Beleid screening, bewustzijn en opleiding

Onderdeel van Beleidsset informatiebeveiliging op BIO 2.0, op maat gemaakt met contextvragen · Markdown-bron

Word nodig? Kies dit stuk in de generator en download het daar, zonder of met je eigen antwoorden.

In het kort. Over de mens als onderdeel van de beveiliging, van werving tot vertrek. Behandelt screening, aanstelling en geheimhouding, training en bewustzijn, scholing van het bestuur, functiewijziging en vertrek, en de disciplinaire procedure bij niet naleven.

Onderwerpen. 3. Screening; 4. Aanstelling en geheimhouding; 5. Training en bewustzijn; 6. Scholing van het bestuur; 7. Functiewijziging en vertrek; 8. Niet naleven en disciplinaire procedure.

Zonder profiel: tekst die van een contextvraag afhangt, staat in een kader met de vraag erboven.

1. Doel en reikwijdte#

Dit beleid werkt het strategisch informatiebeveiligingsbeleid uit voor de mens als onderdeel van de beveiliging: wie de organisatie aanneemt, wat iemand bij binnenkomst, tijdens het werk en bij vertrek moet weten en ondertekenen, hoe bestuur en medewerkers hun kennis op peil houden en wat er gebeurt als iemand de regels niet naleeft. Het gaat over de ISO-beheersmaatregelen 5.4 en 6.1 tot en met 6.6.

Voor wie. Het beleid is primair bedoeld voor de afdeling personeelszaken, de leidinggevenden en de CISO. De regels gelden voor bestuurders, medewerkers in vaste en tijdelijke dienst, inhuur, stagiairs, vrijwilligers en iedereen die onder verantwoordelijkheid van de organisatie werkt en toegang heeft tot informatie of informatiesystemen.

Waarop. Alle functies en opdrachten binnen de organisatie, van de werving tot en met het vertrek, en de training en scholing die daarbij horen. Zijn werving, screening of training uitbesteed, bijvoorbeeld aan een uitzendbureau, een detacheerder of een opleider, dan gelden de eisen uit dit beleid als minimumeis voor die partij. De organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer. Voor medewerkers van leveranciers die niet onder verantwoordelijkheid van de organisatie werken, gelden de eisen uit het beleid informatiebeveiliging bij inkoop.

Buiten dit beleid vallen fysieke toegang (beleid fysieke toegang en beveiliging), het toekennen en intrekken van accounts (beleid logische toegangsbeveiliging), het innemen van bedrijfsmiddelen (beleid bedrijfsmiddelenbeheer) en de integriteitsregels die niet over informatie gaan (gedragscode en integriteitsbeleid van de organisatie).

2. Uitgangspunten#

1. Wie toegang heeft tot informatie, is persoonlijk verantwoordelijk voor zorgvuldig gebruik ervan. #
2. De zwaarte van screening en training volgt het risico van de functie. #
3. Fouten en incidenten worden gemeld zodat de organisatie ervan leert. Wie meldt, wordt daar niet op afgerekend; herhaald of verwijtbaar onveilig gedrag heeft wel gevolgen. #
4. Geheimhouding en zorgvuldig gebruik van informatie eindigen niet met het dienstverband. #
5. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden. De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid. #

3. Screening#

1. De organisatie heeft een screeningsbeleid dat [vaststeller screeningsbeleid] vaststelt en dat [lijneigenaar personeel] jaarlijks beoordeelt. Dit hoofdstuk is daarvan de kern. [6.01.01] #
2. HR houdt een lijst bij van functies met een verhoogd risico, zoals functies met beheerrechten, toegang tot bijzondere persoonsgegevens, financiële bevoegdheden of toegang tot landelijke voorzieningen. De CISO en de privacy officer adviseren over de lijst; HR stelt hem jaarlijks bij en legt de versie met datum vast. [6.01.01] #
3. Voor functies op die lijst vraagt HR bij indiensttreding en bij functiewijziging een Verklaring Omtrent het Gedrag met een screeningsprofiel dat bij de functie past, en controleert HR de identiteit aan de hand van een geldig identiteitsbewijs en het arbeidsverleden aan de hand van referenties of diploma's. Voor overige functies beslist de leidinggevende op basis van een risicoafweging die in het personeelsdossier staat. [6.01.01] #
4. Voor vertrouwensfuncties die als zodanig zijn aangewezen, laat HR het veiligheidsonderzoek volgens de Wet veiligheidsonderzoeken uitvoeren voordat de medewerker de functie vervult. [6.01.01] #
5. Bij inhuur legt het contract dezelfde eisen op; de inhurende leidinggevende controleert voor de start dat de verklaring er is en legt dat vast bij de inhuuropdracht. [6.01.01] #
6. Bij functies met een verhoogd risico herhaalt HR de screening na [herhaaltermijn screening]; de datum van de laatste screening staat in het personeelsdossier. [6.01.01] #
7. Zolang de screening niet is afgerond, krijgt de medewerker geen toegang tot de systemen en informatie waarvoor de screening nodig is. De leidinggevende legt de afgeronde screening vast voordat de toegang wordt aangevraagd. [6.01.01] #

4. Aanstelling en geheimhouding#

1. Bij aanstelling of functiewisseling wijst de leidinggevende de medewerker op de eigen verantwoordelijkheden voor informatiebeveiliging en privacy. De medewerker bevestigt de gedragsregels voor informatiegebruik kent; die bevestiging zit in het personeelsdossier. [6.02.01] #
2. De arbeidsovereenkomst, de aanstelling of het inhuurcontract benoemt de verantwoordelijkheid van de medewerker voor informatiebeveiliging, de plicht om incidenten te melden en de gevolgen van niet naleven. HR gebruikt daarvoor een vaste tekst die de CISO en de juridische functie jaarlijks toetsen. [6.02.01] #
3. De regels en instructies die voor medewerkers gelden, staan op één vindbare plek op het intranet en zijn vanaf de eerste werkdag bereikbaar. [lijneigenaar personeel] controleert jaarlijks of de set compleet en actueel is. [6.02.01] #
4. Elke medewerker, inhuurkracht, stagiair en vrijwilliger ondertekent voor de eerste werkdag een geheimhoudingsverklaring, of de arbeidsovereenkomst of het contract bevat een geheimhoudingsbepaling met dezelfde inhoud. Waar de wet al een geheimhoudingsplicht oplegt, verwijst de bepaling daarnaar. HR bewaart de ondertekende verklaring in het personeelsdossier of bij de inhuuropdracht. [6.06.01] #
5. De geheimhoudingsbepaling zegt ten minste welke informatie eronder valt (alles wat niet openbaar is volgens het beleid informatieclassificatie), dat de plicht na het dienstverband doorloopt, wat de medewerker bij een vermoeden van een lek moet doen en welke gevolgen niet naleven heeft. De CISO en de juridische functie beoordelen de tekst jaarlijks en bij een wetswijziging. [6.06.01] #
6. Krijgt een externe partij, zoals een adviseur, auditor of onderzoeker, tijdelijk toegang tot vertrouwelijke informatie zonder dat daar een contract met geheimhoudingsbepaling onder ligt, dan laat de opdrachtgevende leidinggevende die persoon vooraf een geheimhoudingsverklaring tekenen en bewaart die. [6.06.01] #

5. Training en bewustzijn#

1. Iedere medewerker en iedere contractant die met de informatiesystemen werkt, rondt binnen drie maanden na indiensttreding een training informatiebewustzijn met een toets af. HR registreert de deelname en het resultaat; zonder afgeronde training na drie maanden meldt HR dit aan de leidinggevende. [6.03.02] #
2. Daarna volgt iedere medewerker jaarlijks een opfrissing, digitaal of klassikaal; HR registreert de deelname. [5.04.01, 6.03.01] #
3. De training behandelt ten minste: de regels voor het omgaan met informatie en persoonsgegevens, het herkennen van phishing en misleiding, hoe en waar een incident of datalek te melden, en veilig werken buiten kantoor en op mobiele apparaten (openbare netwerken, meekijken, verlies en diefstal). De CISO stelt de inhoud jaarlijks bij op basis van de incidenten en de metingen van het afgelopen jaar. [5.04.01, 6.03.01, 6.03.04] #
4. Waar medewerkers met gerubriceerde informatie of in een omgeving met eigen eisen werken, krijgen zij van de leidinggevende aanvullende instructie over die eisen voordat zij ermee werken; de instructie wordt vastgelegd. [6.03.01] #
5. Functies met een verhoogd risico (hoofdstuk 3) krijgen jaarlijks aanvullende training die past bij hun rol, zoals beheerders, ontwikkelaars en medewerkers die met bijzondere persoonsgegevens werken. De CISO bepaalt per functiegroep de inhoud; HR registreert de deelname. [6.03.01] #
6. Leidinggevenden bespreken informatiebeveiliging bij aanstelling, overplaatsing en ten minste eenmaal per jaar in het werkoverleg of het jaargesprek, en spreken medewerkers aan die de training niet volgen. De bespreking blijkt uit het verslag van het werkoverleg of het jaargesprek. [6.03.03] #
7. De CISO voert ten minste twee keer per jaar een bewustzijnsmeting uit, bijvoorbeeld een phishingsimulatie, en gebruikt de uitkomst voor het programma van het volgende jaar. De uitkomst staat in de rapportage aan het bestuur. [6.03.01] #

6. Scholing van het bestuur#

1. Bestuurders volgen bij aantreden en daarna ten minste jaarlijks scholing over cyberrisico's: welke dreigingen de organisatie raken, wat de gevolgen zijn voor de dienstverlening en wat hun eigen rol is bij een incident of crisis. De CISO organiseert de scholing en HR registreert de deelname. [5.04.01] #
2. Bestuurders tonen hun kennis aan met een registratie van de gevolgde scholing, en met een jaarlijkse bespreking van het risicobeeld met de CISO waarin zij de gevolgen voor de dienstverlening beoordelen. Het verslag van die bespreking is het bewijs. [5.04.01] #
3. Bestuurders doen ten minste eenmaal per twee jaar mee aan een oefening met een cyberincident. De CISO plant de oefening en legt de deelname en de leerpunten vast. [5.04.01] #

7. Functiewijziging en vertrek#

1. Bij vertrek of functiewijziging voert de leidinggevende een vertrekgesprek of overdrachtsgesprek waarin hij de medewerker wijst op de geheimhoudingsplicht die na het dienstverband doorloopt en op de verantwoordelijkheden die tot de laatste werkdag blijven gelden. De medewerker bevestigt dit schriftelijk; de bevestiging gaat in het personeelsdossier. [6.05.01] #
2. De leidinggevende zorgt dat rechten en middelen bij vertrek of functiewijziging worden ingetrokken en ingenomen volgens het beleid logische toegangsbeveiliging en het beleid bedrijfsmiddelenbeheer, uiterlijk op de laatste werkdag in de oude functie, en bevestigt dat aan HR met de vertrekchecklist. [6.05.01] #
3. Bij een functiewijziging beoordeelt de leidinggevende welke kennis, rechten en verantwoordelijkheden uit de oude functie vervallen en welke overgaan, en legt de overdracht vast in de checklist. [6.05.01] #
4. HR meldt elk vertrek en elke functiewijziging binnen [meldtermijn personeelsmutaties] aan de beheerders van toegang en bedrijfsmiddelen, zodat die de intrekking en inname kunnen uitvoeren. [6.05.01] #
5. Bij inhuur en detachering gelden dezelfde stappen; de inhurende leidinggevende voert ze uit op de laatste dag van de opdracht. [6.05.01] #

8. Niet naleven en disciplinaire procedure#

1. Onveilig of onzorgvuldig gedrag bespreekt de leidinggevende eerst met de medewerker, gericht op herhaling voorkomen. De leidinggevende legt het gesprek vast als het gedrag tot een incident heeft geleid. [6.04.01] #
2. De organisatie heeft een disciplinaire procedure die ook geldt voor overtredingen van de informatiebeveiligingsregels. HR legt daarin vast welke stappen gelden (gesprek, schriftelijke waarschuwing, arbeidsrechtelijke maatregel), wie beslist, hoe de medewerker wordt gehoord en welke maatregelen mogelijk zijn volgens de rechtspositieregeling of het contract. [6.04.01] #
3. Bij herhaald, structureel of verwijtbaar gedrag, of gedrag dat tot een ernstig incident leidt, start de leidinggevende de disciplinaire procedure. De zwaarte van de maatregel volgt de ernst van de overtreding, of het de eerste keer is, de opzet en de schade. De CISO adviseert over de ernst; HR legt het besluit vast in het personeelsdossier. [6.04.01] #
4. Voordat een maatregel wordt opgelegd, stelt de leidinggevende met HR vast dat de medewerker de regel kende of had kunnen kennen, met de bevestiging uit hoofdstuk 4 en de trainingsregistratie uit hoofdstuk 5 als bewijs. [6.04.01] #
5. HR rapporteert jaarlijks aan de CISO, geanonimiseerd, hoeveel disciplinaire trajecten over informatiebeveiliging zijn gestart en wat de uitkomst was, zodat de CISO het bewustwordingsprogramma kan bijstellen. [6.04.01] #

9. Rollen en verantwoordelijkheden#

10. Naleving en controle#

Controleraamwerk. De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en het bewijs worden vastgelegd in [registratie van controles]; afwijkingen gaan als bevinding naar het risicoregister.

Afwijkingen. Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De leidinggevende dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd. De afwijking geldt pas na acceptatie van het risico door [risico-eigenaar] en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.

Niet naleven. Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.

11. Samenhang#

Dit beleid valt onder het strategisch informatiebeveiligingsbeleid en staat naast het privacybeleid en de gedragscode. Het raakt het beleid logische toegangsbeveiliging (rechten bij in-, door- en uitstroom), het beleid bedrijfsmiddelenbeheer (inleveren bij vertrek), het beleid informatieclassificatie (wat onder de geheimhouding valt), het beleid mobile device management (veilig mobiel werken), het beleid beveiligingsincidenten (melden) en het beleid informatiebeveiliging bij inkoop (screening van medewerkers van leveranciers).

Bijlage A: BIO 2.0-maatregelen#

De maatregelen van dit domein (10, waarvan 7 overheidsmaatregelen), waar dit stuk ze invult en welke controle ze aantoont. Nummers volgens BIO2 v1.3 definitief - 9 januari 2026; de tekst van de maatregel staat bij het CIP. Waar de BIO 2.0 geen overheidsmaatregel kent, geldt de ISO 27002-beheersmaatregel.

Bijlage B: Afkortingen#

Nog in te vullen#

• vaststeller screeningsbeleid: de functie of het orgaan dat het screeningsbeleid vaststelt, bijvoorbeeld de directie
• lijneigenaar personeel: de manager die dit beleid uitvoert, bijvoorbeeld het hoofd HR
• herhaaltermijn screening: bijvoorbeeld elke vijf jaar of bij een nieuwe functie op de lijst
• meldtermijn personeelsmutaties: de termijn waarbinnen HR een mutatie doorgeeft, bijvoorbeeld twee werkdagen
• registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem
• risico-eigenaar: de manager die restrisico's accepteert
• eigenaar van dit beleid: de manager die dit beleid uitvoert en laat naleven
• vaststeller: wie het beleid vaststelt, bijvoorbeeld de directie of het bestuur