Wat houdt deze control in?
Alle relevante wettelijke, statutaire, regelgevende en contractuele vereisten voor informatiebeveiliging moeten worden geïdentificeerd, gedocumenteerd en nageleefd.
Waarom is dit verplicht?
Overheidsorganisaties hebben te maken met veel wetgeving; overzicht is essentieel om compliance te borgen.
Praktische implementatie
- Stel een wettelijk vereistenoverzicht op (AVG, Archiefwet, BIO, Cbw, etc.)
- Wijs per wet een verantwoordelijke aan
- Monitor wijzigingen in wet- en regelgeving actief
- Neem compliance-checks op in de jaarlijkse auditplanning
Aandachtspunten voor de overheid
De ENSIA-systematiek helpt gemeenten om compliance op meerdere normen tegelijk aan te tonen.
Relatie met andere controls
Gerelateerd aan 5.36 (naleving) en 5.35 (onafhankelijke beoordeling).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je identificeert, documenteert en leeft alle relevante wettelijke, statutaire, regelgevende en contractuele vereisten voor informatiebeveiliging na. Overheidsorganisaties hebben met veel wetgeving te maken; overzicht is essentieel om compliance te borgen. Voor deze control geldt geen aanvullende overheidsmaatregel; de ISO 27002-control is leidend. De ENSIA-systematiek helpt gemeenten om compliance op meerdere normen tegelijk aan te tonen.
Passende maatregelen
4 basismaatregelen.
- ›Stel een overzicht op van wettelijke en regelgevende vereisten (AVG, Archiefwet, BIO2, Cbw, etc.).
- ›Wijs per wet of vereiste een verantwoordelijke aan.
- ›Monitor wijzigingen in wet- en regelgeving actief.
- ›Neem compliance-checks op in de jaarlijkse auditplanning en benut de ENSIA-systematiek om meerdere normen tegelijk aan te tonen.
Bewijs dat je kunt verzamelen
- ›Het overzicht van wettelijke/regelgevende vereisten met verantwoordelijken
- ›Bewijs van actieve monitoring van wetswijzigingen
- ›Compliance-checks in de auditplanning
- ›ENSIA-verantwoording (voor gemeenten)
Wat je bij een audit moet kunnen aantonen
- ›Dat een actueel overzicht van vereisten bestaat
- ›Dat per vereiste een verantwoordelijke is belegd
- ›Dat wetswijzigingen worden gemonitord
- ›Dat compliance wordt getoetst (bijv. via ENSIA)
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een vereistenoverzicht opgesteld met verantwoordelijken?
- ›Is monitoring van wetswijzigingen belegd?
- ›Zijn compliance-checks in de auditplanning opgenomen?
- ›Is het overzicht aanwezig en actueel?
- ›Zijn verantwoordelijken toegewezen?
- ›Vinden compliance-checks plaats?
- ›Wordt het overzicht bij wetswijzigingen bijgewerkt?
- ›Worden compliance-checks structureel uitgevoerd?
- ›Wordt ENSIA benut om auditlast te beperken?
Gekoppelde overheidsmaatregel(en)
Voor deze control geldt geen aanvullende overheidsmaatregel.
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.