467066 Brief wethouder Schaap inzake beantwoording toezeggingen zienswijze begrotingswijziging informatiebeveiliging en privacy.pdf

Aan de leden van de gemeenteraad Mr. dr. C.D. Schaap wethouder

Uw brief van: Uw kenmerk: Bijlage(n): Onderwerp:

---Beantwoording toezeggingen zienswijze begrotingswijziging Informatiebeveiliging en Privacy

Ons kenmerk: Contactpersoon: Team: Telefoonnummer: Datum:

467066 Robert de Rooij IFA 14 0180451403 16-02-2022

Geachte Raadsleden,

In de commissievergadering P&C van 7 februari jongstleden heb ik de toezegging gedaan u nader te informeren over de exacte doelen die gaan worden bereikt met de extra middelen ten behoeve van Informatieveiligheid en Privacy. Ook zou ik terugkomen op de formatieve details, mede in relatie tot de benchmark.

Ambitie De ambitie is te voldoen aan wet en regelgeving (AVG, BIO, WPG) en dit ook aan te kunnen tonen. In de huidige praktijk wordt vooral adhoc geacteerd op de belangrijkste risico’s en projecten met een privacy en of informatiebeveiligingsvraagstuk. Deze werkwijze voldoet in de huidige tijd niet meer. Concrete doelen Het hoofddoel is om de veiligheid te borgen door processen (en ondersteunende applicaties) structureel veilig in te richten en om planmatig te werk te gaan waarbij plannen, uitvoeren, controleren en bijstellen op elkaar zijn afgestemd. Dit geldt zowel voor de informatiebeveiliging als het waarborgen van de privacy van de aan ons toevertrouwde gegevens.

Portefeuille:

BAR-organisatie, Dienstverlening, Openbare werken, Vastgoed & Accommodaties, Toezicht & Handhaving

Onderwerp: Beantwoording toezeggingen zienswijze begrotingswijziging Informatie-beveiliging en Privacy

Pagina 2 van 3

Op deze wijze hebben we structureel de risico’s op het gebied van privacy en informatiebeveiliging in beeld en kan gericht worden gestuurd op beheersing van deze risico’s. Bij de uitwerking van die doelstelling gaat het in elk geval om de volgende concrete punten - Inrichten governance informatiebeveiliging en privacy - Vergroten bewustzijn in de organisatie onder andere door het opstellen van gedragsregels - Uitwerken van een DPIA (Data Protection Impact Assessment) proces - Verdere implementatie van de BIO, AVG en WPG - Structureel up to date houden Cybersecurity Voor de concrete invulling van de hierboven genoemde punten wordt verwezen naar het plan van aanpak in het rapport Breed onderzoek. Formatie Om deze cyclus uit te kunnen voeren is extra formatie nodig AVG 1,8 fte De capaciteit van de FG wordt vergroot van 0,2 naar 1 fte. De FG is dan in staat toezicht te houden op en te rapporteren over het stand van zaken AVG. Deze rol en verantwoordelijkheid is met de huidige capaciteit niet waar te maken. De capaciteit van de Pricavy Officer wordt vergroot van 1 naar 2 fte. Daarmee ontstaat de noodzakelijke ruimte om geconstateerde bevindingen op te volgen. En maatregelen planmatig te implementeren.

Informatieveiligheid 2 fte Er wordt een TISO (Technisch Information Security Officer) aangesteld, die naast de huidige CISO met name werkzaamheden uitvoert op het gebied van cybersecurity. Daarnaast wordt een adviseur Informatieveiligheid aangesteld die zich gaat bezighouden met de uitvoering van de Ensia, Bio en projecten op het gebied van bijvoorbeeld bewustwording.

Clusters Maatschappij en Veiligheid 1 fte De benodigde wijzigingen in processen en de controletaken die worden uitgevoerd heeft onder andere impact op de processen bij de clusters Maatschappij en veiligheid. Hier worden immers veel gevoelige gegevens verwerkt. Hiervoor komt 1 fte beschikbaar voor

Portefeuille:

BAR-organisatie, Dienstverlening, Openbare werken, Vastgoed & Accommodaties, Toezicht & Handhaving

Onderwerp: Beantwoording toezeggingen zienswijze begrotingswijziging Informatie-beveiliging en Privacy

Pagina 3 van 3

het implementeren van maatregelen, het structureel uitvoeren van controles en uitvoeren van projecten. Benchmark Bij de referentie organisaties met een capaciteit vergelijkbaar met het voorstel, is de ‘Plan do check act cyclus’ ingevoerd, zijn de privacy en veiligheidsrollen verdeeld en worden de bijbehorende taken structureel uitgevoerd. Dit draagt bij aan een significante beperking van de risico’s. Hoogachtend, Mr. dr. C.D. Schaap

Portefeuille:

BAR-organisatie, Dienstverlening, Openbare werken, Vastgoed & Accommodaties, Toezicht & Handhaving