Strategisch Gemeentelijk Informatiebeveiligingsbeleid gemeente Landsmeer

2.2.1 De BIO

De BIO (Baseline Informatiebeveiliging Overheid) is het normenkader voor de gehele overheid. De werkwijze van deze BIO is gericht op risicomanagement. Dat wil zeggen dat de teammanagers nu meer dan vroeger moeten werken volgens de aanpak van de ISO 27001 en daarbij is risicomanagement van belang. Dit houdt voor het management in, dat men op voorhand keuzes maakt en continu afwegingen maakt of informatie in bestaande en nieuwe processen adequaat beveiligd zijn in termen van beschikbaarheid, integriteit en vertrouwelijkheid.

2.2.2 De AVG

Nieuwe technologische ontwikkelingen, innovatieve voorzieningen, globalisering en een steeds digitaler wordende overheid maakt het zorgvuldig omgaan met persoonsgegevens steeds complexer en noodzakelijker. De AVG stelt onder andere eisen aan Informatiebeveiliging. Daaraan wordt invulling gegeven middels het voorliggende beleid.

2.2.3 De WPG

De gemeente heeft Buitengewoon opsporingsambtenaren (Boa’s) in dienst en zij verwerken gegevens die niet onder de AVG vallen maar onder de wet Politiegegevens (Wpg). Om aan de wet politiegegevens te voldoen is het nodig dat de gemeente beleid en samenhangende procedures heeft ingeregeld die betrekking hebben op toegangsrechten, autorisaties, data classificatie, risico-inschatting, registratie en logging, meldplicht en documentatieplicht. Daaraan wordt gedeeltelijk invulling gegeven middels het voorliggende beleid.

2.2.4 NIS2

De Network and Information Security Directive 2 (NIS2) is op 17 oktober 2024 van kracht geworden binnen de Europese Unie. In Nederland wordt deze Europese richtlijn omgezet in de Cyberbeveiligingswet (Cbw). Hoewel de wet inmiddels is aangenomen en daarmee in werking is getreden, is deze nog niet van kracht. De daadwerkelijke toepassing van de Cbw wordt naar verwachting in het derde kwartaal van 2025 van kracht.

De Cbw legt aanvullende verplichtingen op aan essentiële en belangrijke entiteiten, waaronder ook gemeenten die verantwoordelijk zijn voor onderdelen van de afvalwaterketen, zoals het gemeentelijke rioolbeheer. Om zich goed voor te bereiden op de eisen van de Cbw en de onderliggende NIS2-richtlijn, werkt de gemeente Landsmeer actief aan de versterking van haar digitale weerbaarheid.

Een belangrijke stap hierin is de implementatie van de Baseline Informatiebeveiliging Overheid (BIO). Met de BIO als normenkader zorgt de gemeente voor een structurele aanpak van informatiebeveiliging en legt zij een stevige basis voor naleving van de aankomende wettelijke verplichtingen.

2.2.5 Kunstmatige intelligentie

Sinds 2022 is de ontwikkeling en toepassing van kunstmatige intelligentie (AI) in een stroomversnelling geraakt. Deze snelle opmars biedt kansen voor innovatie en efficiëntie, maar brengt ook serieuze risico’s met zich mee op het gebied van informatiebeveiliging en privacy.

Zo kunnen generatieve AI-toepassingen, zoals ChatGPT, Bing Chat of andere op AI gebaseerde zoek- en communicatietools, onbedoeld leiden tot het lekken van gevoelige informatie, bijvoorbeeld wanneer vertrouwelijke gegevens via prompts worden gedeeld en mogelijk worden verwerkt of opgeslagen door externe aanbieders. Daarnaast maken kwaadwillenden actief gebruik van AI om overtuigende phishingmails te genereren, deepfakes te creëren of wachtwoorden te kraken via geavanceerde algoritmes.

De gemeente Landsmeer is zich bewust van zowel de risico’s als de kansen van AI en wil zich daarom zorgvuldig oriënteren op het veilig, verantwoord, effectief en efficiënt gebruik van kunstmatige intelligentie binnen de gemeentelijke organisatie. Medewerkers moeten de ruimte krijgen om AI op een zinvolle manier in te zetten ter ondersteuning van hun werkzaamheden, mits dit gebeurt binnen duidelijke kaders voor informatieveiligheid, privacy en ethiek.

2.2.6 De 10 principes voor informatiebeveiliging1 https://vng.nl/files/vng/de-10-bestuurlijke-principes-voor_20190109.pdf

De 10 principes voor informatiebeveiliging zijn een bestuurlijke aanvulling op het normenkader BIO en gaan over de waarden die de bestuurder zichzelf oplegt. De principes zijn als volgt:

1Bestuurders bevorderen een veilige cultuur.

2Informatiebeveiliging is van iedereen.

3Informatiebeveiliging is risicomanagement.

4Risicomanagement is onderdeel van de besluitvorming.

5Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking.

6Informatiebeveiliging is een proces.

7Informatiebeveiliging kost geld.

8Onzekerheid dient te worden ingecalculeerd.

9Verbetering komt voort uit leren en ervaring.

10Het bestuur controleert en evalueert.

De principes gaan vooral over de rol van het bestuur bij het borgen van informatiebeveiliging in de gemeentelijke organisatie. Deze principes ondersteunen de bestuurder bij het uitvoeren van goed risicomanagement. Als er iets verkeerd gaat met betrekking tot het beveiligen van de informatie binnen de gemeentelijke processen, dan kan dit directe gevolgen hebben voor inwoners, ondernemers en partners van de gemeente. Daarmee is het onderwerp informatiebeveiliging nadrukkelijk gewenst op de bestuurstafel.

2.2.7 Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten

Het Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten geeft een actueel zicht op incidenten en factoren uit het verleden, aangevuld met een verwachting voor het heden en de nabije toekomst. Dit dreigingsbeeld is daarmee het ideale document om focus aan te brengen in het actualiseren van beleid en plannen voor informatiebeveiliging. Het dreigingsbeeld wordt jaarlijks gepubliceerd door de Informatiebeveiligingsdienst (IBD) van de VNG.

2.2.8 Cybersecuritybeeld Nederland

De Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) publiceert jaarlijks het Cybersecuritybeeld Nederland met daarin een analyse van de ontwikkelingen ten aanzien van cyberdreigingen.

2.2.9 Informatie uit incidenten, inbreuken op de beveiliging en datalekken

De gemeente kent naast het hierboven genoemde dreigingsbeeld een eigen systeem waarin incidenten worden vastgelegd. Dit systeem geeft ook waardevolle informatie om van te leren en dus zijn incidenten uit het verleden ook nadrukkelijk input bij het actualiseren van het beleid.

2.6.1 Naleving

Het uitgangspunt is dat het College van B en W van de gemeente Landsmeer, het management, de Chief Information Security Officer (CISO) en de proceseigenaren (teammanagers) de naleving bevorderen van dit informatiebeveiligingsbeleid. Daarnaast bevorderen/ stimuleren zij de algehele communicatie en bewustwording (awareness) rondom informatieveiligheid.

2.6.2 Drie verdedigingslinies / Three lines of defense

Het uitgangspunt is de toepassing van de Three lines of defense. Bij de toepassing van informatiebeveiliging staat het faciliteren van de werkprocessen van de organisatie voorop. Informatiebeveiliging dient hieraan een bijdrage te leveren door het veilig werken met informatie te faciliteren. Dat betekent dat maatregelen in balans zijn met de te beschermen waarde of het belang. Er moeten ‘doelmatige, zakelijke’ argumenten zijn om beveiligingsmaatregelen te treffen. Deze balans wordt gevonden op basis van een expliciete risicoafweging, d.w.z. de te nemen maatregelen voor informatieveiligheid zijn risico gedreven.

De organisatie wil aantoonbaar voldoen aan wet- en regelgeving. Het gaat daarbij met name om de Algemene verordening gegevensbescherming (AVG), de Wet Politiegegevens (Wpg), wetten met betrekking tot basisregistraties, zoals de Basisregistratie Personen (BRP), de Archiefwet, maar ook om wetgeving met betrekking tot specifieke taken van de gemeente zoals de Wet Structuur Uitvoeringsorganisatie Werk en Inkomen (SUWI), de Wet maatschappelijke ondersteuning (Wmo) en de Jeugdwet. De AVG vereist in dit kader passende organisatorische en technische beveiligingsmaatregelen rekening houdend met de stand van de techniek, de kosten alsook de aard, omvang, context en de waarschijnlijkheid en ernst van risico’s (zie Art 32 lid 1 AVG) en ook aantoonbaarheid, evaluatie en aanpassing van de maatregelen en andere verplichtingen van de AVG (Art 5 lid 2; Art 24 lid 1).

De organisatie wil “in control” zijn, dat wil zeggen overzicht hebben en risico’s bewust nemen vanuit bestuurlijk niveau. Dit betekent dat eventuele (rest-)risico’s die niet afgedekt (kunnen) worden door beheersmaatregelen, bijvoorbeeld omdat zij niet proportioneel worden geacht, ter acceptatie worden voorgelegd aan het management. De organisatie past daarvoor de drie verdedigingslijnen toe vanuit Interne Controle::

1De beheersing van werkprocessen binnen de team onder verantwoordelijkheid van de teammanagers. Dat wil zeggen: werkprocessen op orde, passende werkinstructies en werken volgens afspraken. Dat betekent dat de teamen zelf ‘in control’ (lees, beheersing van taken) dienen te zijn door het treffen van de aan hen toegewezen adequate beheersmaatregelen en de monitoring van de werking.

2Ondersteuning door de CISO en andere ondersteunende teamen met advies en hulpmiddelen voor beheersmaatregelen in de 1e lijn. Dit omvat ook hulpmiddelen voor en regie op borging/controle van beheersmaatregelen in de lijn, bijvoorbeeld door kwaliteitsfunctionarissen of teammanagers. Deze borgingsmaatregelen/controles hebben als doel vast te stellen en aan te tonen dat werkprocessen conform de afspraken verlopen en deze te evalueren en waar nodig aan te passen. Deze borging wordt voor informatiebeveiliging gecoördineerd door de CISO en uitgevoerd in de lijn op basis van een controleplan

3De concerncontroller, de Chief Information Security Officer (CISO) en de Functionaris Gegevensbescherming (FG) hebben een toetsende, signalerend, initiërende en adviserende rol m.b.t. de kwaliteit, de getrouwheid, rechtmatigheid en het functioneren van de 1e en 2e lijn. Onderdeel van de 3e lijn zijn interne en externe audits vanuit de stafteam Concerncontrol, onder andere de Verbijzonderde Interne Controles (VIC) en onderzoeken/audits op basis van art. 213a van de Gemeentewet, art. 33 van de Wet Politiegegevens en de diverse audits vanuit ENSIA (Eenduidige Normatiek Single Information Audit). De 3e lijn resulteert in de evaluatie van de opzet, bestaan en werking van de 1e en de 2e verdedigingslinie als basis voor de evaluatie/beoordeling door het management, college en raad.

2.6.3 Risicomanagement

Risicomanagement is een kernonderdeel van informatiebeveiliging binnen de gemeente Landsmeer en vormt de basis voor de BIO, NIS2 en de aankomende Cyberbeveiligingswet. Het uitgangspunt is dat beveiligingsmaatregelen proportioneel en risicogebaseerd worden toegepast. De aanpak bestaat uit het identificeren, analyseren en beoordelen van risico’s, gevolgd door het nemen van passende maatregelen om deze te vermijden, te mitigeren, over te dragen of – na expliciete besluitvorming – te accepteren. Proceseigenaren en teammanagers voeren risicoanalyses uit voor hun processen; de CISO coördineert en bewaakt de uitvoering. Restrisico’s die van strategisch belang zijn worden ter besluitvorming voorgelegd aan het college van B&W. Risicomanagement is structureel onderdeel van de jaarlijkse PDCA-cyclus, het actieplan informatiebeveiliging en de besluitvorming bij nieuwe processen en samenwerkingen. Hiermee voldoet de gemeente aantoonbaar aan de eisen van de BIO en NIS2 en borgt zij de bescherming van informatie in al haar processen en ketens.

2.6.4 Management systeem voor informatiebeveiliging (ISMS)

De gemeente Landsmeer richt een Informatiebeveiligingsmanagementsysteem (ISMS) in als gestructureerde en systematische aanpak om de beschikbaarheid, integriteit en vertrouwelijkheid van informatie te borgen. Het ISMS is gebaseerd op de ISO 27001-norm, aangevuld met de verplichte overheidsmaatregelen uit de Baseline Informatiebeveiliging Overheid versie 2 (BIO2), en voldoet aan de NIS2-richtlijn en de aankomende Cyberbeveiligingswet.

Scope

Het ISMS richt zich in eerste instantie op de kritieke processen van de gemeente Landsmeer. Deze zijn vastgesteld op basis van de gemeentelijke dataclassificatie en een Business Impact Analyse (BIA), waarbij processen zijn geselecteerd waarvan aantasting van de BIV-eigenschappen zou leiden tot onacceptabele gevolgen voor inwoners, bedrijven of samenwerkingspartners. In latere fases kan de scope worden uitgebreid naar overige processen, systemen en locaties op basis van nieuwe risicoanalyses.

Risico gebaseerde aanpak

Het ISMS hanteert een risico gebaseerde aanpak: maatregelen worden geselecteerd en geïmplementeerd op basis van een gedegen risicobeoordeling. Hierbij wordt rekening gehouden met wettelijke verplichtingen, organisatorische context, actuele dreigingen en beschikbare middelen. Afwijkingen van de BIO2 worden uitsluitend toegepast via het “comply-or-explain”-principe en met bestuurlijke goedkeuring. Waar mogelijk maakt de gemeente gebruik van open standaarden en landelijke voorzieningen, en werkt zij samen met de Informatiebeveiligingsdienst (IBD) om uniformiteit en effectiviteit te waarborgen.

PDCA-cyclus

Het uitgangspunt is dat de gemeente Landsmeer de plan-do-check-act cyclus doorloopt voor de verbetering en beheersing van informatiebeveiliging. Het doorlopen van deze cyclus vormt het management systeem voor informatiebeveiliging (ISMS). De plan-do-check-act cyclus wordt op het niveau van de gemeente Landsmeer en op het niveau van de beheersmaatregelen toegepast:

•Plan: inrichten en documenteren van de beheersmaatregelen en de organisatiebrede aanpak van informatiebeveiliging op basis van geldende normen, wettelijke eisen en risico’s voor de organisatie (in termen van interne controle: de opzet, 1e verdedigingslinie)

•Do: aantonen van de uitvoering van beheersmaatregelen en de organisatie-brede aanpak van informatiebeveiliging (in termen van interne controle: het bestaan, 1e verdedigingslinie)

•Check: de borging/controle en evaluatie van de beheersmaatregelen en de organisatiebrede aanpak van informatiebeveiliging met als criteria de volledige uitvoering van de maatregelen en de effectiviteit hiervan. Daarbij wordt ook rekening gehouden met de voortschrijdende ontwikkeling van de techniek en bedreigingen. Hieronder vallen ook interne en externe audits (de werking, 2e en 3e verdedigingslinie)

•Act: het aanpassen en/of verbeteren van beheersmaatregelen en de organisatiebrede aanpak van informatiebeveiliging op basis van bovengenoemde evaluatie.

Het doorlopen van deze cyclus zorgt voor een adequate beheersing waarbij de organisatie aantoonbaar voldoet aan de BIO en is uitgewerkt in hoofdstuk 4.

2.6.5 Beheersmaatregelen

Het uitgangspunt is dat de organisatie zich committeert aan de Baseline Informatiebeveiliging Overheid (BIO) die is vastgesteld voor alle overheidslagen. De BIO is gebaseerd op de beheersmaatregelen van de internationale norm ISO27001, die deels nader zijn uitgewerkt in overheidsmaatregelen. Keuzes die binnen de organisatie worden gemaakt bij implementatie en aanpassing van de beheersmaatregelen, zoals die uit de BIO, zijn gebaseerd op een risicoafweging en worden proportioneel getroffen. Daarbij wordt onder andere rekening gehouden met de financiële mogelijkheden van de gemeente.

Voor de proportionele toepassing van maatregelen wordt gebruik gemaakt van een dataclassificatie. Daarmee kunnen beheersmaatregelen worden afgestemd op het risicoprofiel van de gegevens ten aanzien van de vertrouwelijkheid, integriteit en beschikbaarheid (“BIV”) van de gegevens.

De organisatie houdt een overzicht (GAP-analyse gemeente Landsmeer) bij van de implementatie van de beheersmaatregelen uit de BIO. Wanneer gekozen wordt af te wijken van de BIO, wordt daarover besloten door het management van de gemeente Landsmeer. Conform de eisen van de BIO wordt, waar van toepassing en indien mogelijk, gebruik gemaakt van de standaarden van het Forum Standaardisatie van de Nederlandse Overheid (https://www.forumstandaardisatie.nl/open-standaarden). De organisatie werkt nauw samen met landelijke diensten voor gemeenten, zoals de Informatiebeveiligingsdienst (IBD). Zowel in het overkoepelend (strategisch) informatiebeveiligingsbeleid en aanvullende beveiligingsbeleidsdocumenten moet ook verankering plaatsvinden naar aanvullende wet- en regelgeving of specifieke onderwerpen zoals beveiliging van Procesautomatisering (PA) en IoT.

2.6.6 Incident Management Response en Bedrijfscontinuïteit

Uitgangspunten:

•De verantwoordelijkheden ten aanzien van incidentmanagement en bedrijfscontinuïteit zijn vastgesteld en belegd.

•Incidenten worden geclassificeerd op basis van ernst, aard en (potentiële) impact. Afhankelijk van deze classificatie wordt een bijbehorende crisisteam-samenstelling geactiveerd.

•Er is een procedure vastgesteld voor het melden en afhandelen van beveiligingsincidenten en datalekken.

•Indien het incident de continuïteit of veiligheid van essentiële digitale diensten in gevaar brengt, geldt (op grond van NIS2) een meldplicht. Dan wordt, met ondersteuning van de IBD, binnen 24 uur een melding gedaan bij de Rijksinspectie Digitale Infrastructuur (RDI), inclusief aard, (vermoedelijke) oorzaak, impact en getroffen/voorgenomen maatregelen.

•De draaiboeken van kritieke processen worden regelmatig geoefend. Bevindingen en leerpunten worden vastgelegd en, indien nodig, gebruikt om de draaiboeken en het incidentmanagementproces te verbeteren en te actualiseren; de resultaten worden gerapporteerd aan het management. Het incidentmanagementproces wordt periodiek geëvalueerd en zo nodig geactualiseerd.

•Alle beveiligingsincidenten worden geregistreerd en gemeld in TOPdesk en bijgehouden in het register van beveiligingsincidenten en datalekken.

Voor interne crisisbeheersing beschikt de gemeente Landsmeer over een Bedrijfscontinuïteitsteam (BCT). Dit team komt samen bij grote incidenten of calamiteiten die een ernstige verstoring van informatiesystemen of processen veroorzaken. Het BCT bepaalt in welke gevallen, en door wie, contact wordt onderhouden met externe autoriteiten (zoals brandweer, toezichthouders of IBD). De handels- en werkwijze bij dergelijke situaties zijn vastgelegd in het Bedrijfscontinuïteitsplan van de gemeente Landsmeer. Voor alle kritieke processen zijn specifieke draaiboeken beschikbaar. Het BCT bestaat minimaal uit de gemeentesecretaris (voorzitter), CISO, TISO, privacy officer/FG, proceseigenaar (teammanager), adviseur crisisbeheersing, communicatieadviseur/woordvoerder, relevante experts (indien nodig) en een notulist. De burgemeester beslist of opschaling naar het GBT of de veiligheidsregio noodzakelijk is.

2.6.7 Verantwoording met ENSIA

De gemeente legt jaarlijks verantwoording af over informatiebeveiliging via de ENSIA-systematiek

5ENSIA staat voor Eenduidige Normatiek Single Information Audit. Middels ENSIA verantwoorden gemeenten zich over informatiebeveiliging en kwaliteit.

. Hiervoor wordt een ENSIA-coördinator aangewezen. Deze coördineert het verzamelen van de benodigde informatie bij de verantwoordelijke teammanagers en medewerkers, zodat de jaarlijkse ENSIA-vragenlijsten volledig kunnen worden ingevuld. De verantwoording wordt opgenomen in het jaarverslag via de ENSIA Collegeverklaring Informatiebeveiliging. In deze verklaring geeft het college van B&W aan in hoeverre de gemeente voldoet aan de afspraken van de ENSIA-verantwoording en de wettelijke eisen, zoals de AVG. Tevens worden eventuele verbetermaatregelen benoemd. De ingevulde zelfevaluatie vormt de basis voor de collegeverklaring aan de raad. Via ENSIA legt de gemeente daarnaast verantwoording af aan de stelselhouders voor DigiD, BGT, BRO, BAG en SUWI.

Middels deze verantwoording worden het college en de gemeenteraad van de gemeente Landsmeer geïnformeerd. De betrokkenheid van het bestuur is essentieel, en laat zien dat de gemeente Landsmeer informatiebeveiliging serieus neemt en het een onderdeel laat zijn van de ambities om informatie van haar inwoners adequaat te beschermen.

2.6.8 Externe partijen en ketenpartners

De gemeente Landsmeer verlangt van externe partijen zoal IT-leveranciers, verbonden partijen en ketenpartners, zoals zorginstellingen binnen het sociaal domein, dat zij aantoonbaar voldoen aan een vergelijkbaar niveau van informatiebeveiliging als vastgelegd in de BIO. Deze eisen worden vastgelegd in juridische afspraken, zoals verwerkers- en samenwerkingsovereenkomsten, waarin de verantwoordelijkheden en verplichtingen op het gebied van informatiebeveiliging expliciet zijn opgenomen en juridisch afdwingbaar zijn. Om naleving te borgen voert de gemeente regelmatig risicoanalyses uit, worden jaarlijks verantwoordingsrapportages opgevraagd en wordt via een robuust systeem van verantwoording en controle toegezien op de naleving van de afgesproken maatregelen.

2.6.9 Bewustwording

Medewerkers vormen een essentiële schakel bij het voorkomen van informatiebeveiligingsincidenten en datalekken. Daarom worden bewustwordingsprogramma’s en trainingen ingezet om hen inzicht te geven in hun rol, risico’s en dreigingen, en om hen in staat te stellen hier adequaat op te reageren. Indien het beleid of beheersmaatregelen eisen stellen aan taken en verantwoordelijkheden, worden deze vastgelegd in functieafspraken. Elke medewerker – vast, tijdelijk, intern, extern of (keten)partner, is verplicht gegevens en applicaties te beschermen tegen ongeautoriseerde toegang, wijziging, openbaarmaking, vernietiging of overdracht. (Vermeende) inbreuken moeten direct bij de helpdesk worden gemeld. Van iedere medewerker wordt verwacht dat hij of zij de gedragsregels kent, naleeft en eigen verantwoordelijkheid neemt binnen het vastgestelde beleid en normenkaders.