1340638 Ontwerpbegroting 2026 RID Utrecht Beantwoording technische vragen PvdA incl. bijlage

Memo Aan

: Gemeenteraad Baarn

Onderwerp

: Beantwoording technische vragen PvdA over zienswijze op RID Begroting 2026 : Hugo Prakke : 15 september 2025

Portefeuillehouder Datum

Geachte raadsleden en steunfractieleden,

De fractie van de PvdA heeft technische vragen gesteld over de zienswijze van de gemeente Baarn op de begroting van 2026 van de RID. Hieronder de vragen en de antwoorden. Vraag 1 Informatiebeveiliging en compliance Hoe wordt de structurele afstemming met deelnemende gemeenten, waaronder Baarn, geborgd op het gebied van informatiebeveiliging en compliance, om te voorkomen dat er lacunes ontstaan in de beveiliging en privacy van gemeentelijke data? Antwoord Voor de gemeente Baarn zijn informatiebeveiliging en compliance integraal onderdeel van de reguliere afstemming tussen de RID en de deelnemende gemeenten. Dit gebeurt onder andere via de CISO-lijn, waarbij de CISO de rapportage over de informatiebeveiliging bespreekt: • • •

tweewekelijkse afstemming via informatiemanagers en i-adviseurs per gemeente, als ook via het Service Management Overleg (SLMO) met de ICT-regisseurs. per kwartaal met het verantwoordelijk (team) management halfjaarlijks met de portefeuillehouder en GS.

Jaarlijks wordt richting de raad wordt een RIB opgesteld over de voortgang van de uitvoering van zowel het informatiebeleid als het informatiebeveiligingsbeleid, zoals deze ook recent is opgesteld op 14 mei jl. en die voor de volledigheid als bijlage bij deze vragen is opgenomen. Daarnaast wordt informatieveiligheid (half) jaarlijks geadresseerd via P&C- en risicodocumenten zoals de ENSIA-rapportages en BIO-audits. Daarnaast werkt Baarn met: •

•

een meerjarige planning en transparantie op dit onderwerp, met interne rapportages richting management, GS en portefeuillehouder, zoals vastgelegd in het strategisch informatiebeveiligingsbeleid. en structurele terugkoppeling via het DB/AB van de RID over de stand van zaken m.b.t. compliance, datalekken, risico’s en mitigerende maatregelen.

De gemeente Baarn ziet het als essentieel dat informatiebeveiliging wordt geborgd op zowel strategisch als operationeel niveau en speelt hierin ook zelf een actieve rol.

1

1.1.1

Vraag 2 Cloudstrategie

Op welke wijze behoudt Baarn regie en invloed op de gekozen cloudstrategie van de RID, en hoe worden risico's van leveranciersafhankelijkheid en privacyaspecten proactief gemitigeerd? Antwoord: De gemeente Baarn is direct betrokken bij de afspraken die de RID maakt over haar cloudstrategie, juist omdat de keuzes op dit terrein direct raken aan autonomie, privacy, transparantie én leveranciersonafhankelijkheid. Deze Cloudstrategie is volgens de governance-lijn van de RID vastgesteld. Als gemeente Baarn hebben wij maandelijks afstemming binnen het strategisch opdrachtgeversoverleg (SOO) en het gemeentelijk directeuren overleg (GDO) over strategische en tactische keuzes van cloudoplossingen en de verdere inrichting daarvan met de deelnemende RIDgemeenten. De uitkomsten daarvan worden vervolgens ter besluitvorming voorgelegd aan het DB/AB van de RID. In deze procesgang zorgt de gemeente Baarn: • •

•

dat wij als gemeente tijdig betrokken worden via onze informatiemanager bij voorbereidende onderzoeks- en besluitvormingstrajecten; dat inrichtingskeuzes (zoals vendor lock-in, datalocatie, exitstrategieën) transparant door de RID worden onderbouwd voorgelegd aan de deelnemers. In dat kader onderzoekt gemeente Baarn op dit moment al pro-actief alternatieven voor belangrijke leveranciers zoals Microsoft. De landelijke ontwikkelingen van Common Ground worden daarbij op de voet gevolgd en daar waar mogelijk neemt de gemeente Baarn actief deel aan de verdere ontwikkeling en toepassing daarvan. dat impactanalyses door de RID worden gedeeld over privacy (zoals DPIA's), beveiliging en juridische risico’s. Gemeente Baarn heeft voor het actief managen van privacyaspecten een privacy officer aangesteld. Deze privacy officer richt zich zowel op de RID als op de intern processen van de gemeente Baarn.

Ik ga er van uit u hiermee voldoende te hebben geïnformeerd. Met vriendelijke groet, Hugo Prakke Wethouder

2

Bijlage 1: RIB Voortgang informatiebeleid & informatieveiligheid 14 mei 2025

inlichtingen bij

Fedde Macco

Aan de raadsleden en steunfractieleden van de gemeente Baarn

doorkiesnummer uw kenmerk ons kenmerk

datum portefeuillehouder(s) onderwerp

1262477 / 1296369

14 mei 2025 Wethouder Prakke Voortgang informatiebeleid & informatieveiligheid

Geachte leden van de raad en steunfractieleden, De gemeente Baarn vindt het belangrijk om inwoners en bedrijven goed te helpen bij alles waarvoor zij verantwoordelijk is. We willen een betrouwbare en open organisatie zijn. De wensen en behoeften van inwoners, bedrijven en medewerkers veranderen snel, onder andere door nieuwe ontwikkelingen in de maatschappij en technologie. Gemeenten moeten hier steeds op inspelen. Daarom blijven we onze informatievoorziening aanpassen en verbeteren. Goede, actuele en betrouwbare informatie is nodig om inwoners goed te helpen, om beleid te maken en om goede besluiten te nemen. Voorbeelden zijn het ondersteunen van inwonersparticipatie, het vroeg signaleren van schulden, het uitwisselen van informatie over ondermijning en het aanpakken van klimaat- en milieuproblemen. Om het werk van de gemeente goed te blijven ondersteunen, werkt Baarn aan betere informatievoorziening en ICT. Hiervoor gebruiken we het informatiebeleid dat in mei 2023 door het college is vastgesteld. Naast goede systemen vinden we het belangrijk dat we veilig omgaan met alle informatie. De informatie moet actueel en juist zijn, en alleen toegankelijk zijn voor mensen die daar toestemming voor hebben. Daarom werken we voortdurend aan het beter beveiligen van informatie. We volgen hiervoor het Strategisch Informatiebeveiligingsbeleid, dat in april 2025 is vernieuwd en vastgesteld.

1

Met deze raadsinformatiebrief geven wij u een eerste beeld van de voortgang van het informatiebeleid en de informatieveiligheid binnen de gemeente Baarn. Eerst bespreken we de belangrijkste onderdelen van het informatiebeleid, daarna gaan we in op de stappen die wij zetten om de veiligheid van informatie verder te verbeteren. Een samenvatting is te vinden in de bijlage "1262477 - Bijlage - Presentatie RIB voortgang- IB en IB&P". We realiseren ons dat de brief op sommige punten technisch is. Daarom bespreken we de voortgang graag met uw raad tijdens een raadsinformatieavond, die in overleg met de griffie zal worden gepland. Informatiebeleid Het informatiebeleidsplan 2023-2026 geeft richting en sturing aan de gewenste en vereiste ontwikkeling van onze dienstverlening en de informatievoorziening. Daarbij worden de volgende sporen onderkend: • • • • •

Een stevig digitaal fundament: We zorgen dat onze informatie veilig, actueel, betrouwbaar, vindbaar en (duurzaam) toegankelijk is. Toegankelijke dienstverlening: We werken verder aan betrouwbare en efficiënte dienstverlening die voor iedereen bereikbaar en toegankelijk is. Informatiegestuurd werken: Om meer waarde te halen uit onze data werken we de komende jaren stapsgewijs aan een groei in volwassenheid op gebied van data & informatie. Flexibel samenwerken: We zorgen dat onze collega's veilig digitaal samen kunnen werken waar, wanneer en met wie dat op dat moment nodig is. Innovatie: Middels experimenten onderzoeken we de waarde van nieuwe technologieën voor onze bedrijfsvoering en dienstverlening.

Sinds 2024 gebruikt team Informatie één-, drie- en vijfjarenplanningen om gericht te werken aan de ontwikkeling van het informatie- en ICT-landschap én aan de ontwikkeling van het team. Dit gebeurt op een projectmatige manier en draagt bij aan de uitvoering van het informatiebeleid. Stevig digitaal fundament In 2024 is er een meting uitgevoerd op de kwaliteit van het informatiebeheer, zodat de komende jaren gericht kan worden gewerkt aan een informatiehuishouding die integraal werken optimaal ondersteunt. Daarnaast is de bewaarstrategie geüpdatet, zodat ook e-mails en sociale media berichten op de juiste wijze worden gearchiveerd. Voor de primaire systemen voor burgerzaken, financiën en belastingen heeft er in 2024 opnieuw een aanbesteding plaats gevonden, en zijn deze ingericht op een manier die aansluit bij de huidige en toekomstige bedrijfsvoering. In het kader van de verdere professionalisering van ons applicatielandschap zetten wij als gemeente nadrukkelijk in op het gebruik van "software as a service" (SaaS)-oplossingen. SaaS betekent dat softwaretoepassingen niet meer lokaal op onze eigen servers worden geïnstalleerd en beheerd, maar via het internet als een dienst worden afgenomen bij een externe leverancier. Medewerkers maken via een webbrowser gebruik van deze software, terwijl het technisch beheer, onderhoud en de beveiliging grotendeels bij de leverancier liggen.

2

Door te kiezen voor SaaS verminderen we onze afhankelijkheid van lokaal beheerde en maatwerkapplicaties. Dit biedt meerdere voordelen: we zijn minder afhankelijk van specifieke leveranciers (vendor lock-in), interne technische capaciteit en complexe beheerprocessen. Daarnaast stelt SaaS ons in staat sneller in te spelen op technologische ontwikkelingen, voldoen we eenvoudiger aan wet- en regelgeving op het gebied van informatiebeveiliging en privacy, en kunnen we onze dienstverlening richting inwoners en bedrijven verder optimaliseren. Tegelijkertijd zijn er bij het gebruik van SaaS ook risico’s, zoals afhankelijkheid van externe partijen (vendor lock-in), risico op datalekken of cyberincidenten bij leveranciers, of verlies van beschikbaarheid bij storingen buiten onze eigen infrastructuur. Om deze risico’s te beperken, neemt de gemeente Baarn een aantal maatregelen: • We stellen heldere eisen aan leveranciers op het gebied van informatiebeveiliging, continuïteit en dataprivacy (onder andere conform de Baseline Informatiebeveiliging Overheid - BIO). • We sluiten contracten waarin afspraken zijn vastgelegd over dienstverlening, veiligheid, herstel bij storingen en exitstrategieën. • We voeren risicobeoordelingen uit vóór het afsluiten van contracten en bij grote wijzigingen. • We monitoren actief de prestaties van leveranciers en zorgen voor noodprocedures bij uitval.

• We kiezen we voor SaaS-leveranciers die gegevens opslaan binnen de EU en voldoen aan Europese wetgeving. Op deze manier benutten we de voordelen van SaaS, maar zorgen we ook voor een beheerst en veilig gebruik dat past bij onze publieke taak. Toegankelijke dienstverlening In 2024 is de beweging rondom digitalisering op onderwerpen zoals informatiebeveiliging en informatiehuishouding intern doorgezet. De toegankelijkheid op alle gemeentelijke websites is verbeterd en er is een continu verbetertraject voor de komende jaren. Het percentage dat voornamelijk contact met de gemeente heeft gehad via de website is voor het eerst in de jaarlijkse metingen meer dan de helft (53%). Voor de implementatie van de Wet open overheid (Woo) is in 2024 een vernieuwd projectplan opgesteld. Aan de hand van dit projectplan wordt in vier sporen uitvoering gegeven aan de implementatie: 1. Actief openbaar maken verplichte informatiecategorieën 2. Pilot actief openbaar maken themadossier 3. Stroomlijnen passieve openbaarmaking 4. Vergroten kennis en bewustzijn medewerkers.

3

Om invulling te geven aan de doelstelling om als gemeente Baarn transparant te zijn naar onze inwoners, wordt gedurende 2025 onze website ingericht met een aparte pagina waar de informatiecategorieën gepubliceerd wordt. Per categorie wordt vervolgens naar de invulling gekeken, waarbij een start zal worden gemaakt met de categorie `Woo-verzoeken en subsidiebeschikkingen´. Op het gebied van passieve openbaarmaking is de inrichting en implementatie van anonimiseringssoftware inmiddels afgerond. Bovendien is een dashboard ontwikkeld dat de gemeente in staat stelt te sturen op de efficiënte en tijdige afhandeling van Woo-verzoeken. Deze acties worden mede uitgevoerd naar aanleiding van signalen en suggesties vanuit de gemeenteraad. De inzichten en wensen van de raad zijn hierbij nadrukkelijk meegenomen. De voortgang op deze punten wordt opgenomen in de actiepuntenlijst van de raad en voor dit punt wordt verwezen naar motie "helder en transparant weergave van subsidies", punt 5 van 3 juli 2024, waarin wordt gevraagd om "een ander, nieuw platform dat nodig is om te publiceren en die is nu nog niet beschikbaar, We verwachten dat dit in de loop van het jaar lukt." Informatiegestuurd werken Informatiegestuurd werken betekent dat we beslissingen, beleid en dienstverlening zoveel mogelijk baseren op feiten, cijfers en actuele informatie.

Door data slim te benutten, kunnen we sneller reageren, beter sturen en effectiever inspelen op maatschappelijke ontwikkelingen. Om deze ambitie te realiseren, hebben we recent een data team opgericht. Dit team bestaat uit vakspecialisten uit verschillende disciplines, waaronder informatiemanagement, data-analyse en applicatiebeheer. Door deze expertise te bundelen, zijn we in staat om integraal te kijken naar vraagstukken rondom applicatie- en datakoppelingen. Het data team werkt samen aan gerichte oplossingen voor het ontsluiten, integreren en analyseren van data uit diverse applicaties. Hierdoor kunnen we sneller en beter inspelen op informatiebehoeften binnen de organisatie en onderbouwen we beleidskeuzes steeds meer met actuele en betrouwbare data. Een belangrijk onderdeel van onze aanpak is het optimaliseren van de applicatielijst. Door inzichtelijk te maken welke typen informatie in de verschillende (vak)applicaties worden gebruikt en wat de kenmerken van deze applicaties zijn, krijgen we meer grip op het applicatielandschap. Hiervoor richten we een centrale database in die eenvoudig door alle domeinen geraadpleegd kan wordenen. Deze aanpak biedt meerdere voordelen: •

•

Efficiëntie: Elk domein kan op eenvoudige wijze raadplegen in welke (vak)applicaties specifieke typen informatie zijn vastgelegd, zoals privacygevoelige of persoonsgebonden informatie. Dit bespaart tijd en maakt het beheer overzichtelijker. Kostenbesparing: Door inzicht te creëren in het applicatielandschap kunnen we eenvoudiger vaststellen waar besparingen mogelijk zijn. Denk hierbij aan het opsporen van dubbele of overbodige applicaties die samengevoegd of uit gefaseerd kunnen worden.

4

Met deze stappen werken we niet alleen aan een efficiënter gebruik van onze applicaties, maar leggen we ook de basis voor de verdere professionalisering van informatiegestuurd werken binnen de organisatie. Naast de applicatielijst, werken we ook aan het toewijzen van accountmanagers per team en het implementeren van Project Portfolio Management (PPM) tooling. De accountmanagers zullen in direct contact staan met de teams om informatiemanagement vraagstukken op te pakken en zo nodig te schakelen met het gehele informatieteam. Het PPM-systeem helpt ons bij het prioriteren van projecten rondom informatiebeleid, waardoor we onze middelen effectiever kunnen inzetten en weloverwogen beslissingen kunnen nemen over welke projecten we moeten uitvoeren. Met deze stappen werken we aan een efficiënter en strategischer gebruik van onze informatiebeheerprocessen. Flexibel samenwerken In het kader van flexibel samenwerken heeft de gemeente Baarn belangrijke stappen gezet: •

De implementatie van Microsoft 365 is afgerond en er is nu een vervolgadoptietraject gestart. Dit traject is erop gericht om elk team optimaal te ondersteunen bij het gebruik van de nieuwe tools. Hiermee zorgen we ervoor dat medewerkers effectief kunnen samenwerken, ook over de grenzen van teams (afdelingen) heen.

Parallel aan de verdere adoptie van Microsoft 365 wordt gewerkt aan het uitfaseren van de "oude" netwerkschijven. Deze transitie zal de manier waarop medewerkers documenten opslaan en delen fundamenteel veranderen, wat bijdraagt aan een meer gestroomlijnde en modernere werkomgeving. Deze ontwikkelingen dragen gezamenlijk bij aan een flexibelere en efficiëntere werkomgeving voor de medewerkers van de gemeente Baarn, waardoor ze beter kunnen inspelen op de veranderende behoeften van inwoners en bedrijven. Innovatie Op het gebied van innovatie is gemeente Baarn een ‘slimme volger’. We volgen wat landelijk en regionaal speelt en naarmate de uitvoering van het informatiebeleid vordert, maken we meer ruimte voor innovatieve ideeën en experimenten. Artificial Intelligence (AI) Gemeente Baarn onderzoekt actief de mogelijkheden, kansen en risico's van AI-toepassingen. Dit doen we zowel zelfstandig als in gezamenlijk RID-verband. Onze focus ligt op het verantwoord en transparant inzetten van AI, met oog voor privacy, ethiek en informatiebeveiliging. Eind 2023 zijn de richtlijnen voor het gebruik van generatieve AI vastgesteld door het MT en gedeeld met het college en gemeenteraad. Zie ook de bijlage 'Richtlijnen voor het gebruik van generatieve AI'. Momenteel zijn we bezig met het verder ontwikkelen van ons AI-beleid, waarin AI-geletterdheid en governance een rol spelen.

Dit is in lijn met de nieuwe Europese AI-verordening (AI Act). We volgen hierin de kaders en handreikingen die overheidsbreed zijn vastgesteld. Zie ook: Toegankelijkheid | Gemeente Baarn.

5

Enkele belangrijke punten in ons AI-beleid en -onderzoek zijn: •

• • • •

Experimenteren en leren: We voeren experimenten uit met AI, met name op het gebied van tekstanalyse, het genereren van begrijpelijke teksten en het automatisch opmaken van notulen. Daarvoor wordt de tool Co-Pilot ingezet van Microsoft. Ethiek en transparantie: We erkennen de uitdagingen rondom ethiek en transparantie bij het gebruik van AI en nemen deze mee in onze beleidsvorming. Risicobeoordeling: We voeren grondige risicobeoordelingen uit voor elke AI-toepassing die we overwegen te gebruiken. AI-geletterdheid: We investeren in trainingen en bewustwordingsprogramma's om onze medewerkers beter toe te rusten voor het verantwoord gebruik van AI. Datakwaliteit en -beheer: We werken aan het verbeteren van ons databeheer om de potentie van AI volledig te kunnen benutten.

Door deze aanpak streven we ernaar om de kansen van AI te benutten voor efficiëntere werkprocessen en verbeterde dienstverlening, terwijl we tegelijkertijd de risico's zorgvuldig beheren. We blijven alert op de snelle ontwikkelingen in dit veld en passen ons beleid aan waar nodig. Digitale Stad De ontwikkeling van beleid voor Baarn als Digitale Stad staat dit jaar op het programma. Hierbij zetten we data en technologie in om maatschappelijke uitdagingen, zoals mobiliteit, duurzaamheid en leefbaarheid, slimmer aan te pakken. Dit doen we samen met inwoners, bedrijven en andere partners. Het doel van dit beleid is om met behulp van innovatieve digitale oplossingen de kwaliteit van leven in onze gemeente te verbeteren en efficiënter in te spelen op actuele en toekomstige opgaven. Denk hierbij aan het gebruik van sensoren voor verkeersmanagement, slimme verlichting, het delen van open data of het ondersteunen van burgerinitiatieven met digitale middelen. In de komende periode gaan we verkennen hoe we als gemeente invulling kunnen geven het Digitale Stad-beleid, welke thema’s en samenwerkingsvormen daarbij passen en hoe we kunnen aansluiten bij bestaande initiatieven in andere gemeenten. Informatieveiligheid Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten De veiligheid van de gemeentelijke informatiesystemen wordt in toenemende mate bedreigd.

Dit wordt versterkt door de huidige geopolitieke ontwikkelingen. Gemeenten werken op gebied van informatieveiligheid samen via de Informatie Beveiligingsdienst (IBD). De IBD geeft periodiek Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten af, wat een actueel zicht biedt op incidenten en factoren uit het verleden, aangevuld met een verwachting voor het heden en de nabije toekomst. Dit dreigingsbeeld gebruikt de gemeente om focus aan te brengen in het actualiseren van beleid en plannen voor informatiebeveiliging.

6

Het meest actuele dreigingsbeeld spreekt van drie grote risico’s voor gemeenten; • • •

Uitval van dienstverlening en bedrijfsvoering Vertrouwelijke informatie valt in verkeerde handen Fouten in de dienstverlening

De gemeente Baarn heeft tal van maatregelen getroffen om bovenstaande risico’s tot een acceptabel niveau te beperken. In 2024 zijn een aantal concrete stappen gezet om onze informatiesystemen veiliger te maken: •

•

•

Binnen de regionale samenwerking is geïnvesteerd in het verder verhogen van het beveiligingsniveau van de informatiesystemen. Hiermee zijn de organisatiegegevens nog beter beschermd. Er is geïnvesteerd in een zogenaamd “cyber thread intelligence” systeem waardoor verdachte activiteit op het netwerk nog eerder wordt gedetecteerd en actie kan worden ondernomen. Regionaal is gestart met een bewustwordingsprogramma voor alle gebruikers.

Om te bepalen of deze maatregelen voldoende effectief zijn en waar zich nog eventuele kwetsbaarheden bevinden, zijn in 2024 een aantal onderzoeken uitgevoerd: • Een Technische pentest op de RID omgeving • Een Human factor pentest op de fysieke beveiliging van de deelnemers en het bewustzijn van de gebruikers van de informatiesystemen • Een BIO 0-meting op de organisatorische maatregelen Het beeld dat uit deze metingen naar voren komt is dat: • De gemeente heeft veel maatregelen getroffen om de risico’s te beheersen, echter zijn deze vooral informeel georganiseerd. • De implementatie van de maatregelen moet worden doorontwikkeld naar een hoger niveau in lijn met het toetsingskader en wettelijke verplichtingen waaronder NIS2. • Dit geldt voor zowel de technische, organisatorische als ook de menselijke en fysieke maatregelen en fysieke veiligheidsmaatregelen. Opvolging bevindingen Om de bevindingen planmatig, effectief en risicogericht op te lossen, is een plan van aanpak opgesteld (zie ook slides 3 t/m 6 van bijlage "1262477 - Bijlage - Presentatie RIB voortang- IB en IB&P"). Dit plan is gebaseerd op de Baseline Informatiebeveiliging Overheid (BIO). Dit is een risicogericht normenkader dat geldt voor de gehele overheid. Dit normenkader kent in hoofdlijnen maatregelen die onder te verdelen zijn in: • • • •

Organisatorische maatregelen Technische maatregelen Menselijke maatregelen Fysieke beveiligingsmaatregelen

7

De werkwijze van deze BIO is gericht op risicomanagement. Dat wil zeggen dat de afdelingsmanagers nu meer dan vroeger moeten werken volgens de aanpak van ISO 27001 en daarbij is risicomanagement van belang. Dit houdt voor de organisatie in, dat men op voorhand keuzes maakt en continu afwegingen maakt of informatie in bestaande en nieuwe processen adequaat beveiligd zijn in termen van beschikbaarheid, integriteit en vertrouwelijkheid. Hierbij is het cruciaal om een balans te vinden tussen gebruiksvriendelijkheid, procesondersteuning en beveiliging. Met het maken van risicoanalyses worden kans en impact van potentiële incidenten beoordeeld. Hiermee beoogd de gemeente maatregelen te treffen die proportioneel zijn ten opzichte van het risiconiveau. Aanpak voor de komende jaren Binnen de gemeente Baarn is de ambitie uitgesproken om meer grip te krijgen op alle aspecten rond Informatieveiligheid (IB). De doelstelling hiervan is weerbaar worden tegen dreigingen en hiermee: • • •

De continuïteit van de dienstverlening te borgen Vertrouwelijke informatie te beschermen De Integriteit van de informatiesystemen te borgen

De ambitie is om in drie jaar gecontroleerd te groeien in volwassenheid van een informele organisatie van maatregelen naar een gestructureerde en gecontroleerde organisatie van maatregelen. Daarnaast past de aanpak in de aangescherpte Europese Richtlijn “Network and Information Security 2” (NIS2). Deze richtlijn geldt voor alle zogenaamde “essentiële entiteiten” waaronder overheden en heeft als doel de weerbaarheid tegen beveiligingsrisico’s te verhogen. Hiermee wordt het risico op verstoringen van vitale diensten, financiële verliezen, schade aan de openbare veiligheid en verlies van vertrouwen van inwoners geminimaliseerd. Deze richtlijn is niet nieuw maar een wettelijke verankering van reeds bestaande richtlijnen. Deze aanpak bestaat uit een aantal onderdelen: 1 Inrichting De uitgangspunten voor de BIO worden gebruikt als basis voor de inrichting: • Lijnmanagement verantwoordelijk voor beveiliging van systemen. • Beveiliging is een continu en cyclisch proces (PDCA). • Maatregelen o.b.v. risicomanagement (three lines of defence) • Eindverantwoordelijkheid voor werking ligt bij de gemeentesecretaris. 2 Sturing De sturing vindt plaats langs 3 assen: • Planning – control cyclus voor alle IB activiteiten • Informatiebeveiligingsdashboard per beheermaatregel • Een risicogerichte meerjarenplanning

8

3 Uitvoering (regionaal en lokaal) • De planbare activiteiten zijn opgenomen in een P&C cyclus Er wordt gestuurd op realisatie van deze planning. • Risicogerichte Invulling van de BIO-maatregelen. Deze is opgenomen in een IB dashboard waarin de hoge risico’s zijn geprioriteerd. • Doelstelling is per kwartaal te groeien in volwassenheid op deze planning. Naast een lokale inrichting krijgt een deel van de projecten regionale invulling , dit komt tot uiting in de Meerjarenplanning. Deze regionale projecten zullen in aparte projectvoorstellen ter goedkeuring worden voorgelegd. De prioritering is gebaseerd op het dreigingsbeeld van de IBD als ook lokale toetsing door de CISO. 4 Verantwoording Ieder kwartaal wordt de voortgang en de status gerapporteerd. Waarbij de volgende verantwoordingstructuur wordt gevolgd: • Management per kwartaal • Portefeuillehouder en GS per halfjaar • College en Raad jaarlijks via RIB Conclusie Met de voorgestelde werkwijze wordt beoogd te komen tot een integrale borging van de continuïteit van de dienstverlening en infrastructuur van de gemeente. Als gemeente staan we permanent bloot aan tal van risico’s die de beschikbaarheid, integriteit en de vertrouwelijkheid van onze informatiesystemen bedreigen. Dit vraag om een integrale en risicogerichte inrichting van beheersmaatregelen.

Door regelmatig de effectiviteit van deze maatregelen te toetsen en bij te sturen waar dit noodzakelijk is blijft de gemeente weerbaar. De beschreven aanpak biedt de gemeente de mogelijkheid om risicogericht keuzes te maken en handelt in lijn met het toetsingskader en de wetgeving. Vervolg en nadere toelichting Met deze raadsinformatiebrief is de raad geïnformeerd over de actuele stand van zaken met betrekking tot het informatiebeleid en informatieveiligheid. Op expliciet verzoek van de raad wordt naast deze brief ook een mondelinge toelichting verzorgd in een raadsbijeenkomst. In overleg met de griffie wordt hiervoor een passende datum vastgesteld. Met vriendelijke groet, burgemeester en wethouders van Baarn,

A. van Wijk locosecretaris

9

M.A. Röell burgemeester

Bijlagen: – Informatiebeleid Gemeente Baarn 2023–2026 – Strategisch Informatiebeveiligingsbeleid 2025 – Richtlijn gebruik generatieve AI – Link digitale toegankelijkheid: https://www.baarn.nl/toegankelijkheid

10