1 Inleiding

Informatie vormt een van de meest waardevolle bedrijfsmiddelen binnen onze organisatie. Het veilig en betrouwbaar omgaan met gegevens is essentieel voor continuïteit, vertrouwen, naleving van wet‑ en regelgeving en het voorkomen van incidenten. Dit Informatiebeveiligingsbeleid beschrijft de uitgangspunten, verantwoordelijkheden en beheersmaatregelen waarmee wij onze informatie beschermen tegen ongeautoriseerde toegang, verlies, misbruik en verstoring.

Onze organisatie hanteert het ISO 27001‑raamwerk als leidende norm voor het opzetten, implementeren en continu verbeteren van een Information Security Management System (ISMS). ISO 27001 stelt de formele eisen aan dit managementsysteem, waaronder risicobeoordeling, leiderschap, documentatie, monitoring en voortdurende verbetering. Binnen dit beleid vormt ISO 27001 de basis voor onze governancestructuur en voor de wijze waarop wij informatiebeveiliging aantoonbaar en controleerbaar organiseren.

Daarnaast maken wij gebruik van ISO 27002 als praktische richtlijn voor het selecteren, uitwerken en toepassen van beveiligingsmaatregelen. Waar ISO 27001 de eisen formuleert, biedt ISO 27002 gedetailleerde implementatierichtlijnen voor dezelfde set van beheersmaatregelen. Deze richtlijnen ondersteunen ons bij het concreet invullen van onderwerpen zoals toegangsbeheer, cryptografie, fysieke beveiliging, incidentrespons, leveranciersbeheer en bewustwording. Hierdoor kunnen wij maatregelen consistent, effectief en risico gestuurd toepassen.

Door ISO 27001 en ISO 27002 gezamenlijk te hanteren, waarborgen wij dat informatiebeveiliging niet afhankelijk is van losse initiatieven, maar is ingebed in een systematische, aantoonbare en organisatiebrede aanpak. Dit beleid vormt daarmee het fundament voor een veilige, betrouwbare en compliant informatiehuishouding.

2 Algemene oriëntatie en positionering

Informatiebeveiliging is een strategische randvoorwaarde voor betrouwbare dienstverlening en verantwoord gegevensbeheer. Onze organisatie positioneert informatiebeveiliging als een integraal onderdeel van de bedrijfsvoering, waarbij continuïteit, vertrouwelijkheid, integriteit en beschikbaarheid van informatie centraal staan. We hanteren een risicogestuurde aanpak die aansluit bij internationale best practices, zodat onze beveiligingsmaatregelen niet alleen voldoen aan wettelijke vereisten, maar ook bijdragen aan een professionele, transparante en toekomstbestendige organisatie. Door informatiebeveiliging structureel te verankeren in processen, systemen en cultuur, versterken wij het vertrouwen van klanten, partners en toezichthouders.

Informatiebeveiliging vormt een onlosmakelijk onderdeel van de bedrijfsvoering van elke organisatie en strekt zich uit tot zowel de directe als indirecte werkomgeving. Het omvat een samenhangend geheel van procedurele, organisatorische, fysieke, technische en juridische maatregelen die gezamenlijk zorgen voor een veilig en betrouwbaar gebruik van informatie. Deze maatregelen raken aan diverse beleidsdomeinen binnen de organisatie: het algemene beveiligingsbeleid, zoals fysieke toegangscontrole en het gebruik van kluizen; het personeelsbeleid, waaronder screening, opleiding en functietypering; het organisatiebeleid, zoals functiescheiding en taakverdeling; het informatiseringsbeleid, gericht op standaardisatie en het toepassen van bewezen technologie; het privacybeleid, dat toeziet op het correcte gebruik van persoonsgegevens; en het juridisch beleid, waarin aandacht is voor afbreukrisico’s, contractuele clausulering en afspraken met derden.

Het doel van informatiebeveiliging is het waarborgen van drie kernwaarden. Continuïteit en beschikbaarheid zorgen ervoor dat systemen blijven functioneren en uitval wordt voorkomen. Integriteit en betrouwbaarheid garanderen dat gegevens juist, actueel en volledig zijn. Exclusiviteit en vertrouwelijkheid beschermen informatie tegen inzage door onbevoegden. Door deze waarden te borgen, ondersteunt informatiebeveiliging een stabiele, veilige en verantwoord opererende organisatie.

3 Verantwoordelijkheid en bevoegdheid

Binnen de organisatie zijn duidelijke verantwoordelijkheidsniveaus vastgesteld om informatiebeveiliging effectief te kunnen borgen. De bestuurder draagt de primaire verantwoordelijkheid voor het informatiebeveiligingsbeleid en voor het realiseren van een adequaat beveiligingsniveau. Het management is volledig bevoegd om operationele maatregelen te treffen binnen de organisatie, ook wanneer sprake is van ketenafhankelijkheid bij organisatie‑overstijgende informatiesystemen. Door deze heldere verdeling van verantwoordelijkheden en bevoegdheden wordt een consistent, controleerbaar en aantoonbaar beveiligingsniveau gewaarborgd.

De Information Security Officer (ISO) is bevoegd om beveiligingsmaatregelen te coördineren, risico’s te monitoren en naleving van het beleid te bewaken. Alle medewerkers dragen verantwoordelijkheid voor het zorgvuldig omgaan met informatie en het naleven van procedures, richtlijnen en beveiligingsmaatregelen. Door deze heldere taakverdeling zorgen wij voor een consistent, controleerbaar en aantoonbaar beveiligingsniveau.

4 Wettelijke basis

Onze informatiebeveiliging is verankerd in de geldende wet- en regelgeving, waaronder de Algemene Verordening Gegevensbescherming (AVG). Artikel 32 AVG verplicht organisaties om passende technische en organisatorische maatregelen te treffen ter bescherming van persoonsgegevens. Dit beleid geeft invulling aan deze verplichting door gebruik te maken van internationaal erkende normen zoals ISO 27001 en ISO 27002. Daarnaast houden wij rekening met sectorspecifieke wetgeving, contractuele verplichtingen en richtlijnen van toezichthouders. Door deze wettelijke kaders structureel te integreren in onze beveiligingsaanpak waarborgen wij een aantoonbaar, consistent en juridisch verantwoord beveiligingsniveau.