Raadsinformatiebrief compliancy v1.0.pdf

Raadsinformatiebrief

Aan: Datum Portefeuille(s) Portefeuillehouder(s): Behandeld door

Onderwerp

De leden van de gemeenteraad van Amsterdam 12 september 2023 Juridische Zaken, ICT en Digitale Stad Femke Halsema, Alexander Scholtes Dick de Maa, Digitale Strategie en Informatie (bestuurszaken.dii@amsterdam.nl) Compliancy

Geachte leden van de gemeenteraad, In de commissievergadering FKD van 22 juni 2023 heeft wethouder Scholtes u een brief toegezegd over het onderwerp compliancy binnen de gemeentelijke ICT en informatievoorziening. Dit is een belangrijk onderwerp dat regelmatige aandacht vergt en verdient. Omdat compliancy zowel juridische zaken als ICT betreft hebben we besloten er een gezamenlijke brief van te maken. Hieronder zullen we een en ander toelichten, met de focus op de belangrijkste wet- en regelgeving met betrekking tot informatiebeveiliging, privacy en openbaarheid en informatiebeheer. De weten regelgeving daarbij bestaat uit de Baseline Informatiebeveiliging Overheid (BIO), de Algemene Verordening Gegevensbescherming (AVG), de Wet politie gegevens (Wpg), de Wet open overheid (Woo) en de Archiefwet. Naast deze brief is er ook een technische sessie toegezegd die op een nog via de griffie met u af te stemmen moment na het reces zal plaatsvinden. Wat verstaan we onder compliancy? Compliancy (naleving, voldoen aan) houdt in dat een organisatie werkt in overeenstemming met bestaande wet- en regelgeving, normen en richtlijnen. Daarbij kan het gaan om regelgeving van buiten (rijksoverheid en Europa) maar ook om beleidskaders die de gemeente zelf heeft vastgesteld.

Bij het beoordelen van de compliancy, dus het bezien aan welke onderdelen van de wet we wel of niet voldoen, is de ingangsdatum van (onderdelen van) de wet bepalend. Vóór die datum is in strikte zin nog geen sprake van het niet voldoen aan de wet. Wel kan in die periode vastgesteld worden hoe ver de organisatie gevorderd is met de voorbereidingen op de nieuwe wet- en regelgeving. Een voorbeeld van deze fasering zien we bij de Wet open overheid (Woo). Daarin zijn 11 categorieën van informatie opgenomen waarbij de overheid verplicht is deze actief openbaar te maken. De ingangsdatum van deze 11 categorieën is nog niet vastgesteld, dat wordt nog via een

Gemeente Amsterdam, raadsinformatiebrief

12 september 2023 Pagina 2 van 10

algemene maatregel van bestuur bepaald. Er kan dus met betrekking tot actieve openbaarheid geen sprake zijn van incompliancy. Amsterdam heeft zelf de ambitie gesteld om in 2023 zowel de 11 categorieën als een aantal andere gemeentelijke onderwerpen actief openbaar te maken. Een voorbeeld van compliancy bij intern-gemeentelijke beleidskaders zien we bij het algoritmeregister. Dit is door Amsterdam, samen met Helsinki, als eerste ingericht, nog voordat er sprake was van landelijke initiatieven. Op dit onderwerp wordt wetgeving verwacht, maar op dit moment zijn het onszelf opgelegde regels. Wie is verantwoordelijk voor de compliancy? Compliancy wordt binnen de gemeente Amsterdam georganiseerd volgens het principe van de stelselverantwoordelijkheid. Voldoen aan wet- en regelgeving bij digitalisering is een integraal kwaliteitsaspect van vrijwel elke portefeuille, waar de desbetreffende portefeuillehouder bestuurlijk verantwoordelijk voor is. Daarnaast is er een centrale verantwoordelijkheid om een ondoelmatige versnippering te voorkomen. Dat betreft de burgemeester ten aanzien van basisregistraties, openbaarheid en informatiebeheer, en de portefeuille ICT en Digitale Stad ten aanzien van informatiebeveiliging en privacy.

De centrale aspecten van de stelselverantwoordelijkheid omvatten het opstellen van gemeentelijk beleid, de opbouw van centrale expertise, het beschikbaar stellen van generieke voorzieningen en dergelijke, alsmede het toezicht op de decentrale toepassing. De decentrale verantwoordelijkheid, van alle portefeuillehouders, omvat het daadwerkelijk toepassen van de wet- en regelgeving en het gemeentelijk beleid bij opgaven, projecten en bestaande processen binnen de eigen portefeuille. Hiertoe behoort ook de aanpak van incidenten, bijvoorbeeld als zich ergens een datalek voordoet. Ambtelijk zien we eenzelfde verantwoordelijkheidsverdeling: de Chief Information Officer (CIO) is verantwoordelijk voor de regie op de aanpak en het realiseren van de centrale aspecten zoals de beschikbaarheid van expertise en een goede ondersteuning. De clusters en directies zijn verantwoordelijk voor de toepassing daarvan in hun werkzaamheden. Deze verantwoordelijkheidsverdeling zien we bijvoorbeeld terug bij de uitwerking van de informatiebeveiliging. De implementatie van de Baseline Informatiebeveiliging Overheid (BIO) vindt plaats doordat de Chief Information Security Officer (CISO) erop toeziet dat de directies aan de voorgeschreven eisen voldoen. Deze hebben daarvoor in 2022 een gap-analyse en een verbeterplan gemaakt, dat in 2023 wordt uitgevoerd. De BIO levert hiervoor een toereikend kader.

Bij de AVG en de Archiefwet is wettelijk geregeld dat er interne onafhankelijke toezichthouders aangesteld moeten worden, de Functionaris Gegevensbescherming (FG) en de Gemeentearchivaris. Ten aanzien van BIO en Woo vervullen de Chief Information Security Officer (CISO) en de Informatiecommissaris deze interne toezichtrol.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

12 september 2023 Pagina 3 van 10

Honderd procent compliant? Een terugkerend thema is dat van honderd procent compliancy. Het college heeft in de reacties op het accountantsverslag en de rekeningencommissie aangegeven dat honderd procent niet altijd mogelijk is, en dat bovendien honderd procent veiligheid niet zonder meer bereikt wordt met het voldoen aan de wet alleen. Dit vraagt om een toelichting. In de wereld van IT-auditing wordt gebruik gemaakt van de volgende criteria:  Opzet: de organisatie heeft de beheersingsmaatregelen beschreven die, indien deze werken zoals beschreven, een redelijke mate van zekerheid bieden dat voorzien is aan de borging van de wettelijke eisen. Het gaat er dan dus om dat beleid is vastgesteld, een proces is ontworpen, benodigde voorzieningen zoals applicaties of registraties zijn vastgesteld, etc.  Bestaan: de organisatie heeft de beheersingsmaatregelen overeenkomstig de opzet geïmplementeerd en toegepast.  Werking: de beheersingsmaatregelen zijn gedurende een bepaalde periode daadwerkelijk toegepast en werken zoals bedoeld was. Ten aanzien van opzet en bestaan is honderd procent compliancy haalbaar. Met de aantekening dat opzet in Amsterdam tot het centrale deel van de stelselverantwoordelijkheid behoort – en dus relatief eenvoudig te realiseren is. Bestaan is al complexer, omdat het de decentrale verantwoordelijkheid is.

De maatregelen moeten bij elke directie worden geïmplementeerd, dus honderd procent vereist ruim 50 gerealiseerde implementaties. Bij de informatievoorziening gaat het daarbij niet alleen om organisatiegerichte beheersmaatregelen, maar ook om maatregelen die per proces of informatiesysteem moeten worden geïmplementeerd. Amsterdam beschikt over vele honderden processen en ongeveer 1200 informatiesystemen (applicaties) . Daarin is nog wel enige nadere rationalisatie mogelijk, maar door het grote aantal en de diversiteit aan taken van de gemeente blijven het er veel. Een voorbeeld: bij Dienstverlening bestaat het ICT-landschap momenteel uit vele toepassingen die verschillende dienstverleningstaken ondersteunen. Momenteel loopt een project om een éénduidig landschap te implementeren dat de bestaande toepassingen vervangt. Bij werking is honderd procent compliancy over de gehele linie eigenlijk niet realistisch. Dat komt onder meer omdat doelstellingen ruimte kunnen laten voor interpretatie, bijvoorbeeld door het gebruik van termen als “voldoende” of “adequaat”. Verder is sommige regelgeving onbegrensd (zoals de Woo, die geen beperkingen stelt aan verzoeken tot openbaarmaking). Er ontstaan bovendien voortdurend nieuwe mogelijkheden en dus potentiële bedreigingen, waar de bestaande beheersingsmaatregelen wellicht nog geen voldoende antwoord op hebben.

Vandaar de opmerkingen van het college dat compliancy een doorlopend proces is en dat de organisatie blijvend alert moet zijn. Het in control zijn: “weten welke risico’s er zijn en daarop sturen” is daarbij essentieel. Wij zien dat externe toezichthouders steeds meer zullen vragen om een toetsing op de werking te laten uitvoeren, bijvoorbeeld op specifieke stelsels of systemen. Een dergelijke toetsing wordt

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

12 september 2023 Pagina 4 van 10

uitgevoerd door de audit-organisatie. Tenslotte is ook het risicoperspectief relevant: het nemen van maatregelen kost tijd en geld, die niet onbeperkt beschikbaar zijn. Daarom zal er gewerkt moeten worden met risico-afwegingen en prioriteringen. Amsterdam richt dit jaar (2023) het risicomanagement voor informatiebeveiliging, privacy en informatiebeheer opnieuw in. De risico's gaan worden vastgelegd in het stedelijke risicomanagement systeem, zodat zowel per directie als op concern niveau een goed zicht ontstaat, zowel op de risico's zelf als op het oplossen daarvan. Directies zijn risico-eigenaar, specialisten (information security officers, privacy officers en informatiebeheerders) helpen bij het terugbrengen van de risico’s naar een aanvaardbaar niveau. Als de gemeente in bepaalde gevallen niet honderd procent compliant is (bijvoorbeeld omdat er nog proceduremaatregelen ontbreken), wil dat niet zonder meer zeggen dat er sprake is van een onveilige situatie of van een verhoogd risico op bijvoorbeeld hacks. Er zijn ook los van wet- en regelgeving tal van beveiligingsmaatregelen getroffen die ervoor zorgen dat we elke dag cyberaanvallen afslaan. Wat is het doel, als honderd procent compliancy niet altijd haalbaar is? Het college is van mening dat honderd procent voldoen aan wet- en regelgeving altijd het streven moet zijn. Simpelweg omdat het moet.

En omdat het noodzakelijk is voor het vertrouwen in en de geloofwaardigheid van de overheid. Concreet betekent dit het volgende: Voor wet- en regelgeving die op dit moment van kracht is, moet honderd procent compliancy gehaald worden ten aanzien van de opzet en het bestaan van de beheersingsmaatregelen. Dat wil zeggen dat de beheersingsmaatregelen (beleid, proces, voorzieningen, et cetera) zijn vastgesteld en (gemeentebreed) zijn geïmplementeerd. Als dat (nog) niet zo is, moet de gemeente dat kunnen uitleggen, bijvoorbeeld omdat de gemeente er door organisatorische of technische omstandigheden nog niet geheel in is geslaagd de implementatie af te ronden. In dat geval dienen ook de risico’s van het niet-voldoen aan de wet geformuleerd te zijn. Ten aanzien van de werking van de beheersingsmaatregelen geldt dat honderd procent compliancy over de gehele linie niet realistisch is. In deze situaties geldt het uitgangspunt van in control zijn, “weten welke risico’s er zijn en daarop sturen”. Dit vindt plaats door periodiek te testen, te onderzoeken, audits te laten uitvoeren, en uiteraard door signalen van (landelijke) organisaties ter harte te nemen. Eventuele bevindingen die hieruit voortkomen kunnen leiden tot het actualiseren van de opzet en bestaan van de beheersingsmaatregelen.

Dat kan dus betekenen dat het beleid wordt aangepast op basis van de nieuwe inzichten, of dat het proces wordt aangescherpt, instructies voor medewerkers worden verduidelijkt, et cetera. Dit alles impliceert dat er zich, ondanks alle maatregelen, toch incidenten kunnen blijven voordoen. Dan moeten de daarvoor bestemde procedures worden gevolgd, zoals het melden van datalekken bij de Autoriteit Persoonsgegevens. En dan moet bezien worden of het incident

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

12 september 2023 Pagina 5 van 10

voortkomt uit gebreken in opzet of bestaan van beheersingsmaatregelen, die dan dus aanpassing vergen. Ten aanzien van wet- en regelgeving die nog niet (volledig) van kracht is geldt dat de honderd procent compliancy van opzet en bestaan van de beheersingsmaatregelen het doel is waarnaar we streven, met, voor zover bekend, de ingangsdatum van de wet als deadline. Dit betreft voorbereidingsmaatregelen, zoals die nu spelen voor onderdelen van de Woo. Hoe ondersteunen en toetsen we de compliancy? De stelselverantwoordelijkheid zorgt ervoor dat er centrale en decentrale aspecten aan de orde zijn bij het voldoen aan de compliancy. De decentrale aspecten die onder verantwoordelijkheid van de directies en de respectievelijke portefeuillehouders worden uitgevoerd, worden op verschillende manieren getoetst, afhankelijk van de situatie:  Voor het werk in opgaves en projecten geldt een systeem van kwaliteitszorg waarbij aan de voorkant (‘by design’) de benodigde maatregelen worden opgenomen in processen en systemen.  In het kader van de BIO hebben alle directies gap-analyses en verbeterplannen opgesteld, waarin is aangegeven welke acties nodig zijn om compliant te worden. Over de voortgang hiervan wordt door de directies gerapporteerd.

 Ten aanzien van Privacy wordt het AVG Borgingsproduct 3.o dat is ontwikkeld door de Informatiebeveiligingsdienst (IBD) als normenkader gebruikt voor rapportages. De hoofddoelstelling van het AVG Borgingsproduct is het geven van een eenduidige baseline voor wat gemeenten moeten doen om aan de AVG te voldoen. Het product schrijft precies de zaken voor die geregeld moeten zijn om de organisatie in staat te stellen om voortdurend aan de wet te kunnen blijven voldoen. Er zijn diverse registraties, waaronder die van Fully in Control, waarin een en ander wordt bijgehouden. Centraal worden deze gegevens geaggregeerd, leidend tot kwartaalrapportages aan de CIO. De CIO breng een geïntegreerde rapportage uit aan het GMT en bespreekt de gegevens van de kwartaalrapportages met de stedelijk directeuren, zodat er kortcyclisch bijgestuurd kan worden. Een risicorapportage wordt elk kwartaal besproken met de portefeuillehouder. Een ander voorbeeld is dat van de lopende Woo-verzoeken. De directies en stadsdelen rapporteren aan de informatiecommissaris, die vervolgens maandelijks het bestuur informeert. De burgemeester als stelselverantwoordelijke ontvangt de maandrapportage over het geheel en de vakportefeuilles ontvangen rapportages binnen hun portefeuille.

Directies en stadsdelen worden bij het nakomen van hun verplichtingen ondersteund en geadviseerd door experts op het gebied van onder meer privacybescherming, informatiebeveiliging en informatiebeheer. Er zijn tal van hulpmiddelen en standaardprocessen beschikbaar. Directies en stadsdelen krijgen informatie over hoe zij ervoor staan zodat zij daarop kunnen acteren.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

12 september 2023 Pagina 6 van 10

Zowel centraal als decentraal kan er gebruik gemaakt worden van externe adviezen, onderzoeken, audits, testen en dergelijke. En er zijn de jaarlijkse aanbevelingen van ACAM en Rekeningencommissie, alsmede de onderzoeken van de Rekenkamer. De aanbevelingen van ACAM, Rekeningencommissie, Rekenkamer en Interne Audit worden geregistreerd in Fully in Control. Daarin worden ook de voortgang en de afhandeling opgenomen. Deze registratie is de bron voor rapportages aan GMT en de raad. Naast deze intern-gemeentelijke toetsing is er sprake van toezicht door landelijke en provinciale toezichthouders. ENSIA is een methodiek die door de VNG en het rijk ontwikkeld is, waarbij compliance-audits zoveel mogelijk worden samengevoegd en de rapportages gezamenlijk worden aangeboden op hetzelfde moment in een jaar (vóór 1 mei). Dit betreft zowel het aanbieden van de rapporten door het college aan de landelijk toezichthouders (verticale verantwoording) als aan de gemeenteraad (horizontale verantwoording). De ENSIA-auditrapportages zijn ter kennisname geagendeerd voor de raadscommissie FKD op 13 juli 2023, bij het agendapunt Kennisnemen van de jaarverslagen van de Functionaris Gegevensbescherming, de Chief Information Security Officer en gemeentearchivaris 2022. Bij de ENSIA-audits wordt gebruik gemaakt van uniforme, landelijk voorgeschreven, formats.

Met de ENSIA-auditsystematiek zijn per 31 december 2022 de compliance op diverse onderdelen getoetst op opzet en bestaan. Het betreft de informatiebeveiliging van de gemeentelijke aansluitingen op Suwinet (de landelijke voorziening waarmee overheidsinstellingen gegevens uitwisselen over werk, inkomen, uitkeringen en dergelijke) en DigiD (de landelijke voorziening die regelt dat burgers toegang krijgen tot de digitale gemeentelijke dienstverlening), en de uitvoering en het bijhouden van de basisregistraties Adressen en Gebouwen, Grootschalige Topografie, Ondergrond en Waarde Onroerende Zaken. In enkele gevallen zijn tekortkomingen geconstateerd, daar zijn vervolgens verbetertrajecten op ingezet. Wat als we niet honderd procent compliant zijn? Het voldoen aan wet- en regelgeving wordt getoetst door de interne toezichthouders (CISO voor informatiebeveiliging, FG voor privacy, Gemeentearchivaris voor informatiebeheer, Informatiecommissaris voor openbaarheid), mede op basis van waarnemingen van de vakgroepen in het i-domein en al dan niet met behulp van interne of externe onderzoeken, audits en dergelijke. De CISO, FG en Gemeentearchivaris rapporteren via het College jaarlijks aan de raad over de stand van zaken. Ten aanzien van openbaarheid loopt een groot implementatieprogramma, waarover de informatiecommissaris via de burgemeester rapporteert.

Als de toezichthouder constateert dat een directie in gebreke is met (een element van) bestaande wet- en regelgeving, dan wordt die directie daarop aangesproken. Als er sprake is van een structureel probleem wordt er door de betreffende directie in samenwerking met het i-domein een verbeterplan opgesteld en uitgevoerd.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

12 september 2023 Pagina 7 van 10

Hoe zit het met de invoering van de BIO? Vooraf: de BIO is in formele zin nog geen wet maar een norm die voor de hele overheid wordt gehanteerd. De VNG heeft deze standaard voor gemeenten vastgesteld, net als de ministerraad voor de rijksoverheid. Via de Wet Beveiliging Netwerk en Informatiesystemen (WBNI) zal de BIO in de toekomst een wettelijke status gaan krijgen. Amsterdam heeft een meerjarig implementatieprogramma voor de BIO vastgesteld, dat we nu uitvoeren. De BIO is een groot pakket aan maatregelen (‘controls’) om de informatiebeveiliging op orde te krijgen. Ongeveer honderd van die controls zijn gemeentebrede maatregelen die bij een specifieke directie worden belegd, vaak P&O, Facilitair of Digitale Voorzieningen. Daarnaast zijn er 37 generieke controls die elke directie moet implementeren. Hiervoor hebben alle directies, ondersteund door de vakgroep Informatiebeveiliging, in 2022 een gap-analyse en een verbeterplan opgesteld. In 2023 worden deze verbeterplannen uitgevoerd, onder toezicht van de CISO. Dit wordt naar verwachting eind 2023 afgerond. In de CISO-rapportage van begin 2024 kunnen dan conclusies worden getrokken over de mate van compliancy van de gemeente met de BIO. Het is mogelijk dat, naast de BIO, ook andere normen op het gebied van informatiebeveiliging van toepassing zijn.

Dat is op dit moment het geval met de normen van het Forum Standaardisatie, waaraan overheidsorganisaties moeten voldoen. Dit betreft dan dus de mate waarin opzet en bestaan van deze controls is gerealiseerd. Als een control, centraal of bij een directie, niet is geïmplementeerd leidt dat tot een verhoogd risico. Bijvoorbeeld: als een nieuwe versie van een applicatie niet tijdig wordt geïnstalleerd, kan dat betekenen dat er een kwetsbaarheid blijft bestaan. Wanneer er misbruik van zo'n kwetsbaarheid wordt gemaakt, kan dat gevolgen hebben voor de gehele informatievoorziening van de gemeente. De kwetsbaarheid is dan gebruikt als 'stepping stone' om binnen te dringen in het netwerk. Hoe zit het met privacy (AVG en Wpg)? Voorafgaand aan een verwerking van persoonsgegevens hoort deze getoetst te worden op privacy-aspecten om er voor te zorgen dat de uiteindelijke verwerking conform de regels van de AVG is. Idealiter gebeurt dit zo vroeg mogelijk in het proces zodat met de eisen uit de AVG rekening kan worden gehouden bij de inrichting van het proces (privacy-by-design). Bij hoogrisicoverwerkingen moet verplicht een Data Protection Impact Assessment (DPIA) worden opgesteld. De criteria hiervoor staan in de AVG. Elke verwerking van persoonsgegevens door de gemeente moet worden opgenomen in het verwerkingsregister. Dit register is sinds april 2023 openbaar.

De landelijke toezichthouder, de Autoriteit Persoonsgegevens (AP), heeft tien stappen benoemd die organisaties kunnen helpen bij de implementatie van de nieuwe Europese privacywetgeving (AVG). De tien stappen zijn: Stap 1: Zorg voor bewustwording (door de hele organisatie, van hoog naar laag). Stap 2: Organiseer de rechten van betrokkenen (o.a. inwoners, bedrijven, ambtenaren). Stap 3: Heb een overzicht van alle verwerkingen.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

12 september 2023 Pagina 8 van 10

Stap 4: Neem Data Protection Impact Assessment (DPIA) af. Dit is de risicoanalyse voor privacy. Stap 5: Zorg dat privacy-by-design- en privacy-by-default-principes worden toegepast. Stap 6: Zorg voor een Functionaris voor de gegevensbescherming (FG). Stap 7: Heb een proces voor de meldplicht datalekken. Stap 8: Sluit verwerkersovereenkomsten af. Stap 9: Er is één leidende toezichthouder (vooral relevant bij internationaal gegevensverkeer). Stap 10: Bij toestemming als geldige grondslag voor gegevensverwerking gelden strengere eisen. We hebben procedures opgesteld en maatregelen ingevoerd om aan bovenstaande tien stappen van de AP te voldoen. We zetten blijvend in op bewustwording van deze privacywetgeving en monitoren op het toepassen van de maatregelen die geadviseerd zijn om aan de AVG te voldoen. Momenteel zijn we deze monitoring verder aan het optimaliseren door het risicomanagementsysteem van Fully-inControl nader voor privacy in te richten. Zo zal straks op onderwerpen uit de AVG en op directieniveau de mate van compliancy kunnen worden vastgelegd. Ook voor privacy geldt dat voldoen aan wet- en regelgeving een continue proces is. Dit betekent dat er blijvend aandacht moet zijn voor de AVG en de Wpg. Een voorbeeld daarvan is de aanpak van DPIA’s. Zoals gesteld kent Amsterdam honderden processen. Tot nu toe vindt op alle nieuwe processen een DPIA plaats.

Er wordt een inhaalslag gemaakt op de bestaande processen of processen die grote wijzigingen hebben doorgemaakt. En na het afronden van een DPIA begint het echte werk pas, doorvoeren van alle maatregelen om te voldoen aan de wet.. De AVG schrijft voor dat organisaties technische maatregelen moeten treffen om persoonsgegevens te beschermen. Privacy en Informatiebeveiliging gaan hierin hand in hand. Met betrekking tot de Wpg geldt, zoals al eerder is geconstateerd, dat op dit moment de gemeente, zoals alle overheidsinstellingen, hier nog een inhaalslag te maken heeft. Diverse betrokken directies werken al aan verbeteringen. Op dit moment wordt door de vakgroep Privacy een deskundige aangetrokken, die een plan zal gaan opstellen om de verbeteracties uit de ACAMaudit uit te voeren. Daarmee zal de Wpg-compliancy op niveau gebracht worden. Hiervoor zal uiteraard worden aangesloten bij hoe dit voor de AVG is geregeld. Hoe zit het met de openbaarheid en informatiehuishouding (Woo en Archiefwet)? Voor de implementatie van de Woo en de daarvoor noodzakelijke verbetering van het informatiebeheer loopt een groot programma, dat als doelstellingen heeft: Eind 2023 wordt tachtig procent van de Woo-verzoeken binnen de wettelijke termijn  van vier plus twee weken behandeld. Eind 2023 zijn alle elf verplichte categorieën actief openbaar gemaakt.

 Eind 2023 is de informatiehuishouding ‘adequaat’ volgens de normen van het  interbestuurlijk toezicht, uitgevoerd door de provinciale archiefinspectie.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief



12 september 2023 Pagina 9 van 10

Eind 2026 is de informatiehuishouding structureel op orde, waaronder het informatiebeheer binnen de nieuwe Amsterdamse Werkomgeving.

De onderdelen van de Woo met betrekking tot het afhandelen van Woo-verzoeken binnen de termijn zijn al van kracht. We kunnen dus stellen dat we hierop tachtig procent compliancy moeten bereiken. De actieve openbaarmaking van de elf categorieën is nog niet van kracht, maar we vorderen met de voorbereidingen: op dit moment worden vijf categorieën via het publicatiekanaal open.amsterdam volledig gepubliceerd, vijf gedeeltelijk en één nog niet. Daarnaast worden er ook dossiers actief openbaar gemaakt waarvoor veel maatschappelijke belangstelling is, zoals preventief fouilleren en erfpacht. Het is bekend dat we moeite hebben om alle Woo-verzoeken binnen de gestelde wettelijke termijn af te handelen. Er worden op dit moment verschillende maatregelen doorgevoerd om het proces van afhandelen te verbeteren en te versnellen. We richten ons specifiek op de dienstverlening aan verzoekers, bijvoorbeeld door het gesprek met verzoekers over de informatiebehoefte en door de verzoeker mee te nemen in het proces van het zoeken naar en het vinden van informatie. Daarnaast versterken we de stedelijke sturing en monitoring en handelen we verzoeken af met behulp van multidisciplinaire afhandelteams. Het op orde brengen van de informatiehuishouding is essentieel voor het uitvoeren van de Woo.

Een risico hierbij is de beschikbaarheid van deskundige medewerkers omdat de arbeidsmarkt krap is: we zijn niet de enige overheidsorganisatie die hiermee aan de slag is. De Woo geeft ons acht jaar om dit te regelen en daarvoor moet een meerjarenplan Informatiehuishouding op Orde worden opgesteld. De eigen ambities vragen om meer tempo. Dit meerjarenplan betreft het volgende. Gemeentelijke informatie moet zodanig worden beheerd dat informatie vindbaar, beschikbaar en bruikbaar is en blijft. Daarnaast moet informatie tijdig worden vernietigd. De gemeentearchivaris en de interbestuurlijk toezichthouder hebben aangegeven dat we nu niet compliant zijn aan de archiefwet, zie onder andere het jaarverslag van de gemeentearchivaris. Zo hebben we geen goed overzicht van de informatie die we beheren en wordt informatie niet altijd tijdig vernietigd en/of overgebracht naar het Stadsarchief. In 2023 wordt een ontwerp gemaakt van de informatiehuishouding van de gemeente in 2026. Deze werkwijze wordt in 2024 ingevoerd in de organisatie, in 2023 starten we met de migratie van data naar de nieuwe samenwerkingsomgeving. In deze omgeving is een inrichting aanwezig gebaseerd op templates, metadata en workflows, zodat sturing mogelijk is. Bij deze nieuwe werkwijze worden medewerkers goed ondersteund om de informatiehuishouding ook op orde te houden.

Hierdoor is informatie altijd vindbaar, beschikbaar en bruikbaar. Bijvoorbeeld voor openbaarmaking of voor gebruik in een werkproces. Voorbereiden op nieuwe wetgeving De kern van compliancy is, zoals hierboven aangegeven, dat de organisatie werkt in overeenstemming met bestaande wet- en regelgeving. Maar het impliceert ook dat de organisatie rekening houdt met nieuwe wet- en regelgeving. Daarvoor worden de fasen voorbereiding, besluitvorming en implementatie gehanteerd.

Een routebeschrijving vindt u op amsterdam.nl

Gemeente Amsterdam, raadsinformatiebrief

12 september 2023 Pagina 10 van 10

De voorbereiding van nieuwe wet- en regelgeving is in wezen de maatschappelijke en politieke discussie erover, leidend tot een eerste formulering van de nieuwe wet. Dit is de periode die zich bij uitstek leent voor beïnvloeding door de gemeente. Op die manier kan Amsterdam haar normen, waarden en doelen inbrengen op nationaal of internationaal niveau. Een voorbeeld hiervan is de ‘Cities Coalition for Digital Rights’, opgericht door Amsterdam, Barcelona en New York, dat inmiddels een flink netwerk van samenwerkende steden is. Deze coalitie heeft het gedachtengoed van ‘digitale rechten’ onder de aandacht gebracht, dat inmiddels op de Europese wetgevingsagenda staat. In de besluitvormingsfase, waarin de wetsteksten worden vastgesteld door het Europese en/of het Nederlandse parlement, zijn de beïnvloedingsmogelijkheden beperkter. Maar doordat de strekking van de nieuwe wet dan al grotendeels bekend is kan de gemeente zich gaan voorbereiden op de invoering daarvan, door het opstellen van beleid, het definiëren van nieuwe of aangepaste processen, het voorbereiden van nieuwe of aangepaste applicaties, etc. In de implementatiefase dienen al deze voorbereidingen realiteit te worden, zodanig dat Amsterdam vanaf het moment dat de nieuwe wetten van kracht worden, eraan kan voldoen.

Dus met als doel: honderd procent compliancy ten aanzien van opzet en bestaan van de beheersingsmaatregelen voor de nieuwe wet- en regelgeving vanaf de formele inwerkingstreding. Op dit moment wordt gewerkt aan een overzicht van nieuwe wet- en regelgeving die consequenties heeft voor het werkgebied van het I-domein. Daarbij wordt ook de impact weergegeven. Naar verwachting zal dit overzicht dit najaar met de raad kunnen worden gedeeld. Ten slotte valt nog te vermelden dat het nieuwe gemeentelijke risicomanagementsysteem ook een module wet- en regelgeving bevat. Deze moet nog geïmplementeerd worden. Hierbij zal ook toekomstige wet- en regelgeving worden opgenomen.

Wij hopen u hiermee voldoende te hebben geïnformeerd. Met vriendelijke groet, Namens het college van burgemeester en wethouders van de gemeente Amsterdam,

Femke Halsema Burgemeester

Een routebeschrijving vindt u op amsterdam.nl

Alexander Scholtes Wethouder ICT en Digitale Stad