Rolverduidelijking beveiligingsfunctionaris reisdocumenten

Elke gemeente is wettelijk verplicht om een beveiligingsfunctionaris reisdocumenten aan te stellen. De beveiligingsfunctionaris reisdocumenten is verantwoordelijk voor het beheer van en het toezicht op de naleving van beveiligingsprocedures bij de aanvraag en uitgifte van paspoorten en identiteitskaarten (art. 93 lid 8 PUN). De aanstelling gebeurt door de burgemeester of - in het geval van de BES-eilanden Bonaire, Sint-Eustatius en Saba - een gezaghebber, aan wie de functionaris rechtstreeks verantwoording aflegt. De aanwijzing of de vervanging van de beveiligingsfunctionaris wordt met een B5-formulier aan RvIG gemeld.

De taken en verantwoordelijkheden van de beveiligingsfunctionaris reisdocumenten worden vastgelegd in een functieomschrijving. De burgemeester of de gezaghebber moet ervoor zorgen dat de beveiligingsfunctionaris in staat is alle handelingen te verrichten die uit zijn taak voortvloeien. De beveiligingsfunctionaris is rechtstreeks verantwoording verschuldigd aan de burgemeester of de gezaghebber. Deze verantwoording kan bestaan uit de jaarlijkse rapportage van de zelfevaluatie reisdocumenten, maar ook uit tussentijdse rapportages die een instantie zelf heeft bepaald.

Positionering

De rol van beveiligingsfunctionaris reisdocumenten kan op verschillende manieren belegd worden door de burgemeester of gezaghebber. Er zijn wel voorwaarden aan verbonden:

• De beveiligingsfunctionaris reisdocumenten mag zelf niet betrokken zijn bij de aanvraag en uitgifte van reisdocumenten, ook niet als leidinggevende.
• Om de taak goed uit te kunnen oefenen is voldoende kennis van het reisdocumentenproces noodzakelijk.

De onafhankelijkheid van de beveiligingsfunctionaris reisdocumenten is belangrijk, maar kan de positionering lastig maken. Soms wordt de beveiligingsfunctie belegd bij de Chief Information Security Officer (CISO). Die heeft immers al een toezichthoudende taak, zij het dat die zich vooral richt op ICT-beveiliging. Maar de functie van CISO laat meestal (te) weinig ruimte om de taken van een beveiligingsfunctionaris goed te kunnen uitvoeren. Je kunt de functie ook beleggen bij een medewerker van een afdeling die niet is betrokken bij het reisdocumentenproces. Bijvoorbeeld bij een controller, die al toezichts- en controletaken heeft. Maar een beveiligingsfunctionaris hoeft niet noodzakelijkerwijs uit de eigen organisatie te komen. Gemeenten kunnen de functie bijvoorbeeld uitbesteden aan een externe adviseur. Of aan een medewerker van een andere gemeente.

Taken en verantwoordelijkheden

De taken van de beveiligingsfunctionaris reisdocumenten zijn gebaseerd op onder meer de PUN en de onderwerpen in de vragenlijst zelfevaluatie reisdocumenten. Gemeenten zijn vrij om extra taken toe te voegen.

De beveiligingsfunctionaris reisdocumenten heeft de volgende taken:

• is belast met het beheer van en het toezicht op de naleving van de beveiligingsprocedures en de zorg voor een actuele administratie en bijhouding daarvan;
• laat jaarlijks het beveiligingsplan en procedures vaststellen door de burgemeester;
• toetst de beveiligingsprocedures door fysieke controles op verschillende momenten per jaar;
• legt rechtstreeks verantwoording af aan de burgemeester of gezaghebber;
• adviseert bestuur en management over maatregelen die de kwaliteit van de reisdocumenten, Nederlandse identiteitskaarten en systemen garandeert;
• houdt rekening met de toepassing en uitvoering van (nieuwe) wet- en regelgeving;
• heeft geen uitvoerende taken op het gebied van processen m.b.t. reisdocumenten en Nederlandse identiteitskaarten om de onafhankelijke positie te garanderen;
• zorgt voor een beveiligingsprocedure, beheerregeling en beveiligingsplan opstellen;
• kan het beveiligingsplan aanpassen bijvoorbeeld door de uitkomst van de vragenlijst zelfevaluatie reisdocumenten.

Vastlegging in beveiligingsprocedures

Elke gemeente moet op schrift gestelde beveiligingsprocedures hebben (art. 93 lid 1 Paspoortuitvoeringsregeling Nederland 2001/PUN). De beveiligingsfunctionaris reisdocumenten beheert deze procedures en draagt hier zorg voor. Voor het opstellen en evalueren van de beveiligingsprocedures kan gebruik gemaakt worden van de vragenlijst zelfevaluatie reisdocumenten. In de beveiligingsprocedures zijn tenminste de volgende maatregelen vastgelegd:

• de ontvangst, het (intern) transport, de bewaring en de controle op de voorraad paspoorten en identiteitskaarten;
• correcte registratie en behandeling van ingehouden reisdocumenten en evt. vernietiging daarvan;
• apparatuur en programmatuur inclusief beveiligingsupdates daarvan;
• gebruik en de opslag van back-up tapes en opstartmedia;
• de fysieke en organisatorische beveiliging van het aanvraagsysteem reisdocumenten en voorraad, onder meer gericht op het voorkomen van onbevoegde toegang of gebruik van gegevens die in het systeem of tot het systeem behorende opslagmedia zijn opgenomen;
• de functiescheiding tussen de betrokken medewerkers voor het aanvraag- en uitgifteproces van de reisdocumenten; 
• optioneel: het schriftelijke vastleggen van de reden waarom tijdelijk niet aan de eis van functiescheiding kan worden voldaan, de periode waarin niet aan de eis van functiescheiding wordt voldaan en de namen van de personen die in de bedoelde periode zijn belast met de aanvraag, de verstrekking, het beheer en de uitreiking van de reisdocumenten;
• het niet mogen verrichten van andere handelingen die met de uitvoering van de paspoortwet te maken hebben door de beveiligingsfunctionaris reisdocumenten.

De beveiligingsprocedures worden jaarlijks geëvalueerd en zo nodig aangepast. Afwijkingen van de beveiligingsvoorschriften worden schriftelijk vastgelegd en ten minste vijf jaren naast de beveiligingsprocedures bewaard.

Toezicht op beveiligingsprocedures

De beveiligingsfunctionaris reisdocumenten houdt toezicht op de uitvoering van beveiligingsprocedures. Het gaat om toezicht op:

• uitvoering van identiteitscontrole in het aanvraag- en uitgifteproces;
• uitvoering van voorgeschreven functiescheiding; • dossiervorming en bewaring daarvan;
• certificering en/of opleidingen;
• bewustwording integriteit;
• onboarding nieuw personeel.

Voor het toetsen van de werking van de beveiligingsprocedures zijn tussentijdse (onaangekondigde) controles en steekproeven een geschikt instrument.