Strategisch Gemeentelijk Informatiebeveiligingsbeleid Gemeente Koggenland 2026 tot 2030

2.2.1 De BIO

De BIO (Baseline Informatiebeveiliging Overheid) is het normenkader voor de gehele overheid. De werkwijze van deze BIO is gericht op risicomanagement. Dat wil zeggen dat de afdelingshoofden en teamleiders nu meer dan vroeger, t.o.v. het beleid tot 2026, moeten werken volgens de aanpak van de ISO 27001 en daarbij is risicomanagement van belang. Dit houdt voor het management in, dat men op voorhand keuzes maakt en continu afwegingen maakt of informatie in bestaande en nieuwe processen adequaat beveiligd zijn in termen van beschikbaarheid, integriteit en vertrouwelijkheid.

2.2.2 De AVG

Nieuwe technologische ontwikkelingen, innovatieve voorzieningen, globalisering en een steeds digitaler wordende overheid maakt het zorgvuldig omgaan met persoonsgegevens steeds complexer en noodzakelijker. De gemeente Koggenland is zich hiervan bewust en wil daarom met dit beleid aangeven hoe zij in algemene zin invulling geeft aan nationale en Europese wet- en regelgeving op het gebied van privacy, waaronder de AVG).

2.2.3 De WPG

De gemeente heeft BOA’s (Buitengewone Opsporingsambtenaren) in dienst en zij verwerken gegevens die niet onder de AVG vallen maar onder de wet Politiegegevens (WPG). Hiervoor moet de gemeentebeleid en samenhangende procedures hebben ingeregeld die betrekking hebben op toegangsrechten, autorisaties, data classificatie, risico-inschatting, registratie en logging, meldplicht en documentatieplicht

2.2.4 De NIS2-richtlijn/ Cyberbeveiligingswet

De gemeente Koggenland erkent het belang van de NIS2-richtlijn en de Cyberbeveiligingswet in het kader van de versterking van de cyberbeveiliging binnen de Europese Unie en Nederland. Deze wetgeving legt een aantal cruciale verplichtingen op aan organisaties die als essentieel worden aangemerkt, en beoogt de digitale weerbaarheid te verhogen door het afdwingen van zorgvuldige beveiligingsmaatregelen en een adequaat meldproces.

Zorgplicht

De Cyberbeveiligingswet verplicht de gemeente tot het nemen van passende maatregelen ter bescherming van haar netwerk- en informatiesystemen tegen significante incidenten, zoals cyberaanvallen en andere verstoringen die schade kunnen veroorzaken. De wet stelt tien zorgplichtmaatregelen vast, waaronder het uitvoeren van risicoanalyses, het implementeren van beveiligingsmaatregelen op het gebied van personeel en toegangsbeheer, en het waarborgen van de bedrijfscontinuïteit. Het bestuur van de gemeente is verantwoordelijk voor het goedkeuren van deze maatregelen en dient toezicht te houden op de uitvoering ervan.

Registratieplicht

Volgens de Cyberbeveiligingswet is de gemeente verplicht om zich te registreren bij het Nationaal Cyber Security Centrum (NCSC), waarmee zij haar naleving van de wet bevestigt. De registratie draagt bij aan de transparantie en versterking van de digitale weerbaarheid binnen de EU. Organisaties moeten zich via het NCSC-portaal registreren, hetgeen een verplichting wordt na de inwerkingtreding van de wet.

Meldplicht

De gemeente is verplicht om significante cyberincidenten, die de dienstverlening ernstig verstoren of aanzienlijke schade veroorzaken, binnen 24 uur na ontdekking te melden. Na de eerste melding volgt een vervolgmelding binnen 72 uur, en een eindverslag moet uiterlijk één maand na het incident worden ingediend. Deze meldingen worden gedeeld met het sectorale Computer Security Incident Response Team (CSIRT) en de toezichthouder. Het doel van deze meldplicht is om snel te kunnen reageren op incidenten en zo nodig bijstand te verlenen, waardoor de impact op de dienstverlening wordt geminimaliseerd.

2.2.5 De 10 principes voor informatiebeveiliging6https://vng.nl/files/vng/de-10-bestuurlijke-principes-voor_20190109.pdf

De 10 principes voor informatiebeveiliging zijn een bestuurlijke aanvulling op het normenkader BIO en gaan over de waarden die de bestuurder zichzelf oplegt. De principes zijn als volgt:

1Bestuurders bevorderen een veilige cultuur.

2Informatiebeveiliging is van iedereen.

3Informatiebeveiliging is risicomanagement.

4Risicomanagement is onderdeel van de besluitvorming.

5Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking.

6Informatiebeveiliging is een proces.

7Informatiebeveiliging kost geld.

8Onzekerheid dient te worden ingecalculeerd.

9Verbetering komt voort uit leren en ervaring.

10Het bestuur controleert en evalueert.

De principes gaan vooral over de rol van het bestuur bij het borgen van informatiebeveiliging in de gemeentelijke organisatie. Deze principes ondersteunen de bestuurder bij het uitvoeren van goed risicomanagement. Als er iets verkeerd gaat met betrekking tot het beveiligen van de informatie binnen de gemeentelijke processen, dan kan dit directe gevolgen hebben voor inwoners, ondernemers en partners van de gemeente. Daarmee is het onderwerp informatiebeveiliging nadrukkelijk gewenst op de bestuurstafel.

2.2.6 De 10 zorgplichtmaatregelen7https://www.ncsc.nl/over-ncsc/wettelijke-taak/wat-gaat-de-nis2-richtlijn-betekenen-voor-uw-organisatie/hoe-kan-uw-organiseren-zich-voorbereiden-op-de-nis2-richtlijn

De gemeente Koggenland valt onder de reikwijdte van de Cyberbeveiligingswet en is daarmee verplicht om te voldoen aan de daarin opgenomen zorgplicht. Deze zorgplicht houdt in dat passende en evenredige beveiligingsmaatregelen genomen moeten worden om netwerk- en informatiesystemen te beschermen tegen significante incidenten.

De gemeente hanteert daarbij de tien voorgeschreven zorgplichtmaatregelen, die gericht zijn op het verhogen van de digitale weerbaarheid en het waarborgen van de continuïteit van essentiële diensten:

•Uitvoeren van risicoanalyses en beveiliging van informatiesystemen

•Beveiliging van personeel, toegangsbeheer en beheer van bedrijfsmiddelen

•Voorzien in bedrijfscontinuïteit, zoals back-ups en noodplannen

•Inrichting van incidentenbeheer

•Bevordering van basis cyberhygiëne en trainingen voor medewerkers

•Beveiliging bij ontwikkeling en onderhoud van systemen

•Beveiliging van de toeleveranciersketen

•Beleid en procedures voor cryptografie en encryptie

•Gebruik van multifactorauthenticatie en beveiligde communicatie

•Evaluatie en continue verbetering van beheersmaatregelen

Het college van burgemeester en wethouders is verantwoordelijk voor het goedkeuren en toezicht houden op de uitvoering van deze maatregelen, en volgt hiervoor de benodigde opleidingen, zoals voorgeschreven in de wet.

2.2.7 Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten

Het document Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten geeft een actueel zicht op incidenten en factoren uit het verleden, aangevuld met een verwachting voor het heden en de nabije toekomst. Dit dreigingsbeeld is daarmee het ideale document om focus aan te brengen in het actualiseren van beleid en plannen voor informatiebeveiliging.

2.2.8 Informatie uit incidenten, inbreuken op de beveiliging en datalekken

De gemeente kent naast het hierboven genoemde dreigingsbeeld natuurlijk een eigen systeem waarin incidenten worden vastgelegd. Dit systeem biedt waardevolle inzichten en vormt een belangrijke bron van leerervaringen. Incidenten uit het verleden worden dan ook nadrukkelijk betrokken bij het actualiseren van het informatiebeveiligingsbeleid. De gemeente hanteert hiervoor een vastgesteld beleid voor Incidentmanagement en Response (IM&R), waarin verantwoordelijkheden, opvolging en afhandeling van incidenten zijn geregeld. Ook het datalekkenproces is hierin opgenomen, inclusief de werkwijze voor signalering, beoordeling, melding en documentatie van datalekken, conform de AVG.

2.6.1 Business Continuity Management

De gemeente hanteert een Business Continuity Management (BCM)-beleid dat ervoor zorgt dat essentiële processen kunnen worden voortgezet bij verstoringen, zoals cyberincidenten, stroomuitval of andere calamiteiten. Onder BCM-maatregelen vallen onder andere back-upstrategieën, rampenherstelplannen (disaster recovery) en het periodiek testen en actualiseren van continuïteitsplannen om de paraatheid te waarborgen.

2.6.2 Strategische doelen

De strategische doelen van het Strategisch Gemeentelijk Informatiebeveiligingsbeleid zijn:

•Het managen van de informatiebeveiliging.

•Adequate bescherming van bedrijfsmiddelen en persoonsgegevens.

•Het toepassen van dataminimalisatie.

•Het minimaliseren van risico’s van menselijk gedrag.

•Het voorkomen van ongeautoriseerde toegang.

•Het garanderen van correcte en veilige informatievoorzieningen.

•Het beheersen van de toegang tot informatiesystemen.

•Het waarborgen van veilige informatiesystemen.

•Het adequaat reageren op incidenten.

•Het beschermen van (kritieke) bedrijfsprocessen.

•Het beschermen en correct verwerken van persoonsgegevens van inwoners en medewerkers.

•Voldoen aan de wettelijke verplichtingen voortvloeiend uit de AVG en dit op ieder moment met bewijs kunnen aantonen.

•Het waarborgen van de naleving van dit beleid.

2.6.3 Belangrijkste uitgangspunten

De belangrijkste uitgangspunten van het beleid zijn:

•De uitvoering van de informatiebeveiliging en privacybescherming is een verantwoordelijkheid van het lijnmanagement. Alle informatiebronnen en -systemen die gebruikt worden door de gemeente Koggenland hebben een interne eigenaar die de vertrouwelijkheid, privacy eisen en/of waarde bepaalt van de informatie die ze bevatten. De primaire verantwoordelijkheid voor de bescherming van informatie ligt dan ook bij de eigenaar van de informatie.

•Door periodieke controle, organisatiebrede planning én coördinatie wordt de kwaliteit van de informatievoorziening en privacy verankerd binnen de organisatie. Het beleid vormt samen met het IB&P plan (afdelingsplannen) het fundament onder een betrouwbare informatievoorziening en privacybescherming. In het IB&P plan (afdelingsplannen) wordt de betrouwbaarheid van de informatievoorziening en privacy organisatiebreed benaderd. Het plan wordt periodiek bijgesteld op basis van nieuwe ontwikkelingen, registraties in het incidentenregister en risicoanalyses voor informatiebeveiliging en privacy.

•Informatiebeveiliging en privacybescherming is een continu verbeterproces. ‘Plan, do, check en act’ vormen samen het managementsysteem van informatiebeveiliging en privacybescherming.

•De gemeente stelt de benodigde mensen en middelen beschikbaar om haar eigendommen en werkprocessen te kunnen beveiligen en te voldoen aan de privacy eisen volgens de wijze zoals gesteld in dit beleid.

•Regels en verantwoordelijkheden voor het beleid dienen te worden vastgelegd en vastgesteld.

•Iedere medewerker, zowel vast als tijdelijk, intern of extern, is verplicht waar nodig (persoons)gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht en bij vermeende inbreuken hiervan melding te maken.

•Het borgen van privacy in de uitvoering van gemeentelijke processen vindt risico gestuurd plaats. De verantwoordelijken in de organisatie maken afwegingen ter naleving van privacyregels en op basis van een risico-inschatting.

2.6.4 IB&P governance

Praktisch wordt als volgt invulling gegeven aan de uitgangspunten:

•Het college van B&W stelt als eindverantwoordelijke het Strategisch Gemeentelijk Informatiebeveiligingsbeleid vast.

•Het directie- managementteam stelt jaarlijks het IB&P plan (afdelingsplannen) vast.

•Het managementteam is verantwoordelijk voor het (laten) uitwerken en uitvoeren van onderwerp specifieke tactische beleidsregels die aanvullend zijn op dit strategisch beleid.

•Vastgestelde beleidsstukken en uitwerkingen daarvan (bijv. procedures, standaarden en werkinstructies) worden centraal beheerd in het managementsysteem voor informatiebeveiliging en privacybescherming.

•Het managementteam is verantwoordelijk voor het vragen om informatie bij de teamleiders en ziet erop toe dat de teamleiders adequate maatregelen nemen voor de bescherming van de (persoons)gegevens, informatiesystemen en procesautomatiseringsystemen die onder hun verantwoordelijkheid vallen.

•De Chief Information Security Officer (CISO) ondersteunt vanuit een onafhankelijke positie de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover rechtstreeks aan het directie- managementteam, voorafgaand aan de P&C-cyclus.

•De Functionaris voor Gegevensbescherming (FG) is verantwoordelijk voor het intern onafhankelijk toezien op en adviseren van het college van B&W over de juiste en zorgvuldige omgang met persoonsgegevens zoals de AVG voorschrijft. De FG brengt een jaarverslag uit waarin hij zijn bevindingen en aanbevelingen vastlegt.

•Het managementteam en de teamleiders stellen proactief informatie over de bescherming van persoonsgegevens ter beschikking aan de functionaris gegevensbescherming. Desgevraagd verstrekken zij aanvullende informatie aan de functionaris gegevensbescherming.

•Tijdens Planning & Control-cyclus dient er aandacht te zijn voor de informatiebeveiliging en privacy n.a.v. de rapportage van de CISO en of de FG. De onderwerpen, die als risicovol worden gezien, moeten tevens worden opgenomen in de auditplannen.

•De teamleiders zijn verantwoordelijk voor de uitvoering van de informatiebeveiliging voor de processen waarvoor zij verantwoordelijk zijn.

•De teamleiders zijn verantwoordelijk voor de borging van de AVG binnen de processen waarvoor zij verantwoordelijk zijn en het bijbehorende verwerkingsregister.

•Het breed (groot) managementteam is verantwoordelijk voor het oefenen met informatiebeveiligings- en privacy incidenten en bedrijfscontinuïteit.

•Hoewel de basiskernregistraties (zoals DigiD, BRP/ reisdocumenten, BAG/ BGT/ BRO en Suwinet) en toekomstige basisregistraties belangrijk zijn in het kader van informatiebeveiliging, krijgen zij niet meer of minder voorrang dan andere (primaire) processen binnen de gemeente. Het samenspel van alle processen binnen de bedrijfsvoering is belangrijk voor de missie en de visie van de gemeente en het behalen van de doelen die zijn gesteld.

•Alle medewerkers van de gemeente worden getraind in het gebruik van beveiligingsprocedures.

•Alle medewerkers hebben een minimale basiskennis van de privacywetgeving en weten deze bewust toe te passen in hun dagelijks werk.

•Medewerkers dienen verantwoord om te gaan met persoonsgegevens en andere informatie. Een bewustwordingsprogramma draagt eraan bij dat medewerkers hiertoe in staat zijn.

•Teamleiders dienen erop toe te zien dat de controle op het verwerken van persoonsgegevens regelmatig wordt uitgevoerd, zodat zij kunnen vaststellen dat alleen rechthebbende ambtenaren de juiste persoonsgegevens ingezien en verwerkt hebben.

•De beveiligingsmaatregelen worden bepaald op basis van risicomanagement. Teamleiders voeren met behulp van de CISO, PO of FG, QuickScans informatiebeveiliging uit op basis van de BIO en bij verwerken van persoonsgegevens tevens (Pre-)DPIA’s uit op basis van de AVG uit om deze risico-afwegingen te kunnen maken.

•Informatiebeveiliging en privacybescherming maakt deel uit van de beoordelingssystematiek en wordt besproken tussen de teamleider en de medewerker.

2.6.5 Randvoorwaarden

Belangrijke randvoorwaarden zijn:

•De informatiebeveiliging en privacy eisen maken deel uit van afspraken met ketenpartners, leveranciers en gemeenschappelijke regelingen en worden periodiek geëvalueerd/gecontroleerd.

•Kennis en bewustzijn van informatiebeveiliging en privacybescherming en omgaan met persoonsgegevens binnen de organisatie dienen actief bevorderd en geborgd te worden.

•Jaarlijks wordt een IB&P plan (afdelingsplannen) opgesteld onder leiding van de CISO, gebaseerd op:

•Dit Strategisch Gemeentelijk Informatiebeveiligingsbeleid;

•De uitkomsten van de jaarlijkse Eenduidige Normatiek Single Information Audit (ENSIA);

•Andere audit resultaten;

•Het dreigingsbeeld gemeenten van de IBD;

•Uitkomsten risicoanalyses en DPIA’s;

•De door de teamleiders ingebrachte onderwerpen voor de informatievoorziening waarvoor zij verantwoordelijk zijn, bijvoorbeeld als uitkomst van een risicoanalyse of een privacy analyse (DPIA).

•Om uitvoering te kunnen geven aan dit strategisch beleid en het IB&P plan (afdelingsplannen) worden voldoende financiële middelen en uitvoeringscapaciteit ter beschikking gesteld.

2.6.6 Ketensamenwerking

De gemeente Koggenland werkt intensief samen met ketenpartners en leveranciers bij de uitvoering van haar taken. Informatiebeveiliging is een vast onderdeel van deze samenwerking en wordt expliciet opgenomen in contracten, dienstverleningsovereenkomsten en aanbestedingen. Daarbij hanteert de gemeente een Programma van Eisen (PvE) Informatiebeveiliging, dat is gebaseerd op de normen ISO/IEC 27001 en 27002, evenals de uitgangspunten van de Baseline Informatiebeveiliging Overheid (BIO).

De gemeente beoordeelt of ketenpartners voldoen aan deze eisen, zowel bij de inkoop als tijdens de samenwerking. Periodiek wordt geëvalueerd of de afgesproken beveiligingsmaatregelen nog toereikend zijn en worden waar nodig aanvullende afspraken gemaakt.

2.6.7 Beveiligingsbewustzijn

Informatiebeveiliging is geen statisch document dat alleen op papier bestaat; het is een dynamisch proces dat door de hele organisatie moet worden gedragen. Het doel van het informatiebeveiligingsbeleid van de gemeente Koggenland is om een stevige basis te leggen voor een veilige en verantwoorde omgang met informatie binnen de organisatie. Het beleid is daarom niet alleen bedoeld voor een selecte groep, maar raakt alle medewerkers, beheerders en bestuurders op verschillende manieren.

De gemeente onderscheidt drie doelgroepen:

1Medewerkers die werken met informatiesystemen

Het is van cruciaal belang dat alle medewerkers de basisprincipes van informatiebeveiliging kennen en toepassen in hun dagelijks werk. De gemeente zorgt voor periodieke bewustwordingscampagnes om medewerkers structureel te informeren over deze principes. Dit gebeurt via verschillende kanalen, zoals intranetberichten, workshops en e-learning modules. Daarnaast voert de gemeente periodiek social engineering-tests uit, zoals phishingcampagnes, om de bewustwording te verhogen en het gedrag van medewerkers te verbeteren. Bij indiensttreding krijgen nieuwe medewerkers de mogelijkheid om zich in te schrijven voor het Privacy, Informatiebeveiliging en AVG Introductieprogramma, waarin ze worden voorbereid op de basiseisen rondom informatiebeveiliging.

2Beheerders van informatiesystemen

Voor de applicatiebeheerders binnen de gemeente geldt een verhoogde verantwoordelijkheid. Specifieke aandachtspunten voor deze groep zijn onder andere de bijzondere positie van beheerdersaccounts, dataclassificatie, en de bescherming van gevoelige gegevens, zoals persoonsgegevens. Daarnaast moeten beheerders zich bewust zijn van de procedures voor incidentbeheer, back-up en restore en bedrijfscontinuïteit. Regelmatige training en het volgen van richtlijnen en procedures op het gebied van IT-beveiliging is cruciaal om risico’s te minimaliseren.

3Bestuurders, managementteam en afdelingsmanagement

Voor het bestuur, managementteam en afdelingshoofden zijn de volgende onderwerpen van belang: de beveiligingsverantwoordelijkheden binnen hun afdelingen, personeelsprocessen (in- en uitdiensttreding), risicomanagement en de koppeling tussen beveiliging en inkoop. Leidinggevenden dienen goed op de hoogte te zijn van de beveiligingsmaatregelen en de impact die deze hebben op de organisatie. Ook hun verantwoordelijkheid ten aanzien van privacy en dataclassificatie is essentieel. Om deze verantwoordelijkheid te kunnen dragen, dienen bestuurders en afdelingsmanagers periodiek te worden getraind en begeleid in het beheren van de risico’s die voortkomen uit de digitale werkomgeving.

Naast het gebruik van de juiste middelen is het essentieel dat alle medewerkers zich bewust zijn van de risico's die de digitale wereld met zich meebrengt. Dit bewustzijn wordt ondersteund door trainingen en bewustwordingsprogramma’s. Medewerkers worden geïnformeerd over zowel de kansen als de risico’s van digitaal werken, met speciale aandacht voor de bescherming van vertrouwelijke gegevens. Het training- en bewustwordingsprogramma wordt jaarlijks bijgewerkt en omvat onderwerpen zoals cybercrime, phishing, social engineering, en veilig werken op afstand.

De effectiviteit van informatiebeveiliging hangt voor een groot deel af van de kennis, bewustwording, en het gedrag van de medewerkers. Het is de verantwoordelijkheid van iedere medewerker om de aangeboden kennis op te nemen en toe te passen. Leidinggevenden spelen hierin een cruciale rol door het bevorderen van een professionele houding en het ondersteunen van medewerkers bij het naleven van de informatiebeveiligingsmaatregelen.

3.3.1 ENSIA

De gemeente verantwoordt zich over informatiebeveiliging middels de ENSIA-systematiek. Dit betekent dat er een ENSIA-coördinator is aangewezen die ervoor zorgt dat de benodigde informatie bij de verantwoordelijke vakspecialisten en teamleiders wordt opgehaald. Deze vakspecialisten en teamleiders leveren alle informatie die nodig is voor het invullen van de jaarlijkse ENSIA-vragenlijsten.

De verantwoording over de informatiebeveiliging en privacybescherming komt tot uitdrukking in het jaarverslag, via de collegeverklaring Informatiebeveiliging en Privacy. In deze verklaring geeft het college van B&W aan in hoeverre de gemeente voldoet aan de afspraken die zijn gemaakt voor de ENSIA-verantwoording, evenals aan de wettelijke eisen zoals de AVG. Ook worden eventuele verbetermaatregelen vermeld die de gemeente zal treffen. De ingevulde zelfevaluatievragenlijst vormt de basis voor het opstellen van de collegeverklaring aan de gemeenteraad.

Via ENSIA verantwoordt de gemeente zich zowel horizontaal aan de gemeenteraad (interne toezichthouder) als verticaal aan de centrale toezichthouders

11https://vng.nl/projecten/ensia

van de informatiestelsels, zoals DigiD, BRP/reisdocumenten, BAG/BGT/BRO en Suwinet.

Evaluaties uit de ENSIA-verantwoording en risicoanalyses leiden tot verbetermaatregelen die worden opgenomen in het Gemeentelijk Informatiebeveiligings- en Privacyplan. De voortgang van deze maatregelen wordt bewaakt door het managementteam en de CISO, en wordt jaarlijks gerapporteerd aan het college van B&W.

Met deze verantwoording wordt het bestuur van de gemeente Koggenland en de gemeenteraad geïnformeerd. De betrokkenheid van het bestuur is essentieel en toont aan dat de gemeente Koggenland informatiebeveiliging en privacybescherming serieus neemt. En het laat zien dat het een integraal onderdeel is van de ambities om de informatie van haar inwoners adequaat te beschermen.