1
Het voorzitterschap van de ISSB wordt bekleed door de adjunct-secretaris-generaal die verantwoordelijk is voor het beheer van de IT-beveiliging binnen de Commissie. De leden van de ISSB vertegenwoordigen zakelijke, technologische en beveiligingsbelangen in de afdelingen van de Commissie en omvatten vertegenwoordigers van het directoraat-generaal Informatica, het directoraat-generaal Personele Middelen en Veiligheid, het directoraat-generaal Begroting en, bij toerbeurt gedurende twee jaar, vertegenwoordigers van vier andere betrokken afdelingen van de Commissie voor de activiteiten waarvan IT-beveiliging een belangrijke factor is. De leden maken deel uit van het hogere management.
2
De ISSB ondersteunt de bestuursraad bij zijn taken op het gebied van IT-beveiliging. De ISSB wordt belast met de operationele verantwoordelijkheid voor het beheer van alle IT-beveiliging binnen de Commissie.
3
De ISSB doet aanbevelingen aan de Commissie voor het IT-beveiligingsbeleid van de Commissie.
4
De ISSB evalueert beheersvraagstukken en vraagstukken die met IT-beveiliging samenhangen, met inbegrip van ernstige IT-beveiligingsincidenten, en brengt daarover halfjaarlijks verslag uit aan de bestuursraad.
5
DE ISSB monitort en evalueert de algemene uitvoering van dit besluit en brengt daarover verslag uit aan de bestuursraad.
6
Op voorstel van het directoraat-generaal Informatica evalueert en monitort de ISSB de uitvoering van de doorlopende IT-beveiligingsstrategie en keurt zij deze goed. De ISSB brengt daarover verslag uit aan de bestuursraad.
7
De ISSB monitort, evalueert en controleert de situatie op het gebied van de behandeling van bedrijfsinformatierisico's en is bevoegd formele vereisten vast te stellen inzake noodzakelijke verbeteringen.
8
De processen die samenhangen met de in de leden 1 tot en met 7 vastgestelde verantwoordelijkheden en activiteiten, worden nader uitgewerkt in uitvoeringsbepalingen overeenkomstig artikel 13.
1
De systeemeigenaar is verantwoordelijk voor de IT-beveiliging van het communicatie- en informatiesysteem en brengt verslag uit aan het hoofd van de afdeling van de Commissie.
2
De systeemeigenaar doet op het gebied van IT-beveiliging het volgende:
- a)
- hij zorgt voor de conformiteit van het communicatie- en informatiesysteem met het IT-beveiligingsbeleid;
- b)
- hij zorgt ervoor dat het communicatie- en informatiesysteem naar behoren in de desbetreffende inventaris is opgenomen;
- c)
- hij beoordeelt de IT-beveiligingsrisico's en stelt de noodzaak van IT-beveiliging vast in samenwerking met de gegevenseigenaars en in overleg met het directoraat-generaal Informatica;
- d)
- hij stelt een beveiligingsplan op eventueel met gegevens over de beoordeelde risico's en vereiste aanvullende beveiligingsmaatregelen;
- e)
- hij voert passende IT-beveiligingsmaatregelen uit die evenredig zijn aan de vastgestelde IT-beveiligingsrisico's en volgt de aanbevelingen die door de ISSB zijn goedgekeurd;
- f)
- hij stelt eventuele afhankelijkheden van andere communicatie- en informatiesystemen of gedeelde IT-diensten vast en voert passende beveiligingsmaatregelen uit op basis van het beveiligingsniveau dat voor die communicatie- en informatiesystemen of gedeelde IT-diensten wordt voorgesteld;
- g)
- hij beheert en monitort IT-beveiligingsrisico's;
- h)
- hij brengt regelmatig verslag uit aan het hoofd van de afdeling van de Commissie over het IT-beveiligingsrisicoprofiel van zijn communicatie- en informatiesysteem en aan het directoraat-generaal Informatica over de daarmee samenhangende risico's, risicobeheersingsactiviteiten en beveiligingsmaatregelen;
- i)
- hij raadpleegt de LISO van de betrokken afdeling van de Commissie inzake aspecten van IT-beveiliging;
- j)
- hij geeft instructies aan de gebruikers over het gebruik van de communicatie- en informatiesystemen en de daarmee verband houdende gegevens en over de verantwoordelijkheden van de gebruikers met betrekking tot de communicatie- en informatiesystemen;
- k)
- hij verzoekt het directoraat-generaal Personele Middelen en Veiligheid, dat als crypto-autoriteit optreedt, om toestemming voor elk communicatie- en informatiesysteem dat van encryptietechnologie gebruikmaakt;
- l)
- hij raadpleegt vooraf de Veiligheidsautoriteit van de Commissie over elk systeem waarmee gerubriceerde EU-informatie wordt verwerkt;
- m)
- hij zorgt ervoor dat alle encryptiesleutels in een escrowaccount worden opgeslagen. Versleutelde gegevens mogen slechts worden gerecupereerd wanneer daartoe toestemming is verleend overeenkomstig het door het directoraat-generaal Personele Middelen en Veiligheid vastgestelde kader;
- n)
- hij volgt alle instructies van de betrokken verwerkingsverantwoordelijke op met betrekking tot de bescherming van persoonsgegevens en de toepassing van de gegevensbeschermingsregels ten aanzien van de beveiliging van de verwerking;
- o)
- hij licht het directoraat-generaal Informatica in over elke uitzondering op het IT-beveiligingsbeleid van de Commissie, met vermelding van de reden daarvan;
- p)
- hij stelt het hoofd van de afdeling van de Commissie op de hoogte van alle onoplosbare meningsverschillen tussen de gegevenseigenaar en de systeemeigenaar en meldt alle IT-beveiligingsincidenten tijdig aan de belanghebbenden in overeenstemming met de ernst ervan, zoals bepaald in artikel 15;
- q)
- hij zorgt er ten aanzien van uitbestede systemen voor dat in het uitbestedingscontract passende IT-beveiligingsbepalingen zijn opgenomen en dat IT-beveiligingsincidenten met betrekking tot het uitbestede communicatie- en informatiesysteem overeenkomstig artikel 15 worden gemeld;
- r)
- hij zorgt ten aanzien van communicatie- en informatiesystemen die gedeelde IT-diensten leveren, ervoor dat in een welbepaald, duidelijk gedocumenteerd beveiligingsniveau wordt voorzien en dat voor die communicatie- en informatiesystemen beveiligingsmaatregelen zijn geïmplementeerd die toereikend zijn om het bepaalde beveiligingsniveau te verwezenlijken.
3
Systeemeigenaars mogen een of meer van hun IT-beveiligingstaken formeel delegeren, maar blijven verantwoordelijk voor de IT-beveiliging van hun communicatie- en informatiesysteem.
4
De processen die samenhangen met de in de leden 1 tot en met 3 vastgestelde verantwoordelijkheden en activiteiten, worden nader uitgewerkt in uitvoeringsbepalingen overeenkomstig artikel 13.
1
Gegevenseigenaars zijn jegens het hoofd van de afdeling van de Commissie verantwoordelijk voor de IT-beveiliging van een specifieke dataset en zijn aansprakelijk voor de vertrouwelijkheid, integriteit en beschikbaarheid van de dataset.
2
De gegevenseigenaar doet met betrekking tot deze dataset het volgende:
- a)
- hij zorgt ervoor dat alle onder zijn verantwoordelijkheid vallende datasets naar behoren worden gerubriceerd overeenkomstig Besluiten (EU, Euratom) 2015/443 en (EU, Euratom) 2015/444;
- b)
- hij stelt de noodzaak van informatiebeveiliging vast en licht de desbetreffende systeemeigenaars in over die noodzaak;
- c)
- hij neemt deel aan de risicobeoordeling ten aanzien van communicatie- en informatiesystemen;
- d)
- hij stelt het hoofd van de afdeling van de Commissie op de hoogte van alle onoplosbare meningsverschillen tussen de gegevenseigenaar en de systeemeigenaar;
- e)
- hij meldt IT-beveiligingsincidenten overeenkomstig artikel 15.
3
Gegevenseigenaars mogen een of meer van hun IT-beveiligingstaken formeel delegeren, maar zij behouden de in dit artikel vastgestelde verantwoordelijkheden.
4
De processen die samenhangen met de in de leden 1 tot en met 3 vastgestelde verantwoordelijkheden en activiteiten, worden nader uitgewerkt in uitvoeringsbepalingen overeenkomstig artikel 13.
1
De LISO doet op het gebied van IT-beveiliging het volgende:
- a)
- hij bepaalt en informeert systeemeigenaars, gegevenseigenaars en andere functies met verantwoordelijkheden op het gebied van IT-beveiliging binnen de afdelingen van de Commissie proactief over het IT-beveiligingsbeleid;
- b)
- als lid van het LISO-netwerk onderhoudt hij contacten met het directoraat-generaal Informatica met betrekking tot kwesties die binnen de afdelingen van de Commissie onder het IT-beveiligingsbeleid vallen;
- c)
- hij woont de regelmatige LISO-vergaderingen bij;
- d)
- hij houdt het proces van risicobeheersing op het gebied van informatiebeveiliging en de ontwikkeling en tenuitvoerlegging van beveiligingsplannen voor informatiesystemen in het oog;
- e)
- hij adviseert gegevenseigenaars, systeemeigenaars en hoofden van afdelingen van de Commissie over kwesties in verband met IT-beveiliging;
- f)
- hij verspreidt in samenwerking met het directoraat-generaal Informatica goede IT-praktijken en stelt specifieke bewustmakings- en opleidingsprogramma's voor;
- g)
- hij brengt verslag uit over IT-beveiliging en licht het hoofd van de afdeling van de Commissie in over tekortkomingen en verbeteringen.
2
De processen die samenhangen met de in lid 1 vastgestelde verantwoordelijkheden en activiteiten, worden nader uitgewerkt in uitvoeringsbepalingen overeenkomstig artikel 13.
1
Gebruikers doen op het gebied van IT-beveiliging het volgende:
- a)
- zij houden zich aan het IT-beveiligingsbeleid en de instructies van de systeemeigenaar over het gebruik van elk communicatie- en informatiesysteem;
- b)
- zij melden IT-beveiligingsincidenten overeenkomstig artikel 15.
2
Het gebruik van communicatie- en informatiesystemen van de Commissie in strijd met het IT-beveiligingsbeleid of de instructies van de systeemeigenaar kan aanleiding geven tot een tuchtrechtelijke procedure.
3
De processen die samenhangen met de in de leden 1 en 2 vastgestelde verantwoordelijkheden en activiteiten, worden nader uitgewerkt in uitvoeringsbepalingen overeenkomstig artikel 13.
