Een IT-gebruiksreglement (vaak het IT-charter van het bedrijf genoemd) vertelt iedereen die uw systemen gebruikt wat hij mag doen, wat hij niet mag doen, en wat het bedrijf mag controleren. Acceptable Use Express is een online werkplaats waarmee een Europees mkb-bedrijf er zelf een opstelt in begrijpelijke taal, gekoppeld aan de AVG en aan ISO/IEC 27001, met thuiswerk, persoonlijke apparaten en generatieve AI erin verwerkt. U krijgt een werkconcept op naam van uw bedrijf, om door uw eigen adviseur te laten valideren.
Een kort, leesbaar document dat uw beveiligingsintenties vertaalt naar dagelijkse regels voor mensen
De meeste kleine en middelgrote bedrijven hebben computers, een mailbox per persoon, gedeelde bestanden in de cloud, enkele bedrijfsapplicaties en steeds vaker telefoons en laptops die het kantoor verlaten. Wat vaak ontbreekt is één document dat in woorden die een medewerker begrijpt zegt hoe die middelen mogen worden gebruikt. Dat document is het gebruiksreglement. In Frankrijk heet het meestal charte informatique; elders vindt u "IT-gebruiksbeleid", "computergebruiksbeleid" of "IT-charter". De naam doet er minder toe dan de drie taken.
Gebruikers kunnen zich niet houden aan regels die niemand heeft opgeschreven. Een gebruiksreglement beschrijft het verwachte gedrag voor wachtwoorden, e-mail, internetgebruik, het delen van bestanden, verwisselbare media, het installeren van software, persoonlijk gebruik van bedrijfsmiddelen, reizen en thuiswerk. Het is het deel van uw beveiliging dat zich tot de gebruiker richt, het stuk dat elk bureau bereikt.
Logging, filtering, toegang tot de mailbox tijdens afwezigheid, beheer van apparaten, back-up van werkstations: al deze zaken betreffen persoonsgegevens van medewerkers. Krachtens de Algemene Verordening Gegevensbescherming moeten de betrokkenen worden geïnformeerd over de doeleinden en de voorwaarden van de verwerking (artikel 13). Het gebruiksreglement is een natuurlijke plek om die informatie in één samenhangende tekst te geven, in plaats van verspreid over losse e-mails.
Wanneer een regel wordt overtreden, moet een organisatie kunnen aantonen dat de regel bestond, dat de persoon ervan op de hoogte was, en dat elke controle die de overtreding aan het licht heeft gebracht zelf rechtmatig en proportioneel was. Een beleid dat nooit is gecommuniceerd, of dat toezicht verbergt waarvan het personeel nooit heeft gehoord, biedt u weinig houvast. Hoe een beleid handhaafbaar wordt, hangt af van het nationale arbeidsrecht; daarom blijft deze pagina algemeen en verwijzen wij u voor de laatste stap naar uw adviseur.
De internationale beveiligingsnorm erkent deze rol uitdrukkelijk. ISO/IEC 27001:2022 bevat in bijlage A maatregel 5.10 "Acceptable use of information and other associated assets", die verwacht dat regels voor acceptabel gebruik, en procedures voor het omgaan met informatie en assets, worden vastgesteld, gedocumenteerd en uitgevoerd. Een gebruiksreglement is de meest gangbare manier waarop mkb-bedrijven aan die verwachting voldoen, of zij nu wel of niet certificering nastreven.
Bronnen: Verordening (EU) 2016/679 (AVG), EUR-Lex · ISO/IEC 27001, openbare pagina op iso.org
Dezelfde handvol fouten keert steeds terug. Geen van die fouten vereist een groot budget om op te lossen.
Een beleid dat van internet is gedownload beschrijft de hulpmiddelen van iemand anders, het land van iemand anders en de risico's van iemand anders. Het noemt systemen die u niet gebruikt en zwijgt over die welke u wel gebruikt. Medewerkers merken dat op en stoppen met lezen.
Een document dat in een gedeelde map staat, is niet gecommuniceerd. Als u niet kunt aantonen wie het heeft ontvangen, wanneer, en in welke versie, zal het later moeilijk zijn er op te steunen. In verschillende landen maken de stappen voor informatie of raadpleging van het personeel deel uit van wat de regels toepasselijk maakt.
Logs van webfiltering, logs van de mailgateway, endpointbeheer en tools voor preventie van gegevensverlies houden allemaal medewerkers in de gaten. De AVG vereist transparantie (artikel 5, lid 1, onder a) en informatie aan de betrokkenen (artikel 13). Heimelijk toezicht is op zichzelf al een nalevingsrisico.
Veel reglementen zijn geschreven toen iedereen achter een bureau op kantoor werkte. Ze zeggen niets over thuis-wifi, persoonlijke telefoons die zakelijke e-mail ontvangen, of medewerkers die klantgegevens in een publieke chatbot plakken. In die leemte ontstaan incidenten.
De onderstaande hoofdstukken vormen de ruggengraat van het concept dat de werkplaats oplevert. Elk hoofdstuk wordt aangepast aan uw antwoorden en kan worden ingekort of geschrapt.
Medewerkers, stagiairs, uitzendkrachten, contractanten en iedereen met een account. Welke systemen zijn gedekt: werkstations, mobiele apparaten, e-mail, samenwerkingssuites, bedrijfsapplicaties, netwerken, printers, cloudopslag. Een helder toepassingsgebied voorkomt het klassieke argument "dit gold niet voor mij".
Persoonlijke, niet-overdraagbare accounts; wachtwoordkwaliteit en -opslag; multifactorauthenticatie waar het bedrijf die heeft uitgerold; het scherm vergrendelen bij het verlaten van de werkplek; wat te doen als een wachtwoord mogelijk is blootgesteld.
Verwant: NIS2, art. 21, lid 2, onder j noemt multifactorauthenticatie als een van de maatregelen voor entiteiten die onder de richtlijn vallen.
Professioneel gebruik als regel, redelijk persoonlijk gebruik als het bedrijf dat toestaat, en hoe persoonlijke berichten moeten worden aangeduid. Alertheid op phishing, bijlagen en links, doorstuurregels, automatisch doorsturen naar persoonlijke adressen, verboden sites en inhoud.
Welke informatie vertrouwelijk is, hoe die intern en extern mag worden gedeeld, goedgekeurde tools voor bestandsdeling, printen, clean desk, en de plicht om persoonsgegevens alleen in opdracht van het bedrijf te verwerken.
AVG art. 29 en art. 32, lid 4: personen die onder het gezag van de verwerkingsverantwoordelijke handelen, verwerken persoonsgegevens alleen op diens instructie.
Wie software mag installeren, gebruik van persoonlijke USB-sticks en externe schijven, zorgvuldig omgaan met laptops en telefoons, melden van verlies of diefstal, en het inleveren van apparatuur en het intrekken van toegang wanneer iemand uit dienst gaat (ISO/IEC 27001:2022 bijlage A heeft ook een maatregel over de teruggave van bedrijfsmiddelen, 5.11).
Werken vanuit huis, vanaf de locatie van een klant of onderweg: vertrouwde netwerken, VPN waar vereist, bescherming tegen meekijken, fysieke bescherming van apparatuur, videobellen op openbare plaatsen. ISO/IEC 27001:2022 bijlage A heeft een specifieke maatregel, 6.7 "Remote working".
Of persoonlijke telefoons, tablets of computers toegang tot bedrijfsgegevens mogen krijgen, onder welke voorwaarden (apparaatvergrendeling, updates, een afzonderlijk werkprofiel, alleen bedrijfsgegevens op afstand wissen), en wat het bedrijf wel en niet op een persoonlijk apparaat mag zien.
Welke AI-tools zijn goedgekeurd, welke gegevens er nooit in mogen worden ingevoerd (persoonsgegevens, klantgeheimen, broncode, inloggegevens), menselijke controle van de output, en hoe een nieuwe tool kan worden aangevraagd. Een beleid dat alles eenvoudigweg verbiedt, drijft het gebruik meestal in het verborgene.
AI-verordening, Verordening (EU) 2024/1689, art. 4 over AI-geletterdheid van personeel.
Wat wordt gelogd, gefilterd of gecontroleerd, voor welk doel, door wie, hoelang logs worden bewaard, en de rechten van de betrokkenen. Dit hoofdstuk is waar de transparantie- en informatieplichten van de AVG worden ingevuld.
AVG art. 5 en art. 13.
Hoe en bij wie een verdachte e-mail, een verloren apparaat of een fout moet worden gemeld, zonder bang te hoeven zijn voor verwijten bij een tijdige melding. Verwijzing naar het disciplinaire kader dat in uw organisatie geldt (ISO/IEC 27001:2022 bijlage A, maatregel 6.4 "Disciplinary process"), en de datum en versie van het beleid.
De juridische route verschilt per lidstaat. Wat niet verschilt is de logica: rechtmatig, proportioneel, vooraf bekend.
Een gebruiksreglement beschrijft bijna altijd de verwerking van persoonsgegevens van medewerkers: accountlogs, verbindingsgegevens, filtering, apparaatinventarissen, soms toegang tot de mailbox. Drie artikelen van de AVG vormen het kader voor die verwerking in de hele Europese Unie.
Artikel 5, beginselen. Persoonsgegevens moeten rechtmatig, behoorlijk en transparant worden verwerkt; verzameld voor welbepaalde, uitdrukkelijke en gerechtvaardigde doeleinden; toereikend, relevant en beperkt tot wat noodzakelijk is; niet langer bewaard dan nodig; en met passende beveiliging verwerkt. Krachtens artikel 5, lid 2, moet de verwerkingsverantwoordelijke kunnen aantonen dat aan deze beginselen wordt voldaan (verantwoordingsplicht). Voor een gebruiksreglement betekent dit dat elke beschreven controle een vastgesteld doel en een redelijke bewaartermijn moet hebben, en dat u kunt laten zien waarom ze proportioneel is.
Artikel 13, te verstrekken informatie. Wanneer gegevens bij de betrokkene worden verzameld, moet de verwerkingsverantwoordelijke onder meer zijn identiteit en contactgegevens verstrekken, de contactgegevens van de functionaris voor gegevensbescherming indien aanwezig, de doeleinden en de rechtsgrond van de verwerking, de gerechtvaardigde belangen wanneer dat de grondslag is, de ontvangers, de bewaartermijn en de rechten van de betrokkene. Het gebruiksreglement, of een daaraan gehechte informatiekennisgeving, is een praktisch middel om die informatie te geven.
Artikel 88, verwerking in het kader van de arbeidsrelatie. De AVG staat lidstaten toe om bij wet of via collectieve overeenkomsten specifiekere regels vast te stellen voor de verwerking van persoonsgegevens van werknemers in de arbeidscontext. Artikel 88, lid 2, vereist dat zulke regels passende en specifieke maatregelen bevatten ter bescherming van de menselijke waardigheid, de gerechtvaardigde belangen en de grondrechten van de betrokkenen, met bijzondere aandacht voor de transparantie van de verwerking, doorgiften binnen een concern en bewakingssystemen op de werkplek. In de praktijk is dit de reden waarom het antwoord op de vraag "wat mogen we controleren, en hoe?" deels afhangt van het land waarin u actief bent.
In de hele EU vestigt Richtlijn 2002/14/EG een algemeen kader voor het informeren en raadplegen van werknemers in ondernemingen boven drempels die elke lidstaat kiest binnen de grenzen van de richtlijn. Nationaal recht en collectieve overeenkomsten bepalen vervolgens of een ondernemingsraad, een vertegenwoordigend orgaan van het personeel of een vakbond moet worden geïnformeerd of geraadpleegd voordat regels over IT-gebruik of toezicht op de werkplek worden ingevoerd, en in welke vorm. In sommige landen wordt een gebruiksreglement aan het arbeidsreglement gehecht en volgt het dezelfde procedure; in andere maakt het deel uit van de arbeidsovereenkomst, een collectieve overeenkomst of een afzonderlijk beleid dat waarvan elke gebruiker de kennisneming bevestigt.
Neem Frankrijk als één voorbeeld uit vele: het Franse Arbeidswetboek (Code du travail) bepaalt dat de ondernemingsraad (CSE) vóór de invoering in het bedrijf wordt geïnformeerd en geraadpleegd over de middelen of technieken die toezicht op de activiteit van werknemers mogelijk maken, en dat geen informatie over een werknemer persoonlijk mag worden verzameld met een middel dat niet eerst ter kennis van de werknemer is gebracht. De Franse toezichthouder voor gegevensbescherming, de CNIL, beveelt in haar gids voor de beveiliging van persoonsgegevens aan dat een bedrijf een IT-charter opstelt en er bindende werking aan geeft, bijvoorbeeld door het aan het arbeidsreglement te hechten. Andere landen kennen eigen equivalenten; daarom vraagt de werkplaats waar uw personeel werkt en markeert zij de punten die met uw adviseur moeten worden gecontroleerd.
Welke nationale route u ook volgt, bewaar bewijs: de versie en datum van het beleid, de datum waarop het is gecommuniceerd, op welke manier (e-mail, intranet, onboardingpakket, handtekening), en wie er kennis van heeft genomen. Communiceer opnieuw wanneer het beleid verandert. ISO/IEC 27001:2022 bijlage A beschouwt dit als onderdeel van de personele maatregelen, naast arbeidsvoorwaarden (6.2) en bewustwording, opleiding en training op het gebied van informatiebeveiliging (6.3).
Belangrijk. Deze sectie is algemene informatie over Europese en nationale teksten. Zij is geen juridisch advies en vervangt niet de analyse van een arbeidsrechtadvocaat, een functionaris voor gegevensbescherming of uw HR-adviseur voor uw specifieke situatie, land en collectieve overeenkomsten.
Bronnen: AVG, art. 5, 13 en 88 (EUR-Lex) · Richtlijn 2002/14/EG (EUR-Lex) · Frans Arbeidswetboek (Légifrance) · CNIL, gids voor de beveiliging van persoonsgegevens · ISO/IEC 27001 (iso.org)
Het gebruiksreglement is op zichzelf geen beveiligingsbeleid. Het is het deel ervan dat tot de gebruikers spreekt.
Het informatiebeveiligingsbeleid is geschreven voor het management en de IT: het stelt doelstellingen, rollen, risicobehandeling en de maatregelen vast waartoe het bedrijf zich verbindt. Het gebruiksreglement vertaalt de gebruikersgerichte onderdelen daarvan naar concreet gedrag. ISO/IEC 27001:2022 bijlage A scheidt beide: maatregel 5.1 "Policies for information security" en maatregel 5.10 "Acceptable use of information and other associated assets". De twee documenten moeten dezelfde terminologie, dezelfde classificatie van informatie en dezelfde contactpersonen gebruiken, zodat een medewerker nooit tegenstrijdige instructies krijgt.
Zoekt u het beveiligingsbeleid zelf? Zie dan onze zusterpagina pssi-express.eu.
Thuiswerk brengt bedrijfsgegevens naar thuisnetwerken, keukentafels en treinstoelen. Het gebruiksreglement is de plek waar u de minimale verwachtingen vastlegt: gebruik de verstrekte bedrijfsapparatuur, houd die up-to-date, verbind via de beveiligde toegang van het bedrijf wanneer dat vereist is, print niet op openbare plekken, bescherm schermen en gesprekken, en meld verlies onmiddellijk. Heeft u ook een afzonderlijke telewerkovereenkomst of -beleid, dan moet het gebruiksreglement daarnaar verwijzen in plaats van het te herhalen. ISO/IEC 27001:2022 bijlage A, maatregel 6.7 "Remote working", behandelt de beveiligingskant.
Toestaan dat persoonlijke telefoons zakelijke e-mail ontvangen is handig en gangbaar. Het roept echter twee vragen op die het beleid moet beantwoorden. Wat eist het bedrijf van het apparaat (schermvergrendeling, ondersteund besturingssysteem, een afzonderlijk werkprofiel of container)? En wat mag het bedrijf zien of wissen? Beheertools voor apparaten kunnen zo worden ingesteld dat ze alleen de bedrijfsgegevens beheren; het beleid moet dat zeggen, en moet zeggen wat er met bedrijfsgegevens gebeurt wanneer de persoon vertrekt. ISO/IEC 27001:2022 bijlage A, maatregel 8.1 "User endpoint devices", behandelt de technische kant.
Publieke AI-assistenten kunnen nuttig zijn, en medewerkers gebruiken ze vaak al. Het risico zit in de ingevoerde gegevens en in output die zonder controle wordt gebruikt. Een kort AI-hoofdstuk somt doorgaans de goedgekeurde tools op, verbiedt het invoeren van persoonsgegevens, vertrouwelijke informatie of inloggegevens in niet-goedgekeurde diensten, eist menselijke controle vóór hergebruik, en legt uit hoe een nieuwe tool kan worden aangevraagd. Wanneer een externe AI-dienst persoonsgegevens namens u verwerkt, gelden de AVG-regels voor verwerkers (artikel 28) en voor doorgiften buiten de EU (hoofdstuk V). Artikel 4 van de AI-verordening, van toepassing sinds 2 februari 2025, vraagt aanbieders en gebruikers van AI-systemen om naar beste vermogen te zorgen voor een voldoende niveau van AI-geletterdheid van hun personeel (controleer de actuele geconsolideerde tekst, want wijzigingen van dit artikel zijn voorgesteld); een AI-hoofdstuk in het gebruiksreglement, plus een korte bewustwordingssessie, is een redelijke bouwsteen.
Verordening (EU) 2024/1689 (AI-verordening) · AVG, art. 28 en hoofdstuk V
Voor essentiële en belangrijke entiteiten onder de NIS2-richtlijn omvatten de maatregelen voor cyberbeveiligingsrisicobeheer van artikel 21 basispraktijken voor cyberhygiëne en cyberbeveiligingsopleiding (21, lid 2, onder g), en personeelsbeveiliging, toegangsbeleid en beheer van activa (21, lid 2, onder i). Een gebruiksreglement maakt u niet NIS2-conform, maar het is een van de documenten die die maatregelen ondersteunen.
Een beleid dat wordt getekend en vergeten, verandert niets. Het beleid en het bewustwordingsprogramma moeten samenwerken: het beleid geeft de regel, korte sessies leggen uit waarom. Waar een functionaris voor gegevensbescherming bestaat, noemt de AVG de bewustmaking en training van personeel als een van diens taken (artikel 39, lid 1, onder b). Nationale agentschappen publiceren gratis materiaal dat u kunt hergebruiken, bijvoorbeeld ENISA op EU-niveau en, in Frankrijk, ANSSI en cybermalveillance.gouv.fr.
U houdt van begin tot eind de regie. Een menselijke consultant is een optie, nooit een vereiste.
Een korte vragenlijst over uw organisatie: waar uw personeel werkt, welke tools zij gebruiken, of persoonlijke apparaten en thuiswerk zijn toegestaan, of u AI-assistenten gebruikt, of u vertegenwoordigers van het personeel heeft, of u al een beveiligingsbeleid heeft. Zij laat zien welke hoofdstukken u nodig heeft en welke punten lokale juridische validatie vereisen.
U beantwoordt begeleide vragen in uw eigen woorden, hoofdstuk voor hoofdstuk: wat is toegestaan, wat niet, wat het bedrijf controleert en waarom, hoelang logs worden bewaard, wie te contacteren. Elke vraag komt met een korte uitleg en, waar relevant, een link naar de officiële bron. U kunt opslaan, later terugkomen en een collega erbij betrekken.
Het beleid wordt automatisch gegenereerd uit uw antwoorden, op naam van uw bedrijf, met een afzonderlijke informatiekennisgeving over toezicht en een formulier voor kennisneming. Het is een werkconcept: laat het nakijken door uw eigen adviseur (arbeidsrechtadvocaat, functionaris voor gegevensbescherming, HR) voordat u het communiceert, raadpleeg vertegenwoordigers waar vereist, en stel het vast.
Als u wilt dat iemand uw antwoorden met u doorneemt, het concept aanpast aan een specifieke context, of de presentatie aan het personeel of hun vertegenwoordigers voorbereidt, kunt u ondersteuning vragen bij een partnerconsultant. Dit is optioneel en los van de zelfbedieningstool.
Werkconcept, geen juridisch advies. Het gegenereerde document is een concept op basis van uw eigen antwoorden en van openbare bronnen. Het vormt geen juridisch advies. De geldigheid in uw land en de procedure om het op uw personeel van toepassing te maken, moeten door een gekwalificeerde adviseur worden gecontroleerd.
Documenten die u kunt bewerken, communiceren en als bewijs bewaren
Het hoofddocument, in begrijpelijke taal, opgebouwd uit uw antwoorden.
Een afzonderlijke kennisgeving, opgebouwd rond artikel 13 AVG.
Wat u nodig heeft om het beleid te communiceren en een spoor te bewaren.
Waar elk hoofdstuk aansluit op openbare teksten.
Een korte, zelfstandige bijlage die u vaker kunt bijwerken dan het beleid.
Uw document blijft van u, in formaten die u kunt wijzigen.
Wij citeren alleen teksten waarnaar we kunnen linken. Waar iets van het nationale recht afhangt, zegt het concept dat, in plaats van te gokken.
Artikel 5 (beginselen en verantwoordingsplicht), artikel 13 (informatie aan de betrokkenen), artikel 88 (verwerking in de arbeidscontext), en, waar relevant, artikel 28 (verwerkers), artikel 32 (beveiliging van de verwerking) en artikel 39 (taken van de functionaris voor gegevensbescherming).
Maatregel 5.10 "Acceptable use of information and other associated assets", met de verwante maatregelen 5.1 (beleid voor informatiebeveiliging), 5.11 (teruggave van bedrijfsmiddelen), 6.2 (arbeidsvoorwaarden), 6.3 (bewustwording, opleiding en training), 6.4 (disciplinair proces), 6.7 (werken op afstand) en 8.1 (apparaten van eindgebruikers). De norm wordt verkocht door ISO; wij citeren alleen de titels van de maatregelen.
Alleen voor entiteiten in het toepassingsgebied: artikel 21, lid 2, onder g) basispraktijken voor cyberhygiëne en cyberbeveiligingsopleiding, artikel 21, lid 2, onder i) personeelsbeveiliging, toegangsbeleid en beheer van activa, artikel 21, lid 2, onder j) multifactorauthenticatie. Nationale omzettingswetten zijn van toepassing.
Artikel 4 over AI-geletterdheid, van toepassing sinds 2 februari 2025 op aanbieders en gebruikers van AI-systemen (controleer de actuele geconsolideerde tekst voordat u erop vertrouwt). Relevant zodra uw personeel AI-systemen in het werk gebruikt.
Wat elke optie bevat. De beschikbaarheid wordt op deze pagina aangekondigd.
Om vóór de start te weten wat u nodig heeft
Om zelf een conceptbeleid op te stellen
Om menselijke controle aan het zelfbedieningsconcept toe te voegen
Bij elke optie is het document een werkconcept dat door uw eigen adviseur moet worden gevalideerd. Het vormt geen juridisch advies.
Korte antwoorden. Waar een tekst wordt geciteerd, leidt de link naar de officiële bron.
Elke regelgevende of normatieve uitspraak hierboven verwijst naar een van deze bronnen.
Deze pagina biedt algemene informatie. Zij vormt geen juridisch advies.
De selfservice-werkplaats wordt voorbereid en opent binnenkort op deze pagina.
Vragen intussen: contact@syaga.eu