Gemeentelijk Informatiebeveiligingsbeleid (GIBB) 2019-2021

1.1 Het waarom en het ambitieniveau van informatiebeveiliging

Informatie is één van de voornaamste bedrijfsmiddelen van de gemeentelijke organisatie. Het verlies van gegevens, uitval van ICT, of het door onbevoegden kennisnemen of manipuleren van bepaalde informatie kan ernstige gevolgen hebben voor de bedrijfsvoering. Grote en kleine gebeurtenissen bedreigen de Beschikbaarheid, Integriteit (betrouwbaarheid) en/of Vertrouwelijkheid van informatie. Deze hebben negatieve gevolgen voor burgers, bedrijven en partners en de bedrijfsvoering van de gemeente. Informatieveiligheid is daarom van groot belang om deze risico’s te verminderen.

Net als het privacybeleid en het integriteitsbeleid draagt informatiebeveiliging bij aan het bevorderen van het vertrouwen van burgers, bedrijven en partners in de gemeente.

Het hier voorgestelde beleid is noodzakelijk om als gemeentelijke overheid fatsoenlijk om te gaan met de belangen van de hierboven genoemde betrokkenen. Immers de wereld om ons heen verandert voortdurend en daarmee ook de dreigingen en kwetsbaarheden. Het minstens eenmaal per drie jaar actualiseren van ons informatiebeveiligingsbeleid is daarom een noodzaak vanuit het eigen belang van de gemeente, maar tevens een eis vanuit onze omgeving. 1

Dit nieuwe IB-beleid treedt in werking een dag na publicatie van het collegebesluit in het gemeenteblad. Hiermee komen het oude Gemeentelijk Informatiebeveiligingsbeleid 2015 (GIBB 2015 kenmerk 1160182) en Uitvoeringsplan GIBB 2015 (kenmerk1164605) te vervallen

1.2 Principes voor informatiebeveiliging

Bij de vaststelling van dit beleid baseert het college zich op “De 10 principes voor informatiebeveiliging” zoals deze geformuleerd zijn door de Informatiebeveiligingsdienst Gemeenten (IBD) en VNG Realisatie:

• 1)

  Bestuurders bevorderen een veilige cultuur

• 2)

  Informatiebeveiliging is van iedereen

• 3)

  Informatiebeveiliging is risicomanagement

• 4)

  Risicomanagement is onderdeel van de besluitvorming

• 5)

  Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking

• 6)

  Informatiebeveiliging is een proces

• 7)

  Informatiebeveiliging kost geld

• 8)

  Onzekerheid dient te worden ingecalculeerd

• 9)

  Verbetering komt voort uit leren en ervaring

• 10)

  Het bestuur controleert en evalueert

De volledige tekst van deze principes is opgenomen als bijlage 1.

1.3 Uitgangspunten voor het informatiebeveiligingsbeleid

Deze 10 principes krijgen een vertaling in de volgende uitgangspunten:

• •

  Het Informatiebeveiligingsbeleid (IB-beleid) is nu nog gebaseerd op de Baseline Informatiebeveiliging Gemeenten (BIG) 2 die binnenkort vervangen wordt door de Baseline Informatiebeveiliging Overheid (BIO). 3 Daarom wordt dit beleid al ingericht vanuit de BIO.

• •

  Het IB-beleid heeft een nauwe relatie met het Privacybeleid. Het IB-beleid draagt er aan bij om de vereiste passende technische en organisatorische maatregelen te treffen die de Algemene Verordening Gegevensbescherming van de gemeente vraagt. 4

• •

  Het realiseren van een 100% veiligheid is een onmogelijkheid. Daarom worden alle specifieke veiligheidsvraagstukken ‘risk-based’ benaderd. Dat wil zeggen: beveiligingsmaatregelen worden getroffen op basis van een inschatting van mogelijke risico’s.

• •

  Het IB-beleid wordt vastgesteld door het college van B&W voor een periode van drie jaar. Daarnaast stelt het college een jaarlijkse planning vast van de prioriteiten die gemeentebreed van belang zijn. Ook bestaan er (wettelijk verplichte) sectorale plannen Bijvoorbeeld voor de Basisregistratie Personen (BRP), Paspoorten Uitvoeringsregeling Nederland (PUN) en Suwinet.

• •

  De reikwijdte van het informatiebeveiligingsbeleid en -planning bestaat uit:

  • o

    alle werkprocessen, onderliggende informatiesystemen, informatie en gegevens van de gemeente;

  • o

    alle externe partijen die in opdracht van de gemeente met gegevens omgaan;

  • o

    het gebruik van gegevens door medewerkers en (keten)partners in de meest brede zin van het woord, ongeacht locatie, tijdstip en gebruikte apparatuur.

• •

  Bij de uitvoering van de informatiebeveiliging wordt gebruik gemaakt van een Plan-Do-Check-Act cyclus. Met deze PDCA-cyclus sluit de gemeente aan bij de Eenduidige Normatiek Single Information Audit (ENSIA) die sinds 2017 door alle gemeenten wordt gehanteerd. De resultaten daaruit zijn richtinggevend voor de jaarplanning.

1.4 Risicobewuste informatiebeveiliging

Op verschillende plaatsen in het informatiebeveiligingsbeleid komt het woord “risico” voor. Wat houdt dat in?

We maken een inschatting gemaakt van mogelijke schade voor het geval dat:

informatiesystemen (tijdelijk) niet beschikbaar zijn,

de informatie niet integer is en/of

vertrouwelijke informatie in verkeerde handen valt.

Ook wordt een inschatting gemaakt van de dreigingen waartegen beschermd moet worden. De inschatting van mogelijke schade en dreigingen leidt tot beveiligingseisen om risico’s te beperken. Om deze eisen af te dekken worden passende maatregelen getroffen of wordt het (rest)risico geaccepteerd.

Alle gemeenten staan voor deze uitdaging en daarom zijn de Baselines zo nuttig. De BIO is een stelsel van samenhangende “controls”. Deze zijn te beschouwen als “geleerde lessen” uit de wereldwijde praktijk van deskundigen op het terrein van informatiebeveiliging. Deze lessen zijn verwoord in de ISO-norm 27002. Op basis daarvan en van allerlei wet- en regelgeving onderkent de BIO verplichte overheidsmaatregelen en optionele handreikingen.

Eén van de vernieuwingen van de BIO is dat er onderscheid is naar drie Basis beveiligingsniveaus (BNN):

BNN1: laag voor systemen waar de beveiligingseisen bewust lager worden gesteld:

BNN2: standaardniveau van beveiliging.

BNN3: hoog niveau van beveiliging. Denk aan: Basisregistratie Personen en de administratie uitvoering Jeugdwet.

Het bepalen van de Basisbeveiligingsniveaus moet gezien worden in relatie tot de implementatie van de baseline. De verwachting is dat de meeste systemen uitkomen op BNN2. Het uitgangspunt van de BIO is dat een organisatie die de baseline volledig heeft geïmplementeerd de generieke beveiliging op orde heeft. Daarom hoeft de organisatie weinig aanvullende maatregelen hoeft te treffen voor de systemen van BNN2 (en 1) maar mogelijkerwijs wel voor de systemen op BNN3. Daarnaast geldt dat het bepalen van de beveiligingsniveaus een project is dat in drie jaar wordt uitgevoerd en telkens per onderzocht systeem inzicht oplevert of en welke aanvullende maatregelen nodig zijn. De uitvoering van die maatregelen kan dus vrijwel meteen beginnen mits gelijktijdig aan de implementatie van de BIO wordt gewerkt.

Het behoort tot de rol van het management van de organisatie om met ondersteuning door de Coördinator Informatiebeveiliging door middel van een risicoanalyse per systeem vast te stellen welk beveiligingsniveau nodig is. Dat geldt voor bestaande en nieuwe informatiesystemen. Het aanpassen van bestaande systemen is echter arbeidsintensief en kostbaar. In het vorig beleidsplan is daarom al de weg gekozen van “security by design”. Dit principe houdt in dat elk project voor de vernieuwing of wijziging van informatievoorziening en/of ICT start met een risicoanalyse om te bepalen òf en welke beveiligingsmaatregelen nodig zijn. Vervolgens moeten deze maatregelen ook daadwerkelijk worden uitgevoerd als onderdeel van het project. Vooraf maatregelen treffen is namelijk veel effectiever en goedkoper dan achteraf repareren.

De taakstelling voor deze planperiode is daarom drieledig:

• 1.

  toepassing van de volledige BIO op de gehele gemeentelijke informatiehuishouding;

• 2.

  in elk IV/ ICT-project wordt het principe van security by design toegepast;

• 3.

  uiterlijk aan het eind van de planperiode is voor elk gemeentelijke informatiesysteem bepaald welke Basisbeveiligingsniveau van toepassing is en welke eventuele extra beveiligingsmaatregelen nodig zijn.

1.5 Mensen maken fouten

De mens speelt bij informatiebeveiliging een dubbelrol. Hij/zij is handelend persoon en tegelijkertijd een risicofactor. Volgens het Dreigingsbeeld is dit zelfs de grootste dreiging voor de informatieveiligheid van Nederlandse gemeenten. Dus groter dan cybercrime en andere staten. Onze eigen praktijk van incidenten en datalekken van de afgelopen drie jaar bevestigt dit beeld. Daarom is bewustmaking een belangrijk onderdeel van informatiebeveiliging. Het grootste obstakel is en blijft de vrijblijvendheid op dit terrein. Het is noodzakelijk om bij de bewustmaking twee lijnen naast elkaar te hanteren:

• •

  De ‘zachte’ lijn van: informeren en overtuigen. Dit krijgt onder andere vorm in een jaarlijkse gemeentebrede campagne. Deze kan samenvallen met de landelijke campagne Alert Online die jaarlijks in oktober wordt gehouden. Daarnaast zijn incidenten vaak een goede aanleiding om mensen wakker te schudden. Behalve deze middelen die zich richten op de gehele organisatie is het nodig om in de dagelijkse werkpraktijk informatieveiligheid aandacht te geven.

• •

  De ‘harde’ lijn van regels en maatregelen. Zo ontbreekt het momenteel aan duidelijkheid welke gedragingen wel en niet van medewerkers verwacht mogen worden. Het Integriteitsprotocol biedt daarvoor alleen algemene aanwijzingen. Aan de andere kant is ook onduidelijk welke waarborgen op privacy de medewerkers hebben als zij werken met geautomatiseerd systemen. Het Privacyreglement Telefoon, e-mail en internetgebruik, dat dateert uit 2004, is dan ook aan vervanging toe. Daarnaast is het nodig om technische en organisatorische maatregelen te treffen die de kans op fouten minder groot maken. Hier ligt de relatie met het bepalen van de Basisbeveiligingsniveaus en het regelen van autorisaties tot systemen en gegevensverzamelingen en gebruik van veilige middelen om te e-mailen en gegevens uit te wisselen..

Bij de bewustmaking spelen teammanagers een belangrijke rol: om het concreet te maken hoort dit onderwerp op de agenda van werkoverleggen

Het niet expliciet beleggen van verantwoordelijkheden en bijbehorende activiteiten, procedures en instrumenten, vormt een enorm risico voor de gemeente. Het verhindert namelijk het daadwerkelijk en structureel uitvoeren en borgen van de beheersmaatregelen.5

2.1 Verantwoordelijkheden en taken

• •

  Het college van burgemeester en wethouders is integraal verantwoordelijk voor de beveiliging (beslissende rol) van informatie binnen vrijwel alle werkprocessen van de gemeente. (De raad heeft hierin een eigen verantwoordelijkheid voor haar eigen informatiehuishouding.)

• •

  Het college

  • o

    stelt kaders voor informatiebeveiliging op basis van landelijke en Europese wet- en regelgeving en landelijke normenkaders door vaststelling van:

    • •

      het Gemeentelijk Informatiebeveiligingsbeleid (driejaarlijks);

    • •

      het Informatiebeveiligingsplan (jaarlijks);

    • •

      sectorale beveiligingsplannen (bijvoorbeeld Basisregistratie Personen, Paspoort Uitvoeringsregeling Nederland en Suwinet).

  • o

    heeft een portefeuillehouder informatieveiligheid en privacy aangewezen;

  • o

    legt verantwoording aan af aan de raad en aan externe toezichthouders. Bijvoorbeeld: ministeries van Binnenlandse Zaken en Koninkrijksrelaties, Sociale Zaken en Werkgelegenheid en aan de Autoriteit Persoonsgegevens).

• •

  De Gemeentesecretaris/Algemeen directeur (in sturende rol) is verantwoordelijk voor de uitwerking van de kaders en sturing. Hij/zij:

  • o

    stuurt op de gemeentebrede risico’s;

  • o

    stelt de specifieke processen voor informatiebeveiliging vast.

  • o

    wijst gegevenseigenaren binnen de ambtelijke organisatie aan;

  • o

    controleert of de getroffen maatregelen overeenstemmen met de betrouwbaarheidseisen en of deze voldoende bescherming bieden;

  • o

    evalueert periodiek beleidskaders.

• •

  De voorbereiding van en advisering over de IB taken van de Gemeentesecretaris/Algemeen Directeur (GS/AD) worden opgedragen aan de Coördinator Informatiebeveiliging. (Zie bijlage 2.) Teneinde aan te sluiten bij de gangbare praktijk in gemeenteland wordt de functiebenaming Coördinator Informatiebeveiliging vervangen door Chief Information Security Officer (CISO). De omvang van deze functie is 1,0 FTE.

• •

  De CISO wordt geplaatst binnen het team Beleid en Projecten.

• •

  De directeuren en teammanagers binnen de gemeente (in vragende rol) zijn verantwoordelijk voor de integrale beveiliging van hun organisatieonderdelen, processen en gegevensverzamelingen. Zij worden ook aangeduid als: de interne gegevenseigenaren, proceseigenaren en “projectopdrachtgevers”. Voor al deze rollen geldt ten aanzien van hun werkterrein(en):

  • o

    stellen zij op basis van een expliciete risicoafweging de betrouwbaarheidseisen voor de gegevensverzameling vast (hierbij wordt gebruik van de hulpmiddelen die door de VNG Realisatie en de IBD worden beschikbaar gesteld);

  • o

    zijn zij verantwoordelijk voor de keuze, de implementatie en het uitdragen van de maatregelen die voortvloeien uit de betrouwbaarheidseisen;

  • o

    sturen zij op beveiligingsbewustzijn, bedrijfscontinuïteit en naleving van regels en richtlijnen (gedrag en risicobewustzijn);

  • o

    rapporteren zij over naleving van wet- en regelgeving en algemeen beleid van de gemeente in de managementrapportages.

• •

  De teammanager ICT en de teammanager Beleid en Projecten (in uitvoerende rol) zijn verantwoordelijk voor:

  • o

    beveiliging van de informatievoorziening en implementatie van beveiligingsmaatregelen, die voortvloeien uit de vastgestelde basisbeveiligingsniveaus;

  • o

    beveiliging van de informatievoorziening bij vernieuwing van informatiesystemen en werkprocessen;

  • o

    alle beheeraspecten van informatiebeveiliging, zoals IT security management, incident- en problem management;

  • o

    logging, monitoring en rapportage;

  • o

    technisch beveiligingsadvies leveren aan de andere teams.

• •

  De teammanagers die tevens beheerders zijn van gemeentelijke gebouwen zijn verantwoordelijk voor de fysieke aspecten van de informatiebeveiliging daarvan (bijvoorbeeld toegangsbeveiliging en stroomvoorziening).Voor het Stadhuis is dit de teammanager Facilitair en voor de Koog de teammanager Vastgoed en voor de Purmaryn de teammanager/directeur.

2.2 Functioneel overleg

Op verschillende niveaus vindt overleg plaats over informatieveiligheid. In veel gevallen kan dat samenvallen met het overleg over privacy.

Strategisch overleg met portefeuillehouder

Aansluitend op de periodieke bestuurlijke rapportage (zie hieronder bij 3) vindt er overleg plaatst van de portefeuillehouder met de GS/AD, Functionaris Gegevensbescherming, Concerncontroller en CISO. Dit overleg fungeert tevens als Risk-team zoals geadviseerd in “De 10 principes voor informatiebeveiliging”. 6

Tactisch overleg (privacy en) informatieveiligheid

Het Tactisch Overleg adviseert aan de GS/AD over beleidsmatige aspecten van privacy en informatiebeveiliging. Zo vaak als nodig is, maar in elk geval eenmaal per kwartaal komt dit overleg bijeen. Om een brede en gedragen advisering mogelijk te maken bestaat dit overleg in elk geval deel van uit de volgende functionarissen.

• •

  Directeur Bedrijfsvoering

• •

  Concerncontrollers Beemster en Purmerend

• •

  Functionaris Gegevensbescherming (FG)

• •

  CISO

• •

  Privacyfunctionaris JVZ

• •

  Teammanager IV/Beleid en Projecten

• •

  Teammanager ICT

• •

  Teammanager Burgerzaken (vanwege BRP)

• •

  Een teammanager Maatschappelijk Domein (onder andere vanwege Suwinet)

• •

  Een teammanager Ruimtelijk Domein

Crisisbeheersing

Voor interne crisisbeheersing zijn reeds twee elkaar aanvullende maatregelen getroffen:

• •

  Er is een Computer Security Incident Responseteam (CSIRT) dat belast is met de coördinatie van informatiebeveiligingsincidenten. 7 Hiervan maken in elk geval deel uit: de CISO, de plaatsvervangend CISO, de teammanager ICT, een systeembeheerder en een functioneel beheerder. Het verdient aanbeveling dat deze personen tevens Vertrouwenscontactpersoon bij de IBD (VCIB) zijn. In praktijksituaties zal dit team al naar gelang de situatie uitgebreid worden.

• •

  Er bestaat al een Meldpunt Datalekken dat belast is met de beoordeling en melding van datalekken bij de Autoriteit Persoonsgegevens. Hiervan maken deel uit: de Functionaris Gegevensbescherming, de privacyfunctionaris JVZ, de CISO en plv CISO.

Voor beide groepen zijn procesbeschrijvingen inmiddels vastgesteld.

Samenwerking met andere gemeenten

Onze gemeente erkent het belang van samenwerking. Op landelijk niveau speelt de Informatiebeveiligingsdienst (IBD) daarbij een cruciale rol. Onder andere door het delen van informatie over dreigingen en ervaringen met de uitvoering van het informatiebeveiligingsbeleid.

Al eerder is de rol van Vertrouwenscontactpersonen IBD (VCIB) genoemd. Zij worden aangewezen door de GS/AD. Het streven is dat de medewerkers die permanent deel uitmaken van het CSIRT tevens VCIB zijn. Daarnaast zijn er Algemene Contactpersonen IBD (ACIB) die worden aangewezen door de CISO. Hun contact met de IBD is vooral op het gebied van ICT systeembeheer.

Purmerend vervult een actieve rol in het overleg Privacy en Informatiebeveiliging Zaanstreek-Waterland. Daarnaast participeert de gemeente in relevante landelijke platforms en onderhoudt contacten met andere sectoraal georganiseerde IB-platforms. Denk hierbij aan deelname in de Vereniging van Informatie- en Automatiseringsprofessionals bij Gemeenten (VIAG), de ontwikkeling van een Gemeenschappelijk Gemeentelijke Infrastructuur en de regionale samenwerking in het Sociaal Domein.

2.3 Externe partijen

In het algemeen geldt dat IB-beleid, landelijke normen en wet- en regelgeving ook gelden voor externe partijen (leveranciers, ketenpartners) waarmee de gemeente samenwerkt (en informatie uitwisselt). Ook voor externe partijen geldt hierbij het ‘comply or explain’ beginsel (pas toe of leg uit). Bij de uitvoering hiervan is er echter een gradueel verschil tussen organisaties waarin de gemeente op de een of andere manier participeert (samenwerkingsverbanden) en leveranciers (partijen die in opdracht van de gemeente werken.

Samenwerkingsverbanden

Het is nodig om beter in beeld te krijgen welke samenwerkingsverbanden er bestaan, welke afspraken gelden en welke aanvullende maatregelen getroffen moeten worden. Dit zal deels aansluiten bij het ingang gezette proces om privacyconvenanten.

Leveranciers

De gemeente is bezig met de overstap naar het gebruik van de Gemeentelijke Inkoopvoorwaarden bij IT-overeenkomsten (GIBIT). Voor externe hosting van data en/of services houden we ons aan de gangbare standaarden zoals voorgesteld door de IBD en het Nationaal Cybersecurity Center (NCSC). Daarnaast sluiten we verwerkersovereenkomsten met leveranciers die persoonsgegevens voor de gemeente verwerken.

Informatiebeveiliging is een continu verbeterproces. De cyclische aanpak van ‘Plan, do, check en act’ vormt het management systeem van informatiebeveiliging. In onderstaand figuur is de PDCA-cyclus voor informatiebeveiliging weergegeven.

Sinds 2017 voeren alle gemeenten jaarlijks de Eenduidige Normatiek Single Information Audit (ENSIA) uit. De verplichten onderdelen van ENSIA 2018 zijn: de informatieveiligheid van Suwinet en DigiD, de Basisregistratie Personen, de Paspoorten Uitvoeringsregeling Nederland, de Basisregistratie Adressen en Gebouwen en de Basisregistratie Grootschalige Topografie. Dit heet de “Verticale verantwoording”. Specifiek voor DigiD en Suwinet geldt de verplichting van een oordeel door een IT-auditor.

Daarnaast is er de niet-verplichte verantwoording over de algemene informatieveiligheid aan de eigen raad. Dit heet de “horizontale verantwoording”. In aanvulling op de verplichte IT audit voor DigiD en Suwinet laat onze gemeente jaarlijks de beantwoording van de gehele vragenlijst over informatiebeveiliging controleren door de IT auditor.

Op grond van de ervaringen met ENSIA 2017 is onderzocht hoe de rapportage naar directie, betrokken colleges van B&W en gemeenteraden verbeterd kan worden. Die verbetering zal bestaan uit twee maatregelen:

• •

  Vereenvoudiging van de verplichte rapportages in samenvattende opleggers;

• •

  Verder gaande integratie van de rapportage over informatieveiligheid (en privacy) in de reguliere P&C cyclus. Dat zal leiden tot twee rapportages in het jaar: de TURAP in september en het jaarverslag/jaarrekening in het voorjaar.

De resultaten uit ENSIA vormen de basis voor de jaarlijkse informatiebeveiligingsplannen.

Informatieveiligheid kost geld en zal ook meer gaan kosten aangezien gemeenten steeds afhankelijker van ICT worden. Tot op heden worden de kosten van informatieveiligheid grotendeels gedekt vanuit ICT-budgetten. Om meer overzicht te krijgen in de kosten is het noodzakelijk om deze kosten beter in beeld te krijgen. Tegelijkertijd is het logisch dat informatieveiligheid het beste gediend is door de financiering te beleggen bij de betrokken gegevenseigenaren. Voorgesteld wordt de volgende splitsing aan te brengen:

• •

  De kosten van de beveiliging van de gemeentelijke IT-infrastructuur komt ten laste van het ICT-budget. Deze kosten dienen wel apart gekenmerkt te worden zodat bijgedragen wordt aan inzicht in de kosten van informatieveiligheid.

• •

  Kosten voor aanvullende beveiligingsmaatregelen in IT-vernieuwingsprojecten vormen onderdeel van de projectfinanciering.

• •

  Kosten voor aanvullende beveiligingsmaatregelen van bestaande informatiesystemen worden gedragen door de gegevenseigenaar van het desbetreffende systemen.

• •

  Daarnaast komt er een specifiek budget te komen voor die activiteiten waarbij informatieveiligheid de hoofdzaak is, zoals:

  • o

    Een Information Security Management Systeem;

  • o

    Een systeem voor risicomanagement;

  • o

    ENSIA-traject waaronder IT-audits door externen;

  • o

    Uitvoering van penetratietesten en andere onderzoeken (zowel op de intern als extern gehost systemen)..

  • o

    Activiteiten voor bewustmaking t.a.v. informatieveiligheid;

  • o

    Externe (contra)expertise, forensisch onderzoek en dergelijke.

  • o

    Incidentmanagement.

  • o

    Scholing en kennisopbouw

    De budgethouder hiervan is de CISO.

De financiële consequenties hiervan zijn als budgetneutraal:

• •

  De formatieplaats van coördinator IB binnen Beleid en Projecten wordt hernoemd tot CISO en blijft: 1 fte.

• •

  Het budget voor Informatiebeveiliging (kostenplaats 5534201 Beveiliging infra/9000046 Informatiebeveiliging) gaat over naar Beleid en Projecten voor Informatiebeveiliging. In 2018 bedroeg dit € 87.189.

Burgemeester en wethouders van Purmerend besluiten:

• 1.

  het voornemen te hebben het Gemeentelijk Informatiebeveiligingsbeleid 2019-2021 vast te stellen;

• 2.

  hierover aan de Ondernemingsraad advies te vragen;

• 3.

  de GS/AD op te dragen het college elk half jaar te informeren over de staat van informatieveiligheid;

• 4.

  elk jaar aan de raad verantwoording af te leggen over informatieveiligheid door middel van de ENSIA-methodiek;.

• 5.

  met dit besluit het Gemeentelijk Informatiebeveiligingsbeleid 2015 (GIBB 2015 kenmerk 1160182) en Uitvoeringsplan GIBB 2015 ( kenmerk1164605) te laten vervallen;

• 6.

  dit besluit een dag na publicatie in het gemeenteblad in werking te laten treden.