Direct antwoord
Annex A-maatregel 6.5 eist dat de informatiebeveiligingsverantwoordelijkheden die ná beëindiging of wijziging van het dienstverband blijven gelden, zijn gedefinieerd, gehandhaafd en gecommuniceerd: doorlopende geheimhouding, teruggave van informatie en het respecteren van intellectueel eigendom. Praktisch geborgd via de arbeidsovereenkomst en een exitgesprek waarin de doorlopende plichten expliciet worden benoemd.
Annex A-maatregel 6.5 van ISO 27001, “Responsibilities after termination or change of employment”, regelt wat er blijft gelden als iemand vertrekt of van rol wisselt. De kennis in iemands hoofd verlaat het pand mee; de plichten eromheen moeten dat overleven.
Wat eist de maatregel?
De verantwoordelijkheden en plichten die na beëindiging of wijziging van het dienstverband van kracht blijven, zijn gedefinieerd, worden gehandhaafd en zijn gecommuniceerd aan de medewerker (en waar relevant aan externen). Denk aan doorlopende geheimhouding en afspraken over informatie en intellectueel eigendom.
Zo vul je hem in
- Regel het aan de voorkant: de doorlopende plichten staan in de arbeidsovereenkomst of geheimhoudingsverklaring die bij indiensttreding is getekend (6.2, 6.6); achteraf afdwingen zonder contractuele basis is kansloos.
- Herhaal bij vertrek: benoem in het exitgesprek expliciet wat blijft gelden en laat dat bevestigen; combineer met de inname van middelen en de toegang-intrekking in één offboarding-checklist.
- Dek functiewijzigingen af: wie overstapt naar een andere rol verliest de toegang en verantwoordelijkheden van de oude rol expliciet (sluit aan op 5.18); bij gevoelige rollen hoort een overdrachtsmoment.
- Vergeet externen niet: voor contractors en leveranciersmedewerkers gelden dezelfde doorlopende plichten via de overeenkomst met hun werkgever (5.20).
Waar let de auditor op?
De auditor bekijkt het offboarding-proces en een recent vertrek: is er bewijs dat de doorlopende plichten zijn gecommuniceerd (checklist, exitformulier)? De gangbare bevinding: offboarding is puur facilitair (spullen in, account dicht) en niemand heeft het over geheimhouding gehad, terwijl de vertrekkende medewerker naar een concurrent ging.
Zo werkt dit in Control One
In de portal zie je per normeis welke maatregelen, documenten en bewijsstukken eraan gekoppeld zijn, met de status erbij.
Veelgestelde vragen
Welke plichten lopen na vertrek door?
In elk geval de geheimhouding van bedrijfsinformatie en persoonsgegevens (zonder einddatum voor bedrijfsgeheimen), het respecteren van intellectueel eigendom van de organisatie, en eventueel afgesproken beperkingen zoals een relatie- of concurrentiebeding. De basis ligt in de arbeidsovereenkomst (6.2).
Wat is de rol van het exitgesprek hierin?
Het exitgesprek is het moment om de doorlopende plichten expliciet te herhalen en te laten bevestigen, de inname van middelen (5.11) en intrekking van toegang (5.18) af te ronden, en lopende kennis over te dragen. Een korte checklist maakt het aantoonbaar.