Direct antwoord
Annex A-maatregel 6.4 eist een geformaliseerd disciplinair proces voor medewerkers die het informatiebeveiligingsbeleid overtreden, dat vooraf bekend is en proportioneel wordt toegepast: van gesprek en waarschuwing tot arbeidsrechtelijke maatregelen bij opzet of herhaling. Het proces moet ook rechtvaardig zijn: hoor en wederhoor, en geen afstraffing van te goeder trouw gemelde fouten.
Annex A-maatregel 6.4 van ISO 27001, “Disciplinary process”, geeft het beveiligingsbeleid tanden: regels zonder consequenties zijn adviezen. Tegelijk moet het proces rechtvaardig blijven, anders vermoordt het de meldcultuur.
Wat eist de maatregel?
Een geformaliseerd en gecommuniceerd disciplinair proces om actie te nemen tegen medewerkers die het beleid overtreden. Het proces weegt de aard en ernst van de overtreding, de opzet, of het een eerste of herhaalde overtreding is, en of de medewerker adequaat getraind was; het respecteert arbeidsrecht en zorgvuldigheid.
Zo vul je hem in
- Leg het proces vast: een korte paragraaf in het beveiligingsbeleid of personeelshandboek: welke stappen (gesprek, waarschuwing, arbeidsrechtelijke maatregelen), wie beslist (leidinggevende met HR) en hoe wordt geregistreerd.
- Bescherm de melder: expliciet vastleggen dat te goeder trouw gemelde eigen fouten niet worden bestraft; dat houdt het meldkanaal (6.8) open.
- Communiceer vooraf: het proces is onderdeel van de arbeidsvoorwaarden (6.2) en de awareness (6.3); niemand mag erdoor verrast worden.
- Pas consequent toe: gelijke gevallen gelijk behandelen, ook bij management; registreer toegepaste maatregelen in het personeelsdossier.
Waar let de auditor op?
De auditor toetst of het proces bestaat, bekend is en, als er incidenten met menselijke overtredingen zijn geweest, of er iets mee is gedaan. De valkuil zit in beide uitersten: een organisatie die nooit handhaaft (beleid zonder betekenis) of eentje die elke gemelde fout bestraft (waarna niemand meer meldt). Het gedocumenteerde onderscheid tussen fout en overtreding laat zien dat je dat evenwicht bewust bewaakt.
Zo werkt dit in Control One
In de portal zie je per normeis welke maatregelen, documenten en bewijsstukken eraan gekoppeld zijn, met de status erbij.
Veelgestelde vragen
Ondermijnt een disciplinair proces niet de meldcultuur?
Niet als je het goed inricht: maak expliciet onderscheid tussen een fout die te goeder trouw wordt gemaakt en gemeld (geen sanctie, wel leren) en bewuste of herhaalde overtreding (wel sancties). Leg dat onderscheid vast in het beleid; het beschermt juist de meldbereidheid.
Wat is een proportionele opbouw van maatregelen?
Gangbaar: eerst een gesprek en extra training, dan een schriftelijke waarschuwing in het dossier, en bij opzet, herhaling of ernstige schade arbeidsrechtelijke stappen conform het arbeidsrecht. De ernst, de opzet en de gevolgen bepalen de trede.