# Beleid afvoer en hergebruik van gegevensdragers

Word nodig? Kies dit stuk in de [generator](beleidsset-generator.html) en download het daar, zonder of met je eigen antwoorden.

| | |
|---|---|
| Documenttype | Beleid informatiebeveiliging onder het strategisch informatiebeveiligingsbeleid; BIO 2.0-domein *Afvoer en hergebruik gegevensdragers* |
| Status | Concept, vast te stellen door de organisatie |
| Eigenaar | **[eigenaar van dit beleid]** |
| Vaststeller | **[vaststeller]** |
| Evaluatie | Jaarlijks, in de plan-do-check-act-cyclus van het managementsysteem voor informatiebeveiliging |

**In het kort.** Over gegevensdragers, van USB-stick en harde schijf tot papier, en over informatie in systemen die niet meer nodig is. Behandelt het gebruik van verwijderbare media, wissen en vernietigen, afvoer en hergebruik van apparatuur, wissen in systemen en transport.

**Onderwerpen.** 3. Gebruik van verwijderbare media; 4. Wissen en vernietigen; 5. Afvoer en hergebruik van apparatuur; 6. Wissen van informatie in systemen; 7. Transport.

Zonder profiel: tekst die van een contextvraag afhangt, staat in een kader met de vraag erboven.

## 1. Doel en reikwijdte

Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor gegevensdragers: alles waarop
informatie van de organisatie is opgeslagen en dat los kan worden gebruikt, vervoerd, hergebruikt of
afgevoerd. Het doel is dat informatie niet uitlekt bij gebruik, transport, reparatie, hergebruik of afvoer
van die dragers, en dat informatie die niet meer nodig is ook uit de systemen verdwijnt. Het gaat over de
ISO-beheersmaatregelen 7.10, 7.14 en 8.10.

**Voor wie.** Het beleid is primair bedoeld voor de afdeling die dragers en apparatuur beheert, wist en
afvoert, en voor de eigenaren van de informatie die erop staat. De gedragsregels gelden voor iedereen die
gegevensdragers van de organisatie gebruikt, beheert of vervoert: medewerkers, inhuur, stagiairs,
vrijwilligers en leveranciers.

**Waarop.** Verwijderbare media (USB-sticks, externe schijven, geheugenkaarten, optische schijven,
back-uptapes), vaste opslag in apparatuur (harde schijven en SSD's in werkplekken, servers, printers,
multifunctionals en netwerkapparatuur), opslag in mobiele apparaten, papier, en de informatie in systemen en
clouddiensten die gewist moet worden als zij niet meer nodig is. Is het wissen, vernietigen, vervoeren of
opslaan uitbesteed, bijvoorbeeld aan een vernietigingsbedrijf, een koerier of een clouddienst, dan gelden de
eisen uit dit beleid als minimumeis voor die leverancier. De organisatie legt dat vast in het contract en
toetst de naleving met een onafhankelijke verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of
ISAE 3000-rapport; het vastleggen loopt via het beleid informatiebeveiliging bij inkoop, het toetsen via het
beleid contractbeheer.

Buiten dit beleid vallen de inventaris en de inname van apparatuur (beleid bedrijfsmiddelenbeheer), de
versleutelingseisen zelf (beleid cryptografie), de bewaartermijnen uit de Archiefwet en de selectielijsten
(archiefbeheer) en het maken en bewaren van back-ups (beleid back-up en recovery).

## 2. Uitgangspunten

1. Informatie hoort in de systemen van de organisatie. Een verwijderbaar medium is de uitzondering en vraagt
   een besluit.
2. Een drager die de organisatie verlaat, bevat geen leesbare informatie van de organisatie meer, tenzij het
   transport daarvoor bedoeld is en beveiligd is.
3. Wissen is pas klaar als het is gecontroleerd en vastgelegd.
4. Informatie die niet meer nodig is, wordt gewist: bewaren zonder doel vergroot de schade bij een incident.
5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden.
   De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid.

## 3. Gebruik van verwijderbare media

1. Het opslaan van informatie op verwijderbare media is standaard niet toegestaan en technisch geblokkeerd op
   beheerde werkplekken. Een uitzondering vraagt de gebruiker aan bij
   **[aanvraagpunt uitzonderingen]**,
   met akkoord van de leidinggevende en, voor informatie met het label vertrouwelijk of hoger, van de CISO.
   Een uitzondering geldt ten hoogste een jaar en staat in het uitzonderingenregister. [7.10.01]
2. Toegestane media zijn eigendom van de organisatie, staan in de inventaris met de gebruiker als beheerder
   en zijn versleuteld volgens het beleid cryptografie. Privémedia worden niet gebruikt voor informatie van de
   organisatie. [7.10.01]
3. Een medium met informatie met het label vertrouwelijk of hoger bewaart de gebruiker achter slot als hij
   het niet gebruikt, en meldt hij bij verlies direct als beveiligingsincident. [7.10.01]
4. Media die de organisatie niet meer nodig heeft, levert de gebruiker in bij
   **[uitgiftepunt apparatuur]**;
   het uitgiftepunt wist of vernietigt ze volgens hoofdstuk 4. [7.10.01]

## 4. Wissen en vernietigen

1. **[lijneigenaar gegevensdragers]** stelt een
   verwijderinstructie voor gegevensdragers vast en beoordeelt die jaarlijks. Die schrijft voor dat van elk
   herbruikbaar medium dat de organisatie verlaat (verkoop, retour aan leverancier, reparatie, schenking,
   einde lease) eerst alle informatie onherstelbaar wordt verwijderd. Het gaat daarbij om de hele drager,
   niet alleen om de bestanden die de gebruiker kent. [7.10.01]
2. De verwijderinstructie noemt per type drager en per vertrouwelijkheidslabel de toegestane methode:
   cryptografisch wissen of overschrijven met een erkende methode voor herbruikbare dragers, en fysieke
   vernietiging (versnipperen, desintegreren) voor dragers die niet betrouwbaar te wissen zijn, defecte
   dragers en dragers met informatie met het label geheim. [7.10.01]
3. Voor het wissen gebruikt de organisatie waar mogelijk producten met een positief inzetadvies van het NBV.
   Wijkt de organisatie daarvan af, dan legt de CISO de reden en het gekozen alternatief vast. [7.10.02]
4. Na het wissen controleert de uitvoerder per drager met een steekproef of een verificatiefunctie van het
   wisproduct dat er geen informatie meer te herstellen is. Van elke gewiste of vernietigde drager maakt de
   uitvoerder een verslag met: kenmerk uit de inventaris, methode, product en versie, datum, uitvoerder en
   uitkomst van de controle. Het verslag wordt bewaard gedurende **[bewaartermijn wisverslag]**. [7.10.02]
5. Laat de organisatie het wissen of vernietigen uitvoeren door een leverancier, dan staan de methode, de
   controle en het verslag per drager (vernietigingscertificaat met serienummers) in het contract.
   **[uitgiftepunt apparatuur]** vergelijkt elke levering van certificaten met de lijst van afgegeven dragers en
   legt verschillen vast als afwijking. [7.10.02]
6. Papier met informatie met het label intern of hoger gaat in afgesloten containers voor vernietiging; de
   vernietigingsleverancier levert per lediging een certificaat. [7.10.01]

## 5. Afvoer en hergebruik van apparatuur

1. Apparatuur met vaste opslag die de organisatie verlaat of een andere gebruiker krijgt (verkoop, schenking,
   einde lease, hergebruik binnen de organisatie, afvoer als afval) gaat eerst langs
   **[uitgiftepunt apparatuur]**. Het uitgiftepunt stelt vast of de apparatuur opslag bevat, wist die volgens
   de verwijderinstructie of haalt de opslag eruit voor vernietiging, en legt dat vast in het wisverslag.
   [7.14.01]
2. Bij hergebruik binnen de organisatie wordt de apparatuur teruggezet naar de fabrieksinstellingen of
   opnieuw geïnstalleerd, zodat de nieuwe gebruiker geen gegevens, accounts of licenties van de vorige
   gebruiker ziet. [7.14.01]
3. Voor afvoer verwijdert het uitgiftepunt licenties en registraties van de apparatuur (apparaatbeheer,
   cloudtenant, netwerkbeheer), haalt stickers en labels van de organisatie eraf en zet de apparatuur in de
   inventaris op afgevoerd met de datum en de bestemming. [7.14.01]
4. Apparatuur die voor reparatie of garantie de organisatie verlaat, gaat zonder opslag weg of wordt eerst
   gewist. Kan dat niet, dan gaat de reparatie alleen naar een leverancier met een geheimhoudingsclausule en
   wordt de drager bij terugkomst gewist of vervangen; het uitgiftepunt legt dat per reparatie vast.
   [7.14.01]
5. Printers, multifunctionals en netwerkapparatuur met opslag vallen onder dezelfde regels; bij einde van een
   huur- of leasecontract staat in het contract dat de leverancier de opslag wist of afgeeft en daarvan een
   verslag levert. [7.14.01]

## 6. Wissen van informatie in systemen

1. De proceseigenaar legt per gegevensverzameling vast hoe lang de informatie nodig is, op basis van de
   bewaartermijnen uit de selectielijst en de wet, en zorgt dat de systeemeigenaar de informatie na afloop van
   die termijn wist of vernietigt, tenzij een wettelijke bewaarplicht of een lopend juridisch geschil dat
   verhindert. [8.10.01]
2. Systemen zijn zo ingericht dat verlopen informatie automatisch wordt gewist of ter vernietiging wordt
   aangeboden; waar dat niet kan, voert de systeemeigenaar het wissen ten minste jaarlijks handmatig uit en
   legt dat vast. [8.10.01]
3. Verzoeken van betrokkenen om wissing op grond van de AVG handelt de proceseigenaar af binnen de wettelijke
   termijn van een maand, in alle systemen en back-ups waarin de gegevens staan, met een vastlegging van wat
   is gewist. [8.10.01]
4. Bij het einde van een clouddienst of een contract met een leverancier staat in het contract dat de
   leverancier de informatie van de organisatie binnen een afgesproken termijn wist, ook uit back-ups, en dat
   schriftelijk bevestigt. Contractbeheer controleert de bevestiging bij elke beëindiging. [8.10.01]
5. Test- en ontwikkelomgevingen bevatten geen productiegegevens met het label vertrouwelijk of hoger, tenzij
   de proceseigenaar daar schriftelijk mee instemt; die gegevens worden na afloop van de test direct gewist.
   [8.10.01]
6. Informatie die de organisatie wist, verdwijnt ook uit kopieën die medewerkers lokaal of in
   samenwerkingsomgevingen hebben bewaard; de gedragsregels uit het beleid bedrijfsmiddelenbeheer verbieden
   het bewaren van eigen kopieën buiten de systemen van de organisatie. [8.10.01]

## 7. Transport

1. Gegevensdragers met informatie worden vervoerd volgens een vaste transportprocedure: versleuteld, in een
   verzegelde verpakking en met een registratie van inhoud, afzender, ontvanger, vervoerder, datum van
   verzending en bevestiging van ontvangst. **[uitgiftepunt apparatuur]** houdt de transportregistratie bij.
   [7.10.03]
2. Wie dragers met informatie met het label vertrouwelijk of hoger vervoert of laat vervoeren, is daartoe
   door de eigenaar van de informatie gemachtigd; de machtiging staat in de transportregistratie. [7.10.03]
3. De organisatie zet voor het vervoer van geclassificeerde informatie alleen koeriers of transporteurs in die
   voldoen aan vooraf vastgestelde betrouwbaarheidseisen. Die eisen staan in
   **[eisen aan koeriers]**
   en inkoop toetst ze bij de selectie en bij elke contractverlenging. [7.10.03]
4. Kan informatie op een drager niet worden versleuteld, dan vervoert een gemachtigde medewerker de drager
   persoonlijk of gaat het transport in een verzegelde, afgesloten verpakking met overdracht tegen
   handtekening. [7.10.03]
5. Back-upmedia die naar een andere locatie gaan, volgen dezelfde transportprocedure; het beleid back-up en
   recovery zegt hoe vaak en waarheen. [7.10.03]

## 8. Rollen en verantwoordelijkheden

| Rol | Verantwoordelijk voor |
|---|---|
| **[lijneigenaar gegevensdragers]** | Eigenaar van dit beleid, de verwijderinstructie en de transportprocedure; jaarlijkse beoordeling ervan |
| **[uitgiftepunt apparatuur]** | Wissen, vernietigen, controle en verslag per drager en per apparaat; registratie in de inventaris; transportregistratie; vergelijking van vernietigingscertificaten |
| Proceseigenaar (eigenaar van de informatie) | Bewaartermijnen per gegevensverzameling, wissing na afloop, afhandeling van wisverzoeken, machtiging voor transport, instemming met productiegegevens in testomgevingen |
| Systeemeigenaar | Inrichting van automatisch wissen, jaarlijks handmatig wissen waar nodig, vastlegging |
| Inkoop en contractbeheer | Eisen aan wis- en vernietigingsleveranciers, koeriers en clouddiensten in het contract; controle van wisbevestigingen bij beëindiging |
| CISO | Advies, jaarlijkse toetsing van opzet en werking van dit beleid, akkoord op uitzonderingen voor vertrouwelijk en hoger, besluit bij afwijking van het NBV-advies |
| Medewerkers en inhuur | Geen informatie op losse dragers zonder uitzondering, media achter slot bewaren, verlies van een drager direct melden als incident |

## 9. Naleving en controle

**Controleraamwerk.** De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en
het bewijs worden vastgelegd in **[registratie van controles]**;
afwijkingen gaan als bevinding naar het risicoregister.

| Nr | Controle | Uitvoerder | Frequentie | Bewijs | Maatregelen |
|---|---|---|---|---|---|
| AHG-01 | Elke drager en elk apparaat met opslag dat in de inventaris op afgevoerd, gerepareerd of hergebruikt staat, heeft een wisverslag of een vernietigingscertificaat met serienummer | **[lijneigenaar gegevensdragers]** | Per kwartaal | Vergelijking van de inventaris met de wisverslagen en certificaten, lijst van dragers zonder verslag en hun afhandeling | 7.10.01, 7.10.02, 7.14.01 |
| AHG-02 | Gewiste dragers bevatten geen herstelbare informatie en de gebruikte wisproducten hebben een NBV-inzetadvies of een vastgelegd alternatief | CISO | Jaarlijks | Steekproef van ten minste vijf gewiste dragers, gecontroleerd met forensische software; lijst van wisproducten | 7.10.02 |
| AHG-03 | Uitzonderingen voor verwijderbare media zijn geregistreerd, goedgekeurd en niet ouder dan een jaar; de blokkering op beheerde werkplekken werkt | **[aanvraagpunt uitzonderingen]** | Jaarlijks | Uitzonderingenregister, testverslag van de blokkering, lijst van ingetrokken uitzonderingen | 7.10.01 |
| AHG-04 | Transporten van dragers zijn geregistreerd met machtiging en ontvangstbevestiging, en ingezette koeriers en vernietigingsleveranciers voldoen aan de vastgestelde eisen | Contractbeheer | Jaarlijks | Transportregistratie, toetsverslag per leverancier, verklaringen van leveranciers | 7.10.03 |
| AHG-05 | Informatie waarvan de bewaartermijn is verlopen is gewist, wisverzoeken van betrokkenen zijn binnen een maand afgehandeld en beëindigde leveranciers hebben wissing bevestigd | Proceseigenaar, met een overzicht van de CISO | Jaarlijks | Overzicht per gegevensverzameling van de bewaartermijn en de laatste wissing, register van wisverzoeken, wisbevestigingen van leveranciers | 8.10.01 |
| AHG-06 | Hergebruikte en afgevoerde apparatuur is teruggezet naar de fabrieksinstellingen, uit de registraties verwijderd en in de inventaris bijgewerkt | **[uitgiftepunt apparatuur]** | Halfjaarlijks | Steekproef van ten minste vijf apparaten tegen apparaatbeheer, cloudtenant en inventaris | 7.14.01 |

**Afwijkingen.** Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De eigenaar
van de informatie dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de
looptijd. De afwijking geldt pas na acceptatie van het risico door
**[risico-eigenaar]** en staat in het risicoregister; afwijkingen
worden ten minste jaarlijks opnieuw beoordeeld.

**Niet naleven.** Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot
het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.

## 10. Samenhang

Dit beleid valt onder het strategisch informatiebeveiligingsbeleid. Het raakt het beleid
bedrijfsmiddelenbeheer (inventaris, inname en gedragsregels), het beleid informatieclassificatie (labels die
de methode bepalen), het beleid cryptografie (versleuteling van dragers), het beleid mobile device management
(wissen op afstand), het beleid back-up en recovery (transport en opslag van back-upmedia, wissen uit
back-ups), het beleid beveiligingsincidenten (verloren dragers), het beleid informatiebeveiliging bij inkoop
en contractbeheer (eisen aan en verklaringen van leveranciers) en het archiefbeheer van de organisatie
(bewaartermijnen en selectielijsten).

## Bijlage A: BIO 2.0-maatregelen

De maatregelen van dit domein (5, waarvan 3 overheidsmaatregelen), waar dit stuk ze invult en welke controle ze aantoont. Nummers volgens BIO2 v1.3 definitief - 9 januari 2026; de tekst van de maatregel staat bij het CIP. Waar de BIO 2.0 geen overheidsmaatregel kent, geldt de ISO 27002-beheersmaatregel.

| Maatregel | Titel | Soort | In dit stuk | Controle |
|---|---|---|---|---|
| 7.10.01 | Opslagmedia | overheidsmaatregel | 3. Gebruik van verwijderbare media | AHG-01, AHG-03 |
| 7.10.02 | Opslagmedia | overheidsmaatregel | 4. Wissen en vernietigen | AHG-01, AHG-02 |
| 7.10.03 | Opslagmedia | overheidsmaatregel | 7. Transport | AHG-04 |
| 7.14.01 | Veilig verwijderen of hergebruiken van apparatuur | ISO-beheersmaatregel | 5. Afvoer en hergebruik van apparatuur | AHG-01, AHG-06 |
| 8.10.01 | Wissen van informatie | ISO-beheersmaatregel | 6. Wissen van informatie in systemen | AHG-05 |

## Bijlage B: Afkortingen

| Afkorting | Betekenis |
|---|---|
| AVG | Algemene verordening gegevensbescherming |
| BIO | Baseline Informatiebeveiliging Overheid |
| CISO | Chief Information Security Officer |
| ISAE | International Standard on Assurance Engagements |
| ISO | International Organization for Standardization |
| NBV | Nationaal Bureau voor Verbindingsbeveiliging |
| SSD | Solid state drive, een opslagmedium zonder bewegende delen |
| USB | Universal serial bus, de aansluiting voor randapparatuur en opslagmedia |

## Nog in te vullen

- **aanvraagpunt uitzonderingen**: de functie die uitzonderingen op dit beleid registreert, bijvoorbeeld de servicedesk
- **uitgiftepunt apparatuur**: de functie die apparatuur en media uitgeeft en inneemt, bijvoorbeeld de servicedesk
- **lijneigenaar gegevensdragers**: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd IT
- **bewaartermijn wisverslag**: standaard zeven jaar
- **eisen aan koeriers**: het document met de betrouwbaarheidseisen, zoals VOG of screening van chauffeurs, verzegeling, volgsysteem en overdrachtsprotocol
- **registratie van controles**: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem
- **risico-eigenaar**: de manager die restrisico's accepteert
- **eigenaar van dit beleid**: de manager die dit beleid uitvoert en laat naleven
- **vaststeller**: wie het beleid vaststelt, bijvoorbeeld de directie of het bestuur