# Invoeren: wat er nog moet gebeuren

Word nodig? Kies dit stuk in de [generator](beleidsset-generator.html) en download het daar, zonder of met je eigen antwoorden.

Zonder profiel: tekst die van een contextvraag afhangt, telt mee.

Een vastgesteld beleid werkt pas als de organisatie het inricht. Deze lijst zet per stuk op een rij wat daarvoor nodig is: wat de organisatie inricht, welke controles zij gaat uitvoeren en wat zij nog moet invullen. Een plan met volgorde, eigenaar per thema en urenraming staat in [BIO 2.0 invoeren](https://security-commons-nl.github.io/kennisbank/governance/bio2-implementeren/).

## Voor de hele set

- Wijs per stuk de eigenaar aan en laat het stuk vaststellen.
- Richt één registratie van controles in: per controle de uitvoerder, de frequentie, het bewijs en de uitkomst.
- Richt het risicoregister in voor afwijkingen en bevindingen, met een risico-eigenaar die restrisico's accepteert.
- Zet alle controles in een jaarkalender, zodat elke controle op tijd wordt uitgevoerd.

## 1. Strategisch informatiebeveiligingsbeleid

**Inrichten**

- Leg het toepassingsgebied vast in een scopedocument op basis van de kritieke processen (hoofdstuk 3).
- Leg eigenaren van processen, systemen en ketens vast in een register eigenaren (hoofdstuk 4).
- Stel een mandaat voor de CISO op dat het bestuur schriftelijk vaststelt (hoofdstuk 5).
- Stel een overzicht functiescheiding op met taakcombinaties die niet in één hand mogen (hoofdstuk 5).
- Stel een jaarlijks bewustwordingsprogramma op met doelgroepen, onderwerpen en meetpunten (hoofdstuk 6).
- Leg contacten met instanties en samenwerkingsverbanden vast in een overzicht met plaatsvervangers (hoofdstuk 7).
- Richt een registratie van dreigingsinformatie in en stel jaarlijks een dreigingsbeeld op (hoofdstuk 7).
- Stel een risicogestuurd auditplan op dat het bestuur jaarlijks vaststelt (hoofdstuk 8).

**Controles inrichten (8)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| IVB-01 | Dit beleid is in het afgelopen jaar beoordeeld en door het bestuur vastgesteld of bevestigd; het scopedocument en de doelstellingen zijn actueel | Interne audit of accountant | Jaarlijks |
| IVB-02 | Elk proces, systeem en elke keten in de scope heeft een benoemde eigenaar en die eigenaar weet dat | CISO | Jaarlijks |
| IVB-03 | De CISO heeft een vastgesteld mandaat, rapporteert rechtstreeks aan het bestuur en heeft geen beheertaken op systemen die de CISO beoordeelt | Interne audit of accountant | Jaarlijks |
| IVB-04 | De taakcombinaties uit het overzicht functiescheiding liggen bij verschillende personen, of de compenserende maatregel staat in het risicoregister | CISO | Jaarlijks |
| IVB-05 | Het overzicht van contacten met instanties en samenwerkingsverbanden is actueel en de organisatie heeft in het afgelopen kwartaal aan de uitwisseling deelgenomen | CISO | Per kwartaal |
| IVB-06 | Waarschuwingen van het CSIRT of de sectorale CERT zijn binnen de termijn beoordeeld en opgevolgd, en het dreigingsbeeld is in het afgelopen jaar opgesteld en gebruikt in de risicoanalyse | CISO | Per kwartaal |
| IVB-07 | Het auditplan is vastgesteld, de audits zijn uitgevoerd door een onafhankelijke partij en de bevindingen staan met eigenaar en termijn in het risicoregister | CISO | Jaarlijks |
| IVB-08 | De rapportage over informatiebeveiliging is elke P&C-ronde opgeleverd en het bestuur heeft de jaarlijkse verklaring afgegeven op basis van die rapportage en de controleraamwerken | Interne audit of accountant | Jaarlijks |

**Nog in te vullen (16).** publicatieplek beleid; ambtelijk eindverantwoordelijke; register eigenaren; eigenaar gebouwgebonden OT; register OT-eigenaren; overzicht functiescheiding; functionaris informatiebeveiliging; CISO-invulling; ondersteuning CISO; beoordelingstermijn dreigingsinformatie; registratie dreigingsinformatie; vaststeller materiebeleid; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 2. Beleid informatiebeveiliging in projecten

**Inrichten**

- Richt een meldpunt in waar projectleiders hun project bij de start aanmelden (hoofdstuk 3).
- Regel dat een project zonder melding geen budget krijgt voor de realisatiefase (hoofdstuk 3).
- Houd een overzicht bij van lopende projecten met de status van hun risicoafweging (hoofdstuk 3).
- Wijs een risico-acceptant aan voor restrisico's boven de risicobereidheid (hoofdstuk 5).
- Neem de beslismomenten uit dit beleid als vaste stappen op in de projectmethodiek (hoofdstuk 6).
- Maak sjablonen voor de risicoafweging en voor de risicoacceptatie (hoofdstuk 6).
- Geef nieuwe projectleiders binnen een maand een instructie en registreer de deelname (hoofdstuk 6).

**Controles inrichten (5)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| PRJ-01 | Elk project en elke significante wijziging in het projectportfolio is gemeld bij de CISO en de privacy officer | CISO | Per kwartaal |
| PRJ-02 | Voor elk project dat de keuzefase heeft doorlopen, is de risicoafweging af en staan de beveiligingseisen in het programma van eisen of de opdracht | CISO of ISO | Per kwartaal |
| PRJ-03 | Voor elk systeem dat live is gegaan, is de realisatie van de eisen aangetoond en zijn de restrisico's schriftelijk geaccepteerd door de bevoegde rol | Interne audit of accountant | Jaarlijks |
| PRJ-04 | Bij elk overgedragen systeem heeft de proceseigenaar het verslag, de open risico's en de beheerafspraken ontvangen en staat het systeem in het register van bedrijfsmiddelen | **[lijneigenaar projectportfolio]** | Per kwartaal |
| PRJ-05 | De projectmethodiek bevat de beslismomenten en sjablonen uit dit beleid en nieuwe projectleiders hebben de instructie gevolgd | CISO | Jaarlijks |

**Nog in te vullen (7).** meldpunt projecten; lijneigenaar projectportfolio; risico-acceptant; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 3. Beleid screening, bewustzijn en opleiding

**Inrichten**

- Stel een screeningsbeleid op met een lijst van functies met verhoogd risico (hoofdstuk 3).
- Neem een vaste tekst over informatiebeveiliging en geheimhouding op in arbeids- en inhuurcontracten (hoofdstuk 4).
- Bundel de regels en instructies voor medewerkers op één vindbare plek op het intranet (hoofdstuk 4).
- Richt een training informatiebewustzijn met toets in en registreer deelname en resultaat (hoofdstuk 5).
- Plan ten minste twee bewustzijnsmetingen per jaar, bijvoorbeeld een phishingsimulatie (hoofdstuk 5).
- Organiseer jaarlijkse scholing voor bestuurders en een cyberoefening eens per twee jaar (hoofdstuk 6).
- Maak een vertrekchecklist voor het intrekken van rechten en innemen van middelen (hoofdstuk 7).
- Leg een disciplinaire procedure vast die ook geldt voor overtredingen van beveiligingsregels (hoofdstuk 8).

**Controles inrichten (8)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| SBO-01 | Voor elke medewerker en inhuurkracht in een functie met verhoogd risico is de screening uitgevoerd en vastgelegd voordat de toegang is verleend, en herhaald binnen de termijn | CISO | Jaarlijks |
| SBO-02 | Elke nieuwe medewerker, inhuurkracht, stagiair en vrijwilliger heeft de bevestiging van de gedragsregels en een geheimhoudingsbepaling of -verklaring in het dossier | **[lijneigenaar personeel]** | Per kwartaal |
| SBO-03 | Nieuwe medewerkers hebben binnen drie maanden de training met toets afgerond en alle medewerkers hebben een opfrissing van ten hoogste een jaar oud; functies met verhoogd risico hebben de aanvullende training gevolgd | **[lijneigenaar personeel]** | Per kwartaal |
| SBO-04 | Leidinggevenden hebben informatiebeveiliging in het afgelopen jaar in het werkoverleg of jaargesprek besproken | CISO | Jaarlijks |
| SBO-05 | Bestuurders hebben de jaarlijkse scholing gevolgd, het risicobeeld met de CISO besproken en binnen twee jaar aan een oefening deelgenomen | Interne audit of accountant | Jaarlijks |
| SBO-06 | Bij elk vertrek en elke functiewijziging is de vertrekchecklist afgerond, de medewerker gewezen op de doorlopende geheimhouding en de mutatie binnen de termijn gemeld | **[lijneigenaar personeel]** | Per kwartaal |
| SBO-07 | De bewustzijnsmetingen zijn uitgevoerd en de uitkomst en de disciplinaire trajecten zijn verwerkt in het programma van het volgende jaar | CISO | Jaarlijks |
| SBO-08 | De disciplinaire procedure is vastgesteld, geldt voor overtredingen van de informatiebeveiligingsregels en is in het afgelopen jaar toegepast volgens de vastgelegde stappen | Interne audit of accountant | Jaarlijks |

**Nog in te vullen (8).** vaststeller screeningsbeleid; lijneigenaar personeel; herhaaltermijn screening; meldtermijn personeelsmutaties; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 4. Beleid bedrijfsmiddelenbeheer

**Inrichten**

- Richt één inventaris van bedrijfsmiddelen in, bijvoorbeeld een CMDB, met de vereiste velden (hoofdstuk 3).
- Stel gedragsregels op voor het gebruik van informatie en bedrijfsmiddelen (hoofdstuk 5).
- Regel dat medewerkers de gedragsregels bevestigen voordat zij account of apparatuur krijgen (hoofdstuk 5).
- Neem een vaste clausule met de gedragsregels op in contracten voor inhuur en vrijwilligers (hoofdstuk 5).
- Laat wie apparatuur in bruikleen krijgt een bruikleenovereenkomst met de gedragsregels tekenen (hoofdstuk 5).
- Richt een innameprocedure in met registratie per bedrijfsmiddel bij vertrek (hoofdstuk 6).
- Leg per ruimte in zone 3 en 4 de benodigde nutsvoorzieningen en capaciteit vast (hoofdstuk 9).
- Stel per locatie een storingslijst op met leveranciers en storingsnummers van nutsvoorzieningen (hoofdstuk 9).
- Richt een onderhoudsregistratie in voor onderhoud, storingen en reparaties per apparaat (hoofdstuk 11).

**Controles inrichten (8)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| BMB-01 | De inventaris van werkplekken, mobiele apparatuur en clouddiensten komt overeen met een tweede bron; afwijkingen zijn binnen een maand afgehandeld | **[beheerder inventaris]** | Per kwartaal |
| BMB-02 | Elk bedrijfsmiddel in de inventaris heeft een eigenaar, een classificatie en een onderhoudsschema, en de eigenaar heeft de registratie bevestigd | **[beheerder inventaris]** | Jaarlijks |
| BMB-03 | Nieuwe medewerkers hebben de gedragsregels bevestigd voordat zij een account of apparatuur kregen, en contracten van externen bevatten de gedragsclausule | CISO | Jaarlijks |
| BMB-04 | Vertrokken medewerkers en beëindigde contracten hebben alle bedrijfsmiddelen ingeleverd; niet ingeleverde middelen zijn geblokkeerd en teruggevorderd | **[uitgiftepunt apparatuur]** | Per kwartaal |
| BMB-05 | Apparatuur in zone 3 en 4 staat in de zone die bij het impactniveau hoort, is beschermd tegen meekijken en omgevingsinvloeden, en alleen geautoriseerde personen hebben er gewerkt | Eigenaar van de zone | Halfjaarlijks |
| BMB-06 | De nutsvoorzieningen van zone 3 en 4 zijn getest en onderhouden volgens schema, en het onderhoud aan apparatuur is uitgevoerd en geregistreerd | **[lijneigenaar bedrijfsmiddelen]** | Jaarlijks |
| BMB-07 | Apparatuur buiten de locaties is versleuteld, geregistreerd op de gebruiker en meldingen van verlies of diefstal zijn als incident afgehandeld | CISO | Jaarlijks |
| BMB-08 | Leveranciers die apparatuur, ruimten of clouddiensten beheren leveren een geldige onafhankelijke verklaring over hun bedrijfsmiddelenbeheer en onderhoud | Contractbeheer | Jaarlijks |

**Nog in te vullen (11).** beheerder inventaris; eigenaar IT-middelen; gedragsregels bedrijfsmiddelen; lijneigenaar bedrijfsmiddelen; uitgiftepunt apparatuur; meldpunt beveiligde zones; storingslijst nutsvoorzieningen; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 5. Beleid informatieclassificatie

**Inrichten**

- Stel een classificatiemethode vast met vragenlijsten en een impactschaal van vijf niveaus (hoofdstuk 3).
- Classificeer elk informatiesysteem in een ondertekend classificatierapport en registreer dat in de inventaris (hoofdstuk 3).
- Richt in systemen die labels ondersteunen de automatische beveiliging per label in (hoofdstuk 5).
- Voorzie hardware van een sticker met het inventariskenmerk, zonder de classificatie (hoofdstuk 5).
- Richt een maandelijkse meting van alle domeinen met internet.nl in (hoofdstuk 6).
- Zet een certificaatregister op met de vervaldatum per certificaat (hoofdstuk 6).
- Registreer alle internetfacing systemen, webapplicaties, IP-adressen en API's in de inventaris (hoofdstuk 6).
- Registreer alle publieke websites in het Register Internetdomeinen Overheid (hoofdstuk 6).

**Controles inrichten (7)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| CLS-01 | Elk systeem en elke gegevensverzameling in de inventaris heeft een classificatie per BIV-aspect die niet ouder is dan drie jaar, met een ondertekend classificatierapport | CISO | Jaarlijks |
| CLS-02 | De systemen met het label strikt vertrouwelijk of geheim voldoen aan de minimumeisen voor authenticatie, autorisatie, opslag en zone | CISO | Jaarlijks |
| CLS-03 | Informatie in de documentopslag en de systemen van de proceseigenaar draagt het juiste label en systemen passen bij het label de beveiliging toe | Proceseigenaar | Jaarlijks |
| CLS-04 | Alle domeinen voldoen aan de verplichte internetstandaarden; tekortkomingen zijn binnen drie maanden omgezet in een wijziging of een geaccepteerd risico | **[beheerder internetfacing systemen]** | Maandelijks, met een kwartaaloverzicht aan de CISO |
| CLS-05 | De registratie van internetfacing systemen en het Register Internetdomeinen Overheid komen overeen met een externe scan van de domeinen en IP-reeksen van de organisatie | **[beheerder internetfacing systemen]** | Halfjaarlijks |
| CLS-06 | Internetfacing systemen met gevoelige gegevens gebruiken certificaten van het vereiste type en geen certificaat is verlopen | CISO | Jaarlijks |
| CLS-07 | Ondertekendiensten in gebruik voldoen aan de AdES Baseline Profiles en de eis staat in de uitvragen van dat jaar | Systeemeigenaar van de ondertekendienst | Jaarlijks |

**Nog in te vullen (7).** classificatiemethode; herzieningstermijn classificatie; beheerder internetfacing systemen; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 6. Beleid logische toegangsbeveiliging

**Inrichten**

- Richt één accountproces in, gekoppeld aan de personeelsadministratie en de registratie van inhuur (hoofdstuk 3).
- Stel per systeem een autorisatieprocedure en autorisatiematrix op, met een mandaatregister (hoofdstuk 3).
- Houd een register bij van gedeelde accounts met motivering en verantwoordelijke leidinggevende (hoofdstuk 3).
- Richt MFA in voor de werkomgeving, internetvoorzieningen en accounts met beheerrechten (hoofdstuk 4).
- Geef elke medewerker een wachtwoordmanager en dwing de wachtwoordeisen technisch af (hoofdstuk 5).
- Leg in een regeling thuiswerken vast welke apparatuur en werkplekken zijn toegestaan (hoofdstuk 6).
- Houd een register bij van accounts met bijzondere rechten, inclusief nood- en technische accounts (hoofdstuk 8).
- Houd een register van leveranciersaccounts bij met goedkeuring, activering en beëindiging (hoofdstuk 9).

**Controles inrichten (9)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| LTB-01 | Accounts van vertrokken medewerkers en beëindigde opdrachten zijn uiterlijk op de laatste werkdag geblokkeerd en na de termijn verwijderd; inactieve accounts zijn geblokkeerd | **[lijneigenaar logische toegang]** | Per kwartaal |
| LTB-02 | Gedeelde accounts, functionele postbussen, technische accounts en standaardaccounts voldoen aan de eisen: motivering, eigenaar, geen beheerrechten, geen interactief aanmelden | **[lijneigenaar logische toegang]** | Jaarlijks |
| LTB-03 | MFA geldt voor alle accounts waar dit beleid het eist; elke uitzondering heeft goedgekeurde aanvullende maatregelen en staat in het risicoregister | CISO | Jaarlijks |
| LTB-04 | De wachtwoordeisen en de blokkade na mislukte pogingen zijn technisch afgedwongen; resets volgden na identiteitsvaststelling | **[lijneigenaar logische toegang]** | Jaarlijks |
| LTB-05 | Alleen geauthenticeerde apparaten bereiken de vertrouwde zone; werken op afstand loopt via de eigen voorzieningen en de regeling thuiswerken is actueel | **[lijneigenaar logische toegang]** | Jaarlijks |
| LTB-06 | Alle uitgegeven rechten per systeem zijn beoordeeld door de systeemeigenaar en onjuiste rechten zijn binnen de hersteltermijn ingetrokken | Systeemeigenaar | Jaarlijks, halfjaarlijks voor systemen met het label vertrouwelijk of hoger |
| LTB-07 | Het register van accounts met bijzondere rechten klopt in opzet, bestaan en gebruik; elke wijziging had een aanvraag; systeemhulpmiddelen zijn alleen door bevoegde beheerders gebruikt | Systeemeigenaar en CISO | Per kwartaal |
| LTB-08 | Leveranciersaccounts hebben een risicoafweging, een verantwoordelijke leidinggevende en zijn alleen actief geweest voor de afgesproken werkzaamheden | **[lijneigenaar logische toegang]** | Per kwartaal |
| LTB-09 | Toegang tot repositories is beperkt tot wie eraan werkt en wijzigingen op de hoofdtak hebben een review | Eigenaar van de repository | Halfjaarlijks |

**Nog in te vullen (13).** lijneigenaar logische toegang; termijn verwijderen accounts; termijn inactiviteit; bewaking aanmeldingen; aantal mislukte pogingen; minimale wachtwoordlengte; hersteltermijn rechten; maximum aantal hoogste beheerders; maximale activeringsduur; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 7. Beleid informatiebeveiliging bij inkoop

**Inrichten**

- Stel een standaardset beveiligingseisen voor inkoop op en stel die jaarlijks opnieuw vast (hoofdstuk 3).
- Leg de drempel vast waaronder een inkoop met de standaardset eisen kan (hoofdstuk 3).
- Stel een lijst op van voorwaarden van leveranciers die de organisatie nooit accepteert (hoofdstuk 4).
- Neem in contracten jaarlijks onafhankelijk bewijs en een auditrecht voor de organisatie op (hoofdstuk 5).
- Neem in contracten een meldplicht met termijn op voor incidenten, datalekken en kwetsbaarheden (hoofdstuk 6).
- Neem een exitregeling op in contracten voor kritieke processen of vertrouwelijke informatie (hoofdstuk 7).
- Richt per inkoop een inkoopdossier in met de vereiste stukken vóór ondertekening (hoofdstuk 10).
- Regel de overdracht van het inkoopdossier aan de contracteigenaar binnen een maand (hoofdstuk 10).

**Controles inrichten (7)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| INK-01 | Het inkoopdossier bevat vóór ondertekening de risicoafweging en de eisen, en de eisen staan in de uitvraag en het contract | CISO | Per inkoop boven de drempel |
| INK-02 | De algemene voorwaarden van de leverancier zijn van de hand gewezen, of de beoordeling van de voorwaarden en de ondertekening voor de geaccepteerde risico's zitten in het dossier | **[inkoopadviseur]** | Per inkoop |
| INK-03 | Het eerste bewijs van de leverancier is geleverd, dekt de dienst en het auditrecht staat in het contract; restrisico's staan in het risicoregister | CISO | Per inkoop boven de drempel |
| INK-04 | De meldplicht van de leverancier met termijn en inhoud, de exitregeling en, waar nodig, de escrow staan in het contract | **[inkoopadviseur]** | Per inkoop boven de drempel |
| INK-05 | Het overzicht van toeleveranciers is geleverd en beoordeeld, en het verbod op overdracht zonder toestemming staat in het contract | CISO | Per inkoop boven de drempel |
| INK-06 | Steekproef van ten minste **[aantal steekproef inkoop]** op volledigheid van het inkoopdossier, toepassing van de drempel en overdracht aan contractbeheer binnen een maand | CISO | Jaarlijks |
| INK-07 | De standaardset eisen en de lijst onaanvaardbare voorwaarden zijn opnieuw vastgesteld | CISO | Jaarlijks |

**Nog in te vullen (11).** inkoopadviseur; drempel risicoafweging inkoop; lijst onaanvaardbare voorwaarden; meldtermijn leverancier; besluitvormer afwijking soevereiniteit; contracteigenaar; registratie van controles; aantal steekproef inkoop; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 8. Beleid informatiebeveiliging in contractbeheer

**Inrichten**

- Zet een register van leveranciers en contracten op met de verplichte velden per contract (hoofdstuk 3).
- Spreek met inkoop een kwartaalvergelijking af tussen het register en de contractadministratie (hoofdstuk 3).
- Stel een format voor de leveranciersbeoordeling op met de vragen en het bewijs per vraag (hoofdstuk 4).
- Plan de jaarlijkse beoordeling per leverancier en leg de datum vast in het register (hoofdstuk 4).
- Neem de toeleveringsketen van elke kritieke dienst op in de risicoanalyse (hoofdstuk 5).
- Inventariseer alle clouddiensten, ook gratis en zelf afgenomen diensten, en zet ze in het register (hoofdstuk 6).
- Controleer of elk cloudcontract de gronden voor ontbinding noemt (hoofdstuk 6).
- Zet kritieke contracten zonder exitregeling in het risicoregister tot de eerstvolgende verlenging (hoofdstuk 7).

**Controles inrichten (8)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| LEV-01 | Nieuwe en beëindigde contracten staan in het register, met alle verplichte velden, en het register komt overeen met de contractadministratie van inkoop | **[lijneigenaar leveranciersmanagement]** | Elk kwartaal |
| LEV-02 | Elke leverancier in het register heeft een beoordeling van ten hoogste een jaar oud, met het verplichte advies van de CISO waar dat geldt, en het jaarlijkse bewijs is ontvangen | **[lijneigenaar leveranciersmanagement]** | Jaarlijks |
| LEV-03 | Steekproef op de kwaliteit van ten minste **[aantal steekproef beoordelingen]**: gebruikt bewijs, vastgestelde risico's, opvolging, oordeel over de onderbouwing van de leverancier over zijn toeleveranciers | CISO | Jaarlijks |
| LEV-04 | Meldingen over wijzigingen, kwetsbaarheden en incidenten in de keten zijn binnen de beoordelingstermijn beoordeeld en het besluit staat in het register | CISO | Jaarlijks |
| LEV-05 | De risicoanalyse van de organisatie bevat de toeleveringsketen van elke kritieke dienst en is in het afgelopen jaar bijgewerkt | CISO | Jaarlijks |
| LEV-06 | Alle clouddiensten in gebruik staan in het register, elk cloudcontract bevat de ontbindingsgronden, en wijzigingen bij cloudleveranciers zijn binnen een maand beoordeeld | **[lijneigenaar leveranciersmanagement]** | Jaarlijks |
| LEV-07 | De werkwijze voor clouddiensten is in de afgelopen drie jaar herzien en vastgesteld | CISO | Eens per drie jaar |
| LEV-08 | Beëindigde contracten hebben een afgeronde exit: gegevens terug, toegang ingetrokken op de einddatum, bevestiging van verwijdering ontvangen | **[lijneigenaar leveranciersmanagement]** | Jaarlijks |

**Nog in te vullen (10).** contracteigenaar; register leveranciers; lijneigenaar leveranciersmanagement; format leveranciersbeoordeling; beoordelingstermijn ketenwijziging; registratie van controles; aantal steekproef beoordelingen; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 9. Beleid beveiligingsincidenten

**Inrichten**

- Richt één meldloket in met een bereikbaarheidsregeling en registratie van elke melding (hoofdstuk 3).
- Stel een incidentprocedure op met rollen, vervangers en termijnen (hoofdstuk 3).
- Leg in de incidentprocedure de categorieën en ernstniveaus vast, met per niveau wie wordt geïnformeerd (hoofdstuk 4).
- Laat nieuwe medewerkers en externen de meldprocedure bevestigen en registreer die bevestiging (hoofdstuk 3).
- Leg in de incidentprocedure vast wanneer een incident naar crisisbeheersing gaat (hoofdstuk 6).
- Start een maandrapport incidenten voor de eindverantwoordelijke bedrijfsvoering (hoofdstuk 6).
- Leg de externe meldingen vast in de incidentprocedure, met termijn en eigenaar per melding (hoofdstuk 7).
- Richt een vast adres in voor meldingen van het CSIRT en de sectorale CERT (hoofdstuk 7).
- Publiceer een CVD-procedure op de website met een meldadres en een security.txt-bestand (hoofdstuk 8).

**Controles inrichten (7)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| SIM-01 | Het maandrapport incidenten, inclusief CVD-meldingen, is opgesteld en aan de eindverantwoordelijke bedrijfsvoering verzonden | CISO | Maandelijks |
| SIM-02 | De kwartaalanalyse op patronen is uitgevoerd en in de rapportage aan de directie opgenomen | CISO | Elk kwartaal |
| SIM-03 | Steekproef van tien incidenten: beoordeling binnen één werkdag met vastgelegd besluit, volledigheid van het dossier, keten van bewaring van het bewijs, tijdigheid van de interne en externe meldingen, evaluatie en opvolging van de verbetermaatregelen | CISO | Jaarlijks |
| SIM-04 | Alle medewerkers en externen met een account hebben de meldprocedure bevestigd | **[lijneigenaar personeel]** | Jaarlijks |
| SIM-05 | Een oefening met een incidentscenario is uitgevoerd, inclusief de beoordeling van de ernst, de overgang naar crisisbeheersing en het opstellen van een externe melding binnen de wettelijke termijn, en de verbeterpunten zijn belegd | CISO | Jaarlijks |
| SIM-06 | De incidentprocedure en de CVD-procedure zijn opnieuw vastgesteld, de rollen en vervangers zijn belegd, en de publicatie van de CVD-procedure en het security.txt-bestand zijn actueel | CISO | Jaarlijks |
| SIM-07 | Meldingen van het CSIRT of de sectorale CERT zijn binnen één werkdag beoordeeld en opgenomen in de risicobehandeling | CISO | Elk kwartaal |

**Nog in te vullen (8).** meldloket incidenten; lijneigenaar personeel; incidentcoördinator; eindverantwoordelijke bedrijfsvoering; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 10. Beleid ICT-continuïteit en uitwijk

**Inrichten**

- Laat proceseigenaren kritieke processen vastleggen met impactniveau, hersteltijd en toelaatbaar gegevensverlies (hoofdstuk 3).
- Stel een overzicht van kritieke systemen op met hersteleisen, afhankelijkheden en herstelvolgorde (hoofdstuk 3).
- Laat de directie de herstelvolgorde vaststellen (hoofdstuk 3).
- Richt per kritiek systeem een uitwijk- of redundantievoorziening in en leg de onderbouwing vast (hoofdstuk 4).
- Voer gedeelde voorzieningen dubbel uit of leg een noodroute vast, en test de omschakeling (hoofdstuk 4).
- Neem hersteleisen en uitwijk op in contracten met leveranciers van kritieke systemen (hoofdstuk 4).
- Stel per kritiek proces een continuïteitsplan op, met een deel over beveiliging tijdens verstoring (hoofdstuk 6).
- Test elk continuïteitsplan en leg bevindingen en verbeteringen vast in een testverslag (hoofdstuk 6).

**Controles inrichten (6)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| BCDR-01 | Het overzicht van kritieke systemen is volledig en actueel: elk kritiek proces heeft een impactniveau, hersteltijd en toelaatbaar gegevensverlies, elk kritiek systeem heeft afhankelijkheden en een plaats in de vastgestelde herstelvolgorde, en de actualisatie is niet ouder dan drie jaar | **[eigenaar overzicht kritieke systemen]** | Jaarlijks |
| BCDR-02 | Elk kritiek proces heeft een continuïteitsplan dat in het afgelopen jaar is getest, en eens per drie jaar een technische uitwijktest binnen de hersteleisen | **[lijneigenaar ICT-continuïteit]** | Jaarlijks |
| BCDR-03 | De verbeteringen uit de tests van het jaar ervoor zijn binnen drie maanden in de plannen doorgevoerd of staan in het risicoregister | CISO | Jaarlijks |
| BCDR-04 | Elke gedeelde voorziening en elk kritiek systeem heeft een redundantie- of uitwijkvoorziening die past bij de hersteleisen, de omschakeling is getest, en restrisico's staan in het risicoregister | **[lijneigenaar ICT-continuïteit]** | Jaarlijks |
| BCDR-05 | Leveranciers van kritieke systemen hebben de hersteleisen en de uitwijk in het contract en hebben het bewijs van hun uitwijktests geleverd | Proceseigenaar | Jaarlijks, bij de leveranciersbeoordeling |
| BCDR-06 | Elk continuïteitsplan bevat een door de CISO goedgekeurd deel over de beveiliging tijdens een verstoring, en na elke verstoring is het logboek aanwezig, zijn de noodvoorzieningen binnen de termijn ingetrokken en is de vrijgave na een cyberincident vastgelegd | CISO | Jaarlijks, en na elke verstoring |

**Nog in te vullen (7).** eigenaar overzicht kritieke systemen; lijneigenaar ICT-continuïteit; termijn intrekken noodvoorzieningen; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 11. Beleid IT-compliance

**Inrichten**

- Zet een register op van wettelijke en contractuele eisen, met eigenaar en beleidsstuk per eis (hoofdstuk 3).
- Zet een licentieregister op en vergelijk het met de geïnstalleerde software (hoofdstuk 3).
- Leg per systeem en informatiecategorie de bewaartermijnen vast in een overzicht (hoofdstuk 4).
- Stel een overzicht DLP-maatregelen op met de maatregel per kanaal (hoofdstuk 5).
- Stel automatische schermvergrendeling centraal in op alle werkplekken en mobiele apparaten (hoofdstuk 6).
- Richt capaciteitsbewaking met een drempelmelding in voor kritieke systemen en maak een capaciteitsprognose (hoofdstuk 7).
- Koppel alle systemen, netwerkapparaten en werkplekken aan één betrouwbare tijdbron (hoofdstuk 7).
- Leg elke audit of technische test op productie vooraf vast in een testopdracht (hoofdstuk 8).

**Controles inrichten (9)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| ITC-01 | Het register van wettelijke en contractuele eisen is in het afgelopen jaar bijgewerkt, elke eis heeft een eigenaar en een beleidsstuk, en elke proceseigenaar heeft de toets op het eigen proces uitgevoerd | CISO | Jaarlijks |
| ITC-02 | De geïnstalleerde software komt overeen met het licentieregister en voor zelf gemaakte software en inhoud is het eigendom in het contract vastgelegd | IT-organisatie | Jaarlijks |
| ITC-03 | Voor elk kritiek systeem zijn de bewaartermijnen vastgelegd en uitgevoerd, en de registraties die als bewijs dienen zijn beschermd tegen wijziging | Proceseigenaar | Jaarlijks |
| ITC-04 | Elke verwerking van persoonsgegevens staat in het verwerkingsregister, de autorisaties op persoonsgegevens zijn op doelbinding getoetst en test- en ontwikkelomgevingen bevatten geen ongemaskeerde persoonsgegevens | Privacy officer | Jaarlijks |
| ITC-05 | De maatregelen tegen gegevenslekken staan aan op alle kanalen uit het overzicht en de meldingen zijn elk kwartaal beoordeeld en opgevolgd | CISO | Per kwartaal |
| ITC-06 | Automatische vergrendeling op inactiviteit en bij verwijderen van een token staat aan op alle werkplekken en mobiele apparaten, en de rondgang clear desk is uitgevoerd en opgevolgd | **[lijneigenaar werkplek]** | Halfjaarlijks |
| ITC-07 | De capaciteit van de kritieke systemen is bewaakt, meldingen boven de drempel zijn opgevolgd en de jaarlijkse capaciteitsprognose is opgesteld | IT-organisatie | Per kwartaal |
| ITC-08 | Alle systemen in de scope synchroniseren met de tijdbron en de afwijking is kleiner dan één seconde | IT-organisatie | Per kwartaal |
| ITC-09 | Elke audit of test op een productiesysteem had een testopdracht, de rechten zijn na afloop ingetrokken en de handelingen zijn gelogd | CISO | Jaarlijks |

**Nog in te vullen (13).** overzicht overige ketens; lijneigenaar archief; overzicht DLP-maatregelen; vergrendeltijd; bewaartermijn afdruktaken; lijneigenaar werkplek; drempel capaciteit; tijdbron; functionaris informatiebeveiliging; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 12. Beleid fysieke toegang en beveiliging

**Inrichten**

- Stel per locatie een zoneringsplan op met vier zones en een eigenaar per zone (hoofdstuk 3).
- Sluit het alarm aan op een gecertificeerde alarmcentrale met een procedure voor opvolging (hoofdstuk 4).
- Regel de uitgifte en inname van toegangsmiddelen op naam, gekoppeld aan personeelsmutaties (hoofdstuk 5).
- Richt voor zone 3 en hoger een elektronisch toegangssysteem met logging in (hoofdstuk 6).
- Voorzie zone 4 van noodstroom, klimaatinstallatie, branddetectie en blusvoorziening, met een testschema (hoofdstuk 7).
- Voer voor elke zone 4 een risicobeoordeling op omgevingsdreigingen uit (hoofdstuk 7).
- Stel een afsprakenlijst waarschuwingen op met contactpersonen en kanalen per partner (hoofdstuk 8).
- Leg in een huisregel vast of medewerkers hun pas zichtbaar dragen (hoofdstuk 9).

**Controles inrichten (9)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| FYS-01 | Het zoneringsplan is actueel: elke ruimte heeft een zone en een eigenaar, elke ruimte van zone 4 ligt binnen zone 3, en de zones in het toegangssysteem komen overeen met het plan | Eigenaar van elke zone van zone 3 of hoger | Jaarlijks |
| FYS-02 | Toegang tot zone 3 en 4 wordt alleen toegekend na goedkeuring van de eigenaar van de zone | Eigenaar van de zone | Per aanvraag |
| FYS-03 | Toegangsmiddelen worden na uitdiensttreding, einde opdracht of functiewijziging uiterlijk op de laatste werkdag ingenomen of aangepast | **[lijneigenaar fysieke beveiliging]** | Maandelijks |
| FYS-04 | De uitgegeven toegangsmiddelen per zone zijn alleen in gebruik bij bevoegde personen met een doelbinding | Eigenaar van de zone | Halfjaarlijks |
| FYS-05 | De fysieke voorzieningen voldoen aan de eisen per zone: bouwkundige schil, alarm, bewaking, klimaat, noodstroom, brand- en waterbeveiliging, bekabeling | **[lijneigenaar fysieke beveiliging]** | Halfjaarlijks |
| FYS-06 | Logging van het toegangssysteem en alarmmeldingen zijn beoordeeld op afwijkingen en afwijkingen zijn opgevolgd | **[lijneigenaar fysieke beveiliging]** | Maandelijks |
| FYS-07 | De jaarlijkse risicobeoordeling van omgevingsdreigingen voor elke zone 4 is uitgevoerd en opgevolgd | Eigenaar van de zone | Jaarlijks |
| FYS-08 | Waarschuwingen bij concrete beveiligingsrisico's zijn volgens de afsprakenlijst verzonden en ontvangen waarschuwingen zijn opgevolgd; de afsprakenlijst is actueel | CISO | Jaarlijks, en na elke waarschuwing |
| FYS-09 | Leveranciers die ruimten beheren leveren een geldige onafhankelijke verklaring over hun fysieke beveiliging | Contractbeheer | Jaarlijks |

**Nog in te vullen (11).** lijneigenaar fysieke beveiliging; bewaartermijn toegangslogging; bewaartermijn camerabeelden; testschema noodstroom; meldpunt fysieke beveiliging; afsprakenlijst waarschuwingen; pasregels medewerkers; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 13. Beleid afvoer en hergebruik van gegevensdragers

**Inrichten**

- Blokkeer verwijderbare media op beheerde werkplekken en richt een uitzonderingenregister in (hoofdstuk 3).
- Stel een verwijderinstructie op met de methode per type drager en per label (hoofdstuk 4).
- Kies wisproducten met een positief NBV-inzetadvies of leg het alternatief vast (hoofdstuk 4).
- Richt een wisverslag per drager in met kenmerk, methode, product, datum en controle (hoofdstuk 4).
- Neem methode, controle en vernietigingscertificaat per drager op in contracten met vernietigingsleveranciers (hoofdstuk 4).
- Leg per gegevensverzameling de bewaartermijn vast en richt automatisch wissen in (hoofdstuk 6).
- Stel een transportprocedure met transportregistratie op voor gegevensdragers (hoofdstuk 7).
- Leg de betrouwbaarheidseisen voor koeriers en transporteurs vast in een document (hoofdstuk 7).

**Controles inrichten (6)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| AHG-01 | Elke drager en elk apparaat met opslag dat in de inventaris op afgevoerd, gerepareerd of hergebruikt staat, heeft een wisverslag of een vernietigingscertificaat met serienummer | **[lijneigenaar gegevensdragers]** | Per kwartaal |
| AHG-02 | Gewiste dragers bevatten geen herstelbare informatie en de gebruikte wisproducten hebben een NBV-inzetadvies of een vastgelegd alternatief | CISO | Jaarlijks |
| AHG-03 | Uitzonderingen voor verwijderbare media zijn geregistreerd, goedgekeurd en niet ouder dan een jaar; de blokkering op beheerde werkplekken werkt | **[aanvraagpunt uitzonderingen]** | Jaarlijks |
| AHG-04 | Transporten van dragers zijn geregistreerd met machtiging en ontvangstbevestiging, en ingezette koeriers en vernietigingsleveranciers voldoen aan de vastgestelde eisen | Contractbeheer | Jaarlijks |
| AHG-05 | Informatie waarvan de bewaartermijn is verlopen is gewist, wisverzoeken van betrokkenen zijn binnen een maand afgehandeld en beëindigde leveranciers hebben wissing bevestigd | Proceseigenaar, met een overzicht van de CISO | Jaarlijks |
| AHG-06 | Hergebruikte en afgevoerde apparatuur is teruggezet naar de fabrieksinstellingen, uit de registraties verwijderd en in de inventaris bijgewerkt | **[uitgiftepunt apparatuur]** | Halfjaarlijks |

**Nog in te vullen (9).** aanvraagpunt uitzonderingen; uitgiftepunt apparatuur; lijneigenaar gegevensdragers; bewaartermijn wisverslag; eisen aan koeriers; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 14. Beleid mobile device management

**Inrichten**

- Richt wissen op afstand in, met een meldroute voor verlies via de servicedesk (hoofdstuk 3).
- Stel een reisrichtlijn apparatuur op met de landen en voorwaarden voor reisapparaten (hoofdstuk 3).
- Schrijf elk mobiel apparaat met toegang tot bedrijfsinformatie in bij MDM of MAM (hoofdstuk 4).
- Stel nalevingsregels in die versleuteling, vergrendeling, ondersteunde versie en wissen op afstand afdwingen (hoofdstuk 4).
- Leg de inrichting van MDM en MAM vast als configuratiestandaard (hoofdstuk 4).
- Richt een nalevingsrapportage per apparaat in voor de lijneigenaar en de CISO (hoofdstuk 4).
- Stel een gebruikersovereenkomst mobiel werken op en laat elke mobiele gebruiker tekenen (hoofdstuk 5).
- Richt een gastnetwerk in dat logisch gescheiden is van het bedrijfsnetwerk (hoofdstuk 5).

**Controles inrichten (6)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| MDM-01 | Elk apparaat met toegang tot bedrijfsinformatie is ingeschreven in MDM of MAM, voldoet aan de nalevingsregels en heeft een ondersteund en bijgewerkt besturingssysteem | Beheerder MDM | Per kwartaal |
| MDM-02 | Elke mobiele gebruiker heeft een getekende gebruikersovereenkomst en, bij een eigen apparaat, een instemming met wissen op afstand | HR | Per kwartaal |
| MDM-03 | Wissen op afstand werkt en gemelde verliezen zijn binnen de wistermijn gewist en als incident geregistreerd | Beheerder MDM | Jaarlijks |
| MDM-04 | Niet-beheerde apparaten krijgen geen toegang tot bedrijfsinformatie en de regels voor voorwaardelijke toegang en de blokkering van lokaal opslaan werken zoals ingericht | CISO | Jaarlijks |
| MDM-05 | De geïnstalleerde apps op beheerde apparaten zijn toegestaan en apparaten zonder contact in drie maanden zijn geblokkeerd | Beheerder MDM | Per kwartaal |
| MDM-06 | Een uitbestede werkplek- of beheerdienst levert een geldige onafhankelijke verklaring over het apparaatbeheer | Contractbeheer | Jaarlijks |

**Nog in te vullen (8).** wistermijn; reisrichtlijn apparatuur; lijneigenaar mobiele apparatuur; regeling eigen apparaten; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 15. Beleid kwetsbaarheden en patchmanagement

**Inrichten**

- Richt op alle werkplekken, servers en mailvoorzieningen antimalware in die zichzelf automatisch bijwerkt (hoofdstuk 3).
- Blokkeer uitvoerbare bestanden en scripts van internet en regel uitzonderingen via de servicedesk (hoofdstuk 3).
- Stel per type systeem een basisconfiguratie vast op basis van een erkende baseline (hoofdstuk 4).
- Leg de werkelijke configuratie van elk systeem vast in een configuratieregister (hoofdstuk 4).
- Richt maandelijkse scans op kwetsbaarheden in voor alle ICT-middelen, waar mogelijk met agents (hoofdstuk 5).
- Stel een jaarlijks testprogramma vast met per systeem kwetsbaarheidsanalyse, penetratietest of red-teamtest (hoofdstuk 5).
- Richt een kwetsbaarhedenregister in met systeem, risico, eigenaar, termijn en status (hoofdstuk 7).
- Richt een maandrapportage aan de directie in over open kwetsbaarheden en de patchstand (hoofdstuk 7).

**Controles inrichten (9)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| VPM-01 | Elk apparaat in het overzicht van ICT-middelen heeft actieve antimalware met een update van ten hoogste zeven dagen oud, en apparaten die daarbuiten vallen zijn hersteld of van het netwerk gehaald | **[beheerorganisatie]** | Maandelijks |
| VPM-02 | Uitvoerbare bestanden en scripts van internet worden tegengehouden en elke toegestane uitzondering heeft een vastgelegde aanvraag; de jaarlijkse voorlichting en de phishing-simulatie zijn uitgevoerd | CISO | Jaarlijks |
| VPM-03 | Elk type systeem heeft een vastgestelde basisconfiguratie van ten hoogste een jaar oud, de gemeten afwijkingen zijn binnen een maand hersteld of als uitzondering vastgelegd, en het configuratieregister is volledig | **[lijneigenaar kwetsbaarhedenbeheer]** | Per kwartaal |
| VPM-04 | Alle ICT-middelen uit het overzicht zijn in de afgelopen maand gescand en elke kwetsbaarheid met risico gemiddeld of hoger staat in het kwetsbaarhedenregister met eigenaar en termijn | CISO | Maandelijks |
| VPM-05 | Kwetsbaarheden zijn binnen de termijn van de tabel verholpen en de herhaalscan bevestigt dat; overschrijdingen zijn aan de directie gerapporteerd | CISO | Maandelijks |
| VPM-06 | Elke uitgestelde kwetsbaarheid en elk systeem zonder beveiligingsupdates heeft een volledige risicoafweging met tijdelijke maatregelen, einddatum en risico-eigenaar, en de einddatum is nagekomen | CISO | Per kwartaal |
| VPM-07 | Elke waarschuwing van NCSC of CERT die een gebruikt product raakte, is binnen één werkdag doorgezet en opgevolgd | **[lijneigenaar kwetsbaarhedenbeheer]** | Per kwartaal |
| VPM-08 | Elk informatiesysteem en elk internetbereikbaar systeem is volgens het testprogramma getest, de bevindingen met hoog risico zijn opgevolgd en elke release van een internetbereikbaar systeem heeft een penetratietestrapport bij de wijziging | CISO | Jaarlijks |
| VPM-09 | De beheerpartij en de leveranciers van internetbereikbare systemen leveren de afgesproken rapportages en penetratietestbewijzen en halen de termijnen uit het contract | Contracteigenaar | Jaarlijks |

**Nog in te vullen (14).** beheerorganisatie; configuratieregister; register testrapporten; patchtermijn hoog en hoog; patchtermijn hoog; patchtermijn gemiddeld; termijn uitfaseren; kwetsbaarhedenregister; functionaris informatiebeveiliging; lijneigenaar kwetsbaarhedenbeheer; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 16. Beleid back-up en recovery

**Inrichten**

- Stel per omgeving een back-upplan op dat per scenario het herstel beschrijft, ook ransomware (hoofdstuk 3).
- Zet een back-upregister op met per systeem de hersteleisen, locaties en laatste hersteltest (hoofdstuk 3).
- Laat de proceseigenaar per systeem het maximale gegevensverlies en de hersteltijd vaststellen (hoofdstuk 4).
- Richt ten minste één onveranderbare of offline kopie van de back-up in (hoofdstuk 5).
- Versleutel de back-ups en bewaar de sleutels gescheiden in een beheerde sleutelkluis (hoofdstuk 5).
- Richt voor de back-upomgeving aparte beheeraccounts met MFA buiten het gewone domein in (hoofdstuk 5).
- Plaats back-ups van kritieke systemen op twee plekken die elkaar bij een incident niet raken (hoofdstuk 6).
- Voer een eerste hersteltest uit volgens het ransomwarescenario, in een schone omgeving (hoofdstuk 7).

**Controles inrichten (7)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| BUR-01 | Alle back-uptaken van de afgelopen maand zijn gecontroleerd en elke mislukte taak is binnen een werkdag hersteld of gemeld | **[lijneigenaar back-up]** | Maandelijks |
| BUR-02 | Het back-upregister is volledig: elk systeem met impactniveau kritiek of hoger en elke SaaS-dienst met een kritiek proces heeft een goedgekeurd back-upplan van ten hoogste een jaar oud, vastgestelde hersteleisen, een gescheiden kopie en een onveranderbare kopie | **[eigenaar back-upplannen]** | Jaarlijks |
| BUR-03 | Elk systeem heeft vastgestelde hersteleisen met een risicoafweging, of staat gemeld op het standaardregime; de hersteltijd van kritieke systemen ligt onder de maximale uitvalsduur | CISO | Jaarlijks |
| BUR-04 | De onveranderbare kopie is niet te wissen met de beheerrechten van productie, de back-upaccounts staan buiten het gewone domein met MFA, en het verkorten van bewaartermijnen vereist een tweede persoon | CISO | Jaarlijks |
| BUR-05 | De gescheiden kopie staat op een locatie die een incident op de productielocatie niet raakt, en bij leveranciers is dat in het contract en met een verklaring aangetoond | Contracteigenaar | Jaarlijks |
| BUR-06 | Elk kritiek systeem heeft in het afgelopen jaar een hersteltest gehad die de hersteltijd haalde, waaronder ten minste één test van het ransomwarescenario uit de onveranderbare kopie | **[lijneigenaar back-up]** | Jaarlijks |
| BUR-07 | Elke hersteloperatie is gelogd met toestemming van de systeemeigenaar | **[lijneigenaar back-up]** | Per kwartaal |

**Nog in te vullen (7).** eigenaar back-upplannen; lijneigenaar back-up; standaard hersteltijd; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 17. Beleid logging en monitoring

**Inrichten**

- Richt op elk systeem de minimale loggebeurtenissen en verplichte velden in, met één tijdbron (hoofdstuk 3).
- Stel een overzicht van logbronnen op met gebeurtenissen, opslag, bewaartermijn en beoordelaar per systeem (hoofdstuk 3).
- Leg per logbron de bewaartermijn vast op basis van een risicoafweging (hoofdstuk 4).
- Neem logging met persoonsgegevens op in het verwerkingsregister (hoofdstuk 4).
- Kopieer logbestanden naar centrale opslag waar beheerders van het bronsysteem niets kunnen wijzigen (hoofdstuk 4).
- Stel een automatische melding in bij het wijzigen, verwijderen of stoppen van logging (hoofdstuk 4).
- Richt een detectievoorziening in die de logging van alle bronnen samenbrengt, bijvoorbeeld een SIEM (hoofdstuk 5).
- Leg escalatieregels vast met per ernstniveau de termijn en de ontvanger (hoofdstuk 5).

**Controles inrichten (7)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| LOG-01 | Elke logbron uit het overzicht logt daadwerkelijk en komt in de centrale opslag binnen; elk productiesysteem staat in het overzicht | **[beheerder logvoorziening]** | Per kwartaal |
| LOG-02 | Een steekproef van logregels uit vijf systemen bevat de verplichte velden, dezelfde tijdbron en geen wachtwoorden of sleutels | **[beheerder logvoorziening]** | Jaarlijks |
| LOG-03 | De bewaartermijn per logbron is vastgesteld, wordt gehaald en logging met persoonsgegevens staat in het verwerkingsregister | Privacy officer | Jaarlijks |
| LOG-04 | De logbestanden zijn over de bewaartermijn ongewijzigd en volledig aanwezig, getoetst door iemand zonder beheerrechten op de logging | Onafhankelijke toetser aangewezen door de CISO | Jaarlijks |
| LOG-05 | Meldingen uit de detectievoorziening zijn binnen de termijn per ernstniveau beoordeeld en de detectieregels zijn na incidenten bijgewerkt | CISO | Per kwartaal |
| LOG-06 | De escalatie werkt: een gesimuleerde melding met ernst hoog bereikt de CISO binnen de afgesproken termijn | CISO | Jaarlijks |
| LOG-07 | Nieuwe dreigingen die bij de monitoring zijn ontdekt, zijn volgens de procedure met de CERT gedeeld | CISO | Jaarlijks |

**Nog in te vullen (8).** beheerder logvoorziening; bewaartermijn beveiligingslogging; bewaking; lijneigenaar logging; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 18. Beleid netwerkbeveiliging

**Inrichten**

- Stel een netwerkontwerp op met segmenten, beveiligingsniveaus, koppelpunten en toegestane verkeersstromen (hoofdstuk 3).
- Geef elke firewallregel een eigenaar en een reden en verwijder overbodige regels (hoofdstuk 3).
- Leg per netwerkcomponent vast welke hardeningsrichtlijn geldt (hoofdstuk 4).
- Richt een apart beheersegment in met persoonsgebonden beheeraccounts en MFA (hoofdstuk 4).
- Richt netwerktoegangscontrole in met authenticatie van apparaat en gebruiker (hoofdstuk 4).
- Plaats op elk koppelpunt met internet een firewall, DDoS-bescherming en detectie (hoofdstuk 5).
- Richt een webfilter in en laat de CISO de geblokkeerde categorieën vaststellen (hoofdstuk 6).
- Plaats gastwifi in een apart segment zonder toegang tot het bedrijfsnetwerk (hoofdstuk 8).

**Controles inrichten (8)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| NWB-01 | Het netwerkontwerp is actueel, elk segment heeft een beveiligingsniveau en de segmenten in de configuratie komen overeen met het ontwerp | **[netwerkarchitect]** | Jaarlijks |
| NWB-02 | Alle firewallregels hebben een eigenaar en een reden; regels zonder noodzaak zijn verwijderd | **[netwerkbeheer]** | Jaarlijks |
| NWB-03 | Netwerkcomponenten voldoen aan de hardening en de patchtermijnen van hun segment en zijn alleen beheerbaar vanuit het beheersegment met MFA | CISO | Jaarlijks |
| NWB-04 | Een segmentatietest vanuit het gebruikers- en het gastsegment bereikt het beheersegment en het serversegment niet | Onafhankelijke tester aangewezen door de CISO | Jaarlijks |
| NWB-05 | De DDoS-bescherming en de netwerkdetectie op de koppelpunten werken en meldingen zijn binnen de termijn beoordeeld | CISO | Jaarlijks, meldingen per maand |
| NWB-06 | Nieuwe dreigingen uit de netwerkbewaking zijn volgens de procedure met de CERT gedeeld | CISO | Jaarlijks |
| NWB-07 | Het webfilter blokkeert de vastgestelde categorieën, de blokkeerlijsten zijn actueel en elke uitzondering heeft een reden en een einddatum | **[netwerkbeheer]** | Halfjaarlijks |
| NWB-08 | Draadloze en externe verbindingen zijn versleuteld volgens de geldende adviezen, het bedrijfswifi vraagt authenticatie van apparaat en gebruiker, en er zijn geen onbekende toegangspunten | **[netwerkbeheer]** | Jaarlijks |

**Nog in te vullen (7).** netwerkarchitect; netwerkbeheer; lijneigenaar netwerkbeveiliging; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 19. Beleid cryptografie

**Inrichten**

- Leg per systeem het versleutelingsniveau volgens de minimumtabel vast in het systeemdossier (hoofdstuk 3).
- Breng websites en maildomeinen op de verplichte standaarden van het Forum Standaardisatie (hoofdstuk 4).
- Wijs een eigenaar cryptografie en een sleutelbeheerder aan (hoofdstuk 5).
- Neem elk certificaat, elke sleutel en elke versleutelingsvoorziening op in de inventaris (hoofdstuk 5).
- Stel in de inventaris een automatisch signaal in voor certificaten die bijna verlopen (hoofdstuk 5).
- Stel een procedure sleutelbeheer op voor alle fasen, van aanvragen tot vernietigen (hoofdstuk 6).
- Zet sleutels in een sleutelkluis of beveiligde hardware, niet in code of gedeelde mappen (hoofdstuk 6).
- Bepaal per kritiek certificaat of reservecertificaten nodig zijn en oefen de vervanging (hoofdstuk 6).

**Controles inrichten (6)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| CRY-01 | Websites en maildomeinen voldoen aan de verplichte standaarden van het Forum Standaardisatie en elke afwijking is gemotiveerd | **[eigenaar cryptografie]** | Maandelijks, rapportage jaarlijks |
| CRY-02 | De inventaris van certificaten, sleutels en versleutelingsvoorzieningen is volledig, elk middel heeft een eigenaar en een vervaldatum, en verlopen certificaten zijn op tijd vervangen | **[sleutelbeheerder]** | Halfjaarlijks |
| CRY-03 | De gebruikte algoritmen, sleutellengten en protocolversies voldoen aan de actuele adviezen van NCSC en NBV en afgekeurde instellingen zijn binnen de termijn uitgezet | **[eigenaar cryptografie]** | Halfjaarlijks |
| CRY-04 | Elk systeem met het label vertrouwelijk of hoger versleutelt bij transport en opslag volgens de minimumtabel, en back-ups zijn versleuteld met gescheiden sleutels | CISO | Jaarlijks |
| CRY-05 | Sleutels staan in een sleutelkluis of beveiligde hardware en niet in broncode, scripts of gedeelde mappen; de procedure sleutelbeheer is gevolgd | **[sleutelbeheerder]** | Jaarlijks |
| CRY-06 | Voor certificaten waarvan de dienstverlening afhangt is de risicoafweging over reservecertificaten gemaakt en, waar afgesproken, de vervanging geoefend | **[sleutelbeheerder]** | Jaarlijks |

**Nog in te vullen (9).** sleutelbeheerder; eigenaar cryptografie; termijn uitfaseren; waarschuwingstermijn verlopen; lijneigenaar cryptografie; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 20. Beleid veilige softwareontwikkeling

**Inrichten**

- Leg de beveiligingsprincipes voor het ontwerp van informatiesystemen vast in een architectuurdocument (hoofdstuk 3).
- Richt een vastgelegde toets van elk project en elke aanschaf aan de architectuurprincipes in (hoofdstuk 3).
- Stel per nieuwe toepassing beveiligingseisen op, op basis van een erkende eisenset zoals OWASP ASVS (hoofdstuk 4).
- Plan voor elke internetvoorziening een penetratietest vóór ingebruikname (hoofdstuk 4).
- Neem de eisen uit het beleid op in het programma van eisen en het contract (hoofdstuk 6).
- Regel in contracten auditrecht, toegang tot broncode, oplostermijnen en een meldregeling voor kwetsbaarheden (hoofdstuk 6).
- Richt per oplevering een acceptatiedossier in met testverslag, penetratietest en componentenoverzicht (hoofdstuk 6).
- Stel een formulier testgegevens op voor testen met persoonsgegevens (hoofdstuk 7).

**Controles inrichten (7)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| SSD-01 | De architectuurprincipes zijn in het afgelopen jaar herzien en vastgesteld, en elk project of elke aanschaf van het afgelopen jaar heeft een vastgelegde toets aan de principes | CISO | Jaarlijks |
| SSD-02 | Elke nieuwe toepassing of grote wijziging heeft vastgelegde beveiligingseisen op het niveau dat bij het impactniveau past, en de eisen zijn bij de acceptatie aantoonbaar getoetst | **[lijneigenaar veilige ontwikkeling]** | Halfjaarlijks |
| SSD-03 | Elke internetvoorziening die in gebruik is gegaan, heeft een penetratietestrapport van vóór de ingebruikname zonder open bevindingen met hoog risico | CISO | Halfjaarlijks |
| SSD-04 | De beschrijving van het ontwikkelproces en de richtlijn voor veilig programmeren zijn ten hoogste een jaar oud, elke ontwikkelaar heeft in het afgelopen jaar training gevolgd, en elke wijziging in de hoofdtak heeft een beoordeling door een tweede persoon en een geslaagde automatische controle | **[lijneigenaar veilige ontwikkeling]** | Per kwartaal |
| SSD-05 | Elke applicatie heeft een actueel componentenoverzicht en er staan geen geheimen in de repository | **[lijneigenaar veilige ontwikkeling]** | Per kwartaal |
| SSD-06 | Elke oplevering van een leverancier is pas geaccepteerd na controle van de afgesproken bewijzen, en elk contract voor ontwikkeling, maatwerk of SaaS bevat de eisen uit dit beleid | Contracteigenaar | Jaarlijks |
| SSD-07 | Elke testomgeving met persoonsgegevens heeft een ingevuld formulier met advies en een einddatum, en de gegevens zijn op de einddatum verwijderd | Privacy officer | Jaarlijks |

**Nog in te vullen (8).** architectuurdocument; lijneigenaar veilige ontwikkeling; ontwikkelrichtlijn; formulier testgegevens; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.

## 21. Beleid wijzigingsbeheer

**Inrichten**

- Kies een beheerraamwerk, zoals ITIL of BiSL, en leg de processtappen vast (hoofdstuk 3).
- Richt een wijzigingsregister in met risicoklasse, testplan, rollbackplan en besluit per wijziging (hoofdstuk 3).
- Wijs een wijzigingsmanager en een spoedgoedkeurder aan (hoofdstuk 3).
- Leg de goedkeuring per soort wijziging vast en maak draaiboeken voor standaardwijzigingen (hoofdstuk 3).
- Leg werkinstructies voor terugkerende beheertaken vast in de beheerdocumentatie (hoofdstuk 4).
- Trek lokale beheerrechten in en stel een lijst van toegestane software op (hoofdstuk 5).
- Scheid ontwikkel-, test-, acceptatie- en productieomgevingen met eigen accounts en rechten (hoofdstuk 6).
- Stel een vaste testmethode voor acceptatietesten vast, met testplan en testverslag (hoofdstuk 7).

**Controles inrichten (8)**

| Nr | Controle | Uitvoerder | Frequentie |
|---|---|---|---|
| WZB-01 | Elke doorgevoerde wijziging staat in het register met risicoafweging, rollbackplan, testverslag, goedkeuring door de juiste rol en de controle na doorvoeren | Wijzigingsmanager | Per kwartaal |
| WZB-02 | Elke spoedwijziging is binnen vijf werkdagen achteraf beoordeeld en het aandeel spoedwijzigingen is gerapporteerd | **[lijneigenaar wijzigingsbeheer]** | Maandelijks |
| WZB-03 | Het wijzigingsproces volgt het vastgelegde beheerraamwerk en is bij beheerpartijen in het contract vastgelegd en aantoonbaar toegepast | CISO | Jaarlijks |
| WZB-04 | Voor elke terugkerende beheertaak van een systeem met impactniveau kritiek of hoger bestaat een werkinstructie die ten hoogste een jaar oud is, de verplichte onderdelen bevat en alleen voor bevoegden toegankelijk is | **[lijneigenaar wijzigingsbeheer]** | Jaarlijks |
| WZB-05 | De geïnstalleerde software op werkplekken en servers komt overeen met de lijst van toegestane software, gebruikers hebben geen lokale beheerrechten en software buiten de lijst is binnen de termijn verwijderd | **[beheerorganisatie]** | Per kwartaal |
| WZB-06 | Ontwikkel-, test-, acceptatie- en productieomgevingen zijn gescheiden met eigen accounts en rechten, en elke test in productie of niet vooraf geteste significante wijziging heeft een voorafgaande goedkeuring van de proceseigenaar | CISO | Jaarlijks |
| WZB-07 | Elke significante wijziging heeft een acceptatietestverslag volgens de vaste methode, met een beveiligingstest bij een hoog risico of een internetbereikbaar systeem, en een acceptatiebesluit van de systeemeigenaar | Wijzigingsmanager | Per kwartaal |
| WZB-08 | Bij elke acceptatietest is vastgelegd welke testgegevens zijn gebruikt, en bij gebruik van productiegegevens zijn het advies en de verwijdering aantoonbaar | Privacy officer | Jaarlijks |

**Nog in te vullen (10).** lijneigenaar wijzigingsbeheer; wijzigingsregister; spoedgoedkeurder; beheerdocumentatie; termijn verwijderen software; beheerorganisatie; registratie van controles; risico-eigenaar; eigenaar van dit beleid; vaststeller.