Art. 3. Strategisch informatiebeveiligingsbeleid 2025-2029 — Beleidskader informatiebeveiliging

3.1Plaats van dit beleid Het strategisch informatiebeveiligingsbeleid is in lijn met de relevante nationale en Europese wet- en regelgeving (zoals de BIO 2.0 en voor zover van toepassing de NIS2-richtlijn). Het beleid kent een gelaagde opzet met een duidelijke doorvertaling van strategie naar uitvoering: 1. Strategisch informatiebeveiligingsbeleid: legt de strategische uitgangspunten, doelen en kaders vast (dit document). 2. Tactische beleidsdocumenten: werken de strategische uitgangspunten uit in organisatiebrede kaders en onderwerpspecifieke beleidsregels die de implementatie van informatiebeveiliging verplicht stellen. Voorbeelden zijn het tactisch kader voor toegang tot digitale informatie, de kaders voor screening van personeel, wachtwoordbeleid en het informatiebeveiligingsplan. 3. Operationele documenten: vertaling van het tactische beleidsdocumenten naar de praktijk zoals procesbeschrijvingen, operationele procedures en werkinstructies. De strategische uitgangspunten vormen de basis voor alle vervolgdocumenten. Deze uitgangspunten worden in de tactische laag vertaald naar toepasbare regels en richtlijnen en komen in de operationele laag terug als uitvoerbare processen en procedures. Hiermee is geborgd dat de strategische keuzes consistent worden doorgevoerd in beveiligingsplannen, processen en werkinstructies en dat de uitgangspunten herkenbaar zijn in andere beleidsdocumenten binnen de organisatie. 3.2Wettelijke basis 3.2.1Cyberbeveiligingswet Om de fysieke, digitale en economische weerbaarheid te versterken, heeft de Europese Unie de Network and Information Security Directive (NIS2) vastgesteld. In Nederland wordt deze richtlijn geïmplementeerd via de Cyberbeveiligingswet (CBW). Gemeenten zijn, net als andere overheidsinstanties, binnen deze wet aangewezen als essentiële entiteiten. De belangrijkste reden voor deze aanwijzing is dat gemeenten verantwoordelijk zijn voor onderdelen van industriële automatisering, zoals verkeersregelinstallaties, smartcity-toepassingen, afvalverwerking, pompen, gemalen en parkeergarages. Digitale veiligheid is daarmee een wettelijke verplichting geworden, die verder reikt dan alleen de beveiliging van kantoorautomatisering. Het toezicht is daarnaast versterkt en verbreed: naast controles achteraf voert de toezichthouder ook inspecties en audits vooraf uit op de digitale beveiliging van gemeenten. De Rijksinspectie Digitale Infrastructuur (RDI) is hierbij aangesteld als bevoegde toezichthouder. Gemeenten hebben onder de Cyberbeveiligingswet de volgende verplichtingen: * Registratieplicht: inschrijving als essentiële entiteit in het landelijke register. * Zorgplicht: nemen van passende technische en organisatorische maatregelen om de digitale weerbaarheid te waarborgen. * Meldplicht: het tijdig (binnen 24 uur) melden van significante (cyber)incidenten bij de toezichthouder. * Toezicht: gemeenten staan onder toezicht van de RDI, die zowel preventief (audits) als repressief (handhaving) kan optreden. * Bestuurders moeten aantoonbaar worden meegenomen in bewustwording, kennis en besluitvorming rondom informatiebeveiliging. 3.2.2Baseline Informatiebeveiliging Overheid 2.0 De Baseline Informatiebeveiliging Overheid 2.0 (BIO 2.0) vormt het nieuwe kader voor informatiebeveiliging en volgt de BIO 1.04 op. De BIO 2.0 is geen wetgeving op zichzelf, maar in de Cyberbeveiligingswet staat dat aanvullende regels voor beveiliging via een Algemene Maatregel van Bestuur kunnen worden gesteld, wat dan de BIO 2.0 is. De BIO 2.0 heeft als doel NIS2/Cyberbeveiligingswet-compliant te zijn. Dat betekent dat het volgen van de BIO 2.0 onze organisatie helpt om aan de Cyberbeveiligingswet te voldoen. Dit strategische informatiebeveiligingsbeleid is gebaseerd op de Baseline Informatiebeveiliging Overheid BIO 2 De BIO 2 is gebaseerd op: - NEN-ISO/IEC 27001:2023 - NEN-ISO/IEC 27002:2022 - En lijst met aanvullende overheidsmaatregelen 3.2.3De Cybersecurity Implementatie Richtlijn (CSIR) Onze organisaties gebruiken de BIO als beveiligingsnorm voor de beveiliging van onze kantoorautomatisering. Voor het beveiligingen van industriële automatisering en/of procesautomatiseringssystemen bestaan aanvullende beveiligingseisen die niet in de BIO 2.0 staan. Voor de bescherming van Proces Automatisering is met name de Cybersecurity Implementatie Richtlijn (CSIR) van toepassing. Deze CSIR-richtlijn is namelijk speciaal ontwikkeld om objecten (waterzuiveringsinstallaties, gemalen, bruggen, keringen, sluizen, etc.) te beveiligen. 3.3Handvatten voor de rol van de bestuurder De 10 principes voor informatiebeveiliging zijn een aanvulling op het normenkader BIO 2.0 en gaan over de principes op basis waarvan de bestuurder denkt, bestuurt en handelt. Deze principes ondersteunen de bestuurder bij het uitvoeren van goed risicomanagement bij o.a. beveiligingsincidenten met directe gevolgen voor inwoners en/of medewerkers. De 10 principes zijn: 1. Bestuurders bevorderen een veilige cultuur; 2. Informatiebeveiliging is van iedereen; 3. Informatiebeveiliging is risicomanagement; 4. Risicomanagement is onderdeel van de besluitvorming; 5. Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking; 6. Informatiebeveiliging is een proces; 7. Informatiebeveiliging kost geld; 8. Onzekerheid dient te worden ingecalculeerd; 9. Verbetering komt voort uit leren en ervaring; 10. Het bestuur controleert en evalueert. Deze 10 principes van VNG/IBD (De Informatiebeveiligingsdienst voor gemeenten (IBD) onderdeel van Vereniging van Nederlandse Gemeenten (VNG). https://www.informatiebeveiligingsdienst.nl/product/de-10-bestuurlijke-principes-voor-informatiebeveiliging/) staan nader uitgewerkt in de uitgewerkte rolverdeling van hoofdstuk 5 en in het tactische informatiebeveiligingsbeleid en het informatiebeveiligingsplan. 3.4 Uitgangspunten Dit hoofdstuk beschrijft de uitgangspunten en deze zijn de belangrijkste normen en waarden die de gemeente nastreeft bij het beveiligen van haar informatie en de hiervoor minimale benodigdheden. 3.4.1Leiderschap en continu proces - Het bestuur, en het management dragen dit beleid uit en sturen op de implementatie van dit beleid. - Regels, verantwoordelijkheden en bevoegdheden die relevant zijn voor informatiebeveiliging zijn toegekend en gecommuniceerd binnen de organisatie. - Benodigde middelen en competenties worden vastgesteld en beschikbaar gesteld om eigendommen en werkprocessen te kunnen beveiligen en te voldoen aan dit beleid. - Om het informatiebeveiligingsproces te structureren wordt gebruikgemaakt van een managementsysteem (ISMS), gebaseerd op het Plan-Do-Check-Act (PDCA)-model. Binnen dit systeem worden op verschillende niveaus rapportages opgesteld en gedeeld, variërend van de proceseigenaar tot en met de directie en het bestuur. Op deze manier is de voortgang van het informatiebeveiligingsproces geborgd en krijgt ieder niveau de informatie die nodig is om zijn verantwoordelijkheid te kunnen nemen. - Informatiebeveiliging is een continu verbeterproces. Door organisatiebrede planning, het implementeren van maatregelen, het periodieke controleren én coördinatie wordt de kwaliteit van de informatiebeveiliging verankerd en verbeterd binnen de organisatie. - Het managementsysteem voor informatiebeveiliging moet o.a. bevatten de gedocumenteerde informatie die de organisatie nodig acht voor de doeltreffendheid van het managementsysteem van informatiebeveiliging. - Vastgestelde beleidsstukken en uitwerkingen daarvan (bijv. procedures, standaarden en werkinstructies) worden centraal beheerd in het managementsysteem voor informatiebeveiliging. - Tijdens Planning & Control-gesprekken dient er aandacht te zijn voor de informatiebeveiliging n.a.v. de rapportage van de CISO. De onderwerpen, die als risicovol worden gezien, moeten tevens worden opgenomen in auditplannen. - Elk bedrijfsproces en informatiesysteem dat wordt gebruikt, heeft of krijgt binnen het ISMS een eigenaar (teammanager). Deze eigenaar bepaalt de waarde van de informatie die het proces of systeem bevat. De primaire verantwoordelijkheid voor de bescherming van deze informatie ligt bij de eigenaar, die verantwoording aflegt over de beveiliging ervan. - De rol van de coördinator van informatiebeveiliging (Chief Information Security Officer: CISO) is ingevuld. De CISO ondersteunt vanuit een onafhankelijke positie het bestuur en management bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover. - Informatiebeveiliging mag niet ten koste gaan van de veiligheid van personen. - Hoewel de basiskernregistraties (zoals BRP, PUN/PNIK, SUWI, BAG, BGT, BRO) en toekomstige basisregistraties belangrijk zijn in het kader van informatiebeveiliging, krijgen zij niet meer of minder voorrang dan andere (primaire) processen binnen de gemeente. Het samenspel van alle processen binnen de bedrijfsvoering is belangrijk voor de missie en de visie van de gemeente en het behalen van de doelen die zijn gesteld. 3.4.2Risicobeheersing - Informatiebeveiliging is onlosmakelijk verbonden met risicomanagement. Risico’s worden in kaart gebracht en door de proceseigenaar en de CISO afgewogen. Indien een risico de reikwijdte van een proces of organisatieonderdeel overstijgt, vindt de afweging en eventuele acceptatie plaats op management- of directieniveau. - De inrichting van informatiebeveiliging is procesgestuurd en risicogebaseerd. Beveiligingsmaatregelen worden vastgesteld volgens een voorgeschreven risicomanagementmethodiek, waarbij geldende wet- en regelgeving (waaronder BIO 2.0, NIS2 en AVG) altijd leidend is. - Om te waarborgen dat informatie over risico’s en incidenten actueel, volledig en juist is, worden deze centraal vastgelegd en periodiek geactualiseerd in het Information Security Management System (ISMS). Dit systeem ondersteunt tevens de aantoonbaarheid richting auditors en toezichthouders. - Informatiebeveiligingsincidenten worden afgehandeld volgens een gestandaardiseerd proces. Ernstige incidenten en datalekken worden conform de wettelijke verplichtingen tijdig gemeld aan de bevoegde toezichthouders en, indien van toepassing, aan betrokkenen. 3.4.3Cyberweerbaarheid - De gemeente neemt technische en organisatorische maatregelen om de organisaties te beschermen tegen incidenten en cyberdreigingen, om deze tijdig te detecteren, te herstellen en de impact te beperken. Hierbij wordt ingezet op logging, geautomatiseerde detectie, analyse en waar mogelijk automatische respons. - De organisaties versterken hun cyberweerbaarheid door kritieke processen te identificeren, risico’s te beoordelen en passende beveiligingsmaatregelen te treffen (bedrijfscontinuïteit). - Voor de borging van de bedrijfscontinuïteit volgen wij de geldende wet- en regelgeving en de richtlijnen en adviezen van de Vereniging van Nederlandse Gemeenten (VNG). - Werkinstructies, procedures en beleid worden periodiek getest om effectiviteit en actualiteit te waarborgen. 3.4.4Digitaal vaardig gedrag - Het lijnmanagement heeft voortdurend aandacht voor het vergroten van de digitale vaardigheden en het veilige gedrag van medewerkers, om zo de menselijke schakel te versterken. - Medewerkers dienen verantwoord om te gaan met (persoons)gegevens en andere informatie. Een bewustwordingsprogramma ondersteunt hen hierbij. - Waar relevant voor de uitvoering van werkzaamheden worden medewerkers getraind in het toepassen van beveiligingsprocedures. - Iedere medewerker – vast of tijdelijk, intern of extern – die toegang heeft tot informatie en systemen, is verplicht deze te beschermen tegen ongeautoriseerde toegang, gebruik, wijziging, openbaarmaking, vernietiging, verlies of overdracht. Bij (vermeende) inbreuken geldt een meldplicht. Deze verplichting geldt eveneens voor raads- en commissieleden die toegang hebben tot gemeentelijke informatie of systemen. 3.4.5Overige uitgangspunten - De verantwoordelijkheid voor informatiebeveiliging eindigt niet bij de voordeur van onze organisatie. Ook zaken als verbindingen met externe partijen en leveranciers zijn van belang. Er worden gelijkwaardige eisen gesteld aan leveranciers en externe partijen, zoals dit ook voor de interne situatie zou gebeuren. Uitgangspunt hierbij is dat we niet alleen inzetten op de bescherming van gebouwen en (IT) voorzieningen maar sturen op het beschermen van informatie (data) ongeacht waar deze zich bevindt. - Nieuwe technologieën zoals AI worden binnen dezelfde kaders beoordeeld als andere systemen: risicogestuurd, conform BIO2/NIS2/AVG en passend binnen de BIV-classificatie. - Dit beleid dient als uitgangspunt voor: * het passend beheersen van informatiebeveiligings- en privacy risico’s; * het herkennen en voorkomen van incidenten; * het kunnen omgaan met incidenten en calamiteiten; * het verhogen van de digitale weerbaarheid; * het voldoen aan normen en wet- en regelgeving; en, * het beschermen van inwoners, medewerkers en andere belanghebbenden. 3.5 Randvoorwaarden Voor een effectieve uitvoering van dit beleid gelden de volgende randvoorwaarden: - Er worden voldoende financiële middelen en uitvoeringscapaciteit beschikbaar gesteld om het informatiebeveiligingsbeleid en -plan uit te voeren. - Informatiebeveiligingseisen maken structureel deel uit van afspraken met ketenpartners, leveranciers en gemeenschappelijke regelingen en worden periodiek geëvalueerd en gecontroleerd. - Kennis en bewustzijn van informatiebeveiliging worden actief bevorderd en geborgd op alle niveaus binnen de organisatie. - Het informatiebeveiligingsplan wordt, indien nodig, jaarlijks geactualiseerd onder aansturing van de CISO, op basis van: * dit informatiebeveiligingsbeleid, * de resultaten van de jaarlijkse ENSIA-verantwoording, * overige audits (zoals de Financiële Jaarrekeningcontrole en Wpg-audit), * het dreigingsbeeld gemeenten van de VNG/IBD en het NCSC, * en de uitkomsten van uitgevoerde risicoanalyses.

Rechtspraak bij dit artikel