Een medewerker vertrekt op vrijdag. De maandag daarna staat haar account nog open, haar mailbox loopt door en niemand weet precies tot wat ze allemaal toegang had. Meestal blijft dat zonder gevolgen, tot er iets gebeurt of tot een klant vraagt hoe je dat bij jou geregeld hebt.
Het document dat die vraag beantwoordt, heet een toegangsbeleid. Hieronder staat wat erin hoort, een voorbeeldtekst en een toegangsmatrix voor een Belgische KMO, en wat de regels zeggen over het moment waarop iemand vertrekt.
Weet je niet waar je vandaag staat? Doe de gratis cybersecurity-scan: elf vragen, en je ziet meteen welke basismaatregelen bij jou nog ontbreken.
Wat is een toegangsbeleid?
Een toegangsbeleid beantwoordt vier vragen: wie mag bij wat, op welk niveau, wie beslist daarover, en wat er gebeurt als de situatie van iemand verandert.
Verwar het niet met een wachtwoordbeleid. Dat gaat over hoe sterk de sleutel is. Een toegangsbeleid gaat over de vraag of iemand die sleutel überhaupt krijgt. Je kunt perfecte wachtwoorden hebben en tegelijk een stagiair die aan de loonfiches van je hele ploeg kan.
Het uitgangspunt is eenvoudig: iedereen krijgt de toegang die hij voor zijn werk nodig heeft, en niet meer. Dat is geen wantrouwen tegenover je mensen. Het beperkt de schade wanneer één account in verkeerde handen valt, want een aanvaller erft exact de rechten van de persoon wiens wachtwoord hij heeft.
Het toegangsbeleid hangt onder je informatiebeveiligingsbeleid, samen met het wachtwoord- en het thuiswerkbeleid. Dat overkoepelende document is de kapstok, dit is een van de jassen.
Moet mijn KMO een toegangsbeleid hebben?
Er zijn drie sporen, en meestal geldt er minstens één.
NIS2 noemt het met naam. Val je onder NIS2, dan is het antwoord ja. De Belgische omzetting somt elf punten op die je maatregelen minstens moeten omvatten, en punt 9° luidt letterlijk “beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van activa” (artikel 30, § 3 van de wet van 26 april 2024). Dezelfde formulering staat in artikel 21, lid 2, i van de richtlijn zelf. Of je onder de wet valt, lees je in de gids over NIS2 voor KMO’s in België, of check je in drie vragen met de NIS2-check.
De AVG vraagt het indirect, maar voor iedereen. Artikel 32 verplicht je tot maatregelen die onder meer de vertrouwelijkheid van je verwerkingssystemen garanderen. Lid 4 gaat een stap verder: wie onder jouw gezag handelt en toegang heeft tot persoonsgegevens, mag die enkel in jouw opdracht verwerken (verordening 2016/679). Zonder afspraak over wie bij wat mag, valt dat moeilijk hard te maken. Wat de AVG verder van een klein bedrijf vraagt, staat in de AVG voor kleine bedrijven.
Je klanten vragen het gewoon. In de praktijk is dat de meest voorkomende reden. Vragenlijsten van grotere klanten verwijzen in België meestal naar CyberFundamentals van het CCB, waar toegangsbeheer een eigen blok vormt, en dezelfde vraag duikt op bij de aanvraag van een cyberverzekering.
Wat zet je in een toegangsbeleid?
Voor een KMO zonder eigen IT-team volstaat dit: één bladzijde tekst, plus de matrix uit de volgende paragraaf.
| Onderdeel | Wat je erin zet |
|---|---|
| Toepassingsgebied | Voor wie het geldt: personeel, zaakvoerder, stagiairs, freelancers, de IT-partner, de boekhouder. |
| Wie beslist | Met naam en functie: wie kent toegang toe, wie trekt ze in. In een KMO is dat meestal de zaakvoerder, ook als de IT-partner op de knop drukt. |
| Het uitgangspunt | Toegang volgt de functie. Nieuwe toegang wordt gevraagd en goedgekeurd, niet stilzwijgend overgenomen van een collega. |
| De toegangsmatrix | Wie mag bij welk systeem, en op welk niveau. |
| Accounts en tweestapsverificatie | Een eigen account per persoon en geen gedeelde logins, beheerdersrechten op een apart account, en op welke systemen tweestapsverificatie verplicht is. |
| In dienst, wissel, uit dienst | Wat er gebeurt op de eerste dag, bij een functiewissel en op de laatste dag, en binnen welke termijn. |
| Nazicht | Wanneer je de lijst nakijkt, en de datum van het laatste nazicht. |
Voorbeeld van een toegangsmatrix
Dit is het stuk dat het echte werk doet. Een auditor, een klant of een verzekeraar die dit blad ziet, weet in twintig seconden of toegang bij jou een keuze is of een gewoonte.
| Systeem | Zaakvoerder | Office manager | Verkoop | Techniek | IT-partner |
|---|---|---|---|---|---|
| E-mail en agenda | eigen mailbox | eigen mailbox | eigen mailbox | eigen mailbox | beheer |
| Boekhoudpakket | volledig | volledig | geen | geen | geen |
| Klantenbestand (CRM) | volledig | lezen | bewerken | lezen | geen |
| Personeelsdossiers | volledig | volledig | geen | geen | geen |
| Gedeelde schijf | volledig | volledig | map Verkoop | map Techniek | beheer |
| Bankomgeving | volledig | voorbereiden | geen | geen | geen |
| Beheer van accounts | goedkeuren | geen | geen | geen | uitvoeren |
Vul je dit voor je eigen zaak in, dan staat er bijna altijd ergens “volledig” waar “lezen” zou volstaan, en is er bijna altijd één persoon die overal aan kan omdat het ooit praktisch was.
Voorbeeld: een toegangsbeleid van één bladzijde
Zo ziet de tekst rond die tabel eruit. Kort, in gewone zinnen, en zonder één woord dat je niet waarmaakt.
Toepassingsgebied en uitgangspunt. “Dit toegangsbeleid geldt voor alle medewerkers, zaakvoerders, stagiairs en externe partners die toegang krijgen tot de systemen van Voorbeeld bvba. Toegang wordt toegekend op basis van functie: iedereen krijgt wat hij voor zijn werk nodig heeft en niet meer. Wie extra toegang nodig heeft, vraagt die aan bij de zaakvoerder, en toegang wordt nooit overgenomen van een collega. Goedgekeurd door de zaakvoerder op 24 september 2026, jaarlijks herzien in januari.”
Accounts. “Elke medewerker werkt met een persoonlijk account. Gedeelde logins zijn niet toegestaan. Beheerdersrechten staan op een apart account dat niet voor dagelijks werk gebruikt wordt. Tweestapsverificatie staat verplicht aan op e-mail, boekhouding, de bankomgeving en elk beheerdersaccount.”
Eerste dag en functiewissel. “De zaakvoerder bepaalt vóór de startdatum welke toegang nodig is, op basis van de matrix; de IT-partner maakt de accounts aan en zet tweestapsverificatie mee klaar. Bij een functiewissel wordt eerst de nieuwe toegang toegekend en daarna de oude ingetrokken, binnen dezelfde week. Rechten stapelen niet op.”
Laatste dag. “Op de dag van vertrek worden alle toegangen geblokkeerd: e-mail, gedeelde schijf, boekhouding, externe diensten en de wachtwoordmanager. Bedrijfsgegevens die nog in de mailbox of de persoonlijke map zitten, worden vóór het vertrek samen met de medewerker overgezet. De mailbox blijft ten hoogste één maand actief met een automatisch bericht dat de nieuwe contactpersoon aanduidt, en wordt daarna verwijderd.”
Nazicht. “Eén keer per jaar leggen we de lijst van actieve gebruikers van elk systeem naast de matrix. Accounts die niemand kan verklaren, worden geblokkeerd. De datum van het laatste nazicht staat onderaan dit document.”
Wat er moet gebeuren als iemand vertrekt
Dit is het punt waarop een toegangsbeleid in België het vaakst faalt, en er is ondertussen rechtspraak over. In beslissing 101/2026 van 12 mei 2026 behandelde de Geschillenkamer van de Gegevensbeschermingsautoriteit een klacht over de mailbox van een vertrokken medewerkster die daarna nog jaren bleef bestaan. Twee dingen uit die beslissing zijn bruikbaar voor elke werkgever, hoe klein ook.
De klok tikt vanaf de laatste werkdag. De Geschillenkamer aanvaardt dat je de mailbox na het vertrek nog even verder verwerkt op grond van je gerechtvaardigd belang, maar begrenst dat. In duur: tot één maand, met een mogelijke verlenging van twee maanden als een nieuwe, duidelijke belangenafweging dat onderbouwt. En in doel: de contactpersonen laten weten wie hun nieuwe aanspreekpunt is, en dat berichten naar dat adres de bestemmeling niet meer bereiken.
Haal de bedrijfsgegevens eruit vóór het vertrek. De Geschillenkamer verwijst naar aanbeveling CM/Rec(2015)5 van de Raad van Europa, die stelt dat een werkgever de inhoud van een account best recupereert vóór het vertrek en, waar mogelijk, in het bijzijn van de medewerker. Daarna is elke blik in die mailbox een aparte beslissing die je moet kunnen verantwoorden.
De boetes in dat dossier, 160 860,55 euro en 16 086,06 euro, zeggen niets over wat een KMO riskeert: ze zijn berekend op de jaaromzet van die onderneming, ruim 800 miljoen euro. De redenering geldt wél voor iedereen. Tegen de beslissing loopt beroep bij het Marktenhof, dus het laatste woord is er nog niet over gezegd.
Eén keer per jaar nakijken
Een toegangsbeleid veroudert sneller dan eender welk ander veiligheidsdocument: elke nieuwe medewerker, elk nieuw pakket en elke functiewissel verandert het plaatje. Plan dus één vast moment per jaar waarop je bij elk systeem de lijst van actieve gebruikers opvraagt en naast je matrix legt.
Wat je dan meestal vindt: de stagiair van vorige zomer, een gedeelde login waarvan niemand nog weet wie het wachtwoord heeft, een oud beheerdersaccount van je vorige IT-partner, en een boekhouder die na het afsluiten van het boekjaar gewoon toegang hield. Noteer de datum van dat nazicht in het document; in een audit of een schadedossier is dat het verschil tussen een beleid dat leeft en een bestand dat ooit is aangemaakt.
Waar vind je een gratis voorbeeld?
Het Centrum voor Cybersecurity België stelt gratis beleidssjablonen als Word-bestand ter beschikking, met een Access policy erbij. Ze zijn Engelstalig en geschreven voor een organisatie met een eigen IT-dienst, dus je zult schrappen. Nederlandstalig materiaal op KMO-maat staat bij de gratis sjablonen op deze site, waaronder het wachtwoordbeleid dat naast dit document hoort.
Waar dit in het grotere geheel past
Toegang is de eerste van de zes pijlers waarop een veilige KMO rust, en meteen de pijler waar het vaakst iets blijft openstaan. Een beleid beschrijft maatregelen, het neemt ze niet: eerst weten waar je staat, dan de gaten dichten die er echt toe doen, en dan pas opschrijven wat er staat. Welke maatregelen dat zijn en in welke volgorde, staat in de complete cybersecuritygids voor KMO’s.
De gratis scan geeft je in drie minuten de prioriteitenlijst waarmee je je eigen toegangsbeleid kunt invullen.
Deze gids is informatief en geen juridisch advies. Laat je voor je concrete situatie bijstaan door een specialist.
Veelgestelde vragen
Wat is een toegangsbeleid?
Het is het document waarin staat wie bij welke systemen en gegevens van je bedrijf mag, op welk niveau, wie die toegang toekent en intrekt, en wat er gebeurt als iemand in dienst komt, van functie verandert of vertrekt. Het vertrekpunt is dat iedereen krijgt wat hij voor zijn werk nodig heeft en niet meer.
Is een toegangsbeleid verplicht voor een KMO?
Val je onder NIS2, dan wel. Artikel 30, § 3, 9° van de wet van 26 april 2024 somt bij de elf minimummaatregelen letterlijk beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van activa op. Val je erbuiten, dan is er geen algemene wettelijke plicht om het document te hebben, maar verwacht de AVG wel dat je de toegang tot persoonsgegevens beperkt, en vragen klanten en verzekeraars het document vaak gewoon op.
Wat is een toegangsmatrix?
Een tabel met je systemen in de rijen en je functies in de kolommen, waarin per vakje staat of die functie mag lezen, bewerken, beheren of niets. Het is de snelste manier om te tonen dat toegang bij jou een keuze is en geen gewoonte.
Hoelang mag de mailbox van een vertrokken medewerker openblijven?
De Geschillenkamer van de Gegevensbeschermingsautoriteit oordeelde in beslissing 101/2026 van 12 mei 2026 dat verdere verwerking na het vertrek gesteund kan worden op gerechtvaardigd belang, maar beperkt in de tijd tot één maand, met een mogelijke verlenging van twee maanden als een nieuwe, duidelijke belangenafweging die verlenging onderbouwt. Het doel is dan enkel de contactpersonen informeren wie hun nieuwe aanspreekpunt is. Tegen die beslissing loopt beroep bij het Marktenhof.
Waar vind ik een gratis voorbeeld van een toegangsbeleid?
Het Centrum voor Cybersecurity België stelt een Access policy als Word-bestand gratis ter beschikking, samen met sjablonen voor wachtwoorden, back-up en incidentrespons. Ze zijn Engelstalig en geschreven voor een organisatie die groter is dan de gemiddelde KMO, dus je zult schrappen. De voorbeeldtekst en de matrix verderop in dit artikel zijn op KMO-maat.