Martijn Groenewegen, Chief Information Officer (CIO) en Rob Mellegers, Chief Information Security Officer (CISO) staan voor de gemeente Eindhoven aan de lat om wet- en regelgeving in relatie tot digitale voorzieningen binnen de gemeente te borgen. Denk daarbij onder andere aan Network Information Security Directive versie 2 (NIS2). Deze wet gaat om het inrichten van beveiligingsmaatregelen, waarbij de sturing daarvan als goed huisvaderschap voor een groot deel bij het management terecht komt. Dit keer stellen we het eigenaarschap én de morele verplichting ten aanzien van veilig omgaan met persoonsgegevens aan de orde: “Hoe krijgen we diensten van onze toeleveranciers veilig, waarbij we ook de balans houden met de groeiambities van de gemeente Eindhoven?”
Eindhoven onderdompelen in kamermuziek
Rob Mellegers trapt af: “Als overheid stellen we ons dienstverlenend op richting onze inwoners, óók als het gaat om digitalisering. Zo bieden we steeds vaker digitale middelen aan, waarmee inwoners en collega’s eenvoudig gebruik kunnen maken van voorzieningen via een app of een dienst die beschikbaar wordt gesteld via de website. Er komt nogal wat bij kijken als het gaat om de technische specificaties van een app of website en de manier hoe gegevens worden gebruikt. Want welke data wordt er verzameld? En is het functioneel nodig om die data te verzamelen? Is deze data goed beveiligd en wordt het ook door onze leveranciers goed beveiligd. Komt dit ten goede aan de inwoner? Welk probleem lossen we op? Bij de aanschaf van een app gaan we op zoek naar de juiste balans, met als doel om steeds die veilige overheid te zijn ten dienste van inwoners en bedrijven.
Morele verplichting: waar ligt de grens?
Martijn Groenewegen vult aan: Om een betrouwbare overheid te kunnen zijn moet de informatiebeveiliging en bescherming van persoonsgegeven in de hele keten waar leveranciers ook onderdeel van uitmaken voldoende op orde zijn. Juridisch kun je weliswaar de verantwoordelijkheid voor onderdelen van de keten bij bedrijven leggen, maar als overheid blijf je eindverantwoordelijk en wil je dat de hele keten op orde is. Dat levert nog wel eens goede gesprekken op met leveranciers
Martijn Groenewegen vult aan: Om een betrouwbare overheid te kunnen zijn moet de informatiebeveiliging en bescherming van persoonsgegeven in de hele keten waar leveranciers ook onderdeel van uitmaken voldoende op orde zijn. Juridisch kun je weliswaar de verantwoordelijkheid voor onderdelen van de keten bij bedrijven leggen, maar als overheid blijf je eindverantwoordelijk en wil je dat de hele keten op orde is. Dat levert nog wel eens goede gesprekken op met leveranciers\
Op naar een securitynorm die werkbaar is
“Dit zijn geen processen die we als gemeente Eindhoven ‘stand alone’ kunnen veranderen. De NIS2-wetgeving bepaalt dat dit geldt voor de hele keten. De veiligheidseisen nemen toe. Dat gold ooit voor enkel het thema cybersecurity. En nu is de beveiliging van persoonsgegevens daar onderdeel van, evenals architectuur, technisch beheer en de informatievoorziening. Dat houdt in dat onze programma’s van eisen, bijvoorbeeld bij de aanschaf van een app, ook steeds veranderen en aangepast moeten worden. We doen ons best om bureaucratie zoveel mogelijk te voorkomen, zodat het werkbaar blijft.
Omdat de ontwikkelingen zo snel gaan, streven we vanzelfsprekend naar de inrichting van de standaard normenkaders in de hele keten. Zover zijn we nog niet helemaal, maar we komen samen met het bedrijfsleven al een heel eind in de goede richting. Daarnaast komen instanties met verschillende normenkaders met een groeimodel. Denk daarbij aan de Cyberrating die door een multinational in Eindhoven in samenwerking met TüV Nederland is ontwikkeld. Daarin is het mogelijk om klein te starten om binnen beperkte tijd toe te werken naar een ISO-27001 certificeringstraject, een werkbare standaardnorm voor informatiebeveiliging. Ook kleinere bedrijven kunnen zo aantoonbaar voldoen aan de vereisten.
Cyberburgemeesters als boegbeeld
Om de morele verantwoordelijkheid rondom cybersecurity in overheidsland een gezicht te geven, zijn er twee cyberburgemeesters aangewezen. Zo zijn de burgemeester van Best en de burgemeester van Meierijstad het boegbeeld in de regio als het gaat om cybersecurity. Naast de rol van boegbeeld, hebben zij op dit thema ook een verbindende rol. Samen met instanties als de politie, het Openbaar Ministerie, de Vereniging van Nederlandse Gemeenten (VNG) en het bedrijfsleven beoordelen zij continu het veiligheidsniveau in de regio. Deze periodieke, monitoring vormt voor ons als gemeente Eindhoven een mooie leidraad om onze operatie op af te stemmen. Daarnaast is het een goede aanloop richting één gezamenlijke ‘cyberagenda’ in de regio, dus één samenwerkingsverband dat effectief bijdraagt aan de veilige en betrouwbare overheid.”
)
)
