Drie classificatieniveaus zijn voor de meeste mkb-organisaties genoeg: openbaar, intern en vertrouwelijk. Meer niveaus maken de keuze per document moeilijker, en een indeling die medewerkers niet in een paar seconden kunnen maken, wordt niet gebruikt. Wat telt is dat bij elk niveau duidelijke regels horen: wie erbij mag, hoe je het deelt en waar het staat.
Kort samengevat
- Drie niveaus: openbaar, intern en vertrouwelijk. Intern is de standaard.
- Bij elk niveau horen regels voor toegang, delen, opslag en opruimen. Zonder die regels is een niveau alleen een woord.
- Deel in op inhoud, niet op afdeling. Een map van finance bevat ook interne informatie.
- Labels in tools komen pas nadat het schema staat.
Waarom drie en niet vijf?
Overheden en grote concerns werken met vier of vijf classificatieniveaus. Dat werkt daar omdat er mensen zijn die er hun werk van maken. In een organisatie van vijftig of tweehonderd medewerkers is er niemand die documenten classificeert; dat doet degene die het document maakt, tussen twee andere taken door. Die keuze moet dus triviaal zijn.
Elk extra niveau voegt een twijfelgeval toe. Is dit nu “vertrouwelijk” of “strikt vertrouwelijk”? Als die vraag vaker dan een paar keer per jaar opkomt, is het schema te fijn. Het gevolg zien wij in de praktijk: of alles krijgt het zwaarste niveau, waardoor het niveau niets meer zegt, of niemand deelt nog iets in. Drie classificatieniveaus met duidelijke voorbeelden werken beter dan vijf niveaus met een definitie.
De drie niveaus naast elkaar
| Niveau | Wat valt eronder | Wie mag erbij | Delen | Opslag en opruimen |
|---|---|---|---|---|
| Openbaar | Website, brochures, vacatures, algemene voorwaarden | Iedereen | Vrij | Geen eisen |
| Intern | Procedures, planningen, interne memo’s, de meeste e-mail | Medewerkers en vaste externen onder geheimhouding | Intern vrij; naar buiten alleen als het nodig is voor het werk | Op bedrijfssystemen, niet op privéapparaten |
| Vertrouwelijk | Personeelsdossiers, financiële cijfers, contracten, calculaties, klantgegevens, wachtwoorden | Alleen wie het voor zijn functie nodig heeft | Alleen via versleutelde e-mail of een beveiligde overdracht; nooit via een gratis deeldienst | Alleen in de daarvoor aangewezen omgeving; papier in de afgesloten container |
Heb je informatie die alleen voor een of twee personen bestemd is, bijvoorbeeld een overnamevoorstel of een dossier over een medewerker, markeer die dan binnen vertrouwelijk als “alleen voor ontvanger”. Dat is een aanvulling op het niveau, geen vierde niveau.
Wat we in de praktijk zien
In GAP-analyses vragen wij of documenten worden ingedeeld als vertrouwelijk, intern of openbaar. Het antwoord is vrijwel nooit ja, maar er is bijna altijd iets wat erop lijkt:
- Afscherming per afdeling. Finance heeft een openbaar en een besloten deel, de HR-map is strakker ingericht dan de rest, en de directie ziet alles. Dat regelt toegang op gebruikersniveau, niet wat er met de inhoud mag gebeuren.
- Labels alleen op het kwaliteitssysteem. Procedures dragen een documentcode en een versienummer. Al het andere draagt niets. Een documentcode zegt bovendien niets over vertrouwelijkheid.
- Een alinea in het personeelshandboek. Er staat dat medewerkers zorgvuldig omgaan met vertrouwelijke informatie. Wat vertrouwelijk is, staat er niet.
- Regels die alleen IT kent. Versleutelde e-mail en een beveiligde dienst voor grote bestanden zijn er wel, maar de IT-manager is de enige die ze gebruikt. De rest van de organisatie weet niet dat ze bestaan, laat staan wanneer ze verplicht zijn.
Het gevolg is dat de indeling in iemands hoofd zit. Wie de organisatie goed kent, weet wat gevoelig is. Een nieuwe collega, een stagiair of een externe weet dat niet, en precies daar gaat het mis.
Welke regels horen bij elk niveau?
Een niveau zonder regels is alleen een woord. Werk per niveau minimaal deze vier punten uit, in gewone taal en met voorbeelden uit je eigen organisatie:
- Toegang. Wie mag erbij, en wie beslist over uitzonderingen? Koppel dit aan je toegangsbeheer, zodat de klasse bepaalt welke rechten een functie krijgt.
- Delen. Mag het per e-mail, moet het versleuteld, of moet het via een beveiligde overdracht? Noem de dienst die je daarvoor gebruikt bij naam, anders kiest iedereen zijn eigen oplossing.
- Opslag. Waar mag het staan, en waar niet: privéapparaten, gratis clouddiensten, een USB-stick, een AI-tool.
- Opruimen. Hoe lang bewaar je het, en hoe vernietig je het: papier in de container, apparaten gewist voordat ze de deur uitgaan.
Voor openbaar zijn de antwoorden triviaal. Voor intern zijn ze kort. Voor vertrouwelijk zijn ze het werk, en dat is precies waar je de aandacht wilt hebben.
Hoe krijg je medewerkers zover?
De indeling werkt alleen als mensen hem zonder nadenken toepassen. Wat daarbij helpt:
- Maak intern de standaard. Alles wat niet is ingedeeld, is intern. Daarmee hoeft niemand bestaande bestanden langs te lopen en is alleen de uitzondering werk.
- Geef voorbeelden, geen definities. “Personeelsdossiers, offertes en de jaarcijfers zijn vertrouwelijk” is bruikbaarder dan een omschrijving van wat vertrouwelijkheid betekent.
- Zet het in het personeelshandboek en in de onboarding. Een verwijzing naar het informatiebeveiligingsbeleid is niet genoeg; de drie niveaus en de regels voor vertrouwelijk horen in de tekst die een nieuwe medewerker daadwerkelijk leest.
- Voeg labels pas later toe. Gevoeligheidslabels in Microsoft 365 kunnen regels afdwingen, bijvoorbeeld door een vertrouwelijk document niet naar buiten te laten gaan. Ze helpen alleen als het schema al staat en bekend is.
- Herhaal het. Neem de classificatieniveaus mee in de jaarlijkse herhaling van de bewustwording, met een voorbeeld van wat er in het afgelopen jaar bijna misging.
Wil je weten hoe jouw organisatie er nu voor staat? In een GAP-analyse lopen we langs welke informatie je in huis hebt, waar die staat en welke regels er al zijn. De classificatieniveaus en de regels per niveau komen daar meestal als een van de eerste verbeterpunten uit.
Veelgestelde vragen
Welke classificatieniveaus gebruik je in een kleine organisatie?
Openbaar, intern en vertrouwelijk. Openbaar mag iedereen zien, intern is voor medewerkers en vaste externen, vertrouwelijk is alleen voor wie het voor zijn werk nodig heeft. Heb je informatie die alleen voor een of twee personen bestemd is, markeer die dan binnen vertrouwelijk als “alleen voor ontvanger”, in plaats van er een vierde niveau van te maken.
Waarom niet meer classificatieniveaus?
Elk extra niveau maakt de keuze per document moeilijker, en een keuze die mensen niet in een paar seconden kunnen maken, wordt niet gemaakt. Dan wordt alles vertrouwelijk, of niets. Drie niveaus met duidelijke voorbeelden en regels werken beter dan vijf niveaus met een definitie.
Wat is het standaardniveau?
Intern. Alles wat niet is ingedeeld, behandel je als intern: niet naar buiten, wel vrij deelbaar binnen de organisatie. Zo hoef je bestaande bestanden niet een voor een langs te lopen en blijft alleen de uitzondering werk.
Moet elk document een label krijgen?
Nee. De regels gelden ook zonder label. Een label is een hulpmiddel om een afwijking van de standaard zichtbaar te maken, bijvoorbeeld in de koptekst van een vertrouwelijk document of als gevoeligheidslabel in Microsoft 365. Begin met het schema en de regels, en voeg labels toe waar ze iets opleveren.
