Beheer Van Subverwerkers In Microsoft 365

De Algemene Verordening Gegevensbescherming (AVG) stelt expliciete eisen aan de verantwoordelijkheid van organisaties voor de verwerking van persoonsgegevens door derden. Artikel 28 van de AVG vereist dat wanneer een organisatie een verwerker inschakelt – in dit geval Microsoft – deze verwerker alleen subverwerkers mag inschakelen met voorafgaande schriftelijke toestemming van de verwerkingsverantwoordelijke. Bovendien moeten dezelfde verplichtingen die gelden voor de hoofdverwerker contractueel worden doorgegeven aan subverwerkers. Voor Nederlandse overheidsorganisaties betekent dit dat zij niet alleen een verwerkersovereenkomst met Microsoft moeten hebben, maar ook moeten kunnen aantonen dat zij zicht hebben op de subverwerkers die Microsoft gebruikt, dat zij deze hebben beoordeeld op risico's en dat zij een proces hebben om wijzigingen in het subverwerkersbestand te monitoren en te beoordelen. Zonder dit proces loopt de organisatie het risico dat persoonsgegevens worden verwerkt door partijen die niet voldoen aan de vereiste beveiligingsstandaarden, dat gegevens onbedoeld buiten de Europese Unie worden verwerkt zonder adequate waarborgen, of dat bij een audit of toezicht door de Autoriteit Persoonsgegevens niet kan worden aangetoond dat de organisatie haar verantwoordelijkheden heeft genomen. Daarnaast kan het ontbreken van goed subverwerkersbeheer leiden tot reputatieschade wanneer blijkt dat gegevens zijn verwerkt door partijen met een twijfelachtige beveiligingsreputatie of dat er geen transparantie is over waar gegevens daadwerkelijk worden opgeslagen en verwerkt.

Implementatie

Dit artikel beschrijft een gestructureerde aanpak voor het beheer van subverwerkers binnen Microsoft 365. We beginnen met de juridische en compliance-achtergrond: wat vereist de AVG precies, welke verplichtingen heeft Microsoft als verwerker en hoe verhoudt dit zich tot de Microsoft Services Agreement en de Data Processing Addendum. Vervolgens gaan we in op de praktische uitvoering: hoe monitort u het subverwerkersbestand van Microsoft, welke informatiebronnen zijn beschikbaar en hoe stelt u een periodiek reviewproces in. We behandelen risicobeoordeling: hoe beoordeelt u of een nieuwe of gewijzigde subverwerker acceptabel is vanuit het perspectief van gegevensbescherming, beveiliging en compliance met Nederlandse overheidsstandaarden zoals de BIO. Daarnaast bespreken we de governance: wie is verantwoordelijk voor subverwerkersbeheer, hoe worden besluiten genomen over acceptatie of afwijzing van subverwerkers en hoe wordt dit proces gedocumenteerd voor auditdoeleinden. Tot slot behandelen we de technische ondersteuning: hoe kan het bijbehorende PowerShell-script worden gebruikt om periodiek het subverwerkersbestand op te halen, te vergelijken met eerdere versies en automatisch te rapporteren over wijzigingen die aandacht vereisen. Het resultaat is een volwassen proces waarin de organisatie proactief en aantoonbaar omgaat met de complexiteit van moderne clouddiensten en daarmee voldoet aan haar verantwoordelijkheden onder de AVG.

Juridische basis en AVG-verplichtingen

De juridische basis voor subverwerkersbeheer binnen Microsoft 365 is primair gelegen in de Algemene Verordening Gegevensbescherming (AVG), met name artikel 28 lid 2 en 4. Artikel 28 lid 2 stelt dat een verwerker – in dit geval Microsoft – alleen subverwerkers mag inschakelen met voorafgaande specifieke of algemene schriftelijke toestemming van de verwerkingsverantwoordelijke. Deze toestemming kan algemeen worden verleend, bijvoorbeeld door middel van een clausule in de verwerkersovereenkomst waarin wordt gesteld dat Microsoft subverwerkers mag inschakelen mits deze voldoen aan bepaalde criteria, of specifiek per subverwerker. Voor Nederlandse overheidsorganisaties is het gebruikelijk om een algemene toestemming te verlenen, maar wel met duidelijke voorwaarden: subverwerkers moeten voldoen aan dezelfde beveiligings- en privacyvereisten als Microsoft zelf, moeten geografisch binnen de Europese Unie opereren of adequate waarborgen bieden wanneer zij buiten de EU actief zijn, en moeten contractueel gebonden zijn aan dezelfde verplichtingen als Microsoft. Deze voorwaarden worden vastgelegd in de verwerkersovereenkomst of Data Processing Addendum die de organisatie met Microsoft heeft gesloten.

Artikel 28 lid 4 van de AVG voegt hieraan toe dat wanneer een verwerker een subverwerker inschakelt, dezelfde gegevensbeschermingsverplichtingen die gelden voor de hoofdverwerker contractueel moeten worden doorgegeven aan de subverwerker. Dit betekent dat Microsoft contractueel moet waarborgen dat subverwerkers dezelfde beveiligingsstandaarden hanteren, dezelfde logging- en auditvereisten naleven en dezelfde rechten respecteren ten aanzien van betrokkenen. Voor Nederlandse overheidsorganisaties is het van belang om te verifiëren dat Microsoft deze contractuele doorwerking daadwerkelijk heeft geregeld, bijvoorbeeld door inzicht te vragen in de standaardcontracten die Microsoft met subverwerkers heeft gesloten of door te controleren of Microsoft beschikt over certificeringen zoals ISO 27001, ISO 27018 of SOC 2 Type II die aantonen dat het beheer van subverwerkers op een gecontroleerde wijze plaatsvindt. Daarnaast vereist artikel 28 lid 3 dat de verwerkingsverantwoordelijke op de hoogte wordt gehouden van wijzigingen in het subverwerkersbestand, zodat de organisatie kan beoordelen of nieuwe of gewijzigde subverwerkers nog steeds voldoen aan de gestelde voorwaarden.

Naast de AVG spelen ook andere juridische kaders een rol. De Baseline Informatiebeveiliging Overheid (BIO) vereist dat organisaties zicht hebben op de volledige keten van gegevensverwerking, inclusief subverwerkers, en dat risico's worden beheerst. De NIS2-richtlijn stelt aanvullende eisen aan supply-chain beveiliging, waarbij organisaties moeten kunnen aantonen dat zij risico's van derde partijen in hun IT-keten hebben geïdentificeerd en beheerst. Voor Nederlandse overheidsorganisaties betekent dit dat subverwerkersbeheer niet alleen een privacy- en compliancekwestie is, maar ook een integraal onderdeel van het informatiebeveiligings- en risicomanagementproces. Het proces moet daarom worden afgestemd met de CISO, de Functionaris Gegevensbescherming, de risicomanager en eventueel de contractmanager die verantwoordelijk is voor de relatie met Microsoft. Door deze verschillende perspectieven te combineren ontstaat een holistische benadering waarin juridische verplichtingen, beveiligingsrisico's en praktische haalbaarheid met elkaar in balans worden gebracht.

Het subverwerkerslandschap van Microsoft 365

Microsoft publiceert periodiek een lijst van subverwerkers die worden ingeschakeld voor de levering van Microsoft 365 en gerelateerde cloudservices. Deze lijst is beschikbaar via het Microsoft Trust Center en wordt doorgaans meerdere keren per jaar bijgewerkt wanneer nieuwe subverwerkers worden toegevoegd, bestaande subverwerkers worden verwijderd of wanneer de geografische locatie of het type dienstverlening van een subverwerker wijzigt. De lijst bevat per subverwerker informatie over de naam van de organisatie, het type dienst dat wordt geleverd (bijvoorbeeld datacenteroperaties, netwerkinfrastructuur, klantondersteuning, fraud detection of analytics), de geografische regio's waarin de subverwerker actief is en de specifieke Microsoft 365-services waarvoor de subverwerker wordt ingeschakeld. Voor Nederlandse overheidsorganisaties is met name de geografische informatie van belang, omdat de AVG en de Nederlandse overheidspraktijk vaak vereisen dat persoonsgegevens binnen de Europese Unie worden verwerkt, tenzij er adequate waarborgen zijn zoals Standard Contractual Clauses of een adequaatheidsbesluit van de Europese Commissie.

Het subverwerkersbestand van Microsoft is dynamisch en omvangrijk. Typisch omvat de lijst tientallen tot honderden subverwerkers, variërend van grote technologiebedrijven die datacenterinfrastructuur leveren tot gespecialiseerde dienstverleners die ondersteuning, monitoring of analytics verzorgen. Sommige subverwerkers zijn direct zichtbaar voor klanten omdat zij deel uitmaken van de kerninfrastructuur, terwijl anderen meer op de achtergrond opereren en alleen zichtbaar zijn via de gepubliceerde lijst. Voor Nederlandse overheidsorganisaties is het belangrijk om te begrijpen dat niet alle subverwerkers even risicovol zijn: een subverwerker die alleen netwerkinfrastructuur levert en geen directe toegang heeft tot persoonsgegevens vormt een ander risico dan een subverwerker die analytics of fraud detection uitvoert en daarbij toegang heeft tot gegevens. Het beoordelingsproces moet daarom rekening houden met het type dienst, het niveau van toegang tot gegevens en de geografische locatie van de verwerking.

Microsoft biedt verschillende mechanismen om klanten te informeren over wijzigingen in het subverwerkersbestand. De primaire methode is via het Microsoft Trust Center, waar de actuele lijst beschikbaar is en waar Microsoft aankondigingen plaatst over significante wijzigingen. Daarnaast kunnen organisaties zich abonneren op notificaties via de Microsoft Service Health Dashboard of via e-mailmeldingen wanneer nieuwe subverwerkers worden toegevoegd. Voor Nederlandse overheidsorganisaties is het aan te raden om een geautomatiseerd proces in te richten dat periodiek – bijvoorbeeld maandelijks of bij elke wijziging – de actuele lijst ophaalt en vergelijkt met de vorige versie, zodat wijzigingen direct zichtbaar zijn en kunnen worden beoordeeld. Het bijbehorende PowerShell-script ondersteunt dit proces door automatisch de actuele lijst op te halen, te vergelijken met een eerder opgeslagen versie en een rapport te genereren met alle wijzigingen, inclusief nieuwe subverwerkers, verwijderde subverwerkers en wijzigingen in geografische locaties of diensttypen.

Risicobeoordeling en acceptatieproces

Wanneer Microsoft een nieuwe subverwerker toevoegt of wanneer een bestaande subverwerker wijzigt in geografische locatie of type dienstverlening, moet de Nederlandse overheidsorganisatie beoordelen of deze wijziging acceptabel is vanuit het perspectief van gegevensbescherming, beveiliging en compliance. Dit beoordelingsproces moet gestructureerd en gedocumenteerd worden uitgevoerd, zodat bij een audit of toezicht kan worden aangetoond dat de organisatie haar verantwoordelijkheden heeft genomen. Een praktische aanpak begint met een risicoclassificatie: welke subverwerkers vormen een hoog risico en vereisen uitgebreide beoordeling, en welke zijn laagrisico en kunnen via een gestroomlijnd proces worden goedgekeurd. Factoren die het risico bepalen zijn onder meer het type dienstverlening (heeft de subverwerker directe toegang tot persoonsgegevens?), de geografische locatie (worden gegevens verwerkt binnen de EU of daarbuiten?), de omvang van de verwerking (worden grote volumes gegevens verwerkt of is het beperkt tot metadata?), en de beveiligingsreputatie van de subverwerker (beschikt de subverwerker over relevante certificeringen zoals ISO 27001, SOC 2 of ISO 27018?).

Voor laagrisico subverwerkers – bijvoorbeeld subverwerkers die alleen netwerkinfrastructuur leveren zonder directe toegang tot gegevens, of subverwerkers die binnen de EU opereren en beschikken over standaard certificeringen – kan een gestroomlijnd acceptatieproces worden gehanteerd. Dit proces kan bijvoorbeeld bestaan uit een automatische check of de subverwerker voldoet aan basisvoorwaarden (binnen EU, relevante certificering aanwezig, geen bekende beveiligingsincidenten), gevolgd door een automatische goedkeuring tenzij er specifieke bezwaren zijn. Voor hoogrisico subverwerkers – bijvoorbeeld subverwerkers die buiten de EU opereren, directe toegang hebben tot gevoelige persoonsgegevens of een nieuw type dienstverlening introduceren – is een uitgebreidere beoordeling nodig. Deze beoordeling omvat typisch een analyse van de beveiligingsstandaarden van de subverwerker, verificatie dat adequate contractuele waarborgen aanwezig zijn, beoordeling van de geografische locatie en eventuele datatransfers, en consultatie met de Functionaris Gegevensbescherming en de CISO. De uitkomst van deze beoordeling wordt vastgelegd in een besluitdocument waarin wordt gemotiveerd waarom de subverwerker wel of niet wordt geaccepteerd.

Het acceptatieproces moet ook rekening houden met de praktische haalbaarheid. Microsoft kan tientallen subverwerkers toevoegen per jaar, en het is niet realistisch om voor elke wijziging een uitgebreide beoordeling uit te voeren die weken in beslag neemt. Een pragmatische aanpak combineert daarom geautomatiseerde checks met handmatige beoordeling voor hoogrisico gevallen. Het PowerShell-script kan bijvoorbeeld automatisch detecteren wanneer een nieuwe subverwerker wordt toegevoegd die buiten de EU opereert, of wanneer een bestaande subverwerker wijzigt van locatie, en deze gevallen automatisch markeren voor handmatige review. Voor alle andere wijzigingen kan een gestroomlijnd proces worden gehanteerd waarbij de wijziging wordt geregistreerd, wordt gecontroleerd tegen een whitelist van geaccepteerde subverwerkerstypen of geografische regio's, en automatisch wordt goedgekeurd tenzij er specifieke bezwaren zijn. Door dit proces te documenteren en periodiek te evalueren kan de organisatie aantonen dat zij proactief omgaat met subverwerkersbeheer zonder dat dit een onbeheersbare administratieve last wordt.

Governance, rollen en documentatie

Een volwassen subverwerkersbeheerproces vereist duidelijke governance met toegewezen rollen en verantwoordelijkheden. Voor Nederlandse overheidsorganisaties zijn typisch de volgende rollen betrokken: de Functionaris Gegevensbescherming (FG) die verantwoordelijk is voor de privacy- en AVG-aspecten van subverwerkersbeheer en adviseert over acceptatie of afwijzing van subverwerkers; de CISO of informatiebeveiligingsadviseur die de beveiligingsrisico's beoordeelt en adviseert over de acceptabiliteit van subverwerkers vanuit informatiebeveiligingsperspectief; de contractmanager of procurement die de relatie met Microsoft beheert en eventuele contractuele wijzigingen coördineert; en de IT-beheerder of cloud architect die de technische implementatie en monitoring uitvoert, bijvoorbeeld door het PowerShell-script periodiek uit te voeren en rapportages te genereren. Deze rollen werken samen in een gestructureerd proces waarbij wijzigingen in het subverwerkersbestand worden gedetecteerd, beoordeeld, goedgekeurd of afgewezen, en gedocumenteerd. Het proces wordt typisch vastgelegd in een procedure of werk instructie die beschrijft wie welke stappen uitvoert, binnen welke termijnen, en hoe besluiten worden genomen en vastgelegd.

Documentatie is cruciaal voor aantoonbare compliance. De organisatie moet kunnen aantonen dat zij zicht heeft op het subverwerkersbestand, dat wijzigingen worden gemonitord en beoordeeld, en dat besluiten over acceptatie of afwijzing van subverwerkers zijn genomen op basis van een gestructureerd proces. De documentatie omvat typisch een register van alle actieve subverwerkers met informatie over naam, type dienst, geografische locatie en acceptatiedatum; een logboek van alle wijzigingen in het subverwerkersbestand met datum, type wijziging en beoordelingsresultaat; besluitdocumenten voor hoogrisico subverwerkers waarin wordt gemotiveerd waarom een subverwerker wel of niet wordt geaccepteerd; en periodieke rapportages aan bestuur, CISO en FG over de status van subverwerkersbeheer, inclusief trends, risico's en eventuele aandachtspunten. Het PowerShell-script ondersteunt dit documentatieproces door automatisch rapportages te genereren met overzichten van actieve subverwerkers, wijzigingen sinds de laatste check, en markeringen van subverwerkers die mogelijk aandacht vereisen. Deze rapportages kunnen worden opgeslagen in een gedeelde documentatieomgeving, worden gekoppeld aan het compliance- of risicomanagementsysteem, en worden gebruikt als input voor periodieke reviews en audits.

Het governance-proces moet ook voorzien in escalatiemogelijkheden voor situaties waarin een subverwerker niet kan worden geaccepteerd op basis van de gestelde criteria. Wanneer bijvoorbeeld een nieuwe subverwerker wordt toegevoegd die buiten de EU opereert zonder adequate waarborgen, of wanneer een bestaande subverwerker wijzigt naar een locatie die niet acceptabel is, moet de organisatie kunnen escaleren naar Microsoft om te bespreken of alternatieven mogelijk zijn, of om te verifiëren dat adequate contractuele waarborgen aanwezig zijn. In extreme gevallen kan het nodig zijn om te overwegen of bepaalde Microsoft 365-services nog kunnen worden gebruikt wanneer de subverwerkers niet acceptabel zijn. Het governance-proces beschrijft daarom ook hoe dergelijke escalaties worden afgehandeld, wie verantwoordelijk is voor de communicatie met Microsoft, en hoe besluiten worden genomen over het voortzetten of beëindigen van het gebruik van specifieke services. Door deze processen vooraf helder uit te werken voorkomt de organisatie dat zij wordt verrast door wijzigingen en zorgt zij dat besluitvorming plaatsvindt op basis van duidelijke criteria en procedures.

Monitoring en geautomatiseerde controles

Gebruik PowerShell-script sub-processor-management.ps1 (functie Invoke-SubProcessorMonitoring) – Haalt periodiek het actuele subverwerkersbestand van Microsoft op, vergelijkt dit met eerdere versies en genereert rapportages over wijzigingen die aandacht vereisen. Ondersteunt zowel veilige lokale debug-tests als live controles via Microsoft Graph API of web scraping van het Trust Center..

Periodieke monitoring van het subverwerkersbestand is essentieel om tijdig op de hoogte te zijn van wijzigingen en om te kunnen aantonen dat de organisatie proactief omgaat met subverwerkersbeheer. Het bijbehorende PowerShell-script `sub-processor-management.ps1` is ontworpen om dit proces te automatiseren. Het script haalt periodiek – bijvoorbeeld maandelijks of bij elke wijziging – de actuele lijst van subverwerkers op via het Microsoft Trust Center of via Microsoft Graph API indien beschikbaar, vergelijkt deze met een eerder opgeslagen versie, en genereert een gedetailleerd rapport met alle wijzigingen. Het rapport bevat informatie over nieuwe subverwerkers die zijn toegevoegd, bestaande subverwerkers die zijn verwijderd, wijzigingen in geografische locaties, wijzigingen in diensttypen, en markeringen van subverwerkers die mogelijk aandacht vereisen op basis van configuratiebeleid (bijvoorbeeld subverwerkers buiten de EU, subverwerkers zonder bekende certificeringen, of subverwerkers met een hoog risicoprofiel).

Het script ondersteunt verschillende uitvoeringsmodi om aan te sluiten bij verschillende gebruiksscenario's. In de monitoring-modus voert het script een controle uit en genereert een rapport zonder wijzigingen aan te brengen, wat geschikt is voor periodieke checks en rapportages. In de debug-modus kan het script lokaal worden getest zonder verbinding met Microsoft, waarbij voorbeeldgegevens worden gebruikt om de logica te valideren en de uitvoer te demonstreren. Het script kan worden geconfigureerd met verschillende parameters, zoals welke geografische regio's als acceptabel worden beschouwd, welke certificeringen vereist zijn, en welke subverwerkerstypen automatisch kunnen worden goedgekeurd. Deze configuratie wordt opgeslagen in een JSON-bestand dat kan worden aangepast aan de specifieke eisen van de organisatie, waardoor het script flexibel kan worden ingezet voor verschillende organisaties en use cases.

De uitvoer van het script wordt opgeslagen in gestructureerde formaten – bijvoorbeeld JSON of CSV – die kunnen worden geïmporteerd in compliance- of risicomanagementsystemen, kunnen worden gebruikt voor dashboards en rapportages, en kunnen worden gearchiveerd voor auditdoeleinden. Het script genereert ook mens-leesbare rapportages in tekst- of HTML-formaat die direct kunnen worden gedeeld met stakeholders zoals de FG, CISO of bestuur. Door het script te koppelen aan een geautomatiseerd schedulingsysteem – bijvoorbeeld via Task Scheduler op Windows of via een CI/CD-pipeline – kan de monitoring volledig worden geautomatiseerd, zodat de organisatie automatisch wordt geïnformeerd wanneer wijzigingen plaatsvinden en rapportages periodiek worden gegenereerd zonder handmatige interventie. Dit maakt subverwerkersbeheer schaalbaar en beheersbaar, zelfs wanneer het subverwerkersbestand frequent wijzigt en de organisatie beperkte resources heeft voor handmatige monitoring en beoordeling.

Compliance & Frameworks

• BIO: 12.04, 18.01 - Borg zicht op en beheer van de volledige keten van gegevensverwerking, inclusief subverwerkers, en zorg voor adequate risicobeheersing van derde partijen in de IT-keten.
• ISO 27001:2022: A.15.1, A.15.2 - Beheer van leveranciersrelaties en monitoring van leveranciersprestaties, vertaald naar specifieke eisen voor subverwerkersbeheer binnen Microsoft 365.
• NIS2: Artikel - Eisen aan supply-chain beveiliging en risicobeheer van derde partijen, inclusief subverwerkers, voor essentiële en belangrijke entiteiten.

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

Risico zonder implementatie

Management Samenvatting

Richt een gestructureerd proces in voor het monitoren, beoordelen en documenteren van subverwerkers binnen Microsoft 365. Gebruik het bijbehorende PowerShell-script voor geautomatiseerde monitoring en rapportage, en zorg voor duidelijke governance met toegewezen rollen en verantwoordelijkheden. Dit artikel en script geven Nederlandse overheidsorganisaties een praktisch kader om AVG-compliant om te gaan met de complexiteit van moderne clouddiensten.

• Implementatietijd: 70 uur
• FTE required: 0.2 FTE