Wat houdt deze control in?
Naleving van het informatiebeveiligingsbeleid, de procedures en de normen moet regelmatig worden beoordeeld door managers en proceseigenaren.
Waarom is dit verplicht?
Beleid zonder controle op naleving is effectief niet aanwezig; periodieke beoordeling zorgt voor daadwerkelijke implementatie.
Praktische implementatie
- Stel een nalevingscontroleplan op per beleidsdomein
- Laat lijnmanagers periodiek rapporteren over naleving in hun team
- Neem nalevingsbeoordeling op in de managementreview
- Gebruik geautomatiseerde compliance-monitoring waar mogelijk
Aandachtspunten voor de overheid
Koppel naleving aan de P&C-cyclus voor structurele bestuurlijke aandacht.
Relatie met andere controls
Gerelateerd aan 5.35 (onafhankelijke beoordeling) en 5.31 (wettelijke vereisten).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je laat managers en proceseigenaren regelmatig de naleving van het informatiebeveiligingsbeleid, de procedures en de normen beoordelen. De overheidsmaatregel vereist dat in de P&C-cyclus en als onderdeel van de PDCA-cyclus wordt gerapporteerd over IB, onder coördinatie van de CISO, resulterend in een jaarlijkse In Control Verklaring (ICV) of vergelijkbaar instrument. Beleid zonder controle op naleving is effectief niet aanwezig. Koppel naleving aan de P&C-cyclus voor structurele bestuurlijke aandacht.
Passende maatregelen
3 basismaatregelen + 1 verdieping.
- ›Rapporteer over IB in de P&C- en PDCA-cyclus onder coördinatie van de CISO, resulterend in een jaarlijkse In Control Verklaring (ICV) of vergelijkbaar instrument.
- ›Stel een nalevingscontroleplan op per beleidsdomein.
- ›Laat lijnmanagers periodiek rapporteren over naleving in hun team en neem dit op in de managementreview.
- ›Gebruik geautomatiseerde compliance-monitoring waar mogelijk.verdieping
Bewijs dat je kunt verzamelen
- ›IB-rapportages in de P&C-/PDCA-cyclus onder coördinatie van de CISO
- ›De jaarlijkse In Control Verklaring (ICV) of vergelijkbaar
- ›Nalevingscontroleplan en rapportages van lijnmanagers
- ›Managementreviews waarin naleving is behandeld
Wat je bij een audit moet kunnen aantonen
- ›Dat over IB wordt gerapporteerd in de P&C-/PDCA-cyclus onder CISO-coördinatie
- ›Dat dit resulteert in een jaarlijkse ICV of vergelijkbaar
- ›Dat lijnmanagers over naleving rapporteren
- ›Dat naleving in de managementreview terugkomt
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is de IB-rapportage in de P&C-/PDCA-cyclus belegd (CISO-coördinatie)?
- ›Is een nalevingscontroleplan opgesteld?
- ›Is de ICV als instrument vastgesteld?
- ›Vindt de rapportage daadwerkelijk plaats?
- ›Rapporteren lijnmanagers over naleving?
- ›Is er een recente ICV?
- ›Resulteert de cyclus jaarlijks in een ICV?
- ›Wordt naleving structureel in de managementreview behandeld?
- ›Leidt dit tot bijsturing?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.