November 2026. Het thema Mensen van Annex A (controls 6.1 tot 6.8) wordt in het MKB vaak onderschat, terwijl het veel auditvragen oplevert: wie krijgt toegang, onder welke afspraken, en wat gebeurt er als iemand vertrekt?
Screening vooraf
Control 6.1 vraagt om screening van kandidaten, in verhouding tot de functie en de gegevens waartoe iemand toegang krijgt, en alleen voor zover de wet dat toestaat. Denk aan het controleren van referenties en diploma’s; voor gevoelige functies kan een VOG passend zijn. Leg vast wie wat controleert en bewaar alleen wat nodig is, met oog voor de AVG.
Arbeidsvoorwaarden en vertrouwelijkheid
Neem verantwoordelijkheden voor informatiebeveiliging op in arbeidsovereenkomst of personeelshandboek, inclusief geheimhouding. Laat nieuwe medewerkers het beleid aantoonbaar accepteren. Dat is bewijs voor 6.2 en 6.6.
Onboarding: toegang en training
Koppel het aanvragen van toegang aan een vast proces: de leidinggevende vraagt aan, een eigenaar keurt goed, IT richt in. Plan binnen een vaste termijn een bewustzijnstraining; zie security awareness. Een checklist per rol maakt dit herhaalbaar.
Wijziging van functie
Vergeet de tussenstap niet: wie van afdeling wisselt, behoudt vaak oude rechten. Laat toegang bij elke functiewijziging opnieuw beoordelen; dat voorkomt rechtenophoping.
Offboarding: afsluiten op de laatste dag
Trek accounts, tokens en toegangspassen in op de laatste werkdag, haal apparaten op en herinner de medewerker aan blijvende geheimhouding (control 6.5). Een auditor vraagt vaak om een lijst van recente vertrekkers en toont dan het bewijs dat de toegang is ingetrokken.