Vaststelling van de begroting van de uitgaven en ontvangsten van het Ministerie van Binnenlandse Zaken (VII) voor 1998; Verslag schriftelijk overleg over de brief van staatssecretaris Kohnstamm (BiZa) over de rapportage informatiebeveiliging
Staten-Generaal — Kamerstuk 
Datum: 2014-07-11 00:00:00.000000
Rechtsgebied: Wetgeving


(function (window, document, dataLayerName, id) {
 window[dataLayerName] = window[dataLayerName] || [], window[dataLayerName].push({ start: (new Date).getTime(), event: "stg.start" }); var scripts = document.getElementsByTagName('script')[0], tags = document.createElement('script');
 function stgCreateCookie(a, b, c) { var d = ""; if (c) { var e = new Date; e.setTime(e.getTime() + 24 * c * 60 * 60 * 1e3), d = "; expires=" + e.toUTCString() } document.cookie = a + "=" + b + d + "; path=/; Secure" }
 var isStgDebug = (window.location.href.match("stg_debug") || document.cookie.match("stg_debug")) && !window.location.href.match("stg_disable_debug"); stgCreateCookie("stg_debug", isStgDebug ? 1 : "", isStgDebug ? 14 : -1);
 var qP = []; dataLayerName !== "dataLayer" && qP.push("data_layer_name=" + dataLayerName), qP.push("use_secure_cookies"), isStgDebug && qP.push("stg_debug"); var qPString = qP.length > 0 ? ("?" + qP.join("&")) : "";
 tags.async = !0, tags.src = "https://koop.piwik.pro/containers/" + id + ".js" + qPString, scripts.parentNode.insertBefore(tags, scripts);
 !function (a, n, i) { a[n] = a[n] || {}; for (var c = 0; c < i.length; c++)!function (i) { a[n][i] = a[n][i] || {}, a[n][i].api = a[n][i].api || function () { var a = [].slice.call(arguments, 0); "string" == typeof a[0] && window[dataLayerName].push({ event: n + "." + i + ":" + a[0], parameters: [].slice.call(arguments, 1) }) } }(i[c]) }(window, "ppms", ["tm", "cm"]);
 })(window, document, 'dataLayer', 'f8b9eee5-8d9c-4ea1-abd5-83e174f29813');
 
 
 
Direct naar content
Navigatie
Contextinformatie
Publicatie
Acties
Inhoudsopgave
Gerelateerde informatie

Menu

U bent nu hier: 
Publicaties
Officiële publicaties

Inloggen

Primaire navigatie

Andere sites binnen Overheid.nl
Home
Uitgebreid zoeken
Mijn abonnementen
Help

Andere sites binnen Overheid.nl

Berichten over uw Buurt
Zoals vergunningen, bouwplannen en lokale regelgeving.

Rondom uw woonadres
Rondom een zelfgekozen adres

Dienstverlening
Zoals belastingen, uitkeringen en subsidies.

Naar dienstverlening

Beleid & regelgeving
Officiële publicaties van de overheid.

Naar beleid & regelgeving

Contactgegevens overheden
Adressen en contactpersonen van overheidsorganisaties.

Naar overheidsorganisaties

 
 
 
U bent hier:

Home

Kamerstuk 25600-VII, nr. 25

 
 
 

Kamerstuk

Datum publicatie
Organisatie
Vergaderjaar
Dossier- en ondernummer
Datum vergadering

11-11-1997

Tweede Kamer der Staten-Generaal

1997-1998

25600-VII nr. 25

05-11-1997

 

 

 
 
 Toon meer van: Inhoudsopgave
 
 

 
 AanhefLichaamOndertekeningLichaamNaar aanleiding van de aanbiedingsbrief 12345678Naar aanleiding van de voortgangsrapportage 9101112131415161718192021222324
 

 
 
 Toon meer van: Extra informatie
 
 

 
 

Informatie over publicatie

 

 

 
 Toon meer van: Gerelateerd
 
 

 
 Publicaties in kamerdossier

Kamerdossier 25600-VIIToon alle publicaties in het hoofddossier

 

 
 
 Geconsolideerde regelgeving

 

 
 
 Geconsolideerde regelgeving

 

 
 
 Publicaties referendum

 

 

 

 

 

Authentieke versie (PDF)
bestandsgrootte: 27 Kb

Informatie

Gerelateerd

Printen

Delen

 
 
 
25 600 VIIVaststelling van de begroting van de uitgaven en de ontvangsten van
het Ministerie van Binnenlandse Zaken (VII) voor het jaar 1998nr. 25VERSLAG VAN EEN SCHRIFTELIJK OVERLEGVastgesteld 5 november 1997De vaste commissie voor Binnenlandse Zaken1
heeft de volgende lijst van vragen opgesteld over de brief van de staatssecretaris
van Binnenlandse Zaken, mr J. Kohnstamm, van 5 juni 1997 inzake de rapportage
informatiebeveiliging (Biza-97–486).De staatssecretaris van Binnenlandse Zaken heeft de vragen beantwoord
bij brief van 24 oktober 1997.De vragen en antwoorden zijn hierna afgedrukt.De voorzitter van de commissie,De CloeDe griffier van de commissie,Coenen Naar aanleiding van de aanbiedingsbrief 1In de aanbiedingsbrief staat dat de meeste ministeries per 1 januari
1997 niet volledig voldoen aan het Voorschrift Informatiebeveiliging (VIR).
Waarom schrijft de staatssecretaris niet dat de implementatie uiterst traag
verloopt?Het gaat bij de implementatie van het nieuwe Voorschrift Informatiebeveiliging
Rijksdienst om een omvangrijk veranderingstraject dat binnen de Rijksoverheid
wordt uitgevoerd. In dit traject worden de oude, bestaande aanwijzingen, op
individueel niveau genomen maatregelen en beveiligingsplannen vervangen door
beleidsdocumenten en plannen die volgens de systematiek van het VIR worden
opgezet. Zoals in het rapport is aangegeven maakt het terrein van informatiebeveiliging
een evolutie door van geïsoleerd specialisme tot normale managementtaak.
Deze evolutie vraagt om de nodige zorgvuldigheid zodat de goede reeds genomen
maatregelen op de juiste manier aangevuld kunnen worden met nog noodzakelijke
maatregelen en daarmee tegelijkertijd onder de werkingssfeer van het VIR gebracht
kunnen worden. 2Welk type interventies heeft de staatssecretaris voor zijn coördinatie
nodig, teneinde de processen van bewustwording en implementatie van het VIR
op de ministeries te versnellen?De samenwerking tussen de ministeries is ingebed in het door mij ingestelde
IB-beraad en deze verloopt constructief en in goede harmonie. Bewustwording
en implementatie staan hoog op de agenda, waarmee de ministeries vanuit hun
eigen verantwoordelijkheid druk bezig zijn. Ik zie op dit moment dan ook geen
aanleiding voor andere interventies. 3Wie c.q. welke instantie houdt op welke wijze toezicht op de wijze
waarop het VIR in de ministeries wordt doorgevoerd?Binnen een ministerie is de Secretaris-Generaal verantwoordelijk voor
het toezicht. Daarbij wordt hij ondersteund door onafhankelijke deskundigen,
bijvoorbeeld de departementale accountantsdiensten, die ingevolge het VIR
periodiek dienen te rapporteren over opzet en werking van het beveiligingsbeleid,
de beveiligingsplannen en de daaruit voortvloeiende maatregelen. Daarnaast
heeft de Algemene Rekenkamer een controlerende taak, alsmede het Parlement.
Voor specifieke situaties zijn de desbetreffende instanties aangewezen, bijvoorbeeld
de Registratiekamer bij het toezicht op de Wet Persoonsregistraties. 4Een kernprobleem bij informatiebeveiliging is de grote afstand tussen
de politiek-ambtelijke top van een ministerie enerzijds en de beheerswereld
van zo'n ministerie anderzijds. De beleidsagenda's en de taal verschillen
veelal enorm. Wat wordt er nu feitelijk – buiten de normale bureaucratische
procedures – ondernomen om die kloof te dichten?Vanaf de aanvang is bij het inrichten van de structuur van de organisatie
van de informatiebeveiligingsfunctie met deze problematiek rekening gehouden.
Zo zijn binnen de departementen portefeuillehouders benoemd op het niveau
van de ambtelijke top en beveiligings-functionarissen op het niveau van de
beheerswereld. Beiden hebben zitting in zowel departementale als interdepartementale
gremia. Daarnaast wordt door middel van bijeenkomsten en het inzetten van verschillende instrumenten zoals bijvoorbeeld een management-game de
verbinding met de beheerswereld en dagelijkse praktijk gelegd. 5Zijn er in het beleid incentives gecreëerd voor lijnmanagers
om het thema informatiebeveiliging echt serieus te nemen, voorbij de normale
bureaucratische lippendienst? Zo ja, welke? Zo nee, waarom eigenlijk niet?Aansluitend op het antwoord bij de vorige vraag; steeds meer wordt onderkend
dat een goede informatiebeveiliging belangrijk is voor de kwaliteit van de
dagelijkse werkprocessen. De afhankelijkheid van deze processen van een goede
en ongestoorde werking van informatie en communicatietechnologie wordt steeds
groter. Het voorkomen van een verstoring is op zich al een incentive.Daarnaast is in de gehele aanpak van het informatiebeveiligingsbeleid
de positie van de lijnmanager zodanig ingevuld, dat deze zijn rol en verantwoordelijkheid
blijvend moet waarmaken. De zorgplicht ingevolge artikel 4 van het VIR geeft
de lijnmanagers een directe opdracht. 6Aan welke eisen moeten alle op te stellen beveiligingsplannen van
alle ministers voldoen?Bij het opstellen van informatiebeveiligingsplannen moet rekening worden
gehouden met de uitgangspunten zoals vastgelegd in het informatiebeveiligingsbeleid.
Door middel van een Afhankelijkheids- en Kwetsbaarheidsanalyse die aan het
opstellen van een beveiligingsplan ten grondslag ligt moet aangetoond kunnen
worden dat het beveiligingsplan, de daarin opgenomen calamiteitenparagraaf
en de voorgestelde maatregelen een adequaat niveau van beveiliging biedt,
maar ook blijft bieden. Daarom worden dan ook periodieke evaluaties van het
beveiligingsplan in het VIR voorgeschreven. 7Hoe wordt rekening gehouden met de millenniumproblematiek?Zoals in de brief naar de kamer van 20 juni jl. (kenmerk IBI97/U415) is
aangegeven, is het IB-beraad belast met de ambtelijke coördinatie van
de millenniumproblematiek zoals deze zich voordoet binnen de Rijksoverheid.
Het IB-beraad is in juli 1997 gestart met het vaststellen van een plan van
aanpak, waarin tijdsplanning van inventarisatie, analyses, en oplossingen
zijn opgenomen. In mijn brief van 6 oktober 1997 heb ik, gezamenlijk met de
Minister van Economische Zaken, de Kamer nader geïnformeerd over de stand
van zaken met betrekking tot de aanpak van het millenniumvraagstuk 8Betreffen de rapportages per onderwerp en per ministerie tevens ieder
van de agentschappen?Ja. Naar aanleiding van de voortgangsrapportage 9Wanneer is informatie voorhanden over de inpassing van de al bestaande
beveiligingsplannen in de systematiek van de VIR? Voor wat betreft de informatiebeveiligingsplannen: een onderdeel van de
Afhankelijkheids- en Kwetsbaarheidsanalyse is de inventarisatie van vigerende
maatregelen en gewenste maatregelen. Deze worden met elkaar in overeenstemming
gebracht. De inpassing zal dus gedurende het proces van invoering VIR plaatsvinden. 10Wie is bij elk afzonderlijk ministerie eindverantwoordelijke voor
de informatiebeveiliging? (blz. 6).Eindverantwoordelijke voor de informatiebeveiliging binnen de ministeries
is de Secretaris-Generaal. Dit is conform het gestelde in art. 3 van het VIR,
waarbij de aantekening gemaakt kan worden dat voor zeer specifieke organisatie-onderdelen
(bijv. de Belastingdienst) de verantwoordelijkheid voor het informatiebeveiligingsbeleid
gedelegeerd kan worden. Uiteindelijk blijft de Minister natuurlijk politiek
verantwoordelijk. 11Wie gaat straks zorgdragen voor de certificering van de ministeries
op het terrein van informatiebeveiliging? (blz. 7).Certificering is geen onderdeel van de implementatie van het VIR. Inmiddels
is een evaluatie- en certificatieschema uitgewerkt op basis van de Code voor
Informatiebeveiliging voor het bedrijfsleven, zodat via de normale kanalen
certificatie kan plaatsvinden; d.w.z. via de Raad voor de Certificering worden
instituten die dat willen en kunnen gemachtigd om dergelijke certificaten
af te geven. Op dit moment wordt bezien in hoeverre de Rijksoverheid gebruik
zou kunnen maken van deze certificatie; het VIR gaat immers uit van een andere
systematiek dan de Code voor Informatiebeveiliging. 12Welke instantie gaat oordelen over de beveiliging van persoonsgegevens
en het stelsel van betrouwbaarheidseisen en beveiligingsmaatregelen na afloop
van de PRO? (blz. 8).De betrouwbaarheidseisen die te stellen zijn aan het stelsel van uitbesteding
van activiteiten zullen in eerste instantie door het Ministerie vastgelegd
worden in contracten met de uitvoerder. Dit is ook een expliciete eis vanuit
het VIR (art. 2d).In algemene zin – dus niet alleen over persoonsgegevens –
zullen oordelen over het stelsel van betrouwbaarheidseisen ook gegeven kunnen
worden in de vorm van rapportages door onafhankelijke derden. Dit is voorzien
in artikel 5c van het VIR. Op het moment wordt bezien op welke manier zogenaamde
Third Party Mededelingen van EDP-auditors aan dit laatste punt invulling kunnen
geven.Daarnaast is de Registratiekamer natuurlijk altijd bevoegd om een oordeel
te geven over het beveiligingsregime van persoonsgegevens. 13Welke zbo's moeten het VIR volgen? Welke zbo's hebben hun informatie
beveiligd volgens het VIR? Welke zbo's hebben geen boodschap aan het VIR en
waarom niet? (blz. 9).De vraag naar de toepasselijkheid van het VIR is tweeledig: in de eerste
plaats moet uit de regelgeving blijken dat een minister bevoegd is het VIR
aan een zelfstandig bestuursorgaan op te leggen en vervolgens is aan de orde
of een minister van die bevoegdheid ook gebruik gemaakt heeft.Het vorenstaande neemt niet weg dat informatiebeveiliging inmiddels een
aandachtspunt is bij de in voorbereiding zijnde voorstellen tot verbetering
van de aansturing van en verantwoording door zelfstandige bestuursorganen
en eveneens bij de voorbereiding van verdere algemene regelgeving voor zelfstandige
bestuursorganen (Kaderwet c.q. Aanvulling van de aanwijzingen). In verband
hiermee heeft het beraad van Secretarissen-Generaal het Informatie-Beveiligingsberaad
(IB-beraad) gevraagd advies uit te brengen over de wenselijkheid en de mogelijkheden
het VIR rechtstreeks van toepassing te laten zijn op organen en instellingen
van de Rijksoverheid in brede zin (inclusief zelfstandige bestuursorganen
en publiekrechtelijke bedrijfsorganisaties) en op onderdelen van de private
sector die met zware publieke taken zijn belast. 14Van welke zbo's is het in het bijzonder gewenst dat zij op korte
termijn hun informatie beveiligen op basis van het VIR? (blz. 9).Deze vraag wordt meegenomen in het hiervoor genoemde overleg dat in het
IB-beraad over dit onderwerp gevoerd wordt. Zie ook vraag 13. 15Waarom wordt het VIR niet vanzelfsprekend van toepassing verklaard
voor zbo's? Waarom is de vanuit de ministeries opgebouwde rapportage over
zbo's en informatiebeveiliging nog niet klaar? (blz. 9).De vraag naar de werkingssfeer van het VIR is reeds eerder gerezen, maar
pas op een moment dat deze niet meer meegenomen kon worden in de doorlichting
van zelfstandige bestuursorganen, waarvan de rapportages onlangs aan de Kamer
zijn aangeboden. Zie ook vraag 13.Overigens is de stelling dat het VIR niet rechtstreeks van toepassing
is op zelfstandige bestuursorganen niet geheel juist: het VIR is rechtstreeks
van toepassing op de rijksdienst en daaronder zijn ook begrepen zelfstandige
bestuursorganen die geen eigen rechtspersoonlijkheid bezitten (bijv. Kiesraad,
Commissie beoordeling geneesmiddelen). Alleen op zelfstandige bestuursorganen
die rechtspersoon zijn (buiten de rechtspersoon Staat der Nederlanden), is
het VIR niet rechtstreeks van toepassing. 16Er zijn nu nog nauwelijks beveiligingsplannen op de ministeries.
Wanneer is de eerste ronde van deze plannen compleet? Acht de staatssecretaris
deze ongetwijfeld relatief late datum aanvaardbaar?Het is niet zo dat er geen informatiebeveiligingsmaatregelen genomen zijn,
maar deze zijn veelal nog niet conform de systematiek van het VIR. Zoals aangegeven
in de rapportage wordt nu door middel van Afhankelijkheids- en Kwetsbaarheidsanalyses
een inhaalslag uitgevoerd om de bestaande plannen en maatregelenstelsels vast
te stellen en ook nieuwe plannen zo spoedig mogelijk op te stellen.De eerste ronde van deze plannen conform het VIR wordt door de meeste
ministeries afgerond in 1998. Ik vindt dit aanvaardbaar vanwege de complexiteit
van de materie en de relatief grote inspanning die op het moment binnen de
ministeries gepleegd wordt. Zoals bij vraag 1 reeds is aangegeven spreken
we hier over een veranderingsoperatie die zijn weerslag heeft in de gehele
Rijksdienst. 17Kan van alle ministeries een overzicht worden gegeven van de termijn
waarop geheel aan het VIR zal worden voldaan?De verwachting van de ministeries is dat in 1998 de analyses afgerond
zullen worden en dat in 1999 de implementatie uitgevoerd zal zijn. Overigens
is het uitvoeren van het VIR een continue bezigheid; plannen en maatregelen
zullen altijd periodiek bezien moeten worden. 18Wat is nu – medio 1997 – de verwachting over de datum
dat het ministerie van Sociale Zaken en Werkgelegenheid aan de in het VIR
gestelde eisen zal voldoen?In de rapportage is aangegeven dat het Ministerie van Sociale Zaken en
Werkgelegenheid eind 1997 in belangrijke mate aan het VIR zal voldoen. Voor
wat betreft de volledige invoering van het VIR volgt het Ministerie de in
vraag 17 uitgesproken verwachting. 19Waarom wordt de bevordering van het beveiligingsbewustzijn niet consequent
in elke daarvoor in aanmerking komende opleiding en in elke introductie standaard
meegenomen?Inmiddels wordt een plan van aanpak uitgewerkt om de ontwikkeling van
informatiebeveiligingsmodules in bestaande en nog op te zetten opleidingen
mee te nemen. 20Bij het ministerie van Justitie is geen eenduidige en volledige categorisering
van informatiesystemen. Welke beleidskeuze ligt hieraan ten grondslag? Wanneer
verandert dit? (blz. 17).Binnen Justitie heeft de decentralisatie en de verzelfstandiging van grote
onderdelen (bijvoorbeeld IND) de categorisering van informatiesystemen belemmerd.
Op dit moment wordt gesproken over en gewerkt aan een meer centrale rol van
het Ministerie op dit terrein, mede vanuit effectiviteits- en efficiency-overwegingen. 21De toetsing van de beveiligingsplannen heeft op 1 januari 1997 nog
nergens plaatsgevonden. Hoe is de planning van deze toetsing? (blz. 19).Deze toetsing zal periodiek plaatsvinden in het kader van de evaluatie
van deze informatiebeveiligingsplannen conform artikel 4f van het VIR. Op
het moment is er een breed gedragen opvatting om de term «periodiek»
te vertalen in een periode die varieert van 1 tot 3 jaar afhankelijk van de
informatiebeveiligingsplannen van het betreffende ministerie. Zie ook vraag
16. 22Is er een standaard waaraan contracten bij uitbesteding moeten voldoen?
(blz. 20).Voor uitbesteding kan binnen de Rijksoverheid gebruik gemaakt worden van
Biza-modelcontracten. De factor informatiebeveiliging wordt daarin in algemene
zin meegenomen, maar het VIR wordt nog niet in alle modellen expliciet benoemd.
Dit is wel het geval in de in april 1996 toegevoegde Exploitatieovereenkomst
Gegevensverwerking. 23Kan nadere informatie worden verstrekt over de ongeautoriseerde toegang
bij het ministerie van Justitie? (blz. 23).Het betrof hier het ongeautoriseerd toegang zoeken tot personeelsbestanden. Dit heeft geleid tot een berisping van de betrokken persoon 24Te constateren valt dat men nauwelijks weet heeft van inbreuken buiten
computervirussen. Is er nu sprake van dat deze inbreuken niet optreden, of
is de signaleringssystematiek nog niet goed op orde? (blz. 23).In de huidige structuur kunnen de diverse soorten verstoringen op verschillende
wijzen binnen de ministeries gemeld en afgehandeld worden. Een totaaloverzicht
is daardoor moeilijk te verkrijgen, maar ik ben het met u eens dat deze informatie
wel noodzakelijk is. Binnen het IB-beraad en de daaronder ressorterende Gebruikersraad
is besloten om zowel departementaal als interdepartementaal een vorm van registratie
te vinden die zowel werkbaar is alsook informatief.XNoot1Samenstelling: Leden: V. A. M. van der Burg (CDA), Te Veldhuis (VVD),
Van der Heijden (CDA), De Cloe (PvdA), voorzitter, Janmaat (CD), Van den Berg
(SGP), Scheltema-de Nie (D66), ondervoorzitter, Apostolou (PvdA), Kalsbeek-Jasperse
(PvdA), Zijlstra (PvdA), Van der Hoeven (CDA), Van Heemst (PvdA), Remkes (VVD),
Gabor (CDA), Koekkoek (CDA), Nijpels-Hezemans (Groep Nijpels), Oedayraj Singh
Varma (GroenLinks), Hoekema (D66), H. G. J. Kamp (VVD), Essers (VVD), Dittrich
(D66), De Graaf (D66), Cornielje (VVD), Rouvoet (RPF) en Rehwinkel (PvdA).Plv. leden: Dankers (CDA), Van Hoof (VVD), Bijleveld-Schouten
(CDA), Liemburg (PvdA), Poppe (SP), Schutte (GPV), Jeekel (D66), Duivesteijn
(PvdA), Noorman-den Uyl (PvdA), Feenstra (PvdA), Verhagen (CDA), M. M. van
der Burg (PvdA), Van der Stoel (VVD), Mateman (CDA), Mulder-Van Dam (CDA),
Van Wingerden (AOV), Rabbae (GroenLinks), Van Boxtel (D66), Korthals (VVD),
Luchtenveld (VVD), Assen (CDA), Bakker (D66), Klein Molekamp (VVD), Leerkes
(U55+) en Van Oven (PvdA). 
 
 Naar boven

 

Directe linkKopieer de link naar uw clipboard 

https://zoek.officielebekendmakingen.nl/kst-25600-VII-25.html

Sluit modaal

 

Disclaimer
De hier aangeboden pdf-bestanden van het Staatsblad, Staatscourant, Tractatenblad, provinciaal blad, gemeenteblad, waterschapsblad en blad gemeenschappelijke regeling vormen de formele bekendmakingen in de zin van de Bekendmakingswet en de Rijkswet goedkeuring en bekendmaking verdragen voor zover ze na 1 juli 2009 zijn uitgegeven. Voor pdf-publicaties van vóór deze datum geldt dat alleen de in papieren vorm uitgegeven bladen formele status hebben; de hier aangeboden elektronische versies daarvan worden bij wijze van service aangeboden.

 

Over deze website
Contact
English
Help
Zoeken

Informatie hergebruiken
Privacy en cookies
Toegankelijkheid
Sitemap
Kwetsbaarheid melden

Open data
Linked Data Overheid
PUC Open Data

MijnOverheid.nl
Rijksoverheid.nl
Ondernemersplein.nl
Werkenbijdeoverheid.nl