Is jouw organisatie in Nederland actief als telecomaanbieder? Dan is het wettelijk verplicht zich als zodanig te registreren als een of meer van onderstaande van toepassing is:
- organisatie biedt openbare elektronische communicatienetwerken aan
- organisatie biedt openbare elektronische communicatiediensten aan
- of organisatie legt bijbehorende voorzieningen aan of biedt deze aan
Je leest meer over aanbieders van openbare telecommunicatienetwerken en -diensten en bijbehorende verplichtingen op de website van de ACM.
Het lijkt erop dat je organisatie moet voldoen aan de Bbgt.
Wij proberen je met deze vragen bewust te maken van de verplichtingen die voortvloeien uit de Bbgt.
Besluit van 28 oktober 2003, houdende regels betreffende door aanbieders van openbare telecommunicatienetwerken of openbare telecommunicatiediensten te treffen beveiligingsmaatregelen ten aanzien van gegevens betreffende het aftappen en opnemen van telecommunicatie. Zie Besluit beveiliging gegevens telecommunicatie
De Bbgt en de bijlage bevatten maatregelen. Deze dienen ten minste te bestaan uit:
- maatregelen gericht op de personen die werkzaam zijn voor de aanbieder;
- maatregelen gericht op de toegang tot de gebouwen en ruimten waarin de gegevens en informatie aanwezig zijn;
- maatregelen gericht op een deugdelijke werking en beveiliging van het informatiesysteem waarin de gegevens en informatie worden verwerkt;
- maatregelen gericht op het voorkomen, vaststellen en onderzoeken van een ongeoorloofde inbreuk op de vertrouwelijkheid van de gegevens en informatie;
- maatregelen in het geval van calamiteiten.
De aanbieder (deelnemer) is en blijft verantwoordelijk voor de naleving door de derde (NBIP) van de verplichtingen op basis van een schriftelijke overeenkomst. Zie artikel 8.
Beveiligingsplan
Elke aanbieder is verplicht om een beveiligingsplan voor bevoegd aftappen te hebben. Zie artikel 3.
De aanbieder draagt zorg voor een beveiligingsplan, waarin hij aangeeft op welke wijze door hem uitvoering is gegeven aan zijn beveiligingsplicht. In het beveiligingsplan wordt ten minste aangegeven hoe uitvoering is gegeven aan de maatregelen, bedoeld in de bijlage.
ISO maatregelen kunnen u hierbij helpen, maar ISO is wel iets anders dan Bbgt. Dit beveiligingsplan staat geheel los van uw eventuele ISO 27001 certificering.
Deze functionaris voert daartoe regelmatig controles uit en legt de resultaten daarvan ook structureel en opvraagbaar vast.
Beveiligingseisen ten aanzien van personeel
De aanbieder draagt er zorg voor dat bij het verstrekken van informatie, de medewerking uitsluitend wordt verleend door personen, die aan hem een verklaring omtrent het gedrag (VOG) hebben overgelegd. Zie artikel 4.
Aanvullende beveiligingseisen voor personeel dat in aanraking komt met LI (Lawful Interception) gegevens zijn een functieomschrijving en een getekende geheimhoudingsverklaring.
Zie bijlage, punt 2.
Dit kan in een separate getekende geheimhoudingsverklaring verwerkt mogen worden of als addendum aan de arbeidsovereenkomst verbonden worden.
Toegangsbeveiliging van geautomatiseerde informatiesystemen
De toegang tot geautomatiseerde informatiesystemen met onder meer persoonsgebonden authenticatie (geen groepsaccounts). Zie bijlage, punt 5.
Het is van groot belang om direct te (laten) onderzoeken of er in uw bedrijfssystemen groepsaccounts aanwezig zijn die gebruikt worden bij het verwerken van gegevens in het kader van de Bbgt. Het gebruik van groepsaccounts (niet persoonsgebonden accounts) is zoals je waarschijnlijk weet niet veilig en kan bij een eventuele inspectie door de Rijksinspectie Digitale Infrastructuur als mogelijke overtreding worden beschoud.
Het is verplicht om ongeautoriseerde pogingen tot toegang van die systemen en bestanden te registreren en hier op te acteren.
Slot
Je hebt het self-assessment afgerond. De resultaten worden anoniem bij NBIP verzameld.
Lees hier de Grondslag
beveiligingsplan bevoegd aftappen
Vragen aan Rijksinspectie Digitale Infrastructuur of NBIP kun je hieronder stellen.
De door jou gestelde vragen worden net als de door jou gegeven antwoorden anoniem verzameld en verwerkt.
