Waarom een verouderd beleidsdocument tegen u werkt
Een beleid dat niet overeenkomt met de praktijk, helpt u niet. Het schaadt uw geloofwaardigheid.
Laatst nagekeken: 16 september 2026
De meeste ondernemingen beschikken wel over een of meer beleidsdocumenten. Denk aan een beveiligingsbeleid dat ooit werd opgesteld voor een offerte, een privacybeleid uit de opstartfase of een procedure die een externe adviseur heeft achtergelaten. Wanneer er een vragenlijst binnenkomt, is de eerste reactie daarom vaak: dat hebben wij al.
De vraag is echter niet of het document bestaat, maar of het nog overeenkomt met hoe u vandaag werkt.
Wat er gebeurt bij een beoordeling
Een auditor of de aankoopdienst van uw klant leest uw beleid en controleert vervolgens enkele concrete bepalingen. Staat erin dat toegangsrechten elk kwartaal worden herzien, dan vraagt hij het verslag van de laatste herziening. Staat erin dat meervoudige authenticatie verplicht is, dan vraagt hij om te tonen dat die effectief is ingesteld. Staat erin dat incidenten binnen 24 uur worden gemeld, dan vraagt hij het incidentregister.
Kunt u dat bewijs niet voorleggen, dan ontbreekt er meer dan een document. De beoordelaar stelt dan vast dat uw organisatie haar eigen beleid niet naleeft. Dat weegt zwaarder dan een ontbrekend beleid, omdat het aantoont dat het document niet wordt opgevolgd.
Een veelvoorkomend voorbeeld
Een beleid uit 2022 beschrijft een serveromgeving die intussen is vervangen. Het document bestaat, maar het is niet meer bruikbaar. In een objectieve analyse krijgt het daarom de status "niet aanwezig". Dat lijkt streng, maar het is correct: het document beschrijft een werkwijze die niet meer bestaat.
Het uitgangspunt dat wij hanteren
Voor elke bepaling in een beleid moet bewijs bestaan. Ontbreekt dat bewijs, dan zijn er twee mogelijkheden. U schrapt de bepaling, of u behoudt ze en noteert ze als openstaand punt met een verantwoordelijke en een streefdatum. Een bepaling opnemen waarvan vaststaat dat ze niet wordt nageleefd, doen wij niet.
Daardoor zijn de beleidsdocumenten die wij opstellen doorgaans beknopt. Dat is een bewuste keuze. Een beleid dat te uitgebreid is om te lezen, wordt minder goed nageleefd, en een beleid dat niet wordt nageleefd, werkt tegen u.
Wat u vandaag al kunt doen
Neem uw bestaande beleidsdocumenten erbij en stel bij elke bepaling één vraag: kan ik aantonen dat dit in de praktijk gebeurt? Bepalingen waarvoor u bewijs hebt, houdt u. De overige past u aan zodat ze uw huidige werkwijze beschrijven, of u noteert de datum waarop u ze in orde brengt.
Plan daarna een vast moment om uw beleid te herzien, bijvoorbeeld jaarlijks en telkens wanneer uw systemen of werking grondig veranderen.
Wat wij doen
DataNerds helpt u bij de voorbereiding. Wij brengen in kaart wat u vandaag al hebt, vullen aan wat ontbreekt en bundelen alles in één dossier. Dat dossier kunt u voorleggen aan uw klant of aan een certificatie-instelling. De beoordeling zelf laten wij aan hen over: wij reiken geen certificaten uit en voeren geen CyberFundamentals-verificaties uit.
Wilt u weten hoe zo'n traject verloopt en wat u op het einde in handen hebt?