Een informatiebeveiligingsbeleid opstellen begint met het vastleggen van de doelstellingen, scope, verantwoordelijkheden en maatregelen die jouw organisatie hanteert om informatie te beschermen. Het beleid vormt de schriftelijke basis waarop alle overige beveiligingsmaatregelen en procedures steunen. In dit artikel beantwoorden we de meest gestelde vragen over het schrijven van een sterk informatiebeveiligingsbeleid, van de inhoud tot de aansluiting op NIS2-verplichtingen.
Wat moet er in een informatiebeveiligingsbeleid staan?
Een informatiebeveiligingsbeleid bevat minimaal de beveiligingsdoelstellingen van de organisatie, de scope van het beleid, de rolverdeling en verantwoordelijkheden, de risicobereidheid en de maatregelen die worden ingezet om informatie te beschermen. Daarnaast hoort er een verwijzing in te staan naar onderliggende procedures en een beschrijving van hoe het beleid wordt gehandhaafd en getoetst.
In de praktijk ziet een goed informatiebeveiligingsbeleid er als volgt uit:
- Doelstelling en context: Waarom bestaat dit beleid en welke waarden beschermt het?
- Scope: Op welke systemen, processen, locaties en medewerkers is het beleid van toepassing?
- Principes en uitgangspunten: De kernbeginselen zoals vertrouwelijkheid, integriteit en beschikbaarheid (de CIA-triade).
- Rollen en verantwoordelijkheden: Wie is waarvoor verantwoordelijk, van bestuur tot eindgebruiker?
- Risicobereidheid: Welk niveau van risico accepteert de organisatie?
- Maatregelen: Een overzicht van de technische en organisatorische beveiligingsmaatregelen.
- Incidentbeheer: Hoe wordt omgegaan met beveiligingsincidenten?
- Naleving en handhaving: Hoe wordt gecontroleerd of het beleid wordt nageleefd?
- Verwijzingen: Links naar onderliggende procedures, werkinstructies en standaarden zoals ISO 27001 of de BIO2.
Het beleid hoeft geen technisch handboek te zijn. Het is een strategisch document dat richting geeft. De technische details horen thuis in onderliggende procedures en werkinstructies. Houd de taal toegankelijk zodat iedereen in de organisatie begrijpt wat er van hen wordt verwacht.
Hoe bepaal je de scope van je informatiebeveiligingsbeleid?
De scope van een informatiebeveiligingsbeleid bepaal je door in kaart te brengen welke informatiesystemen, processen, locaties en medewerkers onder het beleid vallen. Een goede scope is zo breed dat alle kritieke informatie wordt gedekt, maar zo concreet dat het beleid uitvoerbaar blijft. Begin altijd met een inventarisatie van de informatie die de organisatie verwerkt en de risico’s die daarbij horen.
Bij het bepalen van de scope spelen de volgende vragen een rol:
- Welke informatiesystemen en applicaties verwerken gevoelige of kritieke gegevens?
- Welke bedrijfsprocessen zijn afhankelijk van die systemen?
- Zijn er externe partijen, leveranciers of cloudproviders die toegang hebben tot jouw informatie?
- Welke locaties of afdelingen zijn relevant, inclusief thuiswerkers?
- Welke wet- en regelgeving is van toepassing, zoals de AVG of de Cyberbeveiligingswet?
Een veelgemaakte fout is het opstellen van een beleid dat op papier alles omvat, maar in de praktijk nergens concreet op ingaat. Kies liever een heldere, afgebakende scope die je daadwerkelijk kunt handhaven. Als de organisatie groeit of de dienstverlening verandert, pas je de scope aan bij de eerstvolgende herziening.
Voor organisaties die onder de NIS2-regelgeving vallen, is het bijzonder belangrijk om de toeleveringsketen mee te nemen in de scope. De zorgplicht vereist namelijk inzicht in de cybersecuritymaatregelen van leveranciers die toegang hebben tot jouw systemen of gegevens.
Wie is verantwoordelijk voor het informatiebeveiligingsbeleid?
De eindverantwoordelijkheid voor het informatiebeveiligingsbeleid ligt bij het bestuur of de directie van de organisatie. Het dagelijks beheer en de uitvoering worden doorgaans belegd bij een Chief Information Security Officer (CISO) of een vergelijkbare functionaris. Lijnmanagers zijn verantwoordelijk voor de naleving binnen hun eigen afdeling of domein.
Een heldere rolverdeling ziet er in de meeste organisaties als volgt uit:
- Bestuur of directie: Stelt het beleid vast, draagt eindverantwoordelijkheid en zorgt voor voldoende budget en prioriteit.
- CISO of Information Security Officer (ISO): Ontwikkelt, beheert en actualiseert het beleid en adviseert het bestuur.
- Lijnmanagers: Zorgen dat medewerkers het beleid kennen en naleven.
- Medewerkers: Handelen conform het beleid en melden afwijkingen of incidenten.
- IT-afdeling: Implementeert de technische maatregelen die voortvloeien uit het beleid.
Onder de Cyberbeveiligingswet (de Nederlandse implementatie van NIS2) is de bestuurlijke verantwoordelijkheid voor informatiebeveiliging wettelijk verankerd. Voor overheidsorganisaties is dat de politieke leiding, zoals ministers of wethouders. Bestuurders zijn verplicht een training te volgen om beveiligingsrisico’s te kunnen herkennen en beoordelen. Dit maakt informatiebeveiliging nadrukkelijk een boardroomonderwerp en geen louter technische aangelegenheid.
Hoe vaak moet een informatiebeveiligingsbeleid worden herzien?
Een informatiebeveiligingsbeleid moet minimaal jaarlijks worden herzien. Daarnaast is een tussentijdse herziening noodzakelijk na ingrijpende veranderingen in de organisatie, de technologie of de dreigingsomgeving. Denk aan een overname, een nieuwe cloudstrategie, een ernstig beveiligingsincident of nieuwe wet- en regelgeving.
Jaarlijkse herziening is de standaard die wordt gehanteerd in gangbare normenkaders zoals ISO 27001 en de Baseline Informatiebeveiliging Overheid (BIO2). Bij die herziening stel je jezelf de volgende vragen:
- Is de scope nog actueel, of zijn er nieuwe systemen, processen of leveranciers bijgekomen?
- Zijn de verantwoordelijkheden nog correct belegd?
- Zijn er nieuwe dreigingen of kwetsbaarheden die om aanpassing vragen?
- Zijn er incidenten geweest waaruit lessen zijn getrokken die in het beleid moeten worden verwerkt?
- Zijn er wettelijke of regelgevende wijzigingen die impact hebben op het beleid?
Het vastleggen van de herzieningsdatum en de versiehistorie in het document zelf is een goede praktijk. Zo is altijd aantoonbaar wanneer het beleid voor het laatst is beoordeeld en welke wijzigingen zijn doorgevoerd. Dit is ook relevant voor toezichthouders die willen zien dat informatiebeveiliging actief wordt beheerd en niet slechts op papier bestaat.
Wat is het verschil tussen een informatiebeveiligingsbeleid en een beveiligingsprocedure?
Een informatiebeveiligingsbeleid beschrijft wat de organisatie wil bereiken en waarom, terwijl een beveiligingsprocedure beschrijft hoe dat in de praktijk wordt uitgevoerd. Het beleid is strategisch en richtinggevend; de procedure is operationeel en stap-voor-stap.
Het onderscheid is eenvoudig te illustreren aan de hand van een voorbeeld. Het informatiebeveiligingsbeleid stelt dat toegang tot gevoelige systemen uitsluitend is voorbehouden aan geautoriseerde medewerkers. De bijbehorende procedure beschrijft vervolgens hoe een toegangsaanvraag wordt ingediend, wie die aanvraag goedkeurt, hoe toegang wordt ingetrokken bij vertrek en hoe dit wordt geregistreerd.
De hiërarchie ziet er in de meeste organisaties als volgt uit:
- Beleid: Het overkoepelende document met doelstellingen, principes en verantwoordelijkheden.
- Standaarden en richtlijnen: Specificeren de minimale eisen en aanbevelingen per onderwerp, zoals wachtwoordbeleid of versleutelingsstandaarden.
- Procedures: Stap-voor-stap beschrijvingen van hoe specifieke taken worden uitgevoerd.
- Werkinstructies: Gedetailleerde instructies voor specifieke systemen of handelingen.
Een veelgemaakte fout is het samenvoegen van beleid en procedures in één document. Dit maakt het document onnodig lang, moeilijk te onderhouden en lastig te communiceren. Houd beide gescheiden en zorg voor duidelijke verwijzingen vanuit het beleid naar de onderliggende procedures.
Hoe sluit een informatiebeveiligingsbeleid aan op NIS2-verplichtingen?
Een informatiebeveiligingsbeleid sluit aan op NIS2-verplichtingen door expliciet de zorgplicht te adresseren die de Cyberbeveiligingswet oplegt. Dat betekent dat het beleid aantoonbaar ingaat op risicobeheersing, toegangsbeheer, cryptografie, incidentbeheer, bedrijfscontinuïteit en supply chain-beveiliging. NIS2 vereist niet alleen dat maatregelen worden genomen, maar ook dat cybersecurity structureel is ingebed in beleid, processen en bestuur.
De NIS2-richtlijn, die in Nederland wordt omgezet via de Cyberbeveiligingswet (Cbw), stelt concrete eisen aan de inhoud van het beveiligingsbeleid. De volgende elementen moeten aantoonbaar zijn geborgd:
- Risicoanalyse en beleid: Een gedocumenteerde aanpak voor het identificeren en beheersen van cybersecurityrisico’s.
- Incidentbeheer: Procedures voor detectie, respons en melding van beveiligingsincidenten, inclusief de verplichting om ernstige incidenten binnen 24 uur te melden bij de bevoegde autoriteit.
- Bedrijfscontinuïteit: Maatregelen voor back-up, herstel en crisisbeheersing.
- Supply chain-beveiliging: Inzicht in en eisen aan de cybersecuritymaatregelen van leveranciers.
- Toegangsbeheer en cryptografie: Beleid voor wie toegang heeft tot welke systemen en hoe gegevens worden versleuteld.
- Bestuurlijke verantwoordelijkheid: Aantoonbare betrokkenheid van het bestuur, inclusief het volgen van een verplichte training.
Voor overheidsorganisaties biedt de BIO2 een praktisch normenkader dat grotendeels de NIS2-zorgplicht invult. Organisaties die al werken conform de BIO2 hebben daarmee een solide basis voor NIS2-compliance. Voor private organisaties biedt ISO 27001 een vergelijkbaar houvast. In beide gevallen geldt dat het beleid niet alleen moet bestaan, maar ook aantoonbaar moet worden uitgevoerd en periodiek getoetst.
Hoe Q-Cyber helpt met het opstellen van een informatiebeveiligingsbeleid
Een goed informatiebeveiligingsbeleid opstellen vraagt om meer dan een sjabloon invullen. Het vereist inzicht in de specifieke risico’s van jouw organisatie, kennis van de geldende wet- en regelgeving en de vaardigheid om beleid te schrijven dat zowel bestuurlijk gedragen als operationeel uitvoerbaar is. Wij combineren technische expertise met beleidsmatige kennis en helpen organisaties concreet verder:
- Wij voeren een gap-analyse uit om te bepalen welke onderdelen van het beleid ontbreken of onvoldoende zijn uitgewerkt.
- Wij schrijven een op maat gemaakt informatiebeveiligingsbeleid dat aansluit op jouw sector, risicoprofiel en eventuele NIS2-verplichtingen.
- Wij verzorgen trainingen voor bestuurders die voldoen aan de trainingsplicht onder de Cyberbeveiligingswet.
- Via onze Continuous-Q dienstverlening bieden wij een virtuele CISO die het beleid actief beheert, actualiseert en bewaakt.
- Wij adviseren pragmatisch en onafhankelijk, zonder binding aan softwarepartijen of toeleveranciers.
Of je nu voor het eerst een informatiebeveiligingsbeleid opstelt of een bestaand beleid wilt versterken met het oog op NIS2: wij helpen je verder. Neem contact op voor een vrijblijvend gesprek over jouw situatie.
Gerelateerde artikelen
- Welke sectoren vallen onder NIS2 in Nederland?
- Slimme apparaten op de werkvloer: beveiligingsrisico's
- Hoe communiceer je tijdens een cyberaanval?
- Managed security services: wat zijn de voordelen voor het mkb?
- Hoe bereken je de ROI van cybersecurity-investeringen?
- Kun je met ISO 27001 tegelijk voldoen aan NIS2?
- Wat is een VPN en wanneer gebruik je het?
- Hoe meld je een datalek bij de Autoriteit Persoonsgegevens?
- Hoe voorkom ik dat ik opnieuw word gehackt?
- Hoe test je IoT apparaten?