BIO-checklist voor gemeenten: tien maatregelen die vaak blijven liggen

Het ENSIA-jaar loopt en de vragenlijst komt eraan. Je weet bij welke vragen je met een gerust hart ja invult, en bij welke je even gaat verzitten. Deze checklist gaat over die tweede groep.

De Baseline Informatiebeveiliging Overheid (BIO) geldt sinds 2020 voor alle overheidslagen, van gemeente tot waterschap. Hij verving de BIG, de BIR en de BIWA en is gebaseerd op ISO 27001 en 27002. Houd altijd de actuele versie aan; die vind je via digitaleoverheid.nl. Hieronder tien maatregelen die lastig blijken, met per punt wat je nu kunt doen. Waar een termijn ons advies is en geen norm, staat dat erbij.

1. Beleid dat echt is vastgesteld

Een informatiebeveiligingsbeleid op papier is een begin. Het moet ook actueel zijn, door het college zijn vastgesteld en een eigenaar hebben.

Actie: zoek de datum van het laatste collegebesluit over het beleid op. Is die ouder dan een jaar, plan dan de herziening. Zorg dat de rol van CISO formeel is belegd.

2. Toegangsrechten die meebewegen met mensen

Wie heeft toegang tot welke systemen? Accounts van vertrokken collega's blijven nogal eens actief, en rechten worden wel toegekend maar zelden ingetrokken.

Actie: koppel in- en uitdiensttreding aan het aanmaken en afsluiten van accounts. Laat systeemeigenaren elk kwartaal hun rechtenlijst aftekenen.

3. Versleuteling, ook intern

Gevoelige gegevens horen versleuteld opgeslagen en verstuurd te worden. Het lek zit vaak in interne verbindingen en oude bestandsopslag.

Actie: gebruik minimaal TLS 1.2 op alle verbindingen, ook intern. Versleutel databases en back-ups. Leg vast wie de sleutels beheert en hoe.

4. Logs die iemand bekijkt

Loggen doen de meeste organisaties wel. Structureel kijken minder vaak. De auditor vraagt altijd naar die ene log die je net niet bewaarde.

Actie: breng de belangrijkste logs samen op één plek en bepaal waar je op let, zoals mislukte inlogpogingen, nieuwe beheerrechten en grote exports. Leg vast hoe lang je logs bewaart en waarom. Ons advies is minstens twaalf maanden, zodat je een heel ENSIA-jaar kunt terugkijken. Dat is advies, geen letterlijke BIO-eis.

5. Een incidentplan dat is geoefend

Een plan dat nooit is geoefend, werkt meestal niet op het moment dat het moet.

Actie: oefen minstens één keer per jaar met een tafeloefening. Controleer ook de meldroutes. Een datalek meld je binnen 72 uur bij de Autoriteit Persoonsgegevens. Een significant incident meld je onder de Cyberbeveiligingswet ook bij het CSIRT dat voor je sector is aangewezen.

6. Back-ups die je hebt teruggezet

Een back-up die je nooit hebt teruggezet, is een hoop, geen herstelplan.

Actie: test elke maand of je een back-up echt kunt terugzetten. Leg per systeem vast hoe lang het plat mag liggen en hoeveel gegevens je mag verliezen, en test of je dat haalt.

7. Leveranciers in beeld

Een gemeente werkt met tientallen leveranciers en clouddiensten. De BIO vraagt dat je hun risico's kent en beheerst, en de Cyberbeveiligingswet vraagt hetzelfde.

Actie: houd een register bij van leveranciers met toegang tot gemeentelijke gegevens. Noteer per leverancier welke gegevens, welk land, onder welk recht en welke sub-verwerkers. Neem beveiligingseisen op in contracten en verwerkersovereenkomsten. Zo'n register kan kort blijven; kijk als voorbeeld naar onze eigen lijst met sub-verwerkers.

8. Patches met een afgesproken termijn

Ongepatchte systemen zijn een bekende ingang voor aanvallers. De BIO vraagt een proces om beveiligingsupdates op tijd te installeren.

Actie: spreek termijnen af per ernst en meet of je ze haalt. Ons advies is kritieke patches binnen 48 uur en de rest binnen 30 dagen; ook dat is advies, geen letterlijke BIO-norm. Leg uitzonderingen vast en laat de systeemeigenaar het restrisico aftekenen.

9. Weten welke informatie gevoelig is

Wat je niet hebt ingedeeld, kun je niet passend beschermen.

Actie: gebruik een eenvoudig schema met een paar niveaus en deel elk systeem in. Koppel per niveau de maatregelen, zoals versleuteling of extra inlogbeveiliging.

10. Bewustwording die blijft hangen

Een jaarlijkse e-learning wordt vaak weggeklikt. Mensen onthouden wat ze zelf meemaken.

Actie: combineer een korte jaarlijkse training met phishingoefeningen door het jaar heen. Geef beheerders en bestuurders een eigen sessie, want zij lopen andere risico's.

ENSIA is het resultaat van een heel jaar

Via ENSIA leggen gemeenten jaarlijks verantwoording af over de BIO en over stelsels als DigiD, Suwinet en de basisregistraties. De resultaten gaan naar de gemeenteraad.

Een goede verantwoording begint niet in november. Werk de tien punten door het jaar heen af en bewaar het bewijs meteen. Dan is de vragenlijst een samenvatting, geen zoektocht.

Hoe Noveu een werkplek voor gemeenten inricht, en hoe je met een pilot begint, lees je op onze pagina voor de publieke sector.