Bijlage 1 - Rapport informatiebeveiliging en privacy

november 2025

PBLQ – Rekenkamerrapport ABG gemeenten

voor medewerkers, bijvoorbeeld een gedragscode, een Clear-screen en Desk instructie, een bruikleenovereenkomst en een wachtwoordmanager. Tezamen dekken deze instructies een belangrijk deel van de algemene (proces-onafhankelijke) beveiligingsmaatregelen af. Beveiligingsincidenten De gemeenten hebben een uitgebreid protocol (2024) voor het melden van beveiligingsincidenten en datalekken waarin de verschillende rollen, verantwoordelijkheden en uit te voeren activiteiten zijn uitgewerkt.12 De ABG organisatie heeft aangegeven dat er in 2023 een groter incident heeft plaatsgevonden die vroeg om ambtelijke en bestuurlijke opschaling. Los van dit incident en de bijbehorende afhandeling is er in de praktijk een uitgebreide procedure en bijbehorende administratie van verschillende soorten beveiligingsincidenten. Deze incidenten zijn in het algemeen beperkt in hun aard en omvang. Incidenten met hogere prioriteit (“prioriteit 1”) worden zo snel mogelijk opgepakt en opgelost, zo blijkt uit de administratie. Monitoring van afspraken met Equalit Als het gaat om beveiligingsafspraken met diensten die van derden worden afgenomen is Equalit de belangrijkste partner. De ABG organisatie stuurt via verschillende manieren op deze afspraken, waarvan de belangrijkste zijn: Er zijn rapportages over de dienstverlening van Equalit en hoe deze zich verhoudt tot afgesproken normen (service levels).

De ABG organisatie voert reguliere gesprekken met Equalit over incidenten en lopende zaken. De ISAE340213 rapportage geeft de ABG gemeenten inzicht in de kwaliteit, risico's en beheersmaatregelen van de dienstverlening van Equalit.

4.4

Uitvoering van het privacybeleid

Organisatie, taken en verantwoordelijkheden Voor de uitvoering van het privacybeleid heeft de ABG organisatie een eigen privacy officer (PO). De gemeente heeft verder een functionaris gegevensbescherming (FG) die (intern) toezicht houdt op het beleid en of de gemeente voldoet aan wettelijke verplichtingen. De ABG organisatie geeft dus eigenstandig invulling aan de normen ten aanzien van de bescherming van persoonsgegevens en neemt hiervoor geen diensten af van Equalit. De PO is ondergebracht bij de afdeling Juridische Zaken. Tot september 2025 werd deze functie tijdelijk ingevuld door een medewerker voor 16 uur in de week. Tijdens de onderzoeksperiode is er een vaste medewerker aangenomen voor 36 uur in week. Deze medewerker is gestart per 27 september 2025. De FG is gepositioneerd bij de bestuurs- en directieadviseurs. De FG heeft een onafhankelijke rol en heeft regulier overleg met de (algemeen) directeur van de ABG organisatie. In algemene zin is de capaciteit voor privacy taken binnen de gemeente te beperkt om zaken proactief op te pakken. De overlegstructuur (IPA en beveiligingscommissie) is deels gelijk voor privacy en informatiebeveiliging. Daarnaast vindt er overleg plaats tussen de PO’s van ABG en van Equalit. 12

Protocol Melding Datalekken en Beveiligingsincidenten Alphen-Chaam, Baarle-Nassau, Gilze en Rijen en de ABG organisatie Versie 1.03 d.d. 22-02-2024 13 ISAE3402 is een internationale assurance standaard gericht op de kwaliteit van uitbestede diensten. pagina 24/38

november 2025

PBLQ – Rekenkamerrapport ABG gemeenten

Eenzelfde soort overleg vindt plaats tussen de FG van Oosterhout en de FG’s van de deelnemers aan de Equalit samenwerking. In de praktijk zijn er nog verbeterpunten in de samenwerking en informatievoorziening van Equalit naar ABG, bijvoorbeeld op het gebied van de projecten die er lopen en wat de impact daarvan is op de bescherming van persoonsgegevens. Zo worden de PO en FG vaak laat betrokken in trajecten in plaats van vooraf. De samenwerking met Equalit is ook relevant voor het onderwerp privacy, omdat projecten van Equalit ook invloed kunnen hebben op de verwerking van persoonsgegevens, de technisch en organisatorische maatregelen die genomen en of er een (nieuwe) DPIA uitgevoerd moet worden. Procedures en werkprocessen De gemeente heeft een aantal zaken ingericht ten aanzien van de bescherming van persoonsgegevens, voortkomend uit verplichtingen uit de AVG. Naast het genoemde privacy beleid (uit 2018) is er een verwerkingenregister aanwezig. In het verwerkingenregister staan de verschillende verwerkingen, bewaartermijnen de gebruikte registraties en informatiesystemen, en ketenpartners/verwerkers. Het verwerkingenregister is echter niet meer actueel. Ook zijn er DPIA’s uitgevoerd, maar ook deze zijn niet meer actueel. Vanwege de beperkte capaciteit krijgen dagelijkse vragen en datalekken voorrang. Er is dan ook geen volledige PDCA-cyclus: er wordt vooral ad hoc gewerkt.

Dit past bij een volwassenheidsniveau van 1, terwijl de doelstelling voor privacy net als voor informatiebeveiliging niveau 3 is. Met de huidige formatie is het ook niet mogelijk om hier te komen en een PDCA-cyclus in te richten volgens de gesproken personen. Datalekken Er zijn verschillende loketten voor het melden van datalekken (of het voorleggen van een vraagstuk). Dit kan via het intranet maar ook via een e-mailbox of direct contact met de PO of FG. Deze verdelen onderling de vragen en datalekken om deze af te handelen. Er komen zeer regelmatig (wekelijks) vragen binnen, waarbij het opvalt dat er meer vragen binnenkomen nadat er bijvoorbeeld een presentatie gegeven is voor een vakafdeling. Dit is recent (2025) het geval geweest bij het sociaal domein. Het in paragraaf 4.1 genoemde protocol uit 2024 geldt ook voor het afhandelen van datalekken. De ABG organisatie houdt verder een administratie bij van de datalekken (datalekkenregister). In het kader van dit onderzoek is de administratie over de periode 2025 ingezien. Tot en met oktober 2025 zijn er acht datalekken gemeld/voorgekomen binnen de organisatie, waarvan er ook één aan de Autoriteit Persoonsgegevens gemeld is 14 en vier gemeld zijn aan de betrokkenen.

Informeren van burgers De ABG organisatie heeft op haar eigen website een algemene privacyverklaring opgenomen waarin onder andere wordt ingegaan op de persoonsgegevens die de organisatie verwerkt, wat er in het register van verwerkingen staat, welke rechten betrokkenen (burgers) hebben en hoe deze persoonsgegevens worden beveiligd. Ook is er een verwijzing opgenomen naar het privacybeleid van de organisatie en het protocol voor het melden van datalekken. De privacyverklaring is algemeen van

14

N.B. Niet alle datalekken hoeven gemeld te worden aan de Autoriteit Persoonsgegevens.

pagina 25/38

november 2025

PBLQ – Rekenkamerrapport ABG gemeenten

aard en gaat niet in op individuele verwerkingen van persoonsgegevens, bijvoorbeeld in het kader van de Basisregistratie Personen of het aanvragen van een specifieke dienst. De individuele gemeenten hebben allen ook een (identieke) privacyverklaring op hun website gepubliceerd. Naast een algemene privacyverklaring is er ook een aparte verklaring opgenomen met betrekking tot de Basisregistratie Personen en wordt er o.a. verwezen naar het inzien van persoonsgegevens via MijnOverheid.

4.5

Bewustwording

Voor een goede informatiebeveiliging en privacybescherming is het van belang dat alle medewerkers zich bewust zijn dat zij hierbij een belangrijke rol spelen. Om deze bewustwording te realiseren, zetten de ABG gemeenten verschillende instrumenten in. Allereest is er voor alle medewerkers van de ABG organisatie een e-learning beschikbaar. Het is de bedoeling dat nieuwe medewerkers deze e-learning volgen in het eerste kwartaal dat zij in dienst zijn. Maar ook voor de zittende medewerkers staat deze e-learning is deelname aan de e-learning verplicht. Uit de ‘Voortgangsrapportage Leerpad Informatieveiligheid’ blijkt echter dat een krappe 40% van de medewerkers de e-learning daadwerkelijk gevolgd heeft. Ruim 40% van de medewerkers is er nog niet mee gestart. Hierbij is er een groot verschil in deelname tussen de verschillende teams. In zes teams hebben alle medewerkers de training gevolgd, terwijl in zes andere teams nog niemand aan de training is begonnen. De teammanager speelt een belangrijke rol; zij/hij moet een voorbeeldrol vervullen en haar/zijn medewerkers stimuleren om deel te nemen. Via het intranet wordt statische en dynamische informatie over informatiebeveiliging verspreid in de ABG organisatie. Zo kunnen medewerkers via een knop op de website verdachte zaken als een phishing mail melden.

Ook kunnen zij informatie over wettelijke regels en organisatieprotocollen op het intranet vinden. Via de nieuwspagina worden medewerkers op de hoogte gehouden over actuele onderwerpen die op het gebied van informatiebeveiliging en privacybescherming spelen. Als onderdeel van het onderzoek hebben wij een steekproef uitgevoerd onder de medewerkers om te vragen of zij zich bewust zijn van het belang van deze onderwerpen. Alle medewerkers geven aan met het onderwerp te maken te hebben in de dagelijkse werkpraktijk. Zij hebben privacybescherming hoog in het vaandel staan, dat betekent dat zij extra alert zijn op het delen van naam- en adresgegevens. Zij zijn zich goed bewust van de wettelijke kaders op het gebied van privacybescherming en delen nooit onbeveiligd persoonsgegevens. Bij enkele medewerkers komt het onderwerp aan de orde in werkoverleggen als er bijvoorbeeld mailings uit moeten of informatie met derden moet worden gedeeld. Alle medewerkers uit de steekproef geven aan dat zij regelmatig hun wachtwoord moeten vernieuwen. Ook noemen alle medewerkers de verplichte multifactor authenticatie. Sommige medewerkers uit de steekproef werken met single-sign-on; zij hoeven maar één keer in te loggen om alle applicaties die zij nodig hebben te bereiken. Anderen hebben moeten opnieuw inloggen voor specifieke applicaties.

Eén van de medewerkers gaf aan ongeveer 30-40 wachtwoorden te hebben voor de verschillende applicaties die hij nodig heeft voor het werk. De wachtwoorden zijn opgeslagen in een zogenaamde ‘wachtwoordkluis’ die onderdeel is van de Equalit software. Sommige medewerkers vinden dat het werken met verschillende wachtwoorden er nu eenmaal bij hoort, anderen vinden dit lastig. Informatiebeveiliging gaat dan te zeer ten koste van de gebruikersvriendelijkheid. pagina 26/38

november 2025

PBLQ – Rekenkamerrapport ABG gemeenten

Gemeld moet worden dat alle medewerkers uit de steekproef de e-learning hebben gevolgd, terwijl dit voor minder dan de helft van de medewerkers geldt. Enkele medewerkers geven aan dat het alweer een tijd geleden is dat zij de training hebben gevolgd. Een medewerker geeft als tip om periodieke opfristrainingen aan te bieden omdat er veel verandert op het gebied van informatiebeveiliging.

pagina 27/38

november 2025

PBLQ – Rekenkamerrapport ABG gemeenten

5.

Toetsing van het informatiebeveiligings- en privacybeleid

5.1

Inleiding

In dit hoofdstuk staat de toetsing van het beleid centraal. De onderzoeksvragen die in dit kader zijn gesteld zijn: Is er voldoende zicht op risico’s en hoe wordt er gestuurd op het verkleinen van risico’s? Op welke manier wordt de gemeenteraad geïnformeerd over de uitvoering van het beleid en welke mogelijkheden heeft de raad om te sturen en te controleren? Hoe en door wie wordt de kwaliteit van de dienstverlening van Equalit gecontroleerd? Toetsing van het beleid maakt deel uit van de PDCA cyclus waarop het beleid is gestoeld. In dit hoofdstuk beschrijven wij op welke onderdelen van het beleid er getoetst wordt en wat er met de resultaten van deze toetsen gebeurt. Leiden de toetsen tot verbeterplannen? En welke rol speelt risicobeheersing en -management hierbij? Bij de beantwoording van deze vragen gaan wij niet alleen in op de wijze waarop dit georganiseerd is in de ambtelijke organisatie, ook kijken wij naar de rol van de colleges van B&W en de gemeenteraden van de ABG gemeenten.

5.2

Toetsen van het beleid

Zoals in het vorige hoofdstuk is beschreven, zijn de BIO en ISO normenkaders en de AVG leidend voor het beleid van de ABG gemeenten. Naast deze normenkaders hebben de ABG gemeenten nog te maken met toezichtskaders van stelselhouders van de Rijksoverheid voor het gebruik van specifieke applicaties als bijvoorbeeld DigiD, Suwinet en de Basisregistratie Personen (BRP). Jaarlijks wordt er een zogenaamde ENSIA audit uitgevoerd waarin getoetst wordt of de ABG gemeenten voldoen aan de eisen van de stelselhouders. Naast deze normenkaders, specifiek gericht op informatiebeveiliging en privacy, zien wij dat in de jaarlijkse financiële controle door de accountant steeds meer aandacht wordt besteed aan informatiebeveiliging. Zo doet de accountant in het accountantsverslag over 2024 voor de Gemeenschappelijke regeling ABG organisatie uitspraken over de Europese NIS2 richtlijn en de Cyberbeveilingswet. In het verslag wordt aangegeven dat ‘de komende periode additionele maatregelen moeten worden getroffen ten einde aan de NIS2 te voldoen.’ Als de gemeentelijke organisatie voldoet aan deze verschillende normenkaders verkleint dit het risico op digitale verstoringen en datalekken.

Omdat een digitale verstoring of datalek nooit helemaal uit te sluiten valt (100% veilig bestaat niet), moeten de ABG gemeenten niet alleen voldoen aan de normenkaders, maar ook weerbaar zijn als een risico zich toch voordoet. In onderstaand overzicht zijn de toetsen opgenomen die jaarlijks in de ABG gemeenten worden uitgevoerd. Voor elke toets zijn de uitkomsten beknopt beschreven. Als die uitkomsten verbeterpunten bevatten, staat eveneens vermeld wat daarmee is gebeurd en wie ermee verantwoordelijkheid draagt voor de uitvoering daarvan.

pagina 28/38

november 2025

PBLQ – Rekenkamerrapport ABG gemeenten

5.3

De jaarlijkse ENSIA audit

Jaarlijks voeren alle gemeenten een audit op de informatiesystemen uit via ENSIA. Dit gebeurt ook in de ABG gemeenten en bij de ABG organisatie. De CISO is hiervoor, samen met security team van Equalit verantwoordelijk voor. ENSIA bevat een aantal normenkaders waaraan gemeenten moeten voldoen. Deze normenkaders zijn, met de ontwikkeling van de Cyberbeveiligingswet, volop in ontwikkeling en bevatten op het moment van schrijven van dit rapport de volgende onderdelen: De implementatie van de Baseline Informatiebeveiliging Overheid (BIO) – Zelfevaluatie Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet) – Geauditeerde zelfevaluatie15 Digitale Persoonsidentificatie (DigiD) – Geauditeerde zelfevaluatie Basisregistratie Personen (BRP) – Zelfevaluatie Paspoort Uitvoeringsregeling Nederland (PUN) – Zelfevaluatie In de Collegeverklaringen DigiD en Suwinet 2024 van de drie ABG gemeenten geven de colleges van B&W aan dat zij voldoen aan de beveiligingseisen van de stelselhouders. De inhoud van de Collegeverklaringen is getoetst door een onafhankelijke IT auditor.

In de documenten is aangegeven dat de verklaring ‘…is bestemd voor de toezichthouders van DigiD en Suwinet, te weten Logius en alsmede de stelselhouder: het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties en de toezichthouder van Suwinet, te weten het Ministerie van Sociale Zaken en Werkgelegenheid via het Bureau Keteninformatie Werk en Inkomen.’ De gemeenteraden van de ABG gemeenten worden niet als doelgroep voor deze rapportage genoemd, terwijl het ENSIA in het rapportageformat aangeeft dat het rapport de basis vormt voor de verantwoording aan de gemeenteraad (horizontale verantwoording) en verticale verantwoording. In de Collegeverklaringen van de ABG gemeenten over 2024 wordt de conclusie getrokken dat de drie gemeenten niet volledig voldoen aan de DigiD normen maar wel voldoen aan de normen ten aanzien van het gebruik van Suwinet. In de rapporten wordt aangegeven dat de benodigde maatregelen om wel te voldoen aan de DigiD norm onderdeel uitmaken van een verbeterplan en voor 1 juli 2025 worden getroffen. Dit onderwerp zal terugkomen in de volgende ENSIA audit, op basis waarvan kan worden vastgesteld of de benodigde maatregelen tijdig en adequaat zijn ingevoerd.

5.4

BIO-zelfevaluatie

De BIO zelfevaluatie maakt ook onderdeel uit van ENSIA, maar verdient een aparte paragraaf in dit hoofdstuk. De BIO is immers het normenkader voor informatiebeveiliging waaraan alle overheidsorganisaties moeten voldoen. De BIO is nu nog een zelfevaluatie, maar wordt onder de Cyberbeveiligingswet (Cbw) doorontwikkeld naar de BIO2 en dan verplicht gesteld. Volgens het Beveiligingsverbeterplan ABG – o.b.v. Gap-analyse BIO en NIS2 voldeden de ABG gemeenten na de zelfevaluatie van 2023 niet aan de BIO. In het rapport is in een GAP-analyse weergegeven dat aan de volgende twaalf BIO maatregelen (nog) niet geïmplementeerd waren:

15

Een geauditeerde zelfevaluatie betreft een zelfevaluatie die periodiek door middel van een onafhankelijke audit wordt getoetst en geverifieerd.

pagina 29/38

november 2025

PBLQ – Rekenkamerrapport ABG gemeenten

CISO is aangesteld in een functie conform het CISO-functieprofiel. Een goede positionering van de CISO-functie betekent in elk geval dat de CISO een onafhankelijke positie heeft tegenover zowel het lijnmanagement als het bestuur van de gemeente. (6.1.1.4) Is de mobiele apparatuur zo ingericht dat geen bedrijfsinformatie wordt opgeslagen (zero footprint)? (6.2.1.1.a) Worden medewerkers bij indiensttreding of bij functiewisseling gewezen op hun verantwoordelijkheden ten aanzien van informatiebeveiliging? (7.1.2.1.a) Is iedereen in staat om anoniem en veilig beveiligingsissues te kunnen melden? (7.2.1.1) Volgen medewerkers binnen drie maanden na indiensttreding een training I-bewustzijn? (7.2.2.2) Bevindingen uit de beoordeling van toegangsrechten behandelen als een beveiligingsincident. (9.2.5.2) Alle uitgegeven toegangsrechten worden minimaal eenmaal per halfjaar beoordeeld. (9.2.5.3 2) Er zijn op basis van een risicoafweging afspraken gemaakt over reserve-certificaten met een tweede leverancier. (10.1.2.2) Er zijn niet (recent) op basis van een expliciete risicoafweging beveiligingsmaatregelen genomen tegen bedreigingen van buitenaf.

(11.1.4.1) Beschikt uw organisatie over een overzicht van logbestanden die worden gegenereerd? (12.4.2.1) Is de bewaarperiode van logbestanden bepaald op basis van een expliciete risicoafweging? (12.4.2.2) Er is een vastgesteld bedrijfscontinuïteitsplan om de continuïteit van de bedrijfsvoering te waarborgen, er wordt periodiek geoefend. (17.1.1.1) Het verbeterplan bevat naast de BIO GAP analyse ook een NIS2 Quick Scan waarin in een overzichtelijke stoplichtentabel is aangegeven aan welke onderdelen van de richtlijn al is voldaan en waar nog aan gewerkt moet worden. Belangrijke aandachtspunten uit deze quick scan zijn: Het opleiden van bestuursorganen – in de NIS2 en de Cyberbeveiligingswet is een opleiding voor bestuurders verplicht gesteld. Bestuurders moeten zich bekwamen in het risicogericht sturen op informatiebeveiliging. Beveiliging van de toeleveringsketen – de NIS2 richtlijn verplicht organisaties om beleid op te stellen om de beveiliging van de toeleveringsketen (ICT diensten en producten) te borgen. Beveiligingsaspecten voor personeel, toegangsbeleid en beheer van activa – dit is het zogenaamde asset management en betreft de bescherming van alle mensen en middelen van de ABG organisatie. Het gaat hierbij om het voorkomen van ongeautoriseerde toegang in systemen en gebouwen van de ABG gemeenten.

Rapportageverplichtingen – de NIS2 richtlijn kent nieuwe rapportageverplichtingen die in de Cbw concreet zijn uitgewerkt voor (overheids)organisaties in Nederland. Aan deze verplichtingen dienen de ABG gemeenten te voldoen na inwerkingtreding van de wet. De BIO-Gap analyse en de NIS2 quick scan laten zien dat de ABG gemeenten en ABG organisatie goed op weg zijn en op verschillende deelterreinen van informatiebeveiliging al volledig voldoen aan de gestelde normen. Daar waar niet aan de norm wordt voldaan, is er sprake van beveiligingsrisico’s. Deze risico’s overzichtelijk in beeld gebracht. Er is, zoals in het beveiligingsverbeterplan gesteld wordt, dus nog wel ‘werk aan de winkel’.

pagina 30/38

november 2025

PBLQ – Rekenkamerrapport ABG gemeenten

5.5

(Be)sturen op risico’s

Voor de sturing op informatiebeveiliging is onlangs een ‘Information Security Management System’, een ISMS aangeschaft. Dit is een gestructureerde aanpak met beleid, procedures, risicobeheer en technologische oplossingen om de informatie van de ABG organisatie te beschermen. Het doel is om informatiebeveiliging continu te beheersen en te verbeteren en te voldoen aan wet- en regelgeving, zoals de BIO en de ISO27001 norm. Met de komst van de BIO2 is het voor gemeenten verplicht om een ISMS in te richten. Voor het aanpakken van informatiebeveiligingsrisico’s zijn zowel op het niveau van Equalit als op het niveau van de ABG organisatie portfoliotafels ingericht waar de risico’s periodiek besproken worden; prioriteiten worden gesteld en acties worden uitgezet en bijgehouden. De afdelingsmanager Informatie, Innovatie & ICT van de ABG organisatie heeft periodiek overleg met de portefeuillehouders van de ABG gemeenten over informatiebeveiliging. In deze periodieke overleggen worden jaarstukken, (externe) auditrapporten (ENSIA, BIO) en actuele ontwikkelingen op het gebied van informatiebeveiliging besproken. De portefeuillehouders van de ABG gemeenten geven aan dat zij goed geïnformeerd worden over informatiebeveiliging. Zij zien het toenemend belang van dit onderwerp, maar zijn geen inhoudelijk expert.

Uit het gesprek met de portefeuillehouders blijkt voorts dat zij het belangrijk vinden dat ook de raad nauwer betrokken wordt bij dit onderwerp. De ABG raden ontvangen ook jaarstukken en auditrapporten (zoals de managementletters en het accountantsverslag) en er worden incidenteel ook informatieavonden georganiseerd, maar staan volgens de portefeuillehouders op grote afstand van het informatiebeveiligingsbeleid.

5.6

Sturing en controle van de gemeenteraad

De gemeenteraden van de ABG gemeenten hebben, net als bij andere domeinen, een kaderstellende en een controlerende rol op het gebied van informatiebeveiliging. Om na te gaan hoe deze rol wordt ingevuld, hebben wij eerst gekeken naar de manier waarop de rol van de gemeenteraad beschreven is in het beleidsplan. Vervolgens hebben wij de informatievoorziening aan de raad onderzocht. Ten slotte hebben wij een gesprek gevoerd met raadsleden van de drie ABG gemeenten om na te gaan hoe raadsleden hun rol op dit domein zelf ervaren. In hoofdstuk 3 van het beleidsdocument ‘Informatiebeveiligingsbeleid ABG – Een digitaal weerbare organisatie – 2027 zijn de taken en verantwoordelijkheden voor de informatiebeveiliging beschreven. De gemeenteraden komen in dit hoofdstuk niet voor en hun controlerende en kaderstellende rol wordt dus buiten beschouwing van dit beleid gelaten. Volgens dit document is het de bevoegdheid van het college van B&W om de kaders te stellen voor informatiebeveiliging op basis van landelijke en Europese wet- en regelgeving en landelijke normenkaders. Ook is het de verantwoordelijkheid van het college om het informatiebeveiligingsbeleid vast te stellen. Het onderwerp informatiebeveiliging verschijnt dan ook zelden op de raadsagenda. De gemeenteraden ontvangen informatie op hoofdlijnen via de stukken in de P&C cyclus.

Daarnaast krijgen zij incidenteel raadsinformatiebrieven waarin informatiebeveiliging aan de orde wordt gesteld. Raadsleden stellen nauwelijks tot geen vragen aan het college over het onderwerp blijkt uit de raadsinformatiesystemen van de gemeenten Alphen-Chaam, Baarle-Nassau en Gilze en Rijen (1 pagina 31/38

november 2025

PBLQ – Rekenkamerrapport ABG gemeenten

technische vraag over de gevolgen van de Cyberbeveiligingswet voor de gemeente in 2025). Dat betekent dat de raadsleden geen hoge prioriteit toekennen aan dit onderwerp. Dit beeld werd bevestigd in de raadsbijeenkomst die wij op 18 september 2025 in het kader van dit onderzoek hebben georganiseerd. Bij deze bijeenkomst waren acht raadsleden uit de drie ABG gemeenten vertegenwoordigd. Aan de hand van een casus uit de fictieve gemeente Fonkelveen zijn wij met hen in gesprek gegaan over informatiebeveiliging. Hierbij hebben wij een koppeling gemaakt met de drie verschillende rollen van de gemeenteraad: de volksvertegenwoordigende-, de kaderstellende- en de controlerende rol. De aanwezige raadsleden zijn zich bewust van het belang van informatiebeveiliging. De gemeente beschikt over veel persoonsgegevens en moet voorkomen dat deze op straat komen te liggen. De gemeente heeft een voorbeeldfunctie, zo werd aangegeven. De raadsleden geven aan dat ze met de achterban de wensen en eisen ten aanzien van privacy zouden moeten bespreken. Raadsleden zijn het eens dat de gemeente moet voldoen aan wetgeving, ook als het aankomt op privacybescherming en informatiebeveiliging. Maar hierover is bij de aanwezige raadsleden te weinig informatie beschikbaar. Informatiebeveiliging is niet alleen een kwestie van techniek zo wordt geconcludeerd. Ook de organisatiecultuur is van belang.

Op dit onderwerp zou de raad ook zijn controlerende rol kunnen pakken. Om de controlerende rol verder goed in te kunnen vullen, zouden de raadsleden graag periodiek een auditrapport ontvangen. De aanwezige raadsleden weten niet of dergelijke rapporten al worden aangeboden. Wel geven ze aan dat informatiebeveiliging en privacy terugkerende onderwerpen zijn de in de jaarstukken. Ten slotte geven de aanwezige raadsleden aan dat hun kennis op dit gebied tekort schiet. Gezien het belang van dit onderwerp wordt dat als een omissie ervaren. Men staat open voor een opleiding om de witte vlekken in te kleuren. Resumerend kan gesteld worden dat de gemeenteraden van de ABG inderdaad op afstand staan. Hiervoor zijn drie belangrijke oorzaken aan te wijzen: een gebrek aan informatie, de lage prioriteit die aan dit onderwerp wordt toegekend en het gebrek aan kennis.

pagina 32/38

november 2025

PBLQ – Rekenkamerrapport ABG gemeenten

6.

Crisisbeheersing

6.1

Inleiding

In dit hoofdstuk staat de toetsing van het beleid centraal. De onderzoeksvragen die in dit kader zijn gesteld zijn: Wat is het beleid van de gemeente op het gebied van significante incidenten, calamiteiten en crisisbeheersing? Op welke wijze wordt dit beleid in de praktijk getoetst en geoefend?

6.2

Beleid van de gemeenten op het gebied van crisis

De ABG organisatie en Equalit hebben beleid op het gebied van het afhandelen van incidenten. Daarin wordt ook opschaling geadresseerd, in het geval dat een incident een grotere impact heeft dan via het reguliere proces kan worden afgehandeld. De gemeente Oosterhout en Equalit hebben een eigen bedrijfscontinuïteitsplan en incident response plan waarin eisen, normen en verantwoordelijkheden ten aanzien van continuïteit zijn beschreven. De ABG organisatie heeft aangegeven te werken aan een bedrijfscontinuïteitsplan die naar verwachting dit jaar (2025) wordt vastgesteld. De plannen en aanpak van de ABG organisatie en Equalit zijn derhalve (nog) niet op elkaar afgestemd op het gebied van drempelwaarden, maar dit wordt wel beoogd om te doen. Dit is belangrijk om vast te stellen of de eisen ten aanzien van continuïteit en dienstverlening van Equalit en de ABG organisatie in lijn zijn met elkaar, in het bijzonder als het gaat om de eisen (drempelwaarden) van kritieke processen en systemen. Beleid gemeente Oosterhout en Equalit Equalit heeft in het Incident response plan16 de rollen, verantwoordelijkheden en opschaling bij incidenten uitgewerkt. In dit plan wordt onderscheid gemaakt tussen verschillende niveaus (“levels”) van opschaling binnen de weerbaarheidsorganisatie. Vanuit het incidentmanagementproces wordt opgeschaald naar het incident response plan en het Incident Respons Team.

Dit team wordt voorgezeten door de CISO of TISO. Ook is er een vertegenwoordiger van het MT (Equalit) betrokken. Op basis van de te verwachten effecten van een incident kan worden opgeschaald naar het Incident Management Team, voorgezeten door de/een Teamleider Equalit die tevens de schakel is met het gemeentelijke bestuur van Oosterhout. Naast de teamleider nemen onder andere ook de CISO/TISO en de proceseigenaar van het getroffen domein deel aan dit team. De FG, privacy adviseur, technical lead en gemeentesecretaris zijn leden van de flexibele schil van dit team en worden op basis van het type incident betrokken. Equalit heeft in het incident response plan tevens criteria opgenomen voor opschaling. Deze criteria gaan over of een incident (mogelijk) een kritiek systeem verstoort, wat de duur van de verstoring, of er mogelijk een verstoring in een keten is, wat het oplossingsperspectief is en wat de effecten van een incident zijn. Per kritiek proces zijn verder drempelwaarden voor uitvalduur, hersteltijd van een proces en dataverlies opgenomen. Beleid ABG organisatie De ABG organisatie heeft een concept bedrijfscontinuïteitsplan. In dit plan staan de rollen, verantwoordelijkheden en communicatielijnen beschreven in het geval van een crisis. Ook zijn de 16

Incident response plan versie 0.9 (concept), 25 juni 2025.

pagina 33/38

november 2025

PBLQ – Rekenkamerrapport ABG gemeenten

belangrijkste instructies, procedures en operationele gegevens voor het gemeentelijke crisisteam opgenomen in dit plan. Het plan gaat ook specifiek in op acties en verantwoordelijkheidsverdelingen ten tijde van een cybercrisis, waarbij het uitgangspunt is dat Equalit de leiding heeft in het technisch oplossen van en crisis en het managen van de crisis een verantwoordelijkheid is van de ABG organisatie. De beschreven acties gaan in op zowel (situatie)analyse, als schade/impactbeperking en continuering en herstel van dienstverlening en processen. Het plan gaat ook in op bedrijfskritische processen inclusief de business waarde en hersteltijd in termen van mogelijke uitstel en hersteltijd. Buiten het (concept) bedrijfscontinuïteitsplan heeft de ABG organisatie al heeft een crisisorganisatie ingericht. Daarbij zijn ook de communicatielijnen en betrokkenheid van de individuele gemeenten meegenomen. In de praktijk zijn er ook incidenten geweest waarbij dit crisisteam is gevormd en ingezet. Stekkermandaat gemeente Oosterhout De gemeente Oosterhout en Equalit hebben de bevoegdheid en verantwoordelijkheid om bij een ICTcrisis in te grijpen als de situatie daarom vraagt. Het gaat hierbij om het zogenaamde stekkermandaat.

Oosterhout kan de informatievoorziening en de (digitale) dienstverlening van de ABG gemeenten stopzetten op het moment van een acute dreiging die de informatie(voorziening) kan schaden. Dit kan bijvoorbeeld het geval zijn bij een ransomwareaanval. De geïnterviewden beoordelen deze verantwoordelijkheidsverdeling in het algemeen als positief, in het bijzonder als het gaat om technische vraagstukken die om snelle actie vragen. Tegelijkertijd is er weinig zeggenschap aan de kant van de ABG gemeenten en worden de (individuele) gemeenten niet betrokken bij deze besluitvorming.

6.3

Toetsen en oefenen

In de praktijk wordt het beleid van de gemeenten beperkt getoetst. Tot op heden is er geen oefening geweest. De ABG gemeenten zijn wel voornemens om op korte termijn binnen de ABG gemeenten een crisisoefening op het gebied van cyber/informatieveiligheid te organiseren. De eerste stap daarbij is om de crisisprocedure te wijzigen en op basis daarvan te trainen. Daarna volgt er een daadwerkelijke oefening. In 2023 heeft er een groter incident plaatsgevonden dat vroeg om ambtelijke en bestuurlijke opschaling. De procedures zijn destijds in de praktijk beproefd. Sinds 2023 zijn er geen grote incidenten geweest.

pagina 34/38

november 2025

PBLQ – Rekenkamerrapport ABG gemeenten

Bijlage A

Interviews

Interviews met functionarissen: #

Functie

1

Chief Information Security Officer

2

Functionaris Gegevensbescherming

3

Privacy Officer

4

Concerncontroller (ai)

5

Manager financiën

6

Portefeuillehouders bedrijfsvoering van Alphen-Chaam, Baarle-Nassau en Gilze en Rijen

7

Algemeen Directeur ABG organisatie

8

Lid directie ABG organisatie

9

Afdelingsmanager Veiligheid en Vergunningen

10

Afdelingsmanager Informatie, Innovatie & ICT

11

Teamleider Informatie, Innovatie & ICT

Korte gesprekken medewerkers: #

Functie

1

Medewerker Burgerzaken

2

Medewerker Basisregistratie

3

Medewerker Openbare Orde en Veiligheid

4

Teamleider front Office sociaal domein

5

Financieel Adviseur

Bijlage B

Bestudeerde documentatie

#

Documentnaam

1

Technisch beleid informatiebeveiliging en privacy

2

ABG Informatiebeveiligingsbeleid

3

Algemeen beleid informatieveiligheid en privacy 2025 - 2029

4

Beveiligingsverbeterplan ABG

5

Collegeverklaring 2024 Informatiebeveiliging Alphen-Chaam

6

Collegeverklaring 2024 Informatiebeveiliging Baarle-Nassau

7

Collegeverklaring 2024 Informatiebeveiliging Gilze en Rijen

8

ICT samenwerkingsovereenkomst AGB – gemeente Oosterhout

9

Incident respons plan Equalit

10

Incidentenregister ABG 2025

pagina 35/38

november 2025

PBLQ – Rekenkamerrapport ABG gemeenten

11

Managementletter 2023 ABG organisatie

12

Managementletter 2024 ABG organisatie

13

Procedure Projectportfoliomanagement

14

Procedure Incident management

15

Procedure Information Security Management Equalit

16

Producten- en Dienstencatalogus Equalit 2025

17

Protocol melding datalekken en beveiligingsincidenten

18

Rapportage Leerpad informatieveiligheid 2025

19

Overzicht datalekken ABG periode 2025 (datalekkenregister)

pagina 36/38

november 2025

PBLQ – Rekenkamerrapport ABG gemeenten

Stoplichtrapportage

Bijlage C

In de onderstaande tabel staan in de vorm van een stoplichtrapportage een kwalitatief overzicht van de beoordeling op de normen uit het normenkader op basis van de bevindingenrapportage.

Identificeer (Identify)

Bescherm (Protect)

Detecteer/ Ontdek (Detect)

Reageer (Respond)

Norm met betrekking tot informatieveiligheid en de bescherming van persoonsgegevens

Beoordeling en toelichting

•

•

De ABG organisatie heeft beleid en procedures op het gebied van informatieveiligheid.

•

Op het gebied van privacy en de bescherming van persoonsgegevens is het beleid verouderd of nog in concept en zijn er achterstanden. Hiervoor is extra capaciteit aangetrokken.

•

De ABG organisatie en Equalit hebben maatregelen genomen ter bescherming van kritische processen en dienstverlening, zowel op het vlak van informatiebeveiliging als op het vlak van de bescherming van persoonsgegevens.

•

Medewerkers hebben in beperkte mate bewustwordingstraining gevolgd.

•

De gemeenten hebben de belangrijkste processen, systemen en risico’s in beeld.

•

De gemeenten stellen dit risicobeeld periodiek bij op basis van (onder andere) informatie over dreigingen en veranderingen in processen en systemen.

•

De gemeenten hebben maatregelen ontwikkeld en geïmplementeerd om te zorgen voor de continuïteit en bescherming van kritische processen en dienstverlening.

•

Medewerkers werken volgens de maatregelen en zijn bewust van eigen handelen en verantwoordelijkheid.

•

De gemeenten hebben maatregelen ontwikkeld en geïmplementeerd om cybersecurity incidenten en datalekken te detecteren.

•

De ABG organisatie en Equalit hebben maatregelen genomen om incidenten en datalekken te detecteren.

•

Er is een procedure voor het melden van incidenten en datalekken en medewerkers kennen en gebruiken deze procedure.

•

•

Er is een escalatieprocedure richting de directie, colleges en gemeenteraden.

Een escalatieprocedure richting directie, colleges en gemeenteraden is onderdeel van het concept bedrijfscontinuïteitsplan.

•

De gemeenten hebben maatregelen/acties/processen geïmplementeerd om actie te (kunnen) ondernemen tegen/na potentiële cybersecurity incidenten. Het gaat bijvoorbeeld om een incidentrespons procedure en nood/continuïteitsplannen.

•

Het bedrijfscontinuïteitsplan is in concept beschikbaar en wordt naar verwachting in 2025 vastgesteld.

•

Er zijn geen oefeningen geweest op het gebied van cyberaanvallen/incidenten.

•

pagina 37/38

De gemeenten hebben een duidelijk beleid en uitvoeringskader bij hoe zij omgaat met privacy en cybersecurity risico’s van/aan systemen, mensen, gegevens, informatie en middelen.

De gemeenten toetsen, oefenen en evalueren deze maatregelen/acties/processen periodiek (zoals het oefenen van een cyberaanval).

november 2025

PBLQ – Rekenkamerrapport ABG gemeenten

Herstel (Recover)

Algemeen

pagina 38/38

•

De rollen en verantwoordelijkheden van functionarissen, directie en raden zijn vastgelegd en in de praktijk bekend.

•

De gemeenten werken planmatig aan weerbaarheid en zijn voorbereid op activiteiten ten behoeve van herstellen van processen en dienstverlening.

•

Incidenten op het gebied van informatiebeveiliging of cybersecurity worden geëvalueerd en leiden tot structurele verbetermaatregelen.

•

•

De ABG organisatie heeft beleid en procedures op het gebied van informatieveiligheid.

De raden wordt periodiek geïnformeerd over de digitale weerbaarheid van de gemeente en de ontwikkelingen op dat vlak.

•

De raden worden periodiek geïnformeerd op hoofdlijnen en volgens de verplichte onderdelen (zoals de collegeverklaring).

•

De informatieverstrekking aan de raden biedt de raden voldoende mogelijkheden om de kaderstellende en controlerende verantwoordelijkheden waar te maken.

•

De raden hebben beperkt mogelijkheid om invulling te geven aan kaderstellende, controlerende en volksvertegenwoordigende taken.

•

De maatregelen die de gemeenten nemen worden periodiek getoetst, geoefend en/of geëvalueerd.

november 2025

PBLQ – Rekenkamerrapport ABG gemeenten