Generieke informatiebeveiligingsrollen binnen de gemeente Beekdaelen
| Rol | Taken en verantwoordelijkheden informatiebeveiliging |
| College van burgemeester en wethouders | Primair verantwoordelijk voor de naleving van de wetten. Verantwoordelijk voor de bestuurlijke sturing op digitale weerbaarheid en de continuïteit van gemeentelijke processen en dienstverlening. Dit vraagt om actieve sturing op cyberrisico's, als onderdeel van het integrale risicobeheer, de governance en de bestuurlijke besluitvorming. Verantwoordelijk voor passend beleid met een duidelijke visie op digitale weerbaarheid. Zorgt ervoor dat in de begrotingscyclus voldoende financiële en personele middelen beschikbaar zijn. Richt de organisatie zo in dat verantwoordelijkheden helder zijn belegd en de benodigde deskundigheid aanwezig is. Treedt op als risico-eigenaar, stelt de risicobereidheid vast en keurt de benodigde risicobeheersmaatregelen goed. Alle collegeleden moeten verplicht een training volgen om cyberrisico's te begrijpen, beheersmaatregelen te beoordelen en de gevolgen voor de dienstverlening af te wegen. Ook het behalen van een certificaat en het actueel houden van de kennis zijn verplicht. |
| Gemeenteraad | De gemeenteraad vervult een kaderstellende en controlerende rol. Van de raad wordt verwacht dat zij richting geeft aan het beleid rond digitale weerbaarheid en toeziet op de uitvoering daarvan. Houdt toezicht dat er voldoende inzicht in de risico's is, er voldoende beschikbare maatregelen en benodigde investeringen zijn en worden gemaakt. Geeft digitale weerbaarheid structureel een plek in de planning- en controlcyclus. Zodat risico's, kosten en maatschappelijke impact zorgvuldig tegen elkaar kunnen worden afgewogen. Houdt toezicht dat de leden van het College van burgenmeester en wethouders beschikt over een actueel certificaat voor het volgen van een training over informatieveiligheid en het sturen op en begrijpen van informatiebeveiligingsrisico’s |
| Gemeentesecretaris | Verantwoordelijk voor de informatiebeveiliging binnen de eigen organisatie. Stimuleert het management van de organisatieonderdelen om beveiligingsmaatregelen te nemen. Wijst een coördinator informatieveiligheid (CISO) aan. Stelt operationele kaders en geeft sturing ten aanzien van de veiligheid van informatie. Stuurt op de beheersing van risico’s. Evalueert periodiek de beleidskaders en stelt deze waar nodig bij. Belegt de verantwoordelijkheid voor informatieveiligheidscomponenten en systemen. Verantwoordelijk voor het inrichten van functiescheiding tussen uitvoerende, controlerende en beleidsbepalende taken met betrekking tot informatieveiligheid. |
| Afdelingsmanagers | Verantwoordelijk voor de juiste implementatie van beveiliging in de bedrijfsprocessen en systemen. Verantwoordelijk voor de continuïteit van bedrijfsprocessen en systemen en het inwinnen van advies van vak experten. Wijst voor ieder (informatie)systeem een proceseigenaar aan. Verantwoordelijk voor het (laten) uitvoeren van maatregelen uit de informatieveiligheidsanalyse die op de afdeling van toepassing zijn. Op basis van een expliciete risicoafweging opstellen van betrouwbaarheidseisen voor de afdelingsinformatiesystemen. Verantwoordelijk voor de keuze, de implementatie en het uitdragen van de maatregelen die voortvloeien uit de betrouwbaarheidseisen. Verantwoordelijk voor het sturen op beveiligingsbewustzijn, op bedrijfscontinuïteit en op naleving van regels en richtlijnen (gedrag en risicobewustzijn). Verantwoordelijk voor het rapporteren, via de controller, over compliance (voldoen) aan wet- en regelgeving en algemeen beleid van de organisatie in de P&C rapportages. |
| CISO | Is op organisatieniveau verantwoordelijk voor het actueel houden van het beleid, het adviseren bij projecten en het in kaart brengen van risico’s evenals het opstellen van rapportages. Rapporteert rechtstreeks aan de eigen directie. Stelt voor de organisatie de informatieveiligheidsanalyse op en zorgt voor de actualisatie hiervan. Coördineert de prioritering van informatieveiligheidsmaatregelen uit de informatieveiligheidsanalyse en de uitvoering van het actieplan Informatieveiligheid. Stelt een afstemmingsmechanisme op voor overleg en rapportage met betrekking tot informatieveiligheid. Ondersteunt het bestuur en de afdelingshoofden met kennis over informatieveiligheid, zodat zij hun verantwoordelijkheid voor de betrouwbaarheid van de informatievoorziening juist kunnen invullen. Is aanspreekpunt voor medewerkers van de organisatie over het onderwerp informatieveiligheid. Volgt de externe invloeden op die van invloed zijn op het informatieveiligheidsbeleid en de informatieveiligheidsanalyse. Bevordert het beveiligingsbewustzijn in de organisatie. Houdt de registratie van informatiebeveiligingsincidenten bij in een incidentenregister en is verantwoordelijk voor de juiste afhandeling en evaluatie van incidenten. Wordt door de medewerkers geïnformeerd over beveiligingsincidenten en legt deze vast ten behoeve van rapportages en verbeteringen. Rapporteert over de informatieveiligheid in de P&C managementrapportages. Hierbij bundelt de CISO de deelbijdragen van de afdelingsmanagers. Neemt deel aan regionale en landelijke informatieveiligheidsoverleggen. Richt een organisatie in, stelt procedures op en zorgt voor bewustwording bij het bestuur, management en medewerkers, zodanig dat aan de eisen van het Informatieveiligheidsbeleid wordt voldaan. |
| Controller informatieveiligheid | Is op organisatieniveau verantwoordelijk voor het verbijzonderde toezicht op de naleving van het informatieveiligheidsbeleid, de realisatie van voorgenomen veiligheidsmaatregelen en de escalatie van beveiligingsincidenten. Voert periodieke toetsing uit op de juiste naleving, de werking, de effectiviteit en de kwaliteit van de maatregelen ten aanzien van informatieveiligheid. De controller informatieveiligheid is hiervoor verantwoordelijk, maar organiseert dit proces waar mogelijk met de inzet van beveiligingsbeheerders. Het principe hierbij is dat de toetsing binnen een bepaald domein plaatsvindt door een beveiligingsbeheerder van een ander domein en visa versa. Controleert de voortgang van het uitvoeren van de maatregelen uit de informatieveiligheidsanalyse en actieplan informatieveiligheid. Controleert de periodieke actualisatie van het informatieveiligheidsbeleid en de informatieveiligheidsanalyse. Toetst/bewaakt het niveau van informatieveiligheid Toetst/bewaakt het evaluatieproces van beveiligingsincidenten. Neemt deel aan intern afstemmingsoverleg informatiebeveiliging. |
| Beveiligingsbeheerders BRP Reisdocumenten en rijbewijzen DigiD Shift2 DigiD iBurgerzaken DigiD ZorgNed Facilitaire zaken DIV HRM | Verantwoordelijk voor het beheer, de coördinatie en advies ten aanzien van de informatieveiligheid van eigen vakgebied. Verantwoordelijk voor het geheel van activiteiten gericht op de toepassing en naleving van de maatregelen en procedures die voortkomen uit het informatieveiligheidsbeleid, inclusief de maatregelen die op de audit en zelfevaluatie onderdelen gelden. Voorbereiden en coördinatie van audits en (zelf)evaluaties. Preventie en detectie van beveiligingsincidenten en het geven van een adequate respons. Coördineren van het toepassen van specifieke wet- en regelgeving. Rapporteert aan de coördinator informatieveiligheid en de controller informatieveiligheid. Een vertegenwoordiging van de beveiligingsbeheerders neemt deel aan intern afstemmingsoverleg informatiebeveiliging. Extra voor BRP: Ten aanzien van de BRP worden loggingsrapportages minimaal maandelijks beoordeeld door de BRP beheerder. Extra voor Facilitaire zaken: Houdt een registratie bij van alle bedrijfsmiddelen die verband houden met veiligheid van ruimten, gebouw(en) en de directe omgeving van de gebouwen. Verantwoordelijk voor de fysieke toegangsbeveiliging en kantoorinrichting (archiefkasten, kluizen enzovoort). Extra voor HRM: Verantwoordelijk voor de advisering inzake de personele en de organieke aspecten binnen de organisatie en speelt hiermee een belangrijke adviesrol op het gebied van organisatie en informatieprocessen. Extra reisdocumenten en rijbewijzen: Verantwoordelijk voor het toezicht op de naleving van de beveiligingsprocedures reisdocumenten en rijbewijzen. |
| De autorisatiebevoegde reisdocumenten/ aanvraagstations | Verantwoordelijk voor het beheer van de autorisaties voor de reisdocumenten modules (RAAS en aanvraagstations). |
| De autorisatiebevoegde rijbewijzen | Verantwoordelijk voor het beheer van de autorisaties voor rijbewijzen, inclusief aanmelding bij de RDW. |
| Gegevensbeheerder | De gegevensbeheerder is voor een of meerdere informatiesystemen verantwoordelijk voor het geheel van activiteiten gericht op de inhoudelijke kwaliteitszorg betreffende het gegevens verzamelen, de gegevensverwerking en de informatievoorziening. Neemt deel aan intern afstemmingsoverleg informatiebeveiliging en gegevensbescherming. |
| Intern afstemmingsoverleg informatiebeveiliging en gegevensbescherming | Onderwerpen van het afstemmingsoverleg: Voortgang uitvoering maatregelen uit de analyses en/of uit het actieplannen informatieveiligheid en gegevensbescherming. Beveiligingsincidenten. Planning en voorbereiding van Audits, controles en zelfevaluaties. |
Overige rollen
| Rol | Taken en verantwoordelijkheden informatiebeveiliging |
| Privacy Officer | Adviseert binnen de organisatie over gegevensbescherming en over activiteiten ter bescherming van persoonsgegevens. Beheert het register van verwerkingen van persoonsgegevens tegen de achtergrond van de kaders van de privacywetgeving. Adviseert proceseigenaren bij wijzigingen in procesuitvoering en bedrijfsvoering. Coördineert en voert namens de organisatie een DPIA uit. Neemt als adviserend lid deel aan programma’s en projecten waarvan het resultaat gevolgen kan hebben voor de wijze van verwerking van persoonsgegevens. Geeft uitleg over de privacy voorschriften uit de privacywetgeving. Coördineert de privacy werkzaamheden. Verzorgen van meldingen van datalekken en intrekkingen van meldingen bij de Autoriteit Persoonsgegevens (AP) op basis van het advies van de Functionaris voor de gegevensbescherming (FG). Coördineren van AVG-verzoeken van betrokkenen zoals inzage, correctie, verwijdering en verzet ten aan zien van persoonsgegevens en adviseren over de afhandeling. Inrichten van procedures voor het afhandelen van datalekken. Onderhoud van de standaarddocumenten voor verwerkersovereenkomsten, convenanten en reglementen. Advisering en ondersteuning bij het afsluiten van verwerkersovereenkomsten en convenanten en de vaststelling van procedures. Neemt deel aan diverse interne en externe overleggen, waaronder intern afstemmingsoverleg informatiebeveiliging en gegevensbescherming, regionaal afstemmingsoverleg gegevensbescherming en andere privacy overleggen. |
| Functionaris Gegevensbescherming | Interne toezichthouder op de verwerking van persoonsgegevens. Houdt toezicht op de toepassing en naleving van de privacywetgeving. Verantwoordelijk voor de uitvoer van de klachtenafhandelingsprocedure betreffende het nakomen van de AVG door de gemeenten en de gemeenschappelijke regeling. Dit betekent het initiëren, doorlopen, verzorgen van interne en externe communicatie en afsluiten van de klachtenafhandelingsprocedure. Neemt deel aan intern afstemmingsoverleg informatiebeveiliging en gegevensbescherming. Neemt deel aan regionaal afstemmingsoverleg gegevensbescherming. Adviseert concern breed over meldingen van (mogelijke) datalekken adviseert de organisatie of melding aan de Autoriteit Persoonsgegevens en betrokkenen vereist is. Adviseert de organisatie over DPIA’s en houdt toezicht op de uitvoering daarvan. Houdt toezicht op bewustmaken en opleiden van medewerkers op het gebied van gegevensbescherming. Werkt op diens verzoek samen met de Autoriteit Persoonsgegevens. Doet indien nodig melding bij de Autoriteit Persoonsgegevens in het geval van ernstige onrechtmatigheden ten aanzien van privacyaspecten binnen de organisatie. Treedt op als onafhankelijk contactpersoon op het gebied van gegevensbescherming voor burgers indien eerstelijns afhandeling door de privacy officer niet mogelijk is. Adviseert indien nodig gevraagd en ongevraagd de gemeente en samenwerkingspartijen over hun verplichtingen op het gebied van gegevensbescherming. Ziet erop toe dat de privacy officer het register van verwerkingen beheert op basis van meldingen van proceseigenaren. |
| VCIB | Vertrouwde Contactpersoon Informatiebeveiliging voor de Informatie Beveiligingsdienst (IBD). Ontvangt incidentmeldingen of waarschuwingen waarvan de inhoud een vertrouwelijk karakter heeft. Verantwoordelijk voor de afhandeling van de vertrouwelijke incidentmeldingen en waarschuwingen van de IBD. |
| ACIB | Algemene Contactpersoon Informatiebeveiliging voor de IBD. De ACIB krijgt algemene waarschuwingen en informatie met een niet vertrouwelijk karakter over algemene bedreigingen en incidenten. |
| Beveiligingsbeheerder Solido | Verantwoordelijk voor het beheer, de coördinatie en advies ten aanzien van de informatieveiligheid van de IT voorziening bij Parkstad-IT. Verantwoordelijk voor het geheel van activiteiten gericht op de toepassing en naleving van de maatregelen en procedures die voortkomen uit het informatieveiligheidsbeleid, inclusief de maatregelen die op de audit en zelfevaluatie onderdelen gelden. Voorbereiden en coördinatie van audits en (zelf)evaluaties. |
| Beveiligingsbeheerder Basisregistratie Adressen en Gebouwen (BAG) | Verantwoordelijk voor het beheer, de coördinatie en advies ten aanzien van de informatieveiligheid van de BAG Verantwoordelijk voor het geheel van activiteiten gericht op de toepassing en naleving van de maatregelen en procedures die voortkomen uit het informatieveiligheidsbeleid, inclusief de maatregelen die op de audit en zelfevaluatie onderdelen gelden. Voorbereiden en coördinatie van audits en (zelf)evaluaties. Preventie en detectie van beveiligingsincidenten en het geven van een adequate respons. Coördineren van het toepassen van specifieke wet- en regelgeving. Rapporteert aan het afdelingshoofd |
| Beveiligingsbeheerder Basisregistratie Grootschalige Topografie (BGT) | Verantwoordelijk voor het beheer, de coördinatie en advies ten aanzien van de informatieveiligheid van de BGT. Verantwoordelijk voor het geheel van activiteiten gericht op de toepassing en naleving van de maatregelen en procedures die voortkomen uit het informatieveiligheidsbeleid, inclusief de maatregelen die op de audit en zelfevaluatie onderdelen gelden. Voorbereiden en coördinatie van audits en (zelf)evaluaties. Preventie en detectie van beveiligingsincidenten en het geven van een adequate respons. Coördineren van het toepassen van specifieke wet- en regelgeving. Rapporteert aan het afdelingshoofd |
| Beveiligingsbeheerder Basis Registratie Ondergrond (BRO) | Verantwoordelijk voor het beheer, de coördinatie en advies ten aanzien van de informatieveiligheid van de BRO Verantwoordelijk voor het geheel van activiteiten gericht op de toepassing en naleving van de maatregelen en procedures die voortkomen uit het informatieveiligheidsbeleid, inclusief de maatregelen die op de audit en zelfevaluatie onderdelen gelden. Voorbereiden en coördinatie van audits en (zelf)evaluaties. Preventie en detectie van beveiligingsincidenten en het geven van een adequate respons. Coördineren van het toepassen van specifieke wet- en regelgeving. Rapporteert aan het afdelingshoofd. |
IT-crisisbeheersing
Voorzitter informatiebeveiligingsoverleg Coördinator IT Beveiligingsbeheerder IT Lid van het MT Lid van team communicatie Relevante experts | Dit team komt uitsluitend bij elkaar in geval van grote incidenten of calamiteiten. Op basis van de mogelijke politieke gevolgen van het incident kiest de verantwoordelijk manager ervoor om al dan niet de verantwoordelijke portefeuillehouder in te lichten.