Bijlage 3 - Bijlage 1 - Organisatie Informatieveiligheid & Privacy 2022 - SWO v6 0d

BIJLAGE 1 Organisatie Informatieveiligheid & Privacy 2022 Samenwerkingsorganisatie De Wolden Hoogeveen

Jan Lemstra Wilbert Hepping v6.0def 23 mei 2022

Chief Information Officer (CIO) | Chief Information Security Officer (CISO) Information Security Officer (ISO)

Inhoudsopgave 1.

Inleiding ........................................................................................................... 2

2.

Organisatie van de informatieveiligheid ........................................................... 3 2.1 Verantwoordelijkheidsniveaus binnen de organisatie ...................................... 3 2.1.1 Controle en toetsing door de Raad ................................................. 3 2.1.2 Beleidsbepalende/coördinerende verantwoordelijkheden college ........ 3 2.1.3 Gedelegeerde verantwoordelijkheden en taken directie ..................... 3 2.1.4 Verantwoordelijkheden en taken management ................................. 4 2.1.5 Functionaris Gegevensbescherming (FG) ......................................... 5 2.1.6 Chief Information Security Officer (CISO) ........................................ 6 2.1.7 Information Security Officer (ISO) .................................................. 6 2.1.8 Privacy Officer (PO) ...................................................................... 7 2.1.9 Controller Informatieveiligheid ....................................................... 7 2.1.10 Beveiligingsbeheerder ................................................................... 8 2.1.11 Beveiligingsbeheerder SUWI .......................................................... 8 2.1.12 Verantwoordelijkheid overstijgende (informatie)systemen ................. 9 2.1.13 Privacybeheerder Basisregistratie Personen (BRP) ..........................

10 2.1.14 Functioneel Applicatiebeheerder (FAB) .......................................... 10 2.1.15 Gegevensbeheerder ................................................................... 11 2.1.16 Informatiebeheerder Rijksdienst voor Identiteitsgegevens (RvIG) .... 11 2.1.17 Informatiebeheerder BRP ............................................................ 11 2.1.18 Beveiligingsfunctionaris Reisdocumenten ...................................... 12 2.1.19 Beveiligingsfunctionaris Rijbewijzen .............................................. 12 2.1.20 Autorisatiebevoegde Reisdocumentenstation ................................. 12 2.1.21 Autorisatiebevoegde Aanvraagstation ........................................... 12 2.1.22 Autorisatiebevoegde Rijbewijzen .................................................. 13 2.1.23 Toezichthouder voor handhaving Wet BRP ..................................... 13 2.1.24 Medewerkers ............................................................................. 13 2.2 De organisatie informatieveiligheid & privacy .............................................. 14 2.3 Crisisbeheersing ...................................................................................... 14

Organisatie Informatieveiligheid & Privacy 2022 - SWO v6.0d

1

1.

Inleiding

In de Visie, het Strategisch beleid en Tactisch beleid op Informatieveiligheid & Privacy is beschreven aan welke eisen de gemeenten vanuit wet- en regelgeving op het gebied van informatieveiligheid en privacy moet voldoen. De uitvoering hiervan is belegd bij de Samenwerkingsorganisatie De Wolden Hoogeveen (hierna: SWO). Voor de borging van het beleid is het essentieel diverse taken, verantwoordelijkheden en bevoegdheden goed in de organisatie te beleggen. In dit document worden de diverse rollen en verantwoordelijkheden beschreven.

Organisatie Informatieveiligheid & Privacy 2022 - SWO v6.0d

2

2.

Organisatie van de informatieveiligheid

Doelstelling Het benoemen van het eigenaarschap van de bedrijfsprocessen met bijbehorende informatieprocessen en/of (informatie)systemen en het verankeren van de hieraan verbonden verantwoordelijkheden. [5.1.1 en 6.1.1] Toelichting Het moet duidelijk wie verantwoordelijk is voor welk onderdeel van informatieveiligheid. Resultaat Verankering in de organisatie van verantwoordelijkheden, taakomschrijvingen en coördinatie- en rapportagemechanismen met betrekking tot informatieveiligheid. Verantwoordelijkheden/rollen Zie Bijlage 2: RASCI Verantwoordelijkheden BIO Controls [6.1.1.2]

2.1

Verantwoordelijkheidsniveaus binnen de organisatie

Binnen de organisatie worden (in lijn met geldende wet- en regelgeving) de volgende verantwoordelijkheids- en takenniveaus met betrekking tot informatieveiligheid onderscheiden: 2.1.1 Controle en toetsing door de Raad De gemeenteraad draagt een specifieke bevoegdheid voor de controle en de toetsing op de werking van beleid binnen de gemeente, zo ook voor informatieveiligheid. Het college van B&W legt in lijn met de P&C-cyclus jaarlijks verantwoording af aan de Raad, door middel van een rapportage over de zelfevaluatie ENSIA, de zelfevaluatie BRP & Reisdocumenten, de Collegeverklaring ENSIA (met betrekking tot de DigiD-aansluitingen en het gebruik van Suwinet, waarop door een auditor assurance wordt afgegeven). Daarnaast wordt dit verantwoord in de jaarrekening een passage over informatieveiligheid in de paragraaf bedrijfsvoering. [18.2.2.1] 2.1.2 Beleidsbepalende/coördinerende verantwoordelijkheden college Het college van B&W draagt de (politieke) eindverantwoordelijkheid voor een passend niveau van informatieveiligheid. Het college stelt de kaders vast ten aanzien van informatieveiligheid op basis van landelijke en Europese wet- en regelgeving. De burgemeester is portefeuillehouder voor informatieveiligheid.

2.1.3 Gedelegeerde verantwoordelijkheden en taken directie De implementatie en borging van de informatieveiligheid is door het college van B&W gedelegeerd aan de directie van de SWO. De directie stelt in overleg met het management en de Chief Information Security Officer het gewenste niveau van informatieveiligheid vast voor de organisatie. De beveiligingseisen worden per bedrijfsproces en/of -systeem vastgesteld. De directie is verantwoordelijk1 voor de juiste implementatie van de beveiliging in de bedrijfsprocessen en in de in- en externe (informatie)systemen en wijst voor ieder (informatie)systeem een procesverantwoordelijke of systeemeigenaar (deze is verantwoordelijk voor het stellen van eisen aan een systeem en de inrichting van de controle hierop, zodat voldaan wordt aan het informatieveiligheidsbeleid en aan de wettelijke eisen) aan. [8.1.2]

1

Zie https://www.informatiebeveiligingsdienst.nl/wp-content/uploads/2018/10/Factsheet-lijnmanager-v1.0.pdf

Organisatie Informatieveiligheid & Privacy 2022 - SWO v6.0d

3

De directie heeft in ieder geval de volgende verantwoordelijkheden: • Het stellen van tactische en operationele kaders en het geven van sturing ten aanzien van informatieveiligheid; • Het sturen op risico’s omtrent informatieveiligheid; • Periodiek evalueren van beleidskaders en deze (laten) bijstellen waar nodig; • Het (laten) controleren of de getroffen veiligheidsmaatregelen overeenstemmen met de betrouwbaarheidseisen en of deze veiligheidsmaatregelen voldoende bescherming bieden; • Het beleggen van de verantwoordelijkheid voor de organisatie van informatieveiligheid, informatieveiligheidscomponenten en -systemen; • Het inrichten van functiescheiding tussen uitvoerende, controlerende en beleidsbepalende taken met betrekking tot informatieveiligheid om fraude en/of fouten te voorkomen; • De directie rapporteert minimaal eenmaal per jaar aan het college over informatieveiligheid en privacy. De verantwoordelijkheden per BIO-control staan beschreven in Bijlage 2. 2.1.4 Verantwoordelijkheden en taken management De managers zijn eigenaar van en integraal verantwoordelijk voor de (informatie)veiligheid en privacy van de informatieprocessen en -systemen binnen hun organisatieonderdeel.

Zij hebben in ieder geval de volgende verantwoordelijkheden: • Het (laten) classificeren van opgeslagen data in informatiesystemen en gegevensverzamelingen; • Medewerkers attenderen op hun verantwoordelijkheid ten aanzien van informatieveiligheid in hun dagelijkse werkprocessen; • Het (laten) uitvoeren van maatregelen uit de informatieveiligheidsanalyse die op het organisatieonderdeel van toepassing zijn; • Het (laten) opstellen van betrouwbaarheidseisen voor de informatiesystemen binnen het organisatieonderdeel; • De keuze, de implementatie en het uitdragen van de maatregelen die voortvloeien uit de betrouwbaarheidseisen; • Het sturen op beveiligingsbewustzijn, bedrijfscontinuïteit en op naleving van regels en richtlijnen; • Het (laten) oplossen van Incidenten met betrekking tot informatieveiligheid [16.1.2.5]; • Het expliciet (laten) volgen van wettelijke statutaire, regelgevende, contractuele eisen en het vaststellen van de aanpak van de organisatie om aan deze eisen te voldoen moeten voor elk informatiesysteem (een samenhangende, gegevensverwerkende functionaliteit voor de besturing of ondersteuning van één of meer bedrijfsprocessen) en de organisatie [18.1.1]; • Het waarborgen van privacy en bescherming van persoonsgegevens conform relevante wet- en regelgeving [18.1.4]; • Opdrachtgeven tot en toezien op het uitvoeren van periodieke beveiligingsaudits; • Het rapporteren

over compliance (voldoen) aan wet- en regelgeving en algemeen beleid van de organisatie in de P&C rapportages, minimaal eenmaal per jaar. De verantwoordelijkheden per BIO-control staan beschreven in Bijlage 2.

Organisatie Informatieveiligheid & Privacy 2022 - SWO v6.0d

4

2.1.5 Functionaris Gegevensbescherming (FG) De FG is conform de Algemene Verordening Gegevensbescherming (AVG) de interne, onafhankelijke toezichthouder op de verwerking van persoonsgegevens binnen de organisatie. [18.1.4.1] De FG heeft de volgende kerntaken2 (AVG art 39), vertaald naar de situatie bij de organisatie: 1. Adviseren 2. Toezien op naleving 3. Samenwerking met en contactpunt van de Autoriteit Persoonsgegevens (hierna: AP) 4. Optreden als contactpunt voor betrokkenen De specifieke taken zijn onder andere: • Toezien op naleving van zowel de AVG en andere wetten met betrekking tot gegevensbescherming als het beleid met betrekking tot de bescherming van persoonsgegevens van de verwerkingsverantwoordelijke of de verwerker. Hierbij hoort tevens toewijzing van verantwoordelijkheden, bewustmaking en opleiding van de bij de verwerking betrokken personeel en de betreffende audits; • Informeren en adviseren van de verwerkingsverantwoordelijke en haar medewerkers over hun verplichtingen op grond van de AVG, de Uitvoeringswet AVG en andere privacywetgeving; • Gevraagd en ongevraagd advies geven van laag tot hoog in de organisatie: aan medewerkers, afdelingshoofden, directie, het managementteam en de verwerkingsverantwoordelijke(n), zoals het college van B&W. De FG is vertrouwenspersoon binnen de organisatie.

Ook is de FG sparringpartner, bijvoorbeeld voor het college of de portefeuillehouder privacy (burgemeester); • Verslag uitbrengen aan het college van B&W over de stand van zaken ten aanzien van privacy compliance bij de organisatie; • Desgevraagd adviseren omtrent gegevensbeschermingseffectbeoordeling, ook wel Data Protection Impact Assessment (DPIA) genoemd, en toezien op de uitvoering daarvan; • Toezicht houden op de registraties en afhandeling van beveiligingsincidenten waarbij persoonsgegevens betrokken zijn en toezicht houden op het melden van een datalek bij de Autoriteit Persoonsgegevens en bij de betrokkenen. • Samenwerken met/als contactpunt optreden voor de Autoriteit Persoonsgegevens; • Periodiek vindt er overleg plaats tussen de OR en de FG; • Periodiek worden gegevensverwerkingen geëvalueerd en is de naleving van de AVG aangetoond. De FG heeft hiervoor een toezichtsplan waarin is opgenomen op welke wijze controle zal plaatsvinden De FG heeft een toezichthoudende taak met betrekking tot privacy, vergelijkbaar met de taak van Controller Informatieveiligheid met betrekking tot informatieveiligheid. De verantwoordelijkheden per BIO-control staan beschreven in Bijlage 2.

2

Zie ook Handreiking positionering en taken van de FG - IBD v2.2 (16 juni 2020)

Organisatie Informatieveiligheid & Privacy 2022 - SWO v6.0d

5

2.1.6 Chief Information Security Officer (CISO) Er is een Chief Information Security Officer (CISO) aangewezen door directie op basis van een vastgesteld profiel. [6.1.1.2; 6.1.1.3; 6.1.1.4] Deze rol is namens directie op strategisch en organisatieniveau verantwoordelijk voor het actueel (laten) houden van het informatieveiligheidsbeleid, het (laten) coördineren van de uitvoering van het beleid, het beheersen van risico’s overeenkomstig de behoeften en de risicobereidheid van de organisatie, evenals het rapporteren aan college en directie. De CISO heeft onder andere de volgende verantwoordelijkheden: • Ondersteunt de directie met kennis over informatieveiligheid, zodat zij hun verantwoordelijkheid voor de betrouwbaarheid van de informatievoorziening juist kunnen invullen; • Geeft gevraagd én ongevraagd advies over informatieveiligheid; • (Laten) opstellen, bijstellen, vernieuwen en herzien van het informatiebeveiligingsbeleid en de daaruit voortvloeiende plannen; • Het (laten) inrichten van de informatiebeveiligingsorganisatie; • Afstemming van informatieveiligheid met andere beveiligingsdomeinen; • Het toezien op naleving van de eisen voor informatiebeveiliging; • Het bevorderen van het informatiebeveiligingsbewustzijn; • De voorbereiding op toekomstige informatiebeveiligingsrisico’s en ICTbeveiligingsrisico’s op basis van het dreigingsbeeld Nederlandse Gemeenten; • Het

adviseren bij en begeleiden van informatierisicoanalyses; • Volgt de externe invloeden die van invloed zijn op het informatieveiligheidsbeleid en de informatieveiligheidsanalyse. De verantwoordelijkheden per BIO-control staan beschreven in Bijlage 2. 2.1.7 Information Security Officer (ISO) De Information Security Officer (ISO) ondersteunt de CISO. De rol van ISO is op tactisch verantwoordelijk voor het actueel houden van het informatieveiligheidsbeleid, het coördineren van de uitvoering van het beleid, het adviseren bij projecten, het beheersen van risico’s, evenals het opstellen van rapportages voor de eenheden.

De ISO heeft de volgende verantwoordelijkheden: ● (Mede)opstellen en actualiseren van informatieveiligheidsbeleid; ● Coördineert de uitvoering van de informatieveiligheidsanalyse en zorgt voor de actualisatie hiervan; ● Coördineert de prioritering van informatieveiligheidsmaatregelen uit de informatieveiligheidsanalyse en de uitvoering van het actieplan informatieveiligheid; ● Ondersteunt het management met kennis over informatieveiligheid, zodat zij hun verantwoordelijkheid voor de betrouwbaarheid van de informatievoorziening juist kunnen invullen; ● Is het aanspreekpunt voor medewerkers van de organisatie over het onderwerp informatieveiligheid; ● Volgt de externe invloeden die van invloed zijn op het informatieveiligheidsbeleid en de informatieveiligheidsanalyse; ● Het organiseren van het vergroten van het informatiebeveiligingsbewustzijn; ● Houdt de registratie van veiligheidsincidenten bij in een incidentenregister en is verantwoordelijk voor de juiste afhandeling en evaluatie van incidenten; ● Ondersteunt de managers bij het maken van de rapportage over de informatieveiligheid van het organisatieonderdeel in de betreffende P&C-documenten; ● Treedt op als Coördinator Informatieveiligheid en is in die rol verantwoordelijk voor de uitvoering van de zelfevaluatie ENSIA en is contactpersoon richting de ENSIAuitvoeringsorganisatie; ● Onderhoudt contact met de

Informatiebeveiligingsdienst (IBD); ● Rapporteert over de informatieveiligheid van de organisatie aan de CISO. De verantwoordelijkheden per BIO-control staan beschreven in Bijlage 2. Organisatie Informatieveiligheid & Privacy 2022 - SWO v6.0d

6

2.1.8 Privacy Officer (PO) Deze rol (ook wel Privacybeheerder Algemeen genoemd) is gericht op de coördinatie, uitvoering en de naleving van de Algemene Verordening Gegevensbescherming (AVG). Deze functionaris adviseert over privacybescherming en over activiteiten ter bescherming van persoonsgegevens in het kader van de AVG en BIO. De Privacy Officer heeft in ieder geval de volgende verantwoordelijkheden: • Beoordelen van de verwerking van persoonsgegevens tegen de achtergrond van de kaders van privacywetgeving en adviseert het management bij wijzigingen in procesuitvoering, bedrijfsvoering en de toepassing van een privacy impact assessment; • Als adviserend lid deelnemen aan programma’s en projecten waarvan het resultaat gevolgen kan hebben voor de wijze van verwerking van persoonsgegevens; • Uitleggen van de privacy voorschriften in de AVG, en daarnaast in de sectorale wetgeving; • Het adviseren en ondersteunen bij de behandeling van datalekken; • Informeren en het verzorgen van meldingen bij de FG en/of Autoriteit Persoonsgegevens; • Coördineren van verzoeken om inzage, correctie en verzet ten aanzien van persoonsgegevens en adviseren over de afhandeling; • Coördineren, (laten) samenvoegen en openbaar maken van de overzichten van gegevensverwerkingen die worden aangeleverd door de organisatie; • Contactpersoon binnen de organisatie omtrent privacy; • Beheer en onderhoud van

de standaarddocumenten voor verwerkersovereenkomsten, convenanten en reglementen; • Adviseren en ondersteunen bij het besluitvormingsproces en het afsluiten van verwerkersovereenkomsten en convenanten en de vaststelling van reglementen. De verantwoordelijkheden per BIO-control staan beschreven in Bijlage 2. 2.1.9 Controller Informatieveiligheid Deze rol is op organisatieniveau verantwoordelijk voor het verbijzonderde toezicht op de naleving van het informatieveiligheidsbeleid, de realisatie van voorgenomen veiligheidsmaatregelen en de escalatie van beveiligingsincidenten. De Controller Informatieveiligheid is in ieder geval verantwoordelijk voor: • De periodieke toetsing op de juiste naleving, de werking, de effectiviteit en de kwaliteit van de maatregelen ten aanzien van informatieveiligheid. Dit wordt gedaan in samenwerking met de CISO en ISO; • Toezicht op de voortgang van het uitvoeren van de maatregelen uit de informatieveiligheidsanalyse en actieplan informatieveiligheid; • Toezicht op de periodieke actualisatie van het informatieveiligheidsbeleid en de informatieveiligheidsanalyse; • Toezicht op de bewaking van het niveau van informatieveiligheid; • Toezicht op de toetsing van evaluatieproces van beveiligingsincidenten; • De rapportage van bevindingen aan de directie. Deze rol van control heeft op twee specifieke deelgebieden een voorgeschreven benaming.

Dit betreft het gebied van reisdocumenten en rijbewijzen: • Beveiligingsfunctionaris reisdocumenten • Beveiligingsfunctionaris rijbewijzen De verantwoordelijkheden per BIO-control staan beschreven in Bijlage 2.

Organisatie Informatieveiligheid & Privacy 2022 - SWO v6.0d

7

2.1.10 Beveiligingsbeheerder Deze rol is verantwoordelijk voor het beheer, de coördinatie en advies ten aanzien van de informatieveiligheid binnen een specifiek deelgebied. In wetgeving worden verschillende benamingen aan rollen gegeven voor veelal dezelfde taken en verantwoordelijkheden ten aanzien van specifieke gegevensverzamelingen. Om eenduidigheid in naamgeving te verkrijgen wordt in dit document de veiligheidsverantwoordelijkheid ten aanzien van een specifieke gegevensverzameling toegewezen aan en gedefinieerd als beveiligingsbeheerder. De deelgebieden waarbij een beveiligingsbeheerder is aangewezen, zijn: DigiD, BRP, BAG, BRO, BGT, WOZ, HRM, ICT, Waardedocumenten (officieel Autorisatiebevoegde Reisdocumenten/Aanvraag-stations en Autorisatiebevoegde Rijbewijzen), SUWI (officieel Security Officer SUWI), Facilitaire Zaken, DigiD/Web en Archief. Specifiek verplichte rollen Beveiligingsbeheer: ● Autorisatiebevoegde Reisdocumenten/Aanvraagstations: Verantwoordelijk voor het beheer van de autorisaties (het toekennen van rechten in informatiesystemen aan personen of groepen) voor de reisdocumentenmodules (RAAS en aanvraagstations). ● Autorisatiebevoegde Rijbewijzen: Verantwoordelijk voor het beheer van de autorisaties voor rijbewijzen, inclusief aanmelding bij de RDW.

De beveiligingsbeheerder is voor het toegewezen deelgebied verantwoordelijk voor het geheel van activiteiten gericht op de toepassing en naleving van de maatregelen en procedures die voortkomen uit het informatieveiligheidsbeleid, inclusief de maatregelen die op de audit en zelfevaluatie onderdelen gelden. De verantwoordelijkheden per BIO-control staan beschreven in Bijlage 2. 2.1.11 Beveiligingsbeheerder SUWI De Beveiligingsbeheerder SUWI (ook wel: Security Officer SUWI) beheert beveiligingsprocedures en -maatregelen in het kader van Suwinet, zodanig dat de beveiliging van Suwinet overeenkomstig wettelijke eisen wordt geïmplementeerd. De Beveiligingsbeheerder SUWI bevordert en adviseert management en medewerkers over de beveiliging van Suwinet, verzorgt rapportages over de status, controleert deze evenals de beveiliging van Suwinet en ziet erop toe of de maatregelen worden nageleefd. Het evalueren van de uitkomsten, advies geven hierover en het doen van voorstellen tot implementatie c.q. aanpassingen van plannen op het gebied van de beveiliging van Suwinet, behoort ook tot zijn takenpakket. De Beveiligingsbeheerder SUWI heeft wat betreft rapportages formeel gezien een bijzondere rol. Hij rapporteert namelijk rechtstreeks aan de verantwoordelijke.

De beveiligingsbeheerder SUWI heeft in ieder geval de volgende verantwoordelijkheden: • Bevordert de beveiliging van Suwinet; • Ziet erop toe dat de beveiligingsmaatregelen worden nageleefd; • Adviseert en informeert medewerkers en management; • Doet voorstellen tot implementatie c.q. aanpassing van plannen op het gebied van de beveiliging van Suwinet; • Evalueert de uitkomsten van verbetermaatregelen; • De Beveiligingsbeheerder SUWI verzorgt minimaal tweemaal per jaar een rapportage met betrekking tot de beveiligingsstatus van Suwinet aan het hoogste management. De Beveiligingsbeheerder SUWI vraagt daarnaast meerdere keren per jaar een rapportage op bij het BKWI over het gebruik van Suwinet door de organisatie.

Organisatie Informatieveiligheid & Privacy 2022 - SWO v6.0d

8

Rol- en functiescheiding en autorisatie tot Suwinet Onderdeel van een rechtmatig en veilig gebruik van Suwinet is het gescheiden beleggen van taken en verantwoordelijkheden. Hiervoor zijn de volgende functiescheidingen aangebracht: • Het management Sociaal Domein • De gebruikers van Suwinet • De functioneel applicatiebeheerder Suwinet • Beveiligingsbeheerder SUWI • De technisch applicatiebeheerder Het management binnen het Sociaal Domein is verantwoordelijk voor de aanvraag van mutaties in geval van instroom, doorstroom en uitstroom. Deze aanvraag wordt door de Beveiligingsbeheerder SUWI beoordeeld en gecontroleerd. De Beveiligingsbeheerder SUWI gaat hierbij na of de gevraagde autorisatie overeenkomt met de uit te voeren functie/rol. Indien de Beveiligingsbeheerder SUWI akkoord is, wordt de aanvraag door de Beveiligingsbeheerder SUWI aangeleverd bij de applicatiebeheerder SUWI, die de autorisaties en toegang inclusief wachtwoorden in orde maakt. Het technisch applicatiebeheer zorgt voor de technische aansluiting-, werking- en beveiliging van Suwinet. 2.1.12 Verantwoordelijkheid overstijgende (informatie)systemen (Informatie)systemen die door meerdere organisatieonderdelen of de gehele organisatie gebruikt worden, worden onder verantwoordelijkheid van de manager bedrijfsvoering gefaciliteerd en onderhouden.

De manager bedrijfsvoering is systeem- en contracteigenaar van deze (informatie)systemen. Deze informatiesystemen bevatten gegevens die door meerdere organisatieonderdelen worden vastgelegd. De manager bedrijfsvoering draagt er zorg voor dat bij het gebruik ervan de wettelijke eisen en de voorschriften worden nageleefd en dat de verantwoordelijkheden voor beveiliging voor alle betrokken partijen duidelijk omschreven zijn. De verantwoordelijke maakt minimaal de volgende schriftelijk afspraken met het organisatieonderdeel of de externe organisatie die van het informatiesysteem gebruik maakt: • Voorwaarden voor het toegestane gebruik van het overstijgend (informatie)systeem; • De verantwoordelijkheden van de gebruikende partij binnen zijn organisatieonderdeel voor de gegevens uit informatiesysteem; • Voorwaarden met betrekking tot de bescherming van het verwerken van persoonsgegevens; • Voorwaarden die de gebruikende partij verplichten voorzieningen te treffen voor een passend niveau van informatieveiligheid; • Procedure(s) betreffende autorisatie van medewerkers; • Procedure(s) betreffende toezicht op de naleving van afspraken en oplossen van eventuele geschillen; • Het recht op inzage in de resultaten van de externe audits en zelfevaluaties bij de gebruikende partij waaruit blijkt in welke mate deze aan het gemeentelijk informatieveiligheidsbeleid voldoet.

Organisatie Informatieveiligheid & Privacy 2022 - SWO v6.0d

9

2.1.13 Privacybeheerder Basisregistratie Personen (BRP) De Privacybeheerder BRP voorziet in: • De advisering over de afhandeling van verzoeken om inzage van organen van de gemeente of op verzoeken van derden genoemd in artikel 3.6 Wet BRP en de bij verordening Gegevensverstrekking basisregistratie personen genoemde derden; • De afhandeling van de verzoeken om inzage overeenkomstig art. 2.55 van de Wet BRP (inzage); • De behandeling van alle verzoeken om geheimhouding die op basis van art. 2.59 van de wet BRP ingediend worden en doet eventueel de privacy toets van art. 3.21 lid 2; • De afhandeling van verzoeken om inzage in verstrekkingen aan overheidsorganen en derden; De privacybeheerder is betrokken bij alle bezwaarschriftenprocedures die voortvloeien uit genomen beslissingen op grond van de wet en daarbij behorende regelingen en de Algemene verordening gegevensbescherming voor zover hierbij privacyaspecten aan de orde zijn. 2.1.14 Functioneel Applicatiebeheerder (FAB) Verantwoordelijk voor het geheel van activiteiten gericht op het functioneel inrichten en ondersteunen van de hem toegewezen informatiesystemen/applicatie(s) en de waarborging van continuïteit aan de gebruikerszijde.

De FAB heeft daarbij de volgende taken: • Verstrekken van adviezen aan de systeemeigenaar over het te voeren beleid met betrekking tot het informatiesysteem/de applicatie; • Zorg dragen voor de beschikbaarheid en kwaliteit van het informatiesysteem / de applicatie; • Optreden als intermediair tussen gebruikers, het management en automatiserings- en informatiedeskundigen met betrekking tot het informatiesysteem/de applicatie; • Signaleren van de behoefte aan uitbreiding van hard- en/of software; • Is betrokken in geval van daadwerkelijke uitwijk van het desbetreffende informatiesysteem/applicatie; • Signaleren van het onjuist omgaan met het informatiesysteem/de applicatie; • Zorg dragen voor de tijdige en kwalitatief goede verwerking en oplevering van gegevens met behulp van het informatiesysteem/de applicatie; • Het verzorgen van de implementatie, test en acceptatie van hot fixes, patches, updates en nieuwe releases van het informatiesysteem/ de applicatie. De FAB heeft hierbij het mandaat (namens de systeemeigenaar, zonder uitdrukkelijke toestemming per wijziging) hot fixes en patches te implementeren, testen en laten accorderen door (een vertegenwoordiger van) de gebruikersorganisatie.

Voor grotere updates en nieuwe releases is uitdrukkelijk toestemming van de systeemeigenaar vereist; • Bewaken van een juiste toepassing van de gebruikersprocedures ten aanzien van het informatiesysteem/de applicatie; • Betrokken bij of verzorgen van de training en begeleiding van de medewerkers op het gebied van het informatiesysteem/de applicatie; • Beheren en onderhouden van de bij het informatiesysteem/de applicatie behorende gebruikersdocumentatie.

Organisatie Informatieveiligheid & Privacy 2022 - SWO v6.0d

10

2.1.15 Gegevensbeheerder Verantwoordelijk voor het geheel van activiteiten gericht op de inhoudelijke kwaliteitszorg betreffende het gegevens verzamelen, de gegevensverwerking en de informatievoorziening: • De juistheid, actualiteit en betrouwbaarheid van de gegevens die opgenomen zijn of worden in de basisregistraties; • Het beheer van documentatie op het gebied van de basisregistraties; • De communicatie met de afnemers en andere houders van basisregistraties over gegevensverwerking; • Het verwerken van complexe mutaties en correcties met betrekking tot de basisregistraties; • Het uitzetten van richtlijnen met betrekking tot het actualiseren en corrigeren van gegevens; • De gegevensbeheerder is bevoegd in overleg met de applicatiebeheerder de gegevensverwerkers aanwijzingen te geven betreffende de opname en bijhouding van gegevens in de gemeentelijke basisadministratie persoonsgegevens. Het gegevensbeheer kan decentraal belegd worden. 2.1.16 Informatiebeheerder Rijksdienst voor Identiteitsgegevens (RvIG) De SWO erkent de rol van Informatiebeheerder zoals het RvIG die hanteert. Deze rol wordt qua takenpakket volledig ondergebracht bij de ISO. 2.1.17 Informatiebeheerder BRP De SWO erkent de rol van Informatiebeheerder zoals deze wordt gehanteerd in de Zelfevaluatie BRP.

De informatiebeheerder is leidinggevende van het betreffende organisatieonderdeel en bepaalt in het kader van de informatieveiligheid het volgende: • Het beleid en de keuze rondom de bedrijfsproces ondersteunende applicatie(s) ten behoeve van de BRP; • Wie de taken van applicatiebeheer BRP, gegevensbeheer en de gegevensverwerking BRP uitvoeren; • Het niveau van autorisatie voor de eindgebruikers voor de BRP-applicatie(s); • Het aan de medewerkers verlenen van het recht om hun ervaringen rondom aspecten van beveiliging aan de orde te stellen; • Het onderwerp informatieveiligheid tenminste eenmaal per jaar te agenderen op het reguliere werkoverleg van de betrokken teams; • Het verplichten van medewerkers van tot het direct melden van onregelmatigheden met betrekking tot de informatieveiligheid; • Het aanspreken van medewerkers van op geconstateerd onzorgvuldig gedrag in relatie tot informatieveiligheid en het zo nodig voorstellen van disciplinaire maatregelen; • Alle medewerkers van in de gelegenheid stellen om aan relevante trainingscursussen deel te nemen, welke door deskundigen worden verzorgd, een en ander ter bevordering van de informatieveiligheidsbewustwording; • De gelegenheid bieden aan medewerkers tot het volgen van cursussen, trainingen en opleidingen in het kader van informatieveiligheid en dit bevorderen.

De informatiebeheerder BRP kan de uitvoering van hiervoor genoemde taken geheel of gedeeltelijk delegeren aan de daartoe in de Beheerregeling BRP aangewezen medewerkers. Deze rol wordt qua takenpakket volledig ondergebracht bij het afdelingshoofd Burgerzaken.

Organisatie Informatieveiligheid & Privacy 2022 - SWO v6.0d

11

2.1.18 Beveiligingsfunctionaris Reisdocumenten De Beveiligingsfunctionaris Reisdocumenten wordt conform de Paspoortuitvoeringsregeling Nederland 2001 (art 93, PUN 2001) benoemd door de burgemeester. De verantwoordelijkheden bij deze rol zijn het coördineren en aansturen van beveiligingsprocessen, het beheer van beveiligingsprocedures in het kader van reisdocumenten en (het organiseren van) de controle op de veiligheid van reisdocumenten. Vanwege functiescheiding kan deze rol niet worden belegd bij een medewerker in het primaire proces. Deze functionaris legt rechtstreeks verantwoording af aan de burgemeester. De taken en verantwoordelijkheden van deze functionaris zijn in een rolbeschrijving opgenomen (zie bijlage Rolbeschrijving Beveiligingsfunctionaris Reisdocumenten). Binnen de organisatie informatieveiligheid wordt deze rol volledig ondergebracht bij de Beveiligingsbeheerder BRP. 2.1.19 Beveiligingsfunctionaris Rijbewijzen De Beveiligingsfunctionaris Rijbewijzen wordt conform artikel 128, lid 6 van het Reglement Rijbewijzen door de burgemeester aangewezen. Deze Beveiligingsfunctionaris Rijbewijzen is aangesteld voor het beheer van en het toezicht op de naleving van de veiligheidsprocedures betrekking hebbend op de rijbewijzen. De Beveiligingsfunctionaris Rijbewijzen is rechtstreeks verantwoording verschuldigd aan de burgemeester.

De Beveiligingsfunctionaris rijbewijzen is onafhankelijk van de taken en werkprocessen met betrekking tot het beheer en de uitgifte van rijbewijzen en heeft voldoende mogelijkheden om zijn taken goed te kunnen vervullen. De taken en verantwoordelijkheden van deze functionaris zijn in een rolbeschrijving opgenomen (zie bijlage Rolbeschrijving Beveiligingsfunctionaris Rijbewijzen). Binnen de organisatie informatieveiligheid wordt deze rol volledig ondergebracht bij de Beveiligingsbeheerder BRP. 2.1.20 Autorisatiebevoegde Reisdocumentenstation De Autorisatiebevoegde Reisdocumentenstation wordt conform de Paspoortuitvoeringsregeling Nederland 2001 (art 79, PUN 2001) benoemd door de burgemeester. De Autorisatiebevoegde Reisdocumentenstation is rechtstreeks verantwoording verschuldigd aan de burgemeester. Deze rol is verantwoordelijk voor het beheer van de autorisaties voor de reisdocumentenmodules (RAAS). RAAS zorgt voor communicatie tussen de organisatie en de verstrekkende partij van reisdocumenten. De taken en verantwoordelijkheden van deze functionaris zijn in een rolbeschrijving opgenomen (zie bijlage Rolbeschrijving Autorisatiebevoegde Reisdocumentenstation en Aanvraagstations). 2.1.21 Autorisatiebevoegde Aanvraagstation De Autorisatiebevoegde Aanvraagstation wordt conform de Paspoortuitvoeringsregeling Nederland 2001 (art 79, PUN 2001) benoemd door de burgemeester.

De Autorisatiebevoegde Aanvraagstation is rechtstreeks verantwoording verschuldigd aan de burgemeester. Het aanvraagstation zorgt voor communicatie tussen aanvrager van reisdocument en gemeentelijke informatiesystemen (BRP). Het takenpakket van de Autorisatiebevoegde Aanvraagstation is overeenkomstig de gebruikershandleiding bij het aanvraagstation bedoeld in artikel 87 van de PUN. De taken en verantwoordelijkheden van deze functionaris zijn in een rolbeschrijving opgenomen (zie bijlage Rolbeschrijving Autorisatiebevoegde Reisdocumentenstation en Aanvraagstations).

Organisatie Informatieveiligheid & Privacy 2022 - SWO v6.0d

12

2.1.22 Autorisatiebevoegde Rijbewijzen De Autorisatiebevoegde Rijbewijzen is de medewerker die bevoegd is om de autorisaties voor rijbewijzen te beheren, dat wil zeggen dat hij onder andere autorisaties toekent, beëindigt, wijzigingen aanmeldt bij de RDW, registreert aan wie deze autorisaties zijn verstrekt en toezichthouden op het zorgvuldig gebruik van deze autorisaties. De Autorisatiebevoegde Rijbewijzen is rechtstreeks verantwoording verschuldigd aan de burgemeester. De taken en verantwoordelijkheden van deze functionaris zijn in een rolbeschrijving opgenomen (zie bijlage Rolbeschrijving Autorisatiebevoegde Rijbewijzen). 2.1.23 Toezichthouder voor handhaving Wet BRP In artikel 4.2 Wet BRP staat vermeld dat het college van burgemeester en wethouders ambtenaren aanwijst die belast zijn met het toezicht op de naleving van de verplichtingen van de burger ingevolge hoofdstuk 2, afdeling 1, paragraaf 5 (de verplichtingen van de burger). Zij zijn bevoegd om op grond van artikel 5:48 Awb een rapport op te maken tijdens het proces "Opleggen bestuurlijke boete". Een toezichthouder maakt hier alleen gebruik van voor zover dat redelijkerwijs voor de vervulling van zijn taak nodig is (artikel 5:13 Awb) Een toezichthouder heeft bevoegdheden, die een medewerker belast met de uitvoering van de wet BRP niet heeft. Deze bevoegdheden staan vermeld in de artikelen 5:15-5:19 Awb.

De toezichthouder moet zich legitimeren met een speciaal identiteitsbewijs met daarop hun foto, naam en functie. Het beoogde effect is, om een zo betrouwbaar mogelijke Basisregistratie personen (BRP) te hebben. Een goede basisregistratie is van belang voor de inwoner, de gebruikers en de gemeente. 2.1.24 Medewerkers Alle medewerkers dragen verantwoordelijkheid voor de veiligheid van de activiteiten die behoren tot hun eigen functie en taken. Ze betrachten zorgvuldigheid en discipline bij het omgaan met informatie en (informatie)systemen. Ze zijn zich bewust van de eisen ten aanzien van de betrouwbaarheid, de integriteit, de beschikbaarheid en de controleerbaarheid van de informatieprocessen waarbij ze zijn betrokken. In het tactisch informatieveiligheidsbeleid zijn gedragsregels in het kader van informatieveiligheid uitgewerkt. Iedere medewerker wordt geacht deze gedragsregels te kennen en uit te dragen bij het uitoefenen van de functie.

Organisatie Informatieveiligheid & Privacy 2022 - SWO v6.0d

13

2.2

De organisatie informatieveiligheid & privacy

Alle rollen van 2.1.1 t/m 2.1.11 vormen samen de gehele organisatie rondom informatieveiligheid. In de afbeelding hieronder is dit grafisch weergegeven. De lijnorganisatie (van raad tot en met afdelingshoofden/teamleiders) is verantwoordelijk voor de borging van informatieveiligheid & privacy en wordt daarbij ondersteund door diverse functionarissen in de organisatie.

2.3

Crisisbeheersing

Voor algehele crisisbeheersing voor de bedrijfsvoering is binnen de SWO een intern Crisis Beheerteam (CBT) samengesteld. Dit team komt bij elkaar in geval van calamiteiten. Een calamiteit kan (kritische) bedrijfsprocessen of informatiesystemen verstoren, waardoor maatregelen moeten worden genomen om het oorspronkelijke werkingsniveau te herstellen. De criteria voor de handels- en werkwijze tijdens grote incidenten of calamiteiten zijn uitgewerkt in het Bedrijfscontinuïteitsplan (BCP) van de SWO. In het BCP is ook de crisisorganisatie beschreven met de bijbehorende taken en bevoegdheden.

Organisatie Informatieveiligheid & Privacy 2022 - SWO v6.0d

14