Bijlage 1 bij RM d.d. 15 maart 2022 Strategie digitale veiligheid Z-22-153879 Oegstgeest

Strategie Digitale Veiligheid

Inleiding

Missie

De gemeente heeft een grote verantwoordelijkheid naar de burgers en ondernemers als het gaat om de beveiliging van gegevens en de continuïteit van dienstverlening. Digitalisering brengt nieuwe dreigingen en risico’s met zich mee. De huidige cyberdreigingen maken duidelijk wat de impact kan zijn op de continuïteit van dienstverlening van de gemeente. Dit vraagt om een actueel beeld over de weerbaarheid van de organisatie en de keuzes ten aanzien van prioriteiten en uitgaven op dit onderwerp.

De Leidse regio staat voor een betrouwbare dienstverlening en hecht veel waarde aan de privacy van inwoners, ondernemers, medewerkers, ketenpartners en andere partijen. Beveiliging en continuïteit van de bedrijfsvoering en de maatschappelijke verantwoordelijkheid zijn niet vrijblijvend maar onderdeel van ons dagelijks werk.

Uitgangspunten • De Leidse Regio conformeert zich aan naleving van de BIO (Baseline Informatiebeveiliging Overheid) en de AVG (Privacywet) conform het strategische Informatiebeveiliging- en Privacybeleid. • De ambitie is om de komende jaren door te groeien naar een bovengemiddeld volwassenheidsniveau (4) voor informatiebeveiliging en privacy, waarbij het voldoen aan externe eisen, beveiligingsdoelstellingen, beleid en uitvoering expliciet aantoonbaar is. Niet alleen een signalerend en zelfreinigend, maar ook een optimaal lerend vermogen en integraal onderdeel van het dagelijks werk. • Risicomanagement en de 10 bestuurlijke principes (VNG) zijn het uitgangspunt. • Het bestuur voert aan de hand van de VNG Agenda Digitale Veiligheid 2020-2024 periodiek overleg over Digitale Veiligheid en informeert de gemeenteraad hier adequaat over.

De 10 bestuurlijke principes 1. Bestuurders bevorderen een veilige cultuur 2. Informatiebeveiliging is van iedereen 3. Informatiebeveiliging is risicomanagement 4. Risicomanagement is onderdeel van de besluitvorming 5. Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking 6. Informatiebeveiliging is een proces 7. Informatiebeveiliging kost geld 8. Onzekerheid dient te worden ingecalculeerd 9. Verbetering komt voort uit leren en ervaring 10. Het bestuur controleert en evalueert

Doelstellingen en Strategie Doelstellingen • Cyberweerbaarheid en privacy bewustzijn van medewerkers verhogen • Voldoen aan de BIO en de AVG

• Beveiliging van de systemen bovengemiddeld op orde • Applicaties en systemen zijn up-to-date; verouderde systemen worden tijdig vervangen. • Inzet van nieuwe beveiligingstechnologie.

• Snel herstel bij calamiteiten

Strategie • Risicogericht werken: de grootste risico’s als eerste aanpakken. • De basis op orde – inzicht in kritieke processen, systemen en bedrijfsmiddelen. • Periodiek trainen van kennis en oefenen van incidenten. • Uitvoeringsprogramma om de processen rondom beide thema’s op volwassenheidsniveau 4 te brengen (zie Bijlage 1).

• Meten en sturen op de resultaten benoemd in het uitvoeringsprogramma. • Nauw samenwerken met ketenpartners en leveranciers.

Uitvoeringsprogramma • De uitvoering van deze Strategie is vastgelegd in een programma dat bestaat uit 8 onderdelen die invulling geven aan het behalen van de doelstellingen. De 8 onderdelen kennen een nadere detailuitwerking met onderliggende activiteiten en documenten. • Het uitvoeringsprogramma is een levend document. Dit betekent dat het onderhevig is aan afgestemde aanpassingen of prioriteit wanneer ontwikkelingen of specifieke risico’s daar aanleiding voor zijn.

• Het uitvoeringsprogramma kent een duidelijk onderscheid in de rolverdeling tussen Servicepunt71 en de gemeenten, waarbij het duidelijk is waar de gemeenten zelf verantwoordelijk voor zijn. • Informatiebeveiliging is een continue (verbeter)proces. Doel van het uitvoeringsprogramma is om in een periode van 3 jaar het volwassenheidsniveau op informatiebeveiliging en privacy te verhogen binnen de processen en systemen van de organisatie. Dit betekent niet dat daarmee het ultieme kwaliteitsniveau is gerealiseerd waarmee de organisatie volledig compliant is met BIO en de AVG. • De governance op dit onderwerp vindt plaats door te meten en sturen op de resultaten die zijn benoemd in het uitvoeringsprogramma en verbeterplannen die zijn opgesteld in audits en verantwoordingen. Rapportage over de voortgang en de behaalde resultaten is onderdeel van de P&C-cyclus. • De gemeenteraden ontvangen periodiek informatie over de status en voortgang.

Doelstellingen naar uitvoeringsprogramma Cyberweerbaarheid en privacy bewustzijn vergroten

Voldoen aan de BIO en de AVG

Beveiliging van systemen bovengemiddeld op orde houden

Snel herstel bij calamiteiten

1. Bevorderen veilige cultuur en gedrag

2. (Bestuurlijk) Risicomanagement en ketenafhankelijkheid

3. Technische beveiligingsmaatregelen

4. Continuïteit van de dienstverlening

5. Cyberincidenten en datalekken

6. Leveranciers

7. Privacy Programma

8. Naleving en verantwoording

INVESTERING:

Inzet MT’s van de hele organisatie

€€€

Doorlooptijd 1-3 jaar 2021-2024

Bijlage 1: Volwassenheidsniveaus

De organisatie stelt zich tot doel om voor zowel informatiebeveiliging als Privacy volwassenheidniveau 4 na te streven. Het vastgestelde niveau voor 2021 is respectievelijk voor Privacy 2, en voor Informatiebeveiliging 3. De vastlegging door middel van 0metingen en assessments en de verantwoording hierover is beschikbaar bij team IB&P.