Hoe Europese accountantskantoren klantgegevens kunnen beschermen tijdens grensoverschrijdende opdrachten

Wanneer Europese accountantskantoren grensoverschrijdende controles uitvoeren, stroomt elk financieel document door infrastructuur die óf voldoet aan de verplichtingen van beroepsgeheim óf strafrechtelijke aansprakelijkheid creëert. In Duitsland leidt §203 StGB tot gevangenisstraffen. In Frankrijk leidt het secret professionnel tot gevangenisstraf en boetes van €15.000. In Zwitserland strekt Artikel 321 zich uit tot buiten de landsgrenzen voor internationale cliënten. Dit zijn geen abstracte juridische risico’s—ze zijn direct verbonden aan de technologische keuzes die kantoren maken voor het opslaan en verzenden van klantgegevens.

Het structurele probleem is dat beroepsgeheim-regelgeving is ontworpen vóórdat cloud computing buitenlandse overheidsinstanties toegang gaf. Wanneer een Duits accountantskantoor klantdossiers opslaat op een platform met een Amerikaans hoofdkantoor, kunnen Amerikaanse autoriteiten die aanbieder dwingen om gegevens te overhandigen zonder tussenkomst van een Europese rechter, zonder het kantoor te informeren en zonder iets te hoeven wijzigen in de opdrachtbrief van het kantoor. Deze gids onderzoekt hoe een compliant architectuur eruitziet voor grensoverschrijdende accountantsopdrachten, en waarom klantgestuurde encryptie de technische basis vormt die tegelijkertijd voldoet aan beroepsgeheim, GDPR en DORA.

Samenvatting

Belangrijkste idee: Europese accountantskantoren werken onder strafrechtelijke sancties voor ongeoorloofde openbaarmaking van klantgegevens, maar de meeste slaan financiële klantdata op platforms met een Amerikaans hoofdkantoor die buitenlandse overheden toegang geven buiten het Europese juridische kader—en anders dan advocaten kunnen accountants niet vertrouwen op het juridische privilege om dat gat te dichten. Het Europees Hof van Justitie heeft geoordeeld dat accountants zwakkere bescherming genieten dan advocaten, waardoor soevereine architectuur het enige betrouwbare mechanisme is om aan de verplichtingen van beroepsgeheim te voldoen.

Waarom dit relevant is: Drie van de Big Four werden getroffen door het MOVEit-datalek in 2023, de Britse Financial Reporting Council rapporteerde 127 handhavingszaken in 2024 waarbij technologische tekortkomingen een groeiende categorie van beroepsfouten vormen, en DORA legt technologische vereisten nu direct op aan accountants via hun financiële opdrachtgevers. Kantoren die geen soevereine architectuur kunnen aantonen, lopen zowel een groter risico op handhaving als systematische uitsluiting van gereguleerde sectoren.

5 Belangrijkste Leerpunten

1. Beroepsgeheim brengt strafrechtelijke sancties met zich mee in heel Europa, en technologische keuzes beïnvloeden direct de naleving. Duitsland’s §203 StGB, Frankrijk’s secret professionnel, Zwitserland’s Artikel 321, Nederland’s Artikel 272 en de Britse common law-verplichtingen gelden allemaal ook voor cloudplatforms. Dit zijn geen IT-beslissingen, maar vragen van professionele verantwoordelijkheid die invloed hebben op licenties en vervolgingsrisico.
2. Accountants missen de privilegebescherming van advocaten en hebben daarom een sterkere soevereine architectuur nodig. Het Europees Hof van Justitie heeft geoordeeld dat accountants minder bescherming genieten dan advocaten. Terwijl advocaten CCBE-cloudrichtlijnen en verdragsbescherming vanaf 2025 krijgen, moeten accountants vertrouwen op technische maatregelen in plaats van juridisch privilege om gedwongen openbaarmaking te voorkomen—waardoor architectuur de primaire verdediging wordt in plaats van een aanvulling op juridische bescherming.
3. DORA-verplichtingen vloeien van financiële instellingen naar hun accountantsdienstverleners. Artikel 30 vereist contracten over datasoevereiniteit, encryptiebeheer en exitstrategieën. Wanneer banken accountants inschakelen, gelden deze technologische verplichtingen ook voor de platforms die accountants gebruiken voor klantdata—waardoor de architectuur van de leverancier een direct reguleringspunt wordt voor accountants die klanten in de financiële sector bedienen.
4. Grensoverschrijdende opdrachten veroorzaken nalevingsgaten wanneer klantdata rechtsgebieden kruisen. Een Duits kantoor dat een Franse dochter van een Zwitserse moeder controleert, verwerkt data onder drie geheimhoudingsregimes, terwijl de CLOUD Act Amerikaanse toegang mogelijk maakt ongeacht de opslaglocatie. Standaard contractuele clausules kunnen geen soevereine juridische autoriteit overrulen—alleen technische architectuur kan dat.
5. Grote accountantskantoren worden geconfronteerd met hardnekkige bedreigingen ondanks aanzienlijke beveiligingsinvesteringen. Drie van de Big Four werden getroffen door MOVEit. Het datalek bij Sax LLP bleef 16 maanden onopgemerkt. Deloitte betaalde $5 miljoen na vier maanden ongeautoriseerde toegang. Beroepsaansprakelijkheidsverzekeraars onderzoeken nu de technologische architectuur en eisen soevereine inzetopties, waarbij sommige polissen uitsluitingen bevatten voor datalekken waarbij de aanbieder de encryptiesleutels beheert.

Beroepsgeheim: Verplichtingen die Europese accountants niet kunnen uitbesteden

Beroepsgeheim voor accountants brengt strafrechtelijke sancties met zich mee in heel Europa, maar deze kaders dateren van vóór de buitenlandse toegangsmogelijkheden van cloud computing. Het resultaat is een structurele spanning: verplichtingen die zijn ontworpen voor papieren dossiers gelden nu voor infrastructuur waarbij het kantoor niet altijd de enige partij is met technische toegang tot klantgegevens.

Duitse §203 StGB en §43 WPO creëren strafrechtelijke aansprakelijkheid die zich uitstrekt tot technologische platformkeuzes

Duitse §43 WPO stelt geheimhouding voor accountants verplicht, terwijl §203 StGB ongeoorloofde openbaarmaking strafbaar stelt met gevangenisstraf voor de verantwoordelijken. Meer dan 15.000 professionals vallen onder deze verplichtingen. Het Institut der Wirtschaftsprüfer heeft expliciet aangegeven dat §43 WPO-geheimhouding geldt voor alle technische systemen, en dat accountants hun verplichtingen niet kunnen nakomen via platforms waarbij de aanbieder de decryptiesleutels beheert. Wanneer kantoren klantdata opslaan op door de VS gecontroleerde infrastructuur, creëren ze openbaarmakingsroutes buiten Duitse juridische controle—routes die bestaan los van contractuele verboden op ongeautoriseerde toegang.

Frankrijk, Zwitserland en Nederland leggen vergelijkbare strafrechtelijke geheimhoudingsverplichtingen op aan accountants

Frankrijk’s Artikel L. 822-15 Code de Commerce verplicht commissaires aux comptes tot secret professionnel, waarbij overtreding van Artikel 226-13 van het Wetboek van Strafrecht leidt tot gevangenisstraf en boetes van €15.000. CNIL-richtlijnen benadrukken dat accountants verantwoordelijk blijven voor de bescherming van klantdata, ook bij gebruik van externe aanbieders—de uitbestedingsrelatie verplaatst de verplichting niet. Zwitserland’s Artikel 321 van het Wetboek van Strafrecht beschermt geheimhouding van accountants en belastingadviseurs, ook voor internationale cliënten buiten Zwitserland. Nederland’s Artikel 272 van het Wetboek van Strafrecht verplicht NBA-geregistreerde accountants tot geheimhouding, waarbij de Autoriteit Persoonsgegevens benadrukt dat beroepsgeheim zich uitstrekt tot digitale systemen en cloudinfrastructuur.

Het ECJ-oordeel dat accountants minder bescherming genieten dan advocaten maakt technische architectuur de primaire verdediging

Britse accountants werken onder common law-vertrouwelijkheidsverplichtingen, versterkt door FRC- en ICAEW-standaarden. Hoewel er geen continentale strafwetten zijn, leidt een datalek tot civiele aansprakelijkheid, beroepsfouten en mogelijke vervolging onder de Computer Misuse Act 1990 of Data Protection Act 2018—met het FRC-rapport van 2024 dat 127 handhavingszaken en een groeiend aandeel technologische tekortkomingen meldt. Cruciaal is dat het ECJ in het Ordre des barreaux francophones-oordeel heeft vastgesteld dat accountants minder strenge juridische bescherming genieten dan advocaten. Dit betekent dat kantoren niet kunnen vertrouwen op het juridisch privilege om gedwongen openbaarmaking te weerstaan en in plaats daarvan technische architectuur moeten implementeren die ongeautoriseerde toegang op infrastructuurniveau technisch onmogelijk maakt—klantgestuurde encryptie waarbij aanbieders technisch geen toegang tot klantdata kunnen krijgen zonder medewerking van het kantoor.

GDPR- en DORA-technologievereisten voor accountantskantoren

GDPR stelt basisvereisten voor beveiliging, terwijl DORA deze uitbreidt met technologische verplichtingen die via financiële instellingen doorwerken naar accountantsdienstverleners. Samen creëren ze een compliancekader dat niet alleen door contracten kan worden afgedekt.

GDPR Artikel 32 vereist encryptie die alleen voldoende bescherming biedt wanneer de controller exclusieve sleutelcontrole heeft

GDPR Artikel 32 vereist “passende technische en organisatorische maatregelen”, waaronder encryptie, vertrouwelijkheid, integriteit en beschikbaarheid. Artikel 5(1)(f) vereist bescherming tegen ongeoorloofde verwerking—een vereiste die conflicteert met architecturen waarbij aanbieders toegang tot klantdata hebben, omdat zulke systemen geen bescherming kunnen garanderen als aanbieders onder dwang moeten meewerken buiten de macht van de controller. De richtlijnen van de Artikel 29-werkgroep zijn hier expliciet over: encryptie biedt alleen voldoende bescherming als controllers exclusieve controle over de decryptiesleutels behouden. Door de aanbieder beheerde encryptie voldoet aan de vorm, maar niet aan de inhoud van de vereiste.

Schrems II stelde vast dat SCC’s alleen niet voldoen aan overdrachtsvereisten wanneer overheden uit derde landen toegang tot data kunnen krijgen

Schrems II stelde vast dat SCC’s alleen onvoldoende bescherming bieden wanneer data wordt overgedragen naar rechtsgebieden waar overheidstoezicht niet gelijkwaardig is aan Europese waarborgen. Het ECJ behandelde situaties waarin verplichtingen van derde landen publieke autoriteiten toegang geven die verder gaat dan noodzakelijk en proportioneel—precies de situatie bij Amerikaanse cloudproviders die onder de CLOUD Act vallen. De EDPB-richtlijnen vereisen dat controllers beoordelen of wetgeving of praktijk in derde landen de effectiviteit van waarborgen aantast, en aanvullende technische maatregelen nemen als dat zo is. Voor accountants betekent dit dat SCC’s moeten worden gecombineerd met klantgestuurde encryptie en niet zelfstandig volstaan.

DORA Artikel 30 legt technologische verplichtingen direct op aan accountants via hun financiële opdrachtgevers

DORA Artikel 28(5) vereist dat financiële instellingen hun ICT-derde partijen beoordelen, terwijl Artikel 30 contracten verplicht stelt met beveiligingsmaatregelen waaronder gegevensbescherming en encryptie. Wanneer financiële instellingen accountants inschakelen, gelden deze verplichtingen ook voor de platforms die accountants gebruiken. Artikel 30(2)(j) vereist aandacht voor de locatie van gegevensverwerking, terwijl Artikel 30(2)(k) bepalingen eist over toegang, herstel, terugkeer en verwijdering van data. Contracten die alleen opslag in EU-datacenters vermelden, voldoen niet als aanbieders technische toegang behouden vanuit niet-EU-locaties die onder buitenlandse rechtsmacht vallen. Artikel 28(3) vereist exitstrategieën die volledige verwijdering van data mogelijk maken—en dus architecturen die vendor lock-in voorkomen en migratie zonder medewerking van de aanbieder mogelijk maken.

Grensoverschrijdende opdrachten vergroten datasoevereiniteitsrisico’s

Grensoverschrijdende controles creëren situaties waarin klantdata onder meerdere geheimhoudingsregimes valt, maar door infrastructuur stroomt die onder een totaal andere soevereine autoriteit valt. Het nalevingsgat is niet theoretisch—het is structureel, en het wordt groter naarmate een opdracht meer rechtsgebieden omvat.

Multi-jurisdictionele opdrachten onderwerpen klantdossiers gelijktijdig aan overlappende geheimhoudingsregimes

Een Duits kantoor dat een Franse dochter van een Zwitserse moeder met Nederlandse activiteiten controleert, genereert dossiers die onder Duits §43 WPO, Frans Code de Commerce, Zwitsers Artikel 321 en mogelijk Nederlands beroepsgeheim vallen. Elk rechtsgebied bepaalt wie toegang mag hebben, en het kantoor moet dat afdwingen via technische architectuur—niet via opdrachtbrieven, niet via verwerkersovereenkomsten, maar via maatregelen die ongeoorloofde toegang technisch onmogelijk maken, ongeacht welk overheidsbevel uit welk land komt.

De CLOUD Act maakt Amerikaanse overheids-toegang tot Europese klantdata mogelijk, ongeacht waar deze fysiek is opgeslagen

Wanneer kantoren dossiers opslaan op platforms met een Amerikaans hoofdkantoor, maakt de CLOUD Act het mogelijk dat Amerikaanse overheidsinstanties openbaarmaking afdwingen, ongeacht de fysieke locatie van de data. De wet geldt voor Amerikaanse personen en entiteiten, zelfs als ze “niet fysiek in de Verenigde Staten zijn gevestigd.” Zelfs met EU-datacenters en contracten die Europese opslag garanderen, kunnen aanbieders Amerikaanse bevelen krijgen die deze afspraken overrulen. Het conflict is niet theoretisch—United States v. Microsoft ging over Amerikaanse bevelen voor in Ierland opgeslagen e-mail vóór de CLOUD Act, en het onderliggende principe blijft: Europese data onder controle van Amerikaanse bedrijven valt onder Amerikaanse rechtsmacht, ongeacht de locatie. National security letters en FISA-bevelen verbieden kennisgeving aan de betrokkene en kunnen niet via Europese procedures worden aangevochten.

Geolocatiecontroles regelen fysieke datalocatie, maar niet juridische of technische datacontrole

Geolocatiecontroles bepalen waar data fysiek staat, maar hebben geen invloed op de juridische verplichtingen of technische toegangsmogelijkheden van de aanbieder. De fysieke serverlocatie verschilt fundamenteel van juridische en technische controle—alleen die laatste bepaalt soevereiniteit. De EDPB-richtlijnen bij Schrems II zijn duidelijk: controllers kunnen niet vertrouwen op SCC’s als technische maatregelen geen bescherming bieden tegen overheids-toegang. Standaard contractuele clausules leggen contractuele verplichtingen vast tussen partijen, maar kunnen geen soevereine autoriteit overrulen die eenzijdig opereert via de thuisrechtsbevoegdheid van de aanbieder. Klantgestuurde encryptie met exclusieve sleutelcontrole door het kantoor is het enige mechanisme dat technische toegang van de aanbieder uitsluit, ongeacht welk overheidsbevel wordt gegeven, omdat de aanbieder technisch niet kan voldoen in plaats van juridisch verboden wordt.

Datalekken tonen risico’s van derde partij-infrastructuur aan

Recente datalekken bij grote accountantskantoren tonen aan dat zelfs geavanceerde cyberbeveiligingsprogramma’s de risico’s van derde partij-infrastructuur, waarbij aanbieders technische toegang tot data behouden, niet kunnen uitsluiten.

Het MOVEit-datalek en daaropvolgende incidenten tonen aan dat zelfs Big Four-beveiligingsinvesteringen derde partij-risico’s niet uitsluiten

De MOVEit-kwetsbaarheid van 2023 trof drie van de Big Four, waarbij M&A-klantdata werd blootgesteld via SQL-injectie in veelgebruikte bestandsoverdrachtsoftware. Dit gebeurde ondanks geavanceerde cyberbeveiligingsprogramma’s met aanzienlijke budgetten. Sax LLP maakte eind 2025 bekend dat een datalek uit 2024 de gegevens van 228.000 personen compromitteerde en 16 maanden onopgemerkt bleef. Deloitte betaalde Rhode Island $5 miljoen voor een datalek waarbij aanvallers vier maanden toegang hadden ondanks honderden firewallmeldingen. Als grote kantoren hardnekkige bedreigingen ondervinden op derde partij-infrastructuur, lopen kleinere kantoren relatief grotere risico’s met minder middelen voor detectie en respons.

Beroepsaansprakelijkheidsverzekeraars en toezichthouders onderzoeken nu technologie-architectuur als compliance-onderwerp

Beroepsaansprakelijkheidsverzekeraars hebben gereageerd op het patroon van datalekken door meer aandacht te besteden aan technologie-architectuur. Verschillende verzekeraars eisen nu soevereine inzetopties voor grensoverschrijdende opdrachten. Sommige polissen bevatten uitsluitingen voor datalekken waarbij aanbieders administratieve toegang of encryptiesleutelbeheer behouden—waarbij sleuteltoegang door de aanbieder wordt gezien als een bekend, beheersbaar risico dat het kantoor bewust niet heeft beperkt. De Britse FRC rekent technische controlefouten nu tot een aparte handhavingscategorie. De Duitse Wirtschaftsprüferkammer benadrukt dat de §43 WPO-verplichtingen van accountants zich uitstrekken tot technologische keuzes en dat kantoren deze verplichtingen niet kunnen uitbesteden aan aanbieders. Wanneer klantdata zich bevindt waar aanbieders technische toegang behouden, creëert die toegang ongeoorloofde openbaarmakingsroutes via zowel inbreuken als overheidsdwang—en de enige architectuur die beide risico’s uitsluit, is die waarbij klantdata versleuteld blijft onder sleutels die uitsluitend door het accountantskantoor worden beheerd.

Klantgestuurde encryptie-architectuur voldoet aan beroepsgeheim

De technische architectuur die voldoet aan beroepsgeheim, GDPR-vereisten en DORA-verplichtingen, draait om één principe: klantdata blijft versleuteld onder sleutels die uitsluitend door het accountantskantoor worden beheerd. Alles vloeit daaruit voort.

Door het kantoor beheerde HSM’s zorgen ervoor dat aanbieders technisch geen toegang tot klantdata kunnen krijgen, onder geen enkele omstandigheid

Klantgestuurde encryptie begint met sleutelgeneratie en -opslag onder exclusieve controle van het kantoor. Sleutels worden gegenereerd binnen hardware security modules (HSM’s) die fysieke, sabotagebestendige bescherming bieden en onder controle van het kantoor blijven of worden ingezet via Europese aanbieders die zijn ontworpen voor sleutelsoevereiniteit. Wanneer klantdata binnenkomt via beveiligde e-mail, bestandsoverdracht of managed file transfer, wordt deze direct versleuteld met HSM-sleutels van het kantoor. Versleutelde data kan vervolgens op diverse infrastructuur worden opgeslagen, omdat aanbieders deze niet kunnen ontsleutelen—zelfs niet bij overheidsbevelen of beveiligingsincidenten blijft klantdata beschermd. Dit adresseert direct het structurele probleem dat het ECJ-oordeel voor accountants creëert: juridisch privilege kan technische architectuur niet vervangen, maar een technische architectuur die toegang onmogelijk maakt, bereikt hetzelfde praktische resultaat.

De architectuur voldoet met één implementatie aan GDPR Artikel 32, DORA Artikel 30 en nationale geheimhoudingswetten

Klantgestuurde encryptie voldoet gelijktijdig aan de volledige compliance-matrix. Het voldoet aan de encryptieverplichtingen van GDPR Artikel 32 en aan de richtlijnen van de Artikel 29-werkgroep dat encryptie alleen voldoende bescherming biedt als controllers exclusieve sleutelcontrole behouden. Het voldoet aan DORA door ervoor te zorgen dat alleen het kantoor toegang heeft tot platte tekst—en voldoet zo aan de technische architectuurverplichtingen die financiële opdrachtgevers contractueel moeten doorleggen naar hun dienstverleners. Het voldoet aan geheimhoudingsverplichtingen in Duitsland, Frankrijk, Zwitserland, Nederland en het VK door ongeoorloofde openbaarmakingsroutes op cryptografisch niveau uit te sluiten, in plaats van te vertrouwen op contractuele verboden die buitenlandse overheden niet kunnen binden.

Flexibele inzet laat kantoren soevereine architectuur afstemmen op hun operationele schaal en klantvereisten

Flexibele inzet balanceert datasoevereiniteit met operationele behoeften. Volledige on-premises inzet biedt maximale controle voor kantoren die de meest gevoelige opdrachten uitvoeren. Private cloud of hardened virtual appliances in Europese datacenters bieden gelijkwaardige soevereiniteit met minder beheerlast voor kantoren die de architectuur nodig hebben zonder eigen on-premises expertise. Voor grensoverschrijdende opdrachten blijft data gedurende de hele levenscyclus versleuteld onder sleutels van het kantoor—toegangscontrole bepaalt wie specifieke documenten kan ontsleutelen, maar sleutelbeheer blijft bij het kantoor, ongeacht waar teamleden zich bevinden.

Implementatie-overwegingen

De overstap naar soevereine architectuur vereist planning rond technische migratie, workflow-integratie en documentatie voor toezichthouders—maar de volgorde is net zo belangrijk als de technische keuzes.

Het in kaart brengen van huidige datastromen bepaalt welke systemen soevereine architectuur vereisen en welke niet

Technische beoordeling begint met het in kaart brengen van huidige datastromen. Bepaal welke stromen klantinformatie bevatten die onder beroepsgeheim valt versus interne bedrijfsdata waarvoor minder strenge controles mogelijk zijn. Niet alle kantoordata vereist klantgestuurde encryptie—maar alle financiële klantdata, opdrachtstukken en communicatie met vertrouwelijke klantinformatie wel. Deze afbakening bepaalt de benodigde inzet en het sleutelbeheer, en voorkomt de veelgemaakte fout om soevereine architectuur uniform toe te passen op alle datastromen in plaats van precies op die waarvoor beroepsgeheim en GDPR dat vereisen.

Sleutelbeheer is de belangrijkste beslissing en moet aansluiten bij de verwachtingen van elk rechtsgebied

Sleutelbeheer is de meest kritieke implementatiekeuze. Bepaal of u on-premises HSM’s, cloudgebaseerde HSM-diensten van Europese aanbieders of hardened virtual appliances gebruikt. Grote kantoren kiezen vaak voor on-premises HSM’s voor maximale controle en omdat DORA-gereguleerde financiële opdrachtgevers dit contractueel kunnen eisen. Kleinere kantoren kiezen mogelijk voor Europese HSM-diensten met minder operationele complexiteit. De kritieke vereiste voor alle opties: sleutels blijven exclusief onder controle van het kantoor en zijn nooit toegankelijk voor platformaanbieders—ook niet bij noodondersteuning, back-ups of overheidsbevelen aan de aanbieder.

Regelgevende documentatie moet proactief architectuur-naleving aantonen, niet reactief

Regelgevende documentatie moet aantonen hoe de technische architectuur voldoet aan GDPR Artikel 32, DORA en nationale geheimhoudingsverplichtingen. Voeg technische architectuurdiagrammen, procedures voor sleutelbeheer, toegangscontrolebeleid, incidentresponsprocedures en contractuele bepalingen toe die bevestigen dat aanbieders geen toegang tot klantdata hebben. Veeleisende klanten—vooral financiële instellingen onder DORA—vragen steeds vaker om technische bijlagen met beveiligingsarchitectuur vóór de opdracht. Kantoren die deze documentatie proactief kunnen overleggen, hebben een competitief voordeel in gereguleerde sectoren; kantoren die dit reactief moeten samenstellen op verzoek van klanten, hebben een moeilijker verkoopproces.

Kiteworks stelt Europese accountantskantoren in staat beroepsgeheim na te leven met soevereine architectuur

Europese accountantskantoren staan voor een complianceverplichting die contracten niet kunnen afdekken en juridisch privilege niet kan ondervangen: geheimhoudingsverplichtingen die zich uitstrekken tot technologische keuzes, gecombineerd met GDPR- en DORA-vereisten die technische maatregelen eisen in plaats van contractuele toezeggingen. Klantgestuurde encryptie is de architectuur die dit gat dicht—waardoor aanbieders technisch geen toegang tot klantdata kunnen krijgen, ongeacht welk overheidsbevel wordt gegeven, en de documentatie oplevert die toezichthouders, beroepsorganen en DORA-gereguleerde klanten steeds vaker eisen vóór de start van een opdracht.

Kiteworks biedt klantgestuurde encryptie-architectuur waarmee Europese accountantskantoren kunnen voldoen aan geheimhoudingsverplichtingen in Duitsland, Frankrijk, Zwitserland, Nederland en het VK, en tegelijkertijd aan GDPR Artikel 32 en DORA-technologievereisten. Het platform gebruikt door de klant beheerde encryptiesleutels die het kantoor nooit verlaten, waardoor financiële klantdata beschermd blijft, zelfs als Kiteworks overheidsbevelen ontvangt of met beveiligingsincidenten wordt geconfronteerd—wij hebben technisch geen toegang tot klantdata.

Flexibele inzetopties omvatten on-premises installatie in eigen datacenters, private cloud-inzet in Europese faciliteiten onder controle van het kantoor, of hardened virtual appliances die de voordelen van soevereine architectuur bieden met minder beheercomplexiteit. Kantoren kunnen inzetten in Duitsland om te voldoen aan BfDI-richtlijnen, in Frankrijk voor CNIL-vereisten, in Zwitserland voor bankgeheimhouding of op andere Europese locaties die passen bij operationele behoeften en klantverwachtingen.

Het platform integreert beveiligde e-mail, bestandsoverdracht, managed file transfer en webformulieren in één architectuur, waardoor accountantskantoren alle klantcommunicatie via één soeverein platform kunnen beheren. Dit vereenvoudigt sleutelbeheer, verkleint het aanvalsoppervlak door meerdere leveranciersrelaties te elimineren en biedt uniforme audit logs die voldoen aan FRC-, Wirtschaftsprüferkammer- en vergelijkbare eisen van toezichthouders.

Meer weten? Plan vandaag nog een demo op maat.

Aanvullende bronnen

• Blog Post
  Datasoevereiniteit: een best practice of wettelijke verplichting?
• eBook
  Datasoevereiniteit en GDPR
• Blog Post
  Voorkom deze valkuilen bij datasoevereiniteit
• Blog Post 
  Best practices voor datasoevereiniteit
• Blog Post 
  Datasoevereiniteit en GDPR [Inzicht in gegevensbeveiliging]