Praktisch wordt als volgt invulling gegeven aan de uitgangspunten:
Het College van B&W stelt als eindverantwoordelijke het Strategisch Informatie-beveiligings- & Privacybeleid beleid vast.
De directie stelt jaarlijks het IB&P plan vast.
De directie is verantwoordelijk voor het (laten) uitwerken en uitvoeren van onderwerp specifieke tactische beleidsregels die aanvullend zijn op dit strategisch beleid.
Vastgestelde beleidsstukken en uitwerkingen daarvan (bijv. procedures, standaarden en werkinstructies) worden opgevoerd bij de betreffende maatregelen in het managementsysteem voor informatiebeveiliging en privacybescherming door de proceseigenaar.
De directie is verantwoordelijk voor het vragen om informatie bij de afdelings-/teammanagers en ziet erop toe dat zij adequate maatregelen genomen hebben voor de bescherming van de (persoons)gegevens, informatiesystemen en procesautomatiserings-systemen die onder hun verantwoordelijkheid vallen.
De Chief Information Security Officer (CISO) ondersteunt vanuit een onafhankelijke positie de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover rechtstreeks in het managementoverleg en daarna aan de verantwoordelijke portefeuillehouder, voorafgaand aan de P&C-gesprekken. De CISO brengt een jaarverslag uit waarin hij zijn bevindingen en aanbevelingen vastlegt.
De Functionaris voor Gegevensbescherming (FG) is verantwoordelijk voor het intern onafhankelijk toezien op en adviseren van het college van B&W over de juiste en zorgvuldige omgang met persoonsgegevens zoals de AVG voorschrijft. De FG brengt een jaarverslag uit waarin hij zijn bevindingen en aanbevelingen vastlegt.
De directie en de afdelings-/teammanagers stellen proactief informatie over de bescherming van persoonsgegevens ter beschikking aan de FG. Desgevraagd verstrekken zij aanvullende informatie aan de Functionaris Gegevensbescherming.
Tijdens Planning & Control-gesprekken dient er aandacht te zijn voor de informatiebeveiliging en privacy n.a.v. de rapportage van de CISO of de FG. De onderwerpen die als risicovol worden gezien, moeten tevens worden opgenomen in de auditplannen. Ook worden dan besluiten genomen over overtredingen op of tekortkomingen in de naleving.
De verantwoordelijkheid voor de uitvoering en borging van de informatiebeveiliging en privacy ligt in de lijn bij de afdelings-/teammanagers. (Zie ook de RASCI-tabel.)
De afdelings-/teammanagers zijn verantwoordelijk voor het oefenen met informatiebeveiligings- en privacy incidenten en bedrijfscontinuïteit.
Alle medewerkers van de gemeente worden getraind in het gebruik van beveiligingsprocedures.
Alle medewerkers hebben een minimale basiskennis van de privacywetgeving en securityrichtlijnen en weten deze bewust toe te passen in hun dagelijks werk.
Medewerkers dienen verantwoord om te gaan met persoonsgegevens en andere informatie. Een bewustwordingsprogramma draagt eraan bij dat medewerkers hiertoe in staat zijn.
Afdelings-/teammanagers dienen erop toe te zien dat de controle op het verwerken van persoonsgegevens regelmatig wordt uitgevoerd door loggingcontrole, zodat zij kunnen vaststellen dat alleen rechthebbenden de juiste persoonsgegevens ingezien en verwerkt hebben.
De beveiligingsmaatregelen worden bepaald op basis van risicomanagement. Afdelings-/teammanagers voeren quickscans informatiebeveiliging of dataclassificaties uit op basis van de BIO en bij verwerken van persoonsgegevens tevens (Pre-)DPIA’s op basis van de AVG om deze risico-afwegingen te kunnen maken.
Informatiebeveiliging en privacybescherming maakt deel uit van de beoordelingssystematiek en wordt besproken tussen de manager en de medewerker.
Artikel 2.11
Praktische invulling
Onderdeel van Strategisch Informatiebeveiligings- en Privacybeleid 2026-2029