Wachtwoordbeleid voor het MKB: een voorbeeld dat op één A4 past

De vijf regels, en waar ze vandaan komen

Veel wachtwoordbeleid in het mkb is nog gebaseerd op ouder advies: acht tekens, een hoofdletter, een cijfer, een leesteken, en elke drie maanden een nieuw wachtwoord. Het NCSC adviseert organisaties inmiddels iets anders. Op de pagina over authenticatie staat letterlijk: "Vereis een minimumlengte van 14 tekens. Hanteer geen maximumlengte" en "Vereis geen combinatie van letters, cijfers en tekens", omdat zulke eisen hergebruik van wachtwoorden uitlokken.

1. Lengte boven complexiteit. Minimaal 14 tekens, geen maximum, geen verplichte mix van tekens. Een wachtzin van vier of vijf losse woorden voldoet en is te onthouden.
2. Uniek per account. Nooit hetzelfde wachtwoord voor twee zakelijke systemen, en nooit een privéwachtwoord voor werk.
3. Een wachtwoordmanager. Het NCSC adviseert een wachtwoordmanager of -kluis "om unieke en sterke wachtwoorden haalbaar te maken". Kies één zakelijke manager voor iedereen.
4. Passkeys of MFA. Het NCSC noemt passkeys de veiligste techniek en adviseert MFA waar passkeys technisch nog niet kunnen.
5. Geen vaste vervaldatum. Wachtwoorden blijven geldig; wijzigen gebeurt alleen bij een vermoeden van uitlekken of misbruik, bijvoorbeeld na een phishingmail waarop iemand heeft ingelogd.

Voorbeeldtekst die u kunt overnemen

Vul de vierkante haken in en schrap wat niet bij uw bedrijf past. Zet er een eigenaar en een datum bij, anders veroudert het ongemerkt.

Met welke accounts begint u?

Het NCSC adviseert om te beginnen met een brede invoering van MFA en daarna te bepalen waar sterkere vormen nodig zijn. Daarbij noemt het in het bijzonder accounts met veel rechten, accounts van leveranciers en toegang tot systemen met gevoelige of bedrijfskritieke informatie. In een klein bedrijf komt dat meestal neer op deze volgorde:

• de zakelijke e-mail (wie die heeft, kan bijna overal een wachtwoord resetten);
• beheeraccounts van uw cloudomgeving, website en domeinnaam;
• boekhouding, bankkoppelingen en salarisadministratie;
• toegang op afstand en accounts van uw IT-partner.

Veelgemaakte fouten

• Regels op papier, andere instellingen in het systeem. Als uw beleid 14 tekens zegt maar uw e-mailomgeving staat op 8, geldt in de praktijk 8. Stel het beleid ook technisch in.
• Verplichte wijziging elke 90 dagen. Dat levert wachtwoorden op als "Zomer2026!" en daarna "Herfst2026!". Schrap het en vervang het door "wijzigen bij vermoeden van uitlekken".
• Gedeelde accounts zonder eigenaar. Een algemeen account waarvan na drie personeelswisselingen niemand meer weet wie het wachtwoord kent.
• Leveranciers vergeten. Uw IT-partner of webbouwer heeft vaak een beheeraccount. Ook daar hoort MFA op.
• Geen meldroute. Medewerkers die op een phishinglink klikten, melden het eerder als duidelijk is bij wie, en dat het zonder verwijt kan.

Waarom het de moeite waard is om op te schrijven

Verwerkt u persoonsgegevens, dan vraagt de AVG om passende technische en organisatorische maatregelen (artikel 32) en moet u kunnen aantonen dat u die neemt (artikel 24). Daarnaast staat de vraag "gebruikt u MFA?" in vrijwel elke beveiligingsvragenlijst die grotere klanten naar hun leveranciers sturen. Met een vastgelegd beleid en een schermafdruk van de instelling heeft u dat antwoord klaar.