Thuiswerken en BYOD-beleid volgens ISO 27001 (A.6.7 en A.8.1)

Een thuiswerk- en BYOD-beleid legt vast hoe medewerkers veilig werken buiten kantoor en of ze daarbij hun eigen laptop of telefoon mogen gebruiken. BYOD staat voor Bring Your Own Device: privéapparaten gebruiken voor werk. In ISO/IEC 27001:2022  vallen deze afspraken onder A.6.7 “Remote working” en A.8.1 “User endpoint devices” uit Annex A.

Het NCSC  adviseert organisaties om te inventariseren welke privéapparaten worden gebruikt, een BYOD-beleid op te stellen en dat ook te handhaven. Voor thuiswerken raadt het NCSC concrete afspraken  aan over apparaten, wachtwoorden en het thuisnetwerk. Zulke afspraken sluiten aan op je wachtwoordbeleid en je clean desk policy.

Wat eisen A.6.7 en A.8.1?

ISO 27002:2022  werkt beide maatregelen uit. A.6.7 vraagt dat je beveiligingsmaatregelen neemt voor medewerkers die op afstand werken. A.8.1 vraagt dat informatie op apparaten van gebruikers beschermd wordt, ongeacht of het apparaat van de zaak of van de medewerker is.

A.6.7 heet in de 2022-versie “Remote working”. In de versie van 2013 stond thuiswerken samen met mobiele apparaten onder “teleworking”. De inhoud is vergelijkbaar, de indeling is nieuw.

Drie keuzes voor BYOD

De belangrijkste beslissing in je beleid is of privéapparaten zijn toegestaan. Er zijn drie gangbare varianten, elk met een ander risico en een andere beheerlast.

Voorbeeld thuiswerk- en BYOD-beleid

Deze tekst is geschreven voor een organisatie die hybride werkt, laptops van de zaak verstrekt en privételefoons toestaat via beheerde apps. Pas het aan als je een andere BYOD-keuze maakt.

Beleid thuiswerken en mobiele apparaten Versie 1.0, vastgesteld door de directie op 9 april 2026. Eigenaar: IT-manager. Hoort bij ISO 27001 A.6.7 en A.8.1.

1. Apparaten. Je werkt op de laptop die je van ons krijgt. Privécomputers en privélaptops gebruik je niet voor werk. Op je privételefoon mag je mail, agenda en Teams gebruiken, uitsluitend via de apps die wij beheren.

2. Beveiliging laptop. Laptops zijn versleuteld, krijgen automatisch updates en vergrendelen na 5 minuten. Je schakelt deze instellingen niet uit.

3. Beveiliging telefoon. Je privételefoon heeft een pincode of biometrische ontgrendeling en een besturingssysteem dat nog updates krijgt. Bedrijfsgegevens kopieer je niet naar privé-apps.

4. Netwerk. Thuis gebruik je een wifi-netwerk met een eigen, sterk wachtwoord. Op openbare wifi gebruik je de VPN of je mobiele hotspot.

5. Werkplek. Je werkt zo dat huisgenoten en anderen niet mee kunnen kijken met vertrouwelijke informatie. Je vergrendelt je scherm als je wegloopt. Je laat je laptop niet gebruiken door anderen.

6. Papier. Vertrouwelijke documenten print je thuis niet. Neem je ze mee, dan bewaar je ze opgeborgen en neem je ze weer mee terug naar kantoor om te vernietigen.

7. Verlies en diefstal. Je meldt verlies of diefstal van een apparaat direct bij IT, ook buiten werktijd. IT wist dan de zakelijke gegevens op afstand.

8. Vertrek. Bij vertrek lever je je laptop in en wist IT de zakelijke apps van je privételefoon.

9. Buitenland. Werk je langer dan twee weken vanuit het buitenland, dan overleg je vooraf met IT.

Laat medewerkers dit beleid bij indiensttreding tekenen. Dat geeft je ook een basis om afspraken te handhaven.

Wat vraagt de auditor als bewijs voor A.6.7 en A.8.1?

Bij een ISO 27001-audit controleert de auditor of het beleid klopt met wat de systemen doen. Reken op:

• Het vastgestelde beleid en bewijs dat medewerkers het kennen, zoals een getekende verklaring.
• Een overzicht uit je beheersysteem: hoeveel apparaten zijn versleuteld en up-to-date?
• De instelling die onbeheerde apparaten buiten de deur houdt.
• Een voorbeeld van een melding van verlies, met het moment van wissen op afstand.
• Een gesprek met een thuiswerker: “Hoe log je in vanaf je telefoon?”

Veelgemaakte fouten bij een thuiswerk- en BYOD-beleid

Webtoegang vergeten. Je blokkeert de mail-app op onbeheerde telefoons, maar de browser werkt nog. Regel toegang voor alle routes.

Geen inventaris. Het NCSC adviseert om eerst te inventariseren welke apparaten worden gebruikt. Zonder overzicht weet je niet wat je beleid moet regelen. Neem apparaatgroepen op in je assetregister.

Privacy van de medewerker vergeten. Bij volledig beheer van een privételefoon kun je meer zien dan nodig is. Leg vast wat je wel en niet bekijkt, en bespreek dat met de ondernemingsraad als je die hebt.

Updates niet afgedwongen. Een telefoon met een besturingssysteem dat geen updates meer krijgt, is een open deur. Zie kwetsbaarheidsbeheer en patching.

Thuiswerken en BYOD bij de overheid

Overheidsorganisaties die de BIO2 volgen, hebben strengere minimumeisen voor mobiele apparatuur. Bedrijfsinformatie wordt bij voorkeur niet op het apparaat zelf opgeslagen, wissen op afstand moet mogelijk zijn, apparaten vallen onder patchmanagement en MDM of MAM, en gebruikers tekenen een verklaring voor mobiel werken.

Veelgestelde vragen over thuiswerken en BYOD

Is een VPN verplicht voor thuiswerken onder ISO 27001?

Nee. Werken je medewerkers vooral in clouddiensten met MFA en beheerde apparaten, dan voegt een VPN weinig toe. Een VPN is wel zinvol als je toegang geeft tot systemen op je eigen netwerk.

Mag ik een privételefoon op afstand wissen?

Alleen als je dat vooraf met de medewerker hebt afgesproken. Met beheerde apps (MAM) wis je alleen de zakelijke gegevens. Dat is voor de meeste organisaties de beste route.

Hoort thuiswerken bij de scope van mijn ISMS?

Als medewerkers thuis met informatie uit je scope werken, valt die werkplek onder je maatregelen. Je hoeft thuiswerkplekken niet als locatie in je scope te noemen.

Meer informatie

• Wachtwoordbeleid: MFA en wachtwoorden op elk apparaat
• Clean desk policy: schermvergrendeling en papier, ook thuis
• Informatie classificeren: welke informatie op een privéapparaat mag
• Incidentmanagement: wat er gebeurt na een melding van verlies
• Annex A: alle 93 beheersmaatregelen
• NCSC: Bring Your Own Device