Rekenkameronderzoek digitale veiligheid

Deelvragen 1. Welke van de tien actielijnen uit de VNG-agenda digitale veiligheid zijn reeds opgepakt? Hoe zijn deze uitgewerkt en uitgevoerd? Welke resultaten/ effecten zijn bekend? Antw. Alle tien actielijnen uit de VNG-agenda worden in het beleid van Alkmaar geadresseerd. 2. Welke rollen hebben Raad, College en Burgemeester bij het verder ontwikkelen en in uitvoering brengen van de digitale veiligheidsagenda? Hoe zijn deze beschreven en geïmplementeerd? Antw. De ‘governance’ van het beleid met betrekking tot digitale veiligheid in de gemeente Alkmaar is tot in detail uitgewerkt. In dat verband zijn de rollen van het college en de burgemeester beschreven. De rol van de raad komt slechts in algemene termen aan de orde, maar het beleid vraagt op zichzelf niet om een uitgebreide uitwerking van de rol van de raad. 3. Op welke manier zijn bestuurders (Raad, College, Burgemeester) op het moment van het onderzoek betrokken bij het tot uitvoering brengen van de digitale veiligheidsagenda? In hoeverre zijn ze geïnformeerd? Welk belang hechten zij eraan? Op welke wijze implementeren zij onderdelen van de agenda in beleid en sturing Antw. College en burgemeester geven conform de uitgangspunten van het beleid invulling aan hun verantwoordelijkheden. Zij worden daarover voldoende geïnformeerd. Zij erkennen het belang van het beleid en geven sturing aan de implementatie. 4.

Op welke manier zijn ambtenaren op dit moment betrokken bij de digitale veiligheidsagenda? In hoeverre zijn ze geïnformeerd? Welk belang hechten zij eraan? Is hun werkwijze ervan doordrongen? Antw. In lijn met de uitgangspunten en de sturing op de implementatie van het beleid vanuit het college zijn ambtenaren actief met het versterken van de digitale veiligheid van de gemeente Alkmaar. Voor het gros van de betrokken ambtenaren geldt dat zij in algemene zin invulling geven aan de digitale veiligheid, zonder daarbij expliciet de actielijnen van de digitale veiligheidsagenda als uitgangspunt te nemen. Niet in alle situaties in de praktijk zijn ambtenaren ‘doordrongen’ van het belang van digitale veiligheid.

De beantwoording van deze vragen geeft een overwegend positieve indruk van het beleid van de gemeente Alkmaar. De nuance daarbij is wel dat in de uitvoeringspraktijk verschillende tekortkomingen zijn gebleken zoals de stapeling van verantwoordelijkheden bij een beperkt aantal functionarissen.

Zoals aangegeven in het eerste hoofdstuk is bij aanvang van het onderzoek een referentiekader opgesteld om zo meer gestructureerd zicht te krijgen op de bevindingen. Toepassing van dit referentiekader leidt tot het volgende resultaat:

- Heeft elke actielijn in het beleid van de gemeente Alkmaar en in het dagelijks handelen van de medewerkers een duidelijk herkenbare positie? Zoals uit het antwoord op deelvraag 1 blijkt, geeft Alkmaar invulling aan elke actielijn uit de Digitale Veiligheidsagenda. Tegelijkertijd is naar voren gekomen dat niet elke actielijn een duidelijk herkenbare

pagina 19/26 Oktober 2023 Rekenkameronderzoek Alkmaar

positie heeft, noch in het beleid noch in het dagelijks handelen van de medewerkers. Deze algemene constatering resulteert in het volgende beeld van de geformuleerde normen:

Actielijn Algemeen Toelichting / nuancering beeld11 1 Digitale Veiligheid vergroten + Sommige functionarissen stellen dat de aandacht voor het bevorderen van de ‘awareness’ de laatste tijd is afgenomen 2 Weerbare organisatie + Sommige essentiële functies worden op ad interimbasis ingevuld 3 Digitale Brandoefening 0 Er heeft een oefening plaatsgevonden. Het is in de organisatie nog onbekend of oefeningen een structureel karakter krijgen. 4 Decentrale verantwoording waar + Er bestaan twijfels over de opvolging kan, centraal toezicht waar moet van acties uit ENSIA-rapportages 5 OOV-bevoegdheden en rollen + Onbekend is hoe dit in het nieuwe voor de lokale bestuurders College is / wordt vastgelegd 6 Lokale vitale processen bepalen 0 Op het niveau van de Veiligheidsregio vanuit maatschappelijke taken is hier weliswaar meer, maar toch nog steeds beperkte aandacht voor. 7 Krachtige partner in de keten ++ Alkmaar werkt enthousiast samen met andere relevante organisaties. 8 Risicomanagement geeft focus 0 In verschillende documenten worden wel risico’s benoemd, maar een algemeen beeld en gerichte sturing ontbreken 9 Informatiebeveiligingsdienst ++ Alkmaar maakt gebruikt van de gemeenten verbreden en ondersteuning van Microsoft en de IBD versterken 10 Eén overheid + Alkmaar werkt samen met andere overheden

- Het beleid (zowel de voorbereiding als de uitvoering daarvan) doet recht aan hetgeen bij elk van die actielijnen van gemeenten wordt verlangd. Aan de hand van de nuances in bovenstaand overzicht wordt al duidelijk dat niet bij alle actielijnen volledig recht wordt gedaan aan wat van gemeenten wordt verlangd.

- Leidt dit tot resultaten Zoals in de inleiding van deze rapportage is aangegeven heeft dit onderzoek een overwegend beschrijvend en inventariserend karakter. De beoordeling van de inspanningen en activiteiten van de

11 De beoordeling loopt van ‘heel positief’(++) naar ‘positief’ (+), ‘neutraal’ (0), ‘negatief’ (-) tot uiteindelijk ‘sterk negatief’(--).

pagina 20/26 Oktober 2023 Rekenkameronderzoek Alkmaar

gemeente staat daarmee minder centraal. Binnen deze context wordt kort ingegaan op de opbrengsten van het beleid. Gezien de inspanningen en activiteiten die sinds enkele jaren worden ontwikkeld, lijdt het geen twijfel dat er resultaten worden behaald. Zeer aannemelijk is dat de ‘awareness’ ten aanzien van informatieveiligheid en cybersecurity hoger ligt dan vijf jaar terug. Ook is er binnen de organisatie sprake van meer beleid, voorschriften en werkwijzen die bijdragen aan de weerbaarheid. Er is geoefend, er wordt verantwoording afgelegd, zowel intern als aan de centrale overheid. Er ontbreken echter ‘harde gegevens’ om de indruk dat er resultaten worden geboekt te staven. Evenmin kan inzichtelijk worden gemaakt of inbreuken op de veiligheid, zowel binnen de organisatie als in de lokale gemeenschap, nu minder voorkomen dan enkele jaren terug.

De bij dit onderzoek geformuleerde centrale onderzoeksvraag luidt als volgt: Hoe wordt binnen de gemeente Alkmaar invulling gegeven aan de Digitale Veiligheidsagenda?

Hier kan geen eenduidig en volmondig positief antwoord op worden gegeven. Er zijn immers verschillende nuances en tekortkomingen geconstateerd. In het algemeen zijn het benodigde beleid en daarop gebaseerde richtlijnen en werkwijzen in gemeente Alkmaar in voldoende mate beschikbaar. Vanwege Corona (o.m. wat het inwerken van nieuwe medewerkers betreft) en personele wisselingen op cruciale managementfuncties is de uitvoering onder druk komen te staan. In de praktijk handelen veel medewerkers vanuit zelf bepaalde standaarden en waarborgen, die zij ontlenen aan eerder verkregen informatie over het gewenste beleid. Deze werkwijzen worden mede geschraagd worden door hun persoonlijke professionaliteit. Daarbij is niet altijd gegarandeerd dat de medewerkers volledig voldoen aan het vastgelegde beleid. Verder is het de vraag of er sprake is van een gestage positieve ontwikkeling. Zo lijkt de opvolging van relevante activiteiten, zoals awarenessbevordering en acties die voortkomen uit ENSIA-rapportages, niet goed belegd.

Alkmaar heeft op het brede thema van de Digitale Veiligheidsagenda zeker ambities, die in de samenwerking met onder meer de Veiligheidsregio en Noord-Holland-Samen-Veilig, ook goede invulling krijgen. Het aanstellen van een OOV-medewerker die zich specifiek richt op het bevorderen van de digitale veiligheid getuigt eveneens van ambitie. De vraag is wel of deze functie en de middelen die bij deze functie beschikbaar zijn gesteld toereikend zijn.

Al met al gebeurt veel, maar de structuur en samenhang in het beleid zijn niet evident. Tevens valt op dat de raad dusdanig ver op afstand staat van dit beleid dat de raad zijn sturende en controlerende verantwoordelijkheden niet kan waarmaken.

pagina 21/26 Oktober 2023 Rekenkameronderzoek Alkmaar

Dit leidt tot de volgende aanbevelingen: Aanbevelingen aan het college van B&W 1 Maak meer expliciet en concreet hoe invulling wordt gegeven aan elk van de actielijnen uit de digitale agenda van de VNG 2 Heb meer aandacht voor de uitvoeringspraktijk; op papier is veel geregeld, maar niet al het beleid wordt in de praktijk opgevolgd. 3 Beleg de verantwoordelijkheden van de FG weer bij één zelfstandig opererende functionaris 4 Beleg de verantwoordelijkheden van de CISO als enige taak bij één functionaris, 5 Zorg voor een gerichte sturing van het risicomanagement met betrekking tot digitale veiligheid. 6 Zorg voor een meer regelmatige en uitgebreidere informatievoorziening aan de gemeenteraad. 7 Schep voorwaarden voor kennisbevordering over dit thema bij raadsleden.

Aanbevelingen aan de gemeenteraad 8 Investeer in de eigen kennisbevordering met betrekking tot het thema digitale veiligheid 9 Wees actief in het bewaken en bevorderen van een regelmatige informatievoorziening over dit thema aan de raad.

pagina 22/26 Oktober 2023 Rekenkameronderzoek Alkmaar

Bijlage A Bestudeerde Documentatie

Documentnaam Jaar van vaststelling BIO Versie 1 2017 Gemeente Alkmaar Programmabegroting 2020 Meerjarenbegroting 2021-2023 2019 Nota aan burgemeester en wethouders – afspraken op het beleidsterrein van 2019 informatiebeveiliging informatievoorziening en privacy Amendement: De digitale deur op slot 2019 Samen hulpvaardig. Beleidsplan Veiligheidsregio Noord-Holland Noord 2020-2023 2020 Notitie Cyberveiligheid – Achtergrondinformatie en uitvoeringsplan 2020 Agenda Digitale Veiligheid 2020-2024 – Een veilige (digitale) gemeente 2020 Rapportage ‘Stand van zaken veiligheid’ 1e helft 2021 2021 Rapportage ‘Stand van zaken veiligheid’ juli ’21 – oktober 2021 2021 Rapport ‘Hoe Veilig is Alkmaar’? 2021 Plan van Aanpak Cyberveilig Alkmaar 2021 Notitie Monitor Veiligheidsbeeld Alkmaar 2021 2021 Gemeentefactsheet Alkmaar 2021 Uitkomsten Ensia 2021 2021 Collegevoorstel Zelfevaluatie ENSIA 2021 2021 Gemeente Alkmaar Programmabegroting 2023 Meerjarenraming 2024-206 2022 Rapportage ‘Stand van zaken veiligheid’ 1e helft 2022 2022 Agenda Digitale Veiligheid 2022-2026 2022 Focusblad Digitale Veiligheid VNG 2022 Cyberwegenkaart CCV 2022 Privacy- en informatiebeveiligingsbeleid gemeente Alkmaar 2022 Kadernota Veiligheid 2023-2026 2023 Security Operations Centrum Alkmaar 2023

pagina 23/26 Oktober 2023 Rekenkameronderzoek Alkmaar

Bijlage B Geïnterviewde personen

Functie Burgemeester Directeur Bedrijfsvoering, Concern-controller / Chief Information Security Officer(a.i.)/ FG (a.i.) Chief Information Officer Unitmanager ICT, Unitmanager bestuur, Unitmanager veiligheid Information Security Officer Beleidsmedewerker Openbare orde en veiligheid Concernjurist en Privacy Officer

pagina 24/26 Oktober 2023 Rekenkameronderzoek Alkmaar

Bijlage C Deelnemers aan de verdiepingssessies

Medewerkers Sociaal Domein Kwaliteitsmedewerker sociaal domein I Kwaliteitsmedewerker sociaal domein II Kwaliteitsmedewerker sociaal domein III Kwaliteitsmedewerker sociaal domein IV Beleidsmedewerker WMO Medewerker beleidsafdeling sociaal domein Vakcoördinator jeugd.

Medewerkers Fysiek Domein Medewerker Openbare Orde en Veiligheid I Medewerker Openbare Orde en Veiligheid II Medewerker Openbare Orde en Veiligheid III Medewerker Openbare Orde en Veiligheid IV Medewerker vergunningen I Medewerker vergunningen II

Bijeenkomst met raads- en commissieleden Commissielid CDA Commissielid D66 Raadslid D66 Commissielid PvdA Commissielid Leefbaar Alkmaar Commissielid GroenLinks Raadslid Belangen Alkmaarse Samenleving Commissielid SP Commissielid SP Raadslid Senioren Partij Alkmaar Commissielid VVD Raadslid CDA

pagina 25/26 Oktober 2023 Rekenkameronderzoek Alkmaar

Bijlage D Afkortingslijst

Afkorting Betekenis BIO Baseline Informatiebeveiliging CCV Centrum voor Criminaliteitspreventie en Veiligheid CISO Chief Information en Security Officer DPIA Data Protection Impact Assessment ENSIA Eenduidige Normatiek Single Information Audit FG Functionaris Gegevensbescherming VNG Vereniging Nederlandse Gemeenten

pagina 26/26 Oktober 2023 Rekenkameronderzoek Alkmaar