Wat houdt deze control in?
Informatiebeveiliging moet worden geïntegreerd in projectbeheer, zodat beveiligingsaspecten worden meegenomen bij alle projecten ongeacht het type.
Waarom is dit verplicht?
Projecten die nieuwe systemen of processen introduceren brengen nieuwe risico’s met zich mee die vroegtijdig moeten worden geadresseerd.
Praktische implementatie
- Neem een IB-checkpoint op in de projectmethodologie
- Laat de CISO deelnemen aan stuurgroepen van grote projecten
- Voer een PIA uit bij projecten met persoonsgegevens
- Documenteer beveiligingsbeslissingen in het projectdossier
Aandachtspunten voor de overheid
Bij aanbestedingen moet het beveiligingsaspect worden meegenomen in het programma van eisen.
Relatie met andere controls
Gerelateerd aan 5.1 (beleid) en 8.26 (applicatiebeveiligingseisen).
← Terug naar alle BIO 2.0 controls
Wat deze control praktisch betekent
Je integreert informatiebeveiliging in projectbeheer, zodat beveiligingsaspecten bij alle projecten worden meegenomen — ongeacht het type. De overheidsmaatregel is hier concreet: bij nieuwe of significant gewijzigde informatiesystemen voer je een expliciete risicoafweging uit om risico's te identificeren en beveiligingseisen vast te stellen. Projecten die nieuwe systemen of processen introduceren brengen nieuwe risico's mee die je vroegtijdig moet adresseren.
Passende maatregelen
4 basismaatregelen + 1 verdieping.
- ›Voer bij nieuwe of significant gewijzigde informatiesystemen een expliciete risicoafweging uit om risico's te identificeren en beveiligingseisen vast te stellen.
- ›Neem een IB-checkpoint op in de projectmethodologie, zodat beveiliging een vast beslismoment is.
- ›Voer een PIA (privacy impact assessment) uit bij projecten met persoonsgegevens.
- ›Documenteer beveiligingsbeslissingen in het projectdossier en neem beveiliging mee in het programma van eisen bij aanbestedingen.
- ›Laat de CISO deelnemen aan stuurgroepen van grote of risicovolle projecten.verdieping
Bewijs dat je kunt verzamelen
- ›Risicoafwegingen bij nieuwe/gewijzigde systemen
- ›Projectmethodologie met een verankerd IB-checkpoint
- ›Uitgevoerde PIA's bij projecten met persoonsgegevens
- ›Projectdossiers met vastgelegde beveiligingsbeslissingen
- ›Programma's van eisen waarin beveiliging is meegenomen
Wat je bij een audit moet kunnen aantonen
- ›Dat bij nieuwe/gewijzigde systemen aantoonbaar een risicoafweging is gemaakt
- ›Dat beveiliging een vast onderdeel is van de projectaanpak
- ›Dat PIA's worden uitgevoerd waar persoonsgegevens spelen
- ›Dat beveiligingsbeslissingen zijn gedocumenteerd
Voorbeeldactiviteiten: opzet, bestaan, werking
- ›Is een IB-checkpoint opgenomen in de projectmethodologie?
- ›Is de verplichte risicoafweging bij nieuwe/gewijzigde systemen vastgelegd?
- ›Is bepaald wanneer een PIA nodig is?
- ›Worden risicoafwegingen daadwerkelijk gemaakt bij projecten?
- ›Zijn beveiligingsbeslissingen vastgelegd in projectdossiers?
- ›Worden PIA's uitgevoerd?
- ›Wordt het IB-checkpoint bij elk relevant project doorlopen?
- ›Leidt de risicoafweging aantoonbaar tot beveiligingseisen?
- ›Is de CISO betrokken bij grote projecten?
Gekoppelde overheidsmaatregel(en)
Deze uitwerking is indicatief en generiek. Ze vervangt geen eigen risicoafweging of professioneel advies afgestemd op jouw organisatie.