Je koos zorgvuldig je leveranciers, maar wie koos hun leveranciers? Achter elke SaaS-tool die je gebruikt zitten vaak tientallen subverwerkers — de hostingpartij, de e-mailprovider, de analytics-dienst. De AVG verplicht je een overzicht daarvan bij te houden, en NIS2 en enterprise-klanten vragen assurance over de hele keten. Alles even grondig beoordelen is onbegonnen werk; de sleutel is tiering.
Waarom subverwerkers een blinde vlek zijn
Je verwerkersovereenkomst met een SaaS-leverancier staat toe dat die subverwerkers inschakelt. Prima — maar de verantwoordelijkheid voor de gegevens blijft bij jou en je klant. Als een subverwerker in een derde land data lekt, ben jij het die het aan je klant en mogelijk de toezichthouder moet uitleggen. Zonder overzicht van die keten weet je niet eens welk risico je loopt.
Een praktische aanpak
- Register: leg per verwerker de keten vast — verwerker → subverwerker → land → datatype. Zo zie je in één oogopslag waar je gevoelige data terechtkomt en of dat buiten de EU is.
- Tiering: deel subverwerkers in naar risico. Tier 1 = kritiek (raakt klantdata of beheerrechten); tier 2 = ondersteunend (beperkt of geen persoonsgegevens).
- Assurance naar risico: voor tier 1 vraag je stevig bewijs — een SOC 2-rapport, een ISO-certificaat of een solide verwerkersovereenkomst (DPA). Voor tier 2 volstaat vaak een korte vragenlijst.
- Notificatie: spreek contractueel af dat je op de hoogte wordt gebracht van wijzigingen in subverwerkers, binnen een redelijke termijn.
Koppel dit aan je AVG-administratie, ISO 27701 en je leveranciersbeheer.
Hoe diep moet je gaan?
Proportionaliteit is het sleutelwoord. Je hoeft niet elke sub-subverwerker van je hostingpartij te auditen; dat is onbegonnen en onnodig. Focus je diepgang op tier 1: de handvol partijen die daadwerkelijk bij je gevoeligste data kunnen. Voor de rest volstaat dat je ze in beeld hebt en de standaardassurance hebt vastgelegd. Zo besteed je je tijd aan de risico’s die er echt toe doen.
De valkuil van stille wijzigingen
SaaS-leveranciers wijzigen hun subverwerkers geregeld — en niet altijd luidruchtig. Een nieuwe subverwerker in een ander rechtsgebied kan je compliance-status ongemerkt veranderen. Update je register daarom minstens per kwartaal, en gebruik waar mogelijk de trust centers of subverwerker-notificaties van je leveranciers om automatisch op de hoogte te blijven. Zet een vaste eigenaar op dit register, anders veroudert het.
Wat de auditor of klant wil zien
Bij een leveranciersaudit of een AVG-controle wil men geen theoretisch beleid, maar je actuele register, de tiering-logica, en het assurance-bewijs voor je tier 1-partijen. Kun je bovendien laten zien dat je het kwartaalgewijs bijwerkt en op wijzigingen reageert, dan toon je aantoonbare grip op je keten — precies wat NIS2 en enterprise-klanten eisen.
Veelgemaakte fouten
- Geen tiering — alles even zwaar beoordelen loopt vast; niets beoordelen is een risico.
- Register eenmalig invullen — zonder kwartaalupdate mis je stille subverwerker-wijzigingen.
- Alleen naar de directe verwerker kijken — het risico zit vaak een laag dieper.
- Geen eigenaar — een register zonder verantwoordelijke is binnen een halfjaar achterhaald.
Aan de slag
Begin met een register van je belangrijkste SaaS-leveranciers en breng hun subverwerkers in kaart. Tier ze, en verzamel assurance voor tier 1. Meer weten over privacy in de keten? Bekijk ISO 27701 of doe de gratis readiness-scan.