Er komt een mail binnen van een klant, een verzekeraar of een aanbestedingsdienst: “Kan je ons je informatiebeveiligingsbeleid bezorgen?” Je beveiliging is misschien best in orde, maar zo’n document heb je niet. En terugmailen dat je “geen beleid op papier” hebt, klinkt slechter dan de situatie is.
Dit artikel legt uit wat er precies gevraagd wordt, wanneer je zo’n document echt moet hebben, en hoe een bruikbaar voorbeeld eruitziet voor een Belgische KMO zonder eigen IT-team.
Weet je niet waar je vandaag staat? Doe de gratis cybersecurity-scan: elf vragen, en je krijgt meteen de prioriteiten die in je beleid horen.
Wat is een informatiebeveiligingsbeleid?
Een informatiebeveiligingsbeleid is het overkoepelende document waarin staat hoe je bedrijf omgaat met informatie en IT. Het beantwoordt vier vragen: wat bescherm je, waarom, wie is ervoor verantwoordelijk, en welke regels gelden voor iedereen die voor je werkt.
Het is uitdrukkelijk geen technisch document. De detailregels, welke wachtwoordlengte je vraagt, hoeveel back-upkopieën je bewaart, wie de firewall beheert, staan in aparte documenten die eronder hangen. Het beleid is de kapstok. Dat onderscheid is belangrijk, want de meeste KMO’s die aan zo’n document beginnen, verzuipen in technische details en raken nooit voorbij bladzijde één.
Je komt de term ook tegen als beveiligingsbeleid, security policy of ISMS-beleid. Voor een KMO betekenen ze in de praktijk hetzelfde.
Moet mijn KMO een informatiebeveiligingsbeleid hebben?
Dat hangt af van drie sporen, en meestal geldt minstens één ervan.
1. NIS2: het staat er als eerste maatregel in
Val je onder NIS2, dan is het antwoord ronduit ja. De richtlijn somt de minimummaatregelen op die je moet nemen, en het allereerste punt luidt letterlijk “beleid inzake risicoanalyse en beveiliging van informatiesystemen” (artikel 21, lid 2, a van richtlijn 2022/2555). België heeft die richtlijn omgezet in de wet van 26 april 2024, en het Centrum voor Cybersecurity België telt in de Belgische wet elf punten die de maatregelen minstens moeten omvatten.
De meeste kleine KMO’s vallen buiten NIS2. Of dat voor jou zo is, lees je in de gids over NIS2 voor KMO’s in België, of check je in drie vragen met de NIS2-check.
2. De AVG: een passend beleid wanneer het in verhouding staat
De AVG is minder absoluut, maar wel breder van toepassing. Artikel 24, lid 1 verplicht je om passende technische en organisatorische maatregelen te treffen om te waarborgen én te kunnen aantonen dat je correct met persoonsgegevens omgaat. Lid 2 voegt daaraan toe dat die maatregelen “een passend gegevensbeschermingsbeleid” omvatten wanneer zulks in verhouding staat tot de verwerkingsactiviteiten (verordening 2016/679).
Dat is geen harde drempel in werknemers of omzet, maar wel een duidelijke richting: hoe meer persoonsgegevens je structureel verwerkt, hoe minder houdbaar het is dat er niets op papier staat. Het tweede document dat de AVG in dat geval van je verwacht is het verwerkingsregister, het overzicht van je gegevensstromen. Wat de AVG verder van je vraagt, staat in de AVG voor kleine bedrijven.
3. Je klanten en je verzekeraar vragen het gewoon
Dit is in de praktijk de meest voorkomende reden. Bedrijven binnen NIS2 moeten hun toeleveringsketen beoordelen en sturen daarom vragenlijsten naar hun leveranciers. In België verwijzen die vragenlijsten meestal naar CyberFundamentals van het CCB, dat elke maatregel op twee assen beoordeelt: hoe volwassen je documentatie is, en hoe volwassen de uitvoering is.
Datzelfde patroon zie je bij een aanvraag voor een cyberverzekering voor je KMO. De vraag is zelden of je iets doet. De vraag is of je het kunt tonen.
Wat hoort er minimaal in?
Voor een KMO zonder eigen IT-team is dit een werkbare inhoudsopgave. Acht korte hoofdstukken, samen twee tot vier pagina’s.
| Hoofdstuk | Wat je erin zet |
|---|---|
| Doel en toepassingsgebied | Waarom dit document bestaat en voor wie het geldt (personeel, zaakvoerder, freelancers, IT-partner). |
| Verantwoordelijkheden | Wie beslist, wie voert uit, wie meld je iets aan. Met naam en functie. |
| Wat we beschermen | De systemen en gegevens die je zaak zouden stilleggen als ze wegvallen of uitlekken. |
| Toegang en wachtwoorden | Unieke wachtwoorden, een wachtwoordmanager, tweestapsverificatie, en wie waartoe toegang krijgt. |
| Toestellen en thuiswerk | Regels voor laptops, telefoons, eigen toestellen en werken buiten kantoor. |
| Back-up en herstel | Wat er geback-upt wordt, waar het staat, en wanneer je het laatst getest hebt. |
| Incidenten | Wat een medewerker doet bij een verdachte mail of een gestolen laptop, en wie er dan gebeld wordt. |
| Nazicht | Wanneer je dit document herziet, en wat er nog openstaat met een streefdatum. |
Die laatste twee regels zijn wat een lezer met een vragenlijst in de hand het eerst opzoekt: een datum en een verantwoordelijke.
Voorbeeld van een informatiebeveiligingsbeleid
Hieronder een ingevuld voorbeeld voor een fictieve KMO, “Voorbeeld bvba”, met vijftien medewerkers en een externe IT-partner. Neem de structuur over en vervang de inhoud door wat bij jou echt gebeurt.
Doel en toepassingsgebied. “Dit beleid beschrijft hoe Voorbeeld bvba omgaat met haar informatie en IT-middelen. Het geldt voor alle medewerkers, zaakvoerders, stagiairs en externe medewerkers die toegang hebben tot onze systemen. Het werd goedgekeurd door de zaakvoerder op 11 augustus 2026 en wordt jaarlijks herzien.”
Verantwoordelijkheden. “De zaakvoerder is eindverantwoordelijk voor informatiebeveiliging en keurt dit beleid goed. Het dagelijkse beheer van servers, back-ups en updates ligt bij onze IT-partner, volgens de afspraken in ons contract. Elke medewerker meldt een vermoeden van een incident onmiddellijk aan de zaakvoerder.”
Wat we beschermen. “Onze e-mail en agenda, de boekhouding, het klantenbestand en de offertedossiers, de personeelsdossiers, en de gedeelde schijf met projectbestanden. Het wegvallen van e-mail of de gedeelde schijf legt onze werking binnen een halve dag stil.”
Toegang en wachtwoorden. “Elke medewerker heeft een persoonlijk account; gedeelde logins zijn niet toegestaan. Wachtwoorden zijn uniek per dienst en worden bewaard in de bedrijfswachtwoordmanager. Tweestapsverificatie staat aan op e-mail, boekhouding en alle beheerdersaccounts. Toegang wordt toegekend op basis van functie: iedereen krijgt wat hij nodig heeft, niet meer.”
Toestellen en thuiswerk. “Werken gebeurt op toestellen van het bedrijf, met schijfversleuteling en automatische vergrendeling na tien minuten. Eigen telefoons mogen bedrijfsmail ontvangen op voorwaarde van een schermvergrendeling. Op publieke wifi verloopt het werkverkeer via onze VPN.”
Back-up en herstel. “Van alle bedrijfsgegevens bestaan drie kopieën op twee verschillende dragers, waarvan één buiten het kantoor. De back-up draait dagelijks. Eén keer per jaar herstellen we een testbestand en noteren we de datum van die test in dit document.”
Incidenten. “Wie een verdachte mail, een verloren toestel of een vreemd bericht opmerkt, meldt dat meteen en probeert het niet zelf op te lossen. De zaakvoerder verwittigt de IT-partner en beslist of er een melding moet gebeuren aan de Gegevensbeschermingsautoriteit. De contactgegevens en de stappen staan in ons incidentplan.”
Nazicht en openstaande punten. “Dit beleid wordt jaarlijks nagekeken, en telkens na een incident of een grote wijziging in onze systemen. Openstaand: tweestapsverificatie op het boekhoudpakket (tegen 30 september 2026) en een geschreven afspraak met onze IT-partner over herstelde termijnen (tegen 31 oktober 2026).”
Dat is het. Geen jargon, geen normverwijzingen, geen paragrafen over risicomatrices. Een lezer weet na twee bladzijden wat je doet en wat nog niet.
De drie fouten die je best vermijdt
Een beleid dat mooier is dan de praktijk. Zet er niets in dat je niet waarmaakt. Een verzekeraar die na een schadegeval leest dat je maandelijks je back-up test terwijl dat nooit gebeurde, is een groter probleem dan een beleid waarin staat dat je het jaarlijks doet.
Alles in één document proppen. Het beleid verwijst naar de regels eronder. Op deze site staan er drie gratis klaar: het wachtwoordbeleid, het thuiswerkbeleid en het incidentplan.
Geen datum en geen handtekening. Een ongedateerd document overtuigt niemand en is in een audit zo goed als waardeloos. Datum, versienummer, naam van wie het goedkeurde.
Waar vind je gratis sjablonen?
Het Centrum voor Cybersecurity België stelt een reeks beleidssjablonen als Word-bestand gratis ter beschikking, waaronder een Cybersecurity Policy, een toegangsbeleid, een wachtwoordbeleid, een back-upbeleid en een incidentresponsplan. Ze sluiten aan bij het niveau Basic van CyberFundamentals en je mag ze aanpassen voor niet-commercieel gebruik, met bronvermelding. Twee kanttekeningen: ze zijn Engelstalig, en ze zijn geschreven voor een organisatie die groter is dan de gemiddelde KMO. Je zult stevig schrappen.
Zoek je Nederlandstalig materiaal op KMO-maat, dan staan de gratis sjablonen op deze site klaar om te printen of over te nemen.
Waar dit in het grotere geheel past
Een beleid is papier. Het beschrijft maatregelen, het vervangt ze niet. De volgorde die werkt: eerst weten waar je staat, dan de gaten dichten die er echt toe doen, en dan pas opschrijven wat er staat. Welke maatregelen dat zijn en in welke volgorde je ze aanpakt, staat in de complete cybersecuritygids voor KMO’s.
Begin bij het begin: de gratis scan geeft je in drie minuten de prioriteitenlijst waarmee je het hoofdstuk “openstaande punten” van je eigen beleid kunt invullen.
Deze gids is informatief en geen juridisch advies. Laat je voor je concrete situatie bijstaan door een specialist.
Veelgestelde vragen
Wat is een informatiebeveiligingsbeleid?
Het is het overkoepelende document waarin je vastlegt hoe je bedrijf met informatie en IT omgaat: wat je beschermt, wie verantwoordelijk is, welke regels gelden en wat er gebeurt als het misgaat. De detailregels rond wachtwoorden, toegang, back-ups of thuiswerk staan meestal in aparte documenten die eronder hangen.
Is een informatiebeveiligingsbeleid verplicht voor een KMO?
Val je onder NIS2, dan wel: beleid inzake risicoanalyse en beveiliging van informatiesystemen staat als eerste van de minimummaatregelen in artikel 21, lid 2, a van de richtlijn. Onder de AVG geldt dat de maatregelen een passend gegevensbeschermingsbeleid omvatten wanneer dat in verhouding staat tot je verwerkingsactiviteiten. Voor een kleine KMO buiten NIS2 is er geen algemene wettelijke plicht, maar klanten, verzekeraars en aanbestedingen vragen het document wel op.
Hoe lang moet zo’n beleid zijn?
Voor een KMO zonder eigen IT-team volstaan twee tot vier pagina’s, mits ze kloppen. Een dik document dat niemand naleeft is zwakker dan een korte tekst die de praktijk beschrijft, want een auditor of verzekeraar toetst wat je opschreef aan wat je doet.
Waar vind ik een gratis voorbeeld of sjabloon?
Het Centrum voor Cybersecurity België publiceert gratis beleidssjablonen als Word-bestand, waaronder een Cybersecurity Policy, een toegangsbeleid en een wachtwoordbeleid. Die zijn Engelstalig. Op deze site staan Nederlandstalige sjablonen voor wachtwoordbeleid, thuiswerkbeleid en een incidentplan.
Hoe vaak moet ik het herzien?
Eén keer per jaar is een gangbare afspraak, en verder telkens wanneer er iets wezenlijks verandert: een nieuw pakket, een verhuis naar de cloud, een incident of een nieuwe medewerker met verregaande toegang. Zet die afspraak zelf in het document, met de datum van de laatste nazicht.