9. Raadsbrief - ENSIA 2024 - kopie

Gemeente Almelo

Raadsbrief ter informatie Postadres: Gemeente Almelo Postbus 5100 7600 GC Almelo

Aan de raad van de gemeente Almelo

Bijlage

Datum 23 april 2025

Onderwerp ENSIA 2024 en zelfevaluaties Geachte leden van de raad, Gemeenten hebben een belangrijke taak en verantwoordelijkheid als het gaat om het op orde hebben van informatiebeveiliging en het beschermen van informatie. Steeds vaker worden gemeenten geconfronteerd met hacks, datalekken en beveiligingsincidenten. Informatieveiligheid en privacy hebben daarom een belangrijke plaats op de gemeentelijke agenda. Het adequaat inrichten van verantwoordingsprocessen is daarbij essentieel. Zo blijven informatieveiligheid en privacy van inwoners gewaarborgd. In deze brief informeren wij u over de ENSIA auditresultaten. ENSIA staat voor Eenduidige Normatiek Single Information Audit en is een jaarlijks verplichte verantwoordingsrapportage. Het algemene beeld voortkomend uit de audits en zelfevaluaties is positief. De gemeente Almelo voldoet aan bijna alle gestelde eisen en normen. Alleen voor Suwinet1 heeft de auditor enkele aanbevelingen gedaan gericht op Bewustzijn, opleiding en training t.a.v. informatiebeveiliging en op Privacy en bescherming van persoonsgegevens. Inmiddels is opvolging gegeven aan de aanbevelingen.

ENSIA-systematiek Gemeenten dienen zich elk jaar te verantwoorden over de status van de informatieveiligheid van diverse informatiesystemen. Met ENSIA wordt het verantwoordingsproces rondom informatieveiligheid gestroomlijnd. Vanuit deze horizontale (gemeente brede) zelfevaluatie wordt eveneens de verantwoording aan het Rijk afgelegd, de zogenaamde verticale verantwoording.

Diverse informatiesystemen en verantwoording Voor 1 mei 2025 dienen we verantwoording af te leggen richting onze verticale toezichthouders inzake DigiD en Suwinet. Met ENSIA is er één verantwoordingsprocedure voor de Basisregistratie Personen (BRP), de Paspoortuitvoeringsregeling (PUN), de Digitale persoonsidentificatie (DigiD), de Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet), de Basisregistratie Adressen en Gebouwen (BAG), de Basisregistratie Grootschalige Topografie (BGT) en de Basisregistratie Ondergrond (BRO). Jaarlijks dienen wij hierover een verklaring af te leggen bij de toezichthouders. 1 Suwinet wordt gebruikt binnen de Nederlandse overheid voor de verzameling gegevens die wordt bewaard door verschillende overheidsinstanties over werk en inkomen van inwoners. Pagina 1 van 3 D/25/742217

Daarnaast wordt jaarlijks een zelfevaluatie uitgevoerd voor de Basisregistratie personen (BRP), Register niet-ingezetenen (RNI) en Paspoortuitvoeringsregeling / Reisdocumenten (PUN).

Verantwoordingsrapportage BAG, BGT, BRO In het kader van ENSIA hebben we in 2024 ook een zelfevaluatie uitgevoerd voor de BAG, BGT en BRO. Deze zelfevaluatie gaat in op een aantal kwaliteitscriteria: gegevenskwaliteit en proces en organisatie. De BAG, BGT en BRO maken onderdeel uit van het overheidsstelsel van basisregistraties. Het bijhouden van deze geo-basisgegevens is verplicht voor gemeenten, met inachtneming van de bijbehorende kwaliteitseisen. Organisaties met een publieke taak zijn verplicht de authentieke gegevens uit de registraties te gebruiken. De BGT is een gedetailleerde (in vaktaal: grootschalige) digitale kaart van heel Nederland. Daarin worden alle objecten als gebouwen, wegen, water, spoorlijnen en groen op een eenduidige manier vastgelegd. Het doel van de BGT is de hele overheid gebruik te laten maken van dezelfde basisgegevens over de grootschalige topografie van Nederland. De BRO bevat gegevens over geologische en bodemkundige opbouw van de Nederlandse ondergrond. Momenteel wordt de BRO stapsgewijs voltooid. Per stap bevat deze registratie steeds meer gegevens over de diepe en ondiepe ondergrond. Deze worden geordend op basis van zogeheten ‘registratieobjecten’. Voorbeelden van registratieobjecten zijn de grondwatermonitoringsput of het geotechnisch sondeeronderzoek.

Het college legt als bronhouderorganisatie verantwoording af over het beheer van de basisregistraties. Dat doet het college intern richting de gemeenteraad en extern aan het Rijk. De verantwoording vindt plaats via zelfevaluaties. Deze evaluaties betreffen de gegevenskwaliteit en de borging van beheerprocessen. Informatiebeveiliging maakt hiervan vooralsnog geen onderdeel uit. Voor de basisregistraties BAG, BGT en BRO scoren we boven de normscore, en voldoen we zodoende aan de gestelde eisen en normen.

Verantwoordingsrapportage BRP, PUN en RNI Iedere gemeente is verplicht om jaarlijks een onderzoek uit te voeren naar de inrichting, de werking en de beveiliging van de BRP, alsmede naar de verwerking van gegevens in de BRP. De gemeente Almelo is als RNI-loketgemeente verplicht om jaarlijks door middel van een zelfevaluatie een onderzoek uit te voeren naar de inrichting, de werking en de beveiliging van het RNI-loket. De zelfevaluatie reisdocumenten richt zich op de beveiliging van het proces Reisdocumenten binnen de gemeente Almelo. In de Paspoortwet is geregeld dat minimaal één keer per jaar wordt gecontroleerd of de voorgeschreven beveiligingsmaatregelen zijn toegepast.

Pagina 2 van 3 D/25/742217

Het college en de burgemeester leggen verantwoording af over de inrichting, uitvoering en beveiliging van de processen. Uit de zelfevaluaties blijkt dat de gemeente voldoet aan de gestelde normen en de inrichting, uitvoering en beveiliging goed is geborgd in de organisatie. Hoogachtend, Burgemeester en Wethouders van Almelo, de secretaris, de burgemeester,

J. H. Dijkstra

Pagina 3 van 3 D/25/742217

R.T.A. Korteland