Ashio whistleblowing software

Sep 18, 2026

Klokkenluiderssoftware met Zwitserse hosting: wanneer is dat de juiste keuze?

Klokkenluiderssoftware met Zwitserse hosting: wanneer is dat de juiste keuze?

Niet elke organisatie heeft Zwitserse hosting nodig, maar wie onder de AVG, de Zwitserse nLPD of FINMA-regels werkt, krijgt er vroeg of laat mee te maken. In de praktijk betekent klokkenluiderssoftware met Zwitserse hosting dat meldingen, communicatie en logs fysiek in ISO 27001-gecertificeerde datacenters in Zwitserland worden bewaard, versleuteld in de browser van de melder en alleen via een zero-access-architectuur ontsleuteld op het apparaat van de behandelaar. Dat is een andere belofte dan "we gebruiken sterke encryptie" — het verschil zit in wie de sleutels vasthoudt en welk recht op die data van toepassing is.

Inhoudsopgave

Belangrijkste punten

  • Zwitserse hosting is pas zinvol als de locatie van data, het toepasselijke recht én de certificering van het datacenter samen kloppen — losse termen op een website zijn geen garantie.
  • Voor een meldkanaal dat onder de EU-richtlijn 2019/1937 valt, is EU-hosting juridisch al voldoende; Zwitserse hosting wordt pas een verschil wanneer nLPD, FINMA of interne security-eisen de strenger laten zijn.
  • Vraag bij elke leverancier een Data Processing Agreement (DPA) en een verwerkersovereenkomst op, plus bewijs van ISO 27001, hostingland en sub-verwerkers — zonder die documenten is de claim "Zwitserse hosting" niet controleerbaar.
  • Een zero-access-architectuur en een onveranderbaar auditlogboek zijn de twee technische kenmerken die bepalen of een meldkanaal echt anoniem en auditklaar is, ongeacht het hostingland.
  • Voor bedrijven in de EU is Zwitserse hosting meestal een compliance-pluspunt, geen vereiste — en voor Zwitserse bedrijven met EU-dochters vaak een dubbele dekking.

Wat 'Zwitserse hosting' bij een meldkanaal concreet betekent

"Zwitserse hosting" zegt op zichzelf weinig: het is een verzamelterm voor een paar afzonderlijke, controleerbare beloftes. In de context van een meldkanaal betekent het dat de data fysiek in Zwitserse datacenters staat, dat die datacenters onder Zwitsers recht vallen, en dat de aanbieder een certificering kan tonen die dat onafhankelijk bevestigt. Wie deze drie elementen — fysieke locatie, toepasselijk recht en onafhankelijke certificering — uit elkaar trekt, kan leveranciers vergelijken op iets meetbaars in plaats van op marketingtaal.

In de praktijk komen daar drie lagen bij: de locatie van de data, het recht dat op die data van toepassing is, en de versleuteling waarmee de data onderweg is. Hosting in Zwitserland zegt niets over encryptie, en end-to-end-versleuteling zegt niets over waar de ciphertext staat. Wie beide combineert — ciphertext in een Zwitsers datacenter, sleutels die de server nooit zien — komt in de buurt van wat aanbieders bedoelen met een zero-access architectuur voor klokkenluiderssoftware.

Let ook op het verschil tussen "hosted by a Swiss company" en "data resides in Switzerland". Een internationale aanbieder kan een Zwitserse entiteit hebben terwijl de data in een ander continent staat. De enige manier om dat te controleren is de verwerkersovereenkomst, een lijst van sub-verwerkers en een verklaring van het datacenter zelf.

AVG, nLPD en ISO 27001: welke eisen lost hosting in de EU op, en welke niet

De EU-AVG vraagt om een passende technische en organisatorische beveiliging, een DPA met verwerkers, en — bij doorgifte buiten de EER — een geldige grondslag zoals een adequaatheidsbesluit. Hosting binnen de EU is de eenvoudigste manier om aan die laatste eis te voldoen: geen doorgifte, geen SCC's, geen aanvullende maatregelen. Daarmee is de AVG zelf al volledig afgedekt, zonder dat Zwitserse hosting nodig is.

Voor doorgifte naar Zwitserland is er een adequaatheidsbesluit van de Europese Commissie van toepassing; controleer de actuele status bij de Zwitserse federale gegevensbeschermer (FDPIC). De conclusie is dat de Europese Commissie het Zwitserse niveau van gegevensbescherming adequaat acht, waardoor doorgifte van EU-data naar Zwitserland onder vergelijkbare voorwaarden mogelijk is als binnen de EU. Voor een meldkanaal dat zowel EU- als Zwitserse klokkenluiders bedient, is dat een belangrijke vereenvoudiging.

De Zwitserse nLPD staat los van de AVG, maar is op hoofdlijnen vergelijkbaar: doelbinding, minimale dataverwerking, bewaartermijnen en verantwoordingsplicht. Voor een organisatie die onder beide regimes valt — bijvoorbeeld een Zwitserse bank met een EU-vestiging — voorkomt Zwitserse hosting dat er twee gescheiden datapaden ontstaan. De nLPD vereist geen ISO 27001, maar Zwitserse aanbieders kiezen er vaak wel voor als bewijs van een goed beveiligingsbeheer.

ISO 27001 is geen wettelijke eis, maar een internationaal erkende norm voor informatiebeveiliging. Het is vooral relevant als interne eis: een auditor, een raad van bestuur of een toezichthouder kan om ISO 27001 vragen als bewijs dat de leverancier zijn beveiligingsbeheer serieus neemt. Wie deze certificering eist, krijgt vanzelf een kleinere lijst leveranciers — Zwitserse hosting is dan vaak een makkelijke manier om die lijst kort en relevant te houden.

Wanneer Zwitserse hosting loont — en wanneer EU-hosting voldoende is

In welke situaties is Zwitserse hosting meer dan een nice-to-have?

Zwitserse hosting is meer dan een marketingclaim in drie herkenbare gevallen: wanneer de nLPD van toepassing is op de verwerking, wanneer FINMA-gereguleerde instellingen hun incidentrapportage via het kanaal laten lopen, en wanneer een organisatie intern om ISO 27001-gecertificeerde infrastructuur vraagt. In elk van die gevallen is de locatie van de data een inhoudelijke compliance-eis, niet alleen een geruststelling.

Voor een meldkanaal voor de financiële sector — banken, verzekeraars, fintech — gelden vaak de strengste eisen: naast de EU-richtlijn 2019/1937 ook DORA, MiCA en andere toepasselijke sectorregelgeving voor financiële dienstverleners voor interne governance, plus nationale bankwetwetgeving. Persoonlijke aansprakelijkheid van bestuurders maakt dat een beheersbaar auditlogboek en een aantoonbaar anoniem kanaal geen luxe zijn. In Zwitserland komt daar de FINMA-praktijk bovenop, die om Zwitserse hosting en een nLPD-conform beheer vraagt.

Wanneer is EU-hosting ruim voldoende?

Voor een puur Europese organisatie zonder Zwitserse entiteit, zonder FINMA-verplichting en zonder interne ISO 27001-eis is EU-hosting juridisch en technisch al voldoende. De EU-klokkenluidersrichtlijn 2019/1937 stelt een locatie-eis, alleen een security- en vertrouwelijkheidseis. Wie zijn kanaal binnen de EU host en een geldige DPA heeft, voldoet al aan de richtlijn. Zwitserse hosting wordt pas zinvol wanneer een bijkomende eis — nLPD, FINMA, interne security policy — dat afdwingt.

Wat u moet controleren in de DPA en verwerkersovereenkomst

De Data Processing Agreement is het document dat de AVG handen en voeten geeft: er staat in welke data wordt verwerkt, op welke grondslag, hoelang, met welke sub-verwerkers, en onder welk recht. Voor een meldkanaal moet die DPA expliciet ingaan op de aard van de melddata — vaak bijzondere persoonsgegevens — en op de bewaartermijnen. Een DPA die alleen naar "algemene beveiligingsmaatregelen" verwijst, is voor een klokkenluiderskanaal te mager.

Vraag in elk geval om deze vier elementen: een lijst van sub-verwerkers met landen, de bewaartermijn van meldingen en logs, de procedure bij een datalek (termijn en escalatie), en de exit-clausule (hoe haalt u data op bij beëindiging, in welk formaat, en hoe wordt wissen bewezen). Zonder deze vier onderdelen blijft "Zwitserse hosting" een tekst op een website in plaats van een afdwingbare afspraak.

Praktische checklist: 8 vragen aan een leverancier van meldsoftware

De volgende vragen helpen om een offerte of demo om te zetten in een onderbouwde keuze. Ze zijn bewust zo geformuleerd dat het antwoord in een verwerkersovereenkomst of productdocument moet terug te komen — een "ja" zonder onderbouwing is geen ja.

  1. In welk land en welk datacenter staan de data fysiek, en wie is de juridische eigenaar van die infrastructuur?
  2. Welke certificeringen heeft het datacenter (ISO 27001, SOC 2, CO₂-neutraal) en kunt u het auditrapport of de scope-verklaring opvragen?
  3. Wordt de data end-to-end in de browser van de melder versleuteld, met een sleutel die de server nooit ziet — en is dat gedocumenteerd?
  4. Hoe is het auditlogboek opgebouwd, is het onveranderbaar, en in welk formaat kan ik het exporteren voor mijn eigen auditor?
  5. Wat is de bewaartermijn van meldingen en bijlagen, en hoe wordt automatisch bewijs van de 7-dagen- en 3-maandentermijn geleverd?
  6. Welke sub-verwerkers heeft u, in welke landen, en hoe word ik gewaarschuwd bij een wijziging?
  7. Ondersteunt de oplossing anonieme invoer zonder account, en is mondelinge invoer via spraak-naar-tekst mogelijk voor melders die niet willen typen?
  8. Hoeveel talen en hoeveel teamleden zitten in het basisabonnement, en welke afspraken gelden bij meerdere juridische entiteiten in één omgeving?

Wie deze vragen stelt, krijgt snel zicht op het verschil tussen een generiek ticketsysteem en een dedicated meldkanaal. Voor klokkenluiderssoftware voor de zorg — ziekenhuizen, klinieken, pharma — komen daar vragen bij over medische vertrouwelijkheid en beroepsmatige geheimhouding; voor de financiële sector over DORA, MiCA en EBA-richtsnoeren.

Hoe Ashio dit in de praktijk invult (zero-access architectuur en auditklare logging)

Hoe Ashio dit in de praktijk invult zero-access architectuur en auditklare logging — klokkenluiderssoftware met Zwitserse hosting

Wat maakt een zero-access architectuur meetbaar anoniem?

Bij een echte zero-access-architectuur kan zelfs de leverancier de meldingstekst niet lezen. In de praktijk betekent dat de inhoud van een melding in de browser van de melder wordt versleuteld met een sleutel die voor elke ontvanger afzonderlijk wordt verpakt, zodat de server alleen cijfertekst opslaat. Wie dat kan aantonen — niet in een whitepaper maar in een verwerkersovereenkomst of een onafhankelijke audit — heeft een antwoord dat verder gaat dan "we versleutelen alles".

Op de beveiligingspagina van Ashio is die architectuur per onderdeel beschreven: end-to-end versleuteling met een per-melding sleutel, sleutels die alleen op het apparaat van de behandelaar staan achter een wachtwoordafgeleide sleutel, en een meldpagina zonder tracking. Voor een compliance-officer die aan een auditor moet uitleggen waarom het kanaal anoniem is, zijn dat precies de technische details die de revue moeten passeren.

Waarom een onveranderbaar auditlogboek de helft van het werk is

Een onveranderbaar auditlogboek is het andere deel van een auditklaar meldkanaal: het moet elke actie van een behandelaar vastleggen — wie, wanneer, welke melding — en het moet exporteerbaar zijn in een standaardformaat dat een auditor kan lezen. Een log dat alleen in een webinterface te zien is, is voor een externe toetsing niet voldoende. Automatisch bewijs van de 7-dagen ontvangstbevestiging en de 3-maanden feedbacktermijn maakt het log direct bruikbaar voor een ISO-audit of een FINMA-onderzoek.

Hoe de Zwitserse hosting dit versterkt voor specifieke sectoren

Voor Zwitserse organisaties betekent de combinatie van Zwitserse hosting, nLPD-conformiteit en EU-richtlijn-conformiteit dat zowel de Zwitserse regelgeving als eventuele EU-dochters worden gedekt. Voor de financiële sector komt daar DORA- en MiCA-bewustzijn bij; voor de zorg komt de nadruk te liggen op patiëntveiligheid, antifraude en beroepsmatige vertrouwelijkheid. Een meldkanaal dat op al die assen dezelfde antwoorden geeft, scheelt een hoop losse documentatie per sector.

Bekijk de prijzen voor een transparent overzicht van het basisabonnement en de opties voor een aangepaste uitrol.

Veelgestelde vragen

Hoe lang moet een klokkenluidersmelding bewaard worden?

Een melding mag niet langer worden bewaard dan noodzakelijk voor het onderzoek en eventuele vervolgacties; zodra de zaak is afgerond en er geen wettelijke verplichting meer is, moet de data worden verwijderd of volledig geanonimiseerd. Een goede leverancier kan in de DPA een standaard bewaartermijn opnemen en ondersteunen bij het wissen na afronding.

Is Zwitserse hosting verplicht onder de EU-klokkenluidersrichtlijn?

Nee, de EU-klokkenluidersrichtlijn 2019/1937 stelt alleen dat meldingen vertrouwelijk moeten worden behandeld en dat de veiligheid van de verwerking moet zijn gewaarborgd; er is geen verplichting om in Zwitserland te hosten. Zwitserse hosting wordt pas relevant wanneer een aanvullende eis — de Zwitserse nLPD, FINMA, of een interne ISO 27001-norm — dat afdwingt.

Wat is het verschil tussen end-to-end versleuteling en "https"?

Bij HTTPS wordt data versleuteld tussen de browser en de server, maar de server kan de inhoud wel lezen voordat hij die opslaat. Bij end-to-end versleuteling wordt de data in de browser van de melder versleuteld met een sleutel die de server nooit te zien krijgt, zodat alleen de beoogde ontvanger — en niet de leverancier — de melding kan ontsleutelen.

Hoe weet ik of een leverancier echt in Zwitserland host?

Vraag om de verwerkersovereenkomst en de lijst van sub-verwerkers met landen, en controleer of de datacentercertificering (bijvoorbeeld ISO 27001) expliciet dat datacenter en dat land noemt. Een auditrapport of een scope-statement van het datacenter zelf is het sterkste bewijs; een slogan op de website is dat niet.

Kan één meldkanaal zowel EU- als Zwitserse organisaties bedienen?

Ja, zolang de hostinglocatie en het toepasselijke recht de strengste van beide regimes afdekken — Zwitserse hosting met een adequaatheidsbesluit voor de EU is daarvan het meest gebruikelijke voorbeeld. Controleer wel of de DPA beide regimes benoemt en of de bewaartermijnen voor beide jurisdicties gelden.

Bronnen