Rolverduidelijking beveiligingsfunctionaris reisdocumenten
De Paspoortuitvoeringsregeling Nederland (PUN) beschrijft op hoofdlijnen de taken en verantwoordelijkheden van de beveiligingsfunctionaris reisdocumenten. Hieronder verduidelijkt de Rijkdienst voor Identiteitsgegevens (RvIG) de rol van deze functionaris.
Wat doet de beveiligingsfunctionaris reisdocumenten?
Een BFR is verantwoordelijk voor het beheer van en het toezicht op de naleving van beveiligingsprocedures bij de aanvraag en uitgifte van paspoorten en identiteitskaarten. Concreet gaat het om toezicht op:
- het uitvoeren van identiteitscontrole in het aanvraag- en uitgifteproces;
- het uitvoeren van de voorgeschreven functiescheiding;
- dossiervorming en het bewaren van dossiers;
- certificering en/of opleidingen van medewerkers;
- bewustwording integriteit;
- het onboarden van nieuw personeel.
Het werk van de BFR bestaat uit een jaarlijkse cyclus van plannen, doen, controleren en aanpassen (plan-do-check-act-cyclus). Zo borgt de BFR dat een gemeente het hele jaar door scherp blijft op kwetsbaarheden in het aanvraag- en uitgifteproces. En op of dat wat op papier staat ook in de praktijk wordt nageleefd.
Taken en verantwoordelijkheden
De taken en verantwoordelijkheden van de BFR zijn gebaseerd op de PUN en de onderwerpen in de vragenlijst zelfevaluatie reisdocumenten. Gemeenten zijn vrij om extra taken toe te voegen. Het is aan de burgemeester om alle taken vast te leggen in een functieomschrijving. Op de BES-eilanden gebeurt dit door de gezaghebber.
De belangrijkste taken zijn:
- De BFR stelt een beveiligingsprocedure op voor de aanvraag- en uitgifte van reisdocumenten, inclusief een beheerregeling en beveiligingsplan.
- De BFR laat dit beveiligingsplan en de procedures vervolgens vaststellen door de burgemeester.
- De BFR is belast met het beheer van en het toezicht op de naleving van de beveiligingsprocedures en de zorg voor het actualiseren van de administratie die daarmee samenhangt.
- Gedurende het jaar toetst de BFR of de beveiligingsprocedures in de praktijk werken. Denk aan controle op het toepassen van functiescheiding, het afsluiten van de kluis en geen reisdocumenten op onbemande werkplekken. Hiervoor zijn aangekondigde en onaangekondigde controles en steekproeven een goed instrument. Zie ook ‘schouw op de werkvloer’
- De BFR houdt rekening met de toepassing en uitvoering van gewijzigde of nieuwe wetten en regels.
- De BFR adviseert bestuur en management over maatregelen die de kwaliteit van de Nederlandse reisdocumenten en systemen fraudebestendiger maakt. Bijvoorbeeld door de bevindingen die de BFR heeft gedaan tijdens een schouw op de werkvloer.
- De BFR controleert ieder jaar of het beveiligingsplan moet worden aangepast. Bijvoorbeeld op basis van de uitkomst van de vragenlijst zelfevaluatie reisdocumenten en/of door tussentijdse verbeteringen of wijzigingen in het aanvraag en uitgifteproces.
- De BFR legt hiervoor rechtstreeks verantwoording af aan de burgemeester of gezaghebber en laat het beveiligingsplan voor komend jaar door hen vaststellen.
Onafhankelijke positie binnen de gemeente
De BFR moet effectief toezicht kunnen houden op het werk van collega’s bij de aanvraag en uitgifte van reisdocumenten kunnen. In de praktijk zien we dat een medewerker naast de rol van BFR vaak ook een andere functie heeft binnen de gemeente. Dat hoeft geen probleem te zijn, zolang de BFR maar onafhankelijk is en dus niet de eigen afdeling controleert. Daarom gelden er twee belangrijke voorwaarden:
- Een BFR mag zelf niet betrokken zijn bij de aanvraag en uitgifte van reisdocumenten. Ook niet als leidinggevende. Ook valt een BFR bij voorkeur niet hiërarchisch onder dezelfde leidinggevende als de Chief Information Security Officer (CISO) of de leidinggevende bij Burgerzaken.
- Om de taak goed uit te kunnen oefenen is voldoende kennis van het reisdocumentenproces noodzakelijk.
Veelgestelde vragen
Hoe wordt een BFR aangesteld?
De burgemeester wijst de BFR voor zijn of haar gemeente aan, minimaal één per uitgiftelocatie. Op de BES-eilanden gebeurt dit door de gezaghebber. Een aanstelling is officieel zodra de BFR is aangemeld bij RvIG via het B5-formulier.
Bij wie kan de rol van BFR worden belegd?
Gemeenten kunnen de rol van BFR beleggen bij een medewerker van een afdeling die niet is betrokken bij het reisdocumentenproces. Bijvoorbeeld een controller, die al toezichts- en controletaken heeft. Een BFR hoeft niet noodzakelijkerwijs uit de eigen organisatie te komen. Gemeenten kunnen de functie bijvoorbeeld uitbesteden aan een externe adviseur. Of aan een medewerker van een andere gemeente.
Kan de rol van BFR ook bij de CISO worden belegd?
Welke maatregelen moet de BFR in een beveiligingsplan voor reisdocumenten vastleggen?
In een beveiligingsplan zijn tenminste de volgende maatregelen vastgelegd:
- de ontvangst, het (intern) transport, de bewaring en de controle op de voorraad paspoorten en identiteitskaarten;
- correcte registratie en behandeling van ingehouden reisdocumenten en eventuele vernietiging daarvan;
- apparatuur en programmatuur inclusief beveiligingsupdates daarvan;
- gebruik en de opslag van back-up tapes en opstartmedia;
- de fysieke en organisatorische beveiliging van het aanvraagsysteem reisdocumenten en voorraad, onder meer gericht op het voorkomen van onbevoegde toegang of gebruik van gegevens die in het systeem of tot het systeem behorende opslagmedia zijn opgenomen;
- de functiescheiding tussen de betrokken medewerkers voor het aanvraag- en uitgifteproces van de reisdocumenten;
- optioneel: het schriftelijk vastleggen van de reden waarom tijdelijk niet aan de eis van functiescheiding kan worden voldaan. Inclusief de periode waarin niet aan de eis van functiescheiding wordt voldaan en de namen van de personen die in de bedoelde periode zijn belast met de aanvraag, de verstrekking, het beheer en de uitreiking van de reisdocumenten. Zie ook de instructie op het C17-formulier;
- het niet mogen verrichten van andere handelingen die met de uitvoering van de paspoortwet te maken hebben door de beveiligingsfunctionaris reisdocumenten.