BYOD-beleid: eigen apparaten veilig op het werk

Wat is BYOD?

Bring Your Own Device is het tegenovergestelde van apparatuur van de zaak: de medewerker brengt zijn eigen toestel in, jij geeft toegang tot je systemen.

Met de opkomst van hybride werken en cloudapplicaties is de grens tussen zakelijk en privé vervaagd. Veel medewerkers gebruiken al een eigen telefoon voor werkapps, vaak zonder dat daar iets over is afgesproken. Dat noemen we ook wel ‘stille’ BYOD: het gebeurt toch, maar zonder regels. Precies daar ontstaan de risico’s.

Varianten die je tegenkomt

• BYOD: eigen apparaat, eigen keuze, toegang tot zakelijke apps;
• CYOD (Choose Your Own Device): de medewerker kiest uit een lijst toestellen die de werkgever betaalt en beheert;
• COPE (Corporate Owned, Personally Enabled): apparaat van de zaak dat ook privé gebruikt mag worden;
• apparatuur van de zaak: uitsluitend zakelijk, vaak vastgelegd in een bruikleenovereenkomst.

Voordelen en risico’s van eigen apparaten

Of de voordelen opwegen tegen de risico’s, hangt sterk af van je organisatie. Werk je met gevoelige klant- of medische gegevens, dan kies je eerder voor apparatuur van de zaak. In een kantooromgeving met vooral cloud-apps kan BYOD prima werken, mits je het goed regelt. Vraag medewerkers vooraf hoe ze nu al werken, bijvoorbeeld met een korte pulse survey: dan weet je waar de ‘stille’ risico’s zitten.

Privacy en de AVG: wat mag je als werkgever?

Zakelijke gegevens op een privétoestel blijven onder jouw verantwoordelijkheid als werkgever. Raakt een telefoon met klantgegevens kwijt, dan kan dat een datalek zijn dat je moet melden bij de Autoriteit Persoonsgegevens. Tegelijk heeft de medewerker recht op privacy op zijn eigen apparaat. De sleutel is proportionaliteit: neem alleen maatregelen die nodig zijn om bedrijfsdata te beschermen.

Leg in je beleid uit welke gegevens je via beheersoftware kunt zien en waarom. Wil je een systeem invoeren waarmee je aanwezigheid, gedrag of prestaties van medewerkers kunt volgen, dan heeft de ondernemingsraad instemmingsrecht (art. 27 WOR). Meer over privacyregels in HR lees je in onze uitleg over de AVG in HR.

Beveiliging: zakelijk en privé gescheiden

De meest gebruikte oplossing is mobile device management (MDM) of mobile application management (MAM). Daarmee maak je op het toestel een aparte zakelijke ‘container’: e-mail, agenda en bedrijfsapps zitten daarin, privé-apps erbuiten. Bij verlies of vertrek wis je alleen die container.

• minimaal besturingssysteem en automatische beveiligingsupdates;
• pincode, biometrie en automatische vergrendeling;
• tweestapsverificatie voor alle zakelijke accounts;
• geen gejailbreakte of geroote toestellen;
• versleutelde opslag en geen zakelijke bestanden in privé-cloudopslag;
• direct melden bij verlies of diefstal, met een vaste meldroute.

MDM of MAM: hoe scheid je zakelijk en privé?

Met mobile device management (MDM) beheert IT het hele toestel: instellingen, apps en zo nodig het volledig wissen bij verlies. Dat is krachtig, maar voelt voor een privételefoon al snel als te veel controle. Bij mobile application management (MAM) beheer je alleen de zakelijke apps en de data daarin, bijvoorbeeld in een afgeschermde werkomgeving op het toestel. Bij vertrek of verlies wis je alleen dat deel. Voor eigen apparaten past MAM vaak beter bij de privacy van medewerkers.

BYOD en de Cyberbeveiligingswet

Valt je organisatie onder de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn, dan gelden zwaardere eisen voor risicobeheer en het melden van incidenten. Eigen apparaten vormen dan een extra aandachtspunt in je risicoanalyse. Stem je beleid in dat geval af met je IT- of securityverantwoordelijke.

Wie betaalt? Kosten en vergoeding

Gebruikt een medewerker zijn eigen toestel deels voor werk, dan is het redelijk om een deel van de kosten te vergoeden. Denk aan een vast maandbedrag, een bijdrage in het abonnement of in de aanschaf. Spreek ook af wie betaalt bij schade tijdens werk en of je een vervangend toestel regelt.

Fiscaal is het verschil belangrijk. Verstrekt de werkgever zelf een telefoon of laptop die noodzakelijk is voor het werk, dan kan dat onder voorwaarden onbelast via een gerichte vrijstelling. Een vergoeding voor het gebruik van een eigen apparaat valt in de regel in de vrije ruimte van de werkkostenregeling (in 2026: 2% over de fiscale loonsom tot € 400.000 en 1,18% daarboven). Check de precieze behandeling in het Handboek Loonheffingen van de Belastingdienst of bij je salarisadministratie.

Checklist: wat zet je in je BYOD-beleid?

Een goed beleid is kort, begrijpelijk en eerlijk. Maak het onderdeel van je HR-beleid, neem het op in je personeelshandboek en laat medewerkers het bij aanvang tekenen. Deze onderdelen horen er minimaal in:

Beleid dat landt met Teampeak

Teampeak is geen MDM- of IT-beheersysteem en beheert geen apparaten. Wel helpt het je om beleid als dit levend te houden. Je peilt hoe medewerkers tegen thuis- en onderweg werken aankijken, bespreekt bereikbaarheid en werkdruk in vaste gesprekken en legt afspraken vast.

HR People Enablement software

Flexibel werken met heldere afspraken

• Pulse surveys over hybride werken, bereikbaarheid en werkdruk.
• 1-op-1 gesprekken met vaste vragen over werkplek en balans.
• Afspraken per medewerker vastleggen in gespreksverslagen.
• HR analytics om trends per team te zien.

Plan een demo