Wat houdt deze control in?
Registraties moeten worden beschermd tegen verlies, vernietiging, vervalsing, ongeautoriseerde toegang en ongeautoriseerde vrijgave.
Waarom is dit verplicht?
Overheidsregistraties zijn juridisch bewijs en moeten integer en beschikbaar zijn voor verantwoording en dienstverlening.
Praktische implementatie
- Classificeer registraties en pas passende bescherming toe
- Stel bewaartermijnen vast conform de Archiefwet
- Bescherm registraties tegen ongeautoriseerde wijziging via toegangscontrole
- Zorg voor back-ups van kritieke registraties
Aandachtspunten voor de overheid
Zaaksystemen en DMS moeten voldoen aan de eisen uit de Archiefwet en de Baseline Informatiehuishouding Rijksoverheid.
Relatie met andere controls
Gerelateerd aan 5.31 (wettelijke vereisten) en 8.10 (verwijdering informatie).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je beschermt registraties tegen verlies, vernietiging, vervalsing, ongeautoriseerde toegang en ongeautoriseerde vrijgave. De overheidsmaatregel vereist dat de proceseigenaar voor alle informatie(systemen) in selectielijsten de bewaartermijn vastlegt (rekening houdend met de Archiefwet en privacywetgeving), dit praktisch inregelt en periodiek toetst. Overheidsregistraties zijn juridisch bewijs en moeten integer en beschikbaar zijn. Zaaksystemen en DMS moeten voldoen aan de Archiefwet en de Baseline Informatiehuishouding Rijksoverheid.
Passende maatregelen
4 basismaatregelen.
- ›Leg voor alle informatie(systemen) in selectielijsten de bewaartermijn vast (conform Archiefwet en privacywetgeving), regel dit praktisch in en toets periodiek.
- ›Classificeer registraties en pas passende bescherming toe.
- ›Bescherm registraties tegen ongeautoriseerde wijziging via toegangscontrole.
- ›Zorg voor back-ups van kritieke registraties en borg dat zaaksystemen/DMS voldoen aan de Archiefwet en de Baseline Informatiehuishouding.
Bewijs dat je kunt verzamelen
- ›Vastgelegde bewaartermijnen per informatiesysteem (selectielijsten)
- ›Verslag van de periodieke toetsing op bewaartermijnen
- ›Toegangscontrole-inrichting ter bescherming tegen ongeautoriseerde wijziging
- ›Back-upregeling van kritieke registraties
Wat je bij een audit moet kunnen aantonen
- ›Dat bewaartermijnen zijn vastgelegd conform Archiefwet/privacywetgeving
- ›Dat dit praktisch is ingeregeld en periodiek getoetst
- ›Dat registraties tegen wijziging/verlies zijn beschermd
- ›Dat zaaksystemen/DMS aan de archiefeisen voldoen
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Zijn bewaartermijnen per systeem (selectielijsten) vastgesteld?
- ›Is bescherming via classificatie en toegangscontrole ontworpen?
- ›Is periodieke toetsing belegd bij de proceseigenaar?
- ›Zijn de bewaartermijnen vastgelegd en ingeregeld?
- ›Zijn registraties beschermd tegen wijziging?
- ›Zijn back-ups van kritieke registraties aanwezig?
- ›Wordt periodiek getoetst op bewaartermijnen?
- ›Blijven registraties integer en beschikbaar?
- ›Voldoen zaaksystemen/DMS aantoonbaar aan de archiefeisen?
Gekoppelde overheidsmaatregel(en)
De proceseigenaar heeft deze termijnen ook praktisch ingeregeld en toetst periodiek de werking hiervan.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.