Wat houdt deze control in?
In ISO 27002:2022 heet deze control officieel Arbeidsvoorwaarden; die naam omvat naast het arbeidscontract ook de geldende regelingen en instructies. Beveiligingsverantwoordelijkheden moeten expliciet worden opgenomen in arbeidsovereenkomsten en functieomschrijvingen. Let op het onderscheid met 6.3. De control 6.2 gaat over het moment van aanstelling of functiewisseling en de contractuele verankering, niet over het doorlopende trainingsprogramma.
Waarom is dit verplicht?
Zonder contractuele verankering zijn beveiligingsverplichtingen juridisch moeilijk afdwingbaar.
Praktische implementatie
- Voeg een beveiligingsparagraaf toe aan arbeidscontracten
- Verwijs naar het geldende beveiligingsbeleid
- Laat medewerkers een geheimhoudingsverklaring ondertekenen
- Actualiseer contracten bij functiewijzigingen met verhoogd risico
Aandachtspunten voor de overheid
Gebruik de CAO-bepalingen als basis en vul aan met organisatiespecifieke beveiligingsvereisten.
Benut daarnaast de ambtseed of ambtsbelofte als formeel moment waarop verantwoordelijkheden worden overgedragen. Dit is bij uitstek geschikt om aan te tonen dat medewerkers zijn gewezen op hun IB-verantwoordelijkheden.
Houd er rekening mee dat de geheimhoudingsplicht voor ambtenaren al van rechtswege geldt op grond van artikel 9 Ambtenarenwet 2017; opzettelijke schending is strafbaar via artikel 272 Wetboek van Strafrecht. Voor externe medewerkers en inhuur ligt dat anders. Overheidsmaatregel 6.02.01 geldt uitdrukkelijk ook voor hen.
Relatie met andere controls
Deze control legt de basis vast op het aanstellingsmoment. Het bewustwordingsprogramma valt onder 6.3 (bewustwording en training) . Verder gerelateerd aan 6.1 (screening vooraf), 6.4 (disciplinaire procedure), 6.5 (verantwoordelijkheden bij beëindiging of wijziging van dienstverband) en 6.6 (geheimhoudings- of vertrouwelijkheidsovereenkomsten). Voor externe medewerkers en contractanten loopt de verankering daarnaast via 5.20 (afspraken in leveranciersovereenkomsten).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je verankert beveiligingsverantwoordelijkheden expliciet in arbeidsovereenkomsten en functieomschrijvingen. De overheidsmaatregel vereist dat alle medewerkers — intern én extern — bij aanstelling of functiewisseling worden gewezen op hun IB-verantwoordelijkheden, en dat de bijbehorende regelingen en instructies eenvoudig toegankelijk zijn. Zonder contractuele verankering zijn beveiligingsverplichtingen juridisch moeilijk afdwingbaar.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Wijs alle medewerkers (intern en extern) bij aanstelling of functiewisseling aantoonbaar op hun IB-verantwoordelijkheden.
- ›Zorg dat de relevante regelingen en instructies (beveiligingsbeleid, gedragsregels) eenvoudig toegankelijk zijn voor medewerkers.
- ›Voeg een beveiligingsparagraaf toe aan arbeidscontracten die verwijst naar het geldende beveiligingsbeleid.
- ›Laat medewerkers een geheimhoudingsverklaring ondertekenen bij indiensttreding.
- ›Actualiseer contracten en afspraken bij functiewijzigingen met een verhoogd risicoprofiel.verdieping
Bewijs dat je kunt verzamelen
- ›Arbeidscontracten of aanstellingsdocumenten met een beveiligingsparagraaf
- ›Aantoonbare instructie aan medewerkers over hun IB-verantwoordelijkheden (bijv. ondertekening, onboarding-registratie)
- ›Vindbare en toegankelijke regelingen en instructies (intranet, personeelshandboek)
- ›Ondertekende geheimhoudingsverklaringen in de personeelsdossiers
Wat je bij een audit moet kunnen aantonen
- ›Dat beveiligingsverantwoordelijkheden contractueel zijn verankerd
- ›Dat medewerkers aantoonbaar zijn gewezen op hun IB-verantwoordelijkheden bij aanstelling/functiewisseling
- ›Dat regelingen en instructies eenvoudig toegankelijk zijn
- ›Dat dit ook voor externe medewerkers geldt
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een standaard beveiligingsparagraaf voor contracten vastgesteld?
- ›Is een proces om medewerkers op IB-verantwoordelijkheden te wijzen ingericht?
- ›Zijn regelingen en instructies centraal toegankelijk gemaakt?
- ›Bevatten de contracten daadwerkelijk de beveiligingsparagraaf?
- ›Zijn medewerkers aantoonbaar geïnstrueerd (intern en extern)?
- ›Zijn de instructies in de praktijk vindbaar?
- ›Wordt de instructie bij elke nieuwe aanstelling en functiewisseling toegepast?
- ›Worden contracten geactualiseerd bij risicovolle functiewijzigingen?
- ›Blijven de regelingen actueel en toegankelijk?
Gekoppelde overheidsmaatregel(en)
De voor hen geldende regelingen en instructies voor informatiebeveiliging zijn eenvoudig toegankelijk.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.