Gemeentelijk Informatiebeveiligingsbeleid Nijmegen 2025

2.2.1. De BIO

De BIO (Baseline Informatiebeveiliging Overheid) is het normenkader voor de gehele overheid. De werkwijze van de BIO2 is gericht op risicomanagement. Dat wil zeggen dat proces eigenaren nu meer dan vroeger werken volgens de aanpak van de ISO 27001(industrie standaard waarin beschreven wordt hoe een informatiebeveiligingsmanagementsysteem in elkaar zit)

1NEN-EN-ISO/IEC 27001:2023 nl

. Dit houdt voor het management in dat men op voorhand keuzes maakt en continu afwegingen maakt of informatie in bestaande en nieuwe processen adequaat beveiligd is in termen van beschikbaarheid, integriteit en vertrouwelijkheid. Daarbij wordt de aanpak bepaald aan de hand van het risico dat de organisatie loopt. In dit strategisch beleid sorteren we voor richting de BIO2.

2.2.2. De WPG

De gemeente heeft BOA’s in dienst die gegevens verwerken die onder de wet Politiegegevens (WPG) vallen, evenals medewerkers leerplicht en sociaal rechercheurs waar hetzelfde voor geldt. Hiervoor moet de gemeente beleid en samenhangende procedures hebben ingeregeld die betrekking hebben op toegangsrechten, autorisaties, data classificatie, risico-inschatting, registratie en logging, meldplicht en documentatieplicht.

Er is een belangrijke overlap met privacy als het gaat om de beheerstructuren en de juiste organisatorische en technische maatregelen ter bescherming van persoonsgegevens, zoals bedoeld door de AVG. Voor aanvullingen op het vlak van privacy wordt verwezen naar het privacy beleid van gemeente Nijmegen zoals vastgesteld door het college van Burgemeester en Wethouders.

2.2.3. De 10 principes voor informatiebeveiliging2https://vng.nl/files/vng/de-10-bestuurlijke-principes-voor_20190109.pdf

De 10 principes voor informatiebeveiliging, opgesteld door de VNG, zijn een bestuurlijke aanvulling op het normenkader BIO en gaan over de waarden die de bestuurder zichzelf oplegt. De principes zijn als volgt:

1Bestuurders bevorderen een veilige cultuur.

2Informatiebeveiliging is van iedereen.

3Informatiebeveiliging is risicomanagement.

4Risicomanagement is onderdeel van de besluitvorming.

5Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking.

6Informatiebeveiliging is een proces.

7Informatiebeveiliging kost geld.

8Onzekerheid dient te worden ingecalculeerd.

9Verbetering komt voort uit leren en ervaring.

10Het bestuur controleert en evalueert.

Deze principes zijn onderdeel van ons huidige beleid. We nemen ze opnieuw op als uitgangspunt in deze beleidsherziening omdat ze ook nu van toepassing zijn. De principes gaan vooral over de rol van het bestuur bij het borgen van informatiebeveiliging in de gemeentelijke organisatie. Deze principes ondersteunen de bestuurder bij het uitvoeren van goed risicomanagement. Als er iets verkeerd gaat met betrekking tot het beveiligen van de informatie binnen de gemeentelijke processen, dan kan dit directe gevolgen hebben voor inwoners, ondernemers en partners van de gemeente. Daarmee is het onderwerp informatiebeveiliging nadrukkelijk gewenst op de bestuurstafel.

2.2.4. Dreigingsbeeld informatiebeveiliging Nederlandse gemeenten

Het dreigingsbeeld informatiebeveiliging Nederlandse gemeenten geeft een actueel zicht op incidenten en factoren uit het verleden, aangevuld met een verwachting voor het heden en de nabije toekomst. Dit dreigingsbeeld is daarmee belangrijk om focus aan te brengen in het actualiseren van beleid en plannen voor informatiebeveiliging.

2.2.5. Informatie uit incidenten, inbreuken op de beveiliging en datalekken

De gemeente kent naast het hierboven genoemde dreigingsbeeld natuurlijk een eigen systeem waarin incidenten worden vastgelegd. Dit systeem geeft waardevolle informatie over onze kwetsbaarheden. Daarom zijn incidenten uit het verleden ook nadrukkelijk input bij het actualiseren van het beleid.

2.6.1. Strategische doelen

De strategische doelen van het informatiebeveiligingsbeleid zijn:

•Het inrichten en beheren van een structuur voor informatiebeveiliging, inclusief het beleggen van verantwoordelijkheden en de inbedding in een planning en control cyclus. Hiermee bereiken wij volwassenheidsniveau 3 van het Capability Maturity Model (CMM).

•Het bewerkstelligen van een veilige cultuur voor het werken met informatie. Onderdeel hier van is scholing, oefening en leren van incidenten. Hiermee wordt informatiebeveiliging effectief.

•Het op elke laag toepassen van maatregelen op basis van risico, van dataminimalisatie tot continuïteit, door de gehele organisatie. Hiermee wordt informatiebeveiliging efficiënt.

•Het samenwerken met en toezien op de maatregelen in de (keten)samenwerking. Hiermee nemen wij onze verantwoordelijkheid en zijn wij een sterke schakel.

2.6.2. Randvoorwaarden

Onderstaande randvoorwaarden zijn van belang om risico`s inzichtelijk te kunnen krijgen en verantwoording af te kunnen leggen. Belangrijke randvoorwaarden zijn:

•De informatiebeveiligingseisen maken deel uit van afspraken met ketenpartners, leveranciers en gemeenschappelijke regelingen en worden periodiek geëvalueerd/gecontroleerd.

•Kennis en bewustzijn van informatiebeveiliging binnen de organisatie dient actief bevorderd en geborgd te worden.

•Maatregelen worden gestructureerd geïmplementeerd op basis van urgentie en haalbaarheid.

•Om uitvoering te kunnen geven aan dit gemeentelijk beleid en het informatiebeveiligingsplan worden voldoende financiële middelen en uitvoeringscapaciteit ter beschikking gesteld.

2.6.3 Informatiebeveiliging wordt ondersteund door architectuur

Informatiebeveiliging is een basisprincipe van de informatiearchitectuur van gemeente Nijmegen en is uitgewerkt als onderdeel van die architectuur. De architectuur beschrijft onder meer principes, richtlijnen en maatregelen o.b.v. verschillende beschermingsniveaus (classificatie). Dit is de uitwerking van principes als Privacy by Design en Privacy by Default.

De toewijzing van algoritmes, applicaties en gegevensverzamelingen die onder de verantwoordelijkheid van de concernmanager vallen, zijn gebaseerd op risicomanagement. Dat heeft gevolgen voor de beschermende maatregelen, maar ook voor de registratie in het verwerkingsregister en de te volgen inzageprocedure.

3.2.1 Medewerkers

Informatiebeveiliging is een verantwoordelijkheid van iedereen. Dit geldt ook voor alle medewerkers. Daarom neemt iedereen deel aan trainingen in het gebruik van beveiligingsprocedures, het signaleren van risicovolle situaties en de juiste omgang met bedrijfsmiddelen. Alle medewerkers hebben basiskennis van de privacywetgeving en weten deze toe te passen in hun dagelijks werk.

3.4.1. ENSIA

De gemeente verantwoordt zich over informatiebeveiliging middels de Eenduidige Normatiek Single Information Audit (ENSIA). Deze systematiek wordt door de Rijksoverheid gebruikt voor de verantwoording aan de stelselhouders voor DIGID/WOZ/BAG/SUWI in plaats van de separate verantwoording per stelsel. De ENSIA coördinator zorgt ervoor dat de informatie die nodig is voor het beantwoorden van vragen binnen ENSIA wordt opgehaald bij de verantwoordelijke ambtelijk opdrachtgevers. De ambtelijk opdrachtgevers leveren alle informatie die nodig is voor het invullen van de jaarlijkse ENSIA vragenlijsten.

De verantwoording over de informatiebeveiliging komt in de jaarlijkse rapportage informatiebeveiliging tot uitdrukking in de in control verklaring. Met deze verklaring geeft het college aan in hoeverre de gemeente voldoet aan de afspraken die gemaakt zijn voor verantwoording Informatiebeveiliging. Ook worden de eventuele verbetermaatregelen vermeld die de gemeente zal treffen. In dit proces wordt ook verantwoording afgelegd per brief aan de raad.