Aanhef
Uitleg van begrippen
Privacy
Privacy is een grondrecht en een voorwaarde om vrij te zijn in wie je bent en wat je doet. Privacy gaat erover dat mensen regie houden over hun eigen persoonsgegevens.
Informatiebeveiliging
De definitie van informatiebeveiliging is, kort gezegd, de bescherming van alle informatie van een bedrijf, ongeacht de aard of herkomst ervan. Het gaat hierbij om informatie van zowel technische als niet-technische aard.
Algemene Verordening Gegevensbescherming (AVG)
Europese wetgeving over het beschermen van privacy van burgers.
Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG)
Deze wet geeft in Nederland uitvoering aan de AVG. Deze wet regelt onder andere de taken en bevoegdheden van de toezichthouder de Autoriteit Persoonsgegevens.
Wet Politiegegevens (Wpg)
Wet Politiegegevens. Ziet net als de AVG toe op het beschermen van persoonsgegevens, maar dan specifiek over gegevens die in het kader van opsporingstaken (bij de gemeenten door boa’s) worden verzameld.
Autoriteit Persoonsgegevens (AP)
De Autoriteit Persoonsgegevens (AP) is de onafhankelijke toezichthouder in Nederland die zich sterk maakt voor het recht op bescherming van persoonsgegevens.
Baseline Informatiebeveiliging Overheid (BIO)
Normenkader voor alle overheidsinstellingen aangaande informatiebeveiliging. Vanaf medio 2025 geldt de BIO 2.0 ook als normenkader voor de Cyberbeveiligingswet (Cbw).
NIS2-richtlijn
Europese richtlijn over Network & Information Security. In Nederland vertaald in de Cyberbeveiligingswet (Cbw).
Cyberbeveiligingswet (Cbw)
Cyberbeveiligingswet (Cbw) is de Nederlandse vertaling van de hierboven genoemde NIS2-richtlijn. Het doel van deze wet is om de digitale weerbaarheid van organisaties te vergroten en de gevolgen van cyberincidenten te verkleinen. Op deze manier wordt geprobeerd het algemene niveau van cyberbeveiliging te verhogen.
AI Act
Europese wet over het gebruik van algoritmes en Artificial Intelligence (AI). Stelt kaders aan organisaties die dit inzetten met als doel mens en maatschappij te beschermen.
Proceseigenaar
Eindverantwoordelijke voor een proces binnen de gemeente. In het geval van de gemeente Stein betreft dit de teammanager waaronder het proces valt. In het geval van een team overschrijdend proces, neemt het managementteam een besluit welke teammanager proceseigenaar is.
Beschikbaarheid, Integriteit en Vertrouwelijkheid (BIV)
Binnen informatiebeveiliging wordt er gebruikt gemaakt van de BIV-classificatie om data te classificeren. De afkorting BIV staat voor Beschikbaarheid, Integriteit en Vertrouwelijkheid. Om de risico’s in te schatten maak je een belangenafweging. Dat kan met de BIV-classificatie.
Bij een risicoafweging maak je een inschatting van mogelijke schade als informatiesystemen (tijdelijk) niet beschikbaar zijn, de informatie niet integer is en/of deze informatie in verkeerde handen valt.
Informatiebeveiligingsdienst (IBD)
De Informatiebeveiligingsdienst (IBD) is een gezamenlijk initiatief van alle Nederlandse Gemeenten en is onderdeel van de Vereniging Nederlandse Gemeenten (VNG). De IBD is de sectorale CERT/ CSIRT voor alle Nederlandse gemeenten en richt zich op (incident) ondersteuning op het gebied van informatiebeveiliging. De IBD is voor gemeenten het schakelpunt met het Nationaal Cyber Security Centrum (NCSC).
ISMS/ PIMS
Een Information Security Management System (ISMS) is een raamwerk van beleid, procedures, richtlijnen en middelen die worden gebruikt om de informatiebeveiliging te beheren en te verbeteren. Het ISMS helpt organisaties bij het opzetten van een structuur voor operationele planning en de implementatie van passende beveiligingsmaatregelen. Een effectief ISMS maakt gebruik van de Plan-Do-Check-Act (PDCA) cyclus om continue verbetering te stimuleren, waardoor uw organisatie steeds beter wordt in het beveiligen van haar IT systemen (kroonjuwelen) en financiële gegevens. Een Privacy Information Management System zorgt voor het beheren en verbeteren van privacy.
Een ISMS en PIMS vormen de bronsystemen voor compliance, voldoen aan wet- en regelgeving, verantwoordingsplicht, auditplicht en documentatieplicht.
Managementsamenvatting
De gemeente is wettelijk verplicht om een strategisch privacy- en informatiebeveiligingsbeleid door het Bestuur te laten vaststellen. Deze vaststelling dient formeel te gebeuren door het MT en aansluitend door het College van B&W. Hiermee wordt bestuurlijk geborgd dat privacy en informatiebeveiliging als strategische thema’s zijn belegd binnen de organisatie en dat er draagvlak is voor de uitvoering van het beleid.
De huidige beleidsstukken op het gebied van privacy en informatiebeveiliging zijn niet meer actueel en voldoen niet langer aan de geldende wet- en regelgeving, noch aan de organisatorische werkelijkheid. Het strategisch beleid schetst de visie, kaders en uitgangspunten voor privacy en informatiebeveiliging binnen de gemeente Stein.
Samenhang tussen gemeentelijke beleid:
Dit beleid heeft een samenhang met het organisatiebeleid en het informatiebeleid. Deze twee beleidsonderdelen zijn nog onderhanden.
Doel van het privacy beleid:
•Waarborgen van privacy bij alle gemeentelijke verwerkingen.
•Integratie van Wpg-verplichtingen in het bredere AVG-beleid.
•Transparantie richting inwoners over gegevensverwerking.
Doel van het informatiebeveiligingsbeleid:
•Richting geven aan het veilig omgaan met informatie, door het waarborgen van vertrouwelijkheid, integriteit en beschikbaarheid.
•Voldoen aan wet- en regelgeving zoals de AVG, BIO 2.0 en NIS2, en risico’s beheersen.
•Bewustwording en verantwoordelijkheid bevorderen bij medewerkers en bestuur voor veilig en zorgvuldig informatiegebruik.
Kaders en richtlijnen
•AVG, UAVG en Wet Politiegegevens.
•BIO 2.0 als norm voor informatiebeveiliging.
•NIS2/Cbw: met aandacht voor meldplicht, zorgplicht en bestuurlijke Verantwoordelijkheid.
•De AI Act: met regels voor transparant, ethisch en verantwoord AI-gebruik.
•Nieuwe wetgeving zoals PARTA, WGS en WAMS wordt actief gevolgd.
Rollen en verantwoordelijkheden
•Bestuur en directie zijn eindverantwoordelijk.
•Het MT bewaakt borging en voortgang via het uitvoeringsplan.
•De CISO, FG en Privacy Adviseur monitoren en adviseren onafhankelijk.
•Proceseigenaren zijn verantwoordelijk voor naleving binnen hun processen.
•Iedere medewerker draagt bij aan veilig en verantwoord omgaan met informatie.
2. Strategisch beleid
2.3 Ontwikkelingen
2.3.1 De Baseline Informatiebeveiliging Overheid 2.0 (BIO 2.0)
De basis voor de inrichting van het beveiligingsbeleid is NEN-ISO/IEC 27001:2012. De maatregelen worden op basis van best practices bij (lokale) overheden en NEN-ISO/IEC 27002:2012 genomen. Voor de ondersteuning van gemeenten bij het formuleren en realiseren van hun informatiebeveiligingsbeleid heeft de interbestuurlijke werkgroep Normatiek
2De Interbestuurlijke werkgroep Normatiek bestaat uit vertegenwoordigers van bijvoorbeeld VNG en de IBD, maar ook waterschappen, provincies en het rijk.
in 2018 de Baseline Informatiebeveiliging Overheid (BIO) uitgebracht, afgeleid van beide NEN-normen. Deze BIO bestaat uit een baseline met verschillende niveaus van beveiligen.
De Baseline Informatiebeveiliging Overheid (BIO) is eind 2018 bestuurlijk vastgesteld als gezamenlijke norm voor informatiebeveiliging voor alle Nederlandse overheden.
De werkwijze van de BIO is gericht op risicomanagement. Dat wil zeggen dat medewerkers nu meer dan vroeger moeten werken volgens een aanpak waarbij risicomanagement centraal staat. Dit houdt voor het management in, dat men op voorhand keuzes maakt en continu afwegingen maakt of informatie in bestaande en nieuwe processen voldoende beveiligd zijn in termen van beschikbaarheid, integriteit en vertrouwelijkheid.
De BIO 2.0 is sinds 2025 het nieuwe kader voor de overheid voor informatiebeveiliging. De nieuwe BIO volgt op de evaluatie van de huidige BIO en valt samen met de ontwikkelingen rondom de Cyberbeveiligingswet. Met de BIO 2.0 wordt er ook invulling gegeven aan eisen uit deze wet die horen bij de beveiliging van overheidsinformatie.
2.3.2 Cyberbeveiligingswet/NIS2
Binnen de Europese Unie geldt sinds 2024 de Network and Information Security 2 (NIS2)-richtlijn. Lidstaten dienen deze om te zetten in nationale wetgeving. In Nederland wordt dit de Cyberbeveiligingswet (Cbw) die medio 2025 van kracht moet zijn. Ook overheidsinstellingen vallen onder deze nieuwe wet. Dit betekent dat de gemeente Stein invulling moet geven aan de plichten die hieruit voortvloeien: zorgplicht, meldplicht, registratieplicht en toezicht. Ook worden de verantwoordelijkheden van bestuurders en MT hierin wettelijk verankerd. Uit de NIS2-richtlijn/ Cbw volgt voor overheden een zorgplicht voor informatieveiligheid. De BIO helpt overheden bij het invullen van deze zorgplicht. BZK is van plan om in plaats van de huidige zelfregulering, de BIO als wettelijk verplicht kader voor de hele overheid aan te wijzen.
2.3.3 De AVG en de UAVG
Nieuwe technologische ontwikkelingen, innovatieve voorzieningen, globalisering en een steeds digitaler wordende overheid maakt het zorgvuldig omgaan met persoonsgegevens steeds complexer en noodzakelijker. De gemeente Stein is zich hiervan bewust en wil daarom met dit beleid aangeven hoe zij in algemene zin invulling geeft aan nationale en Europese wet- en regelgeving op het gebied van privacy, waaronder de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG).
2.3.4 De Wet Politiegegevens (Wpg)
Met betrekking tot de Wet politiegegevens (Wpg) moet de gemeente Stein zich via een aparte audit verantwoorden. Deze audit dient elk jaar intern plaats te vinden en een keer in de vier jaar door een externe RE-auditor te worden uitgevoerd. Met dit auditrapport worden het college en gemeenteraad van de gemeente Stein geïnformeerd. Een afschrift van het auditrapport dient te worden gedeeld met de Nederlandse toezichthouder, de Autoriteit Persoonsgegevens.
De gemeente heeft buitengewoon opsporingsambtenaren (boa’s) voor taken in het kader van toezicht en handhaving van de openbare orde en de sociale veiligheid. Boa’s verwerken bij de uitoefening van hun functie regelmatig persoonsgegevens. Bijvoorbeeld bij het controleren van een identiteitsbewijs, of bij het opleggen van een boete. Soms valt de verwerking van de persoonsgegevens onder het regime van de Wet politiegegevens (Wpg), soms onder de Algemene verordening gegevensbescherming (AVG). De gemeente Stein heeft in het addendum Privacy beleid Wpg de regels vastgelegd die betrekking hebben op toegangsrechten, autorisaties, data classificatie, risico-inschatting, registratie en logging, meldplicht en documentatieplicht. Zie bijlage document: Privacy beleid Wet Politiegegevens Addendum privacy beleid (AVG).
2.3.5 AI Act
Sinds 2024 is de AI Act van kracht binnen de Europese Unie. Doel van de wet is het bevorderen van de ontwikkeling en invoering van veilige en betrouwbare AI-systemen op de interne markt van de Europese Unie (EU). Door zowel private als publieke partijen. Daarnaast is het doel de grondrechten van EU-burgers te beschermen en innovatie op het gebied van AI in Europa te stimuleren. Het stelt verplichtingen voor aanbieders en gebruikers van AI-toepassingen, dus ook voor gemeenten die hier gebruik van maken en stelt hoge boetes in voor overtreders.
Vanaf de inwerkingtreding van deze nieuwe wet, gaat de AI-verordening in fasen van kracht, waarbij de meeste verplichtingen binnen een half en 3 jaar van kracht gaan. Ook geldt dat de verplichtingen over 6 jaar met terugwerkende kracht zullen gelden voor overheidsorganisaties. Hierdoor vinden de veranderingen niet allemaal tegelijk plaats. Dit geeft onze gemeente de tijd om zich op de verplichtingen voor te bereiden. Gemeente Stein gaat als onderdeel van dit beleid aanvullende beleid opstellen met betrekking tot de omgang met algoritmen en het voldoen aan de eisen in de AI act.
2.3.6 De 10 principes voor informatiebeveiliging
Om bestuurders te helpen in het nemen van hun verantwoordelijkheid op het gebied van informatiebeveiliging, heeft de Vereniging voor Nederlandse Gemeenten (VNG) ‘De 10 bestuurlijke principes voor informatiebeveiliging’ ontwikkeld
3https://ib-p.nl/download/de-10-bestuurlijke-principes-voor-informatiebeveiliging/
. De 10 principes voor informatiebeveiliging zijn een bestuurlijke aanvulling op het normenkader BIO en gaan over de waarden die de bestuurder zichzelf oplegt.
De principes zijn als volgt:
1Bestuurders bevorderen een veilige cultuur.
2Informatiebeveiliging is van iedereen.
3Informatiebeveiliging is risicomanagement.
4Risicomanagement is onderdeel van de besluitvorming.
5Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking.
6Informatiebeveiliging is een proces.
7Informatiebeveiliging kost geld.
8Onzekerheid dient te worden ingecalculeerd.
9Verbetering komt voort uit leren en ervaring.
10Het bestuur controleert en evalueert.
De principes gaan vooral over de rol van het bestuur bij het borgen van informatiebeveiliging in de gemeentelijke organisatie. Deze principes ondersteunen de bestuurder bij het uitvoeren van goed risicomanagement. Als er iets verkeerd gaat met betrekking tot het beveiligen van de informatie binnen de gemeentelijke processen, dan kan dit directe gevolgen hebben voor inwoners, ondernemers en partners van de gemeente. Daarmee is het onderwerp informatiebeveiliging nadrukkelijk gewenst op de bestuurstafel.
2.3.7 Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten
De Informatiebeveiligingsdienst (IBD) is een gezamenlijk initiatief van alle Nederlandse Gemeenten. De IBD is de sectorale CERT/ CSIRT voor alle Nederlandse gemeenten en richt zich op (incident) ondersteuning op het gebied van informatiebeveiliging. De IBD is voor gemeenten het schakelpunt met het Nationaal Cyber Security Centrum (NCSC). Elke 2 jaar stelt de IBD een Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten op. De IBD wil met deze publicatie gemeenten ondersteunen bij het in beeld krijgen en managen van de risico’s voor inwoners, ondernemers, de ambtelijke organisatie, de politiek en het bestuur.
De gemeente Stein gebruikt dit dreigingsbeeld samen met de incidentmeldingen die door de IBD worden gedeeld met de vertrouwenscontactpersoon (VCIB) binnen de gemeente als onderdeel van de aanpak tegen de risico’s op het gebied van informatiebeveiliging en gegevensbescherming.
2.3.8 ISMS/ PIMS
De gemeente maakt gebruik van een Information Security Management Systeem (ISMS) en een Privacy Informatie Management Systeem (PIMS). Een ISMS is in de eerste plaats een managementinstrument om de informatiebeveiliging te waarborgen en te besturen. Het betreft alle zaken die de gemeente gebruikt voor het beveiligen van (vertrouwelijke) informatie binnen de gemeente en geeft waardevolle informatie om van te leren uit incidenten, inbreuken op onze beveiliging en datalekken. PIMS is het managementinstrument om de privacy/gegevensbescherming te waarborgen en te besturen.
Naast de inbedding in de processen maakt de gemeente ook gebruik van een ISMS/PIMS applicatie om overzicht en structuur te behouden en continu te verbeteren. Met behulp van het ISMS/PIMS kan de gemeente anticiperen op (steeds veranderende) bedreigingen en kansen van buitenaf en inspelen op de behoefte binnen de gemeente. Het ISMS/PIMS wordt in Q3 2025 operationeel bij de gemeente.
2.3.9 Eenduidige Normatiek Single Information Audit (ENSIA)
De CISO voert de rol uit van ENSIA-Coördinator. Deze zorgt ervoor dat de informatie die nodig is voor het beantwoorden van vragen binnen ENSIA wordt opgehaald bij de verantwoordelijke medewerkers.
De verantwoording over de informatiebeveiliging en privacybescherming komt tot uitdrukking in de collegeverklaring welke wordt opgesteld door de ENSIA Coördinator. Met deze verklaring geeft het college van B&W aan in hoeverre de gemeente voldoet aan de afspraken die gemaakt zijn voor de ENSIA-verantwoording Informatiebeveiliging en wettelijke eisen zoals uit de AVG. Ook worden eventuele verbetermaatregelen vermeld die de gemeente gaat treffen.
Via ENSIA verantwoordt de gemeente zich naast de gemeenteraad ook aan de stelselhouders voor DigiD, BAG, BGT, BRO, BRP en de reisdocumenten. De betrokkenheid van het bestuur is essentieel en laat zien dat de gemeente Stein informatiebeveiliging en privacybescherming serieus neemt en het een onderdeel laat zijn van de ambities om informatie van haar inwoners adequaat te beschermen.
Voor de beveiligingsmaatregelen voor webapplicaties en/of de infrastructuren voor de netwerksegmenten met webapplicaties in het algemeen waaronder DigiD en andere authenticatie- en identificatiediensten in het bijzonder houdt de gemeente zich aan het normenkader voor ICT beveiligingsassessments DigiD. Het normenkader voor ICT- beveiligingsassessements is bedoeld voor organisaties waaronder de gemeente die DigiD gebruiken en jaarlijks een ICT-beveiligingsassessment moeten doen. Deze norm is vastgesteld door het ministerie van Binnenlandse Zaken en Koninkrijksrelaties in overleg met Logius, Audit Dienst Rijk en het NCSC.
2.4 Uitgangspunten en randvoorwaarden
2.4.1 Uitgangspunten
De belangrijkste uitgangspunten van het privacy en informatiebeveiligingsbeleid zijn:
Bewustwording en training
Alle medewerkers, management en bestuur hebben een minimale basiskennis van privacy en informatiebeveiliging en weten deze bewust toe te passen in hun werk. Alle medewerkers worden getraind in het gebruik van beveiligingsprocedures. Medewerkers dienen verantwoord om te gaan met persoonsgegevens en andere informatie. Een bewustwordingsprogramma draagt eraan bij dat medewerkers hiertoe in staat zijn.
Proceseigenaar MT Voor
De uitvoering van de privacybescherming en informatiebeveiliging is een verantwoordelijkheid van het lijnmanagement. Alle processen, informatiebronnen en -applicaties die gebruikt worden door de gemeente Stein hebben een proceseigenaar. De rol van de proceseigenaar sluit aan op het handboek Procesmatig werken binnen de gemeente Stein. Dit betekent dat de proceseigenaar verantwoordelijk is voor het beheer en de optimalisatie van het proces, bewaakt de resultaten en zorgt voor continue verbetering waar nodig op het gebied van privacy en informatiebeveiliging. De proceseigenaar speelt een cruciale rol bij het waarborgen van risicobeheer en compliance en daarmee ook het uitvoeren van DPIA’s.
Periodieke controle
Door periodieke controle, organisatie brede planning én coördinatie wordt de kwaliteit van de informatievoorziening en privacy verankerd binnen de organisatie. Dit beleid vormt samen met het Uitvoeringsplan Privacy & Informatiebeveiliging het fundament voor een betrouwbare informatievoorziening en het beschermen van persoonsgegevens.
Het uitvoeringsplan wordt periodiek bijgesteld op basis van nieuwe ontwikkelingen, registraties in het incidentenregister en risicoanalyses voor privacy en informatiebeveiliging.
Plan, do, check, act (verbetercyclus)
Privacybescherming en informatiebeveiliging zijn een continu verbeterproces. ‘Plan, do, check en act’ (PDCA) vormen samen het managementsysteem van privacybescherming en informatiebeveiliging. De gemeente stelt de benodigde mensen en middelen beschikbaar om haar eigendommen en werkprocessen te kunnen beveiligen en te voldoen aan de privacy eisen volgens de wijze zoals gesteld in dit beleid. Regels en verantwoordelijkheden voor het P&IB beleid dienen te worden vastgelegd en vastgesteld. In het jaarlijks op te stellen uitvoeringsplan worden deze zaken opgenomen, waarin specifiek benoemt staat welke capaciteit van wie wordt verwacht en wat het budget is.
Risicomanagement
Iedere medewerker, zowel vast als tijdelijk, intern of extern, is verplicht waar nodig (persoons)gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht en bij datalekken of beveiligingsincidenten hiervan melding te maken.
Het borgen van privacy in de uitvoering van gemeentelijke processen vindt risico gestuurd plaats. De verantwoordelijken in de organisatie maken afwegingen ter naleving van privacyregels en op basis van een risico-inschatting. De proceseigenaren (of degene waaraan dit is gedelegeerd) zijn hier verantwoordelijk voor.
2.4.2 Randvoorwaarden
Belangrijke randvoorwaarden zijn:
•De privacy- en informatiebeveiligingseisen maken deel uit van afspraken met ketenpartners, leveranciers en gemeenschappelijke regelingen en worden periodiek geëvalueerd/gecontroleerd.
•Kennis en bewustzijn van informatiebeveiliging en privacybescherming en omgaan met persoonsgegevens binnen de organisatie dienen actief bevorderd en geborgd te worden onder andere door middel van een bewustwordingscampagne en het uitvoeringsplan.
•Het uitvoeringsplan Privacy en informatiebeveiliging wordt periodiek geactualiseerd onder leiding van de CISO en Adviseur Privacy, gebaseerd op:
o Dit strategisch beleid;
o De uitkomsten van de jaarlijkse Eenduidige Normatiek Single Information Audit (ENSIA);
o De WPG-audit en andere auditresultaten;
o Het dreigingsbeeld gemeenten van de IBD;
o Uitkomsten risicoanalyses en DPIA’s en overige privacy activiteiten;
o De door de teammanagers ingebrachte onderwerpen voor de informatievoorziening waarvoor zij verantwoordelijk zijn, bijvoorbeeld door iets wat voortkomt uit bovengenoemde risicoanalyses of DPIA’s.
•Om uitvoering te kunnen geven aan dit strategisch beleid en het uitvoeringsplan worden voldoende financiële middelen en uitvoeringscapaciteit ter beschikking gesteld.