Baseline Informatiebeveiliging Overheid (BIO)

Wat is Baseline Informatiebeveiliging Overheid (BIO)?

Baseline informatiebeveiliging Overheid (BIO) is van kracht vanaf 1 januari 2020. BIO is een vervanging van bestaande baselines betreffende informatieveiligheid voor het rijk, gemeenten, waterschappen en provincies. Voorheen had iedere overheidslaag zijn eigen baseline, nu is er één gezamenlijk normenkader voor informatiebeveiliging binnen de gehele overheid, op basis van internationaal erkende en actuele ISO-normen.

Er wordt in de BIO, die gebaseerd is op ISO 27001, nadruk gelegd op risicomanagement. Er zijn 3 basisbeveiligingsniveaus met bijbehorende beveiligingseisen. Deze niveaus zijn gebaseerd op kans en impact die voortkomen uit beschikbaarheid, integriteit en vertrouwelijkheid. Ieder niveau bestaat uit een aantal controles, verplichte overheidsmaatregelen en verantwoordings- en toezichtregime.

Wil je inschrijven op een project bij de overheid en verlangen zij dat je organisatie aan de BIO voldoet? Krijg je ellenlange vragenlijsten toegestuurd over data security? Kan je hier wel wat hulp bij gebruiken? Goed nieuws: De Vaart kan helpen!

Je leest hieronder meer over Baseline Informatiebeveiliging Overheid (BIO), wat het voor je organisatie betekent en wat Organisatieadviesbureau De Vaart daarbij kan betekenen. Wil je meer informatie over de BIO of hoe wij je kunnen helpen bij het voldoen aan de BIO? Maak een vrijblijvende afspraak met één van onze ervaren adviseurs.

Voordelen Baseline Informatiebeveiliging Overheid

Iedere organisatie heeft te maken met informatie. Dat kan vertrouwelijke informatie zijn, denk hierbij onder andere aan persoonsgegevens, klantgegevens en ordergegevens. Maar het kan ook van essentieel belang zijn dat die informatie op het juiste moment beschikbaar is, bijvoorbeeld als die informatie geraadpleegd moet worden om een besluit te maken. Daarnaast is het vaak ook van belang dat die informatie correct (integer) is. Denk aan de gevolgen van het maken van een financiële investering op basis van de verkeerde cijfers.

Daarom is het van belang om goed na te denken welke eisen er zijn met betrekking tot de verschillende informatie binnen de organisatie. Dit is precies wat wij doen bij het implementeren van een managementsysteem voor informatiebeveiliging conform de BIO .

Het aantoonbaar voldoen aan de BIO kan enorme externe en interne voordelen opleveren.

Externe voordelen Baseline Informatiebeveiliging Overheid

Het grootste voordeel van de BIO is dat hiermee voldaan wordt aan de eisen van de overheid en je daardoor voor de overheid kunt werken. Er dient door de bestuursorganen te worden toegezien op onderling uitgewisselde gegevens zijn beveiligd, in overeenkomst met wet- en regelgeving. Je voldoet hiermee dus aan de voorwaarden en zorgt voor betrouwbaarheid naar externe partijen.

Dus als je voor de overheid wenst te werken, dan moet je aan de BIO richtlijn voldoen!

Interne voordelen Baseline Informatiebeveiliging Overheid

Naast externe voordelen, brengt het implementeren van een managementsysteem conform de BIO ook vele interne voordelen. Het systeem dat we bouwen geeft de handvatten om eens kritisch naar de eigen organisatie te kijken en verbetering door te voeren, niet alleen tijdens de implementatie, maar juist ook daarna. Op die manier ben je als organisatie in staat om continu te blijven verbeteren op het gebied van informatiebeveiliging en informatiemanagement. Denk aan zaken zoals:

• Is het voor iedereen binnen de organisatie duidelijk op welke manier we met informatie om moeten gaan?
• Is onze organisatiestructuur logisch en is voor iedereen duidelijk wat er van hem/haar wordt verwacht om de beschikbaarheid, integriteit en vertrouwelijkheid van de informatie te kunnen waarborgen?
• Zijn onze medewerkers bewust van de risico’s en weten ze hoe ze moeten handelen in verschillende situaties?
• Hebben we de juiste technische en organisatorische maatregelen getroffen om correct om te gaan met de informatie die we beheren, of om dit correct te beschermen?
• Zijn we in staat om informatiebeveiligingsincidenten, of zelfs datalekken te voorkomen? En als het toch voorkomt, weten we dan wat we moeten doen om de impact te minimaliseren en het in de toekomst te voorkomen?
• Zijn onze (werk)processen rondom informatiebeveiliging efficiënt?
• Is onze ICT infrastructuur op de meest effectieve manier ingericht om correct om te gaan met informatie en om dit naar behoren te beschermen?

Bij interne voordelen van de BIO, gaat het onder andere om:

• het voldoen aan de voorwaarden en eisen van de overheid, waardoor de informatie(systemen) bij de overheid beschermd worden.
• het beperken van grote risico’s op bijvoorbeeld datalekken, waardoor gevoelige informatie niet zomaar in de verkeerde handen terecht komt.
• het zorgen voor continue procesverbeteringen door het opzetten en naleven van een informatiebeveiligingsmanamagementsysteem.
• het bieden van duidelijke richtlijnen en afspraken, waardoor het voor iedere medewerker duidelijk is hoe zij om dienen te gaan met informatie in verschillende situaties middels een informatiebeveiligingsmanagementsysteem.
• het voldoen aan wet- en regelgeving omtrent privacy.

Hoe voldoe je aan de BIO?

De Vaart kan je ondersteunen bij het opzetten van een informatiebeveiligingsmanagementsysteem dat aan de BIO voldoet. Onze aanpak bij het opstellen van een managementsysteem is dat we de norm in de eerste instantie opzij leggen en jullie beleid, organisatie en processen als uitgangspunt nemen.

De Vaart kan je ondersteunen bij het opzetten van een informatiebeveiligingsmanagementsysteem dat aan de BIO voldoet. Onze aanpak bij het opstellen van een managementsysteem is dat we de norm in de eerste instantie opzij leggen en jullie beleid, organisatie en processen als uitgangspunt nemen.

In onderstaand overzicht is te zien in welke 9 stappen wij samen zorgen voor een informatiebeveiligingsmanagementsysteem dat voldoet aan alle eisen en waarmee je organisatie klaar is voor certificering

9 Stappenplan

Wat kan je van De Vaart verwachten?

Bij Organisatieadviesbureau De Vaart kan je terecht voor certificeringadvies en organisatieadvies. Wij begeleiden je bij jouw vraagstukken naar een oplossing die écht werkt voor jouw specifieke situatie. Er is geen sprake van een standaard werkwijze, maar we werken volgens een op maat gemaakt plan voor de organisatie.

In het geval van certificeringsadvies, volgen we niet standaard de eisen van de norm. We volgen de behoeften en wensen van jouw organisatie en zorgen er vervolgens voor dat je daarmee ook voldoet aan de norm, met als resultaat: het gewenste certificaat. Maar het belangrijkste resultaat gaat verder dan dat. De processen – intern en extern – zullen beter verlopen, je blijft interne efficiëntieslagen maken en kostenbesparingen worden mogelijk gemaakt.

Wil je meer weten over onze werkwijze? Klik dan hier.

Onze werkwijze

Informatiebeveilingsmanagement

Binnen elke organisatie is het belangrijk om veilig om te gaan met data en vertrouwelijke informatie. Op basis van wet- en regelgeving en eigen wensen en voorkeuren is het belangrijk om aandacht te besteden aan informatiebeveiliging.

Let wel, omdat elke organisatie verschillend is, bestaat er niet één algemeen toepasbaar stelsel van maatregelen voor het inrichten van de informatiebeveiliging. Daarom is het verstandig eerst ons organisatieadviesbureau in te schakelen. Nodig onze adviseur eens vrijblijvend uit voor een kennismaking en inzage in onze werkwijze. Tijdens het eerste gesprek kan vaak al worden bekeken wat voor jouw organisatie de beste route is om te bewandelen.

In een later stadium kan de adviseur nauwkeurig controleren hoe het momenteel gesteld is met de informatiebeveiliging en wat er moet gebeuren voordat het certificaat behaald kan worden. Deze organisatiescan is zeer uitvoerig en zal resulteren in uniek en passend advies.

Het beginpunt van de continue beveiliging binnen de Baseline Informatiebeveiliging Overheid is het maken van een risico inventarisatie. Hierin worden alle risico’s rondom informatiebeveiliging beoordeeld en krijgen alle risico’s een waarde (kans x effect).

Zodra de risico’s inzichtelijk zijn is de volgende stap om maatregelen te implementeren om deze risico’s tot een aanvaardbaar niveau te brengen en te houden. Dit kunnen zowel organisatorische maatregelen zijn, zoals het vaststellen van een duidelijk beleid met gedragsrichtlijnen, als technische maatregelen zijn, zoals het inrichten van een goede backup cyclus of het monitoren van de werkstations op virussen en malware. Afhankelijk van het vastgestelde risico zullen er meer of minder beheersmaatregelen genomen moeten worden.

Wat is een informatiebeveiligingsmanagementsysteem?

Een informatiebeveiligingsmanagementsysteem systeem richt zich op het beschermen van de vertrouwelijkheid, integriteit en de beschikbaarheid van informatie, en geeft belanghebbenden het vertrouwen dat risico’s worden beheerd. Daarnaast zorgt het voor het optimaliseren van het beleid, interne organisatie en bedrijfsprocessen met als doel het correct omgaan met de verschillende soorten informatie in verschillende situaties en de eigen producten en diensten continu te verbeteren op het gebied van informatiebeveiliging. Dit fundament levert meer grip op de dagelijkse werkzaamheden en biedt een duidelijke koers naar de toekomst.

Een informatiebeveiligingsmanagementsysteem is een set van organisatie- en procesbeschrijving die een leidraad vormt voor de beheersing van de activiteiten. De structuur die De Vaart hanteert voor een de BIO is opgebouwd uit een drietal niveaus: beleid, organisatie en proces. Hieronder is ieder niveau kort beschreven.

Het beleidsniveau voor BIO

Een beleidsverklaring met concrete actieplannen en KPI’s die de organisatie hanteert om de doelstellingen ten aanzien van informatiebeveiliging te behalen.

Het organisatieniveau voor BIO

Op dit niveau wordt de organisatie in kaart gebracht. Denk hierbij aan het opstellen van een organogram, functieprofielen en vergaderoverzicht. Het opstellen van een procedure indiensttreding, opleiden en awareness (bewustzijn) activiteiten.

Het procesniveau voor BIO

Het in kaart brengen van relevante onderdelen van het dagelijkse proces, zoals bijvoorbeeld procedures verkoop, onboarding van nieuwe klanten, ontwikkeling van producten, inkoop en leveranciersmanagement.

Het managementsysteem voor de Baseline Informatiebeveiliging Overheid heeft met deze drie niveaus een overzichtelijke en efficiënte opzet. Deze opzet borgt continue verbetering van de effecten van de bedrijfsvoering op de geleverde kwaliteit.

Voor wie is BIO bedoeld?

Alle overheden en organisaties verbonden aan de overheid moeten sinds 2020 voldoen aan de BIO eisen. Het doel hierbij is dat alle overheidsorganisaties (en de partijen die met hen samenwerken) één basisniveau voor informatiebeveiliging hanteren.

Dit betekent dat de BIO niet alleen geldt voor de overheidsinstanties zelf, maar ook de (commerciële) partijen die met hen samenwerken. Het aantoonbaar voldoen aan de BIO is dan ook vaak een minimum eis in aanbestedingen.

Basisbeveiligingsniveaus BIO

Zoals aangegeven is in de BIO sprake van 3 basisbeveiligingsniveaus met bijbehorende beveiligingseisen. Deze niveaus zijn gebaseerd op kans en impact die voortkomen uit beschikbaarheid, integriteit en vertrouwelijkheid. Ieder niveau bestaat uit een aantal controles, verplichte overheidsmaatregelen en verantwoordings- en toezichtregime. Het gaat om de volgende niveaus:

Basisbeveiligingsniveau 1 (BBN 1)

Alle overheidssystemen moeten minimaal voldoen aan dit niveau. Hieronder valt o.a. het volgen van wet- en regelgeving, AVG en algemene beheersmaatregelen. Dit niveau gaat over openbare en niet-gevoelige informatie. We hebben hier te maken met een laag betrouwbaarheidsniveau en daarom gaat het puur om een minimale basis aan maatregelen.

Basisbeveiligingsniveau 2 (BBN 2)

Hier ligt de focus op het bewust beschermen van veelgebruikte informatie. De meeste informatie binnen de overheid zal op dit niveau worden ingeschaald en daarom zal dit niveau voor de meeste organisaties gelden. Er wordt vertrouwelijke informatie verwerkt en incidenten kunnen leiden tot commotie. Veiligheid van andere systemen is op dit niveau afhankelijk van de veiligheid van het eigen systeem.

Informatie en advies over NEN 7510

Op dit niveau vindt actieve bescherming van hoog vertrouwelijke en kritische informatie plaats. Het gaat hier om zeer gevoelige informatie, waarbij verlies ervan een hele grote impact heeft.

Begeleiding bij Baseline Informatiebeveiliging Overheid

De Vaart zorgt er – zoals hierboven weergegeven – in 9 stappen voor dat je organisatie een certificaat in handen heeft.

Je kunt hierbij kiezen voor de ontzorgvariant – waarbij wij het voortouw nemen en het systeem met je opzetten – of voor de variant waarbij je alleen een stukje begeleiding wilt en zelf het systeem gaat opzetten.

Onze service stopt niet bij het opzetten van een managementsysteem of het geven van advies. Samen met jou en je medewerkers zorgen we ook voor de implementatie van de benodigde oplossingen en zorgen we middels een fitgap analyse ervoor dat er kan worden aangetoond of en hoe er wordt voldaan aan de eisen uit de BIO. We werken altijd vanuit het bedrijfsbelang. We zien de organisatie als klant, niet de directeur of een individu. Natuurlijk worden de dagelijkse werkzaamheden zo min mogelijk belemmerd.

Baseline Informatiebeveiliging Overheid integreren in bestaand managementsysteem

Omdat de BIO op eenzelfde manier is opgesteld als de ISO 27001 norm die op haar beurt dezelfde bekende High Level Structure (HLS structuur) heeft waarop andere normen zoals ISO 9001, ISO 14001 (link) en ISO 45001 ook zijn gebaseerd, is het gemakkelijk is te integreren in een reeds bestaand managementsysteem.

Om te voldoen aan de BIO norm zullen we de organisatie begeleiden bij het opzetten, implementeren, monitoren, onderhouden en verbeteren van een informatiebeveiligingsmanagementsysteem.

Baseline Informatiebeveiliging Overheid consultants met ruime ervaring

De consultants van De Vaart hebben een relevante HBO of WO opleiding genoten. Doordat we allerlei verschillende soorten bedrijven in ons klantenbestand hebben, beschikken ze over een brede basiskennis. Je krijgt altijd een consultant toegewezen die bij jou en je bedrijf past. Dit doen we voor een optimale samenwerking tussen jou, je medewerkers en onze organisatie. Periodiek bespreken we met onze consultant de voortgang zodat we de kwaliteit van het project kunnen waarborgen.

Informatie en advies over Baseline Informatiebeveiliging Overheid (BIO

Heb je nog vragen over Baseline Informatiebeveiliging Overheid (BIO)? Neem contact op met één van onze adviseurs door te bellen naar 010 26 88 015 of mail naar info@devaart.nl om te horen wat wij voor jouw organisatie kunnen betekenen. Onze adviseurs voorzien je graag en geheel vrijblijvend van het juiste advies.

Wij helpen je graag meer grip te krijgen op je organisatie.