Strategisch informatiebeveiligingsbeleid versie 3.0

NIS2

De Europese NIS2-richtlijn is sinds 17 oktober 2024 van kracht. De richtlijn legt aan essentiële entiteiten, waaronder gemeentelijke overheden, een zorg-, meld- en toezichtplicht op.

Zorgplicht – Deze verplicht organisaties zelf een risicobeoordeling uit te voeren. Op basis van deze risicobeoordeling nemen zij passende maatregelen om de continuïteit van hun diensten zoveel mogelijk te waarborgen en de gebruikte informatie te beschermen.

Meldplicht – De richtlijn schrijft voor dat entiteiten incidenten binnen 24 uur moeten melden bij de toezichthouder. Het gaat om incidenten die de continuïteit van dienstverlening van de essentiële entiteit aanzienlijk (kunnen) verstoren. In het geval van een cyberincident moet het ook gemeld worden bij het Computer Security Incident Response Team (CSIRT). Voor gemeenten is de Informatie Beveiliging Dienst (IBD) het Computer Security Incident Response Team.

Toezichtplicht – Organisaties die onder de richtlijn vallen, krijgen ook verplicht toezicht. De NIS2-richtlijn schrijft voor dat een onafhankelijk toezichthouder kijkt naar de naleving van de verplichtingen uit de richtlijn. Voor de overheid wordt de Rijksinspectie Digitale Infrastructuur (RDI) aangewezen als toezichthouder. De RDI maakt voor het toezicht op NIS2 voor de overheid gebruik van bestaande verantwoordingsstructuren, waaronder ENSIA.

Cyberbeveiligingswet

In 2026 treedt de Cyberbeveiligingswet in werking. Deze wet wordt de Nederlandse vertaling van de Network and Information Security 2 richtlijn (NIS2) van de Europese Unie.

Baseline Informatiebeveiliging Overheid

De Cyberbeveiligingswet geeft de Baseline Informatiebeveiliging Overheid 2 als het vigerende normenkader voor de overheid. De BIO conformeert aan de internationale normen voor informatiebeveiliging, zijnde de NEN-ISO/IEC 27001 en NEN-ISO/IEC 27002 plus aanvullende maatregelen.

Nationale Digitaliseringsstrategie

De nationale digitaliseringsstrategie die op 4 juli 2025 is gepubliceerd, kent 6 prioriteiten. Eén van deze prioriteiten raakt informatiebeveiliging en luidt:

Digitale weerbaarheid en digitale autonomie van de overheid versterken.

“We voeren een overheidsbrede aanpak voor digitale weerbaarheid en autonomie, verbeteren continu onze digitale weerbaarheid voor snel herstel bij crises, en implementeren een quantumveilige cryptografie-aanpak om risico's te beheersen”. De gemeente Maastricht sluit aan bij de overheidsbrede aanpak.

10 Bestuurlijke principes voor informatiebeveiliging

De 10 bestuurlijke principes voor informatiebeveiliging zijn opgesteld door de Vereniging van Nederlandse Gemeenten (VNG) in samenwerking met de Informatiebeveiligingsdienst (IBD). Ze vormen een onderdeel van de Baseline Informatiebeveiliging Overheid (BIO), die sinds 2020 geldt als norm voor informatiebeveiliging binnen de Nederlandse overheid.

Zij gaan over de waarden die de bestuurder zichzelf oplegt. De principes zijn als volgt:

1Bestuurders bevorderen een veilige cultuur;

2Informatiebeveiliging is van iedereen;

3Informatiebeveiliging is risicomanagement;

4Risicomanagement is onderdeel van de besluitvorming;

5Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking;

6Informatiebeveiliging is een proces;

7Informatiebeveiliging kost geld;

8Onzekerheid dient te worden ingecalculeerd;

9Verbetering komt voort uit leren en ervaring;

10Het bestuur controleert en evalueert.

Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten

Het Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten laat zien dat gemeenten in 2025-2026 staan voor een onverminderd complex digitaal dreigingslandschap. Ransomware, datalekken en uitval van processen door incidenten vormen de grootste bedreigingen. Dit vraagt om een proactieve aanpak om digitale veiligheid te waarborgen en vertrouwen van inwoners en ondernemers te behouden. Dit alles in het licht van financiële en personele krapte.

Informatie uit incidenten, inbreuken op de beveiliging en datalekken

De gemeente kent naast het hierboven genoemde dreigingsbeeld een eigen systeem, waarin incidenten worden vastgelegd. Dit systeem geeft waardevolle informatie om van te leren en dus zijn incidenten uit het verleden ook nadrukkelijk input bij het actualiseren van beleid.