De Baseline Informatiebeveiliging Overheid (BIO) is per 2020 het nieuwe normenkader voor alle overheidsorganisaties en daarmee ook voor de gemeente Beekdaelen. De BIO is gebaseerd op de NEN-EN-ISO/IEC 27001:2017 (verder ISO27001) en kent daarmee een vergelijkbare indeling. Uitwerking van de BIO vindt plaats op basis van NEN-ISO/IEC 27002 (verder ISO 27002). Onderstaand treft u een uitwerking van de opzet en de implementatiemaatregelen van de BIO.
Opzet BIO
De BIO kent dezelfde opbouw als de ISO27001. De niveaus beheersdoelstellingen, beheersmaatregelen en implementatierichtlijnen zijn identiek aan de ISO27002 (zie figuur 1). De beheersdoelstellingen (ook wel normen genoemd) kennen beheersmaatregelen (ook wel controls genoemd) die op hun beurt zijn uitgewerkt in implementatierichtlijnen (ook wel maatregelen genoemd). In de BIO is een deel van de beheersmaatregelen op voorhand gekoppeld aan implementatierichtlijnen en worden daarom ook wel aangeduid als overheidsmaatregelen.
Implementatierichtlijnen (maatregelen)
Iedere control van de BIO is in de ISO27002 uitgewerkt in implementatierichtlijnen. Deze implementatierichtlijnen moeten worden gebruikt om te bepalen hoe de controls uitgewerkt kunnen worden in maatregelen. De implementatierichtlijnen zijn niet allemaal in de BIO opgenomen, hiervoor wordt verwezen naar de ISO27002.
Een deel van de controls is wel uitgewerkt in verplichte implementatierichtlijnen, omdat zij:
voortvloeien uit wet- en regelgeving. Het niet treffen van een dergelijke maatregel is dan in strijd met wet- en regelgeving;
zo basaal zijn dat zij het fundament vormen van een betrouwbare informatievoorziening;
dienstbaar zijn aan de beveiliging in een procesketen of netwerk; niet-naleving door een enkele organisatie is per saldo niet effectief voor de gehele keten. Het vormt een risico voor alle andere partijen in de keten en leidt bij hen tot extra maatregelen en kosten. Voor de keten als geheel is dit niet efficiënt. Voor een generieke dienst geldt een afweging die analoog is aan het ketenvraagstuk.
De BIO noemt deze verplichte maatregelen ‘overheidsmaatregelen’. De overheidsmaatregelen dekken niet de gehele beveiligingsdoelstellingen van de control af. Net als bij de controls, geldt hier een hardheidsbepaling: in het geval een maatregel voor een specifiek geval niet van toepassing kan zijn, vervalt de verplichting.
Bij een aantal overheidsmaatregelen zijn binnen de BIO verwijzingen toegevoegd naar relevante wet- en regelgeving. Deze overheidsmaatregelen hebben een verplichtend karakter.
Artikel 1