Ministeriële regeling · BWBR0044613
Besluit CIO-stelsel Rijksdienst 2021
Handelend in overeenstemming met het gevoelen van de ministerraad;
Gelet op de artikelen 2, eerste lid, 3, eerste lid, en 6, tweede lid, van het Coördinatiebesluit organisatie, bedrijfsvoering en informatiesystemen rijksdienst;
Besluit:
Dit besluit zal met de toelichting in de Staatscourant worden geplaatst.
De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties,R.W.KnopsIn dit besluit wordt verstaan onder:
- a.
beveiligingsautoriteit: een beveiligingsautoriteit, bedoeld in artikel 3 van het Besluit BVA-stelsel Rijksdienst 2021;
- b.
beveiligingsautoriteit Rijk: de beveiligingsautoriteit Rijk, bedoeld in artikel 7 van het Besluit BVA-stelsel Rijksdienst 2021;
- c.
CIO: een Chief Information Officer, bedoeld in artikel 3, eerste lid, en artikel 9, eerste lid;
- d.
CIO Rijk: de Chief Information Officer Rijk, bedoeld in artikel 10, eerste lid;
- e.
CISO: een Chief Information Security Officer, bedoeld in artikel 5, eerste lid, en artikel 9, derde lid;
- f.
CISO Rijk: de Chief Information Security Officer Rijk, bedoeld in artikel 10, eerste lid;
- g.
Coördinatiebesluit:Coördinatiebesluit organisatie, bedrijfsvoering en informatiesystemen rijksdienst 2011;
- h.
digitalisering: het geheel aan ontwikkelingen binnen de overheid en in de samenleving die te maken hebben met het toenemend gebruik van ICT, digitale informatie, data en informatiesystemen;
- i.
grote ICT-component: ICT-component vallend onder de definitie die in het Handboek portfoliomanagement Rijk wordt gegeven aan grote ICT-component;
- j.
ICT: Informatie- en communicatietechnologie;
- k.
informatiebeveiliging: het proces van vaststellen van de vereiste betrouwbaarheid van informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen;
- l.
informatiesysteem: een samenhangend geheel van gegevensverzamelingen, procedures, processen en programmatuur alsmede de voor het informatiesysteem getroffen voorzieningen voor opslag, verwerking en communicatie;
- m.
informatievoorziening: het geheel van mensen, middelen, informatiesystemen en maatregelen, gericht op de informatiebehoefte van een organisatie;
- n.
portfoliomanagement: proces van inventarisatie, registratie en actualisatie van wijzigingen in informatiesystemen, vastgelegd in een portfolio.
Dit besluit geldt voor de rijksdienst, zijnde de kerndepartementen en de daaronder ressorterende dienstonderdelen.
De minister die belast is met de leiding van een ministerie draagt zorg voor de aanstelling van een departementale CIO die rechtstreeks ressorteert onder de secretaris-generaal van het ministerie.
De departementale CIO is belast met de ontwikkeling en coördinatie van het informatievoorzienings- en digitaliseringsbeleid en het zorgdragen voor de ontwikkeling en het beheer van de informatiesystemen van het ministerie conform dit beleid.
De departementale CIO is tevens belast met het inrichten van het CIO-stelsel voor het ministerie en de onder haar ressorterende dienstonderdelen.
De departementale CIO is lid van de bestuursraad van het ministerie.
Een CIO beschikt over een CIO-office.
Het CIO-office wordt zodanig ingericht dat over voldoende kennis en ervaring wordt beschikt om de taak, bedoeld in artikel 4 uit te voeren.
De minister die belast is met de leiding van een ministerie draagt aan de departementale CIO met betrekking tot het ministerie in elk geval de volgende taken op:
- a.
het adviseren van het lijnmanagement en de minister over het beleid ten aanzien van informatievoorziening en digitalisering;
- b.
het adviseren van het lijnmanagement en de minister over de implicaties voor informatievoorziening en digitalisering van (voorgenomen) wet- en regelgeving, beleids- en uitvoeringstrajecten en investeringen;
- c.
het opstellen, beheren en zorgdragen voor de uitvoering van een meerjarig informatieplan voor het ministerie met een financiële paragraaf;
- d.
het richten op en stimuleren van digitale transformatie en technologisch gedreven innovatie binnen het ministerie door het investeren in een cultuur van kennisdeling en door het lerend vermogen op het gebied van digitalisering binnen het ministerie te bevorderen;
- e.
het met inachtneming van toepasselijke rijksbrede kaders en ICT-voorzieningen zorgdragen voor de ontwikkeling en coördinatie van informatievoorzieningsbeleid en digitaliseringsbeleid en de ontwikkeling en het beheer van de informatiesystemen van het ministerie;
- f.
het toezien op naleving van de kaders gesteld op grond van de artikelen 2 en 6 van het Coördinatiebesluit en het gevraagd en ongevraagd informeren en adviseren van het verantwoordelijk lijnmanagement en de CIO Rijk hierover;
- g.
het ontwikkelen en coördineren van integraal portfoliomanagement en levenscyclusmanagement om de samenhang tussen ICT-(door)ontwikkeling en ICT-beheer van het kerndepartement en dienstonderdelen te bewaken;
- h.
het gevraagd en ongevraagd adviseren en informeren van de CIO Rijk voor zover dit redelijkerwijs noodzakelijk is voor diens taakuitoefening, bedoeld in artikel 11;
- i.
het zorgdragen voor voldoende aandacht binnen het ministerie voor continue beheeractiviteit en verbetering van de ICT-infrastructuur inclusief de benodigde technologische vernieuwing en informatiebeveiliging;
- j.
het uitvoeren van oordelen aangaande de beheersing, haalbaarheid, risico’s en implicaties van alle voorgenomen en in uitvoering zijnde activiteiten met een grote ICT-component, conform de daarvoor geldende rijksbrede kwaliteitsnormen; en
- k.
het aanmelden van activiteiten bij het Adviescollege ICT-toetsing, als bedoeld in artikel 4, eerste lid, van het Instellingsbesluit Adviescollege ICT-toetsing.
De departementale CIO kan, na overleg met de secretaris-generaal, de minister rechtstreeks informeren, indien zijn taakuitoefening op grond van dit besluit daartoe aanleiding geeft.
De departementale CIO kan een CIO-oordeel of een externe kwaliteitstoets uitvoeren binnen alle fasen van projecten, programma’s of activiteiten met een digitaliseringsaspect of ICT-component.
Voor het aanvangen van ICT-ontwikkelprojecten en onderhoudsactiviteiten met een grote ICT-component, die onder verantwoordelijkheid van het ministerie worden uitgevoerd, is een positief CIO-oordeel, of een beargumenteerde afwijking hiervan door de secretaris-generaal van het ministerie, vereist.
De dienstonderdelen van het ministerie verstrekken de departementale CIO de informatie die noodzakelijk is voor de uitoefening van zijn taken op grond van dit besluit.
De minister die belast is met de leiding van een ministerie draagt zorg voor de aanstelling van een departementale CISO die rechtstreeks ressorteert onder de CIO van het ministerie.
De departementale CISO is belast met de ontwikkeling en coördinatie van het departementale informatiebeveiligingsbeleid, bedoeld in artikel 3 van het Besluit Voorschrift Informatiebeveiliging Rijksdienst 2007 en artikel 3 van het Besluit Voorschrift Informatiebeveiliging Rijksdienst - Bijzondere Informatie 2013 en het ondersteunen van het verantwoordelijk lijnmanagement bij de implementatie en naleving hiervan.
De minister die belast is met de leiding van een ministerie draagt aan de departementale CISO ten aanzien van digitalisering en informatievoorziening, met betrekking tot het ministerie, de taak op tot:
- a.
het ontwikkelen en coördineren van departementaal informatiebeveiligingsbeleid en -kaders en het ondersteunen van de implementatie en naleving hiervan;
- b.
het zorgdragen voor het departementale informatiebeveiligingsbeleid als onderdeel van het departementale digitaliserings- en informatievoorzieningsbeleid, bedoeld in artikel 4, onder e;
- c.
het ontwikkelen en actueel houden van een departementaal risicobeeld met betrekking tot informatiebeveiliging;
- d.
het bijdragen aan het opstellen en beheren van het meerjarig informatieplan voor het ministerie, bedoeld in artikel 4, onder c, met betrekking tot de departementale informatiebeveiliging;
- e.
het bijdragen aan het opstellen van het rijksbrede informatiebeveiligingsbeleid, het risicobeeld en het calamiteitenplan, bedoeld in artikel 13, onder a, c en j, en de rijksbrede I-strategie, bedoeld in artikel 11, onder a, en aan het integrale beveiligingsbeleid, de risicoanalyse en het calamiteitenplan, bedoeld in artikel 4, eerste, derde en zesde lid, van het Besluit BVA-stelsel Rijksdienst 2021, met betrekking tot de departementale informatiebeveiliging;
- f.
het gevraagd en ongevraagd adviseren van de departementale CIO, het verantwoordelijk lijnmanagement en CISO’s van dienstonderdelen over de informatiebeveiliging en de risico’s daarvoor van (voorgenomen) wet- en regelgeving, investeringen, beleids- en uitvoeringstrajecten, informatieprocessen en informatiesystemen;
- g.
het gevraagd en ongevraagd adviseren en informeren van de CISO Rijk voor zover dit redelijkerwijs noodzakelijk is voor diens taakuitoefening, bedoeld in artikel 13, en van de departementale beveiligingsautoriteit ten behoeve van diens taakuitoefening op grond van het bepaalde in het Besluit BVA-stelsel Rijksdienst 2021;
- h.
het monitoren en controleren van het informatiebeveiligingsbewustzijn binnen het ministerie, het adviseren van het kerndepartement en dienstonderdelen hierover en het zorgdragen voor het vergroten van het bewustzijn over informatiebeveiliging binnen het ministerie;
- i.
het onderhouden van relaties met de inlichtingen- en veiligheidsdiensten, het Nationaal Cyber Security Centrum en de Nationale Coördinator Terrorismebestrijding en Veiligheid aangaande dreigingen die verband houden met de informatiebeveiliging van het departement;
- j.
het ontwikkelen en coördineren van informatiebeveiligingsactiviteiten, -projecten en het zorgdragen voor een projectportfolio voor informatiebeveiliging;
- k.
het bijdragen aan CIO-oordelen en kwaliteitstoetsen als bedoeld in artikel 5, tweede lid, met betrekking tot informatiebeveiliging; en
- l.
het monitoren en signaleren van afwijkingen van artikel 41, eerste lid, van de Kaderwet zelfstandige bestuursorganen en het informeren hierover van de secretaris-generaal als eigenaar van een zelfstandig bestuursorgaan.
De departementale CISO kan de secretaris-generaal en het verantwoordelijk lijnmanagement van het ministerie rechtstreeks informeren, indien zijn taakuitoefening op grond van dit besluit en de ernst van het geconstateerde feit daartoe een acute aanleiding geeft. Indien vooroverleg met de CIO en de beveiligingsautoriteit niet mogelijk is, worden beiden zo spoedig mogelijk achteraf geïnformeerd.
De dienstonderdelen van het ministerie verstrekken de departementale CISO gevraagd en ongevraagd de informatie die noodzakelijk is voor de uitoefening van zijn taken.
De departementale CISO kan namens de secretaris-generaal en de departementale CIO aanwijzingen geven met betrekking tot informatieprocessen in het geval van een, mogelijke, ernstige en acute inbreuk op de beveiliging van informatiesystemen. De CISO laat onverwijld maatregelen treffen om zo veel mogelijk de beveiliging te laten herstellen en verdere schade te laten beperken.
De departementale CISO kan namens de secretaris-generaal en de departementale CIO en in afstemming met de beveiligingsautoriteit van het ministerie, aanwijzingen geven aan iedere ambtenaar, externe medewerkers en bezoekers, voor zover dat noodzakelijk is voor de uitvoering van het departementale informatiebeveiligingsbeleid en de naleving van de informatiebeveiligingsvoorschriften.
De minister die belast is met de leiding van een ministerie draagt er zorg voor dat voor dienstonderdelen met een substantieel portfolio van informatiesystemen een eigen CIO wordt aangesteld.
De CIO van een dienstonderdeel is belast met de ontwikkeling en de coördinatie van het informatievoorzienings- en digitaliseringsbeleid voor het dienstonderdeel en het zorgdragen voor de ontwikkeling en het beheer van de informatiesystemen van het dienstonderdeel conform dit beleid. De taken en bevoegdheden van de CIO van een dienstonderdeel zijn een afgeleide van de taken en bevoegdheden van de departementale CIO, bedoeld in de artikelen 4 en 5.
De CIO van een dienstonderdeel maakt deel uit van de hoogste ambtelijke leiding van het betreffende dienstonderdeel.
De minister die belast is met de leiding van een ministerie draagt er zorg voor dat voor dienstonderdelen met een substantieel portfolio van informatiesystemen een CISO wordt aangesteld, ressorterend onder de CIO van het dienstonderdeel.
De CISO van een dienstonderdeel is belast met het informatiebeveiligingsbeleid, bedoeld in artikel 3 van het Besluit Voorschrift Informatiebeveiliging Rijksdienst 2007 en artikel 3 van het Besluit Voorschrift Informatiebeveiliging Rijksdienst - Bijzondere Informatie 2013, voor zover dit betrekking heeft op het dienstonderdeel. De taken en bevoegdheden van de CISO van een dienstonderdeel zijn een afgeleide van de taken en bevoegdheden van de departementale CISO, bedoeld in de artikelen 7 en 8.
Een CIO en een CISO van een dienstonderdeel maken onderdeel uit van het departementale CIO-stelsel.
De Minister van Binnenlandse Zaken en Koninkrijksrelaties stelt een Chief Information Officer Rijk en een Chief Information Security Officer Rijk aan.
De CIO Rijk is belast met de ontwikkeling en coördinatie van het rijksbrede informatievoorziening- en digitaliseringsbeleid en draagt zorg voor de ontwikkeling en het beheer van de ICT-voorzieningen en informatiesystemen, bedoeld in artikel 2, eerste lid onder b, van het Coördinatiebesluit.
De CISO Rijk is belast met de coördinatie van de maatregelen en het beleid voor de informatiebeveiliging voor zover deze betrekking hebben op de rijksdienst en ressorteert onder de CIO Rijk.
De minister van Binnenlandse Zaken en Koninkrijksrelaties draagt aan de CIO Rijk met betrekking tot de rijksdienst de taak op tot:
- a.
richten op en stimuleren van digitale transformatie en technologisch gedreven innovatie, door het investeren in een cultuur van kennisdeling en door het lerend vermogen op het gebied van digitalisering te bevorderen;
- b.
het adviseren van de Minister van Binnenlandse Zaken en Koninkrijksrelaties en het lijnmanagement van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties over de gevolgen voor het rijksbrede digitaliserings- en informatievoorzieningsbeleid, de rijksbrede informatieprocessen en informatiesystemen van onder andere (voorgenomen) wet- en regelgeving, beleid, uitvoeringstrajecten en investeringen voor zover deze betrekking hebben op de rijksdienst;
- c.
het coördineren van het CIO-stelsel binnen de Rijksdienst;
- d.
het ontwikkelen, coördineren en monitoren van de implementatie van het rijksbrede digitaliserings- en informatievoorzieningsbeleid en van een meerjarige I-strategie en -beleid voor de rijksdienst;
- e.
het ontwikkelen en beheren van kaders zoals bedoeld in artikel 2, eerste lid, en 6, tweede lid, van het Coördinatiebesluit, met betrekking tot informatiesystemen van de ministeries;
- f.
het beoordelen van op grond van de in artikel 6, eerste lid, van het Coördinatiebesluit ontvangen informatie voor eventuele aanscherping van de kaders, bedoeld in onderdeel e, en ter bevordering van het lerend vermogen op het gebied van digitalisering binnen de rijksdienst;
- g.
het voorbereiden van de jaarrapportage over de digitalisering, informatievoorziening en informatiesystemen binnen de rijksdienst;
- h.
het toezien op de naleving van de op grond van artikelen 2, eerste lid, en 6, tweede lid, van het Coördinatiebesluit gestelde kaders over de informatiesystemen van de ministeries en de wijze waarop de gegevens over de informatiesystemen worden verstrekt; en
- i.
het toezien op de kwaliteitsaspecten van de informatieplannen, bedoeld in artikel 4, onder c, aan vastgestelde kwaliteitsnormen en het rapporteren hierover aan de Minister van Binnenlandse Zaken en Koninkrijksrelaties.
De CIO Rijk kan, na overleg met de secretaris-generaal van Binnenlandse Zaken en Koninkrijksrelaties, de Minister van Binnenlandse Zaken en Koninkrijksrelaties rechtstreeks informeren, indien zijn taakuitoefening op grond van dit besluit daartoe aanleiding geeft.
De CIO Rijk voert namens de Minister van Binnenlandse Zaken en Koninkrijksrelaties het overleg, bedoeld in artikel 3a van het Coördinatiebesluit.
De minister van Binnenlandse Zaken en Koninkrijksrelaties draagt aan de CISO Rijk ten aanzien van digitalisering en informatievoorziening met betrekking tot de rijksdienst de taak op tot:
- a.
het ontwikkelen, coördineren en monitoren van de implementatie en naleving van rijksbreed informatiebeveiligingsbeleid en -kaders en de wijze waarop de gegevens over de informatiebeveiliging van informatiesystemen door de ministeries worden verstrekt;
- b.
het zorg dragen voor het rijksbrede informatiebeveiligingsbeleid als onderdeel van het rijksbrede digitaliserings- en informatievoorzieningsbeleid, bedoeld in artikel 11, onder d;
- c.
Het ontwikkelen en coördineren van het onderdeel informatiebeveiliging in de meerjarige I-strategie, bedoeld in artikel 11, onderdeel d;
- d.
het adviseren van de CIO Rijk en het lijnmanagement van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties over de informatiebeveiliging en de risico’s daarvoor van (voorgenomen) wet- en regelgeving, investeringen, beleid, uitvoeringstrajecten, informatieprocessen en informatiesystemen voor zover deze betrekking hebben op de rijksdienst;
- e.
het gevraagd en ongevraagd uitbrengen van rijksbrede adviezen en verstrekken van informatie, inzake informatiebeveiliging en het risicomanagement daarvan;
- f.
het gevraagd en ongevraagd adviseren en informeren van de beveiligingsautoriteit Rijk ten behoeve van diens taakuitoefening op grond van het bepaalde in het Besluit BVA-stelsel Rijksdienst 2021;
- g.
het monitoren en controleren van het informatiebeveiligingsbewustzijn binnen de rijksdienst en het zorgdragen voor het vergroten van het bewustzijn over informatiebeveiliging binnen de rijksdienst;
- h.
het onderhouden van relaties met de inlichtingen- en veiligheidsdiensten, het Nationaal Cyber Security Centrum en de Nationale Coördinator Terrorismebestrijding en Veiligheid aangaande dreigingen die verband houden met de informatiebeveiliging van de rijksdienst;
- i.
het in samenwerking met de CISO’s en beveiligingsautoriteit Rijk opstellen en actueel houden van het rijksbrede risicobeeld en calamiteitenplan met betrekking tot informatiebeveiliging; en
- j.
het coördineren van de aanpak van rijksbrede informatiebeveiligingsincidenten en -calamiteiten.
De CISO Rijk kan de secretaris-generaal van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties en het verantwoordelijk lijnmanagement van dat ministerie rechtstreeks informeren, indien zijn taakuitoefening op grond van dit besluit en de ernst van het geconstateerde feit daartoe een acute aanleiding geeft. Indien vooroverleg met de CIO Rijk en beveiligingsautoriteit Rijk niet mogelijk is, worden beiden zo spoedig als mogelijk achteraf geïnformeerd.
De CISO Rijk heeft een interdepartementale coördinatierol bij rijksbrede informatiebeveiligingsincidenten en -calamiteiten. De CISO Rijk kan, na afstemming met de betreffende departementale CISO, in het geval van een, mogelijke, ernstige, acute, departement-overstijgende inbreuk op de beveiliging van informatiesystemen of een risico daarop, namens de secretaris-generaal van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties:
- a.
aanwijzingen geven aan iedere ambtenaar, externe medewerker en bezoeker met betrekking tot de informatieprocessen van ministeries; en
- b.
onverwijld maatregelen laten treffen om (zo veel mogelijk) de informatiebeveiliging te laten herstellen en verdere schade te laten beperken.
De CISO Rijk stemt onverwijld af met de CIO Rijk, de beveiligingsautoriteit Rijk en betrokken departementen over een (mogelijke) inbreuk of het risico daarop en de genomen maatregelen, als bedoeld in het tweede lid, en heeft daarbij in afstemming met de departementale CISO’s indien nodig direct toegang tot de secretarissen-generaal van ministeries.
Er is een CIO-beraad dat primair belast is met de rijksbrede coördinatie op informatievoorziening en ICT. Het CIO-beraad ontwikkelt en implementeert een I-Strategie voor de rijksdienst en bevordert digitalisering binnen de rijksdienst.
Het CIO-beraad wordt voorgezeten door de CIO Rijk.
Aan het CIO-beraad nemen ten minste de departementale CIO’s als lid deel.
Het CIO-beraad stelt een handvest CIO-beraad vast waarin de voorwaarden voor deelname en wijze van vergaderen nader zijn uitgewerkt. Dit handvest wordt minimaal tweejaarlijks geactualiseerd.
Het CIO-beraad heeft de volgende voorportalen:
- a)
De CISO-raad;
- b)
De Chief Technology Officer-raad, de CTO-raad;
- c)
Het Tactisch Overleg Rijksnetwerken, TORN; en
- d)
Het Tactisch Overleg Rijksbrede Voorzieningen, TORV.
De CISO-raad functioneert als voorportaal van het CIO-beraad op het gebied van informatiebeveiligingsbeleid. De CISO-raad wordt voorgezeten door CISO Rijk. Aan de CISO-raad nemen ten minste de departementale CISO’s als lid deel.
De CTO-raad functioneert als voorportaal van het CIO-beraad op het gebied van ICT-aanbodsturing en informatietechnologie. De CTO-raad wordt voorgezeten door de CIO Rijk. Aan de CTO-raad nemen ten minste de directeuren van de ICT-dienstverleners binnen de rijksdienst als lid deel.
Het TORN functioneert als voorportaal van het CIO-beraad voor ontwikkeling, implementatie en beheer van de Rijksnetwerken. Het TORN wordt voorgezeten door een afgevaardigde van de CIO Rijk. Aan het TORN nemen ten minste afgevaardigden van de ICT-dienstverleners binnen de rijksdienst en afgevaardigden van de departementale CIO-offices deel.
Het TORV functioneert als voorportaal van het CIO-beraad op het gebied van Rijksbrede ICT-voorzieningen. Het TORV wordt voorgezeten door een afgevaardigde van de CIO Rijk. Aan het TORV nemen ten minste afgevaardigden van de departementale CIO-offices deel.
Er is een Rijks ICT-dashboard.
Het Rijks ICT-dashboard bevat informatie over de staat van de informatievoorziening en digitalisering binnen de rijksdienst.
De CIO Rijk draagt zorg voor het beheer van het Rijks ICT-dashboard en het daarbinnen gehanteerde rapportagemodel.
De departementale CIO draagt zorg voor het actualiseren van het Rijks ICT-dashboard en de kwaliteit van de gegevens van zijn ministerie.
In overleg met de Minister van Binnenlandse Zaken en Koninkrijksrelaties kan op onderdelen worden afgeweken van het bepaalde in dit besluit, wanneer dit de effectiviteit van de met dit besluit beoogde doelen ten goede komt.
Dit besluit wordt drie jaar na inwerkingtreding geëvalueerd en vervolgens elke drie jaar.
Dit besluit treedt in werking met ingang van 1 januari 2021.
Dit besluit wordt aangehaald als: Besluit CIO-stelsel Rijksdienst 2021.