Informatiebeveiligingsbeleid 2024 - 2026 gemeente Asten

Met dit Informatiebeveiligingsbeleid 2024 - 2026 gemeente Asten zet de gemeente een volgende stap om de beveiliging van persoonsgegevens en andere informatie binnen de gemeente te continueren en voort te gaan op de stappen die in de voorgaande jaren gezet zijn. Dit beleid ziet op de jaren 2024 tot en met 2026 en vervangt het op 15 december 2021 vastgestelde informatiebeveiligingsbeleid (documentnummer 2021073666). De basis voor dit beleid is de NEN-ISO/IEC 27002:2017 en de daarvan afgeleide Baseline Informatiebeveiliging Overheid (BIO). Dit informatiebeveiligingsbeleid is gebaseerd op de tien principes voor informatiebeveiliging zoals uitgewerkt door de VNG, zie bijlage 1.

In hoofdstuk 2 wordt de kern van het informatiebeveiligingsbeleid uiteengezet. Dit beleid wordt op tactisch niveau aangevuld met onderwerp specifieke tactische beleidsregels die aanvullend zijn op dit informatiebeveiligingsbeleid. In het jaarlijks uit te brengen gemeentelijk informatiebeveiligingsjaarplan (vast te stellen door het MT) worden deze tactische en operationele aspecten van de informatiebeveiliging verder uitgewerkt en geconcretiseerd. Dit wordt gedaan op basis van input van de teamleiders, de PO, de CIO, de CISO, het dreigingsbeeld van de IBD, het jaarverslag informatiebeveiliging en de uitkomsten van ENSIA. Daarin staan dan ook de acties en planning vermeld, om de praktijk in overeenstemming te brengen met datgene wat in het beleid is geëist. Hoofdstuk 3 beschrijft vervolgens hoe de taken en verantwoordelijkheden in de organisatie belegd zijn.

Onder informatiebeveiliging wordt verstaan het treffen en onderhouden van een samenhangend pakket van maatregelen om de betrouwbaarheid van de informatievoorziening aantoonbaar te waarborgen. Kernaspecten hierbij zijn:

Vertrouwelijkheid: Zorgt ervoor dat informatie alleen toegankelijk is voor geautoriseerde personen of systemen.

Integriteit: Garandeert de nauwkeurigheid en volledigheid van informatie door te voorkomen dat deze ongeautoriseerd wordt gewijzigd.

Beschikbaarheid: Zorgt ervoor dat informatie beschikbaar is voor geautoriseerde gebruikers wanneer ze het nodig hebben.

Bewustwording en training: Het betrekken van medewerkers bij beveiligingspraktijken en hen voorzien van de nodige kennis en vaardigheden om veilig met informatie om te gaan.

Het informatiebeveiligingsbeleid geldt voor de gehele organisatie, wat zowel de gemeentelijke organisatie als de gemeenteraad omvat. Informatiebeveiliging is van cruciaal belang voor het beschermen van gevoelige informatie, ongeacht waar deze zich binnen de organisatie bevindt.

Belangrijk is om vast te stellen waar de gemeente Asten nu staat. Van daaruit zal verder worden gekeken waar Asten naartoe wil. Voorop staat dat Asten in ieder geval ernaar streeft om de basis op orde te hebben en te voldoen aan de BIO.

Het informatiebeveiligingsbeleid heeft als doel de vertrouwelijkheid, integriteit en beschikbaarheid van informatie te waarborgen. Enkele specifieke doelen en redenen waarom zijn:

• •

  Bescherming van gevoelige informatie:

  Gemeenten verwerken en beheren gevoelige informatie, waaronder persoonsgegevens van burgers, financiële gegevens en andere vertrouwelijke informatie. Het primaire doel is ervoor te zorgen dat deze informatie niet ongeoorloofd wordt onthuld of gewijzigd.

• •

  Voorkomen van datalekken:

  Door informatiebeveiligingsmaatregelen te implementeren, tracht een gemeente het risico op datalekken te minimaliseren. Dit omvat onbedoelde of kwaadwillige openbaarmaking van gegevens.

• •

  Beschikbaarheid van diensten garanderen:

  Het beleid is erop gericht ervoor te zorgen dat essentiële diensten en systemen beschikbaar blijven. Dit voorkomt verstoringen door bijvoorbeeld cyberaanvallen of technische storingen.

• •

  Bewustwording en training:

  Het beleid omvat vaak maatregelen om bewustzijn over informatiebeveiliging te vergroten en training te bieden aan medewerkers. Menselijke fouten vormen vaak een zwakke schakel in informatiebeveiliging, en training kan deze risico's verminderen.

• •

  Vertrouwen van burgers en partners behouden:

  Het succes van een gemeente hangt in grote mate af van het vertrouwen van burgers en samenwerkingspartners. Een sterk informatiebeveiligingsbeleid draagt bij aan het behouden van dit vertrouwen door een zorgvuldige omgang met informatie.

Over het algemeen draagt informatiebeveiligingsbeleid bij aan de bescherming van kritieke informatie, zorgt het voor naleving van wet- en regelgeving en versterkt het vermogen van de gemeente om met moderne beveiligingsuitdagingen om te gaan.

Het informatiebeveiligingsbeleid wordt verder uitgewerkt in concrete maatregelen die we jaarlijks bij stellen in het Informatiebeveiligingsjaarplan 2024. Daarnaast zijn er 10 basisprincipes opgesteld voor veilig werken zie bijlage 2.

De ontwikkelingen die van belang zijn voor de actualisering van het informatiebeveiligingsbeleid zijn de volgende:

De BIO

De BIO (Baseline Informatiebeveiliging Overheid) is het normenkader voor de gehele overheid. De werkwijze van deze BIO is gericht op risicomanagement. Dat wil zeggen dat de teamleiders nu meer dan vroeger moeten werken volgens de aanpak van de ISO 27001 en daarbij is risicomanagement van belang. Dit houdt voor het MT in, dat men op voorhand keuzes maakt en continu afwegingen maakt of informatie in bestaande en nieuwe processen adequaat beveiligd zijn in termen van beschikbaarheid, integriteit en vertrouwelijkheid.

Gedurende de implementatie van dit informatiebeveiligingsbeleid 2024 – 2026 gemeente Asten zal de BIO 2.0. op basis van NEN-EN-ISO/IEC 27002:2022 van kracht worden. Implementatie start in 2024.

Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten

Het Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten geeft een actueel zicht op incidenten en factoren uit het verleden, aangevuld met een verwachting voor het heden en de nabije toekomst. Dit dreigingsbeeld is daarmee het ideale document om focus aan te brengen in het actualiseren van beleid en plannen voor informatiebeveiliging.

Informatie uit incidenten en inbreuken op de beveiliging

De gemeente kent naast het hierboven genoemde dreigingsbeeld natuurlijk een eigen systeem waarin incidenten worden vastgelegd. Dit systeem, met het zaaksysteem als belangrijkste bron, geeft ook waardevolle informatie om van te leren en dus zijn incidenten uit het verleden ook nadrukkelijk input bij het actualiseren van het beleid.

NIS2, Network and Information Security

De nieuwe Network and Information Systems Directive (NIS2-richtlijn) heeft belangrijke implicaties voor gemeenten als het gaat om toezicht op informatiebeveiliging. De richtlijn is sinds begin 2023 van kracht. EU-lidstaten zijn verplicht deze uiterlijk 17 oktober 2024 in nationale wetgeving om te zetten. Ook gemeenten vallen onder de reikwijdte van de NIS2.

Gezien het feit dat gemeenten nu al een zorgplicht, een meldplicht (de Informatiebeveiligingsdienst, IBD) en toezicht hebben zal de impact van NIS2 voor gemeenten afhankelijk zijn van de mate waarin nu al gedocumenteerd voldaan wordt aan de BIO. Daarom is het cruciaal dat de gemeente Asten door blijft gaan met de cyclus van plannen, uitvoeren, controleren en bijstellen rondom de complete BIO.

Het informatiebeveiligingsbeleid wordt gebruikt om de basis te leggen en daarmee richting te geven voor de verdere invulling van informatiebeveiliging op tactisch en operationeel niveau.

Dit informatiebeveiligingsbeleid wordt vertaald in tactische en operationele richtlijnen en maatregelen. De daaruit voortkomende werkzaamheden worden uitgewerkt in een jaarlijks op te stellen document, het “Informatiebeveiligingsjaarplan [jaar]”.

Daarbij is het van belang de rollen en taken van deze personen te onderscheiden van verantwoordelijkheden. Procesverantwoordelijken dragen de verantwoordelijkheid voor het beheer, de uitvoering en de verbetering van een specifiek bedrijfsproces en moeten zich laten adviseren door de personen uit de driehoek Informatieveiligheid / Informatiemanagement / Privacy (zie volgende pagina). Teamleiders moeten hierop sturen door de proceseigenaren bij hun rol te ondersteunen en indien nodig daarop aan te spreken.

Teamleiders monitoren op voortgang en prestaties. Daarnaast geven ze richting door de proceseigenaren te ondersteunen in hun rol.

Informatieveiligheid, privacy en informatiemanagement wordt met de volgende functies ingevuld binnen Asten.

Functionaris voor Gegevensbescherming (FG): is verantwoordelijk voor het waarborgen van de naleving van privacywetgeving binnen een organisatie. Adviseert over en bewaakt de implementatie van beleid en procedures met betrekking tot gegevensbescherming.

Privacy Officer (PO): is verantwoordelijk voor het ontwikkelen, implementeren en handhaven van het privacy-beleid van de organisatie. Coördinatie van privacy-activiteiten, waaronder het beheer van gegevensverwerkingsactiviteiten en het waarborgen van de juiste naleving van privacywetten, behoort tot de taken.

Chief Information Security Officer (CISO): de CISO is belast met het ontwikkelen, implementeren en handhaven van het informatiebeveiligingsbeleid van een organisatie. Ze leiden inspanningen om de vertrouwelijkheid, integriteit en beschikbaarheid van informatie te waarborgen. De CISO coördineert beveiligingsmaatregelen, leidt incidentresponsactiviteiten en adviseert het leiderschap over strategische beveiligingskwesties.

Chief Information Officer / informatiemanager (CIO): de CIO is verantwoordelijk voor de algehele informatiestrategie van een organisatie. Neemt strategische beslissingen met betrekking tot technologie-investeringen. De CIO zorgt ervoor dat technologische oplossingen naadloos integreren met de bredere organisatiestrategie. Is verantwoordelijk voor het beheer van IT-projecten en programma's om de doelen van de organisatie te ondersteunen.

De samenhang tussen informatiemanagement, informatiebeveiliging en privacy is cruciaal in het hedendaagse digitale tijdperk waarin gegevens een centrale rol spelen in een organisatie en samenleving. De samenhang is essentieel om ervoor te zorgen dat organisatie voldoen aan wettelijke vereisten, de vertrouwelijkheid van informatie behouden en zichzelf beschermen tegen datarisico’s en bedreigingen. Zie onderstaand plaatje.

De scope van dit beleid omvat alle gemeentelijke processen, onderliggende informatiesystemen, procesautomatisering, informatie en gegevens van de gemeente en externe partijen (bijvoorbeeld politie), het gebruik daarvan door medewerkers en (keten)partners in de meest brede zin van het woord, ongeacht locatie, tijdstip en gebruikte apparatuur.

Dit Informatiebeveiligingsbeleid is een algemene basis en dekt tevens aanvullende beveiligingseisen uit wetgeving af zoals voor de BRP, BAG en SUWI (respectievelijk: Basisregistratie Personen, Basisregistratie Adressen en Gebouwen en Wet structuur uitvoeringsorganisatie werk en inkomen). Voor bepaalde kerntaken gelden op grond van deze en wet- en regelgeving ook nog enkele specifieke (aanvullende) beveiligingseisen (bijvoorbeeld SUWI en gemeentelijke basisregistraties). Deze worden in aanvullende documenten geformuleerd.

In de onderliggende documenten wordt de link naar dit informatiebeveiligingsbeleid gelegd.

Dit geldt voor alle Proces Automatiseringssystemen (PA) die binnen de gemeentelijke gebouwen en in de publieke ruimte van de gemeente worden gebruikt, die van de gemeente zijn, zoals gebouwbeheersingssystemen en bijvoorbeeld camera technologie of pompen en gemalen.

Het college van burgemeester en wethouders, het MT en de teamleiders spelen een cruciale rol bij het uitvoeren van dit informatiebeveiligingsbeleid. Het MT maakt een inschatting van het belang dat de verschillende delen van de informatievoorziening voor de gemeente heeft, de risico’s die de gemeente hiermee loopt en welke van deze risico’s onacceptabel hoog zijn.

Op basis hiervan zet het MT dit beleid voor informatiebeveiliging om, draagt dit uit naar de organisatie en ondersteunt en bewaakt de uitvoering ervan.

MT en teamleiders geven een duidelijke richting aan informatiebeveiliging en dragen dit uit. Dit beleid is van toepassing op de gehele organisatie, alle processen, organisatieonderdelen, informatiesystemen, procesautomatisering en gegevens(verzamelingen). Het informatiebeveiligingsbeleid is in lijn met het algemene beleid van de gemeente en de relevante landelijke en Europese wet- en regelgeving.

Strategische doelen

De strategische doelen van het informatiebeveiligingsbeleid zijn:

• •

  Bescherming van gevoelige gegevens: Het waarborgen van de vertrouwelijkheid van persoonsgegevens, financiële informatie, en andere gevoelige gegevens van burgers en de gemeente zelf tegen ongeautoriseerde toegang, gebruik of openbaarmaking.

• •

  Bescherming tegen cyberdreigingen: Het beschermen van de gemeentelijke systemen, netwerken en infrastructuur tegen cyberaanvallen, malware, phishing en andere vormen van kwaadaardige activiteiten die de operationele continuïteit kunnen bedreigen.

• •

  Bescherming van kritieke infrastructuur: Het waarborgen van de beschikbaarheid en integriteit van kritieke gemeentelijke systemen en diensten, zoals water- en energievoorziening, verkeersregelingssystemen en noodhulpdiensten, tegen verstoringen en aanvallen.

• •

  Compliance met wet- en regelgeving:Het voldoen aan relevante wet- en regelgeving op het gebied van gegevensbescherming, privacy, en informatiebeveiliging, zoals de Algemene Verordening Gegevensbescherming (AVG) en de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG).

• •

  Vertrouwen van belanghebbenden: Het opbouwen en behouden van vertrouwen bij burgers, bedrijven, en andere belanghebbenden door te laten zien dat de gemeente zorgvuldig omgaat met hun informatie en dat hun privacy en veiligheid worden beschermd.

Belangrijkste uitgangspunten

De belangrijkste uitgangspunten van het beleid zijn:

• •

  Alle informatie en informatiesystemen zijn van belang voor de gemeente, bepaalde informatie is van vitaal en kritiek belang. Het college van burgemeester en wethouders is eindverantwoordelijke voor de informatiebeveiliging.

• •

  De uitvoering van de informatiebeveiliging is een verantwoordelijkheid van het lijnmanagement. Alle informatiebronnen en -systemen die gebruikt worden door de gemeente Asten hebben een interne eigenaar die de vertrouwelijkheid en/of waarde bepaalt van de informatie die ze bevatten. De primaire verantwoordelijkheid voor de bescherming van informatie ligt dan ook bij de eigenaar van de informatie.

• •

  Door periodieke controle, organisatie brede planning én coördinatie wordt de kwaliteit van de informatievoorziening verankerd binnen de organisatie. Het informatiebeveiligingsbeleid vormt samen met het informatiebeveiligingsjaarplan en het informatiebeveiligingsjaarverslag het fundament onder een betrouwbare informatievoorziening. In het informatiebeveiligingsjaarplan wordt de betrouwbaarheid van de informatievoorziening organisatie breed benaderd. Het plan wordt periodiek bijgesteld op basis van nieuwe ontwikkelingen, registraties in het incidentenregister en bestaande risicoanalyses.

• •

  Informatiebeveiliging is een continu verbeterproces. ‘Plan, do, check en act’ vormen samen het managementsysteem van informatiebeveiliging.

• •

  De gemeente stelt de benodigde mensen en middelen beschikbaar om haar eigendommen en werkprocessen te kunnen beveiligen volgens de wijze zoals gesteld in dit beleid.

• •

  Regels en verantwoordelijkheden voor het beveiligingsbeleid dienen te worden vastgelegd en vastgesteld.

• •

  Elke medewerker, ongeacht hun status (vast of tijdelijk), interne of externe positie, heeft de verantwoordelijkheid om gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, wijziging, openbaarmaking, vernietiging, verlies of overdracht. In geval van vermoedelijke schendingen van deze beveiligingsmaatregelen, wordt van hen verwacht dat zij dit melden.

Invulling van de uitgangspunten

Praktisch wordt als volgt invulling gegeven aan de uitgangspunten:

• •

  Het college van burgemeester en wethouders stelt als eindverantwoordelijke het informatiebeveiligingsbeleid vast.

• •

  Het MT stelt jaarlijks het “Informatiebeveiligingsjaarplan [jaar]” en het jaarverslag informatiebeveiliging vast.

• •

  Het MT is verantwoordelijk voor het (laten) uitwerken en uitvoeren van onderwerp specifieke tactische beleidsregels die aanvullend zijn op dit strategisch beleid.

• •

  Het MT is belast met het aanvragen van informatie bij de teamleiders en zorgt ervoor dat de teamleiders passende maatregelen hebben genomen ter bescherming van de informatie, informatiesystemen en geautomatiseerde processen die onder hun verantwoordelijkheid vallen.

• •

  De Chief Information Security Officer (CISO) ondersteunt vanuit een onafhankelijke positie de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover rechtstreeks aan het MT.

• •

  Tijdens P&C-gesprekken dient er aandacht te zijn voor de informatiebeveiliging n.a.v. de rapportage van de CISO. De onderwerpen, die als risicovol worden gezien, moeten tevens worden opgenomen in de auditplannen.

• •

  Teamleiders zien erop toe dat proceseigenaren hun verantwoordelijkheid nemen ten aanzien van informatiebeveiliging bij de processen waar zij verantwoordelijk voor zijn.

• •

  Het MT is verantwoordelijk voor het oefenen met informatiebeveiligingsincidenten en bedrijfscontinuïteit.

• •

  Hoewel de basiskernregistraties (zoals BRP, SUWI, BAG, WOZ, BGT) en toekomstige basisregistraties belangrijk zijn in het kader van informatiebeveiliging, krijgen zij niet meer of minder voorrang dan andere (primaire) processen binnen de gemeente. Het samenspel van alle processen binnen de bedrijfsvoering is belangrijk voor de missie en de visie van de gemeente en het behalen van de doelen die zijn gesteld.

• •

  Alle medewerkers van de gemeente worden doorlopend getraind en krijgen instructie op gebied van informatieveiligheid en privacy. Resultaten worden aan het MT gerapporteerd.

• •

  Informatiebeveiliging maakt deel uit van het ontwikkelgesprek en wordt besproken tussen de teamleider en de medewerker.

Randvoorwaarden

Belangrijke randvoorwaarden zijn:

• •

  Informatiebeveiliging maakt deel uit van afspraken met ketenpartners.

• •

  Kennis en bewustzijn van informatiebeveiliging en omgaan met persoonsgegevens binnen de organisatie dienen actief bevorderd en geborgd te worden.

• •

  Jaarlijks wordt een informatiebeveiligingsjaarplan opgesteld onder leiding van de CISO, gebaseerd op:

  • •

    De uitkomsten van de jaarlijkse Eenduidige Normatiek Single Information Audit (ENSIA);

  • •

    Het jaarverslag informatiebeveiliging;

  • •

    Het dreigingsbeeld gemeenten van de IBD;

  • •

    De door de teamleiders ingebrachte onderwerpen voor de informatievoorziening waarvoor zij verantwoordelijk zijn, bijvoorbeeld als uitkomst van het te implementeren dashboard.

In dit hoofdstuk wordt uiteengezet welke taken en verantwoordelijkheden met betrekking tot informatiebeveiliging op welke plaats belegd zijn binnen de organisatie. De methodiek sluit aan bij de in de bedrijfsvoering bekende Three Lines of Defence (3LoD). In dit model is het lijnmanagement verantwoordelijk voor de eigen processen. De tweede lijn (CISO) ondersteunt, adviseert, coördineert en bewaakt of het management zijn verantwoordelijkheden ook daadwerkelijk neemt. In de derde lijn wordt het geheel door een (interne) auditor van een objectief oordeel voorzien met mogelijkheden tot verbetering.

In bijlage 3 een uitwerking van de interne onderlinge samenwerking.

Aansturing: MT

Het MT zorgt dat alle processen en systemen en de daarbij behorende middelen altijd onder de verantwoordelijkheid vallen van een teamleider. Het MT zorgt dat de teamleiders zich verantwoorden over de beveiliging van de informatie die onder hen berust. Het MT zorgt dat de eindverantwoordelijke portefeuillehouders binnen het college gevraagd en ongevraagd geïnformeerd worden over de mate waarin informatiebeveiliging een onderdeel is van het handelen van de bedrijfsvoering. Op die manier kan het college zich ook verantwoorden naar de raad.

Het MT stelt het gewenste niveau van continuïteit en vertrouwelijkheid vast. Het MT draagt zorg voor het uitwerken van tactische informatiebeveiligingsbeleidsonderwerpen en laat zich hierin bijstaan door de CISO van de gemeente. Het MT autoriseert de benodigde procedures en uitvoeringsmaatregelen. Het onderwerp informatiebeveiliging wordt in de gemeente Asten gezien als een integraal onderdeel van risicomanagement.

Uitvoering: teamleiders

De teamleiders dragen de verantwoordelijkheid voor informatiebeveiliging binnen hun teams. Om deze verantwoordelijkheid effectief te kunnen vervullen, is het essentieel dat zij worden ondersteund vanuit de CISO. Hoewel zij de uitvoerende taken kunnen delegeren, blijven zij altijd verantwoordelijk voor alle processen, data en applicaties binnen hun team. Daarom wordt ervoor gezorgd dat elk aspect altijd minstens één eigenaar heeft, en deze verantwoordelijkheden worden gedocumenteerd. Momenteel wordt dit bijgehouden in iNavigator, maar dit kan in de toekomst veranderen.

De teamleiders rapporteren regelmatig aan het MT over de tactische en operationele activiteiten die zij hebben uitgevoerd met betrekking tot informatiebeveiliging. Om ervoor te zorgen dat de aanpak op elkaar is afgestemd, wordt het onderwerp informatiebeveiliging minstens vier keer per jaar besproken tijdens MT/TL, waarbij ook afstemming plaatsvindt met de andere afdelingen.

Taken van de teamleiders in het kader van informatiebeveiliging zijn:

• •

  Het leveren van input voor wijzigingen op maatregelen en procedures.

• •

  Het voldoen aan wetgeving die op de processen die binnen hun team plaatsvinden van toepassing is en invulling geven aan de rollen die binnen die wetgeving bedacht is.

• •

  Het binnen de eigen afdeling uitdragen van het beveiligingsbeleid, de daaraan gerelateerde procedures.

• •

  Het vroegtijdig signaleren van de voornaamste bedreigingen waaraan de bedrijfsinformatie is blootgesteld.

• •

  Bespreking van beveiligingsincidenten en de consequenties die dit moet hebben voor beleid en maatregelen.

Controle en verantwoording

Dit Informatiebeveiligingsbeleid is een verantwoordelijkheid van het college van burgemeester en wethouders van de gemeente Asten. Het MT en teamleiders van de gemeente Asten zullen volgens de 10 principes voor informatiebeveiliging richting en sturing geven aan het onderwerp informatiebeveiliging door het geven van voorbeeldgedrag en het vragen om informatie.

Het MT is verantwoordelijk voor het gevraagd en ongevraagd rapporteren over informatiebeveiliging aan respectievelijke portefeuillehouders. Het MT rapporteert daarnaast over de mate waarin zij invulling hebben gegeven aan het uitwerken van tactische (deel) beleidsonderwerpen die aanvullend zijn op dit beleid. Zie bijlage 4 voor verantwoordingsmatrix.

ENSIA

De gemeente verantwoordt zich over informatiebeveiliging middels de ENSIA-systematiek. De ENSIA-coördinator zorgt ervoor dat de informatie die nodig is voor het beantwoorden van vragen binnen ENSIA wordt opgehaald bij de verantwoordelijke teamleiders. Teamleiders leveren alle informatie die nodig is voor het invullen van de jaarlijkse ENSIA-vragenlijsten.

De verantwoording over de informatiebeveiliging komt in de ENSIA-verklaring tot uitdrukking in het collegebesluit Informatiebeveiliging. Met deze verklaring geeft het college van burgemeester en wethouders via verticale verantwoording aan in hoeverre de gemeente voldoet aan de afspraken die gemaakt zijn voor de ENSIA-verantwoording Informatiebeveiliging. Ook worden de eventuele verbetermaatregelen vermeld die de gemeente gaat treffen. De ingevulde zelfevaluatievragenlijst vormt de basis voor het opstellen van de collegeverklaring aan de raad.

Middels deze verantwoording worden het college van burgemeester en wethouders en de gemeenteraad van de gemeente Asten geïnformeerd. De betrokkenheid van het bestuur is essentieel, en laat zien dat de gemeente Asten informatiebeveiliging serieus neemt en het een onderdeel laat zijn van de ambities om informatie van haar inwoners adequaat te beschermen.