NIS2 personeelsscreening: welk personeel screen je en hoe?

Waarom personeelsbeveiliging onderdeel is van NIS2

NIS2 behandelt mensen als onderdeel van je aanvalsoppervlak. Eén beheerder met toegang tot productie kan meer schade aanrichten dan de meeste externe aanvallers ooit de kans krijgen. Daarom noemt artikel 21, lid 2, onder i van de NIS2-richtlijn beveiliging van personeel (human resources security) naast toegangsbeheer en assetbeheer als verplichte maatregel voor risicobeheer.

Voor veel techbedrijven maakt Uitvoeringsverordening (EU) 2024/2690 van de Commissie van die ene regel concrete verplichtingen. Punt 10.2 van de bijlage verplicht je te bepalen voor welke functies een achtergrondcontrole nodig is en die controle af te ronden voordat iemand in die functie begint.

Deze gids over NIS2 en personeelsscreening is bedoeld voor HR-, security- en compliancemanagers bij Europese techbedrijven die onder NIS2 vallen. Hij behandelt welk personeel je screent, wat de verordening precies zegt, wanneer je opnieuw screent en welk bewijs een auditor vraagt.

Wat de wet vereist: artikel 21 en punt 10.2 van de bijlage

De richtlijn bepaalt het principe; de uitvoeringsverordening werkt de details uit. Verordening 2024/2690 is rechtstreeks van toepassing op elf soorten digitale aanbieders: DNS-dienstverleners, registers voor topniveaudomeinnamen (TLD), cloudcomputingdienstverleners, datacenterdienstverleners, contentleveringsnetwerken (CDN's), managed service providers (MSP's), managed security service providers (MSSP's), onlinemarktplaatsen, onlinezoekmachines, platforms voor socialenetwerkdiensten en verleners van vertrouwensdiensten. Ben je een van deze aanbieders, dan is de bijlage in elk EU-land bindend voor je.

Val je wel onder NIS2 maar sta je niet op die lijst, dan bepaalt de nationale wet de details. In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet (Cbw); controleer de actuele stand van het wetgevingsproces voordat je ervan uitgaat dat de wet al geldt. Ook dan is de bijlage de meest concrete Europese tekst over personeelsbeveiliging, en toezichthouders en auditors gebruiken haar als maatstaf.

Dit zegt punt 10.2, in gewone taal:

• Punt 10.2.1 verplicht je de achtergrond te verifiëren van medewerkers en, waar van toepassing, van directe leveranciers en dienstverleners, voor zover haalbaar, als hun functie, verantwoordelijkheden en bevoegdheden dat vereisen. In de praktijk is screening risicogebaseerd in plaats van universeel, en reikt ze tot ingehuurde krachten.
• Punt 10.2.2, onder a, verplicht criteria voor welke functies, verantwoordelijkheden en bevoegdheden alleen mogen worden vervuld door iemand van wie de achtergrond is geverifieerd. In de praktijk heb je een schriftelijke rolmatrix nodig.
• Punt 10.2.2, onder b, verplicht dat de verificatie is afgerond voordat de persoon in die functie begint. Ze moet voldoen aan toepasselijk recht en ethiek en evenredig zijn aan de bedrijfsbehoeften, de classificatie van assets, de systemen waartoe toegang wordt verleend en het ingeschatte risico. In de praktijk: geen toegang voordat de check klaar is, en de diepgang van de check volgt het risico.
• Punt 10.2.3 verplicht je het beleid op gezette tijden te beoordelen en waar nodig bij te werken. In de praktijk zet je een herzieningsdatum op het beleid en houd je je eraan.

Drie aangrenzende punten zijn ook van belang. Punt 10.1.2, onder d, vraagt om wervingsmechanismen zoals referentiechecks, screening, validatie van certificeringen of schriftelijke toetsen. Punt 10.1.3 verplicht je de toewijzing van rollen minstens één keer per jaar te beoordelen. Punt 5.1.4, onder c, verplicht dat contracten met leveranciers waar passend eisen bevatten voor achtergrondverificatie van het personeel van de leverancier.

De overwegingen van de verordening geven voorbeelden van wat verificatie kan inhouden: controles van iemands strafblad of eerdere beroepsmatige taken, al naargelang de functie. Nergens in de tekst staat dat voor iedereen een strafbladcontrole vereist is.

Welke functies screen je?

Screen elke functie die je beveiligingsmaatregelen kan wijzigen, omzeilen of doorzien. De verordening laat de criteria aan jou over, maar koppelt ze aan twee dingen die je al zou moeten hebben: je classificatie van assets (punt 12.1) en je register van toegangsrechten (punt 11.2). Een functie die bij je hoogst geclassificeerde assets kan of bevoorrechte toegang heeft, hoort in een gescreende categorie.

Vier vragen sorteren de meeste functies snel:

1. Heeft de functie bevoorrechte of beheertoegang tot productiesystemen, cloudconsoles of identity providers?
2. Kan de functie klantgegevens op grote schaal inzien of exporteren?
3. Kan de functie code, configuratie of beveiligingstools wijzigen die in productie draaien?
4. Heeft de functie bevoegdheid over beveiligingsbeslissingen, risicoaanvaarding of grote betalingen?

Een ja op een van de vragen betekent dat de functie een vastgelegd screeningspakket nodig heeft. De niveaus hieronder zijn een startpunt voor een gemiddeld software- of cloudbedrijf. Pas ze aan op je eigen systemen.

• Niveau 1: bevoorrechte toegang. Cloud- en systeembeheerders, SRE- en DevOps-engineers met toegang tot productie, IAM-beheerders, databasebeheerders, security engineers en SOC-analisten. Deze functies kunnen beheersmaatregelen uitschakelen of bij alle data komen. Voorgestelde checks: identiteit, recht om te werken, arbeidsverleden, opleiding en certificeringen, referenties en een Verklaring Omtrent het Gedrag (VOG) waar de nationale wet dat toestaat.
• Niveau 2: gevoelige toegang. Ontwikkelaars met merge-rechten naar productie, supportengineers die klantgegevens zien, data-engineers en incidentresponders. Deze functies kunnen het product wijzigen of persoonsgegevens inzien. Voorgestelde checks: identiteit, recht om te werken, arbeidsverleden, certificeringen en referenties, plus een VOG waar dat rechtmatig en gerechtvaardigd is.
• Niveau 3: bestuursorgaan en sleutelbeslissers. Bestuurders, CEO, CTO, CFO en CISO. Artikel 20 van de NIS2-richtlijn maakt hen verantwoordelijk, en zij aanvaarden risico namens het bedrijf. Voorgestelde checks: identiteit, arbeidsverleden, bestuurdersfuncties en insolventiechecks, adverse media en een VOG waar dat rechtmatig is.
• Niveau 4: overig personeel. Medewerkers in sales, marketing, finance en operations zonder bevoorrechte toegang. Hiervoor geldt de standaard zorgvuldigheid bij werving onder punt 10.1.2, onder d. Voorgestelde checks: identiteit, recht om te werken en referenties.
• Leveranciers en freelancers. Ingehuurde ontwikkelaars en MSP- of offshore-medewerkers met toegang tot je systemen, gedekt door de punten 10.2.1 en 5.1.4, onder c. Pas hetzelfde pakket toe als bij het niveau van de functie die zij vervullen, via een contractclausule of door ze zelf te screenen.

Leg het resultaat vast in een rolmatrix en laat die door het management goedkeuren. Dat document is je bewijs voor punt 10.2.2, onder a.

Rechtmatig screenen

NIS2 zegt dat je moet screenen; de AVG en het nationale arbeidsrecht bepalen hoe ver je mag gaan. Punt 10.2.2, onder b, bouwt dit in: de check moet voldoen aan toepasselijke wet- en regelgeving en ethiek. Een check die de privacywetgeving schendt, geldt niet als naleving.

De belangrijkste wettelijke grenzen:

• Strafrechtelijke gegevens. Op grond van artikel 10 AVG mag je gegevens over strafrechtelijke veroordelingen alleen verwerken als Unierecht of nationaal recht dat toestaat. Veel landen laten dit lopen via een officieel bewijs, zoals de Nederlandse VOG (Verklaring Omtrent het Gedrag) of het Duitse Führungszeugnis, in plaats van directe checks.
• Evenredigheid. Verzamel alleen wat de functie rechtvaardigt. Een salesmedewerker hoeft niet dezelfde checks te doorlopen als een cloudbeheerder.
• Transparantie. Vertel kandidaten wat je checkt, waarom en hoe lang je de resultaten bewaart.
• Ondernemingsraden. In sommige landen, waaronder Nederland en Duitsland, kan voor het invoeren of wijzigen van een screeningsbeleid betrokkenheid van de ondernemingsraad nodig zijn.
• DPIA. Systematische screening van personeel vraagt vaak om een gegevensbeschermingseffectbeoordeling (DPIA) onder artikel 35 AVG.

Een werkbaar proces ziet er zo uit:

1. Koppel elke functie aan een niveau met behulp van je rolmatrix.
2. Bepaal het checkpakket per niveau en per land van tewerkstelling.
3. Informeer de kandidaat en verzamel de toestemming of documenten die het land vereist.
4. Voer de checks uit en leg de uitkomst en de beslissing vast.
5. Verleen pas toegang als de check is afgerond en leg de datum vast.
6. Verwijder of archiveer de resultaten volgens je bewaartermijnschema.

Stap 5 is de stap die auditors het scherpst toetsen, omdat die de kern van punt 10.2.2, onder b, vormt.

Herscreening: wanneer check je opnieuw?

De verordening noemt geen vast herscreeningsinterval, maar er zijn drie momenten waarop je wel opnieuw moet kijken. Ten eerste moet de check zijn afgerond voordat iemand een gescreende functie begint, dus een interne overstap of promotie naar niveau 1 of 2 vraagt om een nieuwe check. Ten tweede verplicht punt 10.1.3 tot een beoordeling van de roltoewijzingen minstens één keer per jaar. Ten derde verplicht punt 10.2.3 het screeningsbeleid zelf op gezette tijden te beoordelen.

De jaarlijkse rolbeoordeling is het natuurlijke moment om mensen te vinden van wie de toegang is gegroeid sinds de laatste screening. Combineer die met je beoordeling van toegangsrechten onder punt 11.2.3, zodat beide dezelfde lijst met personen gebruiken.

Gebeurtenissen die je in je beleid kunt opnemen als aanleiding:

• Een medewerker stapt over naar een hoger niveau of krijgt bevoorrechte toegang.
• Een beveiligingsincident of beleidsschending betreft de medewerker.
• Een leverancierscontract wordt verlengd of een leverancier wisselt het personeel dat aan jou is toegewezen.
• Een medewerker komt terug na een lange afwezigheid.
• De nationale wet wijzigt wat je mag of moet controleren.

Voor periodieke herscreening gebruiken veel organisaties een schema zoals hieronder. Dit is gangbare praktijk, geen wettelijke eis; kies intervallen die je risicobeoordeling kan onderbouwen.

• Niveau 1, bevoorrechte toegang: elke 2 tot 3 jaar
• Niveau 2, gevoelige toegang: elke 3 tot 5 jaar
• Niveau 3, bestuursorgaan: bij benoeming en elke 3 jaar
• Niveau 4, overig personeel: alleen bij aanleidingen

Auditbewijs: wat bewaar je?

Een toezichthouder of auditor accepteert geen mondelinge verzekering; die vraagt om documenten en test daarna een steekproef. Houd het volgende gereed:

• Een rolmatrix met screeningsniveaus, goedgekeurd door het management. Dit bewijst dat er criteria bestaan voor welke functies verificatie nodig hebben (punt 10.2.2, onder a).
• Een screeningsbeleid met versiegeschiedenis en herzieningsdata. Dit bewijst dat het beleid op gezette tijden wordt beoordeeld (punt 10.2.3).
• Een dossier per persoon met de datum waarop de screening is afgerond en de datum van toegangsverlening. Dit bewijst dat de checks hebben plaatsgevonden voordat de persoon de functie begon (punt 10.2.2, onder b).
• Een beoordeling van de rechtsgrond, een DPIA en een bewaartermijnschema. Dit bewijst dat screening recht en ethiek respecteert (punt 10.2.2, onder b).
• Leverancierscontracten met screeningsclausules, plus verklaringen van leveranciers. Dit bewijst dat personeel van leveranciers en ingehuurde krachten gedekt is (punten 10.2.1 en 5.1.4, onder c).
• Een vastlegging van de jaarlijkse beoordeling van roltoewijzingen. Dit bewijst dat roltoewijzingen minstens één keer per jaar worden beoordeeld (punt 10.1.3).
• Een uitzonderingenlogboek met risicoaanvaarding door het management. Dit bewijst dat elke leemte een bewuste, goedgekeurde beslissing is (punt 2.1.1).

Reken op een steekproef. Een typisch voorbeeld: neem tien recente medewerkers met bevoorrechte toegang en vergelijk de datum waarop elke check werd afgesloten met de datum waarop elk account is aangemaakt. Elk account dat eerder is aangemaakt, is een bevinding. Je kunt deze test elk kwartaal zelf uitvoeren door je screeningsdossiers te koppelen aan het logboek van accountaanmaak van je identity provider.

NIS2 en ISO 27001: hergebruik wat je hebt

Heb je een ISO 27001-certificering, dan is het meeste voorwerk al gedaan. Beheersmaatregel 6.1 (Screening) in bijlage A van ISO/IEC 27001:2022 dekt achtergrondchecks voor indiensttreding en doorlopend, en sluit rechtstreeks aan op punt 10.2 van de bijlage bij de verordening.

De leemtes zitten meestal op drie plekken:

• Expliciete functiecriteria. ISO laat je screening in algemene termen beschrijven; punt 10.2.2, onder a, verwacht een lijst van functies die alleen na verificatie mogen worden vervuld.
• Timing. Punt 10.2.2, onder b, is strikt: de check is afgerond voordat de persoon de functie begint, ook bij interne overstappen.
• Leveranciers. Punt 5.1.4, onder c, verwacht screeningseisen in leverancierscontracten, niet alleen in je eigen HR-proces.

Dicht die drie leemtes en één screeningsproces kan zowel je ISO-audit als je NIS2-toezichthouder bedienen.

Veelgestelde vragen

• Vereist NIS2 strafbladchecks?

Niet voor iedereen. De overwegingen van de verordening noemen strafbladchecks als één voorbeeld van verificatie, waar dat past bij de functie. Of je er een mag opvragen, hangt af van het nationale recht.

• Is punt 10.2 van de bijlage bindend voor mijn bedrijf?

Het is bindend als je een van de elf soorten digitale aanbieders bent die onder Verordening 2024/2690 vallen, zoals een cloudaanbieder of MSP. Voor andere NIS2-entiteiten geldt het nationale recht en dient de bijlage als maatstaf.

• Moeten we personeel screenen dat al in dienst is?

De verordening kent geen overgangsregel voor bestaand personeel. Een verdedigbare aanpak is om de huidige functiehouders op niveau 1 en niveau 3 volgens een vast schema te screenen en dat plan te documenteren.

• Tellen freelancers en personeel van leveranciers mee?

Ja, waar van toepassing. Punt 10.2.1 dekt directe leveranciers en dienstverleners, en punt 5.1.4, onder c, vraagt je screeningseisen in hun contracten op te nemen.

• Hoe vaak moeten we herscreenen?

De wet noemt geen interval. Screen opnieuw bij functiewijzigingen en andere aanleidingen, en kies periodieke intervallen die je risicobeoordeling onderbouwt.

Screenen voor NIS2 met Pescheck

Pescheck voert pre-employment en in-employment screening in meerdere landen uit vanaf één platform, met resultaten en data vastgelegd voor je audittrail. Lees hoe we technologiebedrijven ondersteunen bij screening voor NIS2 en ISO 27001, of boek een demo om je rolgebaseerde screeningspakketten in te richten.