Strategisch informatiebeveiligingsbeleid

Onderdeel van Beleidsset informatiebeveiliging op BIO 2.0, op maat gemaakt met contextvragen · Markdown-bron

Word nodig? Kies dit stuk in de generator en download het daar, zonder of met je eigen antwoorden.

In het kort. Het bovenliggende kader voor informatiebeveiliging: wat de organisatie wil bereiken, wie verantwoordelijk is en hoe zij aantoont dat het werkt. Behandelt de vaststelling en inbedding van het beleid, de samenhang met privacy, OT en continuïteit, de organisatie van de beveiligingsfunctie, bewustzijn, contacten en dreigingsinformatie, audit en verantwoording, en de evaluatie.

Onderwerpen. 3. Inhoud, vaststelling en inbedding van het beleid; 4. Samenhang en toewijzing aan de lijn; 5. Organisatie van de beveiligingsfunctie; 6. Bewustzijn; 7. Contacten met instanties, belangengroepen en dreigingsinformatie; 8. Audit en verantwoording; 9. Evaluatie van het beleid.

Zonder profiel: tekst die van een contextvraag afhangt, staat in een kader met de vraag erboven.

1. Doel en reikwijdte#

Dit beleid is het bovenliggende kader voor informatiebeveiliging in de organisatie. Het zegt wat de organisatie wil bereiken, wie waarvoor verantwoordelijk is, hoe informatiebeveiliging samenhangt met privacybescherming, operationele technologie (OT) en bedrijfscontinuïteit (BCM), en hoe de organisatie aantoont dat het werkt. De materie-specifieke beleidsstukken van deze set werken het uit per BIO 2.0-domein. Dit stuk is het beleidsdocument uit clausule 5.2 van ISO 27001 en gaat over de ISO-beheersmaatregelen 5.1 tot en met 5.3, 5.5 tot en met 5.7, 5.35 en 5.36.

Voor wie. Het beleid is primair bedoeld voor het bestuur, de ambtelijke top, de lijnmanagers en proceseigenaren die eigenaar zijn van processen, systemen en ketens, en voor de CISO en de andere rollen in de tweede en derde lijn. De uitgangspunten en de gedragsregel in hoofdstuk 6 gelden voor iedereen die onder verantwoordelijkheid van de organisatie met informatie werkt: medewerkers, inhuur, stagiairs, vrijwilligers, leveranciers en ketenpartners.

Waarop. Alle processen, informatiesystemen, gegevens en installaties van de organisatie, ongeacht waar ze draaien of wie ze beheert: eigen systemen, systemen bij een hostingpartij of SaaS-leverancier, de OT en de ketens die de organisatie met andere partijen deelt. Is een deel van de beveiligingsfunctie uitbesteed, bijvoorbeeld een gedeelde CISO, een extern managementsysteem of een externe interne-auditfunctie, dan gelden de eisen uit dit beleid als minimumeis voor die partij. De organisatie legt dat vast in het contract en toetst de naleving met een onafhankelijke verklaring, zoals een ISO 27001-certificaat of een ISAE 3402- of ISAE 3000-rapport; het vastleggen loopt via het beleid informatiebeveiliging bij inkoop, het toetsen via het beleid contractbeheer.

Buiten dit beleid vallen de maatregelen per onderwerp: die staan in de materie-specifieke stukken van deze set, zoals het beleid logische toegangsbeveiliging, het beleid beveiligingsincidenten en het beleid IT-compliance. De scholing van bestuur en medewerkers staat in het beleid screening, bewustzijn en opleiding; de risicoafweging bij nieuwe systemen in het beleid informatiebeveiliging in projecten; het privacybeleid en het continuïteitsbeleid zijn eigen stukken met dezelfde eigenaren.

Alleen als: Hoe is je bedrijfsvoering georganiseerd? «Centrumorganisatie die de bedrijfsvoering ook voor anderen doet»

De organisatie voert de bedrijfsvoering ook uit voor andere organisaties. Dit beleid geldt dan voor alle deelnemers; per deelnemer is vastgelegd welk bestuur het vaststelt, wie de rollen uit hoofdstuk 10 vult en hoe de rapportage uit hoofdstuk 8 per deelnemer wordt uitgesplitst.

Alleen als: Hoe is je bedrijfsvoering georganiseerd? «Aangesloten bij een uitvoeringsorganisatie of centrumorganisatie»

De organisatie heeft de bedrijfsvoering belegd bij een uitvoerings- of centrumorganisatie. Het bestuur van de organisatie blijft eindverantwoordelijk en stelt dit beleid zelf vast; de uitvoering van de maatregelen loopt via de dienstverleningsafspraken met die organisatie, met de verklaring uit hoofdstuk 1 als bewijs.

2. Uitgangspunten#

1. Het bestuur is eindverantwoordelijk voor informatiebeveiliging en stelt dit beleid vast. #
2. Informatiebeveiliging is risicogestuurd. Risico's worden geïdentificeerd, beoordeeld, behandeld en gevolgd volgens de vastgestelde risicomanagementmethodiek van de organisatie. #
3. De uitvoering ligt in de lijn. Wie eigenaar is van een proces, systeem of bedrijfsmiddel, is ook eigenaar van de risico's daarop en van de maatregelen die ze beheersen. #
4. Het normenkader is BIO 2.0, met ISO 27001 voor het managementsysteem en ISO 27002 plus de overheidsmaatregelen van BIO 2.0 voor de beheersmaatregelen. De Verklaring van Toepasselijkheid zegt per maatregel of hij geldt, wie eigenaar is en waar hij is uitgewerkt. #
5. Informatiebeveiliging is een doorlopend verbeterproces volgens plan, do, check, act. Opzet, bestaan en werking van maatregelen zijn aantoonbaar. #
6. Wie een maatregel uitvoert, beoordeelt niet zelf of hij werkt: uitvoeren, goedkeuren en controleren liggen bij verschillende personen. #
7. De organisatie stelt de mensen en middelen beschikbaar die nodig zijn om dit beleid uit te voeren. #

Alleen als: Wat is je status onder de Cyberbeveiligingswet? «Essentiële entiteit» of «Belangrijke entiteit»

8. De organisatie is aangewezen onder de Cyberbeveiligingswet. Zorgplicht, meldplicht, registratieplicht en toezicht zijn daarmee wettelijke verplichtingen. Dit beleid beschrijft wat de organisatie moet kunnen aantonen; eigen ambitie komt daar bovenop. #

Alleen als: Wat is je status onder de Cyberbeveiligingswet? «Niet aangewezen»

8. De organisatie is niet aangewezen onder de Cyberbeveiligingswet. Zij past BIO 2.0 toe als afgesproken norm voor de overheid en toetst jaarlijks of de aanwijzing nog klopt, bijvoorbeeld na een wijziging van taken of een nieuwe aanwijzing door de sector.

9. Termijnen en frequenties in dit beleid die niet uit een wet of uit de BIO 2.0 komen, zijn standaardwaarden. De organisatie past ze aan op haar eigen risicoafweging en legt de keuze vast bij de vaststelling van dit beleid. #

3. Inhoud, vaststelling en inbedding van het beleid#

1. Het bestuur stelt dit beleid vast. Het beleid bevat ten minste: de strategische uitgangspunten (hoofdstuk 2), de organisatie van de beveiligingsfunctie (hoofdstuk 5), de toewijzing van ketens, OT, privacy en BCM aan de lijn (hoofdstuk 4), het normenkader (uitgangspunt 4), de evaluatiefrequentie (hoofdstuk 9) en de bevordering van bewustzijn (hoofdstuk 6). Het vaststellingsbesluit is het bewijs. [5.01.01] #
2. Het beleid sluit aan op het algemene beveiligingsbeleid (fysiek, personeel, integriteit) en op het informatievoorzieningsbeleid. De CISO toetst die aansluiting bij elke evaluatie; bij tegenstrijdigheid beslist het bestuur op advies van de CISO welk stuk wordt aangepast. [5.01.01] #
3. De CISO leidt jaarlijks meetbare doelstellingen af uit dit beleid, met per doelstelling een eigenaar, een meetmethode en een rapportagemoment in de P&C-cyclus. De doelstellingen staan in de jaarplanning van het managementsysteem die het bestuur vaststelt. [5.01.01] #
4. Het toepassingsgebied van het managementsysteem ligt vast in een scopedocument, gebaseerd op de lijst van kritieke processen en de systemen die ze dragen. De CISO beoordeelt het scopedocument jaarlijks en legt de beoordeling vast. [5.01.01] #
5. De CISO maakt dit beleid en de materie-specifieke stukken bekend aan iedereen voor wie ze gelden, via [publicatieplek beleid], en meldt elke nieuwe versie aan de lijnmanagers en aan de leveranciers voor wie het als minimumeis geldt. [5.01.01] #
6. Waar een eis uit deze set niet kan worden nageleefd, legt de eigenaar een uitzondering vast volgens de afwijkingsprocedure in hoofdstuk 11. Een uitzondering zonder einddatum wordt niet geaccepteerd. [5.01.01] #

Alleen als: Wat is je status onder de Cyberbeveiligingswet? «Essentiële entiteit» of «Belangrijke entiteit»

7. Het scopedocument noemt ook de diensten waarvoor de organisatie onder de Cyberbeveiligingswet valt. De CISO werkt de gegevens in het entiteitenregister bij elke wijziging en ten minste jaarlijks bij; het bewijs is de registratiebevestiging. [5.01.01] #

Alleen als: Waar sta je met informatiebeveiliging? «Startend: nog geen samenhangend beleid»

8. De organisatie heeft nog geen samenhangend beleid. Dit strategisch beleid wordt eerst vastgesteld. Binnen twaalf maanden volgen een Verklaring van Toepasselijkheid, een risicoanalyse op de kritieke processen en de materie-specifieke stukken voor de domeinen met het hoogste risico. De CISO legt die volgorde vast in een plan van aanpak dat het bestuur vaststelt. [5.01.01] #

Alleen als: Waar sta je met informatiebeveiliging? «BIO 1 op orde, verantwoording via ENSIA»

9. De organisatie heeft BIO 1 op orde. De overgang naar BIO 2.0 loopt via een vergelijking per maatregel: wat al gedekt is, wat aangepast moet worden en wat nieuw is. De CISO legt die vergelijking en het tijdpad vast in een transitieplan dat het bestuur vaststelt. [5.01.01] #

4. Samenhang en toewijzing aan de lijn#

1. Informatiebeveiliging, privacybescherming, de beveiliging van OT en de continuïteit van de taakuitvoering raken dezelfde processen en hebben dezelfde eigenaren. De organisatie beheert ze daarom als één geheel: één risicoregister, één set eigenaren en één rapportagelijn naar het bestuur. [5.02.01] #
2. Lijnmanagers en proceseigenaren zijn voor hun proces en de bijbehorende systemen en ketens verantwoordelijk voor de informatiebeveiliging, de bescherming van persoonsgegevens, de beveiliging van de OT die het proces aanstuurt, de continuïteit van het proces en de behandeling van de risico's op hun bedrijfsmiddelen. [ambtelijk eindverantwoordelijke] legt dat eigenaarschap vast in [register eigenaren] en beoordeelt het jaarlijks op volledigheid. [5.01.01, 5.02.01] #
3. Voor elke keten van informatiesystemen die de organisatie met andere partijen deelt, is één interne eigenaar benoemd die de afspraken over beveiliging met de ketenpartners bewaakt. De keteneigenaren staan in hetzelfde register. [5.01.01, 5.02.01] #
4. De verhouding tussen de vier kaders ligt vast in deze tabel. De CISO toetst bij elke evaluatie van dit beleid of de tabel nog klopt. [5.02.01] #

5. Bij het toewijzen van rollen is vastgelegd wie bij een incident beslist, wie coördineert en wie meldt. Een incident kan alle vier de kaders tegelijk raken; de meldroutes verschillen, de coördinatie ligt bij één rol, uitgewerkt in het beleid beveiligingsincidenten. [5.02.01] #

Alleen als: Heb je operationele technologie (OT)? «Beperkt: gebouwbeheer, toegang, camera's»

6. De OT van de organisatie is beperkt tot gebouwbeheer, toegangssystemen en camera's. Eigenaar is [eigenaar gebouwgebonden OT]. Deze installaties staan in het register van bedrijfsmiddelen en vallen onder dezelfde jaarlijkse risicoanalyse als de IT-systemen. [5.02.01] #

Alleen als: Heb je operationele technologie (OT)? «Substantieel: bruggen, gemalen, verkeer, zuivering»

7. De organisatie heeft OT met een fysieke functie in de openbare ruimte, zoals bruggen, gemalen, verkeersregelinstallaties of zuivering. Per installatiesoort is een eigenaar in de lijn benoemd in [register OT-eigenaren], dat de CISO jaarlijks met de eigenaren doorneemt. Een storing of aanval op OT wordt behandeld als informatiebeveiligingsincident én als continuïteitsincident. [5.02.01] #

5. Organisatie van de beveiligingsfunctie#

1. De organisatie werkt met drie lijnen. De eerste lijn (directie en lijnmanagement) is eigenaar van risico en maatregel. De tweede lijn (CISO, privacy officer, FG) stelt kaders, adviseert en bewaakt. De derde lijn (interne audit of de accountant) geeft onafhankelijk oordeel over opzet, bestaan en werking. De rolbeschrijvingen van de drie lijnen staan in het mandaat van de CISO en in de functiebeschrijvingen. [5.02.01] #
2. Er is een CISO aangesteld met een mandaat dat het bestuur schriftelijk heeft vastgesteld. De CISO adviseert het bestuur en het controlerend orgaan zelfstandig en ongevraagd, en rapporteert rechtstreeks aan het bestuur. Die rapportage kan niet worden tegengehouden door een tussenliggende laag. [5.02.02] #
3. De CISO zit organisatorisch niet in de IT-organisatie en heeft geen beheertaken op de systemen die hij beoordeelt. De CISO legt de eigen onafhankelijkheid jaarlijks vast in de rapportage aan het bestuur. [5.02.02, 5.03.01] #
4. Taken die elkaar in de hand horen te houden, liggen bij verschillende personen: het aanvragen en goedkeuren van toegang, het beheren van een systeem en het beoordelen van de logging ervan, het doorvoeren van een wijziging en het goedkeuren ervan, en het uitvoeren van een maatregel en het controleren ervan. [ambtelijk eindverantwoordelijke] stelt vast welke taakcombinaties niet bij één persoon mogen liggen en legt die vast in [overzicht functiescheiding]. [5.03.01] #
5. Elke lijnmanager toetst jaarlijks voor het eigen onderdeel of de taakcombinaties uit dat overzicht bij verschillende personen liggen, en meldt de uitkomst aan de CISO. Waar scheiding door de omvang van de organisatie niet kan, staat de compenserende maatregel, zoals een controle achteraf door een andere persoon, in het risicoregister. [5.03.01] #

Alleen als: Welke eigen security-capaciteit heb je? «Geen eigen ISO; informatiebeveiliging is een neventaak»

6. De organisatie heeft geen eigen ISO. Informatiebeveiliging is een neventaak van [functionaris informatiebeveiliging]. De CISO-rol is belegd bij [CISO-invulling], met een schriftelijk mandaat van het bestuur en een vast overleg met de directie ten minste elk kwartaal, waarvan een verslag wordt gemaakt. [5.02.02] #

Alleen als: Welke eigen security-capaciteit heb je? «Een ISO of CISO in deeltijd»

7. De CISO werkt in deeltijd. Het mandaat legt vast hoeveel uren beschikbaar zijn en welke taken voorrang hebben: de jaarrapportage aan het bestuur, het risicoregister en de advisering bij nieuwe systemen. Taken die niet passen, worden belegd bij [ondersteuning CISO]; de verdeling staat in het mandaat. [5.02.02] #

Alleen als: Welke eigen security-capaciteit heb je? «Een eigen team (CISO met ISO's)»

8. De CISO leidt een team van ISO's. De ISO's zijn per organisatieonderdeel of domein aanspreekpunt voor de lijn, stellen de controleraamwerken op en bewaken de uitvoering in de dagelijkse praktijk. De verdeling van domeinen over de ISO's staat in de jaarplanning van het managementsysteem. [5.02.02] #

6. Bewustzijn#

1. Het bestuur draagt informatiebeveiliging uit en volgt zelf de scholing die het beleid screening, bewustzijn en opleiding voorschrijft. Iedere medewerker kent de regels die voor de eigen functie gelden en meldt vermoedens van incidenten direct bij het meldpunt uit het beleid beveiligingsincidenten. [5.01.01] #
2. De CISO stelt jaarlijks een bewustwordingsprogramma op met doelgroepen, onderwerpen en meetpunten. Het programma is onderdeel van de jaarplanning van het managementsysteem; de uitvoering staat in het beleid screening, bewustzijn en opleiding. [5.01.01] #

Alleen als: Wat is je status onder de Cyberbeveiligingswet? «Essentiële entiteit» of «Belangrijke entiteit»

3. Bestuurders volgen de scholing die de Cyberbeveiligingswet hun persoonlijk oplegt. Het bestuur keurt de risicobeheersingsmaatregelen goed en ziet toe op de uitvoering; die plicht is niet over te dragen. Het besluit en de registratie van de scholing zijn het bewijs. [5.01.01] #

7. Contacten met instanties, belangengroepen en dreigingsinformatie#

1. De CISO houdt een overzicht bij van welke functionaris formeel contact heeft met welke instantie over informatiebeveiliging, met per contact een plaatsvervanger. Het overzicht noemt functies; de namen staan in een bijlage die bij elke personeelswisseling wordt bijgewerkt. [5.05.01] #
2. Het overzicht bevat ten minste het CSIRT of de sectorale CERT voor de organisatie, de toezichthouder op informatiebeveiliging, de Autoriteit Persoonsgegevens (contact via de FG) en de politie voor aangifte. [5.05.01] #
3. De CISO actualiseert het overzicht ten minste jaarlijks en na elke organisatiewijziging die een contact raakt; de versie met datum is het bewijs. [5.05.01] #
4. De organisatie is aangesloten bij ten minste één samenwerkingsverband voor informatiebeveiliging in de eigen sector, zoals een sectorale ISAC, een informatiedeelnetwerk of een vakvereniging. De CISO legt in het overzicht vast bij welke verbanden de organisatie is aangesloten, wie deelneemt en wat de organisatie er haalt en brengt. [5.06.01] #
5. De CISO neemt ten minste elk kwartaal deel aan een bijeenkomst of uitwisseling van zo'n verband en legt de relevante uitkomsten (nieuwe dreigingen, goede praktijken, wijzigingen in normen) vast in het risicoregister of de jaarplanning. De deelname blijkt uit de verslagen of de agenda. [5.06.01] #
6. De CISO verzamelt doorlopend informatie over dreigingen uit ten minste drie bronnen: de waarschuwingen van het CSIRT of de sectorale CERT, de kwetsbaarheidsmeldingen van leveranciers en de uitwisseling in het samenwerkingsverband. [5.07.01] #
7. De CISO beoordeelt elke waarschuwing van het CSIRT of de sectorale CERT binnen [beoordelingstermijn dreigingsinformatie] op de gevolgen voor de organisatie en zet de opvolging uit bij het beleid kwetsbaarhedenbeheer of het beleid beveiligingsincidenten. De beoordeling en de opvolging worden vastgelegd in [registratie dreigingsinformatie]. [5.07.01] #
8. De CISO stelt jaarlijks een dreigingsbeeld op voor de organisatie: welke actoren en aanvalsmethoden de eigen taken en systemen raken en wat dat betekent voor de risicoanalyse. Het dreigingsbeeld is input voor de jaarlijkse risicoanalyse en voor de jaarplanning van het managementsysteem. [5.07.01] #

Alleen als: Wat is je status onder de Cyberbeveiligingswet? «Essentiële entiteit» of «Belangrijke entiteit»

9. Het overzicht noemt ook de toezichthouder onder de Cyberbeveiligingswet, het CSIRT waar significante incidenten worden gemeld en de aangewezen meldbevoegde met plaatsvervanger. [5.05.01] #

8. Audit en verantwoording#

1. Er is een auditplan dat het bestuur jaarlijks vaststelt. Het plan zegt welke systemen en onderwerpen dat jaar welk soort audit krijgen (bijvoorbeeld een opzet-, bestaans- of werkingstoets, een pentest of een ketenaudit) en is risicogestuurd: het hoogste risico eerst. [5.35.02] #
2. De audits uit het plan worden uitgevoerd door een partij die onafhankelijk is van de uitvoering: de interne auditfunctie, de accountant of een externe auditor. Elke audit levert een rapport met bevindingen en een oordeel over opzet, bestaan en werking. [5.35.02] #
3. Bevindingen uit audits gaan met eigenaar en termijn in het risicoregister. De CISO volgt de opvolging elk kwartaal en rapporteert erover aan het bestuur. [5.35.02, 5.36.01] #
4. Over informatiebeveiliging wordt gerapporteerd in de P&C-cyclus, onder coördinatie van de CISO. De rapportage gaat over de stand van de maatregelen, de open risico's, de incidenten en de voortgang op de doelstellingen. [5.36.01] #
5. Elke lijnmanager beoordeelt jaarlijks of de processen en systemen in het eigen onderdeel voldoen aan dit beleid en de materie-specifieke stukken, en levert het bewijs aan via de controleraamwerken van die stukken. Afwijkingen meldt de lijnmanager als bevinding voor het risicoregister. [5.36.01] #
6. Het bestuur geeft jaarlijks een verklaring af dat het de informatiebeveiliging beheerst (een In Control Verklaring of een vergelijkbaar instrument), gebaseerd op die rapportage. [5.36.01] #

Alleen als: Waar sta je met informatiebeveiliging? «Startend: nog geen samenhangend beleid» of «BIO 1 op orde, verantwoording via ENSIA»

7. Zolang een werkend controleraamwerk ontbreekt, steunt de verklaring op een zelfevaluatie per maatregel, bijvoorbeeld de ENSIA-vragenlijst, met bewijs dat de lijneigenaar aanlevert. De CISO beoordeelt het bewijs steekproefsgewijs. [5.36.01] #

Alleen als: Waar sta je met informatiebeveiliging? «BIO 2.0-ISMS in opbouw» of «BIO 2.0-ISMS werkend, met controleraamwerk»

8. Per materie-specifiek beleidsstuk is er een controleraamwerk: per maatregel een controle met eigenaar, frequentie en benoemd bewijs. De uitvoering wordt vastgelegd op het moment dat de controle draait, zodat de verklaring steunt op aantoonbare werking. [5.36.01] #

Alleen als: Waar sta je met informatiebeveiliging? «BIO 2.0-ISMS werkend, met controleraamwerk»

9. Het auditplan neemt elk jaar ten minste een deel van de controles op in een werkingstoets door de derde lijn, zodat over een cyclus van drie jaar alle domeinen zijn getoetst. [5.35.02] #

9. Evaluatie van het beleid#

1. De CISO beoordeelt dit beleid ten minste jaarlijks, in aansluiting op de bestuurscyclus en de P&C-cyclus, en legt wijzigingen ter vaststelling voor aan het bestuur. Het verslag van de beoordeling is het bewijs, ook als er niets wijzigt. [5.01.02] #
2. Tussentijds beoordeelt de CISO het beleid bij een wijziging van wet- of regelgeving, een nieuwe versie van BIO 2.0, een organisatiewijziging die de rollen raakt of een significant incident. [5.01.02] #
3. De materie-specifieke stukken van deze set volgen dezelfde cyclus: de eigenaar van elk stuk beoordeelt het jaarlijks en legt wijzigingen voor aan [vaststeller materiebeleid]. [5.01.02] #

10. Rollen en verantwoordelijkheden#

11. Naleving en controle#

Controleraamwerk. De naleving van dit beleid wordt met de volgende controles aangetoond. De uitkomst en het bewijs worden vastgelegd in [registratie van controles]; afwijkingen gaan als bevinding naar het risicoregister.

Alleen als: Welke eigen security-capaciteit heb je? «Geen eigen ISO; informatiebeveiliging is een neventaak»

Zonder eigen ISO voert de CISO-invulling de controles IVB-02 tot en met IVB-07 uit; de functionaris informatiebeveiliging levert het bewijs aan.

Afwijkingen. Afwijken van een eis kan alleen op basis van een gedocumenteerde risicoafweging. De lijnmanager of proceseigenaar dient het verzoek in bij de CISO, met de reden, de compenserende maatregelen en de looptijd. De afwijking geldt pas na acceptatie van het risico door [risico-eigenaar] en staat in het risicoregister; afwijkingen worden ten minste jaarlijks opnieuw beoordeeld.

Niet naleven. Het niet naleven van dit beleid wordt behandeld als beveiligingsincident en kan leiden tot het intrekken van toegangsrechten of tot maatregelen volgens de rechtspositieregeling of het contract.

12. Samenhang#

Dit beleid is het bovenliggende kader voor alle materie-specifieke stukken van deze set. Het staat naast het privacybeleid en het continuïteitsbeleid, met dezelfde eigenaren en één risicoregister. De rolverdeling bij incidenten staat in het beleid beveiligingsincidenten; scholing van bestuur en medewerkers in het beleid screening, bewustzijn en opleiding; risicoafweging bij nieuwe systemen in het beleid informatiebeveiliging in projecten; wettelijke eisen en bewaartermijnen in het beleid IT-compliance; de opvolging van dreigingsinformatie in het beleid kwetsbaarhedenbeheer; eisen aan en verklaringen van leveranciers in het beleid informatiebeveiliging bij inkoop en het beleid contractbeheer.

Bijlage A: BIO 2.0-maatregelen#

De maatregelen van dit domein (10, waarvan 7 overheidsmaatregelen), waar dit stuk ze invult en welke controle ze aantoont. Nummers volgens BIO2 v1.3 definitief - 9 januari 2026; de tekst van de maatregel staat bij het CIP. Waar de BIO 2.0 geen overheidsmaatregel kent, geldt de ISO 27002-beheersmaatregel.

Bijlage B: Afkortingen#

Nog in te vullen#

• publicatieplek beleid: de plek waar het beleid voor iedereen vindbaar is, bijvoorbeeld het intranet
• ambtelijk eindverantwoordelijke: de hoogste ambtelijke functie, bijvoorbeeld de secretaris of algemeen directeur
• register eigenaren: het overzicht van processen en systemen met hun eigenaar, bijvoorbeeld het register van bedrijfsmiddelen
• eigenaar gebouwgebonden OT: de manager die de installaties beheert, bijvoorbeeld facilitaire zaken
• register OT-eigenaren: overzicht van installatiesoorten met eigenaar en beheerpartij
• overzicht functiescheiding: het overzicht van taken die niet in één hand mogen liggen, bijvoorbeeld als bijlage bij het mandaat
• functionaris informatiebeveiliging: de medewerker die de neventaak heeft, met het aantal uren per week
• CISO-invulling: bijvoorbeeld een gedeelde CISO via een samenwerkingsverband of een externe partij
• ondersteuning CISO: bijvoorbeeld een ISO van een samenwerkingspartner of ingehuurde capaciteit
• beoordelingstermijn dreigingsinformatie: de termijn waarbinnen een waarschuwing is beoordeeld, bijvoorbeeld twee werkdagen
• registratie dreigingsinformatie: waar beoordeelde waarschuwingen worden vastgelegd, bijvoorbeeld het ticketsysteem
• vaststeller materiebeleid: wie de materie-specifieke stukken vaststelt, bijvoorbeeld de directie
• registratie van controles: het systeem waarin controles worden vastgelegd, bijvoorbeeld het ticketsysteem of het managementsysteem
• risico-eigenaar: de manager die restrisico's accepteert
• eigenaar van dit beleid: de manager die dit beleid uitvoert en laat naleven
• vaststeller: wie het beleid vaststelt, bijvoorbeeld de directie of het bestuur