5. Rekenkameronderzoek Weten wat je moet weten - Rapport Berg en Dal

Weten wat je moet weten

•

Fysieke beveiliging en beveiliging van de omgeving (zoals beveiliging computerruimten);

•

Beveiliging bedrijfsvoering (zoals bescherming tegen malware, logging en audits);

•

Communicatiebeveiliging (zoals het beheer van netwerkbeveiliging en informatietransport);

•

Leveranciersrelaties (zoals vereisten aan het beheer van dienstverlening van leveranciers).

Al in de fase van de documentenuitvraag en ook tijdens de gesprekken bleek dat er soms onduidelijkheid bestond over de vraag of de gemeente of iRvN bepaalde onder de BIO verplichte documentatie zou moeten aanleveren aan de rekenkamers. De rekenkamers hebben binnen de scope van dit onderzoek niet tot de bodem uitgezocht wie nu precies waarvoor verantwoordelijk is; dat is niet onze verantwoordelijkheid. We stellen wel vast dát er op onderdelen onduidelijkheid is. In de slotfase van het onderzoek heeft iRvN inzicht geboden in een overzicht (ISMS 37) dat laat zien voor elk onderdeel van de BIO of er gedocumenteerd beleid bestaat, en of de gemeenten of iRvN hierover moeten beschikken. Aan dit overzicht wordt nog volop gewerkt. Hoe komt het dat er onduidelijkheden en grijze gebieden bestaan tussen de gemeenten en iRvN? Uit de gesprekken leiden we af dat in ieder geval een deel van de onduidelijkheid wordt veroorzaakt doordat de gemeenten op allerlei deelgebieden van informatiebeveiliging geen (nader) beleid hebben vastgesteld. Voorbeelden zijn de hierboven opgesomde zaken waarover geen concrete afspraken zijn gemaakt. iRvN heeft beleid nodig om de dienstverlening aan de gemeenten goed te kunnen uitvoeren. Wat er in de praktijk gebeurt, is dat iRvN in dergelijke situaties volgens zelf vastgestelde routines en richtlijnen gaat werken, om zodoende de gemeenten te kunnen bedienen.

Deze manier van werken leidt er vervolgens toe dat voor gemeentelijke medewerkers het beeld ontstaat dat deze routines door iRvN voor hen worden vastgesteld. In het adviesrapport over de ICT-samenwerking uit 2021 staat dit als volgt verwoord: “Vanuit de operationele behoefte worden technische/inhoudelijke keuzes gemaakt (bijvoorbeeld inrichting Teams, keuze en inrichting laptops, ‘policies’ rondom het gebruik van USB-sticks, en andere maatregelen met betrekking tot informatieveiligheid), waarbij het vooralsnog ontbreekt aan tactische beleidsafstemming. Er is geen goed vehikel beschikbaar om beleidsmatige vraagstukken met elkaar af te stemmen” 38. Die laatste zin is zeker relevant. De rekenkamers stellen vast dat er in het verleden al dan niet bewust is besloten om geen gezamenlijk informatiebeveiligingsbeleid in iRvN-verband te voeren. Recent (begin 2022) is daar besluitvorming door de zeven deelnemende gemeenten bijgekomen om geen gemeenschappelijk informatiseringsbeleid in bredere zin te gaan voeren, in iRvN-verband of anderszins. Hierover is niet in MGR-verband besloten, maar enkel in de colleges, op voorstel van het portefeuillehoudersoverleg.

Dit rekenkameronderzoek was niet in eerste instantie gericht op de bestuurlijke besluitvorming over ICT-samenwerking in de regio, maar de rekenkamers vinden het opmerkelijk dat de discussie en de besluitvorming hierover grotendeels buiten de MGR worden gevoerd. Hoe dan ook: omdat er geen gemeenschappelijk informatiseringsbeleid (met daarbinnen informatiebeveiligingsbeleid) is, zijn de gemeenten dus grotendeels zelf verantwoordelijk voor informatiebeveiligingsbeleid. Maar in de praktijk ontbreken er bij de gemeenten op tactisch en operationeel

37

In paragraaf 3.4 is een toelichting op het instrument ISMS opgenomen.

38

PWC Accountants, ‘Evaluatie ICT Rijk van Nijmegen en de I&A-samenwerkingspartners, met het oog op de toekomst’,

september 2021, p. 18. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 21

Weten wat je moet weten

niveau veel van de benodigde elementen van dat beleid, en krijgt iRvN op onderdelen dus onvoldoende (beleids)kaders mee. Dat leidt er (mede) toe dat er onduidelijkheid is over precieze taak- en verantwoordelijkheidsverdeling tussen gemeenten en iRvN voor informatiebeveiliging. Aanbevelingen 1. Zorg voor heldere afspraken tussen de gemeenten en iRvN over informatiebeveiliging a. Vraag het college om zo snel mogelijk te zorgen voor een heldere taakafbakening tussen gemeenten en iRvN inzake informatiebeveiliging. Dit voorkomt risico’s als gevolg van onduidelijkheid hierover, en stelt iRvN in staat de gemeenten beter en efficiënter te ondersteunen. Vraag het college over een jaar te rapporteren, liefst op basis van een extern onderzoek. b. Vraag het college om in MGR-verband een meerjarenbeleidsplan voor de ICT-module op te stellen met daarin duidelijke doelstellingen. Vraag het college dit beleidsplan op hoofdlijnen uit te werken in een (meerjaren)uitvoeringsprogramma, waarin wordt ingegaan op de benodigde inspanningen door zowel iRvN als de gemeenten. Bijzondere aandacht verdient daarbij het opstellen van de tot nu toe ontbrekende (beleids)kaders voor informatiebeveiliging. Overweeg als raad de zienswijzen op dit meerjarenbeleidsplan gezamenlijk met de andere raden voor te bereiden. c.

Vraag het college om het DB van de MGR voortaan, op basis van het meerjarenbeleidsplan en – uitvoeringsprogramma, een jaarlijks uitvoeringsprogramma (collectieve DVO) vast te laten stellen. Vraag het college om het DB in de jaarstukken verantwoording af te laten leggen over de doelstellingen. 2. Overweeg om het pad in te slaan van gezamenlijk informatiebeveiligingsbeleid in de regio Vraag het college om bestuurlijk de discussie aan te gaan om toch tot een gezamenlijk informatiebeveiligingsbeleid in de regio te komen. Voor de hand ligt om iRvN daarvoor te gebruiken: de organisatie staat al, en is bestuurlijk ingebed in de MGR. Een gezamenlijk beleid, waarin onder meer is vastgelegd welk gedeeld volwassenheidsniveau de gemeenten nastreven, is de beste manier om de informatiebeveiliging in onze gemeenten te vergroten en de risico’s te verminderen. Laat je als raad informeren over de mogelijke keuzes en implicaties daarvan. Bij het bepalen van je standpunt hierover kun je je als gemeenteraad extern laten adviseren. Overweeg dat in regionaal verband te doen.

3.3

WETEN WAT JE PLAN IS: GEMEENTELIJK BELEID

Vereisten aan beleid en uitwerking De landelijke kaders (te weten de BIO en de AVG) vereisen dat de gemeente (strategisch) beleid formuleert voor informatiebeveiliging en privacybescherming. Verwacht mag worden dat er op basis daarvan een uitvoeringsprogramma of meerjarenplan wordt opgesteld, en jaarplannen met concrete doelstellingen, activiteiten en benodigde middelen.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 22

Weten wat je moet weten

Strategisch beleid moet ook nader uitgewerkt zijn in maatregelen, richtlijnen, protocollen, procedures, standaarden etc. voor de diverse onderdelen. Voorbeelden zijn in de vorige paragraaf aan de orde gekomen. Voor een gemiddelde gemeente is dit een lange lijst met vereiste uitwerkingen, dat is kenmerkend voor dit beleidsterrein. In figuur 3 is te zien hoe het beleid uit meerdere lagen moet bestaan. Figuur 3 De informatiepiramide toegepast op informatiebeveiliging 39

Op dit punt past een belangrijke waarschuwing. In dit rapport wordt veel nadruk gelegd op de aanwezigheid van schriftelijke documentatie. Dat doen de rekenkamers niet omdat ze overdreven veel waarde hechten aan papieren procedures. Maar juist op de terreinen van informatiebeveiliging en privacybescherming is het van belang dat zaken schriftelijk zijn vastgelegd (gedocumenteerd), eigenaarschap is belegd en periodiek bijstelling plaatsvindt. Dat biedt houvast aan medewerkers en zorgt ervoor dat iedereen zaken op dezelfde manier interpreteert en aanpakt. Dat is ook een van de uitgangspunten van de BIO en de reden dat daarin is vastgelegd dat een groot aantal (beleids)documenten verplicht is 40. Hetzelfde geldt voor de AVG: de hoeksteen hiervan is het accountabilityprincipe of de verantwoordingsplicht, dat inhoudt dat een organisatie moet kunnen aantonen te voldoen aan de privacybeginselen uit artikel 5 van de AVG. We voegen er nadrukkelijk aan toe dat schriftelijk vastleggen niet genoeg is. De zorg voor informatiebeveiliging en privacybescherming moet méér zijn dan een ‘papieren tijger’. Maar het schriftelijk vastleggen is wel een noodzakelijke basisvoorwaarde 41.

39

Uiteraard geldt deze piramide ook voor privacybescherming.

40

In bijlage 4 is een overzicht van de verplichte BIO-documenten opgenomen.

41

Zie ook het in de Inleiding genoemde onderscheid tussen opzet, bestaan en werking. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 23

Weten wat je moet weten

Informatiebeveiligingsbeleid: de praktijk in onze gemeenten De gemeenten hebben allemaal informatiebeveiligingsbeleid geformuleerd, een belangrijke vereiste die uit de BIO kan worden afgeleid. De gemeenten hebben het beleid niet of slechts beperkt uitgewerkt in jaarplannen of uitvoeringsprogramma’s. De invulling van het beleid is in alle gemeenten voor verbetering vatbaar: er is sprake van onvoldoende diepgang, doelstellingen ontbreken of zijn abstract geformuleerd en lenen zich daarmee niet goed voor nadere uitwerking in processen en werkinstructies, er is onvoldoende uitgewerkt hoe risico’s adequaat beheerst worden en er is niet of onvoldoende vastgelegd hoe wordt gemonitord of het beleid wordt uitgevoerd en effectief is. Zoals ook al bleek uit de vorige paragraaf is het beleid op diverse onderdelen niet nader uitgewerkt in maatregelen, richtlijnen, protocollen, procedures, standaarden etc.. We hebben het dan over de onderste laag van de informatiepiramide. Diverse aspecten van informatieveiligheid zijn niet of onvoldoende afgedekt in het beleid, ondanks het bestaan van handreikingen hiervoor bij de IBD en de AP. Een concreet voorbeeld is dat in het onderzoek in geen van de gemeenten vastgestelde kaders zijn gevonden voor logging.

Voor iRvN geldt dat de organisatie geen eigen informatiebeveiligingsbeleid heeft geformuleerd, maar als onderdeel van de Modulaire Gemeenschappelijke Regeling Rijk van Nijmegen onder het informatiebeveiligingsbeleid van de MGR valt. Dat hebben we niet in het rekenkameronderzoek betrokken. Als uitvoeringsorganisatie moet iRvN daarnaast het informatiebeveiligingsbeleid van de zeven deelnemende gemeenten uitvoeren, voor zover het de ICT-infrastructuur betreft. Als eigenaar van de MGR en iRvN moeten de gemeenten informatiebeveiligingsbeleid op de diverse aandachtsgebieden formuleren en deze kaders aan iRvN meegeven. Als we specifiek kijken naar de gemeente Berg en Dal, dan blijkt dat het informatiebeveiligingsbeleid van de gemeente, vastgesteld in 2019, grotendeels informatief en vrij abstract van aard is. In het beleidsdocument zijn een aantal relevante onderdelen benoemd, zoals de betekenis van informatiebeveiliging, de ambitie, de relatie tussen informatiebeveiliging en privacy, landelijke ontwikkelingen, kaders en rollen, taken en verantwoordelijkheden. De overkoepelende doelstelling luidt als volgt: “De gemeente Berg en Dal wil een betrouwbare partner zijn voor onze inwoners, bedrijven en ketenpartners”. Deze doelstelling is niet geconcretiseerd, waardoor onduidelijk is wat er wanneer en hoe bereikt moet worden.

De 10 bestuurlijke principes voor informatiebeveiliging van de VNG zijn in het beleid opgenomen, maar worden niet of nauwelijks nader uitgewerkt en de vertaalslag naar de praktijk ontbreekt. Voor 2019 is een jaarplan vastgesteld, maar voor 2020 en 2021 ontbreken die. Kaderstelling op specifieke onderwerpen ontbreekt veelal, ook voor de bij iRvN ondergebrachte taken. Naast het informatiebeveiligingsbeleid zijn er onvoldoende vastgestelde tactische beleidsstukken voor informatiebeveiliging, dat wil zeggen concrete uitwerkingen voor specifieke onderwerpen. Veel van de beleidsdocumenten die volgens de BIO verplicht zijn ontbreken. Daardoor is er geen goede basis voor de vertaling van informatiebeveiligingsbeleid naar de praktijk, wat het voor medewerkers lastig maakt om te bepalen hoe zij kunnen of moeten bijdragen aan het beschermen van de hen toevertrouwde informatie.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 24

Weten wat je moet weten

Privacybeleid: de praktijk in onze gemeenten De gemeenten hebben allemaal privacybeleid vastgesteld. Voor iRvN geldt dat deze geen eigen privacybeleid heeft geformuleerd, maar als onderdeel van de Modulaire Gemeenschappelijke Regeling Rijk van Nijmegen onder het privacybeleid van de MGR valt. Dat hebben we niet in het rekenkameronderzoek betrokken. We hebben in dit deel van het onderzoek ook niet specifiek ingezoomd op iRvN als verwerker van gegevens van de gemeenten. De gemeente Berg en Dal heeft vastgesteld privacybeleid, dat eind 2019 is geactualiseerd. Een duidelijke strategische aanpak van privacy binnen de organisatie en een visie op privacy, gegevensbescherming en dienstverlening die de gemeente nastreeft is onvoldoende terug te vinden in het beleid. Het beleid herhaalt de open normen uit de wet, maar een toelichting hoe de gemeente de genoemde wettelijke uitgangspunten wil bereiken ontbreekt. Het beleid is daarmee onvoldoende sturend en richtinggevend. Het beleid is weinig uitgewerkt op het gebied van te implementeren processen en maatregelen, en maakt geen verbinding met de daarbij horende Plan-Do-Check-Act (PDCA)-cyclus.

Voor 2021 had de gemeente zich als doel gesteld om het privacybeleid voor verschillende domeinen meer te verdiepen en uitgangspunten verder te specificeren, maar tijdens het onderzoek (zomer 2021) zijn geen concrete maatregelen aangetroffen die deze ambities in de praktijk brengen. Het onderzoek naar privacybescherming heeft zich voornamelijk geconcentreerd op het sociaal domein. In dat domein zijn, behalve het genoemde algemeen geldende privacybeleid, ook diverse specifieke procedures en privacyprotocollen vastgesteld. De mate van anticipatie op de AVG verschilt sterk per aandachtsgebied. Op enkele onderdelen 42 zijn specifieke procedures ingericht om tegemoet te komen aan de eisen van de AVG. Zo is voor inzageverzoeken van burgers een grotendeels adequate procedure vastgesteld. Maar in het algemeen wordt er in het sociaal domein weinig geanticipeerd op de AVG door de gemeente, en op diverse punten ontbreken schriftelijke handleidingen, richtlijnen en handvatten. Net als bij het informatiebeveiligingsbeleid wordt medewerkers daardoor weinig houvast geboden bij het bepalen of en hoe zij met persoonsgegevens moeten omgaan. De samenwerking met partnerorganisaties wordt niet vanuit het privacybeleid gereguleerd, maar slechts in losse verwerkersovereenkomsten.

Er is daardoor geen goed overzicht van de verdeling van rollen en verantwoordelijkheden tussen gemeente en partners die bij gegevensstromen zijn betrokken. Aanbevelingen 3. Verhelder het beleid voor informatiebeveiliging en privacybescherming a.

Vraag het college om het strategisch beleid voor informatiebeveiliging en privacybescherming te versterken door het in ieder geval aan te vullen met een visie, ambitie en speerpunten. Dit vormt ook de basis voor de bewustwording in de organisatie. Vraag het college het beleidsplan ter besluitvorming aan de raad voor te leggen.

42

Het gaat om onderdelen uit de Privacy Baseline van het Centrum Informatiebeveiliging en Privacybescherming (CIP). Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 25

Weten wat je moet weten

b.

Vraag het college om het strategisch beleid uit te werken in een meerjaren-uitvoeringsprogramma en in jaarplannen, waarin concrete doelstellingen en bijbehorende middelen jaarlijks worden vast- of bijgesteld.

4. Werk zo snel mogelijk de belangrijkste ontbrekende onderdelen van het beleid uit Vraag het college om zo snel mogelijk de belangrijkste onderdelen van zowel het informatiebeveiligingsbeleid als het privacybeleid uit te werken in concrete maatregelen, richtlijnen, protocollen, procedures, standaarden etc. Belangrijk is in elk geval risicomanagement, omdat het de basis van informatiebeveiliging betreft. Hierbij hoort ook dat voor elk van die maatregelen wordt bepaald wie de verantwoordelijken zijn voor de naleving.

3.4

WETEN WELKE RISICO’S JE LOOPT: RISICOMANAGEMENT DOOR DE GEMEENTEN EN IRVN

“Informatiebeveiliging is immers risicomanagement” IBD - Dreigingsbeeld Informatiebeveiliging Nederlandse gemeenten 2021-2022, p. 3 Noodzaak van risicomanagement “Informatiebeveiliging is immers risicomanagement” is één van de eerste zinnen in het Dreigingsbeeld Informatiebeveiliging Nederlandse gemeenten 2021/2022 43 van de IBD, dat is bedoeld om gemeentemanagers te helpen in hun risicomanagement. “Informatiebeveiliging is risicomanagement” is ook één van de 10 bestuurlijke principes voor informatiebeveiliging. Risicomanagement betreft een continu proces van: •

het identificeren van risico’s;

•

het nemen van beheersingsmaatregelen;

•

het rapporteren over en monitoren van risico’s;

•

het treffen van maatregelen die het bereiken van doelen in de weg staan.

43

IBD Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten 2021 / 2022. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 26

Weten wat je moet weten

Figuur 4: Risicoanalyse als continu proces

Het is in de praktijk niet mogelijk om alle risico’s uit te sluiten. “Nul risico bestaat niet” benadrukken experts op het gebied van informatiebeveiliging voortdurend 44. Maar: het bestuur is verantwoordelijk voor het bepalen hoeveel risico en welke risico’s acceptabel zijn. Dat kan alleen door goed risicomanagement. De opsomming van dreigingen en risico’s in het Dreigingsbeeld 2021/2022 (zie kader) maakt duidelijk hoe belangrijk het is continu zicht te hebben op de risico’s die gemeenten lopen en daar waar nodig actie op te ondernemen. Dreigingen in volgorde van belangrijkheid: 1.

Intern en onbedoeld: onbedoelde neveneffecten van logisch handelen van medewerkers, bijvoorbeeld e-mails met gevoelige informatie aan de verkeerde geadresseerde.

2.

Extern, bedoeld maar ongericht: geautomatiseerde bulkaanvallen, zoals phishingmails.

3.

Extern, bedoeld en gericht: gerichte aanvallen van hackers, meestal gebaseerd op onderzoek naar informatie die gebruikt kan worden bij de hack.

4.

Intern en bedoeld: medewerkers die misbruik maken van hun toegangsrechten om bij gegevens of systemen te komen.

44

Zie bijvoorbeeld: https://www.forumstandaardisatie.nl/nieuws/nul-risico-bestaat-niet Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 27

Weten wat je moet weten

Risico’s voor de ambtelijke organisatie: •

Bedrijfscontinuïteit in het geding

•

Integriteit van gegevens niet gewaarborgd

•

Vertrouwelijke gegevens in verkeerde handen

Risico’s voor het openbaar bestuur en de politiek: •

Imagoschade

•

Financiële schade

•

Schade aan democratische processen

Risico’s voor inwoners en ondernemers: •

Gegevens in verkeerde handen

•

Dienstverlening gemeente niet beschikbaar

•

Ontwrichting van alledaagse processen

Instrumenten en tools voor risicoanalyses en -management Voor risicoanalyse en -management in gemeenten zijn diverse bekende instrumenten beschikbaar. Op het gebied van informatiebeveiliging is de GAP-analyse een standaard instrument. Het doel van een GAPanalyse is te controleren of en in welke mate de beveiligingsmaatregelen uit de BIO zijn geïmplementeerd. Als afgeleide daarvan komen ook beveiligingsrisico’s in beeld. Deze vorm van analyse moet je als gemeente periodiek uitvoeren. Steeds meer gemeenten doen dit (half)jaarlijks en gebruiken de rapportages als basis voor hun jaarplannen. Twee veelgebruikte instrumenten voor het beheren van risico’s en de aanpak ervan zijn het managementinstrument ISMS, wat staat voor Information Security Management System, en de GRC-tool, wat staat voor Governance, Risk en Compliance. Een GRC-tool is een hulpmiddel voor het beheren van de governance van een organisatie, het beheren van risico’s en het naleven van regelgeving. In een ISMS wordt – volgens de principes van de PDCA-cyclus - de administratieve organisatie vastgelegd en beheerd. Beide tools ondersteunen organisaties bij de uitvoering het bijhouden en rapporteren van processen om het niveau van informatiebeveiliging te verhogen. Een belangrijk instrument bij het beheersen van de risico’s op het gebied van privacy is de zogenaamde DPIA.

DPIA staat voor Data Protection Impact Assessment. De AVG eist voor bepaalde situaties, bijvoorbeeld grootschalige verwerking van persoonsgegevens, dat voorafgaand aan die verwerking wordt bepaald wat het effect van de geplande verwerkingsactiviteit is op de bescherming van de persoonsgegevens van een persoon. Als gemeente moet je dus voor allerlei processen in je organisatie zo’n DPIA uitvoeren, om inzicht te krijgen in de impact van de verwerking op de privacy. Op basis van een DPIA kunnen maatregelen worden genomen om de impact zou nodig te verminderen. Met behulp van zogenaamde pre-DPIA’s kan de gemeente vaststellen welke processen als eerste aan de beurt moeten komen.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 28

Weten wat je moet weten

Recent heeft de IBD 45 samen met een aantal gemeenten een instrument ontwikkeld met het doel om analyses op het gebied van privacy en informatiebeveiliging eenvoudig(er) uit te kunnen voeren en overzichtelijk te kunnen presenteren en beheren: de zogenaamde Integrale Risico- en Privacy-analyse (IRPA). Binnen IRPA zijn diverse handreikingen voor analyse-instrumenten bij elkaar gebracht, zoals voor de (pre-)DPIA, de baselinetoets BIO, risicoanalyses en GAP-analyses. De praktijk in onze gemeenten: risicomanagement informatiebeveiliging Het risicomanagement op het gebied van informatiebeveiliging binnen de gemeenten wordt gekenmerkt door een ad-hoc karakter. Er is geen sprake van een continu proces van identificatie en beoordeling van risico’s. In geen van de gemeenten is een omvattend bestuurlijk besluit genomen over welke risico’s wel en niet acceptabel worden gevonden, of welke prioritering nodig is bij het aanpakken van risico’s. Acceptabel zou kunnen zijn dat er voor een bepaald systeem geen aanvullende maatregelen getroffen worden, omdat de kosten daarvoor hoger zijn dan de kosten die gemaakt zouden moeten worden na een succesvolle inbreuk. Onacceptabel zou moeten zijn dat gemeentelijke IT-systemen via single-factor authenticatie benaderbaar zijn (alleen gebruikersnaam en wachtwoord). Ook een richtinggevend ambtelijk document is in het onderzoek niet aangetroffen.

In geen van de gemeenten wordt periodiek gerapporteerd over informatiebeveiligingsrisico’s aan het hoogste management, het college en de gemeenteraad. Op ad-hoc basis is er in de gemeenten aandacht voor identificatie en beoordeling van risico’s. Alle gemeenten voeren in meer of mindere mate risicoanalyses uit, zoals context- en GAP-analyses. iRvN heeft in 2021 een GAP-analyse door een externe partij laten uitvoeren. Ook met de pentesten 46 en kwetsbaarheidsscans die iRvN uitvoert ontstaat inzicht in de risico’s. Verder komen risico’s en de mogelijke beheersing daarvan aan de orde in ambtelijke overleggen tussen de gemeente(n) en iRvN. In het geval van (dreigende) incidenten worden management, college en zo nodig ook de gemeenteraad daarover geïnformeerd. In oktober 2021 hebben de gemeenten voor het eerst een regionale crisisoefening gehouden. Uit het onderzoek is duidelijk geworden dat tussen de gemeenten en iRvN een (althans op hoofdlijnen) duidelijke basisafspraak bestaat dat de gemeenten zelf verantwoordelijk zijn voor het risicobeleid, -beheer en -management voor wat betreft hun ICT-voorzieningen. Zij moeten zelf de GRC-tool en het ISMS vullen, maar krijgen op onderdelen gegevens aangeleverd van iRvN. Op basis van de GAP-analyse van iRvN in 2021 wordt momenteel gewerkt aan een voorstel voor een programma waarmee de risico’s op de IT-infrastructuur worden afgedekt.

Hierbij worden drie scenario’s onderscheiden voor het beveiligingsniveau van iRvN en de aangesloten gemeenten: een variant om op het

45

IBD: InformatieBeveiligingsDienst.

46

Een pentest of penetratietest is een test waarbij ethische hackers proberen de systemen en netwerken van een

organisatie binnen te dringen met als doel het identificeren van kwetsbaarheden en het geven van passende adviezen die kwetsbaarheden te verkleinen of op te lossen. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 29

Weten wat je moet weten

minimaal vereiste beveiligingsniveau te komen (de basis op orde), een maximale variant en een tussenvariant. Per variant wordt beschreven welke maatregelen nodig zijn om het beveiligingsniveau in lijn te brengen met het dreigingsbeeld en wat de (jaarlijkse) kosten daarvoor zijn (materieel en personeel). Dit voorstel is in het voorjaar van 2022 besproken met de hoofden bedrijfsvoering van de gemeenten en vormt de basis voor een voorstel dat ter besluitvorming aan de colleges van de deelnemende gemeenten wordt voorgelegd. Mogelijke verklaringen voor de ad-hoc werkwijze van de gemeenten zijn dat geen gemeenschappelijke methodiek of proces voor risicomanagement op het gebied van informatiebeveiliging is vastgesteld én dat de beschikbare instrumenten (zoals ISMS en GRC) voor het efficiënt en effectief uitvoeren van risicomanagement niet (volledig) door alle gemeenten worden gebruikt. Dit illustreert ook de inefficiënties die soms in de relatie met iRvN zitten. De gemeenten zijn in principe verantwoordelijk voor het vullen van het ISMS en de GRC-tool voor hun eigen organisatie (of het alternatief dat zij daarvoor gebruiken), maar zij hebben iRvN nodig om een deel van de benodigde gegevens aan te leveren. Omdat niet alle gemeenten hetzelfde systeem hebben aangeschaft en/of gebruiken, gaat dat minder gemakkelijk dan het zou kunnen gaan.

Hierbij moet worden opgemerkt dat het (gezamenlijk) vullen nog in ontwikkeling is. De praktijk in onze gemeenten: beheersen van privacyrisico’s Het onderzoek heeft opgeleverd dat er binnen de gemeente Berg en Dal geen vastgesteld proces is voor het uitvoeren van DPIA’s. Daardoor is onvoldoende gewaarborgd dat een DPIA gestart wordt, als dat noodzakelijk is. In de praktijk worden wel degelijk DPIA’s uitgevoerd; enkele daarvan zijn ook met de onderzoekers gedeeld. De onderzoekers stellen vast dat er in de gemeente Berg en Dal tekortkomingen zijn in de geanalyseerde DPIA, zoals een onvoldoende gedegen risicoanalyse. Binnen de gemeente is er geen proces dat beschrijft hoe de monitoring van een DPIA verloopt en hoe de resultaten van de DPIA’s gebruikt worden om de risicomanagementaanpak binnen de gemeente te verbeteren. Aanbevelingen 5. Voer zo snel mogelijk een organisatiebrede risicoanalyse uit Vraag het college om zo snel mogelijk een organisatiebrede risicoanalyse te (laten) uitvoeren voor zowel informatiebeveiliging als privacybescherming. Kom op basis hiervan tot bestuurlijke besluitvorming over risico’s die (niet) acceptabel worden gevonden en vraag het college deze te gebruiken voor het op te stellen meerjaren-uitvoeringsprogramma. 6.

Maak risicomanagement tot een continu proces Vraag het college om op korte termijn een methodiek uit te werken voor invulling van risicomanagement. Uitgangspunt voor die methodiek moet zijn dat risicomanagement als continu proces worden ingebed in de PDCA-cyclus. Blijf in het kader van risicomanagement regionale crisisoefeningen uitvoeren en gebruik de ervaringen voor de jaarplannen (regionaal én lokaal).

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 30

Weten wat je moet weten

7. Ga systematisch DPIA’s uitvoeren Vraag het college om systematisch invulling te gaan geven aan DPIA’s. Pak het planmatig aan: bepaal wat de meest noodzakelijke DPIA’s zijn en neem deze op in het jaarplan.

3.5

WETEN WAT HET KOST: INZET VAN MIDDELEN

Hoe organiseer je informatiebeveiliging en privacybescherming? Bij het opstellen, uitvoeren en monitoren van beleid op het gebied van informatiebeveiliging en privacybescherming zijn binnen de ambtelijke organisatie medewerkers met specifieke functies nodig. Er zijn twee verplichte functies voor overheden, en dus ook voor gemeenten en gemeentelijke samenwerkingsverbanden: de CISO en de FG. Chief Information Security Officer (CISO) Op grond van de BIO moet de rol van CISO belegd zijn. De CISO is verantwoordelijk voor het implementeren van het informatiebeveiligingsbeleid én het toezicht daarop. Op basis van de BIO moet de CISO zorgdragen voor een samenhangend pakket van maatregelen ter waarborging van de vertrouwelijkheid, integriteit en beschikbaarheid van de informatie binnen een organisatie. Er zitten twee kanten aan de functie van CISO: een organisatorische en een technische. De organisatorische kant heeft betrekking op het beleid, de coördinatie en de samenhang van de beveiliging. Zo helpt de CISO organisaties de kaders vast te stellen en uit te dragen, waarmee de integriteit, beschikbaarheid en vertrouwelijkheid van de informatie(voorziening) kan worden gewaarborgd. Het technische aspect van de functie betekent dat de CISO ervoor zorgt dat er maatregelen getroffen worden waardoor inbreuken op de beveiliging kunnen worden voorkomen.

Of, als ze toch voorkomen, de gevolgen geminimaliseerd worden. Op basis van risicoanalyses maakt de CISO de mogelijke schade zichtbaar die een dreiging kan toebrengen aan bepaalde informatie en de kans dat het gebeurt. De positie van de CISO dient een zekere, voor de functie noodzakelijke, onafhankelijkheid te waarborgen. Met het oog op die onafhankelijkheid adviseert de IBD 47 de CISO de beschikking te geven over een eigen budget. Korte lijnen naar het management zijn van belang om voldoende gewicht in de schaal te kunnen leggen voor het treffen en handhaven van voldoende beveiligingsmaatregelen. In tegenstelling tot de FG (zie hierna) geniet de CISO (nog) geen wettelijke ontslagbescherming. Functionaris Gegevensbescherming (FG) Gemeenten zijn op grond van de AVG verplicht een onafhankelijke toezichthouder aan te stellen, de FG. De FG heeft in art. 39 AVG als taken toegewezen gekregen het informeren van de organisatie, het adviseren over verplichtingen die uit de AVG voortvloeien en toezien dat de AVG wordt nageleefd. Ook heeft de FG als taak om met de Autoriteit Persoonsgegevens (AP) samen te werken. Om deze taken goed uit te kunnen voeren moet een FG deskundig zijn op het gebied van gegevensbescherming en van de verwerkingspraktijken bij de organisatie waar hij is aangesteld. Ook moet hij verslag kunnen uitbrengen bij het hoogste leidinggevende niveau van de organisatie.

De FG moet zijn taken op onafhankelijke wijze uitvoeren. Dat betekent dat de FG door de organisatie in staat moet worden gesteld met voldoende middelen zijn taak uit te voeren, dat hij geen instructies mag krijgen met betrekking tot zijn FG-taken, dat hij geen

47

IBD, maart 2020: Handreiking functieprofiel Chief Information Security Officer (CISO). Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 31

Weten wat je moet weten

andere taken mag uitvoeren die mogelijk tot aantasting van zijn onafhankelijke positie leiden en dat hij niet mag worden ontslagen omwille van het functioneren als FG. De FG heeft dus naast zijn rol als toezichthouder ook een rol als adviseur. Bij de invulling daarvan is van belang dat de organisatie verantwoordelijk is voor het opstellen en uitvoeren van het privacybeleid. De FG ziet toe op de naleving hiervan en brengt advies uit over de risico’s van bestaande verwerkingen en voorgenomen nieuwe producten en diensten.

De CISO en FG zijn essentiële functionarissen, maar voor goede informatiebeveiliging en privacybescherming is meer nodig in termen van organisatie en personeel. Vaak wordt daarvoor gebruik gemaakt van het zogenaamde ‘Three Lines of Defense-model’ 48. Volgens dit model moeten in de organisatie drie verdedigingslijnen worden ingericht: 1. De eerste lijn betreft de medewerkers in de organisatie en het management. Je kunt informatiebeveiliging en privacybescherming niet goed regelen zonder de medewerkers, die op dagelijkse basis te maken hebben met risico’s en daarin keuzes maken (de proceseigenaren). Het lijnmanagement (afdelingshoofden) is in deze eerste lijn verantwoordelijk dat dit goed gebeurt. 2. De tweede lijn is het tactische niveau dat in de organisatie voor afstemming zorgt en de eerste lijn ondersteunt en adviseert. Op het gebied van privacybescherming betreft het de zogenaamde Privacy Officers (soms privacybeheerders of -ambassadeurs genoemd); voor informatiebeveiliging heten deze Security Officers. De tweede lijn zorgt in de diverse organisatieonderdelen voor de ontwikkeling en invoering van beleid en risicomanagement en bewaakt ook de uitvoering ervan. Daarbij hoort ook het uitvoeren van risicoanalyses 3. De derde lijn is die van de FG en CISO. Deze verschilt qua invulling enigszins voor de terreinen informatiebeveiliging en privacybescherming.

De FG is een formele derdelijnsfunctie. Voor de CISO geldt dit (nog) niet. Bij voorkeur wordt de CISO in de organisatie ook onafhankelijk gepositioneerd en met een directe lijn (dus om de hiërarchische verhoudingen heen) naar de gemeentesecretaris en portefeuillehouder. De FG vormt het intern toezicht, vergelijkbaar met de concerncontroller in gemeenteland: hij/zij controleert of het samenspel tussen de eerste en tweede lijn soepel functioneert en moet daarover een objectief en onafhankelijk oordeel vellen, met mogelijkheden tot verbetering. De FG is ook de toezichthouder namens de AP. De CISO is wat minder een toezichthouder en vooral de strategisch adviseur van het bestuur voor informatiebeveiliging: hij/zij moet zorgen voor strategisch beleid en ook controleren of dit goed wordt geïmplementeerd. In de praktijk, dat geldt zeker in kleinere organisaties, komen de FG en de CISO niet altijd voldoende toe aan de derde lijn, omdat er in de tweede lijn nog teveel operationeel werk (voor hen) te doen is. Wat is nodig in termen van personeel en middelen? De rekenkamers wilden bij aanvang van het onderzoek graag duidelijkheid verschaffen aan de gemeenteraden over de inzet van de gemeenten op de terreinen van informatiebeveiliging en privacybescherming. Is er voor deze terreinen voldoende goed geschoold personeel en voldoende budget in onze gemeenten? 48

Zie bijvoorbeeld: https://robertthart.risicomanagement.nl/2019/03/23/three-lines-of-defense-risicomanagement-model/

voor een toelichting op het model. Het model wordt ook wel kortweg Three Lines model genoemd. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 32

Weten wat je moet weten

Die vraag kan alleen worden beantwoord met een duidelijke maatstaf. Een eerste mogelijke maatstaf is om te onderzoeken of de informatiebeveiliging en privacybescherming helemaal op orde zijn. Als dat het geval zou zijn, kun je immers concluderen dat er voldoende mensen en middelen zijn ingezet. Maar dit is geen begaanbare weg. Los van het feit dat 100% veiligheid in feite onmogelijk is, hebben we als rekenkamers niet de onderzoekscapaciteit om een dergelijk onderzoek te (laten) verrichten. De gemeenten zouden zelf systematisch de werking c.q. effectiviteit van hun informatiebeveiligings- en privacybeschermingsbeleid moeten onderzoeken. We komen daarop terug in paragraaf 3.6. Een tweede mogelijke maatstaf om te bepalen of de gemeenten voldoende mensen en budget inzetten, is om de input in de vorm van personeel en budget af te zetten tegen een breed gedragen norm zoals vastgesteld door experts, of tegen de inzet van andere gemeenten. Gemeenten zijn verplicht om een FG en een CISO te hebben 49, en die op een correcte manier te positioneren in de organisatie; dat is een belangrijke wettelijke norm. Er zijn geen andere, bijvoorbeeld kwantitatieve normen voor de personele inzet beschikbaar.

In 2017 stelde de Rekenkamer Rotterdam in één van de eerste lokale rekenkamerrapporten naar informatiebeveiliging dat zij geen bruikbare benchmark had weten te vinden waarmee beoordeeld kan worden een gemeente genoeg capaciteit inzet voor informatiebeveiliging 50. Voor wat betreft het benodigde budget zijn alle deskundigen het erover eens: ‘informatiebeveiliging kost geld’. Deze stelling is ook één van de 10 bestuurlijke principes die de VNG 51 voor bestuurders heeft opgesteld. De bijbehorende toelichting luidt als volgt: “Risico’s kunt u ontwijken, mitigeren, overdragen of wegnemen door het nemen van preventieve, repressieve en/of correctieve maatregelen. Welke strategie u ook kiest, ze kosten allemaal middelen in termen van tijd en geld. Voor maatregelen kan derhalve een kosten-batenanalyse worden gemaakt”. Is er iets te zeggen over de noodzakelijke omvang van het budget? De Cyber Security Raad stelde in 2017 dat overheden en andere organisaties 10% van hun IT-budget aan digitale veiligheid en privacymaatregelen zouden moeten besteden 52. Deze zogenaamde 10 procent-maatstaf lijkt prettig concreet, maar blijkt bij nader inzien voor het onderzoek weinig bruikbaar. Onduidelijk is wat wordt bedoeld met ‘bestedingen aan digitale veiligheid en privacymaatregelen’.

De voor dit rekenkameronderzoek ingehuurde onderzoekers en enkele geraadpleegde deskundigen 53 geven allemaal aan dat het hier gaat om extra investeringen in maatregelen en audits, en niet om structurele uitgaven aan bijvoorbeeld personeel. Als die zouden worden meegeteld, zitten alle gemeenten sowieso al boven de 10%. Maar het is een allesbehalve helder onderscheid, vinden wij als 49

De eerste is wettelijk verplicht op grond van de AVG; de tweede op grond van de door alle overheden onderschreven

BIO-normen. 50

Rekenkamer Rotterdam (2017). In onveilige handen, p.39.

51

VNG: Vereniging Nederlandse Gemeenten.

52

De maatstaf is gebaseerd op het adviesrapport ‘De economische en maatschappelijke noodzaak van meer cyber security:

Nederland digitaal droge voeten’ van de commissie-Verhagen uit 2016. De commissie baseerde de norm op een internationale vergelijking. 53

Een hoogleraar cybersecurity en een onderzoeker met ruime ervaring in onderzoek naar informatiebeveiliging bij

gemeenten. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 33

Weten wat je moet weten

rekenkamers. Waarom tellen de vaste personeelslasten voor de CISO en de FG niet mee, en bijvoorbeeld extra inhuur van personeel voor het treffen van bepaalde maatregelen wel? De norm lijkt al met al weinig behulpzaam. De praktijk in onze gemeenten: personele inzet De gemeenten hebben allemaal een CISO en een FG in dienst. De CISO’s van de bij iRvN aangesloten gemeenten hebben regulier regionaal CISO-overleg, waar ook de CISO en ISO van iRvN aan deelnemen. Dit overleg kent een vaste agenda. Voor de gemeente Berg en Dal geldt dat de gemeente enkele jaren de CISO en de FG met de gemeenten Beuningen en Heumen deelde. Begin 2020 is deze samenwerking beëindigd. De rol (taken, verantwoordelijkheden en bevoegdheden) van de CISO is vastgelegd in het informatiebeveiligingsbeleid. Daarin zijn ook de acht beveiligingsbeheerders in de ambtelijke organisatie terug te vinden, die deel uitmaken van de zogenaamde tweede lijn voor wat betreft informatiebeveiliging. De beveiligingsbeheerders helpen om informatiebeveiliging onder de aandacht te brengen en zijn verantwoordelijk voor het doorvoeren van IBmaatregelen in hun systeem/domein. De CISO en de beveiligingsbeheerders hebben periodiek overleg. Op het gebied van privacybescherming kent Berg en Dal privacy-ambassadeurs, die binnen hun team een voorbeeld rol en signaalfunctie hebben ten aanzien van privacybescherming.

Uit de gesprekken blijkt dat de meeste betrokkenen aangeven dat er weinig ambtelijke capaciteit beschikbaar is in relatie tot de noodzakelijke werkzaamheden. De praktijk in onze gemeenten: budget De vraag of de gemeenten de 10%-norm van de Cyber Security Raad halen voor informatiebeveiliging en privacybescherming valt op basis van het onderzoek niet met hard bewijs te beantwoorden. Niet alleen is de norm onduidelijk – zoals aan het begin van deze paragraaf is toegelicht -, maar het blijkt dat de daadwerkelijke bestedingen van gemeenten aan informatiebeveiliging en privacybescherming niet goed zijn vast te stellen. Informatiebeveiliging en privacybescherming zijn geen gestandaardiseerde taakvelden in de gemeentelijke begroting, en dus valt niet of nauwelijks vast te stellen hoeveel de gemeente eraan uitgeeft. Jaarplannen en uitvoeringsprogramma’s op het gebied van informatiebeveiliging en privacybescherming ontbreken in de gemeente Berg en Dal, dus daar kunnen geen bedragen uit worden afgeleid. De gemeente Berg en Dal had in 2021 een IT-budget van €2.256.250. De kosten voor informatiebeveiliging en privacybescherming vallen onder het IT-budget. Een relatief klein bedrag van €22.000 is gespecificeerd voor specifieke informatiebeveiligingsmaatregelen.

Maar we moeten er vanuit gaan dat binnen het totaalbudget voor IT mogelijk nog meer ‘verstopte’ bedragen voor informatiebeveiliging en privacybescherming zitten, zoals de aanschaf van bepaalde applicaties en softwarepakketten (of veiligere versies van standaardpakketten) of de kosten voor inhuur.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 34

Weten wat je moet weten

De personele lasten voor de CISO en de FG kunnen worden gespecificeerd, maar die tellen niet mee voor de 10%-norm. Daar komt bij dat een deel van de inspanningen op het gebied van informatiebeveiliging en privacybescherming natuurlijk onderdeel is van de gewone werkprocessen in de organisatie, omdat de zorg hiervoor onderdeel is van het werk van alle medewerkers, en zeker van lijnmanagers. Die kosten zijn in feite dus elders in de begroting te vinden. Meer dan de helft van het voor IT beschikbare budget, € 1.403.000, betreft de bijdrage van Berg en Dal aan iRvN. Ook voor iRvN kunnen we niet vaststellen of de organisatie voldoet aan de 10%-norm. Concluderend moeten we vaststellen dat we op basis van deze gegevens, en zonder goede norm, niet kunnen vaststellen of er genoeg financiële middelen beschikbaar zijn voor informatiebeveiliging en privacybescherming. Als we de personele lasten (van de gemeente en iRvN) niet meerekenen, lijkt het niet waarschijnlijk dat de gemeente voldoet aan de norm. Aanbevelingen 8. Stel voldoende middelen beschikbaar Vraag het college om de raad voor te leggen wat er nodig is qua financiële en personele middelen, op basis van het op te stellen meerjarenuitvoeringsprogramma en de jaarplannen. Die belangrijke documenten vragen om bespreking en besluitvorming in het college. 9.

Zorg intern voor onafhankelijk ondersteuning en toezicht Vraag het college om de FG als interne toezichthouder duidelijk in de 3e lijn te positioneren en indien nodig capaciteit toe te voegen aan de 2e lijn (in de vorm van een Privacy Officer). Vraag het college om ook de CISO bij voorkeur in de 3e lijn te positioneren en indien nodig capaciteit (in de vorm van een Security Officer) toe te voegen aan de 2e lijn. 10. Geef de CISO en FG de beschikking over een eigen budget Vraag het college om in lijn met het advies van de IBD het budget waarover de CISO kan beschikken te specificeren in het jaarplan en de begroting. Doe dat ook voor de FG. Op deze manier kunnen CISO en FG hun rol vanuit de 3e lijn beter waarmaken.

3.6

WETEN WAAR JE STAAT: TOETSING EN RAPPORTAGE

Toetsing en rapportage: hoe het moet Voor zowel informatiebeveiliging als privacybescherming geldt dat een belangrijke vereiste voor alle (overheids)organisaties is dat opzet, bestaan en werking van de maatregelen regelmatig wordt getoetst en dat daarover wordt gerapporteerd. Het gaat hier in feite over de ‘Check’ in de in hoofdstuk 2 genoemde PlanDo-Check-Act-cyclus (PDCA-cyclus), die organisaties voortdurend moeten doorlopen.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 35

Weten wat je moet weten

Opzet – bestaan – werking Bij het toetsen en beoordelen van de stand van de informatiebeveiliging en privacybescherming wordt vaak naar deze driedeling gekeken: Opzet: het ontwerp van maatregelen (in beleid, plannen en processen) Bestaan: dat de maatregelen feitelijk zijn getroffen Werking: de effectiviteit van de getroffen maatregelen We kwamen ook de volgende formulering tegen: Opzet: de aanpak klopt op papier Bestaan: de aanpak is volgens plan in praktijk gebracht Werking: de aanpak blijkt ook in de praktijk doelmatig en doeltreffend

In een goed georganiseerde gemeente is deze toetsing op diverse manieren georganiseerd en terug te vinden: •

In het gemeentelijk beleid moet zijn vastgelegd op welke momenten en welke manieren getoetst wordt of alle voorgenomen stappen zijn gezet en of de maatregelen effectief zijn.

•

De organisatie controleert zelf (intern) of voorgenomen maatregelen zijn uitgevoerd en rapporteert daarover periodiek aan het management en de portefeuillehouder en uiteindelijk aan het college. Aan de gemeenteraad wordt verantwoording afgelegd via de gebruikelijke P&C-cyclus 54 en separaat afgesproken specifieke voortgangsrapportages.

•

Ook de accountant neemt in de jaarlijkse controle informatiebeveiligingsaspecten mee. De diepgang waarmee dat gebeurt, kan sterk verschillen: per accountant, en ook per jaar, en ook afhankelijk van de vraag of en hoe de gemeenteraad deze controle toevoegt aan de opdracht.

•

Minimaal verplicht moet de gemeente rapporteren over beide terreinen. Voor informatiebeveiliging is dat jaarlijks op basis van de ENSIA-systematiek (zie kader en figuur 5). Voor wat betreft de AVG moet de FG als toezichthouder rapporteren aan “het hoogste leidinggevende niveau van de verwerkingsverantwoordelijke”. In het geval van de gemeente is dit het college van B&W. Het is aan de FG zelf om te bepalen met welke frequentie hij rapporteert; gebruikelijk is minstens eenmaal per jaar.

•

Op grond van de BIO 55 zouden gemeenten zelf de werking (effectiviteit) van de getroffen maatregelen regelmatig moeten onderzoeken, onder meer door middel van pentesten (penetratietesten). Die worden gedaan om op zoek te gaan naar zwakke plekken in de beveiliging van de systemen en infrastructuur. Uit de testen kunnen indien nodig verbeteracties voortkomen.

•

Gemeenten doen er goed aan ook externe toetsing en controle te organiseren met een (IT-)audit door een onafhankelijke externe partij. Voor privacybescherming is dit in eerste instantie de taak van de FG, maar kan een extern uitgevoerde nulmeting of ‘privacy risk assessment’ worden uitgevoerd.

54

Gemeenten hebben in de VNG-resolutie ‘Informatieveiligheid, randvoorwaarde voor de professionele

gemeente’ uit november 2013 onder meer afgesproken dat in de jaarstukken een aparte passage over informatiebeveiliging wordt opgenomen. 55

BIO 18-2-3: "Informatiesystemen worden jaarlijks gecontroleerd op technische naleving van beveiligingsnormen en

risico’s ten aanzien van de feitelijke veiligheid. Dit kan bijvoorbeeld door (geautomatiseerde) kwetsbaarheidsanalyses of penetratietesten." Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 36

Weten wat je moet weten

ENSIA-rapportage ENSIA staat voor Eenduidige Normatiek Single Information Audit, en is een verantwoordingsstelsel voor informatieveiligheid, ontstaan vanuit een gezamenlijk initiatief van de meest betrokken ministeries en de VNG. ENSIA wordt door gemeenten gebruikt om zich te verantwoorden over de staat van informatiebeveiliging op basis van de BIO en over een (groeiend) aantal landelijke voorzieningen 56. De verantwoording over de stand van zaken van de BIO is bedoeld voor de gemeenteraad. De VNG stelt in een toelichting over ENSIA op haar website: “Met ENSIA sluit de verantwoording over informatieveiligheid aan op de planning en control-cyclus van de gemeente. Hierdoor heeft het gemeentebestuur meer overzicht over de informatieveiligheid van hun gemeente en kan het beter sturen en verantwoording afleggen aan de gemeenteraad”. De verantwoording over de landelijke voorzieningen is bedoeld voor toezichthouders binnen het Rijk. Met ENSIA wordt die verantwoording gestructureerd, zodat gemeenten maar één keer verantwoording hoeven af te leggen. Gemeenten moeten jaarlijks een zelfevaluatie invullen. Voor DigiD en Suwinet 57 moeten zij deze laten controleren door een onafhankelijke auditor. Wanneer een gemeente ook na een herstelperiode niet aan de eisen voldoet, wordt ze afgesloten van de dienstverlening.

Voor de overige onderdelen geldt: het invullen van de zelfevaluatie is verplicht, het laten uitvoeren van een controle daarop (nog) niet.

Figuur 5: Schematische weergave van ENSIA-rapportage

De toetsingspraktijk in onze gemeenten In de gemeente Berg en Dal wordt een beperkt aantal zaken getoetst en gerapporteerd. Het beleid is op dit punt onvoldoende sturend: er is niet vastgelegd wanneer wat wordt getoetst en hoe daarover wordt gerapporteerd. De verplichte jaarlijkse rapportages op het gebied van informatiebeveiliging (ENSIA) en privacybescherming (jaarverslag FG) worden aan het college aangeboden, maar niet met de raad gedeeld. Informatiebeveiligingsincidenten worden niet aantoonbaar geregistreerd en gerapporteerd aan de ambtelijke leiding, en er is niets vastgelegd over leren uit incidenten. In algemene zin heeft de gemeente de eerste

56

De Basisregistratie Personen (BRP), Paspoortuitvoeringsregeling Nederland (PUN), Digitale persoonsidentificatie (DigiD),

Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), Waardering Onroerende Zaken (WOZ) en de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet). 57

Suwinet is een digitale infrastructuur waarmee de Suwipartijen (UWV, SVB en gemeenten) gegevens met elkaar kunnen

uitwisselen voor de uitoefening van hun wettelijke taak. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 37

Weten wat je moet weten

stappen gezet om te komen tot een continue verbetercyclus (PDCA-cyclus), maar er is nog geen sprake van een volledig uitgevoerde cyclus. In het kader van dit rekenkameronderzoek is niet de volledige P&C-cyclus geanalyseerd. In de jaarstukken over 2020 wordt in de paragraaf ‘Bedrijfsvoering’ gerapporteerd over beide terreinen. De tekst daar is algemeen en er wordt niet expliciet teruggegrepen op (in de begroting) gestelde doelen. Respondenten geven aan dat er geen penetratietesten uitgevoerd worden om technische kwetsbaarheden te identificeren in opdracht van de gemeente op eigen applicaties of bij iRvN. 58 Wel voert iRvN structureel kwetsbaarhedenscans uit op de technische infrastructuur waarvoor zij verantwoordelijk is. Er wordt niet gerapporteerd aan het MT 59, het college of de raad over technische kwetsbaarheden. De gemeente Berg en Dal laat – behalve voor de verplichte onderdelen in het kader van ENSIA - geen externe audits of andere vormen van externe toetsing uitvoeren. Aanbevelingen 11. Leg vast hoe je gaat toetsen en rapporteren Vraag het college om in het beleid op te nemen hoe je als gemeente wilt gaan toetsen en rapporteren. Neem de PDCA-cyclus als uitgangspunt en expliciteer de momenten waarop getoetst en gerapporteerd wordt. Belangrijk bij het toetsen is dat periodiek pentesten worden uitgevoerd en periodiek extern getoetst wordt.

Belangrijk bij het rapporteren is dat – na overleg met de raad (zie aanbeveling 18) - ook wordt aangegeven hoe en wanneer aan de raad gerapporteerd wordt. Maak in het college (en ook in de raad, zie paragraaf 3.9) in elk geval meer werk van de jaarlijkse verantwoordingsrapportages over informatieveiligheid (ENSIA) en privacybescherming (jaarverslag FG). Nodig de CISO en FG uit voor een toelichting en bespreking. 12. Ga KPI’s gebruiken Vraag aan het college om in het beleid KPI’s op te nemen, zowel voor informatiebeveiliging als privacybescherming. Dit moet ook in de Basisafspraken met iRvN worden gedaan. Gebruik bijvoorbeeld de aandachtsvelden uit het NOREA-volwassenheidsmodel en de thema’s uit de privacy-baseline om KPI’s uit af te leiden.

58

Voor DigiD is het verplicht dit te doen en gebeurt het wel.

59

MT: Managementteam. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 38

Weten wat je moet weten

3.7

WETEN HOE BELANGRIJK HET IS: BEWUSTWORDING

Bewustwording: essentieel onderdeel personeelsbeheer Voor zowel informatiebeveiliging als privacybescherming is het essentieel dat medewerkers zich bewust zijn van de risico’s en hun verantwoordelijkheid. Medewerkers zijn belangrijke, zo niet de belangrijkste schakels: een organisatie kan het technisch en organisatorisch nog zo goed op orde hebben, als medewerkers niet alert zijn en de richtlijnen en tips niet begrijpen of volgen, kan het alsnog mislopen. In de BIO en in de AVG zijn hier expliciete bepalingen over opgenomen. BIO Norm 7.2.2 Bewustzijn, opleiding en training ten aanzien van informatiebeveiliging Alle medewerkers van de organisatie en, voor zover relevant, contractanten behoren een passende bewustzijnsopleiding en -training te krijgen en regelmatige bijscholing van beleidsregels en procedures van de organisatie, voor zover relevant voor hun functie. AVG artikel 39 taken van de FG 1. De functionaris voor gegevensbescherming vervult ten minste de volgende taken: b) toezien op naleving van deze verordening, van andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens, met inbegrip van de toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het bij de verwerking betrokken personeel en de betreffende audits.

De praktijk in onze gemeenten Uit de gesprekken blijkt dat informatiebeveiliging en privacybescherming in toenemende mate onderwerp van aandacht zijn in de gemeentelijke organisatie. Veiligheid en alertheid komen op diverse plekken en momenten ter sprake en er is sprake van een toenemend bewustzijn bij medewerkers. Alle gemeenten ondernemen, soms ook in regionaal verband, diverse activiteiten om de bewustwording van medewerkers rond informatiebeveiliging en privacybescherming naar een hoger plan te tillen. Voorbeelden hiervan zijn: het delen van informatie, tips en waarschuwingen via intraweb, het geven van presentaties (door externen), het organiseren van quizen en het uitvoeren van phishingsimulaties. In alle gemeenten bestaan ook e-learning modules. In diverse gevoerde gesprekken is aangegeven dat het aantal meldingen van (mogelijke) informatiebeveiligingsincidenten en datalekken door de bewustwordingsactiviteiten is toegenomen. Wat ontbreekt is een systematische, gerichte aanpak, inclusief evaluatie en consolidatie. De activiteiten die de gemeenten ondernemen zijn vrijwel altijd gericht op alle medewerkers; er is weinig sprake van maatwerk voor specifieke groepen medewerkers. De meeste activiteiten betreffen eenmalige acties of korte impulsen. Of de uitgevoerde activiteiten het gewenste resultaat hebben opgeleverd, is niet bekend.

Dat komt doordat het gewenste resultaat vooraf niet is vastgelegd, en achteraf wordt dit niet gemeten.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 39

Weten wat je moet weten

Aanbevelingen 13. Zet volop en systematisch in op bewustwording Vraag het college om door te gaan op de weg van het vergroten van de bewustwording van medewerkers en dit meer systematisch aan te pakken, door ook hierbij te werken op basis van een risicoanalyse en volgens de PDCA-cyclus. Vraag het college bewustwording vanaf 2023 op te nemen als onderdeel van de jaarplannen voor informatiebeveiliging en privacybescherming, en daarbij ook aandacht te hebben voor bewustwordingsmaatregelen voor specifieke groepen medewerkers.

3.8

WETEN DAT JE VERANTWOORDELIJK BENT: BESTUURLIJKE VERANTWOORDELIJKHEID EN COMMITMENT

Bestuurlijke verantwoordelijkheid vereist Omdat informatiebeveiliging en privacybescherming vaak als bedrijfsvoering worden beschouwd, en omdat het om ingewikkelde en technische materie gaat, is de kans groot dat veel bestuurders net als gemeenteraden (zie volgende paragraaf) weinig affiniteit en betrokkenheid voelen bij deze onderwerpen. Dat is misschien begrijpelijk, maar onwenselijk: bestuurders hebben een belangrijke verantwoordelijkheid als het gaat om het bevorderen van informatiebeveiliging en privacybescherming in hun gemeente. De experts waar de rekenkamers mee hebben gesproken wijzen erop dat het een zwaar portefeuilleonderdeel is voor bestuurders, en dat zij er vaak mee worstelen. In de 10 bestuurlijke principes voor informatiebeveiliging die de VNG in 2019 aan haar leden heeft meegegeven, zie je dan ook dat het eerste principe direct aan hen is gericht: ‘Bestuurders bevorderen een veilige cultuur’. Benadrukt wordt dat de bestuurder een voorbeeldfunctie heeft, dat hij/zij het beleid actief moet uitdragen en ervoor moet zorgen dat medewerkers zich vrij voelen om risico’s te melden en maatregelen voor te stellen. Zoals de IBD het formuleert: “Deze principes ondersteunen de bestuurder bij het uitvoeren van goed risicomanagement.

Als er iets verkeerd gaat met betrekking tot het beveiligen van de informatie binnen de gemeentelijke processen, dan kan dit directe gevolgen hebben voor inwoners, ondernemers en partners van de gemeente. Daarmee is het onderwerp informatiebeveiliging nadrukkelijk gewenst op de bestuurstafel” 60. De bestuurlijke praktijk in onze gemeenten In het onderzoek is in beperkte mate aandacht besteed aan de invulling van de bestuurlijke verantwoordelijkheid voor informatiebeveiliging en privacybescherming. In welke mate en op welke wijze de portefeuillehouders en de colleges tijd en aandacht besteden aan de sturing op deze terreinen, is niet systematisch onderzocht. Er is wel met de portefeuillehouders gesproken, en in de documenten en de andere interviews is op diverse manieren materiaal verzameld over de manier waarop de colleges van onze gemeenten invulling geven aan hun bestuurlijke verantwoordelijkheid.

60

Uit het voorbeeld Strategisch Gemeentelijk Informatiebeveiligingsbeleid BIO van de IBD (pagina 4). Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 40

Weten wat je moet weten

Het onderzoek laat zien dat de besturen van alle vier gemeenten zich bewust zijn van het belang van de thema’s informatiebeveiliging en privacybescherming. Maar de meesten van hen kennen niet de eerdergenoemde 10 bestuurlijke principes voor informatiebeveiliging van de VNG, en laten zich daar niet door leiden in hun werk. De portefeuillehouders geven aan de wettelijke vereisten, dat wil zeggen de BIO en de AVG, als leidend te beschouwen, maar zij geven daarbij aan zelf geen scherp beeld te hebben in hoeverre de gemeente daar inmiddels aan voldoet. De portefeuillehouders geven aan dat zij geen regulier overleg over informatiebeveiliging en privacybescherming met de verantwoordelijke ambtenaren op strategisch niveau (FG en CISO) hebben, maar hen regelmatig spreken. In het algemeen wachten zij af totdat deze functionarissen ‘aan de bel trekken’ en zij vertrouwen in belangrijke mate op hun inzichten en prioritering van wat er moet gebeuren. In het onderzoek is onvoldoende systematisch materiaal verzameld over de vraag of van ambtelijke zijde dat vertrouwen ook zo wordt beleefd. De portefeuillehouders voelen zich verantwoordelijk voor de informatievoorziening aan hun gemeenteraad, en hebben goed zicht op de mate waarin en de manier waarop de raad betrokken is bij de beide onderwerpen.

De bestuurlijke praktijk op regionaal niveau De gemeenten in het Rijk van Nijmegen hebben zoals gezegd hun ICT-taken belegd bij iRvN, één van de modules van de Modulaire Gemeenschappelijke Regeling (MGR) Rijk van Nijmegen. Er is bewust gekozen voor gemeenschappelijkheid op dit gebied, omdat “de structuur van een Gemeenschappelijke Regeling waarborgen geeft voor de gemeenschappelijke belangenafweging ten behoeve van alle deelnemers. In de samenstelling van Algemeen Bestuur (AB) en het Dagelijks Bestuur (DB), alsook in de verantwoordelijkheid van deze twee bestuursorganen zit de waarborg dat iRvN daadwerkelijk blijft functioneren binnen de opdracht om het beheer van de regionale ICT-infrastructuur op basis van gemeenschappelijkheid (harmonisatie en standaardisatie) te optimaliseren” 61. Aangetekend moet worden dat de gemeenten slechts in beperkte mate hun beleid op dit gebied hebben geharmoniseerd. In paragraaf 3.2 over afspraken tussen de gemeenten en iRvN is dit al toegelicht. De besluitvorming binnen de MGR vindt plaats in het AB. Op dit moment bestaat het AB uit burgemeesters en wethouders uit de deelnemende gemeenten met in hun portefeuille Werk, ICT of iets anders. In de praktijk vergadert het AB zo’n vier tot vijf keer per jaar. De vergaderingen van het AB zijn openbaar. De ICT-module (iRvN) stond in 2020 en 2021 slechts twee keer als specifiek punt op de agenda 62.