Wat is een informatiebeveiligingsbeleid?
Een informatiebeveiligingsbeleid is het door de directie vastgestelde document waarin een organisatie vastlegt waarom, waarvoor en door wie haar informatie, systemen en processen worden beschermd, en welke uitgangspunten, doelstellingen en verantwoordelijkheden daarbij gelden. In de praktijk heet het ook kortweg beveiligingsbeleid; ISO 27001 eist het in clausule 5.2 als fundament van elk ISMS, en de BIO en de Cyberbeveiligingswet maken het voor veel organisaties verplicht. In OT-omgevingen beschermt het beleid niet alleen data, maar ook de beschikbaarheid en veiligheid van industriële processen.
Het informatiebeveiligingsbeleid is het stuurinstrument boven alle technische, organisatorische en menselijke maatregelen: het zegt wat de organisatie wil bereiken en wie verantwoordelijk is, de procedures eronder zeggen hoe.
Let op het verschil met het veiligheidsbeleid: dat gaat over de fysieke veiligheid van mensen en installaties onder de Arbowet. Beide raken elkaar in OT, maar het zijn aparte documenten met een andere eigenaar.
🧠 Wat staat er in een informatiebeveiligingsbeleid?
Een goed beleid is kort en principieel; details staan in onderliggende documenten. Deze onderdelen horen er in vrijwel elk beveiligingsbeleid in:
| Onderdeel | Wat legt u vast? |
|---|---|
| Doel en scope | Welke organisatieonderdelen, locaties, systemen en processen vallen eronder, expliciet inclusief OT |
| Uitgangspunten | Beschikbaarheid, integriteit en vertrouwelijkheid (CIA-triade), least privilege, defense in depth, security by design |
| Doelstellingen | Meetbare beveiligingsdoelen of het kader om die jaarlijks vast te stellen |
| Rollen en verantwoordelijkheden | Bestuur, CISO, Information Security Officer, OSO, lijnmanagement, systeemeigenaren, leveranciers |
| Risicomanagement | Methode, risicobereidheid en wie restrisico’s mag accepteren |
| Wet- en regelgeving | Welke kaders gelden: NIS2, AVG, BIO, sectorregels, IEC 62443, en hoe u compliance aantoont |
| Verwijzing naar deelbeleid | Toegangsbeheer en IAM, patchmanagement, back-up, incidentrespons, leveranciers |
| Bewustwording | Verplichte awareness-training en gedragsregels |
| Handhaving | Wat gebeurt er bij niet-naleving, en hoe vraagt u een uitzondering aan |
| Evaluatie | Herzieningscyclus, audits, rapportage aan het bestuur en verbetering via PDCA |
Het bestuur ondertekent het beleid. Daarmee is het geen IT-document meer, maar een bestuursbesluit waarop medewerkers en leveranciers kunnen worden aangesproken.
🔄 Hoe verhoudt het beleid zich tot deelbeleid en procedures?
Veel organisaties stoppen alles in één document van veertig pagina’s dat niemand leest. Beter werkt een gelaagde opbouw, zoals ook ISO 27002 in maatregel 5.1 beschrijft: één overkoepelend informatiebeveiligingsbeleid, aangevuld met onderwerpspecifiek beleid.
| Niveau | Voorbeeld | Vastgesteld door | Typische herziening |
|---|---|---|---|
| Informatiebeveiligingsbeleid | Uitgangspunten, scope, rollen, risicobereidheid | Bestuur of directie | Jaarlijks en bij grote wijzigingen |
| Onderwerpspecifiek beleid | Toegangsbeleid, cryptobeleid, OT-remote-accessbeleid, back-upbeleid | CISO of securitystuurgroep | Jaarlijks |
| Standaarden en baselines | Hardening-baseline voor engineeringstations, wachtwoordeisen | Security-architect, OT-engineering | Bij nieuwe dreigingen of versies |
| Procedures en werkinstructies | Stappenplan voor een PLC-firmware-update of het uitgeven van een USB-stick | Afdeling of team | Doorlopend |
ISO 27002 noemt als voorbeelden van onderwerpspecifiek beleid onder meer toegangsbeheer, fysieke beveiliging, assetbeheer, netwerkbeveiliging, incidentbeheer, back-up, cryptografie, informatieclassificatie, technisch kwetsbaarheidsbeheer en veilige ontwikkeling. Elk deelbeleid moet aansluiten op het overkoepelende beleid, door het management worden goedgekeurd, bekend worden gemaakt aan de mensen voor wie het geldt, en periodiek worden herzien.
🧱 Welke normen en wetten eisen een informatiebeveiligingsbeleid?
| Kader | Eis | Voor wie |
|---|---|---|
| ISO 27001:2022, clausule 5.2 | Beleid passend bij het doel van de organisatie, met doelstellingen of een kader daarvoor, toezegging om aan eisen te voldoen en tot continue verbetering; gedocumenteerd, gecommuniceerd en beschikbaar voor belanghebbenden | Organisaties met een (gecertificeerd) ISMS |
| ISO 27002:2022, maatregel 5.1 | Overkoepelend en onderwerpspecifiek beleid, goedgekeurd, gepubliceerd en periodiek herzien | Invulling van Annex A |
| NIS2, artikel 21 lid 2 onder a | Beleid inzake risicoanalyse en beveiliging van informatiesystemen | Essentiële en belangrijke entiteiten in de EU |
| Cyberbeveiligingsbesluit, artikel 6 | Schriftelijk beveiligingsbeleid met rollen, functiescheiding en een PDCA-managementsystematiek, sinds 15 augustus 2026 | Entiteiten onder de Cyberbeveiligingswet |
| BIO2 | Maatregel 5.01 volgt ISO 27002 5.1; het beleid moet de verantwoordelijkheid voor OT-beveiliging expliciet beleggen | Rijk, provincies, gemeenten, waterschappen |
| IEC 62443-2-1 | Securityprogramma van de asset owner met beleid en procedures per security program element | Eigenaren en exploitanten van industriële installaties |
Onder de Cyberbeveiligingswet volgt het beleid direct uit de zorgplicht. Het bestuur moet de maatregelen goedkeuren, toezien op de uitvoering en zelf een training volgen; een ongetekend of verouderd beleid is bij toezicht dus een zwak punt. ISO 27001-certificering is niet verplicht, maar een ISMS met een vastgesteld beleid is wel een gangbare manier om de zorgplicht aantoonbaar in te vullen.
🏭 Wat moet een informatiebeveiligingsbeleid regelen voor OT?
Een beleid dat alleen kantoorautomatisering beschrijft, laat de grootste bedrijfsrisico’s buiten beeld. Voor OT verschuiven de prioriteiten:
| OT-aspect | Wat het beleid moet vastleggen |
|---|---|
| Beschikbaarheid boven vertrouwelijkheid | Productie en vitale processen mogen niet stilvallen door een beveiligingsmaatregel; veiligheid van mens en installatie gaat voor |
| Lange levensduur | Hoe u omgaat met legacy systemen die niet te patchen zijn, via vastgelegde compenserende maatregelen |
| Segmentatie | Zones en conduits volgens het Zone and Conduits-model en het Purdue Model, met netwerksegmentatie als verplicht uitgangspunt |
| Patchen en firmware | Wie test en keurt updates voor PLC’s, HMI’s en SCADA-servers goed, en in welk onderhoudsvenster |
| Leveranciers | Eisen aan leveranciers en toegang op afstand voor onderhoud |
| Fysieke toegang | Veldkasten, bedienpanelen, controlekamers en verwisselbare media |
| Monitoring en logging | Welke logging en security monitoring in het procesnetwerk gelden, en wie meldingen van anomaliedetectie opvolgt |
| Rolverdeling IT en OT | Wie is eigenaar van OT-beveiliging: de CISO, de productiemanager of een OT-securityrol |
IEC 62443-2-1 (editie 2024) helpt hierbij. De norm vraagt van de asset owner een securityprogramma met acht elementen: organisatie, configuratiebeheer, netwerk, componenten, data, gebruikerstoegang, events en incidenten, en beschikbaarheid. Eis ORG 1.1 koppelt het programma aan een bestaand ISMS, zodat u geen tweede beleid naast het ISO 27001-beleid hoeft te schrijven: het OT-deel wordt een hoofdstuk of onderwerpspecifiek beleid onder hetzelfde dak.
🔧 Hoe stelt u een informatiebeveiligingsbeleid op?
Een praktische aanpak voor een organisatie met zowel IT als OT:
- Bepaal de scope - inventariseer welke processen en systemen kritiek zijn, inclusief OT-installaties, met een Business Impact Analysis en een actuele asset-inventaris.
- Breng verplichtingen in kaart - valt u onder de Cyberbeveiligingswet, de BIO of sectorregels? Dat bepaalt welke onderwerpen verplicht zijn.
- Leg de risicobereidheid vast - samen met het bestuur, gekoppeld aan risicomanagement en een risicobeoordeling van de OT.
- Beleg rollen - benoem wie eigenaar is van IT- en OT-beveiliging, wie restrisico’s accepteert en wie uitzonderingen goedkeurt; zie ook Governance.
- Schrijf kort - houd het overkoepelende beleid compact en verplaats techniek naar deelbeleid en baselines.
- Laat vaststellen en communiceer - bestuurlijke ondertekening, publicatie op het intranet, opname in de onboarding en in leverancierscontracten.
- Meet en verbeter - koppel het beleid aan KPI’s, interne audits en een jaarlijkse herziening, en pas het aan na grote incidenten of reorganisaties.
Typische valkuilen zijn een beleid dat OT niet noemt, een document dat een adviseur schreef maar niemand kent, ontbrekende sancties en een beleid dat jaren niet is herzien. Ook ontbreekt vaak de koppeling met bedrijfscontinuïteit, noodplannen en het crisiscommunicatieplan, terwijl een incident in OT al snel een continuïteitsvraag wordt.
❓ Veelgestelde vragen
Is een beveiligingsbeleid hetzelfde als een informatiebeveiligingsbeleid?
Ja, in de praktijk worden beveiligingsbeleid en informatiebeveiligingsbeleid door elkaar gebruikt voor hetzelfde document. ISO 27001 en de BIO spreken van informatiebeveiligingsbeleid, het Cyberbeveiligingsbesluit van beveiligingsbeleid. Het veiligheidsbeleid over arbeidsveiligheid is wel iets anders.
Is een informatiebeveiligingsbeleid verplicht?
Voor organisaties onder de Cyberbeveiligingswet is een schriftelijk beveiligingsbeleid sinds 15 augustus 2026 verplicht op grond van artikel 6 van het Cyberbeveiligingsbesluit. Overheden moeten het via de BIO hebben, en voor ISO 27001-certificering is het een harde eis uit clausule 5.2. Voor andere organisaties is het niet wettelijk verplicht, maar wel de basis van elke serieuze beveiligingsaanpak.
Wie moet het informatiebeveiligingsbeleid vaststellen?
Het informatiebeveiligingsbeleid wordt vastgesteld door de directie of het bestuur, niet door de IT-afdeling. ISO 27001 legt die taak bij het topmanagement, en NIS2 maakt bestuurders verantwoordelijk voor het goedkeuren van de cyberbeveiligingsmaatregelen. De CISO stelt het beleid meestal op en bewaakt de uitvoering.
Hoe vaak moet u het informatiebeveiligingsbeleid herzien?
Een informatiebeveiligingsbeleid herziet u op geplande momenten, in de praktijk meestal jaarlijks, en daarnaast bij grote wijzigingen zoals een fusie, een nieuw OT-netwerk of een ernstig incident. ISO 27002 vraagt herziening op geplande intervallen en bij significante veranderingen. Leg elke herziening vast, zodat u die bij een audit kunt aantonen.
Heeft OT een eigen informatiebeveiligingsbeleid nodig?
OT heeft niet per se een apart informatiebeveiligingsbeleid nodig, maar het overkoepelende beleid moet OT expliciet in de scope opnemen en de verantwoordelijkheid ervoor beleggen. De OT-specifieke regels, zoals voor patchen, remote access en segmentatie, staan het best in een onderwerpspecifiek OT-beleid volgens IEC 62443-2-1. BIO2 eist voor overheden zelfs dat de OT-verantwoordelijkheid in het beleid is belegd.
Hoe lang is een goed informatiebeveiligingsbeleid?
Een goed overkoepelend informatiebeveiligingsbeleid is kort genoeg om door iedere medewerker gelezen te worden, vaak enkele pagina’s. Technische details, zoals wachtwoordeisen of firewallregels, horen in onderwerpspecifiek beleid, standaarden en procedures. Zo blijft het beleid stabiel terwijl de techniek eronder verandert.
📌 Samengevat
Het informatiebeveiligingsbeleid is het door het bestuur vastgestelde fundament van alle beveiliging: het legt scope, uitgangspunten, rollen en risicobereidheid vast voor zowel IT als OT. ISO 27001, de BIO en de Cyberbeveiligingswet maken het voor veel organisaties verplicht; met onderwerpspecifiek beleid volgens IEC 62443-2-1 wordt het ook in de productieomgeving toepasbaar.