Wat houdt deze control in?
Alle verantwoordelijkheden voor informatiebeveiliging moeten expliciet worden belegd en gecommuniceerd, inclusief de CISO-rol en eigenaarschap van informatiebedrijfsmiddelen.
Waarom is dit verplicht?
Onduidelijke verantwoordelijkheden zijn een van de meest voorkomende oorzaken van beveiligingsincidenten. De BIO2 vereist daarnaast dat er een CISO is aangesteld die bevoegd is om onafhankelijk en zelfstandig te adviseren en te rapporteren aan het bestuur.
Praktische implementatie
- Stel een CISO of informatiebeveiligingsfunctionaris aan met mandaat
- Leg rollen vast in functiebeschrijvingen
- Wijs per informatiesysteem een eigenaar aan
- Maak een RACI-matrix voor beveiligingstaken
Aandachtspunten voor de overheid
Zorg dat de CISO voldoende onafhankelijk is om zelfstandig over informatiebeveiliging te kunnen adviseren en rapporteren. Het lijnmanagement en de proceseigenaren blijven verantwoordelijk voor de risico’s op de bedrijfsmiddelen waarvoor zij verantwoordelijk zijn. Gemeenten kunnen de CISO-rol delen via een gemeenschappelijke regeling, mits de verantwoordelijkheid lokaal geborgd blijft.
Relatie met andere controls
Nauw verbonden met 5.1 (beleid) en 5.4 (managementverantwoordelijkheden).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je belegt alle taken en verantwoordelijkheden voor informatiebeveiliging expliciet — inclusief de samenhang met privacy, OT en BCM. De overheidsmaatregel vereist dat het bestuur dit vastlegt, dat lijnmanagers verantwoordelijk zijn voor de risico's op hun eigen bedrijfsmiddelen, en dat er een CISO is met de bevoegdheid om onafhankelijk te adviseren en aan het bestuur te rapporteren. Onduidelijke verantwoordelijkheden zijn een van de meest voorkomende oorzaken van incidenten: als niemand zich eigenaar voelt, blijft werk liggen.
Passende maatregelen
4 basismaatregelen + 2 verdiepingen.
- ›Laat het bestuur de verantwoordelijkheden en rollen voor IB, privacy, OT en BCM vastleggen, inclusief hun onderlinge samenhang.
- ›Stel een CISO aan met een expliciet mandaat om onafhankelijk te adviseren en rechtstreeks aan het bestuur te rapporteren.
- ›Beleg expliciet dat lijnmanagers verantwoordelijk zijn voor de risico's op hun eigen bedrijfsmiddelen, en wijs per informatiesysteem een eigenaar aan.
- ›Leg beveiligingsrollen en -taken vast in functiebeschrijvingen, zodat verantwoordelijkheid formeel geborgd is.
- ›Stel een RACI-matrix op voor de belangrijkste beveiligingstaken, zodat verantwoordelijk/aanspreekbaar/geraadpleegd/geïnformeerd expliciet is.verdieping
- ›Bij samenwerking via een gemeenschappelijke regeling: leg vast hoe de CISO-rol wordt gedeeld én hoe de lokale verantwoordelijkheid geborgd blijft.verdieping
Bewijs dat je kunt verzamelen
- ›Bestuursbesluit of -document waarin rollen en verantwoordelijkheden voor IB, privacy, OT en BCM zijn vastgelegd
- ›Aanstellingsbesluit of functiebeschrijving van de CISO met beschreven mandaat en rapportagelijn naar het bestuur
- ›Overzicht van systeem-/middeleigenaren (bijv. in een register of CMDB)
- ›Functiebeschrijvingen waarin beveiligingsverantwoordelijkheden zijn opgenomen
- ›RACI-matrix voor beveiligingstaken
Wat je bij een audit moet kunnen aantonen
- ›Dat het bestuur rollen en verantwoordelijkheden (incl. privacy, OT, BCM) aantoonbaar heeft vastgelegd
- ›Dat er een CISO met onafhankelijk mandaat en rapportagelijn naar het bestuur is
- ›Dat lijnmanagers aantoonbaar verantwoordelijk zijn voor de risico's op hun bedrijfsmiddelen
- ›Dat bij uitbestede of gedeelde rollen de lokale verantwoordelijkheid geborgd blijft
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Heeft het bestuur de rollen en verantwoordelijkheden (IB, privacy, OT, BCM) vastgelegd?
- ›Is een CISO met onafhankelijk mandaat en rapportagelijn naar het bestuur benoemd?
- ›Is de verantwoordelijkheid van lijnmanagers voor eigen bedrijfsmiddelen belegd?
- ›Zijn de vastgelegde rollen bekend bij de betrokkenen?
- ›Is het overzicht van eigenaren actueel en compleet?
- ›Kan de CISO in de praktijk onafhankelijk adviseren (toegang tot bestuur)?
- ›Handelt de CISO aantoonbaar naar het mandaat (adviezen, rapportages aan bestuur)?
- ›Worden lijnmanagers daadwerkelijk aangesproken op de risico's van hun bedrijfsmiddelen?
- ›Wordt de rolverdeling periodiek geactualiseerd bij personele wijzigingen?
Gekoppelde overheidsmaatregel(en)
• wat de verantwoordelijkheden en rollen zijn voor informatiebeveiliging, privacybescherming, operationele technologie (OT), bedrijfscontinuïteitsmanagement (BCM) binnen haar entiteit;
• de samenhang voor informatiebeveiliging, de beveiliging van OT, de continuïteit van de taakuitvoering en BCM van de entiteit.
Bij het definiëren en toewijzen van rollen en verantwoordelijkheden is specifieke aandacht voor het adequaat afhandelen van incidenten.
Lijnmanagers en proceseigenaren die verantwoordelijk zijn voor bedrijfsmiddelen zijn ook verantwoordelijk voor de behandeling van risico's die op die bedrijfsmiddelen van toepassing zijn.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.