Wanneer afspraken rondom informatiebeveiliging niet of onvoldoende worden nagekomen, dient de directie te zorgen voor een klokkenluidersregeling conform de Wet bescherming klokkenluiders. Hiervoor is het noodzakelijk dat specifiek voor informatiebeveiliging de volgende punten worden gewaarborgd:
Medewerkers moeten anoniem melding kunnen doen, zonder dat de melding is terug te traceren naar de melder;
Klokkenluidersmeldingen zijn geclassificeerd als informatie met informatieclassificatie ‘Hoog’. Alle eisen ten aanzien van deze informatieclassificatie gelden voor deze meldingen;
De melding komt alleen terecht bij degene die verantwoordelijk zijn voor het behandelen van beveiligingsincidenten om de vertrouwelijkheid van de melder te beschermen;
Het meldpunt dient onafhankelijk van de rest van de gemeente te opereren;
Medewerkers dienen terugkoppeling te krijgen van de behandelaar van de melding over hoe hun melding is behandeld en wat er met de informatie is gedaan;
Medewerkers die melding maken dienen te worden beschermd tegen de consequenties van het doen van de melding;
De procedure ten aanzien van de klokkenluidersregeling dient duidelijk gecommuniceerd te worden naar de medewerkers, zodat inzichtelijk is hoe een beveiligingsissue gemeld moet worden en wat er vervolgens mee gebeurt.
Referentie: BIO versie 1.04vz beheersmaatregel 7.2.1.1.
Hoofdstuk 4. › Paragraaf 4.2.
Artikel 4.2.2.
Klokkenluidersregeling
Onderdeel van Informatiebeveiligingsbeleid 2024-2027