5. Rekenkameronderzoek Weten wat je moet weten - Rapport Berg en Dal

Naast het AB kent de MGR ook een DB. Het DB heeft een portefeuillehouder voor ICT. In de vorige raadsperiode was dat een wethouder van de gemeente Wijchen. Deze overlegt in principe eenmaal per zes weken met de directeur van iRvN. Omdat de DB-vergaderingen niet openbaar zijn, weten we niet of en hoe ICT en iRvN daar vaak aan de orde komen. De DB-besluiten uit 2020 en 2021 die openbaar gemaakt zijn, gingen niet over ICT of iRvN.

61

Bron: Basisafspraken ICT-diensten Deelnemers MGR – iRvN (versie 2021).

62

Het ging om: Voortgang evaluatie en toekomst iRvN / ICT-dienstverlening (8 juli 2021) en Voortgang onderzoek iRvN en

taakstelling iRvN (1 oktober 2020). Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 41

Weten wat je moet weten

De MGR kent verder één adviescommissie, de Agendacommissie, bestaande uit raadsleden uit de deelnemende gemeenten. De Agendacommissie heeft tot taak de politieke besluitvorming door de raden te faciliteren. De agendacommissie vergaderde in 2020 en 2021 zeven, respectievelijk zes keer. Informatiebeveiliging en privacybescherming stonden nooit als specifiek punt op de agenda. Wel is de commissie eind 2021 mondeling geïnformeerd over het proces van de evaluatie van en advisering over de ICT-samenwerking in de regio. De portefeuillehouders ICT uit de deelnemende gemeenten kwamen tot voor kort gemiddeld twee keer per jaar bij elkaar voor overleg. Recentelijk is de frequentie van overleg toegenomen, mogelijk naar aanleiding van het in 2021 verschenen adviesrapport over de ICT-samenwerking in de regio. In het portefeuillehoudersoverleg ICT worden formeel geen besluiten genomen. Dat ICT of iRvN zelden op de AB-agenda staat, komt overeen met het beeld dat uit de interviews met de portefeuillehouders oprijst. Die geven aan dat ICT en iRvN niet als een politiek belangrijk onderwerp worden beschouwd. De bestuurlijke aandacht binnen de MGR gaat vooral uit naar het Werkbedrijf, de andere module van de MGR. Dit beeld wordt ook bevestigd door de afspraken die er tussen de gemeenten en iRvN zijn gemaakt.

Daaruit blijkt dat er voor iRvN geen aparte bestuurscommissie is ingesteld omdat, zo staat in de Basisafspraken, iRvN “actief is op een aspect van de (ondersteuning) van de bedrijfsvoering van de deelnemende partijen en niet op een beleidsveld”. Om deze reden is er voor gekozen het opdrachtgeverschap voor iRvN bij de gemeentesecretarissen neer te leggen. Maar uit het adviesrapport over de ICT-samenwerking in de regio blijkt dat “in de praktijk geen invulling wordt gegeven aan de opdrachtgevende functie van de gemeentesecretarissen. Besluiten worden meestal door de hoofden bedrijfsvoering genomen (…). Het hoofden bedrijfsvoerings-overleg blijkt daarmee een cruciale schakel in het doorzetten van adviezen en besluiten, terwijl er geen duidelijke link met het AB en DB is” 63. De governance op regionaal niveau is dus niet goed geregeld. Het gebrek aan bestuurlijke aandacht heeft gevolgen voor de dagelijkse praktijk van de samenwerking en afstemming tussen de gemeenten en iRvN. Het zorgen voor duidelijkheid en heldere kaders is een verantwoordelijkheid van de gemeentebestuurders. In het eerdergenoemde adviesrapport staat de in dit verband relevante passage: “Bestuurlijke borging van gemaakte keuzes m.b.t. inhoudelijke vraagstukken ontbreekt vaak.

De vraagstukken worden relatief technisch aangevlogen (soms moet dit ook) terwijl soms bestuurlijke keuzes (nog) gemaakt moeten worden, maar natuurlijk ook omdat (zoals hiervoor beschreven) de tactische en strategische kaders eenvoudigweg ontbreken. Daarnaast worden bestuurders beperkt meegenomen in de I&A-ontwikkelingen en geven geïnterviewden aan dat het kennisniveau van bestuurders op het gebied van ICT en digitalisering niet toereikend is om de consequenties te bepalen van beleidskeuzes.” Deze tekst sluit naadloos aan bij de constateringen eerder in dit rapport, in paragraaf 3.2 over de afspraken en taakverdeling tussen de gemeenten en iRvN. Daaruit bleek al dat er onduidelijkheden (‘grijze gebieden’)

63

PWC Accountants, ‘Evaluatie ICT Rijk van Nijmegen en de I&A-samenwerkingspartners, met het oog op de toekomst’,

september 2021, p. 18. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 42

Weten wat je moet weten

zijn in de onderlinge taakverdeling, en dat de ontbrekende gemeentelijke (beleids)kaders het werk er voor iRvN niet gemakkelijker op maken. Aanbevelingen 14. Besteed meer bestuurlijke aandacht aan informatiebeveiliging en privacybescherming in de gemeente Vraag het college – in lijn met VNG-resolutie 2021 en de 10 bestuurlijke principes voor informatiebeveiliging om de portefeuilles informatiebeveiliging en privacybescherming voldoende gewicht te geven en systematisch aandacht te besteden in de collegevergaderingen aan zaken zoals risico’s, beleid, prioritering, benodigde middelen, jaarplannen, monitoring, voortgangs- en verantwoordingsrapportages en de eigen bewustwording. Het is verstandig regelmatig de CISO en FG uit te nodigen voor een toelichting. 15. Besteed meer bestuurlijke aandacht aan informatiebeveiliging en privacybescherming in de regio Versterk en verduidelijk de governance op regionaal niveau. Vraag het college om in MGR-verband voldoende gewicht te geven aan de rol van IRvN bij de informatiebeveiliging in de gemeenten (en bij iRvN zelf). Dat betekent periodieke aandacht in het AB en in de Agendacommissie van de MGR voor informatiebeveiliging, zowel als het gaat om beleidsplan en jaarplannen (Plan) en rapportages (Check).

Ook (of: juist) als de aansturing van iRvN bij de gemeentesecretarissen en/of hoofden bedrijfsvoering ligt, zorg dan voor noodzakelijke bestuurlijke besluitvorming in het AB. Vraag aan het college om de instelling van een aparte bestuurscommissie voor iRvN in het AB van de MGR te overwegen. Het voordeel van een bestuurscommissie ten opzichte van het werken in het portefeuillehoudersoverleg ICT is immers dat op deze manier de besluitvorming bestuurlijk is ingebed in de MGR, transparanter is en meer garanties geeft voor betrokkenheid van de gemeenteraden. Vraag het college de raad te informeren over de gehanteerde afwegingen en besluitvorming.

3.9

WETEN HOE JE STUURT EN CONTROLEERT: DE ROL VAN DE GEMEENTERAAD

Behalve op de vraag wat de colleges doen, heeft dit rekenkameronderzoek zich ook welbewust gericht op de gemeenteraden. De doelstelling van het onderzoek was tweeledig: •

Voor de gemeenteraden inzichtelijk maken hoe de informatiebeveiliging en privacybescherming door hun eigen gemeente ervoor staat, en hoe daaraan wordt gewerkt in hun gemeente 64;

•

De gemeenteraden ondersteunen bij de kaderstelling en controle op dit vlak. Een belangrijke voorwaarde voor een goede rolvervulling is de informatievoorziening door het college.

In dit hoofdstuk gaan wij nader in op deze tweede doelstelling. We beantwoorden drie vragen: 1. Wat is in het algemeen de rol van een gemeenteraad op de terreinen informatiebeveiliging en privacybescherming?

64

Zie hiervoor de paragrafen 3.2 tot en met 3.8. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 43

Weten wat je moet weten

2. Op welke wijze verloopt in de praktijk het proces van kaderstelling en controle door de gemeenteraad t.a.v. informatiebeveiliging en privacybescherming? Op welke wijze faciliteert het college de kaderstelling en controle door de gemeenteraad, met name qua informatievoorziening aan de raad? 3. Zijn er elders in het land relevante best practices ten aanzien van een goed verlopend proces van kaderstelling en controle door de gemeenteraad op dit gebied, en wat zijn de belangrijkste lessen die daaruit kunnen worden geleerd? Wat is de rol van een gemeenteraad? Voordat we toekomen aan de bevindingen van het onderzoek, moet de vraag worden beantwoord welke rol een gemeenteraad eigenlijk heeft op de terreinen informatiebeveiliging en privacybescherming. Deze vraag wordt door betrokkenen in en om het lokaal bestuur verschillend beantwoord, zo hebben de rekenkamers gemerkt. Desalniettemin zijn er enkele duidelijke uitgangspunten. Rollenscheiding college-raad De rollenscheiding tussen raad en college betekent dat het college (samen met de ambtelijke organisatie) belast is met het dagelijks bestuur in de gemeente. De gemeenteraad is het hoogste orgaan van de gemeente, en stelt de kaders waarmee het college van B&W moet werken (kaderstellende rol). Met ‘de kaders’ bedoelen we de lokale regelgeving, de hoofdlijnen van beleid en de financiële kaders.

De tweede hoofdtaak van de gemeenteraad is het controleren van het bestuur (controlerende rol). De vastgestelde kaders zijn daarbij een uitgangspunt, maar de raad controleert het college in brede zin, dus op alle onderdelen van het gevoerde bestuur inclusief de uitvoering. Raad ook verantwoordelijk voor informatiebeveiliging en privacybescherming Informatiebeveiliging en privacybescherming worden in de gemeentelijke praktijk vaak onder bedrijfsvoering geschaard. Dat betekent niet dat de gemeenteraad zich er niet mee bezig mag of moet houden. Dat is een vaak gehoord misverstand. Het tegendeel is waar: samen met het college is de raad verantwoordelijk voor een goede en stabiele dienstverlening aan burgers en bedrijven, voor goed en stabiel bestuur door de gemeente en voor bescherming van de gegevens van burgers. De rollenscheiding tussen college en raad betekent wel dat de gemeenteraad niet beslist over de uitvoering van beleid en de bedrijfsvoering. Maar in zijn controlerende rol kan de raad daar altijd naar vragen en een oordeel over vellen. En de raad moet ook goed worden geïnformeerd over de uitvoering van beleid en de bedrijfsvoering, om te kunnen controleren of het goed gaat. Dat geldt bij uitstek voor de belangrijke onderwerpen informatiebeveiliging en privacybescherming, omdat die rechtstreeks van belang zijn voor de inwoners.

Geen gemakkelijke taak voor de raad Omdat de gemeenteraad uiteindelijk verantwoording verschuldigd is aan de inwoners over het gevoerde bestuur, moet hij serieus invulling geven aan zijn kaderstellende en controlerende rol. Dat is geen gemakkelijke opgave op de terreinen informatiebeveiliging en privacybescherming: het betreft ingewikkelde, deels specialistische en technische materie, waarvan de meeste raadsleden geen verstand hebben. Net als de meeste bestuurders overigens, maar dat terzijde. Toch moet de raad het bestuur namens de inwoners hierop controleren. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 44

Weten wat je moet weten

Dat betekent dat de gemeenteraad zich moet (laten) informeren over de ‘basics’ op het terrein van informatiebeveiliging en privacybescherming, om te kunnen begrijpen wat er nodig is. En vervolgens is goede informatievoorziening nodig over de wijze waarop de gemeente hiermee in de praktijk omgaat. Die informatie moet worden geleverd door het college. Het college is verplicht om dat te doen in het kader van de P&Ccyclus en de ENSIA-rapportage (zie voor een uitgebreidere toelichting paragraaf 3.6). Het verplichte deel daarvan is echter beperkt, en biedt in kale vorm onvoldoende informatie voor gemeenteraden. De gemeenteraad doet er goed aan om in overleg te gaan met het college hoe hij (nader) wil worden geïnformeerd. De praktijk: de rol van de raad en de informatievoorziening In de gemeente Berg en Dal vult de gemeenteraad zijn kaderstellende rol vrij passief in. Het beleid op het gebied van informatiebeveiliging en privacybescherming wordt niet door de raad vastgesteld. De kaderstelling door de gemeenteraad verloopt vooral via de gemeentelijke begroting. In de paragraaf ‘Bedrijfsvoering’ wordt de raad geïnformeerd over de voornemens op beide terreinen. De doelstellingen zijn algemeen geformuleerd, en daarnaast worden enkele concrete voornemens benoemd.

Zo staat er in de begroting voor 2022: “In 2022 besteden we extra aandacht aan de doorontwikkeling van de functionaliteit veilig mailen”. Er worden geen doelstellingen geformuleerd waarmee de raad het college bij de jaarstukken daadwerkelijk kan controleren. Bij de raadsbehandeling van de begroting wordt soms door de raad naar informatiebeveiliging en privacybescherming gevraagd, zoals in het najaar van 2021 het geval was. Voor de controlerende rol van de raad geldt dat die ook vrij passief is. Controle verloopt in het algemeen enkel via de reguliere P&C-cyclus. De informatievoorziening is beperkt en maakt een goede controle niet echt mogelijk. In de paragraaf ‘Bedrijfsvoering’ van de jaarstukken wordt de raad geïnformeerd over beide terreinen. Net als voor de begroting geldt dat de tekst enerzijds uiterst algemeen is, zoals zichtbaar wordt in deze passage uit de jaarstukken 2020: “We blijven er alert op dat we de juiste gegevens gebruiken en niet meer dan nodig. Deze gegevens beveiligen we goed. We houden hierbij de actuele ontwikkelingen in het oog”. Anderzijds worden enkele ontwikkelingen en activiteiten geschetst, bijvoorbeeld over de extra inzet op bewustwording onder medewerkers. Er wordt niet expliciet teruggegrepen op in de begroting gestelde doelen. Bij de behandeling van de jaarstukken wordt hier in het algemeen niet of nauwelijks door de raad naar gevraagd.

De gebruikelijke jaarlijkse verantwoordingsrapportages op het gebied van informatiebeveiliging (ENSIA) en privacybescherming worden door het college vastgesteld maar niet aan de raad ter beschikking gesteld. Behalve de gemeentelijke P&C-cyclus is er ook nog die van de MGR, waar iRvN onder valt. Bij de behandeling van de begroting en jaarstukken van de MGR in de raad wordt niet over informatiebeveiliging en privacybescherming gesproken. In de gemeenteraad wordt, los van de behandeling van de jaarstukken, niet over het thema informatiebeveiliging en privacybescherming gesproken, anders dan heel af en toe een raadsvraag over landelijke incidenten. In 2020 en 2021 hebben de CISO en de FG aan de raad voorgesteld om een Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 45

Weten wat je moet weten

informatieavond over informatiebeveiliging en privacybescherming in te vullen; de raad is hier niet op ingegaan. Deze bevindingen zijn in lijn met wat de rekenkamercommissie in een recent rapport over bedrijfsvoering in Berg en Dal 65 concludeerde: “De gemeenteraad wordt in de P&C-documenten ‘op de hoogte gehouden’ van de voornemens en de ontwikkelingen. In hoeverre er daadwerkelijk sprake is van voortgang (ten aanzien van de organisatiekoers) is aan de hand daarvan nauwelijks te bepalen. (…). In de praktijk lijkt dat vooralsnog voor de gemeenteraad geen aanleiding om daarover vragen te stellen dan wel kaders bij te stellen. De gemeentelijke bedrijfsvoering lijkt, zowel wat betreft de formele kaderstelling als (formele) controle, op relatief grote afstand te staan van de gemeenteraad. Wel wordt de gemeenteraad met enige regelmaat door het college van B&W informeel over de bedrijfsvoering geïnformeerd”. Goede voorbeelden elders In diverse gemeenten is de afgelopen jaren actief gezocht naar manieren om enerzijds de raad beter te informeren over informatiebeveiliging en privacybescherming, en anderzijds om als raad een actievere rol te spelen in de kaderstelling en controle. Nergens gaat dat zonder problemen, maar we beschrijven enkele voorbeelden waar (kleine) stappen zijn gezet. •

Den Haag: Het college legt de keuze voor de inrichting van de Agenda Digitaal Veilig Den Haag (2022) nadrukkelijk bij de gemeenteraad neer. Het college doet dit, omdat ‘het een politieke keuze is of het een kerntaak van de gemeente is om de regie te nemen op de digitale veiligheid van de stad. Het is aan de raad daarover een uitspraak te doen en de inzet en ambitie te bepalen’. Het college helpt de raad bij het maken van die keuze door onder meer drie voorbeeldscenario’s uit te werken.

•

’s Hertogenbosch: Naar aanleiding van een onderzoek naar informatiebeveiliging heeft de rekenkamer een datawijzer voor de gemeenteraad opgesteld. De datawijzer is een hulpmiddel voor raadsleden om bij raadsvoorstellen waarbij digitale technologie aan de orde is de goede vragen te kunnen stellen en tot een goed afgewogen en onderbouwd besluit te komen.

•

Rotterdam: Nadat de Rekenkamer Rotterdam onderzoek had gedaan naar informatiebeveiliging in 2017 heeft het college een Plan van Aanpak opgesteld om tot verbetering te komen. Op basis daarvan heeft de raad extra budget en capaciteit beschikbaar gesteld. Het college heeft de raad vervolgens vier jaar lang elk half jaar geïnformeerd over de voortgang van de uitvoering van het Plan van Aanpak.

•

Hilversum: de FG stelt jaarlijks een compact jaarverslag op. De kern hiervan vormen de ‘bestuurlijke ontwikkellijn’ en de ‘ontwikkellijn per aandachtsgebied’. Aan de hand van een compacte set prestatieindicatoren en met behulp van symbolen wordt voor beide lijnen op één A4 inzichtelijk gemaakt hoe ver de gemeente is. Daarbij geeft de FG ook steeds een advies. Aan de hand van de scores op de bestuurlijke ontwikkellijn, drukt de FG in één cijfer uit of de sturing op niveau is en, zolang dat nog niet zo is, of er een (voldoende) stijgende lijn te zien in. De gemeenteraad bespreekt het jaarverslag. Het jaarverslag is opgenomen in bijlage 6.

•

Amersfoort: in de gemeente Amersfoort wordt een ENSIA-verantwoording van het college aan de raad ontwikkeld, waarin onder andere de stand van zaken voor de verschillende BIO-domeinen en de landelijke

65

Bedrijfsvoering in beeld, p.17 (26 juni 2021). Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 46

Weten wat je moet weten

voorzieningen met behulp van indicatoren en symbolen wordt toegelicht. Op dit moment (1 juli 2022) is deze nog niet openbaar. •

Diverse gemeenteraden geven specifiek opdracht aan de accountant om bij zijn jaarlijkse controle aandacht te besteden aan (de voortgang van) de uitvoering van IT-beheersmaatregelen. Zij laten daarover rapporteren in de boardletter en/of laten zich mondeling door de accountant informeren. De gemeenteraden gebruiken deze informatie voor het voeren van gesprekken met het college, maar ook voor het geven van concrete opdrachten om tot verbetering van de informatiebeveiliging te komen. Voorbeelden: gemeente Nijmegen en Provinciale Staten van Gelderland.

Aanbevelingen 16. Stel als raad het beleid voor informatiebeveiliging en privacybescherming vast Vraag het college om het strategisch beleid voor informatiebeveiliging en privacybescherming ter besluitvorming aan de raad voor te leggen. De raad moet die documenten dan ook agenderen, en de gelegenheid aangrijpen om zich te laten informeren (zie hieronder). 17. Laat je als raad informeren en ondersteunen Neem als raad zelf het initiatief om je te laten informeren over het belang en de ‘basics’ van goede informatiebeveiliging en privacybescherming. Doel is om in de daaropvolgende jaren beter te weten waar je op moet letten en naar moet vragen. Nodig het college en ook de CISO en FG voor zo’n sessie uit. Ook een externe deskundige die meedenkt over het soort vragen dat je moet stellen, kan nuttig zijn. Gezien de snelle ontwikkelingen in risico’s, dreigingen en techniek, is het verstandig dergelijke sessies met enige regelmaat te organiseren, al dan niet ter voorbereiding op de behandeling van voorstellen of verantwoordingsrapportages die door het college worden voorgelegd. Waarom hier niet een regionaal initiatief van maken? 18. Richt als raad je controlerende rol beter in Vraag de griffie om in een beknopte nota vast te leggen: •

waarover je als raad wilt worden geïnformeerd: de stand van zaken rond doelen, risico’s en maatregelen, de resultaten van testen en toetsen, de toereikendheid van middelen, etc.

•

op welke manier je als raad wilt worden geïnformeerd: enkel via de P&C-cyclus, of ook via periodieke informatiebrieven of voortgangsrapportages, via de auditcommissie (desnoods in beslotenheid), etc.

•

dat je in ieder geval de jaarlijkse rapportages (ENSIA, privacyjaarverslag) wilt ontvangen en dat die moeten worden voorzien van een begeleidende toelichting. Voor beide rapportages geldt dat daarin inhoudelijk moet worden gerapporteerd op het voldoen aan de vereisten: voor informatiebeveiliging (ENSIA) zijn dat de BIO-normen en voor privacybescherming de AVG. Verwijs in de nota bijvoorbeeld naar het goede voorbeelden in Hilversum.

•

hoe je als raad die informatie agendeert en behandelt, en hoe je de vinger aan de pols houdt. Overweeg om een externe toets of second opinion te vragen, of een adviseur in te schakelen.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 47

Weten wat je moet weten

19. Overweeg de accountant de opdracht te geven voor een IT-audit De gemeenteraad is opdrachtgever van de accountant. Overweeg vanuit die rol de accountant een IT-audit te laten uitvoeren. Maak bij het formuleren van die opdracht gebruik van de ervaringen die de raad van Nijmegen hiermee de afgelopen vier jaar heeft opgedaan. Vraag de accountant om consistente rapportages, zodat je als raad van jaar tot jaar kunt zien of aanbevelingen al dan niet zijn opgevolgd. 20. Overweeg als raden een regionale aanpak Versterk elkaar als raden en stel bijvoorbeeld een regionale raadswerkgroep in, of gebruik de agendacommissie van de MGR daarvoor. Zo’n gezelschap wordt dan de voorhoede van de gemeenteraden, en de leden ervan houden hun eigen raad goed op de hoogte. Organiseer in die werkgroep de onderlinge uitwisseling en kennisvermeerdering, en stem bijvoorbeeld de controle-activiteiten richting de colleges met elkaar af.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 48

Weten wat je moet weten

4. REACTIES COLLEGE VAN B&W EN DAGELIJKS BESTUUR MGR In het kader van hoor- en wederhoor zijn het College en het Dagelijks Bestuur van de Modulaire Gemeenschappelijke Regeling Rijk van Nijmegen in de gelegenheid gesteld te reageren op het rapport, in het bijzonder de aanbevelingen. De reacties zijn opgenomen in dit hoofdstuk. Reactie College

Geachte meneer Smeets, mevrouw Peters, heer Backus en heer Krale, Bedankt voor het rapport naar informatiebeveiliging en privacybescherming in de gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen in samenwerking met IRvN. Wij hebben dit in goede orde ontvangen. Belang van informatieveiligheid en privacy De gemeente Berg en Dal wil een betrouwbare partner zijn en blijven voor inwoners, bedrijven en andere partners. Informatiebeveiliging en privacy zijn daarbij van groot belang. Enkel als wij op een juiste en veilige manier informatie verwerken, kunnen wij optimale dienstverlening bieden. We onderschrijven dan ook ten zeerste het belang van de juiste informatiebeveiliging en privacybescherming. Het door u uitgevoerde onderzoek geeft inzicht in de verbeterpunten op dit gebied en helpt ons zo om verdere prioriteiten te stellen en te blijven ontwikkelen. Regionale reactie U ontvangt van de colleges van Berg en Dal, Beuningen, Nijmegen en Wijchen bestuurlijke reacties. Iedere gemeente reageert zelfstandig, maar heeft het algemene gedeelte met elkaar afgestemd. Hieronder is de reactie van de gemeente Berg en Dal weergegeven. In bijlage 2 treft u een algemene bestuurlijke reactie namens alle eerder genoemde gemeenten. Aanbevelingen voor Berg en Dal U geeft de gemeenteraad van Berg en Dal 20 aanbevelingen voor verdere versterking van informatiebeveiliging en privacybescherming.

Doordat het onderzoeksmateriaal op basis waarvan deze aanbevelingen geformuleerd zijn in 2021 is verzameld, zijn sommige aanbevelingen echter niet meer actueel. Omdat op deze punten al actie ondernomen is die niet bekend is bij de onderzoekers. Deze noemen wij hieronder: Aanbeveling 1: Zorg voor heldere afspraken tussen de gemeenten en iRvN over informatiebeveiliging. Gedurende de doorlooptijd van dit rekenkameronderzoek, is ook het evaluatierapport naar de ICTfunctie in de regio Rijk van Nijmegen afgerond en vastgesteld. Op basis van deze evaluatie is al besloten om de samenwerkingsafspraken tussen de gemeenten onderling en met iRvN nader uit te werken. Het begin hiervoor is al gemaakt. De extra aanbeveling uit uw onderzoek nemen we uiteraard mee in de vervolgstappen. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 49

Weten wat je moet weten

Aanbeveling 4: Werk zo snel mogelijk de belangrijkste ontbrekende onderdelen van het beleid uit. In het rapport geeft u terecht aan dat nog niet alle nodige onderdelen van het informatiebeveiligingsbeleid en privacybeleid zijn uitgewerkt en vastgesteld. Wel zijn hier gedurende de doorlooptijd van dit onderzoek al verschillende stappen in gezet: -

Een conceptversie van het beleid voor telewerken is gemaakt. Dit wordt momenteel uitgewerkt in een definitief beleid dat ter vaststelling kan worden voorgelegd.

-

Er is een verplichte awareness training voor medewerkers opgezet.

-

Er is gestart met een nieuw beleid voor toegangsbeveiliging en de bijbehorende procedures.

-

Er is een regionale ICT-crises procedure vastgesteld. Deze is al toegepast bij een regionale ICTcrisis en wordt momenteel op basis van deze ervaringen geëvalueerd.

-

Er zijn verdere regionale afspraken gemaakt voor de omgang met mobiele apparatuur. Deze worden nu verder uitgewerkt in vast te stellen beleid en procedures.

Aanbeveling 7: Ga systematisch DPIA’s uitvoeren. Afgelopen jaar is al in kaart gebracht wat de meest noodzakelijke DPIA’s zijn in het komende jaar en is op basis van de aanwezige middelen geprioriteerd in de planning. Dit kan nog verder versterkt worden door dit in de toekomst ook vast te leggen in een jaarplan. Aanbeveling 13: Zet volop en systematisch in op bewustwording Bewustwording dient doorlopend en systematisch aandacht te krijgen. Afgelopen jaar zijn hier stappen in gezet door awareness voor informatiebeveiliging en privacy op te nemen in het inwerkprogramma (onboarding proces). Dit is een verplicht onderdeel voor elke (nieuwe) medewerker in de gemeente Berg en Dal. Aanbeveling 14 en 15: Besteed meer bestuurlijke aandacht aan informatiebeveiliging en privacybescherming in de gemeente en in de regio. Met dit rekenkameronderzoek en rapport is een eerste stap gezet om bestuurlijk meer aandacht te besteden aan informatiebeveiliging en privacybescherming. Ook is in het inwerkprogramma van het nieuwe college expliciet aandacht besteed aan het belang van deze onderwerpen. Aanbeveling 19: Overweeg de accountant de opdracht te geven voor een IT-audit. Tijdens onze jaarlijkse accountscontrole is in 2021 ook een IT-audit uitgevoerd. Dit was nog niet bekend ten tijde van het verzamelen van het onderzoeksmateriaal voor dit rapport.

Het is aan de gemeenteraad, als opdrachtgever van de accountant, om te bepalen of deze eerste IT-audit in 2021 het startpunt vormt voor een jaarlijkse of met andere regelmaat periodiek ITaudit. Verdere versterking in de toekomst Hoewel er sinds de uitvoering van dit onderzoek al stappen gezet zijn, blijft de noodzaak om te blijven werken aan verdere versterking van onze informatiebeveiliging en privacybescherming bestaan. We zullen dit rapport inclusief de aanbevelingen dan ook gebruiken voor de verdere ontwikkeling van Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 50

Weten wat je moet weten

informatiebeveiliging en privacy de komende jaren. Daarbij moeten wij wel keuzes maken wat wanneer opgepakt kan worden, aangezien de aanbevelingen te veelomvattend zijn om allemaal direct aan te pakken. Uiteraard prioriteren we onze plannen op basis van de grootste risico’s. Tot slot Rest ons u te bedanken voor dit onderzoek, het rapport en de aanbevelingen. Hoogachtend, Burgemeester en wethouders van Berg en Dal, De secretaris E.W.J. van der Velde

De burgemeester Mr. M. Slinkman

Bijlage bij de reactie van het College Geachte meneer Smeets, mevrouw Peters, heer Backus en heer Krale, Op 20 mei 2022 zond u ons het rapport van de rekenkamer(commissie)s van Berg en Dal, Beuningen, Nijmegen en Wijchen naar informatiebeveiliging en privacybescherming in de regio. Met de toezending stelt u ons in de gelegenheid om een bestuurlijke reactie te geven. Van die gelegenheid maken wij graag gebruik. Onze reactie vindt u in deze brief. Het onderwerp op de agenda Als gemeente hebben we een grote verantwoordelijkheid in het zorgvuldig omgaan met persoonsgegevens en informatie. Door de groei aan digitale producten en diensten neemt de potentiële digitale kwetsbaarheid toe. We willen een betrouwbare overheid zijn. Gezien het grote belang van dit onderwerp zijn wij dan ook blij met het uitgebreide en grondige onderzoek dat u heeft uitgevoerd. Daarmee wordt immers eens te meer helder hoe belangrijk informatiebeveiliging en privacybescherming zijn en dat deze onderwerpen hoog op de agenda moeten staan. De uitkomsten Het beeld dat uit de bevindingen en aanbevelingen naar voren komt, herkennen wij. We werken aan informatiebeveiliging en privacybescherming vanuit dezelfde kaders en regelgeving als die de onderzoekers hebben gehanteerd, en de zaken waar we getuige het rapport aandacht aan moeten besteden, komen hieruit voort en stonden al op ons netvlies.

Dit rapport voegt urgentie en prioriteit toe. Het stelt ons in staat om op basis van toetsing en resultaten onze plannen en acties voor de toekomst in samenhang te bezien, bij te stellen en bespreekbaar te maken. Uw oproep om steviger in te zetten op regionale samenwerking als het gaat om informatiebeveiliging en privacybescherming, nemen wij graag ter harte. We zullen onze gemeenteraad uiteraard meenemen in onze reactie op uw rapport. Daarbij gaan wij in op uw aanbevelingen, de acties die we al ondernomen hebben, hoe we in Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 51

Weten wat je moet weten

de toekomst verder werken aan informatiebeveiliging en privacybescherming en wat daarvoor nodig is. Helder en doelgericht Om samen op een goede manier aan informatiebeveiliging en privacybescherming te kunnen blijven werken, moeten raad, college en ambtelijke organisatie de risico’s en kwetsbaarheden kennen. Het gaat hier echter ook om complexe en technische onderwerpen. Doordat het rapport helder en toegankelijk is, stelt het ons in staat om onze kennis te vergroten en doelgericht in gesprek te gaan met alle betrokkenen. Accenten leggen Samenvattend beschouwen we het feit dat dit onderzoek is gedaan als een steun in de rug. Want we werken al intensief aan informatiebeveiliging en privacy, en we merken dat de regelgeving, de toenemende complexiteit en de snelle ontwikkelingen om stevige inspanningen vragen. De uitkomsten van dit rapport stellen ons in staat om in de bestaande agenda verdere prioriteiten te stellen en accenten te leggen. Dit gaan we als college samen met onze raad, ambtelijke organisatie en andere betrokkenen oppakken. Enkele opmerkingen Onderzocht is de aanwezigheid van (vastgestelde) documentatie en de bevindingen in uw rapport gaan dus ook daarover. Dat betekent niet dat er in de praktijk niet wordt gehandeld conform de afspraken en de bedoeling daarvan.

Met andere woorden: sommige zaken doen we al gestructureerd, maar zijn nog niet als zodanig gedocumenteerd. Waar relevant zullen wij dit nader duiden richting de gemeenteraad. Verder merken we op dat het onderzoek is gehouden in de maanden juli tot en met oktober 2021 en dat we uiteraard niet stil hebben gezeten. We hebben sindsdien alweer diverse acties ondernomen als het gaat om informatiebeveiliging en privacybescherming. Sommige aanbevelingen zijn daarmee inmiddels achterhaald. Ook dit zullen wij nader duiden richting de gemeenteraad. Gedurende de doorlooptijd van het Rekenkameronderzoek is ook het evaluatierapport naar de ICTfunctie in de regio Rijk van Nijmegen afgerond en vastgesteld. iRvN heeft en houdt de opdracht om verantwoordelijk te zijn voor de technische aspecten van informatiebeveiliging, de gemeenten zijn verantwoordelijk voor de inhoudelijke, beleids- en procesmatige aspecten ervan. Het rekenkameronderzoek wijst op de overlap (of ‘het grijze gebied’) tussen beide en die oproep is nadrukkelijk gehoord en wordt vertaald in nadere samenwerkingsafspraken tussen de gemeenten onderling en met iRvN. Tot slot Rest ons u te danken voor het onderzoek, het rapport en de manier waarop u dit heeft voorbereid en uitgevoerd.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 52

Weten wat je moet weten

Reactie Dagelijks Bestuur MGR Rijk van Nijmegen

Beste leden van de Regionale Rekenkamers, Op 20 mei jl. hebben wij het rapport ‘Weten wat je moet weten’ van u ontvangen. Aanleiding van het rapport is het onderzoek naar informatiebeveiliging en privacybescherming binnen het ICT-samenwerkingsverband. U heeft ons om een reactie op het rapport gevraagd. Hierbij vindt u onze reactie ten aanzien van de onderdelen in het rapport, die betrekking hebben op de module iRvN van de MGR. Binnen het ICT-samenwerkingsverband is de module iRvN van de MGR een uitvoeringsorganisatie voor alles wat te maken heeft met het beheer en de zo veilig mogelijke verwerking van gemeentelijke gegevens binnen een gedeelde regionale infrastructuur. iRvN doet dit op één manier die voor alle deelnemende gemeenten van de MGR hetzelfde is. In uw rapport doet u - in paragraaf 3.2 ‘Weten wie wat doet: taakafbakening en afspraken gemeenten-iRvN’ en paragraaf 3.8 ‘Weten dat je verantwoordelijk bent: bestuurlijke verantwoordelijkheid en commitment’ – aanbevelingen, richting iRvN. Wij nemen deze aanbevelingen ter harte. In paragraaf 3.2 gaat het om de aanbevelingen: 1. Zorg voor heldere afspraken tussen de gemeenten en iRvN over informatiebeveiliging a. Dit voorkomt risico’s als gevolg van onduidelijkheid hierover, en stelt iRvN in staat de gemeenten beter en efficiënter te ondersteunen.

Vraag het college over een jaar te rapporteren, liefst op basis van een extern onderzoek. b. Vraag het college om in MGR-verband een meerjarenbeleidsplan voor de ICT-module op te stellen met daarin duidelijke doelstellingen. Vraag het college dit beleidsplan op hoofdlijnen uit te werken in een (meerjaren)uitvoeringsprogramma, waarin wordt ingegaan op de benodigde inspanningen door zowel iRvN als de gemeenten. Bijzondere aandacht verdient daarbij het opstellen van de tot nu toe ontbrekende (beleids)kaders voor informatiebeveiliging. Overweeg als raad de zienswijzen op dit meerjarenbeleidsplan gezamenlijk met de andere raden voor te bereiden. c. Vraag het college om het dagelijks bestuur van de MGR voortaan, op basis van het meerjarenbeleidsplan en – uitvoeringsprogramma, een jaarlijks uitvoeringsprogramma (collectieve DVO) vast te laten stellen. Vraag het college om het dagelijks bestuur in de jaarstukken verantwoording af te laten leggen over de doelstellingen. Reactie: Een heldere set van afspraken en ICT-doelstellingen ondersteunt iRvN bij een goede uitvoering van de opdracht van de deelnemende gemeenten op het gebied van Informatiebeveiliging en privacybescherming. Op basis van een gemeentelijk meerjarenbeleidsplan en -uitvoeringsprogramma zijn we in staat om een jaarlijks uitvoeringsprogramma te realiseren.

Ons inziens is het noodzakelijk dat we hier spreken van een – zo maximaal op elkaar afgestemd - regionaal beleidsplan en -uitvoeringsprogramma. Voor iRvN is het nl. belangrijk dat de uitvoeringspraktijk voor alle deelnemende gemeenten gelijkwaardig kan en mag zijn. Op deze manier kan iRvN de ondersteuning effectief en efficiënt organiseren. 2. Overweeg om het pad in te slaan van gezamenlijk informatiebeveiligingsbeleid in de regio. Vraag het college om bestuurlijk de discussie aan te gaan om toch tot een gezamenlijk informatiebeveiligingsbeleid in de regio te komen. Voor de hand ligt om iRvN daarvoor te gebruiken: de organisatie staat al, en is bestuurlijk ingebed in de MGR. Een gezamenlijk beleid, waarin onder meer is vastgelegd welk gedeeld volwassenheidsniveau de gemeenten nastreven, is de beste manier om de informatiebeveiliging in onze gemeenten te vergroten en de risico’s te verminderen. Laat je als raad informeren over de mogelijke keuzes en implicaties daarvan. Bij het bepalen van je standpunt hierover kun je je als gemeenteraad extern laten adviseren. Overweeg dat in regionaal verband te doen.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 53

Weten wat je moet weten

Reactie: bij informatiebeveiliging gaat het om de beveiliging van gegevens en systemen: het ervoor zorgen dat de aanwezigheid en beschikbaarheid van gegevens en systemen gewaarborgd is en gegarandeerd is volgens wet- en regelgeving, zoals de Baseline Informatiebeveiliging Overhead (BIO) en de Algemene verordening privacywetgeving (AVG). Bij beveiligingsmaatregelen gaat het er om dat de eventuele gevolgen van beveiligingsincidenten tot een acceptabel, vooraf bepaald niveau beperkt wordt. Om dit niveau te bepalen toetst iRvN nieuwe applicaties aan de BIO en AVG. De informatiebeveiliging is een verantwoordelijkheid van de gemeente zelf. iRvN heeft en houdt de opdracht verantwoordelijkheid te dragen voor de technische aspecten van informatiebeveiliging. De gemeenten zijn verantwoordelijk voor de inhoudelijke, beleids- en procesmatige aspecten ervan. In het rapport wordt melding gemaakt van het risico op overlap (of ‘het grijze gebied’) tussen beide. De oproep tot afstemming c.q. duidelijkheid over de verantwoordelijkheden is nadrukkelijk gehoord en wordt vertaald in nadere samenwerkingsafspraken tussen de gemeenten onderling en met iRvN. Eén allesomvattend regionaal Informatiebeveiligingsbeleid is een uitdagende ambitie.

Voor iRvN is het van belang dat er een regionaal beleid wordt geformuleerd, voor die onderdelen die zijn uitbesteed aan iRvN, waarbij de standaardproducten van de BIO, de Informatiebeveiligingsdienst (IBD) en Vereniging Nederlandse Gemeenten (VNG) als uitgangspunt dienen. iRvN biedt graag haar kennis en ondersteuning aan om te komen tot meer stappen richting een gezamenlijk regionaal informatiebeveiligingsbeleid. Het regionaal informatiebeveiligingsbeleid vormt de basis voor de ‘Basisafspraken ICTdiensten’, waarin de dienstverlening van iRvN aan alle deelnemende gemeenten is vastgesteld. De Basisafspraken worden ook wel de ‘collectieve dienstverleningsovereenkomst’ genoemd. Onderdeel van deze Basisafspraken is een productencatalogus. Daarin is uitgewerkt welke producten en diensten iRvN levert en welke daarvan verplicht of optioneel door de gemeenten worden afgenomen. Wij zullen – in overleg met de deelnemende gemeenten – zorgdragen voor herijking van de Basisafspraken, op grond van het nieuwe (regionaal) informatiebeveiligingsbeleid. In paragraaf 3.8 gaat het om de aanbevelingen: 1. Besteed meer bestuurlijke aandacht aan informatiebeveiliging en privacybescherming in de gemeente.

Vraag het college – in lijn met VNG-resolutie 2021 en de 10 bestuurlijke principes voor informatiebeveiliging - om de portefeuilles informatiebeveiliging en privacybescherming voldoende gewicht te geven en systematisch aandacht te besteden in de collegevergaderingen aan zaken zoals risico’s, beleid, prioritering, benodigde middelen, jaarplannen, monitoring, voortgangs- en verantwoordingsrapportages en de eigen bewustwording. 2. Besteed meer bestuurlijke aandacht aan informatiebeveiliging en privacybescherming in de regio Versterk en verduidelijk de governance op regionaal niveau. Vraag het college om in MGR-verband voldoende gewicht te geven aan de rol van IRvN bij de informatiebeveiliging in de gemeenten (en bij iRvN zelf). Dat betekent periodieke aandacht in het Algemeen Bestuur en in de Agendacommissie van de MGR voor informatiebeveiliging, zowel als het gaat om beleidsplan en jaarplannen (Plan) en rapportages (Check). Ook (of: juist) als de aansturing van iRvN bij de gemeentesecretarissen en/of hoofden bedrijfsvoering ligt, zorg dan voor noodzakelijke bestuurlijke besluitvorming in het AB. Vraag aan het college om de instelling van een aparte bestuurscommissie voor iRvN in het AB van de MGR te overwegen. Reactie op beide aanbevelingen: wij ondersteunen deze aanbevelingen.

Binnen ons bestuur van de MGR maken wij afspraken over een jaarlijks op te stellen uitvoeringsprogramma Informatiebeveiliging (inclusief de Basisafspraken c.q. collectieve DVO), een adequate wijze van monitoring van dit uitvoeringsprogramma en de genomen maatregelen in het kader van privacybescherming. Hierbij betrekken wij de agendacommissie van de MGR.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 54

Weten wat je moet weten

Wij hopen u hiermee voldoende geïnformeerd te hebben, Hoogachtend, Dagelijks Bestuur modulaire gemeenschappelijke regeling Rijk van Nijmegen, De voorzitter,

De secretaris,

Drs. H.M.F. Bruls

J. Hol

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 55

Weten wat je moet weten

5. NAWOORD REKENKAMER(COMMISSIE)S De samenwerkende rekenkamer(commissie)s willen hun tevredenheid uitspreken over de bestuurlijke reacties van de colleges van B&W van Berg en Dal, Beuningen en Nijmegen, en die van het DB van de MGR Rijk van Nijmegen. De reactie vanuit Wijchen is op dit moment (1 juli 2022) nog niet beschikbaar. Uit de bestuurlijke reacties spreekt in grote lijnen herkenning van de uitkomsten en instemming met de aanbevelingen. Het is goed om te lezen dat er de afgelopen maanden al diverse zaken in gang zijn gezet, en dat er ook de komende tijd op veel punten stappen zullen worden gezet in onze gemeenten. We zijn blij dat het rekenkamerrapport daarbij als bruikbaar wordt beschouwd. Wij adviseren onze gemeenteraden om de plannen en uitvoering door hun college actief te volgen de komende tijd, in lijn met de vijf aanbevelingen aan de raad.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 56