2021-01-19 RIB-002996 Nieuw strategisch informatiebeveiligings- en privacybeleid.pdf

RAADSINFORMATIEBRIEF (RIB) Registratienr :

D/20/007738

Inlichtingen:

Haasen, Nicole / Hannen, Joost Team: Bestuurszaken Strategie en Control Portefeuillehouder: Strous Onderwerp: RIB inzake nieuw strategisch informatiebeveiligingsbeleid en privacybeleid Datum: 15-12-2020 Verzenddatum: Bijlage:

Aan de leden van de raad van de gemeente Maasgouw

1 9 JAN 2021

Bijlage 1 Strategisch 1 nformatiebeveil igingsbeleid 2021-2023 gemeente Maasgouw Bijlage 2 Strategisch Privacybeleid 2021-2023 gemeente Maasgouw

Geachte leden van de raad,

Door wijzigingen in de organisatiestructuur en functies sloot het oude informatiebeveiligingsbeleid (2017) en privacybeleid (2015) niet meer goed aan op de actuele situatie. Daarnaast verplicht veranderde wet- en regelgeving ons het informatiebeveiligingsbeleid en privacybeleid aan te passen. In het college van 22 december 2020 is daarom dan ook het nieuwe 'Strategisch lnformatiebeveiligingsbeleid 2021-2023 gemeente Maasgouw' en het nieuwe 'Strategische Privacybeleid 2021-2023 gemeente Maasgouw' vastgesteld. Het Strategisch lnformatiebeveiligingsbeleid 2021-2023 gemeente Maasgouw is gebaseerd op de 1 Handreiking lnformatiebeveiligingsbeleid BIO • Deze handreiking is verstrekt door de VNG en wordt door veel gemeenten gebruikt voor het opstellen van hun strategisch beleid. Het Strategisch Privacybeleid 2021-2023 gemeente Maasgouw is gebaseerd op het zogenaamde Privacy 2 control raamwerk van de VNG Het raamwerk bestaat uit borgingscriteria die zijn opgesplitst in zeven onderdelen. Deze onderdelen dekken gezamenlijk alle aspecten van gegevensbescherming, van implementeren tot en met beheren.

Het strategisch informatiebeveiligings- en privacybeleid geven richting aan het inrichten van de informatiebeveiliging en de persoonsgegevensbescherming binnen de gemeente; er worden doelen gesteld, verantwoordelijkheden beschreven en structuur geschetst waarmee dit beleid moet worden vormgegeven. Beide beleidsstukken zijn de kapstok voor aanvullend (tactisch / operationeel) beleid, procedures en standaarden binnen de gemeente of samenwerkingsverbanden. Beide beleidsstukken zijn tevens de basis voor het inrichten van een procesgerichte benadering van gegevensveiligheid. Dit proces hanteert een Plan Do Check Act (PDCA) en moet aansluiten bij de Planning en Control (P&C) Cyclus van de gemeente.

1

De Baseline informatiebeveiliging Overheid (BIO) is het basisnormenkader voor informatiebeveiliging binnen alle overheidslagen (Rijk, gemeenten, provincies en waterschappen). Had voorheen iedere overheidslaag zijn eigen baseline, nu is er met gezamenlijke inspanning één BIO voor de gehele overheid. 2 Criteria borging AVG / Borgingsproduct gegevensbescherming in de gemeentelijke organisatie is door de VNG Realisatie ontwikkeld om de AVG te vertalen naar een kwaliteitscyclus voor gegevensbescherming en privacy voor gemeentelijke processen. Hiermee beoogt VNG Realisatie gemeenten concrete handvatten te bieden om een goede omgang met persoonsgegevens in de gehele organisatie te waarborgen.

Pagina 1 van 2

In de beleidsstukken komen aan bod: • De strategische uitgangspunten en randvoorwaarden die de gemeente hanteert voor gegevensveiligheid (dat is informatiebeveiliging en privacy samen) en in het bijzonder de inbedding in, en afstemming op andere vormen van beleid binnen de organisatie. • De organisatie van de gegevensveiligheidsfunctie, waaronder verantwoordelijkheden, taken en bevoegdheden. • De toewijzing van de verantwoordelijkheden voor ketens van informatiesystemen aan teammanagers (lijnmanagement). • De gemeenschappelijke betrouwbaarheidseisen in termen van beschikbaarheid, integriteit en vertrouwelijkheid van informatie (waaronder persoonsgegevens) en beveiligingsnormen die op de organisatie van toepassing zijn. • De frequentie waarmee het informatiebeveiligingsbeleid en privacybeleid worden geëvalueerd. • De bevordering van het bewustzijn rondom informatiebeveiliging en het beschermen van persoonsgegevens. In MER-verband wordt gewerkt aan een gezamenlijk informatiebeveittgings- en privacybeleid. Wanneer dit gezamenlijk beleid er is -naar verwachting pas in de loop van 2021 · dan zal het (nieuw vastgestelde) huidige beleid komen te vervallen. Omdat wet· en regelgeving vereist dat het strategisch beleid zo spoedig mogelijk geactualiseerd moet zijn kan er niet gewacht worden tot er concrete resultaten in MER· verband zijn.

Voor zover we nu kunnen inschatten is de huidige personele formatie en het huidige structurele budget 'gegevensveiligheid' voldoende om uitvoering te geven aan het nieuwe beleid.

Hoogachtend, Burgemeester en wethouders van Maasgouw,

Pagina 2 van 2