Hoe zorg ik dat informatiebeveiliging niet alleen een IT-probleem is?

Informatiebeveiliging is niet alleen een IT-probleem, omdat de grootste risico’s op datalekken en beveiligingsincidenten ontstaan door menselijk gedrag in de hele organisatie. Technische maatregelen zoals firewalls en encryptie bieden geen bescherming tegen medewerkers die zwakke wachtwoorden gebruiken, phishingmails openen of gevoelige informatie onzorgvuldig delen. Echte beveiliging vereist een organisatiebrede aanpak waarbij iedereen, van directie tot werkvloer, zijn verantwoordelijkheid kent en neemt. In dit artikel beantwoorden we de meest gestelde vragen over hoe je informatiebeveiliging verankert in de hele organisatie.

Waarom is informatiebeveiliging een verantwoordelijkheid van de hele organisatie?

Informatiebeveiliging is een verantwoordelijkheid van de hele organisatie omdat data niet alleen binnen de IT-afdeling worden verwerkt. Elke medewerker die werkt met klantgegevens, persoonsgegevens of vertrouwelijke bedrijfsinformatie speelt een directe rol in de bescherming ervan. Een datalek begint zelden bij een technisch systeem, maar vrijwel altijd bij een menselijke handeling.

Denk aan een medewerker die een e-mail met gevoelige informatie naar het verkeerde adres stuurt, een collega die zijn laptop onbeveiligd achterlaat in een openbare ruimte, of iemand die op een phishinglink klikt. Geen enkel technisch systeem kan al deze situaties volledig ondervangen. Informatiebeveiliging werkt alleen als de mensen achter de processen begrijpen wat er op het spel staat.

Voor organisaties in de zorgsector geldt dit nog sterker. Normen zoals NEN 7510 certificering schrijven expliciet voor dat informatiebeveiliging organisatiebreed wordt ingericht en aantoonbaar geborgd. De norm richt zich niet op systemen of applicaties, maar op de organisatie als geheel. Dat is geen toeval: de zwakste schakel in de informatiebeveiliging is bijna altijd menselijk.

Wat zijn de grootste risico’s als medewerkers informatiebeveiliging negeren?

De grootste risico’s als medewerkers informatiebeveiliging negeren zijn datalekken door menselijke fouten, succesvolle phishingaanvallen, ongeautoriseerde toegang tot systemen en schade aan de reputatie van de organisatie. In sectoren waar gevoelige persoonsgegevens worden verwerkt, kunnen deze risico’s ook leiden tot juridische en financiële gevolgen.

Concreet gaat het om situaties als:

• Medewerkers die wachtwoorden delen of hergebruiken op meerdere systemen
• Onbeveiligde overdracht van gevoelige documenten via persoonlijke e-mail of bestandsdeeldiensten
• Het openen van kwaadaardige bijlagen of links in phishingberichten
• Toegangsrechten die niet worden ingetrokken als een medewerker vertrekt
• Onzorgvuldig omgaan met fysieke documenten of apparaten

In de zorg zijn de gevolgen bijzonder ernstig. Persoonlijke gezondheidsinformatie is uiterst gevoelig en valt onder strikte wettelijke bescherming. Een incident kan niet alleen leiden tot een boete van de Autoriteit Persoonsgegevens, maar ook tot verlies van vertrouwen bij patiënten en ketenpartners. Wetgeving zoals de Wabvpz en de NIS2-richtlijn, die naar verwachting in het tweede kwartaal van 2026 als Cyberbeveiligingswet in de Nederlandse wetgeving wordt opgenomen, stellen bovendien steeds hogere eisen aan aantoonbare naleving.

 

 

Hoe maak je informatiebeveiliging begrijpelijk voor niet-technische medewerkers?

Informatiebeveiliging begrijpelijk maken voor niet-technische medewerkers doe je door te vertalen van technische taal naar herkenbare, dagelijkse situaties. Medewerkers hoeven geen IT-expert te zijn om veilig te handelen. Ze moeten begrijpen wat de gevolgen zijn van hun eigen gedrag en wat ze concreet anders kunnen doen.

Effectieve manieren om dit te bereiken zijn:

• Gebruik praktijkvoorbeelden die aansluiten bij het dagelijkse werk van de medewerker, niet bij abstracte technische scenario’s
• Maak het persoonlijk door te laten zien wat een datalek betekent voor de klant, de patiënt of de collega wiens gegevens op straat liggen
• Bied korte, herhaalbare trainingen aan in plaats van eenmalige sessies die snel worden vergeten
• Geef duidelijke gedragsregels in eenvoudige taal, zoals een wachtwoordbeleid of een protocol voor het melden van verdachte e-mails
• Vier successen als een medewerker een phishingpoging herkent en meldt

Bewustwording is geen eenmalige actie, maar een doorlopend proces. Medewerkers informeren over wijzigingen in beleid, rollen verduidelijken en incidentprocedures actualiseren zijn terugkerende stappen die in een goed informatiebeveiligingsmanagementsysteem (ISMS) structureel zijn ingebouwd. Trainingen en bewustwording vormen dan ook een vast onderdeel van normen zoals NEN 7510 en ISO 27001.

Welke rol speelt het management bij een organisatiebrede beveiligingscultuur?

Het management speelt een doorslaggevende rol bij het creëren van een organisatiebrede beveiligingscultuur. Zonder zichtbare betrokkenheid en actieve sturing vanuit de directie blijft informatiebeveiliging hangen als een IT-taak. Wanneer het management het goede voorbeeld geeft en beveiliging als strategisch thema positioneert, werkt dit door in de hele organisatie.

Concreet betekent dit dat het management:

• Informatiebeveiliging op de agenda zet bij strategische besluitvorming
• Voldoende middelen beschikbaar stelt voor beleid, training en implementatie
• Zelf de gedragsregels naleeft die voor alle medewerkers gelden
• Bevindingen uit interne audits en management reviews serieus neemt en opvolgt
• Een cultuur stimuleert waarin medewerkers incidenten durven te melden zonder angst voor negatieve gevolgen

Normen zoals NEN 7510 benadrukken governance en managementverantwoordelijkheid expliciet. De herziene versie NEN 7510:2024 heeft de rol van het management verder versterkt, met specifieke aandacht voor managementtraining als beheersmaatregel. Dit is geen formaliteit: organisaties waar de directie actief betrokken is bij informatiebeveiliging presteren aantoonbaar beter bij audits en incidentrespons.

Hoe helpt ISO 27001 bij het verankeren van informatiebeveiliging in de organisatie?

ISO 27001 helpt bij het verankeren van informatiebeveiliging in de organisatie door een gestructureerd managementsysteem te bieden dat beveiliging omzet van losse maatregelen naar een samenhangend beleid. De norm dwingt organisaties na te denken over risico’s, verantwoordelijkheden, processen en continue verbetering, niet alleen over technische oplossingen.

Het fundament van ISO 27001 is het informatiebeveiligingsmanagementsysteem (ISMS). Dit systeem legt vast:

• Welke informatie de organisatie beschermt en waarom
• Welke risico’s er zijn en hoe die worden behandeld
• Wie verantwoordelijk is voor welke beveiligingsmaatregelen
• Hoe de organisatie omgaat met incidenten en hoe ze daarvan leert
• Hoe beveiliging periodiek wordt getoetst en verbeterd

Voor zorgorganisaties geldt dat NEN 7510 is gebaseerd op dezelfde structuur als ISO 27001, aangevuld met zorgspecifieke eisen. Organisaties die werken volgens NEN 7510 voldoen daarmee al aan een groot deel van de ISO 27001-eisen, en omgekeerd. Wie beide certificaten nastreeft, hoeft niet te vrezen voor dubbele auditlasten: het certificatieschema voorziet hierin.

Het grote voordeel van een norm als ISO 27001 of NEN 7510 is dat informatiebeveiliging niet langer afhankelijk is van de kennis of inzet van één persoon. Het systeem zorgt voor continuïteit, ook bij personeelsverloop of organisatiewijzigingen. Meer weten over de brede aanpak van informatiebeveiliging binnen organisaties? Onze expertisepagina geeft een goed overzicht.

Waar begin je als je informatiebeveiliging organisatiebreed wilt aanpakken?

Je begint met een GAP-analyse: een overzicht van de huidige situatie vergeleken met de eisen van de norm of het gewenste beveiligingsniveau. Zo breng je in kaart waar de grootste hiaten zitten, welke risico’s de hoogste prioriteit hebben en wat er al goed gaat. Zonder dit startpunt is elke vervolgstap gissen.

Een praktische aanpak ziet er als volgt uit:

1. Voer een GAP-analyse uit om gewijzigde of nieuwe eisen te identificeren en prioriteiten te stellen
2. Stel of actualiseer een ISMS op, inclusief beleid, procedures, risicobeoordeling en risicobehandelplan
3. Implementeer beheersmaatregelen en toets deze via interne audits
4. Train en informeer medewerkers over hun rol, de gedragsregels en incidentprocedures
5. Voer een interne audit en management review uit en bespreek bevindingen op directieniveau
6. Plan een externe audit of certificering als aantoonbaarheid een vereiste is

Dit stappenplan geldt zowel voor organisaties die starten met informatiebeveiliging als voor organisaties die al een certificaat hebben en willen overstappen naar een herziene norm. Voor zorgorganisaties met een bestaand NEN 7510-certificaat geldt bijvoorbeeld dat zij uiterlijk 20 februari 2027 moeten zijn overgegaan naar NEN 7510:2024. De eerste stap, de GAP-analyse, moet dan al snel worden gezet.

Belangrijk is ook om realistisch te zijn over de interne capaciteit. Veel organisaties beschikken niet over de kennis of tijd om dit traject volledig zelfstandig te doorlopen. In dat geval is externe ondersteuning geen luxe, maar een slimme investering die het proces versnelt en fouten voorkomt.

Hoe Diks Process Support helpt met organisatiebrede informatiebeveiliging

Wij begeleiden organisaties bij het opzetten, implementeren en borgen van informatiebeveiliging die verder gaat dan de IT-afdeling. Of je nu start met een eerste GAP-analyse of toewerkt naar certificering volgens NEN 7510 of ISO 27001, wij zorgen dat het proces praktisch, behapbaar en duurzaam is.

Wat wij voor je doen:

• Uitvoeren van een GAP-analyse om de huidige situatie in kaart te brengen
• Opzetten of actualiseren van een ISMS dat aansluit bij jouw organisatie
• Begeleiden van het volledige traject van beleid tot certificering
• Verzorgen van bewustwordingstrainingen voor medewerkers op alle niveaus
• Ondersteunen bij interne audits en management reviews
• Interim inzet van een interim security officer bij tijdelijke behoefte aan expertise

We werken niet voor je, maar met je. Dat betekent dat we de kennis overdragen, de organisatie meenemen en zorgen dat beveiliging echt landt in de dagelijkse praktijk. Wil je weten hoe we dit aanpakken voor jouw organisatie? Neem contact op en we denken graag vrijblijvend met je mee.

 

Gerelateerde artikelen

• Hoe beveilig ik medische dossiers tegen onbevoegde toegang?
• Wat doe je als je meedoet aan een Europese aanbesteding?
• Welke training is nodig voor ISO 9001?
• Welke rol speelt management bij SCL succes?
• Wat is het verschil tussen SCL trede 4 en trede 5?
• Wat is het verschil tussen SCL en ISO 45001?
• Wat is vergelijkbaar met ISO 27001?
• Hoe kies je de beste ISO 27001-consultant?
• Welke interim bureaus hebben specialisten voor mijn branche?
• Wat is een geïntegreerd managementsysteem met ISO 27001?