Toelichting op de Leidraad uitwisseling van gevoelige informatie
3
Beheer van de Leidraad en de Toelichting Het beheer van de Leidraad en de Toelichting daarop berust bij de directeur van het Nationaal Adviescentrum Vitale Infrastructuur (NAVI). Hij draagt zorg voor een actuele Leidraad. Praktijkervaringen en ontwikkelingen in nationale en internationale wet- en regelgeving en binnen bedrijven, worden door hem op relevantie voor deze Leidraad beoordeeld en verwerkt. Copyright © Juni 2009 Nationaal Adviescentrum Vitale Infrastructuur Alle rechten voorbehouden. Verveelvoudiging, verspreiding en gebruik anders dan voor de in deze publicatie aangegeven doeleinden, is zonder voorafgaande schriftelijke toestemming van het NAVI niet toegestaan. Rechten en vrijwaring Het NAVI is zich bewust van zijn taak een zo betrouwbaar mogelijke uitgave te verzorgen. Niettemin kan het NAVI geen aansprakelijkheid aanvaarden voor eventueel in deze uitgave voorkomende onjuistheden, onvolledigheden of nalatigheden. Het NAVI aanvaardt ook geen aansprakelijkheid voor enig gebruik van voorliggend document of schade ontstaan door de inhoud van het document of door de toepassing ervan. U wordt hierbij toestemming verleend om dit document te bekijken, af te drukken, te verspreiden en te gebruiken onder de hiernavolgende voorwaarden: 1. het bedrijf, instelling of overheid dat de informatie beschikbaar stelt, wordt als bron vermeld; 2. het document en de inhoud mogen commercieel niet geëxploiteerd worden; 3. publicaties of informatie waarvan de intellectuele eigendomsrechten niet bij de verstrekker berusten, blijven onderworpen aan de beperkingen opgelegd door de oorspronkelijke auteur(s) of instantie(s); 4. ieder kopie van dit document, of een gedeelte daarvan, dient te zijn voorzien van de in deze paragraaf vermelde waarschuwing.
Wat is het NAVI In het Nationaal Adviescentrum Vitale Infrastructuur (NAVI) werken overheid en bedrijfsleven samen aan de verbetering van de bescherming van de vitale infrastructuur in Nederland tegen moedwillig menselijk handelen. Deze bescherming heet security. In haar activiteiten richt het NAVI zich op fysieke, personele, organisatorische en digitale dreigingen. Het NAVI ondersteunt beheerders en eigenaren van de vitale infrastructuur en de overheden op drie manieren: Veilig platform voor informatie-uitwisseling Het NAVI geeft de gelegenheid om binnen een vertrouwde omgeving, met elkaar informatie uit te wisselen. Dit gebeurt zowel in een grotere openbare setting als in kleine besloten bijeenkomsten. Het NAVI brengt partijen bij elkaar, bijvoorbeeld via het organiseren en ondersteunen van kennis- en informatieknooppunten. Hierin komen partijen bij elkaar om informatie te delen en over beveiligingsonderwerpen te spreken. Aanbieden van kennis en expertise Het NAVI biedt zelf kennis en expertise aan en stelt de betrokken partijen in staat om kennis en informatie binnen de vitale sectoren in Nederland te delen. Kennis en informatie worden op verschillende manieren beschikbaar gesteld, onder meer door het organiseren van bijeenkomsten, via de website en via een kennisbank. Nationaal en internationaal contactpunt Het NAVI is een nationaal en internationaal contactpunt voor vragen en advies over security binnen de vitale infrastructuur en onderhoudt en ontwikkelt een breed netwerk. Tevens fungeert het NAVI als ontmoetingsplek voor de betrokken partijen binnen de vitale infrastructuur voor zowel overheidspartijen, kennisinstellingen in binnen- en buitenland, als bedrijven. Voor meer informatie over het NAVI kunt u terecht op de website: www.navi-online.nl
5
Inhoudsopgave 1.
Samenvatting Leidraad
8
2.
Achtergrond Leidraad
9
2.1.
Aanleiding
9
2.2.
Meedenkers
9
2.3.
Afbakening
10
2.3.1. Interne informatiebeveiliging
10
2.3.2. Informatie aan aannemers / leveranciers
10
3.
Informatie en informatiebeveiliging
11
3.1.
Begrippen: gevoelig en gerubriceerd
11
3.2.
Enkele bestaande rubriceringsystemen
11
3.2.1. Bedrijfsrubriceringen
11
3.2.2. Vir-bi (rijksoverheid)
11
3.2.3. ABDO (ministerie van Defensie)
12
3.2.4. EU rubriceringen
12
3.3.
ISO norm code voor informatiebeveiliging
12
4.
Informatie-uitwisseling
13
4.1.
Vormen van informatieverstrekking
13
4.2.
Basis: vertrouwen
13
4.3.
Cyclus van informatie-uitwisseling
13
4.4.
Bijzondere informatie: persoonsgegevens
14
5.
Methodieken voor uitwisseling
16
5.1.
Information sharing and analysis centre
16
5.2.
CPNI
16
5.3.
NICC
17
5.4.
Aanbevolen aanduidingtekst op document
18
5.4.1. Vermelding rubricering
18
5.4.2. Wit (openbaar)
18
5.4.3. Groen (besloten)
19
5.4.4. Geel (vertrouwelijk)
19
5.4.5. Rood (geheim)
19
5.5.
Mogelijkheden van af te spreken gedragsregels
19
6.
Informatie geven aan de overheid
21
6.1.
Algemeen
21
6.2.
Wet openbaarheid van bestuur (Wob)
21
6.2.1. Aandachtspunt
21
6.2.2. Uitzonderingsgronden
21
6.2.3. Afweging door bestuursorgaan en de rechter
22
6.3.
Overheidsinspecties
22
6.4.
Mogelijk te volgen stappen
23
6.4.1. Ga eerst in overleg met de overheid / het bestuursorgaan
23
6.4.2. Benoem de vertrouwelijke informatie en zonder die af
23
6
7.
Andere wettelijke bepalingen
24
7.1.
Wettelijke strafbaarstelling openbaar maken van geheimen
24
7.2.
Wet milieubeheer artikel 19.1
25
7.3.
Burgerlijk wetboek, artikel 162
25
Bijlage 1: Afkortingen en begrippen
7
26
1. Samenvatting Leidraad In dit document wordt toelichting op de Leidraad gegeven, tevens is enige achtergrondinformatie opgenomen. Basis voor een veilige informatie-uitwisseling is onderling vertrouwen. Vertrouwen moet opgebouwd worden. Veelal hebben de deelnemers aan de uitwisseling al langere tijd contact met elkaar en is er een wederzijds respect en vertrouwen opgebouwd. Het geschonken vertrouwen moet gekoesterd en onderhouden worden. Op verzoek van en in samenspraak met diverse vitale bedrijven, brancheorganisaties en overheden heeft het NAVI een Leidraad opgesteld. Er was behoefte aan een generiek te gebruiken referentiekader in de vorm van een Leidraad voor de uitwisseling van gevoelige informatie. De Leidraad is een losstaand document, bijvoorbeeld om het uit te reiken bij een eerste werkbijeenkomst en voor het maken van afspraken voor de uitwisseling van gevoelige informatie. Het gebruik van de Leidraad is vrijwillig, maar wanneer deelnemers aan de uitwisseling (ad-hoc of permanent) afspreken de Leidraad te hanteren, is dat daarmee dan niet meer vrijblijvend. In de Leidraad wordt gebruik gemaakt van een indeling met kleurcodes (wit, groen, geel en rood) die snel een associatie geven van de mate van gevoeligheid. Deze kleurcodes worden al op diverse plaatsen gebruikt. --
Wit (openbaar);
--
Groen (besloten);
--
Geel (vertrouwelijk);
--
Rood (geheim).
Aanbevolen wordt deze te gebruiken bij de multisectorale en publiekprivate informatie-uitwisseling waarbij de vertrouwelijkheid van de informatieverstrekking geborgd moet worden. In de Leidraad zijn geen concrete beveiligingsmaatregelen opgenomen. Elke deelnemer zal zich houden aan de binnen zijn bedrijf, instelling of overheid geldende maatregelen. In deze toelichting is, informatief, een set van mogelijk te gebruiken maatregelen opgenomen. Hoewel de Leidraad geschreven is vanuit de intentie een bijdrage te leveren aan een zo optimaal mogelijke beveiliging van de vitale infrastructuur van Nederland en in Europa, is de Leidraad ook bruikbaar voor de uitwisseling van gevoelige informatie voor andere doeleinden. Het Nationaal Adviescentrum Vitale Infrastructuur (NAVI) hoopt met deze Leidraad een bijdrage te kunnen leveren aan een veilige uitwisseling van gevoelige informatie.
8
2. Achtergrond Leidraad 2.1. Aanleiding Op verzoek van enkele bedrijven uit vitale sectoren organiseerde het NAVI op 23 september 2008 een bijeenkomst over de uitwisseling van informatie. De bedrijven stelden drie vragen centraal: 1. Hoe om te gaan met rubricering en informatiebeveiliging bij vitale infrastructuur? 2. Hoe informatie te delen in multidisciplinaire en organisatieoverstijgende projectteams? 3. Hoe om te gaan met vertrouwelijke informatie in relatie tot bijvoorbeeld een vergunningaanvraag en/of in
relatie met de Wob?
De deelnemers gaven helder aan dat er bij vitale bedrijven grote behoefte bestaat aan meer duidelijkheid en afspraken hoe om te gaan met multisectorale en publiek-private informatie-uitwisseling en tevens de noodzakelijke vertrouwelijkheid van de informatieverstrekking te borgen. Ofwel, hoe kunnen we veilig communiceren zonder het risico te lopen dat informatie in de verkeerde handen komt? Uitvoerig is toen gesproken over een set van afspraken tussen de gesprekspartners die daarbij behulpzaam zou kunnen zijn. In het bijzonder gaat het hierbij om de aspecten van rubricering van informatie en de bijbehorende afspraken en maatregelen voor wat betreft de uitwisseling van informatie met andere partijen. Het bovenliggende doel is de beveiliging van de bedrijven, instellingen en overheden die gezamenlijk de vitale infrastructuur van Nederland vormen, te verbeteren c.q. op een adequaat niveau te houden. De Nederlandse en soms ook de Europese samenleving is in belangrijke mate afhankelijk van een goed en continu functioneren van deze bedrijven, instellingen en overheden. De overheden hebben daarbij veelal een dubbele rol. Enerzijds zijn zij de regelgevende, gezaghebbende en toetsende overheid. Anderzijds beheren zij zelf ook delen van de vitale infrastructuur1. Omdat deze bedrijven, instellingen en overheden samen een grote maatschappelijke verantwoordelijkheid dragen in de bescherming en beveiliging van de vitale infrastructuur, is een gezamenlijk optrekken van groot belang. Om te komen tot een adequate beveiliging is informatie essentieel. Niet alleen informatie van het eigen bedrijf, instelling of overheid, maar ook wat er op andere plekken gebeurt. Soms is die informatie te halen uit open bronnen, maar veelal is dat niet de informatie waar echt behoefte aan is. De bedrijven, instellingen en overheden die samen de vitale infrastructuur vormen, willen ervaringen met elkaar delen en van elkaar leren; (bijna) incidenten, dreiginginformatie, modus operandi, innovaties, missers, van alles dat er toe bijdraagt dat de beveiliging adequaat is.
2.2. Meedenkers Bij de totstandkoming van de Leidraad en het toelichtende document is dankbaar gebruik gemaakt van ter zake kundige vertegenwoordigers van diverse bedrijven, brancheorganisaties en overheden. Daarnaast is tweemaal een bespreking gevoerd met een breed samengestelde klankbordgroep. De vertegenwoordigers waren afkomstig van: --
Govcert (Computer Emergency Response Team van de Nederlandse overheid)
--
Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (AIVD, CZW en DNV-vitaal)
--
Ministerie van Verkeer en Waterstaat (Inspectie VenW)
--
Ministerie van Volkhuisvesting, Ruimtelijke Ordening en Milieu
--
N.V. Nederlandse Gasunie
--
Nationale Infrastructuur ter bestrijding van Cybercrime (NICC)
1 Voorbeelden zijn: keren en beheren oppervlakte water, hoofd (vaar)wegennet, openbaar bestuur, rechtsorde en openbare orde en veiligheid.
9
--
Netbeheer Nederland (brancheorganisatie van de regionale en landelijke netbeheerders)
--
Platform voor InformatieBeveiliging (PvIB)
--
Politie
--
ProRail
--
Shell International B.V.
--
TenneT (netbeheerder van het landelijke elektriciteitsnetwerk)
--
Vitens
2.3. Afbakening 2.3.1.
Interne informatiebeveiliging
In de Leidraad worden geen regels opgesteld voor het interne informatiebeveiligingsbeleid van bedrijven, instellingen en overheden. Het is essentieel dat deelnemers aan de onderlinge informatie-uitwisseling een dergelijk beleid hebben. Bij het opstellen van een dergelijk beleid kan gebruik gemaakt worden van het beleid van andere deelnemende partijen. Het beleid van de rijksoverheid is een openbaar document: het Voorschrift Informatiebeveiliging Rijksdienst - Bijzondere Informatie (VIR-BI). Ook het interne beleid Informatiebeveiliging van het NAVI is beschikbaar, onder meer via www.navi-online.nl. 2.3.2. Informatie aan aannemers / leveranciers De gevoelige informatie die een bedrijf of instelling verstrekt aan aannemers, leveranciers en dergelijke, behoort door die ontvangers ook op een veilige wijze behandeld te worden. De Leidraad handelt daar niet over. De regels die het bedrijf of instelling aan die aannemers en leveranciers wil opleggen, worden veelal vastgelegd worden in het informatiebeveiligingsbeleid van het bedrijf of instelling dan wel in de algemene inkoopvoorwaarden. Het ministerie van Defensie heeft dit bijvoorbeeld vastgelegd in hun Algemene Beveiligingseisen voor Defensieopdrachten (ABDO)2. Dit document is via internet te raadplegen en bedrijven kunnen hier eventueel suggesties uithalen voor het eigen beleid.
2 Algemene Beveiligingseisen voor Defensieopdrachten 2002 (ABDO 2002), ministerie van Defensie oktober 2006
10
3. Informatie en informatiebeveiliging 3.1. Begrippen: gevoelig en gerubriceerd In het gebruik komen veel verschillende termen voor, zoals: --
Vertrouwelijke informatie;
--
Bijzondere informatie;
--
Gevoelige informatie;
--
Afgeschermde informatie.
Er bestaan dus verschillende termen voor hetzelfde begrip, maar ook eenzelfde term is voor meerdere uitleg vatbaar. Dat leidt tot onduidelijkheid en verwarring. Daarom is het belangrijk om een unité de doctrine te hanteren. In de Leidraad is gekozen om aan te sluiten bij de termen die in Europees verband in de EPCIP3- richtlijn worden gebruikt. Daarin wordt gesproken over gevoelige informatie. Of in het Engels: sensitive information. De EPCIP-richtlijn4 spreekt van gevoelige informatie in verband met de bescherming van kritieke (vitale) infrastructuur. Dat zijn gegevens over vitale infrastructuur die, wanneer zij openbaar worden gemaakt, zouden kunnen worden gebruikt om plannen te maken en feiten te plegen om vitale infrastructuurinstallaties te verstoren of te vernietigen. Maar ook niet alle gevoelige informatie is allemaal even gevoelig. Het ene document bevat gevoeliger informatie dan het andere. Daar zijn gradaties in aan te brengen. Voor het systeem om de gevoelige informatie in te delen komen de termen geclassificeerd en gerubriceerd beide voor. Geclassificeerd is een letterlijke vertaling van de Engelse term “classified”. De Nederlandse overheid gebruikt de term “rubriceren” voor het indelen van de gevoelige informatie in klassen zoals genoemd in het VIR-BI. Dat zijn de staatsgeheimen5 (zeer geheim, geheim en confidentieel) evenals departementaal vertrouwelijk. In de Leidraad wordt het begrip “gerubriceerd” gebruikt voor de gevoelige informatie die naar gevoeligheidswaarde ingedeeld is. Gerubriceerde informatie is daarmee per definitie gevoelige informatie.
3.2. Enkele bestaande rubriceringsystemen Hieronder worden enkele gebruikte rubriceringsystemen genoemd. 3.2.1.
Bedrijfsrubriceringen
De meeste bedrijven hebben een informatiebeveiligingsbeleid ingevoerd met daarin opgenomen een rubriceringindeling voor gevoelige informatie. Er is echter geen algemene eenduidigheid in de indelingen, de aantallen niveaus verschillen en ook de beveiligingsmaatregelen bij een gelijkluidende rubriceringtermen zijn verschillend. Waar bij het ene bedrijf bij informatie met de rubricering “geheim” de beveiligingsmaatregelen analoog aan het Voorschrift Informatiebeveiliging Rijksdienst - Bijzondere Informatie (VIR-BI) stg6 geheim worden getroffen, heeft een ander bedrijf bij deze term de beveiligingsmaatregelen op het VIR-BI niveau departementaal vertrouwelijk. 3.2.2. VIR-BI (rijksoverheid) Het Voorschrift Informatiebeveiliging Rijksdienst - Bijzondere Informatie (VIR-BI) geeft regels voor de beveiliging van Bijzondere Informatie bij de rijksdienst. Hierbij is bijzondere informatie: staatsgeheimen en overige bijzondere informatie waarvan kennisname door niet gerechtigden nadelige gevolgen kan hebben voor de belangen van de Staat, van zijn bondgenoten of van één of meer ministeries. Deze regels strekken er toe het aantal personen dat met
3 4 5 6
11
European Programme for Critical Infrastructure Protection EPCIP richtlijn 2008/114/EG van de raad, 8 december 2008 artikel 2, lid d STG = staatsgeheim stg = staatsgeheim
Bijzondere Informatie in aanraking komt zo beperkt mogelijk te houden. Daarnaast is het van belang dat zo spoedig mogelijk actie wordt ondernomen bij kennisname door niet-gerechtigden (compromittering).7 De werking van het VIR-BI strekt zich niet verder uit dan de Rijksdienst. Het kan echter noodzakelijk zijn om informatie die onder de rubricering ‘Bijzondere Informatie’ valt buiten de Rijksdienst te brengen. Het voorschrift (VIR-BI) staat dit alleen toe indien er voldoende zekerheid bestaat dat een goede beveiliging, in overeenstemming met de bepalingen van de betreffende aanwijzingen, is zeker gesteld. 3.2.3. ABDO (ministerie van Defensie) De afspraken ten behoeve van het ministerie van Defensie met andere organisaties dan de Rijksdienst over het verzekeren van een adequate beveiliging, zijn in de Algemene Beveiligingseisen Defensie Opdrachten (ABDO) weergegeven. Deze afspraken zijn een afgeleide van de diverse regelingen op dit gebied (zoals VIR-BI), aangevuld met algemene beveiligingseisen, betrouwbaarheidseisen voor wat betreft informatiebeveiliging en diverse uitvoeringsbepalingen.8 3.2.4. EU rubriceringen Binnen de Europese Commissie wordt de gevoelige informatie ook gerubriceerd in overeenstemming met hun indeling. Ook heeft de Commissie een besluit vastgesteld hoe te handelen wanneer de Commissie uit hoofde van een opdracht of subsidieovereenkomst bij externe entiteiten opdrachten plaatst voor taken die betrekking hebben op gerubriceerde EU-gegevens of voor taken die dergelijke gegevens noodzakelijk maken en/of bevatten.9
3.3. ISO norm Code voor informatiebeveiliging NEN-ISO/IEC 27001 en 27002 zijn standaarden voor informatiebeveiliging die richtlijnen en algemene principes geeft voor het initiëren, implementeren, onderhouden en verbeteren van informatie beveiligingsmanagement binnen een organisatie. Deze Code voor informatiebeveiliging is onder begeleiding van de normcommissie van het Nederlandse Normalisatie Instituut (NEN) tot stand gekomen. De standaard is breed toepasbaar en vertegenwoordigd de algemeen geaccepteerde doelen voor informatiebeveiliging. De Code is geen formele wet- of regelgeving maar geniet wel enige gezag. Begin 2008 is door het Forum Standaardisatie bepaald dat de Code voor Informatiebeveiliging als open standaard dient te worden gebruikt. In ISO 27001, A.10.8 worden normen gesteld voor de uitwisseling van informatie met het doel het handhaven van beveiliging van informatie en programmatuur die wordt uitgewisseld binnen een organisatie en met enige externe entiteit. Het artikel in dat hoofdstuk beschrijft: --
Er moeten formeel beleid, formele procedures en formele beheersmaatregelen zijn vastgesteld.
--
Er moeten overeenkomsten worden vastgesteld voor de uitwisseling van informatie en programmatuur tussen de organisatie en externe partijen.
--
Media die informatie bevatten moeten worden beschermd tegen onbevoegde toegang, misbruik of corrumperen tijdens transport buiten de fysieke begrenzing van de organisatie.
--
Informatie die een rol speelt bij elektronische berichtuitwisseling moet op geschikte wijze worden beschermd.
Voor meer gedetailleerde informatie wordt verwezen naar het nationale normalisatie-instituut NEN.10 Door de Leidraad uitwisseling gevoelige informatie te hanteren wordt bijgedragen aan de invulling van de bepalingen uit de ISO 27001 e.v.
7 8 9 10
12
Voorschrift Informatiebeveiliging Rijksdienst - Bijzondere Informatie (VIR-BI), maart 2004 Algemene Beveiligingseisen voor Defensieopdrachten, januari 2006, ministerie van defensie Besluit van de Commissie, 2 augustus 2006 tot wijziging van besluit 2001/844/EG, EGKS, Euratom http://www2.nen.nl/nen/servlet/dispatcher.Dispatcher?id=BIBLIOGRAFISCHEGEGEVENS&contentID=224997
4. Informatie-uitwisseling Dit hoofdstuk gaat specifiek in op het (vrijwillig) uitwisselen van informatie. Dat is anders dan het op wettelijke basis moeten verstrekken van informatie aan de overheid.
4.1. Vormen van informatieverstrekking Er zijn ruwweg drie redenen waarom informatie wordt verstrekt: --
Bedrijfsnoodzaak;
--
Verplichting aan de overheid;
--
Ter wederzijdse “lering”.
Een andere indeling is de wijze waarop informatie wordt gedeeld: --
Mondeling (overleggen, telefonisch of soortgelijk);
--
Door toezenden van schriftelijke stukken/documenten;
--
Door het elektronisch toezenden van digitale stukken.
Ongeacht de reden waarom en de wijze waarop is het wenselijk afspraken te hanteren over de mate van gevoeligheid van informatie. Als voor het verstrekken van schriftelijke en digitale informatie meerdere eisen worden gesteld aan de handelswijze, volstaat bij mondelinge uitwisseling veelal de afspraak tot hoever de informatie aan anderen mag worden doorgegeven (of in het geheel niet).
4.2. Basis: vertrouwen Het is belangrijk dat geheimhoudingsvoorschriften in acht worden genomen met betrekking tot bepaalde gegevens over vitale infrastructuurvoorzieningen die gebruikt kunnen worden om plannen te maken en feiten te plegen, welke onaanvaardbare gevolgen voor vitale infrastructuurinstallaties kunnen hebben. Informatie over de bescherming van bedrijven, instellingen en overheden die samen de vitale infrastructuur vormen, moet worden uitgewisseld op basis van vertrouwen. Het gaat niet alleen om informatie over de ‘bescherming van’, maar ook over andere bedrijfsgevoelige informatie (capaciteitsgegevens, netwerk, veiligheid en dergelijke). De uitwisseling van informatie vereist een zodanige vertrouwensrelatie dat bedrijven, instellingen en overheden erop moeten kunnen vertrouwen dat hun gevoelige gegevens bij de andere partij voldoende beschermd zijn. Afspraken die gemaakt worden voor een veilige uitwisseling van informatie zijn niet formeel af te dwingen. Wel kunnen onderling afspraken gemaakt worden hoe te handelen bij schending van het vertrouwen en openbaar maken van gevoelige informatie. In de Leidraad zijn daartoe enkele mogelijke vormen van sanctie opgenomen. Deelnemers aan de uitwisseling moeten elkaar kunnen vertrouwen. Veelal kennen de deelnemers elkaar al langere tijd en is een wederzijds respect en vertrouwen opgebouwd. Nieuwe deelnemers kunnen geïntroduceerd worden door bestaande deelnemers en ontlenen daaraan een zekere mate van vertrouwen welke in de loop der tijd moet groeien. Vertrouwen moet worden opgebouwd. Vanuit die optiek is het onwenselijk dat vaste deelnemers aan diverse overleggen waarin gevoelige informatie kan worden uitgewisseld, zich zonder meer laten vervangen voor iemand anders.
13
4.3. Cyclus van informatie-uitwisseling Aan het verstrekken, ter beschikking stellen of op andere wijze uitwisselen van gevoelige informatie zijn beperkingen en risico’s verbonden. Zo is het slechts zeer beperkt en onder strikte voorwaarden mogelijk om gevoelige informatie van de rijksoverheid met bedrijven te delen. Ook bedrijven kunnen terughoudend zijn met het delen van gevoelige informatie aan de overheid; de Wet openbaarheid van bestuur (Wob) heeft daarin een versterkende factor. Bedrijven hebben eigen beleidsregels en afspraken over de omgang met gevoelige informatie. Ook bedrijven en instellingen wisselen onderling gevoelige informatie uit. Bijvoorbeeld in de diverse bijeenkomsten over de kwaliteitsverbetering van de beveiliging van de bedrijven binnen de vitale sectoren. Er is daarbij behoefte aan helderheid welke informatie op een veilige wijze gedeeld kan worden. Het indelen naar rubriceringniveaus helpt daarbij. Het is belangrijk dat informatie alleen in bezit is van en toegankelijk is voor bevoegde personen. Informatie ontstaat, wordt gegenereerd in documenten of wordt ontwikkeld. Als informatie eenmaal aanwezig is, wordt informatie: -
Opgeslagen;
-
Gebruikt en verwerkt;
-
Gedeeld en uitgewisseld;
-
Gearchiveerd voor latere raadpleging of
-
Vernietigd.
In alle fasen van deze levenscyclus van informatie dienen informatiebeveiligingsmaatregelen te zijn getroffen.
Opslag (in rust)
Acquisitie
Archivering
Vernietiging
Levenscyclus van Informatie
Gebruik (in gebruik)
Delen (in beweging)
Door informatie te rubriceren is het eenvoudig om de omgangs¬vormen van desbetreffende informatie snel voor iedereen duidelijk te maken. Het van toepassing zijnde rubriceringniveau bepaalt de noodzakelijke maatregelen die onder meer kunnen bestaan uit het vermelden van het rubriceringniveau, eisen aan opslag, vervoer, verstrekking of het wel of niet kunnen gebruiken op thuiswerkplekken of buiten de organisatie.
11 Gebaseerd op: Informatieblad informatie delen in samenwerkingsverbanden, College Bescherming Persoonsgegevens, december 2006
14
4.4. Bijzondere informatie: persoonsgegevens11 Indien het informatiedelen in het samenwerkingsverband ook het delen van persoonsgegevens inhoudt, moet er voldaan worden aan de normen van de privacywetgeving. Dat betekent dat een aantal stappen moet worden doorlopen en onder meer afgevraagd moet worden of informatie delen noodzakelijk is en zo ja, of een beroepsgeheim het toestaat om die informatie te delen. Op delen van informatie met persoonsgegevens in een samenwerkingsverband zijn verschillende wetten van toepassing. De Wet bescherming persoonsgegevens (Wbp) is de algemene kaderwet. De Wet politiegegevens bepaalt wat de politie met informatie mag doen. In de Wet geneeskundige behandelingsovereenkomst is de grens van (medisch) beroepsgeheim bepaald en in de Wet gemeentelijke basisadministratie staat wat er met de gegevens uit de gemeentelijke basisadministratie mag gebeuren. Het verdient aanbeveling om werkafspraken met betrekking tot het delen van informatie binnen een samenwerkingsverband vast te leggen in een convenant. Een convenant is een bindende overeenkomst waarin de verdeling van de aansprakelijkheid, de gegevensstromen, het doel van de samenwerking, de resultaten en andere afspraken (bijvoorbeeld over periodieke controles of audits) vastgelegd kan worden. Een convenant kan echter nooit een wet opzij zetten, dus kunnen nooit meer bevoegdheden geschept worden dan de wet toekent. Ook is het niet mogelijk wettelijke verplichtingen met een convenant opzij te zetten.
15
5. Methodieken voor uitwisseling Hieronder worden enkele van de in gebruik zijnde methodieken voor de uitwisseling van gevoelige informatie toegelicht. Mede op basis van deze methodieken is de ‘Leidraad uitwisseling gevoelige informatie’ ontwikkeld. Tevens worden suggesties gedaan die gebruikt kunnen worden voor het aanduiden van documenten met gevoelige informatie en de mogelijk te treffen maatregelen voor het beveiligingen van die informatie.
5.1. Information Sharing and Analysis Centre In de Verenigde Staten van Amerika is er een Information Sharing and Analysis Centers Council (ISAC Council) die als missie heeft: “.. to advance the physical and cyber security of the critical infrastructures of North America by establishing and maintaining a framework for valuable interaction between and among the ISACs and with government.”12 In een Information Sharing and Analysis Centre (ISAC) kunnen bedrijven per sector hun beveiligingsproblemen vertrouwd en anoniem uitwisselen. Na analyse kan daaruit een waarschuwing aan alle deelnemende partijen volgen over een risico of kwetsbaarheid, of een good practice om een risico af te wenden. Informatie wordt gedeeld volgens een vertrouwelijkheidrubricering, het verkeerslichtmodel.
rood Betekent dat de informatie zeer geheim is en alleen mondeling binnen de ISAC gedeeld mag worden.
geel Gemerkte informatie mag alleen gedeeld worden met mensen binnen de eigen organisatie die deze informatie nodig hebben om maatregelen te nemen.
groen Betekent dat informatie gedeeld mag worden binnen en buiten de organisatie, maar niet gepubliceerd.
wit Staat in dit model voor openbare informatie.
12 http://www.isaccouncil.org/about/ 13 Information Exchanges Example Membership Guidelines Version 1 ~ June 2004
16
5.2. CPNI Het Britse Centre for the Protection of National Infrastructure (CPNI) hanteert ook deze kleurcodes13. In hun ‘Framework for Vulnerability Information Sharing Introduction´ van februari 2007 schrijven zij: “CPNI has agreed a labelling mechanism known as the “Traffic Light Protocol” (TLP) with members of its Information Exchanges. This same protocol has now been accepted as a model for trusted information exchange by over 30 other countries. The protocol provides for four “information sharing levels” for the handling of sensitive information. The four information sharing levels are:
red Personal for named recipients only. In the context of a meeting, for example, RED information is limited to those present. In most circumstances RED information will be passed verbally or in person.
amber Limited distribution. The recipient may share AMBER information with others within their organization, but only on a “need-to-know” basis.
green Community wide. Information in this category can be circulated widely within a particular community. However, the information may not be published or posted on the Internet, nor released outside of the community.
white Unlimited. Subject to standard copyright rules, WHITE information may be distributed freely, without restriction.
This framework is not a legal contract. It is a statement of the requirements for information sharing between CPNI and the receiving organisation. The Centre for the Protection of National Infrastructure (CPNI) and the receiving organization jointly agree: --
to label vulnerability information to be shared with one of the four “information sharing levels” identified in the Traffic Light Protocol (TLP);
--
where necessary and appropriate to protectively mark the information in line with their own internal security policies and in accordance with the TLP;
--
to use the same degree of care to maintain confidentiality of shared vulnerability information as is used for their own internal or commercially sensitive information;
--
neither directly nor indirectly disclose to a third party in advance of the agreed public disclosure date, either the existence of, or details pertaining to, vulnerability information supplied under this framework without the prior written approval of the originating organization;
--
not to use the vulnerability information disclosed for commercial advantage or marketing purposes;
--
to restrict the release of vulnerability information solely to those persons within the organization with a legitimate need to know by virtue of their job or role. Such persons must be appropriately briefed on, and bound by, the meaning of the TLP sharing mechanism;
--
to destroy vulnerability information that is no longer required;
--
to disclaim liability for any damages arising from the use of the vulnerability information;
--
that access to vulnerability information is offered free of any financial charge and without warranty of any kind;
--
not to employ legal remedy to address any conflict arising from the disclosure or use of any vulnerability information provided.”
17
5.3. NICC De Nationale Infrastructuur ter bestrijding van Cybercrime, kortweg NICC, hanteert voor de uitwisseling van gevoelige informatie ook een informatieprotocol14. Om geheimhouding te waarborgen, hebben zij een aantal spelregels opgesteld voor het voeren van overleg. a. Vertegenwoordigers van organisaties mogen zich niet laten vervangen; b. Elke sector bepaalt zelf de agenda van het overleg; c. De aanbieder van informatie beslist over het niveau van vertrouwelijkheid; d. Nieuwe deelnemers moeten goedgekeurd worden door alle bestaande deelnemers; e. Elke deelnemende organisatie mag twee vertegenwoordigers afvaardigen; alleen zij mogen de vergaderingen persoonlijk bijwonen. Ook bij hen geven kleurcodes het niveau van vertrouwelijkheid aan:
rood Geheime informatie die deelnemers alleen mondeling delen.
geel Beperkte geheimhouding. Deze informatie mag gedeeld worden met relevante personen binnen de deelnemende organisaties.
groen Informatie die gedeeld mag worden met andere organisaties, informatiefora of personen uit de IT-beveiligingswereld.
wit Onbeperkte verspreiding.
14 Samen tegen cybercrime, NICC, oktober 2006
18
5.4. Aanbevolen aanduidingtekst documenten 5.4.1. Vermelding rubricering Op rapporten, verslagen of andere vormen van schriftelijke weergave wordt de rubriceringaanduiding vermeld. Deze vermelding staat op elke pagina. Afhankelijk van het rubriceringniveau, wordt een document voorzien van een waarschuwing. Deze waarschuwing is samen met het rubriceringniveau duidelijk zichtbaar op de eerste pagina van het document of op de pagina direct volgend na de titelpagina. Hieronder zijn voorbeelden van aanduidingteksten opgenomen die op documenten geplaatst kunnen worden. 5.4.2. Wit (openbaar) U wordt hierbij toestemming verleend om dit document te bekijken, af te drukken, te verspreiden en te gebruiken onder de hiernavolgende voorwaarden: 1. het bedrijf, instelling of overheid dat de informatie beschikbaar stelt, wordt als bron vermeld; 2. het document en de inhoud mogen commercieel niet geëxploiteerd worden; 3. publicaties of informatie waarvan de intellectuele eigendomsrechten niet bij de verstrekker berusten, blijven onderworpen aan de beperkingen opgelegd door de oorspronkelijke auteur(s) of instantie(s); 4. ieder kopie van dit document, of een gedeelte daarvan, dient te zijn voorzien van de in deze paragraaf vermelde waarschuwing. 5.4.3. Groen (besloten) Dit document is gerubriceerd voor GROEN (besloten) gebruik. De informatie die in dit document en bijbehorende bijlagen gepubliceerd is, is alleen bedoeld voor betrokken personen. Het gebruik van het document door een andere partij dan de geadresseerde(n) is toegestaan, mits deze partij hiertoe geautoriseerd is door een geadresseerde. 5.4.4. Geel (vertrouwelijk) Dit document is gerubriceerd als GEEL (vertrouwelijk). De informatie die in dit document en bijbehorende bijlagen gepubliceerd is, is alleen bedoeld voor de geadresseerde(n). Het gebruik van het document door andere personen dan de geadresseerde(n) is niet toegestaan, tenzij deze personen hiertoe expliciet geautoriseerd zijn door de verstrekker. De informatie in dit document valt onder de bepalingen van een geheimhoudingsplicht. 5.4.5. Rood (geheim) Dit document is gerubriceerd als ROOD (geheim). De informatie die in dit document en bijbehorende bijlagen gepubliceerd is, is uitsluitend bedoeld voor de geadresseerde(n). Het gebruik van het document door anderen dan de geadresseerde(n) is niet toegestaan. De informatie in dit document valt onder de bepalingen van een geheimhoudingsplicht.
19
5.5. Mogelijkheden van af te spreken gedragsregels Onderstaand wordt een lijst van mogelijk af te spreken maatregelen gegeven. De lijst is bedoeld als handreiking aan diegene die de informatie verstrekt wat hij aan de ontvanger vraagt. De lijst heeft op zich geen verplichtend karakter. Het belangrijkste is de intentie die met het naleven van de afspraken wordt uitgesproken. De maatregelen zijn principal-based en niet rule-based.
Maatregel Informatie is specifiek gemaakt om openbaar te maken. Informatie is niet-gevoelige informatie. Informatie wordt alleen gedeeld met een bepaalde groep personen. De informatie is vertrouwelijk. Informatie mag selectief worden gedeeld met andere organisaties. Informatie wordt alleen gedeeld met en is alleen toegankelijk voor direct betrokken personen. Toegang op basis van noodzakelijkheid of functie. Toegang op basis van noodzakelijkheid. Informatie mag worden gebruikt buiten een (beveiligde) kantooromgeving, bijvoorbeeld telewerken. Informatie is (op aanvraag) vrij toegankelijk of is vrijgegeven voor publicatie via openbare bronnen zoals internet en de pers. Informatie is voorzien van het rubriceringniveau. Documenten zijn voorzien van doorlopende paginanummers, het totale aantal pagina’s, datum en versienummer. Schriftelijke informatie en gegevensdragers worden opgeborgen in de daarvoor bestemde afsluitbare kast. Schriftelijke informatie en gegevensdragers worden opgeborgen in de daarvoor bestemde beveiligde kluis(kast). Schriftelijke informatie en gegevensdragers worden opgeborgen in een daarvoor bestemde beveiligde kluis(kast) die in een daarvoor bestemde beveiligde ruimte staat.
20
wit
groen
geel
rood
Maatregel Schriftelijke informatie-uitwisseling vindt plaats per post in een (onopvallende) dubbele enveloppe. Schriftelijke informatie-uitwisseling vindt plaats per bekende koerier of (binnen Nederland) met aangetekende post in een dubbele enveloppe. Schriftelijke informatie en gegevensdragers worden alleen gebruikt op daartoe aangewezen locaties. Informatie wordt alleen met toestemming van de lijnmanager meegenomen en indien dit voor de voortgang van de werkzaamheden noodzakelijk is. Er worden niet meer reproducties gemaakt dan strikt noodzakelijk is. Het bijmaken van reproducties wordt geregistreerd. Schriftelijke informatie wordt van voorzien van een uniek exemplaarnummer. Informatie wordt alleen verwerkt en/of opgeslagen op computers voorzien van versleutelingprogrammatuur. Informatie wordt alleen verwerkt en/of opgeslagen op stand-alone computers voorzien van versleuteling¬programmatuur en toegangsbeveiliging met token. Informatie mag niet worden uitgewisseld of geplaatst op een openbaar toegankelijke internet website. Informatie wordt niet op een geautomatiseerd computernetwerk (zoals websites, document managementsystemen, een kennisbank, fileservers of persoonlijke netwerkmappen) opgeslagen. Elektronisch informatie-uitwisseling (e-mail) vindt beveiligd plaats (versleuteld). Elektronisch informatie-uitwisseling (e-mail) vindt beveiligd plaats (versleuteld) waarbij de authenticiteit van de verzender en ontvanger kan worden geverifieerd (onweerlegbaarheid). Informatie en gegevensdragers worden volgens voorschriften vernietigd. Gecontroleerde toegang op individueel niveau / bezoekers worden begeleid. Fysieke toegang is gecontroleerd op individueel niveau. Bezoekers worden begeleid. De identiteit van een gebruiker wordt mede vastgesteld op basis van een token of biometrie. Informatie wordt alleen mondeling of conform geldende (bedrijfs)voorschriften opgeslagen en uitgewisseld.
21
wit
groen
geel
rood
6. Informatie geven aan de overheid 6.1. Algemeen In de op 29 september 2008 gehouden bijeenkomst (zie 2.1) stelden de deelnemende vitale bedrijven ondermeer de vraag: “Hoe om te gaan met vertrouwelijke informatie in relatie tot bijvoorbeeld een vergunningaanvraag en/of in relatie met de Wob?” Dit onderwerp heeft vanuit beveiligingsoogpunt hun grote zorg. De overheid heeft als hoeder van het algemene belang bepaalde informatie nodig. Het bedrijfsleven is, gelet op de maatschappelijke verantwoordelijkheid die het heeft, uiteraard bereid daaraan zoveel als mogelijk en verantwoord is invulling aan te geven. Informatieverstrekking aan de overheid is vaak verplicht op grond van wet- en regelgeving, zoals voor de aanvraag van vergunningen of de informatieplicht op grond van de Wet rampen en zware ongevallen. In het kader van het waarborgen van de nationale veiligheid en de bescherming van vitale infrastructuur, wordt informatie ook vaak verstrekt in het kader van een publiek-private samenwerking. Het is van belang om bij deze informatieverstrekking een goede balans te vinden tussen enerzijds de noodzakelijke vertrouwelijkheid en de transparantie van besluitvorming anderzijds.
6.2. Wet openbaarheid van bestuur (Wob) De Wet openbaarheid van bestuur (Wob) regelt het recht van burgers op informatie van de overheid. Op die manier wordt het inzicht van burgers in het overheidshandelen vergroot, wat de democratie en de deelname van burgers aan de besluitvorming ten goede komt. De Wob is een algemene uitwerking van artikel 110 van de Grondwet. Daarin is bepaald dat de overheid bij de uitvoering van haar taak openheid en openbaarheid betracht volgens de bij de wet te stellen regels. De overheid verschaft uit eigen beweging informatie zodra dat in het belang is van een goede en democratische bestuursvoering. Als de overheid bepaalde informatie niet actief openbaar heeft gemaakt, kan een burger de overheid (de Wob gebruikt de term bestuursorgaan) verzoeken informatie openbaar te maken: het Wob-verzoek. De Wob gaat er daarbij vanuit dat in beginsel de bij de overheid berustende informatie openbaar is. Een Wob-verzoek kan alleen worden geweigerd wanneer een van de limitatief opgesomde uitzonderingsgronden van de Wob15 van toepassing is. 6.2.1. Aandachtspunt Bij het verstrekken (bedrijf) en ontvangen (overheid) van de informatie is expliciete aandacht nodig voor de mogelijke consequenties van de Wet openbaarheid van bestuur (Wob). Door de Wob bestaat er een reële kans dat gevoelige informatie van bedrijven ongewenst toch openbaar gemaakt (moet) worden. Over de mogelijkheden om gevoelige informatie ook onder de Wob vertrouwelijk te houden, zijn talrijke documenten en afstudeeropdrachten geschreven. In dit hoofdstuk worden slechts enkele tips gegeven hoe de informatie, die al dan niet wettelijk aan de overheid verstrekt wordt, op een veilige wijze overgedragen kan worden. Gelet op de juridische complexiteit, kan deze korte notitie niet de intentie in zich hebben volledig te zijn en kunnen hier ook geen rechten aan ontleend worden.
15 Uit: Verzoeken o.b.v. de Wet openbaarheid bestuur. Ministerie van Binnenlandse Zaken en Koninkrijkrelaties, directie CZW, augustus 2002
22
6.2.2. Uitzonderingsgronden De Wet openbaarheid van bestuur (Wob) noemt in het artikel 10 enkele uitzonderingsmogelijkheden op de plicht informatie te verstrekken. Te onderscheiden zijn absolute en relatieve uitzonderingsgronden. Er zijn twee absolute uitzonderingsgronden, namelijk informatie is niet openbaar als dit de staatsveiligheid dient of wanneer het bedrijfs- en fabricagegegevens betreft die door natuurlijke personen of rechtspersonen vertrouwelijk aan de overheid zijn meegedeeld. --
Informatie in het kader van de nationale veiligheid valt niet één op één onder de uitsluitinggrond van de staatsveiligheid, maar elementen uit het geheel kunnen vaak wel vertrouwelijk worden gehouden door als overheid hier een beroep op te doen. Het is dan uiteindelijk aan de rechter om de afweging te maken of de veiligheid van de staat kan worden geschaad door openbaarmaking van de informatie.
--
Bedrijfs- en fabricagegegevens die expliciet vertrouwelijk aan de overheid zijn meegedeeld, mogen niet openbaar gemaakt worden. Behalve wanneer het milieu-informatie16 is die effect heeft op de emissie17 (dus niet algemene milieu-informatie). Dan vindt een belangenafweging plaats. In de belangenafwegingen wordt de beveiliging van bedrijven en het voorkomen van sabotage imperatief meegenomen.
Daarnaast kent het Wob nog een aantal relatieve uitzonderingsgronden. Openbaarmaking van informatie kan op deze gronden alleen geweigerd worden indien het belang van geheimhouding zwaarder weegt dan één van de belangen in de uitzonderingsgronden (internationale betrekkingen van Nederland, de opsporing en vervolging van strafbare feiten of het voorkomen van onevenredige bevoordeling of benadeling). De Wob wijst in artikel 10, lid 7 ook op de belangen van beveiliging en het voorkomen van sabotage. De overheid zal deze afweging bij elk Wob-verzoek moeten maken. Belangrijke elementen in de afweging zijn daarom: 1. Zijn de bedrijfs- en fabricagegegevens vertrouwelijk aan de overheid medegedeeld? 2. Betreft het geen milieu-informatie of emissie-informatie? 3. Kan het gevolgen hebben voor de beveiliging en voorkomen van sabotage? 6.2.3. Afweging door bestuursorgaan en de rechter Indien informatie wordt opgevraagd met een beroep op de Wet openbaarheid van bestuur, maakt in eerste instantie de overheid (het bestuursorgaan) een beoordeling en afweging of de informatie verstrekt mag en kan worden. Daarbij gebruikt ze de uitsluitinggronden. Indien het bestuursorgaan het Wob-verzoek (deels) afwijst, staat voor de aanvrager de weg naar de rechter open. Ook de rechter beoordeelt de aanvraag en hij maakt afwegingen. Als in het voortraject zorgvuldig overwogen is waarom bepaalde informatie vertrouwelijk moeten zijn en welke niet, zal die zorgvuldigheid ook uit de aan te leveren stukken moeten blijken. Het is belangrijk een goede motivering aan te voeren waarom delen van de verstrekte informatie vertrouwelijk moeten zijn en blijven. Die motivatie kan de rechter overtuigen van de noodzaak de gevraagde (gevoelige) informatie niet openbaar te maken. Aspecten ten aan zien van de beveiliging van het bedrijf en het voorkomen van sabotage zijn daarin belangrijk. Een extra overweging voor de rechter kan zijn dat het bedrijf deel uitmaakt de vitale infrastructuur van Nederland (en Europa) en dat er daarom extra aandacht voor de beveiliging is en maatregelen tegen sabotage genomen moeten worden. Die motivering moet door de rechter in zijn belangenafweging meegenomen kunnen worden. Een goede, gedegen motivatie is daarom van doorslaggevende betekenis.
16 Wat volgens de Wob milieu-informatie is, staat in artikel 19.1a van de Wet milieubeheer. Zie bijlage 7.2 17 Een en ander volgt uit het Verdrag van Aarhus. 18 art. 2:17 Algemene wet bestuursrecht
23
6.3. Overheidsinspecties Het is mogelijk dat overheidsinspecties op basis van de wet direct inzage moet hebben in bepaalde documenten. Dit zouden ook gevoelige gegevens kunnen betreffen. Op gegevens die niet fysiek bij overheidsinstanties berusten is de Wob niet van toepassing. Indien een inspectie die gegevens te allen tijd kan inzien bij het betreffende bedrijf, dan komen de gegevens niet fysiek in handen van de overheid. De inspectie is daarmee geen ‘eigenaar’ van het papier en de documenten zijn daarmee niet vatbaar voor de Wob. Maar er zijn ook gegevens die op grond van wettelijk voorschrift wel bij de overheid behoren te berusten en daarmee binnen de reikwijdte van de Wob vallen. Er moet rekening mee gehouden worden dat de toezichthouder bepaalde bevoegdheden heeft waaronder het vorderen van inzage en om gegevens te kopiëren18. Met dit laatste komt de informatie wel in overheidshanden.
6.4. Mogelijk te volgen stappen 6.4.1. Ga eerst in overleg met de overheid / het bestuursorgaan Aanbevolen wordt om met (de voorzitter/vertegenwoordiger van) het betreffende bestuursorgaan19 overleg te voeren over de door het bestuursorgaan gewenste gegevens nog voordat documenten (bijvoorbeeld ten behoeve van de vergunningbeoordeling) worden verstrekt. Niet alle informatie die het bedrijf heeft, hoeft noodzakelijk te zijn voor de beoordeling op een vergunningaanvraag of de publiek-private samenwerking. Er kan veelal een beperking aangebracht worden. In het overleg komt ook de noodzakelijke vertrouwelijkheid van de informatie aan de orde. Toegelicht kan worden wat het motief is voor die vertrouwelijkheid. Wenselijk is dat in het overleg heldere afspraken gemaakt worden over de noodzakelijke vertrouwelijkheid van gedeelten van de informatie, hoe het bedrijf deze informatie aanlevert en hoe (de documenten met) de vertrouwelijke gegevens onmiskenbaar herkenbaar zijn. Ook moet dan worden afgesproken op welke wijze het bestuursorgaan de vertrouwelijke informatie behandelt. Daarbij wordt gehandeld in overeenstemming met het informatiebeveiligingsbeleid van dat bestuursorgaan. Mocht het bestuursorgaan geen informatiebeveiligingsbeleid hebben, is het raadzaam in ieder geval specifieke afspraken te maken. Gehandeld kan worden analoog aan het Voorschrift Informatiebeveiliging Rijksoverheid - Bijzondere Informatie (VIR-BI). Dat kan ook meebrengen dat bepaalde voorzieningen voor het bewaren van dergelijke documenten moeten worden gerealiseerd. Zinvol is deze afspraken schriftelijk vast te leggen. Belangrijk is daarbij op te letten dat niet in een verslag alsnog vertrouwelijke informatie wordt vastgelegd. Aanbevolen wordt om in de uiteindelijke informatieverstrekking aan te geven dat gedeelten van de informatie vertrouwelijk aan het bestuursorgaan worden verstrekt onder verwijzing naar de gemaakte afspraken. 6.4.2. Benoem de vertrouwelijke informatie en zonder die af Niet alle informatie die het bedrijf aan de overheid verstrekt, is vertrouwelijk. In documenten kunnen vertrouwelijke passages staan, maar daarmee is niet per definitie alle informatie in dat document ook vertrouwelijk. Het verdient aanbeveling een duidelijke scheiding aan te brengen tussen de vertrouwelijke informatie en de overige informatie. Daarvoor zou het nodig kunnen zijn de vertrouwelijke passages uit een algemeen document weg te halen/laten. Van de vertrouwelijke informatie kan dan eventueel een afzonderlijk document gemaakt worden. Belangrijk is ook dat dit document dan (zeer) duidelijk te herkennen is als een vertrouwelijk stuk. Desgewenst kan er extra op het document aangegeven worden dat openbaarmaking op grond van de Wob voor die informatie niet toegestaan is. Daarbij kan een referentie gemaakt worden aan het gevoerde gesprek met (de voorzitter/vertegenwoordiger van) het betreffende bestuursorgaan.
19 Bijvoorbeeld: college van Burgemeester en Wethouders, Gedeputeerde Staten van de provincie of het bestuur van een waterschap
24
7. Andere wettelijke bepalingen 7.1. Wettelijke strafbaarstelling openbaar maken van geheimen Artikelen 98, 98a, 98b, 98c, 272, 273 van het Wetboek van Strafrecht geldend op 27 januari 2009. Art. 98 1. Hij die een inlichting waarvan de geheimhouding door het belang van de staat of van zijn bondgenoten wordt geboden, een voorwerp waaraan een zodanige inlichting kan worden ontleend of zodanig gegevens opzettelijk verstrekt aan of ter beschikking stelt van een tot kennisneming daarvan niet gerechtigd persoon of lichaam, wordt, indien hij weet of redelijkerwijs moet vermoeden dat het een zodanig inlichting, een zodanig voorwerk of zodanige gegevens betreft, gestraft met gevangenisstraf van ten hoogste zes jaren of geldboete van de vijfde categorie. 2. Met dezelfde straf wordt gestraft hij die een inlichting die van een verboden plaats afkomstig is en de veiligheid van de staat of van zijn bondgenoten in betrekking staat, een voorwerp waaraan een zodanige inlichting kan worden ontleend, of zodanige gegevens opzettelijk verstrekt of ter beschikking stelt van een tot kennisneming daarvan niet gerechtigd persoon of lichaam, indien hij weet of redelijkerwijs moet vermoeden dat het een zodanige inlichting, een zodanig voorwerp of zodanige gegevens betreft. Art. 98a. 1. Hij die een inlichting, een voorwerp of gegevens als bedoeld in artikel 98, hetzij opzettelijk openbaar maakt, hetzij zonder daartoe gerechtigd te zijn opzettelijk verstrekt aan of ter beschikking stelt van een buitenlandse mogendheid, een in het buitenland gevestigd persoon of lichaam, dan wel een zodanig persoon of lichaam dat gevaar ontstaat dat de inlichting of de gegevens aan een buitenlandse mogendheid of aan een in het buitenland gevestigd persoon of lichaam bekend wordt, indien hij weet of redelijkerwijs moet vermoeden dat het een zodanige inlichting of zodanige gegevens betreft, wordt gestraft met gevangenisstraf van ten hoogste vijftien jaren of geldboete van de vijfde categorie. 2. Indien de schuldige heeft gehandeld in tijd van oorlog dan wel in dienst of in opdracht van een buitenlandse mogendheid of van een in het buitenland gevestigd persoon of lichaam, kan levenslange gevangenisstraf of tijdelijke van ten hoogste twintig jaren of geldboete van de vijfde categorie worden opgelegd. 3. Handelingen gepleegd ter voorbereiding van een misdrijf als omschreven in de voorgaande leden worden gestraft met gevangenisstraf van ten hoogste zes jaren of geldboete van de vijfde categorie. Art. 98b Hij aan wiens schuld het te wijten is dat een inlichting, een voorwerp of gegevens als bedoeld in artikel 98, openbaar worden gemaakt of ter beschikking komt van een tot kennisneming daarvan niet gerechtigd persoon of lichaam, wordt bestraft met een gevangenisstraf van ten hoogste een jaar of geldboete van de derde categorie. Art. 98c 1. Met gevangenisstraf van ten hoogste zes jaren of geldboete van de vijfde categorie wordt gestraft:
1. Hij die opzettelijk een inlichting, een voorwerp of gegevens als bedoeld in artikel 98, zonder daartoe gerechtigd te zijn, onder zich neemt of houdt;
2. Hij die enige handeling verricht, ondernomen met een oogmerk om, zonder daartoe gerechtigd te zijn, de beschikking te krijgen over een inlichting, een voorwerp of gegevens als bedoeld in artikel 98;
3. Hij die tersluiks, onder een vals voorgeven, door middel van een vermomming of langs een ander dan de gewone toegang op of in een verboden plaats komt of tracht te komen, aldaar in dier voege aanwezig is, of zich op een van die wijzen of door een van die middelen vandaar verwijdert of tracht te verwijderen.
2. De bepaling onder 3 is niet toepasselijk, indien de rechter blijkt dat de dader niet heeft gehandeld met het oogmerk bedoeld onder 2.
25
Art. 272 1. Hij die enig geheim waarvan hij weet of redelijkerwijs moet vermoeden dat hij uit hoofde van ambt, beroep of wettelijk voorschrift dan wel van vroeger ambt of beroep verplicht is het te bewaren, opzettelijk schendt, wordt gestraft met gevangenisstraf van te hoogste een jaar of geldboete van de vierde categorie. 2. Indien dit misdrijf tegen een bepaalde persoon gepleegd is, wordt het slechts vervolgd op diens klacht. Art. 273 1. Met gevangenisstraf van ten hoogste zes maanden of geldboete van de vierde categorie wordt gestraft hij die opzettelijk
1. aangaande een onderneming van handel, nijverheid of dienstverlening bij welke hij werkzaam is of is
2. gegevens die door misdrijf zijn verkregen uit een geautomatiseerd werk van een onderneming van
geweest, bijzonderheden waarvan hem geheimhouding is opgelegd, bekend maakt of handel, nijverheid of dienstverlening en die betrekking hebben op deze onderneming, bekend maakt of uit winstbejag gebruikt, indien deze gegevens ten tijde van de bekendmaking of het gebruik niet algemeen bekend waren en daaruit enig nadeel kan ontstaan. 2. Niet strafbaar is hij die te goeder trouw heeft kunnen aannemen dat algemeen belang de bekendmaking vereiste. 3. Geen vervolging heeft plaats dan op klacht van het bestuur van de onderneming.
7.2. Wet milieubeheer artikel 19.1 1. In dit hoofdstuk en de daarop berustende bepalingen wordt verstaan onder milieu-informatie: alle informatie, neergelegd in documenten, over:
a. de toestand van elementen van het milieu, zoals lucht en atmosfeer, water, bodem, land, landschap en natuurgebieden met inbegrip van vochtige biotopen, kust- en zeegebieden, biologische diversiteit en componenten, met inbegrip van genetisch gemodificeerde organismen, en interactie tussen deze elementen;
b. factoren, zoals stoffen, energie, geluid, straling of afval, met inbegrip van radioactief afval, emissies, lozingen en ander vrijkomen van stoffen in het milieu die de onder a bedoelde elementen van het milieu aantasten of waarschijnlijk aantasten;
c. maatregelen, met inbegrip van bestuurlijke maatregelen, zoals beleidsmaatregelen, wetgeving, plannen, programma’s, milieuakkoorden en activiteiten die op de onder a en b bedoelde elementen en factoren van het milieu een uitwerking hebben of kunnen hebben, alsmede maatregelen of activiteiten ter bescherming van die elementen;
d.
verslagen over de toepassing van de milieuwetgeving;
e. kosten-baten- en andere economische analyses en veronderstellingen die worden gebruikt in het kader van de onder c bedoelde maatregelen en activiteiten;
f. de toestand van de gezondheid en veiligheid van de mens, met inbegrip van de verontreiniging van de voedselketen, indien van toepassing, de levensomstandigheden van de mens, waardevolle cultuurgebieden en bouwwerken, voor zover zij worden of kunnen worden aangetast door de onder a bedoelde toestand van elementen van het milieu of, via deze elementen, door de onder b en c bedoelde factoren, maatregelen of activiteiten.
7.3. Burgerlijk wetboek, artikel 162 Artikel 162 Burgerlijk wetboek, boek 6, afdeling 1: 1. Hij die jegens een ander een onrechtmatige daad pleegt, welke hem kan worden toegerekend, is verplicht de schade die de ander dientengevolge lijdt, te vergoeden. 2. Als onrechtmatige daad worden aangemerkt een inbreuk op een recht en een doen of nalaten in strijd met een wettelijke plicht of met hetgeen volgens ongeschreven recht in het maatschappelijk verkeer betaamt, een en ander behoudens de aanwezigheid van een rechtvaardigingsgrond. 3. Een onrechtmatige daad kan aan de dader worden toegerekend, indien zij te wijten is aan zijn schuld of aan een oorzaak welke krachtens de wet of de in het verkeer geldende opvattingen voor zijn rekening komt.
26
Bijlage 1: Afkortingen en begrippen Afkorting
Betekenis
ABDO
Algemene Beveiligingseisen Defensie Opdrachten
ATb
Alerteringssyteem Terrorismebestrijding
BAVO
Beveiliging Afstemming Vitaal en Overheid
CPB
College Bescherming Persoonsgegevens
CPNI
Centre for the Protection of National Infrastructure
EPCIP
European Programme for Critical Infrastructure Protection
ISAC
Information Sharing and Analysis Centre
NAVI
Nationaal Adviescentrum Vitale Infrastructuur
NICC
Nationale Infrastructuur ter bestrijding van Cybercrime
PvIB
Platform voor InformatieBeveiliging
Stg
Staatsgeheim (conform VIR-BI)
VIR-BI
Voorschrift Informatiebeveiliging Rijksoverheid - Bijzondere Informatie
Wbp
Wet bescherming persoonsgegevens
Wob
Wet openbaarheid van bestuur
Begrip
Toelichting
Beveiligen
Onttrekken aan geweld, bedreiging, gevaar of schade door het treffen van maatregelen.
Beveiligingsafstemming
Het plan Beveiligingsafstemming Vitaal en Overheid (BAVO) handelt over
Vitaal en Overheid
de afstemming van de interne beveiligingsmaatregelen van een bedrijf uit één van de vitale sectoren met de op de beveiliging gerichte maatregelen van de gemeente, de regiopolitie en eventueel andere partners.
Beveiligingsincident
Een (informatie)beveiliging incident is een enkele of serie van ongewenste of onverwachte gebeurtenissen die een significante kans hebben op het veroorzaken van een ramp, het compromitteren van de bedrijfsprocessen en een bedreiging vormen ten aanzien van de beveiliging.
Bevoegden
Diegenen die een geautoriseerde / functionele toegang hebben tot (onderdelen van) het bedrijf, locatie, proces, middelen of informatie.
Compromittering
De kennisname dan wel de mogelijkheid tot kennisnemen door een niet gerechtigde van bijzondere informatie.
Derdepartijen regel
Analoog aan de in het verkeer tussen inlichtingen- en veiligheidsdiensten gehanteerde regel dat gegevens die men van elkaar ontvangt alleen voor eigen gebruik mogen worden aangewend en niet zonder vooraf verkregen toestemming van de verstrekkende dienst aan derden mogen worden verstrekt (ook wel aangeduid als derdelandregel).
Document
Het begrip document heeft betrekking op brieven, notities, memo’s, rapporten, presentaties, tekeningen, foto’s, film, kaarten, geluidsopnamen, sms-en, digitale dragers (CD-rom, usb) of enige andere fysieke medium waar informatie op weergegeven kan zijn.
European Programme for Critical
Het European Programme for Critical Infrastructure Protection (EPCIP) is
Infrastructure Protection
een initiatief van de Europese Commissie om de bescherming van de vitale infrastructuur in Europa te bevorderen. Op de site van EPCIP is informatie over de voortgang van dit programma te vinden.
27
Begrip
Toelichting
Exclusiviteit
Een kwaliteitskenmerk van gegevens in het kader van de informatiebeveiliging. Met exclusiviteit wordt bedoeld dat een gegeven alleen te benaderen is door iemand die gerechtigd is het gegeven te benaderen. Wie gerechtigd is een gegeven te benaderen, wordt vastgesteld door de eigenaar van het gegeven.
Gerubriceerde gegevens
Alle gegevens of materiaal, inclusief documenten, met betrekking waartoe door een partij is bepaald dat deze bescherming tegen ongeoorloofde openbaarmaking behoeven en die als zodanig gewaarmerkt zijn in een beveiligingsrubricering.
Gevoelige informatie
Gegevens over kritieke (vitale) infrastructuur die, wanneer zij openbaar worden gemaakt, zouden kunnen worden gebruikt om plannen te maken en feiten te plegen om kritieke infrastructuurinstallaties te verstoren of te vernietigen.
Informatie
Een verzameling van gegevens (met of zonder context) opgeslagen in gedachten, in geschriften (op bijv. papier) en/of op digitale informatiedragers (elektronisch, optisch magnetisch).
Informatiebeveiliging
Het proces van vaststellen van de vereiste kwaliteit van informatie(systemen) in termen van vertrouwelijkheid, beschikbaarheid, integriteit, onweerlegbaarheid en controleerbaarheid alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende (fysieke, organisatorische en logische) beveiligingsmaatregelen.
Informatiesysteem
Een samenhangend geheel van gegevensverzamelingen, en de daarbij behorende personen, procedures, processen en programmatuur alsmede de voor het informatiesysteem getroffen voorzieningen voor opslag, verwerking en communicatie.
Integriteit
Een kwaliteitskenmerk voor gegevens, een object of dienst in het kader van de (informatie)beveiliging. Het is een synoniem voor betrouwbaarheid. Een betrouwbaar gegeven is juist (rechtmatigheid), volledig (niet te veel en niet te weinig), tijdig (op tijd) en geautoriseerd (gemuteerd door een persoon die gerechtigd is de mutatie aan te brengen).
Merkering
Aanduiding die een bepaalde wijze van behandelen van bijzondere informatie aangeeft.
Rubricering
Vaststellen en aangeven dat een gegeven bijzondere informatie is en het bepalen en aangeven van de mate van beveiliging die aan deze informatie moet worden gegeven.
Staatsgeheim
Bijzondere informatie waarvan de geheimhouding door het belang van de Staat of haar bondgenoten wordt geboden.
Stg. Confidentieel
Indien kennisnemen door niet gerechtigden schade kan toebrengen aan het belang van de Staat of haar bondgenoten.
28
Producten van het NAVI In de reeks NAVI-producten zijn de volgende publicaties beschikbaar: - Handreiking Risicoanalyse biedt een methode die de security manager in staat stelt een goede risicoanalyse m.b.t. risico’s, dreigingen en kwetsbaarheden te maken. Deze nieuwe handreiking onderscheidt zich van de vorige met een serie praktisch toepasbare modellen en met de beschrijving van een visie over risico’s via de fysieke, digitale en personele poort. - Handreiking Operator Security Plan biedt handvatten aan een beheerder van de vitale infrastructuur om operationele beveiligingsmaatregelen te selecteren, in te voeren en te beheren. - Handreiking Beveiligingsafstemming Vitaal en Overheid beschrijft hoe in het operationele pakket van beveiligingsmaatregelen de afstemming tussen het vitale bedrijf en de overheid geregeld kan worden. - Handreiking Security Awareness bevat een stappenplan, een plan van aanpak en diverse voorbeelden, waarmee aandacht wordt besteed aan de menselijke en psychologische aspecten van bewust en veilig handelen. - Leidraad uitwisseling gevoelige informatie voorziet in de behoefte van vitale bedrijven om een referentiekader en set van afspraken te hebben, waarmee op een veilige wijze gevoelige informatie multidisciplinair en organisatieoverstijgend uitgewisseld kan worden. In de reeks producten van derden zijn de volgende publicaties beschikbaar:
Nationaal Adviescentrum
- Handreiking Security Management Systeem (SMS) voor de olie- en chemiesector. Deze
Vitale Infrastructuur
handreiking biedt handvatten aan een beheerder van installaties binnen de olie- en chemiesector om een security management systeem in te richten. De handreiking is
T (070) 376 59 50
opgesteld door het ministerie van VROM in samenwerking met het NAVI.
E
[email protected]
- US-CCU Checklist voor cybersecurity. Deze checklist is opgesteld door de onafhankelijke
www.navi-online.nl
U.S. Cyber Consequences Unit in de Verenigde Staten en biedt praktische handvatten voor informatiebeveiliging. De checklist heeft een brede internationale verspreiding en is in
Lange Voorhout 13
samenwerking met de US-CCU vertaald door het NAVI voor de Nederlandse markt.
2514 EA Den Haag
- Pre-employment screening in Groot-Brittannië. Een handreiking van The Centre for the Protection of National Infrastructure (CPNI).
Postbus 20011 2500 EA Den Haag
