Raadsvoorstel Rekenkameronderzoek Informatiebeveiliging en privacybescherming

Raadsvoorstel Onderwerp

Nummer(agenda) Registratienummer Registratiecode Auteur Status Persgesprek

: Rekenkameronderzoek Informatiebeveiliging en privacybescherming : : bb22.00565 *bb22.00565* : Esther Jonkman : Openbaar :

Raadsvergadering

11 oktober 2022

Commissie 1 Datum Commissie 2 Datum B&W-vergadering Portefeuillehouder

S&B 28 september 2022

Daphne Bergman

Samenvatting De vier rekenkamers van de gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen hebben onderzoek gedaan naar de informatiebeveiliging en privacybescherming door deze gemeenten en door IRvN als ondersteuner van deze gemeenten op ICT-gebied. Zij stellen vast dat er veel werk aan de winkel is op deze terreinen. De rekenkamers sluiten hun onderzoek af met een aantal aanbevelingen aan het college en de gemeenteraad. In dit raadsvoorstel worden die aanbevelingen ter besluitvorming aan de gemeenteraad van Beuningen voorgelegd. Besluit om 1. De aanbevelingen in het rekenkamerrapport ‘Weten wat je moet weten’ integraal over te nemen; 2. Het college te verzoeken de aanbevelingen 1 t/m 15 uit het rapport uit te voeren en daarbij de volgende punten in acht te nemen: a. Voorafgaand aan voorstellen voor nieuw beleid eerst een startnotitie aan de raad aan te bieden; b. De raad een voorstel te doen voor kritische prestatie indicatoren (KPI’s), waarmee de voortgang getoetst kan worden; c. Twee keer per jaar aan de raad verslag te doen over de voortgang op de doelstellingen, planning, risico’s, maatregelen en middelen en de bestaande rapportages (Ensia, privacyjaarverslag) te voorzien van een goede toelichting. 3. Als raad de aanbevelingen 16 t/m 20 integraal uit te voeren en daarbij de volgende punten in acht te nemen: a.

Duidelijke kaders mee te geven voor meetbare resultaten bij het beleid over digitalisering, informatieveiligheid en privacybescherming; b. Tussentijdse rapportages vanuit het college te agenderen en bespreken; c. Bij de nieuwe aanbesteding van accountantsdiensten de IT-audit te handhaven; d. In regionaal verband met de andere raden te bespreken hoe er structureel afstemming plaatsvindt. 4. De verdere invulling en uitwerking laten uitvoeren door de Auditcommissie.

Inleiding Informatiebeveiliging en privacybescherming krijgen de laatste jaren terecht steeds meer aandacht. Om die reden hebben de rekenkamers tot dit onderzoek besloten. De uitdagingen voor gemeenten en andere overheden op beide gebieden zijn groot. In de eerste plaats verwerken gemeenten steeds meer (gevoelige) persoonsgegevens en doen zij dat ook steeds meer in samenwerkingsverbanden. Onze inwoners hebben er recht op dat gemeenten zorgvuldig met deze gegevens omgaan en deze uitstekend beschermen tegen verkeerd gebruik. Daar zijn landelijke richtlijnen voor opgesteld. Hoe staat het met de opvolging daarvan in de vier onderzochte gemeenten?

Ten tweede zijn gemeenten kwetsbaar voor cybercriminaliteit. Een gemeente moet daarop voorbereid zijn, maar is dat niet altijd, zo laten voorbeelden in den lande zien. Hoe is dat in de vier onderzochte gemeenten? Daar geeft dit onderzoek antwoorden op. Dit raadsvoorstel is bedoeld om de aanbevelingen ter besluitvorming voor te leggen aan de gemeenteraad. Het raadsbesluit stelt de raad in de gelegenheid om te sturen op de uitvoering van de aanbevelingen. Beoogd effect Met dit voorstel wordt beoogd dat de gemeente Beuningen de aanbevelingen uit het onderzoek een goede plek geeft in beleid en uitvoering én voldoet aan de landelijke wet- en regelgeving, zoals de Baseline Informatiebeveiliging (BIO). Argumenten

1.1 Het rapport bevat de resultaten van het onderzoek dat regio-breed is gedaan De rekenkamers hebben in het onderzoek vastgesteld dat de gemeenten en iRvN hard werken aan informatiebeveiliging en privacybescherming, maar ook dat er nog veel moet gebeuren om van voldoende beheersing te kunnen spreken. Dat betekent dat de gemeenten kwetsbaar zijn. Ze lopen niet alleen het risico dat veel extra inspanningen en geld nodig zijn als er problemen ontstaan, maar ook dat de dienstverlening aan inwoners en bedrijven wordt gehinderd of zelfs onderbroken, en dat de belangen van inwoners en ondernemers worden geschaad. Uitvoering van de aanbevelingen helpt om de risico’s te verkleinen en om de goede stappen te zetten om te komen tot het juiste beveiligingsniveau.

2.1 De eerder in gang gezette acties zijn in lijn met het rapport Het rapport en de conclusies en aanbevelingen worden op hoofdlijnen onderschreven door het college. Het rapport ligt in lijn met wat al is ingezet of nog ingezet gaat worden. Hierbij wordt ook verwezen naar het Digitaal Ontwikkel Plan (DOP).

4.1 De Auditcommissie heeft een controlefunctie De Auditcommissie is een hulpmiddel om meer structuur aan te brengen in de controlefunctie van de gemeenteraad. Zij helpt de gemeenteraad in haar controlerende en toezichthoudende functie. Door de verdere invulling in handen te geven aan de Auditcommissie, wordt onder andere toezicht gehouden op de kwaliteit van de rapportages. Kantekeningen

Het opvolgen van de aanbevelingen zal tijd kosten Hoewel de conclusies en aanbevelingen uit het rapport herkend en onderschreven worden, is volledige uitvoering ervan niet eenvoudig vanwege beperkte formatie en expertise. Om die reden meent het college dat de acties geprioriteerd en getemporiseerd zullen moeten worden. De raad is gevraagd om budget voor aanvullende formatie. Financiën Bij de begroting 2023 voeren we formatie op voor een medewerker op het gebied van informatiebeveiliging en privacy. Daarnaast worden vanuit het ‘Digitaal Ontwikkel Plan’ middelen beschikbaar gesteld voor dit onderwerp. Wanneer aanvullende middelen noodzakelijk zijn, komt er een voorstel richting de raad. Tijdspad Uitvoering van de aanbevelingen vergt een gestructureerde meerjarenaanpak. Daarom vraagt de raad om een planning en om regelmatige tussenrapportages, waarin voortgang, risico’s, maatregelen etc. pro-actief gemeld worden.

Verder is ook de regionale component hierin van belang. Beuningen participeert immers samen met de regiogemeenten in IRvN, de ICT-module van de MGR Rijk van Nijmegen. Regionale afstemming van beleidsvoornemens, o.a. in bijeenkomsten van gemeenteraden, is essentieel om te voorkomen dat IRvN teveel verschillende opdrachten krijgt. Duurzaamheid n.v.t. Communicatie Het rekenkamerrapport is via de gebruikelijke kanalen gepubliceerd. Evaluatie Er zal een evaluatie plaatsvinden of de ingezette stappen en maatregelen tot het juiste beveiligingsniveau zullen leiden. Bijlagen Bijlage 1: Aanbiedingsbrief Rapport Beuningen regionaal rekenkameronderzoek informatiebeveiliging privacybescherming. Bijlage 2: Rapport Beuningen regionaal rekenkameronderzoek informatiebeveiliging en privacybescherming. Bijlage 3: Bijlageboek Rapport Beuningen regionaal rekenkameronderzoek Informatiebeveiliging en privacybescherming. Raadsgriffier,

Burgemeester,

Esther Jonkman

Daphne Bergman

Besluit d.d.