Het college van burgemeester en schepenen,

Feiten & context:

De Europese Richtlijn (EU) 2022/2555 (NIS-2-richtlijn) verplicht overheidsinstanties tot het nemen van doeltreffende en evenredige technische, operationele en organisatorische maatregelen om cybersecurityrisico's te beheersen.
 

Overeenkomstig artikel 217 en 218 van het Decreet over het Lokaal Bestuur is het lokaal bestuur wettelijk verplicht een deugdelijk systeem van organisatiebeheersing op te zetten. Dit systeem moet een redelijke zekerheid bieden over het beheersen van risico's en het naleven van wetgeving en procedures.
 

Informatiebeveiliging vormt een essentieel onderdeel van deze organisatiebeheersing.

Om de cyberweerbaarheid structureel te verankeren, is er behoefte aan een overkoepelend, strategisch kader dat alle veiligheidsdomeinen met elkaar verbindt.
 

Argumentatie:

Het bestuur kiest ervoor om over te gaan tot de creatie van een Informatiebeveiligingsbeleid  (IBB). Dit beleid overspant niet alleen digitale risico's, maar verbindt ook fysieke beveiliging, personele veiligheid en operationele continuïteit tot één samenhangend geheel.
 

Als operationele motor onder dit Informatiebeveiligingsbeleid richt het lokaal bestuur een Information Security Management System (ISMS) in. Dit managementsysteem voor informatiebeveiliging zorgt ervoor dat de vertrouwelijkheid, integriteit en beschikbaarheid van gemeentelijke gegevens systematisch worden bewaakt via een continu proces van risicomanagement.
 

De internationale norm ISO/IEC 27001:2023 (Belgische norm NBN EN ISO/IEC 27001:2023) wordt gehanteerd als de blauwdruk voor de inrichten, de implementatie en de interne audit van dit ISMS.
 

De formele intentie om conform deze ISO-standaard te werken weerspiegelt de juiste, proactieve ingesteldheid ten aanzien van informatiebeveiliging. Dit besluit vormt het startpunt naar NIS-2-conformiteit.
 

Alle beleidsfiches en documenten die binnen het ISMS worden opgesteld, worden zo concreet en auditeerbaar mogelijk geformuleerd. Dit stelt de interne audit in staat om de effectiviteit van de maatregelen objectief te toetsen.
 

Elk specifiek beleidskader binnen het ISMS zal stapsgewijs ter advisering worden voorgelegd aan het managementteam (MAT) en ter goedkeuring aan het college van burgemeester en schepenen (CBS).
 

Juridische grond:

Het Decreet over het Lokaal Bestuur van 22 december 2017, in het bijzonder artikel 56, §1 (bevoegdheid CBS) en de artikelen 217 en 218 (organisatiebeheersing).

Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad van 14 december 2022 (NIS-2-richtlijn).
 

De norm NBN EN ISO/IEC 27001:2023 (Informatiebeveiliging, cybersecurity en bescherming van de privacy — Managementsysteem voor informatiebeveiliging — Eisen).
 

Adviezen:

Positief advies MAT (15/10).
 

Procedure:

Niet van toepassing (strategische beleidsbeslissing).
 

Financiële weerslag:

Dit strategische besluit heeft als intentieverklaring geen directe financiële weerslag. Eventuele toekomstige aankopen worden via de reguliere wetgeving overheidsopdrachten afzonderlijk aan het college voorgelegd.

BESLUIT: 

art. 1
Het college van burgemeester en schepenen keurt de strategische doelstelling goed om met de gemeentelijke organisatie te streven naar volledige conformiteit met de Europese NIS-2-richtlijn.
 

art. 2
Het college beslist over te gaan tot de uitwerking van een Informatiebeveiligingsbeleid (IBB) dat de verschillende fysieke, personele en digitale veiligheidslijnen van de organisatie bundelt.
 

art. 3
Er wordt beslist om onder dit integraal veiligheidsbeleid een Information Security Management System (ISMS) in te richten conform de eisen van de norm ISO/IEC 27001:2023. Deze norm dient tevens als de leidraad voor toekomstige interne audits.
 

art. 4
Elk specifiek deelbeleid en elke procedure binnen het ISMS wordt zo auditeerbaar mogelijk opgesteld en behoeft de voorafgaande goedkeuring van zowel het managementteam (MAT) als het college van burgemeester en schepenen (CBS).
 

art. 5
De algemeen directeur en de leidend ambtenaar van de ICT-dienst worden belast met de uitvoering van dit besluit, waarbij zij zich voor de kwaliteitsbewaking en onafhankelijke toetsing kunnen laten adviseren door de externe Data Protection Officer (DPO).