Elk serieus cyberbeveiligingskader begint met hetzelfde document: een schriftelijk, door de directie goedgekeurd informatiebeveiligingsbeleid (ISSP). NIS2 noemt het als eerste van de risicobeheersmaatregelen van artikel 21, en ISO/IEC 27001 maakt het een eis in clausule 5.2. Security Policy Express begeleidt een Europees mkb-bedrijf via een online werkplaats met begeleide vragen en genereert een gestructureerde eerste versie op naam van het bedrijf: een werkversie die uw adviseurs kunnen beoordelen, geen juridisch advies.
Het antwoord in één minuut, voor een algemeen directeur die geen IT-specialist is.
Een informatiebeveiligingsbeleid (vaak afgekort als ISSP, of PSSI in het Frans) is het document waarin uw directie schriftelijk vastlegt hoe het bedrijf zijn informatie en IT-systemen beschermt, wie waarvoor verantwoordelijk is en welke regels iedereen moet volgen. Bovenaan is het kort (een beleidsverklaring, ondertekend door de directie) en daaronder gedetailleerder (onderwerpspecifieke regels en operationele procedures). Het is geen technisch handboek: het is een managementbesluit, op papier gezet, waar de rest van uw beveiligingswerk naar kan verwijzen.
ISO/IEC 27001 kent het beleid toe aan het 'topmanagement', en NIS2 artikel 20 vraagt de bestuursorganen van betrokken entiteiten om de cyberbeveiligingsrisicobeheersmaatregelen goed te keuren en het toezicht op de uitvoering ervan te houden. Uw IT-leverancier kan helpen bij het schrijven; alleen uw directie kan het eigenaarschap dragen.
Bronnen: Richtlijn (EU) 2022/2555, art. 20 · ISO/IEC 27001:2022, clausule 5Goede praktijk onderscheidt drie lagen. Het beleid legt principes en verantwoordelijkheden vast. Onderwerpspecifieke beleidslijnen (toegangsbeheer, back-up, cryptografie, leveranciers...) vertalen die per domein. Procedures beschrijven stap voor stap wie wat doet wanneer er iets gebeurt. ISO/IEC 27001-maatregel 5.1 noemt uitdrukkelijk zowel het beleid als de onderwerpspecifieke beleidslijnen.
Bron: ISO/IEC 27001:2022, Bijlage A, maatregel 5.1Geen enkele Europese tekst schrijft één standaardsjabloon voor. NIS2 artikel 21, lid 1 vraagt om maatregelen die 'passend en evenredig' zijn, rekening houdend met de blootstelling van de entiteit aan risico's, haar omvang en de waarschijnlijkheid en ernst van incidenten. Een fabrikant met 40 medewerkers en een ziekenhuis zullen niet hetzelfde beleid schrijven, en dat hoeft ook niet.
Bron: Richtlijn (EU) 2022/2555, art. 21(1)Een beleid dat eenmaal is geschreven en vervolgens wordt opgeborgen, beschermt niets. Kaders verwachten dat het aan de medewerkers wordt meegedeeld, dat zij de kennisneming ervan bevestigen, en dat het op geplande tijdstippen en na belangrijke wijzigingen wordt herzien. Daarom moet uw beleid vanaf dag één een eigen herzieningscyclus, eigenaar en versiegeschiedenis bevatten.
Bron: ISO/IEC 27001:2022, clausule 5.2 en maatregel 5.1De meeste kleine en middelgrote bedrijven passen al enkele beveiligingsregels toe. Wat meestal ontbreekt, is de schriftelijke, goedgekeurde en samenhangende versie die een toezichthouder, een auditor, een verzekeraar of een grote klant daadwerkelijk kan lezen.
NIS2 breidt de Europese cyberbeveiligingsregels uit naar veel middelgrote bedrijven in sectoren als productie, voeding, afvalbeheer, transport of digitale diensten. Voor betrokken entiteiten is het 'beleid voor risicoanalyse en beveiliging van informatiesystemen' de eerste maatregel in artikel 21, lid 2.
NIS2 artikel 21, lid 2, punt d verplicht betrokken entiteiten de beveiliging van de toeleveringsketen aan te pakken, inclusief de beveiligingsaspecten van hun relaties met directe leveranciers. Ook als u buiten het toepassingsgebied valt, kunnen uw grotere klanten in hun leveranciersvragenlijsten vragen om een schriftelijk beveiligingsbeleid.
Een beleid schrijven betekent tegelijk veel vragen beantwoorden: wat zijn onze kritieke activa, wie beslist, wat doen we bij een ransomware-aanval, hoe lang bewaren we back-ups? Zonder structuur wordt de oefening vaak uitgesteld, kwartaal na kwartaal.
Gedownloade sjablonen beschrijven vaak een organisatie met een beveiligingsfunctionaris, een security operations center (SOC) en een eigen budget. Een document dat niet overeenkomt met de werkelijkheid is erger dan geen document: het wordt niet toegepast, en een auditor ziet het verschil tussen papier en praktijk.
Hetzelfde document beantwoordt meerdere teksten tegelijk. Hier is wat elk ervan werkelijk zegt, met een link naar de officiële bron. Nationale omzettingen kunnen aanvullende details toevoegen.
Essentiële en belangrijke entiteiten moeten 'passende en evenredige technische, operationele en organisatorische maatregelen' nemen om cyberbeveiligingsrisico's te beheersen, volgens een benadering die alle gevaren omvat. De lijst in artikel 21, lid 2 opent met '(a) beleid voor risicoanalyse en beveiliging van informatiesystemen'. Artikel 20 voegt toe dat de bestuursorganen deze maatregelen goedkeuren, het toezicht op de uitvoering ervan houden en de opleiding volgen.
Clausule 5.2 vereist dat het topmanagement een informatiebeveiligingsbeleid vaststelt dat past bij het doel van de organisatie, een kader biedt voor beveiligingsdoelstellingen, en verplichtingen omvat om aan toepasselijke eisen te voldoen en voortdurend te verbeteren. Het moet gedocumenteerd, intern gecommuniceerd en, waar passend, beschikbaar gesteld worden aan belanghebbenden. Bijlage A, maatregel 5.1 breidt dit uit naar onderwerpspecifieke beleidslijnen, goedgekeurd, gepubliceerd, ter kennis genomen en herzien.
Artikel 24, lid 2 bepaalt dat, voor zover evenredig met de verwerkingsactiviteiten, de maatregelen van de verwerkingsverantwoordelijke 'de toepassing van passend gegevensbeschermingsbeleid' omvatten. Artikel 32 vereist passende technische en organisatorische maatregelen om een beveiligingsniveau te waarborgen dat past bij het risico. Een beveiligingsbeleid is de natuurlijke plek om die maatregelen vast te leggen.
Voor bepaalde digitale entiteiten (bijvoorbeeld aanbieders van cloudcomputing, datacenters en beheerde diensten) heeft de Commissie gedetailleerde technische en methodologische eisen vastgesteld. De bijlage opent met een 'beleid inzake de beveiliging van netwerk- en informatiesystemen' en beschrijft hoe dit wordt goedgekeurd, gedocumenteerd en herzien. Ook als uw bedrijf niet onder deze entiteitstypen valt, is de bijlage een nuttige, openbare referentie om een beleid te structureren.
Voor financiële entiteiten vereist DORA dat zij een informatiebeveiligingsbeleid ontwikkelen en documenteren dat regels bepaalt ter bescherming van de beschikbaarheid, authenticiteit, integriteit en vertrouwelijkheid van gegevens, informatiebestanden en ICT-activa. Bent u ICT-leverancier van een bank of verzekeraar, verwacht dan dat uw klant vraagt hoe uw eigen beleid zich verhoudt.
Nationale cyberbeveiligingsautoriteiten publiceren gratis richtlijnen waarop een beleid kan voortbouwen. In Frankrijk beschrijft de ANSSI-gids voor IT-hygiëne 42 essentiële maatregelen voor wie verantwoordelijk is voor de beveiliging van het informatiesysteem van een organisatie. ENISA, het Agentschap van de Europese Unie voor cyberbeveiliging, publiceert richtlijnen ter ondersteuning van de implementatie van NIS2 in de hele Unie.
Artikel 21, lid 2 van NIS2 somt tien minimummaatregelen op. Punt a is het beleid zelf, maar een goed opgesteld beleid is ook de plek waar de andere negen hun eigenaar, hun regel en hun procedure vinden. Zo structureren wij het gegenereerde document.
De beleidsverklaring, het toepassingsgebied, de rollen en de methode waarmee u risico's identificeert en beoordeelt. Dit is de ruggengraat van het document.
Een procedure voor incidentbeheer: detectie, kwalificatie, escalatie, insluiting, melding en geleerde lessen.
Back-upbeheer, herstel na een noodgeval en crisisbeheer, zoals de richtlijn het formuleert: wie beslist, wat als eerste weer opstart, hoe vaak back-ups worden getest.
Regels voor het kiezen, contracteren en monitoren van IT-leveranciers en dienstverleners, inclusief de beveiligingsclausules die u van hen verwacht.
Hoe nieuwe systemen worden gekozen en geconfigureerd, hoe updates worden toegepast, en hoe kwetsbaarheden worden afgehandeld en openbaar gemaakt.
Beleid en procedures om te controleren of de maatregelen werken: indicatoren, interne toetsingen, oefeningen en managementbeoordeling.
De dagelijkse regels (wachtwoorden, updates, phishingbewustzijn) en een opleidingsplan, ook voor de directie, zoals artikel 20, lid 2 voor bestuursorganen vereist.
Wanneer gegevens moeten worden versleuteld (laptops, back-ups, overdrachten), welke protocollen aanvaardbaar zijn, en wie de sleutels beheert.
Instroom, interne mutaties en uitstroom; wie welke toegang krijgt en wie die goedkeurt; een inventaris van activa met hun eigenaren.
Waar multifactor- of continue authenticatie vereist is, en hoe spraak-, video-, tekst- en noodcommunicatie worden beveiligd.
De ISO/IEC 27001-verwijzingen zijn indicatieve overeenkomsten die wij hebben opgesteld om u wegwijs te maken, geen officiële mapping van ISO of de Europese Commissie. Bron voor de tien maatregelen: Richtlijn (EU) 2022/2555, art. 21(2).
Het gegenereerde document volgt een structuur die een auditor, een verzekeraar of een klant zal herkennen. Elk hoofdstuk wordt ingevuld op basis van de antwoorden die u in de werkplaats geeft, zodat het uw bedrijf beschrijft en niet een fictief bedrijf.
De toewijding van de directie, in enkele alinea's, ondertekend en gedateerd.
Wie beslist, wie implementeert, wie controleert, ook wanneer de IT is uitbesteed.
Een eenvoudige, herhaalbare manier om risico's te identificeren, te beoordelen en te behandelen.
Weten wat u beschermt voordat u beslist hoe.
Wie waar toegang toe heeft, en hoe dat wordt aangetoond.
De technische basis, in duidelijke taal.
Waar versleuteling vereist is en hoe die wordt beheerd.
Beveiliging in uw relaties met IT-leveranciers en clouddiensten.
De menselijke kant, van aanwerving tot vertrek.
Gebouwen, serverruimten en apparatuur buiten het kantoor.
De principes, uitgewerkt in de onderstaande procedures.
Hoe het beleid actueel en juist blijft.
Een beleid zegt wat moet gebeuren; een procedure zegt wie het doet, in welke volgorde en met welk verslag. Dit zijn de vier die klanten en auditors het vaakst willen zien, en die het zwaarst wegen op de dag dat er iets misgaat.
Van het eerste alarm tot het afsluitende rapport: hoe medewerkers een verdachte gebeurtenis melden, wie die kwalificeert, wie de getroffen systemen isoleert, wie uw IT-leverancier, uw verzekeraar en de autoriteiten informeert, en hoe bewijsmateriaal wordt bewaard.
Hoe een account wordt aangevraagd, goedgekeurd, aangemaakt, gewijzigd en verwijderd. De procedure behandelt nieuwe medewerkers, wijzigingen van functie en vertrek, beheerdersaccounts, gedeelde en serviceaccounts, en de periodieke controle waarbij een leidinggevende bevestigt dat iedereen de toegang die hij heeft nog nodig heeft.
Hoe een wijziging aan een productiesysteem (een nieuwe toepassing, een firewallregel, een grote update) wordt beschreven, op risico beoordeeld, goedgekeurd, getest, uitgevoerd en indien nodig teruggedraaid. In een klein bedrijf kan dit licht zijn: een kort formulier en een logboek volstaan, mits ze bestaan en worden gebruikt.
Wat er wordt geback-upt, hoe vaak, waar, hoe lang, en vooral hoe het herstel wordt getest. De procedure koppelt back-ups aan hersteldoelstellingen per kritieke activiteit en beschrijft de crisisorganisatie: wie beslist, wie communiceert, welke systemen als eerste opstarten.
Het beleid is geschreven voor de directie en de IT. Het beleid voor aanvaardbaar gebruik (AUP) is geschreven voor alle anderen: de korte, leesbare set regels die elke medewerker, tijdelijke kracht of contractant accepteert voordat hij de IT van het bedrijf gebruikt.
Gebruik van accounts en wachtwoorden, e-mail en berichtendiensten, internettoegang, al dan niet toegestaan privégebruik, mobiele apparaten en telewerk, verwisselbare media, clouddiensten en generatieve AI-tools, vertrouwelijkheid, melding van incidenten, en wat het bedrijf mag monitoren en waarom.
ISO/IEC 27001-maatregel 5.10 vraagt dat regels voor het aanvaardbaar gebruik van informatie en andere daarmee verbonden activa worden vastgesteld, gedocumenteerd en geïmplementeerd. Door deze regels in een aparte bijlage te houden, zijn ze makkelijker te lezen, te ondertekenen, bij te werken en bij arbeidsdocumenten te voegen.
Wanneer de AUP logging of monitoring van medewerkersactiviteit noemt, geldt de gegevensbeschermingswetgeving: werknemers moeten worden geïnformeerd (AVG art. 13), en lidstaten kunnen specifiekere regels vaststellen voor arbeidscontexten (AVG art. 88). Toezichthouders voor gegevensbescherming, zoals de CNIL, publiceren richtlijnen over wat aanvaardbaar is.
Om de AUP bindend te maken voor werknemers kunnen nationale formaliteiten nodig zijn. In Frankrijk bijvoorbeeld (te bevestigen met uw adviseur aan de hand van het Franse Arbeidswetboek) worden regels van dit soort doorgaans als bijlage aan het arbeidsreglement (règlement intérieur) gehecht, dat een door het Arbeidswetboek voorgeschreven procedure volgt, met inbegrip van raadpleging van de personeelsvertegenwoordigers. Controleer de regels van uw land met uw adviseur.
Bronnen: ISO/IEC 27001:2022, A.5.10 · Verordening (EU) 2016/679, art. 13, 88 · CNIL · Légifrance, Frans Arbeidswetboek, art. L1321-4 en L1321-5.
Een beleid beschrijft een bedrijf dat verandert: nieuwe medewerkers, nieuwe software, nieuwe leveranciers, nieuwe dreigingen. De kaders waar wij naar verwijzen verwachten over het algemeen dat het beleid actueel wordt gehouden. Het gegenereerde document bevat een eigen herzieningskalender, eigenaar en versietabel.
De eerste versie wordt door de directie goedgekeurd, gedateerd en van een versienummer voorzien. Volgens NIS2 artikel 20, lid 1 keuren de bestuursorganen van betrokken entiteiten de cyberbeveiligingsrisicobeheersmaatregelen goed; volgens ISO/IEC 27001 clausule 5.2 stelt het topmanagement het beleid vast.
Het beleid wordt intern gepubliceerd; het beleid voor aanvaardbaar gebruik wordt door elke gebruiker ter kennisneming bevestigd. ISO/IEC 27001-maatregel 5.1 verwacht dat beleid wordt gecommuniceerd aan het betrokken personeel en de belanghebbenden en dat zij er kennis van nemen.
ISO/IEC 27001-maatregel 5.1 vraagt om herziening met geplande tussenpozen en bij significante wijzigingen. Een jaarlijkse herziening is een verstandige standaard voor een mkb-bedrijf; Uitvoeringsverordening (EU) 2024/2690 bevat ook eisen voor de herziening van het beleid van de digitale entiteitstypen waarop zij van toepassing is.
Een ernstig incident, een fusie, een nieuwe vestiging, een overstap naar de cloud of nieuwe regelgeving zijn allemaal redenen om het document te heropenen zonder op de verjaardag te wachten. De lessen uit incidenten voeden de volgende versie.
Versietabel, goedkeuringsregistratie, lijst van wijzigingen, bevestigingen. Op de dag dat een auditor, een verzekeraar of een klant ernaar vraagt, toont deze geschiedenis dat het beleid wordt toegepast en niet alleen is geschreven. ISO/IEC 27001 clausule 7.5 regelt deze gedocumenteerde informatie.
Security Policy Express is ontworpen als selfservicetool. U behoudt de controle over de inhoud; de tool levert de structuur, de vragen en de verwijzingen.
Een korte test vraagt naar uw sector, omvang, activiteiten en klanten, en vertelt u of NIS2 waarschijnlijk op u van toepassing is, welke andere teksten relevant kunnen zijn en welke delen van het beleid in uw situatie het zwaarst wegen. Voor een definitief antwoord verwijst de test u naar de officiële instrumenten van uw nationale autoriteit.
U beantwoordt, in uw eigen woorden, een reeks begeleide vragen hoofdstuk voor hoofdstuk: uw organisatie, uw kritieke activiteiten, uw IT-leverancier, uw back-ups, hoe u met vertrekkende medewerkers omgaat, wat u zou doen bij ransomware. Elke vraag legt uit waarom ze wordt gesteld en op welk artikel of welke maatregel ze betrekking heeft. U kunt op elk moment stoppen en later verdergaan.
De tool genereert het beleid, de vier procedures en de bijlage over aanvaardbaar gebruik op naam van uw bedrijf, op basis van uw antwoorden. Waar een antwoord ontbreekt, zegt het document dat uitdrukkelijk, in plaats van de leemte op te vullen met generieke tekst. Het resultaat is een werkversie, die door uw eigen adviseurs (jurist, IT-leverancier, functionaris voor gegevensbescherming) moet worden beoordeeld en gevalideerd vóór goedkeuring door de directie.
Als u hulp wilt om uw antwoorden te toetsen, het document aan een specifieke context aan te passen of een audit voor te bereiden, kunt u ondersteuning vragen van een partneradviseur. Deze stap is optioneel: u kunt het zelfservicetraject volledig zonder deze stap doorlopen.
Belangrijk: het gegenereerde document is een werkbasis. Het vormt geen juridisch advies en maakt uw bedrijf op zichzelf niet conform met NIS2, ISO/IEC 27001, de AVG of enig nationaal recht. Naleving hangt af van wat u daadwerkelijk implementeert en blijft uw verantwoordelijkheid.
Drie bouwstenen, samen gegenereerd uit dezelfde werkplaats. Beschikbaarheid en voorwaarden worden bij de lancering bekendgemaakt.
Het kerndocument, ondertekend door de directie.
Wat het beleid operationeel maakt.
Om uw weg te vinden in de teksten.
Twee situaties mogen niet worden verward: een wettelijke verplichting voor bedrijven binnen het toepassingsgebied van NIS2 (of DORA), en een sterk aanbevolen goede praktijk voor alle anderen.
NIS2 geldt over het algemeen voor publieke of private entiteiten van een type dat in bijlage I of II is opgenomen en die als middelgrote onderneming kwalificeren of de maximumgrenzen voor middelgrote ondernemingen overschrijden, zoals gedefinieerd in Aanbeveling 2003/361/EG van de Commissie (art. 2, lid 1). Sommige entiteitstypen vallen ongeacht hun omvang onder de richtlijn (art. 2, lid 2). Entiteiten worden vervolgens geclassificeerd als 'essentieel' of 'belangrijk' (art. 3), wat het toezicht en de sancties beïnvloedt, maar beide moeten artikel 21 toepassen.
Bijlage I (sectoren met hoge kriticiteit): energie, vervoer, bankwezen, infrastructuur van financiële markten, gezondheid, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten (business-to-business), overheidsbestuur en ruimtevaart. Bijlage II (overige kritieke sectoren): post- en koeriersdiensten, afvalbeheer, chemie, voeding, productie (waaronder medische hulpmiddelen, elektronica, elektrische apparatuur, machines en voertuigen), digitale aanbieders en onderzoek.
NIS2 is een richtlijn: lidstaten moesten haar omzetten vóór 17 oktober 2024 en de maatregelen toepassen vanaf 18 oktober 2024 (art. 41). De omzettingsstatus en de details verschillen van land tot land, en nationaal recht kan de inhoud van de maatregelen nader bepalen. Controleer altijd de wet en de officiële zelftests van uw land.
Buiten deze toepassingsgebieden verplicht geen enkele algemene Europese wet een mkb-bedrijf om een document 'informatiebeveiligingsbeleid' vast te stellen. Maar de AVG geldt voor bijna elk bedrijf, klanten vragen leveranciers steeds vaker naar beveiliging, en een schriftelijk beleid is de eerste stap van elk erkend kader. Het is een keuze van voorzichtigheid, geen wettelijke verplichting.
Bronnen: Richtlijn (EU) 2022/2555, art. 2, 3, 41 en bijlagen I en II · Aanbeveling 2003/361/EG van de Commissie · Europese Commissie, pagina over de NIS2-richtlijn · Frankrijk: ANSSI, NIS 2-pagina (MesServicesCyber).
Elke regelgevende of normatieve verklaring hierboven verwijst naar een van deze bronnen. Links verwijzen naar de officiële uitgever.
Deze pagina wordt verstrekt ter informatie. Zij vormt geen juridisch advies. Teksten worden geciteerd in de versie die op EUR-Lex is gepubliceerd; nationale omzettingen en richtlijnen van autoriteiten kunnen aanvullende eisen toevoegen.
De selfservice-werkplaats is in voorbereiding. Vragen ondertussen: contact@syaga.eu.