Raadsmededeling 38-2022 Toezegging dataveiligheid besluitvorming Uitgangspuntennota GGD 2023.pdf

Raadsmededeling openbaar Nummer Datum B&W datum Beh. Ambtenaar Portefeuillehouder Onderwerp

: : : : : :

38-2022 18 februari 2022 T. Broek J.C. Wikkerink Toezegging dataveiligheid GGD en verantwoordelijkheid gemeenteraad – besluitvorming Uitgangspuntennota 2023 GGD NOG

Aanleiding In de oordeelsvormende vergadering van 8 februari jl. bij de behandeling van de Uitgangspuntennota 2023 GGD Noord- en Oost-Gelderland (NOG) is de volgende toezegging gedaan: We gaan bij de GGD na hoe de verantwoordelijkheid van de gemeenteraad is met betrekking tot de risico’s van informatieveiligheid en hoe het zit met de dataveiligheid bij onze eigen GGD. Met deze raadsmededeling wordt hierin inzicht gegeven. Inhoud mededeling Ten aanzien van de dataveiligheid is het volgende te melden: Dataveiligheid is naar voren gekomen als één van de kwetsbaarheden in het kader van de takendiscussie. Een functionaris informatiebeveiliging (Chief Information Security Officer) ontbreekt binnen GGD NOG. De sollicitatieprocedure wordt opgestart in februari 2022. De Functionaris Gegevensbescherming, Kwaliteitsadviseur, Informatiemanager en trainee Gegevensbescherming verzorgen samen met adviseurs informatieveiligheid van Het Service Centrum (HSC) voor bewaking van de lopende zaken. Specifiek voor de COVID-19 systemen zijn er aanvullende maatregelen getroffen door GGD GHOR. KPMG voert momenteel een NEN7510 gap-analyse uit voor meerdere GGD’en, onder meer GGD NOG, GGD HvB, GGD WB, GGD BZO. De oplevering van het actieplan GGD NOG is medio februari 2022. Verder loopt er binnen GGD NOG een awareness campagne voor medewerkers.

De dreiging van Log4J blijft onverminderd hoog, extra waakzaamheid vanwege Boostercampagne, situatie momenteel onder controle, aldus HSC, GGD GHOR en geraadpleegde SaaS-softwareleveranciers. Bestaande risico’s: • Door ontbreken CISO is er geen borging van de PDCA-cyclus.(plan do check act cyclus) • Specifieke risico’s worden beschreven in KPMG rapportage (verwacht medio februari 2022). Ten aanzien van de verantwoordelijkheid van de gemeenteraad is het volgende te melden: Het is lastig om een concreet beeld te geven van de verantwoordelijkheid van de gemeenteraad bij risico’s van informatieveiligheid bij de GGD. Wel kunnen we globaal de verhoudingen schetsen. GGD Noord- en Oost-Gelderland is als verwerkingsverantwoordelijke verantwoordelijk voor de verwerking van de persoonsgegevens in de covidsystemen en andere registraties. De GGD is als gemeenschappelijke regeling een zelfstandige rechtspersoon met eigen verantwoordelijkheden, ook op basis van de Avg. De deelnemende gemeenten zijn echter uiteindelijk wel financieel verantwoordelijk. Van belang bij de covid-bestrijding is dat de GGD’en hier werkt in opdracht van de minister van VWS en dat VWS ook de kosten ervan draagt. Daarbij horen ook de kosten van gegevensverwerking en de verantwoordelijkheid voor eventuele risico’s die hierbij horen.

Zodra er nieuwe ontwikkelingen zijn, wordt de raad hierover geïnformeerd met een raadsmededeling.