Artikel 2
1. De aanbieder draagt zorg voor het treffen van alle noodzakelijke
beveiligingsmaatregelen om kennisneming door onbevoegden te voorkomen
van de navolgende gegevens en informatie:
a. de gegevens welke in het kader van het verlenen van
medewerking aan de uitvoering van een bevoegd gegeven bijzondere
last dan wel een toestemming op grond van de Wet op de
inlichtingen- en veiligheidsdiensten 2002 tot het aftappen of
opnemen van telecommunicatie door een bevoegde autoriteit aan de
aanbieder zijn verstrekt;
b. de informatie welke door de aanbieder aan een bevoegde
autoriteit is verstrekt op grond van de artikelen 13.2b en 13.4
van de wet alsmede de gegevens welke zijn vervat in het aan deze
verstrekking ten grondslag liggende verzoek of in de aan deze
verstrekking ten grondslag liggende vordering om informatie van de
desbetreffende bevoegde autoriteit;
c. de gegevens die door de aanbieder worden geraadpleegd en
verder worden verwerkt met het oog op het voldoen aan een verzoek
of vordering op grond van de artikelen 13.2b en 13.4 van de wet.
2. De maatregelen, bedoeld in het eerste lid, dienen ten minste te
bestaan uit:
a. maatregelen gericht op de personen die werkzaam zijn voor de
aanbieder;
b. maatregelen gericht op de toegang tot de gebouwen en ruimten
waarin de gegevens en informatie aanwezig zijn;
c. maatregelen gericht op een deugdelijke werking en
beveiliging van het informatiesysteem waarin de gegevens en
informatie worden verwerkt;
d. maatregelen gericht op het voorkomen, vaststellen en
onderzoeken van een ongeoorloofde inbreuk op de vertrouwelijkheid
van de gegevens en informatie;
e. maatregelen in het geval van calamiteiten.
3. Tot de maatregelen, bedoeld in het eerste en tweede lid worden
in ieder geval gerekend de maatregelen, bedoeld in de bijlage bij dit
besluit.
Artikel 3
1.De aanbieder draagt zorg voor een beveiligingsplan, waarin hij
aangeeft op welke wijze door hem uitvoering is gegeven aan zijn
beveiligingsplicht. In het beveiligingsplan wordt ten minste
aangegeven op welke wijze uitvoering is gegeven aan de maatregelen,
bedoeld in de bijlage.
2.Op een daartoe strekkend verzoek van de bevoegde autoriteit wordt
door de aanbieder inzage verleend in het beveiligingsplan.
Artikel 4
1. [Dit lid is nog niet in werking getreden.]
2. De aanbieder draagt er zorg voor dat aan de uitvoering van de in
artikel 13.2, eerste en tweede lid, van de wet bedoelde bevoegd
gegeven bijzondere last en de in de artikelen 13.2b en 13.4 van de wet
neergelegde verplichting tot het verstrekken van informatie, de
medewerking uitsluitend wordt verleend door personen, die aan hem een
verklaring omtrent het gedrag als bedoeld in de Wet op de justitiële
documentatie en op de verklaringen omtrent het gedrag hebben
overgelegd. De eerste volzin is niet van toepassing, indien de
betrokken persoon een vertrouwensfunctie uitoefent als bedoeld in het
eerste lid.
Artikel 5
1. De aanbieder draagt er zorg voor dat de gegevens, die ingevolge
artikel 13.2a, tweede lid, van de wet, worden bewaard, onverwijld doch
uiterlijk binnen acht dagen na afloop van de termijn, bedoeld in
artikel 13.2a, derde lid, van de wet, worden vernietigd.
2. Artikel 5, eerste lid, van het Besluit bewaren en vernietigen
niet-gevoegde stukken is van overeenkomstige toepassing.
Artikel 6
De aanbieder stelt de desbetreffende bevoegde autoriteit terstond op
de hoogte, indien op de vertrouwelijkheid van enigerlei gegevens of
informatie als bedoeld in artikel 2, eerste lid, een ongeoorloofde
inbreuk is gemaakt. Hierbij vermeldt de aanbieder:
a. welke informatie of gegevens het betreft;
b. de wijze waarop de inbreuk heeft plaatsgevonden;
c. de maatregelen welke zijn genomen om verdere verspreiding van
bedoelde informatie of gegevens tegen te gaan en herhaling van het
gebeurde te voorkomen.
Artikel 7
De aanbieder draagt er zorg voor dat de personeelsleden die belast
zijn met:
a. de werkzaamheden ter uitvoering van een bevoegd gegeven
bijzondere last dan wel een toestemming op grond van de Wet op de
inlichtingen- en veiligheidsdiensten 2002 als bedoeld in artikel
13.2, eerste en tweede lid, van de wet en
b. de werkzaamheden verbonden aan de informatieverstrekking als
bedoeld in de artikelen 13.2b en 13.4 van de wet,
met betrekking tot deze werkzaamheden en de gegevens en informatie
waarvan zij in dat kader kennis nemen, geheimhouding betrachten.
Artikel 8
1. Indien de aanbieder de uitvoering van werkzaamheden uitbesteedt
aan een derde en in dat kader de derde kennis neemt of kan nemen van
gegevens en informatie als bedoeld in artikel 2, eerste lid, draagt de
aanbieder er zorg voor dat de derde zich verplicht:
a. de desbetreffende gegevens en informatie te beveiligen tegen
kennisneming door onbevoegden;
b. met betrekking tot de desbetreffende gegevens en informatie
geheimhouding te betrachten;
c. de ingevolge dit besluit gestelde maatregelen na te leven;
d. alle informatie te verstrekken die voor het toezicht op de
naleving van de beveiligings- en geheimhoudingsverplichting
noodzakelijk is.
2. De verplichtingen van de derde als bedoeld in het eerste lid
worden geregeld in een schriftelijke overeenkomst tussen aanbieder en
derde. Op een daartoe strekkend verzoek van de bevoegde autoriteit
wordt inzage verleend in de overeenkomst.
3. De aanbieder is verantwoordelijk voor de naleving door de derde
van de verplichtingen, bedoeld in het eerste lid.
Artikel 9
De artikelen van dit besluit treden in werking op een bij koninklijk
besluit te bepalen tijdstip, dat voor de verschillende artikelen of
onderdelen daarvan verschillend kan worden vastgesteld.
Artikel 10
Dit besluit wordt aangehaald als: Besluit beveiliging gegevens
telecommunicatie.
Lasten en bevelen dat dit besluit met de
daarbij behorende nota van toelichting in het Staatsblad zal
worden geplaatst.
's-Gravenhage, 28 oktober 2003
BEATRIX
De Minister van Economische Zaken,
L.J. Brinkhorst
De Minister van Justitie,
J.P.H. Donner
De Minister van Binnenlandse Zaken en
Koninkrijksrelaties,
J.W. Remkes
De Minister van Defensie,
H.G.J. Kamp
Uitgegeven de vijfentwintigste november 2003
De Minister van Justitie,
J.P.H. Donner
Bijlage als bedoeld in artikel
2, derde lid, van het Besluit beveiliging gegevens aftappen
telecommunicatie
I. Beveiligingseis algemeen
Er is een functionaris, belast met het
toezicht op de uitvoering en naleving van de beveiligingsmaatregelen. De
functionaris voert daartoe regelmatig controles uit en legt de
resultaten daarvan vast.
II. Beveiligingseisen ten aanzien van
personeel
a. In de functiebeschrijving van
personeel dat belast is met de verwerking van de informatie en gegevens
wordt de verantwoordelijkheid voor de beveiliging daarvan beschreven.
b. Personeel dat in aanraking komt met de
informatie en gegevens tekent een geheimhoudingsverklaring.
c. Uitsluitend personeel dat
overeenkomstig de functiebeschrijving belast is met de verwerking van de
informatie en gegevens heeft toegang tot de informatie en de gegevens.
III. Fysieke beveiliging en beveiliging
van de omgeving
a. De informatie en de gegevens worden
zoveel mogelijk binnen één ruimte geconcentreerd.
b. De ruimte waarbinnen de informatie en
de gegevens aanwezig zijn is deugdelijk fysiek beveiligd.
c. De fysieke beveiliging is zodanig
ingericht dat ongeautoriseerde toegang en pogingen daartoe worden
gedetecteerd en dat tijdige interventie plaatsvindt.
d. Toegang tot de ruimte waar de gegevens
of de informatie zich bevindt is uitsluitend toegestaan aan daartoe
geautoriseerde personen voorzover dit voor hun functie noodzakelijk is.
e. Het binnentreden en verlaten van de
ruimte moet zodanig zijn geregeld dat er sprake is van gecontroleerde en
achteraf herleidbare toegang op individueel niveau.
f. Documenten waarin, dan wel
verwisselbare gegevensdragers waarop, de informatie en de gegevens zijn
vastgelegd worden in deugdelijk beveiligde opbergmiddelen bewaard.
g. Personen belast met onderhouds- en
reparatiewerkzaamheden in de ruimte waarin de informatie en de gegevens
zich bevinden worden door eigen geautoriseerd personeel begeleid.
IV. Beheer van communicatie- en
bedieningsprocessen
a. De status/rubricering van de
informatie en de gegevens (staatsgeheim of vertrouwelijk) dient te allen
tijde kenbaar te zijn.
b. Reproductie van de informatie of de
gegevens is alleen toegestaan door daartoe geautoriseerde personen en
uitsluitend voor zover dat nodig is voor de goede uitvoering van de
bijzondere last dan wel toestemming op grond van de Wet op de
inlichtingen- en veiligheidsdiensten 2002 als bedoeld in artikel 13.2,
eerste en tweede lid, van de wet dan wel een verzoek op grond van
artikel 13.4 van de wet.
c. De informatie of de gegevens worden
niet buiten de normale ruimte gebracht, tenzij dat voor de goede
voortgang van de werkzaamheden noodzakelijk is. In dat geval wordt de
verblijfplaats van de informatie of de gegevens geregistreerd.
d. De verwijdering en vernietiging van de
informatie en gegevens geschiedt op een onomkeerbare wijze. Van de
verwijdering en vernietiging wordt een rapport opgemaakt, dat in
afschrift wordt gezonden aan de bevoegde autoriteit wie het aangaat dan
wel een door deze aangewezen instantie.
V. Toegangsbeveiliging van
geautomatiseerde informatiesystemen
a. De toegang tot geautomatiseerde
informatiesystemen waarin de informatie en de gegevens worden verwerkt
is op deugdelijke wijze beveiligd, onder meer door middel van
persoonsgebonden authenticatie.
b. De logische beveiliging is zodanig
ingericht dat ongeautoriseerde toegang en pogingen daartoe worden
gedetecteerd en dat tijdige interventie plaatsvindt.
c. Het aantal foutieve inlogpogingen is
beperkt tot drie. Overschrijding van het aantal foutieve inlogpogingen
leidt tot definitieve blokkering, welke uitsluitend door de
functionaris, bedoeld in onderdeel I van deze bijlage, kan worden
opgeheven. Het voorgaande is niet van toepassing op de systeembeheerder,
met dien verstande dat bij drie foutieve inlogpogingen een hernieuwde
inlogpoging slechts kan plaatsvinden via een voor noodsituaties
ingericht account en persoonsgebonden authenticatie voor het gebruik
waarvan door de functionaris, bedoeld in onderdeel I van deze bijlage
toestemming moet worden verleend.
d. Het geautomatiseerde systeem, waarin
de gegevens en de informatie worden verwerkt, wordt niet eerder verlaten
dan nadat een (handmatig of automatisch) toegangsbeveiligingsmechanisme
in werking is gesteld.
e. Alle handelingen met betrekking tot de
verwerking van de informatie en de gegevens in het geautomatiseerde
informatiesysteem worden persoonsgebonden vastgelegd teneinde onderzoek
mogelijk te maken.
f. Toegang tot het geautomatiseerde
informatiesysteem is uitsluitend voorbehouden aan daartoe geautoriseerd
personeel.
g. De toegangsrechten van de gebruikers
worden periodiek geëvalueerd.
h. De autorisaties van alle gebruikers
worden vastgelegd.
VI. Ontwikkeling, onderhoud en reparatie
van geautomatiseerde informatiesystemen
a. Alle wijzigingen in apparatuur,
software of procedures die de beveiliging van de gegevens en informatie
kunnen beïnvloeden zijn controleerbaar, dat wil zeggen bekend en
beoordeeld door of namens de aanbieder als zijnde aanvaardbaar.
b. Het onderhouden van geautomatiseerde
informatiesystemen, voor zover deze nog toegang verschaffen tot gegevens
en informatie, vindt op locatie plaats.
c. In afwijking van onderdeel b, is het
op afstand onderhouden van geautomatiseerde informatiesystemen slechts
toegestaan, indien dit wordt uitgevoerd door daartoe geautoriseerde
personen als bedoeld in onderdeel II van deze bijlage, en slechts op
tijdstippen waarvoor door de functionaris, bedoeld in onderdeel I, onder
a, van deze bijlage, toestemming is verleend en er aantoonbaar voldoende
waarborgen bestaan voor het handhaven van het beveiligingsniveau van de
gegevens en informatie.
d. Reparatie aan het geautomatiseerde
informatiesysteem waarin de informatie en de gegevens worden verwerkt
vindt op locatie plaats. Van de eerste volzin kan worden afgeweken
indien de informatie en gegevens zijn verwijderd en niet te achterhalen
zijn.