In dit artikel7
Kort antwoord
Security vraagt of informatie en systemen veilig zijn: kan iemand erbij die er niet bij hoort, en kan de informatie verloren gaan of onbereikbaar worden? Privacy vraagt of de organisatie met persoonsgegevens mag doen wat ze van plan is. Compliance vraagt of de organisatie aan de regels voldoet en of ze dat kan aantonen. In de praktijk werken de drie samen en delen ze soms één team of zelfs één persoon, zie het overzicht van wie wat doet in security, risk en compliance.
Wat beschermt security?
Security beschermt informatie en systemen tegen misbruik, verlies en uitval. ISO noemt ISO/IEC 27001 de bekendste norm voor informatiebeveiligingsmanagement. De norm beschrijft de eisen waaraan een informatiebeveiligingsmanagementsysteem (ISMS) moet voldoen. Volgens ISO bewaart zo'n systeem de vertrouwelijkheid, integriteit en beschikbaarheid van informatie door een risicomanagementproces toe te passen. Sommige organisaties voeren de norm in voor de best practices, andere laten zich ook certificeren om klanten gerust te stellen. Certificering is dus een keuze.
De AVG vraagt om iets vergelijkbaars. Artikel 32 lid 1 verlangt passende technische en organisatorische maatregelen op een niveau dat past bij het risico, met het vermogen om vertrouwelijkheid, integriteit, beschikbaarheid en veerkracht te garanderen. De Cyberbeveiligingswet is volgens het NCSC op 15 augustus 2026 in werking getreden. Artikel 21 lid 1 vraagt om passende en evenredige maatregelen voor de beveiliging van netwerk- en informatiesystemen, waaronder beleid voor risicoanalyse, incidentenbehandeling en bedrijfscontinuïteit. Het bestuur keurt die maatregelen goed. Lees meer in de uitleg over NIS2 en de Cyberbeveiligingswet en op de skillpagina voor NIS2.
In de praktijk betekent dat voor een security-professional: technische en organisatorische maatregelen inrichten, toegang beheren en incidenten afhandelen. Een Information Security Officer houdt zich vaak bezig met beleid en risicoanalyse. Een Security Engineer of Security Architect bouwt en ontwerpt de maatregelen vaak zelf. Meer over die rol staat in de rolgids voor de Information Security Officer.
Wat beschermt privacy?
Privacy beschermt mensen. Het gaat om wat een organisatie met persoonsgegevens mag doen, en niet alleen om hoe die gegevens worden beveiligd. Artikel 5 lid 1 AVG noemt de beginselen waar elke verwerking aan moet voldoen. Integriteit en vertrouwelijkheid is er één van: passende maatregelen tegen ongeoorloofde verwerking en tegen onopzettelijk verlies. Andere beginselen gaan over de verwerking zelf. Gegevens worden verzameld voor welbepaalde, gerechtvaardigde doelen (doelbinding), en ze zijn beperkt tot wat nodig is (minimale gegevensverwerking). Artikel 5 lid 2 maakt de organisatie verantwoordelijk voor die naleving en vraagt haar dat aan te tonen. Mensen hebben bovendien rechten, die in de artikelen 12 tot en met 22 AVG staan.
Een dataset kan perfect beveiligd zijn en toch verkeerd worden gebruikt. Privacy gaat over rechtmatigheid, doel en de rechten van de mensen om wie het gaat. Lees de uitleg over de AVG voor privacy-professionals en de skillpagina voor de AVG. Voor het managementsysteem bestaat ISO/IEC 27701. Die norm beschrijft een privacy information management system (PIMS), met eisen en richtlijnen voor verantwoordelijken en verwerkers van persoonsgegevens. De huidige uitgave is ISO/IEC 27701:2025.
Artikel 37 lid 1 AVG noemt de gevallen waarin een functionaris voor gegevensbescherming (FG, in het Engels DPO) verplicht is. Artikel 39 lid 1 geeft de taken: informeren en adviseren, toezien op naleving, advies over de gegevensbeschermingseffectbeoordeling en contact met de toezichthouder. Een FG is wettelijk beschermd, onafhankelijk en heeft toegang tot het hoogste bestuur (artikel 38). Een Privacy Officer is een gewone functietitel. De Autoriteit Persoonsgegevens noemt die als geschikte naam voor wie geen FG in de wettelijke zin is. Bekijk de rolgids voor de Data Protection Officer en de vacatures voor Privacy Officers.
Wat doet compliance?
Compliance controleert of de organisatie wetten en eigen regels naleeft. Het werkt met beleid, een overzicht van wat wanneer moet, steekproeven, bevindingen en opvolging. Het vertaalt regels naar beleid, toetst of afdelingen zich eraan houden, signaleert hiaten en rapporteert aan het management. Compliance legt regels niet technisch uit en bouwt zelf meestal niets. Het betrekt de eerste lijn, de afdelingen die het werk doen.
De Wwft laat zien hoe een wettelijke compliancefunctie eruit kan zien. Artikel 2d lid 2 vraagt om een onafhankelijke en effectieve compliancefunctie, voor zover dat past bij de aard en omvang van de instelling. Lid 3 zegt dat die functie gericht is op het controleren van de naleving van wettelijke en interne regels. Op 5 november 2026 meldde de wettenbank bij de Wwft wijzigingen zonder datum van inwerkingtreding, dus de actuele tekst kan afwijken. Lees die op wetten.overheid.nl en de uitleg voor compliance-professionals.
ISO 37301:2021 beschrijft eisen en richtlijnen voor het opzetten, ontwikkelen, invoeren, evalueren, onderhouden en verbeteren van een compliancemanagementsysteem. De norm verscheen op 13 april 2021 en verving ISO 19600:2014, dat is ingetrokken.
Het Three Lines Model van The IIA (2026) beschrijft de eerste lijn als het management dat eigenaar is van risico en processen. De tweede lijn biedt specialistische kennis, advies en monitoring, met risico, compliance, security en kwaliteit als voorbeelden. De interne audit in de derde lijn geeft onafhankelijke zekerheid. Volgens het model richten organisaties de lijnen verschillend in en kunnen rollen overlappen. Zie ook ISO 31000 en het Three Lines Model.
De verschillen in een tabel
Per organisatie verschilt de verdeling, de tabel zet het patroon naast elkaar.
Aspect | Security | Privacy | Compliance |
|---|---|---|---|
Wat wordt beschermd of gecontroleerd | Informatie en systemen, ook bedrijfsgeheimen, productiesystemen en de beschikbaarheid van diensten | Persoonsgegevens en de rechten van de mensen om wie het gaat | De naleving van wettelijke regels en van de eigen interne regels |
Voorbeeld van een kader | ISO/IEC 27001 en de Cyberbeveiligingswet | AVG, met ISO/IEC 27701 als managementnorm | De Wwft en ISO 37301 |
Wie houdt toezicht of controleert | Bij ISO 27001 kan een externe certificerende instelling auditen, als de organisatie kiest voor certificering. Bij de Cyberbeveiligingswet verschilt het toezicht per sector. | De Autoriteit Persoonsgegevens | De eigen compliancefunctie, en soms een toezichthouder van buiten |
Typische rol | Information Security Officer, Security Engineer | Privacy Officer, Data Protection Officer | Compliance Officer, Compliance Analyst |
De vraag die het vakgebied beantwoordt | Is deze informatie veilig? | Mag de organisatie dit met persoonsgegevens doen? | Voldoen we aan de regels, en kunnen we dat aantonen? |
Waar overlappen ze, en waar botsen ze?
Security is breder dan persoonsgegevens: ook bedrijfsgeheimen, productiesystemen en de beschikbaarheid van diensten vallen eronder. Privacy is breder dan beveiliging: een goed beveiligd bestand kan toch onrechtmatig zijn verzameld of te lang bewaard. Daarom past privacy niet onder security, ook al werken de twee nauw samen.
Neem een HR-afdeling die sollicitatiegegevens wil delen met een externe partij die kandidaten voorselecteert. Security vraagt hoe de gegevens worden overgedragen, wie toegang krijgt en hoe de partij zelf beveiligt. Privacy vraagt of er een grondslag is, of de partij alleen krijgt wat nodig is, wat de kandidaten wordt verteld en of er een verwerkersovereenkomst nodig is. Compliance kijkt of het leveranciersbeleid is gevolgd en of het bewijs vastligt. Eén verzoek levert zo drie verschillende vragen op.
Een datalek raakt alle drie. Security onderzoekt wat er is gebeurd en herstelt de systemen. Privacy beoordeelt welke persoonsgegevens zijn geraakt en of er gemeld moet worden. Artikel 33 lid 1 AVG vraagt om melding aan de toezichthouder zonder onredelijke vertraging en, indien mogelijk, uiterlijk 72 uur nadat de organisatie ervan kennis heeft genomen, tenzij het niet waarschijnlijk is dat de inbreuk een risico oplevert voor de rechten en vrijheden van mensen. Compliance legt vast wat er is gebeurd en welke stappen zijn gezet. Zo kan de organisatie aantonen dat ze zorgvuldig heeft gehandeld, zie ook de uitleg over de meldplicht voor datalekken.
Security wil logs lang bewaren, zodat een aanval later goed onderzocht kan worden. Privacy wil bewaartermijnen kort houden en alleen verzamelen wat nodig is. Die wens botst. De oplossing is meestal een afgewogen keuze, met een onderbouwing die compliance vastlegt.
De FG is een bijzonder geval. Volgens de Autoriteit Persoonsgegevens mag een FG niet ook een functie hebben waarin hij of zij het doel en de middelen van een verwerking bepaalt, zoals een CISO-functie. Artikel 38 lid 6 AVG laat andere taken wel toe, zolang die niet tot een belangenconflict leiden. In een kleine organisatie kan één persoon meerdere van deze taken combineren, maar bij de FG kan dat niet zomaar.
Botsingen zijn normaal. Een goede organisatie bespreekt ze, in plaats van ze weg te organiseren.
Welke rol past bij welke vraag?
Security past bij wie technisch onderzoekt en bouwt. Privacy en compliance passen bij wie graag leest, interpreteert en adviseert. Geen van de drie is makkelijker, en overstappen kan, bijvoorbeeld van privacy naar security governance of van IT-audit naar compliance.
- Security: de Information Security Officer stuurt beleid en risicoanalyse aan, de Security Engineer bouwt de maatregelen, de Security Architect ontwerpt ze en de SOC Analist beoordeelt meldingen.
- Privacy: de Privacy Officer en de Data Protection Officer adviseren over verwerkingen, en een FG ziet toe op de naleving van de AVG.
- Compliance: de Compliance Officer en de Compliance Analyst vertalen regels naar beleid en controleren of het wordt nageleefd.
- Risico en bewijs: wie van risico en bewijs houdt, kijkt ook naar IT-audit en risk, zoals de IT-auditor, de Risk Manager en de GRC Consultant. Wat is GRC? legt het verband uit.
Het European Cybersecurity Skills Framework van ENISA beschrijft het profiel Cyber Legal, Policy & Compliance Officer. Alternatieve titels zijn onder meer Data Protection Officer en IT/ICT Compliance Manager. Titels verschillen per organisatie, dus de vacaturetekst is bepalend. Meer over titels vind je in functietitels in security uitgelegd. Voor het overzicht van de vakgebieden zie compliance en privacy en cybersecurity.
Is privacy hetzelfde als security?
Nee. Security beschermt informatie en systemen tegen misbruik, verlies en uitval, terwijl privacy gaat over wat er met persoonsgegevens mag gebeuren. Een goed beveiligd bestand kan toch onrechtmatig zijn verzameld of te lang bewaard. Daarom horen de twee bij verschillende vragen, ook al werken ze samen.
Is compliance een onderdeel van security?
In sommige organisaties zitten ze in één team. De compliancefunctie controleert de naleving van alle wettelijke en interne regels, niet alleen die over informatiebeveiliging. Daarom is compliance een eigen vakgebied, ook als de twee nauw samenwerken.
Mag een CISO ook functionaris voor gegevensbescherming zijn?
Volgens de Autoriteit Persoonsgegevens niet. Een FG mag geen functie hebben waarin hij of zij het doel en de middelen van een verwerking bepaalt, en een CISO-functie is zo'n functie. Artikel 38 lid 6 AVG laat andere taken toe, maar niet als die tot een belangenconflict leiden.
Is ISO 27001 verplicht?
Certificering volgens ISO/IEC 27001 is een keuze van de organisatie. Wetten kunnen wel eisen stellen aan maatregelen, zoals artikel 21 van de Cyberbeveiligingswet, terwijl certificering volgens ISO/IEC 27001 een aparte keuze blijft. Of een eis voor een specifieke organisatie geldt, is een juridische beoordeling.
Welk vakgebied past bij mij?
Kijk naar het werk dat je elke dag wilt doen. Wie technisch onderzoekt en bouwt, kijkt eerst naar security. Wie graag wetten leest en adviseert, kijkt naar privacy of compliance. Vergelijk de vacatures voor Privacy Officers en de gids over wie wat doet om de titels naast het werk te leggen.