---
domein: screening-bewustzijn
titel: Beleid screening, bewustzijn en opleiding
samenvatting: Over de mens als onderdeel van de beveiliging, van werving tot vertrek. Behandelt screening, aanstelling en geheimhouding, training en bewustzijn, scholing van het bestuur, functiewijziging en vertrek, en de disciplinaire procedure bij niet naleven.
invoeren:
  - Stel een screeningsbeleid op met een lijst van functies met verhoogd risico (hoofdstuk 3).
  - Neem een vaste tekst over informatiebeveiliging en geheimhouding op in arbeids- en inhuurcontracten (hoofdstuk 4).
  - Bundel de regels en instructies voor medewerkers op één vindbare plek op het intranet (hoofdstuk 4).
  - Richt een training informatiebewustzijn met toets in en registreer deelname en resultaat (hoofdstuk 5).
  - Plan ten minste twee bewustzijnsmetingen per jaar, bijvoorbeeld een phishingsimulatie (hoofdstuk 5).
  - Organiseer jaarlijkse scholing voor bestuurders en een cyberoefening eens per twee jaar (hoofdstuk 6).
  - Maak een vertrekchecklist voor het intrekken van rechten en innemen van middelen (hoofdstuk 7).
  - Leg een disciplinaire procedure vast die ook geldt voor overtredingen van beveiligingsregels (hoofdstuk 8).
---

## 1. Doel en reikwijdte

Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor de mens als onderdeel van de
beveiliging: wie de organisatie aanneemt, wat iemand bij binnenkomst, tijdens het werk en bij vertrek moet
weten en ondertekenen, hoe bestuur en medewerkers hun kennis op peil houden en wat er gebeurt als iemand
de regels niet naleeft. Het gaat over de ISO-beheersmaatregelen 5.4 en 6.1 tot en met 6.6.

**Voor wie.** Het beleid is primair bedoeld voor de afdeling personeelszaken, de leidinggevenden en de
CISO. De regels gelden voor bestuurders, medewerkers in vaste en tijdelijke dienst, inhuur, stagiairs,
vrijwilligers en iedereen die onder verantwoordelijkheid van de organisatie werkt en toegang heeft tot
informatie of informatiesystemen.

**Waarop.** Alle functies en opdrachten binnen de organisatie, van de werving tot en met het vertrek, en
de training en scholing die daarbij horen. Zijn werving, screening of training uitbesteed, bijvoorbeeld aan
een uitzendbureau, een detacheerder of een opleider, dan gelden de eisen uit dit beleid als minimumeis voor
die partij. De organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke
verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via
het beleid informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer. Voor medewerkers
van leveranciers die niet onder verantwoordelijkheid van de organisatie werken, gelden de eisen uit het
beleid informatiebeveiliging bij inkoop.

Buiten dit beleid vallen fysieke toegang (beleid fysieke toegang en beveiliging), het toekennen en intrekken
van accounts (beleid logische toegangsbeveiliging), het innemen van bedrijfsmiddelen (beleid
bedrijfsmiddelenbeheer) en de integriteitsregels die niet over informatie gaan (gedragscode en
integriteitsbeleid van de organisatie).

## 2. Uitgangspunten

1. Wie toegang heeft tot informatie, is persoonlijk verantwoordelijk voor zorgvuldig gebruik ervan.
2. De zwaarte van screening en training volgt het risico van de functie.
3. Fouten en incidenten worden gemeld zodat de organisatie ervan leert. Wie meldt, wordt daar niet op
   afgerekend; herhaald of verwijtbaar onveilig gedrag heeft wel gevolgen.
4. Geheimhouding en zorgvuldig gebruik van informatie eindigen niet met het dienstverband.
5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.
   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.

## 3. Screening

- De organisatie heeft een screeningsbeleid dat
  [[vaststeller screeningsbeleid: de functie of het orgaan dat het screeningsbeleid vaststelt, bijvoorbeeld de directie]]
  vaststelt en dat [[lijneigenaar personeel: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd HR]]
  jaarlijks beoordeelt. Dit hoofdstuk is daarvan de kern. [6.01.01]
- HR houdt een lijst bij van functies met een verhoogd risico, zoals functies met beheerrechten, toegang tot
  bijzondere persoonsgegevens, financiële bevoegdheden of toegang tot landelijke voorzieningen. De CISO en de
  privacy officer adviseren over de lijst; HR stelt hem jaarlijks bij en legt de versie met datum vast.
  [6.01.01]
- Voor functies op die lijst vraagt HR bij indiensttreding en bij functiewijziging een Verklaring Omtrent
  het Gedrag met een screeningsprofiel dat bij de functie past, en controleert HR de identiteit aan de hand
  van een geldig identiteitsbewijs en het arbeidsverleden aan de hand van referenties of diploma's. Voor
  overige functies beslist de leidinggevende op basis van een risicoafweging die in het personeelsdossier
  staat. [6.01.01]
- Voor vertrouwensfuncties die als zodanig zijn aangewezen, laat HR het veiligheidsonderzoek volgens de Wet
  veiligheidsonderzoeken uitvoeren voordat de medewerker de functie vervult. [6.01.01]
- Bij inhuur legt het contract dezelfde eisen op; de inhurende leidinggevende controleert voor de start dat
  de verklaring er is en legt dat vast bij de inhuuropdracht. [6.01.01]
- Bij functies met een verhoogd risico herhaalt HR de screening na
  [[herhaaltermijn screening: bijvoorbeeld elke vijf jaar of bij een nieuwe functie op de lijst]];
  de datum van de laatste screening staat in het personeelsdossier. [6.01.01]
- Zolang de screening niet is afgerond, krijgt de medewerker geen toegang tot de systemen en informatie
  waarvoor de screening nodig is. De leidinggevende legt de afgeronde screening vast voordat de toegang
  wordt aangevraagd. [6.01.01]

## 4. Aanstelling en geheimhouding

- Bij aanstelling of functiewisseling wijst de leidinggevende de medewerker op de eigen verantwoordelijkheden
  voor informatiebeveiliging en privacy. De medewerker bevestigt de gedragsregels voor
  informatiegebruik kent; die bevestiging zit in het personeelsdossier. [6.02.01]
- De arbeidsovereenkomst, de aanstelling of het inhuurcontract benoemt de verantwoordelijkheid van de
  medewerker voor informatiebeveiliging, de plicht om incidenten te melden en de gevolgen van niet naleven.
  HR gebruikt daarvoor een vaste tekst die de CISO en de juridische functie jaarlijks toetsen. [6.02.01]
- De regels en instructies die voor medewerkers gelden, staan op één vindbare plek op het intranet en zijn
  vanaf de eerste werkdag bereikbaar. [[lijneigenaar personeel]] controleert jaarlijks of de set compleet en
  actueel is. [6.02.01]
- Elke medewerker, inhuurkracht, stagiair en vrijwilliger ondertekent voor de eerste werkdag een
  geheimhoudingsverklaring, of de arbeidsovereenkomst of het contract bevat een geheimhoudingsbepaling met
  dezelfde inhoud. Waar de wet al een geheimhoudingsplicht oplegt, verwijst de bepaling daarnaar. HR
  bewaart de ondertekende verklaring in het personeelsdossier of bij de inhuuropdracht. [6.06.01]
- De geheimhoudingsbepaling zegt ten minste welke informatie eronder valt (alles wat niet openbaar is
  volgens het beleid informatieclassificatie), dat de plicht na het dienstverband doorloopt, wat de
  medewerker bij een vermoeden van een lek moet doen en welke gevolgen niet naleven heeft. De CISO en de
  juridische functie beoordelen de tekst jaarlijks en bij een wetswijziging. [6.06.01]
- Krijgt een externe partij, zoals een adviseur, auditor of onderzoeker, tijdelijk toegang tot
  vertrouwelijke informatie zonder dat daar een contract met geheimhoudingsbepaling onder ligt, dan laat de
  opdrachtgevende leidinggevende die persoon vooraf een geheimhoudingsverklaring tekenen en bewaart die.
  [6.06.01]

## 5. Training en bewustzijn

- Iedere medewerker en iedere contractant die met de informatiesystemen werkt, rondt binnen drie maanden na
  indiensttreding een training informatiebewustzijn met een toets af. HR registreert de deelname en het
  resultaat; zonder afgeronde training na drie maanden meldt HR dit aan de leidinggevende. [6.03.02]
- Daarna volgt iedere medewerker jaarlijks een opfrissing, digitaal of klassikaal; HR registreert de
  deelname. [5.04.01, 6.03.01]
- De training behandelt ten minste: de regels voor het omgaan met informatie en persoonsgegevens, het
  herkennen van phishing en misleiding, hoe en waar een incident of datalek te melden, en veilig werken
  buiten kantoor en op mobiele apparaten (openbare netwerken, meekijken, verlies en diefstal). De CISO stelt
  de inhoud jaarlijks bij op basis van de incidenten en de metingen van het afgelopen jaar. [5.04.01, 6.03.01, 6.03.04]
- Waar medewerkers met gerubriceerde informatie of in een omgeving met eigen eisen werken, krijgen zij van
  de leidinggevende aanvullende instructie over die eisen voordat zij ermee werken; de instructie wordt
  vastgelegd. [6.03.01]
- Functies met een verhoogd risico (hoofdstuk 3) krijgen jaarlijks aanvullende training die past bij hun
  rol, zoals beheerders, ontwikkelaars en medewerkers die met bijzondere persoonsgegevens werken. De CISO
  bepaalt per functiegroep de inhoud; HR registreert de deelname. [6.03.01]
- Leidinggevenden bespreken informatiebeveiliging bij aanstelling, overplaatsing en ten minste eenmaal per
  jaar in het werkoverleg of het jaargesprek, en spreken medewerkers aan die de training niet volgen. De
  bespreking blijkt uit het verslag van het werkoverleg of het jaargesprek. [6.03.03]
- De CISO voert ten minste twee keer per jaar een bewustzijnsmeting uit, bijvoorbeeld een
  phishingsimulatie, en gebruikt de uitkomst voor het programma van het volgende jaar. De uitkomst staat in
  de rapportage aan het bestuur. [6.03.01]

## 6. Scholing van het bestuur

- Bestuurders volgen bij aantreden en daarna ten minste jaarlijks scholing over cyberrisico's: welke
  dreigingen de organisatie raken, wat de gevolgen zijn voor de dienstverlening en wat hun eigen rol is bij
  een incident of crisis. De CISO organiseert de scholing en HR registreert de deelname. [5.04.01]
- Bestuurders tonen hun kennis aan met een registratie van de gevolgde scholing, en met een jaarlijkse
  bespreking van het risicobeeld met de CISO waarin zij de gevolgen voor de dienstverlening beoordelen. Het
  verslag van die bespreking is het bewijs. [5.04.01]
- Bestuurders doen ten minste eenmaal per twee jaar mee aan een oefening met een cyberincident. De CISO
  plant de oefening en legt de deelname en de leerpunten vast. [5.04.01]

## 7. Functiewijziging en vertrek

- Bij vertrek of functiewijziging voert de leidinggevende een vertrekgesprek of overdrachtsgesprek waarin
  hij de medewerker wijst op de geheimhoudingsplicht die na het dienstverband doorloopt en op de
  verantwoordelijkheden die tot de laatste werkdag blijven gelden. De medewerker bevestigt dit schriftelijk;
  de bevestiging gaat in het personeelsdossier. [6.05.01]
- De leidinggevende zorgt dat rechten en middelen bij vertrek of functiewijziging worden ingetrokken en
  ingenomen volgens het beleid logische toegangsbeveiliging en het beleid bedrijfsmiddelenbeheer, uiterlijk
  op de laatste werkdag in de oude functie, en bevestigt dat aan HR met de vertrekchecklist. [6.05.01]
- Bij een functiewijziging beoordeelt de leidinggevende welke kennis, rechten en verantwoordelijkheden uit
  de oude functie vervallen en welke overgaan, en legt de overdracht vast in de checklist. [6.05.01]
- HR meldt elk vertrek en elke functiewijziging binnen
  [[meldtermijn personeelsmutaties: de termijn waarbinnen HR een mutatie doorgeeft, bijvoorbeeld twee werkdagen]]
  aan de beheerders van toegang en bedrijfsmiddelen, zodat die de intrekking en inname kunnen uitvoeren.
  [6.05.01]
- Bij inhuur en detachering gelden dezelfde stappen; de inhurende leidinggevende voert ze uit op de laatste
  dag van de opdracht. [6.05.01]

## 8. Niet naleven en disciplinaire procedure

- Onveilig of onzorgvuldig gedrag bespreekt de leidinggevende eerst met de medewerker, gericht op herhaling
  voorkomen. De leidinggevende legt het gesprek vast als het gedrag tot een incident heeft geleid. [6.04.01]
- De organisatie heeft een disciplinaire procedure die ook geldt voor overtredingen van de
  informatiebeveiligingsregels. HR legt daarin vast welke stappen gelden (gesprek, schriftelijke
  waarschuwing, arbeidsrechtelijke maatregel), wie beslist, hoe de medewerker wordt gehoord en welke
  maatregelen mogelijk zijn volgens de rechtspositieregeling of het contract. [6.04.01]
- Bij herhaald, structureel of verwijtbaar gedrag, of gedrag dat tot een ernstig incident leidt, start de
  leidinggevende de disciplinaire procedure. De zwaarte van de maatregel volgt de ernst van de overtreding,
  of het de eerste keer is, de opzet en de schade. De CISO adviseert over de ernst; HR legt het besluit
  vast in het personeelsdossier. [6.04.01]
- Voordat een maatregel wordt opgelegd, stelt de leidinggevende met HR vast dat de medewerker de regel
  kende of had kunnen kennen, met de bevestiging uit hoofdstuk 4 en de trainingsregistratie uit hoofdstuk
  5 als bewijs. [6.04.01]
- HR rapporteert jaarlijks aan de CISO, geanonimiseerd, hoeveel disciplinaire trajecten over
  informatiebeveiliging zijn gestart en wat de uitkomst was, zodat de CISO het bewustwordingsprogramma kan
  bijstellen. [6.04.01]

## 9. Rollen en verantwoordelijkheden

| Rol | Verantwoordelijk voor |
|---|---|
| [[lijneigenaar personeel]] | Screeningsbeleid, functielijst, geheimhoudingsverklaringen, registratie van screening en training, vertrekchecklist, disciplinaire procedure |
| Leidinggevenden | Screening bij overige functies, instructie bij aanstelling en vertrek, aandacht in werkoverleg en jaargesprek, aanspreken, starten van de disciplinaire procedure |
| CISO | Inhoud van het bewustwordingsprogramma, metingen, advies over de functielijst en de geheimhoudingstekst, scholing en oefening van het bestuur, advies bij disciplinaire trajecten |
| Privacy officer | Privacy-onderdeel van training, functielijst en geheimhoudingstekst |
| Juridische functie | Toets van de contractteksten en de geheimhoudingsbepaling |
| Bestuur | Eigen scholing, oefening en de jaarlijkse bespreking van het risicobeeld |
| Medewerkers | Training volgen, regels naleven, geheimhouding ook na vertrek, incidenten melden |

## 10. Naleving en controle

**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en
het bewijs worden vastgelegd in [[registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem]];
afwijkingen gaan als bevinding naar het risicoregister.

| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |
|---|---|---|---|---|---|
| SBO-01 | Voor elke medewerker en inhuurkracht in een functie met verhoogd risico is de screening uitgevoerd en vastgelegd voordat de toegang is verleend, en herhaald binnen de termijn | CISO | Jaarlijks | Steekproef van ten minste tien dossiers uit de functielijst: verklaring, datum van screening, datum van toegang | 6.01.01 |
| SBO-02 | Elke nieuwe medewerker, inhuurkracht, stagiair en vrijwilliger heeft de bevestiging van de gedragsregels en een geheimhoudingsbepaling of -verklaring in het dossier | [[lijneigenaar personeel]] | Per kwartaal | Vergelijking van de instroom van het kwartaal met de dossiers | 6.02.01, 6.06.01 |
| SBO-03 | Nieuwe medewerkers hebben binnen drie maanden de training met toets afgerond en alle medewerkers hebben een opfrissing van ten hoogste een jaar oud; functies met verhoogd risico hebben de aanvullende training gevolgd | [[lijneigenaar personeel]] | Per kwartaal | Rapport uit de trainingsregistratie met percentages per groep en de meldingen aan leidinggevenden | 6.03.01, 6.03.02, 6.03.04 |
| SBO-04 | Leidinggevenden hebben informatiebeveiliging in het afgelopen jaar in het werkoverleg of jaargesprek besproken | CISO | Jaarlijks | Steekproef van ten minste vijf teams: verslagen van werkoverleg of jaargesprek | 6.03.03 |
| SBO-05 | Bestuurders hebben de jaarlijkse scholing gevolgd, het risicobeeld met de CISO besproken en binnen twee jaar aan een oefening deelgenomen | Interne audit of accountant | Jaarlijks | Registratie van scholing en oefening, verslag van de bespreking van het risicobeeld | 5.04.01 |
| SBO-06 | Bij elk vertrek en elke functiewijziging is de vertrekchecklist afgerond, de medewerker gewezen op de doorlopende geheimhouding en de mutatie binnen de termijn gemeld | [[lijneigenaar personeel]] | Per kwartaal | Vergelijking van de uitstroom en functiewijzigingen van het kwartaal met de afgeronde checklists en de meldingen | 6.05.01 |
| SBO-07 | De bewustzijnsmetingen zijn uitgevoerd en de uitkomst en de disciplinaire trajecten zijn verwerkt in het programma van het volgende jaar | CISO | Jaarlijks | Rapportage van de metingen, geanonimiseerde rapportage van HR, programma met de wijzigingen | 6.03.01, 6.04.01 |
| SBO-08 | De disciplinaire procedure is vastgesteld, geldt voor overtredingen van de informatiebeveiligingsregels en is in het afgelopen jaar toegepast volgens de vastgelegde stappen | Interne audit of accountant | Jaarlijks | Vastgestelde procedure, geanonimiseerde steekproef van de trajecten | 6.04.01 |

**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De
leidinggevende dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd.
De afwijking geldt pas na acceptatie van het risico door [[risico-eigenaar: de manager die restrisico's accepteert]]
en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.

**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot
het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.

## 11. Samenhang

Dit beleid valt onder het strategisch informatiebeveiligingsbeleid en staat naast het privacybeleid en de
gedragscode. Het raakt het beleid logische toegangsbeveiliging (rechten bij in-, door- en uitstroom), het
beleid bedrijfsmiddelenbeheer (inleveren bij vertrek), het beleid informatieclassificatie (wat onder de
geheimhouding valt), het beleid mobile device management (veilig mobiel werken), het beleid
beveiligingsincidenten (melden) en het beleid informatiebeveiliging bij inkoop (screening van medewerkers
van leveranciers).