Wachtwoordbeleid op één A4: zeven afspraken voor je team

Veel bedrijven hebben geen wachtwoordbeleid, of een beleid dat niemand volgt: elke drie maanden een nieuw wachtwoord met een hoofdletter, een cijfer en een leesteken. Het resultaat kennen we allemaal: Zomer2026!, daarna Herfst2026!, en een briefje onder het toetsenbord.

Goed beleid werkt andersom. Het maakt het makkelijk om het goed te doen. Dit zijn de zeven afspraken die wij aanraden.

De zeven afspraken

• 1. Iedereen gebruikt een wachtwoordmanager. Een app die al je wachtwoorden bewaart. Dan hoeft niemand iets te onthouden, en krijgt elke login een eigen wachtwoord.
• 2. Elk account een eigen wachtwoord. Lekt er ergens één uit, dan kan een inbreker daar niet overal mee in. Dat is de belangrijkste regel van allemaal.
• 3. Lang boven ingewikkeld. Wachtwoorden die je zelf moet onthouden, zoals dat van je laptop of je wachtwoordmanager, maak je van drie of vier losse woorden: een wachtzin, zoals kroket fiets lantaarn. Lang is sterker dan ingewikkeld, en je onthoudt het makkelijker.
• 4. Niet elke paar maanden wisselen. Het Britse NCSC, de overheidsdienst voor digitale veiligheid, raadt dat af: mensen kiezen dan zwakkere wachtwoorden of schrijven ze op. Verander een wachtwoord alleen als het misschien uitgelekt is, of als iemand vertrekt die het kende.
• 5. De tweede inlogstap staat overal aan. Naast je wachtwoord bevestig je met een code op je telefoon dat jij het bent. Begin bij de mail, want daarmee kan een inbreker van elk ander account het wachtwoord opnieuw instellen.
• 6. Delen gaat via de gedeelde kluis. Nooit per mail, WhatsApp of op een briefje. En liever ieder een eigen account dan één gedeelde login. Waar dat niet kan, staan het wachtwoord en de code voor de tweede inlogstap in de gedeelde kluis.
• 7. Twee mensen kunnen erbij. Bij elk belangrijk systeem hebben minstens twee mensen een eigen beheerlogin, elk met een eigen tweede inlogstap. Valt er één uit, dan kan de ander verder.

En als iemand vertrekt?

Zet op dezelfde A4 wat er gebeurt op de laatste werkdag:

• De accounts van wie vertrekt, gaan dicht.
• Haal die persoon meteen uit de gedeelde kluis.
• Verander alles in de kluizen waar die persoon bij kon, ook wat hij nooit gebruikte: de wachtwoorden, de codes voor de tweede inlogstap (die stel je opnieuw in) en de herstelcodes. Begin bij de belangrijkste, zoals de bankrekening, de administratie en de logins die alles kunnen instellen. Daarna alles wat vertrouwelijk is, zoals de boekhouding en lijsten met namen en adressen.
• Wat iedereen met een eigen login doet, hoeft niet: daar zet je alleen die login uit.

Daarom is afspraak 6 belangrijk: liever ieder een eigen login dan één gedeelde. En verdeel de gedeelde kluis per taak, zodat niet iedereen bij alles kan. Dan hoef je bij een vertrek veel minder te veranderen.

Hoe je dat aanpakt, lees je in Een medewerker vertrekt: wat regel je die dag?.

Vragen om jezelf te stellen

Zo voer je het in

• Zet de zeven afspraken op één A4, in je eigen woorden. Bespreek ze in het teamoverleg.
• Kies één wachtwoordmanager voor het team, met een gedeelde kluis. Hoe je begint, lees je in Een wachtwoordmanager voor je bedrijf.
• Zet de tweede inlogstap aan, te beginnen met de mail. Zie Tweede inlogstap.
• Zet het verplicht wisselen uit, als je systemen dat nog doen. In Microsoft 365 is dat een instelling in het beheercentrum.
• Kijk het elk jaar even na, bijvoorbeeld als je je IT-plan bijwerkt.

Waar wij bij helpen

De +Z Checkup kijkt of jullie wachtwoorden veilig staan, of de tweede inlogstap overal aan staat en of twee mensen bij de belangrijke systemen kunnen. Je krijgt je eigen IT-plan, met de stappen op volgorde van belang.

We verkopen geen wachtwoordmanagers of andere software. Het advies gaat dus over wat jullie nodig hebben, en niet meer dan dat.

Veelgestelde vragen

Bronnen
NCSC (Verenigd Koninkrijk), The problems with forcing regular password expiry: geen verplicht periodiek wisselen; alleen bij een vermoeden van lekken.

Bijgewerkt op 4 november 2026. Feiten en bronnen nagekeken op die datum.