01 Bestuurlijke reactie jaarverslagen toezichthouders 2023.pdf

Raadsinformatiebrief

Aan: Datum Portefeuille(s) Portefeuillehouder(s): Behandeld door Onderwerp

De leden van de gemeenteraad van Amsterdam 11 juni 2024 ICT en Digitale Stad Alexander Scholtes Digitalisering en Innovatie, bestuurszaken.dii@amsterdam.nl Kennisnemen van de jaarverslagen 2023 van het toezicht op informatiebeveiliging, privacy en informatiebeheer

Geachte leden van de gemeenteraad, Hierbij bied ik u de jaarverslagen 2023 van de interne toezichthouders op informatiebeveiliging, privacy en informatiebeheer aan. In deze brief wordt een samenvatting gegeven van de belangrijkste punten uit de jaarverslagen en geeft het college aan hoe het omgaat met de aandachtspunten/aanbevelingen van de interne toezichthouders. Waarom ontvangt u deze rapportages? Het college is verantwoordelijk voor informatiebeveiliging, privacy en informatiebeheer. Het college wil een betrouwbare digitale stad zijn, zoals is opgenomen in de Agenda Digitale Stad.1 Dit betekent dat het college laat zien hoe zij omgaat met privacy, informatiebeveiliging, informatiebeheer en openbaarheid. Hiervoor zetten wij stappen om de basis op orde te krijgen. Op deze onderwerpen moet de gemeente voldoen aan wet- en regelgeving. We zijn hierbij permanent waakzaam en proberen grote risico’s voor informatiebeveiliging en privacy te verkleinen. Informatiebeheer is essentieel voor de gemeente om haar diensten te kunnen leveren aan de Amsterdammer. Drie interne toezichthouders, de Functionaris Gegevensbescherming, de Chief Information Security Officer en de Gemeentearchivaris, toetsen aan de hand van relevante wet- en regelgeving of de gemeentelijke processen en activiteiten voldoen.

Ik wil u daarom informeren over de werkzaamheden, conclusies en adviezen van de interne toezichthouders op deze onderwerpen. Ik dank de toezichthouders voor hun werk en ga met vertrouwen aan de slag met de adviezen. Het college neemt de aanbevelingen van de toezichthouders over. Jaarverslag 2023 van de Functionaris Gegevensbescherming (privacy) Het jaarverslag van de Functionaris Gegevensbescherming is opgesteld door de waarnemend Functionaris Gegevensbescherming. Hij heeft de functie waargenomen van april tot en met

1

https://amsterdam.raadsinformatie.nl/document/13554872/1#search=%22agenda%20digitale%20stad%20en%20overheid%22

Gemeente Amsterdam, raadsinformatiebrief

Datum 11 juni 2024 Pagina 2 van 7

december 2023. De bevindingen in de rapportage zijn gebaseerd op de waarnemingen gedurende deze periode.

Analyse privacy 2023 In 2023 is onder andere het proces voor het melden van datalekken veranderd. Voor privacy officers is piketdienst ingevoerd, waardoor datalekken tijdiger gemeld worden bij de Autoriteit Persoonsgegevens. In 2023 is ons register van verwerkingen van persoonsgegevens online gepubliceerd. Dit register actualiseren we vanaf 2024 twee keer per jaar. Daarnaast is de Baseline Privacy Amsterdam opgesteld. Dit is een set van normen waaraan voldaan moet worden om compliant te zijn aan de Algemene Verordening Gegevensbescherming. De invoering en toepassing van deze baseline is prioriteit in 2024. De waarnemend Functionaris Gegevensbescherming stipt daarnaast nog de positionering aan in de organisatie. In 2024 is een nieuwe Functionaris Gegevensbescherming aangesteld. Dat moment is aangegrepen om de functie onder te brengen bij Directie Juridische Zaken. Hiermee wordt de onafhankelijkheid van de toezichthouder versterkt. Wel dient in aanvulling hierop ook aandacht besteed te worden aan een cultuurverandering zodat de Functionaris Gegevensbescherming tijdig bij privacygevoelige initiatieven wordt betrokken. Aandachtspunten privacy 2024 De waarnemend Functionaris Gegevensbescherming meldt voor 2024 de volgende aandachtspunten / aanbevelingen: 1. Verplichte privacytraining die periodiek herhaald wordt voor alle medewerkers. 2.

Opstellen functieprofiel plus verplichte aanstelling van privacycontactpersonen bij de directies zodat basiskennis over privacy is geborgd bij de directies. 3. Actief sturen op privacy, bijvoorbeeld door de directeuren van de directies periodiek verantwoording af te laten leggen over de score van de directie bij de Baseline Privacy Amsterdam. Jaarverslag 2023 van de Chief Information Security Officer (informatiebeveiliging) De Chief Information Security Officer houdt toezicht op de status van de informatiebeveiliging op basis van het vastgestelde beleidskader, Baseline Informatiebeveiliging Overheid2. Hiervoor maakt hij gebruik van de risicobeelden van de rijksoverheid en informatie vanuit de gemeentelijke organisatie. In zijn bestuurlijke rapportage wordt nader ingegaan op dreigingen, regelgeving, gerealiseerde verbeteringen en speerpunten voor 2024. Analyse informatiebeveiliging 2023 Voor informatiebeveiliging wordt sinds 2020 gewerkt met de Baseline Informatiebeveiliging Overheid. In 2023 heeft de gemeente verder gewerkt aan de verdere invoering van deze set aan eisen en maatregelen. De directies hebben geanalyseerd waar ze staan ten opzichte van de normen en op basis daarvan verbeterplannen vastgesteld. In 2023 heeft vooral uitvoering van de 2

https://amsterdam.raadsinformatie.nl/document/9637351/1/09012f97832db7cf

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 11 juni 2024 Pagina 3 van 7

verbeteracties op de agenda gestaan. Daarnaast is de organisatie voor informatiebeveiliging verder geprofessionaliseerd. Daarbij wordt er samengewerkt met de onderdelen privacy en informatiebeheer. De Chief Information Security Officer beschrijft ook de samenwerking met regiogemeenten, politie en Veiligheidsregio in het ecosysteem digitale veiligheid, dat in 2024 wordt geformaliseerd. Onderdeel daarvan is elkaar verder helpen bij informatiebeveiliging. Hierbij wordt in eerste instantie ingezet op het vergroten van bewustzijn en kennis. Daarnaast wordt er waar nodig oplossingen gedeeld. Het crisishandboek voor het i-domein is geactualiseerd. Hierdoor is de organisatie beter voorbereid op / bestand tegen een mogelijke cybercrisis. Hiermee is in 2023 twee keer geoefend. Verder is in 2023 is een nieuwe aanpak doorgevoerd voor het testen van applicaties en processen op kwetsbaarheden (de zogeheten penetratietesten, ook wel pentesten genoemd). De gemeente Amsterdam heeft in maart 2023, net als de rijksoverheid, besloten om applicaties voor mobiele apparaten uit bepaalde landen te weren3. De medewerkers zijn hierover geïnformeerd. Doordat smartphones en tablets in de afgelopen jaren onder beheer van de gemeente zijn gebracht is het mogelijk om niet-toegestane apps automatisch te verwijderen. In 2024 wordt hier verder aan gewerkt, de lijst met applicaties wordt periodiek geüpdatet.

Aandachtspunten informatiebeveiliging 2024 De Chief Information Security Officer meldt voor 2024 de volgende aandachtspunten / aanbevelingen: 1. De Netwerk en Informatiebeveiligingsrichtlijn 2 (NIS2) wordt van kracht in oktober 2024. In 2024 wordt de aanpak voor NIS2 uitgewerkt en programmatisch opgepakt. We nemen daarin lopende verbeteracties mee om hier waar nodig meer druk op te zetten. Belangrijke onderdelen zullen zijn: - Evaluatie van de Baseline Informatiebeveiliging Overheid status. We moeten scherp in beeld hebben hoe we voldoen aan de Baseline Informatiebeveiliging en vervolgens te bepalen wat er extra nodig is. - Het (verbeterde) Risicomanagement, rapportages en intern toezicht toepassen op het gehele applicatie-en ICT-landschap. - Het verbeteren van beheer en sturing op leveranciers. - Het verbeteren van het inzicht in de beveiliging van industriële automatisering4 en daarop sturen. - Bewustwording, meldplicht en extern toezicht. NIS2 geeft aan dat bewustwording (zowel bij bestuurders als bij medewerkers) essentieel is om de veiligheid op orde te hebben. 2. Organisatie van de informatiebeveiliging. Eind 2023 is geconstateerd dat er (na de inrichting van het i-domein) nog te weinig samenhang gecreëerd is in de 3

Raadsinformatiebrief Invoering beleidslijn om applicaties te weren op gemeentelijke apparaten

4

Industriële automatisering: Het betreft hier een breed scala aan toepassingen van afvalwater-behandeling en verkeerscontroles tot openbare voorzieningen zoals zwembaden en parkeergarages. Industriële automatisering is een onderdeel van NIS2 (maar niet van de BIO).

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 11 juni 2024 Pagina 4 van 7

informatiebeveiligingsorganisatie. In 2024 voeren we waar nodig aanpassingen door in organisatie, sturing en/of bezetting. Jaarverslag 2023 van de Gemeentearchivaris (informatiebeheer) De gemeentearchivaris geeft in zijn verslag een samenvatting van de afgelopen zes jaar informatiebeheer in Amsterdam. Hierbij wordt gekeken naar interne organisatie, de uitvoering van de wettelijke taken en de huidige ontwikkelingen van informatiebeheer van de gemeente. Analyse informatiebeheer 2023 In 2023 heeft het Programma Openbaarheid en Informatiehuishouding op orde (OIO) al enkele resultaten kunnen opleveren. U bent hierover in verschillende raadsinformatiebrieven geïnformeerd5. De gemeentearchivaris concludeert naast deze positieve resultaten dat met name de uitvoering van de archiefwettelijke taken, zoals tijdige vernietiging van informatie en overbrenging naar het Stadsarchief, achterblijft. Goed inzicht in de werkprocessen is daarbij een voorwaarde. De gemeente maakt zich sterk om in 2024 dit inzicht door te ontwikkelen in het programma Openbaarheid en Informatiehuishouding op orde. Dat komt ook de tijdige openbaarmaking ten goede. De gemeentearchivaris geeft aan dat de wijze van sturing van het informatiebeheer is vastgesteld . Er bestaan alleen nog onduidelijkheden bij de uitvoering van taken door de verschillende betrokkenen.

Het advies ten aanzien van de Archiefverordening en het Besluit Informatiebeheer is om de rollen in en verantwoordelijkheden voor het informatiebeheer te formaliseren. Met meer inzicht in wat er aan mensen en middelen nodig is voor het uitvoeren van beheertaken, zowel bij het I-domein als bij de organisatieonderdelen, kan de gemeente op een goed en compliant basisniveau blijven. In 2023 heeft het college aanvullende regels vastgesteld om de eisen over privacy, informatiebeveiliging en informatiebeheer voor verbonden partijen gelijk te trekken met de gemeentelijke organisatie. In 2024 en verder wordt dit in het dagelijkse werk geïntegreerd. Enkele verbonden partijen6 hebben de gemeente aangewezen als archivaris. De gemeentearchivaris adviseert om met die partijen een uitvoeringsovereenkomst te sluiten. Aandachtspunten informatiebeheer 2024 De Gemeentearchivaris meldt voor 2024 de volgende aandachtspunten/aanbevelingen: 1. Voor de gemeentelijke sturing stelt de gemeentearchivaris voor om de bestaande regelingen te actualiseren. Hiermee ondersteunt de gemeente de nieuwe werkwijze en worden informatiebeheertaken van het I-domein beter gedefinieerd. Dit komt ten goede aan de toegankelijkheid van informatie voor de bewoner. 2. Voor de dagelijkse werkzaamheden voor informatiebeheer adviseert de Gemeentearchivaris om uitvoering te geven aan archiefwettelijke taken zoals tijdige

5

Raadsinformatiebrief Openbaarheid en informatiehuishouding op orde Mei 2023 en Raadsinformatiebrief Openbaarheid en informatiehuishouding op orde Oktober 2023

6 Bijvoorbeeld: Veiligheidsregio Amsterdam-Amstelland of Waternet

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 11 juni 2024 Pagina 5 van 7

vernietiging van informatie en overbrenging naar het Stadsarchief. Op basis van de laatste innovaties kan de beleidsagenda worden geactualiseerd. 3. Het programma Openbaarheid en Informatiehuishouding op orde loopt nog tot eind 2026. De aandacht die dit programma geeft aan informatiebeheer door de gemeente wordt ook verwacht in 2024. Uitvoering aandachtspunten/ aanbevelingen in 2024 Het college gaat verder in de gekozen richting voor privacy, informatiebeveiliging en informatiebeheer. Aan de hand van de verslagen van de toezichthouders kan ik samen met mijn collega’s de betrokken organisatieonderdelen focussen op de genoemde punten. Hierbij worden in ieder geval onderstaande punten op de volgende wijze opgepakt. 1. Bewustwording Het I-domein zal haar bestaande trainingen actualiseren en door middel van campagnes onder de aandacht brengen bij medewerkers en bestuur. Privacybewustzijn is en blijft voor het college een doorlopend aandachtspunt. Daarom is er een elearning privacy en informatiebeveiliging voor iedere medewerker beschikbaar. Ook vinden er op verzoek van directies bewustwordingssessies op specifieke onderwerpen (datalekken, Wet Politiegegevens, AI & Privacy etc.) plaats. Het college maakt voor 2024 en verder een plan om hier blijvend aandacht voor te vragen. Ook wordt er actie ondernomen om de bewustwording over informatiebeveiliging in de organisatie te vergroten.

Voor informatiebeheer is de bewustwording bij de medewerker onderdeel van het programma Openbaarheid en Informatiehuishouding op orde. 2. Risicomanagementsysteem De toepassing van het risicomanagementsysteem wordt verder ingevoerd. Het management zal op basis van dit systeem rapportages ontvangen en worden gewezen op tekortkomingen als die er zijn. Voor informatiebeveiliging wordt de werkwijze risicomanagement dat in 2023 is ingevoerd verder vormgegeven in het systeem. Daarnaast pakt het college nog onderstaande punten op: • Ten aanzien van de privacy contactpersonen zien we een positieve ontwikkeling. Directies die niet eerder privacy contactpersonen hadden, hebben die inmiddels aangewezen. Daarnaast zien we ook steeds meer functies voor compliance officers voor privacy en informatiebeveiliging ontstaan. Het door de FG gevraagde functieprofiel is er al. In 2024 wordt onderzocht hoe hier verder invulling aan wordt gegeven. Dit is ook onderwerp van gesprek bij de meting van het volwassenheidsniveau van de privacybescherming. Het college voert nu de Baseline Privacy Amsterdam (BPA) in. In 2024 meten we de volwassenheid van de directies en wordt er per directie een plan van aanpak opgesteld om de privacyvolwassenheid te verhogen in de komende jaren. De betrokken directeuren, de Chief Information Officer en de portefeuillehouders worden geïnformeerd over de resultaten.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

•

Datum 11 juni 2024 Pagina 6 van 7

De cyberveiligheid van de gemeente is en blijft een belangrijk onderwerp voor het college. De gemeente zet zich in 2024 in voor de implementatie van nieuwe regelgeving over informatiebeveiliging. Hierbij wordt gebruik gemaakt van de evaluatie van de Baseline Informatiebeveiliging Overheid in Amsterdam. De resultaten van de evaluatie bieden kansen om verbeteringen door te voeren

Het college dankt de toezichthouders voor hun werk en gaat met vertrouwen aan de slag met de adviezen. Gerelateerde onderwerpen waarover het college u wil informeren In het verlengde van de jaarverslagen over privacy en informatiebeveiliging wil ik, mede namens mijn collega’s, u nog informeren over twee onderwerpen die hiermee nauw samenhangen. U bent over onderstaande onderwerpen bij eerdere jaarverslagen van de toezichthouders geïnformeerd. Daarnaast zijn onderstaande bevindingen gedeeld met de landelijke toezichthouders. Audit Wet politiegegevens De gemeente heeft in 2023-2024 haar toepassing van de Wet politiegegevens (Wpg) opnieuw laten toetsen door middel van interne audits. Deze zijn als hercontrole naar de Autoriteit Persoonsgegevens verzonden. De resultaten zijn als bijlage opgenomen. De gemeente heeft sinds de vorige auditresultaten een opgaande lijn, maar haalt nog niet de norm. De implementatie van de Wpg is onderdeel van een traject waarbij de werkprocedures, de scholing van medewerkers, de gegevensuitwisseling intern en met externe partners en de invoering van nieuwe applicaties alle een rol spelen. Er is een verbeterplan dat erin voorziet dat we bij de volgende externe audit in 2025 beter scoren op de diverse onderdelen van de Wet politiegegevens.

De gemeente heeft een Privacy Officer aangesteld die zich volledig bezighoudt met het voldoen aan de Wet Politiegegevens. Daarnaast zoeken we samenwerking en afstemming met de andere grote steden. Eenduidige Normatiek Single Information Audit (ENSIA) Als bijlage bij deze brief stuur ik u ook de twee ENSIA-audits mee over de basisregistraties en het gebruik van Suwinet. Over het algemeen ziet de gemeente een verbetering in het voldoen aan de wet- en regelgeving voor basisregistraties en Suwinet. De gebruikte koppelingen en processen voldoen bijna aan de gestelde veiligheidsnormen. Het negatieve oordeel wordt veroorzaakt door strengere regels over de uitvoering van de regels. Daarnaast moet nog een applicatie worden aangepast om te voldoen aan de eisen. De gemeente heeft hiervoor verbeterplannen opgesteld en vertrouwt erop dat de audit over 2024 positief zal zijn. Ik vertrouw erop u hiermee voldoende te hebben geïnformeerd. Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Alexander Scholtes Wethouder ICT en Digitale Stad

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 11 juni 2024 Pagina 7 van 7

Bijlagen 1. Jaarverslag 2023 Functionaris Gegevensbescherming 2. Bestuurlijke rapportage informatiebeveiliging 2024 3. Verslag van de gemeentearchivaris 2023: Toezicht op het informatiebeheer gemeente Amsterdam 4. Privacy-audit Wet politiegegevens – Directie OJZD-onderwijs-afdeling Leerplicht 5. Privacy-audit Wet politiegegevens Domein I II IV V 6. Verantwoordingsrapportage bij het gebruik van Suwinet 2023 7. Verantwoordingsrapportage BAG-BGT-BRO 2023

Een routebeschrijving vindt u op amsterdam.nl