Privacyverklaring – Organisatorische en technische maatregelen
Radius Limited (“Radius”) zet zich in voor de beveiliging en bescherming van alle persoonsgegevens die het verwerkt, of het nu gaat om gegevens die eigendom zijn van de organisatie, die namens haar klanten worden verwerkt of die afkomstig zijn van gebruikers van haar diensten. Door een risicogebaseerde benadering van gegevensbescherming toe te passen, zijn effectieve organisatorische, procedurele en technische controles geïmplementeerd om te voldoen aan de geldende wetgeving en de beginselen van gegevensbescherming.
Om deze bescherming te waarborgen, maakt Radius gebruik van het ISO 27001-raamwerk voor het informatiebeveiligingsbeheersysteem (ISMS). Radius heeft fors geïnvesteerd in zijn IT-infrastructuur en is sinds 2018 gecertificeerd; in maart 2024 heeft het bedrijf met succes de certificering volgens de nieuwe 2022-norm behaald. Daarnaast is Radius sinds 2016 ook in het bezit van de Cyber Essentials Plus-certificering.
De onderstaande informatie geeft een gedetailleerd overzicht van de door de organisatie geïmplementeerde maatregelen.
Deze verklaring is voor het laatst beoordeeld en bijgewerkt op 16 januari 2026 – Versie 2.0
Organisatorische rollen en verantwoordelijkheden zijn gedefinieerd en gedocumenteerd, met een verantwoordelijke leidinggevende die ervoor zorgt dat de juiste middelen worden toegewezen om aan te sluiten bij de strategische koers van de Groep. Het ISMS wordt centraal beheerd door een toegewijd team van professionals op het gebied van compliance, interne audit, informatiebeveiliging en cyberbeveiliging.
Informatiebeveiligingsrisico’s worden in kaart gebracht als onderdeel van een risicobeheerkader op basis van de gedefinieerde reikwijdte en criteria van het ISMS. Interne doelstellingen worden vastgesteld en regelmatig gecontroleerd in overleg met senior belanghebbenden.
Er is een overkoepelend beleid voor informatiebeveiliging van kracht, vergezeld van een verklaring van de directie. De primaire beleidsregels zijn verplicht voor alle medewerkers; een reeks secundaire beleidsregels is ingedeeld op basis van relevantie voor bepaalde bedrijfsonderdelen, zoals bijvoorbeeld IT-softwareontwikkeling. Alle medewerkers hebben hier toegang toe via ons interne intranet en er worden jaarlijks trainingen aangeboden via ons leerbeheersysteem.
Alle informatie wordt verwerkt volgens de richtlijnen voor gegevensclassificatie van de Groep, waarbij passende controles zijn toegewezen voor vertrouwelijke, privé- en openbare gegevens. Er is een inventaris van bedrijfsmiddelen en systemen opgesteld, waarbij de verantwoordelijkheid is toegewezen aan het relevante management.
Er is ook een beleid en procedure voor incidentmelding van kracht, met een eenvoudig meldingsmechanisme waarmee medewerkers gebeurtenissen of incidenten kunnen melden. Incidenten worden geregistreerd en afgehandeld door interne teams voor informatiebeveiliging en cyberbeveiliging. Een procedure voor het melden van inbreuken is gedocumenteerd en opgenomen als onderdeel van de bedrijfscontinuïteitsplanning van de organisatie. Plannen worden regelmatig (minstens eenmaal per jaar) geëvalueerd en getest. Geleerde lessen worden gedocumenteerd en doorgegeven aan lagere niveaus.
Er worden beveiligingsrisicobeoordelingen uitgevoerd voor leveranciers op basis van hun interactie met de systemen en gegevens van Radius. Contracten, overeenkomsten en geheimhoudingsovereenkomsten (NDA’s) worden geïmplementeerd in overeenstemming met een formeel beleid voor leveranciersbeheer.
Alle relevante wetgeving en regelgevende vereisten zijn geïdentificeerd en beoordeeld, waarbij voortdurend de ontwikkelingen in de sector worden gevolgd. Er is een functionaris voor gegevensbescherming aangesteld om de naleving van de wetgeving inzake gegevensbescherming te waarborgen waaronder Radius in de betreffende rechtsgebieden opereert. Voor alle ingrijpende wijzigingen in verwerkingsactiviteiten worden effectbeoordelingen uitgevoerd om voortdurende naleving te waarborgen.
Alle medewerkers worden gescreend in overeenstemming met de aanvaarde risiconiveaus, waarbij aanvullende DBS-controles worden uitgevoerd voor leidinggevend personeel en medewerkers die werkzaamheden verrichten in gereguleerde gebieden. Verantwoordelijkheden en voorwaarden inzake vertrouwelijkheid worden aan het personeel meegedeeld en door hen ondertekend in arbeidsovereenkomsten, met bepalingen die ook na beëindiging van het dienstverband van kracht blijven.
Er is een formeel proces voor nieuwe medewerkers, overplaatsingen en vertrekkende medewerkers ingesteld om criteria voor onboarding en offboarding vast te leggen, waarbij disciplinaire maatregelen duidelijk zijn vastgelegd voor medewerkers die het beleid inzake informatiebeveiliging niet naleven.
Training op het gebied van informatiebeveiliging is verplicht en wordt aan alle medewerkers ten minste eenmaal per jaar aangeboden via het Learning Management System van de Groep. Aanvullende training wordt verzorgd naar aanleiding van gebeurtenissen, feedback of wetswijzigingen.
Voor alle Radius-vestigingen worden risicobeoordelingen uitgevoerd in overeenstemming met de beste praktijken op het gebied van fysieke beveiliging, waarbij talrijke maatregelen zijn geïmplementeerd, zoals toegangscontrole met ID-kaarten, CCTV- en ANPR-camera’s en beveiligingsalarmen. Toegang tot beveiligde zones wordt verleend op basis van behoefte en wordt goedgekeurd en beoordeeld door afdelingshoofden. Op kantoorlocaties worden regelmatig ‘clear desk’-controles uitgevoerd.
Datacenters van derden voldoen aan strenge fysieke beveiligingseisen en er wordt jaarlijks een controle uitgevoerd.
Er wordt regelmatig onderhoud uitgevoerd aan apparatuur en nutsvoorzieningen, en apparatuur die het einde van de levensduur heeft bereikt, wordt geregistreerd en afgevoerd in overeenstemming met de WEEE-verordening (of het equivalent daarvan buiten het VK) en ons milieubeleid.
Radius wordt beheerd door zijn interne IT Operations-, Cyber- en Infrastructuurteams en maakt gebruik van toonaangevende technologie om potentiële bedreigingen binnen zijn beveiligde netwerk- en serveromgevingen te identificeren, te monitoren en te beperken, bijvoorbeeld NDR en EDR, met eindpuntbeveiliging voor alle apparatuur. Cryptografische sleutels worden centraal beheerd en in overeenstemming met best practices.
Alle gebruikers krijgen standaardgebruikersaccounts toegewezen, bestaande uit een unieke ID en een wachtwoord, waarbij het principe van ‘minimale rechten’ wordt gehanteerd. Voor beheerderstoegang gelden verhoogde rechten en een scheiding van taken. Toegang kan alleen worden verleend via interne servicetickets met de relevante goedkeuringen. Meervoudige authenticatie (MFA) wordt binnen de hele groep toegepast en single sign-on (SSO) wordt in toenemende mate ingevoerd. De toegang wordt regelmatig geëvalueerd om ervoor te zorgen dat het ‘need-to-know’-principe wordt nageleefd.
Er worden regelmatig capaciteitsbeoordelingen uitgevoerd, waarbij geautomatiseerde waarschuwingen zijn ingesteld om te bepalen wanneer de capaciteit haar limiet bereikt. Er zijn back-ups aanwezig die regelmatig worden getest om te garanderen dat ze in een ‘praktijksituatie’ zouden werken. Logbestanden worden 12 maanden bewaard.
In het gehele netwerk is netwerksegregatie geïmplementeerd, met talrijke beveiligingsmechanismen om toegang tot informatiesystemen te detecteren en te voorkomen, zoals firewalls en DMZ’s. Er vindt ook netwerkmonitoring plaats via NDR- en EDR-oplossingen.
Er wordt externe verificatie verkregen door middel van regelmatige onafhankelijke penetratietests, en er worden regelmatig kwetsbaarheidsbeoordelingen uitgevoerd van extern toegankelijke applicaties. Daarnaast worden er jaarlijkse certificeringsaudits uitgevoerd voor ISO 27001 en Cyber Essentials.
Informatiebeveiliging is verankerd in de ‘security by design’-principes voor IT-softwareontwikkeling, waarbij voor alle verplichte wijzigingen gegevensbeschermingseffectbeoordelingen (DPIA’s) worden uitgevoerd. Er zijn beleidsregels en processen voor een veilige softwareontwikkelingscyclus (SDLC) van kracht, waarbij codebeoordelingen worden uitgevoerd. Het testen wordt uitgevoerd door een intern testteam. Er is een procedure voor het faciliteren en beheren van wijzigingen die is afgestemd op de ITIL v4-principes, en er vindt wekelijks een vergadering van de Change Advisory Board plaats om geplande wijzigingen te beoordelen en goed te keuren.