Veiligheidsbeleid

Wat is veiligheidsbeleid?

Een veiligheidsbeleid is het vastgelegde geheel van uitgangspunten, verantwoordelijkheden, procedures en maatregelen waarmee een organisatie de veiligheid en gezondheid van werknemers, installaties en processen structureel waarborgt. In Nederland is het de uitwerking van de plicht uit artikel 3 van de Arbowet: de werkgever zorgt voor veiligheid en gezondheid en voert daartoe een beleid gericht op zo goed mogelijke arbeidsomstandigheden. In industriële omgevingen raakt het veiligheidsbeleid ook de digitale kant, omdat besturingen in de OT bepalen of een machine veilig stopt en of een proces binnen zijn grenzen blijft.

Een goed veiligheidsbeleid voldoet aan de Arbowet, is gebaseerd op de werkelijke risico’s van de organisatie en is zichtbaar verankerd in het dagelijks werk.

🧠 Wat staat er in een veiligheidsbeleid?

Een bruikbaar veiligheidsbeleid is kort op hoofdlijnen en verwijst voor details naar procedures. Vrijwel elk beleid bevat deze vijf bouwstenen:

1. Visie en verantwoordelijkheid - veiligheid als kernwaarde, een expliciete verklaring van de directie en aangewezen rollen, zoals de preventiemedewerker uit artikel 13 van de Arbowet, een HSE-manager en leidinggevenden met een eigen veiligheidstaak.
2. Inventarisatie van risico’s - de schriftelijke RI&E met plan van aanpak (artikel 5), aangevuld met technische risicobeoordelingen zoals een HAZOP voor procesinstallaties.
3. Preventieve maatregelen - technisch: afscherming, noodstops, Lock-out Tag-out en PBM; organisatorisch: werkvergunningen, de LMRA en training.
4. Procedureel kader - werkinstructies, noodplannen en evacuatie (artikel 3 eist maatregelen voor eerste hulp, brandbestrijding en evacuatie), plus een meld- en opvolgstructuur voor incidenten en bijna-ongevallen.
5. Continu verbeteren - doelen, metingen, audits, veiligheidsobservaties en een periodieke directiebeoordeling volgens de PDCA-cyclus.

De volgorde van maatregelen ligt vast in de arbeidshygiënische strategie van artikel 3: eerst het gevaar bij de bron aanpakken, dan collectieve bescherming, dan individuele maatregelen en pas als laatste persoonlijke beschermingsmiddelen. Een veiligheidsbeleid dat vooral uit PBM-regels bestaat, keert die volgorde om.

⚖️ Welke wetten en normen vragen om een veiligheidsbeleid?

Het veiligheidsbeleid is geen vrijblijvend document. Verschillende kaders eisen het, elk met een eigen accent:

ISO 45001 noemt in clausule 5.2 zes toezeggingen die het beleid moet bevatten: zorgen voor veilige en gezonde arbeidsomstandigheden, een kader bieden voor doelstellingen, voldoen aan wettelijke en andere eisen, gevaren wegnemen en risico’s verkleinen, continu verbeteren, en werknemers raadplegen en laten deelnemen. Het beleid moet gedocumenteerd zijn, binnen de organisatie bekend worden gemaakt en waar passend beschikbaar zijn voor belanghebbenden. Clausule 5.4 vraagt bovendien om werknemers zonder leidinggevende functie te raadplegen bij het opstellen van het beleid.

Voor Seveso-bedrijven geldt dat het PBZO minstens elke vijf jaar wordt herzien en dat het VBS zeven vaste elementen kent, waaronder beheer van wijzigingen en planning voor noodsituaties.

🔄 Wat is het verschil tussen veiligheidsbeleid en informatiebeveiligingsbeleid?

In het Nederlands lopen veiligheid (safety) en beveiliging (security) gemakkelijk door elkaar. Het veiligheidsbeleid gaat over het voorkomen van letsel, beroepsziekten en zware ongevallen. Het informatiebeveiligingsbeleid gaat over de beschikbaarheid, integriteit en vertrouwelijkheid van informatie en systemen.

Het blijven aparte documenten met een andere eigenaar, maar in de OT overlappen ze. Een aanval op een safety-PLC of een gemanipuleerde regeling is een cyberincident met een veiligheidsrisico. Daarom verwijzen beide beleidsstukken naar elkaar en zijn ze vaak ondergebracht in één geïntegreerd managementsysteem.

🏭 Hoe werkt veiligheidsbeleid in industriële omgevingen?

In fabrieken en procesinstallaties moet het beleid concreet worden voor veel soorten werk:

• Machines en processen - productie, chemie, energie en food, met een risicobeoordeling per machine en per wijziging.
• Technische installaties - elektra volgens NEN 3140, hydrauliek en pneumatiek, met restenergie die bij onderhoud vrijkomt.
• Bijzondere omstandigheden - werken op hoogte, in besloten ruimten of in explosieve atmosferen (ATEX).
• Besturing en netwerken - werk aan PLC’s, drives, besturingskasten en het OT-netwerk, waar een softwarewijziging hetzelfde effect kan hebben als een losgedraaide afscherming.

Veiligheidsbeleid moet aansluiten op de praktijk, met input van operators, monteurs en engineers.

🔐 Hoe neemt u OT-security op in het veiligheidsbeleid?

Sinds machines en procesinstallaties aan netwerken hangen, kan een digitale wijziging een fysiek gevolg hebben. Het veiligheidsbeleid hoeft daarom geen cybersecurityhandboek te worden, maar moet wel deze aanknopingspunten bevatten:

• Wijzigingen - wijzigingen in PLC-programma’s, setpoints en veiligheidsfuncties lopen via change management en de werkvergunning, net als mechanische wijzigingen.
• Toegang - fysieke en digitale toegangsbeveiliging tot schakelkasten, engineeringstations en toegang op afstand, ook voor leveranciers.
• Scheiding - netwerksegmentatie tussen kantoornetwerk en OT, zodat een IT-incident geen veiligheidsfunctie raakt.
• Onderhoud - patchmanagement dat rekening houdt met validatie van veiligheidssystemen volgens functionele veiligheid en IEC 61511.
• Bewustwording - security awareness als onderdeel van de veiligheidsinstructie.

Ook de productwetgeving schuift in deze richting: vanaf 20 januari 2027 eist de Machineverordening dat besturingen van nieuwe machines beschermd zijn tegen corruptie. Seveso-wetgeving noemt cybersecurity niet letterlijk, maar Seveso-bedrijven horen OT-security in hun VBS op te nemen, omdat een gehackt veiligheidssysteem een zwaar ongeval kan veroorzaken. Inspecteurs hanteren IEC 61511 als stand der techniek, en clausule 8.2.4 van die norm vraagt sinds de editie van 2016 een security-risicobeoordeling van het veiligheidssysteem.

🔧 Hoe stelt u een veiligheidsbeleid op?

Een praktische aanpak voor een industriële organisatie:

1. Breng verplichtingen in kaart - Arbowet en Arbobesluit, sectorregels, Seveso, Cyberbeveiligingswet en eisen van klanten, zoals VCA.
2. Gebruik de RI&E als basis - het beleid volgt uit de grootste risico’s, niet uit een sjabloon.
3. Leg rollen vast - directie, preventiemedewerker, leidinggevenden, en voor OT ook een aanspreekpunt dat met de CISO samenwerkt.
4. Betrek werknemers - artikel 12 van de Arbowet eist samenwerking; de ondernemingsraad heeft instemmingsrecht op arboregelingen.
5. Schrijf kort beleid, uitgewerkt in procedures - één tot twee pagina’s beleid, met procedures voor LOTO, werkvergunning en incidentmelding.
6. Communiceer en train - bij indiensttreding, bij elke wijziging en voor inhuurkrachten en aannemers (artikel 8 van de Arbowet).
7. Meet en verbeter - houd ongevallen, bijna-ongevallen en auditbevindingen bij en beoordeel het beleid minstens jaarlijks met de directie.

❓ Veelgestelde vragen

Is een veiligheidsbeleid wettelijk verplicht?

Ja, artikel 3 van de Arbowet verplicht elke werkgever om een beleid te voeren gericht op zo goed mogelijke arbeidsomstandigheden. De wet schrijft geen vorm voor, maar de verplichte RI&E met plan van aanpak vormt in de praktijk de schriftelijke basis van dat veiligheidsbeleid. Seveso-bedrijven moeten daarnaast een preventiebeleid zware ongevallen opstellen.

Wie is verantwoordelijk voor het veiligheidsbeleid?

De werkgever, in de praktijk de directie, is eindverantwoordelijk voor het veiligheidsbeleid. De preventiemedewerker, de HSE-manager en leidinggevenden voeren het uit, en werknemers zijn volgens de Arbowet verplicht mee te werken en veilig te werken. ISO 45001 legt het vaststellen van het beleid uitdrukkelijk bij het topmanagement.

Hoe vaak moet een veiligheidsbeleid worden herzien?

Een veiligheidsbeleid moet worden bijgewerkt zodra werkwijze, installaties of risico’s veranderen, net als de RI&E. Organisaties met ISO 45001 beoordelen het beleid op geplande momenten in de directiebeoordeling, meestal jaarlijks. Voor Seveso-bedrijven geldt dat het preventiebeleid zware ongevallen minstens elke vijf jaar wordt herzien.

Hoort cybersecurity in het veiligheidsbeleid?

Cybersecurity hoort als raakvlak in het veiligheidsbeleid, maar de uitwerking staat in het informatiebeveiligingsbeleid. Het veiligheidsbeleid regelt dat wijzigingen in besturingen via werkvergunning en change management lopen en dat veiligheidssystemen beschermd zijn. Zo blijft een cyberincident met gevolgen voor mensen zichtbaar in beide documenten.

Wat is het verschil tussen een veiligheidsbeleid en een RI&E?

De RI&E is de inventarisatie van risico’s met een plan van aanpak, het veiligheidsbeleid is het overkoepelende kader dat bepaalt hoe de organisatie met die risico’s omgaat. Het veiligheidsbeleid legt doelen, rollen en uitgangspunten vast, de RI&E levert de concrete risico’s en maatregelen. Zonder actuele RI&E mist een veiligheidsbeleid zijn feitelijke basis.

Heeft een aannemer een eigen veiligheidsbeleid nodig?

Een aannemer met personeel valt zelf onder de Arbowet en heeft dus een eigen veiligheidsbeleid nodig. Veel opdrachtgevers in de industrie eisen daarnaast een VCA-certificaat, waarbij VCA** ook de VGM-structuur en het VGM-beleid beoordeelt. Op de locatie van de opdrachtgever gelden bovendien diens werkvergunningen en huisregels.

📌 Samengevat

Een veiligheidsbeleid is de ruggengraat van een veilige werkomgeving: het vertaalt de Arbowet en de RI&E naar doelen, rollen, procedures en continue verbetering.

Het beleid volgt de arbeidshygiënische strategie, wordt samen met werknemers opgesteld en sluit aan op normen als ISO 45001 en VCA. In industriële omgevingen verwijst het naar het informatiebeveiligingsbeleid, omdat wijzigingen in besturingen en aanvallen op OT-systemen direct gevolgen kunnen hebben voor de veiligheid van mensen en installaties.