Je geeft nieuwe medewerkers toegang tot je informatie en systemen. De vraag die Annex A-maatregel 6.1 stelt: weet je wie je binnenhaalt? Screening vóór indiensttreding is de poort, proportioneel aan de functie en het risico.
Wat vraagt de norm?
Achtergrondverificatie van kandidaten vóór indiensttreding, proportioneel aan de bedrijfseisen, de classificatie van de informatie waartoe toegang ontstaat, en de waargenomen risico’s. Rekening houdend met privacy- en arbeidswetgeving.
Screeningsniveaus per functie
Niet elke functie vraagt hetzelfde:
| Niveau | Voor wie | Wat |
|---|---|---|
| Basis | Iedereen | Identiteit, cv-verificatie, referenties |
| Verhoogd | Toegang tot gevoelige data, financiën, beheerrechten | Plus VOG, diplomacheck |
De VOG (Verklaring Omtrent het Gedrag) is de gangbare Nederlandse invulling voor functies met toegang tot vertrouwelijke gegevens of beheerrechten.
Voer uit vóór de toegang
Screening afgerond vóór de eerste werkdag, of ten minste vóór toegang tot gevoelige systemen. Leg vast wat er is gecontroleerd en wanneer, in het personeelsdossier.
Vergeet inhuur en stagiairs niet
Dezelfde eisen gelden voor uitzendkrachten, ZZP’ers en stagiairs met vergelijkbare toegang. Bij inhuur via een bureau kun je contractueel eisen dat het bureau de screening uitvoert en dat aantoont.
Tip van Control One: Herscreen bij functiewijziging. Wie promoveert naar een gevoeliger functie (bijvoorbeeld van administratie naar systeembeheer), verdient een nieuwe VOG of aanvullende check. Leg de screeningsniveaus per functiegroep vast, zodat de eis eenduidig en verdedigbaar is.
Waar de auditor op let
De auditor pakt recente indiensttredingen en vraagt het bewijs: is het vastgestelde screeningsniveau uitgevoerd vóór de toegang? Bekende bevindingen: het beleid eist een VOG maar de helft van de dossiers mist er een, en externen die maandenlang meedraaien zonder enige controle. Consistentie tussen beleid en dossiers is de hele toets.
Screening is de eerste schakel in je personeelsbeveiliging, gevolgd door arbeidsvoorwaarden en awareness. Wil je weten of je personeelsproces op orde is? Doe de Quickscan of bekijk de ISO 27001-checklist.
Klaar om te starten met ISO 27001?
Control One begeleidt je stap voor stap door het ISMS-implementatieproces. Van gap-analyse tot certificeringsaudit — inclusief 120+ templates en de Annex A-controls.
Naslagwerk uit de kennisbank
ISO 27001 voor kleine bedrijven: haalbaar of overkill?
Kan een bedrijf van 5, 10 of 20 mensen ISO 27001 halen? Ja: de norm schaalt mee. Wat er anders is bij klein, de valkuilen en de realistische aanpak.
Annex A 6.1: Screening
Maatregel 6.1 van ISO 27001 Annex A eist achtergrondcontrole van kandidaten vóór indiensttreding, proportioneel aan functie en risico. VOG, referenties en diplomacheck uitgelegd.
Annex A 5.1: Beleid voor informatiebeveiliging
Maatregel A.5.1 van ISO 27001 vereist een informatiebeveiligingsbeleid dat door de directie is goedgekeurd, gecommuniceerd is en periodiek wordt beoordeeld. Zo voldoe je eraan.
Gerelateerde artikelen
ISO 27001 en de AVG samen inrichten: één systeem, twee gezichten
ISO 27001 en de AVG overlappen sterk. Zo richt je ze samen in, zodat je ISMS je AVG-verplichtingen meelift, en je niet twee keer hetzelfde doet.
Veilig informatie delen: het grootste lekkanaal dichten
De meeste datalekken ontstaan onderweg: de verkeerde geadresseerde, de open deellink. Zo regel je veilige informatieoverdracht volgens ISO 27001.
Apparatuur veilig afvoeren: voorkom het datalek op Marktplaats
De afgedankte laptop met de klantendatabase er nog op is een klassiek datalek. Zo voer je apparatuur veilig af volgens ISO 27001, met aantoonbaar wissen.
Capaciteitsbeheer: voorkom uitval door volgelopen systemen
De meest voorspelbare uitval is het systeem dat langzaam volloopt. Zo richt je capaciteitsbeheer in volgens ISO 27001, met alarmering vóór het te laat is.