

Dat ritme draait al op het transportplatform, waar een release in 2 tot 6 seconden overschakelt en terug kan als er iets misloopt. Het werkt hetzelfde voor een webapplicatie of een klantenportaal voor je eigen klanten.

Het grootste risico van een kleine leverancier is dat alles in een hoofd zit. Daarom spreken we per project af dat de code in jouw repository staat of op elk moment overdraagbaar is, dat de technische documentatie meegroeit met de software en dat domeinen, cloudaccounts en sleutels op jouw naam staan. Stop je met ons, dan neemt een ander team het over met wat er ligt.

We schrijven tests mee en houden de code leesbaar, zodat er zo weinig mogelijk technische schuld achterblijft die alleen wij kunnen afbetalen. Hetzelfde geldt voor koppelingen met je ERP of boekhouding: een koppeling laten maken betekent bij ons een gedocumenteerde koppeling. Draai je op Microsoft Dynamics, lees dan hoe een Business Central-koppeling werkt.

Na de livegang kan je een SLA afsluiten: reactietijden per soort melding, onderhoud en updates, en wie je belt als het dringend is. De termijnen spreken we per klant af, op basis van wat je software doet en wanneer je team werkt. We plakken er geen standaardcijfers op die we niet waarmaken.