Aanhef
Het college van burgemeester en wethouders van de gemeente Wassenaar,
gelet op artikel 4:81, lid 1 van de AWB;
overwegende dat de Basisbeveiliging Informatiebeveiliging Overheid 2 (BIO2) een juridische basis krijgt via de Cyberbeveiligingswet (Cbw) — de Nederlandse implementatiewet van de Europese Network & Information Services 2 (NIS2)‑richtlijn. Dit gebeurt door opname van de BIO2 in een ministeriële regeling voor de sector Overheid onder het Cyberbeveiligingsbesluit (Cbb). Tot inwerkingtreding van de Cbw geldt de BIO2 als verplichte zelfregulering (voor Rijk, provincies en waterschappen). Na inwerkingtreding van de Cbw wordt de BIO2 wettelijk verplicht voor overheidsorganisaties, doordat zij via regeling onder het Cbb wordt aangewezen als het normenkader voor cyberbeveiliging.
b e s l u i t :
1) het Strategisch Informatiebeveiligings- en Privacybeleid 2025-2028 met terugwerkende kracht vanaf 1-1-2025 vast te stellen.
2) het huidige, in 2020 vastgestelde ‘Informatiebeveiligingsbeleid 2020-2024’ en het in 2025 vastgestelde “Privacybeleid Wassenaar” in te trekken.
3. Organisatie, taken & verantwoordelijkheden
3.4 Controle en Verantwoording: Auditing en Compliance
3.4.1 ENSIA
De gemeente verantwoordt zich over informatiebeveiliging middels de ENSIA-systematiek. Dat betekent dat er een ENSIA-coördinator moet zijn. Deze zorgt ervoor dat de informatie die nodig is voor het beantwoorden van vragen binnen ENSIA wordt opgehaald bij de verantwoordelijke eenheidssmanagers. De eenheidsmanagers leveren alle informatie die nodig is voor het invullen van de jaarlijkse ENSIA-vragenlijsten.
De verantwoording over de informatiebeveiliging en privacybescherming komt als eigen verklaring in het jaarverslag tot uitdrukking onder de kop bedrijfsvoering en is gebaseerd op een extract van de collegeverklaring Informatiebeveiliging en privacy. Deze verklaring noemt men ook wel een ‘In Control verklaring’ of ICV (Engels: In Control Statement). Met deze verklaring geeft het college van B&W aan in hoeverre de gemeente voldoet aan de afspraken die gemaakt zijn voor de ENSIA-verantwoording Informatiebeveiliging en wettelijke eisen zoals uit de AVG, Cbw, DigiD-audit en Suwi. Ook worden de eventuele verbetermaatregelen vermeld die de gemeente gaat treffen in het komende jaar. De ingevulde zelfevaluatievragenlijst vormt de basis voor het opstellen van de collegeverklaring aan de raad voor de zogenaamde horizontale verantwoording.
3.4.2 Wpg
De gemeente verwerkt in het kader van haar handhavingstaken politiegegevens als bedoeld in de Wet politiegegevens (Wpg). Op grond van artikel 33 Wpg wordt minimaal eens per drie jaar een onafhankelijke audit uitgevoerd naar de naleving van deze wet en het bijbehorende Besluit politiegegevens.
De audit richt zich op de werking en effectiviteit van de getroffen maatregelen voor beveiliging, rechtmatigheid, logging, bewaartermijnen en toegangsbeheer binnen de processen waarin politiegegevens worden verwerkt. De uitkomsten van de audit worden besproken binnen het college van B&W en vormen input voor het continu verbeteren van de informatiebeveiliging en privacybescherming.
De uitvoering en opvolging van de Wpg-audit worden afgestemd vanuit de interne auditfunctie met de Privacy Officer, zodat bevindingen worden meegenomen in de bredere PDCA-cyclus van het gemeentelijke informatiebeveiligingsbeleid (BIO2). De resultaten en verbetermaatregelen worden verwerkt in het jaarlijkse informatiebeveiligingsplan.
Belangrijke uitgangspunten:
•De Privacy Officer vervult de rol van bevoegde functionaris zoals beschreven in Wpg artikel 6, lid 7.
•Wpg artikel 13-verwerkingen vinden niet plaats binnen onze gemeente.
•In de uitvoering van de Wpg-taken worden geen politiegegevens gedeeld met derde landen.