Regeling informatiebeveiliging politie

Stcrt. 2007, 25, datum inwerkingtreding 07-02-2007, bevat een wijziging met terugwerkende kracht van dit artikel. Deze wijziging werkt terug tot en met 01-08-2006.

In deze regeling wordt verstaan onder:

a. politiekorpsen:

de regionale politiekorpsen en het Korps landelijke politiediensten;

b. Politie Nederland:

de publiekrechtelijke rechtspersoon Politie Nederland, genoemd in de Voorziening tot samenwerking Politie Nederland;

c. afhankelijkheidsanalyse:

het vaststellen in hoeverre bedrijfsprocessen die door informatiesystemen ondersteund worden, afhankelijk zijn van de betrouwbaarheid van deze systemen en het vaststellen welke potentiële schades kunnen optreden als gevolg van het falen van deze informatiesystemen;

d. betrouwbaarheid:

de mate waarin een politiekorps en de ITO zich kunnen verlaten op een informatiesysteem voor zijn informatievoorziening.

e. beschikbaarheid:

de mate waarin een informatiesysteem in bedrijf is op het moment dat een politiekorps en de ITO het nodig hebben;

f. integriteit:

de mate waarin een informatiesysteem zonder fouten is;

g. exclusiviteit:

de mate waarin de toegang tot en de kennisname van een informatiesysteem en de informatie daarin beperkt is tot een gedefinieerde groep van gerechtigden;

h. informatiesysteem:

een geheel van gegevensverzamelingen, personen, procedures, programmatuur en opslagverwerkings- en communicatie-apparatuur;

i. gemeenschappelijke IT-dienst:

een geheel van voorzieningen dat ter beschikking staat aan één of meerdere informatiesystemen binnen een politiekorps en de ITO en waarvoor de verantwoordelijkheid eenduidig is toe te wijzen aan één organisatorische eenheid;

j. kwetsbaarheidsanalyse:

het vaststellen van de invloed van het manifest worden van bedreigingen op het functioneren van een informatiesysteem of een gemeenschappelijke IT-dienst;

k. informatiebeveiliging:

het treffen en onderhouden van een samenhangend pakket van maatregelen ter waarborging van de beschikbaarheid, integriteit en exclusiviteit van een informatiesysteem en daarmee van de informatie daarin;

l. informatiebeveiligingsplan:

de opsomming van alle beveiligingsmaatregelen of de vindplaatsen daarvan die voor een informatiesysteem of een gemeenschappelijke IT-dienst van kracht zijn;

m. calamiteitenparagraaf:

de opsomming van alle maatregelen die tot uitvoering moeten komen als zich een situatie voordoet waarbij de beschikbaarheid, integriteit of exclusiviteit van een informatiesysteem in beduidende mate niet aan de eisen voldoen;

n. kwaliteit:

de mate waarin het geheel van eigenschappen van een informatiesysteem voldoet aan de uit het gebruiksdoel voortvloeiende eisen;

o. systeemexploitatie:

de zorg voor het functioneren van (een deel van) een informatiesysteem;

p. systeemverwerving:

de zorg voor het ontwikkelen, kopen, huren en dergelijke en het uitvoeren van aanpassingen aan (delen van) een informatiesysteem zoals procedures, programmatuur of apparatuur.

Stcrt. 2007, 81, datum inwerkingtreding 28-04-2007, bevat een wijziging met terugwerkende kracht van dit artikel. Deze wijziging werkt terug tot en met 01-08-2006.

In deze regeling wordt verstaan onder:

a. politiekorpsen:

de regionale politiekorpsen en het Korps landelijke politiediensten;

b. Politie Nederland:

de publiekrechtelijke rechtspersoon Politie Nederland, genoemd in de Voorziening tot samenwerking Politie Nederland;

c. afhankelijkheidsanalyse:

het vaststellen in hoeverre bedrijfsprocessen die door informatiesystemen ondersteund worden, afhankelijk zijn van de betrouwbaarheid van deze systemen en het vaststellen welke potentiële schades kunnen optreden als gevolg van het falen van deze informatiesystemen;

d. betrouwbaarheid:

de mate waarin een politiekorps en Politie Nederland zich kunnen verlaten op een informatiesysteem voor zijn informatievoorziening.

e. beschikbaarheid:

de mate waarin een informatiesysteem in bedrijf is op het moment dat een politiekorps en Politie Nederland het nodig hebben;

f. integriteit:

de mate waarin een informatiesysteem zonder fouten is;

g. exclusiviteit:

de mate waarin de toegang tot en de kennisname van een informatiesysteem en de informatie daarin beperkt is tot een gedefinieerde groep van gerechtigden;

h. informatiesysteem:

een geheel van gegevensverzamelingen, personen, procedures, programmatuur en opslagverwerkings- en communicatie-apparatuur;

i. gemeenschappelijke IT-dienst:

een geheel van voorzieningen dat ter beschikking staat aan één of meerdere informatiesystemen binnen een politiekorps en Politie Nederland en waarvoor de verantwoordelijkheid eenduidig is toe te wijzen aan één organisatorische eenheid;

j. kwetsbaarheidsanalyse:

het vaststellen van de invloed van het manifest worden van bedreigingen op het functioneren van een informatiesysteem of een gemeenschappelijke IT-dienst;

k. informatiebeveiliging:

het treffen en onderhouden van een samenhangend pakket van maatregelen ter waarborging van de beschikbaarheid, integriteit en exclusiviteit van een informatiesysteem en daarmee van de informatie daarin;

l. informatiebeveiligingsplan:

de opsomming van alle beveiligingsmaatregelen of de vindplaatsen daarvan die voor een informatiesysteem of een gemeenschappelijke IT-dienst van kracht zijn;

m. calamiteitenparagraaf:

de opsomming van alle maatregelen die tot uitvoering moeten komen als zich een situatie voordoet waarbij de beschikbaarheid, integriteit of exclusiviteit van een informatiesysteem in beduidende mate niet aan de eisen voldoen;

n. kwaliteit:

de mate waarin het geheel van eigenschappen van een informatiesysteem voldoet aan de uit het gebruiksdoel voortvloeiende eisen;

o. systeemexploitatie:

de zorg voor het functioneren van (een deel van) een informatiesysteem;

p. systeemverwerving:

de zorg voor het ontwikkelen, kopen, huren en dergelijke en het uitvoeren van aanpassingen aan (delen van) een informatiesysteem zoals procedures, programmatuur of apparatuur.

Stcrt. 2007, 25, datum inwerkingtreding 07-02-2007, bevat een wijziging met terugwerkende kracht van dit artikel. Deze wijziging werkt terug tot en met 01-08-2006.

1 Deze regeling is van toepassing op het gehele proces van informatievoorziening en de gehele levenscyclus van informatiesystemen, ongeacht de toegepaste technologie en ongeacht het karakter van de informatie.

2 De korpsbeheerder, en voorzover het betreft het Korps landelijke politiediensten en Politie Nederland, de Minister van Binnenlandse Zaken en Koninkrijksrelaties, is verantwoordelijk voor informatiebeveiliging, hetgeen een onderdeel van de kwaliteitszorg voor bedrijfsprocessen en de ondersteunende informatiesystemen vormt.

3 Bij de uitwisseling van gegevens tussen politiekorpsen onderling, politiekorpsen en Politie Nederland of politiekorpsen of Politie Nederland en andere instanties, worden afspraken gemaakt over de betrouwbaarheid van de informatiesystemen en van de informatie daarin en de wijze waarop zekerheid wordt verkregen over de realisatie daarvan.

Stcrt. 2007, 81, datum inwerkingtreding 28-04-2007, bevat een wijziging met terugwerkende kracht van dit artikel. Deze wijziging werkt terug tot en met 01-08-2006.

1 Deze regeling is van toepassing op het gehele proces van informatievoorziening en de gehele levenscyclus van informatiesystemen, ongeacht de toegepaste technologie en ongeacht het karakter van de informatie.

2 De korpsbeheerder, en voorzover het betreft het Korps landelijke politiediensten en Politie Nederland, de Minister van Binnenlandse Zaken en Koninkrijksrelaties onderscheidenlijk het algemeen bestuur van Politie Nederland, is verantwoordelijk voor informatiebeveiliging, hetgeen een onderdeel van de kwaliteitszorg voor bedrijfsprocessen en de ondersteunende informatiesystemen vormt.

3 Bij de uitwisseling van gegevens tussen politiekorpsen onderling, politiekorpsen en Politie Nederland of politiekorpsen of Politie Nederland en andere instanties, worden afspraken gemaakt over de betrouwbaarheid van de informatiesystemen en van de informatie daarin en de wijze waarop zekerheid wordt verkregen over de realisatie daarvan.

Stcrt. 2007, 25, datum inwerkingtreding 07-02-2007, bevat een wijziging met terugwerkende kracht van dit artikel. Deze wijziging werkt terug tot en met 01-08-2006.

1 De korpsbeheerder, en voorzover het betreft het Korps landelijke politiediensten en Politie Nederland, de Minister van Binnenlandse Zaken en Koninkrijksrelaties, stelt het informatiebeveiligingsbeleid vast in een beleidsdocument en draagt dit beleid uit. Indien het informatiebeveiligingsbeleid mede betrekking heeft op informatiesystemen ten behoeve van de opsporing van strafbare feiten, stelt de korpsbeheerder dit beleidsdocument vast na overleg met de hoofdofficier van justitie.

2 Het document omvat tenminste:

• a. de strategische uitgangspunten en randvoorwaarden die het politiekorps en Politie Nederland hanteert ten aanzien van informatiebeveiliging, met name de inbedding in en afstemming op het algemene beveiligingsbeleid en het informatievoorzieningsbeleid;

• b. de organisatie van de beveiligingsfunctie, waaronder het toedelen van verantwoordelijkheden, taken en bevoegdheden;

• c. de eenduidige en volledige indeling van informatievoorzieningsfaciliteiten in informatiesystemen en gemeenschappelijke IT-diensten en toewijzing van de verantwoordelijkheden daarvoor aan leidinggevenden;

• d. de wijze waarop het beleid wordt vertaald naar concrete maatregelen en de wijze waarop deze gefinancierd worden;

• e. de gemeenschappelijke betrouwbaarheidseisen en maatregelen, vastgesteld met inachtneming van de bij deze regeling gevoegde bijlage, die voor het politiekorps en Politie Nederland van toepassing zijn;

• f. de wijze waarop geconstateerde dan wel vermoede inbreuken op de informatiebeveiliging door politieambtenaren gemeld worden, de politieambtenaar bij wie deze inbreuken worden gemeld en de wijze waarop deze worden afgehandeld;

• g. de wijze waarop en de frequentie waarmee volgens een vastgesteld schema het informatiebeveiligingsbeleid geëvalueerd wordt en de toereikendheid van het informatiebeveiligingsbeleid alsmede de implementatie en de uitvoering daarvan wordt beoordeeld door een onafhankelijke deskundige;

• h. de wijze waarop het beveiligingsbewustzijn wordt bevorderd en

• i. de te nemen maatregelen met betrekking tot de interceptiefaciliteiten binnen het korps, met inachtneming van de Normstelling inrichting interceptiefaciliteiten, bedoeld in bijlage II.

Stcrt. 2007, 81, datum inwerkingtreding 28-04-2007, bevat een wijziging met terugwerkende kracht van dit artikel. Deze wijziging werkt terug tot en met 01-08-2006.

1 De korpsbeheerder, en voorzover het betreft het Korps landelijke politiediensten en Politie Nederland, de Minister van Binnenlandse Zaken en Koninkrijksrelaties onderscheidenlijk het algemeen bestuur van Politie Nederland, stelt het informatiebeveiligingsbeleid vast in een beleidsdocument en draagt dit beleid uit. Indien het informatiebeveiligingsbeleid mede betrekking heeft op informatiesystemen ten behoeve van de opsporing van strafbare feiten, stelt de korpsbeheerder dit beleidsdocument vast na overleg met de hoofdofficier van justitie.

2 Het document omvat tenminste:

• a. de strategische uitgangspunten en randvoorwaarden die het politiekorps en Politie Nederland hanteert ten aanzien van informatiebeveiliging, met name de inbedding in en afstemming op het algemene beveiligingsbeleid en het informatievoorzieningsbeleid;

• b. de organisatie van de beveiligingsfunctie, waaronder het toedelen van verantwoordelijkheden, taken en bevoegdheden;

• c. de eenduidige en volledige indeling van informatievoorzieningsfaciliteiten in informatiesystemen en gemeenschappelijke IT-diensten en toewijzing van de verantwoordelijkheden daarvoor aan leidinggevenden;

• d. de wijze waarop het beleid wordt vertaald naar concrete maatregelen en de wijze waarop deze gefinancierd worden;

• e. de gemeenschappelijke betrouwbaarheidseisen en maatregelen, vastgesteld met inachtneming van de bij deze regeling gevoegde bijlage, die voor het politiekorps en Politie Nederland van toepassing zijn;

• f. de wijze waarop geconstateerde dan wel vermoede inbreuken op de informatiebeveiliging door politieambtenaren gemeld worden, de politieambtenaar bij wie deze inbreuken worden gemeld en de wijze waarop deze worden afgehandeld;

• g. de wijze waarop en de frequentie waarmee volgens een vastgesteld schema het informatiebeveiligingsbeleid geëvalueerd wordt en de toereikendheid van het informatiebeveiligingsbeleid alsmede de implementatie en de uitvoering daarvan wordt beoordeeld door een onafhankelijke deskundige;

• h. de wijze waarop het beveiligingsbewustzijn wordt bevorderd en

• i. de te nemen maatregelen met betrekking tot de interceptiefaciliteiten binnen het korps, met inachtneming van de Normstelling inrichting interceptiefaciliteiten, bedoeld in bijlage II.

Stcrt. 2007, 25, datum inwerkingtreding 07-02-2007, bevat een wijziging met terugwerkende kracht van dit artikel. Deze wijziging werkt terug tot en met 01-08-2006.

De korpsbeheerder, en voorzover het betreft het Korps landelijke politiediensten en Politie Nederland, de Minister van Binnenlandse Zaken en Koninkrijksrelaties, draagt er zorg voor dat voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst op systematische wijze met inachtneming van de betrouwbaarheidscriteria en -normklassen, bedoeld in bijlage I, bepaald wordt welk stelsel van maatregelen uit hoofde van informatiebeveiliging getroffen dient te worden. Deze zorgplicht houdt tenminste in dat:

• a. voor elk informatiesysteem een afhankelijkheidsanalyse wordt uitgevoerd, uitmondend in de aan het informatiesysteem te stellen betrouwbaarheidseisen;

• b. voor elke gemeenschappelijke IT-dienst een afhankelijkheidsanalyse wordt uitgevoerd, uitmondend in de aan die IT-dienst te stellen betrouwbaarheidseisen;

• c. voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst de bedreigingen worden geïdentificeerd en geanalyseerd;

• d. voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst dusdanig maatregelen worden gekozen dat door middel van een kwetsbaarheidsanalyse aangetoond kan worden dat aan de gestelde betrouwbaarheidseisen wordt voldaan;

• e. voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst een informatiebeveiligingsplan wordt vastgesteld. Hierin is in elk geval opgenomen:

  • 1. een actieplan ter implementatie van alle beveiligingsmaatregelen;

  • 2. een calamiteitenparagraaf waarvan de effectiviteit periodiek wordt getoetst.

Stcrt. 2007, 81, datum inwerkingtreding 28-04-2007, bevat een wijziging met terugwerkende kracht van dit artikel. Deze wijziging werkt terug tot en met 01-08-2006.

De korpsbeheerder, en voorzover het betreft het Korps landelijke politiediensten en Politie Nederland, de Minister van Binnenlandse Zaken en Koninkrijksrelaties onderscheidenlijk het algemeen bestuur van Politie Nederland, draagt er zorg voor dat voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst op systematische wijze met inachtneming van de betrouwbaarheidscriteria en -normklassen, bedoeld in bijlage I, bepaald wordt welk stelsel van maatregelen uit hoofde van informatiebeveiliging getroffen dient te worden. Deze zorgplicht houdt tenminste in dat:

• a. voor elk informatiesysteem een afhankelijkheidsanalyse wordt uitgevoerd, uitmondend in de aan het informatiesysteem te stellen betrouwbaarheidseisen;

• b. voor elke gemeenschappelijke IT-dienst een afhankelijkheidsanalyse wordt uitgevoerd, uitmondend in de aan die IT-dienst te stellen betrouwbaarheidseisen;

• c. voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst de bedreigingen worden geïdentificeerd en geanalyseerd;

• d. voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst dusdanig maatregelen worden gekozen dat door middel van een kwetsbaarheidsanalyse aangetoond kan worden dat aan de gestelde betrouwbaarheidseisen wordt voldaan;

• e. voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst een informatiebeveiligingsplan wordt vastgesteld. Hierin is in elk geval opgenomen:

  • 1. een actieplan ter implementatie van alle beveiligingsmaatregelen;

  • 2. een calamiteitenparagraaf waarvan de effectiviteit periodiek wordt getoetst.

Stcrt. 2007, 25, datum inwerkingtreding 07-02-2007, bevat een wijziging met terugwerkende kracht van dit artikel. Deze wijziging werkt terug tot en met 01-08-2006.

Met het oog op zo uniform mogelijke beveiligingsafspraken bij gegevensuitwisseling tussen politiekorpsen onderling, tussen politiekorpsen en Politie Nederland en met andere instanties, bedoeld in artikel 2, derde en vierde lid, het bereiken van zo uniform mogelijke betrouwbaarheidseisen en maatregelen, bedoeld in artikel 3, onderdeel e, en het opstellen van zo uniform mogelijke informatiebeveiligingsplannen, bedoeld in artikel 4, onderdeel e, werken de politiekorpsen en Politie Nederland samen.

Stcrt. 2007, 25, datum inwerkingtreding 07-02-2007, bevat een wijziging met terugwerkende kracht van dit artikel. Deze wijziging werkt terug tot en met 01-08-2006.

De korpsbeheerder, en voorzover het betreft het Korps landelijke politiediensten en Politie Nederland, de Minister van Binnenlandse Zaken en Koninkrijksrelaties, draagt er zorg voor dat voor elk bedrijfsproces de maatregelen die uit hoofde van de informatiebeveiliging van toepassing zijn op de ondersteunende informatiesystemen en dat de maatregelen die van toepassing zijn op elke gemeenschappelijke IT-dienst, worden vastgelegd, geïmplementeerd of uitgedragen en dat de werking volgens een vaststaand schema wordt gecontroleerd. Deze zorgplicht houdt tenminste in dat:

• a. voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst de uit het informatiebeveiligingsplan voortvloeiende maatregelen voor de gebruikers worden vastgelegd en door dde korpsbeheerder, en voorzover het betreft het Korps landelijke politiediensten en Politie Nederland, de Minister van Binnenlandse Zaken en Koninkrijksrelaties, worden uitgedragen;

• b. voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst de uit het informatiebeveiligingsplan voortvloeiende maatregelen voor systeemexploitatie schriftelijk worden vastgelegd;

• c. volgens een vastgesteld schema een onafhankelijk oordeel over de kwaliteit van de getroffen informatiebeveiligingsmaatregelen en over het handhaven en naleven daarvan wordt verlangd;

• d. voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst de uit het informatiebeveiligingsplan voortvloeiende maatregelen voor systeemmanagement door de korpsbeheerder, en voorzover het betreft het Korps landelijke politiediensten en Politie Nederland, de Minister van Binnenlandse Zaken en Koninkrijksrelaties, schriftelijk worden vastgelegd;

• e. de uit het informatiebeveiligingsplan voortvloeiende maatregelen voor systeemverwerving worden getoetst op hun implementatie en werking.

Stcrt. 2007, 81, datum inwerkingtreding 28-04-2007, bevat een wijziging met terugwerkende kracht van dit artikel. Deze wijziging werkt terug tot en met 01-08-2006.

De korpsbeheerder, en voorzover het betreft het Korps landelijke politiediensten en Politie Nederland, de Minister van Binnenlandse Zaken en Koninkrijksrelaties onderscheidenlijk het algemeen bestuur van Politie Nederland, draagt er zorg voor dat voor elk bedrijfsproces de maatregelen die uit hoofde van de informatiebeveiliging van toepassing zijn op de ondersteunende informatiesystemen en dat de maatregelen die van toepassing zijn op elke gemeenschappelijke IT-dienst, worden vastgelegd, geïmplementeerd of uitgedragen en dat de werking volgens een vaststaand schema wordt gecontroleerd. Deze zorgplicht houdt tenminste in dat:

• a. voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst de uit het informatiebeveiligingsplan voortvloeiende maatregelen voor de gebruikers worden vastgelegd en door dde korpsbeheerder, en voorzover het betreft het Korps landelijke politiediensten en Politie Nederland, de Minister van Binnenlandse Zaken en Koninkrijksrelaties onderscheidenlijk het algemeen bestuur van Politie Nederland, worden uitgedragen;

• b. voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst de uit het informatiebeveiligingsplan voortvloeiende maatregelen voor systeemexploitatie schriftelijk worden vastgelegd;

• c. volgens een vastgesteld schema een onafhankelijk oordeel over de kwaliteit van de getroffen informatiebeveiligingsmaatregelen en over het handhaven en naleven daarvan wordt verlangd;

• d. voor elk informatiesysteem en voor elke gemeenschappelijke IT-dienst de uit het informatiebeveiligingsplan voortvloeiende maatregelen voor systeemmanagement door de korpsbeheerder, en voorzover het betreft het Korps landelijke politiediensten en Politie Nederland, de Minister van Binnenlandse Zaken en Koninkrijksrelaties onderscheidenlijk het algemeen bestuur van Politie Nederland, schriftelijk worden vastgelegd;

• e. de uit het informatiebeveiligingsplan voortvloeiende maatregelen voor systeemverwerving worden getoetst op hun implementatie en werking.