Beoordeling
test
De beoordeling is nog in concept en kan worden bewerkt of ingediend voor review.
test
Inwonersgegevens importeren
- Eigenaar
- Marieke
- E-mailadres
- —
- Aangemaakt
- 29 april 2026 om 19:42
- Laatst bijgewerkt
- 29 april 2026 om 19:48
Adviesroute
BIV 3 — review door CISO/security officer verplicht
Het beveiligingsniveau is hoog. Een review door de CISO of security officer is verplicht voordat het systeem of de wijziging in gebruik wordt genomen. Restrisico's vereisen expliciete risicoacceptatie door de proceseigenaar.
Beschikbaarheid
- BASEBasisscore 3 op basis van uw antwoord(en) bij: impact-uitval-werkdag, maximale-uitval.
- R8Onderdeel van een vitale of kritieke keten — beschikbaarheid is minimaal 3.
Integriteit
- BASEBasisscore 3 op basis van uw antwoord(en) bij: ai-besluitvorming, verkeerde-besluiten, audit-trail.
- R10Onjuiste data kan leiden tot verkeerde besluiten — integriteit is minimaal 2.
- R12Verstoring kan zich voortplanten via ketens of basisregistraties — integriteit is minimaal 3.
Vertrouwelijkheid
- BASEBasisscore 3 op basis van uw antwoord(en) bij: bijzondere-persoonsgegevens, gevoelige-doelgroepen, impact-lek, datalek-meldplicht.
- R2Bijzondere persoonsgegevens worden verwerkt — vertrouwelijkheid is minimaal 3.
- R3Gegevens over zorg — vertrouwelijkheid is minimaal 3.
- R4Persoonsgegevens worden verwerkt — vertrouwelijkheid is minimaal 2.
Privacy
AI-governance
Leveranciers
Datalocatie
Continuïteit
Keten
Internet-facing
Mobiele toegang
Beveiligingseisen
Verplicht: 2 · Afgedekt: 0 / 27
Voer een algoritme-impactanalyse (IAMA of vergelijkbaar) uit en voorzie in transparantie over geautomatiseerde besluitvorming.
- Eigenaar:
- Privacy Officer
- Bewijs:
- IAMA-rapport en publicatie in algoritmeregister.
Hanteer een gedocumenteerd incidentproces inclusief meldplicht, escalatie en evaluatie.
- Eigenaar:
- Security Officer
- Bewijs:
- Vastgestelde incidentprocedure + meldregister.
Zorg dat betrokken medewerkers periodiek bewustwordingstraining krijgen over hun rol in de beveiliging.
- Eigenaar:
- HR / Security Officer
- Bewijs:
- Trainingsregistratie per medewerker.
Stel een actueel informatiebeveiligingsbeleid op, laat het vaststellen door het bestuur en communiceer het binnen de organisatie.
- Eigenaar:
- CISO
- Bewijs:
- Vastgesteld beleidsdocument met versie en datum.
Wijs eigenaarschap toe voor het proces of systeem en beleg verantwoordelijkheden voor beveiliging expliciet.
- Eigenaar:
- Proceseigenaar
- Bewijs:
- RACI-overzicht of vergelijkbare rolverdeling per proces of systeem.
Stel een continuïteitsplan op voor het systeem of proces, inclusief uitwijk- en herstelprocedures.
- Eigenaar:
- Proceseigenaar
- Bewijs:
- Vastgesteld continuïteitsplan met RTO/RPO.
Oefen het continuïteits- en uitwijkplan minimaal jaarlijks en evalueer de uitkomst.
- Eigenaar:
- Proceseigenaar
- Bewijs:
- Verslag van laatste uitwijkoefening.
Pas verzwaarde RTO/RPO toe en zorg voor afspraken met ketenpartners over wederzijdse afhankelijkheden.
- Eigenaar:
- Proceseigenaar
- Bewijs:
- Vastgelegde RTO/RPO + ketenafspraken over crisisrespons.
Maak periodiek back-ups van gegevens en configuraties en test het terugzetten ervan.
- Eigenaar:
- Architect / IT
- Bewijs:
- Back-upschema + bewijs van laatste restore-test.
Versleutel gegevens in opslag en transport volgens de geldende cryptografische standaarden.
- Eigenaar:
- Architect / IT
- Bewijs:
- Configuratie TLS- en at-rest encryptie.
Wijzigingen aan het systeem of de gegevens verlopen via een gecontroleerd proces met goedkeuring en testen.
- Eigenaar:
- Functioneel beheerder
- Bewijs:
- Change-managementproces en CAB-notulen.
Wijzigingen aan kritieke gegevens worden vastgelegd in een onveranderbare audittrail die voldoende lang wordt bewaard.
- Eigenaar:
- Architect / IT
- Bewijs:
- Configuratie van append-only logging en periodieke verificatie.
Leg gegevenskwaliteit en foutafhandeling met ketenpartners vast in werkafspraken of een DAP.
- Eigenaar:
- Proceseigenaar
- Bewijs:
- Dienstverlenings- of ketenafspraken (DAP).
Leg beveiligingseisen vast in contracten en SLA's met leveranciers en monitor de naleving.
- Eigenaar:
- Inkoop / Contractbeheer
- Bewijs:
- Beveiligingsbijlage in contract + SLA-rapportage.
Beoordeel cloud-leveranciers (locatie, certificering, exit-strategie) en leg dit vast in een verwerkers- of dienstenovereenkomst.
- Eigenaar:
- Architect / IT
- Bewijs:
- Cloud-assessment incl. exitstrategie en datalocatie-bewijs.
Leg relevante gebeurtenissen vast (toegang, wijzigingen, fouten). Bewaar logs zodanig dat herleiden mogelijk is.
- Eigenaar:
- Security Officer
- Bewijs:
- Logging-configuratie en bewaartermijn.
Bewaak verdachte gebeurtenissen actief en zorg dat alarmeringen bij de juiste rol terechtkomen.
- Eigenaar:
- Security Officer
- Bewijs:
- SIEM/monitoring-rapportage en escalatieprocedure.
Pas segmentatie, hardening en periodieke kwetsbaarhedenscans toe op alle vanaf het internet bereikbare componenten.
- Eigenaar:
- Architect / IT
- Bewijs:
- Netwerkdiagram + laatste scanrapport.
Laat het systeem periodiek (minimaal jaarlijks) onafhankelijk testen op beveiligingskwetsbaarheden.
- Eigenaar:
- Security Officer
- Bewijs:
- Pentestrapport van afgelopen 12 maanden.
Voer een DPIA uit en pas extra waarborgen toe (zoals pseudonimisering, strikte autorisatie en logging).
- Eigenaar:
- Privacy Officer
- Bewijs:
- DPIA-rapport vastgesteld door Privacy Officer.
Beschrijf en oefen de datalekprocedure inclusief 72-uurs meldplicht aan de Autoriteit Persoonsgegevens.
- Eigenaar:
- Privacy Officer
- Bewijs:
- Datalekprocedure + bewijs van laatste oefening.
Tref technische en organisatorische maatregelen die voldoen aan de AVG, inclusief verwerkingsregister en grondslag.
- Eigenaar:
- Privacy Officer
- Bewijs:
- Inschrijving in verwerkingsregister + vastgestelde grondslag.
Verleen alleen toegang aan medewerkers die de gegevens nodig hebben voor hun functie. Documenteer de keuzes.
- Eigenaar:
- Functioneel beheerder
- Bewijs:
- Autorisatiematrix per rol, periodieke review.
Voer een proces voor in-, door- en uitstroom uit zodat accounts tijdig worden aangemaakt, aangepast en ingetrokken.
- Eigenaar:
- Functioneel beheerder
- Bewijs:
- Procesbeschrijving in-, door- en uitstroom.
Gebruik meervoudige authenticatie (MFA) voor toegang tot het systeem of de gegevens.
- Eigenaar:
- Security Officer
- Bewijs:
- MFA-configuratie aantoonbaar uit IAM-systeem.
Voor elke vorm van toegang vanaf het internet is meervoudige authenticatie verplicht.
- Eigenaar:
- Security Officer
- Bewijs:
- Authenticatie-instellingen op de internet-facing component.
Pas device-beveiliging, sterke authenticatie en mogelijkheid tot remote wipe toe op mobiele toegang.
- Eigenaar:
- Functioneel beheerder
- Bewijs:
- MDM-beleid en device-compliance-rapport.
Audittrail
Beoordeling aangemaakt
29 april 2026 om 19:42
Opmerking plaatsen