LegalizeBesluit van de Minister-President, Minister van Algemene Zaken van 18 december 2020, nr. 4169072, tot vaststelling van een kader houdende de organisatie-inrichting van het BVA-stelsel binnen de Rijksdienst (Besluit BVA-stelsel Rijksdienst 2021)
Besluit:
§ 1. Algemeen
Artikel 1. Definities
In dit besluit wordt verstaan onder:
- a. Rijksdienst: de kerndepartementen en de daaronder ressorterende dienstonderdelen;
- b. Dienstonderdeel: een onder de verantwoordelijkheid van de desbetreffende minister ressorterende directie, afdeling, instelling, dienst of bedrijf;
- c. Ambtelijke leiding: hoogste ambtenaar van het ministerie, organisatieonderdeel;
- d. BVA Rijk: Beveiligingsautoriteit Rijk, bedoeld in artikel 7;
- e. BVA: Beveiligingsautoriteit, bedoeld in artikel 3;
- f. BVC: Beveiligingscoördinator, bedoeld in artikel 6;
- g. CIO Rijk: Chief Information Officer Rijk, bedoeld in artikel 10, eerste lid van het Besluit CIO-stelsel Rijksdienst 2021;
- h. CIO: Chief Information Officer, bedoeld in artikel 3, eerste lid, en artikel 9, eerste lid van het Besluit CIO-stelsel Rijksdienst 2021;
- i. CISO Rijk: Chief Information Security Officer Rijk, bedoeld in artikel 10, eerste lid, van het Besluit CIO-stelsel Rijksdienst 2021;
- j. CISO: Chief Information Security Officer, bedoeld in artikel 6, eerste lid, en artikel 9, derde lid van het Besluit CIO-stelsel Rijksdienst 2021;
- k. Te Beschermen Belangen: personen, informatie, informatiesystemen, materieel, goederen, imago en objecten, waarbij in geval van compromittering, of de mogelijkheid van compromittering, nadelige gevolgen, of een risico daarop, kan ontstaan voor de vertrouwelijkheid, beschikbaarheid en integriteit van de primaire processen van de rijksoverheid, delen daarvan of voor andere belangen van de Staat, van zijn bondgenoten of van één of meer ministeries;
- l. Integrale beveiliging: het selecteren, implementeren en periodiek evalueren van een samenhangend stelsel van beveiligingsmaatregelen voor de beveiliging van de Te Beschermen Belangen op basis van risicomanagement;
- m. Risicomanagement: inzichtelijk en systematisch inventariseren, beoordelen en – door het treffen van maatregelen – beheersbaar maken van risico’s en kansen, die het bereiken van de doelstellingen van de organisatie bedreigen dan wel bevorderen, op een zodanige wijze dat verantwoording kan worden afgelegd over de gemaakte keuzes.
- n. Accreditatie: de toestemmingverlening als bedoeld in artikel 2, derde lid van het Besluit Voorschrift Informatiebeveiliging Rijksdienst Bijzondere Informatie 2013.
Artikel 2. Reikwijdte
Dit voorschrift geldt voor de Rijksdienst, waartoe gerekend worden de kerndepartementen en de daaronder ressorterende dienstonderdelen.
De secretaris-generaal kan voor zijn eigen ministerie bepalen dat deze regeling op (delen van) dienstonderdelen met een bijzondere taak niet van toepassing is.
Het Ministerie van Defensie heeft een eigenstandige positie op de door het Ministerie van Defensie te bepalen onderdelen van integrale beveiliging.
§ 2. BVA en BVC
Artikel 3. BVA - functie
De minister die belast is met de leiding van een ministerie draagt zorg voor de aanstelling van een BVA. De BVA heeft een kaderstellende, adviserende en toezichthoudende rol over de integrale beveiliging van het departement. Er kan voor twee of meer ministeries één BVA aangesteld worden.
De secretaris-generaal die belast is met de ambtelijke leiding van een ministerie, is eindverantwoordelijk voor de integrale beveiliging en de inrichting en werking van het departementale beveiligingsstelsel. Deze secretaris-generaal stelt, binnen de rijksbrede kaders, het departementale integrale beveiligingsbeleid vast.
De BVA heeft een onafhankelijke positie en rechtstreeks toegang tot de secretaris-generaal van het ministerie. De onafhankelijke positie is nodig voor het systeemtoezicht op de opzet, bestaan en werking van de integrale beveiliging van het departement.
De benoeming en het ontslag van een BVA geschiedt na overleg met de Minister van Binnenlandse Zaken en Koninkrijksrelaties.
De BVA is verantwoordelijk voor het inrichten van de BVA-functie voor het ministerie en de onder haar ressorterende dienstonderdelen.
De BVA is agendalid van de Bestuursraad van het ministerie.
De BVA neemt, namens het ministerie, deel aan het BVA-beraad, bedoeld in artikel 10.
De BVA is standaard lid van het departementale Kerncalamiteitenteam dat bijeengeroepen wordt in geval van een calamiteit die gevolgen heeft voor de bedrijfsvoering en veiligheid van de aanwezigen.
De BVA-functie wordt zodanig ingericht dat over voldoende kennis en ervaring wordt beschikt om de taken, bedoeld in artikel 4, uit te voeren.
Artikel 4. BVA - taken
De secretaris-generaal die belast is met de ambtelijke leiding van een ministerie draagt aan de BVA met betrekking tot het ministerie, in ieder geval de volgende taken op:
-
- het opstellen van het (inter)departementale integrale beveiligingsbeleid wat ervoor zorgt dat de primaire processen van het departement en daardoor ook de Rijksdienst zo veel mogelijk ongestoord doorgang kunnen vinden;
-
- het opstellen van een meerjarige departementale visie ten aanzien van de integrale beveiliging, afgestemd op maatschappelijke en politiek-bestuurlijke ontwikkelingen en dreigingen;
-
- het opstellen van beleid over accreditaties zodat de secretaris-generaal vooraf toestemming verleent voor het verwerken van bijzondere informatie;
-
- het (doen en laten) uitvoeren van beveiligingsgerelateerde (periodieke) inspecties, audits en onderzoeken;
-
- het (laten) ontwikkelen en (laten) onderhouden van een calamiteitenplan en de uitvoeringsprotocollen en de sturing op de totstandkoming daarvan;
-
- het tot stand komen van een periodieke departementale dreigingsanalyse door het inzichtelijk en systematisch inventariseren, beoordelen en periodiek evalueren van de dreigingen en een daarop ingericht samenhangend stelsel van beveiligingsmaatregelen voor de beveiliging van de Te Beschermen Belangen op basis van risicomanagement;
-
- het periodiek (schriftelijk) rapporteren over de stand van de integrale beveiliging aan de ambtelijke leiding en het informeren van de BVA Rijk hierover;
-
- het initiëren en coördineren van onderzoeken naar mogelijke compromittering van bijzondere informatie, en in geval van compromittering het (namens de secretaris-generaal) treffen van (nood)maatregelen om verdere inbreuk te voorkomen en adviseren over te nemen vervolgstappen;
-
- het gevraagd en ongevraagd adviseren aan de ambtelijke leiding en het lijnmanagement over de integrale beveiliging, te realiseren verbeteringen en beveiligingsmaatregelen;
-
- het adviseren over en het coördineren van de operationele uitvoering van de beveiliging van bewindspersonen;
-
- het adviseren over het aanwijzen en wijzigen van vertrouwensfuncties;
-
- het laten afhandelen en het adviseren en toezicht houden bij belangrijke beveiligingsincidenten alsmede invulling van het incidentenmanagement ten behoeve van te leren lessen;
-
- het houden van toezicht op de beveiliging van nationale belangen in relatie tot internationale verdragen en richtlijnen;
-
- het toezicht houden op de implementatie en werking van de departementale en rijksbrede kaders van integrale beveiliging en het opstellen van een generiek dreigingsprofiel en een toezichtkader;
-
- het inzichtelijk hebben van kwetsbare functies en toezicht houden op de weerbaarheid tegen ondermijning;
-
- het bevorderen van de bewustwording over beveiligingsrisico’s binnen het ministerie;
-
- het uitvoeren van opgedragen taken uit de Baseline intern persoonsgerichte onderzoeken;
-
- Het fungeren als algemeen aanspreekpunt en contactpersoon voor de BVA Rijk, de AIVD, politie, (rijks)recherche, de NCTV en internationale organisaties (zoals EU en NAVO) over integrale beveiliging.
Artikel 5. BVA - bevoegdheden
De dienstonderdelen van het ministerie en de aan integrale beveiliging gerelateerde functies zoals CIO en CISO verstrekken de BVA de informatie die redelijkerwijs noodzakelijk is voor de uitoefening van zijn taken op grond van dit besluit.
De BVA kan namens de secretaris-generaal in het geval van een (mogelijke) ernstige en/of acute inbreuk op de beveiliging van personen, gebouwen, materieel, goederen en overige objecten, of een risico daarop:
- a. aanwijzingen geven aan iedere ambtenaar, externe medewerker en/of bezoeker voor zover dat noodzakelijk is voor de uitvoering van het integrale beveiligingsbeleid en de naleving van de beveiligingsvoorschriften; of
- b. onverwijld maatregelen laten treffen om (zo veel als mogelijk) de beveiliging te laten herstellen en verdere schade te laten beperken.
De BVA is bevoegd tot het aanvragen van wijzigingen in of het laten wijzigen van de lijst met vertrouwensfuncties van een departement.
De BVA adviseert de secretaris-generaal en bereidt het besluit voor om (vooraf) toestemming te verlenen voor het verwerken van de nationale bijzondere informatie met de rubricering Departementaal Vertrouwelijk of hoger en voor het verwerken van internationale informatie van de EU en NAVO.
Artikel 6. BVC-functie en BVC-rol
De secretaris-generaal die belast is met de ambtelijke leiding van een ministerie, draagt er zorg voor dat voor dienstonderdelen met een substantiële integrale beveiligingscomponent een BVC-functie wordt ingesteld. Benoeming en ontslag van de BVC-functie geschiedt in afstemming met de BVA.
Voor dienstonderdelen met een kleinere of minder complexe integrale beveiligingscomponent wordt door de ambtelijke leiding van het betreffende dienstonderdeel een BVC-rol toegewezen aan een functionaris. Toewijzing van de BVC-rol geschiedt in afstemming met de BVA.
De taken en bevoegdheden van de BVC zijn direct afgeleid van de taken en bevoegdheden van de BVA en worden vastgelegd in het BVA-stelsel van het ministerie.
De BVC is gepositioneerd in het dienstonderdeel en legt verantwoording af aan het bevoegd gezag van het dienstonderdeel.
De BVC heeft een functionele relatie met de BVA. De BVC verstrekt de BVA de informatie die naar zijn oordeel redelijkerwijs noodzakelijk is voor de uitoefening van zijn taken op grond van dit besluit.
§ 3. BVA Rijk
Artikel 7. BVA Rijk - functie
De Minister van Binnenlandse Zaken en Koninkrijkrelaties stelt een BVA Rijk aan.
De BVA Rijk is belast met het bewaken van het integrale karakter en de consistentie van rijksbrede kaders voor integrale beveiliging, het bevorderen van een interdepartementale aanpak van beveiligingsissues, alsmede het toezicht op de werking van de integrale beveiliging van de Rijksdienst.
De BVA Rijk heeft een onafhankelijke positie en rechtstreeks toegang tot de secretaris-generaal van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties. De onafhankelijke positie is nodig voor het rijksbrede toezicht, en voor de implementatie en werking van de rijksbrede kaders van integrale beveiliging.
Artikel 8. Taken BVA Rijk
De BVA Rijk is belast met de volgende taken:
-
- vanuit een regierol stimuleren van beheersing van de integrale beveiliging en veiligheid binnen de Rijksdienst;
-
- vanuit een regierol versterken van innovatie en de doorontwikkelingen van de organisatie en het vakgebied van integrale beveiliging binnen de Rijksdienst;
-
- vanuit een regierol investeren in een cultuur van kennisdeling en het bevorderen van het lerend vermogen op het gebied van integrale beveiliging binnen de Rijksdienst;
-
- vanuit een regierol vergroten van de bewustwording over beveiligingsrisico’s binnen de Rijksdienst;
-
- het, voor wat betreft de integrale beveiliging, proactief bijdragen aan de gedachtevorming binnen de interdepartementale gremia op het terrein van de bedrijfsvoering en het zijn van gesprekspartner op rijksniveau voor (delen van) de instanties die zijn belast met specifieke onderdelen van de integrale beveiliging;
-
- het stimuleren van de ontwikkeling (en waar nodig zelf opstellen) van rijksbrede kaders, normen en maatregelen voor integrale beveiliging en het inhoudelijke adviseren aan de verschillende (beleids)domeinen;
-
- het bewaken van het integrale karakter en de consistentie van de rijksbrede kaders, normen en maatregelen voor beveiliging en het voorkomen of oplossen van lacunes, overlap en tegenstrijdigheden hierin;
-
- het houden van systeemtoezicht op de werking en effectiviteit van de rijksbrede kaders van de integrale beveiliging van de Rijksdienst;
-
- het (laten) ontwikkelen en (laten) onderhouden van een calamiteitenplan Rijksdienst en uitvoeringsprotocollen voor aspecten van integrale beveiliging waar een rijksbrede uniforme aanpak van belang is;
-
- het functioneel aansturen van de BVA’s en het bevorderen van gemeenschappelijke belangen met inachtneming van ieders onderscheiden verantwoordelijkheden;
-
- het adviseren van de Minister van Binnenlandse Zaken en Koninkrijksrelaties over de (mogelijke) impact van (voorgenomen) wet- en regelgeving, beleid en uitvoeringstrajecten voor de integrale beveiliging en veiligheid van de Rijksdienst;
-
- het bevorderen van en, waar nodig, bepalen van een gezamenlijke aanpak van beveiligingsbeleid, beveiligingskwesties en beveiligingsbelangen die departement overstijgend zijn;
-
- het in geval van departement overstijgende calamiteiten en dreigingen direct – waar mogelijk in overleg met de BVA’s en secretarissen-generaal – ingrijpen waar nodig om beveiligingsrisico’s te minimaliseren;
-
- het voorbereiden van de jaarrapportage over integrale beveiliging, risico’s en dreigingen binnen de Rijksdienst.
Artikel 9. Bevoegdheden BVA Rijk
De BVA Rijk kan de Minister van Binnenlandse Zaken en Koninkrijksrelaties rechtstreeks informeren, indien zijn taakuitoefening op grond van dit besluit daartoe aanleiding geeft. Dit gebeurt na overleg met de secretaris-generaal van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties.
De BVA’s, de CIO Rijk en de CISO Rijk verstrekken de BVA Rijk de informatie die naar zijn oordeel redelijkerwijs noodzakelijk is voor de uitoefening van zijn taken op grond van dit besluit.
De BVA Rijk heeft een interdepartementale coördinatierol bij rijksbrede beveiligingscalamiteiten. De BVA Rijk kan, na afstemming met de departementale BVA’s, in het geval van een (mogelijke) ernstige en/of acute inbreuk op de beveiliging van personen, gebouwen, materieel, goederen en overige objecten, of een risico daarop, onder verwijzing naar artikel 8, dertiende lid:
- a. aanwijzingen geven aan iedere ambtenaar, externe medewerker en/of bezoeker voor zover dat noodzakelijk is voor de uitvoering van het integrale beveiligingsbeleid en de naleving van de beveiligingsvoorschriften.
- b. onverwijld maatregelen laten treffen om (zo veel als mogelijk) de beveiliging te laten herstellen en verdere schade te laten beperken.
Voor de bevoegdheden genoemd in het derde lid, heeft de BVA Rijk, na afstemming met de BVA, indien nodig direct toegang tot de secretaris-generaal van ministeries.
De BVA Rijk kan een secretaris-generaal van een departement rechtstreeks informeren over de integrale beveiliging van het departement, indien zijn taakuitoefening op grond van dit besluit hiertoe aanleiding geeft. Dit gebeurt in overleg met de secretaris-generaal van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, tenzij de omstandigheden dat niet toelaten.
§ 4. BVA-beraad
Artikel 10. BVA-beraad
Er is een BVA-beraad dat op strategisch niveau de beveiliging van de gehele Rijksdienst bespreekt om opzet, bestaan en werking van de integrale beveiliging van de Rijksdienst te borgen en verbeteren. Het BVA-beraad coördineert centraal en in gezamenlijk overleg de beveiliging van de Rijksdienst en adviseert zo nodig aan interdepartementale besluitvormingsorganen.
Het BVA-beraad wordt voorgezeten door de BVA Rijk.
Het BVA-beraad is in formele zin een voorportaal voor besluitvorming in het overleg van secretarissen-generaal (SGO). Voorstellen van het BVA-beraad worden eerst besproken in de Interdepartementale Commissie Bedrijfsvoering Rijk (ICBR).
Het BVA-beraad doet (mede) voorstellen voor het rijksbrede integrale beveiligingsbeleid en een meerjarige visie, afgestemd op maatschappelijke en politiek-bestuurlijke ontwikkelingen en dreigingen, op voorspraak van BVA Rijk.
Het BVA-beraad doet (mede) voorstellen voor de kaders en normen voor integrale beveiliging en risicomanagement voor de ministeries en de daaronder ressorterende dienstonderdelen, op voorspraak van BVA Rijk.
Het BVA-beraad heeft tevens als doel kennisdeling en samenwerking te bevorderen.
Vaste leden van het BVA-beraad zijn de BVA Rijk en de BVA’s. Zij vertegenwoordigen het departement en de daaronder ressorterende dienstonderdelen.
§ 5. Slotbepalingen
Artikel 11. Evaluatie
Dit besluit wordt drie jaar na inwerkingtreding geëvalueerd en vervolgens elke drie jaar.
Artikel 12. Inwerkingtreding
Dit besluit treedt in werking met ingang van 1 januari 2021.
Het beveiligingsvoorschrift Rijksdienst 2013 wordt ingetrokken.
Artikel 13. Citeertitel
Dit besluit wordt aangehaald als: Besluit BVA-stelsel Rijksdienst 2021.
Dit besluit zal met de toelichting in de Staatscourant worden geplaatst.