Art. 13 Besluit voorschrift informatiebeveiliging rijksdienst – bijzondere informatie, Secretaris-generaal

Besluit voorschrift informatiebeveiliging rijksdienst – bijzondere informatie

1. De secretaris-generaal is belast met de algemene zorg voor de beveiliging van bijzondere informatie en oefent toezicht uit op de implementatie van het beleid ter zake.

2. Bij het vaststellen van het informatiebeveiligingsbeleid als bedoeld in artikel 3 Vir draagt de secretaris-generaal er zorg voor dat het beleidsdocument tevens omvat:

a. de uitwerking van de uitgangspunten voor het rubriceren binnen het ministerie;

b. de wijze waarop de secretaris-generaal vooraf toestemming verleent voor het verwerken van staatsgeheimen in informatiesystemen;

c. de wijze waarop het informatiebeveiligingsbeleid voor wat betreft bijzondere informatie iedere twee jaar wordt geëvalueerd door een onafhankelijke deskundige;

d. de wijze waarop personeelsleden, die werkzaamheden verrichten waarbij kennis wordt genomen van bijzondere informatie, op de hoogte worden gebracht van de voor hen geldende beveiligingsrichtlijnen;

e. de wijze waarop de lijnmanager rapporteert over de beveiliging van bijzondere informatie die valt onder zijn verantwoordelijkheid;

f. de uitgangspunten voor de noodvernietiging van bijzondere informatie.

3. De onderdelen van het beveiligingsbeleid die betrekking hebben op de beveiliging van staatsgeheimen worden door de secretaris-generaal vastgesteld in overleg met het hoofd van de Algemene Inlichtingen- en Veiligheidsdienst. Bij het Ministerie van Defensie vindt het overleg plaats met de Beveiligingsautoriteit.

De aanhef van artikel 3 van het Vir luidt: ‘De secretaris-generaal van een departement stelt het informatiebeveiligingsbeleid vast in een beleidsdocument en draagt dit beleid uit’.

Artikel 13 van dit voorschrift sluit hierop aan door te bepalen dat de algemene zorg voor de beveiliging van bijzondere informatie binnen een ministerie bij de secretaris-generaal berust. De beveiliging van zowel algemene als bijzondere informatie moet worden gezien als een deel van de taak van de secretaris-generaal voor het goed doen functioneren van het ministerie en de daaronder ressorterende diensten.

Artikel 3 van het Vir omschrijft de minimale inhoud van het beleidsdocument. Artikel 13 stelt aanvullende eisen aan dit beleidsdocument waar het de beveiliging van bijzondere informatie betreft. Hiermee wordt bereikt dat de uitgangspunten voor de beveiliging van algemene en bijzondere informatie worden vastgelegd in één geïntegreerd beleidsdocument.

Voor de beveiliging van bijzondere informatie moet in het beleidsdocument worden vastgelegd welke soorten bijzondere informatie er zijn op een ministerie, wat de daarbij behorende rubricering is en wie de rubricering definitief vaststelt. Het schema dat is opgenomen in bijlage 2 van dit voorschrift, bevat voorbeelden van de soorten van informatie en het daarbij behorende rubriceringsniveau en kan als richtsnoer dienen bij het opstellen van de uitgangspunten voor het rubriceren.

Voorts moet ook de interne procedure worden vastgelegd volgens welke de secretaris-generaal toestemming verleent voor het verwerken van staatsgeheimen in een informatiesysteem.

De onafhankelijke deskundige, als bedoeld in artikel 13 tweede lid onder c, beoordeelt in hoeverre de beveiliging van bijzondere informatie in overeenstemming is met de eisen van dit voorschrift en beoordeelt de motivering in het geval de lijnmanager het noodzakelijk vindt om van een voorgeschreven maatregel af te wijken (zie artikel 12, derde lid van dit voorschrift). De functie van onafhankelijk deskundige kan bijvoorbeeld worden vervuld door een EDP-auditor of de Algemene Inlichtingen- en Veiligheidsdienst.

Het vereiste van artikel 13, tweede lid onder d kan bijvoorbeeld ingevuld worden door te bepalen dat de BVA in het kader van het aanstellingsgesprek de betrokkene op de hoogte stelt van zijn verplichtingen met betrekking tot de omgang met bijzondere informatie. Tevens moet vastgelegd worden dat de beveiligingsinstructie na een bepaalde tijd wordt herhaald en dat daarbij aandacht wordt geschonken aan de persoonlijke omstandigheden van de betrokkene die voor de beveiliging van bijzondere informatie van belang kunnen zijn.

Verder moet in het beleidsdocument worden opgenomen dat iedere lijnmanager aan de secretaris-generaal rapporteert over de beveiliging van de bijzondere informatie die in zijn bezit is. Deze rapportage kan plaatsvinden door tussenkomst van de BVA. Deze rapportage zal in ieder geval moeten plaatsvinden bij ingebruikname van een informatiesysteem dat bijzondere informatie bevat en bij wijziging van dat systeem.

Tenslotte moet het beleidsdocument de uitgangspunten voor de noodvernietiging van bijzondere informatie bevatten. Deze uitgangspunten worden bepaald door de plaatselijke omstandigheden. Zij vormen de basis voor voorzieningen die in de calamiteitenparagraaf van het informatiebeveiligingsplan als bedoeld in artikel 4 onder e van het Vir moeten worden opgenomen.

In artikel 13 derde lid wordt bepaald dat onderdelen van het beveiligingsbeleid, die betrekking hebben op de beveiliging van staatsgeheimen, door de secretaris-generaal worden vastgesteld in overleg met het hoofd van de Algemene Inlichtingen- en Veiligheidsdienst. Overleg met de Algemene Inlichtingen- en Veiligheidsdienst is in dit geval al vereist in het kader van de Wet veiligheidsonderzoeken, waar het betreft de aanwijzing en vervulling van vertrouwensfuncties.

Bij het Ministerie van Defensie worden onderdelen van het beveiligingsbeleid, die betrekking hebben op de beveiliging van staatsgeheimen, vastgesteld in overleg met de Beveiligingsautoriteit.