Informatiebeveiligingsbeleid voor het MKB: een voorbeeld-indeling die u kunt invullen
Een bruikbaar informatiebeveiligingsbeleid voor een klein of middelgroot bedrijf is vier tot acht pagina's en beantwoordt per onderwerp drie vragen: wat doen we, wie is eigenaar, en wanneer kijken we het na. De handigste indeling volgt de tien maatregelen uit artikel 21 van de Cyberbeveiligingswet. Valt u niet onder die wet, dan werkt dezelfde indeling nog steeds, en herkent een klant met een vragenlijst haar meteen.
Laatst gecontroleerd: 2 november 2026.
Wanneer het verplicht is, en wanneer gewoon verstandig
De Cyberbeveiligingswet geldt sinds 15 augustus 2026. Essentiële en belangrijke entiteiten moeten maatregelen nemen die "ten minste" tien onderwerpen omvatten, te beginnen met "beleid inzake risicoanalyse en beveiliging van informatiesystemen" (artikel 21, derde lid, Cbw). Het Cyberbeveiligingsbesluit is concreter: de entiteit "legt dat beleid schriftelijk vast en past dat beleid aantoonbaar toe" (artikel 6, eerste lid). Het bestuur moet de maatregelen goedkeuren (artikel 24, eerste lid, Cbw).
Valt u niet onder de wet, dan is er geen aparte plicht voor dit document. Wel vraagt de AVG om passende beveiliging van persoonsgegevens die u kunt aantonen (artikelen 24 en 32), en vragen klanten die wél onder de wet vallen hun leveranciers steeds vaker om het beleid mee te sturen. Twijfelt u of u zelf onder de wet valt? Lees eerst de zelftoets in vier vragen.
De indeling: twaalf korte onderdelen
Onderdeel 1 en 12 zijn de kaders; de tien daartussen volgen de letters a tot en met j uit artikel 21, derde lid, Cbw. Per onderdeel volstaan voor een klein bedrijf een paar zinnen.
| Onderdeel | Wat u invult |
|---|---|
| 1. Doel en reikwijdte | Voor welke systemen, mensen en locaties het beleid geldt, ook externen met een account. |
| 2. Risicoanalyse (a) | Uw belangrijkste systemen, de grootste bedreigingen (phishing, ransomware, uitval van een leverancier) en hoe vaak u dit opnieuw bekijkt. |
| 3. Incidenten (b) | Waar medewerkers een incident melden, wie beslist en wie extern meldt. Verwijs naar een aparte procedure. |
| 4. Continuïteit (c) | Back-upfrequentie, waar de kopie staat, wanneer u voor het laatst een herstel testte, en wie bij een grote storing het eerste aanspreekpunt is. |
| 5. Leveranciers (d) | Welke leveranciers kritiek zijn en welke beveiligingsafspraken u met hen heeft. |
| 6. Aanschaf en onderhoud (e) | Binnen hoeveel dagen kritieke updates worden geïnstalleerd, en waarop u nieuwe software beoordeelt. |
| 7. Effectiviteit (f) | Hoe en hoe vaak u controleert of de maatregelen werken: een interne check, een externe scan. |
| 8. Cyberhygiëne en training (g) | Wachtwoordregels, bewustwording van medewerkers, beveiliging van laptops en telefoons. |
| 9. Versleuteling (h) | Welke gegevens versleuteld worden opgeslagen en verstuurd. |
| 10. Personeel en toegang (i) | Toegang op basis van functie, wat er gebeurt bij in- en uitdienst, en een overzicht van de belangrijkste apparaten en systemen. |
| 11. MFA en communicatie (j) | Voor welke accounts MFA verplicht is, en hoe u communiceert als e-mail of telefoon uitvalt. |
| 12. Eigenaar en herziening | Wie eigenaar is, wie heeft goedgekeurd, datum, en wanneer de volgende herziening is. |
Zo schrijft u het in een middag
- Begin bij de praktijk. Schrijf op wat u nu al doet, niet wat u zou willen. Wat nog ontbreekt, zet u in een actielijst met datum, niet in het beleid zelf.
- Gebruik concrete getallen. "Kritieke updates binnen 14 dagen" is toetsbaar; "updates worden tijdig geïnstalleerd" niet.
- Verwijs, kopieer niet. Het beleid zegt dát er een incidentprocedure of wachtwoordbeleid is; de details staan in dat aparte document.
- Laat het goedkeuren en dateren. Een handtekening van de directie en een datum maken van een tekst een beleid.
- Plan de herziening. Eén keer per jaar, en na een incident of een grote wijziging, zoals een nieuwe IT-partner. Het Cyberbeveiligingsbesluit vraagt entiteiten ook om de effectiviteit periodiek te evalueren en dat schriftelijk vast te leggen (artikel 18).
Veelgemaakte fouten
- Het beleid van een ander overnemen. Veel voorbeelden online zijn beleidsverklaringen van andere bedrijven, soms nog met verwijzingen naar ISO 27001:2013. Een klant ziet snel dat de tekst niet over u gaat.
- Beloftes die u niet nakomt. "Alle gegevens worden versleuteld" terwijl er een onversleutelde back-upschijf in de kast ligt. Bij een incident of audit is dat lastiger uit te leggen dan een eerlijke beschrijving.
- Geen eigenaar. Zonder naam en datum veroudert het document ongemerkt.
- Te lang. Dertig pagina's leest niemand, ook uw medewerkers niet. Het besluit vraagt juist dat personeel de beveiliging "overeenkomstig het beleid" toepast (artikel 6, derde lid).
Veelgestelde vragen
Moet een klein bedrijf een informatiebeveiligingsbeleid hebben?
Alleen organisaties die onder de Cyberbeveiligingswet vallen, hebben een uitdrukkelijke plicht om beveiligingsbeleid schriftelijk vast te leggen. Voor andere bedrijven is het geen aparte wettelijke eis, maar de AVG vraagt wel passende beveiligingsmaatregelen die u kunt aantonen, en klanten vragen in vragenlijsten vaak om het beleid. Dit is geen juridisch advies.
Hoe lang moet het beleid zijn?
Voor een bedrijf van vijf tot vijftig medewerkers zijn vier tot acht pagina's meestal genoeg. Liever een korte tekst die klopt met de praktijk dan een lang document dat niemand volgt.
Wie keurt het beleid goed?
Bij een entiteit onder de Cyberbeveiligingswet moet het bestuur de maatregelen goedkeuren (artikel 24, eerste lid). Voor andere bedrijven is het verstandig hetzelfde te doen: de directeur of eigenaar tekent en dateert het beleid.
Is een ISO 27001-certificaat hetzelfde als een goed beleid?
Nee. Een certificaat toont aan dat een auditor uw managementsysteem heeft beoordeeld. Een beleid is een van de documenten in zo'n systeem. Volgens de NCTV heeft een keurmerk of certificaat bovendien geen zelfstandige juridische status voor het voldoen aan de Cyberbeveiligingswet.
De Cyberbeveiligingswet (NIS2) starterkit (€79) bevat een invulbaar informatiebeveiligingsbeleid-template dat precies langs deze tien maatregelgebieden is opgebouwd, plus een zorgplicht gap-analyse, een incidentrespons- en meldplichtprocedure en een scope-zelfcheck. Eerst weten of de wet voor u geldt? Download de gratis scope-zelfcheck (PDF), zonder registratie.
Bekijk de starterkit →Bronnen
- Cyberbeveiligingswet (BWBR0052872) — wetten.overheid.nl, geldend vanaf 15 augustus 2026 — artikel 21, derde lid (onder a tot en met j) en artikel 24, eerste lid
- Cyberbeveiligingsbesluit (BWBR0052875) — wetten.overheid.nl — artikel 6 (beleid over beveiliging) en artikel 18 (evaluatie)
- NCTV — Cyberbeveiligingswet, vragen en antwoorden — onderdelen toeleveranciers en keurmerken
- Verordening (EU) 2016/679 (AVG) — EUR-Lex, artikelen 24 en 32
Dit artikel is algemene informatie, geen juridisch advies, en geen vaststelling of uw organisatie wettelijk onder de Cyberbeveiligingswet valt. Twijfelt u daarover? Raadpleeg het entiteitenregister via MijnNCSC of vraag een jurist. Opgesteld met behulp van AI en vóór publicatie gecontroleerd op feitelijke en juridische verwijzingen; de bronnen staan hierboven.