De BIG en de Omgevingswet
Hoofdstuk: Bestuurlijke aspecten
- Managementsamenvatting
- Inleiding
- Architectuur
- Bestuurlijke aspecten
- Bevoegde gezagen
- Relevante normen: Organisatie
- Relevante normen: IB Processen
- Relevante normen: Techniek
- Bijlage A: Begrippen
- Bijlage B: Architectuurplaat
- Bijlage C: Basisnormen
Deze pagina is een onderdeel van De BIG en de Omgevingswet compleet: Hele document bekijken - Exporteren - Definitie
De BIG geeft richting aan bestuurders en management van Nederlandse gemeenten met betrekking tot de sturing op informatiebeveiliging. Deze sturing is ook bij de implementatie van de Omgevingswet van belang en dient door bestuur en management opgepakt te worden. Om informatiebeveiliging goed te kunnen adresseren is dit een basis die essentieel is. Toch blijkt dat in de praktijk met name de verantwoordelijkheden nog niet juist belegd zijn en dat men niet precies scherp heeft welke acties er dan genomen moeten worden. Dit hoofdstuk geeft hier inzicht in.
Verantwoordelijkheden
Het strategisch kader van de BIG schrijft voor dat:
Het College van Burgemeester en Wethouders van een gemeente stelt het informatiebeveiligingsbeleid vast en draagt dit uit. Het beleid omvat ten minste:
- De strategische uitgangspunten en randvoorwaarden die de gemeente hanteert ten aanzien van informatiebeveiliging, waaronder de inbedding in en afstemming op het algemene beveiligingsbeleid en het informatievoorzieningsbeleid.
- Het doel van het informatiebeveiligingsbeleid.
- De organisatie van de informatiebeveiligingsfunctie, waaronder verantwoordelijkheden, taken en bevoegdheden.
- De toewijzing van de verantwoordelijkheden voor ketens van informatiesystemen aan lijnmanagers.
- De gemeenschappelijke betrouwbaarheidseisen en normen die voor de gemeente van toepassing zijn.
- De frequentie waarmee het informatiebeveiligingsbeleid wordt geëvalueerd.
- De bevordering van het beveiligingsbewustzijn.
Met name de onderstreepte regels zijn van belang voor de Omgevingswet. Dit houdt in dat het gemeentebestuur de verantwoordelijkheid voor de implementatie van de Omgevingswet, met betrekking tot de informatiebeveiligingsaspecten, bij het lijnmanagement kan beleggen. Lijnmanagement is dan verder verantwoordelijk voor het opstarten van de juiste projecten etc.
Over lijnmanagement beschrijft de BIG:
Het lijnmanagement is verantwoordelijk voor de beveiliging van informatiesystemen.
Informatiebeveiliging geldt als een integraal onderdeel van de bedrijfsvoering. Zo is het lijnmanagement ook verantwoordelijk voor informatiebeveiliging. Het begrip lijnmanagement wordt hierbij ruim opgevat. In voorkomende gevallen kan ook een afdelingshoofd of een manager van een stafafdeling onder het lijnmanagement worden verstaan.
Het lijnmanagement:
- Stelt op basis van een expliciete risicoafweging de betrouwbaarheidseisen voor zijn informatiesystemen vast.
- Is verantwoordelijk voor de keuze, de implementatie en het uitdragen van de maatregelen die voortvloeien uit de betrouwbaarheidseisen.
- Controleert of de getroffen maatregelen overeenstemmen met de betrouwbaarheidseisen en of deze maatregelen worden nageleefd.
- Evalueert periodiek de betrouwbaarheidseisen en stelt deze waar nodig bij.
- Rapporteert over de implementatie van de maatregelen in de management rapportages.
Ook hier zijn de onderstreepte regels van belang. Dit houdt in dat het lijnmanagement de noodzakelijke projecten opstart om de informatiebeveiliging op passende wijze te adresseren. In de context van de Omgevingswet betekent dit dat het lijnmanagement de juiste mensen met expertise samenbrengt in een (project)team om de aspecten gerelateerd aan de informatievoorzieningen van de Omgevingswet te kunnen adresseren. Dit is essentieel voor de goede implementatie van de Omgevingswet.
Te nemen acties
Vanuit het bestuur:
Het gemeentebestuur vaardigt de opdracht uit naar het lijnmanagement om de, aan de Omgevingswet gerelateerde, werkzaamheden op te pakken en te beleggen bij de juiste, inhoudelijke personen/teams binnen de organisatie. Om het overzicht niet te verliezen is het van belang om de juiste kaders mee te geven. Het financiële kader is hierbij tevens een belangrijke. Geld is altijd een beperkende factor bij de implementatie van IB-maatregelen. Het benadrukken van het belang van de informatiebeveiliging in de betreffende opdracht is van essentieel belang.
Vanuit het management:
Het management brengt mensen met de juiste expertise bij elkaar om de informatiebeveiligingsaspecten te kunnen adresseren en geeft opdracht om dit op te pakken. Men zet hierbij de operationele kaders, noodzakelijk voor de juiste uitvoering.
Omdat het om zeer specifieke kennis en capaciteit gaat, kan het zijn dat de gemeente zelf niet beschikt over de juiste kennis. Dit document kan in veel gevallen dit hiaat opvullen. Indien de inhoud van dit document niet voldoende hulp biedt, kan wellicht externe expertise ingehuurd worden. Ook de IBD kan hulp bieden bij operationele vragen in relatie met de BIG.