Informatiebeveiligingsbeleid OWO-gemeenten

De gemeenteraad

Toetsing en controle: de gemeenteraad draagt een specifieke bevoegdheid voor de controle en de toetsing op de werking van beleid binnen de gemeente. Het College legt in lijn met de P&C-cyclus jaarlijks verantwoording af aan de raad, door middel van een collegeverklaring/In Control Verklaring (ICV) – waarop door een auditor assurance wordt afgegeven – en daarnaast in het jaarverslag met een passage over informatiebeveiliging in de paragraaf bedrijfsvoering.

College van B&W

Het College van Burgemeester en Wethouders (B&W) keurt het strategisch beleid formeel goed en draagt zorg voor de naleving van het beleid in de gemeente. Ook is er een portefeuillehouder informatiebeveiliging vastgesteld.

Het college informeert de Raad over de informatiebeveiliging van de gemeente door een aparte paragraaf op te nemen in de jaarrekening van de gemeente of door het doorgeleiden van een jaarrapportage.

Gemeentesecretaris

De gemeentesecretaris zorgt dat alle processen en systemen en de daarbij behorende middelen altijd onder de verantwoordelijkheid vallen van een afdelingshoofd. De gemeentesecretaris zorgt dat de afdelingshoofden zich verantwoorden over de beveiliging van de informatie die onder hen berust. De gemeentesecretaris zorgt dat de eindverantwoordelijke portefeuillehouders binnen het college gevraagd en ongevraagd geïnformeerd worden over de mate waarin informatiebeveiliging een onderdeel is van het handelen van de bedrijfsvoering. Op die manier kan het College zich verantwoorden naar de raad. De gemeentesecretaris heeft o.a. de volgende taken en bevoegdheden:

•Het stellen van kaders en het geven van sturing voor de veiligheid van informatie (gewenste niveau van continuïteit en vertrouwelijkheid);

•Het sturen op concern risico’s;

•Het periodiek evalueren van beleidskaders en deze bijstellen waar nodig;

•Het (laten) controleren of de getroffen veiligheidsmaatregelen overeenstemmen met de betrouwbaarheidseisen en of deze veiligheidsmaatregelen voldoende bescherming bieden;

•Het beleggen van de verantwoordelijkheid voor informatiebeveiligingscomponenten en systemen;

•Het (waar mogelijk) inrichten van functiescheiding tussen beleidsbepalende, uitvoerende en controlerende taken met betrekking tot informatiebeveiliging;

•Vaststellen van procedures en toewijzen van maatregelen op het gebied van informatiebeveiliging.

Teamleiders en teammanagers

De belangrijkste taken en bevoegdheden van het teamleiders, in afstemming met CISO en FG in het kader van informatiebeveiliging zijn:

•Rapporteren aan de gemeentesecretaris over de onder hun verantwoordelijkheid tactisch en operationeel uitgevoerde informatiebeveiligingsactiviteiten.

•Vaststellen van betrouwbaarheidseisen voor de informatiesystemen binnen zijn/haar team op basis van een expliciete risicoafweging (classificatie);

•Het kiezen en implementeren van de beveiligingsmaatregelen die voortvloeien uit de betrouwbaarheidseisen;

•Het vroegtijdig signaleren en melden van de voornaamste bedreigingen waaraan de bedrijfsinformatie is blootgesteld.

•Het leveren van input voor nieuwe maatregelen en procedures en het uit laten voeren van maatregelen die voortvloeien uit o.a. adviezen.

•Het binnen de eigen afdeling uitdragen van het beveiligingsbeleid en de daaraan gerelateerde procedures waarbij er zorgt voor wordt gedragen dat de teams de CISO, FG en PO tijdig betrekken.

•Bespreking van beveiligingsincidenten en de mogelijke gevolgen hiervan op beleid en maatregelen.

•Het uitdragen van het beveiligings- en privacybewustzijn, bedrijfscontinuïteit en de naleving van regels en richtlijnen op deze vakgebieden.

•Het rapporteren over compliance aan wet- en regelgeving en algemeen beleid van de gemeente aan de directie.

Applicatiebeheerder

Binnen de teams zijn er bepaalde medewerkers, voornamelijk applicatiebeheerders die fungeren als eerste aanspreekpunt voor team informatiebeveiliging en privacy omdat zij proceseigenaar zijn van een brede set informatie, wat aanvullende taken met zich mee brengt qua beheer, de coördinatie en advies ten aanzien van informatiebeveiliging en privacybescherming van specifieke gegevensverzamelingen en specifieke wet- en regelgeving. De CISO adviseert de applicatiebeheerders bij de uitvoering van hun taken.

Tot de taken en bevoegdheden van elke applicatiebeheerder behoren:

•Controleren, signaleren, rapporteren en aanpassen van de processen en applicaties; Tevens eerste aanspreekpunt.

•Informatiebeveiliging en privacy meenemen in beslissingen over de lopende en nieuwe processen en voorschriften van de applicaties.

•Uitvoering, toezicht en rapportage op de voorbereiding en uitvoering van het beveiligingsbeleid en- plan (en wet- en regelgeving) en hiermee compliance aan het afdelingshoofd en CISO/FG m.b.t. de eigen processen en applicaties.

•Vastleggen en beheren van maatregelen ten behoeve van eigen processen en applicaties in het Information Security Management System (ISMS).

•Opstellen van gebruikersdocumentatie informatiebeveiliging (en configuratie applicatie) zoals handleidingen, procedures, werkwijzen.

•Het classificeren van opgeslagen data in applicaties en gegevensverzamelingen en het opstellen van betrouwbaarheidseisen van applicaties/systemen.

•Beoordelen, toekennen en monitoren van autorisaties aan gebruikers op basis van een vastgesteld proces en met behulp van een autorisatiematrix.

•Toezicht houden dat nieuwe medewerkers worden geïntroduceerd en bekend gemaakt met de beveiligingsprocedures. Inclusief medewerkers aanspreken op de verantwoordelijkheid in hun dagelijkse werkprocessen en hiermee het sturen op beveiligingsbewustzijn, bedrijfscontinuïteit en op naleving van regels en richtlijnen.

We onderscheiden o.a. de volgende applicatiebeheerders:

•Applicatiebeheerders BAG, BGT en BRO en gegevensbeheer: toezien op naleving van de Wet- en Regelgeving van deze basisregistraties.

•Applicatiebeheerder DigiD: een taak die bij de (web)applicatiebeheerder van de DigiD-aansluiting is belegd en verantwoordelijk is voor het toezicht op de naleving van de maatregelen en procedures die voortkomen uit de Basis beveiligingsrichtlijnen DigiD, zoals technische maatregelen bij de externe leverancier (infrastructuur, segmentering etc.) en de interne dataclassificatie, toegangsvoorziening en kwetsbaarhedenbeheer die jaarlijks wordt getoetst (ENSIA). Denk daarbij ook aan de bescherming van persoonsgegevens, voor zover een softwareleverancier waaraan diensten zijn uitbesteed daar niet voor verantwoordelijk is. Ook rapporteert de beveiligingsbeheerder DigiD hierover periodiek aan zijn/haar afdelingshoofd.

•Security Officer Suwinet: De security officer Suwinet is verantwoordelijk voor de beveiliging van Suwinet en het toezien op de naleving van de maatregelen en procedures die voortvloeien uit het normenkader dat van toepassing is op Suwinet. Zoals: technische maatregelen bij de externe leverancier (infrastructuur, segmentering etc.) en de interne dataclassificatie, toegangsvoorziening en kwetsbaarhedenbeheer die jaarlijks wordt getoetst (ENSIA). Denk daarbij ook aan de bescherming van persoonsgegevens, voor zover een softwareleverancier waaraan diensten zijn uitbesteed daar niet voor verantwoordelijk is. Ook rapporteert de Security Officer Suwinet hierover periodiek aan zijn/haar afdelingshoofd.

•Applicatiebeheerder BRP en Reisdocumenten en Rijbewijzen: de applicatiebeheerder BRP en reisdocumenten en rijbewijzen brengt verantwoordelijkheden met zich mee om toe te zien op naleving van de beveiligingsmaatregelen en –procedures op het gebied van Basisregistratie Personen (BRP) en op het treffen van maatregelen om reisdocumenten en rijbewijzen, apparatuur, programmatuur, opslagmedia, documentatie en overige materialen te beveiligen tegen ontvreemding dan wel vernietiging ten gevolge van inbraak, diefstal, verduistering, overvallen, brand of anderszins. Tevens verantwoordelijk voor het beheer van de autorisaties voor de reisdocumentenmodules (RAAS en aanvraagstations) en voor het beheer van de autorisaties voor rijbewijzen, inclusief aanmelding bij de RDW.

Medewerkers

Alle medewerkers dragen verantwoordelijkheid voor de veiligheid van de activiteiten die behoren tot hun eigen functie en taken. Onbewust menselijk handelen is de belangrijkste bedreiging voor de gemeentelijke informatievoorziening. Ongewenste, onbewuste acties blijken een groter risico voor de privacy van inwoners en de veiligheid van informatie dan bewuste en gerichte aanvallen. Zij dienen zorgvuldig en gedisciplineerd om te gaan met informatie en (informatie)systemen en zich bewust te zijn van eisen ten aanzien van de betrouwbaarheid, de integriteit en de beschikbaarheid van de informatieprocessen waarbij zij zijn betrokken. Mocht een medewerker iets signaleren m.b.t. informatieveiligheid of privacy neemt diegene contact op met de CISO, PO of FG.

Chief Information Security Officer (CISO)

De CISO is de belangrijkste adviseur op het gebied van informatiebeveiliging. De CISO is verantwoordelijk voor de controle op een juiste uitvoering van het informatiebeveiligingsbeleid, de realisatie van de veiligheidsmaatregelen en de classificatie, coördinatie en escalatie van beveiligingsincidenten. Hieronder valt ook het controleren van autorisatiematrices. De CISO kan hiertoe de interne controle opdracht geven. De CISO is door het college gemandateerd en heeft de volgende taken en bevoegdheden:

•Beleid en coördinatie: het opstellen en actualiseren van het informatiebeveiligingsbeleid; het opstellen van informatiebeveiligingsplannen voor afdelingen of deelgebieden. Het coördineren van de werkzaamheden van collega’s, afdelingen en instanties die betrokken zijn bij de uitvoering van het informatiebeveiligingsbeleid en -plan en het ondersteunen van college of gemeentesecretaris en de leidinggevenden met kennis over informatiebeveiliging. Treedt op als adviseur voor informatiebeveiliging bij een ICT-crisis.

•Controle en registratie: het toezicht houden op de implementatie en naleving van het informatiebeveiligingsbeleid.

•Het beheersen van de risicoanalyses en toezicht houden op de processen en beveiligingsmaatregelen.

•Het bijhouden van de registratie van informatiebeveiligingsincidenten en het afhandelen van opgetreden incidenten en het nemen van preventieve maatregelen ter voorkoming van dergelijke incidenten.

•Stelt controleplannen op en voert risicoanalyses en interne audits uit of initieert deze.

•Communicatie en voorlichting: het onderhouden van externe en interne contacten op alle niveaus over informatiebeveiliging en deelname aan (bewustwordings)activiteiten met betrekking tot informatiebeveiliging.

•Het verzorgen en coördineren van voorlichting en interne opleidingen van het personeel op het gebied van informatiebeveiliging en het stimuleren van het beveiligingsbewustzijn.

•Aanspreekpunt voor medewerkers van de gemeente over het onderwerp informatiebeveiliging en contactpersoon van de gemeente voor de Informatie Beveiligingsdienst (IBD).

•Advies en rapportage en uitvoering: het opstellen en uitwerken van beveiligingsplannen ten aanzien van de maatregelen, evenals het leveren van ondersteuning bij het uitvoeren van de geaccepteerde plannen, waarbij ook afgestemd wordt met lopende projecten binnen de organisatie. Overleg en rapportage o.a. via de P&C cyclus over het aspect informatiebeveiliging aan management, College en Raad. Adviseert over en voert maatregelen in op basis van wet- en regelgeving.

Functionaris Gegevensbescherming (FG)

De FG heeft ondermeer de volgende wettelijke taken (AVG Art 39). Iedere gemeente kan aanvullend nog een eigen reglement hebben vastgesteld over de taken en bevoegdheden van de FG.

•Gevraagd en ongevraagd signaleren, adviseren en informeren van alle bestuursorganen binnen de gemeente en de verwerkers die namens de gemeente persoonsgegevens verwerken over hun verplichtingen aangaande de AVG, Wpg, andere EU wet- en regeling en nationale bepalingen omtrent gegevens-bescherming en overige onderwerpen die de privacy betreffen;

•Het communiceren met de gemeentelijke diensten en medewerkers over alle ontwikkelingen op het gebied van techniek en wetgeving die relevant zijn voor het gemeentelijk privacy- en beveiligingsbeleid; is daarmee het aanspreekpunt en de contactpersoon aangaande privacy, voor zowel de Autoriteit Persoonsgegevens, de interne organisatie als externe organisaties;

•Toezicht houden op de naleving van zowel de AVG en Wpg, als alle andere wet- en regelgeving met betrekking tot persoonsgegevens. Hierbij hoort tevens het toezien op toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het bij de verwerking betrokken personeel en de betreffende audits;

•Het geven van een zwaarwegend advies met betrekking tot een gegevensbescherming effectbeoordeling, ook wel Data Protection Impact Assessment (DPIA) genoemd, en toezien op de uitvoering daarvan en het ondersteunen bij het besluitvormingsproces en het afsluiten van verwerkersovereenkomsten en convenanten en de vaststelling van reglementen;

•Zorgdragen voor de juiste en correcte melding en registratie van de afhandeling van beveiligingsincidenten waarbij persoonsgegevens betrokken zijn en op het melden van een datalek bij de Autoriteit en Persoonsgegevens en bij de betrokkenen.

•Brengt verslag uit aan de hoogste leidinggevende van de verwerkingsverantwoordelijke, zijnde in veel gevallen de gemeentesecretaris, het college of de burgemeester en in sommige gevallen de gemeenteraad.

Concerncontroller

De concerncontroller is gemachtigd om op eigen initiatief, steekproefsgewijs, controles uit te voeren op een juiste uitvoering van het beleid door de gemeente. Dit kan bijvoorbeeld betrekking hebben op de controle op de voortgang van het uitvoeren van de maatregelen uit het informatiebeveiligingsbeleid of jaarplan.

Op deze bijlage van het informatiebeveiligingsbeleid OWO-gemeenten is geheimhouding opgelegd door het college van burgemeester en wethouders op 20 januari 2026. De geheimhouding is opgelegd in verband met de bedrijfsgevoelige aard van de informatie in de bijlage.