Kritieke processen bij steden en gemeenten

We vertrokken van reeds beschikbare informatie en vulde die aan met proceslijsten van lokale besturen. Via deskstudie zijn verschillende bronnen gebundeld en is een voorstel van structuur uitgewerkt. Een eerste versie van de inventaris met bijhorende structuur is voorgelegd aan lokale besturen via werksessies.

De structuur bestaat uit 4 niveaus. Die kan mogelijk nog evolueren doorheen de tijd, net zoals de inventaris zelf.

Niveau 1: categorieën

• Managementprocessen: processen die zich richten op het sturen, organiseren of controleren van de organisatie en haar activiteiten
• Ondersteunende processen: processen die essentiële ondersteuning aan de management- en kernprocessen
• Kernprocessen: processen die rechtstreeks gelinkt zijn aan de missie van de organisatie en het bieden van diensten of producten

Niveau 2: procesdomeinen

Procesdomeinen zijn een geheel van procesgroepen waar gelijkaardige kennis, competenties en/of vaardigheden voor nodig zijn.

Niveau 3: procesgroepen

Procesgroepen zijn een thematische bundeling van processen met gelijksoortige producten en diensten als output.

Niveau 4: hoofdprocessen

Hoofdprocessen zijn individuele processen die rechtstreeks tot één specifieke dienst of eindproduct leiden, met telkens een eindgebruiker.

Vanuit de inventaris van processen zijn vervolgens de kritieke processen geselecteerd. Hiervoor zijn opnieuw verschillende bronnen geraadpleegd, zoals de NIS2 wetgeving met de bijlagen, het CyberFundamentals framework en ander referentiemateriaal in kader van risicobeheer en continuïteitsmanagement. Op basis daarvan is eerst een definitie met selectiecriteria opgemaakt. Daarnaast is beslissingsboom ontwikkeld om de definitie toe te passen op de inventaris en de impact van processen te beoordelen.

Voor de beoordeling werden volgende stappen gevolgd:

• Stap 1: Valt de procesgroep onder te brengen onder de kritische activiteiten zoals gedefinieerd per NIS2?
• Stap 2: Wat is de impact van de onbeschikbaarheid, het lekken of het incorrect zijn van informatie uit de projectgroep?
• Stap 3: Wat is de impact van de onbeschikbaarheid, het lekken of het incorrect zijn van informatie uit het proces?

Voorbeeld volgens het proces ‘beheren van busstations (incl. haltes)’

We gaan eerst na tot welke procesdomein en -groep het proces hoort. In dit voorbeeld; categorie: kernproces; procesdomein: mobiliteit, procesgroep: beheer van (openbaar) vervoer. Vervolgens passen we de stappen uit de beslissingsboom toe.

In dit voorbeeld:

• STAP1 = beheer van openbaar vervoer valt voor NIS2 onder een kritieke sector ‘vervoer -weg’.
• STAP 2 kan dus worden overgeslagen.
• STAP 3 = beoordelen van impact op procesniveau voor de 5 categorieën.

De beoordeling ziet er uit als volgt:

• Financiële schade: groot
• Impact op imago: gemiddeld
• Juridische implicaties: groot
• Dienstverlening: groot
• Belanghebbenden: groot

Conclusie

Voor geen van de categorieën wordt de impact als kritiek inschat. Het proces is niet kritiek.

Voor alle processen in de inventaris is samen met lokale besturen een beoordeling gemaakt. Van de volledige lijst met meer dan 500 processen zijn er finaal een 150-tal kritiek.

De inventaris van processen is publiek beschikbaar in Open Proces Huis.

De volledige inschatting per proces is niet publiek raadpleegbaar. Wil je het volledige resultaat, inclusief de lijst met kritieke processen bekomen? Stuur dan een mailtje naar de helpdesk.(opent in uw e-mail applicatie)

Op basis van de inventaris zijn een 40-tal kritieke processen geselecteerd en geclusterd per thema. Voor iedere cluster organiseerden we twee fysieke werksessies, waar we samen met inhoudelijke kenners bij lokale besturen en onder professionele begeleiding aan de slag gaan. De eerste werksessie focusten op het in kaart brengen van het proces, de tweede op het bepalen van de informatieklasse.

De blauwdrukprocessen zijn beschikbaar in Open Proces Huis. De blauwdrukprocessen kunnen dienen als basis, waarbij elk lokaal bestuur het proces verder kan verfijnen en afstemmen op de eigen organisatorische afspraken, interne rollen en gebruikte tools.

Ieder blauwdrukproces bevat telkens:

• een algemene beschrijving
• een verwijzing naar de procesinventaris
• een volledig procesdiagram
• een informatieclassificatie voor het proces en achterliggende informatie-assets
• alle relevante bijlagen