20230907 RIB Informatieveiligheid rekenkamerrapport 2022; aanbevelingen voor een stappenplan

Raadsinformatiebrief

Aan

Gemeenteraad van de gemeente Bergen

Van

College van burgemeester en wethouders

Datum

2 augustus 2023

Onderwerp

Informatieveiligheid rekenkamerrapport 2022; aanbevelingen voor een stappenplan

Informatie voor de raad, ter kennisgeving.

Inleiding Vanuit het rekenkamerrapport naar informatieveiligheid zijn een aantal aanbevelingen gedaan aan de raad en het college. Door het college is toegezegd om in overleg met de griffier en de ambtelijke CISO deze aanbevelingen op te pakken en uit te werken. In deze informatiebrief leest u daar meer over.

De informatie Informatieveiligheid gaat over de juiste informatie, voor de juiste persoon, op het juiste moment beschikbaar hebben. Daarvoor zijn internationale beveiligingsstandaarden, wetgeving en controle op de naleving leidend bij het tegengaan van (mogelijke) informatiebeveiligingsincidenten. De Chief Information Security Officer (CISO) ziet toe op de naleving van de eerdergenoemde standaarden en wetgeving. Hij adviseert over alles wat met informatieveiligheid in de breedste zin van het woord te maken heeft. Informatieveiligheid geldt voor alle “medewerkers” met een account, druppel, analoog/digitale toegang, of die anderszins een opdracht van, voor of namens de gemeente Bergen uitvoeren. Onder medewerkers in deze context moeten dus ook de raads- en commissieleden en het college worden gerekend. De onderstaande aanbevelingen, die door de rekenkamercommissie zijn gegeven aan de raad, zijn op de volgende manier uitgewerkt: 1. Maak met het college afspraken over de manier waarop het de kennis en het bewustzijn binnen de organisatie over informatieveiligheid vergroot en daarmee de gewenste gedragsverandering realiseert. 1.1 Afgelopen periode is een systeem voor bewustwording geïmplementeerd bij de gemeente.

Dit is een online leeromgeving, waarbinnen verplichte trainingen (informatieveiligheid en privacy) moeten worden gevolgd, evenals allerlei andere noodzakelijke of nuttige trainingen. Door dit systeem is het mogelijk om te volgen welke medewerker de verplichte trainingen al wel of nog niet heeft gevolgd en kan er actief gestuurd worden op het onderdeel bewustwording. Dit betekent voor raads- en commissieleden, dat zij ook de verplichte trainingen over informatieveiligheid en privacy doorlopen. 1.2 Daarnaast worden er door de CISO periodiek berichten geplaatst over informatieveiligheid op het intranet. Het intranet is niet toegankelijk voor raads- en commissieleden, waardoor zij de informatie via de griffier moeten krijgen. De CISO en griffier kijken hier nog naar een mogelijke oplossing. Daarnaast zal er meer voorlichtingsmateriaal komen over gebruikte soften hardware voor de raads- en commissieleden.

Pagina 1 van 3

1.3 Er komt éénmaal per jaar een verplichte bijeenkomst voor alle medewerkers, college, raads- en commissieleden over de onderwerpen informatieveiligheid en privacy. In deze bijeenkomst worden de medewerkers bijgepraat over wat men wel en niet moet doen, als het gaat om de bescherming van informatie. Er kan voor deze bijeenkomst een externe partij worden ingeschakeld om een presentatie te geven. 1.4 Er is een postercampagne opgezet met 9 thema’s, die door communicatie zal worden verwerkt in de huisstijl en daarna op verschillende plekken in het gemeentehuis zal worden opgehangen. Er zal voor de raads- en commissieleden apart nog een campagne worden opgezet en gecommuniceerd. 2. Maak met het college afspraken over de voortgang van het bouwen aan en vasthouden van een veilige werkomgeving, waarin medewerkers zich bewust zijn van hun rol en verantwoordelijkheden als het gaat om informatieveiligheid. 2.1 Voor bewustwording worden de bij punt één benoemde onderwerpen ingezet, waaronder de online leeromgeving. De medewerkers worden bij aanvang van hun dienstverband op de hoogte gebracht van hun verantwoordelijkheid voor informatieveiligheid en privacy. Daarnaast zal dit onderwerp worden van de functionerings- en ontwikkelgesprekken. 2.2 Het volgen van trainingen wordt gemonitord en hier wordt actief op gestuurd voor alle medewerkers, het college en raads- en commissieleden. 3.

Maak met het college afspraken over de wijze waarop de raad periodiek geïnformeerd wordt. 3.1 Het hele jaar door vindt de verplichte ENSIA (Eenduidige Normering Single Information Audit) plaats. Dit is een audit op de stand van de genomen informatiebeveiligingsmaatregelen over het afgelopen jaar. Voor DigiD en SUWInet worden de maatregelen door een externe auditor getoetst. Het college stuurt de verticale verantwoording aan de verschillende ministeries voor mei en aan de raad rond juli. 3.2 Ook op het gebied van privacy wordt er jaarlijks gerapporteerd door de FG. Privacy gaat over het juiste gebruik van alleen persoonsgegevens. Informatieveiligheid gaat over het juiste gebruik van álle informatie in de breedste zin van het woord. De verplichte privacy rapportage zal worden uitgebreid met een onderdeel informatieveiligheid. 3.3 De accountant rapporteert jaarlijks over de stand van zaken bij de gemeente en ook hierin is informatiebeveiliging een onderdeel. De raad ontvangt zoals gebruikelijk jaarlijks het verslag van bevindingen n.a.v. de accountantscontrole jaarrekening.

Bovenstaande maatregelen dragen bij aan een beter beschermde informatiehuishouding.

Communicatie en vervolg Buiten de standaard communicatie vindt er geen verdere communicatie plaats. Met vriendelijke groet, Burgemeester en wethouders van Bergen (L), {{esl:Signer1:capture:size(200,50)}}

H.H.M. Timmermans Secretaris

{{esl:Signer2:capture:size(200,50)}}

M.H.E. Pelzer Burgemeester

Pagina 2 van 3