ISO 27001 A.6.1: personeel screenen volgens de norm
ISO 27001 verwacht dat je nieuwe medewerkers screent voordat ze starten en dat blijft doen zolang ze voor je werken. A.6.1 schrijft geen vaste set checks voor: je stemt de diepgang af op de functie, de informatie waar iemand bij kan en de risico's die je hebt vastgesteld. Pescheck is zelf ISO/IEC 27001:2022-gecertificeerd door BSI, dus de persoonsgegevens in jouw screening worden volgens dezelfde norm verwerkt.
Wat vraagt ISO 27001 A.6.1?
A.6.1 Screening is de eerste van acht maatregelen voor personeel in Annex A van ISO 27001:2022. In de versie van 2013 was dit maatregel A.7.1.1. Certificaten voor ISO 27001:2013 zijn op 31 oktober 2025 verlopen, dus elke audit toetst nu A.6.1.
In gewone woorden vraagt de maatregel je om:
- Kandidaten te controleren voordat ze starten, en daarna doorlopend. Dat doorlopende deel is nieuw ten opzichte van 2013.
- De wet- en regelgeving en ethiek te respecteren die gelden waar je werft, waaronder privacywetgeving zoals de AVG.
- De checks evenredig te houden: aan je bedrijfsbehoeften, aan de classificatie van de informatie waar iemand bij kan en aan de risico's die je ziet.
De richtlijn in ISO 27002 voegt toe dat screening ook geldt voor ZZP'ers, externe inhuur en uitzendkrachten. De checks lopen uiteen van identiteit, referenties, cv en diploma's tot een strafrechtelijke check of kredietcheck voor gevoelige functies. Kan een check niet voor de startdatum klaar zijn, beperk dan de toegang van die persoon tot het zover is.
ISO 27001 A.6.1: welke medewerkers screen je?
Screen iedereen, maar niet iedereen op dezelfde manier. Groepeer functies op de informatie waar ze bij kunnen en bepaal per groep de checks. De tabel hieronder is een startpunt, je eigen risicoanalyse bepaalt de uiteindelijke set. Let bij elke check op de AVG: heb je een grondslag en is de check evenredig voor deze functie?
| Functiegroep | Toegang tot | Checks voor de start | Opnieuw screenen |
|---|---|---|---|
| Alle medewerkers (basis) | Interne informatie, e-mail, gedeelde schijven | Identiteitscontrole, referentiecheck, diplomacheck als de functie daarop leunt | Bij een overstap naar een gevoeligere functie |
| HR, salarisadministratie en klantenservice | Persoonsgegevens van personeel of klanten | Basis + check op strafrechtelijk verleden (VOG) | Elke 3 jaar, of bij een functiewijziging |
| Finance en inkoop | Betalingen, bankgegevens, contracten | Basis + strafrechtelijk verleden, kredietcheck waar dat is toegestaan | Elke 2 tot 3 jaar |
| IT-beheerders en ontwikkelaars met toegang tot productie | Systemen, broncode, bevoorrechte accounts | Basis + strafrechtelijk verleden, adverse media-check | Elke 2 jaar, en voordat bevoorrechte toegang wordt gegeven |
| Directie en bestuurders | Strategie, fusies en overnames, alle bedrijfsdata | Basis + strafrechtelijk verleden, PEP- en sanctiecheck, adverse media, kredietcheck | Elke 2 jaar |
| ZZP'ers, freelancers en externe inhuur | Gelijk aan de functie die ze vervullen | Gelijk aan de functie die ze vervullen, via je leverancierscontract of rechtstreeks | Gelijk aan de functie die ze vervullen |
| Defensie, overheid en gerubriceerde projecten | Gerubriceerde informatie van de staat of de opdrachtgever | Bovenstaande + veiligheidsonderzoek (VGB) als opdrachtgever of overheid dat eist | Zoals bepaald door de screeningsautoriteit |
ISO 27001 noemt geen herscreeningsinterval. De termijnen hierboven zijn gangbare praktijk, geen eis. Kredietchecks en checks op strafrechtelijk verleden verwerken bijzondere persoonsgegevens, dus doe ze alleen als de functie het rechtvaardigt en de wet het toestaat.
Welk bewijs wil de auditor zien?
Auditors nemen meestal een steekproef van recente aanstellingen uit je HR-systeem en vragen hoe elke persoon is gescreend. Zorg dat je dit paraat hebt:
- Een screeningsbeleid waarin staat welke functiegroepen je hebt, welke checks per groep gelden en wie de uitkomst goedkeurt.
- Een verwijzing naar je risicoanalyse, die laat zien waarom elke functiegroep de checks krijgt die ze krijgt.
- Je Verklaring van Toepasselijkheid (SoA), met A.6.1 als van toepassing gemarkeerd en een verwijzing naar het beleid.
- Een dossier per persoon: welke checks zijn uitgevoerd, op welke datum, wat de uitkomst was en wie dat heeft afgetekend. Bewaar ook de toestemming of privacyverklaring die de kandidaat heeft gekregen.
- Bewijs voor externen: contractbepalingen die screening eisen, plus de bevestiging van de leverancier dat het is gebeurd.
- Een uitzonderingenlog voor iedereen die is gestart voordat de screening klaar was, met de toegangsbeperkingen die je hebt ingesteld.
- Bewijs van herscreening: het schema en de dossiers die laten zien dat het echt is uitgevoerd.
Bewaar volledige screeningsrapporten niet langer dan nodig. Het dossier van wat er is uitgevoerd is meestal genoeg. Verwijder screeningsdata volgens je bewaarbeleid en de AVG.
Wanneer screen je medewerkers opnieuw?
ISO 27001:2022 vraagt om doorlopende screening, niet alleen aan de poort. De norm laat de timing aan jou, dus leg de momenten vast in je screeningsbeleid. Gangbare momenten zijn:
- Een overstap naar een gevoeligere functie, zoals een promotie naar finance, IT-beheer of management.
- Nieuwe bevoorrechte toegang, bijvoorbeeld beheerrechten op productiesystemen.
- Een vast interval voor functiegroepen met een hoog risico, vaak elke 2 tot 3 jaar.
- Een beveiligingsincident of nieuwe informatie die twijfel zaait over iemands integriteit.
- Verlenging van het contract van ZZP'ers en freelancers die langer blijven.
Vertel medewerkers vooraf dat herscreening bij het werk hoort en waarom. Met screening tijdens het dienstverband van Pescheck screen je zittend personeel met dezelfde checks als nieuwe medewerkers.
ISO 27001 screening met Pescheck
Pescheck voert de checks uit de tabel hierboven uit in een platform, zodat elke nieuwe medewerker de juiste checks voor zijn functiegroep krijgt en je per persoon een dossier hebt voor je auditor.
- Checks per functiegroep: stel voor elke groep één keer een screeningspakket in en gebruik het bij elke aanstelling opnieuw.
- Doorlopende screening: screen zittend personeel opnieuw met screening tijdens het dienstverband.
- Een gecertificeerde leverancier: Pescheck is ISO/IEC 27001:2022-gecertificeerd door BSI. Dat helpt ook bij je eigen leveranciersmaatregelen, omdat de personeelsgegevens die je met ons deelt volgens dezelfde norm worden verwerkt.
Onze security officer WIJ HECHTEN VEEL BELANG AAN GEGEVENSBEVEILIGING
Wat verwacht de ISO 27001-norm?
Een organisatie moet volgens de ISO/IEC 27001-norm een informatiebeveiligingsmanagementsysteem (ISMS) opzetten, implementeren, up-to-date houden en voortdurend verbeteren. Volgens deze wereldwijd erkende beveiligingsstandaard moet Pescheck het volgende doen:
- Onze informatiebeveiligingsrisico's systematisch beoordelen, rekening houdend met de impact van bedreigingen en kwetsbaarheden
- We creëren en implementeren een uitgebreide set informatiebeveiligingscontroles en andere risicobeheertechnieken
- We hebben een uitgebreide managementbenadering om ervoor te zorgen dat de informatiebeveiligingscontroles consistent voldoen aan onze eisen
Wat betekent dit voor onze klanten?
Als gevolg van deze certificering kunnen we je verzekeren dat gegevens beveiligd zijn volgens de hoogste normen en dat ons dashboard betrouwbaar is. Op deze manier heb je meer tijd om je te richten op zaken die er echt toe doen, zoals het werven van personeel. Dit zorgt ervoor dat:
Klantgegevens streng beschermd worden
We risico's en kwetsbaarheden beoordelen, minimaliseren en elimineren
We streven naar operationele uitmuntendheid met betrekking tot onze IT, HR en informatieprocessen
Certificering
De certificering wordt uitgevoerd door onafhankelijke auditors van derden. Onze naleving van deze internationaal erkende norm en gedragscode is een bewijs van onze toewijding aan informatiebeveiliging. Om de certificering van Pescheck te bekijken, kun je de volgende link gebruiken om naar ons BSI-certificaatprofiel te gaan: BSI-certificaatprofiel. Je kunt ook naar de Certificate and Client Directory search op de website van British Standards Institution (BSI) gaan om de certificering te bekijken.
Controleer ons certificaat bij BSI
ISO 27001 A.6.1 screening: veelgestelde vragen
Ja. A.6.1 geldt voor elke kandidaat, maar de diepgang van de checks moet bij de functie passen. Een receptionist en een systeembeheerder hebben niet dezelfde screening nodig.
Dat was maatregel A.7.1.1 Screening. In de versie van 2022 is die verhuisd naar de maatregelen voor personeel en vraagt ze nu ook om doorlopende screening.
Ja, als ze toegang krijgen tot je informatie of systemen. Je kunt ze zelf screenen of in het contract eisen dat de leverancier het doet, en bewijs bewaren dat het is gebeurd.
De norm stelt geen vast interval. Baseer het op risico: veel organisaties screenen functies met een hoog risico elke 2 tot 3 jaar opnieuw, en iedereen die doorgroeit naar een gevoeligere functie.
Ja, als elke check een grondslag heeft en evenredig is voor de functie. Gegevens over strafrechtelijk verleden mag je alleen verwerken als Unierecht of nationaal recht dat toestaat. In Nederland loopt dat meestal via een VOG, en bij buitenlandse kandidaten kijk je naar de regels van het land in kwestie.
Beperk de toegang van de nieuwe medewerker tot de checks klaar zijn en leg de uitzondering vast. Auditors letten op allebei.
Ja. Pescheck is door BSI gecertificeerd volgens ISO/IEC 27001:2022. Je kunt het certificaat bij BSI controleren.
Werkt met de HR-software die je al gebruikt
Vraag screenings aan vanuit je ATS of HR-systeem. Pescheck koppelt met 160+ systemen, zodat kandidaten je workflow niet verlaten.
Bekijk alle koppelingen
