Offboarding-checklist: zo komt de IT-hardware veilig terug

Wanneer medewerkers het bedrijf verlaten, denkt HR aan het getuigschrift, het resterende verlof en de sleutels. IT denkt aan accounts en licenties. En de hardware? Laptop, bedrijfstelefoon, tablet, headset en dockingstation staan vaak op de thuiswerkplek – soms honderden kilometers verderop. Deze offboardingchecklist laat zien hoe u IT-hardware volledig, veilig en gedocumenteerd terughaalt en wat er daarna met de apparaten moet gebeuren.

Wat offboarding voor IT betekent

Offboarding omvat alle stappen waarmee een bedrijf het vertrek van een persoon organiseert – van het exitgesprek tot de laatste salarisafrekening. Voor IT omvat het drie gebieden: toegang blokkeren, gegevens veiligstellen en wissen, hardware terughalen en hergebruiken of verwaarden.

Het Duitse Federale Bureau voor Informatiebeveiliging (BSI) eist in IT-Grundschutz-module ORP.2 "Personeel" uitdrukkelijk een geregelde procedure bij het vertrek van medewerkers. Daartoe behoort dat alle werkmiddelen en toegangsmiddelen worden ingeleverd. Ook de AVG vereist in art. 32 passende maatregelen om te voorkomen dat persoonsgegevens in verkeerde handen vallen – bijvoorbeeld op een laptop die na het vertrek in een privéwoning blijft.

Waarom thuiswerken het lastiger maakt

Volgens het Duitse Federale Bureau voor de Statistiek werkte in 2023 bijna een kwart van alle werkenden in Duitsland minstens af en toe thuis (23,5%). Elke thuiswerkplek is een kleine buitenlocatie met bedrijfshardware. Bij vertrek kan niemand het apparaat zomaar van het bureau ophalen. Zonder voorbereide retourroute belanden laptops in privépakketten, onverpakt en zonder tracking – of ze komen helemaal niet terug.

De offboardingchecklist voor IT-hardware

Vóór de laatste werkdag

• Een lijst van alle uitgegeven apparaten uit de inventaris halen: laptop, smartphone, tablet, monitoren, dockingstation, headset, token, opslagmedia.
• Afstemmen met de medewerker: ontbreekt er iets, is er iets defect, staan er privégegevens op het apparaat?
• Retourroute vastleggen: overdracht ter plaatse, individuele verzending of ophaling.
• Zakelijke gegevens veiligstellen die bewaard moeten worden, zoals projectdocumenten of correspondentie.
• Bij mobiele apparaten uitzoeken hoe activeringsvergrendeling en persoonlijke accounts worden opgeheven.

Op de laatste werkdag

• Toegang blokkeren: directoryservice, e-mail, VPN, clouddiensten, toegang op afstand.
• Apparaten in de MDM-oplossing vergrendelen of op een retourstatus zetten.
• Het overdrachtsprotocol laten ondertekenen, met serienummers en staat.
• Toegangsmiddelen zoals smartcards, tokens en sleutels innemen.

Na het vertrek

• Controleren of alle apparaten binnen zijn en ze in de inventaris terugboeken.
• Beslissen: doorgeven aan nieuwe medewerkers, opslag, verkoop of afvoer.
• Gegevens gecertificeerd wissen, met bewijs per apparaat.
• Licenties vrijgeven, mobiele contracten aanpassen, simkaarten deactiveren.
• Bewijsstukken in het personeelsdossier of de inventaris opbergen.

Retourzending vanaf de thuiswerkplek organiseren

De veiligste retourroute is die u vooraf vastlegt. Bij Second IT is dat de individuele verzending via DHL-retour: de medewerker verpakt het apparaat, bij voorkeur in de originele verpakking, en meldt de zending aan via een retourportaal. Belangrijk bij Apple-apparaten: de functie "Zoek mijn" moet vooraf zijn uitgeschakeld en de lader en kabel horen in het pakket.

Voor grotere hoeveelheden, bijvoorbeeld wanneer een heel team of een locatie verandert, zijn er twee andere routes:

Situatie	Geschikte oplossing	Bijzonderheid
Afzonderlijke apparaten van de thuiswerkplek	individuele verzending via DHL-retour	Eenvoudig voor medewerkers, geen ophaling nodig
Meerdere smartphones en tablets	PELI Case	Twee hoogbeveiligingszegels conform ISO 17712, tot 31 kg
Veel apparaten op één locatie	Trolley	Afsluitbaar, tot 750 kg, ophaling per expeditie
Grote hoeveelheden of gevoelige afdelingen	Directe ophaling	Zonder tussenopslag, gps-bewaakt, verzegeld, verzekerd

Voor locaties en grote hoeveelheden verzorgt Second IT de beveiligde ophaling ter plaatse. Elk apparaat wordt bij ontvangst via het serienummer geregistreerd. De status ziet u in het klantenportaal.

Wat het overdrachtsprotocol moet bevatten

Het overdrachtsprotocol vormt de schakel tussen personeelsdossier en inventaris. Het moet kort maar volledig zijn:

Gegeven	Doel
Naam, afdeling, vertrekdatum	Toewijzing aan de persoon
Type apparaat, model, serienummer	Ondubbelzinnige koppeling aan de inventaris
Accessoires (lader, dockingstation, headset)	Volledigheid controleren
Staat en bekende schade	Latere beoordeling, opheldering van aansprakelijkheidskwesten
Status van accounts en blokkeringen	Bewijs dat activeringsvergrendeling en persoonlijke accounts zijn opgeheven
Retourroute en zendingsnummer	Tracking tijdens de verzending
Datum en handtekeningen	Bevestiging door beide partijen

Bij een retourzending vervangt het zendingsnummer de handtekening van IT bij de overdracht. IT moet dan bij de goederenontvangst medeondertekenen.

Wat de wet zegt

Werkmiddelen blijven eigendom van de werkgever. Volgens de algemene opvatting moeten werknemers ze bij het einde van het dienstverband inleveren; een retentierecht bestaat in de regel niet. Details zoals de inlevertermijn, de verzendwijze en de aansprakelijkheid bij beschadiging moeten in de arbeidsovereenkomst of in een bruikleenovereenkomst worden geregeld. Bij apparaten die ook privé gebruikt mochten worden, moet bovendien worden vastgelegd hoe privégegevens worden veiliggesteld en verwijderd. Deze bijdrage vervangt geen juridisch advies.

Bijzonder geval: privégebruik en eigen apparaten

Twee situaties verdienen bijzondere aandacht. Ten eerste bedrijfsapparaten die ook privé gebruikt mochten worden. Daarop kunnen privéfoto's, berichten of accounts staan. Geef de medewerker vóór het vertrek de gelegenheid om privégegevens veilig te stellen en documenteer dat. Daarna wordt het apparaat volledig gewist – privé- en zakelijke gegevens zonder onderscheid.

Ten tweede privéapparaten die zakelijk werden gebruikt, vaak "Bring Your Own Device" genoemd. Deze apparaten blijven bij de medewerker. Uw bedrijf moet er echter voor zorgen dat zakelijke gegevens en toegang worden verwijderd, bijvoorbeeld via een aparte werkomgeving in de MDM-oplossing die bij vertrek wordt gewist. Regel dit het best al bij de invoering, niet pas bij het vertrek.

Waaraan u een goed offboardingproces herkent

• Retourpercentage: Hoeveel uitgegeven apparaten komen binnen een vastgestelde termijn terug?
• Doorlooptijd: Hoeveel dagen verstrijken er tussen vertrek en wisbewijs?
• Volledigheid: Is er voor elk teruggegeven apparaat een wis- of vernietigingsbewijs?
• Bestemming: Is voor elk apparaat vastgelegd of het is doorgegeven, verkocht of afgevoerd?

Deze kengetallen zijn met een eenvoudige lijst vast te stellen. Ze laten snel zien waar apparaten in het proces blijven hangen.

Doorgeven, opslaan of verwaarden?

Niet elk teruggegeven apparaat gaat naar een opvolger. Vaak is het ouder dan de huidige apparaatgeneratie of wordt de functie niet opnieuw ingevuld. Dan is de vraag: opslag of verwaarding?

• Interne doorgifte: zinvol bij jonge apparaten. Eerst gecertificeerd wissen en opnieuw inrichten.
• Opslag: alleen met een plan. Apparaten verliezen in opslag elke maand waarde en moeten beschermd worden zolang er gegevens op staan.
• Verkoop: zinvol voor apparaten die niet meer ingepland zijn. De opbrengst vloeit terug naar het budget.
• Afvoer: voor defecte apparaten zonder marktwaarde, vakkundig en met bewijs.

Hoe u afgedankte laptops verantwoord doorgeeft, beschrijft onze gids over het onderwerp Gebruikte laptops inleveren.

Hoe u teruggegeven apparaten zonder blokkeringen doorverkoopt, laat de bijdrage zien: Bedrijfstablets zonder MDM-blokkering verkopen.

Gegevensverwijdering: het onderdeel dat vaak ontbreekt

Veel bedrijven zetten teruggegeven apparaten alleen opnieuw op. Voor interne doorgifte kan dat volstaan, voor verkoop of afvoer niet. Een geformatteerde schijf kan met eenvoudige middelen worden hersteld. Bij Second IT worden de apparaten met Blancco gewist. U ontvangt voor elk apparaat een digitaal ondertekend certificaat. Meer over gegevensverwijdering met certificaat.

Daarnaast worden alle aangeleverde apparaten gericht gecontroleerd op extra opslagmedia: usb-sticks in laptoptassen, geheugenkaarten in smartphones, vergeten externe harde schijven. Meer over de controle op vergeten gegevensdragers. Welke bewijsstukken bij een privacy-audit tellen, leest u in de bijdrage Gegevensdragers AVG-conform afvoeren.

Rollen en verantwoordelijkheden

Rol	Taak bij offboarding
HR-afdeling	Vertrekdatum doorgeven, de teruggave in het vertrekproces verankeren
Leidinggevende	Overdracht van documenten en kennis waarborgen
IT	Toegang blokkeren, apparaten terugboeken, gegevensverwijdering opdragen
Gegevensbescherming	Wisconcept en bewijsstukken controleren
Inkoop of controlling	Verwaarding en opbrengst boeken

Een veelvoorkomend probleem is dat elke afdeling haar deel doet, maar niemand verantwoordelijk is voor het totale proces. Leg vast wie het vertrek vanuit IT-oogpunt afsluit – en waaraan te zien is dat het is afgerond.

Meer over het onderwerp: Geformatteerd is niet verwijderd: harde schijven en SSD's veilig verwijderen en Uitproberen van bedrijfstelefoons: gegevens weg, blokkering weg, geld terug.

Veelgestelde vragen over IT-offboarding

Wat hoort in een offboardingchecklist voor IT?

Drie gebieden: toegang, gegevens en hardware. Toegang tot directoryservice, e-mail, VPN en cloud wordt geblokkeerd. Zakelijke gegevens worden veiliggesteld en op de apparaten gecertificeerd gewist. Alle apparaten worden met serienummer teruggeboekt en vervolgens doorgegeven, verkocht of afgevoerd.

Hoe krijg ik apparaten van de thuiswerkplek terug?

Het best via een voorbereide retourzending. De medewerker verpakt het apparaat en verstuurt het met een retourlabel dat u beschikbaar stelt. Bij Apple-apparaten moet "Zoek mijn" vooraf zijn uitgeschakeld. Bij grotere hoeveelheden zijn verzegelde koffers, rolcontainers of een directe ophaling veiliger.

Moet ik teruggegeven laptops wissen voordat ik ze doorgeef?

Ja. Ook bij interne doorgifte mogen er geen gegevens van de vorige gebruiker op het apparaat achterblijven. Voor verkoop en afvoer is gecertificeerde gegevensverwijdering met bewijs per serienummer de veilige weg. Zo kunt u bij controles aantonen wat er met de gegevens is gebeurd.

Wat doe ik als een apparaat niet terugkomt?

Blokkeer het apparaat onmiddellijk via uw apparaatbeheer en documenteer het voorval. Controleer met uw functionaris voor gegevensbescherming of er sprake is van een meldingsplichtig datalek. Arbeidsrechtelijke stappen stemt u af met uw juridisch adviseur. Duidelijke regels in de arbeidsovereenkomst voorkomen dergelijke gevallen.