Bijlage Strategisch beleid informatiebeveiliging en privacy 2025-2029

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

Strategisch Beleid Informatiebeveiliging en Privacy 2025-2029

1

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

Inhoudsopgave Leeswijzer

4

Inleiding

6

1.1 1.2 1.3 1.4

6 7 7 8

Aanleiding Informatiebeveiliging Privacy Samenhang informatiebeveiliging en privacy

2 Over dit beleid 2.1 2.2 2.3 2.4 2.5

9

Doel en doelgroep Scope Relatie strategische, tactische en operationele stukken Naleving Geldigheid, borging en bijstelling

3 Ambitie en visie 3.1 3.2

12

Ambitie Visie

12 12

4 Ontwikkelingen informatiebeveiliging en privacy 4.1 4.2 4.3 4.4 4.5 4.6 4.7 4.8 4.9

De Baseline Informatiebeveiliging Overheid (BIO) De 10 principes voor informatiebeveiliging Operationele Technologie Forum Standaardisatie De AVG en UAVG WPG Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten Cybersecuritybeeld Nederland Informatie uit incidenten, inbreuken op de beveiliging en datalekken

5 Doelen, uitgangspunten en randvoorwaarden 5.1 5.2 5.3

Strategische doelen Belangrijkste uitgangspunten Randvoorwaarden

13 13 13 14 14 14 14 15 15 15

16 16 16 18

6 Organisatie, taken & verantwoordelijkheden 6.1 6.2 6.3 6.4 6.4.1 6.4.2 6.5

9 9 10 10 11

Gemeenteraad College van burgemeester en wethouders Aansturing: Directie (GS) en CIO Uitvoering (eerste lijn) Lijnmanagers Medewerkers Ondersteuning (tweede lijn)

2

19 19 20 20 21 21 23 23

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

6.5.1 6.5.2 6.5.3 6.5.4 6.5.5 6.6 6.6.1 6.6.2

CISO Information Security Officer (ISO) Privacy Officer (PO) Technisch Information Security Officer (TISO) Security architect Controle, verantwoording en audits (derde lijn) Functionaris gegevensbescherming (FG) Auditor

7 Controle en verantwoording

23 24 24 24 24 24 24 25

26

3

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

Leeswijzer De gemeente Schiedam geeft door middel van dit beleid een duidelijke richting aan informatiebeveiliging en privacy. Hoofdstuk 2 van het beleid bevat relevante informatie over het stuk. In hoofdstuk 3 is de ambitie en visie van de gemeente Schiedam op het vlak van informatiebeveiliging en privacy opgenomen. Hoofdstuk 4 bevat de ontwikkelingen die er op deze vakgebieden zijn. In hoofdstuk 5 zijn de belangrijke doelen, uitgangspunten en randvoorwaarden voor dit beleid opgenomen en in hoofdstuk 6 zijn de rollen en verantwoordelijkheden uiteengezet. Tenslotte wordt in hoofdstuk 7 afgesloten met een hoofdstuk over controle en verantwoording ten aanzien van informatiebeveiliging en privacy.

4

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

Gebruikte afkortingen AP AVG BAG BGT BIO BIV classificatie BRO BRP Cbw CIO CISO DPIA ENSIA FG IBD IB&P ISO ISO27001 ISO27002 NIS2 PNIK PO PUN SaaS-leverancier SUWI SUWINET TISO UAVG VNG WOZ Wpg

Autoriteit Persoonsgegevens Algemene Verordening Gegevensbescherming Basisregistratie Adressen en Gebouwen Basisregistratie Grootschalige Topografie Baseline Informatiebeveiliging Overheid Classificatie van beschikbaarheid, integriteit en vertrouwelijkheid Basisregistratie Ondergrond Basisregistratie persoonsgegevens Cyberbeveiligingswet (Nederlandse implementatie van NIS2) Chief Information Officer Chief Information Security Officer Data protection impact assessment Eenduidige Normatiek Single Information Audit Functionaris Gegevensbescherming Informatie Beveiligingsdienst Informatiebeveiliging en privacy Information Security Officer Internationale standaard voor informatiebeveiliging Verdieping op de beheersmaatregelen uit de ISO27001 Network and Information Security Directive 2.0 (bron Cbw) Paspoorten en Nederlandse Identiteitskaarten Privacy Officer Paspoort uitvoeringsregeling Nederland (wet) Software as a Service, software die als online dienst wordt aangeboden Structuur uitvoeringsorganisatie werk en inkomen Gemeenschappelijke elektronische Voorziening Suwi Technisch Information Security Officer Uitvoeringswet Algemene Verordening Gegevensbescherming Vereniging van Nederlandse Gemeenten Waardering Onroerende Zaken Wet Politiegegevens

5

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

Inleiding Informatiebeveiliging en privacy zijn essentiële onderdelen van de bedrijfsvoering van de gemeente Schiedam. Dit komt onder andere door de toenemende digitalisering van de samenleving en onze dienstverlening. Door de toename van cyberdreigingen, digitale aanvallen en gegevensuitwisselingen met (keten)partners, maar ook door een toename van technische mogelijkheden en door veranderende wet- en regelgeving worden informatiebeveiliging en privacy steeds complexer, maar tevens belangrijker. Informatiebeveiliging is niet enkel een technisch vraagstuk, maar ook een vorm van kwaliteitsborging van onze dienstverlening. Het waarborgt dat we als organisatie betrouwbaar, zorgvuldig en professioneel handelen. Privacy raakt hier direct aan. Waar informatiebeveiliging de beschikbaarheid, integriteit en vertrouwelijkheid van informatie(systemen) beschermt, zorgt privacy ervoor dat we verantwoord omgaan met de gegevens van onze inwoners, ondernemers, medewerkers en (keten)partners. In deze zin zijn informatiebeveiliging en privacy twee zijden van dezelfde medaille: beide zijn voorwaardelijk voor vertrouwen in de overheid. Informatiebeveiliging en privacy, en het bijbehorende beleid, zijn zonder uitzondering van toepassing op alle organisatieonderdelen van de gemeente Schiedam.

Bovendien is informatiebeveiliging van toepassing op het gehele proces van informatievoorziening en de volledige levenscyclus van informatiesystemen -van vraag, ontwerp tot afvoer. Dit geldt ongeacht het soort informatie of de gebruikte technologie, omdat in elke fase risico’s kunnen ontstaan voor de beschikbaarheid, integriteit en vertrouwelijkheid van informatie. Het tijdig en verantwoord vernietigen van data die niet langer noodzakelijk is, is hierin een belangrijk aspect. Hiermee verkleinen we de kans op misbruik, datalekken en het gebruik van verouderde data. Daarnaast hebben zowel informatiebeveiliging als privacy ook betrekking op het uitwisselen van informatie tussen ons als gemeente en alle organisaties waar we mee samenwerken. Een effectieve, adequate uitvoering van beveiligings- en privacy maatregelen is niet van de ene op de andere dag gerealiseerd. Dit vraagt aandacht van iedereen die binnen de organisatie met informatie werkt - van bestuur, directie en management tot alle medewerkers. We kunnen gemeente Schiedam alleen veilig, weerbaar en betrouwbaar houden als iedereen actief bijdraagt en zijn of haar verantwoordelijkheid voor informatiebeveiliging en privacy serieus neemt. Het is belangrijk dat iedere medewerker – vast of tijdelijk, ingehuurd, extern, stagiair of vrijwilliger op de hoogte is van het beleid, de afspraken en de regels die voor hem of haar gelden.

En dat iedereen deze ook naleeft. Alleen dan is de betrouwbaarheid van de informatie en informatievoorziening, die nodig is voor de continuïteit van onze werkprocessen en activiteiten, gewaarborgd.

1.1 Aanleiding Dit beleidsstuk beschrijft het strategisch beleid informatiebeveiliging en privacy voor de periode 2025-2029 en vervangt het in 2022 vastgestelde "Strategisch beleid Informatiebeveiliging en bescherming persoonsgegevens Gemeente Schiedam”.

6

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

Beveiliging van alle gegevens van de gemeente Schiedam en de bescherming van specifiek persoonsgegevens (privacy) zijn in de praktijk onlosmakelijk met elkaar verbonden. Hierom is het strategisch beleid informatiebeveiliging en privacy net als voorgaande jaren in één beleidsstuk opgenomen. Dit strategisch beleidsstuk is richtinggevend en kaderstellend en wordt aangevuld met onderwerp specifieke beleidsdocumenten voor informatiebeveiliging en privacy op tactisch niveau en werkinstructies op operationeel niveau. Met dit beleid zet de gemeente Schiedam een volgende stap om de beveiliging van persoonsgegevens en andere informatie binnen de gemeente Schiedam op het gewenste volwassenheidsniveau te brengen en houden.

1.2 Informatiebeveiliging Onder informatiebeveiliging wordt verstaan het treffen en onderhouden van een samenhangend pakket van maatregelen om de beschikbaarheid, integriteit en vertrouwelijkheid van de informatievoorziening aantoonbaar te waarborgen. De inrichting van informatiebeveiliging binnen de gemeente Schiedam is gebaseerd op de Baseline Informatiebeveiliging Overheid (BIO) en internationale informatiebeveiligingsstandaarden, de ISO27001 en de ISO27002. Kernpunten bij informatiebeveiliging zijn: - Beschikbaarheid: informatie is beschikbaar en toegankelijk. - Integriteit: informatie is juist, volledig en actueel. - Vertrouwelijkheid: bevoegdheden om informatie in te zien, aan te passen of te verwijderen zijn gedefinieerd.

1.3 Privacy De gemeente werkt met (persoons)gegevens van inwoners, ondernemers, medewerkers en (keten)partners. Deze gegevens verwerkt de gemeente voor het goed kunnen uitvoeren van de gemeentelijke wettelijke taken. Denk hierbij onder andere aan taken in het sociaal domein, openbare orde en veiligheidsdomein of voor burgerzaken. Maar ook vanuit de rol als werkgever. Voor de bescherming van persoonsgegevens (privacy) zijn de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG) het wettelijk kader. Bij de bescherming van persoonsgegevens wordt onder meer gekeken naar: - Doelbinding: persoonsgegevens worden enkel voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doelen verwerkt. - Dataminimalisatie: alleen de persoonsgegevens die minimaal noodzakelijk zijn voor het vooraf bepaalde gerechtvaardigde doel worden verwerkt. Waar mogelijk worden minder of geen persoonsgegevens verwerkt. - Transparantie: betrokkenen (waaronder inwoners) worden in begrijpelijke taal geïnformeerd voor welke rechtmatige en gerechtvaardigde doelen de gemeente persoonsgegevens vastlegt en zo nodig met anderen uitwisselt.

7

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

1.4 Samenhang informatiebeveiliging en privacy Informatiebeveiliging en privacy zijn twee vakgebieden die onlosmakelijk met elkaar verbonden zijn. Rondom de bescherming van persoonsgegevens hebben beide gebieden een eigen en een gezamenlijke taak. Dit blijkt ook uit de AVG (art. 5, lid 1, f) waarin staat dat persoonsgegevens op een veilige manier verwerkt moeten worden door het nemen van de juiste technische en organisatorische maatregelen. Maatregelen die ervoor zorgen dat persoonsgegevens op een passende beveiliging kan rekenen. Naast persoonsgegevens beschikt de gemeente Schiedam over veel meer vertrouwelijke gegevens die ook vragen om een goede beveiliging. In afbeelding 1 is de samenhang en het verschil tussen informatiebeveiliging en privacy visueel weergegeven.

Afbeelding 1.

8

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

2

Over dit beleid

2.1 Doel en doelgroep Het doel van dit beleid is het schetsen van een kader om een adequaat beschermingsniveau van informatie en gegevens te bewerkstelligen, waaronder persoonsgegevens, in de termen van beschikbaarheid, integriteit en vertrouwelijkheid. Het strategisch beleid informatiebeveiliging en privacy wordt verder uitgewerkt in tactisch/ operationeel beleid en in richtlijnen en maatregelen. Het beleid geldt voor het politieke bestuur, alle medewerkers van de gemeente Schiedam, met inbegrip van de griffie, tijdelijke en ingehuurde krachten, en van (keten)partners, ongeacht locatie, tijdstip en gebruikte apparatuur. Het beleid heeft ook betrekking op alle relaties tussen de gemeente Schiedam en partijen en personen waar ze mee te maken heeft, inclusief inwoners, gasten en bezoekers, waarbij sprake is van het verwerken c.q. uitwisselen van gegevens en informatie.

2.2 Scope Dit strategisch beleid omvat alle gemeentelijke processen, onderliggende informatiesystemen, procesautomatisering, informatie en gegevens van de gemeente en externe partijen (bijvoorbeeld politie, SaaS leveranciers), het gebruik daarvan door medewerkers en (keten)partners in de meest brede zin van het woord, ongeacht locatie, tijdstip en gebruikte apparatuur. Dit strategisch beleid informatiebeveiliging en privacy is een algemene basis en dekt tevens aanvullende beveiligingseisen uit wetgeving af zoals voor de AVG, UAVG, Wpg, BRP, PNIK/PUN, DigiD, BIO2, NIS2-richtlijn (Cbw) en SUWI. Voor bepaalde kerntaken gelden op grond van deze en wet- en regelgeving ook nog enkele specifieke (aanvullende) beveiligingseisen (bijvoorbeeld SUWI en gemeentelijke basisregistraties) en DigiD (met o.a. de norm B.01 eisen). Deze worden in aanvullende beleidsdocumenten geformuleerd en behoren ook tot de scope van de Eenduidige Normatiek Single Information Audit (ENSIA) en het verantwoordelijkheidsgebied van de CIO. Alle procesautomatiseringssystemen die binnen de gemeentelijke gebouwen en in de publieke ruimte van de gemeente worden gebruikt, en eigendom zijn van de gemeente, zoals gebouwbeheersystemen, cameratechnologie, pompen en gemalen of verkeersregelinstallaties maken ook onderdeel uit van dit beleid.

Bewust wordt in het strategisch beleid geen uitputtend overzicht van onderliggende documenten opgenomen. In de onderliggende documenten wordt de link naar het strategisch beleid gelegd.

9

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

2.3 Relatie strategische, tactische en operationele stukken Gemeente Schiedam past voor het beleid rondom informatiebeveiliging en privacy een kapstokmodel toe (zie afbeelding 2). Het strategisch beleid vormt de basis voor de tactische beleidsdocumenten en dient hiermee als kapstok voor de verdere invulling en uitwerking van beleid op tactisch niveau en implementatie op operationeel niveau. Het werken volgens dit kapstokmodel bevordert de onderhoudbaarheid van het beleid omdat bijstelling van beleid op tactisch en operationeel niveau eenvoudiger te organiseren is. De vaststelling van tactisch en operationele stukken gebeurt in lijn met de verantwoordelijkheden in de organisatie.

Afbeelding 2. Kapstokmodel beleid1

2.4 Naleving Het strategisch beleid vormt de basis voor de informatiebeveiliging en privacy binnen de gemeente Schiedam. Het bestuur, de directie en het management spelen een cruciale rol bij het operationaliseren en naleven van dit beleid. Het management beoordeelt het belang van de verschillende onderdelen van de informatievoorziening voor de gemeente Schiedam, identificeert de bijbehorende risico’s en bepaalt welke risico’s onacceptabel hoog zijn. Risico gestuurd wordt het beleid verder geoperationaliseerd en toegelicht binnen de organisatie, en wordt de uitvoering en bewaking ervan ondersteund.

1 rode stukken betreffen privacy documenten

10

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

Het gehele gemeentelijk management geeft een duidelijke richting aan informatiebeveiliging en privacy en demonstreert dat zij informatiebeveiliging en privacybescherming ondersteunt en zich hierbij betrokken voelt, door het uitdragen en handhaven van het beleid op het vlak van informatiebeveiliging en privacy.

2.5 Geldigheid, borging en bijstelling Het strategisch beleid wordt vastgesteld door het College van B&W. De beleidsnota wordt, door de directie, aan eenieder binnen de organisatie bekend gemaakt en hierom ook opgenomen op een voor ieder toegankelijke plek. Het beheer van het beleid is belegd bij de CISO. Het strategisch beleid informatiebeveiliging en privacy en de daaruit voortvloeiende maatregelen worden jaarlijks geëvalueerd en – indien nodig – bijgesteld, om te waarborgen dat het beleid en maatregelen voortdurend passend, adequaat en doeltreffend zijn. Daarnaast vindt tussentijdse bijstelling plaats als daartoe specifiek aanleiding voor is, zoals bij wijziging van wet- en regelgeving, gehanteerde normen, organisatorische veranderingen, ontwikkelingen in technologie. De CISO legt nieuwe versies opnieuw ter vaststelling voor aan het College. Indien er nog geen nieuw beleid is vastgesteld, blijft het laatst vastgestelde beleid van toepassing.

11

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

3

Ambitie en visie

3.1 Ambitie Voor de gemeente Schiedam is informatie één van de belangrijkste bedrijfsmiddelen. Toegankelijke en betrouwbare informatie is essentieel. De algehele ambitie van de gemeente Schiedam is om door te groeien naar een volwassen en professionele organisatie. De gemeente Schiedam gedraagt zich verantwoordelijk, is aanspreekbaar en servicegericht, is transparant en legt (proactief) verantwoording af aan inwoners, raadsleden en de rijksoverheid. De bescherming van waardevolle informatie is waar het om gaat. Hoe waardevoller de informatie is, hoe meer maatregelen er getroffen moeten worden. Het is hierbij belangrijk om te beseffen dat 100% veiligheid niet bestaat, vooral wanneer je kijkt naar cyberdreigingen. Nieuwe technologieën en trends kunnen onvoorziene risico’s met zich meebrengen, waardoor steeds nieuwe kwetsbaarheden en aanvalsmethoden kunnen ontstaan. Daarnaast speelt de menselijke factor een belangrijke rol. Medewerkers kunnen, zowel bewust als onbewust, beveiligingsmaatregelen omzeilen of door kwaadwillenden worden verleid om een aanval te faciliteren, bijvoorbeeld door te goeder trouw op een phishinglink in een e-mail te klikken. Het is, ondanks technische en organisatorische maatregelen, onmogelijk om de risico’s op het gebied van informatiebeveiliging tot nul terug te brengen.

Door effectief en een goed ingericht risicomanagement proces kunnen deze risico’s effectief worden beoordeeld en aangepakt. Risicomanagement is randvoorwaardelijk voor het behalen van onze ambitie op het gebied van informatiebeveiliging en privacy, omdat het helpt om weloverwogen keuzes te maken en de juiste prioriteiten te stellen om gemeente Schiedam veilig te houden.

3.2 Visie De visie van de gemeente Schiedam op het gebied van informatiebeveiliging en privacy is dat beide onderwerpen fundamentele voorwaarden zijn voor een betrouwbare en professionele dienstverlening. We realiseren ons dat 100% veiligheid niet bestaat; nieuwe technologieën, cyberdreigingen en menselijke fouten maken het speelveld dynamisch. Dit vraagt om bewust en risicogericht handelen, waarin dreigingen worden herkend, de impact wordt bepaald en waarbij proportionele maatregelen worden genomen. De waarde van informatie bepaalt hierin het niveau van bescherming; hoe gevoeliger of kritischer de informatie is, hoe steviger de getroffen maatregelen. In de meerjarenplannen voor informatiebeveiliging en privacy wordt deze visie verder verdiept en uiteengezet.

12

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

4

Ontwikkelingen informatiebeveiliging en privacy

De ontwikkelingen die van belang zijn voor de actualisering van het strategisch beleid informatiebeveiliging en privacy zijn de volgende:

4.1 De Baseline Informatiebeveiliging Overheid (BIO) De Baseline Informatiebeveiliging Overheid (BIO) is het verplichte normenkader voor de gehele overheid. De BIO is gebaseerd op de internationale standaarden voor informatiebeveiliging (NEN-ISO 27001 en NEN-ISO 27002) en heeft risicomanagement als uitgangspunt. Met de BIO 2.0 (nieuwste versie van de BIO) wordt grotendeels invulling gegevens aan eisen uit de Network and Information Security Directive 2.0 (NIS2), die tot doel heeft de cyberbeveiliging en weerbaarheid van essentiële diensten in EU-lidstaten te verbeteren. De NIS2 wordt in Nederland omgezet in de Cyberbeveiligingswet (Cbw). De Cbw is dus de vertaling van de NIS2 naar Nederlandse wetgeving. Voor de ondersteuning maken we gebruik van de diensten en ondersteuningsproducten van de Informatiebeveiligingsdienst (IBD)2 en de Vereniging Nederlandse Gemeenten (VNG)3.

4.2 De 10 principes voor informatiebeveiliging De 10 principes voor informatiebeveiliging zijn een bestuurlijke aanvulling op het normenkader BIO en gaan over de waarden die de bestuurder zichzelf oplegt4. De 10 bestuurlijke principes zijn: 1. Bestuurders bevorderen informatieveiligheid als onderdeel van de cultuur. 2. Informatiebeveiliging is van iedereen. 3. Informatiebeveiliging is risicomanagement. 4. Risicomanagement is onderdeel van de besluitvorming. 5. Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking. 6. Informatiebeveiliging is een proces. 7. Informatiebeveiliging kost geld. 8. Onzekerheid dient te worden ingecalculeerd. 9. Verbetering komt voort uit leren en ervaring. 10. Het bestuur controleert en evalueert. De principes gaan vooral over de rol van het bestuur bij het borgen van informatiebeveiliging in de gemeentelijke organisatie. Deze principes ondersteunen de bestuurder bij het uitvoeren van goed risicomanagement. Als er iets verkeerd gaat met betrekking tot het beveiligen van de informatie binnen de gemeentelijke processen, dan kan dit directe gevolgen hebben voor inwoners, ondernemers en partners van de gemeente. Daarmee zijn is het onderwerp informatiebeveiliging en bescherming van persoonsgegevens nadrukkelijk gewenst op de bestuurstafel.

2 https://www.informatiebeveiligingsdienst.nl/ 3 https://vng.nl/ 4 https://www.informatiebeveiligingsdienst.nl/product/de-10-bestuurlijke-principes-voor-informatiebeveiliging

13

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

4.3 Operationele Technologie Binnen de gemeente wordt naast ICT ook Operationele Technologie (OT) ingezet. Met OT worden systemen bedoeld voor de besturing van apparaten door middel van Industriële Automatisering (IA) Het beveiligingsbeleid van de gemeente is ook van toepassing voor de bescherming van PA en geldt dus ook voor de beleidsafdelingen die zich met PA bezighouden. Voor de bescherming van PA volgt de gemeente de Cybersecurity Implementatie Richtlijn (CSIR).

4.4 Forum Standaardisatie Bij de aanschaf, aanpassing en doorontwikkeling van oplossingen met een informatiecomponent conformeren we ons aan de overheidsbrede interbestuurlijke afspraken van het Forum standaardisatie5. Dit betekent dat bepaalde open standaarden bij de aanschaf van nieuwe ICT-systemen/-diensten (of de doorontwikkeling van bestaande) verplicht moeten worden toegepast.

4.5 De AVG en UAVG Nieuwe technologische ontwikkelingen, innovatieve voorzieningen, globalisering en een steeds digitaler wordende overheid maakt het zorgvuldig omgaan met persoonsgegevens steeds noodzakelijker maar tegelijkertijd ook complexer. Ook de komende jaren blijven de uitdagingen in het privacydomein onverminderd groot. De gemeente Schiedam is zich hiervan bewust en wil daarom met dit beleid aangeven hoe zij in algemene zin invulling geeft aan nationale en Europese wet- en regelgeving op het gebied van privacy, waaronder de Algemene Verordening Gegevensbescherming (hierna te noemen: AVG) en de daaruit afgeleide landelijke Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG). De AVG is het wettelijk kader voor het verwerken van persoonsgegevens. Met de inwerkingtreding van de AVG is er een groot pakket aan verplichtingen bijgekomen, evenals de versterking van de positie van betrokkenen. Zo dient de gemeente Schiedam transparant te zijn welke persoonsgegevens zij verwerkt, voor welk doel en op basis van welke grondslag. Bovendien moet de gemeente Schiedam passende technische en organisatorische beveiligingsmaatregelen nemen om onrechtmatige toegang tot deze persoonsgegevens tegen te gaan en daardoor een onrechtmatig gebruik van deze persoonsgegevens te voorkomen.

4.6 WPG Voor het toezicht houden op en handhaven van de veilige leefomgeving, heeft de gemeente Schiedam buitengewoon opsporingsambtenaren (boa’s) in dienst. Afhankelijk van hun bevoegdheid kunnen boa's persoonsgegevens verwerken in het kader van de AVG, dan wel de Wet politiegegevens (Wpg). De Wpg is uitsluitend van toepassing op boa’s wanneer zij gegevens verwerken in hun rol als opsporingsambtenaar door gebruik te maken van hun strafrechtelijke bevoegdheid. In de Wpg is het wettelijke kader voor het verwerken van 5 https://www.forumstandaardisatie.nl/

14

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

politiegegevens beschreven. Om aan de Wpg te voldoen moet de gemeente beleid en samenhangende procedures hebben ingericht die betrekking hebben op rechtmatige gegevensverwerkingen, transparantie, autorisaties, data classificatie, risico-inschatting, registratie en logging, meldplicht en documentatieplicht. Voorts verplicht de Wpg de uitvoering van audits op periodieke basis, waarbij er iedere jaar een interne audit dient plaats te vinden en iedere vier jaar een externe audit.

4.7 Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten Het Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten6 geeft een actueel zicht op incidenten en factoren uit het verleden, aangevuld met een verwachting voor het heden en de nabije toekomst. Het dreigingsbeeld is de basis om focus aan te brengen in het actualiseren van beleid en plannen voor informatiebeveiliging.

4.8 Cybersecuritybeeld Nederland De Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) publiceert jaarlijks het Cybersecuritybeeld Nederland met daarin een analyse van de ontwikkelingen ten aanzien van cyberdreigingen.

4.9 Informatie uit incidenten, inbreuken op de beveiliging en datalekken De gemeente kent naast het hierboven genoemde dreigingsbeeld ook een eigen systeem waarin incidenten worden vastgelegd. In dit systeem worden beveiligingsincidenten en datalekken centraal geregistreerd en hierover worden rapportages opgesteld. Deze rapportages komen aan bod in het strategisch overleg. Het geeft waardevolle informatie om van te leren. Incidenten uit het verleden zijn ook nadrukkelijk input bij de beoordeling van het gevoerde beleid en getroffen maatregelen, en het bijstellen van beleid en maatregelen.

6Te vinden op: https://www.informatiebeveiligingsdienst.nl/

15

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

5

Doelen, uitgangspunten en randvoorwaarden

5.1 Strategische doelen De strategische doelen van dit beleid zijn: - Het managen van de informatiebeveiliging en de bescherming van persoonsgegevens; - Adequate bescherming van bedrijfsmiddelen; - Het toepassen van dataminimalisatie; - Het minimaliseren van risico’s van menselijk gedrag; - Het voorkomen van ongeautoriseerde toegang; - Het garanderen van correcte en veilige informatievoorzieningen; - Het beheersen van de toegang tot informatiesystemen; - Het waarborgen van veilige informatiesystemen; - Het adequaat reageren op incidenten; - Het beschermen van (kritieke) bedrijfsprocessen; - Het beschermen en correct verwerken van persoonsgegevens van inwoners en medewerkers; - Voldoen aan de wettelijke verplichtingen op het vlak van informatiebeveiliging en privacy en dit op ieder moment met bewijs kunnen aantonen; - Het waarborgen van de naleving van dit beleid.

5.2 Belangrijkste uitgangspunten De belangrijkste uitgangspunten van dit beleid zijn: De uitvoering van het strategisch beleid informatiebeveiliging en privacy is een verantwoordelijkheid van de lijnmanagers Alle informatiebronnen en systemen die gebruikt worden door de gemeente Schiedam hebben een interne proceseigenaar. De eigenaar bepaalt de privacyeisen en de noodzakelijke mate van beschikbaarheid, integriteit en vertrouwelijkheid (de zogenaamde BIV-classificatie) van de gegevens in de bron of het systeem. Deze eigenaar bepaalt ook de waarde van de informatie die de bron of het systeem bevat. De primaire verantwoordelijkheid voor de bescherming van informatie ligt dan ook bij de eigenaar van de informatie. Verankering in de organisatie Door periodieke controle, organisatie brede planning én coördinatie wordt de kwaliteit van de informatiebeveiliging en privacy verankerd binnen de organisatie. Het strategisch beleid informatiebeveiliging en privacy vormt samen met het meerjarenplan Informatiebeveiligings- en privacy (meerjarenplan IB&P) het fundament onder een betrouwbare informatievoorziening. In het meerjarenplan IB&P wordt de betrouwbaarheid van de informatievoorziening organisatiebreed benaderd. Het plan wordt jaarlijks door de

16

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

CISO en PO bijgesteld op basis van nieuwe ontwikkelingen, registraties in het incidentenregister en risicoanalyses voor informatiebeveiliging en privacy. Informatiebeveiliging en privacybescherming zijn continue verbeterprocessen De stappen 'Plan, do, check en act (PDCA) vormen samen het managementsysteem van informatiebeveiliging en privacy. Via de PDCAcyclus die periodiek wordt doorlopen, streeft de gemeente Schiedam naar een passend niveau van informatiebeveiliging. Het continue verbeterproces bestaat uit de volgende stappen: 1. Beleidsvorming ('Plan') 2. Implementatie en uitvoering ('Do') 3. Toezicht en evaluatie ('Check') 4. Bijsturing (‘Act’) Deze onderdelen worden opgenomen in het Information Security Management Systeem (ISMS) en het Privacy management system (PMS). Het ISMS/PMS biedt overzicht en structuur over de informatiebeveiliging en privacy, daarnaast biedt het ook rapportages en overzichten in hoeverre de gemeente voldoet aan normenkaders en wet- en regelgeving. Mensen en middelen De gemeente stelt de benodigde mensen en middelen beschikbaar om haar eigendommen en werkprocessen te kunnen beveiligen en te voldoen aan de eisen, zoals gesteld in dit beleid.

Verantwoordelijkheden medewerkers Iedere medewerker, zowel vast als tijdelijk, intern of extern, is verplicht waar nodig gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht en bij vermeende inbreuken hiervan melding te maken. Kennis en bewustzijn van informatiebeveiliging en privacybescherming zijn hierin essentieel. Risicogestuurde aanpak Het borgen van privacy in de uitvoering van gemeentelijke processen vindt risicogestuurd plaats. De managers in de organisatie maken afwegingen ter naleving van informatiebeveiligings- en privacyregels op basis van een risico-inschatting. De afweging van te accepteren risico’s wordt gezamenlijk gemaakt door de managers, proceseigenaren en relevante stakeholders, met inachtneming van de adviezen van de FG en de CISO. Risico’s die mogelijk in strijd zijn met privacywetgeving of belangrijke beveiligingsmaatregelen kunnen enkel worden geaccepteerd als dit goed gedocumenteerd en verantwoord is. Informatiebeveiliging en privacy zijn een gedeelde verantwoordelijkheid en de zwakste schakel in het systeem kan de beveiliging van de hele gemeente ondermijnen. Hierom worden continu maatregelen genomen om de kennis, bewustwording en verantwoordelijkheden op alle niveaus te waarborgen.

17

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

Monitoren, beoordelen en het beheren van wijzigingen van leveranciersdiensten Bij het goede beheer van de leveranciersrelaties hoort dat we de informatiebeveiligingspraktijken en de dienstverlening van leveranciers regelmatig monitoren, beoordelen en evalueren en veranderingen hierin beheren. Dit is een continu proces, welke wordt geborgd in het ISMS. Logging en monitoring Voor analyse- en bewakingsdoeleinden en het voldoen aan wet- en regelgeving (zoals AVG) kent gemeente Schiedam een geautomatiseerd proces van registreren (loggen) van informatie m.b.t. menselijke activiteiten en systeemactiviteiten. Denk hierbij aan het analyseren van storingen en het detecteren, opsporen en oplossen van beveiligingsincidenten, waaronder misbruik en fraude. Afdoende bescherming is vereist ter waarborging van beschikbaarheid, integriteit en vertrouwelijkheid.

5.3 Randvoorwaarden Belangrijke randvoorwaarden voor de uitvoering van het beleid zijn: Borging in alle processen De informatiebeveiligings- en privacy eisen maken deel uit van alle gemeentelijke processen en daarnaast is het onderdeel van afspraken met ketenpartners, leveranciers en gemeenschappelijke regelingen en worden periodiek geëvalueerd en gecontroleerd. Creëren van bewustzijn en kennis Kennis en bewustzijn van informatiebeveiliging en privacybescherming en omgaan met persoonsgegevens binnen de organisatie dienen actief bevorderd en geborgd te worden. Dit heeft betrekking op algemene procedures, maar ook proces- en/of systeem specifieke training en opleiding. Meerjarenplannen informatiebeveiliging en privacy Er wordt een meerjarenplan Informatiebeveiliging en privacy, opgesteld onder leiding van de CISO en de Privacy Officers en vastgesteld door de directie. Dit plan is, gebaseerd op dit strategisch beleid informatiebeveiliging en privacy, uitkomsten van de jaarlijkse Eenduidige Normatiek Single Information Audit (ENSIA), andere audit en pentest resultaten, het dreigingsbeeld gemeenten van de IBD, uitkomsten van risicoanalyses en DPIA’s, ontwikkelingen op het vlak van wet- en regelgeving en door de managers ingebrachte onderwerpen voor de informatievoorziening waarvoor zij verantwoordelijk zijn, bijvoorbeeld als uitkomst van een risicoanalyse of privacy analyse (DPIA).

Financiële middelen en uitvoeringscapaciteit Om uitvoering te geven aan dit strategisch beleid informatiebeveiliging en privacy worden voldoende financiële middelen en uitvoeringscapaciteit ter beschikking gesteld. Eigenaarschap Zonder eigenaarschap ontbreekt sturing, betrokkenheid en verantwoording, wat leidt tot versnipperde uitvoering, onvoldoende naleving en verhoogde risico's voor informatiebeveiliging en privacy.

18

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

6

Organisatie, taken & verantwoordelijkheden

In dit hoofdstuk wordt uiteengezet welke taken en verantwoordelijkheden met betrekking tot informatiebeveiliging op welke plaats belegd zijn binnen de organisatie. De methodiek sluit aan bij het in de bedrijfsvoering bekende Three Lines Model. In dit model is de lijnmanager verantwoordelijk voor het realiseren van informatiebeveiliging en privacy binnen de eigen processen. De tweede lijn (CISO, ISO, TISO, privacy officers en de security architect) ondersteunt, adviseert, coördineert en bewaakt of het management zijn verantwoordelijkheden ook daadwerkelijk neemt. In de derde lijn wordt het geheel door een FG en (interne) auditor van een objectief oordeel voorzien met mogelijkheden tot verbetering. Hieronder wordt het Three Lines Model eerst weergegeven. Hierna worden alle afzonderlijke onderdelen en hun rol in het model verder uitgelegd.

Afbeelding 3. Three Lines Model7

6.1 Gemeenteraad De gemeenteraad ziet erop toe dat het college overkoepelend beleid ten aanzien van informatiebeveiliging en privacy voor de organisatie vaststelt. Door de gemeenteraad worden voor de uitvoering hiervan de benodigde middelen beschikbaar gesteld. Voorts controleert de gemeenteraad het college bij de uitvoering van informatiebeveiliging en

7 Binnen de gemeente Schiedam wordt momenteel (juni 2025) gewerkt aan een vernieuwde besturingsfilosofie. Indien hier

wijzigingen in zitten ten opzichte van dit strategisch beleidsstuk zal het strategisch beleid IB&P hierop worden aangepast.

19

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

privacy. De griffie is ambtelijk verantwoordelijk voor de verwerkingen van de gemeenteraad.

6.2 College van burgemeester en wethouders Met de vaststelling van dit beleid hernieuwt het college de opdracht tot behoorlijke en zorgvuldige verwerking van (persoons)gegevens en informatiebeveiliging. Ook onderschrijft het college haar eigen aandeel hierin. Het college, zijnde het bevoegd orgaan, is integraal verantwoordelijk voor de beveiliging van informatie binnen de werkprocessen van de gemeente Schiedam. Het college van B&W stelt als eindverantwoordelijke voor informatiebeveiliging en privacy het strategisch beleid informatiebeveiliging en privacy vast. Binnen het college is er een portefeuillehouder voor informatiebeveiliging en privacy. Deze legt namens het college (politieke) verantwoording af over de beleidsvoering aan de gemeenteraad. Het college van B&W is verantwoordelijk voor het grootste deel van de verwerkingen die vallen onder de Wet politiegegevens (Wpg). De wpg is verder uitgewerkt in het gemeentelijke Beleid Wpg. De gemeente Schiedam legt via de ENSIA-systematiek verantwoording af aan de Rijksinspectie Digitale Infrastructuur (RDI) waar het gaat om het gebruik van landelijke voorzieningen. Deze verantwoording ziet op datakwaliteit en informatieveiligheid van gegevenslevering aan landelijke basisregistraties en over beveiliging van DigiD aansluitingen en Suwinet-inkijk (verticale verantwoording).

De ENSIA verantwoording en collegeverklaring worden door de gemeentesecretaris aan het college aangeboden. Het college rapporteert hierover aan de raad (horizontale verantwoording). De FG rapporteert aan het college door middel van zijn jaarverslag. Het college informeert de raad daarover. Het college verantwoordt zich ook over informatiebeveiliging en privacy via het Jaarverslag aan de raad.

6.3 Aansturing: Directie (GS) en CIO Conform de mandaatregeling Schiedam8 zijn de taken en verantwoordelijkheden van de CIO opgenomen in dit strategisch beleid IB&P. De taken en verantwoordelijkheden zijn als volgt: De rol van Chief Information Officer (CIO) is belegd bij één van de directeuren van de gemeente Schiedam. Ten behoeve van deze rol is de CIO gevolmachtigd en voor zover noodzakelijk gemandateerd en daarmee verantwoordelijk voor het waar nodig (laten) uitwerken, vaststellen en uitvoeren van onderwerp specifiek tactische en operationele richtlijnen die zijn opgenomen in afbeelding 2, blz. 10 van dit beleidsstuk. Hierbij laat de CIO zich bijstaan door de privacy- en informatiebeveiligingsmedewerkers binnen de gemeente Schiedam. De CIO stelt het gewenste niveau van continuïteit en vertrouwelijkheid vast. Ook is de CIO verantwoordelijk voor het vaststellen van het meerjarenplan informatiebeveiliging en privacy.

8 Mandaatregeling Schiedam 2024 | Lokale wet- en regelgeving

20

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

De directie zorgt dat de eindverantwoordelijke portefeuillehouders binnen het College van B&W gevraagd en ongevraagd geïnformeerd worden over de mate waarin informatiebeveiliging en privacy een onderdeel zijn van het handelen van de bedrijfsvoering. Op die manier kan het College van B&W zich ook verantwoorden naar de raad. Onderwerpen of escalaties met grote impact op de organisatie of financiën worden door de CIO in het directieoverleg voorgelegd aan de gemeentesecretaris. De CIO zorgt er daarnaast voor dat alle (persoons)gegevens, informatiesystemen en procesautomatiseringssystemen en de daarbij behorende middelen altijd onder de verantwoordelijkheid vallen van een manager. De CIO zorgt dat de managers zich verantwoorden over informatiebeveiliging en privacy van de informatie die onder hen berust. Risicomanagement Risicomanagement speelt een belangrijke rol op het gebied van informatiebeveiliging. Binnen gemeente Schiedam wordt informatiebeveiliging dan ook gezien als integraal onderdeel van risicomanagement. De CIO is verantwoordelijk voor de integrale risicoafweging en de weging hiervan. Dit gebeurt op basis van de risicobereidheid (‘risk appetite’). Dit is de mate van risico die Schiedam bereid is te accepteren om haar doelstellingen te bereiken. De risicobereidheid wordt vastgesteld door de directie op basis van inhoudelijke input en advies van de CIO.

Afspraken bij uitbesteding of mandatering Bij uitbesteding of mandatering van taken en verantwoordelijkheden naar een externe dienstverlener of uitvoeringsorganisatie zorgt de CIO voor borging van privacy- en informatiebeveiligingseisen die moeten gelden voor de uitbesteedde taak. De CIO zorgt er ook voor dat er door de organisatie gerapporteerd wordt over deze aspecten.

6.4 Uitvoering (eerste lijn) 6.4.1 Lijnmanagers Informatiebeveiliging en privacy valt onder de verantwoordelijkheden van alle managers. De manager van een organisatieonderdeel is eigenaar van de (keten)processen die onder zijn of haar verantwoordelijkheid vallen en de daaraan gerelateerde risico's en de te implementeren maatregelen. Om de verantwoordelijkheid op het vlak van privacy en informatieveiligheid waar te maken dienen zij goed ondersteund en geadviseerd te worden vanuit de tweede lijn. Deze verantwoordelijkheid kunnen zij niet delegeren, uitvoerende werkzaamheden wel. Uitgangspunt is dat alle processen, systemen, data, applicaties altijd (minimaal) 1 eigenaar hebben; er moet dus altijd iemand verantwoordelijk zijn. Managers rapporteren, desgewenst ondersteund door de privacy officers en de CISO, aan de CIO over de door hen op tactisch en operationeel vlak uitgevoerde informatiebeveiligingsactiviteiten. Afstemming met de teams over de inhoudelijke aanpak vindt plaats door minimaal 2 keer per jaar het onderwerp informatiebeveiliging en privacy te bespreken in het managementoverleg en/of organisatieontwikkeloverleg. Taken van de managers in het kader van informatiebeveiliging en privacy zijn:

21

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

Processen juist inrichten waarbij de risico’s beheerd worden Het betrekken van de collega’s van informatiebeveiliging en privacy bij nieuwe of gewijzigde processen zorgt ervoor dat er tijdig advies gegeven kan worden over beheersmaatregelen die de bescherming van (persoons)gegevens optimaliseert. Daarbij is het de verantwoordelijkheid van de lijnmanager om procedures en werkinstructies in lijn met het vastgestelde beleid beschikbaar te stellen aan (nieuwe) medewerkers. Daarbij voldoen de processen aan geldende wet- en regelgeving. Het is binnen processen van belang om vroegtijdig de voornaamste (privacy)bedreigingen waaraan de bedrijfsinformatie is blootgesteld te signaleren. Het behoort tot de taken van de lijnmanagers om risicoanalyses op het vlak van privacy (DPIA’s) en risicoanalyses op het gebied van informatiebeveiliging uit te voeren, door hiertoe opdracht te geven en zorg te dragen voor het voldoen aan de kwaliteitseisen uit de DPIA. Controleren van (werk)processen Het erop toezien dat de controles op het verwerken van persoonsgegevens regelmatig worden uitgevoerd, waarbij nadrukkelijk aandacht is voor de rechtmatigheid van de verwerking als de risico’s die inwoners lopen wanneer gegevens in een proces verwerkt worden.

Bovendien zijn zij verantwoordelijk voor de jaarlijkse controle op de autorisaties om vast te stellen dat alleen geautoriseerde medewerkers de juiste persoonsgegevens ingezien en verwerkt hebben. Uitdragen belang informatiebeveiliging en privacy naar het team Het uitdragen van het belang van informatiebeveiliging en privacy en het toezien op het hebben van basiskennis van medewerkers op het gebied van informatiebeveiliging en privacy en toepassing hiervan in het dagelijks werk. Het toezien op de training van medewerkers in het gebruik van beveiligingsprocedures. Het uitdragen van het strategisch beleid informatiebeveiliging en privacy. Bespreking van beveiligingsincidenten en datalekken en de consequenties die dit moet hebben voor beleid en maatregelen. Verantwoordelijk voor het nemen van (beheers)maatregelen die de continuïteit van het proces borgen. Het bespreken van informatiebeveiliging en privacy in de gesprekscyclus met medewerkers. Rapporteren over (werk)processen Afstemming met de afdelingen over de inhoudelijke aanpak vindt plaats door minimaal een keer per jaar het onderwerp privacy en informatiebeveiliging te bespreken in een planning en control overleg met de afdelingsmanager en businesscontroller, waarbij privacy en security-medewerkers kunnen adviseren.

Verantwoordelijkheid bij overdracht van taken of diensten aan dienstverlener of uitvoeringsorganisatie Daar waar taken of diensten zijn uitbesteed aan externe leveranciers of uitvoeringsorganisaties, waarborgen de proceseigenaren aan de hand van dienstverleningsafspraken optimale condities op het gebied van informatiebeveiliging en privacy. Deze afspraken moeten regelmatig worden gemonitord, om te zien of externe partijen zich aan de gemaakte afspraken houden. Verantwoordelijkheid bij overdracht van taken naar een dienstverlener via een gemeenschappelijke regeling

22

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

Bij deelname in een gemeenschappelijke regeling en andere samenwerkingsverbanden voorzien proceseigenaren de gemeentebestuurders die de gemeente vertegenwoordigen van sturingsinformatie, zodat deze op hun beurt in staat zijn om de belangen en risico’s op een juiste wijze te kunnen beheersen. Managers beheren en voeren regie over ketensamenwerkingen en de onderliggen afspraken die onder andere op het vlak van informatiebeveiliging en privacy kunnen worden gemaakt. De onderwerpen privacy en informatiebeveiliging worden in een vroeg stadium besproken alvorens de samenwerking wordt aangegaan. Dit draagt bij aan een zorgvuldige en veilige uitwisseling van gegevens tussen de aangesloten partijen.

6.4.2 Medewerkers Van alle medewerkers wordt verwacht dat zij verantwoord omgaan met persoonsgegevens en andere informatie. Een bewustwordingsprogramma draagt eraan bij dat medewerkers hiertoe in staat zijn. Alle medewerkers (zowel intern als extern) van de gemeente worden getraind in het gebruik van beveiligingsprocedures. Ook hebben alle medewerkers een minimale basiskennis van de privacywetgeving en weten deze bewust toe te passen in hun dagelijks werk. Informatiebeveiliging en privacybescherming maakt deel uit van de jaargesprekkencyclus en wordt besproken tussen de manager en de medewerker.

6.5 Ondersteuning (tweede lijn) Informatiebeveiligings- en privacyfunctionarissen ondersteunen en adviseren bij de implementatie en borging van informatiebeveiliging en privacy.

6.5.1 CISO De CISO ondersteunt vanaf een onafhankelijke positie de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening. De CISO heeft een functionele relatie met bestuur en directie en kan rechtstreeks aan hen rapporteren. De CISO - hierbij ondersteund door de ISO en TISO - is bevoegd en verantwoordelijk voor: - Het opstellen, actualiseren en laten vaststellen van strategisch-, tactisch- en operationeel beleid voor informatiebeveiliging; - Het opstellen, bijstellen en laten vaststellen van het meerjarenplan informatiebeveiliging en privacy; - Het rapporteren over de uitvoering en voortgang van het meerjarig informatiebeveiligingsplan aan de directie; - Het geven van gevraagd en ongevraagd advies aan het bestuur, de directie en het management van de organisatie over te nemen maatregelen. De CISO werkt hierbij nauw samen met de Functionaris Gegevensbescherming (FG). Waar mogelijk levert dit gemeenschappelijke risicoafwegingen en handelingskaders op. De focus van de CISO ligt op het aspect informatiebeveiliging. De CISO wordt bij afwezigheid vervangen door de ISO voor uitvoerende zaken en in geval van gemeentebrede zaken en/ of een calamiteit door de CIO.

23

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

6.5.2 Information Security Officer (ISO) De ISO is verantwoordelijk voor het coördineren van de opvolging en afhandeling van informatiebeveiligingsincidenten en -risico's. De ISO is de centrale vraagbaak voor informatiebeveiliging binnen de organisatie. De ISO geeft zowel gevraagd als ongevraagd advies inzake informatiebeveiliging. Ook zorgt de ISO voor het initiëren, coördineren en stimuleren van bewustwordingsactiviteiten (i.s.m. de PO) en is de ISO verantwoordelijk voor de on-boarding van nieuwe medewerkers.

6.5.3 Privacy Officer (PO) De PO is het eerste aanspreekpunt voor de gemeente inzake privacygerelateerde vraagstukken en heeft een monitorende en ondersteunde functie rondom het naleven en uitvoeren van het privacybeleid en privacy wet- en regelgeving (AVG, UAVG, Wpg en overige materiewetten). De PO geeft gevraagd en ongevraagd advies. De PO beheert het privacybeleid en het verwerkingsregister. Daarnaast faciliteert en ondersteunt de PO de afhandeling van datalekken, verzoeken van betrokkenen en data protection impact assessments (DPIA's). De PO vervangt bij verhindering de FG.

6.5.4 Technisch Information Security Officer (TISO) De TISO doet, onder andere n.a.v. (zelfstandig) uitgevoerde testen, verbetervoorstellen voor de beveiliging van ICT, ontwerpt ICT-beveiligingsrichtlijnen en ziet toe op technische naleving. De TISO is vraagbaak voor technische ICT-beveiligingsoplossingen en maatregelen.

6.5.5 Security architect De security architect werkt risico en dreiging gebaseerd, identificeert kwetsbaarheden en is verantwoordelijk voor het ontwerpen en implementeren van beveiligingsarchitecturen. De architect werkt samen met andere teams om beveiligingsprotocollen en -standaarden op te stellen en ziet toe op de implementatie van deze maatregelen. Ook zorgt de security architect voor voortdurende evaluatie en verbetering van de beveiligingsinfrastructuur.

6.6 Controle, verantwoording en audits (derde lijn) 6.6.1 Functionaris gegevensbescherming (FG) De gemeentelijke FG heeft een onafhankelijke positie ten opzichte van zowel lijnmanagement als het bestuur van de gemeente. De FG beschikt over directe toegang tot het bestuur, en kan hen zonder tussenkomst van andere bestuurslagen rechtstreeks adviseren over kwesties met betrekking tot privacy. De FG is verantwoordelijk voor het intern onafhankelijk toezien op en adviseren van het college van B&W over de juiste en zorgvuldige omgang met persoonsgegevens zoals de AVG voorschrijft. De FG is bevoegd en verantwoordelijk voor: - Het rapporteren over de uitvoering en voortgang van het meerjarig informatiebeveiligings- en privacybeschermingsplan aan de CIO; - Het geven van gevraagd en ongevraagd advies aan het bestuur en het management van de organisatie over te nemen maatregelen; - Het opstellen van een jaarverslag waarin bevindingen en aanbevelingen worden vastgelegd;

24

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

- Het adviseren bij en het monitoren van de uitvoering van DPIA’s; - Het toezichthouden op incidenten en op datalekmeldingen bij de Autoriteit Persoonsgegevens. De FG werkt hierbij nauw samen met de CISO. Waar mogelijk levert dit gemeenschappelijke risico- afwegingen en handelingskaders op. De focus van de FG ligt op het aspect bescherming van persoonsgegevens.

6.6.2 Auditor Interne en externe auditors houden toezicht op de mate van effectiviteit van het informatiebeveiligingsbeleid en de wijze waarop risico’s worden beheerd. Periodiek worden audits en reviews uitgevoerd om vast te stellen in hoeverre de organisatie voldoet aan de wet- en regelgeving op het vlak van informatiebeveiliging en privacy (bijvoorbeeld via de ENSIA-audit of de Wpg-audit). Hierbij is in het bijzonder aandacht voor de continue verbetercyclus (PDCA) binnen informatiebeveiliging.

25

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

7

Controle en verantwoording

Dit Strategisch beleid informatiebeveiliging en privacy is een verantwoordelijkheid van het bestuur van de gemeente Schiedam. De bestuurders van de gemeente Schiedam zullen volgens de 10 principes voor informatiebeveiliging richting en sturing geven aan het onderwerp informatiebeveiliging door het geven van voorbeeldgedrag en het vragen om informatie. De CIO is verantwoordelijk voor het gevraagd en ongevraagd rapporteren over informatiebeveiliging en privacy aan respectievelijke portefeuillehouders. De CIO rapporteert daarnaast over de mate waarin zij invulling heeft gegeven aan het uitwerken van tactische (deel) beleidsonderwerpen die aanvullend zijn op dit strategische beleid. De CIO wordt hierin ondersteund door de FG, de CISO, de Security architect, de PO’s en de (T)ISO. Rapporteren via het Jaarverslag aan de raad De verantwoording over de privacy en informatiebeveiliging komt in de bedrijfsvoering paragraaf van het gemeentelijk jaarverslag tot uitdrukking. Rapporteren via de ENSIA verantwoordingssystematiek aan de raad De gemeente Schiedam verantwoordt zich jaarlijks over informatiebeveiliging en – kwaliteit met de ENSIA verantwoordingsssystematiek richting de gemeenteraad en de RDI. Jaarlijks wordt bij elke nieuwe ENSIA-cyclus door de verantwoordelijk manager een ENSIA-coördinator aangewezen.

Deze zorgt ervoor dat de informatie die nodig is voor het beantwoorden van vragen binnen ENSIA wordt opgehaald bij de verantwoordelijke managers. De managers leveren alle informatie die nodig is voor het invullen van de jaarlijkse ENSIA-lijsten tijdig en volledig aan. ENSIA bundelt de verantwoording over de Baseline Informatiebeveiliging Overheid (BIO), Digitale Persoonsidentificatie (DigiD), Gezamenlijke Elektronische Voorzieningen Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), Basisregistratie Personen (BRP) en wet- en regelgeving reisdocumenten. Het college van B&W legt met de bestuurlijke ENSIA rapportages, raadsbrief én met een aparte paragraaf in het jaarverslag verantwoording af aan haar interne toezichthouder de gemeenteraad én aan de externe toezichthouders (RDI). Op deze wijze kan de ambtelijk en de bestuurlijk opdrachtgever en het college sturen op informatiebeveiliging. Zij kunnen hiermee besluiten nemen om informatiebeveiligingsrisico’s tot een acceptabel niveau te brengen die in lijn is met de risicobereidheid van de gemeente. Rapporteren via het FG jaarverslag aan het college De FG rapporteert jaarlijks middels een onafhankelijk jaarverslag over de stand van zaken rondom privacy (AVG en Wpg) aan het college van B&W.

Het jaarverslag bevat de bevindingen van de FG, de ontwikkelingen die hebben plaatsgevonden en eventuele aandachtspunten.

26

Strategisch beleid informatiebeveiliging en privacy gemeente Schiedam

Rapporteren over informatiebeveiliging aan de CIO De periodieke verantwoording over de informatiebeveiliging door de CISO toont in hoeverre de organisatie stappen heeft gemaakt in het verbeteren van de beveiliging. Tweemaandelijks wordt de status besproken in het strategisch overleg informatiebeveiliging Interne verantwoording Een Information Security Management System (ISMS) is een management instrument om informatiebeveiliging en privacy te waarborgen en hier regie op te voeren. Het stelt de gemeente in staat om op basis van de PDCA-cyclus continu te verbeteren op het vlak van informatiebeveiliging en privacy en biedt inzicht in de mate waarin wordt voldaan aan weten regelgeving en geldende normenkaders.

Colofon Stadskantoor, Stadserf 1 Postbus 1501, 3100 AE Schiedam 14 010 schiedam.nl

27