ISO 27001 en AVG: wat woningmarktorganisaties moeten weten

1.743 ISO 27001-certificaten waren in 2022 in Nederland uitgegeven, een stijging van 15,6% ten opzichte van 2021, volgens de ISO Survey 2022. Dat cijfer zegt iets belangrijks voor banken, hypotheekverstrekkers, verzekeraars en proptech-platforms: informatiebeveiliging is geen achterafcontrole meer, maar een voorwaarde voor het verwerken van woningdata via API's.

Toch blijft één misverstand hardnekkig. Een ISO 27001-certificaat is geen AVG-certificaat. Wie woningwaardemodellen, energielabels, WOZ-gegevens of Kadastertransacties koppelt aan personen, moet naast informatiebeveiliging ook privacy aantoonbaar organiseren. Voor productteams betekent dat één praktische keuze: losse compliance-silo's aanhouden, of beveiliging en privacy verbinden in één ISMS met een privacy-uitbreiding.

Waarom ISO 27001 en AVG samen op tafel moeten liggen

Een API-koppeling kan woningdata, energielabels en Kadastertransacties samenbrengen met een klantdossier, hypotheekaanvraag, polis of taxatie. Vanaf dat moment moet je informatiebeveiliging en privacy gezamenlijk ontwerpen. ISO 27001 geeft je een managementsysteem voor informatiebeveiliging, terwijl de AVG voorschrijft hoe je persoonsgegevens rechtmatig en zorgvuldig verwerkt.

De AVG geldt in Nederland en de hele EU sinds 25 mei 2018. De Autoriteit Persoonsgegevens houdt toezicht op de naleving in Nederland. Je organisatie moet passende technische en organisatorische maatregelen nemen. Bij overtreding kunnen boetes oplopen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet. Die maximale sanctie verandert niets aan de kern: een ISO 27001-certificaat vervangt je wettelijke verantwoordelijkheid niet.

Voor een team dat een woningwaardemodel inzet bij hypotheekacceptatie, betekent dit meer dan toegangsbeheer, logging en continuïteit aantonen. Je moet vastleggen welke persoonsgegevens je verwerkt, met welk doel, op basis van welke grondslag en met welke bewaartermijn. Die keuzes horen in hetzelfde bestuurlijke gesprek als risico's rond API's, leveranciers, modeldata en incidenten.

De keuze voor één bestuurlijk raamwerk

Richt één ISMS in voor risicoanalyse, beleid, toegangsbeheer, leveranciersmanagement, incidenten en audits. Voeg privacycontroles toe waar persoonsgegevens de keten binnenkomen. ISO/IEC 27701 biedt daarvoor een privacylaag naast ISO 27001 en ISO 27002, met een koppeling tussen een Privacy Information Management System en het ISMS. Raadpleeg de Nederlandse toelichting op ISO/IEC 27701 bij de inrichting.

Altum AI werkt als datalaag voor de Nederlandse woningmarkt, met herleidbare woningdata en AI-inzichten over waarde, energie en verduurzaming. Data stewardship voor woningdata hoort daarom bij de API-architectuur en productverantwoordelijkheid, niet bij een los complianceproject.

Het verschil tussen ISO 27001 en de AVG in één oogopslag

ISO 27001 beschermt informatie in brede zin. De AVG beschermt persoonsgegevens en de rechten van mensen. Die definities bepalen hoe je scope, documentatie en controles inricht. Een woningwaardemodel kan bijvoorbeeld informatie bevatten die niet direct tot een persoon herleidbaar is. Zodra je die informatie aan een eigenaar, huurder, hypotheekklant of polis koppelt, komt de AVG in beeld.

De verschillen worden duidelijk als je beide regimes langs dezelfde criteria vergelijkt.

Reikwijdte bepaalt je ontwerp

De uitleg over de overlap tussen AVG en ISO 27001 benadrukt dat ISO 27001 de CIA-triade gebruikt: vertrouwelijkheid, integriteit en beschikbaarheid. De AVG sluit aan op beveiliging, maar voegt privacyvragen toe, zoals rechtsgrond, DPIA's en rechten van betrokkenen.

Dat verschil zie je direct in een hypotheekproces. Een dataset met regionale markttrends kan voor het woningwaardemodel bedrijfsgevoelig zijn zonder persoonsgegevens te bevatten. Een aanvraag waarin die waarde naast inkomen, adresgegevens en identificatie wordt opgeslagen, valt wel onder de AVG.

Wat je wel en niet kunt aantonen

ISO 27001 bewijst vooral hoe je informatiebeveiliging bestuurt. Je toont aan dat je risico's identificeert, passende controls selecteert en de werking daarvan controleert. De AVG vraagt daarnaast wat je met persoonsgegevens mag doen en hoe je dat uitlegt aan betrokkenen.

Mijn advies is duidelijk: gebruik ISO 27001 als beveiligingsbasis, maar bouw je privacydocumentatie niet af op het certificaat. Laat je productteam per API-datastroom vastleggen welke gegevens binnenkomen, welke verrijking plaatsvindt, wie toegang heeft en wanneer de verwerking stopt.

Hoe een ISMS werkt voor woningdata en woningwaardemodellen

Een ISMS, of Information Security Management System, is het bestuurlijke en operationele systeem waarmee je informatiebeveiliging plant, uitvoert, controleert en verbetert. Voor woningmarktorganisaties begint dat systeem bij de CIA-triade.

• Vertrouwelijkheid: een klantdossier blijft beschikbaar voor de rol die hypotheekacceptatie uitvoert, niet voor iedere gebruiker van het platform.
• Integriteit: een WOZ-uittreksel of transactierecord mag niet ongemerkt worden gewijzigd.
• Beschikbaarheid: een energielabel-API moet functioneren wanneer een hypotheekaanvraag door de keten gaat.

De norm ISO/IEC 27001 beschrijft eisen voor het inrichten, implementeren, onderhouden en continu verbeteren van een ISMS. De Nederlandse editie ISO/IEC 27001:2022 nl werd volgens NEN gepubliceerd op 1 oktober 2022.

Van risico naar control

Een werkend ISMS volgt de Plan-Do-Check-Act-logica. Je bepaalt de context en risico's, behandelt die risico's met passende maatregelen, controleert de werking en stuurt bij. Annex A van de 2022-versie bevat 93 controls verdeeld over vier domeinen, zoals beschreven in de achtergrond bij ISO 27001 API-security.

Neem een proptech-platform dat woningdata via meerdere API's verwerkt. Het team classificeert transactiedata als vertrouwelijk, gebruikt versleuteling voor opslag en beperkt toegang met rollen. De risicoanalyse koppelt de datastroom aan het verwerkingsregister, zodat beveiliging en privacy niet in afzonderlijke spreadsheets verdwijnen.

In de praktijk moet je per API ten minste kunnen beantwoorden:

1. Welke bron levert de data?
2. Welke gegevens verwerkt de API?
3. Welke rollen mogen de gegevens opvragen?
4. Welke logging toont aan dat die toegang rechtmatig en beheerst verliep?
5. Wat gebeurt er bij een fout, misbruik of uitval?

Praktische regel: behandel iedere API-koppeling als een informatieasset met een eigenaar, een risicobeoordeling en controleerbare evidence.

Dezelfde structuur helpt bij verplichtingen die naast ISO 27001 bestaan. Voor financiële partijen raakt dit aan DORA. Voor organisaties die onder NIS2 vallen, vormt een ISMS een aantoonbare basis, maar geen automatische vervanging van sectorspecifieke eisen. De relatie tussen ISO 27001 en AVG, NIS2 en DORA moet je daarom in je architectuur en governance vastleggen.

De privacyroute die naast ISO 27001 blijft gelden

Een ISO 27001-certificaat ontslaat je niet van de AVG. Per verwerking leg je vast waarom je persoonsgegevens mag gebruiken, welke gegevens noodzakelijk zijn en hoe je betrokkenen informeert. Dat geldt ook voor persoonsgegevens die via een externe woningdata-API binnenkomen.

De route per verwerking

Start met de rechtsgrond uit artikel 6 AVG. Een hypotheekverstrekker kan een verwerking verbinden aan een overeenkomst of wettelijke verplichting. Die keuze moet passen bij het concrete doel. Voor bijzondere persoonsgegevens is een aanvullende grondslag nodig.

Voer een DPIA uit als de verwerking waarschijnlijk een hoog privacyrisico oplevert. Dat speelt bijvoorbeeld wanneer je woningdata, energielabels of inkomen aan personen koppelt voor hypotheekacceptatie, schadeafhandeling of fraudedetectie. Een woningwaardemodel verwerkt niet automatisch persoonsgegevens. De toepassing van de modeluitkomst kan dat wel doen.

Leg elke API-stroom vast in het register van verwerkingen. Noteer bron, gegevenscategorieën, doelen, bewaartermijnen, ontvangers, verwerker en beveiligingsmaatregelen. Koppel een Kadaster- of BAG-integratie daarom niet alleen aan een technisch endpoint, maar ook aan een verantwoordelijke proceseigenaar.

Rechten, leveranciers en incidenten

Je proces moet inzage, rectificatie, verwijdering en overdraagbaarheid kunnen afhandelen. Stel interne termijnen vast voor registratie, beoordeling en beantwoording. Zorg dat engineers gegevens gericht kunnen terugvinden, zonder handmatig door productiedatabases te zoeken.

Een verwerkersovereenkomst regelt de API-leverancier, subverwerkers, beveiligingsmaatregelen, incidentmelding en verwijdering. Controleer ook doorgiften buiten de EER. Bij een datalek beoordeel je of melding aan de AP nodig is. De wettelijke meldtermijn van 72 uur geldt wanneer melding verplicht is.

Gebruik privacy by design voor woningdata als ontwerpregel. Bouw dataminimalisatie, toegangsrollen en verwijdering in voordat een nieuwe dataset naar productie gaat. Zo krijgt een ISO 27001-control een concrete privacy-uitwerking voor API's met woningdata, energielabels en Kadastertransacties.

Stappenplan naar aantoonbare ISO 27001- en AVG-compliance

Aantoonbare compliance ontstaat niet door één beleidsdocument. Je bouwt een dossier waarin beleid, uitvoering en controle bij elkaar passen. Plan de route per kwartaal en laat iedere stap eindigen met een acceptatiecriterium.

1. Scope en context vastleggen. Neem API's en datasets op voor Kadaster, BAG, energielabels, taxatie en hypotheek. Benoem rollen zoals verwerkingsverantwoordelijke, verwerker, productowner en systeemeigenaar.
2. Gap-analyse uitvoeren. Vergelijk bestaande policies met ISO 27001:2022 en Annex A. Leg per afwijking vast wie eigenaar is en welke beslissing nodig is.
3. Risico's behandelen. Beschrijf dreiging, impact, maatregel, restrisico en goedkeuring. Koppel controls aan systemen, niet alleen aan beleidsnamen.
4. Privacydocumentatie actualiseren. Maak DPIA's voor nieuwe risicovolle stromen en werk het register van verwerkingen bij.
5. Controls operationaliseren. Richt toegangsbeheer, sleutelbeheer, logging, leveranciersmanagement en incidentrespons in. Bewaar screenshots, configuratiereviews en logvoorbeelden.
6. Teams trainen. Laat developers, data stewards en productmanagers oefenen met incidenten, toegangsaanvragen en dataverzoeken. Phishingtests kunnen onderdeel zijn van de bewustwording.
7. Intern controleren. Voer een interne audit uit en leg de directiebeoordeling vast. Een open risico zonder eigenaar is geen afgeronde control.
8. Extern laten auditen. Bereid Stage 1 en Stage 2 voor. Na certificering volgen surveillance-audits en moet je evidence blijven verzamelen.

De doorlooptijd verschilt per scope, bestaande beheersing en aantal leveranciers. Zet daarom geen vaste kalenderbelofte in het projectplan. Gebruik de evidence per stap als harde poort voor de volgende fase.

Praktijkvoorbeeld uit de Nederlandse woningmarkt

Een samengesteld en geanonimiseerd voorbeeld laat zien waar de echte spanning zit. Een middelgrote hypotheek- en verzekeringscombinatie verwerkte in 2025 circa 180.000 hypotheekdossiers en 90.000 inboedel- en opstalpolissen per jaar via drie proptech-API's, waaronder een Altum AI-woningwaardemodel. De aanleiding was een BIC-incident bij een leverancier en een verzoek van een toezichthouder.

De organisatie ontdekte dat technische beveiliging en privacydocumentatie door verschillende teams werden beheerd. De API-beheerder kon aantonen dat toegang werd beperkt, maar het privacyteam miste een uniform overzicht van doelen, bewaartermijnen en verwerkersafspraken.

De gekozen aanpak

Het projectteam bracht eerst de API-scope, datasets en rollen samen. Daarna koppelde het iedere datastroom aan een risico-eigenaar, een verwerkingsrecord en een control. Nieuwe koppelingen gingen pas live nadat de productowner, securityverantwoordelijke en privacyverantwoordelijke hun deel hadden goedgekeurd.

De organisatie rolde binnen negen maanden een ISMS uit, rondde zes DPIA's af en behaalde een ISO 27001:2022-certificaat zonder non-conformiteiten. De cijfers komen uit het samengestelde praktijkvoorbeeld en zijn geen algemene benchmark.

De organisatie rapporteerde daarnaast een meetbare afname van auditdruk bij klanten. De belangrijkste les is niet het certificaat zelf. Het resultaat kwam doordat productbesluiten, privacybeoordelingen en technische controls hetzelfde dossier gebruikten.

Samenhang met NIS2, DORA en ISO/IEC 27701 in 2026

In 2026 moet je ISO 27001 en AVG niet als eindpunten behandelen. NIS2 richt zich op cybersecurityverplichtingen voor aangewezen essentiële en belangrijke entiteiten. DORA richt zich op digitale operationele veerkracht bij financiële dienstverleners. ISO/IEC 27701 voegt privacybeheer toe aan een bestaand ISMS.

De precieze toepasselijkheid hangt af van de juridische entiteit, sector, omvang en rol in de keten. Een hypotheekplatform of vastgoedadministratiekantoor kan met NIS2 te maken krijgen wanneer het binnen de aangewezen sectoren en drempels valt. Banken, verzekeraars en relevante fintech- of proptechdienstverleners in de financiële keten moeten hun DORA-verplichtingen afzonderlijk beoordelen.

De keuze die je nu maakt

Kies voor één ISMS met een privacy-extensie, en leg daar aparte mappings naar AVG, NIS2 en DORA bovenop. Zo hergebruik je bijvoorbeeld incidentregistraties, leveranciersbeoordelingen, continuïteitsplannen en toegangsreviews zonder te doen alsof één rapport alle verplichtingen afdekt.

Je moet ook je normversie vastzetten. Nederlandse overzichten noemen de actuele versie ISO/IEC 27001:2022 in Nederland als NEN-EN-ISO/IEC 27001:2023. Laat je auditor en compliance-eigenaar expliciet vastleggen welke editie, scope en certificeringscriteria gelden.

Voor Altum AI-gebruikers betekent dit dat je niet alleen naar de API-response kijkt. Leg ook vast welke brondata je gebruikt, welke woningkenmerken je teruggeeft, hoe je toegangsrollen beheert en hoe je modeluitkomsten inzet in acceptatie, taxatie, portefeuillewaardering of verzekeringsrisico. Altum AI biedt via altum.ai woningwaardedata, Kadastertransacties, WOZ- en PC6-waarden, energielabels, verduurzamingsanalyses, herbouwwaarde en inboedelwaarde via API's en samengestelde datasets. Gebruik die broninformatie binnen je eigen ISMS-scope en leg de verwerking per toepassing vast.

Veelgestelde vragen

Is ISO 27001 verplicht voor AVG-compliance?

Nee. De AVG verplicht passende technische en organisatorische maatregelen, maar schrijft geen ISO 27001-certificaat voor. ISO 27001 helpt je om die maatregelen systematisch en aantoonbaar te beheren.

Is ISO 27001 breder dan de AVG?

Ja. ISO 27001 ziet op informatiebeveiliging van alle informatie binnen de gekozen scope. De AVG ziet specifiek op persoonsgegevens en privacyrechten.

Heb je ISO/IEC 27701 nodig naast ISO 27001?

Niet automatisch. ISO/IEC 27701 is een privacy-uitbreiding op ISO 27001 en kan helpen om privacybeheer en informatiebeveiliging in één raamwerk te verbinden. Het vervangt de AVG niet.

Wat moet een productteam als eerste doen?

Maak een inventaris van API's, datasets, rollen en gegevensstromen. Koppel daarna iedere verwerking aan een eigenaar, rechtsgrond, risicoanalyse, toegangsmodel en controleerbare evidence.

Altum AI biedt een transparante API-laag voor woningwaarde, WOZ, Kadastertransacties, energielabels, verduurzaming en verzekeringsgerichte woningdata, zodat jullie productteam de gegevensstromen beheerst kan opnemen in het ISMS en AVG-proces. Start met de documentatie en testomgeving via Altum AI en bespreek met ons welke dataset of API bij jullie hypotheek-, verzekerings- of vastgoedtoepassing past.