De gemeente West Maas en Waal is verantwoordelijk voor de beveiliging van haar informatievoorziening. Om deze verantwoordelijkheid goed in te vullen is inzicht in risico’s (security by design) en verantwoording over besluitvorming rondom informatiebeveiliging nodig. Dit hoofdstuk waarborgt de rollen en verantwoordelijkheden op het gebied van informatiebeveiliging en benadrukt de (eind)verantwoordelijkheid van de lijnorganisatie. Er wordt beschreven hoe de principes en doelstellingen in dit informatiebeveiligingsbeleid worden geborgd en hoe de relevante wet- en regelgeving wordt geïmplementeerd en gehandhaafd.
5.1Verantwoordelijkheden
5.1.1Lijnverantwoordelijkheid
De Baseline Informatiebeveiliging Overheid 2.0 (BIO 2.0) stelt dat informatiebeveiliging in de eerste plaats een lijnverantwoordelijkheid is. Dit betekent dat iedere teammanager verantwoordelijk is voor de beveiliging van de informatie binnen zijn processen, ketens en applicaties/systemen. De bestuurders en het management dragen daarbij de eindverantwoordelijkheid voor de naleving van informatiebeveiliging binnen de organisatie, in lijn met de verplichtingen uit de BIO 2.0 en de NIS2-richtlijn.
Het is aan de teammanager om – eventueel met ondersteuning van CISO, ISO en FG – te bepalen:
* welke informatie als vertrouwelijk moet worden aangemerkt,(Data classificatie).
* welke risico’s gepaard gaan met de verwerking van deze informatie, en (Risicomanagement).
* welke maatregelen passend en proportioneel zijn om deze risico’s te beperken.(Opvolging CISO-en FG adviezen).
Voor ieder gemeentelijk proces, applicatie en systeem wordt centraal vastgelegd welke teammanager als proceseigenaar optreedt en daarmee verantwoordelijk is voor de informatiebeveiliging. Voor processen waarin persoonsgegevens of bedrijfsgevoelige informatie worden verwerkt, wordt gebruikgemaakt van de bestaande registraties, zoals het verwerkingsregister en het overzicht van de bedrijfskritische processen, waarin de verantwoordelijken reeds zijn benoemd. Deze gegevens worden geïntegreerd in het ISMS, zodat één centrale en actuele basis ontstaat.
Wanneer er (nog) geen proceseigenaar is aangewezen, draagt het managementteam van de gemeente deze verantwoordelijkheid expliciet op aan een teammanager. Daarmee is gewaarborgd dat verantwoordelijkheden altijd helder en ondubbelzinnig zijn belegd.
Wanneer een teammanager taken laat uitvoeren door een andere organisatie, zoals een leverancier, shared service center of ketenpartner, blijft hij verantwoordelijk voor de waarborging van de belangen van de gemeente. Dit wordt vastgelegd in een schriftelijke overeenkomst, zoals een dienstverleningsovereenkomst, verwerkersovereenkomst of gegevensleveringsovereenkomst. In lijn met de BIO 2.0 en NIS2 dient de teammanager niet alleen te zorgen dat afspraken contractueel zijn vastgelegd, maar ook dat deze in de praktijk worden nageleefd. Dit vereist periodieke toetsing en monitoring van de dienstverlening en de getroffen beveiligingsmaatregelen. (Leveranciersmanagement en contractbeheer).
Externe organisaties die geen onderdeel zijn van de overheid vallen niet rechtstreeks onder de BIO 2.0. In die gevallen bepaalt de opdrachtgever samen met de CISO welke informatiebeveiligingseisen van toepassing zijn. Deze eisen moeten expliciet in het contract met de externe partij worden opgenomen en periodiek worden getoetst op naleving. (inkoopbeleid).
Contractuele borging van informatiebeveiliging met leveranciers wordt uitgevoerd conform BIO2, NIS2 en GIBIT-eisen en vormt onderdeel van ENSIA en ketenmonitoring.
5.1.2Ketenverantwoordelijkheid
De verschillende informatiesystemen in onze organisatie zijn onderling afhankelijk en ondersteunen samen een proces of keten. Om deze reden wijst het managementteam voor iedere keten één teammanager aan als proceseigenaar. Deze proceseigenaar is verantwoordelijk voor de beveiliging van de keten en stelt, op basis van een risicoanalyse, het vereiste beveiligingsniveau vast. Daarbij houdt hij rekening met specifieke afspraken en afhankelijkheden binnen de keten.
Het managementteam van de gemeente draagt de eindverantwoordelijkheid voor de borging van informatiebeveiliging en ziet erop toe dat er een actueel overzicht beschikbaar is van de ketens waar de gemeente deel van uitmaakt. In dit overzicht zijn de verantwoordelijkheden en afspraken met ketenpartners expliciet vastgelegd en wordt periodiek gecontroleerd of deze afspraken in de praktijk worden nageleefd.
Voorbeelden van ketensamenwerkingen en afhankelijkheden voor gemeenten zijn:
* Samenwerkingen in het Sociaal Domein, waarin de gemeente samenwerkt met zorgaanbieders, in het kader van Wmo- en jeugdzorgvoorzieningen.
* Het verkiezingsproces, waarbij gemeenten samenwerken met de Kiesraad en leveranciers van verkiezingssoftware en -systemen.
* De digitale toegangsketen, zoals DigiD en eHerkenning, waarbij gemeenten afhankelijk zijn van landelijke voorzieningen en leveranciers van authenticatiediensten.
5.1.3Samenwerkingsverbanden
Gemeente West Maas en Waal neemt deel aan diverse samenwerkingsverbanden.
De informatiebeveiliging binnen deze verbanden is doorgaans afhankelijk van meerdere partijen, wat de borging van beleid en maatregelen complexer maakt. Wanneer de gemeente binnen een samenwerkingsverband de grootste verantwoordelijkheid draagt – bijvoorbeeld bij het beheer van een gezamenlijke informatievoorziening – is dit beleid leidend.
5.2Interne rollen en verantwoordelijkheden
Hieronder worden de rollen opgesomd die bijdragen aan het proces van informatiebeveiliging binnen de gemeente. Basis voor de rolverdeling en de verdeling van de verantwoordelijkheden zijn de BIO 2.0 en geldende wet- en regelgeving. De rollen en verantwoordelijkheden bij een cybercrisis worden apart beschreven in continuïteitsplanen.
5.2.1De gemeenteraad
De gemeenteraad heeft binnen de eigen gemeente een toezichthoudende rol, gebaseerd op de controlerende taak die de Gemeentewet aan de raad toekent. De raad is bevoegd om het beleid en de uitvoering daarvan te controleren en te toetsen, waaronder het beleid op het gebied van informatiebeveiliging.
Daarnaast heeft de gemeenteraad een voorbeeldfunctie in het naleven en uitdragen van dit beleid en de bijbehorende tactische en operationele beleidsstukken.
5.2.2College van burgemeester en wethouders
Het college van burgemeester en wethouders is bestuurlijk eindverantwoordelijk voor het organiseren van een passend niveau van informatiebeveiliging binnen de eigen organisatie. Het college stelt met dit beleidsdocument de kaders vast ten aanzien van informatiebeveiliging. Binnen het college is een portefeuillehouder informatiebeveiliging aangewezen.
Voor specifieke onderwerpen geldt een afwijkende bevoegdheidsverdeling. Zo is bij wet bepaald dat voor reisdocumenten de bevoegdheid tot het vaststellen van kaders niet bij het college, maar bij de burgemeester ligt.
Net als de gemeenteraad heeft ook het college een voorbeeldfunctie bij het naleven en uitdragen van dit beleid en de bijbehorende tactische en operationele beleidsstukken.
5.2.3Gemeentesecretaris
De gemeentesecretaris is ambtelijk eindverantwoordelijk voor de kaderstelling en sturing op tactisch niveau, alsmede voor de implementatie, borging en uitvoering van het informatiebeveiligingsbeleid binnen de organisatie. De gemeentesecretaris heeft de verantwoordelijkheid voor informatiebeveiliging gedelegeerd aan het management team, die zorgdraagt voor de feitelijke uitvoering en naleving.
5.2.4Concerncontroller
De rol van de concerncontroller is die van onafhankelijke en kritische huisvriend op alle onderdelen die te maken hebben met control en het behalen van de doelstellingen. Dit betekent dat de concerncontroller kritische vragen stelt en op die wijze control binnen de organisatie naar een hoger niveau probeert te brengen. Daarbij beoordeelt hij voorstellen op rechtmatigheid, doeltreffendheid en doelmatigheid, maar ook op integraliteit vanuit de verschillende disciplines om verkokering tegen te gaan en samenwerking aan de voorkant te bevorderen. Als onderdeel van de jaarrekening is de concerncontroller verantwoordelijk voor het opstellen van de rechtmatigheidsverantwoording voor het college richting de raad. Als geweten van de organisatie adviseert de concerncontroller gevraagd en ongevraagd over de bestuurlijke en ambtelijke rolverdeling en de kwaliteit van de informatievoorziening, inclusief risico’s voor informatieveiligheid. Het werkveld van de concerncontroller is breed, waarbij hij als spin in het web fungeert. Intern heeft hij periodiek overleg met het bestuur, de gemeentesecretaris, MT-leden, accounthouders van de gemeenschappelijke regelingen en de griffie. Extern onderhoudt en legt hij contact met collega’s uit de regio en specialisten en toezichthouders.
5.2.5Lijnmanager
In de Baseline Informatiebeveiliging Overheid 2.0 is vastgelegd dat informatiebeveiliging een lijnverantwoordelijkheid is. Een andere benaming voor de lijnmanager is de proceseigenaar. Binnen onze organisatie zijn dit meestal de teammanagers. Elke teammanager is eindverantwoordelijk voor een adequate beveiliging van de informatie in de processen, ketens en applicaties/systemen binnen zijn beheer. Deze verantwoordelijkheid kunnen zij niet delegeren, uitvoerende werkzaamheden wel. Om deze verantwoordelijkheid waar te maken, dienen teammanagers goed ondersteund te worden.
5.2.6Chief Information Security Officer (CISO)
De Chief Information Security Officer (CISO) vervult een strategische en toezichthoudende rol binnen de organisatie. Hij of zij adviseert en ondersteunt het lijnmanagement, de gemeentesecretaris en het bestuur bij hun verantwoordelijkheid voor informatiebeveiliging, waaronder de implementatie en naleving van de Cyberbeveiligingswet. De CISO ziet daarbij toe op de werking en effectiviteit van maatregelen die de beschikbaarheid, integriteit en vertrouwelijkheid (BIV) van informatie en persoonsgegevens borgen. Het advies van de CISO weegt zwaar mee in besluitvorming. Tot de taken behoren het actualiseren van het strategisch informatiebeveiligingsbeleid, de coördinatie van de uitvoering en de organisatie van toezicht en audits. De voortgang en bevindingen rapporteert de CISO rechtstreeks aan het management team en bestuur. Daarnaast fungeert de CISO als centraal aanspreekpunt voor interne medewerkers en externe partijen, waaronder inwoners, samenwerkingspartners, de VNG, provincie, regio en ministeries. De CISO opereert onafhankelijk en is zodanig gepositioneerd dat hij of zij niet hiërarchisch onder het lijnmanagement valt. Hiermee worden de onafhankelijkheid en objectiviteit van toezicht en advisering gewaarborgd.
5.2.7Information Security Officer (ISO)
De ISO ondersteunt de CISO en de temmanagers bij de uitvoering van het informatiebeveiligingsbeleid. De ISO is organisatiebreed verantwoordelijk voor advisering en ondersteuning op tactisch en operationeel niveau.
De ISO draagt bij aan het opstellen en actualiseren van procedures en beleid, adviseert bij de implementatie en uitvoering daarvan en ondersteunt bij projecten waarin informatiebeveiliging een rol speelt. Daarnaast houdt de ISO zich bezig met het uitvoeren van risicomanagement en met de implementatie en het beheer van het Information Security Management System (ISMS).
5.2.8Beveiligingsbeheerder
De beveiligingsbeheerder is verantwoordelijk voor beheer en coördinatie op het gebied van informatiebeveiliging binnen een specifiek domein.
Er zijn zowel centrale beveiligingsbeheerders met een organisatiebrede scope, als decentrale beveiligingsbeheerders binnen afdelingen, teams of processen die toezien op naleving van specifieke wet- en regelgeving. Voorbeelden hiervan zijn de Beveiligingsfunctionaris BRP, de Beveiligingsfunctionaris Reisdocumenten en de Security Officer Suwinet.
Beveiligingsbeheerders werken nauw samen met de CISO en de ENSIA-coördinator om de aansluiting met het organisatiebrede beleid te waarborgen en de ENSIA-verantwoording volledig en juist uit te voeren.
5.2.9ENSIA-Coördinator
De ENSIA-coördinator organiseert en coördineert het jaarlijkse ENSIA-verantwoordingsproces. Dit omvat het uitzetten van vragenlijsten, het verzamelen van bewijslast, de afstemming met betrokkenen en het bewaken van planning en kwaliteit. Daarbij ondersteunt de coördinator de CISO en teammanagers bij het aanleveren van de benodigde informatie.
De ENSIA-coördinator bereidt de rapportage voor richting het college van B&W, de gemeenteraad en de landelijke toezichthouders. De formele vaststelling en indiening hiervan ligt bij het college van B&W. Hoewel de CISO en de ENSIA-coördinator verschillende rollen hebben, werken zij nauw samen om ervoor te zorgen dat de ENSIA-verantwoording inhoudelijk juist, volledig en tijdig wordt opgeleverd.
5.2.10Functionaris Gegevensbescherming
De Functionaris Gegevensbescherming (FG) is een onafhankelijke toezichthouder die binnen de organisatie verantwoordelijk is voor het toezicht op de naleving van de Algemene Verordening Gegevensbescherming (AVG) en overige relevante privacywetgeving. De FG adviseert bestuur, gemeentesecretaris, managementteam en organisatie over privacyvraagstukken, voert toezicht en controles uit, en fungeert als onafhankelijk aanspreekpunt voor zowel interne medewerkers als externe betrokkenen (zoals inwoners) en voor de Autoriteit Persoonsgegevens.
5.2.11Privacy Officer
De Privacy Officer vervult een adviserende en coördinerende rol richting de organisatie op het gebied van privacybescherming. De Privacy Officer kan zelfstandig privacyrisico’s binnen de organisatie signaleren en hierover proactief in gesprek gaan om passende adviezen te formuleren. Daarnaast voorziet de Privacy Officer zowel de Functionaris Gegevensbescherming (FG) als de CISO van relevante informatie over geïdentificeerde risico’s en over de borging van privacy binnen de gehele organisatie.
5.3Externe partijen
5.3.1Externe Dienstverlener
Met alle leveranciers die in de vorm van (kantoor)automatisering, applicaties, IT-componenten en/of operationele technologie informatie van onze organisaties verwerken of operationele processen ondersteunen, worden afspraken gemaakt over de wijze waarop zij de informatiebeveiliging hebben geborgd. Deze leveranciers leggen hierover periodiek, conform de gemaakte afspraken, verantwoording af aan de proceseigenaar.
5.3.2Rekenkamer
Per 1 januari 2025 is West Maas en Waal aangesloten bij het samenwerkingsverband Rekenkamer regio Rivierenland. De rekenkamer draagt bij aan de controlerende functie van de gemeenteraad door onderzoek te doen naar de doeltreffendheid, doelmatigheid en rechtmatigheid van het gemeentelijk beleid. De rekenkamer bepaalt volgens de wet zelf welke onderzoeken worden verricht. In principe is het de bedoeling dat minimaal twee onderzoeken per jaar worden uitgevoerd bij onze gemeente. De rekenkamer kan zelfstandig een onderzoek (laten) uitvoeren naar de informatiebeveiliging van onze organisatie en rapporteert hierover aan de gemeenteraad.
5.3.3Externe partij in een samenwerkingsverband
Externe partijen in een samenwerkingsverband, zoals ketenpartners of gemeenschappelijke regelingen, zijn verantwoordelijk voor de beveiliging van de gegevens die zij namens de gemeenten verwerken. Publieke partijen zijn verplicht zich te houden aan de Baseline Informatiebeveiliging Overheid 2.0. Private partijen zijn niet direct gebonden aan de BIO en dienen daarom via een schriftelijke overeenkomst, zoals een dienstverleningsovereenkomst, verwerkersovereenkomst of gegevensleveringsovereenkomst aan de overeengekomen beveiligingsvereisten te voldoen. Conform de NIS2-richtlijn en de Cyberbeveiligingswet ziet de gemeente er daarnaast op toe dat deze afspraken periodiek worden getoetst en nageleefd.
De gemeente blijft te allen tijde eindverantwoordelijk voor de informatiebeveiliging en de bescherming van (persoons)gegevens.
5.3.4Externe Auditor
Een externe auditor is een partij die in opdracht van de gemeente maar volledig onder eigen verantwoording een onderzoek uitvoert of binnen een gestelde scope de organisatie voldoet aan gestelde normenkaders. Vanwege het ontbreken van een interne 3e lijn (op het gebied van informatiebeveiliging) volgens het Three Lines of Defence model is deze externe auditor de 3e lijns controle.
5.3.5Informatiebeveiligingsdienst voor Gemeenten (VNG/IBD)
De IBD (De Informatiebeveiligingsdienst voor gemeenten (IBD) is een gezamenlijk initiatief van de Vereniging van Nederlandse Gemeenten (VNG) en het Kwaliteitsinstituut Nederlandse Gemeenten (KING).) is een onderdeel van de Vereniging Nederlandse Gemeenten (VNG) en levert ondersteuning in geval van incidenten en crisissituaties op het vlak van informatiebeveiliging. Gemeente West Maas en Waal maakt gebruik van deze ondersteuning. De IBD informeert ons via vastgestelde contactpersonen namelijk de CISO en de algemeen contactpersoon informatiebeveiliging (ACIB) (Algemene waarschuwingen en informatie met een niet vertrouwelijk karakter) en de vertrouwde contactpersoon informatiebeveiliging (VCIB)( Informatie die vertrouwelijk is van karakter).
6.Contactmomenten
Binnen de gemeente zijn er structurele contactmomenten in relatie tot informatiebeveiliging. Onderstaande tabel geeft een inzicht in deze momenten.
Contactmoment
Deelnemers
Frequentie
Doel
Portefeuillehouder overleg
Bestuurlijk opdrachtgever, ambtelijk opdrachtgever, CISO
Jaarlijks of indien nodig of gewenst
Informeren bestuurlijk opdrachtgever
Managementteam overleg
MT en CISO
Ieder halfjaar
Bespreken van de kwartaalrapportage informatiebeveiliging kwetsbaarheden en incidenten
Bilateraal overleg
CISO, Teammanager bedrijfsvoering
2-wekelijks
Afstemming, advies en regie op informatieveiligheid
Security overleg
CISO, ISO en ICT coördinator
2-wekelijks
Afstemming en coördinatie van informatieveiligheid en ICT
Afstemmingsoverleg
CISO, Informatiemanager, Informatiebeheer
2-wekelijks
Afstemming en coördinatie van informatieveiligheid en Informatiemanagement, ICT en projecten
Compliance overleg
CISO, FG en Privacy officer
2-wekelijks
Afstemming en coördinatie van informatieveiligheid en privacy
ENSIA-verantwoording
Proces eigenaren, procesbetrokkenen, ENSIA coördinator, CISO, ISO’s, beveiligingsbeheerders en privacy adviseur(s)
Eindverantwoording in maart, tussenrapportage in oktober (jaarlijks)
In beeld stand van zaken implementatie informatiebeveiliging ENSIA-onderdelen.
input voor bestuurlijke rapportage aan interne en externe toezichthouders, jaarverslag en Raadsinformatiebrief
Informatiebeveiliging crisisoverleg*
*Dit is via het Business Continuïteit Management (BCM) Proces en cyberweerbaarheidsplan georganiseerd
Teammanager bedrijfsvoering, CISO, communicatiemedewerker, privacy officer, proces eigenaar voor het domein waar de crisis betrekking op heeft
Op afroep bij grote incidenten
Ondervangen en grip krijgen op een crisis
input voor analyse en rapportage van incident
Artikel 5.
Organisatie van informatiebeveiliging
Onderdeel van Strategisch informatiebeveiligingsbeleid 2025-2029