Bijlage 4 Rapportage Informatiebeveiliging 2023

Rapportage Informatiebeveiliging 2023

CISO gemeente Hoeksche Waard, April 2024

26-04-2024 | Versie 1.0

Inhoudsopgave Doel en wettelijk kader .......................................................................................................................................................2 Doel.................................................................................................................................................................................2 Wettelijk kader................................................................................................................................................................2 Leeswijzer ...........................................................................................................................................................................2 Ambitie................................................................................................................................................................................3 Terugblik .............................................................................................................................................................................3 Wat wilden we bereiken? ...............................................................................................................................................3 Wat hebben we bereikt?

................................................................................................................................................4 Invoering van de de opvolger van Key 2Control gaat door.............................................................................................5 Resultaten uit de BIO-Meting .............................................................................................................................................6 Gemeente Hoeksche Waard ten opzichte van de vorige metingen............................................................................8 Volwassenheidsniveau informatiebeveiliging.............................................................................................................8 Resultaten in Detail.....................................................................................................................................................9 Resultaat van de ENSIA Cyclus 2023 .............................................................................................................................10 Resultaat op het vlak van privacy .................................................................................................................................10 Afspraken met externe

partijen....................................................................................................................................10 Vooruitblik ........................................................................................................................................................................11 Aanbevelingen uit externe toetsing..............................................................................................................................11 Aanbevelingen van de IT-auditor (ENSIA) .................................................................................................................11 Aanbeveling van de BIO-Auditor...............................................................................................................................11 Komend jaar......................................................................................................................................................................12 Meerjarig...........................................................................................................................................................................12 Informatiebeveiliging ....................................................................................................................................................12 ENSIA blijft het ijkpunt voor

informatiebeveiliging.......................................................................................................13 Contact met de Hoekshe Waarder verbeteren.............................................................................................................13 Van implementatie naar beheer / controle ..................................................................................................................14 Bewustwording en weerbaarheid.................................................................................................................................14 Bijlage: achtergrond & begrippen.....................................................................................................................................15 Bijlage: NIS2, AVG en implementatie................................................................................................................................17 Bijlage: Verbeteragenda BIO.............................................................................................................................................18

Doel en wettelijk kader Doel In dit rapport informeert gemeente Hoeksche Waard u over de ontwikkeling van de informatiebeveiliging bij gemeente Hoeksche Waard. We blikken terug op het afgelopen jaar en kijken vooruit naar de ontwikkelingen in 2024 en de jaren daarna. Dit rapport is onderdeel van de regelgeving rond de Eenduidige Normatiek Single Information Audit (hierna: ENSIA). ENSIA is een systeem van zelfevaluaties op het vlak van informatiebeveiliging. Een belangrijk document wat hieruit voortkomt is een collegeverklaring. Hiermee legt het college verantwoording af aan de raad en aan landelijke toezichthouders. De voorliggende rapportage Informatiebeveiliging is onderdeel van onze onderbouwing bij de collegeverklaring ENSIA, waarin het college aangeeft in welke mate gemeente Hoeksche Waard voor DigiD en Suwinet aan de eisen voldoet. Bij de collegeverklaring horen verantwoordingsrapportages, waaronder dit jaarrapport maar ook verantwoordingsrapportages voor BAG, BGT en BRO, BRP, RNI en de WOZ, die door het college van B&W vastgesteld worden.

Wettelijk kader Een periodieke rapportage aan alle managementlagen over de stand van zaken rond informatiebeveiliging is onderdeel van de Baseline Informatiebeveiliging Overheid (BIO). Met de passage over informatiebeveiliging in de jaarrekening en het onderbouwende rapport dat voor u ligt, verantwoordt het college zich aan de gemeenteraad over informatiebeveiliging in brede zin.

Leeswijzer Het eerste deel van dit rapport wijden we aan het schetsen van het onderwerp. Wat is het en hoe verhoudt de gemeente Hoeksche Waard zich hiertoe. Daarna blikken we terug op het afgelopen jaar over de vooraf gestelde doelen en de behaalde resultaten. In eerste instantie voor de gemeente zelf en daarna waar het gaat om onze partners. We sluiten af met een vooruitblik naar de toekomst, het komende jaar en de langere termijn. Ter ondersteuning vindt u in dit rapport inzicht in de uitkomsten van de BIO-meting 20231 van het normenkader (BIO v.1.4). Hierin is een gap-analyse opgenomen tussen de BIO-normen en de gemeten realiteit. Voor elke norm uit dit normenkader is nagegaan of deze wel of niet van toepassing is voor de gemeente. Als de norm van toepassing is, dan is nagegaan of de norm geheel, deels of niet is geïmplementeerd. In de bijlage zijn de uitgebreide rapportage en de verbeteragenda toegevoegd.

1 BIO-meting 2023: meeting ten opzichte van 2022.

Ambitie De gemeente Hoeksche Waard wil haar volwassenheidsniveau van de informatiebeveiliging verhogen. Wij streven er naar om “in control” te zijn en daarover op professionele wijze verantwoording af te leggen, onder andere via de voorliggende rapportage. ‘In control’ betekent in dit verband dat de gemeente: • weet welke risico's en onzekerheden er bestaan op het terrein van de informatiebeveiliging • daarbij weet welke (passende) maatregelen we nemen • weet wie waar verantwoordelijk voor is • zorgt voor een controleerbare planning van maatregelen die genomen moeten worden • de planning van de implementatie van maatregelen bewaakt • weet in hoeverre de maatregelen effectief zijn • de risico`s die overblijven accepteert. Deze ambitie hoort bij het zijn van een professionele gemeente. Een ambitie die in 2021 door de Nederlandse gemeenten bekrachtigd is, door af te spreken hier de benodigde middelen voor vrij te maken. De bevindingen uit de BIO-meting 2023 wijzen ons er op dat gemeente Hoeksche Waard zwaarder zal moeten inzetten op het verwezenlijken van deze ambitie om volwassenheidsniveau drie te halen. Het team PIV binnen de gemeentelijke organisatie, met hierin ondergebracht de CISO en de FG en Privacy Officers, brengt de oordeelsvormende rol binnen de gemeente meer voor het voetlicht.

Door meer aandacht te geven aan eigenaarschap, opvolging en verantwoording neemt het volwassenheidsniveau van processen toe. Risico gestuurd werken zorgt er voor dat dit zo efficiënt mogelijk wordt ingevuld.

Terugblik Wat wilden we bereiken? In 2023 gebruiken we het PIV-werkplan 2023 met daarin het activiteitenoverzicht en de planning als leidraad voor onze activiteiten. De benodigde acties zijn gestart, onderweg dan wel afgerond. Er zijn acties die langer dan een jaar door lopen. In het kader van het verhogen van de awareness binnen Gemeente Hoeksche Waard zijn in 2023 elk kwartaal activiteiten gepland die zorgen dat medewerkers, Teammanagers als ook DT en college bewust worden gemaakt van de actuele zaken die spelen op het gebied van Informatieveiligheid en Privacy. Zo zijn er e-learning modules beschikbaar gesteld via Hoeksche Campus, is er een mysteryguest en phishingtest gepland en hebben we voor de medewerkers van gemeente Hoekche Waard ook op 3 locaties (Maasdam, OudBeijerland en Minsheerenland) een Cybertruck mobiele escparoom gepland. In lijn met het door ontwikkelen/implementeren van het Threelines of defence model binnen Gemeente Hoeksche Waard is dit ook specifiek opgenomen als activiteit om de rollen, verantwoordelijkheden en rechten van de betrokkenen binnen de (bedrijfskritische) applicaties te borgen. Dit is een samenspel met team Informatiemanagement en zal in samenspraak met de TISO verder moeten worden vormgegeven.

Om te begrijpen waar we als Gemeente Hoeksche Waard staan op het gebied van informatiebeveiliging zijn een aantal steekproeven/audits opgenomen in het jaarplan. Dit zijn onder andere de BIO Audit, IT Audit en verfijning van de Dataclassificatie van informatie door een verbinding te maken met Risico Management. De planning wordt in de loop van 2024 verder uitgewerkt. Vervanging van de Key2control ISMS applicatie, hiertoe loopt een aanbesteding.

Wat hebben we bereikt? •

In lijn met de Awareness planning zijn 2 e-learning modules binnen Hoeksche Campus aangezet voor bestaande medewerkers. Binnen het onboarding proces voor nieuwe medewerkers worden tevens twee (verplichte) e-learning modules aangeboden. Sturing op het volgen hiervan is nog niet volledig belegd binnen Gemeente Hoeksche Waard en verdient aandacht.

•

Ook het Mysteryguest-onderzoek is uitgevoerd en hierover is in mei 2023 het rapport over opgeleverd en als definitief door het college vastgesteld. Bevindingen en aanbevelingen ten aanzien van huisvesting zijn samen met de informatiebrief/memo mystery in mei 2023 naar DT en akkoord bevonden. Benodigde acties zijn nog niet allemaal uitgelopen en zullen nog verder moeten vormkrijgen in 2024.

•

In het laatste kwartaal (Q4) hebben we in het kader van de Cybersecurity maand een mobiele Cybertruck Escaperoom op de 3 locaties (Maasdam, Oud-Beijerland en Mijnsheerenland) langs laten komen. De medewerkers van Gemeente Hoeksche Waard die hieraan mee hebben gedaan hebben dit als leuk initiatief ervaren dat passend was bij de Cybersecurity maand. Verbeterpunt blijft wel om te zorgen dat we niet alleen medewerkers maar ook Teammanagers, DT en het College bij deze awareness campagnes blijven betrekken. Mogelijk onderdeel maken van Persoonlijke ontwikkel programma’s of leerdoelen zou een optie kunnen zijn. Voor wat betreft Audits/steekproeven heeft de jaarlijks terug kerende BIO audit/meting medio 2023 plaatsgevonden. De bevindingen en verbeterpunten zijn uitgewerkt in een verbeteragenda die per augustus 2023 beschikbaar was, maar vanwege personele wisselingen niet of onvoldoende belegd geweest. Ook de IT general Audit is wel besproken en voor akkoord bevonden. Hierbij geldt ook dat voor het plannen van deze audit vanwege personele wisselingen de acties in 2024 moeten worden opgepakt.

•

Er is een begin gemaakt met Dataclassificatie van processen en bijbehorende applicaties. Het moet echter wel breder gedragen gaan worden dan de in eerste instantie aangewezen hoog risico applicaties. Gemeente Hoeksche Waard maakt gebruik van 200 applicaties en heeft op dit moment 19 dataclassificaties uitgevoerd. CISO gaat met afdeling IM in overleg om dit proces verder op te laten pakken en te borgen dat de juiste maatregelen kunnen worden ingezet. Dit gebeurt door het voeren van adviesgesprekken, het begeleiden van prestatie dialogen en het toetsen van maatregelen, bijvoorbeeld door het uitvoeren van audits met behulp van het reeds aanwezige en actuele Dataclassificatie format.

•

De aanbesteding voor de vervanging van het huidige GRC-tool Key2control loopt en er zal naar verwachting begin mei 2024 worden gestart met de eerste fase van implementatie. Dit heeft als voordeel dat Governance, Risk en Compliance binnen Gemeente Hoeksche Waard beter geborgd zal worden, beter gestuurd kan worden op activiteiten van en door proceseigenaren en het uitvoeren van interne en externe audits onder toezicht van de CISO en FG beter kunnen worden uitgevoerd.

•

In augustus 2023 is de toen zittende CISO vertrokken en deze rol is in september ad-interim ingevuld. Sinds december 2023 is een nieuwe vast CISO aangenomen. Dit heeft als gevolg gehad dat het oppakken van de aanbevelingen uit de BIO Meting en de daaruit volgende verbeteragenda evenals het nieuw op te leveren Strategisch Informatiebeveiligingsbeleid 2024-2027 pas medio Q2 2024 klaar zijn.

•

De nadruk heeft in beginsel gelegen op de verantwoording van de Ensia 2023, met de wetenschap dat de zittende TISO ook per begin 2024 zou vertrekken. Deze functie is per 1 april 2024 vervuld door een opvolgend medewerker.

In 2023 zijn er 75 beveiligingsincidenten gemeld, 20 daarvan waren datalekken. Van de datalekken zijn er 2 (voorlopig) bij de Autoriteit Persoonsgegevens gemeld (en tevens ingetrokken). Als het gaat om beveiligingsincidenten dan gaat de verkeerd verstuurde mail nog steeds aan kop. Wat afgelopen jaar opviel was het aantal vreemd/niet juist geregistreerde meldingen in Topdesk. Dit zal samen met de nieuwe TISO en IM beter moeten worden vormgegeven. De correctheid van gegevens is door het niet bij zijn van documentatie, het niet bij zijn van de huidige GRC-tool Key2Control en de niet eenduidige wijze van inrichting/aanmelden van tickets in Topdesk een grote puzzel.

Invoering van de de opvolger van Key 2Control gaat door Implementatie taken zullen worden afgestemd vanuit de projectgroep die wordt samengesteld na definitieve gunning van de nieuwe GRC tooling. In Key2control is nu 61% van de maatregelen actief. Dit betekent dat er over het geheel genomen weinig verschil is met het voorgaande jaar. De verklaring hiervoor is dat er veel energie gestoken is en wordt in doorlopen van de aanbesteding. Zodra de nieuwe tool definitief is gegund, kan worden begonnen met het beleggen van maatregelen bij de juiste eigenaren en het toetsen van de uitvoering van maatregelen. Hier zal het komende jaar een verbeterslag op plaats vinden.

Resultaten uit de BIO-Meting De gemeente Hoeksche Waard heeft voor de BIO-toetsing Parell BV gevraagd om de BIO-meting uit te voeren. Op basis van het laatste rapport komt naar voren dat in grote lijnen kan worden gesteld dat er vooruitgang wordt geboekt en verbetering is vastgesteld. Daarbij is het wel van groot belang dat gemeente Hoeksche Waard op 12 van de 14 BIOnormen acties onderneemt om volledig compliant te zijn. Op basis van de resultaten van deze meting, is een vertaling gemaakt naar de volwassenheidsmatrix van NOREA. Uit deze volwassenheidsmatrix blijkt dat op een schaal van 1 tot 5 (laag naar hoog), de gemeente een 2,2 scoort. Dat is een stijging van 10% ten opzichte van de voorgaande meting. Vanuit Het ministerie van BZK wordt gesteld dat een organisatie in control (en dus compliant) is op het gebied van informatiebeveiliging vanaf een score 3,0. Bij de BIO meting is in grote mate gekeken naar de aanwezigheid van procedures, beleid en overzichten en de uitvoering daarvan. Op dit gebied zijn meer zaken vastgelegd en geformaliseerd dan voorheen, echter zijn een aantal essentiële procedures nog niet (voldoende) vastgelegd of zijn van deze procedures de documenten niet actueel.

Voorbeelden van beleid en procedures die aanvullend vastgelegd kunnen worden zijn: een beleid telewerken/thuiswerkbeleid, een overzicht van geheimhoudingsovereenkomsten, een expliciete disciplinaire procedure en beleid voor informatietransport. Bovendien worden veel werkzaamheden op ad-hoc basis en op basis van persoonlijke ervaring uitgevoerd. Tweede punt van aandacht is om de uitvoering c.q. naleving van beleid, procedures en afspraken met leveranciers scherper en periodiek te toetsen en dit ook vast te leggen. Op deze manier kan de gemeente bewijzen dat zij in control is en dat vastgelegde zaken ook naar behoren uitgevoerd/nageleefd worden. De derde (algemene) aanbeveling is om bij technische implementaties, zoals logging, anti-malware maatregelen en protectie- en detectiemechanismen, minder te vertrouwen op de standaard inrichting. Door deze inrichting grondig te herzien en aan te passen aan het specifieke ICT-landschap laat gemeente Hoeksche Waard zien dat zij ook op dit gebied in control is en hier actief over hebben nagedacht. Ter bevordering van de communicatie met diverse stakeholders binnen de organisatie en het verzamelen van bewijsstukken, is het contact in het kader van de BIO gekanaliseerd via de TISO.

Deze werkwijze bleek productief en heeft bijgedragen aan het verhogen van eigenaarschap voor verschillende onderdelen en de kwaliteit van de aangeleverde bewijsstukken.

Tabel 1: Score BIO normen per hoofdstuk.

Norm 1t/m 4 zijn niet opgenomen in bovenstaande tabel, maar beschrijven kaderstellend de scope, normative verwijzingen, termen en definiteies en context van de organisatie en vormen de basis voor het opzetten en beheren van een effectief informatiebeveiligingsmanagementsysteem.(ISMS)

Gemeente Hoeksche Waard ten opzichte van de vorige metingen Ondanks dat de gemeente op een aantal onderdelen stappen vooruit heeft gezet, is het gemiddelde van alle normen zodanig dat er slechts beperkte groei in het volwassenheidsniveau zichtbaar is. Op basis van de BIO-resultaten is een vertaling gemaakt naar het volwassenheidsmatrix van NOREA2, die wij hanteren binnen de gemeente Hoeksche Waard. Uit deze volwassenheidsmatrix blijkt dat op een schaal van 1 tot 5, de gemeente een gemiddelde van 2,2 scoort. Dat is weliswaar een stijging van 10% ten opzichte van de voorgaande meting in 2022, maar nog niet het voor gemeenten vastgelegde niveau van 3, Zoals vermeld in de Uitleg van de 16 BIO-criteria en de volwassenheidsniveaus vanuit CIP3. Volwassenheidsniveau informatiebeveiliging Vanuit de theorie wordt gesteld dat een organisatie in control is op het gebied van informatiebeveiliging vanaf een score 3,0. Dit houdt in dat - bij gelijke groei - gemeente Hoeksche Waard over 4 jaar op niveau 3,0 acteert. Zie onderstaande tabel met de verdeling per control hoofdstuk.

NOREA: De Nederlandse Orde van Register EDP-Auditors is de beroepsorganisatie van IT-auditors in Nederland. Zie www.norea.nl CIP: Centrum informatiebeveiliging en privacy. CIP komt voort uit het programma Compacte Rijksdienst en is opgezet door de Belastingdienst, DUO, SVB en UWV. Zie www.cip-overheid.nl 2 3

Resultaten in Detail In onderstaand overzicht wordt verder inzichtelijk gemaakt in hoeverre de diverse onderdelen voldoen aan de norm. Om een goed beeld te krijgen van de voortgang, is de score van de voorgaande meting in 2022 in de rechtertabel ernaast gezet.

Resultaat van de ENSIA Cyclus 2023 Wij rapporteren als gemeente Gemeente Hoeksche Waard op één moment in het jaar over de status van onze informatieveiligheid, via ENSIA. Deze Rapportage Informatiebeveiliging 2023 is daar een onderdeel van. Vanuit de gemeente brede zelfevaluatie wordt eveneens de verantwoording aan de stelselhouders bij de rijksoverheid afgeleid, de zogenaamde verticale verantwoording. Zo vindt u naast de verwijzing naar dit rapport de bijlagen over DigiD, Suwinet, BRP, Reisdocumenten, BAG - BGT – BRO en WOZ bij de collegeverklaring over ENSIA.

Resultaat op het vlak van privacy Deze resultaten zijn opgenomen in het FG rapport 2023.

Afspraken met externe partijen Om haar doelstellingen op een zo effectief en efficiënt mogelijke manier te kunnen behalen maakt gemeente Hoeksche Waard voor een aantal taken gebruik van samenwerkingsverbanden of externe relaties. Om deze samenwerkingen tot een succes te maken worden data en informatie uitgewisseld. Dit betekent dat er afspraken gemaakt moeten worden die schriftelijk worden vastgelegd in bijvoorbeeld dienstverleningsovereenkomsten, privacy protocollen en verwerkersovereenkomsten. Afhankelijk van de inschatting van het risico dat de gegevens lopen zullen wij waar nodig deze derde partijen intensiever beoordelen op hun verantwoordingsplicht vanuit de AVG en BIO. Hierover communiceren we doorlopend en met de nieuwe tool wordt inzichtelijk waar verwerkersovk moeten zijn gesloten. Zowel de CISO als de Privacy offcicer(s) adviseren over passende maatregelen in de inkoopfase.

Vooruitblik

Aanbevelingen uit externe toetsing De externe controle door de accountant en de IT-audit in het kader van ENSIA leveren elk jaar weer aanbevelingen op die we meenemen in de ontwikkelingen van dat jaar. Dit naast aanbevelingen die uit andere onderzoeken zoals de BIO naar voren komen. Aanbevelingen van de IT-auditor (ENSIA) Bij de controle ten behoeve van het rapport dat de IT-auditor (BKBO) afgeeft bij de collegeverklaring ENSIA dat Gemeente Hoeksche Waard aan alle interne beheersmaatregelen inzake Suwinet op 31 december 2023 in opzet en bestaan aan de geselecteerde controls voldoet. Wel is er dit jaar 1 afwijking geconstateerd. Het bereft hier een tekxtuele aanpassing in het Strategisch informatiebeveiligingsbeleid 2024-2027 dat voor akkoorrd aan DT en College wordt voorgelegd. Aanbeveling van de BIO-Auditor Op basis van de de bevindigen in de rapportage BIO meting – Gemeente Hoeksche Waard, is een verbeteragenda opgesteld. Uiteraard is het voor gemeente Hoeksche Waard van belang om te doen wat nodig is om het huidige niveau te borgen en daarnaast verder uit te bouwen naar volwassenheidsniveau 3,0. Met het volgen van de verbeteragenda geeft gemeente Hoeksche Waard richting aan de verbeterstappen die uitgevoerd dienen te worden om ‘in control’ te komen op het vlak van informatiebeveiliging (volwassenheidsniveau 3,0 ) en daarmee te kunnen voldoen aan de BIO.

De verbeteragenda bevat geen planning of indicatie van de tijdsbesteding, daar dit sterk afhankelijk is van de beschikbare ingezette capaciteit en kennis binnen de organisatie. Het is niet alleen zo dat de informatiebeveiliging naar een hoger niveau getild moet worden. Tegelijker tijd vinden er ook veranderingen op het vlak van applicaties plaats die veel capaciteit vragen. Daarbij geeft IM aan dat het ontbreekt aan executiekracht om alle plannen tijdig uit te voeren. Om het plan te laten slagen dienen randvoorwaardelijk de overall verbeterpunten, documenmanagement en een 14tal minimaal benodigde procedures opgesteld/aangepast en geïmplementeerd te worden. Wat er per procedure nodig is, is reeds beschreven in de verbeteragenda. Ook de zes criteria voor het opstellen van beleid zijn opgenomen in de verbeteragenda. Alles bij elkaar zullen er een behoorlijk aantal stappen gemaakt moeten worden en is het advies een integraal plan op te stellen om meer inzicht te krijgen in acties en tijdslijnen. Zie Bijlage Verbeteragenda BIO

Komend jaar Gezamenlijk stippelen PIV en de opgavegroep “Digitale Veiligheid” het groeipad uit voor de organisatie naar meer volwassenheid. Hierbij moeten we aandacht hebben voor het focussen en prioriteren van de onderwerpen zoals ook in de verbeteragenda worden weergegeven. Door de juiste speerpunten te kiezen en efficiënte combinaties te maken binnen de opgave “Digitale Veiligheid” verwachten we belangrijke stappen vooruit te kunnen zetten op het vlak van informatieveiligheid (en privacy). In 2024 staan de volgende stappen gepland: • Opstellen van een integrale Digitale veiligheid roadmap met alle activiteiten op het vlak van informatiebeveiliging (en privacy); • Aanbevelingen BIO meting en het Rekenkameronderzoek Informatie en privacy 2022 oppakken; • Maatregelen die volgen uit de BIO 2.0 /NIS2 plannen en uitvoeren; • Maatregelen op het vlak van risico analyse/bedrijfscontinuiteit (n.a.v. rapport Parell) inplannen en uitvoeren; • Technische maatregelen uit de accountantscontrole/ENSIA Cyclus 2023 • Organisatorische maatregelen in het kader van de accountantscontrole/ ENSIA Cyclus 2023 Het nog op te stellen informatiebeveiligingsplan laat zien hoe het implementeren van maatregelen voor de kritische systemen en het nemen van generieke maatregelen helpen de IT omgeving voorspelbaarder te maken.

Het nog te vervaardigen controleplan van de FG en van de CISO, afstemming moet nog plaatsvinden, zal onder andere gevoed worden door informatie over de implementatie status van de normen zoals dat zal worden opgebouwd in de opvolger van Key2Control. Daarnaast zal gebruik gemaakt worden van informatie verkregen van de afdelingen en toetsingen door het jaar heen.

Meerjarig

Informatiebeveiliging

Toetsing van onszelf en onze partners wordt uitgebreid. Informatiebeveiliging en privacy vormen een essentieel onderdeel van de jaarplannen van alle teams/afdelingen binnen Gemeente Hoeksche Waard. Ook zijn deze thema`s een cruciaal onderdeel van de opgave “Digitale veiligheid”. Het verhogen van ons volwassenheidsniveau ten aanzien van informatiebeveiliging naar niveau drie zal een naar verwachting de komende 2 jaar in beslag nemen waarbij verschillende aspecten van de organisatie geraakt zullen worden. Organisatorische processen, technische maatregelen maar ook de bedrijfscultuur. Dit proces zal gemonitord worden en er zal over gerapporteerd worden. Het verhogen van de volwassenheid beslaat een aantal sporen. De opvolger van Key2Control zal ingevoerd worden, waarbij alle niveaus van de organisatie betrokken zullen zijn. Van het invoeren van informatie in de lijn tot het sturen op de geproduceerde informatie door het management en het bestuur. Het ondersteunen van en bijdragen aan initiatieven op het vlak van i-Visie spelen een centrale rol. Hierbij kan gedacht worden aan een periodieke enquête van medewerkers en gesprekken met teammanagers. Maar ook investeren in meer kennis en het veranderen van gedrag. Alle voortgangsinformatie wordt gebruikt in de controleplannen van de FG en de CISO om inzicht te geven.

In de komende jaren zullen controle mechanismen verder toegepast worden op de toetsing van informatiebeveiligingsmaatregelen, zowelintern maar ook bij externe relaties.

ENSIA blijft het ijkpunt voor informatiebeveiliging

Als het gaat om de eenduidige toetsing door de rijksoverheid dan werken wij in 2024 toe naar de toetsing van werking. Binnen gemeente Hoeksche Waard is deze ontwikkeling wel aangekondigd maar op dit moment beperkt de toetsing zich formeel tot opzet en bestaan. Toetsen op werking zal de volwassenheid van de gemeente Hoeksche Waard ten goede komen. Een dergelijke ontwikkeling zal ook gevolgen hebben voor de eisen die wij stellen aan de partijen waar wij mee samen werken. Het ministerie van Binnenlandse Zaken heeft aangekondigd dat het streven is om informatieveiligheid bij de overheid een wettelijke basis te geven. Dit moet gebeuren via een zorgplicht waaraan meer regelgeving kan worden gehangen, zoals de BIO. Door het wettelijk verplichten van de BIO is de vrijblijvendheid voorbij. Bij het toezicht zal niet alleen zal worden gekeken naar de naleving van algemene regels zoals de BIO. Er wordt ook toezicht gehouden op specifieke regels die aanvullend worden gesteld door de verschillende ministeries. Naast de binnenlandse wetgeving komt er ook steeds meer wetgeving op het terrein van digitale veiligheid vanuit Europa. Denk hierbij aan NIS2 wat gaat over de bescherming van vitale infrastructuur waar ook overheden onder vallen. Maar er zit nog veel meer in de pijplijn. Dit alles voert terug naar het aantoonbaar serieus nemen van digitale veiligheid en daarom de basis op orde hebben.

Contact met de Hoeksche Waarder verbeteren In het contact met de burger zijn de ontwikkelingen dat er steeds meer verwacht wordt van de digitale mogelijkheden om diensten te verlenen en te communiceren. Zie bijvoorbeeld de ontwikkelingen rond manieren om je als burger te identificeren, zoals DigiD, IRMA en eIDAS. Anderzijds is het zo dat er geen “one size fits all” burger is. Voor de gemeente is het van belang rekening te houden met burgers die om redenen van ongeletterdheid of geestelijke dan wel lichamelijke beperkingen, niet de mogelijkheid hebben om gebruik te maken van de digitale voorzieningen. Websites en achterliggende procedures moeten hier op onderhouden worden. Het ontstaan, dan wel vergroten, van een kloof tussen diegenen die mee kunnen komen met de ontwikkelingen en degenen die dat niet lukt moet voorkomen worden. Het bieden van alternatieve voorzieningen moet indien nodig meer aandacht krijgen om te voorkomen dat sommige burgers belemmerd worden in hun toegang tot voorzieningen en het uitoefenen van hun rechten. Er zal in de komende jaren gewerkt worden aan een centraal klantportaal “mijn HW” en aan de beschikbaarheid van verschillende kanalen voor de burger om contact op te nemen met onze gemeente. Dit moet op een veilige en eenduidige manier mogelijk gemaakt worden.

Van implementatie naar beheer / controle De inrichting van de GRC-Tool de opvolger van Key2control voor informatiebeveiliging en privacy zal in 2024 starten en de basis vormen voor het gemeente breed invoeren van normenkaders en het daaraan koppelen van risico’s maatregelen om naleving te monitoren. Voor het verkrijgen van inzicht in de risico’s die we lopen op het vlak van informatiebeveiliging en de status van de te treffen maatregelen is het na initiele inrichting nodig dat de teams zelf aan de slag gaan met de risico analyses en de implementatie van maatregelen. De check op de “in control-maatregelen” (lees: onderdeel van het teamcontrol jaarplan) zou als volgt kunnen worden ingevuld: • Via de GRC-tooling (opvolger van Key2Control) kunnen we zien welke maatregelen getroffen zijn en welke nog niet. Hier kan een actie uit voortkomen. Dit betreft informatie die beschikbaar is in het systeem; • Via gerichte vragen kan worden nagegaan of datgene is gedaan wat we afgesproken hebben. Dit gaat met name over houding en gedrag. Deze vragen worden aan de teammanagers - als Proceseigenaren - gesteld; • Tenslotte kunnen we via gerichte steekproeven “checken” wat de kwaliteit van maatregelen is.

Bewustwording en weerbaarheid Op het gebied van bewustwording hebben in 2023 een aantal acties plaatsgevonden. Uit elke test (e-learning, Mysteryguest) op dit vlak blijkt dat de balans tussen gastvrijheid en waakzaamheid zoeken blijft. In de bewustwordingscampagnes zal er blijvend aandacht worden besteed aan deze balans en hoe dit toe te passen in ons werk. Digitale Veiligheid blijft een belangrijk thema voor Gemeente Hoeksche Waard, ook na 2024. In de digitale opleidingsmodules binnen Hoeksche Campus zijn verplichte leerlijnen over Privacy en Informatiebeveiliging opgenomen voor alle nieuwe medewerkers, stagairs en anderen werkzaam voor gemeente Hoeksche Waard. In de toekomst zullen aanvullend modules worden aangeboden, maar er zal ook een mix zijn met andere interventies om de medewerkers meer bewust en weerbaar te houden.

Bijlage: achtergrond & begrippen Wat is Informatiebeveiliging

Informatiebeveiliging is de verzamelnaam voor een pakket aan maatregelen, die getroffen worden om de betrouwbaarheid van processen, de gebruikte informatiesystemen en de daarin opgeslagen gegevens te garanderen, en te beschermen tegen bedreigingen. Het begrip ‘informatiebeveiliging’ heeft te maken met: • Beschikbaarheid / continuïteit: het zorg dragen voor het beschikbaar zijn van informatie en informatie verwerkende bedrijfsmiddelen op de juiste tijd en plaats voor de gebruikers; • Exclusiviteit / vertrouwelijkheid: het beschermen van informatie tegen kennisname en mutatie door onbevoegden. Informatie is alleen toegankelijk voor degenen die hiertoe geautoriseerd zijn; • Integriteit / betrouwbaarheid: het waarborgen van de correctheid, volledigheid, tijdigheid en controleerbaarheid van informatie en informatieverwerking. Informatie is één van de belangrijkste bedrijfsmiddelen van Gemeente Hoeksche Waard. Toegankelijke en betrouwbare informatie is essentieel voor een gemeente. Gemeente Hoeksche Waard wil inivatief, creatief en faciliterend zijn. Gemeente Hoeksche Waard wil bovenal een goede informatievoorziening en een goede informatiestructuur faciliteren aan inwoners en ondernemers, waarbij de transparant, efficient en ethisch te werk gaat.

aandacht voor en investeren in goede informatiebeveiliging en privacybescherming noodzakelijk om zodoende de gegevens te beschermen en digitale dreigingen te weerstaan

Wat is Privacy De Algemene Verordening Gegevensbescherming (AVG), is op 25 mei 2018 van kracht geworden. Er is in 2019 een Functionaris Gegevensbescherming (FG) aangesteld als ook een Privacy Officer (PO). Het Privacy beleid van gemeente Hoeksche Waard legt de nadruk op: • Transparantie en communicatie • Ethiek en minimalisatie • Privacy by Design • Rechten van de betrokkene • Relatie met informatieveiligheid

Wat zijn de kaders & hoe toetsen we daarop? De AVG spreekt van het beschermen van persoonsgegevens met afdoende technische en organisatorische maatregelen. De BIO is het normenkader dat voor een gemeente (overheid) bepaalt of technische en organisatorische maatregelen afdoende zijn. De standaard voor het toetsen van deze normenkaders is geformuleerd door de beroepsvereniging van register auditors in Nederland, de NOREA. Deze normenkaders en de toetsing van de toepassing daarvan door middel van de vragen die geformuleerd zijn door de NOREA zijn de basis voor de inhoud van ISMS en GRC-tools zoals Key2Control die door gemeente Gemeente Hoeksche Waard gebruikt werd.

Waar liggen de bevoegdheden? De functie van CISO is verplicht gesteld via de BIO. De CISO is verantwoordelijk voor het beveiligen van de informatie om in de beschikbaarheid, integriteit en vertrouwelijkheid te kunnen voorzien die nodig is voor de dienstverlening. De CISO heeft zowel taken die tot de tweede lijn als taken die tot de derde lijn behoren en geeft tevens gevraagd en ongevraagd advies. De functie van FG is verplicht gesteld (voor een gemeente) via de AVG. De FG houdt binnen gemeente Hoeksche Waard toezicht op de toepassing en naleving van de privacywetgeving. Het accent van de derdelijns FG rol ligt meer op toetsing en minder bij advies. In het normenkader van de BIO is het college van B&W eindverantwoordelijk voor de risico`s die aanvaard worden en de maatregelen die getroffen worden. Deze verantwoordelijkheid begint bij de proceseigenaren in de lijn die voor hun processen bepalen welke keuzes zij willen maken bij het bereiken van hun doelen. Aangezien het college van B&W eindverantwoordelijk is is zij de enige die risico`s kan accepteren.

Bijlage: NIS2, AVG en implementatie Gemeente Hoeksche Waard staat op dit moment aan de vooravond om haar cyberbeveiliging en de weerbaarheid aantoonbaar verplicht continue te verbeteren, niet alleen vanuit de BIO-criteria, maar ook vanuit de Network and Information Security directive, oftewel de NIS2-richtlijn. Dit naar aanleiding van de onderhavige zorgplicht, meldplicht en verscherping van het toezicht.

NIS2 voor gemeenten De lokale overheid is door de rijksoverheid aangewezen als essentiële entiteit. Dat betekent dat gemeenten te maken krijgen met een zorgplicht: ze moeten digitale risico’s in afdoende mate beheersen, rekening houdend met internationale normen en de omvang van de entiteit. Ook komt er een meldplicht in combinatie met een recht op hulp en ondersteuning bij incidenten. Gemeenten moeten incidenten binnen 24 uur melden bij de toezichthouder en de IBD als het Computer Security Incident Response Team (CSIRT). Het doel is vooral om snel hulp te kunnen bieden en snel informatie te kunnen identificeren die van nut is om verdere incidenten te voorkomen. Er komt toezicht vooraf en achteraf door de Rijksinspectie Digitale Infrastructuur. Toezicht vooraf houdt in dat de toezichthouder onaangekondigd audits kan doen bij entiteiten. Daarbij is in de richtlijn vastgelegd dat NIS2 uitgaat van persoonlijke bestuurlijke aansprakelijkheid.

NIS2 en de AVG NIS2 en AVG overlappen in het beschermen van persoonsgegevens en het versterken van de digitale veiligheid. Beide richten zich op het adresseren van risico’s en het nemen van passende maatregelen. Er zijn ook verschillen. NIS2 zich richt op het grotere geheel van digitale veiligheid met een focus op continuïteit van belangrijke en essentiële processen, terwijl de AVG focust op de bescherming van individuele rechten, waarbij de nadruk ligt op privacy en bescherming van persoonsgegevens.

Rol van Privacy Officers en FG’s FG’s en Privacy officers (PO’s) worden aangeraden om samen te werken met informatiebeveiligingsfunctionarissen (CISO) voor een integrale aanpak van risicomanagement. Hoewel NIS2 geen formele rol toekent aan FG’s of PO’s, kunnen zij bij voorgestelde maatregelen zowel AVG- als NIS2compliance en het belang van een adequate beveiliging benadrukken. In die zin zijn beveiligingsmaatregelen die goed zijn voor de bescherming van persoonsgegevens ook vaak van nut voor bijvoorbeeld het borgen van de bedrijfscontinuïteit.

Voorbereiding en Implementatie De IBD4 moedigt gemeenten aan om vooral nu al aan de slag te gaan met de implementatie van NIS2. Alle inspanningen voor de implementatie van de BIO zijn uiteindelijk nuttig voor NIS2. De vervolgstap is de implementatie van een risico gebaseerd informatiebeveiligingsmanagementsysteem (ISMS, opvolger Key2control), in lijn met ISO 27001 en 27002. De IBD benadrukt het belang van samenwerking tussen verschillende functionarissen binnen gemeenten om te voldoen aan zowel de NIS2 als de AVG. Bijvoorbeeld door het uitvoeren van gezamenlijke risicoanalyses.

4

Bron https://www.informatiebeveiligingsdienst.nl/nieuws/terugkoppeling-online-bespreekuur-nis-2-en-de-avg/

Bijlage: Verbeteragenda BIO Met het volgen van de verbeteragenda , welke naar aanleiding van de BIO meting 2023 door Parell is opgesteld en op 15 januari 2024 gezamenlijk met Parell en de CISO is vastgesteld, geeft gemeente Hoeksche Waard richting aan de verbeterstappen die uitgevoerd dienen te worden om ‘in control’ te komen op het vlak van informatiebeveiliging (volwassenheidsniveau 3,0) en daarmee te kunnen voldoen aan de BIO. Het plan bevat geen planning of indicatie van de tijdsbesteding, daar dit sterk afhankelijk is van de beschikbare ingezette capaciteit en kennis binnen de organisatie. Om inzicht te geven zijn de overall verbeterpunten, documentmanagement, criteria voor het opstellen van beleid en de 14-tal minimaal benodigde procedures die opgesteld/aangepast en geïmplementeerd dienen te worden per onderwerp opgenomen.

OVERALL VERBETERPUNTEN Allereerst is het van cruciaal belang om een overzicht te hebben van alle kritieke rollen en procedures binnen gemeente Hoeksche Waard . Hierbij is het van belang om verantwoordelijke personen te benoemen inclusief achterwacht. Vervolgens dienen de volgende beleidstukken opgesteld/herzien te worden. Deze beleidsstukken hebben de hoogste prioriteit en dienen als eerst opgepakt te worden: • • • • • • •

Communicatiebeleid; o Opstellen Telewerkbeleid; o Opstellen Logbeleid; o Opstellen Service level management; o Opstellen/uitwerken Back-up (en restore) beleid; o Concept-versie afronden en SMART maken richting de datasets op basis van de BIV-classificatie Continuïteitsbeleid; o Opstellen. Een project om het continuïteitsbeleid en -plan op te stellen is in oprichting Netwerkbeleid; o Updaten

Documentmanagement Diverse (beleids)stukken zijn opgesteld en vastgesteld. Er blijken echter meerdere versies van de documenten in omloop te zijn. De documenten worden niet – zoals wel aangegeven in de stukken – periodiek gereviewed en zijn daarom (mogelijk) niet meer actueel.

Criteria beleid De BIO-maatregelen stellen dat de op de vorige pagina genoemde beleidsstukken binnen gemeente Hoeksche Waard opgesteld en geïmplementeerd dienen te worden. Elk beleid dient aan de 6 volgende criteria te voldoen: 1. 2. 3. 4. 5. 6.

De functieprofielen en verantwoordelijkheden zijn gedefinieerd en toegewezen aan rollen/functies; Het beleid dient goedgekeurd en gedragen te worden door het (senior) management; Er dient periodiek gerapporteerd te worden (o.a. om de handhaving van het beleid te waarborgen en aan te tonen dat het beleid wordt opgevolgd en geëvalueerd wordt); Beleidsmaatregelen dienen (indien mogelijk zoveel als kan) te worden geautomatiseerd Jaarlijks is er een evaluatie/actualisatie nodig; Het communicatiebeleid is nodig om op een adequate en constante manier de keuzes van de organisatie te delen binnen de organisatie.

Minimaal benodigde procedures Verder zijn er een 14 procedures (minimaal) nodig. Deze dienen opgesteld/aangepast en geïmplementeerd te worden: 1.

Een risicobeheersingsprocedure; Deze procedure voorziet in het inschatten van risico’s voor bedrijfsvoering, beveiliging en privacy. Op deze wijze kan er gestructureerd worden getoetst hoeveel risico een bepaald project of wijziging met zich mee brengt. Voor privacy-vraagstukken kan dit gedaan worden door bijvoorbeeld het uitvoeren van DPIA’s. 2. Een disciplinaire procedure; Er dient een (binnen de organisatie een gecommuniceerde) disciplinaire procedure aanwezig te zijn, die wordt opgevolgd. Hierbij kunnen medewerkers, als zij zichzelf bijvoorbeeld op een ongeautoriseerde wijze toegang tot informatie verschaffen, op een gepaste wijze benaderd worden. Deze procedure kan gekoppeld worden aan het personeelsbeleid/autorisatiebeleid en de gedragscode binnen de organisatie. In het huidige personeelsbeleid wordt wel gerefereerd aan een disciplinaire maatregel, maar dit is verder niet uitgewerkt. 3. Een communicatieprocedure; Deze zorgt ervoor dat medewerkers op een vaste manier informatie krijgen over (gedrags)regels, verwachtingen, informatie en wijzigingen binnen de organisatie. 4. Een logprocedure (onderdeel van het logbeleid); Het is van cruciaal belang dat er gelogd wordt. Door te loggen kunnen handelingen (indien nodig) worden nagekeken. Verder dient in de logprocedure onderscheid te worden gemaakt tussen gebruikers en systeembeheerders.

De logs dienen periodiek of op basis van signalering gecontroleerd te worden op onregelmatigheden. 5. Een contractmanagementprocedure; Er dient een vaste procedure te zijn voor de wijze waarop contracten worden afgesloten, beheerd en opgezegd. Hierbij zijn SLA’s en periodieke leveranciersevaluaties van belang. 6. Een leveranciersprocedure; Er dient een vaste procedure te zijn welke beschrijft hoe wordt omgegaan met leveranciers. Dit is een onderdeel en/of verlenging van de contractmanagementprocedure. 7. Een ‘clear desk’ en ‘clear screen’ procedure; Deze procedures dienen formeel opgesteld en gehandhaafd te worden. 8. Een testprocedure; Deze procedure bepaalt de wijze waarop testen uitgevoerd worden. Verder dient deze te passen en/of onderdeel te zijn van de OTAP-procedure. 9. Een continuïteitsplan; Dit plan dient gedocumenteerd en periodiek getest te worden. Verder sluit deze aan bij het back-up en restore procedure. 10. Een informatietransportprocedure; Deze procedure dient te voorzien in de wijze waarop informatie verzonden en/of getransporteerd wordt(en). 11. Een netwerkprocedure; Deze procedure dient aan te geven hoe het netwerk er uit ziet en welke (technische) maatregelen ingeregeld zijn. Deze dienen te zijn gedocumenteerd en bijgehouden op basis van de bekende risico’s.

12. Een responsible disclosure procedure; Indien een derde partij een (technische) zwakheid ontdekt binnen de gemeente, dient de gemeente een procedure te hebben hoe zij hiermee wil omgaan. Een voorbeeld kan zijn dat de gemeente bepaalt, dat de derde partij deze zwakheid alleen bij de gemeente mag melden en 90 dagen stil dient te houden. Verder kan het zijn dat bepaalde bevindingen op een onethische wijze ontdekt zijn, in dat geval dienen hiervoor ook maatregelen te worden geformuleerd. 13. Een procedure voor het verzamelen van bewijsmateriaal; Indien de gemeente gehackt is of een medewerker op een onethische wijze gebruik heeft gemaakt van bedrijfsmiddelen (en/of vertrouwelijke informatie) dient er bewijsmateriaal voor deze handelingen verzameld te worden om - indien wenselijk - juridische stappen te kunnen nemen. Verder dient het responsible disclosure procedure hierop aan te sluiten. 14. Een control voor de P&C-cyclus; Binnen de procedure voor de P&C-cyclus dient Informatiebeveiliging een duidelijke positie te verkrijgen. Aan informatiebeveiliging dient expliciet en aantoonbaar aandacht te worden besteed in de rapportage.

CONTINUE VERBETERING / OPERATIONELE BEHEERSING Om de volwassenheid van gemeente Hoeksche Waard ten aanzien van informatiebeveiliging en compliancy ten aanzien van de BIO te verbeteren dient er continu gemonitord te worden volgens de bekende PDCA-cyclus (zie figuur hieronder). Door deze cyclus continu te doorlopen, wordt het verbeteringsproces geborgd binnen de organisatie en is het mogelijk een beter beeld te verkrijgen van de status. Het betreft een operationele beheersing/monitoring van de actuele status en (verbeter)voortgang ten aanzien van de BIO vanuit informatiemanagement. De verantwoordelijkheid (Responsible) en bewaking hiervan ligt in handen van de TISO vanuit het onderwerp Informatiebeveiliging/BIO.

Binnen de Fasen van de Deming-cirkel dienen de volgende werkzaamheden te worden uitgevoerd:

VERBETERPUNTEN per deelgebied Onderstaand overzicht beschrijft de verbeterpunten per deelgebied. Om deze stappen op volwassenheidsniveau 3,0 (‘in control’) te hebben en te borgen is het van belang dat alle maatregelen: • gedefinieerd zijn; • goedgekeurd en gedragen worden door het (senior) management; • aantoonbaar uitgevoerd worden; • aantoonbaar intern gecommuniceerd worden; • aantoonbaar periodiek gerapporteerd worden; • periodiek geëvalueerd worden. Door middel van het vastleggen van alle acties, kan gemeente Hoeksche Waard te allen tijde aantonen dat zij zichtbaar ‘in control’ is over informatiebeveiliging. Dit impliceert dat alle activiteiten ook daadwerkelijk geborgd zijn binnen de organisatie. Aan onderstaande verbeterpunten is ook een prioriteit meegegeven. Deze prioritering is gebaseerd op de mate van compliancy van de gemeente Hoeksche Waard ten opzichte van het NOREA-volwassenheidsmodel voor dat betreffende gebied. Het uitgangspunt hierbij is dat een organisatie op dat gebied in control is als zij een score heeft van 3,0. 1. PRIO 1: gebieden met PRIO 1 scoren volgens het NOREA-volwassenheidsmodel het laagst (< 2,0). De verbeterpunten die bij deze gebieden horen zullen daarom verreweg de meeste tijd en aandacht nodig hebben om uiteindelijk het niveau van 3,0 te behalen. 2.

PRIO 2: deze gebieden scoren beter dan die onder PRIO 1 (score: >= 2,0 en < 2,5), maar voldoen nog steeds niet volgens het NOREA-volwassenheidsmodel en hebben dus ook verbeterslagen nodig. De verbeterpunten bij deze onderdelen zijn ook zeker relevant, maar zullen minder tijd en aandacht nodig hebben dan die onder PRIO 1. 3. PRIO 3: gebieden met deze prioriteit hebben een score >= 2,5 tot 3,0 volgens het volwassenheidsmodel. De verbeterpunten bij deze gebieden zijn echter ook van belang aangezien deze waarborgen dat de gemeente ook compliant blijft in de toekomst. DEELGEBIED MET PRIO GOVERNANCE (PRIO 2) ORGANISATIE (PRIO 3) RISICOMANAGEMENT (PRIO 1) HUMAN RESOURCE MANAGEMENT (PRIO 3) CONFIGURATION MANAGEMENT (PRIO 4) INCIDENT/PROBLEM MANAGEMENT (PRIO 2) CHANGE MANAGEMENT (PRIO 2)

SYSTEM DEVELOPMENT (NVT) DATA MANAGEMENT (PRIO 3) IDENTITY & ACCESS MANAGEMENT (PRIO 2) SECURITY MANAGEMENT (PRIO 2) COMPUTER OPERATIONS (PRIO 2) BUSINESS CONTINUITY MANAGEMENT (PRIO 1) SUPPLY CHAIN MANAGEMENT (PRIO 1)

Om tot concrete acties over te kunnen gaan is het van belang dat de processen die gekwalificeerd zijn als Prio 1 en 2 voorang krijgen bij het oppakken en uitvoeren van de benodigde stappen.

Implementatie-verantwoordelijken per hoofdstuk BIO Om duidelijk te maken wie verantwoordelijk is voor het oppakken van de verbeterpunten is het van belang een mapping te maken tussen enerzijds de BIO- normen en anderszijds het NOREA volwassenheidsmodel.

Mapping tussen BIO-normen en NOREA volwassenheidsmodel

Implementatie-verantwoordelijken per hoofdstuk BIO binnen Gemeente Hoeksche Waard Onderstaand overzicht geeft aan wie voor de normen binnen de betreffende hoofdstukken verantwoordelijk is5:

5*

Lees bij CISO Peter Kat i.p.v. Yousra Ghanem. Lees bij Controller Anton Tieleman i.p.v. Jos Buijserd. Lees bij HRM Peter Schenk i.p.v Heleen Poortvliet