Let op: deze tekst is opgesteld door een niet-jurist en is geen juridisch advies. De juridische begrippen en verwijzingen (AVG, CRA, licenties) zijn bedoeld als context voor een eerste gesprek. Laat ze door een jurist beoordelen voordat u erop vertrouwt.
Wat het is
CDS is open-sourcesoftware waarmee een organisatie vooraf, in leesbare configuratiebestanden, vastlegt hoe een dataomgeving is opgebouwd en beveiligd. Uit die bestanden worden de technische installatiebestanden gegenereerd. CDS verwerkt zelf geen persoonsgegevens en draait zelf geen systemen.
Wat het mogelijk kan bijdragen aan compliance
Hieronder staat wat de makers met CDS beogen. Of dit in uw situatie aan een wettelijke eis voldoet, moet een jurist of compliance-specialist beoordelen.
- Aantoonbaarheid: de inrichting staat in versiebeheer, zodat wijzigingen terug te vinden zijn. Dit kan helpen bij het leveren van bewijs, bijvoorbeeld in het kader van de verantwoordingsplicht uit de AVG.
- Beveiliging by design: geautomatiseerde controles toetsen vooraf op veilige instellingen. Dit kan een onderdeel zijn van de passende technische maatregelen waar de AVG om vraagt (art. 32). Het is geen vervanging van een risicoanalyse.
- Cyber Resilience Act (CRA): de routekaart richt zich op bewijsvoering rond softwareontwikkeling en -onderhoud. Of een product of organisatie aan de CRA voldoet, is een afzonderlijke beoordeling.
- Leveranciersonafhankelijkheid en exit: onderdelen zijn onderling uitwisselbaar, wat lock-in kan verkleinen. Of dit contractueel of regelgevend voldoende is, hangt af van de situatie.
- Zeggenschap over data: de omgeving kan op eigen servers of bij een zelfgekozen aanbieder draaien. De keuze over locatie en toegang blijft zo bij de organisatie.
Geheimen en toegangsgegevens
Wachtwoorden en sleutels worden niet in de gegenereerde bestanden opgenomen, alleen verwijzingen ernaar. Dat beperkt het risico op onbedoelde openbaarmaking.
Licenties en herkomst van software
CDS is open source, en de gebruikte onderdelen van derden hebben elk eigen licenties. Laat de licentievoorwaarden van de gekozen onderdelen beoordelen. Een register voor leveranciers en externe diensten staat op de planning.
Wat CDS niet doet
- Het is geen certificering of juridische garantie en vervangt geen DPIA, verwerkersovereenkomst of audit.
- Het bepaalt niet of een verwerking rechtmatig is, welke grondslag geldt of hoe lang gegevens bewaard mogen worden.
- De rolverdeling (verwerkingsverantwoordelijke of verwerker) hangt af van hoe de organisatie CDS inzet. Dat moet per geval worden vastgesteld.
- Niet alle genoemde functies bestaan al. Back-up en herstel, versleuteling tijdens transport (TLS) en enkele governance-onderdelen staan op de planning.
Vragen om aan uw jurist en FG/CISO voor te leggen
- Welke rol heeft onze organisatie, en welke rol hebben de aanbieders van de gekozen onderdelen?
- Welke licentieverplichtingen gelden voor de gekozen modules en images?
- Welke documentatie uit CDS kan als bewijs dienen, en wat moet daarnaast worden vastgelegd?
- Welke afspraken zijn nodig bij hosting buiten de eigen organisatie?
Ook uitgelegd voor
Terug naar Composable Data Stack (CDS) · Broncode op GitHub · Contact