Informatiebeveiligingsbeleid opstellen
Een informatiebeveiligingsbeleid opstellen betekent vastleggen wat uw organisatie beschermt, waarom, en wie waarvoor verantwoordelijk is. Het is een kort sturend document dat door de directie wordt vastgesteld, met daaronder deelbeleid en werkinstructies voor de uitvoering.
Op deze pagina leest u welke hoofdstukken erin horen, hoe u het in drie lagen opbouwt, hoe u met één beleid tegelijk ISO 27001, NEN 7510, de AVG en de Cyberbeveiligingswet (CBW) afdekt, en hoe u voorkomt dat het een papieren document blijft.
Wij komen deze vraag meestal tegen als een norm of een klant erom vraagt. De verleiding is dan groot om een sjabloon over te nemen, en dat is precies waar het misgaat.
Wat een informatiebeveiligingsbeleid is, en wat er juist niet in hoort
Het beleid legt de uitgangspunten en de verantwoordelijkheden vast. Het beschrijft niet hoe u iets technisch inricht.
Dat onderscheid is de belangrijkste keuze van het hele document. In het beleid staat bijvoorbeeld dat toegang wordt verleend op basis van functie en dat rechten periodiek worden beoordeeld. Er staat niet in welke groepen u in welk systeem heeft ingericht, want dat verandert voortdurend.
Wie dat door elkaar haalt, krijgt een document van veertig pagina’s dat na een half jaar niet meer klopt. En omdat het is vastgesteld door de directie, moet elke wijziging opnieuw langs die directie. In de praktijk gebeurt dat niet, en dan verouderd het stilletjes.
Een werkbaar beleid is kort. Tien tot vijftien pagina’s is voor de meeste organisaties ruim voldoende. De uitwerking hangt eronder, in documenten die op een lager niveau worden vastgesteld en dus makkelijker bij te werken zijn.
Wat er ook niet in hoort: namen van personen, merknamen van producten en bedragen. Die veranderen sneller dan het beleid, en ze horen in de onderliggende documenten thuis.
Waarom beleid op papier nodig is
Drie kaders vragen er expliciet om, en alle drie vragen zij dat de directie het vaststelt.
ISO 27001 vraagt een informatiebeveiligingsbeleid dat is vastgesteld door de directie, dat wordt gecommuniceerd en dat periodiek wordt beoordeeld. Zonder dat document komt u een certificeringsaudit niet door. In de zorg geldt hetzelfde via NEN 7510.
De Cyberbeveiligingswet, die vanaf 15 augustus 2026 geldt, vraagt beleid voor risicoanalyse en informatiebeveiliging als onderdeel van de zorgplicht. De wet legt daarbij de verantwoordelijkheid nadrukkelijk bij de leiding van de organisatie. Beleid dat niet aantoonbaar door het bestuur is goedgekeurd, voldoet daar niet aan.
De AVG vraagt passende technische en organisatorische maatregelen. Wat passend is, moet u kunnen onderbouwen, en die onderbouwing begint bij vastgelegde uitgangspunten.
Er is nog een reden die in de praktijk zwaarder weegt. Zonder beleid is elke discussie over een uitzondering een nieuwe discussie. Met beleid is er een afgesproken lijn, en gaat het gesprek alleen nog over de vraag of deze situatie een uitzondering rechtvaardigt.
De drie lagen: strategisch, tactisch en operationeel
Werk in drie lagen. Dat is de eenvoudigste manier om te voorkomen dat u één onwerkbaar document schrijft.
De bovenste laag is het informatiebeveiligingsbeleid zelf. Dat bevat de uitgangspunten, de reikwijdte, de rollen en het mandaat. Het wordt vastgesteld door de directie en jaarlijks beoordeeld. Deze laag verandert weinig.
De middelste laag is het deelbeleid: onderwerpsgewijze regels voor bijvoorbeeld toegangsbeheer, back-ups of leveranciers. Dit wordt vastgesteld door de eigenaar van het onderwerp, bijvoorbeeld de IT-manager, en kan vaker wijzigen.
De onderste laag zijn werkinstructies en procedures: hoe iemand een account aanmaakt, hoe een back-up wordt gecontroleerd, wat er gebeurt bij een melding. Deze laag hoort bij de mensen die het werk doen en verandert het vaakst.
Het voordeel is dat een wijziging op de laagste laag geen directiebesluit vraagt. Het beleid blijft daardoor stabiel en de uitvoering blijft actueel. Alle drie de lagen horen samen in uw ISMS beheerd te worden.
Wat er in het beleidsdocument staat, hoofdstuk voor hoofdstuk
Deze indeling werkt voor vrijwel elke organisatie en sluit aan op wat een auditor verwacht.
- 1. Doel en reikwijdte. Wat erin staat: Waarom dit beleid er is, en welke organisatieonderdelen, locaties en diensten eronder vallen. Wie stelt vast: Directie.
- 2. Uitgangspunten. Wat erin staat: De principes waar u op stuurt, zoals toegang op basis van functie en beveiliging vanaf het ontwerp. Wie stelt vast: Directie.
- 3. Rollen en verantwoordelijkheden. Wat erin staat: Wie eigenaar is, wie risico-eigenaar, wat de directie doet en wat van elke medewerker wordt verwacht. Wie stelt vast: Directie.
- 4. Risicobeheer. Wat erin staat: Hoe u risico's beoordeelt, wie ze weegt en wanneer een risico aanvaardbaar is. Wie stelt vast: Directie.
- 5. Verwijzing naar deelbeleid. Wat erin staat: Welke onderwerpen apart zijn uitgewerkt en waar die documenten te vinden zijn. Wie stelt vast: Eigenaar per onderwerp.
- 6. Naleving en uitzonderingen. Wat erin staat: Hoe wordt gecontroleerd, hoe een uitzondering wordt aangevraagd en wie die goedkeurt. Wie stelt vast: Directie.
- 7. Beheer van het beleid. Wat erin staat: Versiebeheer, reviewdatum en de aanleidingen voor tussentijdse herziening. Wie stelt vast: Eigenaar van het beleid.
Zeven hoofdstukken op tien tot vijftien pagina’s. Alles wat langer wordt, hoort waarschijnlijk in het deelbeleid thuis.
Welke deelbeleiden u eronder hangt
Niet elk onderwerp heeft een eigen document nodig. Dit zijn de onderwerpen die er in de praktijk wel een verdienen.
- Toegangsbeheer. Hoe rechten worden toegekend, beoordeeld en ingetrokken, en hoe beheerrechten zijn gescheiden.
- Back-up en herstel. Wat er wordt geback-upt, hoelang het wordt bewaard en hoe vaak terugzetten wordt getest.
- Kwetsbaarhedenbeheer. Hoe u updates uitvoert, welke termijnen gelden en hoe u omgaat met systemen die achterlopen.
- Mobiele apparaten en thuiswerken. Wat is toegestaan op eigen apparatuur en welke eisen gelden buiten kantoor.
- Cloud en SaaS. Welke toets een nieuwe dienst doorloopt voordat er gegevens in gaan.
- Leveranciers. Welke afspraken u vastlegt, hoe u kritieke leveranciers beoordeelt en hoe vaak.
- Veilig ontwikkelen. Alleen relevant als u zelf software maakt, met eisen aan ontwerp, test en uitrol.
- Incidenten en melden. De koppeling naar uw incident response plan en de wettelijke meldtermijnen.
Begin met de eerste drie. Die dekken samen het grootste deel van wat er in de praktijk misgaat, en de rest kunt u gefaseerd toevoegen.
Eén beleid dat vier kaders tegelijk afdekt
Schrijf niet vier documenten voor vier kaders. Schrijf er één en laat per onderdeel zien welke eis het afdekt.
Dit is het werk waar het werkelijk om gaat, en het is de reden dat sjablonen tekortschieten. De kaders vragen grotendeels hetzelfde, alleen in andere bewoordingen en met een eigen accent.
- Uitgangspunten en directiebesluit. ISO 27001 en NEN 7510: Vastgesteld beleid, periodiek beoordeeld. Cyberbeveiligingswet: Bestuurlijke verantwoordelijkheid en goedkeuring. AVG: Onderbouwing van passende maatregelen.
- Risicobeheer. ISO 27001 en NEN 7510: Risicobeoordeling met methodiek en register. Cyberbeveiligingswet: Risicoanalyse als onderdeel van de zorgplicht. AVG: Beoordeling van gegevensbeschermingseffecten.
- Toegangsbeheer. ISO 27001 en NEN 7510: Toegang op basis van functie, periodieke beoordeling. Cyberbeveiligingswet: Toegangsbeleid en meervoudige verificatie. AVG: Beperking van toegang tot persoonsgegevens.
- Incidenten en melden. ISO 27001 en NEN 7510: Procedure voor incidenten en leren daarvan. Cyberbeveiligingswet: Meldketen met vaste termijnen. AVG: Melding van datalekken bij de toezichthouder.
- Leveranciers. ISO 27001 en NEN 7510: Beveiliging in leveranciersrelaties. Cyberbeveiligingswet: Beveiliging van de toeleveringsketen. AVG: Verwerkersovereenkomsten en doorgifte.
- Opleiding en bewustzijn. ISO 27001 en NEN 7510: Bekwaamheid en bewustwording. Cyberbeveiligingswet: Cyberhygiëne en opleiding, ook van bestuurders. AVG: Instructie van medewerkers.
Neem die verwijzing op in het beleid zelf, bijvoorbeeld als kolom in een bijlage. Dan hoeft u bij een audit niet uit te leggen hoe uw document zich tot de norm verhoudt, want dat staat er.
Een informatiebeveiligingsbeleid opstellen in zes stappen
Het schrijven is het kleinste deel van het werk. De keuzes maken en ze door de organisatie krijgen, kost de tijd.
1. Bepaal de reikwijdte
Wij bepalen samen welke organisatieonderdelen, locaties en diensten onder het beleid vallen, en wat er bewust buiten valt. U levert een overzicht van uw structuur en diensten. Dat levert een afbakening op die voorkomt dat het beleid over alles en daarmee over niets gaat.
2. Haal de uitgangspunten op
Wij voeren gesprekken met de directie over wat er beschermd moet worden en welk risico aanvaardbaar is. U zorgt dat de juiste mensen aanschuiven, inclusief de eindverantwoordelijke. Dat levert uitgangspunten op die van de organisatie zijn en niet uit een sjabloon komen.
3. Breng in kaart wat er al ligt
Wij verzamelen bestaande documenten, afspraken en werkwijzen, ook de ongeschreven. U wijst de mensen aan die weten hoe het werkelijk gaat. Dat levert vaak de vaststelling op dat er meer is dan gedacht, alleen niet vastgelegd.
4. Schrijf het beleid en de normenmapping
Wij stellen het document op volgens de hoofdstukindeling, met per onderdeel de koppeling naar de kaders die u volgt. U leest mee en corrigeert waar het niet bij de praktijk past. Dat levert een document op dat herkenbaar is voor uw eigen mensen.
5. Werk het deelbeleid uit
Wij stellen de deelbeleiden op voor de onderwerpen die dat nodig hebben. U wijst per onderwerp een eigenaar aan die het vaststelt. Dat levert de uitvoerbare laag op, zonder dat het hoofdbeleid dichtslibt.
6. Laat vaststellen en verspreiden
Wij bereiden de besluitvorming voor met een korte toelichting voor de directie. U laat het vaststellen, legt dat vast en zorgt dat medewerkers het kennen. Dat levert een beleid op met een datum, een versie en een eigenaar, precies wat een auditor opvraagt.
Hoe u het beleid door de directie krijgt
Beleid sneuvelt zelden op de inhoud. Het sneuvelt op de vraag wat het de organisatie gaat kosten aan gedoe.
Wat helpt is het gesprek niet over de norm te laten gaan. Een directie is zelden geïnteresseerd in een normonderdeel, maar wel in de vraag wat er gebeurt als een systeem twee dagen plat ligt, of wat een grote klant van hen verwacht in de volgende tender.
Wat verder helpt is expliciet zijn over de consequenties. Als het beleid zegt dat rechten periodiek worden beoordeeld, dan kost dat iemand tijd. Benoem dat vooraf, met een schatting. Beleid dat wordt vastgesteld zonder dat iemand de gevolgen doorziet, wordt niet nageleefd.
Tot slot: houd het besluit klein. Stel het hoofdbeleid vast en laat het deelbeleid op een lager niveau vaststellen. Een directie die zeven documenten tegelijk moet goedkeuren, stelt het besluit uit.
Wilt u het bestuur breder meenemen in wat er van hen wordt verwacht, dan is de boardroom training NIS2 daar specifiek voor bedoeld.
Van vastgesteld beleid naar aantoonbare naleving
Een vastgesteld beleid is het begin. Wat het waard is, blijkt uit de jaarcyclus eronder.
Leg vast wanneer het beleid wordt beoordeeld, en houd u daaraan. Eén keer per jaar is voor de meeste organisaties voldoende. Leg daarnaast vast welke gebeurtenissen een tussentijdse herziening uitlokken: een overname, een nieuwe dienst, een groot incident, een wijziging in wetgeving of een nieuwe kritieke leverancier.
Versiebeheer is geen formaliteit. Een auditor kijkt naar de datum, de versie en de vraag of de vorige versie nog terug te vinden is. Dat kost niets als u het vanaf het begin bijhoudt, en het is achteraf vrijwel niet te reconstrueren.
Controleer daarnaast of het beleid wordt nageleefd. Dat hoeft geen zware exercitie te zijn. Een steekproef op toegangsrechten, een controle of de hersteltest is uitgevoerd en een blik op de openstaande uitzonderingen geeft al een goed beeld. Leg de uitkomst vast, ook als die goed is, want dat is uw bewijs.
Wilt u weten hoe uw huidige documenten zich verhouden tot de kaders die voor u gelden, dan brengt een compliance assessment dat in kaart.
Wat de omvang van het traject bepaalt
Een beleid opstellen loopt van enkele weken tot enkele maanden. Deze factoren bepalen het verschil.
- Reikwijdte. Meer entiteiten, locaties en diensten betekent meer afstemming over uitgangspunten.
- Aantal kaders. Eén norm is eenvoudiger dan een beleid dat ISO 27001, de Cyberbeveiligingswet en de AVG tegelijk moet afdekken.
- Wat er al ligt. Bestaande documenten opschonen kost minder dan opbouwen vanaf nul, mits ze nog kloppen.
- Aantal deelbeleiden. Drie is een werkbare start, acht is een compleet stelsel en vraagt meer tijd.
- Besluitvorming. Organisaties met een raad van commissarissen of meerdere directies vragen meer voorbereiding.
- Beschikbaarheid van uw mensen. De gesprekken met proceseigenaren zijn niet te versnellen zonder aan kwaliteit in te leveren.
Wij maken de omvang van uw traject inzichtelijk in een vrijblijvend gesprek.
Zo helpt QENSORA bij uw informatiebeveiligingsbeleid
Wij schrijven het beleid samen met u, niet voor u. Dat klinkt als een nuance en het is het verschil tussen naleving en een document in een map.
In de praktijk betekent het dat wij de gesprekken voeren, de keuzes voorleggen en het schrijfwerk doen. De uitgangspunten komen van u, want een beleid dat niet aansluit bij hoe u werkt, wordt niet nageleefd. Wij herkennen een overgenomen sjabloon binnen twee minuten, en een auditor ook.
Wat wij toevoegen is de combinatie van techniek en normkennis. Beleid dat technisch niet uitvoerbaar is, levert alleen uitzonderingen op. Beleid dat de norm niet dekt, houdt geen stand bij een audit. Wij kijken naar beide.
René van der Horst werkt dertig jaar in IT-leiderschap en begeleidt organisaties bij ISO 27001, NEN 7510, de AVG en de Cyberbeveiligingswet. Hij voert de gesprekken met de directie zelf, omdat daar de keuzes worden gemaakt die het document dragen.
Ontbreekt er iemand die het beleid daarna beheert, dan kan die rol tijdelijk worden ingevuld via CISO as a Service. Gaat het specifiek om privacy, kijk dan naar het inhuren van een privacy officer.
Beleid dat gelezen wordt en klopt
Het verschil tussen een goed en een slecht informatiebeveiligingsbeleid zit niet in de formulering. Het zit in de vraag of de uitgangspunten van uw eigen organisatie zijn, en of iemand ze kan uitvoeren zonder er elke week een uitzondering op te vragen.
Wilt u weten wat er in uw situatie nodig is en wat u van uw bestaande documenten kunt hergebruiken? Neem vrijblijvend contact op. In een eerste gesprek wordt meestal snel duidelijk hoe groot de klus is.
Veelgestelde vragen over het opstellen van een informatiebeveiligingsbeleid
Hoe lang mag een informatiebeveiligingsbeleid zijn?
Tien tot vijftien pagina’s is voor de meeste organisaties ruim voldoende. Wordt het langer, dan zit er waarschijnlijk uitvoering in die in het deelbeleid thuishoort. Een kort beleid wordt gelezen en blijft actueel. Een lang beleid wordt vastgesteld en daarna niet meer opengeslagen.
Wie stelt het beleid vast?
De directie of het bestuur. Dat is geen formaliteit: zowel ISO 27001 als de Cyberbeveiligingswet vraagt om aantoonbare betrokkenheid van de leiding. Leg het besluit vast met datum en versie. Deelbeleid mag door de eigenaar van het onderwerp worden vastgesteld, bijvoorbeeld door de IT-manager.
Hoe vaak moet het beleid worden herzien?
Jaarlijks als vast ritme. Herzie tussentijds bij gebeurtenissen die de uitgangspunten raken: een overname, een nieuwe dienst, een groot incident of een wijziging in wetgeving. Leg die aanleidingen vast in het beleid zelf, dan is de herziening navolgbaar en hoeft u er niet over te discussiëren.
Is een informatiebeveiligingsbeleid verplicht?
Voor ISO 27001 en NEN 7510 wel, daar komt u zonder niet door de audit. De Cyberbeveiligingswet vraagt beleid als onderdeel van de zorgplicht. De AVG vraagt geen beleidsdocument met die naam, maar wel onderbouwing van uw maatregelen, en die begint bij vastgelegde uitgangspunten.
Kunnen wij een sjabloon gebruiken?
Als vertrekpunt voor de structuur, ja. Als inhoud, nee. Een sjabloon bevat uitgangspunten van een andere organisatie, en die passen zelden. Bovendien staan er verplichtingen in die u niet nakomt, en dat is bij een audit ongunstiger dan een korter beleid dat wel klopt.
Wat is het verschil tussen beleid en een procedure?
Beleid legt vast wat u wilt bereiken en wie waarvoor verantwoordelijk is. Een procedure beschrijft hoe iemand een handeling uitvoert. Beleid wordt door de directie vastgesteld en verandert weinig. Procedures horen bij de uitvoering en veranderen vaak. Houd ze daarom in aparte documenten.
Moeten wij aparte documenten maken voor ISO 27001 en de Cyberbeveiligingswet?
Nee, en dat is juist niet verstandig. De onderwerpen overlappen sterk. Schrijf één beleid en laat per onderdeel zien welke eis uit welk kader wordt afgedekt. Twee losse stelsels leiden tot dubbel werk en, erger, tot documenten die elkaar op punten tegenspreken.
Hoe krijgen wij medewerkers zover dat zij het naleven?
Door het kort te houden en te vertalen naar wat het voor iemands eigen werk betekent. Het volledige beleid hoeft niet door iedereen gelezen te worden. Een korte samenvatting met de regels die daadwerkelijk gelden werkt beter, ondersteund door een security awareness training.
Improved Security, Smarter Compliance.
Weten waar uw organisatie staat op het gebied van cybersecurity, compliance of IT? Of bent u benieuwd welke risico’s of verplichtingen voor uw organisatie relevant zijn?
Neem vrijblijvend contact op met QENSORA voor een kennismaking of adviesgesprek. Samen kijken we hoe uw organisatie veiliger en slimmer kan worden.
