Besluit van de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties van 14 december 2025, nr. 2025-0000042677 tot wijziging van het Besluit CIO-stelsel Rijksdienst 2021 (Besluit CIO-stelsel Rijksdienst 2026) Besluit CIO-stelsel Rijksdienst 2026 De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties; Handelend in overeenstemming met het gevoelen van de ministerraad; Gelet op de artikelen 2, eerste lid, 3, eerste lid, en 6, eerste en tweede lid, van het Coördinatiebesluit organisatie, bedrijfsvoering en informatiesystemen rijksdienst; § 1 Algemeen Artikel 1 Definities In dit besluit wordt verstaan onder: a. beveiligingsautoriteit: beveiligingsautoriteit; bedoeld in artikel 3 van het Besluit BVA-stelsel Rijksdienst 2021; b. beveiligingsautoriteit Rijk: beveiligingsautoriteit Rijk; bedoeld in artikel 7 van het Besluit BVA-stelsel Rijksdienst 2021; c. CIO: Chief Information Officer bedoeld in artikel 3, eerste lid en artikel 16, eerste lid; d. CIO Rijk: Chief Information Officer Rijk bedoeld in artikel 17, eerste lid; e. CISO: Chief Information Security Officer bedoeld in artikel 6, eerste lid en artikel 16, vierde lid; f. CISO Rijk: Chief Information Security Officer Rijk bedoeld in artikel 17, eerste lid; g. (C)DO: (Chief) Data Officer bedoeld in artikel 9, eerste lid en artikel 10, eerste lid; h. (C)PO: (Chief) Privacy Officer bedoeld in artikel 9, eerste lid en artikel 12, eerste lid; i. (C)TO: (Chief) Technology Officer bedoeld in artikel 9, eerste lid en artikel 14, eerste lid; j. Coördinatiebesluit: Coördinatiebesluit organisatie, bedrijfsvoering en informatiesystemen rijksdienst; k. digitalisering: geheel aan ontwikkelingen binnen de overheid en in de samenleving die te maken hebben met het toenemend gebruik van ICT, digitale informatie, data en informatiesystemen; l. grote ICT-component: ICT-component vallend onder de definitie die in het Handboek portfoliomanagement Rijk wordt gegeven aan grote ICT-component; m. ICT: Informatie- en communicatietechnologie; n. informatiebeveiliging: proces van vaststellen van de vereiste betrouwbaarheid van informatiesystemen in termen van vertrouwelijkheid, beschikbaarheid en integriteit alsmede het treffen, onderhouden en controleren van een samenhangend pakket van bijbehorende maatregelen; o. informatiesysteem: samenhangend geheel van gegevensverzamelingen, procedures, processen en programmatuur alsmede de voor het informatiesysteem getroffen voorzieningen voor opslag, verwerking en communicatie; p. informatievoorziening: geheel van mensen, middelen, informatiesystemen en maatregelen, gericht op de informatiebehoefte van een organisatie; q. portfoliomanagement: proces van inventarisatie, registratie en actualisatie van wijzigingen in informatiesystemen, vastgelegd in een portfolio. Artikel 2 Reikwijdte 1 Dit besluit geldt voor de rijksdienst, zijnde de kerndepartementen en de daaronder ressorterende dienstonderdelen inclusief de gevestigde diensten op Caribisch Nederland. 2 Bij de Rijksdienst Caribisch Nederland (RCN) is een CIO Rijksdienst Caribisch Nederland (CIO RCN) aangesteld, die rechtstreeks ressorteert onder de CIO Binnenlandse Zaken en Koninkrijksrelaties. De CIO RCN heeft dezelfde taken en verantwoordelijkheden als de departementale CIO bedoeld in artikel 3. § 2 CIO en CISO Artikel 3 CIO-functie 1 De minister die belast is met de leiding van een ministerie draagt zorg voor de aanstelling van een departementale CIO die rechtstreeks ressorteert onder de secretaris-generaal van het ministerie. 2 De departementale CIO is belast met de ontwikkeling en coördinatie van het informatievoorzienings- en digitaliseringsbeleid en het zorgdragen voor de ontwikkeling en het beheer van de informatiesystemen van het ministerie conform dit beleid. 3 De departementale CIO is tevens belast met het inrichten van het CIO-stelsel voor het ministerie en de onder haar ressorterende dienstonderdelen. 4 De departementale CIO is lid van de bestuursraad van het ministerie. 5 Een CIO beschikt over een CIO-office. 6 Het CIO-office wordt zodanig ingericht dat over voldoende kennis en ervaring wordt beschikt om de taak, bedoeld in artikel 4 uit te voeren. Artikel 4 Taken departementale CIO De minister die belast is met de leiding van een ministerie draagt aan de departementale CIO met betrekking tot het ministerie in elk geval de volgende taken op: a. het adviseren van het lijnmanagement en de minister over het beleid ten aanzien van informatievoorziening en digitalisering; b. het adviseren van het lijnmanagement en de minister over de implicaties voor informatievoorziening en digitalisering van (voorgenomen) wet- en regelgeving, beleids- en uitvoeringstrajecten en investeringen; c. het opstellen, beheren en zorgdragen voor de uitvoering van een meerjarig informatieplan voor het ministerie met een financiële paragraaf; d. het richten op en stimuleren van digitale transformatie en technologisch gedreven innovatie binnen het ministerie door het investeren in een cultuur van kennisdeling en door het lerend vermogen op het gebied van digitalisering binnen het ministerie te bevorderen; e. het met inachtneming van toepasselijke rijksbrede kaders en ICT-voorzieningen zorgdragen voor de ontwikkeling en coördinatie van informatievoorzieningsbeleid en digitaliseringsbeleid en de ontwikkeling en het beheer van de informatiesystemen van het ministerie; f. het toezien op naleving van de kaders gesteld op grond van de artikelen 2 en 6 van het Coördinatiebesluit en het gevraagd en ongevraagd informeren en adviseren van het verantwoordelijk lijnmanagement en de CIO Rijk hierover; g. het ontwikkelen en coördineren van integraal portfoliomanagement en levenscyclusmanagement om de samenhang tussen ICT-(door)ontwikkeling en ICT-beheer van het kerndepartement en dienstonderdelen te bewaken; h. het gevraagd en ongevraagd adviseren en informeren van de CIO Rijk voor zover dit redelijkerwijs noodzakelijk is voor diens taakuitoefening, bedoeld in artikel 18; i. het zorgdragen voor voldoende aandacht binnen het ministerie voor continue beheeractiviteit en verbetering van de ICT-infrastructuur inclusief de benodigde technologische vernieuwing en informatiebeveiliging; j. het voeren van een solide informatiehuishouding waarbinnen de informatie duurzaam toegankelijk, vindbaar, juist, volledig en betrouwbaar bewaard wordt; k. het uitvoeren van oordelen aangaande de beheersing, haalbaarheid, risico’s en implicaties van alle voorgenomen en in uitvoering zijnde activiteiten met een grote ICT-component, conform de daarvoor geldende rijksbrede kwaliteitsnormen; l. het aanmelden van activiteiten bij het Adviescollege ICT-toetsing, als bedoeld in artikel 7, eerste lid, onderdeel a, onder 2° van de Wet Adviescollege ICT-toetsing; m. het uitvoeren van de taken met betrekking tot het (IV)beleidsterrein voor de eigen diensten die vallen onder het eigen ministerie; n. het realiseren van interoperabiliteit tussen ministeries op tenminste uitwisselfunctionaliteiten en aansluiting op rijksbrede generieke voorzieningen en dienstverlening. Artikel 5 Bevoegdheden departementale CIO 1 De departementale CIO kan, na overleg met de secretaris-generaal, de minister rechtstreeks informeren, indien zijn taakuitoefening op grond van dit besluit daartoe aanleiding geeft. 2 De departementale CIO kan een CIO-oordeel of een externe kwaliteitstoets uitvoeren binnen alle fasen van projecten, programma’s of activiteiten met een digitaliseringsaspect of ICT-component. 3 Voor het aanvangen van ICT-ontwikkelprojecten en onderhoudsactiviteiten met een grote ICT-component, die onder verantwoordelijkheid van het ministerie worden uitgevoerd, is een positief CIO-oordeel, of een beargumenteerde afwijking hiervan door de secretaris-generaal van het ministerie, vereist. 4 De dienstonderdelen van het ministerie verstrekken de departementale CIO de informatie die noodzakelijk is voor de uitoefening van zijn taken op grond van dit besluit. Artikel 6 Departementale CISO 1 De minister die belast is met de leiding van een ministerie draagt zorg voor de aanstelling van een departementale CISO die rechtstreeks ressorteert onder de CIO van het ministerie. 2 De departementale CISO is belast met de ontwikkeling en coördinatie van het departementale informatiebeveiligingsbeleid, bedoeld in artikel 3 van het Besluit Voorschrift Informatiebeveiliging Rijksdienst 2007 en artikel 3 van het Besluit Voorschrift Informatiebeveiliging Rijksdienst – Bijzondere Informatie 2025 en het ondersteunen van het verantwoordelijk lijnmanagement bij de implementatie en naleving hiervan. Artikel 7 Taken departementale CISO De minister die belast is met de leiding van een ministerie draagt aan de departementale CISO ten aanzien van digitalisering en informatievoorziening, met betrekking tot het ministerie, de taak op tot: a. het ontwikkelen en coördineren van departementaal informatiebeveiligingsbeleid en -kaders en het ondersteunen van de implementatie en naleving hiervan; b. het zorgdragen voor het departementale informatiebeveiligingsbeleid als onderdeel van het departementale digitaliserings- en informatievoorzieningsbeleid, bedoeld in artikel 4, onder e; c. het ontwikkelen en actueel houden van een departementaal risicobeeld met betrekking tot informatiebeveiliging; d. het bijdragen aan het opstellen en beheren van het meerjarig informatieplan voor het ministerie, bedoeld in artikel 4, onder c, met betrekking tot de departementale informatiebeveiliging; e. het bijdragen aan het opstellen van het rijksbrede informatiebeveiligingsbeleid, het risicobeeld en het calamiteitenplan, bedoeld in artikel 20, onder a, c en j, en de rijksbrede strategie, bedoeld in artikel 18, onder a, en aan het integrale beveiligingsbeleid, de risicoanalyse en het calamiteitenplan, bedoeld in artikel 4, eerste, derde en zesde lid, van het Besluit BVA-stelsel Rijksdienst 2021, met betrekking tot de departementale informatiebeveiliging; f. het gevraagd en ongevraagd adviseren van de departementale CIO, het verantwoordelijk lijnmanagement en CISO’s van dienstonderdelen over de informatiebeveiliging en de risico’s daarvoor van (voorgenomen) wet- en regelgeving, investeringen, beleids- en uitvoeringstrajecten, informatieprocessen en informatiesystemen; g. het gevraagd en ongevraagd adviseren en informeren van de CISO Rijk voor zover dit redelijkerwijs noodzakelijk is voor diens taakuitoefening, bedoeld in artikel 20, en van de departementale beveiligingsautoriteit ten behoeve van diens taakuitoefening op grond van het bepaalde in het Besluit BVA-stelsel Rijksdienst 2021; h. het monitoren en controleren van het informatiebeveiligingsbewustzijn binnen het ministerie, het adviseren van het kerndepartement en dienstonderdelen hierover en het zorgdragen voor het vergroten van het bewustzijn over informatiebeveiliging binnen het ministerie; i. het onderhouden van relaties met de inlichtingen- en veiligheidsdiensten, het Nationaal Cyber Security Centrum en de Nationale Coördinator Terrorismebestrijding en Veiligheid aangaande dreigingen die verband houden met de informatiebeveiliging van het departement; j. het ontwikkelen en coördineren van informatiebeveiligingsactiviteiten, -projecten en het zorgdragen voor een projectportfolio voor informatiebeveiliging; k. het bijdragen aan CIO-oordelen en kwaliteitstoetsen als bedoeld in artikel 5, tweede lid, met betrekking tot informatiebeveiliging; l. het binnen het ministerie coördineren van onderzoeken van de Auditdienst Rijk, Algemene Rekenkamer, Adviescollege ICT-toetsing en eventueel Autoriteit Persoonsgegevens naar het niveau van de naleving van het betreffende beleidsgebied; m. het monitoren en signaleren van afwijkingen van artikel 41, eerste lid, van de Kaderwet zelfstandige bestuursorganen en het informeren hierover van de secretaris-generaal als eigenaar van een zelfstandig bestuursorgaan. Artikel 8 Bevoegdheden departementale CISO 1 De departementale CISO kan de secretaris-generaal en het verantwoordelijk lijnmanagement van het ministerie rechtstreeks informeren, indien zijn taakuitoefening op grond van dit besluit en de ernst van het geconstateerde feit daartoe een acute aanleiding geeft. Indien vooroverleg met de CIO en de beveiligingsautoriteit niet mogelijk is, worden beiden zo spoedig mogelijk achteraf geïnformeerd. 2 De dienstonderdelen van het ministerie verstrekken de departementale CISO gevraagd en ongevraagd de informatie die noodzakelijk is voor de uitoefening van zijn taken. 3 De departementale CISO kan namens de secretaris-generaal en de departementale CIO aanwijzingen geven met betrekking tot informatieprocessen in het geval van een, mogelijke, ernstige en acute inbreuk op de beveiliging van informatiesystemen. De CISO laat onverwijld maatregelen treffen om zo veel mogelijk de beveiliging te laten herstellen en verdere schade te laten beperken. 4 De departementale CISO kan namens de secretaris-generaal en de departementale CIO en in afstemming met de beveiligingsautoriteit van het ministerie, aanwijzingen geven aan iedere ambtenaar, externe medewerkers en bezoekers, voor zover dat noodzakelijk is voor de uitvoering van het departementale informatiebeveiligingsbeleid en de naleving van de informatiebeveiligingsvoorschriften. Artikel 9 Departementale (C)DO, (C)PO en (C)TO 1 Naast de benoemde CIO, CISO, CIO Rijk en CISO Rijk kunnen de ministeries de volgende rollen invullen: – (Chief) Data Officer (C)DO) – (Chief) Privacy Officer (C)PO) – (Chief) Technology Officer (C)TO) 2 Het staat de ministeries vrij om deze rollen als afzonderlijke functies binnen hun organisatiestructuur te formaliseren, rekening houdend met de specifieke behoeften en vereisten van hun operationele omgeving. 3 Indien de aard en het belang van de rol binnen het ministerie dit rechtvaardigen, kan aan de aanduiding van de rol het voorvoegsel ‘Chief’ worden toegevoegd, waarmee de status en verantwoordelijkheid van de functie worden benadrukt. Dit resulteert in de volgende titels: – Chief Data Officer (CDO) – Chief Privacy Officer (CPO) – Chief Technology Officer (CTO) 4 De departementale (C)DO, (C)PO en (C)TO zijn een tweedelijnsfunctie en ressorteren rechtstreeks onder de departementale CIO. Deze tweedelijnsfunctie gaat over adviseren, kaderstellen en monitoren. 5 De departementale CIO is verantwoordelijk voor de functionele aansturing alsmede voor de toewijzing van taken en verantwoordelijkheden. Artikel 10 Taken departementale (Chief) Data Officer De departementale (C)DO ressorteert onder de departementale CIO. De CIO kan de departementale (C)DO de volgende taken toewijzen: a. het ontwikkelen en coördineren van een gegevensstrategie die richting geeft aan het gegevens en algoritmebeleid en integraliteit borgt van het gegevens-, algoritme- en Artificial Intelligence (AI)-beleid; b. het zorgdragen voor het opstellen, beheren en monitoren van de uitvoering van het gegevens-, algoritme- en AI-beleid. Dit beleid omvat de volgende classificatie: gegevenstyperingsbeleid, gegevenskwaliteitsbeleid, gegevens- en algoritmegebruiksbeleid en gegevensdelingsbeleid; c. het gevraagd en ongevraagd adviseren van de departementale CIO en het verantwoordelijk lijnmanagement in lijn met het verkregen mandaat en (C)DO’s van dienstonderdelen over gegevens-, algoritme- en AI-vraagstukken in onder andere (voorgenomen) wet- en regelgeving, investeringen, beleids- en uitvoeringstrajecten, informatieprocessen en informatiesystemen, CIO-oordelen en kwaliteitstoetsen; d. het invullen van de randvoorwaarden voor en het onderkennen van de mogelijkheden van waardecreatie als ook het datagedreven werken. Dat houdt onder andere in het ontwikkelen, stimuleren of coördineren van activiteiten en projecten om dit kunnen te realiseren door onder andere te investeren in gegevenscultuur en vaardigheden die nodig zijn om gegevens effectief te begrijpen, interpreteren en te gebruiken; e. het monitoren van de uitvoering van assessments bij de inzet van algoritmes, zoals het Impact Assessment voor Mensenrechten (IAMA) en een AI impactassessment (AIIA) in afstemming of samenwerking met de (C)PO; f. het opstellen van het beleid in diens beleidsgebied (te weten de visie, kaders, indicatoren, strategie en governance) voor het ministerie, de inrichting van het stelsel daarvan binnen het departement en het monitoren van de werking binnen de organisatieonderdelen; g. het monitoren van de toepassing door de organisatie van de kaders op diens beleidsgebied. Het inrichten van een PDCA-cyclus voor de monitoring van de stand van zaken van de naleving van wet- en regelgeving en beleid bij alle organisatieonderdelen op diens beleidsgebied; h. het zoeken van afstemming en samenwerking met de (C)xO’s of specialisten van onder andere de vakgebieden: privacy, gegevens, informatiehuishouding, beveiliging, open source, open standaarden, technologie en duurzame toegankelijkheid en digitale toegankelijkheid; i. het adviseren over en monitoren van de naleving van (internationale) wet- en regelgeving op het betreffende beleidsgebied om bij te dragen aan het realiseren van maatschappelijke opgaven; j. het coördineren van kennisdeling en bewustwording op het betreffende beleidsgebied met daarbij specifiek oog voor het ethische, handelen in lijn met wet- en regelgeving op het betreffende beleidsgebied en het bijdragen aan het vergroten van het noodzakelijke bewustzijn binnen het ministerie of organisatieonderdeel; k. het adviseren van betreffende beleidsgebied-professionals en het management van dienstonderdelen bij disputen en/of conflicterende belangen tussen verschillende dienstonderdelen rondom vraagstukken op het betreffende beleidsgebied; l. het monitoren van de juiste afhandeling en juiste registratie in registers van het betreffende beleidsgebied bij incidenten of regulier gebruik waar dat verplicht of gewenst is; m. het bijdragen aan het opstellen van rijksbreed beleid in samenwerking met de CIO Rijk; n. het gevraagd en ongevraagd adviseren en informeren van de CIO Rijk voor zover dit redelijkerwijs noodzakelijk is; o. het binnen het ministerie coördineren van onderzoeken van de Auditdienst Rijk, Algemene Rekenkamer, Adviescollege ICT-toetsing en eventueel Autoriteit Persoonsgegevens naar het niveau van de naleving van het betreffende beleidsgebied; p. het op verzoek van de CIO bijdragen aan CIO-oordelen en kwaliteitstoetsen. Artikel 11 Bevoegdheden departementale (Chief) Data Officer 1 De (C)DO handelt binnen het mandaat zoals dat is verstrekt door de CIO. 2 De (C)DO kan gevraagd en ongevraagd adviseren over het beleidsgebied van de (C)DO. 3 De (C)DO kan uit hoofde van de departementale CIO informatie opvragen bij (C)xO’s, CIO’s en het verantwoordelijk management van de organisatie (onderdelen) om inzicht te verkrijgen in de stand van zaken met betrekking tot naleving van wet- en regelgeving en beleid binnen het beleidsgebied van de (C)DO. 4 De (C)DO kan de departementale CIO adviseren te escaleren naar secretaris-generaal of minister in het geval van, mogelijk, ernstig nalaten van de naleving van wetgeving, met als doel de inbreuk weg te nemen en schade te beperken. Artikel 12 Taken departementale (Chief) Privacy Officer De departementale (C)PO ressorteert onder de departementale CIO. De CIO kan de departementale (C)PO de volgende taken toewijzen: a. het vertalen van en het bijdragen aan beleid gerelateerd aan de bescherming van privacy en persoonsgegevens; b. het zorgdragen voor het opstellen beheren en monitoren van de uitvoering van het privacy- en persoonsgegevensbeschermingsbeleid; c. het gevraagd en ongevraagd adviseren van de departementale CIO en het verantwoordelijk lijnmanagement en (C)PO’s van dienstonderdelen over verwerking van persoonsgegevens in onder andere (voorgenomen) wet- en regelgeving, investeringen, beleids- en uitvoeringstrajecten, informatieprocessen en informatiesystemen, CIO-oordelen en kwaliteitstoetsen voor zover het niet individuele casuïstiek betreft; d. het monitoren van de uitvoering van Data Protection Impact Assessments (DPIA’
AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.