Title: wetten.nl - Regeling - Circulaire toepassen Baseline Informatiebeveiliging Overheid in het digitale verkeer met het Rijk - BWBR0043146

Source: https://wetten.overheid.nl/BWBR0043146/

Content:
{"title": "wetten.nl - Regeling - Circulaire toepassen Baseline Informatiebeveiliging Overheid in het digitale verkeer met het Rijk - BWBR0043146", "content": "Circulaire toepassen Baseline Informatiebeveiliging Overheid in het digitale verkeer\n                                    met het Rijk\n\nGeacht college, geacht bestuur,\n\nMet deze circulaire informeer ik u over het geactualiseerde normenkader inzake informatiebeveiliging;\n                                    de Baseline Informatiebeveiliging Overheid (BIO). De nieuwe versie is als bijlage opgenomen bij deze circulaire.\n\nIedere overheidslaag heeft in een eerder stadium besloten de BIO toe te passen. Dit\n                                    is bevestigd in de Ministerraad van 14\u00a0december 2018. Dat is met u gedeeld middels\n                                    de circulaire 2019-0000184156 van 16\u00a0april jl.\n\nDe BIO heeft een eerste onderhoudsslag ondergaan. Het onderhoud heeft zich beperkt\n                                    tot correctie van feitelijke onjuistheden; de beveiligingsniveaus van de BIO zijn\n                                    niet veranderd. Deze wijzigingen zijn verwerkt in bijgesloten versie BIO1.04. Het\n                                    Overheidsbreed Beleidsoverleg Digitale Overheid (OBDO) heeft op 28\u00a0november 2019 de\n                                    versie 1.04 van de Baseline Informatiebeveiliging Overheid (BIO) vastgesteld. Deze versie vervangt\n                                    per 1\u00a0januari 2020 de versie 1.03. Daarmee komt ook de circulaire 2019-0000184156 te vervallen.\n\nDe BIO is:\n\n\u2022 een gemeenschappelijk normenkader, gebaseerd op de internationale normen ISO 27001\n                                          en 27002 voor de beveiliging van de informatie(systemen) van de overheid;\n\n\u2022 een concretisering van een aantal normen naar concrete maatregelen die verplicht door\n                                          alle bestuurslagen moeten worden nageleefd.\n\nIn het digitale verkeer met het Rijk wordt de BIO versie 1.04 gehanteerd.\n\nDe BIO is het gezamenlijke product van en is afgestemd met Rijk, provincies, gemeenten\n                                       en waterschappen. De interbestuurlijke werkgroep BIO, waarin alle bestuurslagen vertegenwoordigd\n                                       zijn, heeft afgelopen jaar gewerkt aan de doorontwikkeling van de BIO na consultatie\n                                       bij professionele gemeenschappen in de verschillende overheidslagen.\n\nImplementatie van de BIO is en blijft de eigen verantwoordelijkheid van overheidsorganisaties\n                                       zelf. Om hen daarbij te ondersteunen heeft het Ministerie van BZK een ondersteuningsprogramma\n                                       ingericht bij het Centrum voor Informatiebeveiliging en Privacybescherming (CIP).\n                                       Dit programma is afgestemd met alle bestuurslagen en is aanvullend op wat bestuurslagen\n                                       zelf al ondernemen om de implementatie vorm te geven.\n\nHet ondersteuningsprogramma geeft een impuls aan implementatie van de BIO. Het is\n                                       gericht op een nadere verankering van de BIO (en daarmee informatieveiligheid) door\n                                       ondersteunen van beheer en onderhoud, inhoudelijke verdieping op informatieveiligheid,\n                                       ontwikkeling van hulpinstrumenten, het vergroten van bewustzijn (gerichtheid op veiligheid\n                                       door toepassen van de baseline) en het bevorderen van kennis en kunde onder de betrokkenen.\n                                       Het ondersteuningsprogramma is gestart in 2019 en loopt door tot einde 2020.\n\nOverheidsorganisaties die gebruik willen maken van het ondersteuningsprogramma kunnen\n                                       terecht op https://www.bio-overheid.nl. Ik moedig u aan om van de diensten van het\n                                       ondersteuningsprogramma gebruik te maken.\n\nDe Minister van Binnenlandse Zaken en Koninkrijksrelaties,\n\nR.W. \nKnops\n\nDe Baseline Informatiebeveiliging Overheid (BIO) is geheel gestructureerd volgens\n                                                   NEN-ISO/IEC 27001:2017, bijlage A en NEN-ISO/IEC 27002:2017. Het Forum Standaardisatie\n                                                   heeft deze normen opgenomen in de \u2018pas toe-of-leg uit\u2019- lijst met verplichte standaarden\n                                                   voor de publieke sector, volgens het comply or explain principe. Dit betekent dat\n                                                   de overheid deze normen toepast tenzij er expliciet geformuleerde redenen zijn om\n                                                   dat niet te doen.\n\nDe BIO beschrijft de invulling van de NEN-ISO/IEC 27001:2017 en de NEN-ISO/IEC 27002:2017\n                                                   voor de overheid. Met klem vermeldt zij dat de BIO deze normen niet vervangt.\n\nIn de BIO hebben specifieke overheidsmaatregelen de tekstkleur groen. NEN-ISO/IEC\n                                                   27001:2017 en de NEN-ISO/IEC 27002:2017 beschrijven details voor implementatie (implementatierichtlijnen)\n                                                   en eisen voor de procesinrichting (o.a. het ISMS uit NEN-ISO/IEC 27001:2017). Die\n                                                   documenten geven dus de details voor de toepassing, die niet in de BIO zijn beschreven\n                                                   en die nodig blijven voor een goede implementatie van de BIO.\n\nHet gebruik van de NEN-ISO/IEC normen 27001 en 27002 in de BIO is auteursrechtelijk\n                                                   beschermd.\n\nHet gebruik van teksten uit deze normen in de BIO geschiedt met toestemming van het\n                                                   Nederlands Normalisatie Instituut. Voor meer informatie over de NEN en het gebruik\n                                                   van hun producten zie: www.nen.nl\n\nWijzigingshistorie:\n\nVersie\n\nDatum\n\nOpmerkingen\n\n0.1\n\n11-6-2017\n\nAanpassingen van BIR 2017 versie 0.6\n\n0.2\n\n11-7-2017\n\nOmschrijven naar ISO 27001 aanpak (hoofdstuk 4), samenvoegen hoofdstuk 3 en 4, ISO\n                                                   27001 aanpak in hoofdstuk 4, tekstuele aanpassing controls (must/should)\n\n0.3\n\nVerschillende opmerkingen verwerkt\n\n0.4\n\n10-10-2017\n\nDiverse opmerkingen verwerkt van leden, splitsen baseline in 2 delen, analoog aan\n                                                   de BIR2017\n\n0.5\n\n20-10-2017\n\nHoofdstuk 4 toegevoegd in deel 2 om ISMS te borgen als control / maatregel\n\n0.6\n\n20-02-2018\n\nVerder aanscherping als gevolg van review commentaar, maken apart addendum voor specifieke\n                                                   Rijks zaken\n\n0.7\n\n02-05-2018\n\nAanpassing als gevolg van commentaar BZK, 3 delen samengevoegd, alignment met de BIR2017\n                                                   bewerkstelligd, totale herziening BIO, ISMS-deel als gevolg van commentaar laten vervallen\n\n0.8\n\n21-05-2018\n\nVerdere aanpassingen als gevolg van commentaar en opmerkingen door gemeenten, waterschappen\n                                                   en provincies\n\n0.9\n\n25-05-2018\n\nVerdere aanpassingen als gevolg van commentaar en verspreiding concept onder leden\n                                                   werkgroep Normatiek\n\n1.0\n\n01-06-2018\n\nLaatste wijzigingen en commentaar NCSC en BZK verwerkt\n\n1.01\n\n11-10-2018\n\nWijzigingen uit de community, opmerkingen Forum Standaardisatie en kleine typo\u2019s aangepast,\n                                                   copyright NEN toegevoegd\n\n1.02\n\n01-11-2018\n\nAanwijzing NEN, jaartal ISO veranderd van 2013 naar 2017, inhoudelijk geen wijzigingen,\n                                                   de 2017 versie is ontstaan als gevolg van een Europees besluit.\n\n1.03\n\n13-03-2019\n\nAangepaste passage over gebruik van de NEN-ISO/IEC 27001:2017 en NEN-ISO/IEC 27002:2017.\n                                                   Deze passage en de wijzigingshistorie verplaatst van pagina 4 naar pagina 2.\n\n1.04\n\n04-11-2019\n\nAanpassingen van BIO 1.03 naar 1.04 als gevolg van onderhoudsronde BIO 2019. Betreft correctie van feitelijke\n                                                   onjuistheden en splitsing / aanpassing / verplaatsing van bepaalde maatregelen.\n\nInformatiebeveiliging vormt een belangrijk kwaliteitsaspect van de informatievoorziening\n                                    van de overheid. Het beveiligen van informatie is echter geen eenmalige zaak, maar\n                                    een proces waarbij steeds de Plan-Do-Check-Act cyclus wordt doorlopen. Het doorlopen\n                                    van dit proces is een verantwoordelijkheid van het lijnmanagement. Om te voorkomen\n                                    dat informatie en informatiesystemen te licht of te zwaar worden beveiligd, vormt\n                                    risicomanagement een belangrijk onderdeel in dit proces.\n\nDe eerste stap in het beveiligingsproces is het maken van een risicoafweging. Daarbij\n                                    wordt een inschatting gemaakt van mogelijke schade als informatiesystemen (tijdelijk)\n                                    niet beschikbaar zijn, de informatie niet integer is en/of deze informatie in verkeerde\n                                    handen valt. Ook wordt een inschatting gemaakt van de dreigingen waartegen de overheid\n                                    beschermd moet worden. De inschatting van mogelijke schade en dreigingen leidt tot\n                                    beveiligingseisen om het risico te beperken. Om deze eisen af te dekken worden passende\n                                    maatregelen getroffen of wordt het (rest)risico geaccepteerd.\n\nDe Baseline Informatiebeveiliging Overheid (BIO) helpt het lijnmanagement bij het\n                                    nemen van zijn verantwoordelijkheid ten aanzien van informatiebeveiliging. Het ingewikkelde\n                                    proces van risicomanagement wordt met de BIO vereenvoudigd. In de BIO zijn namelijk\n                                    op basis van de generieke schades en dreigingen voor de overheid standaard basisbeveiligingsniveaus\n                                    (BBN\u2019s) gedefinieerd met bijbehorende beveiligingseisen die moeten worden ingevuld.\n                                    Per bedrijfsproces bepaalt het lijnmanagement het BBN; de BIO biedt daarvoor een zogenaamde\n                                    BBN-toets.\n\nIn de BIO staat per BBN beschreven aan welke controls uit de ISO 27002 (Code voor\n                                    Informatiebeveiliging) moet worden voldaan. Bij alle controls dient, op basis van\n                                    een individuele risicoafweging, bepaald te worden hoe aan de beveiligingsdoelstelling\n                                    van de control voldaan kan worden. Daarbij zijn de controls, waar van toepassing,\n                                    gedeeltelijk uitgewerkt in verplichte, concrete overheidsmaatregelen. De controls\n                                    zijn toebedeeld aan rollen, waarmee de verdeling over verantwoordelijken makkelijker\n                                    is. Zo kan ook de dienstenleverancier die de expertise heeft, bepalen met welke concrete\n                                    maatregelen hij de control invult.\n\nTen slotte moet verantwoording worden afgelegd over de risicoafweging en over de effectieve\n                                    invulling van de controls. Deze verantwoording is onderdeel van de bestuurlijke verantwoording\n                                    over de beveiliging van informatiesystemen. De wijze en mate van detail van de verantwoording\n                                    hangt af van het BBN. Des te hoger het BBN, des te meer detail nodig is in verband\n                                    met de hogere potenti\u00eble impact. Dienstenleveranciers leggen verantwoording af aan\n                                    hun (gedeelde) opdrachtgever en er wordt verantwoording afgelegd aan de ketenpartners\n                                    met wie afspraken over de beveiliging van informatie zijn gemaakt. De opdrachtgever\n                                    ziet erop toe dat de afgenomen diensten in overeenstemming met de gestelde eisen beveiligd\n                                    zijn; de afnemers van de diensten mogen hierop vertrouwen en worden door de opdrachtgever\n                                    ge\u00efnformeerd over uitzonderingssituaties.\n\nDe BIO biedt hiermee de basis om te zorgen dat de beveiliging van informatie(systemen)\n                                    bij alle bedrijfsonderdelen van de overheid bevorderd wordt. Deze bedrijfsonderdelen\n                                    kunnen erop vertrouwen dat gegevens die worden verstuurd naar of worden ontvangen\n                                    van andere onderdelen van de overheid, in lijn met wet- en regelgeving, passend beveiligd\n                                    zijn. Waar naleving (nog) niet volledig mogelijk is, dienen de bedrijfsonderdelen\n                                    via een \u2018explain\u2019 de eventuele risico\u2019s inzichtelijk te maken aan hun ketenpartners.\n\nDe BIO is opgedeeld in twee delen waarbij het eerste deel de achtergrond weergeeft\n                                    en het tweede deel het daadwerkelijk uit te voeren kader omvat.\n\nVoorwoord\n\n2\n\nDeel 1\n\n4\n\n1.\n\nInformatiebeveiliging bij de overheid\n\n4\n\n1.1.\n\nInleiding\n\n4\n\n1.2.\n\nInformatiebeveiligingskaders en uitgangspunten overheid\n\n5\n\n1.3.\n\nISO 27002\n\n6\n\n1.4.\n\nEvaluatie en bijstelling\n\n6\n\n1.5.\n\nForum Standaardisatie\n\n6\n\n2.\n\nOpzet van de BIO\n\n7\n\n2.1.\n\nOpzet BBN\u2019s\n\n7\n\n2.2.\n\nControls\n\n7\n\n2.3.\n\nImplementatierichtlijnen\n\n7\n\n2.4.\n\nOverheidsmaatregelen\n\n7\n\n2.5.\n\nAddendum\n\n8\n\n2.6.\n\nOperationalisering in handreikingen\n\n8\n\n2.7.\n\nRollen\n\n8\n\n3.\n\nBasisbeveiligingsniveaus\n\n9\n\n3.1.\n\nBBN1\n\n9\n\n3.2.\n\nBBN2\n\n9\n\n3.3.\n\nBBN3\n\n9\n\n4.\n\nVerantwoording over de BIO\n\n10\n\n4.1.\n\nVerantwoordelijkheid afhankelijk van basisbeveiligingsniveau\n\n10\n\n4.2.\n\nExplains op overheidsmaatregelen\n\n10\n\n4.3.\n\nKetensamenwerking\n\n11\n\n4.4.\n\nDienstenleveranciers\n\n11\n\nDeel 2\n\n12\n\nInleiding\n\n12\n\nBBN-toets\n\n12\n\nControls en overheidsmaatregelen\n\n13\n\n5.\n\nInformatiebeveiligingsbeleid\n\n13\n\n5.1.\n\nAansturing door de directie van de informatiebeveiliging\n\n13\n\n6.\n\nOrganiseren van informatiebeveiliging\n\n14\n\n6.1.\n\nInterne organisatie\n\n14\n\n6.2.\n\nMobiele apparatuur en telewerken\n\n24\n\n7.\n\nVeilig personeel\n\n15\n\n7.1.\n\nVoorafgaand aan het dienstverband\n\n15\n\n7.2.\n\nTijdens het dienstverband\n\n15\n\n7.3.\n\nBe\u00ebindiging en wijziging van dienstverband\n\n15\n\n8.\n\nBeheer van bedrijfsmiddelen\n\n16\n\n8.1.\n\nVerantwoordelijkheid voor bedrijfsmiddelen\n\n16\n\n8.2.\n\nInformatieclassificatie\n\n16\n\n8.3.\n\nBehandelen van media\n\n17\n\n9.\n\nToegangsbeveiliging\n\n17\n\n9.1.\n\nBedrijfseisen voor toegangsbeveiliging\n\n17\n\n9.2.\n\nBeheer van toegangsrechten van gebruikers\n\n18\n\n9.3.\n\nVerantwoordelijkheden van gebruikers\n\n18\n\n9.4.\n\nToegangsbeveiliging van systeem en toepassing\n\n19\n\n10.\n\nCryptografie\n\n19\n\n10.1.\n\nCryptografische beheersmaatregelen\n\n20\n\n11.\n\nFysieke beveiliging en beveiliging van de omgeving\n\n20\n\n11.1.\n\nBeveiligde gebieden\n\n20\n\n11.2.\n\nApparatuur\n\n21\n\n12.\n\nBeveiliging bedrijfsvoering\n\n22\n\n12.1.\n\nBedieningsprocedures en verantwoordelijkheden\n\n22\n\n12.2.\n\nBescherming tegen malware\n\n22\n\n12.3.\n\nBack-up\n\n23\n\n12.4.\n\nVerslaglegging en monitoren\n\n23\n\n12.5.\n\nBeheersing van operationele software\n\n24\n\n12.6.\n\nBeheer van technische kwetsbaarheden\n\n24\n\n12.7.\n\nOverwegingen betreffende audits van informatiesystemen\n\n24\n\n13.\n\nCommunicatiebeveiliging\n\n25\n\n13.1.\n\nBeheer van netwerkbeveiliging\n\n25\n\n13.2.\n\nInformatietransport\n\n25\n\n14.\n\nAcquisitie, ontwikkeling en onderhoud van informatiesystemen\n\n26\n\n14.1.\n\nBeveiligingseisen voor informatiesystemen\n\n26\n\n14.2.\n\nBeveiliging in ontwikkelings- en ondersteunende processen\n\n27\n\n14.3.\n\nTestgegevens\n\n27\n\n15.\n\nLeveranciersrelaties\n\n28\n\n15.1.\n\nInformatiebeveiliging in leveranciersrelaties\n\n28\n\n15.2.\n\nBeheer van dienstverlening van leveranciers\n\n28\n\n16.\n\nBeheer van informatiebeveiligingsincidenten\n\n29\n\n16.1.\n\nBeheer van informatiebeveiligingsincidenten en -verbeteringen\n\n29\n\n17.\n\nInformatiebeveiligingsaspecten van bedrijfscontinu\u00efteitsbeheer\n\n30\n\n17.1.\n\nInformatiebeveiligingscontinu\u00efteit\n\n30\n\n17.2.\n\nRedundante componenten\n\n30\n\n18.\n\nNaleving\n\n31\n\n18.1.\n\nNaleving van wettelijke en contractuele eisen\n\n31\n\n18.2.\n\nInformatiebeveiligingsbeoordelingen\n\n31\n\nBijlage 1: Wet- en regelgeving\n\n32\n\nBijlage 2: Basisbeveiligingsniveaus\n\n32\n\nDeel 3\n\n34\n\nInleiding Addendum\n\n34\n\n5.\n\nInformatiebeveiligingsbeleid\n\n34\n\n5.1.\n\nAansturing door de directie van de informatiebeveiliging\n\n34\n\n6.\n\nOrganiseren van informatiebeveiliging\n\n35\n\n6.1.\n\nInterne organisatie\n\n35\n\n7.\n\nVeilig personeel\n\n35\n\n7.1.\n\nVoorafgaand aan het dienstverband\n\n35\n\n7.2.\n\nTijdens het dienstverband\n\n35\n\n8.\n\nBeheer van bedrijfsmiddelen\n\n35\n\n8.1.\n\nVerantwoordelijkheid voor bedrijfsmiddelen\n\n35\n\n8.3.\n\nBehandelen van media\n\n35\n\n11.\n\nFysieke beveiliging en beveiliging van de omgeving\n\n35\n\n11.1.\n\nBeveiligde gebieden\n\n35\n\n14.\n\nAcquisitie, ontwikkeling en onderhoud van informatiesystemen\n\n35\n\n14.1.\n\nBeveiligingseisen voor informatiesystemen 54\n\n35\n\n15.\n\nLeveranciersrelaties\n\n36\n\n15.1.\n\nInformatiebeveiliging in leveranciersrelaties\n\n36\n\n16.\n\nBeheer van informatiebeveiligingsincidenten\n\n36\n\n16.1.\n\nBeheer van informatiebeveiligingsincidenten en -verbeteringen\n\n36\n\nInformatiebeveiliging is het proces van vaststellen van de vereiste beveiliging van\n                                             informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit\n                                             alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende\n                                             maatregelen1.\n\nDe BIO beoogt zo de beveiliging van informatie(systemen) bij alle bestuurslagen en\n                                             bestuursorganen van de overheid te bevorderen, zodat alle onderdelen erop kunnen vertrouwen\n                                             dat onderling uitgewisselde gegevens, in lijn met wet- en regelgeving, passend beveiligd\n                                             zijn. Het doel is continu\u00efteit in de bedrijfsprocessen door waarborgen van juiste\n                                             en tijdige informatie. Daarmee is de BIO ook van toepassing op besturings- en meetprocessen\n                                             voor zover deze binnen een bestuursorgaan gebruikt worden.\n\nDe BIO is van toepassing op de overheid. In verband hiermee is de BIO van toepassing\n                                             op de volgende bestuursorganen:\n\n\u2212 Rijksdienst\n\n\u2212 Provincies\n\n\u2212 Waterschappen\n\n\u2212 Gemeentes\n\nDaarnaast wordt aanbevolen de BIO te verankeren in de taakomschrijving van de overige\n                                             overheidsorganisaties en organisaties waarmee de overheid publiek-privaat samenwerkt\n                                             en private samenwerkingen waarbij de overheid de enige aandeelhouder is.\n\nDe overheid past risicomanagement toe om tot de juiste beveiliging van informatie\n                                             en informatiesystemen te komen binnen de context van de bedrijfsdoelstellingen. Risicomanagement\n                                             is het inzichtelijk en systematisch inventariseren, beoordelen en \u2013 door het treffen\n                                             van maatregelen \u2013 beheersbaar maken van risico\u2019s en kansen, die het bereiken van de\n                                             doelstellingen van de organisatie bedreigen dan wel bevorderen, op een zodanige wijze\n                                             dat verantwoording kan worden afgelegd over de gemaakte keuzes2.\n\nDe insteek van risicomanagement in het kader van de BIO is dat er cyclisch en methodisch\n                                             vanuit een PDCA-cyclus wordt omgegaan met informatiebeveiliging. De overheidslagen\n                                             kiezen als basis voor deze procesmatige inrichting van risicomanagement en het inrichten\n                                             van de PDCA-cyclus voor de NEN/ISO 27001:20173. Voor de rijksoverheid vindt nadere specificatie plaats in de algemene voorschriften\n                                             voor de beveiliging van informatiesystemen: het Beveiligingsvoorschrift Rijksdienst4 (BVR), het Voorschrift Informatiebeveiliging Rijksdienst5 (VIR) en het Voorschrift Informatiebeveiliging Rijksdienst \u2013 Bijzondere Informatie6 (VIR-BI)\n\nVoor de BIO geldt (op basis van deze documenten van NEN/ISO 27001 en BVR, VIR en VIR-BI)\n                                             kort samengevat het volgende:\n\n\u2022 Een ruime definitie voor een informatiesysteem, namelijk \u201ceen samenhangend geheel\n                                                   van gegevensverzamelingen, en de daarbij behorende personen, procedures, processen\n                                                   en programmatuur alsmede de voor het informatiesysteem getroffen voorzieningen voor\n                                                   opslag, verwerking en communicatie\u201d7.\n\n\u2022 Het lijnmanagement is verantwoordelijk voor de beveiliging van informatie(systemen).\n\n\u2022 Informatiebeveiliging is een cyclisch proces, volgens de Plan-Do-Check-Act cyclus8.\n\n\u2022 Deze Plan-Do-Check-Act cyclus maakt het lijnmanagement verantwoordelijk voor het treffen\n                                                   van maatregelen op basis van risicomanagement.\n\n\u2022 De secretaris/algemeen directeur van een organisatie is eindverantwoordelijk9 voor deze beveiliging en voor de inrichting en werking van de beveiligingsorganisatie10.\n\n\u2022 Het lijnmanagement stelt op basis van een expliciete risicoafweging de betrouwbaarheidseisen\n                                                   voor zijn informatiesystemen vast11.\n\n\u2022 Op basis van de betrouwbaarheidseisen kiest, implementeert en draagt het lijnmanagement\n                                                   de maatregelen uit12.\n\nDe BIO is allereerst een gemeenschappelijk normenkader voor de beveiliging van de\n                                             informatie(systemen) van de overheid. Daarnaast concretiseert de BIO een aantal normen\n                                             tot verplichte overheidsmaatregelen:\n\n\u2022 op grond van wet- en regelgeving13;\n\n\u2022 vanwege de gemeenschappelijke veiligheid van informatieketens;\n\n\u2022 omdat deze fundamenteel zijn voor een betrouwbare c.q. professionele informatievoorziening.\n\nDe Baseline Informatiebeveiliging Overheid BIO is gebaseerd op de ISO 27002- standaard14.\n\nDe ISO 27002 'Code voor Informatiebeveiliging' geeft richtlijnen en principes voor\n                                             het initi\u00ebren, het implementeren, het onderhouden en het verbeteren van informatiebeveiliging\n                                             binnen een organisatie. Deze standaard is een best practice om informatiebeveiligingsrisico\u2019s\n                                             aan te pakken met betrekking tot vertrouwelijkheid, integriteit en beschikbaarheid\n                                             van de informatievoorziening. De standaard kan gezien worden als een nadere specificatie\n                                             van de ISO 27001-standaard15. De ISO 27002 kan dienen als een praktische richtlijn voor het ontwerpen van veiligheidsstandaarden\n                                             binnen een organisatie en als effectieve methode voor het bereiken van deze veiligheid.\n\nDe ISO bestaat uit 114 controls; de term \u2018control\u2019 wordt in de ISO vertaald als een\n                                             beheersmaatregel16. De BIO volgt de opbouw van de ISO 27002 en zijn controls. De controls zijn in de\n                                             BIO letterlijk17 overgenomen. Dit vergemakkelijkt afstemming met externe partners of leveranciers.\n                                             Daarnaast vult de BIO enkele bepalingen uit het VIR inzake PDCA-cyclus en verantwoordelijkheden\n                                             op een generieke wijze in18.\n\nDoor de snelle ontwikkelingen van de techniek verouderen maatregelensets voor informatiebeveiliging\n                                             snel. De BIO is daarom zo veel mogelijk op een abstractieniveau geschreven waarbij\n                                             dergelijke wijzigingen en ontwikkelingen een zo klein mogelijke impact hebben op de\n                                             maatregelen.19 De BIO beschrijft het wat en niet het hoe. Desondanks kunnen wijzigingen noodzakelijk\n                                             zijn bij bijvoorbeeld aanpassingen van onderliggende wet- en regelgeving, nieuwe of\n                                             juist verouderde handreikingen of nieuwe dreigingen en kwetsbaarheden.\n\nDit document wordt daarom regelmatig in zijn geheel ge\u00ebvalueerd en indien nodig bijgesteld.\n                                             Daarnaast wordt specifiek bezien of er wijzigingen en aanvullingen in de maatregelen\n                                             en de (operationele) handreikingen nodig of gewenst zijn om hiermee de praktische\n                                             toepasbaarheid te vergroten. Besluiten hierover worden via de bestaande informatiebeveiligingsgremia\n                                             genomen en door de beheerder van de BIO verwerkt20.\n\nDe overheid volgt de standaarden die op de \u2018pas toe of leg uit\u2019-lijst van het Forum\n                                             Standaardisatie21 (hierna het Forum) staan. De BIO is gebaseerd op de NEN-ISO/IEC 27002:2017 en vanuit\n                                             de BIO wordt verwezen naar de NEN-ISO/IEC 27001:2017, beide standaarden staan op de\n                                             \u2018pas toe of leg uit\u2019-lijst22 van het Forum. Ook een aantal technische maatregelen uit de BIO staan op de \u2018pas\n                                             toe of leg uit\u2019-lijst of op de \u2018open standaarden\u2019-lijst23 van het Forum. Deze technische invullingen zijn niet allemaal uitgewerkt in deze\n                                             BIO. Er is voor gekozen alleen aan te geven of de maatregel ingevuld wordt door een\n                                             verplichte of open standaard van het Forum. Hierdoor wordt de BIO minder onderhoudsgevoelig.\n\nOm risicomanagement hanteerbaar en effici\u00ebnt te houden, kiest de BIO voor een diepgang\n                                             van de uitwerking van het risicomanagement die proportioneel is aan de te beschermen\n                                             belangen in combinatie met relevante dreigingen. Daarom onderscheidt de BIO drie basisbeveiligingsniveaus\n                                             (BBN\u2019s). Voor BBN1 ligt de nadruk op \u2018wat mag minimaal verwacht worden?\u2019. Voor BBN2\n                                             ligt de nadruk op de bescherming van de meest voorkomende categorie\u00ebn informatie volgens\n                                             het principe \u2018valt de maatregel onder goed huisvaderschap; toont deze beveiliging\n                                             de betrouwbare overheid?\u2019. BBN324 is van toepassing op gerubriceerde informatie Departementaal Vertrouwelijk dan wel\n                                             vergelijkbaar vertrouwelijk bij andere overheidslagen, waarbij weerstand tegen statelijke\n                                             actoren of vergelijkbare dreigers nodig is.\n\nDe keuze voor een BBN wordt gemaakt door de proceseigenaar en is gebaseerd op risicomanagement.\n                                             De BIO gaat vergezeld van een methode van risicoafweging, de BBN-toets25. In Deel 2 wordt deze methode verder toegelicht26.\n\nNa de BBN-toets doorloopt het lijnmanagement alle toepasselijke controls27 uit de BIO28. Op basis van een risicoafweging wordt bepaald hoe moet worden voldaan aan de gestelde\n                                             beveiligingsdoelstellingen van de controls. Voor het voldoen aan deze doelstellingen\n                                             kunnen implementatierichtlijnen uit de ISO 27002, overheidsmaatregelen en/of operationaliseringen\n                                             in handreikingen worden gebruikt.\n\nEr geldt een hardheidsbepaling: in het geval een control voor een specifiek geval\n                                             niet van toepassing kan zijn, is de control niet van toepassing. Dit geldt bijvoorbeeld voor een control die betrekking\n                                             heeft op een externe koppeling, terwijl het betreffende informatiesysteem geen externe\n                                             koppeling heeft. De organisatie hoeft zich daar niet over te verantwoorden.\n\nIedere control is in de ISO 27002 uitgewerkt in implementatierichtlijnen. Bij het\n                                             uitvoeren van risicoafwegingen zijn de implementatierichtlijnen zeer nuttig. Ze helpen\n                                             bij het kiezen van de benodigde beveiligingsmaatregelen. Deze richtlijnen moeten dus\n                                             worden gezien als voorbeelden hoe de controls uitgewerkt kunnen worden in maatregelen; het volgen van deze richtlijnen is niet verplicht.\n\nDeze implementatierichtlijnen zijn niet in de BIO opgenomen, hiervoor wordt verwezen\n                                             naar de ISO\u00a02700.\n\nEen deel van de controls is uitgewerkt in verplichte maatregelen, omdat zij:\n\n\u2013 voortvloeien uit wet- en regelgeving Het gaat dan enkel om de beveiligingseisen die voortvloeien uit\n                                                      wet- en regelgeving. Andere vereisten vallen buiten de scope van de BIO.. Het niet treffen van een dergelijke maatregel is dan in strijd met deze externe\n                                                   wet- en regelgeving;\n\n\u2013 zo basaal zijn dat zij het fundament vormen van een betrouwbare c.q. professionele informatievoorziening;\n\n\u2013 dienstbaar zijn aan de beveiliging in een procesketen of \u2011netwerk; niet-naleving door\n                                                   een enkele organisatie is per saldo ineffectief voor de gehele keten. Het vormt een risico voor alle andere partijen in de keten\n                                                   en leidt bij hen tot extra maatregelen en kosten. Voor de keten als geheel is dit\n                                                   ineffici\u00ebnt. Voor een generieke dienst geldt een afweging die analoog is aan het ketenvraagstuk.\n\nDe BIO noemt deze verplichte maatregelen \u2018overheidsmaatregelen\u2019. De overheidsmaatregelen\n                                             dekken niet de gehele beveiligingsdoelstellingen van de control af. Net als bij de\n                                             controls geldt hier een hardheidsbepaling: in het geval een maatregel voor een specifiek\n                                             geval niet van toepassing kan zijn, vervalt de verplichting. Dit geldt bijvoorbeeld voor een overheidsmaatregel\n                                             die betrekking heeft op een externe koppeling, terwijl het betreffende informatiesysteem\n                                             geen externe koppeling heeft.\n\nBij een aantal overheidsmaatregelen zijn verwijzingen toegevoegd naar relevante wet-\n                                             en regelgeving. Deze verwijzingen zijn of overheidsbreed geldend of specifiek toegesneden\n                                             op een aandachtsgebied (bijvoorbeeld de \u2018Gedragsregeling voor de digitale werkomgeving\u2019)\n                                             en hebben een verplichtend karakter.\n\nDe BIO is generiek geschreven en geldig voor alle doelgroepen. Sommige overheidslagen\n                                             hebben specifieke wet- en regelgeving die alleen gelden binnen die overheidslaag.\n\nOm tegemoet te komen aan de behoefte van deze overheidslagen en deze specifieke wet-\n                                             en regelgeving niet verloren te laten gaan, is er aan de BIO een addendum toegevoegd.\n                                             In dit addendum is deze wet- en regelgeving gekoppeld aan de control of maatregel\n                                             waartoe zij behoren. Het addendum is toegevoegd aan de BIO in deel 3.\n\nOm de praktische toepasbaarheid van de BIO te verhogen, wordt de BIO aangevuld met\n\nhandreikingen. Dit zijn aanbevelingen in het kader van de bedrijfsvoering die geen\n                                             verplichtend karakter hebben en niet essentieel zijn voor de werking van een stelsel.\n                                             Een handreiking geeft dus advies hoe bepaalde normen, standaarden, technieken of maatregelen\n                                             te implementeren of te hanteren zijn. Een handreiking kan meer specifiek zijn toegesneden\n                                             op een overheidslaag (interdepartementaal, gemeentebreed, etc.) of op een bepaald\n                                             aandachtsgebied.\n\nIn deze BIO zijn verwijzingen opgenomen naar goede handreikingen die nu reeds beschikbaar\n                                             zijn; in de loop van de tijd kunnen hier handreikingen aan worden toegevoegd.\n\nIn het algemeen geldt dat onderdelen van de BIO op verschillende plaatsen in de organisatie\n                                             worden toegepast op grond van verschillende verantwoordelijkheden en gezagsverhoudingen.\n                                             De BIO onderscheidt drie (hoofd)rollen: de secretaris/algemeen directeur, de proceseigenaar\n                                             en de dienstenleverancier. Deze rollen zijn hieronder beschreven vanuit het perspectief\n                                             van informatiebeveiliging. Er zijn uiteraard meer rollen betrokken bij informatiebeveiliging,\n                                             zoals toezichthouder en medewerker, maar het gaat hier om de verantwoordelijke voor\n                                             de uitvoering van de control.\n\nSecretaris/algemeen directeur\n\nAls eindverantwoordelijke voor het beveiligingsbeleid in de organisatie is de secretaris/algemeen\n                                                            directeur verantwoordelijk voor de uitvoering van organisatiebrede vraagstukken ten\n                                                            aanzien van informatiebeveiliging1.\n\nIn de praktijk kan deze rol worden uitgevoerd door bijvoorbeeld de CIO of een directeur\n                                                            Inkoop2.\n\nProceseigenaar\n\nOnder de proceseigenaar wordt de lijnmanager verstaan die verantwoordelijk is voor\n                                                            de beveiliging van het betreffende proces / informatiesysteem.\n\nDienstenleverancier\n\nBedoeld wordt de dienstenleverancier (bijvoorbeeld SSO) binnen de overheid of organisaties\n                                                            in de markt waaraan de secretaris/algemeen directeur of proceseigenaar (een deel van)\n                                                            de beveiligingstaak inbesteedt respectievelijk uitbesteedt.\n\n1 In sommige organisaties heet de eindverantwoordelijke \u201csecretaris-generaal\u201d, \u201cdirecteur\u201d\n                                             of \u201cbestuursvoorzitter\u201d en moet de term \u201csecretaris/algemeen directeur\u201d als \u201csecretaris-generaal\u201d,\n                                             \u201cdirecteur\u201d of \u201cbestuursvoorzitter\u201d worden gelezen.\n\n2 Bij het Rijk kan dat bijvoorbeeld ook de beveiligingsambtenaar (BVA) zijn.\n\nIn de BIO staat aangegeven welke controls voor welke rol toepasselijk zijn. Omdat\n                                             de overheid pluriform is georganiseerd, is deze toedeling indicatief. De BIO verplicht\n                                             wel om de controls en overheidsmaatregelen die bij de rollen staan intern toe te delen\n                                             en hierbij rekening te houden met voldoende functiescheiding. In het algemeen is de\n                                             organisatie van de informatiebeveiligingsfunctie, waaronder verantwoordelijkheden,\n                                             taken en bevoegdheden, terug te vinden in het informatiebeveiligingsbeleid van de\n                                             organisatie.29\n\nZoals in paragraaf 2.1 beschreven, onderscheidt de BIO drie basisbeveiligingsniveaus\n                                          (BBN\u2019s). Ieder BBN bestaat uit een aantal controls, een aantal verplichte overheidsmaatregelen\n                                          en een verantwoordings- en toezichtregime. Elk niveau bouwt voort op het vorige niveau.\n                                          Daarbij vult BBN2 de controls van BBN1 aan. BBN2 vult ook de overheidsmaatregelen\n                                          van BBN1 aan of vervangt deze door maatregelen met meer gewicht. Hetzelfde geldt voor\n                                          BBN3 in relatie tot BBN1 en BBN2.\n\nAls informatie wordt ontvangen van derden wordt deze ontvangen informatie behandeld\n                                          conform de aanwijzingen van de afzender. Als de afzender geen markering of rubricering\n                                          meegeeft wordt de ontvangen informatie behandeld conform de classificatie-eisen van\n                                          het ontvangende proces.\n\nInformatiesystemen op BBN1 zijn systemen waarvoor BBN2 als te zwaar wordt gezien.\n                                             Het kan voorkomen dat er nog wel hogere beschikbaarheids- en integriteitseisen nodig\n                                             zijn. BBN1 is waar alle overheidssystemen als minimum aan moeten voldoen.\n\nControls en overheidsmaatregelen komen voort uit:\n\n\u2013 wet- en regelgeving;\n\n\u2013 algemeen geldende beveiligingsprincipes (fundamentele controls en maatregelen).\n\nVoor informatiesystemen binnen de overheid vormt BBN2 het uitgangspunt. BBN2 is van\n                                             toepassing indien30:\n\n\u2013 er vertrouwelijke informatie wordt verwerkt;\n\n\u2013 mogelijke incidenten leiden tot bestuurlijke commotie;\n\n\u2013 de veiligheid van andere systemen afhankelijk is van de veiligheid van het eigen systeem.\n\nHet te beschermen belang van BBN2 is maximaal Departementaal Vertrouwelijk (DepV),\n                                             (zoals gedefinieerd in het VIR-BI)/vergelijkbaar vertrouwelijk bij andere overheidslagen\n                                             en privacygevoelige informatie met een verhoogd vertrouwelijkheidsniveau. Dergelijke\n                                             informatie komt veelvuldig voor bij de overheid. Het gaat verder om commercieel vertrouwelijke\n                                             informatie of informatie in het kader van beleidsvorming; het is dus niet beperkt\n                                             tot als DepV/vergelijkbaar vertrouwelijk bij andere overheidslagen gerubriceerde informatie.\n\nBBN2-informatie wordt preventief beschermd tegen alle dreigingen met uitzondering\n                                             van geavanceerde dreigingen, zoals Advanced Persistent Threats (APT\u2019s), afkomstig\n                                             van statelijke actoren of beroepscriminelen. Daarvoor geldt een bescherming achteraf:\n                                             zij dienen te kunnen worden gedetecteerd, waarop vervolgens passend gereageerd moet\n                                             worden. Voor informatiesystemen waar Departementaal Vertrouwelijke informatie en vergelijkbaar\n                                             vertrouwelijk bij andere overheidslagen wordt verwerkt en waar weerstand tegen de\n                                             geavanceerde dreiging van statelijke actoren of gelijkwaardige beroepscriminelen is\n                                             vereist, is het BBN2 dus niet voldoende.\n\nDe controls van het BBN2 omvatten de controls van BBN1. Dit geldt ook voor de maatregelen\n                                             waarbij enkele maatregelen van BBN1 in de BBN2-variant verzwaard zijn. De keuze hiervoor\n                                             komt voort uit:\n\n\u2013 wet- en regelgeving, in het bijzonder beveiligingseisen als gevolg van WBP/AVG;\n\n\u2013 aansluitvoorwaarden van generieke/gemeenschappelijke diensten;\n\n\u2013 afhankelijkheden in ketens en netwerken;\n\n\u2013 minimale eisen ten behoeve van een effici\u00ebnte beveiliging van BBN3.\n\nBBN3 richt zich op de bescherming van als Departementaal Vertrouwelijk en vergelijkbaar\n                                             vertrouwelijk bij andere overheidslagen gerubriceerde informatie, waarbij weerstand\n                                             geboden moet worden tegen de dreiging, zoals Advanced Persistant Threats (APT\u2019s),\n                                             die uitgaat van statelijke actoren en beroepscriminelen. BBN3 is van toepassing indien:\n\n\u2013 verlies van informatie een grote impact heeft, waarvan niet uit te leggen is als deze\n                                                   niet gerubriceerd is en beschermd wordt op BBN3;\n\n\u2013 informatie met een rubricering (niet zijnde BBN2) wordt geleverd door derden;\n\n\u2013 aansluiting op een infrastructuur BBN3 is vereist om informatie te kunnen verwerken\n                                                   op deze infrastructuur (bijvoorbeeld om al op de infrastructuur aanwezige gerubriceerde\n                                                   informatie niet in gevaar te brengen).\n\nOm redenen van efficiency sluit BBN3 aan op relevante NAVO-regelgeving waarin ook\n                                             al rekening wordt gehouden met het bieden van weerstand tegen statelijke actoren31. Dit betekent dat BBN3 bestaat uit de controls en overheidsmaatregelen uit BBN2,\n                                             aangevuld met relevante eisen uit het VIR-BI, relevante bepalingen uit regelingen\n                                             andere overheidslagen en uit het NAVO-verdrag voor de beveiliging van informatie32. Niet alle delen/maatregelen zijn van toepassing voor de nationale context en voor\n                                             NATO Restricted33. In de uitwerking van BBN3 zal daarom specifiek aangegeven worden welke delen/maatregelen\n                                             van het NAVO-verdrag specifiek van toepassing zijn.\n\nDe secretaris/algemeen directeur van een organisatie is eindverantwoordelijk voor de integrale beveiliging en de inrichting en werking van de beveiligingsorganisatie34.\n\nIn die hoedanigheid is hij eindverantwoordelijk voor de implementatie van alle beveiligingskaders\n                                          in zijn organisatie, dus ook voor een juiste toepassing van de BIO.\n\nDe bestuurlijke verantwoording over de toepassing van de BIO is onderdeel van de verantwoording\n                                          over de beveiliging van informatie(systemen). Hier wordt ook verantwoording afgelegd\n                                          aan de ketenpartners met wie afspraken over de beveiliging van informatie zijn gemaakt.\n\nDe ISO 27001 en het VIR bepalen dat het lijnmanagement vaststelt dat de getroffen\n                                             maatregelen aantoonbaar overeenstemmen met de betrouwbaarheidseisen en dat deze maatregelen\n                                             worden nageleefd35. De proportionaliteit die eerder beschreven is, is ook van toepassing bij het toekennen\n                                             van het niveau waar de verantwoordelijkheid voor risicomanagement wordt belegd:\n\n\u2013 Voor BBN1 is de proceseigenaar volledig verantwoordelijk voor het nemen van (verstandige)\n                                                   beslissingen. Slechts incidenteel en op verzoek informeert deze de CISO over de stand\n                                                   van zaken met betrekking tot zijn BBN1-informatiesystemen.\n\n\u2013 Voor BBN2 geldt dat de proceseigenaar het informatiesysteem voor ingebruikname (bij\n                                                   voorkeur in ontwerp-/ontwikkelfase) ter consultatie voorlegt aan de CISO36.\n\n\u2013 Voor BBN3 geldt dat vooraf toestemming verleend moet worden door de secretaris/algemeen\n                                                   directeur voor het verwerken van bijzondere informatie (conform het VIR-BI)37. Voor het verlenen van toestemming is mandatering mogelijk naar bijvoorbeeld de CIO\n                                                   of CISO en bij het Rijk naar de BVA.\n\nOrganisaties kunnen voor BBN1 en BBN2 hiervan afwijken in het informatiebeveiligingsbeleid38.\n\nOverheidsmaatregelen die niet van toepassing zijn, hoeven niet als \u2018explain\u2019 te worden\n                                             benoemd.\n\nDe organisatie dient te beschikken over een registratie van overheidsmaatregelen waaraan\n                                             niet of nog niet geheel kan worden voldaan. Dit zijn explains volgens het \u2018comply\n                                             or explain\u2019 principe. Daarbij worden tevens de daaruit voortvloeiende risico\u2019s aangegeven.\n\nExplains ten aanzien van overheidsmaatregelen kunnen bij het samenwerken in ketens\n                                             zorgen voor een verschil in bescherming tussen partijen waardoor een risico ontstaat\n                                             voor de verwerkte (en gedeelde) informatie. Partijen met explains moeten dit afstemmen\n                                             met hun (samenwerk- of keten)partners, zodat ze samen passende maatregelen of tijdelijke\n                                             maatregelen treffen die het risico mitigeren of verkleinen zolang de explains niet\n                                             conform de BIO ge\u00efmplementeerd zijn.\n\nVoor rijksonderdelen geldt: explains die de veiligheid van andere delen van de rijksdienstonderdelen\n                                             raken, worden voorzien van een advies van de Security Accreditation Authority (SAA,\n                                             ingevuld door de Subcommissie Informatiebeveiliging) en door het ministerie voorgelegd\n                                             aan het CIO-Beraad.\n\nBinnen de overheid en met andere externe partijen wordt veel in ketens samengewerkt\n                                             en daarom vormt, zoals in paragraaf 1.1 aangegeven, de gemeenschappelijke veiligheid\n                                             van informatieketens ook een basis voor de concretisering van de overheidsmaatregelen.\n\nEen keten is een samenwerkingsverband tussen organisaties die naast hun eigen doelstellingen,\n                                             \u00e9\u00e9n of meer gemeenschappelijk gekozen (of door de politiek opgelegde) doelstellingen\n                                             nastreven. Deze ketenpartners zijn zelfstandig, maar zijn ook afhankelijk van elkaar\n                                             waar het gaat om het bereiken van de gezamenlijke (keten)doelstellingen39. Een informatieketen betreft de uitwisseling van informatie binnen zo\u2019n samenwerkingsverband.\n\nOok in het kader van ketensamenwerking kan de verantwoordelijkheid voor informatiebeveiliging\n                                             niet worden gedelegeerd.\n\nIn het geval dat een organisatie informatie aan ketenpartners toevertrouwt, blijft\n                                             deze organisatie er verantwoordelijk voor dat ketenpartners de toevertrouwde informatie\n                                             zorgvuldig beschermen. De organisatie moet daarom aansluitvoorwaarden eisen of stellen\n                                             aan de leverende of afnemende partij. Tevens moet de organisatie leveringsgaranties\n                                             bieden aan de afnemende partij. De organisatie moet hiervoor inzichtelijk hebben van\n                                             welke informatiesystemen en infrastructuren zij afhankelijk is, welke afhankelijk\n                                             zijn van haar en hoe de governance van beide hierop is ingericht.\n\nIn de BIO wordt bij het van toepassing verklaren van controls en overheidsmaatregelen\n                                             geen onderscheid gemaakt in interne of externe dienstenleveranciers. Ook bij de wijze\n                                             waarop verantwoording wordt afgelegd over hun diensten worden interne en externe dienstenleveranciers\n                                             gelijk behandeld. Dit betekent voor alle dienstenleveranciers het volgende.\n\n\u2013 Periodiek leggen alle dienstenleveranciers verantwoording af via een Statement of\n                                                   Compliance (of deel-ICV; met toepasselijke reikwijdte) aan de opdrachtgever bij de\n                                                   overheid.\n\n\u2013 De dienstenleveranciers volgen de beveiligingseisen die de overheidsorganisaties of\n                                                   ketenpartners stellen aan de diensten van de dienstenleverancier. Uit efficiencyoverwegingen\n                                                   kan een dienstenleverancier een standaard beveiligingsniveau aanbieden, maar dit doet\n                                                   geen afbreuk aan de genoemde verantwoordelijkheid van de overheidsorganisaties.\n\n\u2013 Voor diensten die aan \u00e9\u00e9n organisatie worden aangeboden, legt de dienstenleverancier\n                                                   verantwoording af aan de opdrachtgevende organisatie. De opdrachtgevende organisatie\n                                                   neemt de verantwoording op in haar ICV. De opdrachtgevende organisatie houdt ook toezicht\n                                                   op specifieke dienstverlening.\n\n\u2013 Voor diensten die aan meerdere overheden of overheidsonderdelen worden aangeboden,\n                                                   stelt de dienstenleverancier \u00e9\u00e9n verantwoording op ten behoeve van alle afnemers.\n                                                   Voor het Rijk wordt in het CIO-Beraad jaarlijks vastgesteld wie toezicht houdt op\n                                                   de beveiliging van deze diensten.\n\nNaast de verantwoording over hun diensten zijn de dienstenleveranciers ook zelf als\n                                             organisatie gebonden aan informatiebeveiligingsregels. Hierbij is wel een onderscheid\n                                             aanwezig tussen interne en externe dienstenleveranciers:\n\n\u2013 Interne dienstenleveranciers zijn, als onderdeel van de overheid, zelf ook rechtstreeks\n                                                   gebonden aan de BIO. Ze zijn daarmee gehouden aan de reguliere verantwoordings- en\n                                                   toezichtprocedures van de betreffende overheidslagen. Bij het Rijk geldt onder meer\n                                                   het toezicht vanuit de ADR, ARK en de BVA. De interne dienstenleverancier is ook gebonden\n                                                   aan het jaarlijks opleveren van een In Control Verklaring (ICV). Hierin verklaart\n                                                   de dienstenleverancier dat hij voor zijn eigen bedrijfsvoering aan de BIO voldoet\n                                                   (inclusief de overheidsmaatregelen).\n\n\u2013 Externe dienstenleveranciers zijn geen onderdeel van de overheid en zijn daarmee zelf\n                                                   niet rechtstreeks gebonden aan de BIO of het opleveren van een ICV. Ze moeten wel\n                                                   voldoen aan de eisen van de opdrachtgever. Voorwaarden ten behoeve van informatiebeveiliging\n                                                   moeten daarom in het contract zijn vastgelegd. In de BIO zijn in hoofdstuk 15 over\n                                                   leveranciersrelaties controls en overheidsmaatregelen opgenomen die moeten zorgen\n                                                   voor een goede borging van informatiebeveiliging in contracten.\n\nHet is mogelijk dat een (externe) dienstenleverancier beschikt over een kwaliteitskeurmerk\n                                             zoals een ISO 27001-certificaat of bijvoorbeeld een ISAE 3402-verklaring. De waarde\n                                             van zo\u2019n keurmerk of verklaring is afhankelijk van de reikwijdte en diepgang. Het\n                                             zegt meestal iets over het proces dat bij de dienstenleverancier is ingericht. Hoewel\n                                             dit dus wel meerwaarde heeft, overlap kent met de BIO-controls en gebruikt kan worden\n                                             als onderdeel van het Statement of Compliance, omvat en vervangt het niet volledig\n                                             de verantwoording over de overheidsmaatregelen uit de BIO. Er zullen altijd aanvullende\n                                             afspraken gemaakt moeten worden over de \u2018gap\u2019 tussen keurmerk of verklaring en de\n                                             BIO-controls. Hierover moet aanvullend worden verantwoord.\n\nHet Kader BIO bestaat uit een BBN-toets om het juiste basisbeveiligingsniveau (BBN)\n                                          te bepalen en de tabellen met de controls en maatregelen. De BBN-toets wordt voor\n                                          ieder bedrijfsproces uitgevoerd. Het BBN bepaalt welke controls vervolgens moeten\n                                          worden doorlopen. Per control moet worden bepaald welke maatregelen in aanvulling\n                                          op de verplichte overheidsmaatregelen nodig zijn. Voor meer toelichting op de opzet\n                                          van de BIO en de BBN\u2019s wordt verwezen naar Deel 1 van deze BIO.\n\nIn het document zijn de controls dan als volgt opgebouwd:\n\nOm het verschil tussen de ISO 27002 controls en de overheidsmaatregelen te duiden,\n                                          zijn ook verschillende kleurmarkeringen gebruikt:\n\nWaar passend wordt verwezen naar handreikingen om invulling te geven aan de maatregelen.\n                                          Deze handreikingen zijn niet verplicht, hebben geen nummer en zijn als een link weergegeven.\n\nIn de kolom \u2018Verantwoordelijke(n)\u2019 staat aangegeven wie voor de uitvoering van de\n                                          control verantwoordelijk is: secretaris/algemeen directeur (eindverantwoordelijke\n                                          voor de bedrijfsvoering van een organisatie), proceseigenaar en/of dienstenleverancier.\n\nBij het doorlopen van deze toets is BBN2 het uitgangspunt voor alle informatiesystemen.\n\nStap 1: Is BBN2 voldoende?\n\nMeestal is BBN2 van toepassing op een specifiek informatiesysteem. Het kan echter\n                                          zijn dat BBN2 niet voldoende is. BBN2 is onvoldoende indien:\n\n\u2013 de informatie beschermd dient te worden tegen statelijke actoren of vergelijkbare\n                                                dreigers;\n\n\u2013 informatie wordt geleverd door derden en deze voor de beveiliging van betreffende\n                                                informatie BBN3 eisen;\n\n\u2013 aansluiting op een infrastructuur het BBN3 vereist om informatie te kunnen verwerken\n                                                op deze infrastructuur (bijvoorbeeld om al op de infrastructuur aanwezige gerubriceerde\n                                                informatie niet in gevaar te brengen).\n\nIn elk van deze gevallen is BBN3 of hoger (zie VIR-BI in geval van het Rijk) van toepassing.\n\nStap 2: Is BBN2 te zwaar?\n\nBij BBN2-informatiesystemen kan het ongewenst of onbedoeld openbaren van informatie\n                                          leiden tot BBN2-schade:\n\n\u2013 Politieke schade aan een bestuurder: bestuurder moet verantwoording afleggen aan de\n                                                (gekozen) controlerende organen, bijvoorbeeld naar aanleiding van verantwoordingsvragen.\n\n\u2013 diplomatieke schade te herstellen door ambtelijke opschaling.\n\n\u2013 Financi\u00eble gevolgen: niet meer op te vangen binnen de begroting van de (uitvoerings)organisatie;\n                                                geen accountantsverklaring afgegeven.\n\n\u2013 Verlies van publiek respect; klachten van burgers of significant verlies van motivatie\n                                                van medewerkers.\n\n\u2013 Bindende aanwijzing van de Autoriteit Persoonsgegevens in verband met schending van\n                                                de privacy\n\n\u2013 Directe imagoschade, bijvoorbeeld door negatieve publiciteit.\n\nZijn dergelijke schades niet aan de orde, dan is BBN1 van toepassing.\n\nStap 3: Bepaal extra vereisten voor beschikbaarheid en/of integriteit\n\nIn het geval van BBN1: leidt uitval van systemen en/of het verminkt raken van informatie\n                                          tot schade vergelijkbaar met BBN2-schade40? In dat geval kan worden overwogen (een deel) van de BIO-controls en -maatregelen,\n                                          die toezien op beschikbaarheid dan wel integriteit op het niveau van BBN2 te nemen.\n                                          De verantwoording en het toezicht vinden plaats volgens BBN2.\n\nIn het geval van BBN2 of BBN3: leidt uitval van systemen en/of het verminkt raken\n                                          van informatie tot grotere schade dan de BBN2-schade41? In dat geval wordt op basis van expliciete risicoafweging bepaald voor welke controls\n                                          welke aanvullende en/of zwaardere maatregelen nodig zijn. De verantwoording en het\n                                          toezicht vinden plaats volgens BBN3.\n\nVoor de herkenbaarheid is gekozen om de nummering van de hoofdstukken en de controls\n                                          in lijn te houden met de nummering uit de ISO 27002.\n\nDoelstelling: Het verschaffen van directieaansturing van en -steun voor informatiebeveiliging in\n                                                overeenstemming met bedrijfseisen en relevante wet- en regelgeving.\n\nDoelstelling: Een beheerkader vaststellen om de implementatie en uitvoering van de informatiebeveiliging\n                                             binnen de organisatie te initi\u00ebren en te beheersen.\n\nDoelstelling: Het waarborgen van de veiligheid van telewerken en het gebruik van mobiele apparatuur.\n\nDoelstelling: Waarborgen dat medewerkers en contractanten hun verantwoordelijkheden begrijpen en\n                                             geschikt zijn voor de rollen waarvoor zij in aanmerking komen.\n\nDoelstelling: Ervoor zorgen dat medewerkers en contractanten zich bewust zijn van hun verantwoordelijkheden\n                                             op het gebied van informatiebeveiliging en deze nakomen.\n\nDoelstelling: Het beschermen van de belangen van de organisatie als onderdeel van de wijzigings-\n                                             of be\u00ebindigingsprocedure van het dienstverband.\n\nDoelstelling: Bedrijfsmiddelen van de organisatie identificeren en passende verantwoordelijkheden\n                                             ter bescherming defini\u00ebren.\n\nDoelstelling: Bewerkstelligen dat informatie een passend beschermingsniveau krijgt dat in overeenstemming\n                                             is met het belang ervan voor de organisatie.\n\nDoelstelling: Onbevoegde openbaarmaking, wijziging, verwijdering of vernietiging van informatie\n                                             die op media is opgeslagen voorkomen.\n\nDoelstelling: Toegang tot informatie en informatie verwerkende faciliteiten beperken.\n\nDoelstelling: Toegang voor bevoegde gebruikers bewerkstelligen en onbevoegde toegang tot systemen\n                                             en diensten voorkomen.\n\nDoelstelling: Gebruikers verantwoordelijk maken voor het beschermen van hun authenticatie-informatie.\n\nDoelstelling: Onbevoegde toegang tot systemen en toepassingen voorkomen.\n\nDoelstelling: Zorgen voor correct en doeltreffend gebruik van cryptografie om de vertrouwelijkheid,\n                                             authenticiteit en/of integriteit van informatie te beschermen.\n\nDoelstelling: Onbevoegde fysieke toegang tot, schade aan en interferentie met informatie en informatie\n                                             verwerkende faciliteiten van de organisatie voorkomen.\n\nDoelstelling: Verlies, schade, diefstal of compromittering van bedrijfsmiddelen en onderbreking\n                                             van de bedrijfsvoering van de organisatie voorkomen.\n\nDoelstelling: Correcte en veilige bediening van informatie verwerkende faciliteiten waarborgen.\n\nDoelstelling: Waarborgen dat informatie en informatie verwerkende faciliteiten beschermd zijn tegen\n                                             malware.\n\nDoelstelling: Beschermen tegen het verlies van gegevens.\n\nDoelstelling: Gebeurtenissen vastleggen en bewijs verzamelen.\n\nDoelstelling: De integriteit van operationele systemen waarborgen.\n\nDoelstelling: Benutting van technische kwetsbaarheden voorkomen.\n\nDoelstelling: De impact van auditactiviteiten op uitvoeringssystemen zo gering mogelijk maken.\n\nDoelstelling: De bescherming van informatie in netwerken en de ondersteunende informatie verwerkende\n                                             faciliteiten waarborgen.\n\nDoelstelling: Handhaven van de beveiliging van informatie die wordt uitgewisseld binnen een organisatie\n                                             en met een externe entiteit.\n\nDoelstelling: Waarborgen dat informatiebeveiliging integraal deel uitmaakt van informatiesystemen\n                                             in de gehele levenscyclus. Hiertoe behoren ook de eisen voor informatiesystemen die\n                                             diensten verlenen via openbare netwerken.\n\nDoelstelling: Bewerkstelligen dat informatiebeveiliging wordt ontworpen en ge\u00efmplementeerd binnen\n                                             de ontwikkelingslevenscyclus van informatiesystemen.\n\nDoelstelling: Bescherming waarborgen van gegevens die voor het testen zijn gebruikt.\n\nDoelstelling: De bescherming waarborgen van bedrijfsmiddelen van de organisatie die toegankelijk\n                                             zijn voor leveranciers.\n\nDoelstelling: Een overeengekomen niveau van informatiebeveiliging en dienstverlening in overeenstemming\n                                             met de leveranciersovereenkomsten handhaven.\n\nDoelstelling: Een consistente en doeltreffende aanpak bewerkstelligen van het beheer van informatiebeveiligingsincidenten,\n                                             met inbegrip van communicatie over beveiligingsgebeurtenissen en zwakke plekken in\n                                             de beveiliging.\n\nDoelstelling: Informatiebeveiligingscontinu\u00efteit behoort te worden ingebed in de systemen van het\n                                             bedrijfscontinu\u00efteitsbeheer van de organisatie.\n\nDoelstelling: Beschikbaarheid van informatie verwerkende faciliteiten bewerkstelligen.\n\nDoelstelling: Voorkomen van schendingen van wettelijke, statutaire, regelgevende of contractuele\n                                             verplichtingen betreffende informatiebeveiliging en beveiligingseisen.\n\nDoelstelling: Verzekeren dat informatiebeveiliging wordt ge\u00efmplementeerd en uitgevoerd in overeenstemming\n                                             met de beleidsregels en procedures van de organisatie.\n\nOm de BIO praktisch uitvoerbaar te maken, zijn in veel overheidsmaatregelen verwijzingen\n                                       opgenomen naar bestaande wet- en regelgeving. Deze verwijzingen hebben als voordeel\n                                       dat degene die met de BIO aan de slag gaat er concreet op gewezen wordt dat er reeds\n                                       bestaande wet- en regelgeving is waarin (beveiligings)eisen zijn vastgelegd. Bovendien\n                                       zijn deze verwijzingen zo ook in het stramien van de ISO 27002-indeling gepositioneerd.\n                                       Er is bewust gekozen voor het maken van verwijzingen en niet voor het herformuleren\n                                       om misinterpretatie te voorkomen. Voor de genoemde wet- en regelgeving geldt dat de\n                                       BIO alleen bepaalde beveiligingsaspecten heeft meegenomen. Het is niet de intentie\n                                       dat de BIO de genoemde wet- en regelgeving volledig afdekt.\n\nIn de overheidsmaatregelen zijn verwijzingen opgenomen naar de volgende wet- en regelgeving:\n\n\u2013 Ades baseline profile standard\n\n\u2013 \nAlgemeen Rijksambtenarenreglement (ARAR)\n\n\u2013 Algemene Rijksvoorwaarden bij IT-overeenkomsten (ARBIT 2016)\n\n\u2013 AVG (deze vervangt de WBP en is 25\u00a0mei 2018 van kracht geworden);\n\n\u2013 Beveiligingsvoorschrift 2013 (BVR 2013), Staatscourant. 2013, 15496\n\n\u2013 CM(2002)49\n\n\u2013 Gedragsregeling voor de digitale werkomgeving (1\u00a0juli 2016; SGO-besluit)\n\n\u2013 Het NkBR (Normenkader Beveiliging Rijkskantoren) 2015\n\n\u2013 \nInterne klokkenluidersregeling\n\n\u2013 ITIL, ASL of BiSL framework\n\n\u2013 Kader Rijkstoegangsbeleid\n\n\u2013 NCSC0classificatie\n\n\u2013 \u2018Pas toe of leg uit\u2019-lijst van het Forum Standaardisatie.\n\n\u2013 Programma van Eisen PKI Overheid\n\n\u2013 Responsible disclosure procedure\n\n\u2013 Voorschrift Informatiebeveiliging Rijksdienst (VIR2007), Staatscourant. 2007, 122/11\n\n\u2013 Voorschrift Informatiebeveiliging Rijksdienst \u2013 Bijzondere Informatie (VIR-BI 2013)\n\n\u2013 \nWet veiligheidsonderzoeken (WVO)\n\n\u2013 \nArchiefwet\n\n\u2013 \nWet structuur uitvoeringsorganisatie werk en inkomen (Wet SUWI)\n\n\u2013 \nWet basisregistratie personen (Wet BRP)\n\n\u2013 Telecommunication Infrastructure Standard for Data Centers (TIA-942)\n\nDe BIO richt zich alleen op het aspect informatiebeveiliging. Mogelijk hebben de hierboven\n                                       genoemde wetten en voorschriften een bredere werking dan alleen informatiebeveiliging.\n                                       Invoering van de BIO dekt niet altijd deze wetten en voorschriften volledig af.\n\nDe basisbeveiligingsniveaus zijn uitgewerkt langs de lijnen beschikbaarheid, integriteit\n                                       en vertrouwelijkheid. De BBN-toets helpt bij het kiezen van het best passende niveau.\n                                       De beschikbaarheidsniveaus zijn gebaseerd op de geldende beschikbaarheidsniveaus die\n                                       door de grote interne dienstenleveranciers worden gehanteerd. De vertrouwelijkheidsniveaus\n                                       zijn in lijn gebracht met de schadescenario\u2019s die gelden voor de Te Beschermen Belangen.\n                                       De onderverdeling is als volgt:\n\nBBN1: beschikbaarheid = Laag integriteit = Laag vertrouwelijkheid = Laag\n\nBBN2: beschikbaarheid = Midden integriteit = Midden vertrouwelijkheid = Midden\n\nBBN1\n\nBeschikbaarheid = Laag\n\nHet informatiesysteem mag incidenteel uitvallen voor maximaal twee weken (ook in piekperiodes)\n                                                      en dit heeft nauwelijks of geen gevolgen voor burgers/gebruikers. Uitval kan leiden\n                                                      tot beperkte schade, bijvoorbeeld:\n\n\u2013 financi\u00eble gevolgen; op te vangen binnen de vastgestelde ruimte binnen de begroting\n                                                      van de organisatie of uitvoeringsorganisatie; leidt nog niet tot het niet krijgen\n                                                      van een accountantsverklaring;\n\n\u2013 beperkt verlies van management control;\n\n\u2013 irritatie en ongemak bij burgers geventileerd in de media;\n\n\u2013 interne negatieve publiciteit (imagoschade).\n\nDeze gevolgen worden als volgt gekwantificeerd:\n\n\u2013 Kantoorautomatisering en organisatiespecifieke systemen hebben tijdens openingstijden\n                                                      een beschikbaarheid van minimaal 98% op maandbasis ook in piekperiodes.\n\n\u2013 Maximaal dataverlies 28 uur.\n\n\u2013 Maximale hersteltijd in geval van incidenten is binnen 40 werkuren (vijf werkdagen\n                                                      van 8 uur) in 85% van de gevallen.\n\nIntegriteit = Laag\n\nEr zijn geen bijzondere maatregelen noodzakelijk om de juistheid, tijdigheid en volledigheid\n                                                      van informatie te waarborgen1. Het verlies van integriteit kan leiden tot beperkte schade, bijvoorbeeld:\n\n\u2013 financi\u00eble gevolgen; op te vangen binnen de vastgestelde ruimte binnen de begroting\n                                                      van de organisatie of uitvoeringsorganisatie; leidt nog niet tot het niet krijgen\n                                                      van een accountantsverklaring;\n\n\u2013 beperkt verlies van management control;\n\n\u2013 irritatie en ongemak bij burgers geventileerd in de media;\n\n\u2013 interne negatieve publiciteit (imagoschade).\n\nVertrouwelijkheid = Laag\n\nKennisname van informatie door ongeautoriseerden (buitenstaanders) is niet gewenst,\n                                                      maar leidt niet tot schade van enige omvang. Het gaat hier om ongerubriceerde informatie.\n                                                      Het openbaar worden van deze informatie kan leiden tot:\n\n\u2013 financi\u00eble gevolgen: op te vangen binnen de begroting van de organisatie of uitvoeringsorganisatie;\n\n\u2013 irritatie en ongemak bij burgers geventileerd in de media;\n\n\u2013 interne negatieve publiciteit (imagoschade).\n\n1 VIR-definitie.\n\nBBN3: beschikbaarheid = Midden integriteit = Midden vertrouwelijkheid = Hoog\n\nBBN2\n\nBeschikbaarheid = Midden\n\nHet informatiesysteem mag beperkt korte tijd uitvallen voor maximaal \u00e9\u00e9n week (ook\n                                                      in piekperiodes) en dit heeft voelbare gevolgen voor burgers/gebruikers. Uitval kan\n                                                      leiden tot beperkte schade, bijvoorbeeld:\n\n\u2013 politieke schade aan een bestuurder: bestuurder moet zich verantwoorden naar aanleiding\n                                                      van verantwoordingsvragen;\n\n\u2013 diplomatieke schade te herstellen door ambtelijke opschaling;\n\n\u2013 financi\u00eble gevolgen: niet meer op te vangen binnen de vastgestelde ruimte binnen\n                                                      de begroting van de (uitvoerings)organisatie; geen accountantsverklaring afgegeven;\n\n\u2013 belangrijk verlies van management control;\n\n\u2013 verlies van publiek respect; klachten van burgers;\n\n\u2013 organisatiebrede negatieve publiciteit (imagoschade) of significant verlies van\n                                                      motivatie van medewerkers.\n\nDe beschikbaarheid wordt als volgt gekwantificeerd:\n\n\u2013 Kantoorautomatisering en organisatiespecifieke systemen hebben tijdens openingstijden\n                                                      een beschikbaarheid van minimaal 98% op maandbasis ook in piekperiodes.\n\n\u2013 Maximaal dataverlies 24 uur.\n\n\u2013 Maximale hersteltijd in geval van incidenten is binnen 16 werkuren (twee dagen van\n                                                      8 uur).\n\nIntegriteit = Midden\n\nEr zijn passende maatregelen noodzakelijk om de juistheid, tijdigheid en volledigheid\n                                                      (VIR-definitie) te waarborgen. Het verlies van integriteit kan leiden tot forse schade,\n                                                      bijvoorbeeld:\n\n\u2013 politieke schade aan een bestuurder: bestuurder moet zich verantwoorden naar aanleiding\n                                                      van verantwoordingsvragen;\n\n\u2013 diplomatieke schade te herstellen door ambtelijke opschaling;\n\n\u2013 financi\u00eble gevolgen: niet meer op te vangen binnen de vastgestelde ruimte binnen\n                                                      de begroting van de (uitvoerings)organisatie; geen accountantsverklaring afgegeven;\n\n\u2013 belangrijk verlies van management control;\n\n\u2013 verlies van publiek respect; klachten van burgers;\n\n\u2013 organisatiebrede negatieve publiciteit (imagoschade) of significant verlies van\n                                                      motivatie van medewerkers.\n\nVertrouwelijkheid = Midden\n\nBescherming van gegevens en andere te beschermen belangen in de processen van de overheid,\n                                                      waar onder andere vertrouwelijkheid aan de orde is, omdat het om gevoelige informatie\n                                                      gaat.\n\nHet openbaar worden van de gegevens kan leiden tot:\n\n\u2013 politieke schade aan een bestuurder: bestuurder moet zich verantwoorden naar aanleiding\n                                                      van verantwoordingsvragen;\n\n\u2013 diplomatieke schade te herstellen door ambtelijke opschaling;\n\n\u2013 financi\u00eble gevolgen: niet meer op te vangen binnen de begroting van de (uitvoerings)organisatie;\n                                                      geen accountantsverklaring afgegeven;\n\n\u2013 verlies van publiek respect; klachten van burgers of significant verlies van motivatie\n                                                      van medewerkers;\n\n\u2013 bindende aanwijzing van de AP in verband met schending van de privacy;\n\n\u2013 directe imagoschade, bijvoorbeeld door negatieve publiciteit.\n\nBBN3\n\nBeschikbaarheid = Midden\n\nHet informatiesysteem mag beperkt korte tijd uitvallen voor maximaal \u00e9\u00e9n week (ook\n                                                      in piekperiodes) en dit heeft voelbare gevolgen voor burgers/gebruikers. Uitval kan\n                                                      leiden tot beperkte schade, bijvoorbeeld:\n\n\u2013 politieke schade aan een bestuurder: bestuurder moet zich verantwoorden naar aanleiding\n                                                      van verantwoordingsvragen;\n\n\u2013 diplomatieke schade te herstellen door ambtelijke opschaling;\n\n\u2013 financi\u00eble gevolgen: niet meer op te vangen binnen de vastgestelde ruimte binnen\n                                                      de begroting van de (uitvoerings)organisatie; geen accountantsverklaring afgegeven;\n\n\u2013 belangrijk verlies van management control;\n\n\u2013 verlies van publiek respect; klachten van burgers;\n\n\u2013 organisatiebrede negatieve publiciteit (imagoschade) of significant verlies van\n                                                      motivatie van medewerkers.\n\nDe beschikbaarheid wordt als volgt gekwantificeerd:\n\n\u2013 Kantoorautomatisering en organisatiespecifieke systemen hebben tijdens openingstijden\n                                                      een beschikbaarheid van minimaal 98% op maandbasis ook in piekperiodes.\n\n\u2013 Maximaal dataverlies 24 uur.\n\n\u2013 Maximale hersteltijd in geval van incidenten is binnen 16 werkuren (twee dagen van\n                                                      8 uur).\n\nIntegriteit = Midden\n\nEr zijn passende maatregelen noodzakelijk om de juistheid, tijdigheid en volledigheid\n                                                      (VIR-definitie) te waarborgen. Het verlies van integriteit kan leiden tot forse schade,\n                                                      bijvoorbeeld:\n\n\u2013 politieke schade aan een bestuurder: bestuurder moet zich verantwoorden naar aanleiding\n                                                      van verantwoordingsvragen;\n\n\u2013 diplomatieke schade te herstellen door ambtelijke opschaling;\n\n\u2013 financi\u00eble gevolgen: niet meer op te vangen binnen de vastgestelde ruimte binnen\n                                                      de begroting van de (uitvoerings)organisatie; geen accountantsverklaring afgegeven;\n\n\u2013 belangrijk verlies van management control;\n\n\u2013 verlies van publiek respect; klachten van burgers;\n\n\u2013 organisatiebrede negatieve publiciteit (imagoschade) of significant verlies van\n                                                      motivatie van medewerkers.\n\nVertrouwelijkheid = Hoog\n\nVerlies van informatie heeft een grote impact, waarvan niet uit te leggen is als deze\n                                                      niet gerubriceerd is en beschermd wordt op het niveau van BBN3:\n\n\u2013 informatie wordt door derden geleverd met een rubricering (niet zijnde BBN2);\n\n\u2013 aansluiting op een infrastructuur vereist BBN3 (bijvoorbeeld om al op de infrastructuur\n                                                      aanwezige gerubriceerde informatie niet in gevaar te brengen) om informatie te kunnen\n                                                      verwerken op deze infrastructuur;\n\n\u2013 weerstand tegen statelijke actoren is noodzakelijk.\n\nIn dit addendum worden alle eisen genoemd die specifiek en verplichtend zijn voor\n                                          een bepaalde overheidslaag. Omdat de rijksoverheid een aantal specifieke documenten\n                                          heeft zoals het VIR, VIR-BI, die niet gelden voor andere overheidslagen, zijn deze\n                                          nadrukkelijk opgenomen in dit addendum. Voorts zijn teksten opgenomen die niet goed\n                                          te verwerken waren in de eerste twee delen en dit komt dan voornamelijk door de rol\n                                          van het NCSC voor de rijksoverheid en de aanwezigheid van een aantal sectorale CERT\u2019s\n                                          bij de andere overheidslagen.\n\nHet addendum is aanvullend op de teksten en normen uit deel 1 en 2."}