De BIO en de Omgevingswet

===Context===
Met de invoering van de nieuwe Omgevingswet vinden er op verschillende aspecten veranderingen plaats binnen gemeenten. Een belangrijke verandering is het gebruik van het Digitale Stelsel Omgevingswet, het DSO. De invoering van het DSO heeft impact op een groot aantal informatievoorzieningen, zoals die momenteel binnen de bevoegde gezagen voor komen. 
Dit document helpt bevoegde gezagen, met in het bijzonder Nederlandse Gemeenten, om de juiste acties te nemen en maatregelen te treffen om veilig met gegevens te werken die binnen de uitvoer van de Omgevingswet noodzakelijk zijn.
Nieuw normenkader voor alle overheden
In 2020 geldt voor de gehele Nederlandse overheid één uniform normenkader voor informatiebeveiliging, de Baseline Informatiebeveiliging Overheid (BIO). Voorheen hanteerden gemeenten de Baseline Informatiebeveiliging voor Nederlandse Gemeenten (BIG) als normenkader. Rijk, de waterschappen en provincies hanteren hun eigen respectievelijke normen, de BIR, BIWA en IBI. Deze zijn nu samen met de BIG gebundeld in de Baseline Informatiebeveiliging Overheid (BIO). De nieuwe baseline is het nieuwe normenkader voor alle overheden. De aanleiding voor de nieuwe baseline komt voort uit de verandering van de ISO. Het feit dat de BIO een gezamenlijke baseline is, voorkomt dat alle overheidslagen voor zichzelf een nieuwe baseline moeten opstellen. De BIO zal gezamenlijk beheerd worden, onder regie van het ministerie van BZK. Er wordt een wijzigingsproces ingericht waarin alle overheidslagen wijzigingen kunnen voorstellen.
Gemeenten hanteren vanaf 1 januari 2020 samen met de rijksoverheid, de waterschappen en de provincies dit uniforme normenkader voor informatiebeveiliging. 2019 is een overgangsjaar waarin gemeenten zich kunnen voorbereiden op de BIO. Voor de inrichting van informatiebeveiligingsmaatregelen kunnen gemeenten gebruik maken van de ondersteuningsproducten van de IBD. Om gemeenten te begeleiden bij de implementatie van de BIO heeft de IBD de set aan BIG-ondersteuningsproducten aangepast aan de nieuwe situatie. 
De BIO is gericht op de Informatiebeveiliging binnen de gehele gemeente. Echter zijn voor de invoering van de Omgevingswet niet alle normen uit de BIO relevant. In dit document wordt de verbinding gemaakt tussen de relevante normen uit de BIO en de aspecten binnen de Omgevingswet. Het uitgangspunt is dat de verwerkte gegevens met passende beveiligingsmaatregelen beschermd zijn, zoals dat vereist is door de geldende regelgeving en wetten. 
Privacywetgeving
De privacywetgeving, de Algemene Verordening Gegevensbescherming (Nederlands: AVG, Internationaal: General Data Protection Regulation (GDPR)), is ook van toepassing op de gegevens welke worden verwerkt ten dienste van de Omgevingswet. Om gemeenten ook hierbij te helpen zijn er hulpmiddelen ontwikkeld, gericht op de privacywetgeving. Zie hiervoor de de frequently asked questions (FAQ) privacy en security Omgevingswet.
Dit document richt zich op het aspect Informatiebeveiliging binnen de Omgevingswet. De specifieke privacyaspecten zijn beschreven in bovengenoemd document.
===Doel===
Binnen de Nederlandse gemeenten is niet altijd de capaciteit of kennis aanwezig om de Informatiebeveiligingsaspecten die de implementatie van de Omgevingswet met zich meebrengt afdoende te adresseren. Om in deze gevallen de gemeenten te ondersteunen bij de correcte implementatie van de Omgevingswet is dit document ontwikkeld.
Dit document helpt Nederlandse gemeenten (en in een aantal gevallen ook andere Nederlandse bevoegde gezagen) om Informatievoorzieningen en de processen daaromheen te implementeren en/of aan te passen en daarmee te voldoen aan de gestelde normen in de BIO.
Op deze wijze kunnen gemeenten op gestructureerde wijze kennis vergaren en de IB- aspecten adresseren, met een zo laag mogelijke belasting van de beschikbare medewerkers.
Waar in dit document gesproken wordt over gemeente of gemeenten, worden daar ook de gemeentelijke samenwerkingsverbanden bedoeld.
===Doelgroep===
Dit document is bedoeld voor medewerkers die inhoudelijk en operationeel met informatiebeveiliging en informatievoorzieningen bezig zijn. Het bevat verbindingen tussen relevante normen uit de BIO naar concrete richtlijnen en maatregelen die bij de implementatie van de Omgevingswet gebruikt kunnen worden. 
===Aanbeveling===
Om IB&P aspecten binnen de Omgevingswet goed te adresseren is het aan te raden de volgende zaken aandacht te geven:
* Zorg voor bestuurlijk bewustzijn en draagvlak.
* Maak management bewust van hun verantwoordelijkheid.
* Betrek tijdig de juiste expertise.
* Realiseer de relevante normen, zoals beschreven in dit document.
* Betrek uw leveranciers.
===Leeswijzer===
===Structuur===
Dit document is verdeeld in vier aandachtsgebieden. 
Het eerste aandachtsgebied is beschreven in de hoofdstukken 1 t/m 4. Deze hoofdstukken richten zich op de context, afbakening en de omgeving waarbinnen zaken met betrekking tot IB&P en de Omgevingswet zich afspelen. Dit is relevant om de andere drie aandachtsgebieden te kunnen positioneren.
De andere drie aandachtsgebieden hebben een overeenkomend karakter. Ze bevatten relevante inhoudelijke normen waar men binnen de Omgevingswet rekening mee moet houden. Deze normen zijn uitgesplitst in drie expertisegebieden, namelijk:
# Relevante normen in relatie met de organisatie.
# Relevante normen in relatie met processen.
# Relevante normen in relatie met techniek.
===Gerelateerde documenten===
Titel
Auteur
Jaartal
Omschrijving
BIO
IBD / VNG Realisatie
2019
Versie 1.03 Baseline Informatiebeveiliging Overheid (BIO)
Baselinetoets BBN BIO
IBD / VNG Realisatie
2019
Versie 1.02 Baselinetoets BBN BIO
PTLU
Forum Standaardisatie
Actueel
Pas-toe-of-leg-uit
AVG
Europese Unie
2016
Algemene Verordening Gegevensbescherming
ISO 2700x
International Organization for Standardization
2013
ISO/IEC 27000:2018
ISO/IEC 27001:2013
ISO/IEC 27002:2013
ISO/IEC 27005:2018
GEMMA
VNG Realisatie/ VNG
Actueel
GEMMA Online
Category:Omgevingswet