2. Strategisch beleid
2.3. Ontwikkelingen
2.3.1. De BIO
De BIO (Baseline Informatiebeveiliging Overheid) is het normenkader voor de gehele overheid. De werkwijze van deze BIO is gericht op risicomanagement. Dat wil zeggen dat het managementteam (MT), de afzonderlijke MT-leden en teamleiders nu meer dan vroeger moeten werken volgens de aanpak van de ISO 27001. Daarbij is risicomanagement van belang. Dit houdt voor het management in, dat men op voorhand keuzes maakt en continu afwegingen maakt of informatie in bestaande en nieuwe processen adequaat beveiligd zijn in termen van beschikbaarheid, integriteit en vertrouwelijkheid.
2.3.2. De AVG
Nieuwe technologische ontwikkelingen, innovatieve voorzieningen, globalisering en een steeds digitaler werkende overheid maakt het zorgvuldig omgaan met persoonsgegevens steeds complexer en noodzakelijker. De gemeente Etten-Leur is zich hiervan bewust en wil daarom met dit beleid aangeven hoe zij in algemene zin invulling geeft aan nationale en Europese wet- en regelgeving op het gebied van privacy, waaronder de AVG.
2.3.3. De WPG
De gemeente heeft BOA’s in dienst en zij verwerken gegevens die niet onder de AVG vallen maar onder de wet Politiegegevens (WPG). Hiervoor moet de gemeente beleid en samenhangende procedures hebben ingeregeld die betrekking hebben op toegangsrechten, autorisaties, data classificatie, risico-inschatting, registratie en logging, meldplicht en documentatieplicht
2.3.4. De 10 principes voor informatiebeveiliging en privacy
De 10 principes voor informatiebeveiliging
10https://vng.nl/files/vng/de-10-bestuurlijke-principes-voor_20190109.pdf
zijn een bestuurlijke aanvulling op het normenkader BIO en gaan over de waarden die de bestuurder zichzelf oplegt. Deze principes zijn één-op-één toepasbaar op het thema Privacy.
Zij zijn als volgt:
1Bestuurders bevorderen een veilige cultuur.
2Informatiebeveiliging / Privacy is van iedereen.
3Informatiebeveiliging / Privacy is risicomanagement.
4Risicomanagement is onderdeel van de besluitvorming.
5Informatiebeveiliging / Privacy behoeft ook aandacht in (keten)samenwerking.
6Informatiebeveiliging / Privacy is een proces.
7Informatiebeveiliging / Privacy kost geld.
8Onzekerheid dient te worden ingecalculeerd.
9Verbetering komt voort uit leren en ervaring.
10Het bestuur controleert en evalueert.
De principes gaan vooral over de rol van het bestuur bij het borgen van informatiebeveiliging en privacy in de gemeentelijke organisatie. Deze principes ondersteunen de bestuurder bij het uitvoeren van goed risicomanagement. Als er iets verkeerd gaat met betrekking tot het beveiligen van de persoonsgegevens en andere informatie binnen de gemeentelijke processen, dan kan dit directe gevolgen hebben voor inwoners, ondernemers en partners van de gemeente. Daarmee zijn de onderwerpen informatiebeveiliging en privacy nadrukkelijk gewenst op de bestuurstafel.
2.3.5. Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten
Het Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten geeft een actueel zicht op incidenten en factoren uit het verleden, aangevuld met een verwachting voor het heden en de nabije toekomst. Dit dreigingsbeeld is daarmee het ideale document om focus aan te brengen in het actualiseren van beleid en plannen voor informatiebeveiliging.
2.3.6. Informatie uit incidenten, inbreuken op de beveiliging en datalekken
De gemeente kent naast het hierboven genoemde dreigingsbeeld natuurlijk een eigen systeem waarin incidenten worden vastgelegd. Dit systeem geeft ook waardevolle informatie om van te leren en dus zijn incidenten uit het verleden ook nadrukkelijk input bij het actualiseren van het beleid.
2.4. Gebruikte standaarden voor informatiebeveiliging en privacy
2.4.1. Standaarden informatiebeveiliging
De basis voor de inrichting van het beveiligingsbeleid is NEN-ISO/IEC 27001:2012. De maatregelen worden op basis van best practices bij (lokale) overheden en NEN-ISO/IEC 27002:2012 genomen.
Voor de ondersteuning van gemeenten bij het formuleren en realiseren van hun informatiebeveiligingsbeleid heeft de interbestuurlijke werkgroep Normatiek
11De Interbestuurlijke werkgroep Normatiek bestaat uit vertegenwoordigers van bijvoorbeeld VNG en de IBD, maar ook waterschappen, provincies en het rijk.
in 2018 de Baseline Informatiebeveiliging Overheid (BIO) uitgebracht, afgeleid van beide NEN-normen. Deze BIO bestaat uit een baseline met verschillende niveaus van beveiligen.
Naar verwachting zal in 2024 of 2025 een vernieuwde versie van de BIO geïmplementeerd worden. Deze wordt aangepast naar de actuelere normen NEN-ISO/IEC 27001:2017 en NEN-ISO/IEC 27002:2017. Daarnaast zal hierin ook de EU-richtlijn “Netwerk- en Informatiesystemen 2” (NIS2) in worden door vertaalt.
De inhoud en structuur van deze beleidsnota zijn afgestemd op die van de BIO. Ook het Informatiebeveiligings- en privacyplan zal deze structuur volgen.
Binnen de gemeente wordt naast ICT ook Operationele Technologie (OT) ingezet. Met OT worden systemen bedoeld voor de besturing van apparaten voor middel van Proces Automatisering (PA). Het beveiligingsbeleid van de gemeente is ook voor de bescherming van PA en dit beleid betreft dan ook afdelingen die zich met PA bezig houden.
12https://www.ncsc.nl/binaries/ncsc/documenten/publicaties/2022/oktober/10/basismaatregelen-voor-cybersecurity-van-iacs/BIACS+2022.pdf
Voor de bescherming van PA gebruikt de gemeente de Cybersecurity Implementatie Richtlijn (CSIR).
13https://www.cert-wm.nl/csir
2.4.2. Standaarden privacy
De basis voor de inrichting van het privacybeleid is het Borgingsproduct AVG (versies 2.0. en 3.0) van de Vereniging van Nederlandse Gemeenten (VNG). De kaders in dit borgingsproduct zijn op hun beurt gebaseerd op NEN-ISO/IEC 27701:2019.
NEN-ISO/IEC 27701 specificeert eisen en geeft richtlijnen voor het inrichten, implementeren, onderhouden en continu verbeteren van een managementsysteem voor privacy-informatie (‘Privacy Information Management System’, PIMS) in de vorm van een uitbreiding op ISO/IEC 27001 en ISO/IEC 27002 voor privacymanagement binnen de context van de organisatie.
Deze normen zijn ontwikkeld binnen de geldende wet- en regelgeving, zoals de AVG.
3. Organisatie, taken & verantwoordelijkheden
3.6. Uitgangspunten en randvoorwaarden
3.6.1. Uitgangspunten
•Alle medewerkers van de gemeente worden getraind in het gebruik van beveiligingsprocedures.
•Alle medewerkers hebben een minimale basiskennis van de privacywetgeving en weten deze bewust toe te passen in hun dagelijks werk.
•Medewerkers dienen verantwoord om te gaan met persoonsgegevens en andere informatie. Een bewustwordingsprogramma draagt eraan bij dat medewerkers hiertoe in staat zijn.
3.6.2. Randvoorwaarden
Belangrijke randvoorwaarden zijn:
•De informatiebeveiliging en privacy eisen maken deel uit van afspraken met ketenpartners, leveranciers en gemeenschappelijke regelingen en worden periodiek geëvalueerd/gecontroleerd.
•Kennis en bewustzijn van informatiebeveiliging en privacybescherming en omgaan met persoonsgegevens binnen de organisatie dienen actief bevorderd en geborgd te worden.
•Jaarlijks wordt een IB&P plan opgesteld, gebaseerd op:
o Nieuwe en gewijzigde wet- en regelgeving;
o Dit IB&P beleid;
o De uitkomsten van de jaarlijkse Eenduidige Normatiek Single Information Audit (ENSIA);
o Andere audit resultaten;
o het dreigingsbeeld gemeenten van de IBD;
o Uitkomsten risico-analyses en DPIA’s;
o De door de afdelingsmanagers ingebrachte onderwerpen voor de informatievoorziening waarvoor zij verantwoordelijk zijn, bijvoorbeeld als uitkomst van een risicoanalyse of een privacy analyse (DPIA).
•Om uitvoering te kunnen geven aan dit strategisch beleid en het IB&P plan worden voldoende financiële middelen en uitvoeringscapaciteit ter beschikking gesteld.
Bijlage: Uitwerking rollen en verantwoordelijkheden informatiebeveiliging en privacy
1.Inleiding
Deze bijlage vormt een nadere uitwerking van hoofdstuk 3 van het Strategisch Informatiebeveiligings- en privacybeleid 2024-2027.
Hierin worden de rollen en verantwoordelijkheden rondom informatiebeveiliging en privacy binnen onze organisatie nader toegelicht. Dit vormt een essentieel onderdeel van ons streven naar een veilig en betrouwbaar beheer van informatie.
1.1.Leeswijzer
In dit document worden de specifieke taken en verantwoordelijkheden van de verschillende functionarissen en teams binnen de organisatie uiteengezet. Het begint met een beschrijving van de bestuurlijke verantwoordelijkheid en de wijze waarop deze in de organisatie is verankerd.
Vervolgens worden de rollen van de sleutelfunctionarissen, zoals de Functionaris Gegevensbescherming (FG), de Privacy Officer, en de Chief Information Security Officer (CISO), gedetailleerd uitgewerkt.
Hiermee biedt deze bijlage houvast en duidelijkheid over wie verantwoordelijk is voor de verschillende aspecten van informatiebeveiliging en privacy.
2.Rollen en verantwoordelijkheden bestuur en organisatie
2.1.Bestuurlijke verantwoordelijkheid
Gemeenteraad, College, en Portefeuillehouder
Dragen bestuurlijke verantwoordelijkheid voor het formuleren en implementeren van beleid op het gebied van informatiebeveiliging en privacy. De gemeenteraad treedt op als toezichthouder.
2.2.Organisatie
Gemeentesecretaris
Is eindverantwoordelijk voor de borging van informatiebeveiliging en privacy binnen de organisatie.
Managementteam (MT)
Verantwoordelijk voor het integreren van informatiebeveiliging en privacy in strategische besluitvorming en processen binnen de organisatie.
Concerncontroller
Adviseert en ondersteunt op het gebied van informatiebeveiliging en privacy in relatie tot risicobeheer en rechtmatigheid.
Afdelingshoofd Bedrijfsvoering & Teamleider Informatie
Zijn verantwoordelijkheid voor het vormen en borgen van een organisatorisch breed geweten op het gebied van informatiebeveiliging en privacy op concernniveau.
Overige afdelingshoofden / teamleiders / proceseigenaren
Verantwoordelijk voor de correcte verwerking van informatie binnen hun processen, inclusief het nemen van maatregelen voor informatiebeveiliging en privacy.
Informatieadviseurs / businessanalist / data-analist
Geven advies over de toepassing van informatiebeveiligings- en privacybeleid binnen hun specifieke werkveld.
Functioneel beheerders
Verantwoordelijk voor het beheer van informatiesystemen en het implementeren van beveiligings- en privacy maatregelen. Inclusief de bewaking daarvan bij leveranciers. Hierbij hebben zij een signaalfunctie richting de proceseigenaren en het IB&P-team.
Juridische ondersteuners/concernjurist/inkoopadviseurs
Adviseren op juridisch c.q. inkooptechnisch gebied, met inachtneming van informatiebeveiliging en privacy wet- en regelgeving. Zo nodig betrekken zij het IB&P-team.
Contactpersonen IB&P / kwaliteitsmedewerkers
Treden vanuit deze rol binnen hun team of afdeling op als vooruitgeschoven ondersteunde post op het gebied informatiebeveiliging en privacy. Zij zijn goed bekend met de processen binnen hun werkveld en zorgen er voor dat het IB&P-team goed en tijdig wordt aangehaakt. Deze samenwerking verloopt uiteraard visa versa.
Projectleiders
Zorgen, samen met de opdrachtgever, voor de borging van informatiebeveiliging en privacy in de uitvoering van projecten.
Iedere medewerker / andere gebruikers van bedrijfsmiddelen
Verantwoordelijk voor het naleven van informatiebeveiligings- en privacyrichtlijnen in hun dagelijkse werkzaamheden en het signaleren van bijzonderheden op dit gebied.
2.3.Externe partners (Leveranciers, ICT WBW, Samenwerking op de “ï”, De6 gemeenten, KAREL, etc.)
Geacht zich te houden aan de gestelde informatiebeveiligings- en privacyvereisten in hun dienstverlening aan de organisatie.
3.Taken sleutelfunctionarissen informatiebeveiliging en privacy
3.1.Functionaris gegevensbescherming
3.1.1.Positionering
De FG…
•Voert zijn taken onafhankelijk van het verantwoordelijke bestuursorgaan, management of medewerkers uit.
•Ontvangt t.a.v. zijn taken geen instructies van het verantwoordelijke bestuursorgaan, management of medewerkers.
•Wordt niet ontslagen of gestraft naar aanleiding van de uitvoering van zijn taken.
•Brengt rechtstreeks verslag uit aan de gemeentesecretaris en griffier (als hoogst leidinggevende van de ambtelijke organisatie van de respectievelijke bestuursorganen) en het verantwoordelijke bestuursorgaan.
•Heeft rechtstreeks toegang tot het verwerkingsverantwoordelijke bestuursorgaan en het management als hij dat nodig acht, bijvoorbeeld om door hem gesignaleerde risico's naar voren te brengen.
•Geeft zwaarwegende adviezen. Het verantwoordelijke bestuursorgaan, management en medewerkers kunnen daarvan afwijken, zij het gemotiveerd en gedocumenteerd.
•Heeft op zijn verzoek toegang tot alle informatie, systemen en processen en ruimtes wanneer hij dat noodzakelijk acht voor de uitvoering van zijn taken.
•Wordt naar behoren en tijdig betrokken bij aangelegenheden die verband houden met de bescherming van persoonsgegevens.
•Wordt door de directie en de proceseigenaren ondersteund in de uitoefening van het toezicht.
3.1.2.Taken
Algemeen
De FG…
•Voert geen taken uit die kunnen conflicteren met zijn taken als FG, waaronder taken waarbij hij verantwoordelijk is voor verwerkingen t.b.v. de verwerkingsverantwoordelijke.
•Houdt bij de uitvoering van zijn taken naar behoren rekening met het aan verwerkingen verbonden risico, en met de aard, de omvang, de context en de verwerkingsdoeleinden.
Toezichthouden
De FG…
•Ziet toe op de toepassing en naleving van verplichtingen van de organisatie t.a.v. gegevensbescherming. Er wordt toezicht gehouden op: de verplichting om medewerkers bewust te maken en op te leiden, verantwoordelijkheden toe te wijzen, gegevensbescherming-effectbeoordelingen en audits uit te voeren, risicomaatregelen te implementeren en de afhandeling van verzoeken en klachten van betrokkenen.
•Ziet toe op de toepassing en naleving van verplichtingen van de organisatie t.a.v. gegevensbescherming bij samenwerkingen met anderen waarin de organisatie (gezamenlijk) verwerkingsverantwoordelijk blijft.
•Ziet toe op de toepassing en naleving van het gegevensbeschermingsbeleid van de organisatie.
•Treedt op als contactpunt voor en pleegt overleg met de Autoriteit Persoonsgegevens over aangelegenheden t.a.v. gegevensbescherming, en werkt in die hoedanigheid met haar samen ten behoeve van de versterking van haar systeemtoezicht.
•Treedt op als contactpunt voor burgers aangaande aangelegenheden t.a.v. gegevensbescherming, en ziet in die hoedanigheid toe op de afhandeling door de organisatie van klachten en andere knelpunten die de burger signaleert.
Informeren
De FG…
•Informeert het verantwoordelijke bestuursorgaan, management en medewerkers over hun verplichtingen t.a.v. gegevensbescherming.
Adviseren
De FG…
•Geeft het verantwoordelijke bestuursorgaan en management gevraagd en ongevraagd strategisch en tactisch advies over passende wijzen om hun verplichtingen t.a.v. gegevensbescherming in hun taakuitvoering, bedrijfsvoering en dienstverlening in te vullen en te integreren, waaronder over het te voeren beleid en prioritering van activiteiten.
•Geeft advies over de noodzaak en de wijze van uitvoeren van gegevens-beschermingseffectbeoordelingen of enige andere gegevensbeschermings-gerelateerde risicoanalyse.
•Geeft advies naar aanleiding van uitgevoerde gegevensbeschermings-effectbeoordelingen of enige andere gegevensbeschermingsgerelateerde risicoanalyse (zoals risicoanalyses t.a.v. de toepassing van algoritmen, geautomatiseerde besluitvorming of doorgifte naar landen buiten de Europese Economische Zone), waaronder over adequaatheid van gedefinieerde maatregelen.
•Geeft bestuur en management gevraagd en ongevraagd advies over het afhandelen van klachten, uitoefenen van rechten, en adresseren van knelpunten die de burger signaleert.
3.2.Privacyofficer.
3.3.1 Positionering
De privacy officer…
•Is gepositioneerd binnen de afdeling Concernondersteuning.
•Heeft een voldoende onafhankelijke positie.
•Ontvangt t.a.v. zijn taken richtinggevend advies van de functionaris gegevensbescherming.
•Rapporteert rechtstreeks aan het management
•Informeert en betrekt zo nodig de functionaris gegevensbescherming.
3.3.2.Taken
Rapporteren
De privacy officer…
•Legt verantwoording af in het kader van de planning en control cyclus.
Coördineren
De privacy officer…
•Coördineert de organisatiebrede privacyactiviteiten en -projecten.
•Coördineert de uitvoering van (meer)(jaren)plannen.
•Coördineert de afhandeling van datalekken.
•Coördineert de afhandeling van rechtenverzoeken.
•Coördineert de uitvoering van gegevensbeschermingseffectbeoordelingen.
•Onderhoudt een overlegstructuur met de verschillende organisatieonderdelen ter bevordering van kennis en kwaliteit ten aanzien van privacy.
Planvorming en beleid
De privacy officer…
•Formuleert, beheert, evalueert en monitort beleid en procedures.
•Stelt (meer)(jaren)plannen op, waaronder voor de bewustwording en opleiding van management en medewerkers en voor communicatie naar betrokkenen.
•Monitort en evalueert de uitvoering van (meer)(jaren)plannen.
Adviseren
De privacy officer…
•Adviseert bestuur en de ambtelijke organisatie over privacybeleid en -ontwikkelingen
•Geeft advies aan management, teamleiders en medewerkers over de toepassing van privacygerelateerde wet- en regelgeving en branchenormering.
•Geeft advies over (afdelings)specifieke privacygerelateerde reglementen, beleid en werkinstructies en over de positionering van privacy in werkprocessen.
•Adviseert en ondersteunt bij het sluiten van verwerkersovereenkomsten, regelingen, reglementen en convenanten
Uitvoeren
De privacy officer…
•Beheert privacyregisters, zoals verwerkingsregisters, datalekregisters, risico- en maatregelenregisters.
•Adviseert over en draagt zorg voor organisatiebrede richtlijnen, standaarden, methoden en technieken voor privacy.
•Participeert in projectgroepen.
•Inventariseert en analyseert meldingen van inbreuken in verband met persoonsgegevens (datalekken).
•Monitort de relevante risico’s voor de gemeente.
•Organiseert bewustwordings- en trainingsactiviteiten.
Ondersteunen
De privacy officer…
•Ondersteunt de organisatie bij de uitvoering van haar taken op het gebied van privacy, waaronder:
•de afhandeling van datalekken.
•de afhandeling van rechtenverzoeken van burgers.
•implementatie en de uitvoering van het privacybeleid.
•de uitvoering van gegevensbeschermingseffectbeoordelingen.
•Is eerste aanspreekpunt voor privacygerelateerde onderwerpen binnen de organisatie.
3.4.Chief Information Security Officer (CISO).
3.4.1.Positionering
De CISO…
•Voert zijn taken onafhankelijk van het verantwoordelijke bestuursorgaan, management of medewerkers uit.
•Is gepositioneerd binnen de afdeling Concernondersteuning.
•Is strategisch IB-adviseur van het bestuur, de directie en het management en geeft gevraagd en ongevraagd zwaarwegend advies.
3.4.2.Taken
Rapporteren
De CISO…
•Rapporteert periodiek over de status van informatiebeveiliging, IB-incidenten en de afhandeling daarvan aan het bestuur en de directie.
Coördineren
De CISO…
•Onderhoudt een overlegstructuur met het bestuur, de directie en het management.
•Stemt de werkzaamheden af van personen, afdelingen en instanties die zijn betrokken bij de uitvoering van het strategisch IB-beleid.
•Coördineert de organisatiebrede (strategische) IB-activiteiten en -projecten.
•Coördineert de verhoging van bewustzijn op het gebied van IB bij het bestuur en organisatie.
•Coördineert de uitvoering van organisatiebrede jaarplannen / meerjarenplan IB.
•Initieert en / of coördineert IB-assessments, -tests, reviews en -audits.
•Coördineert de IB-calamiteitenorganisatie.
Planvorming en beleid
De CISO…
•Formuleert, beheert, evalueert en monitort beleid en procedures.
•Vertaalt het Dreigingsbeeld informatiebeveiliging Nederlandse gemeenten van de IBD naar jaarplannen / meerjarenplan IB.
Adviseren
De CISO…
•Adviseert (gevraagd en ongevraagd) het bestuur, de directie en management bij de uitwerking van het strategisch IB-beleid in jaarplannen / meerjarenplan IB voor hun verantwoordelijkheidsgebieden, en bij de implementatie van deze plannen.
•Adviseert (gevraagd en ongevraagd) het bestuur, de directie en het management bij relevante (nieuwe) ontwikkelingen.
•Adviseert (gevraagd en ongevraagd) het bestuur, de directie en het management zodat de juiste acties worden genomen ten aanzien van de informatiebeveiliging.
•Adviseert (gevraagd en ongevraagd) het bestuur, de directie en het management bij de reactie op ernstige IB- en ICT-incidenten.
•Adviseert het crisisteam, bij een hack, cyberaanval, of een andere continuïteitsverstoring in de dienstverlening.
•Geeft zwaarwegend advies, waar alleen met gegronde motivatie van kan worden afgeweken, waarbij de consequenties van afwijking op het juiste niveau worden aanvaard.
Uitvoeren
De CISO…
•Adviseert over, draagt zorg voor en monitort organisatiebrede richtlijnen, standaarden, methoden en technieken voor informatiebeveiliging.
•Monitort, evalueert en borgt de kwaliteit van IB-assessments.
•Monitort de relevante risico’s voor de gemeente.
•Organiseert bewustwordings- en trainingsactiviteiten.
•Onderhoudt contact met (overheids)instanties en toezichthouders ten aanzien van informatiebeveiligingsaangelegenheden.
•Onderhoudt contact met de informatiebeveiligingsdienst (IBD).
Ondersteunen
De CISO…
•Is eerste aanspreekpunt voor IB-gerelateerde onderwerpen binnen de organisatie.
•Ondersteunt de organisatie bij de uitvoering van haar taken op het gebied van informatiebeveiliging.