Vragenlijstgenerator voor leveranciers: beveiliging en AVG voor universiteiten en hogescholen
Beschrijf de tool die u wilt aanschaffen in zeven korte vragen en krijg een vragenlijst voor de leverancier die alleen vraagt wat voor deze tool telt. Bij elke vraag staan de reden, de wettelijke of normatieve grondslag en het bewijs dat u opvraagt. Kopieer de lijst, download hem als CSV of Markdown, of print hem.
Ook beschikbaar in: English · Svenska · Norsk · Suomi · Dansk · Français · Español · Português
In het kort
- De generator hieronder maakt van zeven intakevragen een vragenlijst voor de leverancier, gekozen uit een bank van 90 vragen: ongeveer 20 vragen voor een eenvoudige tool, 35 tot 50 voor een gangbare dienst met studentgegevens of AI, en 70 of meer voor een platform met een hoog risico.
- De vragen zijn verdeeld over tien domeinen: onderneming en contract, AVG en verwerkersovereenkomst, subverwerkers, doorgifte, beveiliging, AI en de AI-verordening, toegankelijkheid, gegevenslevenscyclus, koppelingen, en toeleveringsketen en NIS2.
- Bij elke vraag staan de reden, de wettelijke of normatieve grondslag (bijvoorbeeld art. 28 lid 3 sub d AVG) en het bewijs dat u opvraagt.
- Een risiconiveau (licht, standaard of volledig) bepaalt de diepgang: een tool met een laag risico krijgt een korte vragenlijst, een tool met een hoog risico de volledige set.
- Exporteer naar CSV voor Excel, naar Markdown of print. Alles draait in uw browser.
Draait volledig in uw browser. Niets van wat u typt of aanvinkt wordt opgeslagen of verzonden.
Antwoorden verzamelen is het makkelijke deel. In Validemic krijgt de leverancier één link, beantwoordt de vragen en levert bewijs aan, en u krijgt een rapport waarin elke bevinding met een bron is getoetst aan de AVG, de AI-verordening en uw eigen beleid.
Inhoud
- Wat is een beveiligingsvragenlijst voor leveranciers?
- Waarom een vragenlijst op maat?
- Hoe de generator vragen kiest
- Is er een Europees alternatief voor de HECVAT?
- Hoe beoordeelt u de antwoorden?
- Waarschuwingssignalen in antwoorden van leveranciers
- Hoe universiteiten leveranciers beoordelen
- Bronnen
- Over deze pagina
Wat is een beveiligingsvragenlijst voor leveranciers?
Een beveiligingsvragenlijst voor leveranciers is een gestructureerde set vragen die een instelling naar een leverancier stuurt voordat zij een dienst aanschaft of verlengt. De lijst vraagt hoe de leverancier gegevens beschermt, aan welke wetten hij voldoet en welke documenten dat aantonen. Goed gebruikt is de vragenlijst een index naar bewijs: elk antwoord verwijst naar een contractbepaling, certificaat, rapport of lijst die u kunt controleren.
Bij een Europese instelling bedient de vragenlijst meerdere mensen tegelijk. De functionaris gegevensbescherming (FG) heeft de verwerkersvoorwaarden, subverwerkers en doorgifte onder de AVG nodig. Informatiebeveiliging heeft certificaten, versleuteling, toegangsbeheer en incidentafhandeling nodig. Inkoop heeft contract-, aansprakelijkheids- en exitvoorwaarden nodig, en steeds vaker moet iemand AI-functies toetsen aan de AI-verordening en toegankelijkheid aan EN 301 549. Onze gids over leveranciersbeoordeling voor universiteiten (Engels) beschrijft het hele proces; de vragenlijst is één stap daarin.
Waarom een vragenlijst op maat?
Omdat lange, algemene vragenlijsten slechte antwoorden opleveren. Leveranciers die aan veel instellingen verkopen, krijgen honderden vragenlijsten per jaar. Komt er een spreadsheet van 300 regels binnen voor een eenvoudige tool zonder persoonsgegevens, dan worden de antwoorden vaak overgenomen uit een eerder antwoord, en raken de vragen die ertoe doen verloren tussen de vragen die dat niet doen.
Maatwerk helpt beide kanten:
- De leverancier beantwoordt minder vragen, en elke vraag is duidelijk van toepassing, dus de antwoorden worden specifieker.
- De beoordelaar leest minder antwoorden en kan de tijd besteden aan de documenten erachter.
- Het besluit is beter te verdedigen, omdat de diepgang van de beoordeling past bij het risico.
Zo werken sectorvragenlijsten nu ook: op basis van risico. Volgens EDUCAUSE begint HECVAT 4 met afbakeningsvragen die bepalen welke vragen van toepassing zijn (zie onze HECVAT-gids voor Europese universiteiten, Engels). Verschillende universiteiten schalen hun proces naar waarde of gegevens, zoals de voorbeelden hieronder laten zien.
Hoe de generator vragen kiest
De generator geeft de tool een score op basis van uw intakeantwoorden. Persoonsgegevens, bijzondere persoonsgegevens, gegevens over minderjarigen, generatieve AI, onbekende hosting of hosting buiten de EER, brede koppelingen, NIS2 en een hoge contractwaarde verhogen de score elk. De score bepaalt een niveau, en elke vraag in de bank heeft een minimumniveau en, waar relevant, een trigger.
| Niveau | Gangbare tool | Wat het omvat |
|---|---|---|
| Licht | Een tool met een lage waarde en weinig of geen persoonsgegevens, gehost in de EER, zonder AI | Kernvragen over contract, beveiliging en toegankelijkheid, plus de kernvragen over de AVG als er persoonsgegevens zijn |
| Standaard | Een dienst met gegevens van medewerkers of studenten, SSO of een koppeling met de leeromgeving, of AI-functies | Voegt de overige punten van artikel 28, lid 3, toe, plus toegangsbeheer, logging, kwetsbaarhedenbeheer, incidentrespons en exit |
| Volledig | Bijzondere persoonsgegevens, minderjarigen, generatieve AI op studentgegevens, onbekende hosting of een aanbesteding met een hoge waarde | Voegt doorgiftetoetsingen, veilige ontwikkeling, personeelsbeveiliging, AI-governance en vragen over de toeleveringsketen toe |
Triggers werken los van het niveau. Vinkt u LTI aan, dan krijgt u de vragen over LTI 1.3 en roostergegevens. Gebruikt de tool generatieve AI, dan krijgt u de vragen over training, modelaanbieder, bewaring van prompts en de transparantieplichten van artikel 50. Vindt hosting buiten de EER plaats of is die niet bekend, dan schuiven de doorgiftevragen op naar het lichte niveau. Bijzondere persoonsgegevens en gegevens over minderjarigen leveren altijd een volledige vragenlijst op.
Het resultaat is een vertrekpunt. Verwijder vragen die niet passen en voeg uw eigen institutionele eisen toe, zoals nationale regels voor informatieclassificatie of voorwaarden uit bibliotheeklicenties.
Is er een Europees alternatief voor de HECVAT?
De HECVAT is ook in Europa nog bruikbaar, maar vervangt de EU-specifieke vragen niet. De HECVAT, beheerd door EDUCAUSE met Internet2 en REN-ISAC, is een brede vragenlijst over beveiliging, privacy en toegankelijkheid die veel leveranciers in het hoger onderwijs al hebben ingevuld. Europees recht vraagt om specifieke documenten: een verwerkersovereenkomst op grond van artikel 28, een doorgifte-instrument voor elke ontvanger buiten de EER, een classificatie onder de AI-verordening en een conformiteitsrapport volgens EN 301 549.
| Onderwerp | HECVAT 4 | Deze generator |
|---|---|---|
| Reikwijdte | Eén bestand met afbakeningsvragen; een kortere "lite"-weergave met kritieke vragen | Een deelverzameling op maat uit een bank van 90 vragen, gekozen op basis van zeven intakeantwoorden |
| Juridische basis | Geschreven voor het hoger onderwijs in het algemeen, met Amerikaanse oorsprong | AVG, AI-verordening, NIS2, Dataverordening, richtlijn webtoegankelijkheid, Cyberweerbaarheidsverordening |
| Bewijs | Antwoorden in een spreadsheet, gescoord door de instelling | Bij elke vraag staat welk bewijs u opvraagt |
| Licentie | Gratis voor hogescholen, universiteiten en hun leveranciers; eigendom van EDUCAUSE | Gratis; zelf geschreven, niet afgeleid van de HECVAT |
Validemics analyse
Stuurt een leverancier een recente HECVAT 4, accepteer die dan voor de algemene beveiligingsvragen en stuur alleen de EU-specifieke domeinen uit deze generator: AVG en verwerkersovereenkomst, subverwerkers, doorgifte, AI en toegankelijkheid. Zo vraagt u de leverancier niet twee keer hetzelfde. Voor een Word-versie met 77 vragen in 11 onderdelen, zie de Europese vragenlijst voor leveranciers op onze HECVAT-pagina (Engels).
Beoordeelt u op dit moment een leverancier? Validemic toetst de documenten van de leverancier aan de AVG en de AI-verordening, met een bron bij elke bevinding. Probeer de demo-omgeving
Hoe beoordeelt u de antwoorden?
Beoordeel het bewijs, niet de antwoordtekst. Een antwoord op de vragenlijst is een verklaring van de leverancier; het besluit hoort te rusten op de documenten waarnaar het verwijst. Lees elk antwoord naast het bijbehorende bewijs, noteer lacunes en stuur één ronde vervolgvragen voordat u beslist.
- Controleer of de antwoorden gaan over het abonnement dat u koopt. Privacyvoorwaarden, standaardinstellingen voor AI-training en datalocatie verschillen vaak tussen gratis, onderwijs- en enterprise-abonnementen.
- Lees de verwerkersovereenkomst naast artikel 28, lid 3. Elk van de punten a tot en met h moet in het contract staan, niet alleen in de vragenlijst. Onze verwerkersovereenkomst-checker legt een concept punt voor punt naast de wet.
- Controleer de lijst met subverwerkers en de gegevensstromen. Volgens de EDPB moeten verwerkingsverantwoordelijken de identiteit van alle verwerkers en subverwerkers "readily available at all times" (te allen tijde direct beschikbaar) hebben (advies 22/2024). Vergelijk de lijst met de antwoorden over datalocaties en toegang op afstand, en gebruik daarna de tool voor doorgiftemechanismen voor elke ontvanger buiten de EER.
- Controleer certificaten op reikwijdte en datum. Een ISO/IEC 27001-certificaat of SOC 2-rapport telt alleen als het het product en de hosting dekt die u koopt, en actueel is.
- Classificeer AI-functies. Gebruik de AI-verordening-check voor het onderwijs voor elke functie die studenten beoordeelt, toelaat, plaatst of surveilleert.
- Bepaal of een DPIA nodig is. Doe de DPIA-voortoets met wat u hebt geleerd.
- Leg voorwaarden vast. Keur waar nodig goed onder voorwaarden, bijvoorbeeld "alleen via SSO" of "AI-functies uitgeschakeld", en stel een herbeoordelingsdatum vast.
Waarschuwingssignalen in antwoorden van leveranciers
Validemics analyse
Geen van deze antwoorden is automatisch een reden voor afwijzing. Elk ervan vraagt om een vervolgvraag vóór goedkeuring.
| Antwoordpatroon | Waarom het ertoe doet | Vervolgvraag |
|---|---|---|
| "We zijn volledig AVG-compliant" zonder document | Naleving hangt af van contract, configuratie en gebruik | Vraag om de bepaling in de verwerkersovereenkomst en de rolverklaring |
| Gegevens opgeslagen in de EU, toegangslocaties niet vermeld | De EDPB beschouwt toegang op afstand vanuit een derde land als doorgifte | Vraag vanaf welke locaties support- en engineeringmedewerkers bij gegevens kunnen |
| Lijst met subverwerkers "op aanvraag beschikbaar" | U hebt de identiteiten nu nodig, en later bericht over wijzigingen | Vraag om de actuele lijst en de manier waarop wijzigingen worden gemeld |
| Klantgegevens "kunnen worden gebruikt om onze diensten te verbeteren" | Dat kan AI-training omvatten en maakt de leverancier voor dat gebruik verwerkingsverantwoordelijke | Vraag om een contractuele toezegging voor uw abonnement |
| "We melden datalekken binnen 72 uur" | 72 uur is de termijn van de verwerkingsverantwoordelijke; de verwerker moet zonder onredelijke vertraging melden | Vraag om een kortere toezegging, zoals 24 of 48 uur |
| Certificaat zonder reikwijdte, of een verlopen SOC 2-periode | Het dekt mogelijk niet het product, de hosting of de huidige situatie | Vraag om de reikwijdteverklaring en het laatste rapport |
| Toegankelijkheid: "WCAG-conform" zonder rapport | Een claim zonder testmethode en datum is niet te controleren | Vraag om een conformiteitsrapport volgens EN 301 549 V3.2.1 |
| Browserextensie vraagt om alle websites te mogen lezen | De extensie kan e-mail, de leeromgeving en studentdossiers zien | Vraag of de rechten via beheerdersbeleid kunnen worden beperkt |
Niet-goedgekeurde tools ontlopen deze beoordeling vaak helemaal. Onze gids over schaduw-IT en AI-tools in het hoger onderwijs laat zien hoe u ze in het proces krijgt.
Hoe universiteiten leveranciers beoordelen
Gepubliceerde procedures van universiteiten laten hetzelfde patroon zien: de beoordeling wordt in gang gezet door toegang tot gegevens of systemen, de diepgang hangt af van risico of waarde, en ze begint ruim vóór het contract.
- University of Aberdeen (VK). De richtlijn voor medewerkers van oktober 2020 kiest de route op basis van de contractwaarde: "If the total value of your contract is under £10,000, complete the Standard Assessment." (Is de totale waarde van uw contract lager dan £ 10.000, vul dan de standaardbeoordeling in.) Daarboven gebruikt de uitgebreide beoordeling de Cyber Security Procurement Support Tool van de Schotse overheid. De richtlijn adviseert ongeveer vier weken te rekenen.
- University of Edinburgh (VK). De richtlijn over clouddiensten vraagt medewerkers uitonderhandelde overeenkomsten, opslaglocaties en versleuteling te controleren: "Check that any cloud service provider handling data on your behalf will encrypt it, both at rest and in transit." (Controleer of elke cloudaanbieder die namens u gegevens verwerkt die versleutelt, zowel in rust als tijdens transport.)
- Luleå tekniska universitet (Zweden). De richtlijnen voor informatiebeveiliging bij inkoop, gebaseerd op richtlijnen van het Zweedse agentschap voor civiele noodplanning (MSB), eisen dat eisen gedetailleerd en toetsbaar zijn, met vermelding van "which requirements are mandatory ("must") and which are non-mandatory ("should")" (welke eisen verplicht zijn en welke niet).
- Montclair State University (VS). Zij eist een beveiligingsbeoordeling voor cloud- en SaaS-diensten vóór aankoop, verlenging of pilot, accepteert HECVAT 3.x of nieuwer en stelt: "Generally, vendor security reviews are valid for two years." (In het algemeen zijn beveiligingsbeoordelingen van leveranciers twee jaar geldig.)
De generator volgt dezelfde logica: de intake bepaalt de diepgang, en de uitkomst scheidt wat u vraagt van wat u controleert.
Bronnen
Alle bronnen geraadpleegd op 9 oktober 2026. EU-wetteksten zijn gelezen in de versies van het Publicatieblad van het Publicatiebureau en gelinkt op EUR-Lex.
- Verordening (EU) 2016/679 (AVG), in het bijzonder de artikelen 3, 5, 8, 9, 22, 25, 27, 28, 30, 32 tot en met 36, 44 tot en met 49 en 89: eur-lex.europa.eu/eli/reg/2016/679/oj/nld
- Verordening (EU) 2024/1689 (AI-verordening), artikelen 3, 4, 5, 6, 13 tot en met 15, 25 tot en met 27, 50 en 53 en bijlage III: eur-lex.europa.eu/eli/reg/2024/1689/oj/nld
- Verordening (EU) 2026/1744 (digitale omnibus voor AI), tot wijziging van artikel 4, de overgang voor artikel 50 en de data in artikel 113: eur-lex.europa.eu/eli/reg/2026/1744/oj/nld
- Richtlijn (EU) 2022/2555 (NIS2), artikel 2, lid 5, artikelen 21 en 23 en bijlagen I en II: eur-lex.europa.eu/eli/dir/2022/2555/oj/nld
- Verordening (EU) 2023/2854 (Dataverordening), artikelen 25 en 29: eur-lex.europa.eu/eli/reg/2023/2854/oj/nld
- Verordening (EU) 2024/2847 (Cyberweerbaarheidsverordening), artikelen 14 en 71: eur-lex.europa.eu/eli/reg/2024/2847/oj/nld
- Richtlijn (EU) 2016/2102 (richtlijn webtoegankelijkheid), artikel 7: eur-lex.europa.eu/eli/dir/2016/2102/oj/nld
- Uitvoeringsbesluit (EU) 2021/1339 van de Commissie (bekendmaking van EN 301 549 V3.2.1): eur-lex.europa.eu/eli/dec_impl/2021/1339/oj/nld
- Richtlijn 2014/24/EU (overheidsopdrachten), artikel 4, artikel 42, lid 1, en artikel 58, lid 4: eur-lex.europa.eu/eli/dir/2014/24/oj/nld
- Uitvoeringsbesluit (EU) 2018/1523 van de Commissie (modeltoegankelijkheidsverklaring): eur-lex.europa.eu/eli/dec_impl/2018/1523/oj/nld
- Richtlijn 2002/58/EG (e-privacyrichtlijn), artikel 5, lid 3, zoals vervangen door Richtlijn 2009/136/EG: eur-lex.europa.eu/eli/dir/2009/136/oj/nld
- Uitvoeringsbesluit (EU) 2021/914 van de Commissie (standaardcontractbepalingen), clausules 14 en 15: eur-lex.europa.eu/eli/dec_impl/2021/914/oj/nld
- Uitvoeringsbesluit (EU) 2023/1795 van de Commissie (EU-VS Data Privacy Framework): eur-lex.europa.eu/eli/dec_impl/2023/1795/oj/nld
- EDPB, Opinion 22/2024 on certain obligations following from the reliance on processor(s) and sub-processor(s), vastgesteld op 9 oktober 2024: edpb.europa.eu, advies 22/2024
- EDPB, Richtsnoeren 07/2020 over de begrippen verwerkingsverantwoordelijke en verwerker in de AVG: edpb.europa.eu, richtsnoeren 07/2020
- EDPB, Aanbevelingen 01/2020 over aanvullende maatregelen bij doorgifte, versie 2.0, randnummer 13 (toegang op afstand is doorgifte): edpb.europa.eu, aanbevelingen 01/2020
- ENISA, Good Practices for Supply Chain Cybersecurity (13 juni 2023): enisa.europa.eu
- EDUCAUSE, Higher Education Community Vendor Assessment Toolkit (HECVAT): educause.edu (details zoals samengevat in onze HECVAT-gids, gecontroleerd op 7 oktober 2026)
- ISO/IEC 27001:2022, Information security management systems: iso.org/standard/27001; ISO/IEC 42001:2023, AI management systems: iso.org/standard/42001
- ETSI EN 301 549 V3.2.1 (2021-03), Accessibility requirements for ICT products and services: etsi.org (pdf)
- 1EdTech, Learning Tools Interoperability (LTI 1.3 en LTI Advantage): 1edtech.org/standards/lti
- University of Aberdeen, "How to undertake a supplier assessment" (21 oktober 2020): abdn.ac.uk
- University of Edinburgh, Information Security, "Using cloud services": infosec.ed.ac.uk
- Luleå tekniska universitet, "Guidelines for information security in procurement and purchasing" (LTU-2486-2021, 4 december 2023): ltu.se (pdf)
- Montclair State University, Information Security, "Vendor Assessment (HECVAT)": inside.montclair.edu
Over deze pagina
We hebben de vragenbank geschreven op basis van de wetteksten en normen hierboven, gelezen op 9 oktober 2026, en op basis van gepubliceerde procedures van universiteiten. De vragen zijn van ons en niet overgenomen uit de HECVAT of een andere vragenlijst onder licentie. De grondslagen verwijzen naar de bepaling waarop een vraag steunt; waar een bepaling alleen in sommige gevallen geldt (bijvoorbeeld AI-systemen met een hoog risico, of dataverwerkingsdiensten onder de Dataverordening), staat dat bij de vraag. Citaten uit Engelstalige bronnen staan in het Engels, met onze eigen vertaling tussen haakjes. De wijzigingen van de AVG die in het voorstel voor de digitale omnibus van de Commissie in behandeling zijn, zijn geen wet en zijn niet verwerkt. Deze tool is geen juridisch advies, en de instelling blijft verantwoordelijk voor haar beoordeling. Ziet u een fout of een verwijzing die is veranderd? Neem contact met ons op, dan corrigeren we het.
Veelgestelde vragen
Wat is een beveiligingsvragenlijst voor leveranciers?
Een gestructureerde lijst met vragen die een afnemer vóór de aankoop naar een leverancier stuurt, om te weten hoe de leverancier gegevens beschermt en aan wettelijke plichten voldoet. Goede vragenlijsten vragen om bewijs, zoals certificaten, contracten en lijsten met subverwerkers, en niet alleen om antwoorden met ja of nee.
Hoeveel vragen moet een vragenlijst voor leveranciers bevatten?
Zoveel als het risico vraagt, en niet meer. Een eenvoudige tool met weinig persoonsgegevens kan met ongeveer 20 vragen toe, een gangbare dienst met studentgegevens of AI-functies met 35 tot 50, en een platform met een hoog risico, bijzondere persoonsgegevens of minderjarigen met 70 of meer. Elke keer alles vragen vertraagt beoordelingen en verlaagt de kwaliteit van de antwoorden.
Is er een Europees alternatief voor de HECVAT?
De HECVAT is een brede vragenlijst over beveiliging en privacy van EDUCAUSE en blijft bruikbaar bewijs. Europese instellingen voegen meestal vragen toe over verwerkersvoorwaarden op grond van artikel 28 AVG, doorgifte onder hoofdstuk V, de AI-verordening en toegankelijkheid volgens EN 301 549, omdat die wetten om specifieke documenten vragen en niet om algemene antwoorden.
Wat hoort er in een AVG-vragenlijst voor leveranciers?
Ten minste: de rol van de leverancier per doel, een verwerkersovereenkomst die artikel 28, lid 3, punten a tot en met h dekt, de lijst met subverwerkers en het wijzigingsproces, datalocaties en toegang op afstand, het doorgifte-instrument voor elke ontvanger buiten de EER, beveiligingsmaatregelen, de termijn voor het melden van datalekken en het verwijderen of teruggeven van gegevens aan het einde.
Hebben AI-tools extra vragen voor de leverancier nodig?
Ja. Vraag of uw invoer en output worden gebruikt om modellen te trainen, welke modelaanbieders de gegevens verwerken en waar, hoe lang prompts worden bewaard, of een functie een toepassing met een hoog risico is onder bijlage III, punt 3, van de AI-verordening, en hoe de leverancier voldoet aan de transparantieplichten van artikel 50.
Is de vragenlijstgenerator gratis en privé?
Ja. De tool draait volledig in uw browser. Niets van wat u typt of aanvinkt wordt opgeslagen of naar Validemic of iemand anders verzonden, en u kunt het resultaat als CSV of Markdown downloaden en vrij bewerken.