Direct antwoord
Een gebruiksreglement (acceptable use policy, Annex A 5.10) legt in 3 tot 5 leesbare pagina's vast wat medewerkers wel en niet doen met bedrijfsmiddelen en informatie: apparaten en wachtwoorden, e-mail en delen, opslaglocaties, privé-gebruik en BYOD, AI-tools, thuiswerken en de meldplicht. Schrijf het in 5 stappen: inventariseer de echte risico's en gewoonten, formuleer regels als gedrag (doe/doe niet), dek de moderne onderwerpen expliciet, regel kennisname bij onboarding, en herzie jaarlijks.
Het gebruiksreglement is de vertaling van al het beveiligingsbeleid naar de enige vraag die medewerkers echt hebben: wat mag ik wel en niet? Goed geschreven is het drie pagina’s gezond verstand; slecht geschreven is het dertig pagina’s die niemand leest en niemand naleeft.
Stap 1: Begin bij de echte risico’s en gewoonten
Inventariseer waar het in jouw organisatie schuurt: wordt er via privé-apps gedeeld, slingeren wachtwoorden, plakken mensen klantdata in AI-tools, werkt iedereen op privé-laptops? Het reglement moet díe praktijk adresseren, niet een generieke lijst uit een sjabloon. De incidenthistorie en een rondvraag in teams leveren de agenda.
Stap 2: Formuleer als gedrag, niet als jurisprudentie
Per onderwerp twee tot vijf regels in doe/doe-niet-vorm: “vergrendel je scherm als je wegloopt”, “deel vertrouwelijke bestanden alleen via [het platform], nooit als open link”, “meld verlies of een klik op een verdachte link direct, ook buiten kantoortijd”. Elke regel moet uitvoerbaar en controleerbaar zijn; schrap wat je niet gaat handhaven, want dode regels ondermijnen de levende.
Stap 3: Dek de vaste onderwerpen
De checklist: apparaten en vergrendeling, wachtwoorden en MFA (gebruik de wachtwoordmanager), e-mail en phishing (verifieer betaalverzoeken via een tweede kanaal), opslag en delen (waar staat wat, hoe deel je extern), privé-gebruik en monitoring (zie FAQ), BYOD, AI-tools, thuiswerken en onderweg (privacyfilter, openbare wifi), social media over het werk, en de meldplicht (6.8) met de belofte dat te goeder trouw melden veilig is.
Stap 4: Regel de kennisname
Onderdeel van onboarding (tekenen of digitaal bevestigen vóór toegang), jaarlijks kort herhaald in de awareness-cyclus, en vindbaar op één vaste plek. De koppeling met de arbeidsvoorwaarden (6.2) maakt het handhaafbaar; de koppeling met het disciplinaire proces (6.4) benoem je in één neutrale slotzin.
Stap 5: Herzie jaarlijks
De jaarlijkse review toetst op actualiteit (nieuwe tools, nieuwe werkvormen; het AI-hoofdstuk veroudert het snelst) en op naleefbaarheid: regels waar structureel omheen wordt gewerkt, wijzen op een ontbrekend alternatief, en dat los je op in de voorziening, niet met een strengere regel. Voor de audit is het reglement de kern van Annex A 5.10; voor de organisatie is het pas geslaagd als een nieuwe collega het in tien minuten leest en er daarna naar handelt.
Zo werkt dit in Control One
Dit document staat als vooringevuld sjabloon in de portal klaar: jij past alleen aan wat uniek is voor jouw organisatie.
Veelgestelde vragen
Mag je privé-gebruik van zakelijke middelen verbieden?
Je mag regels stellen, maar een totaalverbod is onrealistisch en juridisch kwetsbaar bij controle: beperkt privé-gebruik toestaan onder voorwaarden (geen illegale content, geen opslag van privébestanden in bedrijfsomgevingen, gezond verstand) is de handhaafbare norm. Wees vooral expliciet over monitoring: wat log je wel en niet, en onder welke voorwaarden kijk je gericht; dat raakt de privacy van medewerkers en vraagt zorgvuldigheid en instemming van de medezeggenschap waar die er is.
Wat neem je op over AI-tools?
Drie regels: geen vertrouwelijke informatie of persoonsgegevens in niet-goedgekeurde (gratis) AI-diensten, gebruik de goedgekeurde alternatieven die de organisatie aanbiedt, en behandel AI-uitvoer als concept dat je controleert. Verwijs naar de lijst met goedgekeurde tools in plaats van merknamen in het reglement te zetten; die lijst wijzigt sneller dan het document.