Het college van burgemeester en wethouders is integraal verantwoordelijk voor de beveiliging (beslissende rol) van informatie binnen vrijwel alle werkprocessen van de gemeente. (De raad heeft hierin een eigen verantwoordelijkheid voor haar eigen informatiehuishouding.)
Het college
stelt kaders voor informatiebeveiliging op basis van landelijke en Europese wet- en regelgeving en landelijke normenkaders door vaststelling van:
het Gemeentelijk Informatiebeveiligingsbeleid (driejaarlijks);
het Informatiebeveiligingsplan (jaarlijks);
sectorale beveiligingsplannen (bijvoorbeeld Basisregistratie Personen, Paspoort Uitvoeringsregeling Nederland en Suwinet).
heeft een portefeuillehouder informatieveiligheid en privacy aangewezen;
legt verantwoording aan af aan de raad en aan externe toezichthouders. Bijvoorbeeld: ministeries van Binnenlandse Zaken en Koninkrijksrelaties, Sociale Zaken en Werkgelegenheid en aan de Autoriteit Persoonsgegevens).
De Gemeentesecretaris/Algemeen directeur (in sturende rol) is verantwoordelijk voor de uitwerking van de kaders en sturing. Hij/zij:
stuurt op de gemeentebrede risico’s;
stelt de specifieke processen voor informatiebeveiliging vast.
wijst gegevenseigenaren binnen de ambtelijke organisatie aan;
controleert of de getroffen maatregelen overeenstemmen met de betrouwbaarheidseisen en of deze voldoende bescherming bieden;
evalueert periodiek beleidskaders.
De voorbereiding van en advisering over de IB taken van de Gemeentesecretaris/Algemeen Directeur (GS/AD) worden opgedragen aan de Coördinator Informatiebeveiliging. (Zie bijlage 2.) Teneinde aan te sluiten bij de gangbare praktijk in gemeenteland wordt de functiebenaming Coördinator Informatiebeveiliging vervangen door Chief Information Security Officer (CISO). De omvang van deze functie is 1,0 FTE.
De CISO wordt geplaatst binnen het team Beleid en Projecten.
De directeuren en teammanagers binnen de gemeente (in vragende rol) zijn verantwoordelijk voor de integrale beveiliging van hun organisatieonderdelen, processen en gegevensverzamelingen. Zij worden ook aangeduid als: de interne gegevenseigenaren, proceseigenaren en “projectopdrachtgevers”. Voor al deze rollen geldt ten aanzien van hun werkterrein(en):
stellen zij op basis van een expliciete risicoafweging de betrouwbaarheidseisen voor de gegevensverzameling vast (hierbij wordt gebruik van de hulpmiddelen die door de VNG Realisatie en de IBD worden beschikbaar gesteld);
zijn zij verantwoordelijk voor de keuze, de implementatie en het uitdragen van de maatregelen die voortvloeien uit de betrouwbaarheidseisen;
sturen zij op beveiligingsbewustzijn, bedrijfscontinuïteit en naleving van regels en richtlijnen (gedrag en risicobewustzijn);
rapporteren zij over naleving van wet- en regelgeving en algemeen beleid van de gemeente in de managementrapportages.
De teammanager ICT en de teammanager Beleid en Projecten (in uitvoerende rol) zijn verantwoordelijk voor:
beveiliging van de informatievoorziening en implementatie van beveiligingsmaatregelen, die voortvloeien uit de vastgestelde basisbeveiligingsniveaus;
beveiliging van de informatievoorziening bij vernieuwing van informatiesystemen en werkprocessen;
alle beheeraspecten van informatiebeveiliging, zoals IT security management, incident- en problem management;
logging, monitoring en rapportage;
technisch beveiligingsadvies leveren aan de andere teams.
De teammanagers die tevens beheerders zijn van gemeentelijke gebouwen zijn verantwoordelijk voor de fysieke aspecten van de informatiebeveiliging daarvan (bijvoorbeeld toegangsbeveiliging en stroomvoorziening).Voor het Stadhuis is dit de teammanager Facilitair en voor de Koog de teammanager Vastgoed en voor de Purmaryn de teammanager/directeur.
Hoofdstuk 2
Artikel 2.1
Verantwoordelijkheden en taken
Onderdeel van Gemeentelijk Informatiebeveiligingsbeleid (GIBB) 2019-2021