5. Rekenkameronderzoek Weten wat je moet weten - Rapport Berg en Dal

Rekenkamer(commissie)s

Berg en Dal, Beuningen, Nijmegen en Wijchen

RAPPORT GEMEENTE BERG EN DAL

Weten wat je moet weten Regionaal rekenkameronderzoek naar informatiebeveiliging en privacybescherming Juli 2022

COLOFON Dit rapport is op basis van een gezamenlijk onderzoek opgesteld door de rekenkamer(commissie)s van de gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen naar informatiebeveiliging en privacybescherming. Voor elk van de vier gemeenten die zijn onderzocht is een aparte versie van het rapport opgesteld. Op onderdelen verschillen die versies van elkaar, omdat er behalve veel gezamenlijke bevindingen ook verschillen zijn tussen de gemeenten. Voorliggend rapport betreft het rapport voor de gemeente Berg en Dal. Elk rapport is te vinden op de website van de betreffende rekenkamer of bij de rekenkamer op te vragen.

Telefoon

Website

E-mail

www.bergendal.nl/rekenkamer

griffie@bergendal.nl

Berg en Dal 06 28 74 38 98 Beuningen 14 024

Gemeente Beuningen / Rekenkamer

Nijmegen 024 – 329 23 38

https://www.nijmegen.nl/over-de-

rekenkamer@nijmegen.nl

gemeente/rekenkamer/onderzoeksrapporten/ Wijchen 088 – 432 72 03

www.wijchen.nl

griffie@wijchen.nl

Bij de uitvoering van het onderzoek zijn de rekenkamer(commissie)s ondersteund door onderzoekers van: •

DMC Group (onderdeel informatiebeveiliging): drs. Chris P.J. Deben CISM, ing. Henk Struving CISA CISSP CISM Lead auditor ISO 27001 en Mick Deben BSc CISSP CRISC;

•

Legal2Practice (onderdeel privacybescherming): mr. Jean Paul van Schoonhoven BBA CCO SIO FIP CIPM CIPT CIPP/E, Meindert Boon RA CDPP CIPM CIPP/e, Philippe Dauphin MA BCS Data Protection en Wilfred Brom BC;

Bij het opstellen van de rapportage zijn de rekenkamer(commissie)s ondersteund door drs. Etienne Lemmens van Prae Advies & Onderzoek.

Weten wat je moet weten

AANBEVELINGEN In dit rapport zijn concrete aanbevelingen voor versterking van informatiebeveiliging en privacybescherming geformuleerd. We benadrukken daarin de noodzaak om de huidige inspanningen te versterken door hier meer systematisch en cyclisch aan te werken. In de kern zijn alle aanbevelingen daarop gericht. In het rapport worden ze nader onderbouwd en toegelicht; hieronder zijn ze allemaal op een rijtje gezet. De rekenkamers zijn zich ervan bewust dat de aanbevelingen een forse inspanning vergen van de colleges van B&W. Dat neemt niet weg dat ons inziens alle aanbevelingen - in samenhang - moeten worden opgepakt. Waar zaken niet kunnen wachten, manen we tot spoed. Uiteindelijk zijn het raad en college die samen moeten afspreken in welke volgorde en met welk tijdpad aan de slag wordt gegaan. We bevelen de gemeenteraden aan om hun college het volgende op te dragen: 1. Zorg voor heldere afspraken tussen de gemeenten en iRvN over informatiebeveiliging 2. Overweeg om het pad in te slaan van gezamenlijk informatiebeveiligingsbeleid in de regio 3. Verhelder het beleid voor informatiebeveiliging en privacybescherming 4. Werk zo snel mogelijk de belangrijkste ontbrekende onderdelen van het beleid uit 5. Voer zo snel mogelijk een organisatiebrede risicoanalyse uit 6. Maak risicomanagement tot een continu proces 7. Ga systematisch DPIA’s uitvoeren 8.

Stel voldoende (financiële) middelen beschikbaar 9. Zorg intern voor onafhankelijke ondersteuning en toezicht 10. Geef de CISO en FG de beschikking over een eigen budget 11. Leg vast hoe je gaat toetsen en rapporteren 12. Ga KPI’s gebruiken 13. Zet volop en systematisch in op bewustwording 14. Besteed meer bestuurlijke aandacht aan informatiebeveiliging en privacybescherming in de gemeente 15. Besteed meer bestuurlijke aandacht aan informatiebeveiliging en privacybescherming in de regio We bevelen de gemeenteraden aan om zelf te zorgen voor de volgende zaken: 16. Stel het beleid voor informatiebeveiliging en privacybescherming vast 17. Laat je informeren en ondersteunen 18. Richt je controlerende rol beter in 19. Overweeg de accountant de opdracht te geven voor een IT-audit 20. Overweeg een regionale aanpak Tot slot: de rekenkamer is een instrument van en voor de gemeenteraad. Kort samengevat komt ons advies aan de raad op het volgende neer: stel bewust de beleidskaders en doelen vast, bewaak dat het college die oppakt, laat je hierover goed en gericht informeren, stel vragen waar nodig, en zoek daarbij zoveel mogelijk samenwerking met de andere raden in de regio. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 1

Weten wat je moet weten

Inhoudsopgave AANBEVELINGEN .............................................................................................................. 1 1.

INLEIDING ................................................................................................................. 4

1.1 AANLEIDING VOOR HET ONDERZOEK .............................................................................. 4 1.2 DOEL- EN VRAAGSTELLING VAN HET ONDERZOEK ............................................................ 4 1.3 AFBAKENING EN SCOPE VAN HET ONDERZOEK................................................................. 5 1.4 AANPAK VAN HET ONDERZOEK ....................................................................................... 7 Hobbels in het onderzoek ............................................................................................... 9 1.5 LEESWIJZER ................................................................................................................. 9 2.

LANDELIJKE KADERS (wet- en regelgeving) ............................................................ 11

3.

UITKOMSTEN VAN HET ONDERZOEK ........................................................................ 14

3.1 BELANGRIJKSTE UITKOMSTEN ...................................................................................... 14 3.2 WETEN WIE WAT DOET: TAAKAFBAKENING EN AFSPRAKEN GEMEENTEN-IRVN .................. 17 Het formele kader ....................................................................................................... 17 Taakverdeling informatiebeveiliging: de kaders ............................................................... 18 Taakverdeling informatiebeveiliging: de praktijk in onze gemeenten .................................. 20 Aanbevelingen ............................................................................................................ 22 3.3 WETEN WAT JE PLAN IS: GEMEENTELIJK BELEID ............................................................ 22 Vereisten aan beleid en uitwerking ................................................................................ 22 Informatiebeveiligingsbeleid: de praktijk in onze gemeenten ............................................ 24 Privacybeleid: de praktijk in onze gemeenten ................................................................. 25 Aanbevelingen ............................................................................................................ 25 3.4 WETEN WELKE RISICO’S JE LOOPT: RISICOMANAGEMENT DOOR DE GEMEENTEN EN IRVN .

26 Instrumenten en tools voor risicoanalyses en -management ............................................. 28 De praktijk in onze gemeenten: risicomanagement informatiebeveiliging ........................... 29 De praktijk in onze gemeenten: beheersen van privacyrisico’s .......................................... 30 Aanbevelingen ............................................................................................................ 30 3.5 WETEN WAT HET KOST: INZET VAN MIDDELEN .............................................................. 31 Hoe organiseer je informatiebeveiliging en privacybescherming? ....................................... 31 Wat is nodig in termen van personeel en middelen? ........................................................ 32 De praktijk in onze gemeenten: personele inzet .............................................................. 34 De praktijk in onze gemeenten: budget ......................................................................... 34 Aanbevelingen ............................................................................................................ 35 3.6 WETEN WAAR JE STAAT: TOETSING EN RAPPORTAGE ..................................................... 35 Toetsing en rapportage: hoe het moet ...........................................................................

35 De toetsingspraktijk in onze gemeenten ......................................................................... 37 Aanbevelingen ............................................................................................................ 38

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 2

Weten wat je moet weten

3.7 WETEN HOE BELANGRIJK HET IS: BEWUSTWORDING...................................................... 39 Bewustwording: essentieel onderdeel personeelsbeheer ................................................... 39 De praktijk in onze gemeenten ..................................................................................... 39 Aanbevelingen ............................................................................................................ 40 3.8 WETEN DAT JE VERANTWOORDELIJK BENT: BESTUURLIJKE VERANTWOORDELIJKHEID EN COMMITMENT 40 Bestuurlijke verantwoordelijkheid vereist ....................................................................... 40 De bestuurlijke praktijk in onze gemeenten .................................................................... 40 De bestuurlijke praktijk op regionaal niveau ................................................................... 41 Aanbevelingen ............................................................................................................ 43 3.9 WETEN HOE JE STUURT EN CONTROLEERT: DE ROL VAN DE GEMEENTERAAD .................... 43 Wat is de rol van een gemeenteraad? ............................................................................ 44 De praktijk: de rol van de raad en de informatievoorziening .............................................

45 Goede voorbeelden elders ............................................................................................ 46 Aanbevelingen ............................................................................................................ 47 4.

REACTIES COLLEGE VAN B&W EN DAGELIJKS BESTUUR MGR .................................. 49 Reactie College ........................................................................................................... 49 Reactie Dagelijks Bestuur MGR Rijk van Nijmegen ........................................................... 53

5.

NAWOORD REKENKAMER(COMMISSIE)S.................................................................. 56

Bij dit rapport hoort een bijlagenboek met daarin de volgende bijlagen: •

Bijlage 1: Aanpak van het onderzoek: deelvragen en gesprekspartners

•

Bijlage 2: Normenkader, inclusief een toelichting op de gehanteerde volwassenheidsmodellen

•

Bijlage 3: 10 bestuurlijke principes informatiebeveiliging en VNG-resoluties

•

Bijlage 4: Overzicht van verplichte BIO-documenten

•

Bijlage 5: Strategische, tactische en operationele kaders uit Basisafspraken gemeenten - iRvN

•

Bijlage 6: Voorbeeld verantwoordingsrapportage aan de gemeenteraad

•

Bijlage 7: Verklaring van gebruikte begrippen en afkortingen

De bijlagen 1 tot en met 7 zijn voor alle vier gemeenten identiek. Voor de gemeente Nijmegen is er één extra bijlage (bijlage 8: P&C-documenten over informatiebeveiliging en privacybescherming).

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 3

Weten wat je moet weten

1.

INLEIDING

1.1

AANLEIDING VOOR HET ONDERZOEK

Gemeenten doen op grote schaal aan gegevensverwerking en zij verzamelen, beheren en verwerken daarbij niet zelden gevoelige persoonsgegevens. Die verwerking vindt plaats in steeds complexere structuren van (keten-)samenwerking en uitbesteding. Zij moeten daarbij in toenemende mate letten op de informatiebeveiliging en privacybescherming. Wet- en regelgeving en bestuurlijke afspraken 1 – denk aan de AVG (2016), de BIG (2012) en de BIO (2019), maar ook aan VNG-resoluties (2013 en 2021) 2 en de in VNGverband vastgestelde 10 bestuurlijke principes voor informatiebeveiliging 3 - dwingen gemeenten om hun informatiebeveiliging serieus te nemen. Doordat de (persoons)gegevens en informatieprocessen steeds meer gedigitaliseerd zijn, worden gemeenten ook kwetsbaarder voor cybercriminaliteit, of die nu bedoeld is om bepaalde gegevens te verkrijgen of als afpersingsmiddel. Gemeenten dienen zich daartegen te wapenen, maar slagen daar niet altijd goed in, getuige recente datalekken en veiligheidsincidenten in bijvoorbeeld de gemeenten Hof van Twente en Buren. De uitdagingen waarmee gemeenten worden geconfronteerd vormden de aanleiding voor de gezamenlijke rekenkamer(commissie)s 4 in de regio Rijk van Nijmegen om de stand van zaken van de informatiebeveiliging en privacybescherming in hun gemeentelijke organisatie te onderzoeken.

1.2

DOEL- EN VRAAGSTELLING VAN HET ONDERZOEK

De rekenkamers willen met dit onderzoek allereerst de gemeenteraden ondersteunen. De gemeenteraad en individuele raadsleden staan op vrij grote afstand van de dagelijkse zorg voor informatiebeveiliging en privacybescherming in de gemeente. Die zorg is de verantwoordelijkheid van het college van B&W. Maar als kadersteller en controleur van het college is de gemeenteraad wel degelijk verantwoordelijk, samen met het college, voor een goede en stabiele dienstverlening aan burgers en bedrijven, voor goed en stabiel bestuur van de gemeente en voor bescherming van de gegevens van burgers. De gemeenteraad moet controleren of de gemeente hierin geen steken laat vallen. Behalve op de vraag wat de colleges aan informatiebeveiliging en privacybescherming doen, richt het onderzoek zich daarom ook welbewust op de gemeenteraden. Die moeten hun kaderstellende en controlerende taak goed (kunnen) vervullen.

1

Een toelichting op de wet- en regelgeving is opgenomen in hoofdstuk 2. In hoofdstuk 3 wordt op verschillende plekken

gerefereerd aan bestuurlijke afspraken. 2

https://www.informatiebeveiligingsdienst.nl/product/resolutie-informatieveiligheid/

3

https://www.informatiebeveiligingsdienst.nl/product/de-10-bestuurlijke-principes-voor-informatiebeveiliging/

4

Voor de leesbaarheid verder: de rekenkamers. Het onderzoek is uitgevoerd door de rekenkamers van de gemeenten Berg

en Dal, Beuningen, Nijmegen en Wijchen. De andere gemeenten in het Rijk van Nijmegen (Druten, Heumen en Mook en Middelaar) kenden in de onderzoeksperiode geen (functionerende) rekenkamer. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 4

Weten wat je moet weten

De doelstelling van het onderzoek is daarom tweeledig: 1. Voor de gemeenteraden inzichtelijk maken hoe de informatiebeveiliging en privacybescherming door hun eigen gemeente ervoor staat, en hoe het college daaraan werkt. 2. De gemeenteraden ondersteunen bij de kaderstelling en controle op dit vlak. Een belangrijke voorwaarde daarvoor is de manier waarop het college de raad informeert. Dat leidt ook tot een dubbele vraagstelling van dit onderzoek: 1. Is de informatiebeveiliging en privacybescherming van de gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen voldoende op orde, is er voldoende zicht op de risico’s en werken de gemeenten op effectieve en efficiënte wijze aan verbetering van de onderdelen die niet voldoende op orde zijn? 2. Hoe kunnen de gemeenteraden de komende jaren hun kaderstellende en controlerende taak op deze thema’s goed vervullen? Om deze vragen te beantwoorden zijn een groot aantal deelvragen geformuleerd (zie bijlage 1). De deelvragen zijn leidend geweest bij de uitvoering van het onderzoek. De deelvragen zijn onderverdeeld in drie delen: •

Onderzoeksdeel A Informatiebeveiliging

•

Onderzoeksdeel B Privacybescherming

•

Onderzoeksdeel C Kaderstelling en controle door de gemeenteraden.

1.3

AFBAKENING EN SCOPE VAN HET ONDERZOEK

Het onderzoek richt zich op informatiebeveiliging en privacybescherming. Informatiebeveiliging definiëren wij in het onderzoek als het treffen en onderhouden van een samenhangend pakket maatregelen om de beschikbaarheid, integriteit (juistheid en volledigheid) en vertrouwelijkheid van de (digitale) gegevens in de organisatie te waarborgen. De Cyber Security Alliantie drukt het als volgt uit: informatiebeveiliging is alles wat men doet om ervoor te zorgen dat men bij informatie kan komen wanneer men dat wil, dat de informatie klopt en dat de informatie niet bij anderen terecht komt. Privacybescherming is de toepassing van normen die bepalen hoe persoonsgegevens mogen worden gebruikt. Sommige deskundigen wijzen erop dat de term ‘privacy’ verwarrend werkt 5, en dat we beter over gegevensbescherming kunnen spreken. Omdat privacybescherming de gebruikelijke benaming is, houden we het in dit rapport daarbij. Informatiebeveiliging en privacybescherming zijn op diverse manieren met elkaar verbonden. Privacybescherming is niet mogelijk zonder een goede informatiebeveiliging, en diverse (verplichte en aanbevolen) maatregelen die gemeenten nemen – denk bijvoorbeeld aan bewustwording in de organisatie dragen bij aan zowel informatiebeveiliging als privacybescherming. Figuur 1 laat het verband zien.

5

https://pmpartners.nl/actueel/laten-we-stoppen-met-privacy/ Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 5

Weten wat je moet weten

Figuur 1: Overlap van de terreinen informatiebeveiliging en privacybescherming

Overheden moeten aan allerlei vereisten voldoen op het gebied van informatiebeveiliging en privacybescherming. Daarbij worden vaak de volgende drie zaken onderscheiden: Opzet: het ontwerp van maatregelen (in beleid, plannen en processen) Bestaan: dat de maatregelen feitelijk zijn getroffen Werking: de effectiviteit van de getroffen maatregelen. Opzet is een essentiële voorwaarde voor goede informatiebeveiliging en privacybescherming. Maatregelen en werkwijzen kunnen worden toegepast zonder dat ze schriftelijk zijn vastgelegd. Maar het risico is dan dat er onduidelijkheid ontstaat: wie wat moet doen en op welke wijze. Om die reden is schriftelijke vastlegging en vaststelling zo’n belangrijke en noodzakelijke voorwaarde. In dit onderzoek is vooral gekeken naar de opzet en het bestaan van de maatregelen. Waar mogelijk is ook aandacht besteed aan de werking, in die zin dat we hebben onderzocht of de gemeenten zicht hebben op de werking. De rekenkamers hebben zelf niet de werking c.q. de effectiviteit van het informatiebeveiligings- en privacybeschermingsbeleid onderzocht, bijvoorbeeld door een ethische hacker in te schakelen. Het onderzoek richt zich op de vier gemeenten waarin onze rekenkamers actief zijn.

Zeven gemeenten in het Rijk van Nijmegen (Berg en Dal, Beuningen, Druten, Heumen, Mook en Middelaar, Nijmegen en Wijchen) hebben sinds 2016 hun ICT-taken belegd bij de ICT-module van de Modulaire Gemeenschappelijke Regeling (MGR) Rijk van Nijmegen (iRvN) 6. Om die reden is ook iRvN in het onderzoek betrokken. Het onderzoek heeft zich met name gericht op de dienstverlening door iRvN aan de vier gemeenten, en niet op de informatiebeveiliging en privacybescherming in de eigen iRvN-organisatie of het openbaar lichaam MGR.

6

iRvN is de tweede module van de MGR. De eerste module is het Werkbedrijf. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 6

Weten wat je moet weten

Om het onderzoek uitvoerbaar te houden, is ervoor gekozen om onderzoeksdeel B over privacybescherming voornamelijk te richten op het sociaal domein, in het bijzonder: •

de verwerkingen van persoonsgegevens door gemeenten in het kader van de Jeugdwet;

•

het verstrekken van persoonsgegevens: •

binnen gemeenten aan medewerkers Openbare Orde en Veiligheid;

•

door gemeenten aan samenwerkingsverbanden op het gebied van openbare orde en veiligheid (zoals Veiligheidshuizen en RIEC’s 7).

Een laatste afbakening betreft de onderzochte periode. Het onderzoek in de vier gemeenten en iRvN is uitgevoerd in de maanden juli tot en met oktober 2021. Informatiebeveiliging en privacybescherming zijn terreinen waarop de ontwikkelingen snel gaan, en na afronding van de dataverzameling voor ons onderzoek hebben medewerkers in de onderzochte organisaties natuurlijk niet stilgezeten: al dan niet gestimuleerd door de vragen van de rekenkamers over opzet, bestaan en werking van het informatiebeveiligings- en privacybeschermingsbeleid zijn er sinds oktober 2021 diverse stappen gezet. Wij beschouwen dat als winst: hoe meer voortgang de gemeenten boeken, hoe beter. Hier en daar zijn de uitkomsten van dit onderzoek op het moment van publicatie misschien deels achterhaald. Dat is geen probleem, en wij zien er vooral een aansporing in aan de colleges om de gemeenteraden wat vaker te informeren over de stand van zaken en voortgang op beide terreinen.

1.4

AANPAK VAN HET ONDERZOEK

Bij de uitvoering van het onderzoek zijn de rekenkamers ondersteund door onderzoekers van DMC Group en Legal2Practice. Op basis van het onderzoeksplan zoals vastgesteld en verspreid in juni 2021 is de dataverzameling als volgt aangepakt: 1. Verzamelen en analyseren van documenten en open bronnen onderzoek Bij de vier gemeenten en iRvN zijn in juli 2021 aan de hand van een vragenlijst documenten opgevraagd. Hen is ook gevraagd eventuele andere relevante documenten binnen hun organisatie, die niet op de lijst zijn opgenomen, te delen. Na ontvangst van de documenten zijn deze aan de hand van de onderzoeksvragen geanalyseerd door de onderzoekers. Parallel daaraan hebben de onderzoekers ook open-bronnenonderzoek uitgevoerd 8. Dit houdt in dat zij online gezocht hebben naar informatie over en van de vier gemeenten en iRvN, die inzicht kan geven in eventuele risico’s, kwetsbaarheden en incidenten die hebben plaatsgevonden. 2. Gesprekken met betrokkenen Op basis van de bevindingen uit de geanalyseerde documenten en het open-bronnenonderzoek is een groot aantal gesprekken gevoerd met betrokkenen binnen de gemeenten en iRvN. In bijlage 1 is aangegeven met

7

RIEC: Regionaal Informatie- en Expertise Centrum. De tien RIECs en het LIEC (landelijk Informatie- en Expertisecentrum)

ondersteunen partners bij de aanpak van georganiseerde criminaliteit. 8

In vaktermen: Open Source INTelligence (OSINT). Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 7

Weten wat je moet weten

welke bestuurders en functionarissen is gesproken en waarop de focus lag in het gesprek: informatiebeveiliging (A), privacybescherming (B) of de rol van de gemeenteraden (C). Omdat het onderzoek zich richtte op vijf verschillende organisaties (vier gemeenten en iRvN) is het een bijzonder arbeidsintensief onderzoeksproces geweest. Daarbinnen bleek het om praktische redenen niet mogelijk om de raadsleden uit onze vier gemeenten te interviewen. Op diverse manieren is echter schriftelijk materiaal verzameld over de manier waarop de gemeenteraden hun rol op de beide beleidsterreinen in de praktijk invullen. Daarnaast is een groepsgesprek gehouden met de vier raadsgriffiers. Onderwerp van gesprek was de wijze waarop de gemeenteraden en -raadsleden in de praktijk hun kaderstellende en controlerende rol invullen. 3. Ordenen onderzoeksmateriaal Alle verzamelde onderzoeksgegevens zijn door de onderzoekers geordend per organisatie. Daarbij is gebruik gemaakt van zogenaamde ‘volwassenheidsmodellen’. Met deze modellen kan bepaald worden wat het volwassenheidsniveau (op een schaal van 1 tot 5) is van de organisatie voor toepassing van de wet- en regelgeving voor informatiebeveiliging en privacybescherming, en hoe groot de risico’s zijn die worden gelopen als de wet- en regelgeving (nog) niet (volledig) geïmplementeerd zijn.

Voor een uitgebreidere toelichting op deze volwassenheidsmodellen verwijzen wij naar bijlage 2. 4. Bespreking onderzoeksmateriaal met ambtelijke organisatie De ambtelijke vertegenwoordigers van de gemeenten en iRvN hebben in februari-maart 2022 een mondelinge en schriftelijke reactie gegeven op het ruwe onderzoeksmateriaal van de onderzoekers. Gezien de (veiligheids)risico’s van onderzoek naar informatiebeveiliging, en gezien de omvang en het technische karakter van dit onderzoek naar vier gemeenten en iRvN, hebben de rekenkamers besloten om de ambtelijke reacties niet schriftelijk te verwerken in het onderzoeksmateriaal en om geen bevindingenrapport te publiceren. 5. Expertmeeting In maart 2022 hebben de rekenkamers een digitale expertmeeting belegd met zeven deskundigen op de onderzochte terreinen. De bijeenkomst was met name bedoeld om invulling te geven aan onderzoeksdeel C over de rol van de gemeenteraad. De deskundigen hebben hun ervaringen met het informeren van gemeenteraden (en andere volksvertegenwoordigers) over informatiebeveiliging en privacybescherming met de rekenkamers gedeeld. 6. Opstellen bestuurlijke rapportage Op basis van het onderzoeksmateriaal, de ambtelijke reacties en de expertmeeting hebben de rekenkamers het voorliggende bestuurlijk rapport opgesteld. 7.

Aanbieding voor bestuurlijke reactie De rekenkamers hebben de colleges en het Dagelijks Bestuur (DB) van iRvN van 20 mei tot en met 28 juni 2022 in de gelegenheid gesteld een reactie te geven op het rapport, in het bijzonder op de aanbevelingen. Die Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 8

Weten wat je moet weten

periode is langer dan gebruikelijk. Na een verzoek van het regionale portefeuillehoudersoverleg, hebben wij ervoor gekozen de gebruikelijke termijn van drie weken met ruim twee weken te verlengen. De colleges en het DB hebben hiervan gebruik gemaakt. De reacties van de colleges zijn door de rekenkamer(commissie)s voorzien van een nawoord. Hobbels in het onderzoek Het gezamenlijke rekenkameronderzoek in de vier gemeenten heeft al met al iets minder dan een jaar geduurd. Voor een gemiddeld rekenkameronderzoek is dat een acceptabele duur, maar het is langer dan gepland. De rekenkamers zijn op een aantal hobbels gestuit, die hieronder kort worden beschreven. Twee onderzoeksterreinen Een onderzoek op twee verwante maar desondanks aparte beleidsterreinen betekende in de praktijk aanzienlijk grotere onderzoeksinspanningen dan verwacht, ook voor de medewerkers in onze gemeenten. De grote hoeveelheid gevoerde gesprekken (inclusief verslaglegging) betekende een enorme logistieke operatie. Dat werd nog versterkt door de grote hoeveelheid schriftelijke documentatie waarmee onderzoek op deze terreinen gepaard gaat, meer dan in een gemiddeld rekenkameronderzoek. Documentenuitvraag De aangeleverde documentatie in de startfase van het onderzoek bleek in de loop van het onderzoek verre van volledig te zijn geweest.

Voor zover de rekenkamers het kunnen overzien, had dit deels te maken met het feit dat betrokken medewerkers van zowel gemeenten als iRvN hebben gehandeld als in een audit: zij hebben slechts de in de uitvraag gespecificeerde documenten aangeleverd, ondanks het verzoek van de rekenkamers om ‘alle relevante documentatie’ aan te leveren. Dit verzoek was, zoals gebruikelijk in rekenkameronderzoek, expliciet opgenomen in de documentenuitvraag, en is ook in diverse gesprekken herhaald. Deze onvolledige aanlevering heeft in een latere fase van het onderzoek veel extra tijd en energie gekost van de onderzoekers en de betreffende medewerkers. We voegen er nog aan toe dat de gebrekkige aanlevering van documentatie ook het gevolg is van het feit dat de gemeenten en iRvN de (verplichte) documentatie niet altijd goed op orde hebben. Dit is een bevinding, waar elders in dit rapport aandacht aan zal worden besteed. Complexiteit Het technische, gespecialiseerde en met jargon doordrenkte karakter van met name het terrein informatiebeveiliging betekende dat de rekenkamers meer tijd dan verwacht nodig hadden voor het opstellen van een goed leesbare bestuurlijke rapportage. Die is immers in eerste instantie bedoeld voor de gemeenteraden en colleges, die geen specialisten zijn, maar die de conclusies en aanbevelingen wel moeten kunnen doorgronden en opvolgen.

1.5

LEESWIJZER

In het vervolg van dit rapport geven we in hoofdstuk 2 een toelichting op de landelijke kaders voor informatiebeveiliging en privacybescherming. In hoofdstuk 3 beschrijven we de uitkomsten van het onderzoek aan de hand van een aantal centrale thema’s uit het onderzoek. Elk thema sluit af met enkele aanbevelingen. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 9

Weten wat je moet weten

Deze aanbevelingen zijn vooraan in het rapport op een rij gezet. Voorafgaand aan de thema-beschrijvingen formuleren we in hoofdstuk 3 de belangrijkste uitkomsten uit het onderzoek. Voorliggend rapport betreft de gemeente Berg en Dal. Voor elk van de vier gemeenten die zijn onderzocht is een aparte versie opgesteld. Op onderdelen verschillen die versies van elkaar, omdat er behalve veel gezamenlijke bevindingen ook verschillen zijn tussen de gemeenten. In hoofdstuk 4 staat de reactie van het college en het DB van de MGR op het rapport, in het bijzonder de aanbevelingen. Het nawoord van de rekenkamer(commissie)s naar aanleiding daarvan is te lezen in hoofdstuk 5. Bij dit rapport hoort een bijlagenboek. In de bijlagen zijn nadere toelichtingen en meer gedetailleerde informatie opgenomen: •

Bijlage 1: Aanpak van het onderzoek: deelvragen en gesprekspartners

•

Bijlage 2: Normenkader, inclusief een toelichting op de gehanteerde volwassenheidsmodellen

•

Bijlage 3: 10 bestuurlijke principes informatiebeveiliging en VNG-resoluties

•

Bijlage 4: Overzicht van verplichte BIO-documenten

•

Bijlage 5: Strategische, tactische en operationele kaders uit Basisafspraken gemeenten - iRvN

•

Bijlage 6: Voorbeeld verantwoordingsrapportage aan de gemeenteraad

•

Bijlage 7: Verklaring van gebruikte begrippen en afkortingen

De bijlagen 1 tot en met 7 zijn voor alle vier gemeenten identiek. Voor de gemeente Nijmegen is er één extra bijlage (bijlage 8: P&C-documenten over informatiebeveiliging en privacybescherming).

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 10

Weten wat je moet weten

2.

LANDELIJKE KADERS (wet- en regelgeving)

Het belang van een goede informatiebeveiliging en privacybescherming voor gemeenten wordt weerspiegeld in de landelijke wet- en regelgeving. Welke kaders zijn relevant? Een goede informatiebeveiliging vereist het nemen van passende maatregelen door een organisatie. Wat precies ‘passende maatregelen’ zijn is voor elke organisatie verschillend. Binnen de Nederlandse overheid is afgesproken om vanaf 1 januari 2019 de Baseline Informatiebeveiliging Overheid (BIO) te hanteren als basisnormenkader voor de beveiliging van informatie(systemen). De BIO vervangt de baselines informatieveiligheid die tot dan toe door de verschillende overheidslagen werden gehanteerd; voor gemeenten was dat sinds 2012 de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG). Afgesproken is dat alle overheidslagen 2019 als overgangsjaar zouden gebruiken voor de implementatie van de BIO en dat ze deze vanaf 1 januari 2020 verplicht hanteren. Met de BIO is er één gezamenlijk normenkader voor informatiebeveiliging binnen de gehele overheid. De BIO is gebaseerd op de actuele, internationale standaard voor informatiebeveiliging 9. Daarin staat een aantal uitgangspunten en principes centraal: •

Risicomanagement Nul risico bestaat niet op het gebied van informatiebeveiliging. Dat betekent dat (bestuurlijk) bepaald moet worden hoeveel en/of welke risico’s acceptabel worden gevonden. Omdat dreigingen veranderen, doelstellingen veranderen, de omgeving verandert en wetgeving verandert, veranderen risico’s ook. Er moet daarom continu identificatie en beoordeling van risico’s plaatsvinden om te bepalen wat nodig is om informatie adequaat te beschermen.

•

Procesmatige aanpak Dit betreft feitelijk een vertaling van de PDCA-cyclus (zie figuur 2 op de volgende bladzijde):

•

•

Vaststellen van beleid en doelstellingen;

•

Implementeren en uitvoeren van operationele maatregelen;

•

Bewaken en controleren van efficiency en effectiviteit van de maatregelen;

•

Continu doorvoeren van verbeteringen.

Beveiligingsprincipes Alle beveiligingsmaatregelen, mechanismen en controles worden geïmplementeerd om invulling te geven aan een of meer van de fundamentele beveiligingsprincipes beschikbaarheid, integriteit en vertrouwelijkheid: •

Beschikbaarheid: bij beschikbaarheid gaat het om de tijdigheid, continuïteit en robuustheid van data. De data moeten beschikbaar zijn voor gebruikers op het moment dat zij deze nodig hebben.

9

Internationale standaard voor informatiebeveiliging: NEN-ISO/IEC 27001 en NEN-ISO/IEC 27002. Deze geven richtlijnen

om zeker te stellen dat wordt voldaan aan specifieke beveiligingsdoelstellingen van een organisatie. In de BIO zijn deze richtlijnen uitgewerkt voor de overheid. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 11

Weten wat je moet weten

•

Integriteit: integriteit gaat over de mate waarin informatie juist en volledig is. Elke ongeautoriseerde verandering van data (zowel opzettelijk als per ongeluk) brengt de integriteit van de data in gevaar.

•

Vertrouwelijkheid: vertrouwelijkheid wordt ook wel exclusiviteit genoemd. Wie kan bij welke informatie? Vertrouwelijkheid heeft te maken met alle maatregelen die ervoor zorgen dat het noodzakelijke niveau van geheimhouding binnen een organisatie geborgd wordt.

Figuur 2: Plan-Do-Check-Act (PDCA)-cyclus voor informatiebeveiliging en privacybescherming

Voor privacybescherming liggen de vereisten voor gemeenten vast in de Algemene Verordening Gegevensbescherming (AVG), die in 2016 in werking trad maar een tweejarige overgangsperiode bood tot 25 mei 2018 10. De AVG is een Europese verordening waarin maatregelen en voorschriften zijn opgenomen die betrekking hebben op de bescherming van de persoonsgegevens in Europa 11. De meeste bepalingen van de AVG waren voor de Nederlandse overheid niet nieuw: de AVG borduurt voort op veel principes die al te vinden waren in de Wet bescherming persoonsgegevens (Wbp) uit 2001.

10

Hier hoort bij de UAVG (Uitvoeringswet Algemene Verordening Gegevensverwerking) die in Nederland uitvoering geeft

aan de AVG en de regels eruit verder uitwerkt. 11

Feitelijk betreft het de EER-landen: de EU-landen plus Liechtenstein, Noorwegen en IJsland. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 12

Weten wat je moet weten

De AVG bevat de belangrijkste regels voor de omgang met persoonsgegevens door overheden12. Persoonsgegevens mogen alleen worden verwerkt in overeenstemming met de wet en met een gerechtvaardigd doel. Bij het verwerken van persoonsgegevens moet een aantal uitgangspunten in acht worden genomen. Zo moeten overheden zo min mogelijk gegevens verwerken en dat binnen een passend beveiligingsregime doen. Het gemeentelijk beleid moet in overeenstemming zijn met de vereisten uit de AVG. Overheidsorganen moeten een interne toezichthouder hebben. Dit is de functionaris gegevensbescherming (FG). Ook is er een externe toezichthouder. In Nederland is dat de Autoriteit Persoonsgegevens (AP). Als een gemeente (of andere organisatie) in gebreke blijft, loopt deze het risico op forse boetes. De AVG is de belangrijkste basiswet voor de bescherming van persoonsgegevens 13. Daarnaast gelden er in het sociaal domein specifieke wetten zoals de Jeugdwet, de Wet maatschappelijke ondersteuning (Wmo), de Participatiewet, de Wet gemeentelijke schuldhulpverlening, etc. Deze wetten bevatten op sommige onderdelen specifieke regels die voorgaan op de AVG. Een voorbeeld: de AVG bepaalt dat gegevens niet langer dan noodzakelijk bewaard dienen te worden om het doel waarvoor ze worden verwerkt te bereiken; maar artikel 5.3.4, lid 1 van de Wmo geeft aan dat gemeenten persoonsgegevens 15 jaar moeten bewaren.

De AVG regelt de algemene beginselen voor de materiële toepassing maar dient bovenal als raamwerk voor het op te stellen privacyrisicobeheersingsraamwerk (Privacy Control Risk Framework, PCRF). De verplichting voor de colleges van burgemeester en wethouders om een PCRF te hebben ingericht vloeit voort uit art. 5 lid 2 in samenhang met art. 24 lid 1 AVG. Verwerkingsverantwoordelijken zoals in onderhavig onderzoek, de colleges van burgemeester en wethouders, dienen bij de toepassing van het PCRF een Plan-Do-Check-Act (PDCA)-cyclus te doorlopen. Tot slot zijn voor het onderzoek ook enkele specifieke landelijke handreikingen, onder meer van de VNG, meegenomen. In bijlage 2 is het volledige normenkader weergegeven.

12

De AVG geldt ook voor bedrijven en andere organisaties, maar we beperken ons in dit rapport tot (gemeentelijke)

overheden. 13

Een uitzondering betreft de verwerking van politiegegevens door bijzondere opsporingsambtenaren (boa’s). Sinds 2019

valt dit niet meer onder de AVG, maar onder de Wet politiegegevens. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 13

Weten wat je moet weten

3.

UITKOMSTEN VAN HET ONDERZOEK

In dit hoofdstuk behandelen we een aantal centrale thema’s in het onderzoek. Het gaat om: •

Taakafbakening en afspraken gemeenten en iRvN

•

Gemeentelijk beleid en de nadere uitwerking

•

Risicomanagement

•

Middelen: budget en personeel

•

Toetsing en rapportage

•

Bewustwording

•

Bestuurlijke verantwoordelijkheid en commitment

•

Rol van de gemeenteraad.

Voordat we hierop ingaan, formuleren we de belangrijkste uitkomsten van het onderzoek.

3.1

BELANGRIJKSTE UITKOMSTEN

De rekenkamers hebben in het onderzoek vastgesteld dat de gemeenten en iRvN hard werken aan informatiebeveiliging en privacybescherming, maar ook dat er nog veel moet gebeuren om van voldoende beheersing te kunnen spreken. Dat betekent dat de gemeenten kwetsbaar zijn. Ze lopen niet alleen het risico dat veel extra inspanningen en geld nodig zijn als er problemen ontstaan, maar ook dat de dienstverlening aan inwoners en bedrijven wordt gehinderd of zelfs onderbroken, en dat de belangen van inwoners en ondernemers worden geschaad. Wanneer dergelijke risico’s zich daadwerkelijk voordoen, kunnen deze weer leiden tot het dalen van het vertrouwen in de overheid en tot bestuurlijke of reputatieschade. We willen benadrukken dat de gemeentelijke overheid verantwoordelijk is voor het behartigen en beschermen van die belangen. Op allerlei onderdelen boeken de gemeenten voortgang op deze beide relatief nieuwe beleidsterreinen. We schrijven nadrukkelijk ‘relatief’ nieuw, want gemeenten moeten al enkele jaren voldoen aan belangrijke wetgeving (AVG en voorlopers) en bindende afspraken tussen overheden (BIO en daarvoor de BIG). De gemeenten richten zich op alle aandachtsgebieden van de BIO en de AVG, en spannen zich in om de personele inzet op deze terreinen op peil te brengen en te houden.

Ook wordt er in alle gemeenten gewerkt aan bewustwording van de risico’s en de eigen verantwoordelijkheid van medewerkers. Dat is ook nodig, want de IBD 14 waarschuwt niet voor niets in het meest recente Dreigingsbeeld dat de interne, onbedoelde handelingen de belangrijkste bedreiging vormen 15. Al met al zijn die inspanningen nog niet genoeg om volledig en aantoonbaar aan de normen op beide terreinen te voldoen. Op basis van het onderzoek maken de onderzoekers de inschatting dat de gemeenten

14

IBD: InformatieBeveiligingsDienst. De IBD is onderdeel van de Vereniging Nederlandse Gemeenten (VNG) en ondersteunt

gemeenten op het gebied van informatiebeveiliging en privacybescherming. 15

Dreigingsbeeld Informatiebeveiliging Nederlandse gemeenten 2021/2022 van de IBD. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 14

Weten wat je moet weten

zich ergens tussen volwassenheidsniveau 1,5 en 2 16 bevinden, zowel voor informatiebeveiliging als voor privacybescherming. Alleen voor Nijmegen schatten de onderzoekers het volwassenheidsniveau voor privacybescherming hoger: tussen de 2 en 3. Zoals aangegeven is voor iRvN alleen een inschatting gemaakt van het volwassenheidsniveau voor informatiebeveiliging. Dit ligt rond niveau 2. Deze schattingen zijn gebaseerd op een totaaloordeel over alle 15 aandachtsgebieden van het NBA-LIO 17 en NOREAvolwassenheidsmodel (voor informatiebeveiliging) en alle 13 thema’s uit de Privacy Baseline van het Centrum Informatiebeveiliging en Privacybescherming (voor privacybescherming). Om volledig en aantoonbaar in control te zijn, moeten de organisaties over de volle breedte minimaal op volwassenheidsniveau 3 zitten. Dat is voor geen van de gemeenten aan de orde. Overigens geldt voor de meeste gemeenten in Nederland dat ze nog niet op volwassenheidsniveau 3 (of hoger) zitten. In het onderzoek hebben we gewerkt met beoordelingsnormen die aansluiten bij de landelijke kaders. Een cruciaal onderdeel hiervan is dat je als organisatie de landelijke kaders hebt vertaald naar gemeentelijk beleid, en dat je het beleid en belangrijke processen op papier hebt vastgelegd en vastgesteld, up to date houdt en aantoonbaar uitvoert en monitort.

Op dit punt zien we dat er nog veel te verbeteren is in onze gemeenten. Dat is een belangrijke verklaring voor de te lage volwassenheidsniveaus. Is het reëel om gemeenten, en zeker kleinere gemeenten, aan die norm te toetsen? Het antwoord daarop is een volmondig ‘ja’. Gemeenten moeten immers aan de wettelijke normen en bestuurlijke afspraken voldoen. Maar misschien nog wel belangrijker: het is in het belang van hun inwoners. Zo hebben de bestuurslagen met elkaar afgesproken dat elke overheid de ongeveer 60 op grond van de BIO noodzakelijke documenten zodanig op orde moet hebben dat de actuele, vastgestelde versies bij wijze van spreken zo uit de kast zijn te trekken. Dat is dus het minste dat wij mogen vragen. Goed gedocumenteerde en vastgestelde processen zijn een voorwaarde voor een goede uitvoering, zowel door de gemeenten als door hun samenwerkingsorganisatie iRvN. Dit vraagt veel menskracht (kwantitatief en kwalitatief) en geld, en die zijn voor elk van onze gemeenten niet onbeperkt. Maar het is een noodzakelijke investering, want als het niet gebeurt is de gemeente kwetsbaar. Het organiseren van informatiebeveiliging en privacybescherming moet in organisaties verlopen via de PlanDo-Check-Act-cyclus 18.

Die PDCA-cyclus is geen onnodig managementjargon, maar een essentiële cyclus die elke organisatie voortdurend moet doorlopen: van beleid, uitvoeringsplannen en concrete maatregelen (Plan), via implementatie en uitvoering (Do), naar toetsen en evalueren (Check) en uiteindelijk verantwoorden en bijsturen (Act). Het onderzoek laat zien dat de gemeenten dit niet goed genoeg doen. De eerste stappen in de cyclus worden wel gezet. Er is overkoepelend beleid op beide terreinen, maar goed uitgewerkte uitvoeringsplannen en jaarplannen ontbreken veelal. Op diverse onderdelen is het overkoepelend

16

Volwassenheidsniveau 1: ad-hoc. Volwassenheidsniveau 2: beheerst. Volwassenheidsniveau 3: vastgesteld. Een

uitgebreidere beschrijving van de volwassenheidsniveaus is opgenomen in bijlage 2. 17

NBA-LIO: Koninklijke Nederlandse Beroepsorganisatie van Accountants (NBA) - Ledengroep Intern en

Overheidsaccountants (LIO). 18

Zie hoofdstuk 2 voor een visualisatie en toelichting. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 15

Weten wat je moet weten

beleid nader uitgewerkt in de vereiste onderwerpspecifieke beleidsdocumenten op tactisch niveau, maar op veel onderdelen ontbreekt die tactische uitwerking, wat weer onvoldoende basis biedt voor werkinstructies op operationeel niveau. De gemeenten kunnen de vereiste 60 documenten niet allemaal aanleveren. Een voorbeeld is dat geen van de gemeenten vastgesteld beleid heeft voor logging 19 en geen van de gemeenten opdracht aan iRvN heeft gegeven voor het controleren van logging van applicaties. Dat is een belangrijk gemis – en daarmee een risico - in het beveiligingsbeleid van de gemeenten. In de uitvoering gebeurt overigens van alles: soms op basis van uitgewerkte plannen en maatregelen (Plan), maar vaak ook zonder dat die documenten er zijn (Do). In alle gemeenten wordt onvoldoende getest, vastgelegd en geëvalueerd (Check) en daarmee ook onvoldoende bijgestuurd (Act). De cyclus wordt dus niet afgemaakt en herhaald. Daarmee maken de gemeenten zich kwetsbaar. In onze gemeenten en binnen iRvN zijn de professionals zich zeer bewust van deze kwetsbaarheid. De colleges zijn zich hier ook van bewust, maar kunnen en moeten meer doen om de risico’s te verminderen. Hun rol is cruciaal: informatiebeveiliging en privacybescherming zijn ‘Chefsache’, zou je à la Angela Merkel kunnen zeggen 20.

Als zij het belang voortdurend benadrukken, ruimte scheppen en rugdekking bieden aan de medewerkers die ermee bezig zijn, dan maakt dat verschil. De VNG heeft daartoe 10 cruciale bestuurlijke principes voor informatiebeveiliging geformuleerd. Die principes zijn in onze gemeenten in het beleid opgenomen, maar de meeste bestuurders geven aan de principes in de praktijk niet te hanteren. In de dagelijkse aansturing in de eigen gemeente zien we dit ook terug in de gang van zaken: er worden weinig besluiten genomen over essentiële zaken als volwassen risicomanagement en de prioritering van risico’s, over concrete doelen en ambities en wat daarvoor (minimaal) nodig is in termen van capaciteit, en er is niet of nauwelijks aandacht voor het toetsen, controleren en evalueren, om te weten hoe je er als gemeente voor staat. In het verlengde hiervan is in MGR-verband de bestuurlijke aandacht voor iRvN beperkt en wordt informatiebeveiliging door de bestuurders als ‘bedrijfsvoering’ afgedaan. Dat leidt ertoe dat de aansturing (governance) van iRvN ambtelijk wordt opgepakt, vaak zonder dat belangrijke keuzes en afwegingen bestuurlijk worden besproken en vastgesteld.

Bestuurders doen er niet alles aan om iRvN in positie te brengen: omdat iRvN niet is ingericht als één gezamenlijke informatiedienst met gemeenschappelijk beleid voor informatiebeveiliging, zijn het dus de gemeenten die iRvN moeten voorzien van beleid op alle belangrijke aandachtsgebieden. Het deels ontbreken daarvan is geen issue op bestuurlijk niveau, zo hebben de rekenkamers vastgesteld. Op relatief grote afstand van deze dagelijkse gang van zaken staan de gemeenteraden. Dat is niet persé erg, maar de raad moet wel zijn verantwoordelijkheid kunnen waarmaken: als gegevens van inwoners niet veilig zijn en dienstverlening op enig moment in gevaar zou komen, is de gemeenteraad daarop aanspreekbaar. Raadsleden moeten hun controlerende taak kunnen waarmaken. Dat gebeurt nu echt onvoldoende. Onze

19

Door middel van logging worden gebeurtenissen in systemen vastgelegd. Bijvoorbeeld wie bepaalde gegevens heeft

bekeken of heeft aangepast, maar ook pogingen om ongeautoriseerd toegang te krijgen tot systemen (denk aan DDOS aanvullen of ransomware). Ook kunnen door logging datalekken gesignaleerd of juist uitgesloten worden. 20

Zie ook principe 4 van de 10 bestuurlijke principes die de VNG in aanvulling op de BIO heeft geformuleerd. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 16

Weten wat je moet weten

gemeenteraden weten in het algemeen (te) weinig van de staat van de informatiebeveiliging en privacybescherming in hun gemeente. Er zijn lichte verschillen tussen de gemeenten en in elke raad zijn enkele raadsleden die er meer belangstelling voor hebben. Maar de raad als geheel is in geen van onze gemeenten goed in staat om te controleren of de beheersing voldoende is, ook omdat de informatievoorziening vanuit het college daarvoor niet geschikt is. Het is een taak van het college om de raad goed te informeren over de stand van zaken en de risico’s die de gemeente loopt, zo nodig in beslotenheid. Vandaar ook de titel van dit rapport: ‘Weten wat je moet weten’. Dat is geen sinecure, op complexe beleidsterreinen met veel jargon, waar de meeste bestuurders ook niet in zijn gespecialiseerd. Maar het moet en kan echt beter dan nu gebeurt.

3.2

WETEN WIE WAT DOET: TAAKAFBAKENING EN AFSPRAKEN GEMEENTEN-IRVN

Een belangrijke vraag in het onderzoek is hoe de taken en verantwoordelijkheden op het gebied van informatiebeveiliging tussen de vier gemeenten en iRvN zijn verdeeld. iRvN voert voor de gemeenten ICTtaken uit, en dat roept de vraag op of iRvN ook verantwoordelijk is voor (een deel van) de informatiebeveiliging. Voor privacybescherming geldt deze vraag niet: iRvN is een verwerker van gegevens van de gemeenten, waarmee ook een verwerkersovereenkomst is gesloten. Deze rol van iRvN is in het onderzoek niet meegenomen. Het formele kader De gemeenten in het Rijk van Nijmegen (Berg en Dal, Beuningen, Druten, Heumen, Mook en Middelaar, Nijmegen en Wijchen) hebben hun ICT-taken belegd bij ICT Rijk van Nijmegen (iRvN) 21, de tweede module van de Modulaire Gemeenschappelijke Regeling (MGR) Rijk van Nijmegen. Met uitzondering van de gemeente Wijchen namen alle gemeenten vanaf de start op 1 januari 2016 deel aan de module ICT. Vanaf 1 januari 2018 voert iRvN ook de ICT-taken voor de gemeente Wijchen uit. Dit is pas geformaliseerd met de publicatie van de aangepaste Gemeenschappelijke Regeling (GR) op 1 januari 2022 22. Aan de module ICT is “de taak opgedragen de continuïteit en kwalitatief adequate dienstverlening op het gehele terrein van de ICT-infrastructuur en –voorzieningen van alle deelnemende gemeenten te verwezenlijken” 23.

Dit houdt in dat iRvN de dagelijkse bedrijfsvoering van de deelnemende gemeenten nu en in de toekomst mogelijk maakt door het neerzetten, onderhouden en ontwikkelen van de benodigde

21

Behalve de ICT-taken van de gemeenten zijn ook de ICT-taken van de Omgevingsdienst Regio Nijmegen (ODRN) bij iRvN

belegd. Deze maakte geen onderdeel uit van het onderzoek. Voor de leesbaarheid noemen wij deze ook niet waar meer in het algemeen over de taken van iRvN wordt gesproken. 22

Omdat de colleges en gemeenteraden van de gemeenten Druten en Wijchen de aanpassing van de GR op

deelname aan de ICT-module van de gemeente Wijchen niet hebben vastgesteld, kon die versie van de GR niet gepubliceerd worden en daarmee ook niet in werking treden (artikel 26 lid 4 Wet gemeenschappelijke regelingen). Pas na een volgende wijziging kon de GR gepubliceerd worden. •

GR geldig van 9 februari 2016 tot en met 31 december 2021

•

GR geldig vanaf 1 januari 2022

23

Gemeenschappelijke Regeling MGR. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 17

Weten wat je moet weten

geautomatiseerde systemen 24. Het gaat hierbij om zaken zoals netwerk- en systeembeheer, softwarebeheer en technisch applicatiebeheer, ICT-inkoop en werkplekondersteuning. Taakverdeling informatiebeveiliging: de kaders De GR biedt de mogelijkheid kaders vast te leggen in een beleidsplan, waarin de hoofdlijnen van het beleid worden neergelegd, en een uitwerking daarvan in een jaarlijks uitvoeringsprogramma 25. Tot nu toe is geen gebruik gemaakt van die mogelijkheid. Daar zijn dus geen kaders voor de verdeling van taken en verantwoordelijkheden te vinden. Waar wel kaders zijn te vinden, is in de Basisafspraken ICT-diensten (verder: de Basisafspraken) 26. Daarin is de dienstverlening van iRvN aan alle deelnemende gemeenten vastgelegd. De Basisafspraken worden een ‘collectieve dienstverleningsovereenkomst’ genoemd. In deze Basisafspraken ontbreekt het echter aan de meeste onderdelen die de GR voorschrijft voor een dienstverleningsovereenkomst (DVO). Zo ontbreekt het aan (SMART 27 geformuleerde) doelstellingen. Er zijn weliswaar strategische, tactische en operationele kaders opgenomen in de Basisafspraken, maar deze betreffen feitelijk niet meer dan uitgangspunten voor de uitvoering 28. De overige in de GR voorgeschreven onderdelen voor een dienstverleningsovereenkomst komen niet terug in de Basisafspraken.

Het gaat dan om Effecten, Prestaties, Kwaliteitseisen en Budgetten en risico’s, zowel in financiële als in inhoudelijke zin. In de Basisafspraken wordt wel uitgebreid ingegaan op de diverse overleggen die ambtelijk op strategisch, tactisch en operationeel niveau plaatsvinden tussen de gemeenten (afzonderlijk en samen) en iRvN. Ook wordt genoemd dat de portefeuillehouders uit de deelnemende gemeenten één keer per kwartaal overleggen 29. Het doel van de overleggen is om de kwaliteit van de gerealiseerde versus de afgesproken dienstverlening te bespreken aan de hand van kritische prestatieindicatoren (KPI’s) 30, trends en adviezen. Die KPI’s zijn op dit moment nog niet geformuleerd.

24

De gemeente Nijmegen heeft ook het functioneel applicatiebeheer bij iRvN belegd. Het gaat dan om: •

het optimaal gebruik en de instandhouding van de functionaliteit van de applicatie;

•

de instandhouding van de operationalisering van de applicatie, applicatieprogrammatuur en gegevensverzamelingen welke vanuit het gebruik beschikbaar moeten zijn.

25

Het Algemeen Bestuur kan een Uitvoeringsbeleidsplan en Uitvoeringsbeleidsprogramma vaststellen (GR MGR

artikel 25). Voor de module Werkbedrijf is een strategisch beleidsplan opgesteld; voor de ICT-module is dat niet gebeurd. 26

Voor dit onderzoek hebben wij de versie van de Basisafspraken bestudeerd die gelden vanaf 1 januari 2021. In de

Basisafspraken staat dat deze worden vastgesteld door het DB. Uit het versiebeheer van deze Basisafspraken en de agenda’s van het DB is echter niet op te maken dat dit gebeurd is. 27

SMART: Specifiek, Meetbaar, Acceptabel, Realistisch, Tijdgebonden. In bijlage 7 is een uitgebreidere toelichting

opgenomen. 28

In Bijlage 5 zijn de strategische, tactische en operationele kaders uit de Basisafspraken opgenomen.

29

In de praktijk overleggen zij twee keer per jaar. De bestuurlijke overleggen zijn toegelicht in paragraaf 3.8.

30

In Bijlage 7 is een nadere toelichting opgenomen. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 18

Weten wat je moet weten

Onderdeel van de Basisafspraken is een productencatalogus. Daarin is uitgewerkt welke producten en diensten iRvN levert en welke daarvan verplicht of optioneel door de gemeenten worden afgenomen. Hierbij zijn ook afspraken gemaakt over aansprakelijkheid. Het ontbreekt echter aan afspraken over wie aansprakelijk is als het doen of nalaten van activiteiten door één van de deelnemers (ook) leidt tot schade bij de andere deelnemers. Basisafspraken: o

Tactisch kader: We dragen gezamenlijk verantwoordelijkheid voor de naleving van privacy- en informatieveiligheid;

o

De gemeenten zijn zelf primair verantwoordelijk voor de implementatie van de BIO. Daar waar iRvN namens hen zorgdraagt en verantwoordelijk is voor de ICT-infrastructuur, draagt zij ook verantwoordelijkheid voor de BIO-controls en maatregelen in het kader van implementatie, het beheer en het aanleveren van bewijslast voor de betreffende audits (ENSIA 31).

Productencatalogus: o

Bij informatiebeveiliging gaat het om de beveiliging van gegevens en systemen. Dat wil zeggen, het ervoor zorgen dat de aanwezigheid en beschikbaarheid van gegevens en systemen gewaarborgd is en gegarandeerd is volgens wet- en regelgeving (zoals BIO en AVG) en dat de eventuele gevolgen van beveiligingsincidenten tot een acceptabel, vooraf bepaald niveau beperkt wordt. Om dit niveau te bepalen toetst iRvN nieuwe applicaties aan de BIO en AVG. De informatiebeveiliging is een verantwoordelijkheid van de gemeente zelf.

Uit de Basisafspraken en productencatalogus blijkt dat de gemeenten primair zelf verantwoordelijk zijn voor informatiebeveiliging en de implementatie van de BIO. iRvN draagt de verantwoordelijkheid voor overgedragen ICT-infrastructuur. Uit een recent advies over de ICT-samenwerking in de regio 32 en uit de gevoerde gesprekken wordt duidelijk dat deze taakverdeling een min of meer bewuste keus is geweest in de afgelopen jaren. Bij de start van iRvN in 2016 was afgesproken om te beginnen met de techniek (automatisering), en later mogelijk te verbreden met informatiseringsaspecten, zodat iRvN een informatiedienst voor de gemeenten zou gaan vormen. In de daaropvolgende jaren heeft die verbreding niet plaatsgevonden. In het adviesrapport staat het duidelijk: “Mede als gevolg van de keuze om de reikwijdte van de samenwerking te beperken tot de techniek, is er geen gemeenschappelijk I&A 33-beleid tot stand gebracht. Daartoe zijn wel pogingen ondernomen, maar niet met het gewenste resultaat. De betrokken organisaties voeren nu ieder afzonderlijk of in een combinatie een ‘eigen informatiseringsbeleid’ ” 34. In het kader van dit onderzoek betekent dit dat informatiebeveiligingsbeleid grotendeels bij de individuele gemeenten is gebleven.

31

ENSIA staat voor Eenduidige Normatiek Single Information Audit, en is een verantwoordingsstelsel voor

informatieveiligheid. In paragraaf 3.6 is een toelichting opgenomen. 32

PWC Accountants, ‘Evaluatie ICT Rijk van Nijmegen en de I&A-samenwerkingspartners, met het oog op de toekomst’,

september 2021. 33

I&A: Informatisering & Automatisering.

34

Idem, p. 17. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 19

Weten wat je moet weten

Is het niet-verbreden van de samenwerking en daarmee dus van het iRvN-takenpakket in het verleden een bewust bestuurlijk besluit geweest? De rekenkamers hebben niet kunnen vaststellen of en op welke manier er bestuurlijke besluitvorming in MGR-verband heeft plaatsgevonden over de verdeling van taken en verantwoordelijkheden tussen de gemeenten en iRvN. Onduidelijk is dus ook of de bestuurders van de deelnemende gemeenten dit expliciet hebben besproken en afgewogen. Feit is dat er op bestuurlijk niveau in MGR-verband weinig over de ICT-samenwerking wordt gesproken. We komen daar op terug in paragraaf 3.8 over bestuurlijke verantwoordelijkheid en commitment. We weten dus ook niet waarom er in MGR-verband geen gemeenschappelijk informatiseringsbeleid (met daarbinnen informatiebeveiligingsbeleid) is vastgesteld. Medio 2021 heeft iRvN een document opgesteld getiteld ‘IB as a service’. Doel is om te verduidelijken wat de organisatie voor de gemeenten kan en wil gaan doen op het gebied van informatiebeveiliging. Gezien de opzet en inhoud van ‘IB as a service’ zou het een goede basis kunnen vormen voor een door het Algemeen Bestuur (AB) vast te stellen beleidsplan voor de ICT-module. Zo ver is het echter nog niet: het document is tot op heden enkel met de hoofden bedrijfsvoering van de gemeenten besproken.

De bewuste besluitvorming over het verbreden van de ICT-samenwerking is er in 2022 alsnog gekomen, maar niet in MGR-verband. In 2020 en 2021 heeft PWC in opdracht van de gemeentesecretarissen van de zeven gemeenten die deelnemen in de MGR geadviseerd over de toekomstige ICT-samenwerking. In het rapport dat in september 2021 is opgeleverd, zijn twee ‘sporen’ voor de toekomstige ontwikkeling beschreven. Over het advies is gesproken in het portefeuillehoudersoverleg ICT van de zeven gemeenten, en begin 2022 is er over besloten door de zeven colleges. Kort samengevat is de twee sporen-benadering overgenomen. Kern daarvan is dat iRvN de technische basisvoorzieningen (het A-deel van Automatisering) blijft doen, en dat de bredere informatisering (het I-deel) georganiseerd blijft bij de gemeenten zelf. Op losse thema’s kan voortaan wel worden samengewerkt, in wisselende samenstellingen. De reden om geen gemeenschappelijk informatiseringsbeleid (al dan niet binnen iRvN) te gaan ontwikkelen is, aldus het advies, dat daarvoor “de typologie en dynamiek van de deelnemers te verschillend [is] in combinatie met de wens tot de eigen autonomie”. PWC spreekt daarnaast over ‘nauwelijks toegevoegde waarde en eerder een afbreukrisico’ 35.

Taakverdeling informatiebeveiliging: de praktijk in onze gemeenten Het onderzoek laat zien dat er in de praktijk soms onduidelijkheid is over de afbakening van de taken en verantwoordelijkheden tussen de gemeenten en iRvN. Afgezet tegen de BIO-normen hebben de onderzoekers diverse omissies en (daardoor ook) grijze gebieden in de afspraken tussen gemeenten en iRvN geconstateerd. Heel concreet bleken ten tijde van het onderzoek geen concrete afspraken oftewel vastgesteld beleid te bestaan op de volgende gebieden: •

Organiseren van informatiebeveiliging (zoals beveiliging van mobiele apparatuur en telewerken 36);

•

Veilig Personeel (zoals screening van medewerkers van iRvN voorafgaand aan het dienstverband);

•

Beheer van bedrijfsmiddelen (zoals informatieclassificatie);

35

Idem, p. 6.

36

Inmiddels wordt gewerkt aan concrete afspraken hierover; het is de bedoeling dat die in 2022 worden geïmplementeerd. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 20