Om van start te gaan met de implementatie van het besluit Voorschrift Informatiebeveiliging Rijksdienst Bijzondere Informatie 2025 (VIRBI 2025) is het handig om een kort en bondig plan van aanpak op te stellen. Deze stappen helpen je hierbij en zijn gebaseerd op de 7 aspecten:
- Doel, scope en aanpak.
- Governance en samenwerking.
- Te Beschermen Belangen (TBB) in beeld brengen.
- Risicoanalyse op TBB.
- Maatregelen en bouwarchitectuur implementeren.
- PDCA-cyclus (Plan, Do, Check, Act).
- Rubriceer.
Of bekijk de samenvatting van het plan van aanpak. Dit stappenplan is een hulpmiddel, geen verplicht kader.
1. Bepaal het doel, de scope en de aanpak
Begin met het bepalen van het doel, de scope en de aanpak. Denk aan:
- Doelstelling van de implementatie.
- Projectstructuur en globale planning.
- Stuurgroep en opdrachtgeverschap.
- Vaststellen van beleid en uitgangspunten.
Het resultaat van deze stap is een duidelijke implementatie-aanpak en bestuurlijke sturing en draagvlak.
2. Governance en samenwerking
Governance en samenwerking zijn essentiële voorwaarden voor een effectieve implementatie van het VIRBI 2025. Dit maakt het mogelijk om op een gestructureerde en beheerste wijze het gewenste betrouwbaarheidsniveau voor de verwerking van gerubriceerde informatie te realiseren. Wat organiseer je hiervoor?
- Three lines of defense.
- Rollen, taken en verantwoordelijkheden.
- RASCI-tabel (Responsible, Accountable, Supporting, Consulted en Informed).
- Overlegstructuren.
- Rapportagelijnen.
- Gebruik het gereedschap uit de gereedschapskist.
- Samenwerking tussen CISO, BVA, proceseigenaren, IV/ICT, securityarchitect, privacy/functioneel beheer en audit/compliance.
De resultaten van deze stap zijn: heldere verantwoordelijkheden en structurele samenwerking en besluitvorming.
3. Breng Te Beschermen Belangen (TBB) in kaart
Het is belangrijk om de Te Beschermen Belangen (TBB) te identificeren en te analyseren. Zo kunnen passende maatregelen worden getroffen om deze effectief en risicogestuurd te beschermen. Wat organiseer je daarvoor:
- Inventarisatie van TBB.
- Start bij kritieke processen.
- Gebruik het gereedschap uit de gereedschapskist.
- Vaststellen van gevoelige informatie, kritieke processen en systemen, afhankelijkheden, ketens en externe partijen.
Hierdoor krijg je inzicht in wat beschermd moet worden en zorg je voor een prioritering van kritieke belangen.
4. Voer risicoanalyse uit op Te Beschermen Belangen (TBB)
Het uitvoeren van een risicoanalyse op Te Beschermen Belangen (TBB) is belangrijk om inzicht te krijgen in dreigingen, kwetsbaarheden en risico’s. Om er zo voor te zorgen dat gerichte en proportionele beveiligingsmaatregelen kunnen worden genomen. De volgende aspecten zijn hiervoor nodig:
- Analyse van dreigingen en kwetsbaarheden.
- Kans x impact-beoordeling.
- Risicoclassificatie.
- Prioritering van risico’s.
- Risicobehandelplan.
- Vastlegging van restrisico’s.
- Gebruik het gereedschap uit de gereedschapskist.
Met deze stap krijg je inzicht in belangrijke risico’s en kun je benodigde maatregelen onderbouwen.
5. Implementeer maatregelen en bouwarchitectuur
Het is belangrijk om een samenhangende set van maatregelen te nemen, zodat organisatorische, technische, fysieke en procedurele beveiligingsmaatregelen elkaar versterken. En gezamenlijk bijdragen aan een effectief en beheerst beveiligingsniveau. Dit organiseer je daarvoor:
- Overzicht van alle maatregelen.
- Samenhang tussen organisatorische, technische, fysieke en procedurele maatregelen.
- Eigenaarschap per maatregel.
- Roadmap en planning.
- Securityarchitectuur.
- Logging, monitoring en toegangsbeveiliging.
- Need-to-know-principe.
- Awareness en opleidingen.
- Gebruik het gereedschap uit de gereedschapskist.
Hierbij betrek je een securityarchitect, CISO/BVA, ICT-architect en beheer. Met deze stap wil je zorgen voor een samenhangend stelsel van beveiligingsmaatregelen en een duurzaam beveiligingsontwerp.
6. Richt PDCA-cyclus (Plan, Do, Check, Act) en tactisch team in
Met het organiseren van een PDCA-cyclus (Plan, Do, Check, Act) kun je de effectiviteit van beveiligingsmaatregelen periodiek toetsen, tijdig bijsturen en de beveiliging structureel blijven verbeteren en borgen. Deze stap omvat de volgende aspecten:
- Periodieke controles.
- KPI’s en managementrapportages.
- Audits en evaluaties.
- Tactisch overleg/team.
- Escalatieproces.
- Continue verbetering.
- Actualisatie van risico’s en maatregelen.
- Gebruik de PDCA-checklist uit de gereedschapskist.
Zo zorg je voor continue borging en verbetering en ben je aantoonbaar ‘in control’.
7. Rubriceer
Rubriceren is van belang om vast te stellen welke mate van vertrouwelijkheid bescherming vereist, zodat passende beveiligingsmaatregelen kunnen worden toegepast op gerubriceerde informatie. Dit heb je hiervoor nodig:
- Gebruik van het rubriceringsbesluit van je eigen organisatie.
- Toepassing van de handreiking in de gereedschapskist.
- Hanteer een uniforme werkwijze voor rubriceren.
- Aansluiting op processen en informatiestromen.
- Bewustwording en instructie voor medewerkers.
Hierdoor kun je op een eenduidige manier informatie rubriceren en is er (meer) duidelijkheid over vertrouwelijkheidseisen.
Samenvatting plan van aanpak
Hierbij in het kort de onderwerpen die je minimaal in het plan van aanpak kunt opnemen:
- Doel en scope, gaat over wat en waarom.
- Governance, gaat over rollen, overleg en verantwoordelijkheden.
- TBB, gaat over wat er beschermd moet worden.
- Rubriceren, gaat over vertrouwelijkheid en bescherming.
- Risicoanalyse, gaat over de belangrijkste risico’s.
- Maatregelen, gaat over wat er wordt ingevoerd.
- Planning, gaat over het stellen van prioriteiten en het maken van een roadmap.
- Architectuur, gaat over de samenhang en het ontwerp.
- Borging, gaat over PDCA, audits en monitoring.
Beschrijf in het plan van aanpak niet alleen losse maatregelen, maar vooral de samenhang, prioriteiten, verantwoordelijkheden, afhankelijkheden en borging van de maatregelen. Juist die integraliteit maakt aantoonbaar dat de organisatie beheerst en risicogestuurd werkt conform het VIRBI 2025.
Vragen of opmerkingen
Heb je een vraag of opmerking over de implementatie of dit stappenplan? Stuur dan een mail naar CISORijk@minbzk.nl.
Dit gereedschap is tot stand gekomen met een brede werkgroep en maakt deel uit van de gereedschapskist ter ondersteuning van implementatie van het VIRBI 2025. De BVA Rijk en de CISO Rijk zijn sponsoren van deze gereedschapskist.
Versie stappenplan: 12 mei 2026
