De lijst van systemen die sinds 15 augustus onder de Cyberbeveiligingswet vallen, ziet er bij de meeste CIO's hetzelfde uit. Het ERP, het CRM, de klantportalen, de koppelingen met leveranciers. Het personeelsdossier staat er zelden op. Toch is dat bij een bedrijf van tweehonderd mensen de dataset met paspoortkopieën, BSN's, loongegevens, beoordelingen en af en toe een verslag van de bedrijfsarts dat daar nooit had mogen liggen. Bij veel bedrijven staat het op een gedeelde schijf, excel en mail..
De lijst van systemen die sinds 15 augustus onder de Cyberbeveiligingswet vallen, ziet er bij de meeste CIO’s hetzelfde uit. Het ERP, het CRM, de klantportalen, de koppelingen met leveranciers. Het personeelsdossier staat er zelden op. Toch is dat bij een bedrijf van tweehonderd mensen de dataset met paspoortkopieën, BSN’s, loongegevens, beoordelingen en af en toe een verslag van de bedrijfsarts dat daar nooit had mogen liggen. In de meeste van die bedrijven staat dat alles op een gedeelde schijf, in een mailbox en in een Excel bij de salarisadministratie.
Dat het buiten beeld blijft, komt door een afspraak die niemand ooit hardop heeft gemaakt. Hr wil afstand van IT, omdat een collega van de servicedesk niet in het dossier van de financieel directeur hoort te kunnen kijken. IT vindt dat best, want minder systemen is minder werk. Het gevolg is een verzameling documenten zonder eigenaar, zonder logging en zonder bewaartermijn. De zorgplicht van de nieuwe wet geldt voor zo’n achtduizend organisaties en maakt geen uitzondering voor bestanden waar it niet naar mag kijken.
Een map pdf’s is geen dossier
Wie het personeelsdossier digitaliseert, moet vooraf weten wat het eindresultaat is. Een map pdf’s in de cloud is dezelfde gedeelde schijf met een andere naam, en de kopieën in de mailboxen blijven gewoon bestaan. Een dossier is pas een dossier als er per document vastligt wie erbij mag, hoe lang het bewaard blijft en wie het voor het laatst heeft geopend. Dat klinkt als een hr-wens. Het is de eis die it aan elk ander systeem stelt, en de reden dat de servicedesk niet in het crm van sales kan.
De provincie Gelderland ondervond in 2021 wat er gebeurt met documenten die aan die eis niet voldoen. Een externe ict-partij werkte aan het aanpassen van 1400 digitale personeelsdossiers, werd gehackt, en de dossiers werden met paspoortgegevens en al gedownload door een buitenlandse groep. Het ministerie van BZK adviseerde de ambtenaren een nieuw paspoort aan te vragen. De provincie zelf was niet gehackt. De dossiers waren op dat moment losse bestanden bij een partij die ze onder handen had, buiten het systeem dat ze uiteindelijk moest bevatten. Losse bestanden reizen, en je merkt het pas als ze ergens aankomen.
Vier eisen die it aan elk ander systeem ook stelt
Een eigenaar, om te beginnen. Iemand die kan zeggen wie toegang heeft en waarom. Een bewaartermijn die het systeem zelf afdwingt, zodat het dossier van een medewerker die in 2019 vertrok niet in 2026 nog compleet op een schijf staat omdat niemand er ooit naar heeft omgekeken. Toegangslogging die hr zelf kan inzien, zodat de vraag wie er vorige maand in welk dossier heeft gekeken een rapport oplevert en geen schouderophaal. En een exportfunctie, zodat de organisatie haar dossiers in een bruikbaar formaat meeneemt als het contract met de leverancier ooit afloopt.
Hr zal tegenwerpen dat vertrouwelijkheid juist vraagt om afstand van it. Dat argument klinkt redelijk en werkt averechts. Zonder logging kan hr bij een datalek niet eens aantonen wie er wel en niet in een dossier is geweest, en dan is vertrouwelijkheid het eerste dat sneuvelt. De servicedesk hoeft niet in de dossiers te kunnen. De eisen die it aan het systeem stelt, moeten er wel in.
Het dossier begint bij de handtekening
Elk dossier begint met een getekend contract, en daar zit de tweede plek waar bestanden ontsnappen. Het gebruikelijke proces is een pdf die naar de nieuwe medewerker gaat, getekend terugkomt in een mailbox, wordt doorgestuurd naar de salarisadministratie en daarna ergens wordt opgeslagen. Vier kopieën voordat de eerste werkdag begint. Een organisatie die het arbeidscontract digitaal laat ondertekenen, hoort die route te sluiten, zodat het contract direct in het dossier landt, met tijdstempel en zonder tussenstop in een mailbox.
Over het niveau van de handtekening hoef je je in Nederland weinig zorgen te maken. De wet stelt geen vorm voor aan een arbeidsovereenkomst, en eind dit jaar komt er bovendien een gratis EDI-wallet van de overheid waarmee je elektronische handtekeningen kunt zetten. Het niveau was nooit het probleem. De route van het getekende stuk wel. Wie die open laat, heeft de handtekening gemoderniseerd en het archief van 2005 gehouden.
Vraag deze week aan hr waar het laatst getekende contract nu staat, en tel de kopieën.
