Informatiebeveiliging · Domein 9

DM.04 Inrichting van opslag en retentie

Norm DM.04 gaat over gegevens op waarde en risico indelen en gedurende opslag, gebruik, uitwisseling, archivering en verwijdering passend beschermen. Voor een schoolbestuur betekent dit dat beleid, dagelijkse uitvoering en controle op elkaar moeten aansluiten. Niveau 3 is pas aannemelijk als de werkwijze bestuurlijk is vastgesteld, aantoonbaar wordt uitgevoerd en afwijkingen zichtbaar worden opgevolgd.

Praktische vertaling

Wat betekent DM.04 in de praktijk?

Data krijgt passende bescherming wanneer eigenaarschap, classificatie, opslag, uitwisseling en verwijdering samenhangen.

Voor inrichting van opslag en retentie betekent dit dat het bestuur niet alleen een wens of document vastlegt, maar kan aanwijzen waar de werkwijze is ingericht, wie beslissingen neemt en hoe de werking wordt gecontroleerd. De context verschilt per schoolbestuur; de bewijslogica blijft hetzelfde: besluit, uitvoering en controle moeten herleidbaar bij elkaar horen.

Aantoonbaarheid

Welk bewijs maakt deze norm sterk?

Een auditor of bestuurder moet zonder mondelinge toelichting kunnen volgen wat is afgesproken, wat werkelijk gebeurt en hoe afwijkingen worden behandeld.

Bewijsvoorbeeld 1

Een classificatieschema met gekoppelde behandelingsregels.

Bewijsvoorbeeld 2

Een gegevens- en opslagoverzicht met eigenaar, locatie en bewaartermijn.

Bewijsvoorbeeld 3

Technische en operationele controles op uitwisseling, retentie en verwijdering.

Route naar niveau 3

Van afspraak naar aantoonbare uitvoering

Gebruik deze volgorde als praktische werklijn. De officiële criteria per volwassenheidsniveau blijven leidend.

Wijs gegevenseigenaren aan en inventariseer gevoelige gegevensstromen

Wijs gegevenseigenaren aan en inventariseer gevoelige gegevensstromen.

Classificeer op vertrouwelijkheid, integriteit en beschikbaarheid

Classificeer op vertrouwelijkheid, integriteit en beschikbaarheid.

Koppel per klasse eisen voor toegang, opslag, delen en verwijderen

Koppel per klasse eisen voor toegang, opslag, delen en verwijderen.

Controleer periodiek uitzonderingen, bewaartermijnen en feitelijke inrichting

Controleer periodiek uitzonderingen, bewaartermijnen en feitelijke inrichting.

Bestuurlijke mini-check

Vier vragen om de kwaliteit te toetsen

Met deze vragen toets je niet alleen of er documentatie bestaat, maar vooral of de norm bestuurbaar en controleerbaar is ingericht. Een positief antwoord is geen formeel oordeel over het volwassenheidsniveau; daarvoor moet ieder officieel criterium bij Kennisnet afzonderlijk tegen actueel bewijs worden beoordeeld.

Is expliciet belegd dat gegevens op waarde en risico indelen en gedurende opslag, gebruik, uitwisseling, archivering en verwijdering passend beschermen, inclusief mandaat en vervanging?
Kan gegevenseigenaar, privacy officer en it-beheer zonder aanvullende toelichting zowel het besluit als recente uitvoering laten zien?
Zijn een classificatieschema met gekoppelde behandelingsregels. en een gegevens- en opslagoverzicht met eigenaar, locatie en bewaartermijn. actueel, onderling consistent en herleidbaar?
Is de werking gecontroleerd volgens het ritme ‘jaarlijks en bij nieuwe gegevensstromen’ en zijn afwijkingen aantoonbaar opgevolgd?

Kwaliteitscontrole

Veelgemaakte fouten

Alle gegevens dezelfde classificatie geven.
Classificatie niet laten doorwerken in technische instellingen.
Verwijdering veronderstellen zonder controleerbaar bewijs.

In Edufort

GRC & compliance: van norm naar opvolging

Koppel normstatus, bewijs, eigenaar, taken en rapportage in één aantoonbare verbetercyclus. Zo blijven normstatus, eigenaar, bewijs en verbeteractie in dezelfde bestuurlijke lijn zichtbaar.

Bekijk GRC & compliance →

Veelgestelde vragen

Vragen over DM.04

Wat betekent norm DM.04 voor een schoolbestuur?

Deze norm vraagt om gegevens op waarde en risico indelen en gedurende opslag, gebruik, uitwisseling, archivering en verwijdering passend beschermen. De precieze normtekst en volwassenheidscriteria staan bij Kennisnet; Edufort vertaalt dit naar uitvoering en bewijs.

Welk bewijs helpt bij DM.04?

Gebruik minimaal een vastgesteld kader, operationeel bewijs en een periodieke beoordeling. Op deze pagina staan drie voorbeelden die passen bij inrichting van opslag en retentie.

Wie is eigenaar van DM.04?

Een passende inrichting is: Gegevenseigenaar, privacy officer en IT-beheer. Het schoolbestuur blijft eindverantwoordelijk voor besluitvorming, middelen en toezicht.