Subscribe
Share
Share
Embed
Weinig gemeenten (of: overheidsorganisaties) hebben een audit coördinator gegevensbescherming, maar de gemeente Westland is er eentje van. In deze aflevering praat ik met Marja Vermaas over de huidige en vooral toekomstige insteek van de jaarlijkse ENSIA verantwoordingscyclus. Want één ding is zeker: die gaat met de komst van de BIO2 en haar wettelijke verankering in de Cyberbeveiligingswet zeker veranderen. Naast maatregelen zal ook het (management)systeem zelf in beeld moeten komen.
Beluister deze aflevering op Youtube
qeep talking is een podcast van Renco Schoemaker. De BIO Bazen afleveringen maakt hij samen met Kees Hintzbergen. Vanuit zijn bedrijf qeep IT safe adviseert Renco de publieke sector over informatiebeveiliging en privacy in de brede zin. Naast de podcast, schrijft hij al >13 jaar blogs en vanaf 2025 voegde hij daar opinies, video's en links aan toe. Al zijn content en nieuwsbrieven vind je op qeep posted (registratie is gratis). Ook is Renco actief als BIO2 en NIS2/Cbw trainer.
- (00:47) - Ver van huis
- (01:37) - Rol van auditcoördinator
- (04:02) - Team Gegevensbescherming
- (05:48) - ENSIA-cyclus in de praktijk
- (09:58) - Tijd en prioriteit
- (11:10) - Van lastpak naar meerwaarde
- (18:10) - BIO 2 en risico's
- (21:37) - Toezicht en onduidelijkheid
- (27:25) - Risicomanagement toetsen
- (35:21) - Leukste aan het werk
Beluister deze aflevering op Youtube
qeep talking is een podcast van Renco Schoemaker. De BIO Bazen afleveringen maakt hij samen met Kees Hintzbergen. Vanuit zijn bedrijf qeep IT safe adviseert Renco de publieke sector over informatiebeveiliging en privacy in de brede zin. Naast de podcast, schrijft hij al >13 jaar blogs en vanaf 2025 voegde hij daar opinies, video's en links aan toe. Al zijn content en nieuwsbrieven vind je op qeep posted (registratie is gratis). Ook is Renco actief als BIO2 en NIS2/Cbw trainer.
Creators and Guests
What is qeep talking?
Een maandelijkse podcast waarin Renco Schoemaker in gesprek gaat met uiteenlopende gasten over informatiebeveiliging en privacy. Het gaat daarbij vooral om het 'hoe' in de context van de (lokale) overheid.
Welkom bij een nieuwe aflevering van qeep talking. Een podcast waarin ik, Renco Schoemaker, in gesprek ga met uiteenlopende gasten over informatiebeveiliging en privacy bij de overheid. Het gaat mij tijdens die gesprekken vooral om de hoe vraag. Die blijkt namelijk veel lastiger te beantwoorden dan de wat vraag. Met deze praktische insteek hoop ik dat jij als luisteraar ideeën opdoet om succesvoller te zijn in je werk.
Renco:Zowel op het gebied van maatregelen als het managementsysteem waarbinnen die maatregelen worden genomen. En daar valt veel over te bespreken dus veel plezier en. Deze podcast opname krijgt denk ik de prijs vers
Renco:van huis opgenomen. Want ik ben vandaag voor mijn gevoel sta
Renco:ik met 1 been in
Renco:de zee. Ik denk dat ik dan een beetje overdrijf, maar jullie weten dat ik een Zwollenaar ben en inmiddels ben ik per trein, per bus, per trein zoiets, ben ik in Naaldwijk beland. Naaldwijk bij de gemeente Westland en tegenover mij zit mijn gast die zichzelf het beste even kan introduceren, Marja.
Marja:Ja, dat klopt. Marja Vermaas, audit coördinator bij gemeente Westland.
Renco:Wat leuk dat ik bij jou mag komen podcasten.
Marja:Nou, graag gedaan.
Renco:We zitten bij jullie in een mooi licht warm pand in een kleine ruimte waar het uitstekend podcast is. En ik ja, je hebt eigenlijk erin gestemd met dat ik jou een half uurtje lang wat vragen op je mag afvuren toch?
Marja:Dat klopt.
Renco:Nog geen spijt van?
Marja:Nee hoor. Oké.
Renco:Hey maar jij geeft aan ik ben audit of jij bent audit coördinator gegevensbescherming. Dat moet je even toelichten, want die term die hoor ik niet vaak.
Marja:Nou, jij komt toch overal en nergens heb ik begrepen van jou. Nee, ja, audit coördinator gegevensbescherming. Ja, daaronder valt sowieso ENSIA coördinator dat zegt jou natuurlijk wel wat.
Renco:Zeker.
Marja:Maar het is ook wel iets breder en dan hoor ik jou eigenlijk nu denken dat doet de CISO toch? Nou dat is dus juist op een gegeven moment bij Westland losgelaten. De CISO wordt geen ENSIA coördinator, want de CISO heeft andere dingen te doen.
Renco:Ik denk dat als we CISO dus tot de luisteraar van deze podcast hebben vandaag, dat die jaloers zijn.
Marja:Dat hoor ik wel eens meer. Als ik in overleg zit bijvoorbeeld dat maandelijks ENSIA spreekuur, dan zeggen de CISO's die daar dan bij zitten van hè, maar ben jij dan helemaal geen CISO? Ik zeg nee, ik ben niet van de inhoud en dat is dus precies waar de audit coördinator hè over van is, van het proces. Oké. Dus onder andere van het ENSIA proces, maar bijvoorbeeld ook van het proces om ja, eigenlijk vergelijkbaar met het ENSIA proces dat op privacy los te laten.
Marja:En dan heb ik het voor Westland over het borgingsproduct voor de AVG.
Renco:En ja De toelichting voor de luisteraar die dat niet kent. Het AVG borgingsproduct is van de Informatiebeveiligingsdienst. Klopt. Het is eigenlijk een poging in mijn woorden althans een poging om het de AVG wet eigenlijk te vertalen naar concrete implementeren normen.
Marja:Dat klopt.
Renco:Ja, oké.
Marja:Nou ja, en die cyclus van hè dat doorakkeren van die normenkaders noem ik het dan maar heel even. Die hoort dan ook eigenlijk onder ja, de audit coördinator. En
Renco:maar daar word jij dus enthousiast van nou Marja, want het doorakkeren van normenkaders dat is niet iets waar iedereen meteen op aanslaat.
Marja:Nee dat klopt. Nee ik heb een achtergrond in de interne controle. Ja, dan snap je misschien een beetje waar die voorliefde dan vandaan komt. Maar dat doe ik natuurlijk niet alleen. Het is leuks om dat met elkaar te doen.
Marja:En ook met elkaar te filosoferen van we doen het nu zo, maar kan dat dan misschien op een andere manier? Hoe betrekken we nou die organisatie daar wat meer bij? Ja, en zeker ook met de ENSIA hebben we daar echt al sinds een aantal jaar samen met heel team gegevensbescherming gewoon wel stappen ingezet om over die organisatie daarin mee te krijgen.
Renco:En als je zegt met elkaar en als team gegevensbescherming kan je eens kort beschrijven wie er allemaal in dat team zitten? Wie zijn die collega's van jou?
Marja:Ja, zeker. We hebben een team met 2 privacy officers. FG zit in ons team, functionaris gegevensbescherming. Dus. Al die afkortingen.
Marja:Anders moet ik ook zeggen p o, de privacy officer. Ja, een drietal iso's, information security officers en een CISO, de chief. ISO zeg ik dan altijd maar even. Ja. Ja en ik we stellen ons mekaar voor aan de nieuwe medewerkers iedere maand.
Marja:Mogen wij in een onboarding als gegevensbescherming wat vertellen over wat wij doen. Staat dan daar een beetje in het midden en ik coördineer niet alleen maar audits of zelf evaluaties, maar ik zorg ook dat de kwartaalrapportages van de grond komen, dat het jaarverslag geregeld wordt. Puur ook op het proces en niet op de op de inhoud.
Renco:Ik hoor nu weer die jaloersmakende gedachtes van die CISO's van hé, er is iemand die helpt met dit jaarverslag en kwartaalrapportages. Dat dat moet toch voor jullie CISO en voor jullie FG / Privacy Officer moet dat toch aangenaam zijn dat dat een beetje verdeeld is op deze manier.
Marja:Jazeker en dat laten ze ook wel weten hoor dat ze dat heel fijn vinden. En dan komt mijn audit achtergrond als intern controleur weer naar voren omdat ik heel gestructureerd te werk ga en dan vinden zij heel fijn en daar liften zij ook heel graag op mee.
Renco:Ja, ja, ja, ja, ja, kan ik me nog iets bij voorstellen ja. Want door het jaar heen heb je nogal wat te coördineren dan verschillende audits. Ik weet niet hoe ziet dat dan in het jaar eruit? Ik bedoel probeer dat nog een beetje te spreiden door het jaar heen. Dan heb je heel duidelijk een piek in het jaar waarbij je heel hard moet rennen en een andere periode in het jaar dat je denkt nou nu kan ik lekker vakantiedagen opnemen of hoe werkt dat?
Marja:Beetje piek af en toe is het wel, maar kijk ENSIA is 1 juli 31 december gaat daar de organisatie in los hè. Dat weten we allemaal als je met ENSIA te maken hebt. Maar goed als ENSIA coördinator heb je natuurlijk na 1 januari ook nog wel het 1 en ander te doen. En dan heb je heel even vanaf nou ja, bij ons eigenlijk eind maart. Want wij hebben eigenlijk de ENSIA altijd eind maart helemaal klaar.
Marja:Dan heb ik even april en mei om even rustig aan te doen. Dan mag ik ook op vakantie ieder jaar.
Renco:Oké, wat goed.
Marja:En dan ja en dan daarna in juni ga ik alweer voorbereiden voor het nieuwe voor de nieuwe cyclus. Maar de organisatie zelf die merkt het eigenlijk het ergst. Het klinkt heel negatief, maar zo bedoel ik het niet. Vanaf 1 juli weer hè van de start tot dat die antwoorden ja over de schutting zijn gegooid in de ENSIA-tool.
Renco:En dat is dus dus als de antwoorden over de schutting zijn gegooid dat betekent dat de mensen die iets moeten zeggen over de status van een bepaalde maatregel dat die dat daadwerkelijk gedaan hebben. Geven aan deze maatregel, nou check die hebben we gedaan of nee die hebben we niet gedaan. Dat dat verzamel jij allemaal.
Marja:Ja, dat klopt. Nou AVG borgingsproduct noemde ik al net. We hebben net zo'n soort van cyclus ingericht. Alleen hadden we dan wel bedacht ja, dat is niet zo handig als dat dan ook 1 juli 31 december is. Dus ja, hebben voor onszelf wat naar voren getrokken.
Marja:Dus daar beginnen we eigenlijk al in het voorjaar mee en dan tillen we hem even de zomer over en dan ronden we hem eigenlijk na de zomer eigenlijk af.
Renco:Ja, dus ook om die die die belasting zeg maar op de op de business te spreiden en
Marja:op onszelf.
Renco:Op eigen team, ja. Ja klopt. En maar dan is toch de hamvraag waarom heeft de gemeente Westland dan wel een audit coördinator gegevensbescherming en hebben al die andere gemeentes in Nederland dat licht nog niet gezien? Ja. Wacht hé, waarom is het zoals het is?
Marja:Ja, dat weet ik eigenlijk ook niet zo goed, maar ik ben wel de 1e audit coördinator in Westland. Want voordat ik kwam bestond die functie niet.
Renco:Oké en hoelang doe je deze job?
Marja:Bijna 7 jaar.
Renco:Oké, dus er was niet een voorganger voor jou?
Marja:Nee, was voor mij geen voorganger. Toen ik kwam is heel team gegevensbescherming opgericht. Zoals ik hem net al netjes helemaal genoemd heb. Ja. En is dus bedacht van hé, kunnen wel een audit coördinator gebruiken.
Marja:Er is toen de discussie gevoerd, was ik natuurlijk zelf niet bij, want ik was er nog niet. Zou dat dan niet bij interne controle concern controle horen? Dat hebben ze echt wel overwogen bedacht. Nee, we gaan eerst binnen het team positioneren. En als het over een aantal jaren beklijft is of blijkt van nou kan misschien toch wel bij concern control bijvoorbeeld ondergebracht worden, dan staan we daarvoor open.
Renco:Want het argument om het bij consern control onder te brengen zijn zal ongetwijfeld een bepaalde onafhankelijkheid zetten. Klopt.
Marja:Je niet het daar
Renco:ziet wat ook advies geeft en vervolgens zijn altijd controle coördineert.
Marja:En ja, die gedachtes zijn er nog steeds alleen nog niet in de werkelijkheid uitgevoerd zeg maar.
Renco:Ja, ik kan me voorstellen dat het voor jou eigenlijk wel gezellig is om in hetzelfde team te zitten als CISO en FG en dan wil ik net niet meer zeggen dat de mensen bij concern control toch wel niet gezellig kunnen zijn, maar die hebben toch een ander verantwoordelijkheidsgebied. Inhoudelijk met andere dingen bezig.
Marja:Dat klopt helemaal. Ik leer er ook echt iedere dag ook weer van. Zeker als je met een ISO over technische BIO-maatregelen gaat praten, dan klappen mijn oren af en toe. Dan zeg ik wel eens even in normaal Nederlands nu. En ik heb zelf ook een ja, een tijdje in de privacy ook gewerkt bij een andere gemeente.
Marja:Nou, dat zijn dan wel weer hele leuke dingen en die houd je dan ook bij. Je blijft toch betrokken bij de ontwikkelingen.
Renco:Ja. Ja, dus als je wel in een derdelijns onafhankelijke derdelijns positie zou komen bij bijvoorbeeld concern control dan ja, raak je dat kwijt. Komt er misschien wel weer anders voor terug, maar dan raak je wel die binding wat meer kwijt.
Marja:Ja, ja, ja dat zou de praktijk dan uit moeten wijzen. Al we nu zelf zeggen van ja of je nou een heel team bent of niet, je weet elkaar toch wel te vinden. Ja. Dus dat ik weet niet of dat echt een 1 heel erg negatief iets zou hoeven zijn.
Renco:En en en maar als jij nou 100 procent van je capaciteit hebt hè en hoeveel procent daarvan denk je dat je ongeveer per jaar kwijt bent aan ENSIA?
Marja:Nou, denk veel 40 procent of zo. Oké. Is nog veel hoor. Maar ik moet ook wel zeggen dat ik er echt van voor naar achter ook gewoon wel wat van wil maken. Dus ik misschien ik ben perfectionistisch zou een ander ook wel zeggen nou het kan ook wel wat minder.
Marja:Maar ik heb zoiets van nee hoor, ik wil het gewoon goed doen. Iedereen meekrijgen, iedereen van de juiste dingen te faciliteren te voorzien en dat ze die hun ding kunnen doen dat het goede antwoord eruit komt. Nou dat.
Renco:Ja, een goede antwoord zou dan zijn dat de maatregel geïmplementeerd is.
Marja:Nee hoor, dat is niet per se het goede antwoord. Liever niet hè.
Renco:Is een flauwe grap.
Marja:Nee, het is eigenlijk goed als mensen zo'n echt aangeven van ja oké dat doen we eigenlijk helemaal niet zo. Van nou wie kan mij dan helpen om dat ja, volgende keer dan wel goed geregeld te hebben. Nou, dan kunnen we elkaar weer ja, van dienst zijn dat ik zeg nou ga eens even sorry ga eens even met de ISO in gesprek. Ja. Nou en dan heb je het cirkeltje eigenlijk op die manier wel weer rond.
Renco:Maar is dat niet een al te rooskleurige voorstelling van zaken dan? Dat mensen die iets te doen hebben in het ENSIA proces dat die vooral ENSIA zien als een aangrijpingspunt om proces verbeteringen door te voeren. Ik bedoel ik ben er zelf ook een heel aantal jaar ENSIA coördinator geweest. In mijn wereld was het ook wel zo dat er een aantal mensen mij gewoon een lastpak voelde.
Marja:Eens, eens, ja hoor. Ja, daar heb je Marja weer. Ja, de ENSIA.
Renco:Zoiets, dat moet ook weer.
Marja:Ja, dat moet ook weer ja. Nou, ik moet zeggen dat dat wel aan het veranderen is. De belang van oké iemand moet van die maatregel zijn en ja, het belang van we moeten het ook gewoon goed geregeld hebben dat sijpelt echt wel steeds meer door tot iedereen door.
Renco:Want je bent ook ENSIA coördinator vanaf de start dat ENSIA begon in 2017?
Marja:Nee, toen werkte ik nog niet bij Westland. Maar toen heb ik wel zelf de Suwinet audit voor een andere gemeente als security of zoals Suwinet gedaan. Dus toen was ik zelf aan de lat om de auditor van alle informatie te voorzien. Ja. Dus dat was dan eigenlijk de andere kant en dat kon mij nu wel heel goed van pas hoor.
Marja:Dat je ook wel weet waar het dan in de praktijk ook om gaat.
Renco:Je bent ook eigenlijk dan single point of contact richting de externe auditor die jullie Suwinet en DigiD komt toetsen.
Marja:Dat klopt. Ik ben aanspreekpunt en als het makkelijker is dat de auditor direct met een van mijn collega's in contact komt, dan doen we dat gewoon. Maar dan zorg ik altijd dat dat gefaciliteerd wordt.
Renco:Precies.
Marja:Dus
Renco:ja. En je gaf net aan dat je op het gebied van privacy werken jullie met het borgingsproducten van de IBD. Ja. En dat jullie eigenlijk een soortgelijke cyclus hebben opgezet voor privacy, weliswaar op een andere in de kalender zeg maar met een zwaartepunt op andere maanden. Maar dat is niet een verplichting vanuit ENSIA.
Renco:Dus jullie hebben eigenlijk de ENSIA systematiek zullen we maar zeggen, gecopy-paste, om het zo te zeggen op het privacy beleidsterrein. Dat klopt. En daar dat borgingsproduct als normenkader in gehangen en eigenlijk op hetzelfde, ik bedoel, naar business toe, verkopen jullie het als 1 en hetzelfde. Ja, inhoudelijk niet, maar ik bedoel het proces is hetzelfde voor security als ook voor privacy.
Marja:Ja, alleen zelf zijn we voor privacy wel wat meer als team aan de lat. En gaan we wat meer shoppen in de organisatie dan dat we echt iemand uit de organisatie hebben die 1 zo'n maatregel ja eigenaar daarvan is. Maar het is wel de bedoeling dat wij dat ala de en sha zo ingericht hebben.
Renco:Maar ik kan me voorstellen dat een verantwoording over informatiebeveiliging ook eerst zo begonnen is. Ik zelf als team van informatie beveiligingsspecialisten, al dan niet met 1 of 2 verloren teamleiders nog, dat je zegt nou we gaan er een middag goed voor zitten en dan vullen we die hele zelfevaluatie in. En nu ben je een aantal jaren verder en hebben jullie dat ook verteld in een voorgesprek ook met een tool ingericht. Dat jullie die maatregelen kunnen toewijzen, kunnen uitvragen. Ik kan me zo voorstellen dat als ik jou over 5 jaar zou interviewen dat over 5 jaar dat je die privacy maatregelen ook op die manier gewoon op maatregel niveau toewijst aan iemand en dat iemand zich verantwoord over een maatregel.
Marja:Zo zien wij dat wel voor ons. En wel natuurlijk scheiding te maken in maatregel die echt een concernbreed gemeentebreed gelden. Dan hoef je vaak toch maar bij 1 team, 1 iemand uit te vragen, maar er zijn zeker maatregelen waar het echt toegevoegde waarde heeft om daar gewoon echt is de organisatie mee ja lastig te vallen zou ik dan bijna zeggen. Maar ja, mee zo van joh hoe gaat het dan bij jullie? Want een team in sociaal domein is niet hetzelfde team als iemand die bij bedrijfsvoering in een team zit.
Renco:Ja, ja, ja. Dus er zijn maatregelen die gewoon op 1 plek, je moet dan altijd denken aan het informatiebeveiligingsbeleid of het privacybeleid. Ja, dat vraag je gewoon bij de FG uit of bij de CISO uit. Geef je daar antwoord op en klaar. Maar kan je eens een maatregel noemen uit het borgingsproduct van de IBD?
Renco:Een typisch maatregel die je meerdere keren zou willen uitvragen?
Marja:Nou dat ging bijvoorbeeld over het handmatig vastleggen van persoonsgegevens. Zijn er processen waarin dat handmatig gebeurt? En dan gaat er netjes in borgings product als voorbeeld, denkt aan je helpdesk van ICT of je klantcontactcentrum. Nou wij dachten ook gelijk van nou in het sociaal domein misschien de keukentafelgesprekken. Daar wil misschien ook nog wel zo'n kladblokje naast de medewerkers liggen.
Marja:Dus die hebben inderdaad in een aantal gevallen aan meerdere mensen uit verschillende teams uitgevraagd. En zo krijg je dan echt wel een beter inzicht. Wij betrappen onszelf er dan wel eens op en dan bedoel ik met onszelf, ons eigen team. Als je dan met de privacy officer, de FG en ik als audits coördinator bij elkaar zit en zo'n norm beet pakt dan hebben we zelf daar al gelijk een beeld bij. Maar dan dan ben ik er ook om te zeggen ja, maar moeten we dat dan niet eens even checken bij deze en genen.
Marja:En dan kan de privacy of ze zeggen ja, misschien bij die of bij die. Nou en zo ja zetten we dan de maatregel in de organisatie uit en ik verzamel dan antwoorden. En die bespreken we dan met elkaar en ja, wat voor gezamenlijk antwoord komt er dan uit?
Renco:En bespreken we met elkaar, dat zijn de mensen van team gegevensbescherming? Ja. Want ik kan me bijvoorbeeld voorstellen dat als jij die vraag stelt over noemde je dat nou net handmatig vastleggen van persoonsgegevens? Persoonsgegevens? Dat vraag je aan iemand in een proces in het sociaal domein en die zegt ja joh, ik heb altijd een heel groot kladblok mee en daar schrijf ik alles in op en nou dat is dan het antwoord wat wordt gegeven.
Renco:Maar misschien zegt die teamleider van die betreffende medewerker wel, maar dat is helemaal niet de bedoeling. Dat hij dat kladblok meeneemt. Hoe zo, hoe ken je dan de rol van de leidinggevende in dit proces? Want als je het niet oplet, dan rapporteer je operationele informatie die niet ja soms bijgestuurd moet worden in de ogen van een teamleider althans.
Marja:Ja, dat klopt helemaal en ja, zo gebeurt dat bij de ENSIA ook. De resultaten ja, van van wat we uit zo'n normenkader krijgen aan statussen die bespreken we altijd van tevoren met het team management. Maar inderdaad het lastige is bij norm zou je ze dan 3 keer moeten bespreken.
Renco:3 keer? Nou 1 keer met de medewerkers.
Marja:Ja, nee 1 keer met de teammanager van het klantcontactcentrum en 1 keer met die de ICT helpdesk en nog 1 keer van de teammanager uit het sociaal domein.
Renco:Ja.
Marja:En nou dan dat zouden we alleen doen als we echt zelf zoiets hebben van ja, dit loopt zo uit elkaar en hier hebben we zo bij dat ene team zulke andere resultaten gekregen. Dan gaan we ze apart bespreken.
Renco:Dat ook een beetje kosten-baten-afweging denk ik dan hè?
Marja:Precies.
Renco:Want je gaat er zelf tijd en energie insteken en je vraagt ook tijd en energie van anderen. Dat moet dan ook wel ergens toe bijdragen. Ja. Nu hebben wij de BIO2 al enige tijd. We hebben een cyberbeveiligingswet.
Renco:Gaat dat jouw werk als coördinator nog veranderen?
Marja:Nou, dat zou zomaar eens wel kunnen. Ja, ja, ENSIA BIO-zelfevaluatie. Dat zelfevaluatie gaat er dan waarschijnlijk toch wel een beetje vanaf. Dus ik zal waarschijnlijk toch ook wel meer daar contacten met misschien een auditor moeten gaan zoeken. De toezichthouder die voor de BIO geldt daar contacten mee onderhouden.
Marja:Zoals ik dat nu ook natuurlijk met de BKI en Logius zeg maar doe. Ja. Dus ja, daar dat is echt puur op proces zal best wel wat veranderingen zitten, maar ja, ook de mensen ook weer meenemen in in de BIO 2 in vergelijk met de BIO 1 en ook het management daarin meenemen. Want er zitten toch wel wezenlijke verschillen in. Vooral ja op het gebied van vanuit risicomanagement sturen in plaats van ja, we hebben die maatregel wel of niet geïmplementeerd.
Renco:Ja, want er zit natuurlijk best wel een verschil in hè. Dus aan de ene kant vanuit een compliance perspectief kunnen zeggen dat een bepaalde maatregel geïmplementeerd is. Dus dat een bepaald minimumniveau van informatiebeveiliging daarmee bereikt wordt. Versus de vraag, ben je in control op je risico's op gebied van informatiebeveiliging? Dat zijn uiteindelijk gaat het over hetzelfde vakgebied, maar aan de ene kant kijk je vanuit de risico's naar maatregelen en vanaf de andere kant kijk je eigenlijk vanuit compliance, het voldoen aan wet en regelgeving naar diezelfde maatregel.
Renco:En als je het mij vraagt dan is de huidige verantwoording via ENSIA is vooral voor het compliance invalshoek ingestoken, maar met de komst van BIO2 kantelt dat eigenlijk naar de andere kant. Dan wordt er gezegd nee, moet het, de kapstok is eigenlijk het risicomanagement proces en vanuit daar stuur je op het nemen van hè risico gebaseerd nemen van maatregelen. Dat dat dat impliceert toch wat meer wendbaarheid, wat meer bewegingsvrijheid. Staat dat dan niet op gespannen voet met een audit die toch eigenlijk redelijk binair is over het algemeen hè? Je voldoet of je voldoet niet.
Renco:Hoe moet dat dan?
Marja:Ja, nee, ja eens. In het laatste ENSIA's spreekuren werd daar ook een beetje een soort over gehad. Een beetje een soort over gediscussieerd. Maar ja, en ENSIA is altijd ja en nee. Maar hoe kan dat dan straks?
Marja:Ja. Want de ene gemeente zegt van ja, maar dit is bij ons helemaal geen risico hoor, dus hier hoeven wij niet zo heel veel aan te doen. Dus wij deels geïmplementeerd vinden wij helemaal prima.
Renco:Al van jullie al voor de komende 5 jaar.
Marja:Nou, bijvoorbeeld. Ja. En voor de andere maatregel zegt juist de ene gemeente van ja ja, maar dit bij ons een heel hoog risico. Nou en wij waren er daar eigenlijk met zijn allen ook niet al die CISO's die daar dan als ENSIA coördinator zat over uit hoe je dat nou eigenlijk goed vorm moest gaan geven. Dus daar zou best nog wel een ei over gelegd moeten worden.
Renco:Ja, ja, want kijk als je alles houdt zoals het is, dus je moet alle maatregelen altijd overal nemen hè. Of het impliciet doel zou zijn om 100 procent compliance te zijn op al die maatregelen. Dan laat ik nog even op zijn bestaan en werking even voor wat het is. Dan zou daar nog bijkomen dat je daar bovenop ook nog een heel proces rondom risicomanagement moet optuigen. Maar dat voelt dan een beetje als ja, dat doe ik dan ook, maar ik moet toch wel al die maatregelen doen hè.
Renco:Dus nou ja, ik heb daar vaker over gezeurd in een podcast. Dus ik moet zorgen dat ik mezelf niet te veel herhaal, maar dat is wel een oprechte vraag die ik heb hè, van hoe vang je zoiets dan ook in een verantwoordingsproces als ENSIA? Want die bewegingsruimte die staat eigenlijk die binaire invalshoek in de weg.
Marja:Ja, nou ik moet zeggen dat het ENSIA beheerteam daar ook niet al echt een zwart-wit antwoord op had. Maar zij betrekken ook wel de ENSIA coördinatoren en hun achterban noem ik het dan nu maar heel even wel bij om ja, ook daar eens gezamenlijk over na te denken. Dat je niet als gemeente allemaal je eigen systematiek hoeft ja, uit te gaan vinden. Dus daarom schuif ik sowieso iedere maand even aan om mijn oor te luisteren te leggen. Ja.
Marja:En dan kan ik natuurlijk ook de CISO van gemeente Westland eens aangeven van joh we hebben het hierover gehad of daarover gehad. Ja. Ja en die neemt dat dan ook weer mee richting regio overleg of zo. Want ja, je hoeft het als gemeente natuurlijk niet helemaal alleen te doen.
Renco:Nee, want die doen het eerder in het gesprek al een keer BKI als eigenlijk als club die namens de Inspectie SZW toezicht op Suwinet uitvoert. Dan hebben we die een Logius die dat doet voor DigiD. Die BIO zelfevaluatie, zoals we die nu kennen, daar zit eigenlijk helemaal geen externe toezichthouder op. Het idee is dat je dat naar je eigen interne toezichthouder brengt, zijnde de gemeenteraad. Maar in deze nieuwe situatie krijgt eigenlijk die bio ook een toezichthouder in de vorm van de RDI.
Renco:Dat klopt. Die gaat toezien op de naleving van de cyberbeveiligingswet en in de cyberbeveiligingsregeling voor de sector overheid is dan bepaald dat die BIO2 de invulling is van de zorgplicht. Dus dan zou ik zeggen dan krijgt de toezichthouder automatisch ook, de RDI dus, ook de taak om erop toe te zien dat al die overheidsorganisaties goed invulling geven aan hun zorgplicht. Lees de BIO 2 geïmplementeerd hebben. Risico gebaseerd whatever that meanze hè dus.
Renco:Er zijn nog veel vragen.
Marja:Nou dat zeker. Zeker als het RDI ja die moet ook wat van zich laten horen. Want wij zien het zo, maar ik weet nog in de tijd natuurlijk dat de Autoriteit Persoonsgegevens, de AP in het leven is geroepen. Dat dat in het begin ook heel ondoorzichtig was. Ja.
Marja:Van ja, wat is dan precies de bedoeling? Want wat moet je dan precies kunnen laten zien of wat niet? Of waar moet je verantwoording over afleggen of niet? Dus ja, dat dit zal wel weer een beetje ja hetzelfde gaan.
Renco:Ja, want ze hebben zich ook nog niet echt uitgesproken hè, de terug te houden. Ik bedoel RDI voor alle duidelijkheid houden natuurlijk toezicht op veel meer zaken, nog veel meer sectoren. Dus die die leuke gemeentes dat zal prachtig zijn voor ze, maar we zijn niet de enige op wie ze toezicht moeten houden. Dus ja, het is tot nu toe gissen denk ik hè. Hoe gaan ze zich opstellen?
Renco:Maar goed, ik vind het ergens wel een verfrissend idee dat die vrijblijvendheid van die BIO-zelfevaluatie dat we daar eigenlijk straks vanaf zijn.
Marja:Ja, heel af en toe, dan hoorden we het nog wel eens van een collega, maar van wie moet die BIO dan eigenlijk? En nu kunnen we dan zeggen ja, het staat in de wet. Ja. Nou goed, we moeten natuurlijk eigenlijk allemaal ervan overtuigd zijn dat het belangrijk is en je informatie veilig houdt enzovoort, enzovoort.
Renco:Ja, hebt natuurlijk een intrinsieke prikkel en je hebt een extrinsieke prikkel
Marja:Ja, precies. Maar ja, het is wel een 1 soort van stok achter de deur.
Renco:Ja, ja, het heeft natuurlijk bij die AVG ook een enorme boost gegeven naar het privacy vakgebied. En nu denk ik dat informatiebeveiliging al best wel een volwassen vakgebied op zich is. Ik bedoel er zijn allerlei normen en standaarden. Dat is er best wel uitgekristalliseerd. Dat was in het begin bij privacy totaal onduidelijk.
Renco:We hadden een wet en daar zat best wel veel ruimte in. Dus ja, hoe ga je met die ruimte om? Wat wordt er dan precies bedoeld? Er was veel onzekerheid over. Terwijl ik denk voor security is dat best wel helder.
Renco:Wat we verstaan onder informatiebeveiliging. Je kunt de 27001 en 2 erop naslaan. We hebben de BIO 2. Ja, je kunt niet de kaart spelen van ik heb geen idee wat ik moet doen.
Marja:Nee, dat klopt. Maar ja, waar we het net al over hadden met de komst hè dat je risicoafweging moet maken. Wordt die toch natuurlijk wel wat ja, hoe zeg je dat ja, voor iedere gemeente. Ja. En ja, dat moet je natuurlijk ook wel goed kunnen beredeneren en kunnen onderbouwen van waarom is dat dan wel of geen risico voor jouw gemeente en waarom ga je dan wel of niet iets implementeren.
Marja:Ja. Maar ik denk wel dat dat ook het interessanter maakt. Ik spreek natuurlijk niet voor de CISO, maar ik denk dat dat wel Ja, ook de discussie die dan gaat krijgen. Misschien ook zelfs met een met een directie. Van ja, maar wat is nu voor onze gemeente belangrijk?
Marja:Ja. Dat dat we best interessant kan worden.
Renco:Ja, in plaats van dat jij eigenlijk zelf al het antwoord meeneemt, alles is altijd belangrijk. Terwijl dat kan in de praktijk ook niet.
Marja:Nee, dat klopt.
Renco:Het is niet altijd in de praktijk allemaal even belangrijk. Daar handel je ook niet naar. Dat dat is ook vaak met middelen niet mogelijk.
Marja:Nee, want vaak weten wij zelf in ons achterhoofd dat natuurlijk wel en dat merken we ook bijvoorbeeld bij dat AVG borgingsproduct. En ook bij de BIO trouwens. ENSIA is ja, nee, de borgingsproduct zit wel wat weging in tegenwoordig in een nieuwe versie. Dus dan is het niet meer alleen ja of nee. Maar het is natuurlijk heel vaak niet ja of nee.
Marja:Er zit echt best wel wat wat tussen. En dan ja, ga je dan die wijzer door laten slaan naar het groene vinkje of naar dat rode kruisje?
Renco:Ja, en dan staan dat risicomanagement, wat toch een beetje de kapstok is van dat hele ISMS wat nieuwe verplichting is in de BIO 2. Die maatregelen moeten we dan nog steeds doen. Mag gewoon hopelijk nu risico gebaseerd. Zodat we het wat meer individuelere inkleuring kan krijgen. Maar het risicomanagement proces komt erbij.
Renco:Proces waarlangs je niet alleen maatregelen neemt omdat je moet voldoen aan met de regelgeving, maar dat je maatregelen neemt om risico's die de continuïteit van jouw dienstverlening in het ja, kunnen verstoren, Daarvoor maatregelen neemt. En uiteraard ben je ook voorbereid op verstoring en denk je allemaal over na. Nou, nu ben jij audit coördinator gegevensbescherming en dan krijg jij de vraag gesteld, nou, Marja, wij moeten nu ook risicomanagement gaan inrichten. Wil jij eens nadenken over hoe jij vanuit een audit perspectief zou willen vaststellen in hoeverre er goed werkend en een aan een cyberbeveiligingswet voldoend risicomanagement proces is. Wat zou je dan als eerst gaan uitvragen?
Marja:Die vind ik wel heel ingewikkeld hoor, Renco.
Renco:Het is gewoon, ik moet hardop denken. Ik verwacht niet on de spot een perfect antwoord of zo, maar als je nou moet toetsen of het risicomanagement proces het doet. Waar zou je dat aan vragen?
Marja:Nou ja, sowieso oké en waar zie je dan een risico en hoe vaak denk je dat dat risico verandert? Wil je wil je dat ieder jaar bekijken? Wil je dat om het jaar bekijken? Is 1 keer in de 3 jaar genoeg? Of misschien zelfs 4 keer per jaar zou kunnen.
Marja:Zodat je die cyclus in ieder geval al geborgd hebt van nou oké, dit is wel een risico die iedere keer aan verandering onderhevig is.
Renco:Ja, dus je denkt periodiek na over de risico's die je als organisatie loopt. Ja, Ja. Ja. En dat zou, want ik noemde net de continuïteit van dienstverleningsprocessen. Mhmm.
Renco:Als kapstok, ik bedoel risico's, ik weet niet hoe jouw ervaring is, maar als je met iemand praat over risico's, er zijn mensen die slaan linksaf, er zijn mensen die slaan rechtsaf. Ik bedoel je kunt, het is zo open iets en je kunt er alle kanten mee op. Hoe zorgt het er nou voor dat dat een beetje on topic blijft?
Marja:Ja, ik denk door het gesprek met elkaar erover aan te gaan van hoe zien wij een risico? Wat houdt dat dan in voor gemeente Westland? En dat je dus de neuzen wat dat aangaat aan het begin al dezelfde kant op krijgt. Ja, dus ik Terwijl je wel over hetzelfde praat.
Renco:Ja, dus je moet eerst een soort gemeenschappelijke taal ontwikkelen. Ja, denk ik wel.
Marja:Anders gaat het hem niet worden denk ik.
Renco:Oké, dus dat zou iets kunnen zijn om op te checken bijvoorbeeld of formeel gezegd zou je kunnen stellen dat je een risicomanagementbeleid moet hebben waar die taal dan in staat. Wat bedoelen wij met een risico en hoe zien we kans en impact? Ja. Dus dat zou een risicomanagementbeleid kunnen zijn. En je zegt net, doet periodiek risicoanalyses.
Renco:Dus je kijkt welke risico's zijn allemaal actueel. Kunnen zich voordoen voor mijn organisatie? Wat zijn de effecten daar dan van? Dus dat zijn wel 2 belangrijke ingrediënten. Kunnen we er nog meer bedenken?
Renco:Waar zou je naar kijken?
Marja:Nou of er iemand aan de lat staat voor dat risico. Ja, iemand is zich verantwoordelijk voor om ja, te bepalen van wat gaan we dan doen om dat risico te mitigeren.
Renco:Ja, dat zou dan de directeur moeten zijn.
Marja:Ja, zou kunnen. Dat zou misschien voor iedere gemeente wel anders zijn.
Renco:Ligt ook misschien aan de omvang van het risico.
Marja:Ja, zou wel kunnen, ja.
Renco:Oké, dus de risico's moeten ook eigenaren hebben. Ja. Oké, dus de risico's die noteer je ergens. Nee, doet die analyse. Daar komen risico's uit met kans en impactscores.
Renco:En van een deel van de risico's zou je dan kunnen zeggen nou die zijn te hoog. Of die vinden wij te hoog als gemeente. Die noteer je in wat we dan noemen een risicoregister en al die risico's krijgen een eigenaar. Zo shoppen we toch eigenlijk al heel hard. De ingrediënten bij elkaar.
Marja:Ja, eens, ja.
Renco:Oké, maar dan nog even het woord wat ik ook vaak tegenkom in de 27001, maar wat ik niet kende vanuit de BIO 2, dat is het risico behandelplan. Er wordt gezegd heb je ook een risico behandelplan? Nou, als ik woord nu lees dan en ik ken het eigenlijk niet op die manier, dan zeg ik nee, dat heb ik niet. Maar volgens mij wordt er met een risico behandelplan gewoon bedoeld wat ga je doen met het risico toch?
Marja:Als jij een risico hebt erkend en hebt gezegd van dat kunnen we eraan doen om dat risico te verminderen dan neem ik inderdaad aan dat als je dingen gaat implementeren om dat risico te verminderen dat je dan het risico in behandeling hebt, behandelplan. En ik neem aan dat jij daar een beetje wil voorbereiden van ja, wie er dan aan de lat en wie kijk dan of dat dat dan inderdaad cyclisch dan ook wel gebeurt?
Renco:Ja, dat zou leuk kunnen zijn als audit coördinator.
Marja:Dat zou kunnen, maar bij Westland zouden we daar ja best nog wel even over moeten hebben van ja, hoe ga je dat nou doen? Dat is nog best wel even een uitdaging voor komende periode. Wat werkt, wat werkt niet, wie nemen we erin mee en nou ja, dat
Renco:soort dingen
Marja:allemaal. Ja.
Renco:En moeten er moeten er niet gewoon iso 27001 geïnvesteerd worden dan?
Marja:Ja, misschien wel. Ja, dat is wel ja, dat zeg je nou zo en we lachen het er wel een beetje om, maar gemeente Westland levert ook diensten aan andere partijen. En die vragen dan wel aan ons van ja jullie vragen aan jullie leveranciers bijvoorbeeld een certificering.
Renco:Dat die onderling.
Marja:Maar is jullie certificering. Ja, ja. Dus ja, dat is toch wel echt een 1 vraag die er wel echt ligt. Van wat kunnen wij daar dan aan aantonen dat wij ook alles op orde hebben.
Renco:Ja, ja, ja, dat legt toch een beetje die ongemakkelijke hypocrisie af en toe bloot die ik ook zelf in opdrachten die ik vaak wel eens ervaren heb dat ik de lat ik, waarlangs ik de leverancier afmeet, de lat die ik opleg in mijn aanbesteding of programma van eisen. Nou, ik ook al podcasts over gemaakt dat die lat toch een stuk hoger lijkt te zijn dan waar we zelf kennelijk tevreden mee zijn. Dus dat is, dat is zit een bepaalde hypocrisie in. En nu krijgen we via die BIO2 krijgen we die hele 27001 eigenlijk zelf ook op onszelf geprojecteerd. Ja, nu moet
Marja:het heel Ja, eens. Ja.
Renco:Ja, dus is dat nou juist een moment om dan van CISO een andere baan te zoeken of zeg je nou ja, dit maakt het werk als CISO alleen maar mooier.
Marja:Ja, dat moet ik dan aan mijn collega natuurlijk Dat kan ik niet niet voor haar antwoorden.
Renco:Maar voor een audit coördinator?
Marja:Ik weet het niet. Ik denk zelf als we de het volwassenheidsniveau wat we nu ingezet hebben hè, dat we iedere keer een stukje groeien. Dat dat het audic coördinatorschap wat overbodig maakt. Dat de organisatie al zelf alles zo goed geborgd heeft in heel die cyclus dat je misschien alleen nog maar 1 of 2 momenten in een jaar coördinatorschap hoeft uit te oefenen en niet meer het hele jaar door.
Renco:Ja, want nu ben je wel iemand die aanjaagt zeg maar.
Marja:Zo van hé de ENSIA begint weer, heb je er erg in en oké bijvoorbeeld ook we hebben iets nagevraagd bij iemand van joh voldoen wij daaraan als gemeente, er komt geen antwoord. Ja, dan ben ik degene die weer even gaat porderen van joh kan je dan nog antwoord geven. Ja. En ja, ook vervolg op een actieplan uit een DPIA. Ja, wie gaat daar dan porren van hé hebben jullie dat nu wel gedaan?
Marja:Nou dat soort dingen.
Renco:Ja, het mooie is natuurlijk dat met de komst van die BIO 2 en het in scope nu hebben van de 27001, anders geformuleerd, overheidsorganisaties moeten een werkend ISMS hebben. Dus niet de tool, maar een proces. Al niet met een tool, maar we bedoelen dan een proces. Dat eigenlijk dit wat je nu net zegt, maar ja, ook het opvolgen van maatregelen of het implementeren van maatregelen die voortkomen uit een DPIA, ja, zou je ook kunnen gaan besturen vanuit dat ISMS proces.
Marja:Ja, graag zelfs.
Renco:Ja, dus eigenlijk toekomst is het doet er eigenlijk heel mooi.
Marja:Ja, maar dan heb je wel voortdurend inzichtelijk waar je staat.
Renco:Ja, maar toch denk ik wel poeh het is ook nog wel een flinke stap.
Marja:Ja, dat zeker. Maar dat houdt het ook natuurlijk wel weer interessant, hè.
Renco:Ja, dus misschien toch wel heel leuk nu om nu juist CISO te zijn ja. Maar goed, aan dat antwoord ga jij niet veranderen. Je bent niet de Nee, ik
Marja:wou zeggen die ambitie heb ik ook niet hoor.
Renco:Oké. Hé en tot slot dan de vraag. Wat is nou het leukste van jouw werk? Wat vind je nou het leukste om te doen?
Marja:Nou, een goed gesprek hebben over nou bijvoorbeeld die ENSIA-cyclus met iemand die het ook belangrijk vindt, maar het misschien niet zo goed weet en dan om hulp komt vragen van ja hoe moet ik dat nou doen en hoe zien jullie dat. Dat vind ik altijd het leukst.
Renco:Ja, oké, dus dan hoef je niet meer belang te verkopen zal ik maar zeggen. Dat wordt eigenlijk al gevoeld. Het is meer dan de vraag hé hoe help mij even in hoe ik deze verantwoordelijkheid die ik al vond zelf.
Marja:Precies.
Renco:Ja, ja, ja, ja.
Marja:En als mensen het ook zelf komen vragen. Je kan iets aanbieden, maar dat wil niet zeggen dat mensen natuurlijk dat aanbod aannemen. Ja. Als zij al zelf komen van hé kunnen we dat eens even over overleggen van hoe zien jullie dat en hoe kan ik dat nou het beste doen. Dat is altijd erg leuk.
Renco:Ja. En nog tips voor andere ENSIA coördinatoren slash CISO's?
Marja:Een tip ja, maak je maar niet te druk om heel het systeem. Oké. Nee, want het komt altijd vanzelf wel weer goed.
Renco:Nou, dat vind ik wel hele relativerende geruststellende afsluiting. Ja, precies. Leuk, dank je wel voor je tijd, Marja. Hier in het mooie Naaldwijk zijn we. Ja, klopt, klopt.
Renco:In de gemeente Westland, maar dan in het plaatsje Naaldwijk. Ja. En welke plaatsen vallen er nog meer onder de gemeente Westland?
Marja:Onder andere De Lier, Monster, Schravenzande en nu vergeet ik er nog een paar, maar die sowieso.
Renco:Maar zijn dat allemaal onbekende gemeentes, dus ik ga je niet aanvullen of wat dan ook. Nee, dankjewel. We gaan elkaar vast nog wel weer tegenkomen net als in de afgelopen jaren. Misschien wel bij ENSIA spreekuur of zo.
Marja:Wie weet.
Renco:Of op een andere manier.
Renco:Nee, dank je wel en fijne dag nog
Marja:Hetzelfde.
Renco:En daarmee is deze aflevering van qeep talking alweer afgelopen. Leuk dat je luisterde en hopelijk heb je wat bruikbare ideeën opgedaan die je kan toepassen binnen je eigen werk. Op mijn site qeepposted punt nl vind je naast deze podcast ook blogs, video's, handige links opinie's en trainingsdata. Abonneren is gratis en zo gepiept en op die manier ontvang je nieuwe content direct in je mailbox. In de volgende aflevering ga ik weer in gesprek met een andere gast en ik hoop dat je dan ook weer luistert.
Renco:Tot dan.