Dit is de eerste maatregel uit artikel 21 lid 2, en niet toevallig: alles wat daarna komt, hoort een gevolg te zijn van wat u hier vastlegt. Uw klant wil zien dat beveiliging een bewuste keuze is, geen toeval.
Wat moet er in een informatiebeveiligingsbeleid staan?
Minder dan de naam doet vermoeden. Een bruikbaar beleid voor een bedrijf tot pakweg honderd man is drie tot vijf pagina's: welke uitgangspunten u hanteert, wie waarvoor verantwoordelijk is, welke regels er gelden voor wachtwoorden, toegang en thuiswerken, en hoe u met incidenten omgaat.
Het belangrijkste zit in de laatste stap: de directie stelt het formeel vast, met een besluit of een handtekening. Een document dat de ICT-er ooit heeft geschreven en dat nooit is bekrachtigd, telt bij een klantaudit niet als beleid.
Wat is een risicoanalyse, praktisch gezien?
Een overzicht van wat er bij ú mis kan gaan, hoe erg dat zou zijn, en wat u eraan doet. Een goed ingevulde spreadsheet telt: dreiging, kans, impact, en per risico het besluit of u het accepteert of aanpakt. De wet vraagt om een doorlopend proces, dus de analyse hoort niet ouder te zijn dan een jaar.
Begin bij de vraag welke drie systemen uw bedrijf stilzetten als ze uitvallen. Dat zijn uw kroonjuwelen, en de risico's daaromheen verdienen de eerste aandacht.
Wie moet er verantwoordelijk zijn voor cybersecurity?
Eén naam, zwart op wit. Dat mag de directeur zelf zijn; in kleinere bedrijven is dat zelfs de logische keuze, omdat de wet bestuurders toch al persoonlijk aanspreekt op dit onderwerp. Waar het om gaat is dat de vraag "wie gaat hierover?" niet met een stilte wordt beantwoord.
Wat wil een klant hiervan zien?
Drie stukken: het vastgestelde beleid, de meest recente risicoanalyse en de naam van de verantwoordelijke. Wie die drie heeft, beantwoordt dit blok op elke vragenlijst in vijf minuten.
Weten hoe u er op alle tien maatregelen voorstaat? De gratis scan vraagt het na in gewone taal en geeft per onderwerp een actielijst.