Screening van personeel op strafrechtelijke antecedenten binnen het KSC is geen algemene HR-controle en evenmin een formaliteit voorafgaand aan een audit. De reikwijdte moet volgen uit een concrete grondslag, de status van de organisatie en de feitelijke taken en bevoegdheden van de betrokken persoon. Een proces dat begint met het verzamelen van verklaringen in plaats van met het kwalificeren van rollen, kan zowel personen missen voor wie een vereiste geldt als leiden tot verwerking van gegevens over strafrechtelijke veroordelingen zonder toereikende grondslag. Bepaal daarom eerst wie mag worden gecontroleerd en op welke basis. Scheid vervolgens de verantwoordelijkheden voor het verkrijgen van informatie, het beoordelen van de uitkomst en het nemen van de toegangsbeslissing. Beperk ten slotte de registratie tot wat nodig is om de naleving aantoonbaar te maken.
Begin niet bij de verklaring, maar bij de reikwijdte
Een besluit om strafrechtelijke antecedenten te controleren, hoort niet te beginnen met een verzoek aan personeel om documenten aan te leveren. Het bestuur moet eerst de status van de organisatie binnen het KSC vaststellen en de concrete bepaling aanwijzen waaruit een verplichting voor specifieke personen voortvloeit. Een algemene verwijzing naar NIS2, de voorbereiding op een audit of de inrichting van een managementsysteem voor informatiebeveiliging rechtvaardigt niet dat alle werknemers, opdrachtnemers en leveranciers worden gecontroleerd.
De procesgrenzen moeten per bron van eisen afzonderlijk worden vastgesteld. De NIS2-richtlijn, de Poolse KSC-wet in de actuele versie, uitvoeringsregels, sectorale voorschriften, contractuele voorwaarden en interne regels voor toegangstoekenning zijn geen gelijkwaardige bronnen. Leg voor iedere bron de organisatorische, personele en temporele reikwijdte vast: op wie de eis van toepassing is, waarom en vanaf wanneer, welke uitzonderingen gelden en wanneer een herbeoordeling nodig is. Wie de procedure ontwerpt voordat deze analyse is afgerond, loopt zowel het risico verplichte controles over het hoofd te zien als gegevens over strafrechtelijke veroordelingen zonder grondslag te verwerken.
De kwalificatie moet uitmonden in een beknopte notitie die door de compliance-eigenaar wordt goedgekeurd. Daarin staan de status van de organisatie, de rechtsgrond, de datum en de voor de analyse gehanteerde stand van de regelgeving, de betrokken rollen en gemotiveerde uitzonderingen. De categorie ‘IT-personeel’ is te algemeen. Er moet worden vastgesteld of de eis geldt voor beheerders met verhoogde rechten, incidentresponsmedewerkers, personeel van leveranciers en vervangers die deze werkzaamheden incidenteel uitvoeren. Wijs ook een eigenaar van de juridische analyse aan en bepaal wanneer deze opnieuw wordt beoordeeld, in het bijzonder na wijzigingen in regelgeving, activiteiten of het toegangsmodel.
Het bepalen van de grenzen van de screening moet deel uitmaken van het traject ‘Een ISMS conform de KSC-wet: reikwijdte, eigenaren en implementatieplanning bepalen’. De systeemscope, proceseigenaarschap en rollen met verhoogde bevoegdheden moeten uit dezelfde organisatiemapping volgen. Pas dan kan verantwoord worden vastgesteld of de verplichting volgens de actuele regelgeving op de organisatie van toepassing is, welke bepaling het verkrijgen van informatie over strafrechtelijke antecedenten toestaat en voor welke personeelscategorieën dit is toegestaan.
Wie valt onder de screening?
De personele reikwijdte wordt niet bepaald door een functietitel of contractvorm. Doorslaggevend is de inhoud van de toepasselijke eis, afgezet tegen de feitelijke taken, bevoegdheden en invloed van de persoon op de beveiliging van de dienst. De kwalificatie moet rekening houden met logische en fysieke toegang, de mogelijkheid configuraties te wijzigen, betrokkenheid bij incidentafhandeling, invloed op bedrijfscontinuïteit en tijdelijke of noodbevoegdheden. Rollen zonder relatie met de beschermde dienst, het systeem, de locatie of de wettelijk aangewezen scope mogen niet uit voorzorg in de controle worden opgenomen.
Het belangrijkste beslisinstrument is een rollenmatrix die gezamenlijk wordt beheerd door de proceseigenaar, de verantwoordelijke voor informatiebeveiliging en HR, met betrokkenheid van de compliance-eigenaar. Deze matrix moet aansluiten op identiteits- en toegangsbeheer en op functiescheiding. Een personeelslijst alleen is onvoldoende. Ook registers van geprivilegieerde accounts, administratieve, fysieke en noodtoegang en externe personen met feitelijke toegang tot systemen of processen binnen de scope zijn nodig.
| Categorie persoon | Aard van de toegang | Grond voor opname | Moment van screening | Besliseigenaar | Aanpak voor leveranciers |
|---|---|---|---|---|---|
| Intern personeel | Administratieve, geprivilegieerde, fysieke of noodtoegang | Toepasselijke bepaling, gekoppeld aan de taken van de rol | Vóór toelating en bij een rolwijziging; opnieuw indien de grondslag dit vereist | Compliance-eigenaar samen met de proceseigenaar | Niet van toepassing |
| Lid van een bestuursorgaan of persoon die op een andere grondslag werkzaamheden verricht | Besluitvormende of operationele invloed op de scope | Uitsluitend een toepasselijke rechtsgrond | Vóór benoeming of verlening van toegang | Het tot benoeming bevoegde orgaan of het bestuur | Niet van toepassing |
| Beheerder van een leverancier of onderaannemer | Administratieve toegang op afstand of op locatie, inclusief tijdelijke toegang | Toepasselijke bepaling of een correct geformuleerde contractuele eis | Vóór verlening van toegang en na wijziging van de dienstverlening | Eigenaar van de dienst of overeenkomst | Vastleggen van de verplichting, het bewijs van uitvoering, de regels voor weigering van toegang en het toezicht op onderaannemers |
Een technisch beheerder van een leverancier kan ruimere bevoegdheden hebben dan een interne manager, ook al is deze persoon niet bij de organisatie in dienst. Een kwalificatie op basis van uitsluitend de contractvorm kan daardoor iemand uitsluiten die wezenlijke invloed heeft op de beveiliging. Dit betekent niet dat een externe beheerder automatisch volgens dezelfde procedure als een werknemer moet worden gecontroleerd. De gegevensomvang, de manier waarop aan de eis wordt voldaan en de verantwoordelijkheid voor de beoordeling moeten voortvloeien uit een toelaatbare rechtsgrond of een passend ingerichte overeenkomst. Beoordeel tijdelijke en noodtoegang op basis van de mogelijke handelingen, niet op basis van de verwachte gebruiksfrequentie.
De matrix moet werknemers, leden van bestuursorganen, personen die op een andere grondslag werkzaamheden verrichten, externe beheerders en personeel van leveranciers en onderaannemers omvatten, maar uitsluitend binnen de grenzen van de toepasselijke eis. Herzie de matrix na wijzigingen in de toegangsarchitectuur, dienstverlening, leverancier of regelgeving. Het aantal geprivilegieerde rollen en externe personen met feitelijke toegang bepaalt de schaal van het proces en vormt input voor de capaciteits- en budgetplanning zoals beschreven in ‘Wat kost de implementatie van NIS2 en de KSC-wet? Een budget opstellen voor audits, documentatie, training en beheersmaatregelen zonder kostbare fouten’.
Waar ontstaan kosten en risico’s?
Het grootste risico ligt niet in het technisch verkrijgen van informatie over strafrechtelijke antecedenten, maar in het starten van controles zonder eenduidige grondslag, vastgesteld doel en afgebakende reikwijdte. Gegevens over strafrechtelijke veroordelingen en strafbare feiten vallen onder een bijzonder verwerkingsregime. Gewone toestemming van de betrokkene of een algemene bepaling in het HR-beleid mag niet automatisch als rechtvaardiging voor het verzamelen ervan worden beschouwd. Bepaal vóór de keuze van de controlevorm welke informatie de toepasselijke bepaling werkelijk vereist, voor wie die geldt en wie verantwoordelijk is voor de beoordeling.
De kosten lopen op wanneer een organisatie van al het personeel volledige documenten vraagt, kopieën zonder vastgestelde bewaartermijn bewaart, deze via gewone e-mail verzendt of toegang verleent aan HR, leidinggevenden, security en auditors zonder autorisaties te scheiden. Iedere extra kopie verhoogt de inspanning voor beveiliging, toegangsbeheersing, afhandeling van verzoeken en veilige verwijdering. Het management moet daarom niet alleen het aantal uitgevoerde controles volgen, maar ook het aantal personen dat toegang tot de documenten heeft en de feitelijke bewaartermijnen.
Een tweede risicobron is het ontbreken van beoordelingscriteria. Informatie die tijdens een controle naar voren komt, mag niet leiden tot een geïmproviseerd besluit van een leidinggevende of tot een beoordeling die losstaat van de eisen voor de betreffende rol. HR kan een document correct verkrijgen, maar het proces blijft gebrekkig wanneer niet is bepaald wie de betekenis ervan beoordeelt, op welke basis over toelating wordt beslist en of het bewaren van een kopie noodzakelijk is. De procedure moet een escalatieroute bevatten en aansluiten op het reactieplan binnen het beheersplan: maatregelen vastleggen wanneer een proces buiten de grenzen raakt.
Scheid het bewijs dat de controle is uitgevoerd van het bewaren van de inhoud van het document. Afhankelijk van de toepasselijke grondslag en bewijsplicht kan een registratie van de controledatum, de reikwijdte, de bevoegde beoordelaar, de kwalificerende uitkomst en de toelatingsbeslissing volstaan, zonder de volledige verklaring vast te leggen. Als een kopie noodzakelijk is, moeten ontvangers, beveiligingsmaatregelen en verwijdertermijn zijn bepaald. Zo worden dataminimalisatie en aantoonbaarheid gecombineerd, in plaats van de juridische analyse te vervangen door het verzamelen van documenten ‘voor de zekerheid’.
Van rolkwalificatie tot toelating
Het proces begint vóórdat informatie over strafrechtelijke antecedenten wordt verkregen. Eerst kwalificeert de proceseigenaar de rol, wijst deze de actuele rechtsgrond aan en bepaalt deze de vereiste omvang van de controle. Vervolgens informeert de organisatie de betrokkene over het doel, de werkwijze en de regels voor gegevensverwerking, kiest zij een toegestane informatiebron en verifieert zij de identiteit. De daaropvolgende beslispoorten omvatten de beoordeling van de uitkomst, het toelatingsbesluit, de toekenning van rechten en het aanmaken van een controleregistratie.
Leg voor iedere activiteit de verantwoordelijke, vereiste input, termijn en handelswijze vast voor ontbrekende documenten, termijnoverschrijding of een uitkomst die nadere beoordeling vereist. Een formele controle is immers niet hetzelfde als een operationele toegangsbeslissing. HR kan de werknemer informeren, het document ontvangen en de volledigheid van de gegevens bevestigen, maar hoort niet zelfstandig te beslissen over toegang tot systemen of infrastructuur.
De definitieve beslissing hoort bij een aangewezen bedrijfsrol te liggen, doorgaans de systeemeigenaar of de verantwoordelijke voor het betreffende operationele domein, met betrokkenheid van de securityfunctie. Bij een onduidelijke uitkomst of twijfel over de toegestane verwerking van gegevens moet de zaak worden geëscaleerd naar de juridische of privacyfunctie. Deze verantwoordelijkheidsverdeling voorkomt zowel automatische toegang na het tonen van een document als willekeurige interpretatie door een leidinggevende.
De besliscriteria moeten vóór het eerste probleemgeval worden goedgekeurd. De procedure moet bepalen wie onduidelijkheden beoordeelt, welke informatie daarbij mag worden betrokken, of beperkte toegang mogelijk is en hoe de motivering wordt geregistreerd zonder de inhoud aan een ruimere groep bekend te maken. Een nieuwe medewerker kan bijvoorbeeld trainingen en organisatorische introductieactiviteiten afronden, maar mag vóór de beslissing geen geprivilegieerd account of toegang tot een beschermde omgeving krijgen. Tijdelijke toegang vereist, als deze al is toegestaan, afzonderlijke goedkeuring, een beperkte scope, een vervaldatum en toezicht. Zij mag niet worden gebruikt om de controle te omzeilen.
Voor een negatieve uitkomst is vooraf een reactieplan nodig: rechten blokkeren, escaleren naar de aangewezen beslissers, vervanging regelen, de gevolgen voor de bedrijfscontinuïteit beoordelen en de zaak gecontroleerd afsluiten. De logica moet overeenkomen met die van een beheersplan: een omschreven gebeurtenis activeert een toegewezen reactie, verantwoordelijkheid en registratie. Bij indiensttreding en rolwijzigingen biedt Een onboardingproces voorbereiden voor een nieuwe kwaliteitsingenieur of ISO-managementsysteemcoördinator een nuttig referentiekader, met name voor beslispoorten en het bevestigen van verantwoordelijkheden.
De controleregistratie moet reconstructie mogelijk maken van de rolkwalificatie, de grondslag en omvang van de screening, de datum van identiteitsbevestiging, de informatiebron, de beoordelaar, de beslissing, de datum waarop rechten zijn toegekend en eventuele escalatie. Leg ook vast welke gebeurtenissen tot herbeoordeling leiden, in het bijzonder een rol- of toegangswijziging, en hoe rechten bij uitdiensttreding worden ingetrokken. De effectiviteit blijkt vooral uit de doorlooptijd van kwalificatie tot beslissing, het aantal toegangen dat vóór afronding van de vereiste controle is verleend en het aantal escalaties wegens ontbrekende documenten of onduidelijke uitkomsten.
Documentatie en herbeoordeling
De procesdocumentatie moet de gronden en gevolgen van beslissingen reconstrueerbaar maken, niet een archief van strafrechtelijke informatie vormen. De registratie moet duidelijk maken waarom een rol aan screening was onderworpen, wanneer de controle plaatsvond, wie de beslissing nam en wat het operationele gevolg was: toegang verlenen, beperken of weigeren. Dit betekent niet automatisch dat een kopie van het brondocument moet worden bewaard. Het besluit om een kopie te bewaren moet worden gescheiden van de opslag van metadata en worden gebaseerd op de actuele rechtsgrond, het verwerkingsdoel en de beperking van de bewaartermijn.
Een samenhangend dossier bestaat uit:
- de rollenmatrix met de onderbouwing van de reikwijdte;
- het register van uitgevoerde controles;
- autorisaties voor gegevensverwerking en toegangsregels;
- goedgekeurde bewaartermijnen;
- het escalatieprotocol;
- bewijs dat leveranciers hun verplichtingen hebben uitgevoerd.
Deze onderdelen vereisen één overkoepelende eigenaar, versiebeheer en aansluiting op de documentbeheersing binnen het ISMS. Verspreiding over HR, security en inkoop bemoeilijkt het aantonen van de volledigheid van het proces. Beheer in de centrale repository de sjablonen, systeembesluiten en wijzigingshistorie van de regels. Stel individuele gegevens uitsluitend beschikbaar aan bevoegde personen. Een bruikbaar organisatorisch referentiepunt is Een interne kennisbank voor kwaliteit inrichten zonder teamervaring verloren te laten gaan.
Een registratie kan de datum van rolkwalificatie, screening en beslissing bevatten, evenals de identificatie van de toegepaste grondslag, de datum waarop toegang is verleend en de geplande herbeoordeling. Wanneer bevestiging van de uitgevoerde controle en de operationele uitkomst volstaat, mag een kopie van de verklaring niet ‘voor de zekerheid’ worden bewaard. Het verwijdermechanisme moet ook e-mailbijlagen, werkmappen en omgevingen van leveranciers omvatten. Beoordeel de beheersing bijvoorbeeld aan de hand van het percentage rollen met een actuele onderbouwing voor opname in het proces en het aantal registraties dat na afloop van de goedgekeurde bewaartermijn nog aanwezig is.
Stel termijnen voor herhaalde screening niet vast op basis van een willekeurige kalender. De frequentie kan voortvloeien uit de toepasselijke bepaling, het karakter van de rol, contractuele voorwaarden of een gedocumenteerde risicobeoordeling. Naast periodieke beoordelingen moet de procedure gebeurtenissen benoemen die een nieuwe beoordeling activeren, waaronder een functiewijziging, uitbreiding van bevoegdheden, terugkeer in een rol na een onderbreking en een wezenlijke wijziging in wettelijke of contractuele eisen. Actualiteit van informatie hoeft niet te betekenen dat telkens opnieuw een volledig document wordt opgevraagd. Het proces moet een rechtmatige en proportionele bevestigingswijze bevatten die steeds past bij de actuele grondslag en bij de gegevens die de organisatie mag verwerken.
Gereedheidstoets vóór de audit
Begin de beoordeling van de auditgereedheid niet met de vraag of er een procedure bestaat, maar met de reconstructie van werkelijke dossiers. De steekproef moet ten minste een werknemer in een screeningsplichtige rol, iemand na een rolwijziging, een externe beheerder en een geval van noodtoegang omvatten. Voor ieder dossier moet de auditor het volledige spoor kunnen volgen: van de actuele rechtsgrond en rolkwalificatie via het verkrijgen van informatie en het toelatingsbesluit tot de daadwerkelijk actieve toegangsrechten.
De minimale toets omvat een vergelijking van de rollenlijst met de toegangsregistratie en een controle van de volledigheid van besluiten, de tijdigheid van controles, de beperking van toegang tot registraties en de juiste bewaring ervan. Simuleer daarnaast een ontbrekend document, een onduidelijke uitkomst of een vertraagde controle. De organisatie moet kunnen aantonen dat zij toegang kan blokkeren, de escalatie kan activeren en de bevoegde beslisser kan aanwijzen. De frequentie van de interne ISMS-audit en de escalatiedrempel moeten passen bij het risico en bij de eisen uit de actuele grondslag, niet uitsluitend bij de auditkalender.
Typische systeemafwijkingen ontstaan op de raakvlakken tussen processen. Voorbeelden zijn een niet-aantoonbare grondslag, verschillen tussen de functielijst en de feitelijke bevoegdheden, gemiste onderaannemers, toegang die vóór afronding van de controle is verleend, een ontbrekende bewaartermijn en een niet-gedocumenteerde escalatieroute. Een correct HR-dossier volstaat niet als een externe beheerder na wijziging van de contractscope een actief account heeft behouden of uitgebreidere rechten heeft gekregen zonder nieuwe kwalificatie.
Het bestuur hoort geaggregeerde informatie te ontvangen, niet de inhoud van gegevens over strafrechtelijke veroordelingen. Bruikbare indicatoren zijn het percentage actieve toegangen waarvoor screening vereist is en een actuele beslissing bestaat, het aantal toegangen dat vóór afronding van de screening is verleend, de tijdigheid van herbeoordelingen en het aantal afwijkingen per systeemoorzaak. Deze indicatoren moeten leiden tot besluiten over capaciteit, correcties en escalatie, overeenkomstig de benadering in Proces-KPI’s voor het bestuur ontwikkelen zodat het managementsysteem niet bij tabellen blijft.
Auditgereedheid betekent dat de organisatie niet alleen het bestaan van een procedure kan aantonen, maar ook de proportionaliteit van de reikwijdte, de consistentie van beslissingen en de effectieve werking van het proces. De resultaten van de toets moeten worden ingebracht in de interne ISMS-audit en de directiebeoordeling, inclusief de eigenaar van iedere maatregel, de termijn voor het sluiten van de tekortkoming en een beoordeling van de gevolgen voor actieve toegangen.
Masz pytania? Porozmawiajmy.
Bezpłatna konsultacja – bez zobowiązań.
