Wat houdt deze control in?
ICT-gereedheid moet worden gepland, geïmplementeerd, onderhouden en getest om de continuïteit van informatiebeveiliging te waarborgen bij verstoringen.
Waarom is dit verplicht?
ICT-uitval kan kritieke gemeentelijke dienstverlening lamleggen; gereedheid moet vooraf worden getest.
Praktische implementatie
- Stel een ICT-continuïteitsplan op als onderdeel van het BCP (bedrijfscontinuïteitsplan)
- Definieer RTO en RPO per kritiek systeem
- Test uitwijk naar back-upsystemen jaarlijks
- Zorg voor gedocumenteerde handmatige procedures bij langdurige ICT-uitval
Aandachtspunten voor de overheid
Gemeenten moeten ook continuïteit van DigiD-diensten en burgerzakenprocessen meenemen.
Relatie met andere controls
Gerelateerd aan 8.13 (back-up) en 8.14 (redundantie).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je plant, implementeert, onderhoudt en test de ICT-gereedheid om de continuïteit van informatiebeveiliging bij verstoringen te waarborgen. De overheidsmaatregelen vereisen dat de proceseigenaar continuïteitsplannen jaarlijks test op werking, volledigheid en actualiteit, en kritieke systemen identificeert op basis van risicoanalyse (met actualisatie minimaal eens per drie jaar). ICT-uitval kan kritieke gemeentelijke dienstverlening lamleggen; gereedheid moet vooraf worden getest. Denk ook aan DigiD-diensten en burgerzakenprocessen.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Laat de proceseigenaar continuïteitsplannen jaarlijks testen op werking, volledigheid en actualiteit.
- ›Laat de proceseigenaar kritieke systemen identificeren op basis van risicoanalyse en dit overzicht minimaal eens per drie jaar actualiseren.
- ›Stel een ICT-continuïteitsplan op als onderdeel van het BCP en definieer RTO en RPO per kritiek systeem.
- ›Zorg voor gedocumenteerde handmatige procedures bij langdurige ICT-uitval (denk aan DigiD/burgerzaken).
- ›Test de uitwijk naar back-upsystemen jaarlijks.verdieping
Bewijs dat je kunt verzamelen
- ›Testverslagen van de jaarlijkse continuïteitstests door de proceseigenaar
- ›Overzicht van kritieke systemen met datum van laatste actualisatie (max. 3 jaar)
- ›ICT-continuïteitsplan met RTO/RPO per kritiek systeem
- ›Gedocumenteerde handmatige uitwijkprocedures
Wat je bij een audit moet kunnen aantonen
- ›Dat continuïteitsplannen jaarlijks worden getest op werking/volledigheid/actualiteit
- ›Dat kritieke systemen via risicoanalyse zijn geïdentificeerd en tijdig geactualiseerd
- ›Dat RTO/RPO per kritiek systeem zijn vastgesteld
- ›Dat handmatige procedures bij uitval bestaan
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een ICT-continuïteitsplan (incl. RTO/RPO) vastgesteld?
- ›Is de jaarlijkse test en de identificatie van kritieke systemen belegd bij de proceseigenaar?
- ›Zijn handmatige uitwijkprocedures opgesteld?
- ›Is het overzicht van kritieke systemen aanwezig en actueel?
- ›Zijn RTO/RPO vastgelegd?
- ›Zijn handmatige procedures beschikbaar?
- ›Worden continuïteitsplannen jaarlijks getest?
- ›Wordt het kritieke-systemenoverzicht minimaal driejaarlijks geactualiseerd?
- ›Worden testbevindingen opgevolgd?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.