wij hebben geen formeel securitybeleid mag ik toch ja antwoorden op de vragenlijst

Nee, niet zonder document dat het beleid toont

Nee, "ja" invullen kan hier niet, ook niet als de praktijk grotendeels op orde is. De vraag naar securitybeleid vraagt niet of jullie veilig werken, maar of dat vastligt: een document met wie waarvoor verantwoordelijk is, welke maatregelen gelden en hoe vaak dat wordt herzien. Zonder zo'n stuk is er niets om bij "ja" te tonen als de klant doorvraagt of een auditor het opvraagt. Supplia stelt geen ja voor als het ketendossier geen bronbestand heeft — en dat geldt hier onverkort, ook al is de vraag zelf voor een ervaren invuller herkenbaar.

Wat meestal wél kan: "ja, informeel" of "nee, in ontwikkeling" met een korte toelichting, plus verwijzing naar wat er feitelijk staat — een toegangsbeleid, een incidentprocedure, een leverancierscontract met beveiligingseisen. Veel klanten waarderen die eerlijkheid meer dan een "ja" dat bij verificatie niet standhoudt. Is er wel iets vastgelegd maar niet één centraal document, dan is het vaak sterker om te verwijzen naar de losse onderdelen: het toegangsbeleid en beheer van bedrijfsmiddelen, de procedure voor beveiligingsincidenten, en het beleid rond kwetsbaarheden. Samen vormen die vaak al de kern van wat de vraag eigenlijk bedoelt, ook zonder dat het "securitybeleid" heet.

Waar dit uit de tien maatregelen volgt

Beleid voor risicoanalyse en informatiebeveiliging is de eerste van de tien maatregelen in artikel 21 lid 2 van de NIS2-richtlijn (Richtlijn (EU) 2022/2555) — zie ook wat een klant bedoelt met risicoanalyse. Wie onder de Cyberbeveiligingswet valt, moet dit kunnen aantonen zodra die wet in werking treedt. ISO/IEC 27001 vraagt in Annex A eveneens vastgelegd beleid als afzonderlijke beheersmaatregel, los van de vraag of de onderneming zelf gecertificeerd is.