TLS-inspectie met Zenarmor: techniek, AVG en de ondernemingsraad

TLS-inspectie (ook wel ssl- of https-inspectie) is in Nederland toegestaan als u haar als beveiligingsmaatregel onderbouwt en zorgvuldig inricht: een legitiem doel, proportioneel en subsidiair, met vooraf geïnformeerde medewerkers, waar nodig een DPIA en, als uw organisatie een ondernemingsraad heeft, voorafgaande instemming op grond van artikel 27 lid 1 sub l WOR. Technisch biedt Zenarmor twee niveaus: Light-weight (certificate-based), dat zonder ontsleuteling hostnaam, categorie en applicatie herkent, en Full TLS Inspection (decrypt/re-encrypt), dat het verkeer echt openbreekt en controleert. Met ruim 80 vooraf ingestelde uitzonderingen (onder meer bankieren en zorg) en inspectie per site bakent u precies af wat wel en niet wordt ontsleuteld.

In dit artikel leest u hoe beide modi werken, hoe u het certificaat uitrolt, wat het kost per Zenarmor-plan (status oktober 2026) en hoe u de AVG en de ondernemingsraad vanaf dag één meeneemt. Secrotec schrijft dit als onafhankelijke ISO 27001 Lead Auditor én officiële Zenarmor-partner in Nederland: wij richten TLS-inspectie zo in dat ze veilig én uitlegbaar is, aan medewerkers, aan de OR en aan de auditor.

Waarom TLS-inspectie: dreigingen verstoppen zich in HTTPS

Vrijwel al het webverkeer is tegenwoordig versleuteld. Dat is goed voor de privacy, maar aanvallers profiteren mee: phishingpagina's draaien op geldige certificaten, malware wordt via https binnengehaald en command-and-control-verkeer gaat schuil in gewone TLS-sessies. Volgens het ThreatLabz 2024 Encrypted Attacks Report van Zscaler zat 87,2% van de dreigingen die Zscaler in een jaar zag in TLS/SSL-versleuteld verkeer. Dat is een leverancierscijfer uit de eigen cloud, maar de trend wordt breed herkend.

Zonder inspectie ziet uw firewall van een https-sessie vooral wie met welke server praat. Hij ziet niet welk bestand wordt gedownload, welk pad op een website wordt geopend of welke gegevens via een webformulier of cloud-app naar buiten gaan. Gevolgen:

• Malware en phishing op legitieme of net geregistreerde domeinen glippen er makkelijker doorheen.
• Webfiltering werkt alleen op domeinniveau, niet op de inhoud van de pagina.
• Cloud-regels, zoals uploads naar een bestandsdeeldienst blokkeren maar downloaden toestaan, zijn zonder ontsleuteling niet af te dwingen.
• Datalekken via legitieme cloudopslag blijven grotendeels onzichtbaar.

Tegelijk is ontsleutelen ingrijpend: op het inspectiepunt is het verkeer tijdelijk leesbaar, inclusief eventuele persoonsgegevens. De kernvraag is daarom niet óf u TLS-inspectie inzet, maar hoeveel en waar.

Twee modi in Zenarmor: lichtgewicht of volledige inspectie

Light-weight (certificate-based)

In de lichtgewicht modus ontsleutelt Zenarmor niets. De engine analyseert de onversleutelde delen van de TLS-handshake, zoals de servernaam (SNI) en het servercertificaat, en bepaalt daarmee hostnaam, webcategorie en applicatie. Zo werken webfiltering, applicatiecontrole en de security-regels (phishing-, malware- en botnetdomeinen blokkeren) ook voor https-verkeer. Volgens de Zenarmor-documentatie over TLS-inspectieregels is deze modus beschikbaar in alle edities, ook de gratis editie. Een certificaat op de clients is niet nodig, al kunt u zonder vertrouwd Zenarmor-certificaat geen nette blokkeerpagina tonen voor https-sites.

Full TLS Inspection (decrypt/re-encrypt)

In de volledige modus treedt Zenarmor op als vertrouwde tussenpersoon. De TLS-sessie van de client wordt op het inspectiepunt ontsleuteld, gecontroleerd en daarna opnieuw versleuteld richting de bestemming. Daarvoor moeten de clients de Zenarmor-CA (of uw eigen CA) vertrouwen. Zenarmor ziet dan ook de volledige URL, het type inhoud en de acties binnen cloud-apps. Dat maakt real-time anti-phishing op inhoud mogelijk en, afhankelijk van uw plan, het scannen van bestanden en CASB-regels die specifieke acties zoals uploaden of delen blokkeren. Hoe dat in de praktijk een WeTransfer-lek dichtzet, leest u in ons artikel over SSE, CASB en datalekpreventie.

In de policy vindt u verder opties als "Exclude whitelisted/certificate-pinned websites from inspection", "Exclude flows without DNS enrichment data from inspection" en het blokkeren van TLS Encrypted Client Hello (ECH), dat anders de servernaam verbergt.

Kenmerk	Light-weight (certificate-based)	Full TLS Inspection (decrypt/re-encrypt)
Ontsleuteling	Nee	Ja, en daarna opnieuw versleuteld
Wat Zenarmor ziet	Hostnaam (SNI), certificaat, categorie, applicatie	Daarnaast volledige URL, inhoud, bestanden, acties in cloud-apps
CA-certificaat op clients	Niet nodig (wel voor een nette blokkeerpagina)	Verplicht
Privacy-impact	Beperkt: metadata	Hoog: inhoud is leesbaar op het inspectiepunt
Typisch gebruik	Webfilter, applicatiecontrole, security-categorieën	Malware en phishing in inhoud, CASB-acties, datalekpreventie
Beschikbaarheid	Alle edities, ook Free	Add-on bij Unified Secure; inbegrepen bij Unified Secure Plus en SSE/ZTNA/SASE

Uitzonderingen en inspectie per site

Zenarmor sluit standaard ruim 80 vooraf gedefinieerde domeinen uit van TLS-inspectie. Volgens de documentatie over het beheer van TLS-inspectie komt die lijst uit de signaturedatabase van Zenarmor. Als typische uitzonderingen noemt Zenarmor zorgbestemmingen, bank- en financiële sites, apps met certificate pinning (zoals Adobe, Apple, Cisco Webex, Microsoft 365 en de Dropbox-app) en verkeer dat niet te ontsleutelen is. Daarbovenop beheert u uw eigen bypass-lijst.

Sinds Zenarmor 2.2 (november 2025) kunt u volledige TLS-inspectie ook per site inschakelen: u ontsleutelt dan alleen de domeinen die u expliciet opgeeft, desgewenst via een CSV-upload. Dat draait de logica om: niet "alles behalve", maar "alleen dit". Voor veel mkb-organisaties is dat de meest verdedigbare start, bijvoorbeeld door alleen bestandsdeeldiensten en andere risicovolle bestemmingen te inspecteren en de rest lichtgewicht te laten.

De best practices van Zenarmor sluiten daarop aan: sluit financiële, zorg- en overheidscategorieën uit, begin met een kleine groep gebruikers, test eerst minder kritieke categorieën, isoleer BYOD- en gastnetwerken volledig en zet IoT-apparaten die geen eigen certificaten accepteren in een apart subnet.

Het certificaat uitrollen: Zenarmor-CA of eigen CA

Volledige inspectie werkt alleen als uw apparaten het certificaat vertrouwen waarmee Zenarmor het verkeer opnieuw ondertekent. In Zenconsole kunt u een CA genereren of importeren en downloaden in PEM- of CRT-formaat. Gebruikt u al een eigen PKI, kies dan bij voorkeur een aparte (sub-)CA voor inspectie en bescherm de private sleutel; dat is ook een auditpunt onder ISO 27001 A.8.24 (gebruik van cryptografie).

• Windows in een domein: via een Group Policy onder Computerconfiguratie › Beleid › Windows-instellingen › Beveiligingsinstellingen › Openbare-sleutelbeleid › Vertrouwde basiscertificeringsinstanties.
• Intune-beheerde apparaten: met een trusted certificate profile in Microsoft Intune, per platform (Windows, macOS, iOS/iPadOS, Android).
• macOS en iOS: via een configuratieprofiel uit uw MDM, zoals Intune of Jamf.
• Firefox: gebruikt een eigen certificaatopslag; laat Firefox via beleid de Windows-basiscertificaten importeren of installeer het certificaat apart. Chrome en Edge gebruiken de opslag van het besturingssysteem.
• Android: veel apps vertrouwen standaard alleen systeemcertificaten. Reken hier op extra uitzonderingen.

Controleer na de uitrol in Live Sessions of sessies de status "TLS-Inspected" krijgen en of het certificaat in de browser Zenarmor als uitgever toont. Werkt een app niet meer, dan is certificate pinning vrijwel altijd de oorzaak: zet het domein op de bypass-lijst.

Performance: wat kost ontsleutelen aan rekenkracht?

Ontsleutelen en opnieuw versleutelen kost processorkracht en geheugen. De deployment guide van Zenarmor legt de nadruk op planning en een gefaseerde uitrol; de hardwarerichtlijnen (bijvoorbeeld 0–50 apparaten circa 300 Mbps met 1 GB RAM, 250–1.000 apparaten 1–2 Gbps met 16 GB RAM) geven geen aparte TLS-cijfers. Plan daarom ruime marge en meet tijdens de pilot. Vuistregels uit onze praktijk:

• Inspecteer selectief (per site of categorie) in plaats van alles.
• Blokkeer QUIC, zodat browsers terugvallen op TCP/TLS; Zenarmor's TLS-inspectie is afhankelijk van TCP-sessiegegevens.
• Kies hardware met AES-versnelling en voldoende cores; Zenarmor 2.7 bracht multi-core-verwerking voor 10G-omgevingen op OPNsense.
• Monitor CPU-belasting en latency na elke uitbreiding van de inspectiescope.

Welke Zenarmor-plannen bevatten TLS-inspectie?

Sinds 30 september 2026 werkt Zenarmor met nieuwe plannen. Volgens de officiële plannenpagina geldt (lijstprijzen in USD, status oktober 2026, excl. btw, onder voorbehoud):

Plan	Lijstprijs per gebruiker/maand	Light-weight	Full TLS Inspection
Free	$0 (1 gebruiker/gateway)	Ja	Nee
Home	$9,99 per maand, alleen privégebruik	Ja	Nee
Unified Secure	$5,00 (10–49) · $4,50 (50–99) · $4,00 (100–150)	Ja	Add-on: +$3,00 per gebruiker/maand
Unified Secure Plus	$9,00 · $8,50 · $8,00	Ja	Inbegrepen
SSE / ZTNA / SASE	Op aanvraag	Ja	Inbegrepen

Rekenvoorbeeld (lijstprijs): voor 40 gebruikers kost Unified Secure met de TLS-add-on 40 × ($5,00 + $3,00) = $320 per maand. Unified Secure Plus kost 40 × $9,00 = $360 per maand. Voor $1 per gebruiker extra krijgt u dan 30 in plaats van 15 dagen rapportage-retentie, twee agents per gebruiker, mesh-VPN en site-to-site-koppelingen. Bij Secrotec ontvangt u bovendien partnerkorting en is de prijs in Zenarmor-projecten altijd bespreekbaar.

Juridisch kader in Nederland: AVG, DPIA en ondernemingsraad

TLS-inspectie verwerkt persoonsgegevens: IP-adressen, gebruikersnamen, bezochte sites en bij volledige inspectie ook inhoud. De AVG verbiedt dat niet, maar vraagt een zorgvuldige onderbouwing. De Europese privacytoezichthouders gebruikten TLS-inspectie zelfs letterlijk als voorbeeld in Opinion 2/2017 over gegevensverwerking op het werk (WP249) van de Artikel 29-werkgroep, de voorganger van de EDPB.

1. Doel en grondslag

De gebruikelijke grondslag is het gerechtvaardigd belang (artikel 6 lid 1 sub f AVG), ondersteund door de plicht om passende beveiligingsmaatregelen te nemen (artikel 32). Leg vast dat het doel beveiliging is, en niet het beoordelen van gedrag of prestaties. Die doelbinding is later ook uw belangrijkste argument richting de OR.

2. Proportionaliteit en subsidiariteit

Volgens WP249 is het monitoren van álle online activiteit van medewerkers disproportioneel. Onderzoek eerst minder ingrijpende middelen. Is enige onderschepping strikt noodzakelijk, configureer de inspectie dan zo dat geen permanente logging van werknemersactiviteit ontstaat, bijvoorbeeld door verdacht verkeer te blokkeren en de gebruiker naar een informatiepagina te sturen. Sluit verkeer uit waarbij onderschepping het evenwicht verstoort, zoals privé-webmail, internetbankieren en gezondheidssites, en bied bij voorkeur een niet-gemonitord alternatief, zoals gastwifi. In Zenarmor vertaalt u dat naar lichtgewicht inspectie als basis, volledige inspectie per site of categorie, een ruime bypass-lijst en een geïsoleerd gastnetwerk.

3. DPIA

De Autoriteit Persoonsgegevens schrijft op haar pagina over controle van werknemers dat u bij grootschalige en/of stelselmatige monitoring van werknemers, zoals controle van e-mail- en internetgebruik, vooraf een DPIA moet uitvoeren. Blijft er na maatregelen een hoog risico over, dan volgt een voorafgaande raadpleging van de AP. Volledige TLS-inspectie voor alle medewerkers valt al snel in die categorie; lichtgewicht inspectie met beperkte logging weegt lichter, maar documenteer die afweging.

4. Transparantie

Informeer medewerkers vooraf, bijvoorbeeld in het ICT-reglement en de privacyverklaring voor personeel: wat wordt geïnspecteerd en waarom, welke categorieën zijn uitgesloten, hoe lang gegevens worden bewaard, wie toegang heeft en waar men terechtkan met vragen. De AP wijst er ook op dat u rekening moet houden met het recht op vertrouwelijke communicatie.

5. Ondernemingsraad: instemmingsrecht

Artikel 27 lid 1 sub l van de Wet op de ondernemingsraden geeft de OR instemmingsrecht bij een regeling inzake voorzieningen die "gericht zijn op of geschikt zijn voor" waarneming van of controle op aanwezigheid, gedrag of prestaties van medewerkers. Het woord geschikt is beslissend: een firewall met TLS-inspectie en rapportage per gebruiker valt eronder, ook als het doel puur beveiliging is. Vaak speelt ook sub k (verwerking en bescherming van persoonsgegevens van personeel). Voert u het besluit zonder instemming uit, dan kan de OR binnen een maand een beroep doen op de nietigheid (lid 5). Alleen als het onderwerp al inhoudelijk in een cao is geregeld, vervalt het instemmingsrecht (lid 3).

Praktisch: dien een instemmingsaanvraag in met een begrijpelijke technische beschrijving, het doel, de uitzonderingen, de bewaartermijn, de toegangsrollen en een evaluatiemoment. Een OR die vroeg wordt meegenomen, is zelden het probleem; een OR die het achteraf ontdekt wel.

Eis	Wat u vastlegt	Invulling in Zenarmor
Doelbinding	Alleen beveiliging, geen prestatiebeoordeling	Policies gericht op security-categorieën en risicovolle bestemmingen
Dataminimalisatie	Lichtgewicht waar het kan, volledig waar het moet	Light-weight als basis, volledige inspectie per site of categorie
Gevoelige bestemmingen	Bank, zorg, overheid, privé-webmail uitsluiten	80+ vooraf ingestelde uitzonderingen plus eigen bypass-lijst
Bewaartermijn	Termijn per soort log, onderbouwd	Retentie-instelling rapportagedatabase en streaming naar SIEM
Toegang	Wie mag logs inzien en wanneer	Rollen in Zenconsole en audit trail van beheeracties
Alternatief	Niet-gemonitord privégebruik	Geïsoleerd gastnetwerk zonder inspectie

Let op: dit artikel is geen juridisch advies. Het geeft de hoofdlijnen per oktober 2026 weer; laat uw concrete situatie toetsen door uw functionaris gegevensbescherming of een arbeids- en privacyjurist.

Koppeling met ISO 27001, TISAX en de Cyberbeveiligingswet

TLS-inspectie is geen doel op zich, maar een technische invulling van eisen uit meerdere kaders. Zenarmor ondersteunt die eisen; compliant wordt u door het geheel van beleid, risicoanalyse en aantoonbare werking.

Kader	Beheersmaatregel	Bijdrage van TLS-inspectie
ISO 27001:2022	A.8.7 Bescherming tegen malware	Detectie van malware en phishing, ook in versleuteld verkeer
ISO 27001:2022	A.8.20 Netwerkbeveiliging	Zicht op en controle over netwerkverkeer
ISO 27001:2022	A.8.23 Webfiltering	Categorieën en policies werken ook op https
ISO 27001:2022	A.8.24 Gebruik van cryptografie	Beheer en bescherming van de inspectie-CA
TISAX (VDA ISA 6)	5.2.3 Bescherming tegen malware	Inspectie op netwerkovergangen, ook van versleutelde verbindingen
Cyberbeveiligingswet / NIS2 art. 21	Zorgplicht: netwerk- en systeembeveiliging, cryptografiebeleid	Aantoonbare, risicogebaseerde controle van versleuteld verkeer

De TISAX-nummering is die van VDA ISA 6 en kan in ISA2027 verschuiven. Meer over de technische TISAX-controls leest u in ons artikel over TISAX-voorbereiding en netwerkbeveiliging; de tien maatregelen van de Cbw staan in de zorgplicht uitgelegd.

Stappenplan: TLS-inspectie invoeren zonder gedoe

Hoe Secrotec helpt

Secrotec is onafhankelijk ISO 27001 Lead Auditor én officiële Zenarmor-partner in Nederland. Dat combineert twee perspectieven die bij TLS-inspectie samenkomen: de technische inrichting en de vraag of die inrichting een audit, een DPIA-toets en een OR-gesprek doorstaat.

• Wij leveren de technische input voor uw DPIA en een begrijpelijke beschrijving voor de instemmingsaanvraag bij de OR.
• Wij configureren Zenarmor met lichtgewicht inspectie als basis, volledige inspectie waar het risico dat rechtvaardigt, en een onderbouwde bypass-lijst.
• Wij koppelen de instellingen aan ISO 27001 Annex A, de Cbw-zorgplicht en VDA ISA, zodat u het bewijs klaar hebt voor de auditor.
• U koopt de licenties via ons met partnerkorting; de prijs is in Zenarmor-projecten altijd bespreekbaar.

Bekijk de mogelijkheden op onze pagina Zenarmor-partner in Nederland, lees hoe u Zenarmor-rapportage als auditbewijs inzet, of ga terug naar het overzicht Firewall & Networks.