Regelgevingskaders

We hanteren een uitgebreid compliance programma dat meerdere regelgevingskaders, industriestandaarden en best practices omvat die relevant zijn voor de verzekeringssector in de EU. Onze aanpak zorgt voor naleving van gegevensbescherming (AVG), informatiebeveiliging (ISO 27001), operationele veerkracht (DORA) en AI-regelgeving (EU AI Act).

Belangrijkste Regelgevingskaders

AVG (Algemene Verordening Gegevensbescherming)

Status: ✅ Volledig compliant sinds 2018

Onze Implementatie

Governance

• Functionaris Gegevensbescherming (FG) benoemd

• Register van Verwerkingsactiviteiten (ROPA) volledig

• Data Protection Impact Assessments (DPIA's) voor hoogrisico verwerking

• Privacy by Design & Default in alle systemen

Rechtsbasis

• Contractuele noodzaak (primair)

• Gerechtvaardigd belang (security, fraud prevention)

• Wettelijke verplichting (waar vereist)

• Toestemming (marketing, optionele features)

Rechten van Betrokkenen

Voor rechten van betrokkenen, zie Privacy & Gegevensverwerking

Beveiliging

Zie Gegevensbeveiliging voor technische maatregelen

Data Locatie

• Alle data binnen EU (Azure West-Europe)

• Backup binnen EU (Azure North-Europe)

• Geen transfers buiten EU/EEA

Toezichthouder: Autoriteit Persoonsgegevens (NL)
Contact FG: dpo@onesurance.ai

DORA (Digital Operational Resilience Act)

Status: ✅ Compliant (effectief januari 2025)

Als ICT-dienstverlener voor verzekeraars vallen we onder DORA regelgeving.

Vijf Pijlers:

1. ICT Risicobeheer
Risk management framework, asset management, patch management (<48h critical)

2. Incident Management & Reporting
4 severity levels, 24/7 monitoring, <15 min response P1, notification within 24h

3. Resilience Testing
Annual testing: vulnerability assessments, penetration testing, DR simulations, TLPT (2026)

4. Third-Party Risk Management
Vendor due diligence, SLAs, ongoing monitoring, exit strategies

5. Information Sharing
Threat intelligence, sector participation, vulnerability sharing

Voor meer informatie, zie ook: Infrastructuur, Incident Response, BC/DR, Leveranciers

ISO 27001:2022 (Informatiebeveiliging)

Status: 🔄 Certificering Q1 2026

Information Security Management System (ISMS)

Scope: Alle 114 controls geïmplementeerd

Kerncomponenten

• Leadership commitment en security policy

• Risk assessment ISO 27005 methodologie

• Security awareness training alle medewerkers

• Continuous security monitoring

• Quarterly ISMS audits

• Management reviews

14 Control Categorieën:

• ✅ Organizational controls (37)

• ✅ People controls (8)

• ✅ Physical controls (14)

• ✅ Technological controls (34)

• ✅ Alle 14 categorieën compleet

Certificering Timeline:

• Q4 2024: Internal audit en gap analysis

• Q1 2025: External pre-assessment

• Q1 2026: Certification audit

EU AI Act

Status: ✅ Monitoring en voorbereiding (implementatie 2026)

Onze AI Systemen: Limited Risk / Minimal Risk

Compliance Maatregelen

• Risk assessment alle systemen

• Transparantie: Clear AI disclosure

• Human oversight: Human-in-the-loop design

• Quality management: AI/ML model lifecycle

• Bias monitoring en performance testing

• Post-deployment monitoring

• AI-specific incident procedures

Timeline

• December 2024: Risk classification compleet

• 2025: Technical documentation

• February 2025: Transparency compliance

• August 2026: Full compliance limited risk requirements

Security Frameworks & Best Practices

• NIST Cybersecurity Framework - Status: ✅ Geïmplementeerd (Maturity Tier 3)

• CIS Controls v8 - Status: ✅ 18 Critical Security Controls geïmplementeerd

• OWASP Top 10 - Status: ✅ Mitigaties geïmplementeerd

Contact

Compliance vragen
dpo@onesurance.ai

Compliance Status Overzicht