Informatiebeveiligingsplan BRP en waardedocumenten

1.3.1 Toepasselijke wet- en regelgeving

De AVG vormt het algemeen kader voor de verwerking van persoonsgegevens. De verplichting tot beveiliging van persoonsgegevens is geregeld in artikel 5, lid 1 onder f van de AVG.

Naast het algemeen kader van de AVG zijn voor dit plan specifiek de Wet BRP, de Paspoortwet, de PUN en het RR van toepassing. De AVG is beperkt van toepassing op de verwerking van persoonsgegevens en gegevens over waardedocumenten in de gemeentelijke onderdelen van de BRP. Zie hiervoor artikel 40 van de beheerregeling BRP.

1.3.2 Beleid

Het te beveiligen object (zie voor nadere uitleg par. 1.4.1) staat als informatievoorziening niet op zichzelf, maar is ingebed in het geheel van de gemeentelijke informatievoorziening en landelijke voorzieningen. Dit plan is een tactische uitwerking van het strategisch gemeentelijk informatiebeveiligingsbeleid en het Privacyreglement Haarlem voor het te beveiligen object.

De BIO beschrijft het basisnormenkader voor informatiebeveiliging van overheden gebaseerd op standaarden en kwaliteitseisen.

1.3.3 Verantwoordelijken

De verantwoordelijke bestuursorganen voor de BRP zijn burgemeester en wethouders. De Paspoortwet en het Reglement rijbewijzen vallen onder de verantwoordelijkheid van de burgemeester.

De afdelingsmanager Klantcontactcentrum is door burgemeester en wethouders gemandateerd als beheerder van de BRP en de waardedocumenten, alsmede aangewezen als informatiebeheerder BRP (Beheerregeling BRP) en in die hoedanigheden verantwoordelijke voor de uitvoering van dit plan.

De beveiligingsbeheerder BRP en de beveiligingsfunctionaris waardedocumenten worden door het college van burgemeester en wethouders, respectievelijk de burgemeester van Haarlem aangewezen en zijn belast met het toezicht op de naleving van dit plan. De rol en bevoegdheden van de beveiligingsbeheerder BRP staan beschreven in de artikelen 31 tot en met 35 van de beheerregeling BRP. Voor de beveiligingsfunctionaris waardedocumenten staan taken en bevoegdheden in hoofdstuk 4 van dit plan.

De AP kan de verwerkingsverantwoordelijke voor de verwerking van persoonsgegevens, bij gemeenten het college van B&W of de burgemeester, aanspreken op het niveau van de maatregelen ter beveiliging van de verwerking van persoonsgegevens, en op de wijze waarop het stelsel van maatregelen is geïmplementeerd en wordt nageleefd.

Medewerkers in de taakuitvoering van het te beveiligen object werken volgens de beschreven werkprocessen. Hierin zijn veiligheidsmaatregelen in de vorm van procedures en -instructies vastgelegd. Deze procesbeschrijvingen zijn eenvoudig raadpleegbaar in het KZS ter ondersteuning van de medewerker tijdens de taakuitvoering.

1.4.1 Te beveiligen object

Het object van beveiliging betreft:

• •

  het samenhangend geheel van middelen, processen, gegevens en logica voor het uitvoeren van de wettelijke taken van de BRP en waardedocumenten;

• •

  Deze taken betreffen het registreren, onderhouden en actualiseren van persoonsgegevens; het verstrekken van persoonsinformatie aan betrokkenen, belanghebbenden met een gerechtvaardigd belang en geautoriseerde in- en externe afnemers; alsmede het vaststellen van identiteit en het afgeven, innemen en registreren van waardedocumenten.

1.4.2 Doel van de beveiliging

Het doel van dit plan is om beveiligingsmaatregelen te treffen die mogelijke veiligheidsrisico's voor de continuïteit en het gewenste kwaliteitsniveau van het object van beveiliging terug brengen naar een aanvaardbaar niveau. Beveiligingsmaatregelen richten zich daarvoor op de volgende vier algemene beheersaspecten van de bedrijfsvoering:

• 1.

  Beschikbaarheid en continuïteit: ervoor zorgen dat informatie en informatie verwerkende bedrijfsmiddelen voor gebruikers beschikbaar zijn op de juiste tijd en plaats.

• 2.

  Integriteit en betrouwbaarheid: het waarborgen van de correctheid, volledigheid, tijdigheid en controleerbaarheid van informatie en van informatieverwerking.

• 3.

  Vertrouwelijkheid en exclusiviteit: het beschermen van informatie tegen kennisname en mutatie door onbevoegden. Informatie is alleen toegankelijk voor diegenen die ertoe geautoriseerd zijn.

• 4.

  Controleerbaarheid: de mate waarin de juistheid en volledigheid van de informatie kunnen worden gecontroleerd. De mate waarin de verwerking van de gegevens kan worden gereconstrueerd.

2.3.1 Uitvoering risicobeperkende maatregelen

De risicobeperkende maatregelen leiden ertoe dat medewerkers in de taakuitvoering van het te beveiligen object de voorgeschreven veiligheidsprocedures en -instructies volgen.

• •

  De veiligheidsmaatregelen zijn beschreven en vastgelegd in de procedures, instructies en procesbeschrijvingen binnen het kwaliteitssysteem;

• •

  De in de PUN en het RR voorgeschreven functiescheidingen (zie hoofdstuk 5) zijn eveneens in het kwaliteitssysteem beschreven en vastgelegd;

• •

  Medewerkers kunnen deze procesbeschrijvingen eenvoudig raadplegen ter ondersteuning van de taakuitvoering;

• •

  Actualisering van bestaande veiligheidsmaatregelen geschiedt volgens de jaaragenda van het kwaliteitssysteem van de afdeling;

• •

  Wanneer de uitvoering van een veiligheidsmaatregel niet onder de eigen uitvoeringsverantwoordelijkheid valt stelt de verantwoordelijke deze maatregel als eis aan de daarin faciliterende partij;

• •

  De faciliterende partij moet op verzoek aan verantwoordelijke kunnen aantonen dat de maatregel bestaat en uitgevoerd wordt.

2.3.2 Soorten risicobeperkende maatregelen

De risicobeperkende maatregelen vallen uiteen in verschillende soorten:

• •

  Procedures en instructies bij de taakuitvoering voor de BRP

• •

  Procedures en instructies bij de taakuitvoering voor de Waardedocumenten

• •

  Algemene procedures en instructies voor de afdeling Klantcontactcentrum

• •

  Eisen aan procedures en instructies voor faciliterende afdelingen en partijen.

In bijlage 1 van dit plan staat een actueel overzicht van maatregelen per soort en hun status.

3.2.1 Zelfevaluatie Basisregistratie Personen (BRP) door gemeenten

Jaarlijks voert verantwoordelijke de verplichte 'Zelfevaluatie BRP uit. Het onderzoek bestaat uit vragenlijsten, bestandscontrole en inhoudelijke controle waarvan de vragen worden verwerkt in de kwaliteitsmonitor. Grondslag is artikel 4.3 wet BRP. Zie voor meer informatie: https://www.rvig.nl/brp/zelfevaluatie-brp

Op basis van te lage of te hoge scores op de verschillende onderdelen van de Zelfevaluatie kan de RvIG besluiten een gemeente te monitoren met als doel de oorzaken daarvan te analyseren en te werken aan verbetering.

3.2.2 ENSIA

Jaarlijks verantwoordt het bestuur zich en aan de gemeenteraad over beveiliging van de systemen waarin persoonsgegevens worden opgeslagen. Dit betreft daarmee ook reisdocumenten. Dit gaat volgens de verplichte ENSIA-methodiek. Tegelijk legt de gemeente hiermee verantwoording af aan de rijksoverheid. Zie voor meer informatie: Wat is ENSIA? - ENSIA en ENSIA Cybersecurity - Digitale Overheid

3.2.3 Zelfevaluatie Reisdocumenten

Jaarlijks voert verantwoordelijke de Zelfevaluatie Reisdocumenten uit. De vragen worden verwerkt in de Kwaliteitsmonitor van de Rijksdienst voor identiteitsgegevens (RvIG). Zie voor meer informatie: https://www.rvig.nl/reisdocumenten/zelfevaluatie-reisdocumenten

3.2.4 Aanbevelingen Zelfevaluaties

De RvIG analyseert de resultaten van de Zelfevaluaties. Uit deze analyse ontstaat een beeld van de inrichting, de beveiliging en de verwerking van gegevens van de BRP. Op basis van het landelijke beeld bepaalt het ministerie van BZK de acties die het jaar na de evaluatie worden ondernomen om de kwaliteit van de BRP te verbeteren.

3.2.5 Accountantscontrole Rijbewijzen

Ook de procedures rond het verstrekken van rijbewijzen zijn onderwerp van controle. Op grond van artikel 128 lid 7 van het Reglement Rijbewijzen moeten de maatregelen zoals genoemd in artikel 128 lid 1 van dit reglement jaarlijks onderdeel uitmaken van de accountantscontrole. De bij de jaarlijkse evaluatie van het beheerproces rond Waardedocumenten (reisdocumenten en rijbewijzen) geconstateerde tekortkomingen worden schriftelijk vastgelegd en de daarop betrekking hebbende rapportages worden 5 jaar bewaard. Op de eventueel geconstateerde tekortkomingen wordt actie ondernomen.

3.2.6 Overige instrumenten

Verantwoordelijke kan self-assessments uitvoeren om te bepalen in hoeverre veiligheidsmaatregelen voor het object van dit plan bestaan en voldoen aan het bepaalde in de AVG en de BIO. Dit kan bijvoorbeeld zijn een 'privacy self-assessment' of een DPIA.

Een DPIA is een instrument om (vooraf) de privacyrisico’s van een gegevensverwerking in kaart te brengen en om daarna maatregelen te kunnen nemen om de veiligheidsrisico’s te verkleinen. De AP heeft een lijst met gegevensverwerkingen opgesteld waarvoor een DPIA verplicht is om uit te voeren, bv voor het grootschalig verwerken van biometrische gegevens voor identificatie van een persoon.

Concerncontrol kan interne controles op essentiële bedrijfsprocessen prioriteit geven om sluimerende bedrijfsrisico's op de continuïteit te detecteren.

3.2.7 Planning en acties

De landelijke jaarplanningen voor de zelfevaluaties en accountantscontrole zijn leidend op de jaaragenda van het kwaliteitssysteem. De toepassing van de overige controle-instrumenten plant verantwoordelijke naar behoefte in als daar een noodzaak voor is, blijkend uit bijvoorbeeld de jaarlijkse risicoanalyse of een advies van de beveiligings- of privacyfunctionarissen. Verbeteracties en aanbevelingen voortkomend uit de diverse controles en analyses neemt verantwoordelijke mee als input op de jaarlijkse risicoanalyse en de daaruit voortvloeiende beveiligingsmaatregelen.

5.1.1 Functiescheiding in taken reisdocumenten

Ter uitvoering van het bepaalde in artikel 93 van de PUN over functiescheiding bestaan en werken de volgende functiescheidingen in de taakuitvoering:

• •

  Tussen de beveiligingsfunctionaris reisdocumenten en degenen die belast zijn met uitvoerende en beheertaken met betrekking tot reisdocumenten. De beveiligingsfunctionaris reisdocumenten mag niet betrokken zijn bij, of verantwoordelijkheid dragen voor de procedures rondom reisdocumenten. Dit voorkomt dat de beveiligingsfunctionaris reisdocumenten zijn eigen werk controleert.

• •

  Tussen aanvraag, verstrekking, beheer en uitreiking van reisdocumenten. Het reisdocument moet door een andere medewerker worden uitgereikt dan degene die de beslissing op de aanvraag heeft genomen.

5.1.2 Functiescheiding in taken rijbewijzen

Ter uitvoering van het bepaalde in artikel 128, lid 1, 2 en 3 van RR bestaat en werkt de volgende functiescheiding in de taakuitvoering:

• •

  Tussen aanvraag en uitreiking van rijbewijzen. Het rijbewijs wordt door een andere medewerker uitgereikt dan degene die de beslissing op de aanvraag heeft genomen.

5.1.3 Functiescheiding in taken BRP

Bij het uitvoeren van taken voor registratie en actualisatie van persoonsgegevens in de BRP bestaat functiescheiding tussen het uitvoeren van mutaties en het goedkeuren van mutaties in de BRP.

5.1.4 Vastlegging functiescheiding

De voorgeschreven functiescheidingen zijn beschreven in procedures en instructies van de betreffende uitvoeringsprocessen. Deze liggen vast in het Kwaliteitssysteemsysteem van de afdeling.