Aanhef
Het college van burgemeester en wethouders van de gemeente Lopik,
gezien het advies van de afdeling Bedrijfsvoering van 13 december 2023;
besluit:
Het Strategisch InformatieBeveiligings- en Privacybeleid en het Tactisch Privacybeleid voor de periode 2023 – 2026 vaststellen.
2. Strategisch beleid
2.2 Aanleidingen voor het aanpassen van het beleid
2.2.1 De BIO
Voor de ondersteuning van gemeenten bij het formuleren en realiseren van hun informatiebeveiligingsbeleid heeft de interbestuurlijke werkgroep Normatiek
1De Interbestuurlijke werkgroep Normatiek bestaat uit vertegenwoordigers van bijvoorbeeld VNG en de IBD, maar ook waterschappen, provincies en het rijk.
in 2018 de Baseline Informatiebeveiliging Overheid (BIO) uitgebracht. De basis hiervoor is de NEN-ISO/IEC 27001:2017. De beveiligingsmaatregelen worden op basis van de NEN-ISO/IEC 27002:2017 en best practices bij (lokale) overheden genomen.
De BIO is sinds 2019 het normenkader voor de gehele overheid. Het bestaat uit een baseline met verschillende niveaus van beveiligen. Aanvullend hierop worden praktische operationele handreikingen uitgebracht, zoals een handleiding voor het uitvoeren van een risicoanalyse voor het opstellen van een beveiligingsplan.
In opzet is de BIO een kwaliteitssysteem, waarbij jaarlijks het niveau van beveiliging wordt verbeterd via een PDCA-cyclus (Plan-Do-Check-Act). Op basis van een inschatting door het lijnmanagement van mogelijke dreigingen en schade worden beveiligingsmaatregelen genomen die de risico’s beperken.
De Cybersecurity Implementatie Richtlijn (CSIR) is een afgeleide van de BIO, speciaal voor de beveiliging van procesautomatisering, bijvoorbeeld voor pompen en gemalen.
2.2.2 De AVG
Nieuwe technologische ontwikkelingen, innovatieve voorzieningen, globalisering en een steeds digitaler wordende overheid maakt het zorgvuldig omgaan met persoonsgegevens steeds complexer en noodzakelijker. De gemeente Lopik is zich hiervan bewust en wil daarom met dit beleid aangeven hoe zij in algemene zin invulling geeft aan nationale en Europese wet- en regelgeving op het gebied van privacy, waaronder de Algemene Verordening Gegevensbescherming (AVG). Het AVG Borgingsproduct, ontwikkeld door de InformatieBeveiligingsDienst (IBD, een onderdeel van de VNG), dient hierbij als toetsingskader.
2.2.3 De WPG
De gemeente heeft BOA’s in dienst en zij verwerken gegevens die niet onder de AVG vallen maar onder de wet Politiegegevens (WPG). Hiervoor moet de gemeente beleid en samenhangende procedures hebben ingeregeld die betrekking hebben op toegangsrechten, autorisaties, data classificatie, risico-inschatting, registratie en logging, meld- en documentatieplicht.
2.2.4 De 10 principes voor informatiebeveiliging2 https://vng.nl/files/vng/de-10-bestuurlijke-principes-voor_20190109.pdf
De 10 principes voor informatiebeveiliging zijn een bestuurlijke aanvulling op het normenkader BIO en gaan over de waarden die de bestuurder zichzelf oplegt. De principes zijn als volgt:
1Bestuurders bevorderen een veilige cultuur.
2Informatiebeveiliging is van iedereen.
3Informatiebeveiliging is risicomanagement.
4Risicomanagement is onderdeel van de besluitvorming.
5Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking.
6Informatiebeveiliging is een proces.
7Informatiebeveiliging kost geld.
8Onzekerheid dient te worden ingecalculeerd.
9Verbetering komt voort uit leren en ervaring.
10Het bestuur controleert en evalueert.
Deze principes gaan vooral over de rol van het bestuur bij het borgen van informatiebeveiliging in de gemeentelijke organisatie. De principes ondersteunen de bestuurder bij het uitvoeren van goed risicomanagement. Als er iets verkeerd gaat met betrekking tot het beveiligen van de informatie binnen de gemeentelijke processen, dan kan dit directe gevolgen hebben voor inwoners, ondernemers en partners van de gemeente. Dit maakt het onderwerp informatiebeveiliging nadrukkelijk gewenst op de bestuurstafel.
2.2.5 Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten
Het ‘Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten’ geeft een actueel zicht op incidenten en factoren uit het verleden, aangevuld met een verwachting voor het heden en de nabije toekomst. Dit dreigingsbeeld is daarmee het ideale document om focus aan te brengen in het actualiseren van beleid en plannen voor informatiebeveiliging.
2.2.6 Informatie uit incidenten, inbreuken op de beveiliging en datalekken
De gemeente Lopik heeft een eigen systeem waarin incidenten en datalekken worden vastgelegd. Deze informatie is waardevol als input bij het actualiseren van het beleid.
3. Organisatie, taken & verantwoordelijkheden
3.2 De 2e lijn: ondersteuning
3.2.1 Chief Information Security Officer (CISO)
De CISO is verantwoordelijk voor het implementeren van en toezicht houden op het informatiebeveiligingsbeleid.
De CISO ondersteunt vanuit een onafhankelijke positie de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover rechtstreeks aan het MT.
3.2.2 Privacy Officer (PO)
De PO is verantwoordelijk voor het actualiseren en bewaken van het privacybeleid binnen de gemeente.
De PO heeft een operationeel uitvoerende rol en is het dagelijkse aanspreekpunt voor medewerkers wat betreft gegevensbescherming. Daar passen taken bij als adviseren over de procedures en de werkprocessen binnen de teams, over het afsluiten van (verwerkers)overeenkomsten met externe partijen, het beheer van het register van verwerkingen en het coördineren van het proces rond datalekken.
De PO heeft een adviserende rol bij het in beeld brengen van privacy risico’s door middel van DPIA’s.
3.3 De 3e lijn: controle en verantwoording
3.3.1 ENSIA-coördinator en de Register EDP Auditor (RE)
De gemeente verantwoordt zich over informatiebeveiliging via de ENSIA-systematiek. Daarvoor is een ENSIA-team opgericht. De ENSIA-coördinator wordt jaarlijks aangewezen. Deze coördineert de acties die nodig zijn voor het invullen van de ENSIA-vragenlijsten. De leden van het ENSIA-team rapporteren de resultaten naar de betrokken teamleiders.
De ingevulde zelfevaluatievragenlijst vormt de basis voor het opstellen van de collegeverklaring aan de raad. Deze verklaring wordt na goedkeuring ondertekend door een RE Auditor. Met deze verklaring geeft het college van B en W aan in hoeverre de gemeente voldoet aan de afspraken die gemaakt zijn voor de ENSIA-verantwoording Informatiebeveiliging en wettelijke eisen zoals uit de AVG. Ook worden de eventuele verbetermaatregelen vermeld die de gemeente gaat treffen.
Via de jaarlijkse collegeverklaring Informatiebeveiliging worden het bestuur van de Gemeente Lopik en de raad geïnformeerd. De betrokkenheid van het bestuur is essentieel. Hiermee laat de Gemeente Lopik zien dat het de informatiebeveiliging serieus neemt en het een onderdeel laat zijn van de ambities om informatie van haar inwoners adequaat te beschermen.
Via ENSIA verantwoordt de gemeente zich ook aan de stelselhouders voor o.a. DigiD, WOZ, BAG en SUWI.
3.3.2 Functionaris voor Gegevensbescherming (FG)
De FG is verantwoordelijk voor het intern onafhankelijk toezien op en adviseren van het college van B&W over de juiste en zorgvuldige omgang met persoonsgegevens zoals de AVG voorschrijft. De FG brengt een jaarverslag uit waarin de bevindingen en aanbevelingen zijn vastgelegd.