De BIG (Baseline Informatieveiligheid Gemeenten) is het normenkader voor de beveiliging van informatiesystemen (zie hoofdstuk 4). Deze norm wordt per 1 januari 2020 opgevolgd door de Baseline Informatieveiligheid Overheid (BIO). Dan gaan Gemeenten, Rijk, waterschappen en provincies over op één uniform normenkader voor informatiebeveiliging: de Baseline Informatiebeveiliging Overheid (BIO), met daarin alle regels waaraan alle overheidslagen moeten voldoen. Voor gemeenten is 2019 voorzien als voorbereidingsjaar 2 https://vng.nl/files/vng/brieven/2019/20190107_ledenbrief_standaardverklaring-baseline-informatiebeveiliging-overheid.pdf.
Informatieveiligheid is een randvoorwaarde voor een professionele gemeente. We werken steeds meer samen in een vernetwerkte overheidsomgeving. Daarbij moeten we impliciet kunnen vertrouwen op een adequaat beveiligingsniveau van ketenpartners.
De BIO betekent een verandering voor gemeenten. Ten opzichte van de huidige Baseline Informatieveiligheid Gemeenten (BIG) worden bijna 200 maatregelen geschrapt. Gemeenten krijgen zo meer ruimte om voor hen relevante maatregelen te treffen. De maatregelen uit de BIG die in de BIO nog wel worden genoemd gelden als verplicht voor alle overheden.
De BIO positioneert de bestuurder en het management sterker dan voorheen in de rol waarin hij of zij risico-gebaseerd stuurt op het gebied van informatieveiligheid. Zij zullen hierover met de betrokken Chief Information Security Officers afspraken moeten maken. Ter ondersteuning daarbij zijn ‘De 10 bestuurlijke principes voor informatiebeveiliging’ vastgesteld. Ze dienen als handvatten voor dat gesprek. Overigens hanteert Zeist risicomanagement in de afgelopen jaren al als uitgangspunt bij het vormgeven van Informatieveiligheid.
Met de BIO wordt informatiebeveiliging nog meer dan voorheen een zaak van de bestuurder. De BIO positioneert de bestuurder en het management sterker dan voorheen in de rol waarvan hij/zij risico gebaseerd stuurt op het gebied van Informatieveiligheid. Daarnaast is het cruciaal in de BIO dat de verantwoordelijkheid voor informatiebeveiliging wordt belegd bij de lijnmanagers (afdelingshoofden).
Ter ondersteuning zijn 10 bestuurlijke principes voor informatieveiligheid vastgesteld.
Hoofdstuk 5.
Artikel 5.1.