2. Uitvoeringsplan Cyberbeveiligingswet (NIS2) Zwolle

Digitaal veilig

Informatievoorziening IV Stadskantoor Lübeckplein 2 Postbus 538 8000 AM Zwolle Telefoon (038) 498 3090 www.zwolle.nl

Uitvoeringsplan Cyberbeveiligingswet Gemeente Zwolle

Opdrachtgever Informant Versie Datum

Jeroen Danse Hessel Bremer 1.0 7 november 2024

Inhoud

Management samenvatting

4

1. 1.1 1.2 1.3 1.4 1.5 1.6 1.7 1.8

Inleiding Aanleiding Scope uitvoeringsplan Niet in Scope uitvoeringsplan Resultaten Randvoorwaarden en succesfactoren Huidige stand van zaken Cyberbeveiligingswet Gemeenschappelijke samenwerking SSC Ons

5 5 5 5 6 6 8 8 8

2. 2.1 2.2 2.3 2.4 2.5 2.6 2.6.1 2.6.2 2.6.3 2.7

Te beheersen onderdelen Kwaliteitsmanagementsysteem Werking kwaliteitsmanagementsysteem Information security managementsysteem (ISMS) Volwassenheidsniveau Baseline informatiebeveiliging overheid (BIO) Network and Information Security richtlijn (NIS 2) Zorgplicht Meldplicht Toezicht Tien Zorgplichtmaatregelen

9 9 9 10 11 12 14 14 14 15 16

3. 3.1

Aandacht voor specifieke onderdelen Positie van bestuur

18 18

4.

Programma inrichting

19

5.

Fasering

20

2/20

Documentrevisietabel Datum

Versie

Naam

Rol/functie

Uitgevoerd

29-8-2024

0.1

Hessel Bremer

0.1 concept opgemaakt

2-9-2024

0.1

Dennis Fikenscher

CISO – Adviseur Digitale Veiligheid FG

2-9-2024

0.1

Sandra Zappeij

review

3-9-2024

0.2

Hessel Bremer

Concern controller CISO – Adviseur

10-9-2024

0.2

Hinne Schriemer

ISO

revisie concept versie 0.2 review

10-9-2024

0.2

Jeffrey Schuitema

Privacy officer

review

10-9-2024

0.2

Dennis Fikenscher

FG

review

16-9-2024

0.3

Hessel Bremer

CISO

Revisie versie 0.3

23-9-2024

0.9

CIO office

Manager IV

review

4-11-2024

0.9

Jalmar Pfeifer

Sectie IB&K

review

0.9

IV Businesspartners

Sectie Regie

tkn

1.0

Jalmar Pfeiffer, Dorine Velner, Hessel Bremer

IV

Projectstructuur, planning en financiën Definitief

28-11-2024

1.0

MT-IV

review

3/20

Management samenvatting Alle overheden zijn eind 2023 door het Ministerie aangewezen als essentiële entiteit voor de (digitale) veiligheid van Nederland. Een toenemende internationale geopolitieke digitale cyberdreiging is hiervan één van de oorzaken, waardoor strengere beveiligingseisen binnen Europa gaan gelden. Dit betekent dat gemeenten op korte termijn (2025) aantoonbaar moeten voldoen aan de nieuwe (EU) Cyberbeveiligingswet1. Naar verwachting wordt de wet in september 2024 behandeld in de Tweede Kamer en van kracht in het 2e of 3e kwartaal 2025. Het normenkader voor informatiebeveiliging is sinds 2019 de Baseline informatiebeveiliging overheid (BIO) en vormt een belangrijke basis voor het waarborgen van de betrouwbaarheid2 van informatie en digitale weerbaarheid. Gezien de impact van beheersmaatregelen op de bedrijfsvoering wordt geadviseerd vroegtijdig te starten met de voorbereiding van de implementatie. Een groot deel van de beheersmaatregelen komt uit de Baseline Informatiebeveiliging Overheid (BIO 1.04). Ook de BIO zelf is onderhevig aan deze eisen en zal, aangevuld met aangescherpte overheidsmaatregelen, worden herzien in BIO versie 2.0 (BIO V2), die bij AMvB3 wettelijk landelijk wordt verankerd. Gezien de tijdsdruk van deze ‘veranderopgave’ en om het overzicht te behouden is nagedacht over de bijbehorende methodiek.

Informatiebeveiliging bij gemeentes is gebaseerd op de internationale standaard voor informatiebeveiliging NEN-ISO-IEC 27001 en NEN-ISO-IEC 27002 en vertaald naar de BIO. Het systematisch beheren (PDCA) van de informatiebeveiligingsrisico’s en meten van de voortgang en effectiviteit van de maatregelen (ISMS4) is hierin geintegreerd. Door de beheersing van informatiebeveiliging uit te lijnen met het organisatiebreed risicomanagement en inrichtingsprincipes, ontstaat controle op de brede, geïntegreerde risico’s van de organisatie. Een kwaliteitsmanagementsysteem conform de NEN-ISO-IEC 9001 en gestuctureerde controle op compliancy en effectiviteit van genomen beheersmaatregelen, speelt hierbij een belangrijke rol, bijvoorkeur geïntegreerd in de bestaande Planning & Controle (P&C-) cyclus. Specifiek de leidinggevende ambtelijke organisatie speelt een grote rol in dit verbeterproces, zowel bij de implementatie als ook het onderhouden van kennis en benodigde competenties om uitvoering te geven aan hun rol bij dit ‘risicogedreven’ kwaliteitsproces. Implementatie en beheer van bijbehorende GRC-tooling5 wordt gedaan door de afdeling IV, sectie Informatiebeheer & Kwaliteit. Invoering van de Cyberbeveiligingswet is complex en dient nauwgezet te worden gevolgd. Het kwaliteitsmanagementsysteem (ISMS) geeft hierin overzicht en inzicht om de regie te behouden.

Extern programmamanagement wordt ingehuurd voor een tijdige voortgang. Het lijnmanagement blijft zelf verantwoordelijk voor invoering van de eigen beheersmaatregelen, waarvan het overzicht vanuit de GRC-tooling wordt gecoördineerd vanuit de sectie Informatiebeheer & Kwaliteit (IV). Uiteindelijk zal implementatie van de Cyberbeveiligingswet niet alleen bijdragen aan de digitale weerbaarheid van gemeente Zwolle, maar ook aan de kwaliteitsverbetering van dienstverlening èn algehele ontwikkeling van onze stad. 1 Cyberbeveiligingswet - verzamelnaam NIS-2, CER-richtlijn en BIO V2. 2 Betrouwbaarheid - beschikbaarheid, integriteit, vertrouwelijkheid van informatie 3 AMvB - Algemene Maatregel van Bestuur 4 ISMS - Information Security Management Systeem 5 GRC - Governance, risk, compliance

4/20

1.

Inleiding

1.1

Aanleiding Gemeente Zwolle heeft als essentiële entiteit voor de veiligheid van Nederland te maken met aangescherpte EU-regelgeving, bedoeld om de (digitale-)veiligheid te waarborgen. Dit betekent dat Zwolle aantoonbaar moet voldoen aan specifieke wet- en regelgeving voor cyberbeveiliging. Hiervoor is het nodig om deze te implementeren in de bestaande bedrijfsprocessen. In sommige gevallen zijn deze processen nog niet aanwezig en/of ontbreekt het eigenaarschap van deze processen, waarin Zwolle de benodigde aanvullende (randvoorwaardelijke) processen dient te implementeren. Dit doen wij door betreffende beheersmaatregelen vanuit de normenkaders te volgen.

1.2

Scope uitvoeringsplan De scope van dit uitvoeringsplan geeft richting aan de invoering van de Cyberbeveiligingswet. Voor de uiteindelijke inrichting van invoering is het kwaliteitsmanagementsysteem nodig, op basis van de NEN-ISO-IEC 9001, waarmee overzicht (regie), monitoring en rapportage van de implementatie van de Cyberbeveiligingswet (NIS-2, CER6-richtlijn en BIO V2) gaat plaatsvinden. Invoering van de Cyberbeveiligingswet en het Kwaliteitsmanagementsysteem kunnen separaat plaatsvinden, waarbij de projectplanning en resultaten op elkaar dienen aan te sluiten. Voorgesteld wordt om een specifiek Projectplan te maken voor; • Projectplan invoering Cyberbeveiligingswet (externe partij; resultaatverplichting) • Projectplan invoering Kwaliteitsmanagementsysteem, inclusief GRC-tooling.

1.3

Niet in Scope uitvoeringsplan Hoewel invoering van de Cyberbeveiligingswet vrijwel alle bedrijfsprocessen raakt, komen niet alle genoemde onderdelen voor rekening van dit programma. Onderstaand een overzicht van deze specifieke onderdelen, die op andere wijze vanuit de organisatie de benodigde management aandacht vereisen; • Opvolging van de Deloitte auditbevindingen aangaande de IT-general controls. • Implementatie van een Kwaliteitsmanagementsysteem conform de NEN-ISO-IEC 9001; Concernstaf (Business-/ Concern control) in samenwerking met de afdeling IV, afdeling Informatiebeheer en Kwaliteit (IB&K). • Invoering GRC-tooling voor het Kwaliteitsmanagementsysteem (Key2Control); sectie IB&K afdeling IV. • Bedrijfscontinuïteit (BCM); vaststellen kritische processen en opmaken van bijbehorende noodplannen bedrijfsverstoring. • Crisismanagement. • Integraal risicomanagement • Keten- en leveranciersmanagement In dit plan wordt een aantal van deze onderwerpen benoemd en geduid, zodat duidelijk is wat de essentie is en eventuele relatie er bestaat met betrekking tot Cyberbeveiliging.

6 CER - Critical Entities Resilience Directive (CER-richtlijn)

5/20

Commentaar [RN1]: Wel in scope, project is al gestart

1.4

Resultaten De te behalen resultaten van dit uitvoeringsplan zijn; • Tijdige invoering van de Cyberbeveiligingswet; NIS2, CER-richtlijn èn BIO V2 (NENISO-IEC 27001/2); • Op basis waarvan aantoonbaar en toetsbaar wordt voldaan aan de Cyberbeveiligingswet. Het behalen van deze resultaten is aan tijd gebonden en uiteindelijk een meerjarig implementatietraject voor de organisatie. Het Programmamanagement wordt belegd bij een aan te stellen externe partij, die wordt gevraagd een projectplan op te leveren en realistische haalbaarheid te onderzoeken.

1.5

Randvoorwaarden en succesfactoren Invoering van de Cyberbeveiligingswet heeft een directe relatie en afhankelijkheid met onze (be-)staande organisatie. In sommige gevallen heeft dit impact op een bestaand proces en in een ander geval is het wellicht nog een ontbrekend proces. In alle gevallen zal vanuit de norm beredeneerd duidelijk worden welke beheersmaatregel, waar nodig is om aan de wet te voldoen. Betreffende proceseigenaar is uiteindelijk verantwoordelijk voor implementatie hiervan. Voor een succesvolle implementatie zijn onderstaande randvoorwaarden van belang; Organisatie Onderwerp Governance voor informatie- en cyberbeveiliging Risicomanagement Bedrijfscontinuïteit (BCM)

Inkoop eisen

Keten- en leveranciersmanagement

Crisis- en incidentmanagement

Kwaliteitsmanagementsysteem

Doelstelling Eigenaarschap en verantwoordelijkheden adresseren Integraal risicomnanagement. Zie Zorgplichtmaatregel 1 en BIO V2. Bedrijfscontinuïteitsproces, eigenaarschap en stakeholders formaliseren. Zie Zorgplichtmaatregel 3 en BIO V2. Aangescherpte inkoopeisen implementeren in de bestaande processen, specifiek aan de voorkant van het inkoop- en aanschaftraject (security by design). Zie BIO V2. Formaliseer dit proces en eigenaarschap. Inventariseer en completeer de huidige leveranciers contracten op basis van de nieuwe wetgeving, inclusief risicobeheersing en compliance. Zie Zorgplichtmaatregel 7 en BIO V2. Integrale proces van incident, calamiteiten en crisismanagement. Zie Zorgplichtmaatregel 4 en BIO V2. Implementeer de NEN-ISO-IEC 9001 als internationale standaard voor kwaliteitsmanagement en procesverbetering.

6/20

Proces Onderwerp Kritische processen

Lijnmanagement / compliancy

Controle op genomen beheersmaatregelen (NIS-2 en BIO V2)

Doelstelling Benoemen van kritische (vitale) processen en verantwoordelijk eigenaar Maak afspraken met leveranciers op basis van de Cyberbeveiligingswet (Zorgplicht), over de gewenste dienstverlening van de kritische systemen (maximale uitvalsduur, maximaal gegevensverlies, acuut melden van cyberincidenten) Lijnmanagement (1e lijn) is verantwoordelijk voor de (eigen) processen op de afdeling, zo ook risicomanagement, bedrijfscontinuïteit en cyberbeveiligingswet (Meldplicht), door te voldoen aan gestelde maatregelen vanuit de wet- en regelgeving. De 2e lijnsfuncties (BC, ISO, PO, Inkoop) ondersteunen hierbij. De effectiviteit van genomen beheersmaatregelen dient periodiek onafhankelijk te worden getoetst. Dit proces wordt geïntegreerd in de P&C cyclus.

Techniek Onderwerp IT-beheer proces

IT en OT systemen

Doelstelling Opvolging van Deloitte ML2023 bevindingen. Overweeg implementatie van een ITmanagementsysteem, waarmee gestructureerd beter aansluiting plaatsvind mbt Cyberbeveiligingswetgeving. Breng alle IT en OT ! systemen en leveranciers in kaart en beleg zonodig het interne eigenaarschap hiervan. Breng de risico’s in kaart en neem verbetermaatregelen cf de NIS-2 en BIO V2.

Mens Onderwerp Bewustwording Competenties bestuur

Competenties ambtelijke leiding

Doelstelling Onderhoud het (informatie-) cyberbewustzijn binnen de organisatie. Bewustwording en competenties ten aanzien van informatie- en cyberbeveiligingswet dienen aantoonbaar te zijn en onderhouden te worden. Bewustwording en competenties ten aanzien van informatie- en cyberbeveiligingswet dienen aantoonbaar te zijn en onderhouden te worden.

7/20

1.6

Huidige stand van zaken Op dit moment heeft Zwolle de IT-beheersings- en informatiebeveiligingsmaatregelen nog onvoldoende op orde (Deloitte Managementletter 2023). Door de afdeling IV wordt een apart projectplan opgeleverd wat opvolging geeft aan deze auditbevindingen. Ook ontbreekt vooralsnog een beheersingsystematiek om de implementatie van wet- en regelgeving gestructureerd uit te voeren en te monitoren. De GRC-tool die hiervoor nodig is wordt op dit moment gebruikt om de jaarlijkse ENSIA-zelfevaluatie uit te voeren (Key2Control).

1.7

Cyberbeveiligingswet Alle overheden zijn verplicht de nieuwe Cyberbeveiligingswetgeving te implementeren. De NIS-2-richtlijn wordt in Nederland wettelijk verankerd in de Cyberbeveiligingswet (Cbw). De Cyberbeveiligingswet gaat over de volgende EU-regelgeving; • Beveiliging van netwerk- en informatiesystemen richtlijn 2 (NIS-2); • Cyberbeveiligingsverordening (EU); • Cyberweerbaarheidsverordening (EU); • Critical Entities Resilience richtlijn (CER) Aanvullend hierop wordt de nieuwe BIO V2 door middel van een Algemene Maatregel van Bestuur voor overheden wettelijk verplicht verklaard. •

1.8

Baseline informatiebeveiliging overheid (en BIO-2 ic NEN-ISO 27001 en 27002 en aanvullende beheersmaatregelen).

Gemeenschappelijke samenwerking SSC Ons De beheersing van uitbestede processen is belegd bij SSC-Ons. Zwolle behoudt als partner zelf de verantwoordelijkheid om te voldoen aan de Cbw en BIO V2, maar er zijn ook normelementen die in de gemeenschappelijke samenwerking van toepassing zijn en kunnen worden opgepakt. Het PO Security heeft eerder het Bedrijfsvoering beraad (BVB) geadviseerd over een gezamenlijke, eenduidige en geüniformeerde aanpak de cyberweerbaarheid, die hieraan ten goede komt. Hiervoor is een security jaarkalender 2024-2026 aangeleverd aan het BVB. In september 2024 wordt deze besproken met het BVB op basis waarvan benodigde middelen gealloceerd worden. Het tactisch IB&P overleg SSC Ons en partners is inmiddels gestart om betreffende beleidsdocumentatie te standaardiseren voor de ‘minimale set aan beveiligingsmaatregelen’ conform de NIS-2. Naast het SSC Ons maakt gemeente Zwolle gebruik van ketenpartners en leveranciers. De bestaande contracten moeten uitgelijnd worden met de Cyberbeveiligingswet en daar waar nodig inhoudelijk herzien.

•

• •

Voorgesteld wordt om implementatie van de Cyberbeveiligingswet te starten met de specifieke onderdelen die nodig zijn om de ENSIA verantwoording van 2024 aan te tonen. Hiermee is verantwoording van het lopende auditjaar gewaarborgd. De SSC Ons organisatie valt naar verwachting ook onder de ‘essentiele entiteit’ en dient hiermee ook aantoonbaar te voldoen aan de Cbw. Let wel! Gemeente Zwolle werkt samen met meerdere (SAAS-) leveranciers en heeft hiering concreet iets te organiseren ikv de Cyberbeveiligingswet.

8/20

2.

Te beheersen onderdelen

2.1

Kwaliteitsmanagementsysteem De NEN-ISO-IEC 9001 is de internationale standaard voor een kwaliteitsmanagementsystemen (QMS). De norm biedt een kader voor organisaties om ervoor te zorgen dat producten en diensten consistent voldoen aan klanteneisen en wet- en regelgeving, en dat er voortdurend wordt gestreefd naar verbetering. Een QMS zorgt tevens voor inzicht en overzicht. De NEN-ISO-IEC 27001 is de internationale norm voor informatiebeveiliging. Het systematisch beheren (PDCA) van de informatiebeveiligingsrisico’s, implementatie voortgang en het meten van de effectiviteit van de maatregelen is hierin geintegreerd. Voor implementatie van de Cyberbeveiligingswet (opzet, bestaan en werking) is het van belang dat de effectiviteit van genomen beheersmaatregelen aangetoond kan worden. Hiervoor maken wij gebruik van een kwaliteitsmanagementsysteem voor informatiebeveiliging, het Information Security Management Systeem (systematiek), ISMS genoemd. Om de risico’s te mitigeren worden er beheersmaatregelen genomen, in dit geval vanuit de wetgeving (NIS-2, CER en BIO V2), die worden bijgehouden in het ISMS. Ditzelfde geldt voor de status (voortgang), de opvolging en het eigenaarschap. Beheersmaatregelen kunnen zowel technische als organisatorische maatregelen zijn om de kwaliteit van onze processen, de techniek en mensen, te blijven verbeteren.

Voor een kwaliteitsmanagementsysteem – ISMS is GRC-tooling nodig. Al enkele jaren maakt Zwolle gebruik van Key2Control, waarmee de jaarlijkse ENSIA verantwoording wordt geleverd. Door het kwaliteitsmanagementsysteem (ISMS), compliancy en onafhankelijke controle op genomene beheersmaatregelen (NIS-2, BIO V2) te integreren in bestaande P&C-cyclus van onze organisatie ontstaat een integraal inzicht en overzicht in risico’s en kwaliteit van onze processen, waarmee de volwassenheid kan worden aangetoond.

2.2

Werking kwaliteitsmanagementsysteem In een kwaliteitsmanagementsysteem staat het risicobeheerproces centraal. Het doel van dit systeem is het continu verbeteren van genomen beveiligingsmaatregelen, zodat deze passend en effectief zijn voor het betreffende proces. Voor informatiebeveiliging is het van groot belang om te blijven (mee-)groeien, zowel met de kwaliteit van het bedrijfsproces, als het (gewenste) te behalen volwassenheidsniveau. Door verbeteringen vast te leggen in het kwaliteitsmanegementsysteem ISMS blijft de ontwikkeling aantoonbaar geborgd.

9/20

2.3

Information security managementsysteem (ISMS) Conform de BIO moeten gemeenten beschikken over een Information Security Management Systeem (ISMS cf NEN-ISO-IEC 27001), vanaf de BIO V2 zelfs wettelijk verplicht. Het Information Security Management System (ISMS) volgens de Baseline Informatiebeveiliging Overheid (BIO) is een managementsysteem dat gericht is op het beheren van informatiebeveiliging. Het ISMS omvat beleid, processen en maatregelen om de beveiliging van informatie te waarborgen. Ook is het ISMS erop gericht om de effectieve werking van beheersmaatregelen (PDCA) te toetsen. Uiteindelijk wordt het voldoen aan de BIO (geheel en op maatregelniveau), getoetst in opzet, bestaan en werking. De nieuwe Cyberbeveiligingswet dient uiteindelijk op werking aantoonbaar getoetst te worden.

Figuur 1 Schema werking ISMS

10/20

2.4

Volwassenheidsniveau Het meten van de volwassenheid van informatiebeveiliging in de organisatie, vindt plaats aan de hand van een volwassenheidsmodel, zie NOREA | Volwassenheidsmodel voor informatiebeveiliging 3.0. Het volwassenheidsmodel maakt inzichtelijk op welk niveau de organisatie de beheersing van informatiebeveiligingsrisico's in control heeft. Het is aan Directie om periodiek het te behalen volwassenheidsniveau van de organisatie vast te stellen, zodoende ontstaat duidelijkheid over de te behalen tussentijdse doelstellingen. Om uiteindelijk te voldoen aan de Cyberbeveiligingswet is het minimaal van belang dat wij de werking van onze processen (niveau 4) kunnen aantonen.

Figuur 2 Illustratie volwassenheidsniveau informatiebeveiliging

•

•

•

•

De NEN-ISO-IEC 9001 is de internationale standaard voor een kwaliteitsmanagement-systemen (QMS) en zorgt ervoor dat op basis van wet- en regelgeving voortdurend wordt gestreefd naar procesverbetering. Door de beheersing van informatiebeveiliging uit te lijnen met het organisatiebreed risicomanagement en inrichtingsprincipes, ontstaat controle op de brede, geïntegreerde risico’s van de organisatie. Een kwaliteitsmanagementsysteem (ISMS) genereert inzicht en overzicht en kan op elk moment de huidige status rapporteren (dashboard), voor zowel de interne regie als periodieke toetsing, bijvoorbeeld voor een externe audit of interne toetsing. Het huidige contract met Key2Control is eindig (Q1 2025) en verdient aandacht om de continuïteit van dit uitvoeringsplan te waarborgen.

11/20

Figuur 3 Schematische weergave PDCA cyclus Informatiebeveiliging

2.5

Baseline informatiebeveiliging overheid (BIO) De Baseline informatiebeveiliging is sinds 2019 de standaard norm voor informatiebeveiliging bij de Overheid en is gebaseerd op de internationale standaard de NEN-ISO-IEC 27001 en NEN-ISO-IEC 27002. Voor gemeente Zwolle is de opzet om te komen tot implementatie van de BIO vastgelegd in het strategische ‘Informatiebeveiligingsbeleid 2022 – 2026’, versie 0.17 en geformaliseerd door het College. Afgelopen jaren heeft Zwolle middels de ENSIA-zelfevaluatie, jaarlijks bestuurlijke (horizontale) verantwoording afgelegd aan het College op de Baseline Informatiebeveiliging Overheid (BIO). De BIO vormt voor de Cyberbeveiligingswet een belangrijke basis. In relatie tot de Cyberbeveiligingswet wordt ook de BIO herzien in versie BIO V2, en middels een AMvB wettelijk verankerd. Het opvolgen van de BIO maakt direct onderdeel uit van de Cyberbeveiligingswet. Landelijke evaluatie van de huidige BIO V1.04 heeft in 2022 uitgewezen dat integratie van risicomanagement van belang is voor het beheersen van informatiebeveiligingsrisico’s en dat hierbij het meten van de effectiviteit van maatregelen (ISMS) nodig is om de huidige digitale weerbaarheid naar het gewenste volwassenheids- en weerbaarheidsniveau voor gemeenten te brengen. Met implementatie van de BIO V2 wordt specifiek voldaan aan de Zorgplicht van de Cbw (NIS-2).

12/20

• • • •

•

•

•

Het Informatiebeveiligingsbeleid dient te worden herzien (revisie) naar aanleiding van de Cyberbeveiligingswet (NIS 2) en aanstaande BIO V2. Implementatie van de BIO geeft opvolging aan de Zorgplicht van de Cbw, zie 2.7 Zorplichtmaatregelen. Het kwaliteitsmanagementsysteem (ISMS) biedt inzicht en overzicht in de actuele status van implementatie en uiteindelijke compliance. Het tactische IB&P overleg van SSC Ons en partners inventariseert en standaardiseert het benodigde beleid voor de verplichte maatregelenset BIO – NEN-ISO-IEC 27001, zie figuur 3. verwacht wordt dat op specifiek dit onderdeel externe ondersteuning en expertise nodig is om tijdig te voldoen aan de NIS-2, Cbw en BIO V2. Randvoorwaarwaardelijk hiervoor is een werkend kwaliteitsmanagementsysteem (ISMS7) waarmee de werking van het controleproces op implementatie van de BIO wordt gemonitord. Voorgesteld wordt om naast de bestaande (betrokken) interne governance een externe partij tijdelijk in te huren met als doel Zwolle certificeerbaar te maken voor de Cyberbeveiligingswet; NIS-2, CER-richtlijn en BIO V2) en voortgang van implementatie afdoende te waarborgen. Uiteindelijke certificering nader te bepalen op basis van de landelijke ontwikkelingen voorwat betreft uiteindelijke methodiek van Bestuurlijke-auditing van de Cyberbeveiligingswet.

Implementatie van de (IT infrastructurele) onderdelen vallen onder de gemeenschappelijke samenwerking en worden uitgevoerd vanuit het (programma) VDW8 en Security jaarkalender (BVB).

8 VDW – voormalig programma verhogen digitale weerbaarheid SSC Ons

13/20

Figuur 4 Verplichte maatregelenset NEN-ISO-IEC 27001

2.6

Network and Information Security richtlijn (NIS 2) De NIS 2 richtlijn wordt verankerd in de Cyberbeveiligingswet. Zie onderstaande afbeelding.

De Network and Information Security directive, of NIS-2-richtlijn, is de opvolger van de NIS-1 richtlijn. Deze richtlijn is vastgesteld door de Europese Unie (EU) en bedoeld om de cyberbeveiliging en weerbaarheid van essentiële diensten in EU-lidstaten te verbeteren. De richtlijn stelt strengere beveiligingsnormen en meldingsvereisten voor incidenten. De NIS-2-richtlijn wordt op dit moment vertaald naar Nederlandse wetgeving, de Cyberbeveiligingswet. De NIS-2-richtlijn gaat in op de risico’s die netwerk- en informatiesystemen bedreigen, zoals cyberbeveiligingsrisico’s en wordt verwacht vanaf Q2 of Q3 van 2025. 2.6.1

Zorgplicht De richtlijn bevat een zorgplicht die organisaties verplicht zelf een risicobeoordeling uit te voeren. Op basis van deze risicobeoordeling nemen zij passende maatregelen om de continuïteit van hun diensten zoveel mogelijk te waarborgen en de gebruikte informatie te beschermen. Voor de overheid omvat dit onderdeel de Baseline Informatiebeveiliging Overheid (BIO V2).

2.6.2

Meldplicht De richtlijn schrijft voor dat incidenten binnen 24 uur gemeld worden bij de toezichthouder. Het gaat om incidenten die de continuïteit van dienstverlening van de essentiële entiteit aanzienlijk (kunnen) verstoren. In het geval van een cyberincident moet het ook gemeld worden bij het Computer Security Incident Response Team (CSIRT), die hulp- en bijstand kan leveren. In ons

14/20

geval is de Informatiebeveiligingsdienst (IBD – VNG) als CSIRT voor gemeenten aangewezen en staat rechtstreeks in contact met het Nationale Cybersecurity Center van het Ministerie J&V (NCTV). 2.6.3

Toezicht Organisaties die onder de richtlijn vallen, zoals gemeente Zwolle, krijgen verplicht toezicht. De NIS-2-richtlijn schrijft voor dat een onafhankelijk toezichthouder kijkt naar de naleving van de verplichtingen uit de richtlijn, zoals de zorg- en meldplicht. Voor de overheid wordt de Rijksinspectie Digitale Infrastructuur (RDI) aangewezen als toezichthouder. De RDI maakt voor het toezicht op NIS-2 voor de overheid gebruik van bestaande verantwoordingsstructuren (bv. ENSIA), om mogelijke administratieve lasten van het toezicht tot een minimum te beperken.

15/20

2.7

Tien Zorgplichtmaatregelen Gemeente Zwolle moet maatregelen nemen om hun netwerk- en informatiesystemen te beschermen tegen incidenten. Dit geldt ook voor de fysieke omgeving waarin de systemen zich bevinden en gaat feitelijk om zowel de IT9 als OT10. Voor OT zie uitwerking van de Haagse Hogeschool voor gemeenten. Onder de Zorgplicht vallen ook de volgende maatregelen; Maatregel 1 Een risicoanalyse en beveiliging van informatiesystemen Een beleid inzake risicoanalyse beschrijft dat je op basis van een risicobeoordeling de risico’s monitort en waar nodig risicobeheersmaatregelen implementeert. Het maken van een risicoanalyse is een belangrijke stap in het verhogen van de cyberweerbaarheid. Het correct uitvoeren van een risicoanalyse over de gehele organisatie en ketenpartners, is essentieel om alle risico's in kaart te brengen. Het beleid inzake risicoanalyses kan per organisatie verschillen. Een beleidsplan bevat minimaal: - wat het doel en scope van het document is - de rollen en verantwoordelijkheden - de risicocriteria - frequentie van het uitvoeren van risicoanalyses en - wanneer het beleidsplan wordt herzien. Maatregel 2 Beveiligingsaspecten op het gebied van personeel, toegangsbeleid en beheer van bedrijfsmiddelen; Het personeel van een organisatie kan worden gezien als de eerste verdedigingslinie tegen cyberaanvallen.

Om grip te houden op de beschikbaarheid, integriteit en vertrouwelijkheid en van jouw netwerk en informatiesystemen, is het van belang om een goed toegangsbeleid in te richten. Inzicht en beheer van activa of assets houdt in dat organisaties een inventaris bijhouden van al het materiaal zoals hard- en software en de gegevens die deze assets bezitten en gebruiken (dit is ook onderdeel van de risicoanalyse). Op basis van deze inventaris kun je ervoor zorgen dat potentiële kwetsbaarheden te identificeren en te beheren zijn. Maatregel 3 Maatregelen op gebied van bedrijfscontinuïteit (backupbeheer en noodvoorzieningenplan) Een Businesscontinuïteitsplan is een document dat beschrijft hoe een bedrijf of organisatie omgaat met een ernstige verstoring of calamiteit.

Maatregel 4 Incidentenbehandeling; De gevolgen van een verstoring, uitval, datalek of cyberaanval kunnen ernstig zijn. Daarom wil je bij een incident adequaat reageren om negatieve gevolgen te beperken. Een Incident Response Plan (IRP) helpt je organisatie hierbij.

9 IT – informatie technologie 10 OT – operationele technologie

16/20

Maatregel 5 Basis cyberhygiëne en trainingen op het gebied van cyberbeveiliging;

Maatregel 6 Beveiliging bij het verwerken, ontwikkelen en onderhouden van netwerk- en informatiesystemen, inclusief de respons op en bekendmaking van kwetsbaarheden; Beleid over de beveiliging van netwerk- en informatiesystemen gaat over een groot aantal onderwerpen. Een organisatie moet beleid hebben over hoe het bedrijfsnetwerk is ingericht en welke veiligheidsmaatregelen zijn toegepast. Configuratiemanagement; Er is ook beleid nodig voor het juist instellen of configureren van het bedrijfsnetwerk, systemen, hardware en software. Change management: Beleid hoe de organisatie omgaat met het implementeren en bewaken van veranderingen, reparaties en onderhoud. Patch managementbeleid; Om minder kwetsbaar te zijn is het belangrijk om zo snel als mogelijk beveiligingsupdates ('patches') te installeren. Vulnerability management; Elke dag worden er nieuwe kwetsbaarheden in software bekend gemaakt. Als organisatie wil je het weten als er een beveiligingslek is in de software die je gebruikt. Daarom wil je dit monitoren.

Secure Development; Dit houdt tenminste in dat de ontwikkelomgeving beveiligd wordt en dat de organisatie de software en systemen in een vroegtijdig stadium test op kwetsbaarheden Aanbestedings- of inkoopbeleid; Een mogelijk risico is dat nieuwe kwetsbaarheden of onjuist geconfigureerde netwerk- en informatiesystemen in de organisatie worden gebracht tijdens het inkoopproces. Maatregel 7 Beveiliging van de toeleveranciersketen; De keten is zo sterk als de zwakste schakel. Bedrijven zijn vaak afhankelijk van de (deel)producten of diensten van toeleveranciers. Als bedrijven digitaal met elkaar verbonden zijn, krijgt de afhankelijkheid nog een andere dimensie; een beveiligingslek bij de ene organisatie kan grote gevolgen hebben voor de organisatie waarmee het digitaal verbonden is. Maatregel 8 Beleid en procedures over het gebruik van cryptografie en encryptie; Het doel van beleid en procedures voor cryptografie en encryptie is dat de vertrouwelijkheid, integriteit, onweerlegbaarheid, authenticiteit van data gewaarborgd wordt.

Maatregel 9 Het gebruik van multifactorauthenticatie, beveiligde spraak-, video- en tekstcommunicatie en noodcommunicatiesystemen; Voor veilige bedrijfsprocessen is het nodig dat gebruikers, apparaten en andere activa worden geauthentiseerd door middel van meerdere authenticatiefactoren of continue authenticatiemechanismen om toegang te krijgen tot de netwerken en informatiesystemen van de organisatie. Maatregel 10 Beleid en procedures om de effectiviteit van beheersmaatregelen van cyberbeveiligingsrisico’s te beoordelen; Na het implementeren is het noodzakelijk om te weten of de genomen maatregelen effect hebben en de beoogde risico's ermee zijn afgedekt. Om het effect te meten, moeten de maatregelen getoetst en geëvalueerd worden. Om dit gestructureerd en systematisch te laten plaatsvinden, moet de toetsing in het beleid van de organisatie worden opgenomen. Eén van de manieren om de effectiviteit van maatregelen te toetsen, is via een securitytest.

17/20

• •

•

• •

De Cyberbeveiligingswet wordt vanaf Q2-3 2025 van kracht, waaraan per datum aan de wet aantoonbaar dient te worden voldaan. Op dit moment wordt nog gewerkt aan aanvullende maatregelen en de nieuwe verantwoordingsstructuur voor informatiebeveiliging (RDI en Ministerie) met betrekking tot de (nieuwe) ENSIA en interne controle (P&C). De NIS-2 verwijst naar implementatie van een minimale set aan vereisten, waarbij de VNG gemeenten adviseert om aantoonbaar (opzet, bestaan en werking) te gaan voldoen aan de BIO. Momenteel werkt de IBD aan handreikingen en producten om hier nadere invulling aan te geven voor gemeenten. Volg de 10 maatregelen vanuit de Digital Trust Center, zie https://www.digitaltrustcenter.nl/nis2/startpunt

3.

Aandacht voor specifieke onderdelen

3.1

Positie van bestuur De Cbw verplicht bestuurders om zelf aantoonbaar cyberweerbaar te zijn. Concreet houdt dit in dat; • Bestuur maatregelen goedkeurt en toeziet op uitvoering van Cyberbeveiliging; • Bestuur, directie en management (ambtelijke leiding) aantoonbaar over voldoende kennis en vaardigheden beschikt om; o Risico’s te identificeren o Risicobeheersmaatregelen te beoordelen o De gevolgen van risico’s en risicobeheersmaatregelen voor de organisatie kan beoordelen • Ieder lid van de ambtelijke leiding voldoet aan voorgaande binnen twee jaar na inwerking treden van de Cyberbeveiligingswet of binnen twee jaar na benoeming. • Ieder lid van de ambtelijke leiding genoemde kennis aantoonbaar actueel houdt en hiervan een certrificaat kan overleggen. De AMvB kan nadere regels stellen over de duur en het niveau van gestelde competenties (opleiding).

• •

•

De ambtelijke leiding dient aantoonbaar te voldoen aan het gestelde bewustwording- en kennisniveau. Vanuit de afdeling HR zal een management development training opgestart dienen te worden om te voldoen aan het gewenste kennisniveau van de ambtelijke leiding. Uiteindelijke registratie hiervan met wellicht een afsluitende accreditering geeft inzicht in behaalde competenties en de werking van dit proces. De LMS11 modules van HR kunnen worden ingezet om de nieuwe content gericht aan te bieden.

11 LMS – Leermanagementsysteem van de afdeling HR

18/20

4.

Programma inrichting

4.1

Scope De kern van uitvoering van dit plan is de implementatie van de NIS-2, BIO V2 en aanvullende overheidsverplichtingen (ntb). Door implementatie van het kwaliteitsmanagementsysteem (ISMS) worden de te implementeren specifieke beheersmaatregelen inzichtelijk en overzichtelijk. Deze worden vervolgens gestructureerd geïmplementeerd in het betreffende (bestaande) proces, onder verantwoordelijkheid van betreffende lijnmanager (1e lijn) met ondersteuning vanuit de 2e lijn. Er wordt een externe partij ingehuurd die zorgdraagt voor een gestructureerde en tijdige implementatie van de Cyberbeveiligingswet om uiteindelijk te komen tot gewenste nader te bepalen certificering en (pré-)audit. De ingehuurde partij levert zo snel als mogelijk een specifiek plan van aanpak op, naar aanleiding van dit uitvoeringsplan Cyberbeveiligingswet, om te komen tot het gewenste resultaat. Zoals gezegd heeft het plan impact op zowel de bedrijfsvoering als dienstverlening van onze organisatie en dient implementatie in bestaande processen, in afstemming en onder verantwoordelijkheid van betreffende lijnmanager plaats te vinden. De aansluiting met deze processen wordt expliciet opgenomen in het plan van aanpak van de ondersteunende partij. De directie is als opdrachtgever bestuurlijk verantwoordelijk voor de algehele implementatie en het uiteindelijke tijdige resultaat.

De afdeling IV en team Informatiebeheer en Kwaliteit coördineert faciliterend vanuit de 2e lijn de voortgang in nauwe samenwerking met de ingehuurde ondersteunende externe partij. Over de status en voortgang wordt per kwartaal gerapporteerd.

19/20

5.

FaseringPlanning en fasering 2024 Uitvoeringsplan Cyberbeveiligingswet (MT-IV; CIO) Besluitvorming en begroting (Directie; College) Offerte traject externe ondersteuning Plan van aanpak externe partij Kick-off Cyberbeveiligingswet

2025

Sept

Okt

Nov

Dec

Jan

Feb

Mrt

Apr

Mei

Jun

Jul

Aug

Sep

Okt

Nov

Dec

Jan

Feb

Mrt

Apr

Mei

Jun

Jul

Aug

Sep

Okt

Nov

Dec

Oplevering conform PvA externe partij

Pre-audit

2026 Oplevering conform PvA externe partij Certificeerbaarheid

Audit-certificering

6.

Financiële paragraaf

20/20