Informatiebeveiligingsbeleid Winterswijk 2025 - 2028

4.1.1 Controle en toetsing door de gemeenteraad

De gemeenteraad heeft een specifieke bevoegdheid om het beleid en de werking ervan binnen de gemeente Winterswijk te controleren en te toetsen, inclusief informatiebeveiliging. Het college B&W stelt het informatiebeveiligingsbeleid vast. Het college legt jaarlijks verantwoording af aan de gemeenteraad over de stand van zaken van informatiebeveiliging, in lijn met de P&C-cyclus. Dit gebeurt via een collegeverklaring waarop een auditor Assurance afgeeft en in het jaarverslag met een passage over informatiebeveiliging in de paragraaf bedrijfsvoering [18.2.2.1].

4.1.2 Conformering van de griffie aan dit beleid

Als apart orgaan binnen de ambtelijke organisatie is de griffie verantwoordelijk voor de eigen processen, systemen en gegevens, inclusief de staat van informatiebeveiliging binnen deze processen. De griffie conformeert zich aan het informatiebeveiligingsbeleid en hanteert hetzelfde kader als de ambtelijke organisatie.

4.1.3 Beleidsbepalende, regisserende en coördinerende verantwoordelijkheden op organisatieniveau

Als eigenaar van gemeentelijke informatieprocessen en -systemen draagt het college de eindverantwoordelijkheid voor een passend niveau van informatiebeveiliging. Het college stelt met het voorliggende beleidsdocument de kaders voor informatiebeveiliging vast op basis van landelijke en Europese wet- en regelgeving. De gemeenteraad wordt geïnformeerd over de informatiebeveiliging van de gemeente via P&C-cyclus. Hierin worden de stand van zaken, uitgevoerde plannen van het afgelopen jaar, de tijdsplanning en plannen voor het volgende jaar gepresenteerd. Bovendien wordt de CISO aangesteld door het college, op basis van een vastgesteld functieprofiel [6.1.1.2; 6.1.1.3; 6.1.1.4].

4.1.4 Verantwoordelijkheden en taken op organisatieniveau

Gemeentesecretaris

De gemeentesecretaris is eindverantwoordelijk voor de borging van informatieveiligheid binnen de gemeente en heeft de volgende verantwoordelijkheden:

•Het stellen van strategische en operationele kaders en het geven van sturing aan informatiebeveiliging.

•Het beheren en beheersen van informatiebeveiligingsrisico's binnen de gemeente.

•Het periodiek evalueren en bijstellen van het beleid om te voldoen aan veranderende wet- en regelgeving of risico’s.

•Het controleren van beveiligingsmaatregelen om te waarborgen dat deze voldoen aan betrouwbaarheidseisen en voldoende bescherming bieden.

•Het toewijzen van verantwoordelijkheden voor specifieke informatiebeveiligingscomponenten en -systemen.

•Het scheiden van uitvoerende, controlerende en beleidsbepalende taken op het gebied van informatiebeveiliging om fraude en fouten te voorkomen.

Chief Information Officer (CIO)

De CIO is verantwoordelijk voor de algehele informatievoorziening binnen de gemeente. Dit omvat:

•Het zorgen dat de strategische doelen op het gebied van informatiebeveiliging en -voorziening worden gerealiseerd.

•Het afstemmen van informatiebeleid op de bredere organisatorische doelen.

•Het waarborgen van de integratie van informatiebeveiliging binnen de gemeentelijke informatievoorziening.

•Het ontwikkelen en beheren van het Business Continuity Plan (BCP): Het BCP richt zich op het waarborgen van de continuïteit van kritieke processen en systemen tijdens verstoringen of calamiteiten. Hierbij houdt de CIO toezicht op:

o Identificatie en prioritering van kritieke bedrijfsprocessen en afhankelijkheden.

o Samenwerking met de CISO en lijnmanagers om risico’s en beveiligingsmaatregelen te integreren in het continuïteitsplan.

o Periodieke evaluatie, testen en actualisatie van het BCP.

Chief Information Security Officer (CISO)

De CISO voert namens het college activiteiten uit op het gebied van informatiebeveiliging en is verantwoordelijk voor de volgende taken [8.1.2]:

•Beveiligingsniveau bepalen: De gemeentesecretaris besluit het niveau en het directieteam stelt het gewenste niveau van informatiebeveiliging vast.

•Beveiligingseisen per bedrijfsproces: Het vaststellen van beveiligingseisen voor specifieke bedrijfsprocessen en informatiesystemen.

•Implementatie van beveiligingsmaatregelen: Zorgen voor de juiste implementatie van beveiligingsmaatregelen in interne en externe (informatie)systemen.

•Toezicht en rapportage: Het bewaken van de naleving van het informatiebeveiligingsbeleid en het rapporteren aan de gemeentesecretaris en het college.

•Aansturing van systeemeigenaren: Voor elk informatiesysteem wordt door de gemeentesecretaris een procesverantwoordelijke of systeemeigenaar aangesteld. De CISO coördineert dat deze personen voldoen aan de eisen die voortvloeien uit het beleid en de relevante wetgeving.

Overzicht van Verantwoordelijkheden

Rol

Hoofdverantwoordelijkheden

Gemeentesecretaris

Strategisch beleid, risico's beheren, beveiligingskaders stellen, eindverantwoordelijkheid.

Adjunct Gemeentesecretaris

Continuïteit waarborgen bij afwezigheid van de gemeentesecretaris.

CIO

Algehele informatievoorziening en integratie van informatiebeveiliging in gemeentelijke processen.

CISO

Implementatie, toezicht en advisering over informatiebeveiligingsmaatregelen.

4.1.5 Verantwoordelijkheden en taken op eenheidsniveau

De domeinmanagers en de griffier (proceseigenaren) zijn eigenaar van en integraal verantwoordelijk voor de (informatie)beveiliging van de informatieprocessen en -systemen binnen hun organisatieonderdeel.

De domeinmanagers en griffier hebben onder andere de volgende verantwoordelijkheden:

•Het borgen van de verantwoordelijkheid voor het classificeren van opgeslagen data in applicaties en gegevensverzamelingen, waarbij de uitvoering kan worden gedelegeerd.

•Verantwoordelijk voor het vaststellen van betrouwbaarheidseisen voor de afdelingsinformatiesystemen, met de mogelijkheid om de uitwerking te laten uitvoeren door bevoegde medewerkers.

•Verantwoordelijk voor het aansturen en goedkeuren van de keuze, implementatie en communicatie van maatregelen die voortvloeien uit de betrouwbaarheidseisen.

•Het dragen van de verantwoordelijkheid voor het laten uitvoeren van risicoscans voor informatiebeveiliging, ter ondersteuning van risicoafwegingen.

•Verantwoordelijk voor het realiseren en waarborgen van informatiebeveiliging binnen de processen waarvoor zij verantwoordelijk zijn, inclusief uitbestede delen en samenwerkingsverbanden, met de mogelijkheid om taken te delegeren.

•Verantwoordelijk voor het stimuleren van bewustwording bij medewerkers over hun verantwoordelijkheid voor informatiebeveiliging in hun dagelijkse werkprocessen.

•Het bevorderen van beveiligingsbewustzijn, bedrijfscontinuïteit en naleving van regels en richtlijnen, door het aansturen en faciliteren van relevante initiatieven.

•Verantwoordelijk voor het laten coördineren van de afhandeling van beveiligingsincidenten die de betrouwbaarheid, beschikbaarheid of vertrouwelijkheid van de informatievoorziening verstoren [16.1.2.5].

•Verantwoordelijk voor het vaststellen van relevante wettelijke, statutaire, regelgevende en contractuele eisen, en voor het aansturen van de implementatie van de benodigde aanpak om aan deze eisen te voldoen voor elk informatiesysteem en de organisatie [18.1.1].

•Verantwoordelijk voor het waarborgen van privacy en bescherming van persoonsgegevens conform de relevante wet- en regelgeving [18.1.4], waarbij de uitvoering kan worden gedelegeerd.

•Verantwoordelijk voor het toezien op de controle van het verwerken van persoonsgegevens om vast te stellen dat alleen geautoriseerde medewerkers de juiste persoonsgegevens hebben ingezien en verwerkt.

•Verantwoordelijk voor het opdracht geven aan en het toezien op periodieke beveiligingsaudits.

•Verantwoordelijk voor het waarborgen van rapportages, via de CISO, over de naleving van wet- en regelgeving en het algemene beleid van de gemeente met betrekking tot informatiebeveiliging in de Planning & Control-rapportages.

•Lijnmanagers zijn verantwoordelijk voor de continuïteit van taakuitvoering (BCM) binnen hun processen en systemen, inclusief de samenhang met ketens van informatiesystemen, waarbij de uitvoering kan worden belegd bij bevoegde medewerkers.

4.1.6 Chief Information Security Officer (CISO)

Een Chief Information Security Officer (CISO) is aangewezen door het college op basis van een vastgesteld profiel [6.1.1.2; 6.1.1.3; 6.1.1.4]. In deze rol is de CISO namens de directie verantwoordelijk voor het actueel houden van het informatieveiligheidsbeleid op strategisch en organisatieniveau. De CISO coördineert de uitvoering van het beleid, beheerst risico's volgens de behoeften van de gemeente en rapporteert aan het college en directie.

De taken en verantwoordelijkheden van de CISO omvatten het volgende:

•Direct rapporteren aan de gemeentesecretaris en de portefeuillehouder.

•Coördineren van de ontwikkeling van het informatiebeveiligingsbeleid.

•Coördineren van de uitvoering van de informatiebeveiligingsanalyse en zorgen voor regelmatige updates.

•Prioriteren van informatiebeveiligingsmaatregelen op basis van de informatiebeveiligingsanalyse en leiden van de uitvoering van het actieplan informatiebeveiliging.

•Bewaken van de uitvoering van het actieplan informatiebeveiliging en naleving van het beleid.

•Opstellen van een plan voor overleg en rapportage met betrekking tot informatiebeveiliging.

•Ondersteunen van de gemeentesecretaris, de adjunct gemeentesecretaris en het managementteam met kennis over informatiebeveiliging, zodat zij hun verantwoordelijkheid voor de betrouwbaarheid van de informatievoorziening kunnen vervullen.

•Fungeren als aanspreekpunt voor medewerkers van de gemeente Winterswijk met vragen over informatiebeveiliging.

•Volgen van externe invloeden die van invloed zijn op het informatiebeveiligingsbeleid en de informatiebeveiligingsanalyse.

•Geven van gevraagd en ongevraagd advies over informatiebeveiliging aan de gehele organisatie.

•Bevorderen van het bewustzijn van beveiliging binnen de organisatie.

•Ondersteunen van het college bij het opstellen van de rapportage over informatiebeveiliging van de gemeente in het jaarverslag.

•Onderhouden van contacten met relevante overheidsinstanties.

•Ondersteunen van de organisatie vanuit een onafhankelijke centrale positie bij het bewaken en verbeteren van de betrouwbaarheid van de informatievoorzieningen hierover rechtstreeks rapporteren aan het directieteam vóór de P&C-gesprekken.

•De CISO rapporteert bevindingen aan het college en directie.

•Waarborgt dat de juiste maatregelen en processen worden geïmplementeerd om te voldoen aan de ENSIA-normen.

4.1.7 Information Security Officer (ISO)

De CISO wordt ondersteund door de Information Security Officer (ISO). Deze rol heeft op tactisch niveau de verantwoordelijkheid voor het up-to-date houden van het informatieveiligheidsbeleid, het coördineren van de uitvoering ervan, het verstrekken van advies bij projecten.

De taken en verantwoordelijkheden van de ISO omvatten het volgende:

•Periodieke toetsing van de juiste naleving, werking, effectiviteit en kwaliteit van de maatregelen met betrekking tot informatiebeveiliging, in samenwerking met de beveiligingsbeheerders.

•Controle van de voortgang van de uitvoering van maatregelen uit de informatiebeveiligingsanalyse en het actieplan informatiebeveiliging.

•Toezicht houden op de periodieke actualisatie van het informatiebeveiligingsbeleid en de informatiebeveiligingsanalyse.

•Bewaking van het niveau van informatiebeveiliging.

•Toetsing van het evaluatieproces van beveiligingsincidenten.

•Rapportage van bevindingen aan de ISO.

•Uitvoering van operationele activiteiten met betrekking tot informatiebeveiliging, zoals het implementeren en monitoren van beveiligingsmaatregelen.

•Het ontwikkelen en onderhouden van informatiebeveiligingsbeleid, procedures en richtlijnen.

•Identificeren van kwetsbaarheden en risico's op operationeel niveau en het implementeren van passende maatregelen.

•Rapportage van informatiebeveiligingsincidenten en het coördineren van de respons en de afhandeling ervan.

•Het bevorderen van bewustzijn en training van medewerkers over informatiebeveiliging.

•Bijhouden van een register van informatiebeveiligingsincidenten en verantwoordelijkheid dragen voor de juiste afhandeling en evaluatie ervan.

•De ISO heeft de operationele verantwoordelijkheid voor de uitvoering van de ENSIA-audit en coördineert de auditactiviteiten, verzamelt relevante informatie en werkt samen met interne en externe auditors.

•Zorgt ervoor dat de vereiste documentatie en bewijsmaterialen worden verzameld.

4.1.8 Beveiligingsfunctionaris

De rol van Beveiligingsfunctionaris omvat het beheer, de coördinatie en het advies met betrekking tot informatiebeveiliging binnen een specifiek deelgebied. In dit beleidsdocument worden verschillende benamingen gegeven aan rollen die veelal dezelfde taken en verantwoordelijkheden hebben met betrekking tot specifieke gegevensverzamelingen. Om duidelijkheid te scheppen in de naamgeving, wordt in dit beleidsdocument de verantwoordelijkheid voor beveiliging met betrekking tot een specifieke gegevensverzameling toegewezen aan de Beveiligingsfunctionaris.

Specifiek verplichte beveiligingsfunctionarisrollen:

•Autorisatiebevoegde Reisdocumenten/Aanvraagstations: verantwoordelijk voor het beheer van de autorisaties (het toekennen van rechten in informatiesystemen aan personen of groepen) voor de reisdocumentenmodules (RAAS en aanvraagstations).

•Autorisatiebevoegde Rijbewijzen: verantwoordelijk voor het beheer van de autorisaties voor rijbewijzen, inclusief aanmelding bij de RDW.

•Daarnaast worden, indien mogelijk, Beveiligingsfunctionarissen aangewezen voor verschillende aspecten van de gemeentelijke bedrijfsvoering (zoals facilitaire zaken, DIV (archivering) en personeelszaken), evenals de primaire processen (bijvoorbeeld sociaal domein, financiën, beveiliging, handhaving, publieksdiensten (eventueel gecombineerd met BRP en waarde documenten), ruimte/omgeving).

4.1.9. Technical Information Security Officer

De TISO is verantwoordelijk voor de technische aspecten van informatiebeveiliging binnen gemeente Winterswijk waaronder het beoordelen, bewaken, inrichten en implementeren van de informatieveiligheid en fungeert als verbindende factor tussen de CISO en de beheerorganisatie op het gebied van informatieveiligheid. Bovendien speelt de TISO een belangrijke rol bij het coördineren van uitwijk, backup en penetratietesten, het beoordelen van nieuwe initiatieven en wijzigingen op het gebied van technische veiligheid.

De taken en verantwoordelijkheden van de TISO omvatten onder andere het volgende:

•Beoordelen, bewaken, inrichten en implementeren van de architectuur op informatieveiligheid.

•Coördineren en prioriteren van te nemen maatregelen die voortvloeien uit security incidenten.

•Rapporteert aan de CISO en CIO.

•(Mede) opstellen van informatieveiligheidsbeleid, ICT-richtlijnen, beveiligingsplannen en het toetsen en inrichten hiervan.

•Uitvoeren van risico- en kwetsbaarheid analyses op de techniek en/of processen en implementatie van verbeteringen hierop.

•Beheer van het technisch continuïteitsmanagement, waaronder de coördinatie van uitwijk, backup en penetratietesten.

•Vertegenwoordiging van de technische aspecten bij externe (IT) audit.

4.1.10 Functionaris Gegevensbescherming (FG)

De Functionaris voor Gegevensbescherming (FG) is de interne toezichthouder op de verwerking van persoonsgegevens binnen de gemeente, in overeenstemming met de Algemene Verordening Gegevensbescherming (AVG). [18.1.4.1]

De FG heeft de volgende wettelijke taken (art. 39 lid 1 AVG), aangepast aan de situatie binnen de gemeente:

•Informeren en adviseren van de gemeenteraad, het college, het directieteam, het managementteam en de medewerkers over hun verplichtingen met betrekking tot gegevensbescherming.

•Toezien op de naleving van zowel de AVG als andere wetten met betrekking tot gegevensbescherming, evenals het beleid met betrekking tot de bescherming van persoonsgegevens van de verwerkingsverantwoordelijke of de verwerker. Dit omvat het bewustmaken en opleiden van het personeel dat betrokken is bij de verwerking en het uitvoeren van audits.

•Toezicht houden op de registratie van beveiligingsincidenten waarbij persoonsgegevens betrokken zijn en toezicht houden op het melden van datalekken bij de Autoriteit Persoonsgegevens en betrokkenen.

•Samenwerken met en fungeren als contactpunt voor de Autoriteit Persoonsgegevens.

•Rekening houden met risico's in relatie tot de aard, omvang en context van de verwerking van persoonsgegevens.

•Fungeren als contactpersoon binnen de organisatie.

•Rapporteren aan de hoogste leidinggevende van de verwerkingsverantwoordelijke, meestal het college of de burgemeester en in sommige gevallen de gemeenteraad.

•De FG heeft een toezichthoudende en adviserende taak op het gebied van privacy.

4.1.11 Privacy Officer (PO)

Deze functie is gericht op de uitvoering en naleving van de Algemene Verordening Gegevensbescherming (AVG). Daarnaast adviseert de medewerker over privacybescherming en activiteiten ter bescherming van persoonsgegevens.

De Privacy Officer heeft de volgende verantwoordelijkheden:

•Beoordelen van de verwerking van persoonsgegevens in overeenstemming met de privacywetgeving. Advies verstrekken aan het directieteam en managementteam bij wijzigingen in procesuitvoering, bedrijfsvoering en de toepassing van een data protection impact assessment (DPIA).

•Als adviserend lid deelnemen aan programma's en projecten die mogelijk invloed hebben op de verwerking van persoonsgegevens.

•Uitleg geven over de privacy voorschriften in de AVG en sectorale wetgeving.

•Coördineren van privacy werkzaamheden, inclusief het informeren en melden bij de Functionaris voor Gegevensbescherming (FG).

•Coördineren, samenvoegen en openbaar maken van overzichten van gegevensverwerkingen van de verschillende organisatieonderdelen binnen de gemeente.

•Coördineren van verzoeken met betrekking tot inzage, correctie en verzet met betrekking tot persoonsgegevens en adviseren over de afhandeling ervan.

•Rapporteren aan het directieteam.

•Ontwikkelen van procedures voor de afhandeling van datalekken waarbij persoonsgegevens betrokken zijn.

•Beheer en onderhoud van standaarddocumenten voor verwerkersovereenkomsten, convenanten en reglementen.

•Adviseren en ondersteunen bij het besluitvormingsproces en het afsluiten van verwerkersovereenkomsten, convenanten en de vaststelling van reglementen.

4.1.12 Applicatiebeheer

Het beheer van applicaties is een belangrijk aspect in de beveiliging van gemeentelijke informatie, zowel op functioneel als technisch gebied. Het gebruik van applicaties blijft toenemen en in de loop der tijd is er binnen de gemeente een diversiteit aan vak- en back-officeapplicaties ontstaan. Het configureren, beveiligen (updates/patches), toegangsbeheer en algemeen beheer van deze applicaties zijn enkele aspecten die bij een gestructureerde uitvoering de risico's kunnen verminderen.

Functioneel applicatiebeheer omvat taken zoals:

•Analyseren van functionele behoeften.

•Configureren en aanpassen van applicaties.

•Bieden van gebruikersondersteuning.

•Uitvoeren van functionele tests en kwaliteitsborging.

•Technisch applicatiebeheer omvat taken zoals:

•Installeren en configureren van applicaties.

•Zorgen voor beveiliging en updates.

•Optimaliseren van applicatieprestaties.

•Oplossen van technische problemen.

•Functioneel en technisch applicatiebeheer werken samen om applicaties goed te laten functioneren en te voldoen aan de behoeften van de gebruikers en de organisatie.

4.1.13 De medewerkers

Medewerkers zijn verantwoordelijk voor de beveiliging van hun functie en taken. Ze hanteren zorgvuldigheid en discipline bij het omgaan met informatie en systemen. Ze begrijpen de eisen voor betrouwbaarheid, integriteit, beschikbaarheid en

controleerbaarheid van de informatieprocessen waaraan ze deelnemen. Het tactisch informatiebeveiligingsbeleid bevat gedragsregels die medewerkers dienen te kennen en te volgen in hun functie.