Beveiliging is in deze tijd van veelvoorkomende cybercriminaliteit meer dan ooit van belang. Als eenmaal duidelijk is waar de data bij de leverancier staat opgeslagen en verwerkt wordt, dan is het van belang om te weten onder welke voorwaarden dit gebeurt. Informatiebeveiliging bestrijkt de technische en organisatorische maatregelen die een leverancier neemt om de gegevens te beschermen. Belangrijke aandachtspunten zijn versleuteling van data, zowel tijdens transport als in opslag, en een duidelijk toegangsbeheer per rol. Met de juiste instellingen krijgt een gebruiker alleen toegang tot de gegevens die voor zijn functie relevant zijn. Om dit beheersbaar en toetsbaar te maken kan gebruikgemaakt worden van logging, zodat achterhaald kan worden wie wanneer welk document heeft geopend of gewijzigd. Meer specifiek is ook het beleid rond datalekken en de reactietijd bij een incident relevant.

Veel juristen zullen niet de kennis en vaardigheden hebben om deze aspecten goed te beoordelen, zodat ondersteuning vanuit andere experts noodzakelijk zal zijn. Uiteindelijk dienen afspraken goed te worden vastgelegd in documentatie, zoals een service level agreement (SLA) en een verwerkersovereenkomst.

Uit de interviews blijkt dat security de keuzevrijheid in softwareapplicaties behoorlijk kan beperken. Eisen vanuit de Europese NIS2-richtlijn, in Nederland sinds 15 augustus 2026 uitgewerkt in de Cyberbeveiligingswet (Cbw), en eisen rond subverwerkers, datalocatie en informatiebeveiliging kunnen drempels vormen voor externe tools. Ook moeten externe legal-techtools volledig aansluiten op de eigen omgeving en voldoen aan zware security-eisen. Dat maakt implementatie complexer, maar past bij de gevoeligheid van de data. Binnen het bestaande ecosysteem van een organisatie blijven en dus kiezen voor generieke software is voor juridische afdelingen daarom vaak de meest voor de hand liggende keuze.

Standaarden en certificeringen

Om enigszins structuur aan te brengen in deze complexe materie, kunnen organisaties kijken naar bepaalde certificaten. Deze geven een indicatie van de volwassenheid van een leverancier op het gebied van beveiliging. Zo is ISO 27001 de internationale norm voor een informatiebeveiligingsmanagementsysteem en de meest gangbare certificering in de markt. Twee aanvullende normen uit dezelfde familie zijn relevant voor clouddiensten: ISO 27017 (beveiliging specifiek voor cloudomgevingen) en ISO 27018 (bescherming van persoonsgegevens in de cloud).

SOC 2 (Type II) is een Amerikaanse auditstandaard die kijkt naar hoe een leverancier in de praktijk, over een langere periode, omgaat met beveiliging en beschikbaarheid. Beide zeggen iets over het proces van de leverancier, niet automatisch over het product zelf. Vaak zijn auditrapporten beschikbaar bij de leverancier zodat er door de organisatie getoetst kan worden welke aandachtspunten er zijn.