Raadsinformatiebrief Collegeverklaring ENSIA 2020 (DigiD, Suwinet, BAG, BGT en BRO).pdf

Raadsinformatiebrief Onderwerp

: Collegeverklaring ENSIA 2020 (DigiD, Suwinet, BAG, BGT en BRO).

Aanleiding

: ENSIA verantwoordingsjaar 2020

Datum

: 31 maart 2021

Portefeuillehouder

: P.J. Verheij

Schrijver

: Mariëlle Passchier en Ivette Krajenbrink

Geachte leden van de gemeenteraad, U ontvangt deze raadsinformatiebrief om u te informeren over de uitkomsten van de ENSIA 2020. Aanleiding In november 2013 hebben de Nederlandse gemeenten de resolutie 'informatieveiligheid, randvoorwaarde voor de professionele gemeente' aangenomen. Hieruit is ENSIA voortgekomen en in 2017 ingevoerd. ENSIA staat voor Eenduidige Normatiek Single Information Audit en betekent eenmalige informatieverstrekking en eenmalige IT-audit. Het doel van de ENSIA is het ontwikkelen en implementeren van een zo effectief en efficiënt mogelijk ingericht verantwoordingsstelsel voor informatieveiligheid, dat is gebaseerd op de Baseline Informatiebeveiliging Overheid (BIO). Ook dit jaar is de ENSIA verantwoording over 2020 uitgevoerd. Hiermee kan met één verklaring zowel horizontaal (van het college naar de raad) als verticaal (van het college naar de landelijke toezichthouders) verantwoording worden afgelegd. Wat omvat de ENSIA verantwoording? ENSIA helpt gemeenten om in één keer verantwoording af te leggen over informatieveiligheid.

Het gaat hierbij om de verantwoording die uw college aflegt over de Basisregistratie Personen (BRP), Paspoortuitvoeringsregeling (PUN), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT) en de Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet). Over deze onderdelen wordt met een zelfevaluatie (vanuit de ENSIA-tool) per onderdeel een rapportage gemaakt. De deadline voor het indienen van de vragenlijsten van de zelfevaluatie in 2020 was op 31 december 2020. Alle vragenlijsten zijn tijdig ingediend door de gemeente Alblasserdam. Te verstrekken informatie Collegeverklaring ENSIA 2020 Via een collegeverklaring wordt jaarlijks verantwoording afgelegd over Suwinet en DigiD. De gemeente moet zich in het kader van haar opdrachtgeverschap verantwoorden over de uitvoering. In de collegeverklaring verklaart het college dat de gemeente Alblasserdam op 31 december 2020 in opzet (inrichting en beschrijving) en bestaan (implementatie) voldoet aan de beheersingsmaatregelen die nodig zijn voor de informatieveiligheid. De collegeverklaring is opgesteld naar aanleiding van de zelfevaluatie. De bevindingen zijn in een preaudit en definitieve audit getoetst door een onafhankelijke IT-auditor. Op basis van bewijsstukken heeft de auditor zich een oordeel kunnen vormen.

En op basis van de vastgestelde collegeverklaring heeft de auditor een assurancerapport opgesteld. In de collegeverklaring is opgenomen dat op 31 december 2020 grotendeels aan alle normen is voldaan. Aan een aantal normen is niet voldaan. Er zijn bevindingen geconstateerd bij de Sociale Dienst Drechtsteden (SDD) en Centric (ICT-leverancier DigiD).

Bevindingen Sociale Dienst Drechtsteden (SDD) In november 2020 bleek dat (in tegenstelling tot 2019) er bij de Sociale Dienst Drechtsteden gebruik wordt gemaakt van Suwinet DKD-inlezen. Dit valt niet onder de TPM SDD, maar wel onder de verantwoording in de collegeverklaring. De nieuwe aansluitingen konden pas in februari 2021 worden beoordeeld (zonder pre-audit), maar de processen waren nog niet allemaal ingericht. Dit verklaart het aantal normen "voldoet niet". De SDD voldoet in principe aan alle ICT-beveiligingsnormen, maar de processen moeten officieel vastgelegd worden. De SDD heeft de nog te nemen verbeterpunten opgenomen in een plan van aanpak. Vanuit de gemeente Alblasserdam, maar ook vanuit de andere Drechtsteden gemeenten, zal de stand van zaken gedurende het jaar gemonitord worden, zodat volgend jaar wel voldaan wordt aan de normen. DigiD Centric voldoet niet aan alle normen Centric is onze ICT-leverancier van DigiD en voldoet landelijk niet aan de norm U/PW.03 (configureren van de webserver). Deze norm heeft er betrekking op of de webserver is ingericht volgens een configuratie-baseline. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen. De zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier valt. De overige normen worden afgedekt door de TPM/assurancerapportage van Centric.

Organisaties zijn verplicht om aan te geven in de collegeverklaring dat Centric niet voldoet aan deze norm, omdat deze verklaring ook voor de verantwoording naar de toezichthouder is. Centric gaat hier in 2021 mee aan de slag, zodat zij hier tijdens de audit in 2022 wel aan voldoen. Samenvattend Er zijn verbeterplannen opgesteld om aan de normen te voldoen, acties zijn belegd en worden gemonitord. De bevindingen hebben geen consequentie voor het Suwinet DKD-inlezen of onze DigiD aansluiting. De DigiD aansluiting blijft in 2021 actief. Ondanks dat niet voldaan is aan alle normen inzake DigiD en Suwinet heeft de auditor aangegeven dat de gemeente Alblasserdam voldoet aan de geselecteerde normen inzake DigiD en Suwinet. Uitkomsten BAG, BGT en BOR Alblasserdam scoort een voldoende op Basisregistratie Adressen en Gebouwen (BAG). Voor de zelfevaluatie BAG is getoetst op de onderdelen borging, actualiteit, volledigheid en juistheid. Uit de zelfevaluatie blijkt dat de gemeente Alblasserdam een totaalscore van 80% heeft behaald. De minimale norm bedraagt 75%. Uit de rapportage komen verdere maatregelen naar voren om dit kwaliteitsniveau te verbeteren. Het onderdeel actualiteit is onvoldoende met 22%. Dit onderdeel geeft inzicht of mutaties binnen de BAG binnen de daartoe verplichte termijn worden doorgevoerd.

De gemeente Alblasserdam heeft de werkzaamheden vanuit de wet Basisregistraties Adressen een Gebouwen (wet BAG) uitbesteed aan Samenwerkingsverband Vastgoedinformatie Heffingen en Waardebepaling (SVHW). De lage score op actualiteit is onder meer te verklaren door ICT technische problemen bij de SVHW. Zij gaan aan de slag met een nieuwe applicatie en hebben budget en mankracht vrij gemaakt om dit als gerichte kwaliteitsactie op te pakken. Het resultaat hiervan was in 2020 nog niet zichtbaar. De procedure is aangepast, zodat nieuwe gevallen gemonitord worden en binnen de termijn worden opgepakt en afgehandeld. Voor de heffing en invordering van de waterschapsbelastingen en de verschillende gemeentelijke belastingen heeft dit geen problemen gegeven, het betreft vooral processen die verbeterd moeten worden. Alblasserdam scoort een voldoende op Basisregistratie Grootschalige Topografie (BGT). Voor de zelfevaluatie BGT is getoetst op de onderdelen borging, actualiteit, volledigheid en juistheid. Uit de zelfevaluatie blijkt dat de gemeente Alblasserdam een totaalscore van 93% heeft behaald. De minimale norm bedraagt 75%. Op de onderdelen borging, actualiteit en volledigheid is een score van 100% behaald. De score op juistheid is 67%. Om de score op juistheid te verhogen voert de gemeente Alblasserdam ook dit jaar weer een fotoanalyse uit.

Daarnaast is onlangs het automatische berichtenverkeer tussen BOR (Beheer Openbare Ruimte) en de BGT gerealiseerd.

Door de jaarlijkse fotoanalyse worden mutaties opgespoord, die vanuit het veld niet te zien zijn en mutaties die niet bekend waren. Door het aanzetten van het automatische berichtenverkeer worden mutaties in het beheersysteem automatisch doorgevoerd in de BGT (en omgekeerd). Hierdoor wordt een verbetering doorgevoerd op juistheid. Alblasserdam scoort onder de norm voor Basisregistratie Ondergrond (BRO) Voor de zelfevaluatie is getoetst op de onderdelen borging, actualiteit, volledigheid en juistheid. Ook in 2018 en 2019 scoorde de gemeente Alblasserdam onvoldoende op de BRO. Alblasserdam scoorde toen 45 punten van de 120. In 2020 scoort Alblasserdam 65 punten van de 120. Er is dus wel vooruitgang geboekt, maar niet voldoende. Uit de zelfevaluatie blijkt dat de gemeente Alblasserdam een totaalscore van 54% heeft behaald. De minimale norm bedraagt 60%. Daarmee scoort de gemeente Alblasserdam nog steeds onder de norm. In 2019 was al geconstateerd dat Alblasserdam een capaciteitstekort heeft op het vlak van de BRO. Er is vervolgens gekeken of Omgevingsdienst Zuid-Holland Zuid (OZHZ) deze taken kon uitvoeren voor Alblasserdam en overige regiogemeente. Dit traject was tijdsintensief. Pas in november 2020 heeft OZHZ een offerte uitgebracht voor het uitvoeren van de BRO-werkzaamheden, waardoor OZHZ met ingang van 2021 invulling zal geven aan de BRO-werkzaamheden voor Alblasserdam.

Er is in 2020 dan ook beperkte vooruitgang geboekt, omdat in 2020 vooral de aandacht is gevestigd op de overdracht naar OZHZ. Met het overhevelen van de BRO naar OZHZ, wordt er een kwaliteitsslag gemaakt op de onderdelen van de BRO. Hierop wordt gedurende het jaar ook gemonitord. Financiën Er zijn geen financiële consequenties. De kosten die gemoeid zijn met ENSIA en de benodigde maatregelen worden gedekt vanuit de reguliere exploitatiebudgetten. Opgemerkt moet worden dat de inspanningen die nodig zijn om de jaarlijkse ENSIA verantwoording te realiseren veel tijd vraagt van de diverse betrokken medewerkers van de gemeenten en die van de GRD-onderdelen. Met vriendelijke groet, burgemeester en wethouders,

de secretaris S. van Heeren

de burgemeester J.G.A. Paans