Raadsbrief "Onderzoeksrapport M&I Partners stand van zaken informatieveiligheid & privacy", d.d. 22-09-2022

Aan de gemeenteraad

Datum

: 20 september 2022

Zaaknummer

: 677782

Contactpersoon

: Annemieke Splithof

Telefoonnummer

: 06 31 11 48 76

Onderwerp: Onderzoeksrapport M&I Partners stand van zaken informatieveiligheid & privacy

Geachte voorzitter en leden, Wij stellen u voor kennis te nemen van rapportage ‘Gemeente Arnhem – Onderzoek, advies en inrichting privacy- en informatiebeveiligingsorganisatie’ van M&I Partners. In deze versie zijn enkele passages geheim verklaard, vanwege informatie over gemeentelijke informatiebeveiliging. Wanneer deze informatie op straat komt te liggen, kan dit de gemeente schaden. In de openbare versie van het rapport zijn de geheime passages zwart gelakt. Ter inzage delen we, onder geheimhouding, het gehele rapport met u. In 2018 heeft er een rekenkameronderzoek plaatsgevonden. Arnhem heeft hierop slecht gescoord. De afgelopen jaren is er verbeterd en geïnvesteerd, zowel in middelen als in vaste formatie. De kritieke punten uit het rekenkameronderzoek zijn opgelost. De digitale ontwikkelingen gaan echter razendsnel. De tijd is veranderd, wat inhoudt dat het oplossen van de kritieke punten uit het onderzoek van 2018 niet afdoende is en er nieuwe kwetsbaarheden zijn ontstaan. Het toevoegen van structurele capaciteit, in de vorm van een fulltime chief information security officer (CISO) bij zowel Arnhem als De Connectie, heeft juist blootgelegd welke zaken goed gaan en welke zaken ontbreken. Deze functies waren eerder geen onderdeel van de vaste formatie maar werden beperkt ingehuurd.

Het M&I-onderzoek is ingesteld nadat in 2021 regionaal (Rheden, Renkum, De Connectie en Arnhem) is besloten om een objectief en onafhankelijk onderzoek naar de huidige stand van zaken rondom informatieveiligheid en privacy uit te laten voeren. Arnhem heeft, net als De Connectie, ervoor gekozen om dit onderzoek versneld te laten uitvoeren, omdat we zagen dat er fikse verbeterslagen noodzakelijk zijn. Dit was ook al naar voren gekomen uit de eigen analyses vanuit onder andere de CISO en werd bevestigd door de resultaten vanuit de ENSIA (eenduidige normatiek single information audit) zelfevaluatie van 2021. Deze eigen analyses/zelfevaluatie wilden we onafhankelijk en objectief bevestigd dan wel ontkracht zien. Het M&I-rapport bevestigt helaas onze eerdere analyses en toont aan dat we op achterstand staan. Hoewel deze uitkomst niet onverwacht was, is dit niet de gehoopte of wenselijke uitkomst en noodzaakt dit ons tot het nemen van verregaande maatregelen. Hiermee hebben we samen met De Connectie al een eerste start gemaakt door het organiseren van een gemeentebrede themaweek, de Week van de Digitale Weerbaarheid (19-22 september 2022). Tijdens deze week

Stadskantoor - Eusebiusbuitensingel 53 • Postbus 9029 • 6800 EL Arnhem Telefoon 0800-1809 • www.arnhem.nl

Datum Zaaknummer Pagina

: 20 september 2022 : 677782 :2

hebben we diverse workshops en lezingen gehouden waarin we onze medewerkers bewuster hebben gemaakt van de digitale gevaren en hoe zij zich hiertegen kunnen wapenen. Dit alles met als doel om de gegevens van onze inwoners en bedrijven beter te beschermen. Wij erkennen de noodzaak tot verbetering van onze informatieveiligheid en hebben daarom significante budgetten extra opgenomen in de begroting 2023-2026, om invulling te geven aan de noodzakelijke verbeterslag op het vlak van informatieveiligheid en privacy. We nemen de aanbevelingen uit het M&Ionderzoek over en starten met een programma om de basis op orde te brengen met een eerste serie maatregelen en formatie zoals opgenomen in het Informatiedossier en in de begroting Hierbij streven we naar het behalen van de normen van de BIO. Het programma Basis op orde zal vermoedelijk drie jaar duren, waarbij we u jaarlijks en desgewenst vaker, op de hoogte brengen van de vorderingen. Begin 2023 willen we graag met u in gesprek gaan om te bespreken hoeveel ingezet kan worden op deze verbeterslagen waar deze de BIO overstijgen en welk niveau van informatiebeveiliging wij als gemeente nastreven. In het najaar willen we graag met u zowel dit rapport als de ENSIA-rapportage bespreken. Hierin zullen we nader toelichten hoe we ervoor staan op het gebied van informatieveiligheid en privacy, zoals in juni is verzocht door PvdD, D66 en Volt.

Hoogachtend, het college van burgemeester en wethouders van Arnhem, de secretaris, de burgemeester,

J.H. de Baas

A. Marcouch

Bijlagen: - Rapportage ‘Gemeente Arnhem – Onderzoek, advies en inrichting privacy- en informatiebeveiligingsorganisatie’ van M&I Partners, waarbij de geheime passages zwart gelakt zijn. - Legenda. Geheim ter inzage voor de raad: - Rapportage ‘Gemeente Arnhem – Onderzoek, advies en inrichting privacy- en informatiebeveiligingsorganisatie’ van M&I Partners, waarbij de geel gearceerde stukken de geheime passages betreffen.

Stadskantoor - Eusebiusbuitensingel 53 • Postbus 9029 • 6800 EL Arnhem Telefoon 0800-1809 • www.arnhem.nl

Datum Zaaknummer Pagina

: 20 september 2022 : 677782 :3

Motivatie geheimhouding: Wettelijke bepaling: Geheimhouding voor onbepaalde tijd is opgelegd op de volgende passages in het rapport van M&I Partners, op grond van artikel 25 Gemeentewet, gelezen in samenhang met artikel 5.1, tweede lid, onder b, e en i, van de Woo: - Pagina 21 - Pagina 44 - Pagina 61-75 - Pagina 77 Inhoudelijke bepaling: De betreffende passages bevatten informatie over aanbevelingen en maatregelen die de gemeente treft in het kader van informatiebeveiliging. Het is van belang dat deze documenten niet openbaar worden, omdat hierin informatie staat over de gemeentelijke informatiebeveiliging, die kwetsbaar wordt als derden (kwaadwillenden) hier inzage in krijgen. Zonder geheimhouding wordt de gemeente extra aantrekkelijk voor hackers. We willen voorkomen dat we door openbaring een (grootschalige) hack zoals die bij Hof van Twente over onszelf afroepen. Daar niet duidelijk is wanneer de kwetsbaarheden zullen zijn opgelost, is de geheimhouding voor onbepaalde tijd.

Stadskantoor - Eusebiusbuitensingel 53 • Postbus 9029 • 6800 EL Arnhem Telefoon 0800-1809 • www.arnhem.nl