vragenlijst vraagt of we medewerkers screenen voor indiensttreding

Personeelsscreening hoort bij hrm-beveiliging, niet bij toegangsbeheer

De vraag naar screening voor indiensttreding valt onder personeelsbeveiliging, één van de tien maatregelen uit artikel 21 lid 2 NIS2 — met naam genoemd onder punt (g), samen met arbeidsvoorwaarden en disciplinaire maatregelen bij overtredingen. Dat is een ander vakje dan toegangsbeheer: screening gaat over wie je aanneemt, toegangsbeleid gaat over wat iemand mag zien of doen zodra hij binnen is. Vul dus niet automatisch "ja" in bij deze vraag omdat er al een toegangsmatrix ligt — dat is een ander bewijsstuk.

Wat als bewijs telt, hangt af van wat er in de praktijk gebeurt. Een VOG-verplichting (verklaring omtrent het gedrag) voor functies met toegang tot gevoelige systemen is het meest concrete bewijs. Ontbreekt dat, dan telt ook een vaste procedure in het aannameproces: referentiecheck, identiteitsverificatie, en bij ISO 27001-gecertificeerde bedrijven de screeningclausule uit Annex A 6.1 (voorafgaand aan het dienstverband). Zonder ISO-certificaat en zonder VOG-beleid is het antwoord meestal "nee" of "deels" — en dat is prima om zo in te vullen. Verzin geen screeningproces dat er niet is; als de klant hierop doorvraagt, is een eerlijk "nee, wel bij functies X en Y" sterker dan een ja dat bij een audit niet standhoudt.

Waar dit vandaan komt: artikel 21 lid 2 onder g en Annex A 6.1

De tien maatregelen van artikel 21 lid 2 NIS2 noemen personeelsbeveiliging expliciet onder (g), naast toegangsbeheer en het beheer van bedrijfsmiddelen. In de praktijk wordt dit vaak samen getoetst met training in cyberhygiëne, omdat beide onder hetzelfde hrm-beleid vallen. Voor bedrijven met een ISO 27001-certificaat is de bijbehorende beheersmaatregel te vinden in Annex A, onder de clausule over screening voorafgaand aan het dienstverband — vraag dus na of het ISO 27001-certificaat van de onderneming deze clausule dekt, want niet elk certificaat is even breed gescoped. Voor bedrijven die zelf pas na 15 augustus 2026 onder de Cyberbeveiligingswet vallen, is dit nog geen wettelijke plicht, maar klanten vragen er vaak al naar vooruitlopend op de ketenverplichtingen.