Strategisch informatiebeveiligings- en privacybeleid

2.1.1 Wettelijk en normatief kader

Gemeente Waadhoeke bereidt zich voor op de inwerkingtreding van de Nederlandse Cbw, waarin de Europese NIS2-richtlijn wordt omgezet in nationale wetgeving. De NIS2-richtlijn trad op 16 januari 2023 in werking in de lidstaten om de digitalisering van onze samenleving veiliger te maken. Lidstaten kregen een termijn van 21 maanden om de regels te vertalen naar nationale wetgeving; formeel had Nederland de Cbw daarom op 17 oktober 2024 in werking moeten laten treden. In de praktijk verloopt de implementatie echter vertraagd, en streeft de regering ernaar om de wet in het tweede kwartaal van 2026 definitief van kracht te laten worden.

Binnen onze gemeente speelt niet alleen traditionele ICT een rol, maar ook Operationele Technologie (OT). OT omvat digitale systemen die fysieke infrastructuur aansturen, zoals verkeerslichten, rioolgemalen en bruggen.

De BIO2 is van toepassing op de informatiebeveiliging van alle gemeentelijke netwerk- en informatiesystemen en alle typen omgevingen. Voor de bescherming van de OT‑omgevingen hanteren we de Cybersecurity Implementatie Richtlijn (CSIR). Op die manier waarborgt ons beleid zowel de digitale als de fysieke continuïteit van gemeentelijke processen.

Het college van burgemeester en wethouders is expliciet verantwoordelijk voor het treffen van passende en evenredige technische, organisatorische en operationele maatregelen, afgestemd op de relevante risico’s.

Informatiebeveiliging is geen keuze, maar een wettelijke plicht. De Baseline Informatiebeveiliging Overheid 2 (BIO2) is het verplichte normenkader voor alle overheidsorganisaties en is gebaseerd op de internationale normen NEN-EN-ISO/IEC 27001 en 27002. De Cbw maakt de toepassing van de BIO2 wettelijk verplicht.

Gemeente Waadhoeke richt een managementsysteem voor informatiebeveiliging (ISMS) in en borgt deze. In het ISMS worden risicomanagement, maatregelen en verantwoording structureel vastgelegd. Risicoanalyses worden systematisch uitgevoerd en vastgelegd en de opzet, het bestaan en de werking van maatregelen zijn aantoonbaar. Afwijkingen van verplichte maatregelen worden gemotiveerd vastgelegd in de Verklaring van Toepasselijkheid (VvT). De effectiviteit van het strategisch beleid wordt periodiek getoetst via interne en externe audits, self-assessments en rapportages. De reikwijdte van het ISMS en de VvT worden gepubliceerd, en jaarlijks wordt gerapporteerd over de status van informatiebeveiliging.

Het college van B&W is verplicht om aantoonbaar voldoende kennis en vaardigheden te hebben, onder meer door periodieke training. Zij zijn verantwoordelijk voor het tijdig melden van ernstige digitale incidenten bij de toezichthouder en voor het borgen van de continuïteit van de dienstverlening bij verstoringen. De gemeenteraad houdt toezicht op de naleving, terwijl de Rijksinspectie Digitale Infrastructuur (RDI) toezicht houdt op de gehele overheid. Overtredingen van de zorgplicht en meldplicht kunnen leiden tot bestuurlijke en persoonlijke boetes.

We volgen de verplichte overheidsmaatregelen uit de BIO2 altijd, tenzij deze aantoonbaar niet van toepassing zijn. Afwijkingen onderbouwen we en leggen we vast in de VvT. Informatiebeveiliging is integraal onderdeel van de bedrijfscontinuïteit en crisisbeheersing. Transparantie en verantwoording zijn leidend: inwoners, bedrijven en andere belanghebbenden moeten kunnen vertrouwen op een zorgvuldige en veilige omgang met hun gegevens.

De 10 bestuurlijke principes voor informatiebeveiliging

De 10 bestuurlijke principes voor informatiebeveiliging

1https://vng.nl/files/vng/de-10-bestuurlijke-principes-voor_20190109.pdf

vormen een aanvulling op de BIO2. Ze geven richting aan het handelen van bestuurders en leggen vast welke waarden en uitgangspunten het bestuur zichzelf oplegt. Deze principes zijn bedoeld om informatiebeveiliging stevig te verankeren in het bestuurlijk handelen en ondersteunen bestuurders bij het nemen van verantwoordelijkheid en het uitvoeren van effectief risicomanagement binnen de gemeentelijke organisatie. Incidenten op het gebied van informatiebeveiliging kunnen directe gevolgen hebben voor inwoners, ondernemers en (samenwerkings)partners van de gemeente. Daarom hoort het onderwerp structureel op de bestuurlijke agenda en vraagt het om actieve betrokkenheid en sturing vanuit het bestuur.

1Bestuurders stimuleren een veilige cultuur.

Zij geven het goede voorbeeld, spreken elkaar aan en creëren een omgeving waarin veiligheid vanzelfsprekend is.

2Informatiebeveiliging is een gezamenlijke verantwoordelijkheid.

Iedereen binnen de organisatie, van bestuur tot medewerker, draagt bij aan een veilige informatievoorziening

3Informatiebeveiliging is onlosmakelijk verbonden met risicomanagement.

Het bestuur zorgt ervoor dat risico’s op het gebied van informatiebeveiliging systematisch worden herkend, beoordeeld en beheerst

4Risicomanagement is een integraal onderdeel van besluitvorming.

Bestuurlijke keuzes worden altijd genomen met expliciete aandacht voor digitale risico’s en de impact op de organisatie en haar omgeving

5Informatiebeveiliging vraagt aandacht in alle samenwerkingsverbanden.

Ook in de keten en bij externe partners worden heldere eisen gesteld en afspraken gemaakt over digitale veiligheid

6Informatiebeveiliging is een continu proces.

Het bestuur borgt dat informatiebeveiliging cyclisch wordt geëvalueerd en structureel wordt verbeterd

7Informatiebeveiliging vereist structurele investeringen.

Het bestuur reserveert voldoende middelen en capaciteit om het gewenste beveiligingsniveau te realiseren en te behouden

8Onzekerheid en onvoorziene risico’s worden meegenomen in de afwegingen.

Het bestuur accepteert dat niet alle risico’s volledig uit te sluiten zijn en houdt rekening met onzekerheden in beleid en uitvoering

9Leren en verbeteren staan centraal.

Incidenten, audits en evaluaties worden actief gebruikt om de organisatie en processen continu te verbeteren

10Het bestuur houdt toezicht en stuurt bij waar nodig.

Door periodiek te controleren en te evalueren, blijft informatiebeveiliging actueel en effectief.

2.2.1 Wettelijk en normatief kader

Voor de bescherming van persoonsgegevens houdt gemeente Waadhoeke zich aan verschillende wet- en regelgeving. Dit gaat om Europese verordeningen, nationale wetgeving en sectorspecifieke wetten. Daarnaast hebben verschillende ontwikkelingen invloed op hoe we omgaan met persoonsgegevens. Hieronder zetten we de belangrijkste uiteen.

De Algemene Verordening Gegevensbescherming

Op 25 mei 2018 trad de AVG in werking. De AVG is een Europese Verordening die rechtstreekse werking heeft. Het hoofddoel van de AVG is de bescherming van persoonsgegevens van natuurlijke personen en het faciliteren van het vrije verkeer van die gegevens binnen de Europese Unie. De AVG versterkt de privacyrechten van individuen en legt tegelijkertijd meer verantwoordelijkheden bij organisaties die persoonsgegevens verwerken.

De belangrijkste doelen en aspecten van de AVG zijn:

•Bescherming van privacy

De AVG zorgt ervoor dat mensen meer controle hebben over hun persoonsgegevens en dat deze op een veilige en rechtmatige manier worden verwerkt.

•Harmonisatie van regels

De AVG zorgt voor uniforme regels voor de verwerking van persoonsgegevens in alle EU-lidstaten, wat het makkelijker maakt voor bedrijven die in meerdere landen actief zijn.

•Rechten van betrokkenen

De AVG geeft mensen diverse rechten, zoals het recht op inzage, recht op correctie, recht op vergetelheid (wissen van gegevens) en recht op dataportabiliteit (overdracht van gegevens).

•Verantwoordelijkheden voor organisaties

Organisaties moeten aantonen dat ze de AVG naleven, bijvoorbeeld door een register van verwerkingsactiviteiten bij te houden, een DPIA uit te voeren bij risicovolle verwerkingen en maatregelen te nemen voor 'privacy by design' en 'privacy by default'.

•Toezicht en handhaving

De AVG voorziet in een onafhankelijke toezichthouder, de AP in Nederland, die toezicht houdt op de naleving van de AVG en boetes kan opleggen bij overtredingen. In het verlengde daarvan verplicht de AVG overheidsinstanties om een interne, onafhankelijke toezichthouder, de Functionaris Gegevensbescherming, te benoemen.

•Moderne technologie

De AVG is ontworpen om rekening te houden met de ontwikkelingen in de digitale wereld en de toegenomen verzameling en verwerking van persoonsgegevens.

Uitvoeringswet Algemene Verordening Gegevensbescherming

De AVG geeft ruimte aan de lidstaten om bepaalde zaken verder uit te werken in nationale wetgeving. In Nederland is daar vorm aan gegeven middels de UAVG. De UAVG bevat onder andere:

•Benoeming van de AP als toezichthoudende instantie

De AP houdt toezicht op de naleving van de AVG en UAVG en andere gerelateerde privacy wet- en regelgeving.

•Uitzonderingen en specifieke bepalingen

De UAVG voorziet op bepaalde punten, zoals bij de verwerking van persoonsgegevens in de zorg, of voor specifieke sectoren, in regels die een aanvulling vormen op de AVG.

•Regels voor de verwerking van strafrechtelijke gegevens

De UAVG bevat specifieke bepalingen voor de verwerking van persoonsgegevens die verband houden met strafrechtelijke veroordelingen en strafbare feiten.

•Verantwoordelijkheden en plichten van organisaties

De UAVG verduidelijkt de verantwoordelijkheden van organisaties bij het verwerken van persoonsgegevens.

•Rechten van betrokkenen

De UAVG bevestigt de rechten van betrokkenen, zoals het recht op informatie, rectificatie en verwijdering van persoonsgegevens.

De Wet politiegegevens

Bijzondere Opsporingsambtenaren (BOA) kunnen meerdere taken en bevoegdheden hebben waarbij rekening moet worden gehouden met verschillende wet- en regelgeving. In het kader van de verwerking van persoonsgegevens door BOA kunnen twee regimes van toepassing zijn: de AVG en/of de Wpg. In de Wpg en het bijbehorende Besluit politiegegevens (Bpg) staat dat de Wpg van toepassing is op gegevensverwerkingen door BOA voor de uitvoering van hun opsporingstaak. Het gaat om de opsporing van strafbare feiten die in een akte van opsporingsbevoegdheid of in een aanwijzing zijn opgelegd aan de BOA. Gemeente Waadhoeke heeft BOA in dienst die persoonsgegevens verwerken die onder de AVG en onder de Wpg vallen.

De FG die is benoemd om toezicht te houden op de naleving van de AVG, is ook met de taak belast om toezicht te houden op de verwerking van politiegegevens als daar binnen de organisatie geen andere FG voor is aangesteld. Binnen gemeente Waadhoeke is er één FG aangesteld die de toezichthoudende taken op grond van zowel de AVG als Wpg uitvoert.

2.4.1 Implementatie AI Act

De opkomst van (generatieve) AI biedt zowel kansen als bedreigingen voor gemeenten. AI kan worden ingezet om bedrijfsvoering en dienstverlening te helpen. Het kan ook beveiligingsprocessen efficiënter maken, bijvoorbeeld door geavanceerde monitoring en automatische detectie van verdachte activiteiten. Tegelijkertijd maken criminelen gebruik van AI voor nieuwe aanvalsmethoden zoals deepfake-fraude of gerichte phishingcampagnes.

Sinds de invoering van de AVG is het besef gegroeid dat we een grote verantwoordelijkheid hebben voor controle op de wijze waarop persoonsgegevens van inwoners en medewerkers worden verwerkt. Met de opkomst van AI-toepassingen staat deze controle onder druk. Ook, of juist, wanneer de gemeente zelf terughoudend is bij het toepassen van AI. Het gevaar bestaat dat de organisatie niet meebeweegt met de ontwikkelingen en medewerkers ongereguleerd en uit het zicht zelf AI inzetten voor het eigen werk.

AI-modellen functioneren vaak als een black box. Het is onduidelijk hoe zij data verwerken en waar die terechtkomen. De Europese AI Act reguleert het gebruik van AI en eist dat risico’s voor mens en maatschappij worden geminimaliseerd. Gemeenten moeten kunnen aantonen dat ze AI op een zorgvuldige en transparante manier inzetten. Ook hierin is samenwerking tussen informatiebeveiliging en privacy een must om schaarse capaciteit, kennis en onderhandelingskracht te bundelen.

2.4.2 Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten

Uit het dreigingsbeeld Informatiebeveiliging 2025-2026 van de Informatiebeveiligingsdienst (IBD) blijkt dat gemeenten voor een onverminderd complex digitaal dreigingslandschap staan. Ransomware, datalekken en uitval van processen door incidenten vormen de grootste bedreigingen. Dit vraagt om een proactieve aanpak om digitale veiligheid te waarborgen en vertrouwen van inwoners en ondernemers te behouden. Dit alles in het licht van financiële en personele krapte.

De digitale dreigingen raken direct aan de continuïteit van gemeentelijke dienstverlening en het vertrouwen van inwoners. Gemeenten kampen bovendien met beperkte capaciteit, kennis en middelen, wat het moeilijk maakt om de digitale veiligheid op peil te houden. In het licht van structurele tekorten, geopolitieke spanningen en technologische afhankelijkheden is een proactieve én collectieve aanpak bepalend.

Het IBD-rapport bevat een heldere bestuurlijke boodschap: risicomanagement is een kerntaak van elke bestuurder, ook digitaal. Nieuwe wet- en regelgeving zoals de Cbw maakt digitale veiligheid bovendien een expliciete bestuurlijke verantwoordelijkheid.

Het rapport biedt gemeenten concrete handvatten om de weerbaarheid van hun organisatie te versterken, waaronder:

•Basismaatregelen zoals multifactorauthenticatie, netwerksegmentatie, monitoring en back-ups;

•Veilig opdrachtgeverschap aan leveranciers, met expliciete afspraken over beveiliging, incidentrespons en dataminimalisatie;

•Collectieve samenwerking tussen gemeenten om kennis, capaciteit en inkoopkracht te bundelen.

2.4.3 Informatie uit incidenten, inbreuken op de beveiliging en datalekken

Een belangrijke bron voor beleidsontwikkeling op het gebied van informatiebeveiliging en privacy is de analyse van incidenten, beveiligingsinbreuken en datalekken. Zowel binnen gemeenten als landelijk ontstaat steeds meer aandacht voor het structureel benutten van deze meldingen als sturingsinformatie. Incidentregistraties, meldprocessen en evaluaties leveren inzicht op in waar beleid, uitvoering en techniek in de praktijk niet naadloos op elkaar aansluiten.

De IBD wijst in meerdere publicaties op het belang van structurele incidentanalyse, onder andere als input voor risicomanagement, bewustwordingsmaatregelen en beleidsactualisatie. Gemeenten worden daarin gestimuleerd om meldingen niet alleen op te lossen, maar ook te benutten voor verbetering op organisatieniveau.

4.1.1 De Chief Information Security Officer

De CISO is binnen gemeente Waadhoeke de strategisch adviseur en coördinator voor informatiebeveiliging. De CISO is onafhankelijk gepositioneerd in de Staf en fungeert als verbindende schakel tussen bestuur, directie, management en het IB&P-team. De CISO rapporteert direct aan de directie en het bestuur, met korte lijnen naar beide directieleden, de burgemeester (portefeuillehouder) en het college van B&W.

Kerntaken en verantwoordelijkheden

•Strategisch beleid en advisering

De CISO ontwikkelt en bewaakt – samen met de FG – het strategisch beleid en vertaalt externe ontwikkelingen, zoals de Baseline Informatiebeveiliging Overheid (BIO2), de Cbw (implementatie van NIS2) en het IBD Dreigingsbeeld, naar concrete beleidsplannen en jaarplannen. De CISO adviseert gevraagd en ongevraagd het bestuur, de directie en het management over strategische keuzes, risico’s en noodzakelijke maatregelen. Adviezen van de CISO zijn zwaarwegend; afwijking hiervan vereist expliciete motivatie en bestuurlijke acceptatie van de (mogelijke) consequenties (risico-acceptatie).

•Coördinatie en regie

De CISO coördineert – samen met de FG – de uitvoering van het strategisch beleid binnen de gemeente, inclusief de afstemming met de Privacy Security Officer, informatieadviseurs en andere relevante collega’s. De CISO onderhoudt een overlegstructuur met bestuur, directie en management en draagt bij aan samenhang tussen de verschillende informatiebeveiliging- en privacyrollen. Binnen gemeente Waadhoeke is de CISO tevens verantwoordelijk voor de ENSIA-coördinatie, waardoor de externe verantwoording en het interne beleid optimaal op elkaar aansluiten.

•Rapportage en verantwoording

De CISO rapporteert periodiek over de status van informatiebeveiliging, ontwikkelingen en incidenten aan de burgemeester en het bestuur. Dit gebeurt op basis van actuele ontwikkelingen, incidenten en minimaal via de jaarlijkse ENSIA-audit en een jaarrapportage. Door deze rapportages krijgt het bestuur inzicht in de mate van weerbaarheid en de voortgang van verbetermaatregelen.

•Risicomanagement en weerbaarheid

De CISO monitort en evalueert continu de belangrijkste risico’s, met als uitgangspunt het daadwerkelijk verhogen van de digitale weerbaarheid van de gemeente. Het beleid is gericht op het voldoen aan wet- en regelgeving, waaronder de Cbw, maar nadrukkelijk niet op het ‘zetten van vinkjes’. Er is ruimte voor innovatie en experimenten, mits deze veilig en verantwoord zijn ingericht. De CISO vertaalt het IBD Dreigingsbeeld en andere relevante analyses naar concrete acties voor de organisatie.

•Netwerkfunctie en samenwerking

De CISO neemt actief deel aan regionale en landelijke netwerken, zoals het CISO-overleg van het Shared Service Centrum Leeuwarden, de Fryske Cybertafel en het CISO-Netwerk Noord-Nederland. Deze samenwerkingen versterken de kennispositie van de gemeente en maken het mogelijk om gezamenlijk te anticiperen op nieuwe dreigingen en ontwikkelingen.

•Aansturing en samenwerking

De CISO werkt in een team met de FG en de PSO. De CISO is het eerste aanspreekpunt voor bestuur en directie bij onderwerpen die gerelateerd zijn aan informatiebeveiliging en stemt af met de informatieadviseurs en andere sleutelfunctionarissen. De aansturing van de Staf vindt plaats door de directeur, maar de CISO heeft korte lijnen naar beide directieleden, de burgemeester, het college en de managers. Dit zorgt voor directe betrokkenheid bij strategische besluitvorming en operationele afstemming.

4.1.2 De Functionaris Gegevensbescherming

De FG is binnen gemeente Waadhoeke de strategisch adviseur en onafhankelijke toezichthouder op het gebied van privacy en gegevensbescherming. De FG ziet toe op de naleving van privacywet- en regelgeving bij de verwerking van persoonsgegevens door of namens de gemeenteraad, het college van burgemeester en wethouders en de burgemeester. De positie en taken van de FG zijn wettelijk verankerd in de artikelen 37, 38 en 39 van de AVG.

Onafhankelijke positionering

De FG opereert volledig onafhankelijk binnen de organisatie. Bestuur, directie, management en medewerkers oefenen geen invloed uit op de uitvoering van zijn taken. De FG heeft – zonder tussenkomst van anderen – toegang tot de hoogste bestuurders (de gemeenteraad, het college van burgemeester en wethouders of de burgemeester) om te adviseren. Bij vraagstukken over gegevensverwerking wordt de FG tijdig en volledig betrokken en krijgt hij toegang tot alle relevante informatie, systemen en processen. Directie en proceseigenaren ondersteunen de FG actief bij het uitvoeren van zijn toezichttaken. Belangenverstrengeling wordt voorkomen door de FG niet te betrekken bij activiteiten of processen waarbij hij verantwoordelijk zou zijn voor gegevensverwerkingen namens de verwerkingsverantwoordelijke. In zijn toezicht houdt de FG rekening met de aard, omvang, context en doeleinden van de verwerkingen en de risico’s voor de rechten en vrijheden van betrokkenen.

Kerntaken en verantwoordelijkheden

•Toezicht op naleving van privacywet- en regelgeving

De FG houdt toezicht op de naleving van de AVG en andere relevante privacywetgeving binnen de organisatie. Hij ziet erop toe dat verplichtingen uit de wet- en regelgeving worden nageleefd, verantwoordelijkheden duidelijk zijn toegewezen en risicobeheersmaatregelen daadwerkelijk worden toegepast. De FG monitort of verplichte DPIA’s worden uitgevoerd, verzoeken van betrokkenen zorgvuldig worden afgehandeld en of gegevensverwerkingen in samenwerkingsverbanden correct verlopen. Daarnaast bewaakt de FG de behandeling van klachten en signalen over de verwerking van persoonsgegevens vanuit de samenleving en fungeert hij als vast aanspreekpunt voor de AP, inwoners en andere betrokkenen. Zijn bevindingen rapporteert hij aan de verantwoordelijke bestuursorganen.

•Bewustwording, voorlichting en cultuur

Een belangrijk onderdeel van de rol van de FG is het bevorderen van bewustwording en het geven van voorlichting aan medewerkers over privacy en gegevensbescherming. De FG stimuleert een privacybewuste cultuur binnen de organisatie, adviseert over DPIA’s en ondersteunt bij het ontwikkelen en implementeren van interne privacy procedures.

•Informeren en adviseren

De FG informeert en adviseert bestuur, directie en/of management periodiek over de stand van zaken rondom gegevensbescherming, actuele ontwikkelingen en incidenten. Dit gebeurt zowel gevraagd als ongevraagd, op zowel strategisch als tactisch niveau. De FG adviseert over beleidsvorming, prioritering en implementatie van privacy maatregelen, DPIA’s, geautomatiseerde besluitvorming, internationale doorgifte van gegevens en de omgang met klachten van betrokkenen. Adviezen van de FG zijn zwaarwegend; afwijking hiervan vereist expliciete motivatie en bestuurlijke acceptatie van de (mogelijke) consequenties (risico-acceptatie).

•Strategie, visie en integrale borging

De FG ontwikkelt visie en strategie op het gebied van privacy en gegevensbescherming. De FG ontwikkelt samen met de CISO het strategisch beleid. Hij zoekt naar oplossingsrichtingen, stimuleert normering en zorgt voor integrale borging van privacy in processen en systemen. Door verschillende toezichtsvormen met elkaar te verbinden, levert de FG specialistisch en onafhankelijk advies over complexe privacyvraagstukken en evalueert hij de effectiviteit van het privacybeleid.

•Netwerkfunctie en samenwerking

De FG neemt actief deel aan regionale en landelijke netwerken, zoals het Friese FG-overleg, het FG-overleg van het Shared Service Centrum Leeuwarden, overlegstructuren met samenwerkingspartners zoals DataFryslân, De Dienst Sociale Zaken en Werkgelegenheid Noardwest-Fryslân en de VNG, IBD, Nederlands Genootschap van Functionarissen Gegevensbescherming (NGFG) en de AP. Deze samenwerkingen versterken de kennispositie van de gemeente en maken het mogelijk om gezamenlijk te anticiperen op nieuwe dreigingen en ontwikkelingen.

•Aansturing en samenwerking

De FG werkt in een team met de CISO en de PSO. De FG is het eerste aanspreekpunt voor bestuur, directie en management bij onderwerpen die gerelateerd zijn aan privacy en gegevensbescherming en stemt af met andere sleutelfunctionarissen. De aansturing van de Staf vindt plaats door de directeur, maar de FG heeft korte lijnen naar beide directieleden, de burgemeester, het college en de managers. Dit zorgt voor directe betrokkenheid bij strategische besluitvorming en afstemming.

4.1.3 Privacy Security Officer

De Privacy Security Officer (PSO) is binnen gemeente Waadhoeke verantwoordelijk voor het waarborgen van zowel de bescherming van persoonsgegevens als de informatiebeveiliging. De PSO vervult deze functie organisatiebreed en werkt nauw samen met zowel de FG als de CISO. De PSO ontvangt richtinggevend advies en instructies van de FG en de CISO en rapporteert periodiek aan beide functionarissen over de voortgang en status van de werkzaamheden.

Positionering en samenwerking

De PSO is het eerste aanspreekpunt voor vraagstukken op het gebied van informatiebeveiliging en privacy. In deze rol fungeert de PSO als verbindende schakel tussen beleid en uitvoering. Door deze positionering is de PSO in staat om zowel het management als medewerkers praktisch te ondersteunen en te adviseren.

Kerntaken en verantwoordelijkheden

•Rapportage en verantwoording

De PSO rapporteert periodiek over de voortgang van beleidsimplementatie op het gebied van informatiebeveiliging en privacy. Dit omvat het rapporteren over incidenten en datalekken, inclusief de opvolging daarvan, en het bieden van inzicht in de status van bewustwording en training binnen de organisatie. Ook de uitvoering binnen de planning- en control cyclus op het gebied van informatiebeveiliging en privacy wordt door de PSO gemonitord en gerapporteerd aan de FG en/of CISO.

•Beleid en planvorming

De PSO stelt uitvoeringsplannen op voor informatiebeveiliging en privacy, beheert en evalueert het bijbehorende beleid, implementatieplannen, procedures en maatregelen, en zorgt voor aansluiting bij het strategisch beleid van de gemeente. Bijzondere aandacht gaat uit naar bewustwording, interne communicatie en de onboarding van (nieuwe) medewerkers, zodat het beleid ook daadwerkelijk wordt nageleefd en verankerd in de organisatie. Daarbij ondersteunt de PSO de implementatie van maatregelen conform de BIO2 en internationale normen zoals ISO 27001/27002.

•Eerstelijns advisering

Als eerste aanspreekpunt voor informatiebeveiliging- en privacyvraagstukken adviseert de PSO bij het opstellen van verwerkersovereenkomsten, convenanten en reglementen. De PSO ondersteunt het management en medewerkers bij de implementatie van maatregelen naar aanleiding van risicoanalyses, DPIA’s en incidenten. Verder beantwoordt de PSO vragen of signalen over informatiebeveiliging en gegevensbescherming. Tevens speelt de PSO een actieve rol in het toepassen en onderhouden van de risicomanagementmethodiek binnen de organisatie.

•Uitvoering en beheer

In de uitvoerende rol beheert de PSO diverse systemen en registers, waaronder het verwerkingsregister, datalek- en incidentenregister, risicoregisters en het Information Security Management System (ISMS). De PSO stelt procedures op, voert analyses uit op meldingen en incidenten, monitort audits en assessments en ziet toe op de naleving van beleid en maatregelen. Daarbij ondersteunt de PSO ook het voorbereiden en opvolgen van interne en externe audits.

•Ondersteuning en samenwerking

De PSO biedt ondersteuning bij het uitvoeren van risicoanalyses en DPIA’s, de afhandeling van incidenten en de implementatie van privacy- en beveiligingsmaatregelen. Daarnaast is de PSO betrokken bij het toetsen van beveiligingseisen in inkoop- en contractprocessen, conform de BIO2-vereisten. De PSO ondersteunt bij een crisis om de impact van incidenten te beperken en zorgt voor tijdige melding aan toezichthouders. Verder wisselt de PSO kennis en ervaring uit met collega’s binnen en buiten de organisatie en onderhoudt contacten met relevante netwerken zoals de IBD, de AP en vakgenoten bij andere gemeenten en overheidsorganisaties.

•Continu verbeteren

De PSO draagt actief bij aan het continu verbeteren van informatiebeveiliging en privacy binnen de gemeente door het toepassen van de PDCA-cyclus. Deze systematische aanpak zorgt voor een voortdurende evaluatie en verbetering van beleid, processen en maatregelen.

4.2.1 College van burgemeester en wethouders

•Strategische koers

Het college draagt de eindverantwoordelijkheid voor het strategisch beleid van gemeente Waadhoeke. Zij stelt het beleidskader vast, hanteert de tien principes voor informatiebeveiliging en de beginselen voor verwerking van persoonsgegevens en borgt dat informatiebeveiliging en privacy blijvend aandacht krijgen in de bestuurlijke agenda. Het college stelt de benodigde middelen beschikbaar en borgt dat capaciteit, budget en prioriteit voor informatiebeveiliging en privacy jaarlijks onderdeel zijn van de begrotingscyclus.

•Leiderschap en voorbeeldgedrag

Burgemeester en wethouders tonen zichtbaar voorbeeldgedrag door zelf conform de vastgestelde regels te handelen. Zij vragen actief om rapportages over de actuele stand van zaken, zodat zij tijdig kunnen bijsturen en prioriteren. Daarmee creëren zij een cultuur waarin veiligheid en privacy vanzelfsprekend zijn.

4.2.2 Directie

•Positionering en regie

De directie vertaalt het strategisch beleid naar concrete sturing en toezicht. Iedere gegevensverzameling, elk proces en systeem valt onder de verantwoordelijkheid van een afdelingsmanager; de directie wijst deze eigenaar formeel toe en houdt toezicht op naleving.

•Agendering

De directie benadrukt bij aanstelling en interne overplaatsing en bijvoorbeeld in werkoverleggen of in personeelsgesprekken met de managers het belang van opleiding en training voor informatiebeveiliging en privacy. De directie stimuleert hen actief deze periodiek te volgen.

•Beleidsvorming en autorisatie

De directie stelt aanvullende onderwerp specifieke beleidsdocumenten op tactisch en operationeel niveau vast. Daarnaast autoriseert ze procedures en maatregelen die nodig zijn voor de bescherming van informatie en persoonsgegevens. En werkt hierin nauw samen met de CISO en FG.

•Toezicht en verantwoording

De directie verzamelt periodiek informatie bij het management over de voortgang en effectiviteit van genomen maatregelen. Zij rapporteert – gevraagd en ongevraagd – aan de portefeuillehouders in het college en zorgt dat het bestuur zich adequaat kan verantwoorden richting gemeenteraad.

•Risicomanagement

Informatiebeveiliging en privacy zijn een vast onderdeel van de reguliere risicomanagementcyclus. De directie bewaakt het gewenste niveau van continuïteit en vertrouwelijkheid en ziet erop toe dat significante risico’s worden gemitigeerd of expliciet geaccepteerd. De directie bepaalt, op voorstel van CISO en FG, het resterende restrisico dat de organisatie kan accepteren en documenteert dit besluit.

4.2.3 Management (programma- en afdelingsmanagers)

•Eigenaarschap van processen en gegevens

Managers zijn eindverantwoordelijk voor bescherming van informatie en persoonsgegevens binnen hun domein. Deze verantwoordelijkheid is niet overdraagbaar. Uitvoering van specifieke taken kan wel worden gedelegeerd. Bijvoorbeeld aan teamleiders of medewerkers. Voor elke applicatie, dataset of basisregistratie is er altijd een aantoonbare interne eigenaar. Voor elk proces is een proceseigenaar benoemd die ook verantwoordelijk is voor het actualiseren van de procesbeschrijving bij iedere proces- of systeemwijziging.

•Inbedding in dagelijkse praktijk

Managers zorgen dat informatiebeveiliging en privacy structureel zijn geïntegreerd in processen, systemen en dienstverlening. Zij houden het verwerkingsregister actueel, oefenen scenario’s rond incidenten en bedrijfscontinuïteit en voeren periodiek controles uit zodat uitsluitend bevoegde medewerkers toegang hebben tot de juiste gegevens. Zij reserveren binnen hun afdelingsbudget structureel middelen voor het implementeren van maatregelen.

•Agendering

Minimaal twee keer per jaar staan informatiebeveiliging en privacy op de agenda van het Management Overleg (MO). Daarnaast komt het onderwerp expliciet aan bod in (programma- en afdelings)plannen wanneer risico’s daar aanleiding toe geven.

•Risico-gestuurde maatregelen

Op basis van risicoanalyses, (pre-)DPIA’s, incidentanalyses, overige signalen of advies van het IB&P-team bepalen managers passende maatregelen. Afwijkingen van verplichte controls of beginselen worden altijd afgestemd met de CISO en/of FG. Zij documenteren de beslissingen en restrisico’s in het risicoregister zodat deze zichtbaar zijn voor de directie, CISO en FG.

•Cultuur, bewustwording en training

Het management benadrukt bij aanstelling en interne overplaatsing en bijvoorbeeld in werkoverleggen of in personeelsgesprekken met de medewerkers het belang van opleiding en training voor informatiebeveiliging en privacy. Het management stimuleert hen actief deze periodiek te volgen.

•Samenwerking en signalering

Managers dragen het beleid actief uit, signaleren nieuwe dreigingen en betrekken CISO, FG en Privacy Security Officer vroegtijdig bij proces- of systeemwijzigingen.

•Wet- en regelgeving

Managers waarborgen naleving van (U)AVG, BIO2, Cbw en overige relevante kaders binnen alle processen en systemen.

4.2.4 Medewerkers

•Persoonlijke verantwoordelijkheden

Elke medewerker behandelt informatie en persoonsgegevens zorgvuldig, volgt vastgestelde procedures en houdt zich aan de gestelde kaders. Medewerkers gebruiken uitsluitend geautoriseerde systemen, kiezen sterke wachtwoorden en delen gegevens alleen als dit noodzakelijk en toegestaan is en op een veilige manier kan. Zij vergrendelen hun beeldscherm wanneer zij hun werkplek verlaten en nemen bij twijfel altijd contact op met het IB&P-team.

•Informatiebeveiligingsincident of datalek

Bij een vermoeden van informatiebeveiligingsincident, een datalek, verlies van gegevens of misbruik melden zij dit direct via het interne meldproces, zodat de organisatie snel kan ingrijpen en rapporteren. Medewerkers volgen daarbij de interne procedure ‘Melding beveiligingsincident en datalekken’ en gebruiken het daarvoor bedoelde meldportaal.

•Kennis en vaardigheid

Medewerkers nemen deel aan verplichte bewustwordingsprogramma’s, actualiseren hun kennis wanneer wet- of regelgeving verandert en passen geleerde maatregelen consequent toe.

•Samenwerking

Zij werken actief samen met collega’s, CISO, FG en PSO om risico’s te signaleren, te voorkomen, te mitigeren en best practices te delen.