Wat houdt deze control in?
Control 5.1 vereist dat een organisatie een formeel informatiebeveiligingsbeleid vaststelt, goedkeurt door het management en communiceert aan alle medewerkers en relevante externe partijen.
Waarom is dit verplicht?
Zonder vastgesteld beleid ontbreekt de formele basis voor alle andere beveiligingsmaatregelen. De BIO2 en de Cyberbeveiligingswet vereisen aantoonbare bestuurlijke betrokkenheid.
Praktische implementatie
- Stel een informatiebeveiligingsbeleid op dat door het bestuur formeel is vastgesteld.
- Beschrijf doelstellingen, scope en uitgangspunten voor informatiebeveiliging
- Zorg dat het beleid minimaal jaarlijks wordt herzien
- Communiceer het beleid actief aan alle medewerkers
Aandachtspunten voor de overheid
Voor gemeenten geldt dat het college van B&W formeel verantwoordelijk is voor vaststelling.
Relatie met andere controls
Vormt de basis voor 5.2 (rollen) en 5.36 Naleving van beleid en normen voor informatiebeveiliging.
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je legt vast hoe je organisatie informatiebeveiliging aanpakt, laat het bestuur dit formeel vaststellen, en zorgt dat iedereen het kent. De overheidsmaatregel stelt eisen aan de inhoud: het beleid bevat ten minste strategische uitgangspunten, de organisatie van de IB-functie, verantwoordelijkheden (inclusief OT, BCM en privacy), betrouwbaarheidseisen, de evaluatiefrequentie en bewustwordingsbevordering. Het beleid is het fundament waar alle andere maatregelen zich uit afleiden, en moet minimaal jaarlijks — aansluitend op de P&C-cyclus — worden beoordeeld en bijgesteld.
Passende maatregelen
3 basismaatregelen + 2 verdiepingen.
- ›Stel een informatiebeveiligingsbeleid op dat ten minste strategische uitgangspunten, de organisatie van de IB-functie, verantwoordelijkheden (incl. OT, BCM en privacy), betrouwbaarheidseisen, evaluatiefrequentie en bewustwordingsbevordering bevat, en laat dit door het bestuur (bij gemeenten: college van B&W) formeel vaststellen.
- ›Communiceer het beleid actief aan alle medewerkers en relevante externe partijen, en leg vast dat zij er kennis van hebben genomen.
- ›Beleg een vaste herzieningscyclus (minimaal jaarlijks, aansluitend op de P&C-cyclus én bij externe ontwikkelingen) met een benoemde eigenaar die de review uitvoert.
- ›Werk het beleid uit in onderliggende deelbeleiden en normenkaders (bijv. toegangsbeleid, cryptobeleid) met expliciete koppeling naar de BIO2-controls.verdieping
- ›Meet en rapporteer periodiek aan het bestuur over de naleving en effectiviteit van het beleid, zodat bijsturing aantoonbaar plaatsvindt.verdieping
Bewijs dat je kunt verzamelen
- ›Het vastgestelde informatiebeveiligingsbeleid met datum en handtekening/besluit van het bestuur
- ›Bestuursbesluit of collegebesluit waarin de vaststelling is vastgelegd
- ›Communicatie-uitingen (intranetbericht, e-mail, onboarding-materiaal) waarmee het beleid is verspreid
- ›Overzicht van de herzieningshistorie (versiebeheer met data en wijzigingen)
- ›Verslag van de laatste beleidsreview, gekoppeld aan de P&C-cyclus
Wat je bij een audit moet kunnen aantonen
- ›Dat er een actueel, formeel vastgesteld beleid bestaat dat de verplichte onderwerpen dekt
- ›Dat het bestuur aantoonbaar betrokken was bij vaststelling (besluit, handtekening)
- ›Dat het beleid daadwerkelijk is gecommuniceerd en bereikbaar is voor medewerkers
- ›Dat de herzieningscyclus wordt nageleefd (aantoonbaar via versiebeheer en reviewverslagen)
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is er een informatiebeveiligingsbeleid opgesteld dat de verplichte onderwerpen bevat en formeel is vastgesteld door het bestuur?
- ›Zijn scope, doelstellingen en uitgangspunten beschreven?
- ›Is een herzieningscyclus en eigenaar benoemd?
- ›Is het beleid daadwerkelijk gecommuniceerd aan medewerkers (aantoonbaar)?
- ›Is het beleid vindbaar en toegankelijk voor de organisatie?
- ›Bestaat er versiebeheer met een vastgestelde versie?
- ›Is het beleid in de afgelopen periode daadwerkelijk herzien volgens de cyclus?
- ›Zijn wijzigingen doorgevoerd en opnieuw vastgesteld?
- ›Wordt er aantoonbaar op naleving gestuurd (bijv. rapportage aan bestuur)?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.