Een due diligence proces tijdens de deal staat onder tijdsdruk. De dataroom gaat open, vragenlijsten worden uitgezet, adviseurs leveren bevindingen aan en de transactiedocumentatie loopt parallel. Juist in die fase ontstaat het risico dat digitale due diligence een documentreview wordt in plaats van een toetsing. Een beleid, certificaat of managementantwoord kan relevant zijn, maar is geen bewijs dat de maatregel werkt.
De dataroom is het startpunt voor verificatie
Een dataroom bevat meestal wat beschikbaar is, niet noodzakelijk wat nodig is. Er staan contracten, policies, organogrammen, verzekeringsdocumenten, pentestverslagen en soms een applicatielijst. Die documenten zijn nuttig, maar ze laten vaak niet zien of rechten actueel zijn, of back-ups herstelbaar zijn, of incidenten tijdig worden gezien, of leveranciersafspraken aansluiten op klantverplichtingen.
Daarom hoort dataroom due diligence altijd te worden aangevuld met verificatie. Een IAM-overzicht wordt getoetst aan actieve accounts, beheerrechten en joiner-mover-leaver processen. Bij MFA gaat het om de dekking voor beheerders, VPN, cloudportalen en kritieke SaaS-omgevingen. Logging krijgt betekenis door monitoring en opvolging; bij back-ups tellen restore-tests, RTO, RPO, scheiding van productieomgevingen en bescherming tegen ransomware.
NCSC wijst erop dat monitoring nodig is om afwijkingen, patronen en mogelijke aanvallen te herkennen. Zelfs wanneer monitoring nog niet volwassen is, blijft het verzamelen van systeem- en netwerklogs waardevol om achteraf te kunnen reconstrueren wat is gebeurd. Voor een dealteam is dat relevant: zonder logging is het lastiger om historische incidenten, laterale beweging, datadiefstal of de juistheid van managementverklaringen te beoordelen.
Wat u tijdens exclusiviteit moet toetsen
Tijdens exclusiviteit moet het due diligence onderzoek snel naar de kern. U onderzoekt niet de volledige IT-omgeving alsof u een meerjarig auditprogramma uitvoert. U bepaalt welke risico’s materieel zijn voor de transactie. Dat vraagt om een risk-based aanpak waarin bedrijfsmodel, data, technologie, contracten en regelgeving samen worden bekeken.
NIST CSF 2.0 is hiervoor bruikbaar omdat het cybersecurityrisico’s ordent in governance, identificatie, bescherming, detectie, response en recovery. De Core helpt om risico’s te begrijpen, te beoordelen, te prioriteren en te communiceren. Dat is precies wat een dealproces nodig heeft: een gemeenschappelijke taal tussen investeerder, management, juristen, IT, security, finance en integratieteam.
Een technology risk assessment tijdens de deal moet daarom beginnen bij kritieke bedrijfsprocessen. Welke systemen genereren omzet? Welke data zijn nodig voor levering, facturatie, compliance of rapportage? Welke leveranciers zijn single points of failure? Welke contracten bevatten securityverplichtingen, auditrechten, datalokalisatie-eisen of change-of-control bepalingen? Welke systemen moeten direct na closing worden geïntegreerd of juist tijdelijk gescheiden blijven?
Privacy due diligence tijdens de deal
Voor privacy due diligence geldt hetzelfde. Een register of verwerkersovereenkomst is geen eindpunt. Het gaat om de vraag of persoonsgegevens feitelijk worden verwerkt zoals beschreven, of subverwerkers bekend zijn, of internationale doorgifte beheerst wordt, of bewaartermijnen uitvoerbaar zijn en of datalekprocedures aansluiten op operationele detectie.
Privacyrisico’s raken in M&A zowel de juridische positie als klantvertrouwen, contractuele aansprakelijkheid, integratiecomplexiteit en soms de mogelijkheid om data na closing te gebruiken.
Red flags verwerken in contractuele afspraken
De waarde van due diligence zit in de vertaling naar actie. Een bevinding die niet doorwerkt in prijs, voorwaarden, garanties, indemnities, TSA-afspraken of integratieplanning blijft een observatie. Iedere materiële digitale bevinding wordt daarom gekoppeld aan een helder besluit.
Cyber en data privacy due diligence kan leiden tot pre-closing conditions, covenants, representations and warranties, prijsaanpassingen of specifieke afspraken over risicoallocatie. Ook kan de koper na closing bekende red flags moeten remediëren, IT-assets integreren, cybersecuritybeleid aanpassen en monitoringprotocollen invoeren.
Dat geldt nadrukkelijk voor leveranciersrisico’s. Veel targets zijn afhankelijk van externe IT-beheerpartijen, cloudplatformen, softwareontwikkelaars, hostingproviders, payrollsystemen, securityleveranciers en dataverwerkers. De koper moet begrijpen welke verplichtingen en aansprakelijkheden uit die relaties voortkomen, welke data worden gedeeld, welke subverwerkers betrokken zijn en of change-of-control invloed heeft op dienstverlening of prijsstelling.
- Het risico accepteren en het besluit vastleggen.
- De bevinding vóór closing mitigeren.
- Het risico contractueel afdekken.
- Budget, eigenaarschap en opvolging opnemen in de post-deal planning.
Incident response raakt de deal direct
Een incident tijdens de deal kan de dynamiek direct veranderen. Closing kan vertragen, disclosureverplichtingen kunnen ontstaan, klanten moeten mogelijk worden geïnformeerd en de onderhandelingspositie verschuift. Daarom moet het due diligence proces vaststellen of de target incidenten kan detecteren, beoordelen, rapporteren, mitigeren en herstellen.
De Cyberbeveiligingswet verankert zorgplicht, meldplicht en registratieplicht voor veel organisaties in Nederland. De Memorie van Toelichting beschrijft dat significante incidenten door essentiële en belangrijke entiteiten gemeld moeten worden bij het CSIRT en de toezichthoudende instantie.
De volgende rode vlaggen kunnen na signing uitgroeien tot een closing issue:
- Ontbrekende detectie, waardoor incidenten mogelijk onopgemerkt blijven.
- Onvolledige logging, waardoor reconstructie beperkt is.
- Onduidelijke verantwoordelijkheden rond melding en escalatie.
- Back-ups waarvan het herstel niet is getest.
- Leveranciers die niet aantoonbaar in het incidentproces zijn opgenomen.
Afspraken die standhouden richting closing
Tijdens de deal zijn snelheid en toetsbaarheid beide belangrijk. Een goede due diligence checklist koppelt antwoorden aan bewijs. Zo wordt duidelijk welke maatregelen bestaan, welke aantoonbaar werken, welke risico’s openstaan en welke afspraken nodig zijn om die risico’s te beheersen.
Het due diligence proces eindigt in een dealrelevante risicopositie die direct bruikbaar is voor het dealteam. Daarin staat:
- Welke bevindingen de waardering beïnvloeden.
- Welke onderwerpen een closing condition vereisen.
- Welke risico’s in garanties of specifieke vrijwaringen thuishoren.
- Welke maatregelen in het integratiebudget moeten worden opgenomen.
- Welke punten op dag één bestuurlijke opvolging vragen.
