BIO, CBW en ENSIA

Informatiebeveiliging binnen de overheid kent specifieke normen, wettelijke verplichtingen en verantwoordingsprocessen. De Baseline Informatiebeveiliging Overheid (BIO2) vormt het uitgangspunt voor passende beveiligingsmaatregelen, terwijl de ENSIA-systematiek organisaties helpt om de uitvoering en naleving daarvan inzichtelijk te maken. Daarnaast brengt de Cyberbeveiligingswet (CBW), waarmee de Europese NIS2-richtlijn wordt omgezet in Nederlandse wetgeving, aanvullende verplichtingen met zich mee voor organisaties die onder de wet vallen.

In de tweedaagse training BIO2, CBW en ENSIA leer je hoe deze kaders zich tot elkaar verhouden en hoe je ze in de praktijk samenbrengt. We volgen de jaarlijkse cyclus van een publieke organisatie: van het bepalen van het vereiste beveiligingsniveau en het uitvoeren van risicoanalyses tot het toetsen van maatregelen, het verzamelen van bewijs en het afleggen van bestuurlijke verantwoording.

Je krijgt inzicht in de inhoudelijke verschillen tussen BIO2 en ISO 27002, de verantwoordelijkheden binnen ENSIA en de mogelijke gevolgen van de Cyberbeveiligingswet voor jouw organisatie. Daarbij besteden we aandacht aan veelvoorkomende auditbevindingen en de vraag hoe je verschillende verplichtingen efficiënt kunt organiseren zonder onnodige dubbelingen.

Het programma bestaat uit de volgende onderwerpen:

1. De baselinegedachte

Waarom werkt de overheid met een verplicht basisniveau voor informatiebeveiliging? Je leert welke gedachte achter de Baseline Informatiebeveiliging Overheid ligt en hoe een baseline zich verhoudt tot risicogebaseerd werken. We bespreken waarom een verplicht normenkader niet betekent dat een organisatie geen eigen risicoafwegingen meer hoeft te maken. Je onderzoekt hoe je de baseline gebruikt als vertrekpunt voor beveiligingsmaatregelen en welke ruimte en verantwoordelijkheden er blijven om maatregelen af te stemmen op de specifieke risico's van jouw organisatie.

2. BIO2 in detail

In dit onderdeel verdiep je je in de opbouw en toepassing van BIO2. Je onderzoekt hoe het normenkader aansluit op ISO 27002, op welke punten aanvullende of afwijkende eisen gelden en waarom deze voor overheidsorganisaties relevant zijn. We besteden aandacht aan de vertaling van normen naar concrete beveiligingsmaatregelen, het beleggen van verantwoordelijkheden en het aantoonbaar maken van de uitvoering. Zo leer je BIO2 niet alleen als toetsingskader te gebruiken, maar ook als praktisch instrument voor het organiseren en verbeteren van informatiebeveiliging.

3. Risicoafweging bovenop de baseline

Een verplicht basisniveau biedt houvast, maar is niet in iedere situatie voldoende. Je leert wanneer aanvullende risicoanalyses noodzakelijk zijn en hoe je bepaalt of extra beveiligingsmaatregelen nodig zijn. Daarbij kijken we naar de aard van informatie, de kritikaliteit van processen, afhankelijkheden en mogelijke gevolgen van beveiligingsincidenten. Je oefent met het onderbouwen van risicoafwegingen en het vastleggen van besluiten, zodat duidelijk wordt waarom bepaalde maatregelen wel of niet worden getroffen en wie verantwoordelijk is voor de acceptatie van resterende risico's.

4. De ENSIA-cyclus

ENSIA ondersteunt gemeenten bij het gestructureerd uitvoeren van zelfevaluaties en het afleggen van verantwoording over informatiebeveiliging. Je doorloopt de verschillende stappen van de ENSIA-cyclus, van voorbereiding en gegevensverzameling tot zelfevaluatie, eventuele toetsing en bestuurlijke verantwoording. We behandelen hoe je de benodigde informatie organiseert, bevindingen opvolgt en toewerkt naar de collegeverklaring. Daarbij besteden we aandacht aan planning, bewijsvoering en de aansluiting tussen de jaarlijkse verantwoordingscyclus en de reguliere werkzaamheden op het gebied van informatiebeveiliging.

5. Rollen in ENSIA

Een goed georganiseerde verantwoordingscyclus vraagt om heldere taken en verantwoordelijkheden. Je leert welke rollen de CISO, ENSIA-coördinator, auditor, het college van burgemeester en wethouders en de gemeenteraad vervullen. We bespreken wie verantwoordelijk is voor de uitvoering van maatregelen, het verzamelen en beoordelen van informatie, het uitvoeren van onafhankelijke controles en het afleggen van bestuurlijke verantwoording. Ook kijken we naar de samenwerking tussen deze rollen en hoe je voorkomt dat verantwoordelijkheden onduidelijk zijn of werkzaamheden tussen verschillende betrokkenen blijven liggen.

6. Wat auditors terugsturen

Welke tekortkomingen komen bij audits en verantwoordingsonderzoeken regelmatig naar voren? Je verdiept je in veelvoorkomende bevindingen, zoals onvoldoende onderbouwing van risicoafwegingen, ontbrekende bewijsstukken, onduidelijk eigenaarschap en maatregelen waarvan de werking niet aantoonbaar is. We bespreken hoe je deze tekortkomingen tijdig signaleert en voorkomt. Daarbij leer je hoe je documentatie, interne controles en opvolging van verbetermaatregelen zo organiseert dat de organisatie beter voorbereid is op toetsing en de kwaliteit van informatiebeveiliging structureel verbetert.

7. CBW en NIS2

De Europese NIS2-richtlijn en de Nederlandse Cyberbeveiligingswet stellen eisen aan de digitale weerbaarheid van organisaties die binnen hun toepassingsgebied vallen. Je leert hoe je bepaalt of en op welke wijze de Cyberbeveiligingswet relevant is voor jouw organisatie. We behandelen de zorgplicht, meldplicht en het toezicht op naleving, evenals de verantwoordelijkheden van het bestuur. Daarbij besteden we aandacht aan de verhouding tussen wettelijke verplichtingen en bestaande beveiligingskaders, zodat je kunt beoordelen welke aanvullende maatregelen, processen en verantwoordelijkheden binnen jouw organisatie nodig zijn.

8. Alles bij elkaar: één samenhangende jaarcyclus

In het afsluitende onderdeel brengen we BIO2, ENSIA en de Cyberbeveiligingswet samen in één praktische aanpak. Je onderzoekt hoe je risicoanalyses, beveiligingsmaatregelen, controles, audits en bestuurlijke verantwoording op elkaar afstemt. We bespreken hoe je bestaande processen en documentatie zoveel mogelijk kunt hergebruiken, zonder de specifieke eisen van de verschillende kaders uit het oog te verliezen. Het doel is een overzichtelijke jaarcyclus waarin verantwoordelijkheden duidelijk zijn, verbetermaatregelen worden opgevolgd en informatiebeveiliging aantoonbaar wordt beheerst.

Na afloop van de training kun je BIO2 gericht toepassen, aanvullende risicoafwegingen maken en de ENSIA-cyclus effectief organiseren. Je weet welke verantwoordelijkheden bij de verschillende betrokkenen liggen, hoe je veelvoorkomende auditbevindingen voorkomt en hoe je de mogelijke verplichtingen vanuit de Cyberbeveiligingswet beoordeelt. Daarmee beschik je over de kennis om informatiebeveiliging, risicobeheersing en verantwoording binnen jouw overheidsorganisatie samenhangend en praktisch in te richten.

De training BIO2, CBW en ENSIA is bedoeld voor CISO's, security officers, ENSIA-coördinatoren en auditors die werkzaam zijn bij gemeenten, provincies, waterschappen en andere publieke uitvoeringsorganisaties. Je bent betrokken bij het organiseren, uitvoeren, toetsen of verantwoorden van informatiebeveiliging binnen de overheid.

De training is bijzonder geschikt voor professionals die verantwoordelijk zijn voor de toepassing van BIO2, het uitvoeren van risicoanalyses of het coördineren van de ENSIA-verantwoordingscyclus. Ook wanneer je wilt begrijpen welke gevolgen de Cyberbeveiligingswet heeft voor jouw organisatie en hoe je verschillende normen en verplichtingen samenbrengt in één werkbare aanpak, biedt deze training een waardevolle verdieping.

Voor deze training heb je één van de drie basistrainingen op het gebied van informatiebeveiliging gevolgd, of beschik je over vergelijkbare kennis en ervaring.

Na afloop van de training kun je:

• De Baseline Informatiebeveiliging Overheid (BIO2) toepassen binnen jouw organisatie en uitleggen op welke punten dit normenkader afwijkt van ISO 27002 en wat deze verschillen betekenen voor de inrichting van informatiebeveiliging;
• Bepalen wanneer het verplichte basisniveau van BIO2 onvoldoende is en aanvullende risicoanalyses uitvoeren om passende beveiligingsmaatregelen te selecteren en onderbouwen;
• De volledige ENSIA-cyclus organiseren en doorlopen, van zelfevaluatie en bewijsverzameling tot bestuurlijke verantwoording, en de verantwoordelijkheden van de betrokken functionarissen helder beleggen;
• Veelvoorkomende auditbevindingen herkennen en voorkomen door risicoafwegingen, beveiligingsmaatregelen, documentatie en bewijsvoering tijdig en zorgvuldig te organiseren;
• Beoordelen of en op welke wijze de Cyberbeveiligingswet (CBW) op jouw organisatie van toepassing is en welke gevolgen dit heeft voor de zorgplicht, meldplicht, het toezicht en de verantwoordelijkheden van het bestuur.