a. Korte weergave rapportages.pdf

Korte weergave rapportages Rapportage 2021 Functionaris gegevensbescherming De rapportage beschrijft de activiteiten die de gemeente in 2021 heeft ondernomen om aan de AVG te voldoen, waar nog actie is vereist en geeft een vooruitblik op 2022. Ook is een overzicht van de datalekmeldingen en verzoeken van burgers bij de gemeente Amsterdam opgenomen. De rapportage is voorzien van een samenvatting. Cijfermatig inzicht in verzoeken van burgers en datalekken:  Via het digitale Loket persoonsgegevens kan de Amsterdammer een verzoek indienen tot inzage, verwijdering of correctie van persoonsgegevens. In 2021 heeft het loket 214 AVG verzoeken in behandeling genomen. Dit betekent bijna een verdubbeling ten opzichte van 2020 toen sprake was van 120 verzoeken. Het is het loket gelukt om haar ambities op het gebied van termijnbewaking waar te maken. In 2021 heeft de gemeente 91% van het totaal aantal ingediende verzoeken binnen de termijn afgehandeld tegen 78% in 2020. Ook is het loket succesvol geweest door in gesprek met burgers hen te bewegen breed ingediende verzoeken te specificeren;  In 2021 zijn 418 datalekken geregistreerd waarvan er 62 bij de landelijke toezichthouder, de Autoriteit Persoonsgegevens, zijn gemeld. Datalekken moeten worden gemeld wanneer er een risico bestaat op nadelige gevolgen voor de burger of werknemer.

Er is sprake van een verdubbeling van het aantal datalekken. Voor het overgrote deel betreft dit GGD-meldingen in verband met Covid-19. Voorbeelden daarvan zijn het per abuis meegeven of toesturen van een vaccinatiebewijs of testuitslag aan de verkeerde persoon. Het datalek dat begin 2021 heeft plaatsgevonden bij de landelijke GGD GHOR organisatie heeft de bewustwording bij de GGD aanmerkelijk vergroot. Dit betrof een datalek waarbij medewerkers gegevens van cliënten op internet te koop aanboden. De belangrijkste aanbevelingen van de FG zijn: • breng de ‘basis op orde’. Dit omvat o.a. de structurele borging van het onderhoud van het verwerkingsregister en de opvolging van de maatregelen die met een risicoanalyse (DPIA) zijn vastgesteld; • vergroot het bewustzijn rondom gegevensbescherming, zorg voor meer zichtbaarheid en effectiviteit van het bestaande programma ‘Weet wat je deelt’ en waar mogelijk synergie met andere programma’s; • draag zorg voor de gemeente brede invulling van het operationeel risicomanagement. Dit stelt de gemeente in staat om de benodigde maatregelen te nemen om haar risico’s te beheersen, oftewel ‘in-control’ te zijn. In 2021 heeft de Functionaris gegevensbescherming 50 klachten ontvangen tegen 27 in 2020.

De onderwerpen zijn divers, een verzoek is regelmatig het gevolg van gebrekkige communicatie of het door de gemeente verzamelen en/of uitvragen van teveel gegevens.

Gemeente Amsterdam, raadsinformatiebrief

Datum 16 juni 2022 Pagina 2 van 5

De zorgvuldige omgang met persoonsgegevens is een continu proces wat vraagt om voldoende middelen en doorlopend aandacht van zowel bestuur, management als medewerkers.

Rapportage informatiebeveiliging 2021 De rapportage beschrijft de activiteiten, incidenten en ontwikkelingen ten aanzien van informatieveiligheid bij de gemeente Amsterdam over het jaar 2021 en geeft ook een vooruitblik op 2022. In de rapportage zijn ook de uitkomsten opgenomen van de ENSIA-audit op de gemeentelijke DigiD-portalen en de zelfevaluatie naar het voldoen aan de landelijk voorgeschreven normen voor informatiebeveiliging (Baseline Informatiebeveiliging Overheid). Het belang van voldoende informatiebeveiliging neemt steeds meer toe. In toenemende mate zien we dat organisaties te maken hebben met cybercriminelen die (ook bij overheidsorganisaties) informatie willen stelen of door middel van gijzelsoftware (ransomware) processen willen verstoren. Als hoofdstad van Nederland zijn we ons zeer bewust van onze verantwoordelijkheid om de informatie waarover wij beschikken te beschermen. Amsterdam blijft werken aan het op peil brengen en houden van onze digitale weerbaarheid:  Amsterdam is als een van de eerste gemeenten aangesloten op het Nationaal Detectie Netwerk (NDN) van de Rijksoverheid.

In het NDN werken rijksoverheidsorganisaties en vitale private organisaties samen aan een veilige digitale samenleving door onderling dreigingsinformatie te delen om risico’s en gevaren sneller waar te nemen;  We blijven werken aan het doorvoeren en handhaven van de Baseline Informatiebeveiliging Overheid (BIO), waarmee in 2020 is gestart. De gemeente verwacht eind 2023 de implementatie te hebben afgerond. De BIO legt de basis voor een weerbare organisatie, waarbij de nadruk ligt op het continu verbeteren door in te spelen op actualiteit en vernieuwing;  Een eerste red team-oefening - een cyberweerbaarheidsoefening in de vorm van een realistische aanvalssimulatie - is eind 2021 gehouden in het ICT-domein met als doel het verbeteren van de digitale weerbaarheid door te focussen op mens, techniek en proces. In navolging van de rijksoverheid heeft de gemeente de ambitie om deze vorm van cyberweerbaarheidsoefeningen standaard op te nemen in de planning- en controlcyclus;  Het stedelijke autorisatiebeheerproces is in 2021 volledig herzien. De implementatie hiervan loopt door tot eind 2022. De verantwoordelijkheid hiervoor is op één plek in de organisatie belegd, zodat een uniform en eenduidig proces kan worden geborgd.

Het toetsen en opschonen van autorisaties in alle informatiesystemen vindt vanaf 2022 jaarlijks plaats;  We hebben in 2021 het project Mobile Device Management afgerond. Daarmee zijn duizenden telefoons, tablets en laptops beveiligd en beheerd. Amsterdam werkt niet alleen aan de eigen weerbare informatiehuishouding maar via de Agenda Digitale Veiligheid ook aan de digitale veiligheid en weerbaarheid van bewoners, bedrijven, instellingen en infrastructuur met als doel deze te verbeteren. Een onderdeel van de agenda Digitale Veiligheid dat de veiligheid van de eigen gemeentelijke informatie raakt, is het opzetten en uitbouwen van een ecosysteem waarin publieke en private organisaties de laatste dreigingsinformatie met elkaar kunnen delen, elkaar op de hoogte stellen van incidenten en

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 16 juni 2022 Pagina 3 van 5

kwetsbaarheden en samenwerken bij de afhandeling van grote incidenten en calamiteiten. Deze samenwerking is in 2021 gestart en wordt de komende jaren geformaliseerd en verder uitgebouwd. In het kader van de jaarlijkse ENSIA-audit is een zelfevaluatie uitgevoerd om te zien in hoeverre de gemeente voldoet aan de Baseline Informatiebeveiliging Overheid. Het algemene beeld laat zien dat alle aspecten van de BIO globaal op orde zijn, maar dat nog verbeteringen mogelijk zijn in de beheersing van risico’s en het voldoen aan de basisnormen van de BIO. De rapportage bevat ook de uitkomsten van de (verplichte) jaarlijkse audit naar de staat van de informatiebeveiliging van onze DigiD-portalen. Via de landelijke DigiD-voorziening kunnen burgers toegang krijgen tot de digitale dienstverlening van de overheid. De gemeente Amsterdam beschikt over zes verschillende DigiD-portalen. Bij twee portalen is een tekortkoming geconstateerd. Deze punten moeten worden binnen de door de landelijk toezichthouder gestelde termijn worden opgelost. Speerpunten 2022 voor informatiebeveiliging zijn:  Er wordt verder ingezet op het verhogen van digitale weerbaarheid en voldoen aan weten regelgeving. Het stedelijk risicomanagementsysteem wordt vernieuwd en uitgebreid met risicobeheersing voor informatie.

Hierdoor is het vanaf 2022 mogelijk om op stedelijk niveau beter inzicht te krijgen in de mate van beheersing van informatiebeveiligingsrisico’s en in hoeverre wordt voldaan aan wet- en regelgeving;  In voorgaande jaren is er te weinig voortgang geweest op het vlak van continuïteitsmanagement. Er wordt een business continuity manager aangesteld, die als opdracht heeft om de plannen/acties op dit gebied uit te werken en daarmee de continuïteit van de ICT-voorzieningen te borgen;  De gemeente heeft strategische uitdagingen en ambities in de informatievoorziening om het ‘Eigen huis op orde’ te brengen, digitaal te transformeren en datagedreven te werken in het I-domein vinden veel vernieuwingen plaats; zo is een nieuwe toekomstbestendige Amsterdamse Werkplek (ADW) ontwikkeld, die in 2022 wordt uitgerold naar alle medewerkers, en is een transformatie gestart naar het werken ‘in de cloud’, met mobiele apparatuur, en naar standaardisatie, opgavegericht en wendbaar werken. Daarbij wordt het uitgangspunt “security by design” gehanteerd  De gemeente Amsterdam participeert actief in landelijke overleggen met de VNG en landelijke toezichthouders om toe te werken naar een praktisch volwassenheidsmodel voor informatiebeveiliging, waarop de ENSIA-methodiek moet gaan aansluiten. Daarmee kunnen gemeenten beter hun ambities en feitelijke status qua volwassenheid rapporteren.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 16 juni 2022 Pagina 4 van 5

Jaarverslag 2021 Gemeentearchivaris Het doel van de Archiefwet vertaalt zich in de vijf functies van archiveren. Archiveren doen we ten behoeve van communicatie, bewijs voor de rechtzoekende burger, verantwoording van de overheid, (her)gebruik van informatie en beschermen van erfgoed. De naleving van de Archiefweten regelgeving is zo belangrijk voor onze democratie, dat ook het toezicht op het informatiebeheer wettelijk is vastgelegd. Toezicht op informatiebeheer In 2021 is de tweede ronde van het cyclische kwaliteitssysteem uitgevoerd bij alle organisatieonderdelen (directies) op de onderzochte indicatoren voor de staat van het informatiebeheer. De resultaten hiervan zijn terug te lezen in het Verslag van de gemeentearchivaris 2021. Naast het risicomanagement, bevat het verslag samenvattingen en updates met betrekking tot vernietigen, vervangen, overbrengen, openbaarheid en raadplegen, naast ontwikkelingen in de stad met belangrijke gevolgen voor het informatiebeheer. Conclusies Alle organisatieonderdelen van de gemeente rapporteren ieder jaar over zeven indicatoren voor degelijk informatiebeheer. De uitkomsten worden getoetst en gewogen aan de hand van kaders van de Archiefwet. De organisatie werkt aan het verbeteren van informatieprocessen en heeft zicht op wat er nog moet gebeuren. Alleen de geautomatiseerde procesafhandeling blijft achter.

Dit is terug te zien in de stappen naar tijdige vernietiging, openbaarheid en digitale overbrenging naar het e-Depot van het Stadsarchief. De uitvoering van de reorganisatie van het i-domein biedt, naast een andere manier van werken en ontwikkelen, kansen voor het Informatiebeheer. Er wordt gewerkt aan een werkbare oplossing voor e- mailarchivering en aan een nieuwe werkomgeving (de nieuwe ADW), die grote invloed zal hebben op het informatiebeheer van de organisatie. De keten van informatie vanuit de gemeente naar de raadpleegomgeving van het Stadsarchief is functioneel verbeterd, rijker door meer informatie, completer in samenhang en sneller in openbaarheid. Aanbevelingen De gemeentearchivaris doet dit jaar de volgende aanbevelingen om het informatiebeheer van de gemeente te verbeteren: a. Maak werk van informatiebeheer in de Amsterdamse Digitale Werkplek 3 (ADW3): maak richtlijnen voor het controleren van de duurzaam toegankelijke omgang met informatie in de nieuwe digitale werkplek. Controleer in verschillende fases de kwaliteit van de werkomgeving; b. Maak heldere en werkbare richtlijnen voor berichtenapps: let op de openbaarheid en archiveerbaarheid van tekstberichten uit berichtenapplicaties; c. Maak e-mailarchivering makkelijker: maak op basis van de beschikbare selectielijst voor emailarchivering, heldere en werkbare richtlijnen voor mailarchivering;

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

Datum 16 juni 2022 Pagina 5 van 5

d. Maak vernietiging mogelijk: zoek oplossingen voor vernietiging in protocol, proces en/of vakapplicatie; e. Sluit aan op de behoeften vanuit de business: beleg de rollen, taken en bevoegdheden voor het informatiebeheer van organisatie zodat er structureel vormen van beheer en kwaliteitsmanagement plaatsvindt.

Een routebeschrijving vindt u op amsterdam.nl