Title: wetten.nl - Regeling - Besluit voorschrift informatiebeveiliging rijksdienst 1994 - BWBR0006836

Source: https://wetten.overheid.nl/BWBR0006836/

Content:
{"title": "wetten.nl - Regeling - Besluit voorschrift informatiebeveiliging rijksdienst 1994 - BWBR0006836", "content": "Besluit voorschrift informatiebeveiliging rijksdienst 1994\n\nDe Minister-President,\n\nOverwegende,\n\ndat het functioneren van de rijksdienst, zowel intern als in relatie met de maatschappij,\n                                          in belangrijke mate bepaald wordt door de integriteit, beschikbaarheid en exclusiviteit\n                                          van de ondersteunende informatiesystemen en de daarin opgenomen informatie,\n\ndat behoefte bestaat aan een uniform beleidskader met betrekking tot informatiebeveiliging,\n                                          dat op hoofdlijnen vastlegt hoe het informatiebeveiligingsbeleid binnen de rijksdienst\n                                          dient te worden gevormd en gevoerd,\n\ndat de zorgplicht die is neergelegd in algemene en specifieke wet- en regelgeving\n                                          met betrekking tot het gebruik van informatie en informatiesystemen mede noodzaakt\n                                          tot het treffen van informatiebeveiligingsmaatregelen en dat het wenselijk is de voorschriften\n                                          voor de informatiebeveiliging in de rijksdienst te actualiseren.\n\nGelet op artikel 9 van het Besluit Informatievoorziening in de Rijksdienst 1990\n\nHandelend in overeenstemming met het gevoelen van de ministerraad;\n\nBesluit:\n\n[Regeling vervallen per 01-07-2007]\n\nIn dit besluit wordt verstaan onder:\n\nhet vaststellen in hoeverre bestuurs- of bedrijfsprocessen die door informatiesystemen\n                                          ondersteund worden, afhankelijk zijn van de betrouwbaarheid van deze systemen en het\n                                          vaststellen welke potenti\u00eble schades kunnen optreden als gevolg van het falen van\n                                          deze informatiesystemen;\n\nde mate waarin een informatiesysteem in bedrijf is op het moment dat de organisatie\n                                          het nodig heeft;\n\nde mate waarin de organisatie zich kan verlaten op een informatiesysteem voor zijn\n                                          informatievoorziening;\n\nopsomming van alle maatregelen welke tot uitvoering moeten komen indien zich een\n                                          situatie voordoet waarbij de beschikbaarheid, integriteit en/of exclusiviteit van\n                                          een informatiesysteem in beduidende mate niet aan de eisen voldoen;\n\nde mate waarin de toegang tot en de kennisname van een informatiesysteem en de informatie\n                                          daarin is beperkt tot een gedefinieerde groep van gerechtigden;\n\nhet treffen en onderhouden van een samenhangend pakket van maatregelen ter waarborging\n                                          van de beschikbaarheid, integriteit en exclusiviteit van een informatiesysteem en\n                                          daarmee van de informatie daarin;\n\nopsomming van alle beveiligingsmaatregelen en/of de vindplaatsen daarvan welke voor\n                                          een informatiesysteem of een verantwoordelijkheidsgebied van kracht zijn;\n\neen geheel van gegevensverzamelingen, personen, procedures, programmatuur en opslag-,\n                                          verwerkings- en communicatie-apparatuur;\n\nde mate waarin een informatiesysteem zonder fouten is;\n\nde mate waarin het geheel van eigenschappen van een informatiesysteem voldoet aan\n                                          de uit het gebruiksdoel voortvloeiende eisen;\n\nhet vaststellen van de invloed van het manifest worden van bedreigingen op het functioneren\n                                          van een informatiesysteem of een verantwoordelijkheidsgebied;\n\nde zorg voor het functioneren van een deel van een informatiesysteem;\n\nde zorg voor het ontwikkelen, kopen, huren e.d. en het uitvoeren van aanpassingen\n                                          aan (delen van) een informatiesysteem zoals procedures, programmatuur en/of apparatuur;\n\neen geheel van voorzieningen dat ter beschikking staat aan een of meerdere informatiesystemen\n                                          en waarvoor de verantwoordelijkheid eenduidig is toe te wijzen aan \u00e9\u00e9n organisatorische\n                                          eenheid;\n\n[Regeling vervallen per 01-07-2007]\n\na. Dit voorschrift geldt voor de Rijksdienst waartoe gerekend worden de ministeries met\n                                          de daaronder ressorterende diensten, bedrijven en instellingen.\n\nb. Dit voorschrift geldt voor het gehele proces van informatievoorziening en de gehele\n                                          levenscyclus van informatiesystemen, ongeacht de toegepaste technologie en ongeacht\n                                          het karakter van de informatie.\n\nc. Informatiebeveiliging is een lijnverantwoordelijkheid en vormt een onderdeel van de\n                                          kwaliteitszorg voor bedrijfs- en bestuursprocessen en de ondersteunende informatiesystemen.\n\nd. Informatische relaties tussen een departement en een andere instantie gaan vergezeld\n                                          van schriftelijke afspraken over het vereiste betrouwbaarheidsniveau en de wijze waarop\n                                          zekerheid wordt verkregen over de realisatie daarvan.\n\n[Regeling vervallen per 01-07-2007]\n\nDe secretaris-generaal van een departement stelt het informatiebeveiligingsbeleid\n                                    vast in een beleidsdocument en draagt dit beleid uit. Het document omvat tenminste:\n\na. De strategische uitgangspunten en randvoorwaarden die het departement hanteert ten\n                                          aanzien van informatiebeveiliging, met name de inbedding in en afstemming op het algemene\n                                          beveiligingsbeleid en het informatievoorzieningsbeleid.\n\nb. De organisatie van de informatiebeveiligingsfunctie, waaronder verantwoordelijkheden,\n                                          taken en bevoegdheden.\n\nc. De eenduidige en volledige indeling van informatievoorzieningsfaciliteiten in informatiesystemen\n                                          en verantwoordelijkheidsgebieden en toewijzing van de verantwoordelijkheden daarvoor\n                                          aan lijnmanagers.\n\nd. De wijze waarop het beleid vertaald wordt naar concrete maatregelen en de wijze waarop\n                                          deze gefinancierd worden.\n\ne. De gemeenschappelijke betrouwbaarheidseisen en maatregelen die voor het departement\n                                          van toepassing zijn.\n\nf. De wijze waarop geconstateerde dan wel vermoede inbreuken op de informatiebeveiliging\n                                          door medewerkers gemeld worden en de wijze waarop deze worden afgehandeld.\n\ng. De wijze waarop en de frequentie waarmee volgens een vastgesteld schema (i) het informatiebeveiligingsbeleid\n                                          ge\u00ebvalueerd wordt en (ii) de toereikendheid van het informatiebeveiligingsbeleid alsmede\n                                          de implementatie en de uitvoering daarvan wordt beoordeeld door een onafhankelijke\n                                          deskundige.\n\nh. De wijze waarop het beveiligingsbewustzijn wordt bevorderd.\n\n[Regeling vervallen per 01-07-2007]\n\nHet lijnmanagement draagt er zorg voor dat voor elk informatiesysteem en voor elk\n                                    verantwoordelijkheidsgebied op systematische wijze bepaald wordt welk stelsel van\n                                    maatregelen uit hoofde van informatiebeveiliging getroffen dient te worden. Deze zorgplicht\n                                    omvat tenminste:\n\na. Voor elk informatiesysteem wordt een afhankelijkheidsnanalyse uitgevoerd, uitmondend\n                                          in aan het informatiesysteem te stellen betrouwbaarheidseisen.\n\nb. Voor elk verantwoordelijkheidsgebied wordt een analyse uitgevoerd, uitmondend in aan\n                                          het verantwoordelijkheidsgebied te stellen betrouwbaarheidseisen.\n\nc. Voor elk informatiesysteem en voor elk verantwoordelijkheidsgebied worden de bedreigingen\n                                          ge\u00efdentificeerd en geanalyseerd.\n\nd. Voor elk informatiesysteem en voor elk verantwoordelijkheidsgebied worden dusdanig\n                                          maatregelen gekozen dat door middel van een kwetsbaarheidsanalyse aangetoond kan worden\n                                          dat aan de gestelde betrouwbaarheidseisen wordt voldaan.\n\ne. Voor elk informatiesysteem en voor elk verantwoordelijkheidsgebied wordt een informatiebeveiligingsplan\n                                          opgesteld. Hierin is een calamiteitenparagraaf opgenomen waarvan de effectiviteit\n                                          periodiek wordt getoetst.\n\nf. Elk informatiebeveiligingsplan wordt periodiek ge\u00ebvalueerd en eventueel aangenast\n                                          aan veranderde omstandiglteden.\n\n[Regeling vervallen per 01-07-2007]\n\nHet lijnmanagement draagt er zorg voor dat voor elk bestuurs- of bedrijfsproces de\n                                    maatregelen die uit hoofde van de informatiebeveiliging van toepassing zijn op de\n                                    ondersteunende informatiesystemen worden vastgelegd, ge\u00efmplementeerd en/of uitgedragen\n                                    en dat de werking ervan volgens een vastgesteld schema wordt gecontroleerd. Deze zorgplicht\n                                    betreft tenminste:\n\na. Voor elk informatiesysteem worden de uit het informatiebeveiligingsplan voortvloeiende\n                                          maatregelen voor de gebruikers vastgelegd en uitgedragen door het lijnmanagement.\n\nb. Voor elk informatiesysteem worden de uit het informatiebeveiligingsplan voortvloeiende\n                                          maatregelen voor systeemexploitatie schriftelijk vastgelegd.\n\nc. Indien de systeemexploitatie geheel of gedeeltelijk is uitbesteed, dient volgens een\n                                          vastgesteld schema een onafhankelijk oordeel over de kwaliteit van de bij de opdrachtnemer\n                                          getroffen informatiebeveiligingsmaatregelen en over het handhaven en naleven daarvan\n                                          te worden verlangd.\n\nd. Voor elk informatiesysteem worden de uit het informatiebeveiligingsplan voortvloeiende\n                                          maatregelen voor systeemverwerving door het lijnmanagement schriftelijk vastgelegd.\n\ne. De uit het informatiebeveiligingsplan voortvloeiende maatregelen voor systeemverwerving\n                                          worden getoetst op hun implementatie en werking.\n\n[Regeling vervallen per 01-07-2007]\n\na. Ingetrokken worden:\n\n1. de Aanwijzingen inzake de beveiliging van persoonsgegevens, verwerkt en opgeslagen\n                                                in geautomatiseerde gegevensverwerkende systemen bij de Rijksoverheid, vastgesteld\n                                                bij besluit van de minister-president van 16 juli 1982;\n\n2. Het Voorschrift inzake de beveiliging van gerubriceerde gegevens, verwerkt en opgeslagen\n                                                in geautomatiseerde systemen bij de Rijksoverheid, vastgesteld bij besluit van de\n                                                minister-president van 25 maart 1980.\n\nb. Dit besluit treedt in werking met ingang van 1 januari 1995.\n\nc. Dit besluit kan worden aangehaald als het Besluit voorschrift informatiebeveiliging\n                                          rijksdienst 1994.\n\nDit besluit zal worden gepubliceerd in de Staatscourant. Van de terinzagelegging van\n                                          de toelichting op het besluit zal mededeling worden gedaan in de Staatscourant.\n\n's-Gravenhage, 22 juli 1994\n\nMinister-President\n\nMinister\n\nR. F. M. Lubbers"}