Vertrouwelijkheid die niet juridisch is vastgelegd, is een wens. Zodra iemand, een medewerker, leverancier of gesprekspartner, met je vertrouwelijke informatie in aanraking komt, wil je dat de geheimhouding afdwingbaar is. Annex A-maatregel 6.6 vraagt dat je dat regelt.
Wat de norm vraagt
Geheimhoudings- of vertrouwelijkheidsovereenkomsten (NDA’s) die de beschermingsbehoefte van je organisatie weerspiegelen, zijn vastgesteld, gedocumenteerd, periodiek herzien en ondertekend door medewerkers en relevante externe partijen vóór toegang tot vertrouwelijke informatie.
Drie standaardvarianten
- De geheimhoudingsclausule in de arbeidsovereenkomst: voor medewerkers, met doorloop na vertrek.
- Een standaard-NDA voor externe partijen en verkennende gesprekken (potentiële partners, leveranciersselecties, overnamegesprekken).
- Vertrouwelijkheidsbepalingen in leveranciersovereenkomsten.
Wat in een goede NDA staat
- Een definitie van wat vertrouwelijk is
- Het toegestane gebruik
- De duur (ook na afloop van de relatie)
- Teruggave of vernietiging bij einde
- Uitzonderingen (wettelijke verplichtingen, al openbare informatie)
- De gevolgen van schending
Houd hem leesbaar; een NDA van twintig pagina’s wordt niet begrepen en traag getekend.
Tip van Control One: Teken vóór toegang, niet erna. De NDA wordt ondertekend vóórdat vertrouwelijke informatie wordt gedeeld. Maak dit een vaste stap bij leveranciersselecties en partnergesprekken; achteraf een NDA vragen is dweilen met de kraan open.
Registreer wie wat tekende
Houd bij wie welke NDA heeft getekend en wanneer, en bewaar ze vindbaar in je documentbeheer. De klassieke bevinding: een prima NDA-sjabloon dat in de praktijk nooit wordt gebruikt, of getekende NDA’s die onvindbaar zijn op het moment dat ze nodig zijn.
Geheimhouding hangt samen met de plichten die na vertrek doorlopen. Wil je je vertrouwelijkheid juridisch dichttimmeren? Doe de Quickscan of bekijk de ISO 27001-checklist.
Klaar om te starten met ISO 27001?
Control One begeleidt je stap voor stap door het ISMS-implementatieproces. Van gap-analyse tot certificeringsaudit — inclusief 120+ templates en de Annex A-controls.
Naslagwerk uit de kennisbank
ISO 27001 voor kleine bedrijven: haalbaar of overkill?
Kan een bedrijf van 5, 10 of 20 mensen ISO 27001 halen? Ja: de norm schaalt mee. Wat er anders is bij klein, de valkuilen en de realistische aanpak.
Annex A 6.6: Geheimhoudingsovereenkomsten
Maatregel 6.6 van ISO 27001 Annex A eist dat geheimhoudings- of vertrouwelijkheidsovereenkomsten zijn vastgesteld, gedocumenteerd en periodiek herzien. NDA's praktisch geregeld.
Hoeveel interne tijd kost ISO 27001?
De eerlijke urenraming voor ISO 27001: 150 tot 300 uur voor de trekker tijdens implementatie, 4 tot 8 uur per week in beheer, plus wat de rest van de organisatie kwijt is.
Gerelateerde artikelen
ISO 27001 en de AVG samen inrichten: één systeem, twee gezichten
ISO 27001 en de AVG overlappen sterk. Zo richt je ze samen in, zodat je ISMS je AVG-verplichtingen meelift, en je niet twee keer hetzelfde doet.
Veilig informatie delen: het grootste lekkanaal dichten
De meeste datalekken ontstaan onderweg: de verkeerde geadresseerde, de open deellink. Zo regel je veilige informatieoverdracht volgens ISO 27001.
Apparatuur veilig afvoeren: voorkom het datalek op Marktplaats
De afgedankte laptop met de klantendatabase er nog op is een klassiek datalek. Zo voer je apparatuur veilig af volgens ISO 27001, met aantoonbaar wissen.
Capaciteitsbeheer: voorkom uitval door volgelopen systemen
De meest voorspelbare uitval is het systeem dat langzaam volloopt. Zo richt je capaciteitsbeheer in volgens ISO 27001, met alarmering vóór het te laat is.