Plan van aanpak invoering BIO 2.0, sjabloon

Onderdeel van BIO 2.0 invoeren, een plan van aanpak met urenraming · Markdown-bron

Versie [0.1] · [datum] · status [concept] · opgesteld door [rol]

Vul in wat tussen blokhaken staat. De structuur en de voorbeelduren komen uit het plan van een samenwerking van vier gemeenten; zie de toelichting.

1. Aanleiding en doel#

Met de Cyberbeveiligingswet is BIO 2.0 voor [organisatie] verplicht. Dit plan beschrijft hoe [organisatie] de drie eisen invult: een managementsysteem voor informatiebeveiliging met een vastgestelde scope (deel 1), de verplichte maatregelen voor wat binnen die scope valt (deel 2), en aantonen dat die maatregelen bestaan en werken.

Opdrachtgever: [directielid] · opdrachtnemer: [CIO of directeur bedrijfsvoering] · regie: [CISO]

2. Scope#

3. Deel 1: het managementsysteem#

Onderdeel Producten Eigenaar Uren CISO Uren ISO Uren IT-audit Gereed
Context en scope scope, contextanalyse, belanghebbenden [ ] [40] [8] [kwartaal]
Leiderschap informatiebeveiligingsbeleid [ ] [120] [8] [kwartaal]
Planning risicomanagementbeleid, kritische prestatie-indicatoren [ ] [40] [8] [kwartaal]
Risicoanalyse risicoanalyse, verklaring van toepasselijkheid [ ] [24] [200] [kwartaal]
Ondersteuning competentie- en opleidingseisen, documentbeheer [ ] [40] [16] [kwartaal]
Evaluatie auditprogramma, auditrapportage, directiebeoordeling [ ] [40] [160] [kwartaal]
Verbetering afwijkingenregister, correctieve maatregelen [ ] [40] [24] [kwartaal]
Totaal [344] [264] [160]

Eerste jaar: [kritieke processen, kritieke IT-middelen en eisen]. Eerste volledige cyclus: [jaar].

4. Deel 2: de maatregelen#

Werkwijze per thema: richten (beleid, risicoanalyse op het proces, ontwerp van extra maatregelen), inrichten (maatregelen in [ITSM-systeem], werkinstructies, workshop) en verrichten (begeleiden, knelpunten, bewaking door de tweede lijn). Het bewijs van uitvoering wordt vastgelegd in [het ticket].

Maatregelen die al belegd zijn in [lopend programma of project]: [aantal of verwijzing].

# Thema Eigenaar (afdeling) Beleid vastgesteld Maatregelen ingericht
1 [Fysieke toegang en beveiliging] [ ] [kwartaal] [kwartaal]
2 [ ] [ ] [ ] [ ]
[...]

5. Vaststellingsroute beleid#

Stap Wie Wat
1 [team informatiebeveiliging] stelt op, samen met de uitvoerende afdeling
2 [ ] review
[...] [ ] [ ]
[n] [ ] stelt vast

6. Randvoorwaarden#

Randvoorwaarde Aanwezig? Zo niet: wie, wanneer
CMDB juist en volledig [ja/nee/deels] [ ]
IT-governancedocument [ ] [ ]
Screeningsproces [ ] [ ]
Dataclassificatie [ ] [ ]
Incidentbeheer- en wijzigingsproces [ ] [ ]
Autorisatiebeheer op basis van rollen [ ] [ ]
Netwerksegmentatie [ ] [ ]

7. Projectorganisatie#

Rol Wie Uren per week
Opdrachtgever [ ]
Opdrachtnemer [ ]
Kernteam: ISO [ ] [ ]
Kernteam: beleid [ ] [ ]
Kernteam: implementatie [ ] [ ]
Kernteam: BCM [ ] [ ]

Het kernteam komt [elke twee weken] bij elkaar; de stuurgroep krijgt [per kwartaal] een rapportage.

8. Projectrisico's#

Risico Kans Impact Maatregel
Te weinig prioriteit buiten het kernteam [ ] [ ] [ ]
Te weinig capaciteit voor het inrichten in [ITSM-systeem] [ ] [ ] [ ]
Weerstand tegen timing en omvang van de capaciteitsvraag [ ] [ ] [ ]
Weerstand tegen meer vastleggen in de beheerorganisatie [ ] [ ] [ ]
Weerstand tegen minder verhoogde rechten [ ] [ ] [ ]
Te weinig bewustzijn bij de betrokkenen [ ] [ ] [ ]

9. Capaciteitsvraag#

Rol Team Uren
CISO [ ] [344]
IT-auditor [ ] [160]
ISO [ ] [264]
[Deel 2: per afdeling] [ ] [ ]