Strategisch informatiebeveiligingsbeleid 2025-2029

3.2.1 Cyberbeveiligingswet

Om de fysieke, digitale en economische weerbaarheid te versterken, heeft de Europese Unie de Network and Information Security Directive (NIS2) vastgesteld. In Nederland wordt deze richtlijn geïmplementeerd via de Cyberbeveiligingswet (Cbw). Gemeenten zijn, net als andere overheidsinstanties, binnen deze wet aangewezen als essentiële entiteiten.

De belangrijkste reden voor deze aanwijzing is dat gemeenten verantwoordelijk zijn voor onderdelen van industriële automatisering, zoals verkeersregelinstallaties, smartcity-toepassingen, afvalverwerking, pompen, gemalen en parkeergarages. Digitale veiligheid is daarmee een wettelijke verplichting geworden, die verder reikt dan alleen de beveiliging van kantoorautomatisering.

Het toezicht is daarnaast versterkt en verbreed: naast controles achteraf voert de toezichthouder ook inspecties en audits vooraf uit op de digitale beveiliging van gemeenten. De Rijksinspectie Digitale Infrastructuur (RDI) is hierbij aangesteld als bevoegde toezichthouder.

Gemeenten hebben onder de Cyberbeveiligingswet de volgende verplichtingen:

• •

  Registratieplicht: inschrijving als essentiële entiteit in het landelijke register.

• •

  Zorgplicht: nemen van passende technische en organisatorische maatregelen om de digitale weerbaarheid te waarborgen.

• •

  Meldplicht: het tijdig (binnen 24 uur) melden van significante (cyber)incidenten bij de toezichthouder.

• •

  Toezicht: gemeenten staan onder toezicht van de RDI, die zowel preventief (audits) als repressief (handhaving) kan optreden.

3.2.2 Baseline Informatiebeveiliging Overheid 2

De Baseline Informatiebeveiliging Overheid 2 (BIO2) vormt het nieuwe kader voor informatiebeveiliging en volgt de BIO 1.04 op. De BIO2 is geen wetgeving op zichzelf, maar in de Cyberbeveiligingswet staat dat aanvullende regels voor beveiliging via een Algemene Maatregel van Bestuur kunnen worden gesteld, wat dan de BIO2 is. De BIO2 heeft als doel NIS2/Cyberbeveiligingswet-compliant te zijn. Dat betekent dat het volgen van de BIO2 onze organisatie helpt om aan de Cyberbeveiligingswet te voldoen.

Dit strategische informatiebeveiligingsbeleid is gebaseerd op de Baseline Informatiebeveiliging Overheid BIO 2 De BIO 2 is gebaseerd op:

• •

  NEN-ISO/IEC 27001:2023

• •

  NEN-ISO/IEC 27002:2022

• •

  En lijst met aanvullende overheidsmaatregelen

3.2.3 De Cybersecurity Implementatie Richtlijn (CSIR)

Onze organisaties gebruiken de BIO als beveiligingsnorm voor de beveiliging van onze kantoorautomatisering. Voor het beveiligingen van industriële automatisering en/of procesautomatiseringssystemen bestaan aanvullende beveiligingseisen die niet in de BIO staan. Voor de bescherming van Proces Automatisering is met name de Cybersecurity Implementatie Richtlijn (CSIR) van toepassing. Deze CSIR-richtlijn is namelijk speciaal ontwikkeld om objecten (waterzuiveringsinstallaties, gemalen, bruggen, keringen, sluizen, etc.) te beveiligen.

3.4.1 Leiderschap en continu proces

• -

  Het bestuur, de directie en de leidinggevenden dragen dit beleid uit en sturen op de implementatie van dit beleid.

• -

  Regels, verantwoordelijkheden en bevoegdheden die relevant zijn voor informatiebeveiliging zijn toegekend en gecommuniceerd binnen de organisatie.

• -

  Benodigde middelen en competenties worden vastgesteld en beschikbaar gesteld om eigendommen en werkprocessen te kunnen beveiligen en te voldoen aan dit beleid.

• -

  Om het informatiebeveiligingsproces te structureren wordt gebruikgemaakt van een managementsysteem (ISMS), gebaseerd op het Plan-Do-Check-Act (PDCA)-model. Binnen dit systeem worden op verschillende niveaus rapportages opgesteld en gedeeld, variërend van de proceseigenaar tot en met de directie en het bestuur. Op deze manier is de voortgang van het informatiebeveiligingsproces geborgd en krijgt ieder niveau de informatie die nodig is om zijn verantwoordelijkheid te kunnen nemen.

• -

  Informatiebeveiliging is een continu verbeterproces. Door organisatiebrede planning, het implementeren van maatregelen, het periodieke controleren én coördinatie wordt de kwaliteit van de informatiebeveiliging verankerd en verbeterd binnen de organisatie.

• -

  Het managementsysteem voor informatiebeveiliging moet o.a. bevatten de gedocumenteerde informatie die de organisatie nodig acht voor de doeltreffendheid van het managementsysteem van informatiebeveiliging.

• -

  Vastgestelde beleidsstukken en uitwerkingen daarvan (bijv. procedures, standaarden en werkinstructies) worden centraal beheerd in het managementsysteem voor informatiebeveiliging.

• -

  Tijdens Planning & Control-gesprekken dient er aandacht te zijn voor de informatiebeveiliging n.a.v. de rapportage van de CISO. De onderwerpen, die als risicovol worden gezien, moeten tevens worden opgenomen in auditplannen.

• -

  Elk bedrijfsproces en informatiesysteem dat wordt gebruikt, heeft of krijgt binnen het ISMS een eigenaar (lijnmanager). Deze eigenaar bepaalt de waarde van de informatie die het proces of systeem bevat. De primaire verantwoordelijkheid voor de bescherming van deze informatie ligt bij de eigenaar, die verantwoording aflegt over de beveiliging ervan.

• -

  De rol van de coördinator van informatiebeveiliging (Chief Information Security Officer: CISO) is ingevuld. De CISO ondersteunt vanuit een onafhankelijke positie het bestuur en management bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover.

• -

  Informatiebeveiliging mag niet ten koste gaan van de veiligheid van personen.

• -

  Hoewel de basiskernregistraties (zoals BRP, PUN/PNIK, SUWI, BAG, BGT, BRO) en toekomstige basisregistraties belangrijk zijn in het kader van informatiebeveiliging, krijgen zij niet meer of minder voorrang dan andere (primaire) processen binnen de gemeente. Het samenspel van alle processen binnen de bedrijfsvoering is belangrijk voor de missie en de visie van de gemeente en het behalen van de doelen die zijn gesteld.

3.4.2 Risicobeheersing

• -

  Informatiebeveiliging is onlosmakelijk verbonden met risicomanagement. Risico’s worden in kaart gebracht en door de proceseigenaar en de CISO afgewogen. Indien een risico de reikwijdte van een proces of organisatieonderdeel overstijgt, vindt de afweging en eventuele acceptatie plaats op management- of directieniveau.

• -

  De inrichting van informatiebeveiliging is procesgestuurd en risicogebaseerd. Beveiligingsmaatregelen worden vastgesteld volgens een voorgeschreven risicomanagementmethodiek, waarbij geldende wet- en regelgeving (waaronder BIO, NIS2 en AVG) altijd leidend is.

• -

  Om te waarborgen dat informatie over risico’s en incidenten actueel, volledig en juist is, worden deze centraal vastgelegd en periodiek geactualiseerd in het Information Security Management System (ISMS). Dit systeem ondersteunt tevens de aantoonbaarheid richting auditors en toezichthouders.

• -

  Informatiebeveiligingsincidenten worden afgehandeld volgens een gestandaardiseerd proces. Ernstige incidenten en datalekken worden conform de wettelijke verplichtingen tijdig gemeld aan de bevoegde toezichthouders en, indien van toepassing, aan betrokkenen.

3.4.3 Cyberweerbaarheid

• -

  De gemeenten Culemborg, Tiel, West Betuwe en BWB nemen technische en organisatorische maatregelen om de organisaties te beschermen tegen incidenten en cyberdreigingen, om deze tijdig te detecteren, te herstellen en de impact te beperken. Hierbij wordt ingezet op logging, geautomatiseerde detectie, analyse en waar mogelijk automatische respons.

• -

  De organisaties versterken hun cyberweerbaarheid door kritieke processen te identificeren, risico’s te beoordelen en passende beveiligingsmaatregelen te treffen (bedrijfscontinuïteit).

• -

  Voor de borging van de bedrijfscontinuïteit volgen wij de geldende wet- en regelgeving en de richtlijnen en adviezen van de Vereniging van Nederlandse Gemeenten (VNG).

• -

  Werkinstructies, procedures en beleid worden periodiek getest om effectiviteit en actualiteit te waarborgen.

3.4.4 Digitaal vaardig gedrag

• -

  Het lijnmanagement heeft voortdurend aandacht voor het vergroten van de digitale vaardigheden en het veilige gedrag van medewerkers, om zo de menselijke schakel te versterken.

• -

  Medewerkers dienen verantwoord om te gaan met (persoons)gegevens en andere informatie. Een bewustwordingsprogramma ondersteunt hen hierbij.

• -

  Waar relevant voor de uitvoering van werkzaamheden worden medewerkers getraind in het toepassen van beveiligingsprocedures.

• -

  Iedere medewerker – vast of tijdelijk, intern of extern – die toegang heeft tot informatie en systemen, is verplicht deze te beschermen tegen ongeautoriseerde toegang, gebruik, wijziging, openbaarmaking, vernietiging, verlies of overdracht. Bij (vermeende) inbreuken geldt een meldplicht. Deze verplichting geldt eveneens voor raads- en commissieleden die toegang hebben tot gemeentelijke informatie of systemen.

3.4.5 Overige uitgangspunten

• -

  De verantwoordelijkheid voor informatiebeveiliging eindigt niet bij de voordeur van onze organisatie. Ook zaken als verbindingen met externe partijen en leveranciers zijn van belang. Er worden gelijkwaardige eisen gesteld aan leveranciers en externe partijen, zoals dit ook voor de interne situatie zou gebeuren. Uitgangspunt hierbij is dat we niet alleen inzetten op de bescherming van gebouwen en (IT) voorzieningen maar sturen op het beschermen van informatie (data) ongeacht waar deze zich bevindt.

• -

  Dit beleid dient als uitgangspunt voor:

  • °

    het passend beheersen van informatiebeveiligings- en privacy risico’s;

  • °

    het herkennen en voorkomen van incidenten;

  • °

    het kunnen omgaan met incidenten en calamiteiten;

  • °

    het verhogen van de digitale weerbaarheid;

  • °

    het voldoen aan normen en wet- en regelgeving; en,

  • °

    het beschermen van inwoners, medewerkers en andere belanghebbenden.

5.1.1 Lijnverantwoordelijkheid

De Baseline Informatiebeveiliging Overheid (BIO) stelt dat informatiebeveiliging in de eerste plaats een lijnverantwoordelijkheid is. Dit betekent dat iedere lijnmanager verantwoordelijk is voor de beveiliging van de informatie binnen zijn processen, ketens en applicaties/systemen. De bestuurders en directie dragen daarbij de eindverantwoordelijkheid voor de naleving van informatiebeveiliging binnen de organisatie, in lijn met de verplichtingen uit de BIO en de NIS2-richtlijn.

Het is aan de lijnmanager om – eventueel met ondersteuning van CISO, ISO en FG – te bepalen:

• •

  welke informatie als vertrouwelijk moet worden aangemerkt,(Data classificatie).

• •

  welke risico’s gepaard gaan met de verwerking van deze informatie, en (Risicomanagement).

• •

  welke maatregelen passend en proportioneel zijn om deze risico’s te beperken.(Opvolging CISO en FG adviezen).

Voor ieder gemeentelijk proces, applicatie en systeem wordt centraal vastgelegd welke lijnmanager als proceseigenaar optreedt en daarmee verantwoordelijk is voor de informatiebeveiliging. Voor processen waarin persoonsgegevens of bedrijfsgevoelige informatie worden verwerkt, wordt gebruikgemaakt van de bestaande registraties, zoals het verwerkingsregister en het overzicht van de bedrijfskritische processen, waarin de verantwoordelijken reeds zijn benoemd. Deze gegevens worden geïntegreerd in het ISMS, zodat één centrale en actuele basis ontstaat.

Wanneer er (nog) geen proceseigenaar is aangewezen, draagt de directie deze verantwoordelijkheid expliciet op aan een lijnmanager. Daarmee is gewaarborgd dat verantwoordelijkheden altijd helder en ondubbelzinnig zijn belegd.

Wanneer een lijnmanager taken laat uitvoeren door een andere organisatie, zoals een leverancier, shared service center of ketenpartner, blijft hij verantwoordelijk voor de waarborging van de belangen van de gemeenten en BWB. Dit wordt vastgelegd in een schriftelijke overeenkomst, zoals een dienstverleningsovereenkomst, verwerkersovereenkomst of gegevensleveringsovereenkomst. In lijn met de BIO en NIS2 dient de lijnmanager niet alleen te zorgen dat afspraken contractueel zijn vastgelegd, maar ook dat deze in de praktijk worden nageleefd. Dit vereist periodieke toetsing en monitoring van de dienstverlening en de getroffen beveiligingsmaatregelen. (leverancier management en contractbeheer).

Externe organisaties die geen onderdeel zijn van de overheid vallen niet rechtstreeks onder de BIO. In die gevallen bepaalt de opdrachtgever samen met de CISO welke informatiebeveiligingseisen van toepassing zijn. Deze eisen moeten expliciet in het contract met de externe partij worden opgenomen en periodiek worden getoetst op naleving. (inkoopbeleid).

5.1.2 Ketenverantwoordelijkheid

De verschillende informatiesystemen in onze organisatie zijn onderling afhankelijk en ondersteunen samen een proces of keten. Om deze reden wijst de directie voor iedere keten één lijnmanager aan als proceseigenaar. Deze proceseigenaar is verantwoordelijk voor de beveiliging van de keten en stelt, op basis van een risicoanalyse, het vereiste beveiligingsniveau vast. Daarbij houdt hij rekening met specifieke afspraken en afhankelijkheden binnen de keten.

Het directieteam van de gemeente en/of BWB draagt de eindverantwoordelijkheid voor de borging van informatiebeveiliging en ziet erop toe dat er een actueel overzicht beschikbaar is van de ketens waar de gemeente(n) of de BWB deel van uitmaakt. In dit overzicht zijn de verantwoordelijkheden en afspraken met ketenpartners expliciet vastgelegd en wordt periodiek gecontroleerd of deze afspraken in de praktijk worden nageleefd.

Voorbeelden van ketensamenwerkingen en afhankelijkheden voor gemeenten zijn:

• •

  Samenwerkingen in het Sociaal Domein, waarin de gemeente samenwerkt met zorgaanbieders, in het kader van Wmo- en jeugdzorgvoorzieningen.

• •

  Het verkiezingsproces, waarbij gemeenten samenwerken met de Kiesraad en leveranciers van verkiezingssoftware en -systemen.

• •

  De digitale toegangsketen, zoals DigiD en eHerkenning, waarbij gemeenten afhankelijk zijn van landelijke voorzieningen en leveranciers van authenticatiediensten.

5.1.3 Samenwerkingsverbanden

Gemeenten Culemborg, Tiel en West Betuwe nemen deel aan diverse samenwerkingsverbanden.

De informatiebeveiliging binnen deze verbanden is doorgaans afhankelijk van meerdere partijen, wat de borging van beleid en maatregelen complexer maakt. Wanneer de gemeente of BWB binnen een samenwerkingsverband de grootste verantwoordelijkheid draagt – bijvoorbeeld bij het beheer van een gezamenlijke informatievoorziening – is dit beleid leidend.

5.2.1 De gemeenteraad

De gemeenteraad heeft binnen de eigen gemeente een toezichthoudende rol, gebaseerd op de controlerende taak die de Gemeentewet aan de raad toekent. De raad is bevoegd om het beleid en de uitvoering daarvan te controleren en te toetsen, waaronder het beleid op het gebied van informatiebeveiliging.

Daarnaast heeft de gemeenteraad een voorbeeldfunctie in het naleven en uitdragen van dit beleid en de bijbehorende tactische en operationele beleidsstukken.

5.2.2 College van burgemeester en wethouders

Het college van burgemeester en wethouders is bestuurlijk eindverantwoordelijk voor het organiseren van een passend niveau van informatiebeveiliging binnen de eigen organisatie. Het college stelt met dit beleidsdocument de kaders vast ten aanzien van informatiebeveiliging. Binnen het college is een portefeuillehouder informatiebeveiliging aangewezen.

Voor specifieke onderwerpen geldt een afwijkende bevoegdheidsverdeling. Zo is bij wet bepaald dat voor reisdocumenten de bevoegdheid tot het vaststellen van kaders niet bij het college, maar bij de burgemeester ligt.

Net als de gemeenteraad heeft ook het college een voorbeeldfunctie bij het naleven en uitdragen van dit beleid en de bijbehorende tactische en operationele beleidsstukken.

5.2.3 Gemeentesecretaris / directeur BWB

De gemeentesecretaris is ambtelijk eindverantwoordelijk voor de kaderstelling en sturing op tactisch niveau, alsmede voor de implementatie, borging en uitvoering van het informatiebeveiligingsbeleid binnen de organisatie. De gemeentesecretaris heeft de verantwoordelijkheid voor informatiebeveiliging gedelegeerd aan de directie, die zorgdraagt voor de feitelijke uitvoering en naleving.

5.2.4 Concern Controller

De Concern Controller van de gemeente heeft een brede inhoudelijk adviserende en signalerende taak voor wat betreft de samenhang van beleid, organisatie en middelen en het behalen van de bestuurlijke doelen. Hij is onafhankelijk en heeft tot taak als mee- en tegendenker te fungeren ten opzichte van de directie, is verantwoordelijk voor de opzet en voortdurende werking van een adequaat functionerend instrumentarium van planning en control met als resultaat relevante en integrale bestuurlijke informatievoorziening op basis waarvan de directie in control is. Daarnaast is de Concern Controller verantwoordelijk voor de totstandkoming en de handhaving van de financiële kaders, conform de Gemeentewet. Dit betreft de inrichting van de financiële organisatie, het financiële beheer en de uitgangspunten van het financieel beleid.

5.2.5 Lijnmanager

In de Baseline Informatiebeveiliging Overheid (BIO) is vastgelegd dat informatiebeveiliging een lijnverantwoordelijkheid is. Een andere benaming voor de lijnmanager is de proceseigenaar. Binnen onze organisatie zijn dit meestal de afdelings- teammanagers of teamleiders. Elke lijnmanager is eindverantwoordelijk voor een adequate beveiliging van de informatie in de processen, ketens en applicaties/systemen binnen zijn beheer. Deze verantwoordelijkheid kunnen zij niet delegeren, uitvoerende werkzaamheden wel. Om deze verantwoordelijkheid waar te maken, dienen lijnmanagers goed ondersteund te worden.

5.2.6 Chief Information Security Officer (CISO)

De Chief Information Security Officer (CISO) vervult een strategische en toezichthoudende rol binnen de organisatie. Hij of zij adviseert en ondersteunt het lijnmanagement, de directie en het bestuur bij hun verantwoordelijkheid voor informatiebeveiliging, waaronder de implementatie en naleving van de Cyberbeveiligingswet. De CISO ziet daarbij toe op de werking en effectiviteit van maatregelen die de beschikbaarheid, integriteit en vertrouwelijkheid (BIV) van informatie en persoonsgegevens borgen. Het advies van de CISO weegt zwaar mee in besluitvorming. Tot de taken behoren het actualiseren van het strategisch informatiebeveiligingsbeleid, de coördinatie van de uitvoering en de organisatie van toezicht en audits. De voortgang en bevindingen rapporteert de CISO rechtstreeks aan directie en bestuur. Daarnaast fungeert de CISO als centraal aanspreekpunt voor interne medewerkers en externe partijen, waaronder inwoners, samenwerkingspartners, de VNG, provincie, regio en ministeries. De CISO opereert onafhankelijk en is zodanig gepositioneerd dat hij of zij niet hiërarchisch onder het lijnmanagement valt. Hiermee worden de onafhankelijkheid en objectiviteit van toezicht en advisering gewaarborgd.

5.2.7 Information Security Officer (ISO)

De ISO ondersteunt de CISO en de lijnmanagers bij de uitvoering van het informatiebeveiligingsbeleid. De ISO is organisatiebreed verantwoordelijk voor advisering en ondersteuning op tactisch en operationeel niveau.

De ISO draagt bij aan het opstellen en actualiseren van procedures en beleid, adviseert bij de implementatie en uitvoering daarvan en ondersteunt bij projecten waarin informatiebeveiliging een rol speelt. Daarnaast houdt de ISO zich bezig met het uitvoeren van risicomanagement en met de implementatie en het beheer van het Information Security Management System (ISMS).

5.2.8 Beveiligingsbeheerder

De beveiligingsbeheerder is verantwoordelijk voor beheer en coördinatie op het gebied van informatiebeveiliging binnen een specifiek domein.

Er zijn zowel centrale beveiligingsbeheerders met een organisatiebrede scope, als decentrale beveiligingsbeheerders binnen afdelingen, teams of processen die toezien op naleving van specifieke wet- en regelgeving. Voorbeelden hiervan zijn de Beveiligingsfunctionaris BRP, de Beveiligingsfunctionaris Reisdocumenten en de Security Officer Suwinet.

Beveiligingsbeheerders werken nauw samen met de CISO en de ENSIA-coördinator om de aansluiting met het organisatiebrede beleid te waarborgen en de ENSIA-verantwoording volledig en juist uit te voeren.

5.2.9 ENSIA-Coördinator

De ENSIA-coördinator organiseert en coördineert het jaarlijkse ENSIA-verantwoordingsproces. Dit omvat het uitzetten van vragenlijsten, het verzamelen van bewijslast, de afstemming met betrokkenen en het bewaken van planning en kwaliteit. Daarbij ondersteunt de coördinator de CISO en lijnmanagers bij het aanleveren van de benodigde informatie.

De ENSIA-coördinator bereidt de rapportage voor richting het college van B&W, de gemeenteraad en de landelijke toezichthouders. De formele vaststelling en indiening hiervan ligt bij het college van B&W. Hoewel de CISO en de ENSIA-coördinator verschillende rollen hebben, werken zij nauw samen om ervoor te zorgen dat de ENSIA-verantwoording inhoudelijk juist, volledig en tijdig wordt opgeleverd.

5.2.10 Functionaris Gegevensbescherming

De Functionaris Gegevensbescherming (FG) is een onafhankelijke toezichthouder die binnen de organisatie verantwoordelijk is voor het toezicht op de naleving van de Algemene Verordening Gegevensbescherming (AVG) en overige relevante privacywetgeving. De FG adviseert bestuur, directie en organisatie over privacyvraagstukken, voert toezicht en controles uit, en fungeert als onafhankelijk aanspreekpunt voor zowel interne medewerkers als externe betrokkenen (zoals inwoners) en voor de Autoriteit Persoonsgegevens.

5.2.11 Privacy Officer

De Privacy Officer vervult een adviserende en coördinerende rol richting de organisatie op het gebied van privacybescherming. De Privacy Officer kan zelfstandig privacyrisico’s binnen de organisatie signaleren en hierover proactief in gesprek gaan om passende adviezen te formuleren. Daarnaast voorziet de Privacy Officer zowel de Functionaris Gegevensbescherming (FG) als de CISO van relevante informatie over geïdentificeerde risico’s en over de borging van privacy binnen de gehele organisatie.

5.3.1 Externe Dienstverlener

Met alle leveranciers die in de vorm van (kantoor)automatisering, applicaties, IT-componenten en/of operationele technologie informatie van onze organisaties verwerken of operationele processen ondersteunen, worden afspraken gemaakt over de wijze waarop zij de informatiebeveiliging hebben geborgd. Deze leveranciers leggen hierover periodiek, conform de gemaakte afspraken, verantwoording af aan de proceseigenaar.

5.3.2 Rekenkamercommissie

De rekenkamercommissie ondersteunt de gemeenteraad bij zijn controlerende taken door onderzoek te doen naar de doeltreffendheid, doelmatigheid en rechtmatigheid van het gemeentelijk beleid. De rekenkamercommissie kan zelfstandig een onderzoek (laten) uitvoeren naar de informatiebeveiliging van onze organisatie en rapporteert hierover aan de gemeenteraad.

5.3.3 Externe partij in een samenwerkingsverband

Externe partijen in een samenwerkingsverband, zoals ketenpartners of gemeenschappelijke regelingen, zijn verantwoordelijk voor de beveiliging van de gegevens die zij namens de gemeenten verwerken. Publieke partijen zijn verplicht zich te houden aan de Baseline Informatiebeveiliging Overheid (BIO). Private partijen zijn niet direct gebonden aan de BIO en dienen daarom via een schriftelijke overeenkomst, zoals een dienstverleningsovereenkomst, verwerkersovereenkomst of gegevensleveringsovereenkomst aan de overeengekomen beveiligingsvereisten te voldoen. Conform de NIS2-richtlijn en de Cyberbeveiligingswet ziet de gemeente er daarnaast op toe dat deze afspraken periodiek worden getoetst en nageleefd.

De gemeente en BWB blijven te allen tijde eindverantwoordelijk voor de informatiebeveiliging en de bescherming van (persoons)gegevens.

5.3.4 Externe Auditor

Een externe auditor is een partij die in opdracht van de gemeente maar volledig onder eigen verantwoording een onderzoek uitvoert of binnen een gestelde scope de organisatie voldoet aan gestelde normenkaders. Vanwege het ontbreken van een interne 3e lijn (op het gebied van informatiebeveiliging) volgens het Three Lines of Defence model is deze externe auditor de 3e lijns controle.

5.3.5 Informatiebeveiligingsdienst voor Gemeenten (VNG/IBD)

De IBD2 is een onderdeel van de Vereniging Nederlandse Gemeenten (VNG) en levert ondersteuning in geval van incidenten en crisissituaties op het vlak van informatiebeveiliging. Gemeenten Culemborg, Tiel, West Betuwe en BWB maken gebruik van deze ondersteuning. De IBD informeert ons via vastgestelde contactpersonen namelijk de CISO en de algemeen contactpersoon informatiebeveiliging (ACIB)3 en de vertrouwde contactpersoon informatiebeveiliging (VCIB)4 .