VOG en security clearance: wat vraagt een werkgever en wat mag?

Wat is een VOG en wanneer vraagt een werkgever erom?

Justis is de enige organisatie in Nederland die de VOG afgeeft. Je hebt er een nodig voor een nieuwe baan, een stage, een opdracht als zzp'er of vrijwilligerswerk. Voor sommige beroepen, zoals in de kinderopvang, is een VOG wettelijk verplicht.

Securityfuncties hebben soms brede toegang tot systemen en vertrouwelijke gegevens, zoals beheerrechten, logbronnen, kwetsbaarheidsscans en onderzoek bij incidenten. Daarom vragen sommige werkgevers om een VOG. In sectoren zoals de overheid, de financiële dienstverlening en de zorg kan een werkgever er eerder om vragen, maar het hoort niet bij elke functie of elke werkgever. Een security engineer of IT-auditor kan met brede toegang werken, en een information security officer kan met gevoelige informatie werken. Of een werkgever een VOG vraagt, hangt af van de functie en de organisatie.

Justis beoordeelt niet alleen wat er is gebeurd, maar ook hoe lang geleden een delict is gepleegd en wat je sindsdien hebt gedaan. Meestal wordt maar een bepaalde periode van je justitiële verleden bekeken. Welke delicten relevant zijn, hangt af van de functie of het doel. Voor werk met kwetsbare mensen noemt Justis geweld-, zeden- en wapendelicten. Voor werk bij een bank kijkt Justis bijvoorbeeld naar fraude. Bij twijfel over een weigering kun je je situatie toelichten.

Een VOG is geen blanco strafblad, geen rapport over je gedrag en geen oordeel over je vakkennis.

Hoe vraag je een VOG aan en hoe lang duurt het?

Voor een baan neemt de werkgever, organisatie of instelling de eerste stap. Justis schrijft dat dit alleen digitaal kan. De werkgever kiest het screeningsprofiel waarop werknemers worden gescreend en moet daarvoor een legitieme reden hebben, een gerechtvaardigd belang.

Justis werkt met screeningsprofielen. Het algemene screeningsprofiel onderscheidt 9 risicogebieden en wordt in de meeste gevallen gebruikt. Naast het algemene profiel zijn er 16 specifieke profielen voor bepaalde beroepen, branches of doelen, zoals 60 (Onderwijs) en 65 (Taxibranche; chauffeurskaart). Het algemene profiel bevat functieaspecten zoals "Bevoegdheid hebben tot het raadplegen en/of bewerken van systemen" (11) en "Met gevoelige/vertrouwelijke informatie omgaan" (12).

Justis rekent € 33,85 als je toekomstige werkgever de aanvraag start, en € 41,35 als je de aanvraag via de gemeente doet. Justis rekent geen btw en stuurt geen factuur. De kosten gelden voor de aanvraag, niet voor het document zelf. Justis noemt geen jaartal bij deze bedragen, dus controleer ze op de pagina van Justis.

Volgens Justis ontvang je in de regel binnen 1 tot 4 weken de VOG of een bericht dat er extra informatie nodig is. In sommige gevallen kan het tot maximaal 8 weken duren. De verwerkingstijd zegt niets over of je de VOG krijgt. Plan de aanvraag daarom mee in je startdatum. Een VOG hoort bij een functie en een doel. Of een eerdere VOG bruikbaar is voor een nieuwe functie, bepaalt de nieuwe werkgever, dus vraag het na.

Wat mag een werkgever vragen en screenen?

Volgens de Autoriteit Persoonsgegevens (AP) mag een werkgever een sollicitant niet zomaar naar het strafrechtelijk verleden vragen. Dat mag alleen als het voor de functie noodzakelijk is, en dan is in de regel een VOG genoeg. Alleen als een VOG niet volstaat, mag een werkgever overige strafrechtelijke gegevens opvragen, bijvoorbeeld bij een vertrouwensfunctie.

Een werkgever mag alleen screenen onder wettelijke voorwaarden. Er moet een gerechtvaardigd belang zijn, de screening moet noodzakelijk zijn omdat het doel niet met een minder ingrijpend middel te bereiken is, en de werkgever informeert je vooraf. Dat betekent: waarom er gescreend wordt, welke gegevens worden onderzocht en waarom die relevant zijn voor de functie. Achteraf laat de werkgever de uitkomst weten. Volgens de AP is toestemming van een sollicitant of werknemer in de regel geen geldige grondslag, omdat die in een afhankelijke positie staat.

Een screening gaat alleen over de specifieke risico's van een functie en over een zo kort mogelijke periode. Het is zelden nodig gegevens van 20 jaar terug op te vragen. Bij een functie met grote geldsommen of vertrouwelijke informatie mag een werkgever meer opvragen dan bij andere functies. Een SOC-analist met beheerrechten op de logomgeving en een marketingmedewerker lopen andere risico's, dus de screening verschilt ook.

Je identiteit mag een werkgever controleren aan de hand van het originele identiteitsbewijs. Er mag geen kopie, scan of foto van worden gemaakt. Werkgevers die screenen kiezen het VOG-profiel dat bij de functie past, informeren vooraf en achteraf, en bewaren zo weinig mogelijk. Screening kan een verwerking met hoog privacyrisico zijn, dus lees ook het artikel over AVG voor privacy professionals en over een DPIA uitvoeren.

Wat is een veiligheidsonderzoek en wanneer krijg je daarmee te maken?

"Security clearance" is de Engelse term. In Nederland gaat het om een veiligheidsonderzoek en een verklaring van geen bezwaar (vgb). De Wet veiligheidsonderzoeken (10 oktober 1996) regelt de onderzoeken voor vertrouwensfuncties. De verantwoordelijke minister wijst die functies aan, in overeenstemming met de minister van Binnenlandse Zaken en Koninkrijksrelaties, en de werkgever wordt daarvan op de hoogte gesteld. Het gaat om functies waarin iemand de nationale veiligheid kan schaden (artikel 3).

Een veiligheidsonderzoek hoort bij de sollicitatieprocedure voor zo'n functie. De AIVD of de MIVD voert het onderzoek uit, en de minister van Binnenlandse Zaken of de minister van Defensie geeft daarna de vgb af. Rijksoverheid noemt als voorbeelden werk bij de douane op Schiphol, veel politiefuncties en functies bij een ministerie waar je met vertrouwelijke informatie werkt. Onderzocht wordt of je een risico vormt voor de staatsveiligheid of andere staatsbelangen, onder meer aan de hand van gegevens van de AIVD, de MIVD, gemeenten, politie en justitie. Ook je financiële situatie kan worden bekeken.

De Unit Veiligheidsonderzoeken (UVO), een gezamenlijke afdeling van de AIVD en de MIVD, doet het onderzoek. Volgens de AIVD gaat het over jou zelf en niet over familie of referenten, al kunnen zij worden meegewogen. De UVO gebruikt geen bijzondere inlichtingenmiddelen zoals afluisteren of hacken.

Wettelijk duurt een veiligheidsonderzoek maximaal acht weken, al kan het worden opgeschort, bijvoorbeeld bij een buitenlandse controle. Pas als de vgb is afgegeven, mag je aan de slag. Als er geen vgb komt, volgt een negatieve beslissing. Een vgb kan worden geweigerd als er onvoldoende waarborgen zijn dat je de taken getrouw vervult, of als het onderzoek te weinig gegevens oplevert (artikel 8). De vgb blijft geldig zolang je de functie vervult en vervalt bij het verlaten van de functie of bij intrekking. Na vijf jaar of een veelvoud daarvan kan de minister een nieuw onderzoek laten doen, of eerder als feiten daartoe aanleiding geven (artikel 9).

Securityfuncties bij de rijksoverheid en bij organisaties die voor de overheid werken kunnen vertrouwensfuncties zijn. Of een functie dat is, bepaalt de aanwijzing, niet de functietitel. Lees meer over security en compliance bij de overheid en over de baseline informatiebeveiliging overheid.

Wat is het verschil tussen een VOG en een veiligheidsonderzoek?

De twee screenings verschillen in wie ze uitvoert, wat er wordt beoordeeld en wie aanvraagt. De tabel zet ze naast elkaar.

Bedrijven met gerubriceerde defensieopdrachten krijgen daarnaast met beveiligingseisen te maken. De ABDO 2019 (Algemene Beveiligingseisen voor Defensieopdrachten) bevat die eisen voor bedrijven die gerubriceerde of vitale informatie, plaatsen, objecten of systemen voor Defensie verwerken. Volgens Defensie voert de Rijksoverheid de ABRO vanaf 1 januari 2026 in, en gaat Defensie in de loop van 2026 over op de ABRO voor nieuwe contracten. Bij verlenging van een lopend contract blijft de ABDO gelden. Het Nationaal Bureau Industrieveiligheid (NBIV) houdt toezicht.

Wat betekent dit voor zzp'ers en ingehuurde medewerkers?

Als zzp'er kan een opdrachtgever om een VOG vragen, net als bij een baan. Bij detachering is het volgens de AP meestal niet nodig dat je bij elke nieuwe opdrachtgever opnieuw wordt gescreend. Dat geldt niet als voor het werken bij die organisatie speciale veiligheidseisen gelden, of als die organisatie kan aantonen dat screening om een andere reden noodzakelijk is.

Bij een veiligheidsonderzoek kan de werkgever bij externe medewerkers de opdrachtgever zijn. Volgens de AIVD is de werkgever de organisatie die toegang verleent of verantwoordelijk is voor het belang dat wordt beschermd. Een inzender is de rechtspersoon die namens de werkgever aanvragen indient, en de vgb wordt aan de inzender verstrekt. Meer over freelancen in security vind je in het artikel over zzp of loondienst in cybersecurity en in het artikel voor werkgevers over security professionals inhuren als zzp'er.

Hoe bereid je je voor?

• Vraag bij een aanbod welke screening de werkgever bedoelt en welk screeningsprofiel erbij hoort.
• Reken de doorlooptijd van de aanvraag mee in je startdatum. Maak afspraken over de startdatum en over wat je mag doen zolang de uitkomst er niet is. Bij een veiligheidsonderzoek mag je de functie pas starten als de vgb er is.
• Wees tijdens een veiligheidsonderzoek eerlijk en volledig over je gegevens.
• Houd informatie over langdurig verblijf in het buitenland bij de hand, want bij zo'n verblijf kan de dienst contact opnemen met een buitenlandse dienst.
• Vraag de werkgever hoe hij met je gegevens omgaat, welke gegevens hij onderzoekt en waarom.

Wat er in de eerste weken gebeurt en welke toegang je krijgt, staat in het artikel over onboarding van een security professional. Kom je uit een andere functie, lees dan hoe je omschoolt naar cybersecurity.