Kort antwoord. Een bruikbare BIV-classificatie beschrijft per informatie, proces of systeem de gevolgen voor beschikbaarheid, integriteit en vertrouwelijkheid. Beoordeel die drie apart, onderbouw je keuze en koppel er maatregelen en een eigenaar aan. De uitkomst helpt je risico’s beoordelen; ze is geen certificeringsscore en bewijst niet dat een maatregel al werkt.
Wat betekenen beschikbaarheid, integriteit en vertrouwelijkheid?
De drie letters kijken naar verschillende gevolgen. Het NCSC licht BIV toe bij risicobeoordeling. Stel jezelf per onderdeel een concrete vraag:
- Beschikbaarheid: kunnen we de informatie gebruiken wanneer ons werk dat vraagt? Denk aan een planning die tijdens een storing niet bereikbaar is.
- Integriteit: kunnen we vertrouwen op de juistheid en volledigheid? Denk aan een gewijzigd rekeningnummer of een onvolledige order.
- Vertrouwelijkheid: wie mag deze informatie zien? Denk aan een personeelsdossier dat alleen voor bepaalde rollen toegankelijk hoort te zijn.
Een openbare prijslijst kan laag scoren op vertrouwelijkheid en toch belangrijk zijn voor integriteit. Een verkeerde prijs kan immers tot verkeerde offertes leiden. Het label “openbaar” beantwoordt dus niet alle drie de vragen.
Wat beoordeel je precies?
Kies een herkenbaar object en beschrijf wat erbij hoort: bijvoorbeeld het orderproces, de ordergegevens en het systeem waarin je die verwerkt. Je kunt informatie, processen en systemen apart vastleggen, zolang de onderlinge afhankelijkheden duidelijk blijven. Vermijd één oordeel voor “alle IT” als de toepassingen heel verschillende gevolgen hebben.
Laat de proces- of informatie-eigenaar de gevolgen beschrijven. Die weet wat het werk nodig heeft. IT helpt bij afhankelijkheden en herstel; een privacyverantwoordelijke helpt waar persoonsgegevens spelen. Het management stelt de beoordelingscriteria en beslisbevoegdheid vast. In een klein bedrijf kunnen mensen meerdere rollen vervullen: schrijf dan toch op wie welke afweging maakt.
Hoe kies je een niveau zonder alles hoog te maken?
Gebruik een kleine schaal die je team kan uitleggen. Hieronder staat een voorbeeld van DCA, geen door ISO 27001 voorgeschreven schaal. Spreek eerst af wat de omschrijvingen in jouw organisatie betekenen, bijvoorbeeld voor uitval, herstelkosten, contracten en gevolgen voor personen.
Op een klein scherm kun je de tabel zijwaarts verschuiven. Met het toetsenbord: ga naar de tabel en gebruik de pijltjestoetsen.
| Niveau | Voorbeeld van een gevolg | Wat leg je erbij vast? |
|---|---|---|
| Laag | Beperkte verstoring; een fout is eenvoudig te herstellen; ongewenste inzage veroorzaakt weinig schade. | Waarom is het gevolg beperkt en welk alternatief werkt echt? |
| Midden | Merkbare vertraging, herstelwerk of schade voor betrokkenen; een tijdelijke oplossing is mogelijk. | Welk werk wordt geraakt en hoe lang is een tijdelijke oplossing bruikbaar? |
| Hoog | Ernstige verstoring, moeilijk herstelbare fouten of ernstige schade door ongewenste inzage. | Welk concreet scenario maakt dit ernstig, en voor wie? |
Beantwoord bij beschikbaarheid bijvoorbeeld hoeveel uitval je proces kan verdragen, bij integriteit welke fout schade veroorzaakt en bij vertrouwelijkheid wat ongewenste inzage betekent. Kies niet “hoog” alleen omdat een systeem duur is of gegevens bevat. Schrijf ontbrekende kennis als open punt op, met iemand die het uitzoekt. Onbekend wordt niet stilzwijgend laag.
Van beoordeling naar maatregelen: zes stappen
- Baken af. De eigenaar benoemt informatie, proces, systeem en afhankelijkheden, plus de periode of situatie waarop de beoordeling ziet.
- Beschrijf de gevolgen. De eigenaar beoordeelt uitval, onjuistheid en ongewenste inzage apart. Gebruik een concreet scenario en leg aannames vast.
- Stem de niveaus af. Management en eigenaar vergelijken de motivering met de afgesproken criteria. Los verschillen op; maak geen gemiddelde dat een ernstig gevolg verbergt.
- Verbind met de risicoanalyse. Onderzoek ook dreigingen, kwetsbaarheden en kans. Een hoge impact zegt op zichzelf niet hoe waarschijnlijk een incident is.
- Kies en test maatregelen. IT en procesverantwoordelijken bepalen wat nodig is en welk bewijs laat zien dat het werkt. Laat een bevoegde beslisser eventuele resterende risico’s beoordelen.
- Plan herbeoordeling. De eigenaar legt een passend controlemoment en wijzigingstriggers vast. Bekijk de classificatie opnieuw bij bijvoorbeeld een andere dienst, nieuwe gegevens of een incident.
ISO beschrijft ISO 27001 als een risicogericht managementsysteem. Gebruik BIV daarom als onderbouwing voor de volgende afweging, niet als vervanging van je risicoanalyse. Het NCSC behandelt impact én kans voordat risico’s worden geprioriteerd.
Een fictief ingevuld voorbeeld
Dit fictieve adviesbureau gebruikt de voorbeeldschaal hierboven. De niveaus gelden alleen voor deze beschreven situatie. De genoemde maatregelen zijn voorstellen; pas na uitvoering en controle kun je ze als werkend registreren.
Op een klein scherm kun je de tabel zijwaarts verschuiven. Met het toetsenbord: ga naar de tabel en gebruik de pijltjestoetsen.
| Informatie of proces / eigenaar | B / I / V | Motivering | Maatregelen en bewijs | Herbeoordeling |
|---|---|---|---|---|
| Orderplanning / operations | B: hoog · I: hoog · V: midden | Meer dan een halve werkdag uitval verstoort afspraken. Een verkeerde planning kan teams verkeerd inzetten. Klantcontacten zijn niet openbaar. | Hersteldoel onderbouwen en herstel testen; wijzigingen herleidbaar maken; toegang per rol. Bewijs: testverslag en toegangscontrole. | Bij een nieuw planningssysteem, groei van afhankelijkheid of relevante storing; eigenaar plant ook een periodieke controle. |
| Openbare dienstenbrochure / marketing | B: laag · I: midden · V: laag | Een dag offline is tijdelijk op te vangen. Een verkeerde dienstomschrijving kan klantverwachtingen en offertes raken. De vastgestelde versie is openbaar. | Controle vóór publicatie en versiebeheer. Bewijs: goedgekeurde versie en vastgelegde controle. | Bij een gewijzigd aanbod of een onjuiste publicatie. |
| Personeelsdossiers / HR | B: midden · I: hoog · V: hoog | Kortdurende uitval is op te vangen. Onjuiste afspraken of ongewenste inzage kunnen werknemers ernstig raken. | Toegang beperken, wijzigingen controleren en herstel testen. Bewijs: rollenoverzicht en controleverslagen zonder personeelsinhoud. | Bij een andere HR-dienst, andere gegevenscategorie of incident. |
De orderplanning heeft dus andere prioriteiten dan de brochure. Beschikbaarheid kan herstelafspraken en een alternatief proces vragen; integriteit kan wijzigingscontrole vragen; vertrouwelijkheid kan beperkte toegang vragen. Een maatregel kan meerdere dimensies ondersteunen. Controleer steeds of de uitvoering past bij het scenario.
Is een BIV-classificatie hetzelfde als een vertrouwelijkheidslabel?
Nee. Labels zoals “openbaar”, “intern” en “vertrouwelijk” helpen medewerkers bepalen hoe ze informatie mogen delen. BIV behandelt daarnaast bereikbaarheid en juistheid. Het NCSC adviseert een passende indeling en een informatie-eigenaar. Koppel een label aan concrete omgangsregels, zoals wie toegang krijgt en via welke kanalen delen mag.
Gebruik geen label als juridische vrijstelling: ook interne informatie kan persoonsgegevens bevatten. Houd de privacybeoordeling apart. Een BIV-tabel vervangt evenmin een hersteltest of een interne audit.
Welke fouten kun je meteen voorkomen?
- Alles hoog noemen: onderbouw verschillen met de gevolgen voor het werk en voor personen.
- Alleen een totaalscore bewaren: houd B, I en V afzonderlijk zichtbaar.
- Maatregelen als bewijs opvoeren terwijl ze nog gepland zijn: noteer status, eigenaar en testresultaat.
- Alleen IT laten beslissen: betrek de eigenaar van het proces en de informatie.
- Een tabel eenmalig invullen: wijs een eigenaar aan die wijzigingen oppakt.
Begin vandaag met één belangrijk proces. Kun je uitleggen waarom je drie niveaus kiest, welke maatregel daaruit volgt en wie de werking controleert? Dan heb je een bruikbare eerste stap. De ISO 27001-checklist helpt je daarna het bredere managementsysteem te bekijken.
Verder lezen
Bronnen en broncontrole
Openbare primaire bronnen gecontroleerd op . De agenda, schalen en voorbeelden zijn praktische uitwerkingen van DCA. Openbare uitleg vervangt je eigen normexemplaar niet.
- ISO: ISO/IEC 27001:2022 — Officiële normcatalogus: editie 3, gepubliceerd oktober 2022, met amendement 1:2024. De openbare toelichting beschrijft een risicogericht managementsysteem.
- NCSC: risicobeoordeling — Overheidsadvies: BIV, te beschermen belangen, impact en kans. Geen verplichte classificatieschaal.
- NCSC: bedrijfsinformatie beveiligen — Overheidsadvies over classificatie, eigenaarschap en passende omgang met informatie.