03 Auditresultaten ENSIA rapportage informatiebeveiliging 2021.pdf

Gemeente Almelo

Raadsbrief ter informatie

Postadres: Gemeente Almelo Postbus 5100 7600 GC Almelo

Aan de raad van de gemeente Almelo Bijlage

Doorkiesnummer 541765

Behandeld door A. de Boer

Datum 26 april 2022

Onderwerp Auditresultaten ENSIA rapportage informatiebeveiliging 2021

Geachte leden van de raad, Gemeenten hebben een belangrijke taak en verantwoordelijkheid als het gaat om het op orde hebben van informatiebeveiliging en het beschermen van informatie. Steeds vaker worden gemeenten geconfronteerd met hacks, datalekken en beveiligingsincidenten. Informatieveiligheid en privacy hebben daarom een belangrijke plaats op de gemeentelijke agenda. Het adequaat inrichten van verantwoordingsprocessen is daarbij essentieel. Zo blijft informatieveiligheid en privacy van inwoners gewaarborgd. In deze brief informeren wij u over de ENSIA auditresultaten. ENSIA staat voor Eenduidige Normatiek Single Information Audit en is een jaarlijks verplichte verantwoordingsrapportage. De gemeente Almelo voldoet aan de gestelde eisen en normen voor de DigiD aansluitingen. Voor Suwinet voldoen we aan twee normen niet, maar dit leidt niet tot onaanvaardbare risico’s. Hiervoor is een verbeterplan opgesteld. Voor de drie geo-basisregistraties scoren we behalve voor de BAG (Basisregistratie Adressen en Gebouwen) een voldoende. Voor de BAG is voor 2022 een verbetertraject opgesteld en ingezet. Hieronder lichten we het verder toe.

ENSIA systematiek Gemeenten dienen zich elk jaar te verantwoorden over de status van de informatieveiligheid van diverse informatiesystemen. Met ingang van 2017 is er een nieuwe systematiek voor verantwoording van de informatiebeveiliging ingevoerd, de ENSIA systematiek. Deze systematiek vloeit voort uit een resolutie van de Buitengewone Algemene Ledenvergadering van de VNG. Met ENSIA wordt het verantwoordingsproces rondom informatieveiligheid gestroomlijnd. ENSIA neemt met ingang van 2020 het nieuwe normenkader voor de gehele overheid de BIO (Baseline Informatiebeveiliging Overheid) als uitgangspunt en de zelfevaluatie bestaat uit enkele honderden vragen. Vanuit deze horizontale (gemeente brede) zelfevaluatie wordt eveneens de verantwoording aan de stelselhouders bij het rijk afgeleid, de zogenaamde verticale verantwoording.

Diverse informatiesystemen en verantwoording Met ENSIA is er één verantwoordingsprocedure voor de Basisregistratie Personen (BRP), de Paspoortuitvoeringsregeling (PUN), de Digitale persoonsidentificatie (DigiD), de Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet), de Basisregistratie Adressen en Gebouwen (BAG), de Basisregistratie Grootschalige Topografie (BGT), de Basisregistratie Ondergrond (BRO) en nieuw voor 2021 de Waardering Onroerende Zaken (WOZ). Dit betekent dat er niet voor alle onderdelen afzonderlijke audits (die elkaar deels overlappen) moeten worden uitgevoerd. Er hoeven dan ook geen afzonderlijke rapportages opgesteld te worden. In al deze registratiesystemen wordt belangrijke informatie verwerkt en moeten we maatregelen nemen om de informatie veilig te houden.

Pagina 1 van 2 Raad - 2207188

Collegeverklaring informatiebeveiliging inzake DigiD en Suwinet Voor 1 mei 2022 dienen we verantwoording af te leggen richting onze verticale toezichthouders inzake DigiD en Suwinet. Voor Suwinet aan het ministerie van Sociale Zaken en Werkgelegenheid, voor DigiD aan Logius, onderdeel van het ministerie Binnenlandse Zaken en Koninkrijkrelaties (BZK). Voor Suwinet en DigiD is op basis van de zelfevaluatie binnen ENSIA en de normenkaders die gelden voor DigiD en Suwinet een collegeverklaring opgesteld. Hierin verklaart het college dat de gemeente Almelo wel voldoet aan de geldende eisen en normen inzake DigiD. Voor DigiD zijn er twee webapplicaties, namelijk iBurgerzaken en CityPermit. Voor Suwinet geldt dat de gemeente niet aan alle normen voldoet. Het betreft twee normen die te maken hebben met het niet tijdig opvullen van de functie van een Security Officer voor Suwinet. Wij hebben een verbeterplan opgesteld om in 2022 aan de normen te voldoen, de acties zijn belegd en worden gemonitord. De Security Officer wordt in het tweede kwartaal van 2022 benoemd. De collegeverklaring is getoetst door een onafhankelijke, externe IT-auditor. Deze auditor heeft assurance gegeven op de collegeverklaring. Op basis van de collegeverklaring en onderliggende documenten en verklaringen hebben wij ons verantwoord richting de verticale toezichthouder.

De collegeverklaring omvat het op 31 december 2021 in opzet en bestaan voldoen van de beheersingsmaatregelen aan de geselecteerde normen voor DigiD en Suwinet. Hiermee wordt het gebruik van Suwinet en de DigiD-aansluiting ook in de toekomst geborgd. De externe IT-auditor heeft op grond van de gedane bevindingen bij Suwinet de twee tekortkomingen geconstateerd. Daarnaast heeft de auditor voor intern gebruik rapporten van bevindingen opgesteld. In deze documenten zijn enkele aanbevelingen opgenomen om de kwaliteit van informatiebeveiliging nog verder te verbeteren.

Verantwoordingsrapportage BAG, BGT, BRO en WOZ In het kader van ENSIA hebben we in 2021 ook een zelfevaluatie uitgevoerd voor de BAG, BGT, BRO en nieuw voor 2021 de WOZ. Deze zelfevaluatie gaat in op een aantal kwaliteitscriteria: gegevenskwaliteit en proces en organisatie. De resultaten uit deze zelfevaluatie moeten voor 1 mei gedeeld zijn met de toezichthouder (het ministerie van BZK) met verantwoordingsrapportages voor de BAG, BGT, BRO en WOZ. Voor de basisregistraties BGT en BRO scoren we een voldoende, boven de normscore, en voldoen zodoende aan de gestelde eisen en normen en lopen we geen risico’s. De rapportages leveren wel enkele verbeterpunten op. Ten aanzien van de BAG loopt er een onderzoek naar de werkprocessen, de werkdruk en relatie naar andere organisatie-onderdelen en externe WOZ-partij (GBTwente). Gekeken wordt of op de onderdelen proces, kwaliteit, ICT en organisatie verbetermaatregelen zijn aan te brengen. Het rapport wordt in het 2e kwartaal 2022 verwacht. De verantwoordingsrapportage WOZ 2021 is nieuw. De gegevens voor de verantwoording worden door het GBTwente (Gemeentelijk Belastingkantoor Twente) aangeleverd en zijn opgenomen in de hiervoor bestemde rapportage. Bij een paar onderdelen (waaronder de implementatie van BIO maatregelen) heeft het GBT aangegeven om het komende jaar met verbeteringen te komen.

Verantwoording afleggen aan de raad Voor het afleggen van verantwoording aan de gemeenteraad wordt er aangesloten bij de planning en control cyclus van de gemeente. In de jaarverantwoording wordt verantwoording afgelegd over de informatiebeveiliging aan de gemeenteraad. Hoogachtend, Burgemeester en Wethouders van Almelo, de secretaris, de burgemeester,

F.W. van Ardenne

Pagina 2 van 2

A.J. Gerritsen

Gemeentelijk kenmerk collegeverklaring ENSIA: 02 Intern 81776

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Almelo Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Almelo Doel en achtergrond verklaring Met deze verklaring geven wij, het college van burgemeester en wethouders, aan in welke mate Gemeente Almelo voldoet aan de informatiebeveiligingsnormen voor DigiD en Suwinet. Deze verklaring maakt onderdeel uit van de verantwoording over informatiebeveiliging middels ENSIA1 en is tot stand gekomen door een zelfevaluatie over informatiebeveiligingsnormen. De inhoud wordt getoetst door een onafhankelijke IT-auditor. De verklaring is bestemd voor de stelselhouders van DigiD en Suwinet, te weten het ministerie van Binnenlandse Zaken en Koninkrijksrelaties en het ministerie van Sociale Zaken en Werkgelegenheid.

Reikwijdte en diepgang verklaring De toetsing gaat over de opzet en het bestaan van de beheersingsmaatregelen om te kunnen voldoen aan de relevante beveiligingsnormen voor DigiD en Suwinet op 31 december 2021. De beheersingsmaatregelen inzake DigiD en Suwinet die zijn uitbesteed aan dienstverlener(s) worden niet getoetst door de auditor. Deze collegeverklaring en de verantwoording van de dienstverlener(s) dekken tezamen de normen inzake DigiD en Suwinet af. Het overzicht van normen en waar deze belegd zijn, is opgenomen in de bijlagen: • Bijlage 1 DigiD met kenmerk 02 Intern-81773 • Bijlage 2 Suwinet met kenmerk 02 Intern-81774.

Verklaring college Het college verklaart dat bij gemeente Gemeente Almelo op 31 december 2021 de beheersingsmaatregelen (in opzet en bestaan) voldoen aan de geselecteerde normen inzake DigiD. Het college verklaart dat voor Suwinet niet aan alle normen wordt voldaan. Wij hebben een verbeterplan opgesteld om aan de normen te voldoen, de acties zijn belegd en worden gemonitord.

1 ENSIA ondersteunt de gemeente bij de verantwoording over informatiebeveiliging richting de gemeenteraad en de rijksoverheid.

ENSIA gaat uit van de Baseline Informatiebeveiliging Overheid (BIO), alsmede van informatiebeveiligingsnormen vanuit Basisregistratie Personen (BRP), wet- en regelgeving reisdocumenten (PUN, PNIK), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet) en de Wet Onroerende Zaken (WOZ).

Gemeentelijk kenmerk collegeverklaring ENSIA: 02 Intern 81776

Samenvattend beeld

Onderwerp DigiD 1000545

Wordt aan alle normen voldaan? Ja

Zijn de uitzonderingen in [een] verbeterplan[nen] opgenomen en zijn de verbetermaatregelen belegd en worden deze gemonitord? Nee

DigiD 999737

Ja

Nee

Suwinet voor SUWI-taken Suwinet voor niet-SUWI-taken

Nee Nee

Ja Ja

Almelo, 26 april 2022 College van B&W gemeente Gemeente Almelo de secretaris,

de burgemeester,

F.W. van Ardenne

A.J. Gerritsen

Naam auditfirma: Naam auditor: Datum [ondertekening auditor]:

Bureau voor Kwaliteitsborging bij de Overheid M.B.H. IIpelaar RE CEH CISA

Verantwoordingsrapportage 2021 Basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO) Datum vaststelling door College van B&W:

26 april 2022

Verantwoordingsrapportage 2021 - Gemeente Almelo - Pagina 1 van 11

Inhoudsopgave Inhoudsopgave ............................................................................................................................2 Managementsamenvatting ................................................................................................................ 3 1. Inleiding .......................................................................................................................................... 6 1.1 Wettelijke taak ......................................................................................................................... 6 1.2 Winstpakkers voor de organisatie ............................................................................................ 6 2. Resultaten ...................................................................................................................................... 8 2.1 Resultaten in 2021.................................................................................................................... 8 2.2 Trend over meerdere jaren ...................................................................................................... 9 3. Verbeterplan ................................................................................................................................

10 3.1 Maatregelen vorige ENSIA-ronde ........................................................................................... 10 3.2 Nieuwe verbetermaatregelen ................................................................................................ 11

Verantwoordingsrapportage 2021 - Gemeente Almelo - Pagina 2 van 11

Managementsamenvatting In ons land worden geobasisgegevens jaarlijks meer dan 5 miljard keer gebruikt via de landelijke voorzieningen. Indirect gebruik, via bijvoorbeeld de doorlevering van geodata door fabrikanten van navigatiesoftware, komt daar nog bovenop. Het gebruik blijft jaarlijks stijgen en het maatschappelijk belang van deze gegevens, als onderdeel van de geo-informatie infrastructuur, is daarmee groot. Het is daarom cruciaal om de gegevenskwaliteit landelijk op peil te houden.

Afbeelding: nationale geo-informatie infrastructuur (NGII) als basis voor maatschappelijke vraagstukken (bron: BZK)

Wij leggen als bronhouderorganisatie verantwoording af over het beheer van de basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO). Dat doen we intern richting de gemeenteraad en aan het Rijk via het directoraat-generaal Bestuur, Ruimte en Wonen van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties. De scores, die op de volgende pagina te zien zijn, vormen het resultaat van door ons uitgevoerde zelfevaluaties. Deze evaluaties betreffen de gegevenskwaliteit en de borging van beheerprocessen. Informatiebeveiliging maakt hiervan vooralsnog geen onderdeel uit. Met ingang van 1 oktober 2020 zijn de medewerkers van de geo-basisregistratiesystemen opgenomen in het nieuwe team Informatievoorziening & Datagedreven (team ID). Team ID is verantwoordelijk voor de kwaliteit van steeds meer basis-kern- en sectorale registraties. Geo als pijler levert hier een belangrijk (ruimtelijk- en data component) aan, ook richting de doorontwikkeling van de Samenhangende Objectenregistratie (SOR). Er loopt een onderzoek naar de werkprocessen en de werkdruk op de uitvoering van de BAG. Een extern bureau heeft de opdracht om te onderzoeken waar het nu niet loopt als het gaat om begrippen als actualiteit, tijdigheid en volledigheid. Het e.e.a.

heeft te maken met het huidige proces wat deels niet functioneert en anderzijds met het vertrek van goed ingewerkte medewerkers. De BAG functioneert in de keten met VTH en WOZ, waarbij op verschillende plekken gegevens geregistreerd moeten worden. Er wordt dan ook onderzocht hoe de verbindingen naar andere afdelingen en externe WOZ-partij (GBTwente) zijn, waarbij gekeken wordt naar verdergaande efficiëntie en optimalisatie van processen/gegevens/rollen. Het adviesrapport wordt in het 2e kwartaal 2022 verwacht, waarna gestart kan worden met de werkelijke procesverbeteringen en evt. consequenties voorgesteld kunnen worden.

Verantwoordingsrapportage 2021 - Gemeente Almelo - Pagina 3 van 11

Scores geobasisregistraties 2021 (tijdvak 1 januari 2021 tot en met 31 december 2021): Basisregistratie

BAG

Score

Consequenties score Kwaliteit BAG is nog onvoldoende: risico van overschrijding van verwerkingstermijnen.

69%

Verbetermaatregelen Met behulp van een externe partij worden de BAG-processen onderzocht, met name naar de verbindingen naar andere afdelingen en externe WOZpartij (GBTwente). De applicatie PowerBrowser (vergunningensysteem) moet optimaler werken.

< 75% onvoldoende

Basisregistratie

BGT

< 75% Onvoldoende

Basisregistratie

BRO

< 60% Onvoldoende

vanaf 75% voldoende

Score

100%

Consequenties score Kwalitatieve BGT: de kwaliteit van beheer van de openbare ruimte is op orde.

Verbetermaatregelen De uitwisseling van de gegevens tussen de registraties van BAG en BGT wordt verder geoptimaliseerd door middel van een op StUF-gebaseerde berichtenstandaard.

vanaf 75% voldoende

Score

88%

Consequenties score Het proces BRO is landelijk nog in opbouw en daarmee nog steeds niet volledig.

Verbetermaatregelen Er moet nog steeds een kernteam worden opgestart. Het mandaatregister moet nog worden aangepast. Processen zijn nog steeds niet beschreven/ opgezet.

vanaf 60% voldoende

Verantwoordingsrapportage 2021 - Gemeente Almelo - Pagina 4 van 11

Trend score geobasisregistraties: Registratie Score 2018

Score 2019

Score 2020

Score 2021

BAG

88%

76%

76%

69%

BGT

97%

100%

100%

100%

BRO

N.v.t.

83%

83%

88%

BAG: De kwaliteit van de uitvoering van de BAG neemt af, maar is tot en met 2020 voldoende en is in 2021 onder de norm en niet voldoende.. Door een capaciteitstekort en werkdruk blijft de achterstand bestaan. Oorspronkelijk bestond de bezetting uit 2,8 fte. De huidige bezetting is 1,7 fte. Er loopt een onderzoek naar de werkprocessen en de werkdruk. Gekeken wordt of op de onderdelen proces, kwaliteit, ICT en organisatie verbetermaatregelen zijn aan te brengen. Het rapport wordt in het 2e kwartaal 2022 verwacht. Dan kunnen de voorgestelde verbetermaatregelen ter hand worden genomen. BRO: Het proces BRO is landelijk nog in opbouw en daarmee nog steeds niet volledig. De score Almelo is met 88% voldoende.

Verantwoordingsrapportage 2021 - Gemeente Almelo - Pagina 5 van 11

1. Inleiding

1.1 Wettelijke taak De BAG, BGT en BRO maken onderdeel uit van het overheidsstelsel van basisregistraties. Het bijhouden van deze geobasisgegevens is verplicht voor gemeenten, met inachtneming van de bijbehorende kwaliteitseisen. De BAG bevat gegevens over adressen en gebouwen en deze worden centraal beschikbaar gesteld via de Landelijke Voorziening (BAGLV). Het Kadaster beheert de BAGLV en stelt de gegevens beschikbaar aan de diverse afnemers. Organisaties met een publieke taak, zoals ministeries, waterschappen, politiekorpsen en veiligheidsregio's, zijn verplicht de authentieke gegevens uit de registraties te gebruiken. Doordat de overheid op deze manier gegevens éénmalig inwint en meervoudig gebruikt, vraagt men burgers niet naar de bekende weg. De BGT is een gedetailleerde (in vaktaal: grootschalige) digitale kaart van heel Nederland. Daarin worden alle objecten als gebouwen, wegen, water, spoorlijnen en groen op een eenduidige manier vastgelegd. Het doel van de BGT is de hele overheid gebruik te laten maken van dezelfde basisgegevens over de grootschalige topografie van Nederland. De BRO bevat gegevens over geologische en bodemkundige opbouw van de Nederlandse ondergrond. Momenteel wordt de BRO stapsgewijs voltooid. Per stap bevat deze registratie steeds meer gegevens over de diepe en ondiepe ondergrond. Deze worden geordend op basis van zogeheten ‘registratieobjecten’.

In totaal gaat het om ca. 26 registratieobjecten. Voorbeelden van registratieobjecten zijn de grondwatermonitoringsput of het geotechnisch sondeeronderzoek. Sinds dit jaar verantwoordt de gemeente zich via ENSIA ook over informatiebeveiliging en informatie-architectuur van de WOZ-uitvoering aan de toezichthouder Waarderingskamer. Op deze terreinen worden aan systemen voor de WOZ-uitvoering steeds hogere eisen gesteld. Dit komt doordat de werkprocessen voor de bijhouding van informatie in grote mate worden geïntegreerd met geobasisregistraties en de geautomatiseerde systemen in toenemende mate werken met elders bijgehouden gegevens. Naar verwachting zullen de geobasisregistraties en de WOZ in de komende jaren binnen ENSIA verder samen gaan werken.

1.2 Winstpakkers voor de organisatie BAG: De BAG is een belangrijk onderdeel van het stelsel van basisregistraties. In deze basisregistraties zijn de belangrijkste gegevens verzameld die de overheid nodig heeft om haar werk te doen. Denk bijvoorbeeld aan persoonsgegevens, namen en adressen van bedrijven en eigenaren van percelen, WOZ waarden. In verschillende wetten is de kwaliteit van deze gegevens gewaarborgd. Deze registraties zijn essentieel voor een goede dienstverlening van de overheid. Ze zijn van groot belang voor openbare orde en veiligheid, het toekennen van uitkeringen en vergunningen, belastingheffing, afvalinzameling en bestrijding van fraude.

Verantwoordingsrapportage 2021 - Gemeente Almelo - Pagina 6 van 11

BGT: Het doel van de BGT is: de hele overheid gebruik laten maken van dezelfde basisgegevens over de grootschalige topografie van Nederland. Als alle overheidspartijen in Nederland werken met dezelfde gegevens, dan zorgt dat voor: • een betere dienstverlening aan burgers en bedrijven, want de gegevens zijn altijd actueel en betrouwbaar; • administratieve lastenverlichting, want het kost bedrijven en burgers minder tijd en minder moeite om gegevens aan te leveren; • een betere samenwerking binnen de overheid, want eenduidige afspraken over gegevens maken eenvoudige uitwisseling mogelijk; • kostenbesparing, want minder fouten, minder inwinnen en minder communicatieproblemen zorgen voor minder kosten. BRO: De BRO maakt onderdeel uit van het stelsel van basisregistraties. Met dit stelsel verbetert de overheid haar dienstverlening door belangrijke gegevens over onder andere personen, bedrijven, gebouwen en de ondergrond binnen de overheid te delen. De gegevens over de ondergrond worden voortaan op één plek beheerd en beschikbaar gesteld, waarna ze veelvuldig gebruikt kunnen worden. Met de BRO ontstaat er eenduidigheid in opslag en uitwisseling van ondergrondgegevens.

Verantwoordingsrapportage 2021 - Gemeente Almelo - Pagina 7 van 11

2. Resultaten 2.1 Resultaten in 2021 De score per basisregistratie is opgebouwd uit drie onderdelen: gegevenskwaliteit, kwaliteitsverbeteringstrajecten c.q. transitie en borging proces. Hieronder is de score aangegeven per geobasisregistratie: Basisregistratie

Onderdeel

Score in %

BAG

Categorie 1: gegevenskwaliteit

63 %

Categorie 2: proces en organisatie

80 %

Totaalscore

69 %

Basisregistratie

Onderdeel

Score in %

BGT

Categorie 1: gegevenskwaliteit

100 %

Categorie 2: proces en organisatie

100 %

Totaalscore

100 %

Basisregistratie

Onderdeel

Score in %

BRO

Categorie 1: gegevenskwaliteit

80 %

Categorie 2: proces en organisatie

100 %

Totaalscore

88 %

Vanaf 75% voldoende

Vanaf 75% voldoende

Vanaf 60% voldoende

De BAG scoort op het onderdeel gegevenskwaliteit 63%, beneden de norm van 75%. De Verwerkingstermijnen definitieve Pandgeometrie en Onderzoek liggen in meer dan 2 maanden van de ENSIA-periode onder de 95%. De oorzaak is nog steeds gelegen in een verkeerde status van de panden (o.a. bij verbouwingen is de status nog niet juist opgenomen). Er staan 21 objecten in onderzoek, waarvan 17 al vanaf 2010 of 2014 (voor BAG2.0) waardoor het % voortdurend/langslepend laag blijft. Vanwege een capaciteitstekort en werkdruk blijft de achterstand bestaan. Er loopt een onderzoek naar de werkprocessen en de werkdruk.

Verantwoordingsrapportage 2021 - Gemeente Almelo - Pagina 8 van 11

2.2 Trend over meerdere jaren Trend score geobasisregistraties: Registratie

Score 2018

Score 2019

Score 2020

Score 2021

BAG

88%

76%

76%

69%

BGT

97%

100%

100%

100%

BRO

N.v.t.

83%

83%

88%

BAG: De lagere score is de score op actualiteit. Het actualiteitspercentage is aanzienlijk lager dan voorgaande jaren. Dit komt omdat er vanaf 2019 een nieuwe berekeningsmethode is gebruikt. De oude methode gaf een onjuist beeld van de werkelijkheid, omdat enkel gekeken werd naar de opgevoerde gegevens van dat jaar. Daarom heeft het kadaster een nieuwe berekeningsmethode ingesteld, waardoor oude opvoerfouten (verleende vergunningen zijn wel opgevoerd maar niet gereed gemeld) die zijn ontstaan bij de opbouw van de BAG ook meetellen. De achterstand in de verwerking hiervan is in de loop van 2020 en doorlopend naar 2021 ter hand genomen maar nog niet opgelost. Daarbij speelt het probleem van bezetting (minder capaciteit) en werkdruk een factor van betekenis. BRO: Het proces BRO is landelijk nog in opbouw en daarmee nog steeds niet volledig.

Verantwoordingsrapportage 2021 - Gemeente Almelo - Pagina 9 van 11

3. Verbeterplan 3.1 Maatregelen vorige ENSIA-ronde BAG: De verbetermaatregelen zijn slechts gedeeltelijk gerealiseerd. • Er komt en er is voortdurende aandacht voor de processen en de procesbeschrijvingen (BAG 2.0) moeten nog aangepast worden, alhoewel de processen en bijbehorende procedures niet meer worden beschreven. De aanpassingen voor de processen is nog niet gebeurd. • Aandacht voor nog "oude" langlopende nog niet afgedane in onderzoek staande objecten. Er is een tekort aan capaciteit//geen vervanging). Alle “oude” objecten zijn nog niet afgedaan en zal in 2022 de nodige aandacht krijgen. • Doorlopende aandacht blijft voor het kwaliteitsdashboard en het verwerken van gegevens. Het geldt met name de terugmeldingen en of deze gegevens volledig en tijdig zijn verwerkt. BGT: De verbetermaatregelen zijn ongeveer voor de helft gerealiseerd. De realisatie van de koppeling StUF BAG-BGT is 2021 gerealiseerd, maar werkt nog niet optimaal. De Centale objectenregistratie is in ontwikkeling om op termijn (2025) data en informatie te kunnen uitwisselen met de Samenhangende Objectenregistratie die vanuit de rijksoverheid verplicht wordt gesteld. BRO: De verbetermaatregelen zijn slechts gedeeltelijk gerealiseerd. De verbetermaatregelen zijn in 2021 gestart en worden vervolgd in 2022.

In 2021 is gestart met een vanuit de organisatie op te zetten kerngroep om de verbetermaatregelen ter hand te nemen en te komen tot een periodieke evaluatie. Het nieuwe team ID gaat een aantal de basis-, kern en sectorale registraties beheren. Hier valt ook de BRO onder. Elke basisregistratie of kernregistratie kent een proceseigenaar en daarmee een proces. Voor elk proces wordt een jaarlijkse audit ingesteld. De verantwoordelijkheden zijn nog niet allemaal goed vastgelegd. Het mandaatregister moet nog verder worden aangepast. Een nog aan te stellen gegevensregisseur krijgt de helicopterview om in te grijpen in het proces daar waar nodig en zal samen met de proceseigenaar verantwoordelijkheden en mandaten moeten regelen.



Verantwoordingsrapportage 2021 - Gemeente Almelo - Pagina 10 van 11

3.2 Nieuwe verbetermaatregelen BAG: • Er loopt een onderzoek naar de werkprocessen, de werkdruk en relatie naar andere afdelingen en externe WOZ-partij (GBTwente). Gekeken wordt of op de onderdelen proces, kwaliteit, ICT en organisatie verbetermaatregelen zijn aan te brengen. Het rapport wordt in het 2e kwartaal 2022 verwacht. Dan kunnen de voorgestelde verbetermaatregelen ter hand worden genomen. • Er wordt onderzocht om de voor de BAG gebruikte applicatie te vernieuwen. • De applicatie PowerBrowser (ter ondersteuning van vergunningverlening, Toezicht en Handhaving) moet het de noodzakelijk BAG-taken beter ondersteunen. • Onderzocht wordt of meer tijd/capaciteit beschikbaar zou moeten zijn om voldoende aandacht aan de kwaliteit te kunnen geven.

BGT: Ten aanzien van het onderdeel kwaliteitseisen wordt een koppeling tot stand gebracht tussen StUF BAG-BGT. StUF-Geo BAG BGT is een op StUF (Standaard Uitwisseling Formaat) -gebaseerde berichtenstandaard voor de uitwisseling van de gegevens tussen de registraties van BAG en BGT. Het doel van deze uitwisseling is het consistent houden van deze registraties v.w.b. overeenkomstige gegevens. De koppeling is eind december 2021 aangebracht, maar moet nog verder geoptimaliseerd worden.

BRO: • Er moet nog steeds een kernteam worden opgestart (zie verbeterpunt 2021). Door onvoldoende capaciteit kan daaraan nog niet worden voldaan. In het tweede kwartaal van 2022 is een kernteam ingesteld. • Het mandaatregister (eveneens een verbeterpunt uit 2021) moet nog worden aangepast. Processen zijn nog steeds niet beschreven en opgezet.

Verantwoordingsrapportage 2021 - Gemeente Almelo - Pagina 11 van 11

Bestuurlijke verantwoordingsrapportage WOZ Informatiebeveiliging en informatie-architectuur WOZ 2021 Gemeenten en uitvoeringsorganisaties zullen bij de interne beheersing van risico’s in het WOZ-proces voldoende aandacht moeten hebben voor de beheersing van geautomatiseerde systemen. Beheersingsaspecten die te maken hebben met architectuur, informatiebeveiliging, continuïteit, beschikbaarheid en algemene IT-beheersingsmaatregelen (General IT Controls als back-up & recovery, change management), moeten voldoende worden beheerst. Door snelle ontwikkelingen op het terrein van minimale beveiligingsmaatregelen en gewenste architectuur vergen deze aspecten even snel mee-ontwikkelende beheersingsmaatregelen. Gezien de maatschappelijke behoefte aan WOZ-waarden en WOZ-gegevens van hoge kwaliteit met de mogelijkheid tot inbreng van belanghebbenden (regie op gegevens) en gezien de ontwikkelingen rond basisregistraties en het tot stand brengen van één objectenregistratie zullen gemeenten en uitvoeringsorganisaties zich moeten realiseren dat er aanzienlijke investeringen in de komende jaren nodig zijn. Dat betreft voor een belangrijk deel investeringen in de vernieuwing van automatiseringssystemen, gericht op het benutten van geografische informatiesystemen (GIS), het benutten van AI-technieken in taxatiemodellen en de overgang naar een andere informatie-architectuur.

Deze andere informatie-architectuur is nodig om mee te gaan met technische Zie ook de toolbox Samenhangende ontwikkelingen, met ontwikkelingen op objectenregistratie en ICT-ontwikkelingen op de het terrein van informatieveiligheid en website van de Waarderingskamer de hiervoor geschetste ontwikkelingen (https://www.waarderingskamer.nl/basisregistratierond basisregistraties en het tot stand woz-lv-woz/investeringsagenda). brengen van één objectenregistratie. Maar zeker ook de communicatie met inwoners en het realiseren van "regie op gegevens" vergt op korte termijn investeringen in de ICT-infrastructuur rond het WOZ-domein. Concrete stappen zijn bijvoorbeeld vervangen van bestandsuitwisselingen door beveiligd berichtenverkeer. Tot slot is de verwachting dat voor de geobasisregistraties en de WOZ in de komende jaren verdere samenwerking aan de orde is, ook in uw gemeente. Daarbij is ook aandacht voor de datakwaliteit van groot belang.

Datum vaststelling door College van B&W:

WOZ-rapportage ENSIA 2021

26 april 2022

Gemeente Almelo

Pagina 1 van 4

In onderstaande tabel zijn de uitkomsten van de WOZ-vragenlijst zoals deze binnen ENSIA zijn ingevuld voor uw organisatie samengevat. Onder het kopje ‘tips’ leest u meer over het betreffende aspect en hoe u dit, indien nodig, kunt verbeteren. Status Conclusie

Tips

De BIO is niet volledig geïmplementeerd in de organisatie, er worden op dit moment geen controles uitgevoerd op naleving van de BIO voor de WOZ.

Elke gemeente en gemeentelijke uitvoeringsorganisatie dient te voldoen aan de BIO. Ook voor de WOZ-systemen moet daarom door de organisatie bekeken zijn, welke BIO-controls van toepassing zijn. De naleving van deze controls dient periodiek gecontroleerd te worden en de resultaten van deze beoordeling, in hoeverre de WOZ-systemen binnen de organisatie aan de BIO voldoen, dienen beschikbaar te zijn.

De overgang naar Common Ground conforme Bekijk hier (https://commonground.nl/) wat deze architectuur voor de WOZ is gestart! ingrijpende hervorming van de informatievoorziening voor uw organisatie gaat betekenen en wat u al kunt doen. Er wordt nog gebruik gemaakt van koppelvlakken op basis ASCII-bestanden (Stuf-TAX) voor de communicatie tussen de diverse applicaties voor de WOZ-uitvoering.

De Stuf-TAX bestandsuitwisselingen voldoen niet meer aan de hedendaagse eisen die gesteld worden aan informatiebeveiliging. De uitwisseling van data dient plaats te vinden door middel van beveiligd berichtenverkeer. Kijk hier (https://www.waarderingskamer.nl/basisregistratie-wozlv-woz/stuf-woz-0312/) voor meer informatie.

Tussen de applicaties die de uitvoering van de Het is raadzaam een volledig overzicht van de WOZ-processen ondersteunen vindt interactie verschillende koppelvlakken / interfaces te hebben plaats. Er is een volledig overzicht van de zodat u deze kunt beheren. onderlinge relaties tussen deze systemen. Er is onderzocht of de verschillende geautomatiseerde systemen informatie juist delen met externe systemen zoals bijvoorbeeld de Landelijke voorziening WOZ (LV WOZ) en MijnOverheid.

Gemeenten moeten verifiëren of de gegevens in de LV WOZ nog overeenkomen met die van de gemeentelijke Basisregistratie WOZ. Indien dit niet gebeurt bestaat het risico dat afnemers niet de juiste gegevens krijgen, inwoners niet tijdig hun WOZ-waarde op www.wozwaardeloket.nl zien en de belastingcapaciteit per gemeente, die het CBS op basis van de LV WOZ vaststelt, niet klopt.

Er zijn audits uitgevoerd om te beoordelen of alle voor de WOZ-uitvoering gebruikte systemen de gegevens uit interne systemen juist verwerken.

Contact met een inwoner in het kader van de WOZwaarde kan ook gaan over gegevens die met betrekking tot deze belanghebbende (deze onroerende zaak) vastliggen in andere (basis)registraties. Om te waarborgen dat de informatie uit andere basisregistraties op een doelmatige en consistente wijze wordt gebruikt en verwerkt, is het belangrijk dat ook de aansluiting van de WOZ-uitvoering op deze (basis)registraties regelmatig wordt beoordeeld.

Op terrein van de beheersing van informatiebeveiliging conform BIO is voor de WOZ-uitvoering de gewenste managementinformatie beschikbaar.

Op pagina 88 en 91 van de Waarderingsinstructie (https://www.waarderingskamer.nl/hulpmiddelengemeenten/waarderingsinstructie/) is onder het kopje “stuurinformatie” beschreven welke managementinformatie er belangrijk is bij het inzicht krijgen in de naleving van beveiligingsbeleid en normen (BIO).

In de bijlage zijn de complete vraagteksten en de namens uw organisatie opgegeven antwoorden terug te vinden. Daar vindt u ook welke conclusies uw WOZ-specialist heeft getrokken over de rol en invloed van IT op de WOZ-uitvoering binnen uw organisatie en welke verbetermaatregelen in 2021 reeds zijn getroffen ten aanzien van informatieveiligheid en informatie-architectuur in het kader van de WOZuitvoering.

WOZ-rapportage ENSIA 2021

Gemeente Almelo

Pagina 2 van 4

Bijlage Vraag

Antwoord

Worden er controles uitgevoerd of de BIO wordt nageleefd voor de WOZ-uitvoering?

Nee, de BIO is nog niet volledig geïmplementeerd in de organisatie

Geef een korte toelichting hoe deze controles eruitzien of waarom de Dit jaar hebben we de implementatie BIO niet of nog niet volledig is geïmplementeerd. van de BIO gestructureerd aangepakt. We zijn begonnen met de implementatie van voor ons relevante onderwerpen vanuit de BIO. We zijn begonnen met (logische) toegangsbeveiliging en autorisaties. We hebben een aantal controles opgenomen in onze Interne Controle. Disaster recovery staat nu als eerste op de lijst. Is de overgang naar Common Ground conforme architectuur voor de Ja WOZ gestart? Geef een korte toelichting op de stand van zaken.

Er is een IT Visie opgesteld, hier is de Common Ground in opgenomen. De ITVisie beschrijft de IST-situatie (huidige situatie) en de SOLL-situatie (gewenste) vormgegeven door de ambitie van GBTwente. De Visie wordt in december vastgesteld door het bestuur.

Maakt uw organisatie gebruik van standaard koppelvlakken voor de communicatie tussen de diverse applicaties voor de WOZuitvoering?

Ja, uitsluitend op basis van ASCIIbestanden (Stuf-TAX)

Geef een korte toelichting op uw gegeven antwoord.

Samen met belastingsamenwerkingen Tribuut (daar vindt de pilot plaats) en de BSOB is een deel van het XML berichtenverkeer tussen Gouw en OrtaX getest. Er moeten nog een aantal aanpassingen uitgevoerd worden door Gouw. Zodra dit is afgerond kan er verder getest worden. We maken gebruik van de standaard interfaces tussen Gouw en Ortax.

Heeft uw organisatie een volledig overzicht van de verschillende koppelvlakken/interfaces tussen de diverse applicaties die de uitvoering van de WOZ-processen ondersteunen?

Ja

Geef een korte toelichting op uw gegeven antwoord.

Samen met ICT Enschede wordt gewerkt aan het actueel houden en maken van onze architectuur. Dit is al ver gevorderd maar nog niet afgerond. Dit is ook verder uitgewerkt in de IT Visie (besproken bij antwoord 2a).

Zijn er audits uitgevoerd om te beoordelen of de verschillende geautomatiseerde systemen informatie juist delen met externe systemen (als bijv. LVWOZ en de landelijke voorzieningen van de diverse basisregistraties.

Ja, onderzoek door eigen medewerkers en externe partij

Geef hier aan voor welke systemen dit het geval is.

Gouw en OrtaX

Zijn er audits uitgevoerd om te beoordelen of alle voor de WOZJa, onderzoek door eigen medewerkers uitvoering gebruikte systemen de gegevens uit interne systemen juist verwerken? (Tot de "interne" systemen rekenen we ook systemen die in service beheerd worden door een andere gemeente, door een dienstverlener, een cloud-oplossing of systemen die als SaaS beschikbaar zijn).

WOZ-rapportage ENSIA 2021

Gemeente Almelo

Pagina 3 van 4

Geef hier aan voor welke systemen dit het geval is.

Gouw en OrtaX.

Is vanuit de WOZ-systemen de gewenste managementinformatie beschikbaar?

Ja

Geef een korte toelichting op uw gegeven antwoord.

Wij gebruiken hiervoor een BI-tool voor geautomatiseerde rapportages.

Geef beknopt aan welke conclusies u, in het kader van de interne beheersing op basis van de stuurinformatie, heeft getrokken over de rol en invloed van IT op de WOZ-uitvoering.

Wekelijks vindt er controle op de dataintegriteit van de interfaces plaats. De data wordt vastgelegd en opgelost. Na elke update/release worden de interfaces gecontroleerd.

Geef kort aan welke verbetermaatregelen u in 2021 heeft getroffen Het in- en uitdienst proces is bekeken ten aanzien van informatieveiligheid en informatie-architectuur in het en waar nodig aangepast. Het QR kader van de WOZ-uitvoering. WOZ-bezwarenproces is ontwikkelt, dit was een succes. Er zijn bijna 3.500 bezwaren (bijna 1/3 van het totaal) middels de QR code binnengekomen. De massale bevraging t.b.v. de LV WOZ is dit jaar live gegaan.

WOZ-rapportage ENSIA 2021

Gemeente Almelo

Pagina 4 van 4