Welk NCSC-basisprincipe staat centraal?
In 2025 introduceerden het NCSC en het Digital Trust Center een vernieuwde gezamenlijke set van vijf basisprincipes. Bij dit onderwerp staat vooral Basisprincipe 2: Bevorder veilig gedrag centraal.
Het NCSC legt daarbij niet alleen de nadruk op bewustwording. Veilig gedrag ontstaat ook door een veilige meldcultuur, duidelijke processen, training en technische ondersteuning. Medewerkers moeten weten wat er van hen wordt verwacht en waar ze terechtkunnen als iets niet goed voelt of als er een fout is gemaakt.
Dat maakt afspraken een belangrijk onderdeel van digitale weerbaarheid. Een medewerker kan pas veilig handelen als duidelijk is hoe je omgaat met wachtwoorden, gegevens, verdachte berichten, apparaten en incidenten. Een leidinggevende of ICT-partner kan pas goed opvolgen als rollen en verwachtingen vooraf zijn besproken.
Andere NCSC-basisprincipes sluiten hier direct op aan. Updates, toegangsbeheer en voorbereiding op incidenten werken alleen als duidelijk is wie verantwoordelijk is voor uitvoering en controle. Duidelijke afspraken vormen dus de organisatorische verbinding tussen techniek en dagelijks gedrag.
Wat zegt de RKIDV hierover?
De Risicoklassenindeling Digitale Veiligheid, kortweg RKIDV, helpt MKB-organisaties hun digitale risico in te schatten en maatregelen te kiezen die bij hun risicoklasse passen. De publieke RKIDV-maatregelen zijn ingedeeld voor risicoklasse 1 tot en met 4 en sluiten aan op de basisprincipes van het NCSC.
Voor duidelijke afspraken zijn vooral drie organisatorische RKIDV-maatregelen relevant:
- Maatregel 2a: wijs binnen de organisatie een vast contactpersoon aan voor het melden van verdachte situaties. Informeer nieuwe medewerkers hierover en evalueer deze maatregel jaarlijks.
- Maatregel 2b: leg duidelijke afspraken met ICT-toeleveranciers over informatiebeveiliging vast. Controleer dit bij de selectie van een leverancier en bij contractverlenging.
- Maatregel 2c: stimuleer veilig gedrag van medewerkers. De RKIDV noemt een awarenessbriefing bij indiensttreding en elke 6 maanden een awarenessoefening.
Ook bij andere maatregelen komen afspraken terug. Zo noemt de RKIDV afspraken met leveranciers over het installeren van updates en vaste momenten voor het aanpassen van toegangsrechten bij indiensttreding, functiewijziging en uitdiensttreding.
De RKIDV helpt om het basisprincipe concreet te maken. Het is geen garantie dat je organisatie veilig is en niet iedere maatregel pakt voor iedere organisatie hetzelfde uit. Je risicoklasse, bedrijfsvoering en afhankelijkheden bepalen wat passend is.
Waarom is dit belangrijk voor het MKB?
In een MKB-organisatie zijn de lijnen vaak kort. Dat is prettig, maar het kan ook betekenen dat veel zaken informeel geregeld zijn. De ondernemer, een interne medewerker, de externe ICT-partner en verschillende softwareleveranciers doen ieder een deel. Zolang alles goed gaat, lijkt dat werkbaar.
De onduidelijkheid wordt zichtbaar zodra er iets verandert. Een update mislukt, een medewerker krijgt een andere functie, een leverancier ziet een melding of iemand klikt op een verdachte link. Dan wil je niet eerst hoeven uitzoeken wie moet handelen, wie mag beslissen en wie toegang heeft.
Duidelijke afspraken helpen ook om verwachtingen realistisch te houden. Uitbesteden betekent niet automatisch dat iedere beveiligingstaak bij de leverancier ligt. Sommige keuzes blijven bij de organisatie, bijvoorbeeld welke informatie kritisch is, wie toegang nodig heeft en welk risico aanvaardbaar is. De leverancier kan technisch beheren, maar heeft duidelijke kaders en contactpersonen nodig.
Juist voor het MKB hoeft dit geen uitgebreid beleidsdocument te zijn. Een korte, bruikbare werkwijze is vaak waardevoller dan een map die niemand leest.
