IT-beleid voor een klein bedrijf: welke documenten heeft u minimaal nodig?

Waarom u het überhaupt opschrijft

Voor de meeste kleine bedrijven bestaat er geen wettelijke lijst met IT-documenten. Wel zijn er drie dingen die een paar korte documenten de moeite waard maken:

• De AVG. Verwerkt u persoonsgegevens, en dat doet vrijwel elk bedrijf, dan moet u passende technische en organisatorische maatregelen nemen (artikel 32 AVG) en kunnen aantonen dat u dat doet (artikel 24 AVG). Een datalek moet u in de regel binnen 72 uur bij de Autoriteit Persoonsgegevens melden (artikel 33 AVG), tenzij het waarschijnlijk geen risico voor de betrokkenen oplevert.
• Klanten. Grotere klanten, zeker die onder de Cyberbeveiligingswet vallen, sturen leveranciers vragenlijsten. Wie een paar documenten heeft, beantwoordt die veel sneller.
• Verzekeraars en continuïteit. Een cyberverzekeraar vraagt naar MFA en back-ups. En als een medewerker vertrekt of een laptop zoekraakt, wilt u niet improviseren.

"Opschrijven" betekent hier: kort en bruikbaar. Een A4 dat iedereen kent, is meer waard dan een map die niemand opent.

De zes documenten die u minimaal nodig heeft

1. Gebruiksregels voor IT (acceptable use)

Wat mag wel en niet met bedrijfslaptops, e-mail, cloudopslag en eigen apparaten. Denk aan privégebruik, het installeren van software, het delen van bestanden met externen, en tegenwoordig ook het gebruik van AI-tools. Twee pagina's is genoeg. Laat medewerkers het bij indiensttreding lezen.

2. Wachtwoorden en multifactor-authenticatie

Welke accounts MFA moeten hebben (in elk geval e-mail, cloudopslag, boekhouding en toegang op afstand), hoe lang wachtwoorden zijn, of u een wachtwoordmanager gebruikt, en wat iemand doet als een wachtwoord mogelijk is uitgelekt. Dit is de vraag die in vrijwel elke klantvragenlijst staat.

3. Back-up en herstel

Wat er geback-upt wordt, hoe vaak, waar de kopie staat (en of één kopie los van het netwerk staat), en vooral: wanneer u voor het laatst een herstel heeft getest. Een back-up die nooit is teruggezet, is een aanname, geen maatregel. Noteer elke hersteltest met datum en resultaat.

4. In- en uitdienst: accounts en apparaten

Een checklist: welke accounts en rechten iemand krijgt bij de start, en wat er op de laatste werkdag gebeurt (accounts blokkeren, wachtwoorden van gedeelde accounts wijzigen, apparaten innemen). Vergeten accounts van oud-medewerkers zijn een bekende zwakke plek.

5. Wat te doen bij een incident of datalek

Een half A4: wie wordt als eerste gebeld (intern en uw IT-partner), hoe u een gehackt account of verloren laptop afsluit, wie beoordeelt of er sprake is van een datalek dat binnen 72 uur bij de AP gemeld moet worden, en wie klanten informeert. Hang het ergens waar mensen het vinden als e-mail niet werkt.

6. Overzicht van IT-leveranciers

Een lijst van leveranciers die toegang hebben tot uw systemen of gegevens: uw IT-partner, cloud- en softwareleveranciers, hosting. Per leverancier: wat ze doen, welke gegevens ze raken, of er een verwerkersovereenkomst is, en wie de contactpersoon is. Dit heeft u nodig voor de AVG én voor klantvragenlijsten.

Wat u (nog) kunt overslaan

Een volledig managementsysteem volgens ISO 27001, met risicoregister, verklaring van toepasselijkheid en interne audits, is voor de meeste bedrijven van vijf tot vijftig medewerkers niet nodig, tenzij een klant een certificaat eist. Ook een apart document per onderwerp is niet verplicht: u kunt de zes onderwerpen hierboven in één informatiebeveiligingsbeleid van vier tot zes pagina's bundelen. Een apart thuiswerk- of BYOD-beleid en een AI-gebruiksbeleid zijn nuttige aanvullingen zodra die situaties bij u spelen.

Als u onder de Cyberbeveiligingswet valt, is de lat hoger: dan geldt een zorgplicht met tien maatregelgebieden en moet het bestuur de maatregelen goedkeuren. Zie Valt mijn bedrijf onder de Cyberbeveiligingswet?

Zo houdt u ze bij

Zet op elk document een eigenaar, een versiedatum en een datum voor de volgende controle, meestal over een jaar. Bekijk ze ook bij grote veranderingen: een nieuwe IT-partner, een overstap naar een ander cloudpakket, of een incident. Laat nieuwe medewerkers de gebruiksregels lezen en noteer dat. Zo kunt u een klant, verzekeraar of de AP laten zien dat het beleid niet alleen op papier bestaat.

Gratis hulp om mee te beginnen

Het NCSC publiceert vijf basisprincipes voor digitale weerbaarheid en de CyberVeilig Check, een vragenlijst van ongeveer vijf minuten met een actielijst. Wilt u een IT-dienstverlener inschakelen, dan is er sinds 2026 het keurmerk Digitale Basisveiligheid MKB van het CCV, waarmee IT-dienstverleners kunnen laten zien dat zij de basismaatregelen voor het mkb vakkundig uitvoeren.