Wat houdt deze control in?
Er moet een formele, gecommuniceerde disciplinaire procedure zijn voor medewerkers die het beveiligingsbeleid overtreden.
Waarom is dit verplicht?
Een duidelijke procedure heeft een preventieve werking en zorgt voor eerlijke behandeling bij incidenten.
Praktische implementatie
- Beschrijf de procedure in het beveiligingsbeleid of personeelshandboek
- Onderscheid categorieën overtredingen met bijbehorende maatregelen
- Betrek HR en juridische zaken bij de procedure
- Communiceer de procedure actief aan alle medewerkers
- Leg de procedure vooraf voor aan de ondernemingsraad; een personeelsregeling valt onder het instemmingsrecht van artikel 27 WOR
Aandachtspunten voor de overheid
Sluit aan op de bestaande integriteitsregelgeving uit de Ambtenarenwet 2017 en op de arbeidsrechtelijke procedures uit de geldende CAO. Sinds de Wnra (2020) geldt voor ambtenaren bij gemeenten, provincies en waterschappen het reguliere arbeidsrecht; het klassieke disciplinaire ambtenarenrecht is alleen nog van toepassing bij uitgezonderde groepen zoals politie, Defensie en de rechterlijke macht.
Relatie met andere controls
Gerelateerd aan 6.3 (bewustwording) en 5.27 (leren van incidenten).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je hebt een formele, gecommuniceerde disciplinaire procedure voor medewerkers die het beveiligingsbeleid overtreden. Een duidelijke procedure heeft een preventieve werking en zorgt voor eerlijke, consistente behandeling bij incidenten. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend, en je sluit aan op bestaande integriteits- en ambtenarenrechtelijke procedures.
Passende maatregelen
5 basismaatregelen.
- ›Beschrijf de disciplinaire procedure in het beveiligingsbeleid of personeelshandboek.
- ›Onderscheid categorieën overtredingen met bijbehorende maatregelen, zodat behandeling proportioneel en consistent is.
- ›Sluit de procedure aan op de bestaande integriteitsregelgeving en ambtenarenrechtelijke procedures.
- ›Betrek HR en juridische zaken bij het opstellen en toepassen van de procedure.
- ›Communiceer de procedure actief aan alle medewerkers, zodat de preventieve werking optreedt.
Bewijs dat je kunt verzamelen
- ›De vastgelegde disciplinaire procedure in beleid of personeelshandboek
- ›Overzicht van overtredingscategorieën en bijbehorende maatregelen
- ›Bewijs van communicatie van de procedure aan medewerkers
- ›Betrokkenheid van HR/juridische zaken (bijv. vastgelegd in de procedure)
Wat je bij een audit moet kunnen aantonen
- ›Dat er een formele disciplinaire procedure bestaat
- ›Dat deze is gecommuniceerd aan alle medewerkers
- ›Dat de procedure aansluit op integriteits- en ambtenarenrechtelijke kaders
- ›Dat behandeling van overtredingen consistent en proportioneel is
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een disciplinaire procedure opgesteld en vastgelegd?
- ›Zijn overtredingscategorieën en maatregelen gedefinieerd?
- ›Is aansluiting op integriteits-/ambtenarenrecht geborgd?
- ›Is de procedure gecommuniceerd en vindbaar voor medewerkers?
- ›Zijn HR en juridische zaken betrokken?
- ›Kennen medewerkers de procedure?
- ›Wordt de procedure daadwerkelijk toegepast bij overtredingen?
- ›Gebeurt dat consistent en proportioneel?
- ›Wordt de procedure periodiek geactualiseerd?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.