Bijlage - Collegenota ENSIA 2021

Aan burgemeester en wethouders Zaaknummer

657232

Programmamanager

Carel Eltingh

Ambtenaar Telefoonnummer

Onderwerp:

Portefeuillehouder(s)

Jan van Dellen

Annemieke Splithof

Vertrouwelijk

Nee

06 31 11 48 76

Datum in college

19 april 2022

Datum fataal

26 april 2022

Stand van zaken informatieveiligheid 2021 en ENSIA verantwoording

a Voorstel 1. Kennis te nemen van de rapportage "Stand van zaken informatieveiligheid 2021" (Bijlage Rapportage "stand van zaken informatieveiligheid 2021") inclusief alle bijlagen; 2. Bijgevoegde collegeverklaring ENSIA inzake informatiebeveiliging DigiD en Suwinet te ondertekenen en deze aan te bieden aan de externe toezichthouders; 3. Geheimhouding op te leggen op de bijlagen, overeenkomstig artikel 55 eerste lid van de Gemeentewet, op grond van artikel 10, tweede lid onder g van de Wet openbaarheid van bestuur, in verband met informatie over beveiligingsmaatregelen die de gemeente treft. Inleiding

Het college van burgemeester en wethouders van de gemeente Arnhem legt over het jaar 2021 verantwoording af over de stand van zaken op het gebied van informatieveiligheid binnen de gemeentelijke organisatie. Dit gaat op basis van de voor gemeenten verplichte landelijke Eenduidige Normatiek Single Information Audit (= ENSIA) systematiek. De afgelopen jaren is de ENSIA audit steeds verder verzwaard. Om deze reden wordt nu een uitgebreider verantwoordingsdocument (rapportage “Stand van zaken informatieveiligheid 2021”) aangeboden. We leggen verantwoording af aan de gemeenteraad (horizontale verantwoording) en aan de verschillende toezichthouders (verticale verantwoording). De verantwoording aan de gemeenteraad geschiedt middels een passage in het jaarverslag.

Beoogd effect Met de rapportage geven we inzicht in, en leggen we verantwoording af over de stand van zaken op het gebied van informatieveiligheid binnen onze organisatie.

Argumenten 1.1 Informatieveiligheid is bij ons prioriteit. Uit de verschillende zelfevaluaties en de externe audit blijkt dat gemeente Arnhem informatiebeveiliging zeer belangrijk vindt maar dat er nog veel verbeterpunten zijn. We onderkennen dit en zijn voornemens dit de prioriteit te geven die het nodig heeft om te kunnen zorgen dat de ENSIA evaluatie van 2022 significante verbeteringen laat zien. 2.1 Arnhem voldoet aan de landelijk gestelde informatiebeveiligingseisen voor Suwinet. Arnhem voldoet niet voor alle DigiD aansluitingen aan de landelijke informatiebeveiligingseisen. Specifiek voor DigiD en Suwinet vraagt de toezichthouder om een extern onderzoek te laten uitvoeren naar informatiebeveiligingswaarborgen. De collegeverklaring voor Suwinet kan positief worden afgegeven, maar rondom DigiD zijn een aantal verbeterpunten waardoor Arnhem voor twee van de vier aansluitingen niet voldoet aan de gestelde eisen. Het verbetertraject is hiervoor reeds ingezet. 2.2 We leggen voor 1 mei verantwoording af aan de externe toezichthouders. In het kader van het ENSIA-traject is bepaald dat gemeenten (verticale) verantwoording afleggen over de BAG, BGT, BRO, DigiD en Suwinet. Dit gaat per domein naar de direct betrokken externe toezichthouder. Eerder is al verantwoording afgelegd over de BRP en PUN. De uiterlijke termijn voor het indienen van deze ENSIA verantwoording is 30 april.

3.1 We leggen geheimhouding op de onderliggende bijlagen. De onderliggende bijlagen bevatten informatie over aanbevelingen en maatregelen die de gemeente treft in het kader van informatiebeveiliging. Het is van belang dat deze documenten niet openbaar worden, omdat hierin informatie staat over de gemeentelijke informatiebeveiliging, die kwetsbaar wordt als derden (kwaadwillenden) hier inzage in krijgen. Als we geen geheimhouding opleggen, bestaat het risico dat de gemeente daardoor extra aantrekkelijk wordt voor hackers – we willen voorkomen dat we door openbaring een (grootschalige) hack zoals die bij Hof van Twente over onszelf afroepen.

Kanttekeningen en risico's 1.1 Geen risico. 2.1

Indien deze collegeverklaring niet wordt ondertekend, geeft dat risico op afsluiting van onze DigiD aansluitingen en onze Suwinet aansluiting met grote gevolgen voor de digitale dienstverlening.

3.1

Door geen geheimhouding aan de bijlagen toe te kennen, leggen we onze kwetsbaarheden bloot met risico op informatiebeveiligingsincidenten en grote gevolgen voor de digitale dienstverlening.

Financiën

Aan deze verantwoording zit geen rechtstreekse financiële consequenties. In de rapportage "Stand van zaken informatieveiligheid 2021" wordt echter wel gerefereerd aan verbeteringen die worden opgenomen in het programma Basis op Orde. Aan dit programma is op dit moment nog geen budget toegekend. In aanloop naar de Begroting 2023 worden de benodigde middelen in kaart gebracht en ter besluitvorming voorgelegd. Wanneer hiervoor geen of beperkt budget wordt toegekend, zal het programma niet, of slechts in beperkte mate, kunnen worden uitgevoerd.

Uitvoering

Na ondertekening van de collegeverklaring wordt deze, inclusief de bijlagen rondom BAG, BGT, BRO en WOZ, door de CISO middels uploading in de ENSIA tool, aangeboden aan de verticale toezichthouders.

Communicatie

Niet van toepassing.

Bijlagen Stukken voor college 1. Rapportage "Stand van zaken informatieveiligheid 2021" 2. Collegeverklaring DigiD en Suwinet ENSIA 2021 3. Rapport gemeente Arnhem BAG-BGT-BRO 2021 4. Rapport gemeente Arnhem WOZ 2021