Cyberveiligheid is allang niet meer uitsluitend een zaak van de ICT-afdeling. Ook de manier waarop medewerkers omgaan met informatie, toegangspassen en digitale systemen speelt een belangrijke rol. Een verloren toegangspas, een onbeveiligde computer of een verdachte e-mail kan al een veiligheidsrisico opleveren.

Met de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn, krijgt ook de beveiliging van leveranciers en andere partijen in de keten nadrukkelijk aandacht. Organisaties die onder de wet vallen, moeten risico's in hun toeleveringsketen beoordelen en passende beveiligingsmaatregelen nemen.

Schoonmaakbedrijven vallen niet automatisch onder deze wet. Toch kunnen zij de gevolgen ervan merken wanneer zij werken voor opdrachtgevers die wel onder de wet vallen. Wanneer schoonmaakbedrijven een risico kunnen vormen voor de beveiliging van de netwerk- en informatiesystemen van hun opdrachtgevers, kunnen die opdrachtgevers passende beveiligingseisen stellen. Bijvoorbeeld over toegangsbeheer, incidentmeldingen of de beveiliging van ruimtes waarin belangrijke informatiesystemen staan.

1. Screening van medewerkers

Schoonmakers werken regelmatig in omgevingen waar vertrouwelijke informatie aanwezig is. Denk aan gemeentehuizen, ziekenhuizen, kantoren en andere locaties waar gevoelige gegevens worden verwerkt. Opdrachtgevers kunnen daarom eisen stellen aan de betrouwbaarheid van medewerkers die toegang krijgen tot bepaalde ruimtes.

Screening kan daarbij een rol spelen, bijvoorbeeld via een Verklaring Omtrent het Gedrag (VOG). Welke controle passend en toegestaan is, hangt af van de functie, de risico's en de geldende privacyregels. De Cyberbeveiligingswet schrijft niet voor dat iedere schoonmaakmedewerker standaard moet worden gescreend.

Voor schoonmaakbedrijven is het belangrijk om vooraf met opdrachtgevers af te spreken welke eisen gelden en wie verantwoordelijk is voor de uitvoering.

2. Beperk toegang tot wat noodzakelijk is

Een schoonmaakmedewerker heeft voor zijn werkzaamheden soms een toegangspas, sleutel of digitale autorisatie nodig. Maar toegang tot een gebouw betekent niet automatisch dat iemand ook toegang moet hebben tot alle ruimtes of systemen.

Het uitgangspunt is dat medewerkers uitsluitend toegang krijgen tot wat noodzakelijk is voor hun werkzaamheden. Dat geldt voor fysieke ruimtes, maar ook voor eventuele digitale systemen van de opdrachtgever.

Het is verstandig om toegangsrechten regelmatig te controleren, zeker wanneer medewerkers van locatie of functie wisselen.

3. Maak medewerkers bewust van veiligheidsrisico's

Cyberveiligheid draait niet alleen om technische maatregelen. Ook het gedrag van medewerkers is belangrijk.

Voor schoonmaakbedrijven betekent dit bijvoorbeeld dat medewerkers weten hoe zij moeten omgaan met vertrouwelijke documenten, onbeheerde computers en toegangspassen. Wat doe je wanneer een computer nog is ingelogd? Hoe ga je om met documenten die op een bureau liggen? En wat moet je doen wanneer je een verdachte situatie opmerkt?

Voor medewerkers die met digitale systemen werken, is ook het herkennen van phishing belangrijk. Duidelijke instructies en regelmatige aandacht voor veilig gedrag helpen om risico's te beperken.

4. Zorg voor een duidelijke meldprocedure

Wat moet een schoonmaker doen wanneer een toegangspas kwijtraakt, een vertrouwelijk document wordt gevonden of een verdachte situatie wordt opgemerkt?

Een duidelijke meldprocedure voorkomt dat belangrijke signalen blijven liggen. Medewerkers moeten weten welke situaties zij moeten melden, bij wie zij terechtkunnen en hoe snel zij moeten handelen.

Maak hierover ook afspraken met opdrachtgevers. Wie wordt bijvoorbeeld geïnformeerd wanneer een toegangspas zoekraakt of wanneer een medewerker een mogelijk beveiligingsincident constateert?

Voor organisaties die rechtstreeks onder de Cyberbeveiligingswet vallen, gelden daarnaast wettelijke meldverplichtingen voor significante cyberincidenten. Deze verplichtingen gelden niet automatisch voor iedere schoonmaakleverancier.

5. Regel de toegang bij uitdiensttreding

Wanneer een medewerker uit dienst gaat of niet langer op een bepaalde locatie werkt, moeten toegangspassen, sleutels en eventuele digitale autorisaties tijdig worden ingetrokken.

Dat klinkt vanzelfsprekend, maar vraagt om goede afspraken tussen het schoonmaakbedrijf, de opdrachtgever en de verantwoordelijke leidinggevenden.

Vooral bij personeelswisselingen, tijdelijke inzet en vervanging is het belangrijk dat duidelijk is wie verantwoordelijk is voor het beëindigen van de toegang. Zo wordt voorkomen dat voormalige medewerkers onbedoeld toegang houden tot gebouwen of systemen.

Cyberveiligheid als onderdeel van goed opdrachtgeverschap

De Cyberbeveiligingswet maakt de beveiliging van de toeleveringsketen nadrukkelijk onderdeel van de verantwoordelijkheid van organisaties die onder de wet vallen. Opdrachtgevers kunnen schoonmaakbedrijven daarom vragen welke maatregelen zij nemen om beveiligingsrisico's te beperken. Ook kunnen zij hierover passende afspraken opnemen in contracten en aanbestedingen.

Voor schoonmaakbedrijven is het verstandig om bestaande procedures voor screening, toegangsbeheer, instructies en incidentmeldingen tegen het licht te houden. Niet omdat iedere schoonmaakorganisatie rechtstreeks onder de wet valt, maar omdat een veilige werkomgeving ook vraagt om zorgvuldig omgaan met gebouwen, informatie en toegangsrechten.

Cyberveiligheid is daarmee niet alleen een technisch onderwerp, maar ook een kwestie van goed werkgeverschap, duidelijke werkprocessen en samenwerking met opdrachtgevers.

Bron: Nationaal Cyber Security Centrum (NCSC) – De Cyberbeveiligingswet en toeleveranciers.