Screening voor IT-bedrijven: NIS2, ISO 27001 en beheerrollen

Het meeste beveiligingsbudget gaat naar firewalls, endpointbeveiliging en monitoring. Maar veel incidenten beginnen bij iemand die al legitieme toegang heeft: een nieuwe collega met een nep-cv, een externe inhuurkracht die nooit is gecheckt of een beheerder met een verleden dat niemand heeft nagekeken.

In IT zit dat risico bij een kleine groep rollen. Wie je systemen bouwt, uitrolt en beheert, kan klantdata inzien, productiecode aanpassen en logging uitzetten. Die mensen screenen voordat ze toegang krijgen, en opnieuw als hun rol verandert, dicht een gat dat technische maatregelen alleen niet dichten.

Wat er misgaat zonder screening

• Cv-fraude: verzonnen diploma's, certificeringen of werkgevers, steeds lastiger te herkennen nu AI veel sollicitaties schrijft.
• Identiteitsfraude: kandidaten die niet zijn wie ze zeggen, zeker bij remote hires die het team nooit live ontmoeten.
• Insider risk: mensen met een relevant strafblad of een belangenconflict die beheerrechten krijgen.
• Hiaten in de keten: externe engineers en managed serviceproviders die in je systemen werken zonder de checks die je eigen mensen wel doorlopen.

NIS2 (Richtlijn (EU) 2022/2555) stelt cyberbeveiligingseisen aan essentiële en belangrijke entiteiten in de hele EU. Veel IT-bedrijven vallen er direct onder, bijvoorbeeld cloudproviders, datacenters, managed (security) serviceproviders en andere digitale infrastructuur. Nog veel meer bedrijven merken het indirect: hun klanten die onder NIS2 vallen moeten ketenrisico's beheersen en vragen leveranciers om bewijs.

Artikel 21 eist risicobeheersmaatregelen, waaronder beveiliging van personeel en toegangsbeheer. Voor digitale infrastructuur en ICT-dienstverleners gaat Uitvoeringsverordening (EU) 2024/2690 verder: die verwacht antecedentenonderzoek bij medewerkers en, waar passend, inhuurkrachten, in verhouding tot hun rol en binnen de lokale wetgeving.

In Nederland geldt NIS2 via de Cyberbeveiligingswet (Cbw), die sinds 15 augustus 2026 van kracht is. Het bestuur is aansprakelijk, dus screening is nu een bestuursonderwerp en niet alleen een HR-taak.

In de praktijk betekent dat:

• Bepaal welke rollen toegang hebben tot kritieke systemen en data.
• Kies per rol een screeningsniveau en leg vast waarom.
• Screen voordat iemand toegang krijgt en opnieuw als rol of risico verandert.
• Pas dezelfde norm toe op inhuurkrachten en IT-dienstverleners.
• Houd bewijs bij dat je kunt tonen aan de toezichthouder of een klant.

Meer lezen? Zie onze gids over welk personeel je screent onder NIS2.

Ben je ISO 27001-gecertificeerd of werk je daar naartoe, dan is screening geen keuze. Bijlage A, maatregel 6.1 (Screening) in ISO/IEC 27001:2022 vraagt om achtergrondcontroles van kandidaten voordat ze in dienst komen, en daarna doorlopend. De controles moeten voldoen aan wet, regelgeving en ethiek en in verhouding staan tot de bedrijfseisen, de classificatie van de informatie waartoe iemand toegang heeft en de risico's.

Auditors letten meestal op drie dingen:

• Een vastgelegd screeningsbeleid dat checks koppelt aan rollen en risico.
• Consistente uitvoering: iedereen in dezelfde rol krijgt dezelfde checks, op het juiste moment.
• Bewijs: gedateerde, traceerbare resultaten per medewerker en inhuurkracht.

Met Pescheck regel je alle drie. Je stelt eenmalig screeningspakketten per rol in, kandidaten vullen hun deel online in en elk resultaat staat in één auditklaar dossier. Pescheck is zelf ook ISO 27001-gecertificeerd.

Overstappen van ISO 27001:2013? Het oude A.7.1.1 is nu A.6.1. Lees meer op onze ISO 27001-pagina.

Niet elke rol vraagt dezelfde screening. Hoe meer toegang iemand heeft, hoe dieper de check. Gebruik deze tabel als startpunt en pas hem aan op je eigen risicoanalyse.

Welke checks mogen en passen, hangt af van de wet, de rol en je risicoanalyse. Sommige checks, zoals een strafblad- of kredietcheck, zijn alleen toegestaan voor specifieke functies of met toestemming van de kandidaat. Onder de AVG moeten ze noodzakelijk en proportioneel zijn.

1. Stel rolpakketten in. Kies eenmalig de checks per IT-rol, op basis van de tabel hierboven of je eigen risicoanalyse.
2. Nodig de kandidaat uit. Die krijgt een beveiligde link en vult zijn deel online in, op elk apparaat.
3. Wij voeren de checks uit. Onze screeningsspecialisten verifiëren de gegevens en houden je op de hoogte in het dashboard. Resultaten zijn gemiddeld binnen 24 uur klaar.
4. Ontvang een auditklaar rapport. Resultaten staan per persoon opgeslagen, met data en bronnen, klaar voor je NIS2- of ISO 27001-audit.

Screenen is AVG-proof en de kandidaat houdt de regie over zijn gegevens. Wil je screening koppelen aan je HR-systeem? Pescheck werkt samen met meer dan 160 systemen en heeft een REST API.