Om borging van het informatieveiligheidsbeleid en de daarvan afgeleide plannen te realiseren, wordt naast een toebedeling van rollen (zie hoofdstuk 2), onderstaande Plan, Do, Check, Act (PDCA) cyclus doorlopen. Alhoewel altijd tussentijds documenten kunnen worden bijgesteld, worden onderstaande uitgangspunten gehanteerd voor het doorlopen van de PDCA cyclus (zie figuur 2):
Informatieveiligheidsbeleid (zowel strategisch als tactisch): bevat het informatieveiligheidsbeleid en de visie op informatieveiligheid. Bijstelling van het informatieveiligheidsbeleid vindt plaats rond een cyclus van 4 jaar. Indien zich grote wijzigingen voordoen vindt actualisatie eerder plaats;
Informatieveiligheidsanalyse: bevat de risicoanalyse (de toets aan de praktijk) op basis van informatieveiligheidsbeleid en de normen die hierin zijn vermeld of de normen waar in het beleid naar wordt gerefereerd. Bijstelling van de informatieveiligheidsanalyse vindt plaats na 1 tot 2 jaar;
Actieplan Informatieveiligheid: bevat de concrete geprioriteerde acties volgend uit de informatieveiligheidsanalyse. De governance komt bij elkaar om de implementatie van het actieplan informatieveiligheid te monitoren, dit vindt conform de bespreking in het informatieveiligheidsoverleg (zie paragraaf 2.2) twee maal per jaar plaats.
In de jaarrekening wordt gerapporteerd over het doorlopen van de beschreven cyclus met betrekking tot informatieveiligheid.
Figuur 2: De informatieveiligheidspiramide met PDCA cirkel
Hoofdstuk 1.
Artikel 1.5
Borging van het informatieveiligheidsbeleid
Onderdeel van Strategisch gemeentebreed informatieveiligheidsbeleid