20260317 B&W RIB ENSIA verantwoording Blaricum 2025

INFORMATIENOTA RAAD BLARICUM Datum vaststelling college: 17 maart 2026 Van

het college van B&W

Aan

Gemeente Blaricum - Gemeenteraad

Portefeuillehouder

Reijke, B.M. de

Informatie bij

E. Kriek-Kuiper, Informatiemanager / CISO

Onderwerp ENSIA verantwoording Blaricum 2025 Portefeuillehouder Reijke, B.M. de Openbaar Ja Kennisnemen van 1. Bestuurlijke verantwoordingsrapportage ENSIA 2025 Aanleiding (inleiding) In de ENSIA-systematiek verantwoorden gemeenten zich op landelijk uniforme wijze over de kwaliteit van de informatieveiligheid van de diverse informatiesystemen. In ENSIA 2024 is de verantwoording beperkt tot de systemen Suwinet (werk en inkomen), DigiD (beveiligde verbinding voor online dienstverlening), BRP (basisregistratie personen), BAG (basisregistratie adressen en gebouwen), BGT (basisregistratie grootschalige topografie) en BRO (basisregistratie ondergrond) Kernboodschap ENSIA heeft tot doel het verantwoordingsproces over informatieveiligheid bij overheidsorganisaties verder te professionaliseren door het toezicht te bundelen. Hierdoor heeft het bestuur meer overzicht over de stand van zaken van de informatieveiligheid en kan het hier ook beter op sturen. Over de BAG, BGT en BRO moeten bronhouders zoals gemeenten, provincies en waterschappen ook verantwoording afleggen aan het Ministerie van BZK als externe toezichthouder. In de zelfevaluatievragenlijsten van de geobasisregistraties ligt de nadruk echter niet op informatieveiligheidsaspecten, maar staat de gegevenskwaliteit centraal. Pagina 1 van 3

Met het opstellen van de verantwoordingsrapportages wordt verticale verantwoording aan het ministerie van BZK afgelegd. Voor 1 mei 2026 zijn de verantwoordingsrapportages aangereikt aan de colleges ter verticale verantwoording. Voor horizontale verantwoording aan de raad is een bestuurlijke verantwoordingsrapportage opgesteld waarin verantwoording wordt afgelegd over de gehele ENSIA audit inclusief de zelfevaluatie informatieveiligheid. De behaalde scores wat betreft de datakwaliteit van de BAG en de BGT zijn ruim voldoende. De score voor de datakwaliteit van de BRO is 70 % en samen met de processen 40% en daarmee dus onvoldoende. Voor de BAG, BGT, BRO zijn verbeterplannen opgesteld voor 2026 om een verbetering van kwaliteit te bewerkstelligen. De behaalde scores voor de BRP en PUN zijn ruim voldoende tot goed. Er wordt continu gewerkt aan het verbeteren van onze processen om de kwaliteit hoog te houden. Uit de Assurance rapporten met betrekking tot DigiD blijkt dat wij voldoen aan de gestelde beveiligingsmaatregelen. Bij Suwinet voldoen we aan twee maatregelen niet. Het gaat hierbij om personele invulling bij de BEL combinatie. De auditor heeft in zijn rapport verbeterpunten opgesteld, waar we in 2026 mee aan de slag gaan. Op het moment scoren we onvoldoende uit de zelfevaluatie op de BIO.

Nieuwe wetgeving verplicht een nieuwe manier van werken en er is een grote set maatregelen die wij nog niet hebben geïmplementeerd. Hiermee lopen we een aanzienlijk risico op cyberaanvallen en datalekken. Het komende jaar wordt er ingezet op risico gestuurd werken, het implementeren van de BIO2 en verdere aansluiting bij de interne controle cyclus. De menselijke factor speelt een cruciale rol in informatiebeveiliging. Gedrag en bewustzijn van medewerkers zijn vaak van grote invloed in het voorkomen van incidenten. Beveiliging van systemen spelen hierin een rol maar kunnen de risico’s niet uitsluiten. Door gerichte training en duidelijke richtlijnen kan het risico op menselijke fouten worden verkleind. Consequenties Zonder deze verklaringen en rapportages voldoen wij niet aan onze verplichtingen rond de horizontale en verticale verantwoording en dreigt afsluiting van DigiD en Suwinet Duurzaamheid n.v.t. Communicatie Interne communicatie: Vanuit de ENSIA-coördinator wordt gecommuniceerd over de Pagina 2 van 3

implementatie activiteiten aan betrokkenen. Voor de raad is een bestuurlijke verantwoordingsrapportage opgesteld waarin verantwoording wordt afgelegd over de gehele ENSIA audit inclusief de zelfevaluatie informatieveiligheid. Externe communicatie: Verticale verantwoording vindt plaats richting de departementen en toezichthouders van de Rijksoverheid (Ministeries van BZK en SZW, Logius en BKWI). Vervolg Conform de plan-do-check-act methodiek zal vanaf de zomer worden gestart met de voorbereidingen voor de ENSIA audit 2026. Deze zal voor het eind van het jaar worden afgerond en begin volgend jaar worden vastgesteld door de colleges Bijlagen 01. Bestuurlijke verantwoordingsrapportage ENSIA 2025

Pagina 3 van 3