Strategisch Informatiebeveiliging- en privacy beleid 2026-2030

1.4.1. Basis op orde

Voor informatiebeveiliging en privacy is het van groot belang om de fundamenten voor deze onderdelen te borgen in de organisatie. Een passende beheersing van informatiebeveiligings- en privacy risico’s is rand voorwaardelijk voor het bereiken van de strategische organisatiedoelen. Door de komende periode verder te investeren in een stabiele fundering wordt de kans op incidenten (storingen, hacks, onderbrekingen van de dienstverlening, datalekken etc.) verkleind.

1.4.2. Voldoen aan wet- & regelgeving

Voor informatiebeveiliging is onder andere de volgende wet- en regelgeving belangrijk:

• •

  Baseline Informatiebeveiliging Overheid 2.0 (BIO2)

• •

  Algemene Verordening Gegevensbescherming (AVG) en Uitvoeringswet AVG (UAVG)

• •

  Cyberbeveiligingset (Cbw) – Nederlandse implementatie Network and Information Security (NIS2)

• •

  Wet Politiegegevens (Wpg)

• •

  Cyber Resilience Act (CRA)

• •

  AI Act

1.4.3. Inzetten op digitale weerbaarheid

Digitalisering van de diensten is niet meer weg te denken in de dienstverlening. Dit zorgt echter voor een afhankelijkheid van externe factoren (stroomvoorziening, leveranciers etc.). Door in te zetten op digitale weerbaarheid wordt er structureel aandacht besteed aan:

• •

  inzicht hebben op cyberincidenten, -dreigingen en risico's en hoe hiermee om te gaan.

• •

  bescherming tegen digitale risico's: Het minimaliseren van negatieve effecten voor onze organisatie(s) en onze afnemers, toeleveranciers of anderen.

• •

  in staat zijn om adequaat te reageren, te herstellen en snel te leren op en van cyberincidenten en –crises: Periodieke oefeningen zijn voor de digitale weerbaarheid (net als het herhalen van brand- en BHV oefeningen) van cruciaal belang.

1.4.4. Inzetten op bewustwording (awareness)

Investeren in onze collega's is van cruciaal belang om informatiebeveiliging en privacy te kunnen borgen in onze organisatie(s). Hierop zetten we al in en we kunnen kennis en ervaring delen. Door periodiek verschillende onderdelen te trainen wordt de kans op incidenten en interrupties van de dienstverlening steeds kleiner (voorbeelden hiervan zijn naast trainingen, e-learnings, phishing testen, uitnodigen van sprekers, omgaan met nieuwe ontwikkelingen, etc.).

2.2.1. Strategische en tactische doelen

Strategische doelstellingen voor informatieveiligheid richten zich op het beschermen van informatie en informatiesystemen tegen ongeautoriseerde toegang, gebruik, openbaarmaking, verstoring, wijziging of vernietiging. Belangrijke doelstellingen voor de ODZOB:

• •

  Bescherming van vertrouwelijkheid: Zorgen dat gevoelige informatie alleen toegankelijk is voor geautoriseerde personen.

• •

  Integriteit waarborgen: Garanderen dat informatie accuraat en volledig blijft en niet ongeautoriseerd wordt gewijzigd.

• •

  Beschikbaarheid verzekeren: Zorgen dat informatie en systemen beschikbaar zijn wanneer nodig door geautoriseerde gebruikers.

• •

  Risicomanagement: Identificeren, evalueren en mitigeren van risico's die de informatieveiligheid kunnen bedreigen.

• •

  Naleving van wet- en regelgeving: Voldoen aan relevante wetten, regelgeving en normen zoals de AVG (Algemene Verordening Gegevensbescherming) en de BIO2 (Baseline Informatiebeveiliging Overheid).

• •

  Bewustwording en training: Bevorderen van een cultuur van veiligheid door middel van regelmatige training en bewustwordingscampagnes voor medewerkers en bestuurders.

Deze doelstellingen helpen de ODZOB om een robuuste en veerkrachtige informatiebeveiligingsstrategie te ontwikkelen en te onderhouden.

Tactische doelstellingen voor informatieveiligheid zijn meer specifiek en gericht op de implementatie van strategische doelstellingen. Voor de ODZOB:

• •

  Beveiligingsmaatregelen implementeren: Uitvoeren van technische en organisatorische maatregelen zoals firewalls, antivirussoftware, en toegangscontrole.

• •

  Incidentbeheer: Opzetten van procedures voor het identificeren, melden, en reageren op beveiligingsincidenten.

• •

  Continuïteitsplanning: Ontwikkelen van plannen om de continuïteit van kritieke bedrijfsprocessen te waarborgen in geval van een beveiligingsincident.

• •

  Vulnerability management: Regelmatig uitvoeren van kwetsbaarheidsscans en penetratietests om zwakke plekken in systemen te identificeren en te verhelpen.

• •

  Training en bewustwording: Organiseren van trainingen en campagnes om medewerkers bewust te maken van beveiligingsrisico's en best practices.

• •

  Compliance monitoring: Controleren en rapporteren van naleving van interne en externe beveiligingsnormen en regelgeving

Deze doelstellingen helpen de ODZOB om de informatieveiligheidsstrategie effectief uit te voeren en te onderhouden.

2.3.1. NIS2 en Cyberbeveiligingswet (Cbw)

Eind 2022 is de NIS2 richtlijn in Europa vastgesteld. Hierbij ligt de nadruk op de zorgplicht waarbij elke organisatie verplicht is risicobeoordelingen uit te voeren en passende maatregelen te treffen. De NIS2 wordt door elke Europese lidstaat vertaald naar eigen wetgeving (Cyberbeveiligingswet). Voor Nederland staat deze gepland voor Q2 2026)

2.3.2. De BIO2

De BIO2 (Baseline Informatiebeveiliging Overheid) is het normenkader voor de gehele overheid. De werkwijze van deze BIO2 is gericht op risicomanagement. Dat wil zeggen dat de managers nu meer dan vroeger moeten werken volgens de aanpak van de ISO 27001 en daarbij is risicomanagement van belang. Dit houdt voor het management in, dat men op voorhand keuzes maakt en continu afwegingen maakt of informatie in bestaande en nieuwe processen adequaat beveiligd zijn in termen van beschikbaarheid, integriteit en vertrouwelijkheid.

De BIO is met ingang van eind 2025 opgevolgd door de BIO2. Deze is eind 2025 bestuurlijk verankerd, en daarmee verplicht voor de ODZOB. Met de komst van de Cyberbeveiligingswet (Cbw) zal deze verankering ook wettelijk zijn (naar verwachting Q2 2026).

2.3.3. De AVG

Nieuwe technologische ontwikkelingen, innovatieve voorzieningen, globalisering en een steeds digitaler wordende overheid maakt het zorgvuldig omgaan met persoonsgegevens steeds complexer en noodzakelijker. De ODZOB is zich hiervan bewust en wil daarom met dit beleid aangeven hoe zij in algemene zin invulling geeft aan nationale en Europese wet- en regelgeving op het gebied van privacy, waaronder de Algemene Verordening Gegevensbescherming (hierna te noemen: AVG).

2.3.4. De WPG

De ODZOB heeft BOA’s in dienst en zij verwerken gegevens die niet onder de AVG vallen maar onder de wet Politiegegevens (WPG). Hiervoor moet de organisatiebeleid en samenhangende procedures hebben ingeregeld die betrekking hebben op toegangsrechten, autorisaties, data classificatie, risico-inschatting, registratie en logging, meldplicht en documentatieplicht.

2.3.5. Artificial Intelligence (AI)

AI wordt ook vanuit de informatiebeveiligingsbril een steeds groter risico. Zo kunnen persoons- en/of gevoelige gegevens ingevoerd worden in openbare AI-modellen, en op die manier openbaar en wellicht misbruikt worden. Zie het voorbeeld van de gemeente Eindhoven dd. december 2025. Ook zijn bijvoorbeeld d.m.v. AI veel betere phishingmails e.d. te genereren. Belangrijk is dan ook dat medewerkers ook op dit aspect bewust gemaakt worden.

2.3.6. De 10 principes voor informatiebeveiliging

De 10 principes voor informatiebeveiliging zijn een bestuurlijke aanvulling op de BIO en gaan over de waarden die de bestuurder zichzelf oplegt. De principes zijn als volgt:

• 1.

  Bestuurders bevorderen een veilige cultuur.

• 2.

  Informatiebeveiliging is van iedereen.

• 3.

  Informatiebeveiliging is risicomanagement.

• 4.

  Risicomanagement is onderdeel van de besluitvorming.

• 5.

  Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking.

• 6.

  Informatiebeveiliging is een proces.

• 7.

  Informatiebeveiliging kost geld.

• 8.

  Onzekerheid dient te worden ingecalculeerd.

• 9.

  Verbetering komt voort uit leren en ervaring.

• 10.

  Het bestuur controleert en evalueert.

De principes gaan vooral over de rol van het bestuur en directie bij het borgen van informatiebeveiliging in de organisatie. Deze principes ondersteunen de directie bij het uitvoeren van goed risicomanagement. Als er iets verkeerd gaat met betrekking tot het beveiligen van de informatie binnen de processen, dan kan dit directe gevolgen hebben voor inwoners, ondernemers en partners van de ODZOB. Daarmee is informatiebeveiliging ook een onderwerp voor op de bestuurstafel.

2.3.7. Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten

Het Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten geeft een actueel zicht op incidenten en factoren uit het verleden, aangevuld met een verwachting voor het heden en de nabije toekomst. Dit dreigingsbeeld is daarmee het ideale document om focus aan te brengen in het actualiseren van beleid en plannen voor informatiebeveiliging.

2.3.8. Informatie uit incidenten en inbreuken op de beveiliging

De ODZOB kent naast het hierboven genoemde dreigingsbeeld een eigen systeem waarin incidenten worden vastgelegd. Dit systeem geeft ook waardevolle informatie om van te leren en dus zijn incidenten uit het verleden ook nadrukkelijk input bij het actualiseren van het beleid.

2.7.1. Belangrijkste elementen van informatiebeveiliging

De strategische doelen van het IB&P beleid zijn:

• •

  Het managen van de informatiebeveiliging.

• •

  Adequate bescherming van bedrijfsmiddelen en persoonsgegevens.

• •

  Het toepassen van dataminimalisatie.

• •

  Het minimaliseren van risico’s van menselijk gedrag.

• •

  Het voorkomen van ongeautoriseerde toegang.

• •

  Het garanderen van correcte en veilige informatievoorzieningen.

• •

  Het beheersen van de toegang tot informatiesystemen.

• •

  Het waarborgen van veilige informatiesystemen.

• •

  Het adequaat reageren op incidenten.

• •

  Het beschermen van (kritieke) bedrijfsprocessen.

• •

  Het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers.

• •

  Voldoen aan de wettelijke verplichtingen voortvloeiend uit de AVG en dit op ieder moment met bewijs kunnen aantonen.

• •

  Het waarborgen van de naleving van dit beleid.

2.7.2. Belangrijkste uitgangspunten

De belangrijkste uitgangspunten van het beleid zijn:

• •

  De uitvoering van de informatiebeveiliging en privacybescherming is een lijnverantwoordelijkheid van het clustermanagement. Alle informatiebronnen en -systemen die gebruikt worden door de ODZOB hebben als eigenaar de clustermanager ICT, die de vertrouwelijkheid, privacy eisen en/of waarde bepaalt van de informatie die ze bevatten. De primaire verantwoordelijkheid voor de bescherming van informatie ligt dan ook bij de eigenaar van de informatie (proceseigenaar). Bij de ODZOB is dit de clustermanager ICT voor alle organisatie-brede systemen (zaaksysteem, M365, archief, checklisten,..).

• •

  De clustermanager ICT is verantwoordelijk voor het ter beschikking stellen van de organisatie-brede informatiesystemen. Alle clustermanagers zijn lijnverantwoordelijk voor het correct gebruik van deze systemen

• •

  Door periodieke controle, organisatie brede planning én coördinatie wordt de kwaliteit van de informatievoorziening en privacy verankerd binnen de organisatie. Het IB&P beleid vormt samen met het IB&P plan het fundament onder een betrouwbare informatievoorziening en privacybescherming. In het IB&P plan wordt de betrouwbaarheid van de informatievoorziening en privacy organisatie breed benaderd. Het plan wordt periodiek bijgesteld op basis van nieuwe ontwikkelingen, registraties in het incidentenregister en risicoanalyses voor informatiebeveiliging en privacy.

• •

  Informatiebeveiliging en privacybescherming is een continu verbeterproces. ‘Plan, do, check en act’ vormen samen het managementsysteem van informatiebeveiliging en privacybescherming.

• •

  De ODZOB stelt de benodigde mensen en middelen beschikbaar om haar eigendommen en werkprocessen te kunnen beveiligen en te voldoen aan de privacy eisen volgens de wijze zoals gesteld in dit beleid.

• •

  Regels en verantwoordelijkheden voor het IB&P beleid dienen te worden vastgelegd en vastgesteld.

• •

  Iedere medewerker, zowel vast als tijdelijk, intern of extern, is verplicht waar nodig (persoons)gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht en bij vermeende inbreuken hiervan melding te maken.

• •

  Het borgen van privacy in de uitvoering van processen vindt risico gestuurd plaats. De verantwoordelijken in de organisatie maken afwegingen ter naleving van privacyregels en op basis van een risico-inschatting.

2.7.3. IB&P governance

Praktisch wordt als volgt invulling gegeven aan de uitgangspunten:

• •

  Dagelijks Bestuur stelt als eindverantwoordelijke het strategisch IB&P beleid vast.

• •

  De directie stelt jaarlijks het IB&P plan vast.

• •

  De directie is verantwoordelijk voor vaststellen en het (laten) uitwerken en uitvoeren van onderwerp specifieke tactische beleidsregels die aanvullend zijn op dit strategisch beleid.

• •

  Vastgestelde beleidsstukken en uitwerkingen daarvan (bijv. procedures, standaarden en werkinstructies) worden centraal beheerd in het door de ODZOB aangewezen syste(e)m(en)

• •

  De directie is verantwoordelijk voor het vragen om informatie bij de clustermanagers en ziet erop toe dat de clustermanagers adequate maatregelen genomen hebben voor de bescherming van de (persoons)gegevens, informatiesystemen en procesautomatiseringssystemen die onder hun verantwoordelijkheid valt.

• •

  De Chief Information Security Officer (CISO) ondersteunt vanuit een onafhankelijke positie de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de informatievoorziening en rapporteert hierover jaarlijks rechtstreeks aan de directie in de vorm van een managementreview

• •

  De Privacy Officer (PO) ondersteunt de organisatie bij het bewaken en verhogen van de betrouwbaarheid van de privacy. De PO functie is nog niet ingevuld bij de ODZOB.

• •

  De Functionaris voor Gegevensbescherming (FG) is verantwoordelijk voor het intern onafhankelijk toezien op en adviseren van de directie over de juiste en zorgvuldige omgang met persoonsgegevens zoals de AVG voorschrijft. De FG brengt een jaarverslag uit waarin hij zijn bevindingen en aanbevelingen vastlegt.

• •

  Tijdens team- en individuele gesprekken dient er aandacht te zijn voor de informatiebeveiliging en privacy n.a.v. de rapportage van de CISO, PO en/of de FG. De onderwerpen, die als risicovol worden gezien, moeten tevens worden opgenomen in de auditplannen.

• •

  De clustermanagers zijn lijnverantwoordelijk voor de uitvoering van de informatiebeveiliging voor de processen waarvoor zij verantwoordelijk zijn.

• •

  De clustermanagers zijn verantwoordelijk voor de borging van de AVG binnen de processen waarvoor zij verantwoordelijk zijn en het bijbehorende verwerkingsregister.

• •

  De clustermanagers zijn lijnverantwoordelijk voor het oefenen met informatiebeveiligings- en privacy incidenten en bedrijfscontinuïteit. Het initiatief hiertoe ligt bij de directie

• •

  Alle medewerkers worden getraind in het gebruik van beveiligingsprocedures.

• •

  Alle medewerkers hebben een minimale basiskennis van de privacywetgeving en weten deze bewust toe te passen in hun dagelijks werk.

• •

  Medewerkers dienen verantwoord om te gaan met persoonsgegevens en andere informatie. Een bewustwordingsprogramma draagt eraan bij dat medewerkers hiertoe in staat zijn.

• •

  Clustermanagers dienen erop toe te zien dat de controle op het verwerken van persoonsgegevens regelmatig wordt uitgevoerd, zodat zij kunnen vaststellen dat alleen rechthebbende ambtenaren de juiste persoonsgegevens ingezien en verwerkt hebben.

• •

  De beveiligingsmaatregelen worden bepaald op basis van risicomanagement. De CISO en PO laten quickscans informatiebeveiliging uitvoeren op basis van de BIO2 en bij verwerken van persoonsgegevens ook (Pre-)DPIA’s op basis van de AVG om deze risico-afwegingen te kunnen maken.

• •

  Informatiebeveiliging en privacybescherming maakt deel uit van de beoordelingssystematiek en wordt besproken tussen de manager en de medewerker.

• •

  Informatiebeveiliging en privacybescherming volgt de begrotingscyclus van de ODZOB.

2.7.4. Randvoorwaarden

Belangrijke randvoorwaarden zijn:

• •

  De informatiebeveiliging en privacy eisen maken deel uit van afspraken met ketenpartners, leveranciers en gemeenschappelijke regelingen en worden periodiek geëvalueerd/gecontroleerd.

• •

  Kennis en bewustzijn van informatiebeveiliging en privacybescherming en omgaan met persoonsgegevens binnen de organisatie dienen actief bevorderd en geborgd te worden.

• •

  Jaarlijks wordt een IB&P plan opgesteld, gebaseerd op:

  • o

    Dit IB&P beleid;

  • o

    Andere audit resultaten interne en financiële controle;

  • o

    Het dreigingsbeeld gemeenten van de IBD;

  • o

    Uitkomsten risicoanalyses en DPIA’s

  • o

    De door de proceseigenaren ingebrachte onderwerpen voor de informatievoorziening waarvoor zij verantwoordelijk zijn, bijvoorbeeld als uitkomst van een risicoanalyse of een privacy analyse (DPIA).

• •

  Om uitvoering te kunnen geven aan dit strategisch beleid en het IB&P plan worden voldoende financiële middelen en uitvoeringscapaciteit ter beschikking gesteld.