Strategisch Informatie Beveiligheidsbeleid Dommelvallei Organisaties 2025-2029

2.3.1 Gemeenten

Het college van B&W is verantwoordelijk voor:

•Beleidsbepaling, stelt dit beleid vast, draagt het uit en houdt toezicht op de naleving door het management.

•Het toewijzen van voldoende middelen en het ondersteunen van de implementatie en naleving van dit beleid.

2.3.2 Dienst Dommelvallei

Het Bestuur is verantwoordelijk voor:

•Beleidsbepaling, stelt dit beleid vast, draagt het uit en houdt toezicht op de naleving door het management.

•Het toewijzen van voldoende middelen en het ondersteunen van de implementatie en naleving van dit beleid.

De Chief Information Security Officer (CISO) is beheerder van dit document en zal dit Informatiebeveiligingsbeleid periodiek evalueren en indien nodig aanpassen aan veranderde inzichten. Indien sprake is van significante wijzingen, zal het opnieuw ter vaststelling worden voorgelegd.

3.2.1 Cyberbeveiligingswet

Om de fysieke, digitale en economische weerbaarheid te versterken, heeft de Europese Unie de Network and Information Security directive (NIS2) richtlijn aangenomen. In Nederland wordt deze richtlijn omgezet naar een landelijke Cyberbeveiligingswet. Gemeenten zijn, net als andere overheidsinstanties zoals waterschappen, onder de NIS2-implementatiewet, de Cyberbeveiligingswet, als essentiële entiteiten aangemerkt. Dit betekent dat digitale veiligheid een wettelijke verplichting is geworden.

In een notendop houdt de wet het volgende in:

-Naast het gebruikelijke toezicht achteraf, worden ook vooraf audits uitgevoerd op de digitale beveiliging van de gemeenten. Hiervoor is de Rijksinspectie Digitale Infrastructuur (RDI) aangesteld als toezichthouder.

-Gemeenten hebben een registratieplicht, een zorgplicht voor digitale veiligheid en een meldplicht voor significante (cyber)incidenten. Ook hebben zij recht op hulp bij digitale incidenten. De bepalingen zijn opgenomen in de Cyberbeveiligingswet.

Aangezien Dienst Dommelvallei taken uitvoert voor de gemeenten geldt deze wetgeving ook voor de Dienst.

3.2.2 Baseline Informatiebeveiliging Overheid 2

De Baseline Informatiebeveiliging Overheid 2 (BIO2) vormt het nieuwe kader voor informatiebeveiliging en volgt de BIO 1.04 op. De BIO2 is geen wetgeving op zichzelf, maar in de Cyberbeveiligingswet staat dat aanvullende regels voor beveiliging via een Algemene Maatregel van Bestuur kunnen worden gesteld, wat dan de BIO2 is. De BIO2 heeft als doel NIS2/Cyberbeveiligingswet-compliant te zijn. Dat betekent dat het volgen van de BIO2 de Dienst Dommelvallei-organisaties helpt om aan de Cyberbeveiligingswet te voldoen.

Dit strategische informatiebeveiligingsbeleid is gebaseerd op de Baseline Informatiebeveiliging Overheid BIO2. De BIO2 is als volgt opgebouwd:

-NEN-ISO/IEC 27001:2023

7Internationale norm en format voor Informatiebeveiliging, uitgegeven door het Nederlands Normalisatie Instituut (NEN) en de Internationale Standaardisatie Organisatie (ISO); voorheen bekend als Code voor Informatiebeveiliging.

-NEN-ISO/IEC 27002:2022

-een lijst met aanvullende overheidsmaatregelen

3.2.3 Cybersecurity Implementatie Richtlijn (CSIR)

Onze organisaties gebruiken de BIO als beveiligingsnorm voor kantoorautomatisering. Voor het beveiligen van procesautomatiseringssystemen bestaan aanvullende beveiligingseisen die niet in de BIO staan. Voor de bescherming van Proces Automatisering is de Cybersecurity Implementatie Richtlijn (CSIR) van toepassing. Deze CSIR-richtlijn is namelijk speciaal ontwikkeld om objecten (waterzuiveringsinstallaties, gemalen, bruggen, keringen, sluizen, etc.) te beveiligen.

3.4.1 Verantwoordelijkheid en betrokkenheid

-Het beleid benadrukt dat beveiliging een gezamenlijke verantwoordelijkheid is van alle medewerkers, van bestuur, management tot eindgebruikers.

-Het bestuur en management dragen dit beleid uit en sturen op de implementatie van dit beleid.

-Regels, verantwoordelijkheden en bevoegdheden die relevant zijn voor informatiebeveiliging zijn toegekend en gecommuniceerd binnen de organisatie.

-Benodigde middelen en competenties worden vastgesteld en beschikbaar gesteld om haar eigendommen en werkprocessen te kunnen beveiligen en te voldoen aan dit beleid.

-Interne en externe communicatie relevant voor het managementsysteem wordt vastgesteld.

3.4.3 Integrale benadering

-Informatiebeveiliging wordt gezien als een onderdeel van de bredere bedrijfsstrategie en niet als een losstaand technisch aspect.

3.4.4 Continuïteit en veerkracht

-Het waarborgen van de bedrijfscontinuïteit door middel van preventie, detectie en herstelmaatregelen.

-De Dommelvallei-organisaties nemen maatregelen om de organisaties te beschermen tegen cyberdreigingen, om van incidenten te kunnen herstellen indien cyberdreigingen zich voordoen en de impact van de cyberdreiging te reduceren.

-De organisaties zijn cyberweerbaar doordat het (kritieke) processen identificeert en deze overeenkomstig beveiligt.

-Werkinstructies, procedures en beleid worden periodiek getest.

3.4.5 Wet- en regelgeving

-Naleving van relevante wet- en regelgeving, zoals de Cyberbeveiligingswet, wordt als uitgangspunt genomen.

3.4.6 Bewustwording, training en digitaal vaardig gedrag

-Medewerkers worden actief betrokken door middel van bewustwordingsprogramma’s en training om beveiligingsbewustzijn te vergroten.

-Het management heeft continu aandacht voor het vergroten van digitaal vaardig gedrag van medewerkers om zo de menselijke schakel te versterken.

-Bestuurders en medewerkers dienen verantwoord om te gaan met (persoons)gegevens en andere informatie. Een bewustwordingsprogramma draagt eraan bij dat medewerkers hiertoe in staat zijn.

-Indien van toepassing voor het uitvoeren van werkzaamheden worden medewerkers getraind in het gebruik van beveiligingsprocedures.

-Iedere medewerker, zowel vast als tijdelijk, intern of extern, is verplicht waar nodig (persoons)gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht en bij vermeende inbreuken hiervan melding te maken.

-Informatiebeveiliging maakt deel uit van de HR-gesprekscyclus en wordt besproken tussen de manager en de medewerker.

3.4.7 Duidelijke procedures en beleid

-Het vastleggen van heldere richtlijnen en procedures voor het omgaan met informatie en incidenten. Informatiebeveiligingsincidenten worden afgehandeld volgens een gestandaardiseerd proces.

3.4.8 Continue verbetering

-Het beleid is dynamisch en wordt regelmatig geëvalueerd en aangepast op basis van nieuwe risico’s, technologische ontwikkelingen en ervaringen.

-Informatiebeveiliging is een continu verbeterproces. Door organisatiebrede planning, het implementeren van maatregelen, het periodieke controleren én coördinatie wordt de kwaliteit van de informatievoorziening verankerd en verbeterd binnen de organisatie.

-Om het informatiebeveiligingsproces te structureren wordt gebruik gemaakt van een managementsysteem.

-Elk bedrijfsproces en informatiesysteem binnen scope van het managementsysteem (ISMS) is bekend.

-Het managementsysteem voor informatiebeveiliging moet o.a. bevatten de gedocumenteerde informatie die de organisatie nodig acht voor de doeltreffendheid van het managementsysteem van informatiebeveiliging.

-Vastgestelde beleidsstukken en uitwerkingen van informatiebeveiliging (bijv. procedures, standaarden en werkinstructies) worden centraal beheerd in het managementsysteem voor informatiebeveiliging.

-Tijdens periodieke gesprekken met directie en management dient er aandacht te zijn voor de informatiebeveiliging n.a.v. de rapportage van de CISO. De onderwerpen, die als risicovol worden gezien, moeten tevens worden opgenomen in auditplannen.

-Elk bedrijfsproces en informatiesysteem dat gebruikt wordt, heeft een eigenaar (leidinggevende) die de waarde bepaalt van de informatie die het bevat. De primaire verantwoordelijkheid voor de bescherming van informatie ligt dan ook bij de eigenaar van de informatie die verantwoording aflegt over de beveiliging hiervan.

-De rol van de coördinator van informatiebeveiliging (CISO) is ingevuld. De CISO ondersteunt vanuit een onafhankelijke positie het bestuur en management bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover.

-Informatiebeveiliging mag niet ten koste gaan van de veiligheid van personen.

-Hoewel de basiskernregistraties (zoals BRP, PUN/PNIK, SUWI, BAG, BGT, BRO) en toekomstige basisregistraties belangrijk zijn in het kader van informatiebeveiliging, krijgen zij niet meer of minder voorrang dan andere (primaire) processen binnen de gemeente. Het samenspel van alle processen binnen de bedrijfsvoering is belangrijk voor de missie en de visie van de gemeente en het behalen van de doelen die zijn gesteld.

3.4.9 Overige uitgangspunten

De verantwoordelijkheid voor informatiebeveiliging eindigt niet bij de poort van de Dommelvallei-organisaties. Ook zaken als verbindingen met externe partijen en leveranciers zijn van belang. Er worden gelijkwaardige eisen gesteld aan leveranciers en externe partijen, zoals dit ook voor de interne situatie zou gebeuren. Uitgangspunt hierbij is dat wordt ingezet op het beschermen van informatie (data) ongeacht waar deze zich bevindt.

4.1 Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten

Gemeenten worden geconfronteerd met een complex en structureel dreigingslandschap. Deze digitale dreigingen raken direct de continuïteit van gemeentelijke dienstverlening en het vertrouwen van inwoners.

De Informatiebeveiligingsdienst voor Gemeenten (IBD)

10Zie paragraaf 5.2.5

publiceert jaarlijks het Dreigbeeld Informatiebeveiliging Nederlandse Gemeenten. Het dreigbeeld geeft een actueel zicht op deze dreigingen, incidenten en factoren uit het verleden, aangevuld met een verwachting voor het heden en de nabije toekomst. Het doel van dit dreigbeeld is om gemeenten inzicht te geven in de belangrijkste risico's op het gebied van informatiebeveiliging, zodat ze hun digitale weerbaarheid kunnen versterken. Het dreigbeeld helpt gemeenten om bewuster te worden van de dreigingen en kwetsbaarheden waarmee ze te maken kunnen krijgen, en om maatregelen te nemen om deze risico's te beperken.

Dit dreigingsbeeld is daarmee onderwerp van de risicoworkshops aan Directie en management om focus aan te brengen in het actualiseren van beleid en plannen voor informatiebeveiliging.

5.1.1 Gemeenteraad

De gemeenteraad heeft een toezichthoudende rol op basis van de controlerende taak die de Gemeentewet aan de gemeenteraad toekent. De Gemeenteraad is bevoegd voor de controle en toetsing op de werking van beleid binnen de gemeente, zo ook voor informatiebeveiliging.

5.1.2 College van B&W Gemeenten

Het College van Burgemeester en Wethouders is bestuurlijk verantwoordelijk voor een passend niveau van informatiebeveiliging in onze organisatie. Het college stelt het strategisch informatiebeveiligingsbeleid vast. De Burgemeester is portefeuillehouder voor informatiebeveiliging. Bij het onderwerp reisdocumenten is bij wet bepaald dat de bevoegdheid voor het vaststellen van kaders bij de burgemeester ligt in plaats van bij het college.

Het college van burgemeester en wethouders legt middels de zelfevaluatie Eenduidige Normatiek Single Information Audit (ENSIA) jaarlijks verantwoording af over informatiebeveiliging aan de raad en aan externe toezichthouders. Verder vindt er in het jaarverslag verantwoording plaats in de paragraaf over informatiebeveiliging.

De ambtelijke verantwoordelijkheid op het gebied van informatiebeveiliging is door het college gemandateerd aan de gemeentesecretaris van de gemeente.

5.1.3 Bestuur Dienst Dommelvallei

Het Bestuur Dienst Dommelvallei is bestuurlijk verantwoordelijk voor de borging van informatieveiligheid binnen Dienst Dommelvallei. Het Bestuur bestaat uit de burgemeesters van de drie gemeenten en van elke gemeente een wethouder. Zij stelt het strategisch beleid voor informatieveiligheid vast.

De ambtelijke verantwoordelijkheid op het gebied van informatiebeveiliging is door het Bestuur gemandateerd aan de directeur van Dienst Dommelvallei.

5.1.4 Directie

De directeur (Dienst Dommelvallei)/ gemeentesecretaris (gemeente) is ambtelijk verantwoordelijk voor kaderstelling en sturing op tactisch niveau, voor de implementatie, borging en uitvoering van het informatiebeveiligingsbeleid binnen de organisatie. De directeur stuurt hierbij op in beeld gebrachte concernrisico’s. De directeuren van de organisaties vinden centrale en gezamenlijke afstemming via het Directieberaad.

5.1.4.1 Directieberaad

Het Directieberaad bestaat uit de gemeentesecretarissen van de gemeenten en de directeur van Dienst Dommelvallei. De gemeentesecretarissen adviseren hierbij de directeur van de Dienst bij inbreng van stukken aan het Bestuur. Het Directieberaad wordt op haar beurt weer geadviseerd door het opdrachtgever – opdrachtnemer overleg.

5.1.5 Ondernemingsraad (OR)

De ondernemingsraad (OR) komt op voor de belangen van het personeel in een onderneming of organisatie. De OR mag meedenken over bedrijfseconomische en sociale onderwerpen. De OR kan door advisering of instemming invloed hebben op de bedrijfsvoering zoals bij het tactisch beleid logging en monitoring.

5.1.5.1 Opdrachtgever- opdrachtnemer overleg (OGON)

Via het OGON waarin managers van de Dienstdommelvallei organisaties zitting hebben, vindt afstemming plaats over organisatiebrede organisationtwikkelingen, initiatieven, processen en projecten. Het OGON stuurt daarnaast op reguliere informatiebeveiligingswerkzaamheden. De managers bewaken via dit overleg de risico’s binnen de processen en de harmonisatie tussen de organisaties onderling. Daarnaast bewaken zij de voortgang op de ENSIA en de doorontwikkelplannen binnen de Dommelvallei organisaties, bijvoorbeeld het doorontwikkelplan Suwinet. Het OGON adviseert Directie.

5.1.6 Business Controller

De Business Controller heeft een brede inhoudelijk adviserende en signalerende taak voor wat betreft de samenhang van informatiebeveiligingsbeleid, organisatie en middelen (BOM) en het behalen van de bestuurlijke doelen. Hij heeft een onafhankelijke taak ten opzichte van de directie.

5.1.7 Lijnmanager (proceseigenaren)

In de Baseline Informatiebeveiliging Overheid (BIO) is vastgelegd dat de borging van informatiebeveiliging een lijnverantwoordelijkheid is. Een andere benaming voor de lijnmanager is de proceseigenaar. Elke lijnmanager is eindverantwoordelijk voor een adequate beveiliging van de informatie in de processen, ketens en applicaties/systemen binnen zijn beheer. Deze verantwoordelijkheid kunnen zij niet delegeren, uitvoerende werkzaamheden wel. Om deze verantwoordelijkheid waar te maken, dienen lijnmanagers goed ondersteund te worden door een information security officer.

Lijnmanagers rapporteren aan de directie over de door hen tactisch en operationeel uitgevoerde informatiebeveiliging beschermende activiteiten. Afstemming over de inhoudelijke aanpak vindt periodiek plaats door het onderwerp informatiebeveiliging (via managers bedrijfsvoering gemeenten, concernmanager en manager IV Dienst Dommelvallei) te bespreken in het OGON.

De lijnmanagers zorgen dat de inrichting van informatiebeveiliging voldoet aan de vereiste wet- en regelgeving die op hun processen van toepassing is en geven invulling aan de rollen die binnen die wet- en regelgeving bedacht is. Het is aan de lijnmanager om te beoordelen welke risico’s er binnen de processen zijn en hoe deze risico’s het beste kunnen worden beperkt. De lijnmanagers dienen er onder andere op toe te zien dat de controle op het verwerken van (persoons)gegevens regelmatig wordt uitgevoerd, zodat zij kunnen vaststellen dat alleen rechthebbende medewerkers de juiste (persoons)gegevens ingezien en verwerkt hebben. Ook dienen zij erop toe te zien dat de bedrijf continuïteit binnen hun proces is gegarandeerd.

5.1.7.1 Ketenverantwoordelijkheid

De verschillende informatiesystemen in onze organisatie zijn vaak onderling afhankelijk en ondersteunen samen een bepaald proces. Bovendien kunnen informatiesystemen van verschillende organisaties een keten vormen die verder reikt dan onze gemeentelijke organisatie. Om deze reden wijst de directie voor een keten altijd één lijnmanager aan als proceseigenaar. Deze proceseigenaar stelt het beveiligingsniveau voor de keten vast, rekening houdend met specifieke afspraken binnen deze keten.

De lijnmanagers zijn eigenaar van de ondersteunende applicaties binnen dit proces. Daar waar applicaties worden gebruikt in meerdere bedrijfsprocessen geldt dat het bedrijfsproces met het hoogst noodzakelijke beveiligingsniveau leidend is. Alle processen, systemen, (persoons)gegevens, applicaties dienen altijd minimaal 1 eigenaar te hebben; er moet dus altijd iemand verantwoordelijk zijn.

Processen, applicaties en systemen zonder eigenaar worden door de directie toegewezen aan een lijnmanager, zodat de verantwoordelijkheden altijd belegd zijn. Het Directieberaad zorgt ervoor dat centraal wordt vastgelegd welke lijnmanager als ‘eigenaar’ fungeert voor de gemeentelijke processen en applicaties en ketens en daarmee ook verantwoordelijk is voor de bijbehorende informatiebeveiliging.

5.1.8 Chief Information Security Officer (CISO)

De rol van de CISO is vooral adviserend. De CISO treedt op als strategisch adviseur voor het bestuur, directie en het management. De CISO adviseert over het strategisch informatiebeveiligingsbeleid en organiseert en stuurt de informatiebeveiliging overeenkomstig de behoeften en de risicobereidheid van de gemeente.

De CISO is verantwoordelijk voor het actueel houden van het informatiebeveiligingsbeleid. De CISO ondersteunt directie en bestuur vanuit een onafhankelijke positie en heeft de mogelijkheid om rechtstreeks gevraagd en ongevraagd aan de directie en/of portefeuillehouder te rapporteren over de stand van zaken van informatiebeveiliging. Het advies van de CISO is zwaarwegend bij het nemen van beslissingen. De CISO is in het kader van het verantwoordingstraject informatiebeveiliging daarnaast ook coördinator ENSIA. Vanuit de BIO is het aanstellen van een CISO een verplichte overheidsmaatregel.

5.1.9 ENSIA coördinator

De ENSIA-coördinator is verantwoordelijk voor het organiseren en coördineren van de jaarlijkse verantwoording voor informatiebeveiliging (ENSIA- verantwoording) richting de gemeenteraad en toezichthouders van het Rijk.

De CISO en ENSIA-coördinator zijn beide gericht op informatiebeveiliging en Gegevensbescherming, maar hebben verschillende verantwoordelijkheden en focuspunten. De CISO is een strategisch adviseur in het kader van informatiebeveiliging en de ENSIA-coördinator is gericht op het coördineren en uitvoeren van de verantwoording ENSIA.

5.1.10 Information Security Officer (ISO)

De ISO ondersteunt het lijnmanagement en de CISO bij informatiebeveiliging. De ISO ondersteunt bij de implementatie en uitvoering van informatiebeveiligingsbeleid en bij projecten, en ondersteunt bij het uitvoeren van risicoanalyses op securityvlak. De ISO valt hierarchisch onder de manager Informatievoorziening en legt hier verantwoording af. De ISO ontvangt ten aanzien van zijn taken richtinggevend advies van de CISO.

5.1.11 Beveiligingsbeheerder

De beveiligingsbeheerder is verantwoordelijk voor het beheer, de coördinatie en het advies ten aanzien van de informatiebeveiliging binnen een specifiek deelgebied.

De beveiligingsbeheerder is een kwaliteitsmedewerker en is decentraal gepositioneerd voor het borgen van specifiek voor die afdeling of proces geldende wetgeving. Voorbeelden hiervan zijn Basisregistratie Personen, Reisdocumenten (officieel beveiligingsfunctionaris Reisdocumenten) en Suwinet (officieel Security Officer Suwinet).

5.1.12 Medewerker Kwaliteit en Control

De medewerker Kwaliteit en Control voert verbijzonderde interne controles uit op de naleving van informatiebeveiligingsbeleid en overige wet- en regelgeving.

5.1.13 Procesondersteuner

De procesondersteuner is een medewerker binnen een afdeling (bijvoorbeeld een functioneel beheerder) en ondersteunt de (lijn)manager. De procesondersteuner voert informatiebeveiliging door in de processen conform wet- en regelgeving.

De procesondersteuner is direct betrokken bij de implementatie van het informatiebeveiligingsbeleid en kent de processen en relevante wetgeving. De procesondersteuner rapporteert periodiek over de informatieveiligheid aan de (lijn)manager en ENSIA coördinator. De procesondersteuner zorgt voor de inhoudelijke aanlevering nodig bij de ENSIA verantwoording.

5.2.1 Externe Dienstverlener

Met alle leveranciers die in de vorm van (kantoor)automatisering, applicaties, IT-componenten en/of operationele technologie informatie van de Dommelvallei-organisaties verwerken of operationele processen aansturen, dienen afspraken gemaakt te worden op welke wijze zij de informatiebeveiliging borgen en leggen hier periodiek (volgens gemaakte afspraak) verantwoording over af aan de proceseigenaar. Bijvoorbeeld via een Third Party Memorandum of Third Party Mededeling. Dit is een verklaring die wordt afgegeven door een onafhankelijke auditpartij.

5.2.2 Rekenkamercommissie (alleen Gemeenten)

De rekenkamercommissie ondersteunt de gemeenteraad bij zijn controlerende taken door onderzoek te doen naar de doeltreffendheid, doelmatigheid en rechtmatigheid van het gemeentelijk beleid. De rekenkamercommissie kan zelfstandig een onderzoek (laten) uitvoeren naar de informatiebeveiliging en rapporteert hierover aan de gemeenteraad.

5.2.3 Externe partij in een samenwerkingsverband

Een externe partij in samenwerkingsverband is verantwoordelijk om de verwerkte gegevens in de keten te beveiligen. Dit kan bijvoorbeeld een ketenpartner of een gemeenschappelijke regeling zijn. Publieke partijen zijn verplicht zich te houden aan de Baseline Informatiebeveiliging Overheid (BIO), terwijl private partijen niet direct gebonden zijn aan de BIO en zich daarom aan een schriftelijke dienstverlenings-, verwerkersovereenkomst moeten houden. Als een gemeente haar taken heeft belegd binnen een samenwerkingsverband (o.a. Gemeenschappelijke Regeling), blijft de gemeente eindverantwoordelijk voor de borging van de informatieveiligheid. Per samenwerkingsverband zal onderzocht moeten worden op welke wijze de verantwoordelijkheden zijn belegd.

5.2.4 Externe Auditor

Een externe auditor is een partij die in opdracht van de Dommelvallei-organisaties een onafhankelijk onderzoek uitvoert om de naleving van het informatiebeveiligingsbeleid en wet- en regelgeving te beoordelen.

5.2.5 Informatiebeveiligingsdienst voor Gemeenten (IBD)

De IBD

11De Informatiebeveiligingsdienst voor gemeenten (IBD) is een gezamenlijk initiatief van de Vereniging van Nederlandse Gemeenten (VNG) en het Kwaliteitsinstituut Nederlandse Gemeenten (KING). De IBD ondersteund specifiek gemeenten bij het werken aan weerbaarheid op het gebied van informatiebeveiliging. Hierin zit ook incidentbeheer en incidentpreventie.

is een onderdeel van de Vereniging Nederlandse Gemeenten (VNG) en levert ondersteuning in geval van incidenten en crisissituaties op het vlak van informatiebeveiliging. De Dommelvallei-organisaties maken gebruik van deze ondersteuning. De IBD informeert ons via vastgestelde contactpersonen namelijk de algemeen contactpersoon informatiebeveiliging (ACIB)

12Algemene waarschuwingen en informatie met een niet vertrouwelijk karakter

en de vertrouwde contactpersoon informatiebeveiliging (VCIB)

13Informatie die vertrouwelijk is van karakter

. Hiervoor zijn onder andere aangewezen de CISO en collega’s van systeembeheer.