C02 College van B&W, actieve info Informatiebeveiliging-ENSIA 2022.pdf

Actieve informatievoorziening REFNUMBER aan kopie aan portefeuillehouder datum vergadering kenmerk onderwerp

: : : : : :

de gemeenteraad Marianne Besselink 29 juni 2023 Z132359/INT23-55366 Actieve informatievoorziening informatiebeveiliging (ENSIA 2022)

ENSIA Gemeenten zijn verantwoordelijk voor de kwaliteit van hun informatieveiligheid. Het adequaat inrichten van een verantwoordingsproces is daarbij essentieel. Gemeenten willen zich ieder jaar verantwoorden over de kwaliteit van de informatieveiligheid van diverse informatiesystemen. Dit gebeurt via de Eenduidige Normatiek Single Information Audit (ENSIA). ENSIA betekent informatieverstrekking aan toezichthouders en een ITaudit. ENSIA is een initiatief van de VNG en de ministeries Binnenlandse Zaken en Koninkrijksrelaties, Infrastructuur en Milieu en Sociale Zaken en Werkgelegenheid. De basis voor ENSIA is gelegd tijdens de Buitengewone Algemene Ledenvergadering van de VNG van november 2013 waarin de resolutie “Informatieveiligheid, randvoorwaarde voor de professionele gemeente” is aangenomen. In de resolutie hebben gemeenten afgesproken hun eigen toezichthouder, de gemeenteraad, te informeren over informatieveiligheid. Hieronder leggen wij verantwoording af over het gevolgde ENSIA proces.

Zelfevaluaties ENSIA In de periode van 1 juli – 31 december 2022 hebben we zelfevaluaties uitgevoerd voor de Basisregistratie Personen (BRP), Reisdocumenten, 3 DigiD-aansluitingen (website, iBurgerzaken, iParticipatie), Suwinet (digitale infrastructuur voor uitwisseling gegevens tussen UWV, SVB en gemeenten), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO) en de Wet Waardering Onroerende Zaken (WOZ). Van alle zelfevaluaties zijn rapporten opgesteld die met ons college zijn gedeeld en vervolgens aan de toezichthouders zijn verzonden. Alle evaluaties scoorden boven de vereiste normen. Bij de DigiD-aansluitingen en Suwinet gelden geen scores maar normen en die worden door de externe auditor beoordeeld. Wij voldeden hierbij zowel bij de Digidaansluitingen als bij Suwinet aan alle vereiste normen (zie alinea collegeverklaring). Bij de BRO, die net boven de vereiste norm scoorde, zijn vooral op het onderdeel proces en organisatie is nog verbeteringen mogelijk. Hiervoor zijn interne verbetermaatregelen geformuleerd zoals een goede borging voor de volgende tranches en het in de werkprocessen opnemen van de taken en verantwoordelijkheden. De BRO is een basisregistratie in wording en wordt stapsgewijs voltooid. De eisen aan de BRO zijn in

Pagina 1 van 2

deze opbouwfase nog lager dan bij de andere registraties maar zullen de komende jaren gaan toenemen. Onze zelfevaluatie voor de Reisdocumenten is dit keer nog eens extra getoetst door de Rijksdienst voor identiteitsgegevens (RiVG). Ieder jaar toetsen zij via een a-selectieve steekproef een aantal gemeenten. Wij ontvingen van het RiVG complimenten voor hoe wij dit proces in Bronckhorst ingeregeld en gecontroleerd hebben. De WOZ is dit jaar voor het eerst onderdeel van de ENSIA-verantwoording. De uitvoering van de WOZ hebben wij uitbesteed aan het Gemeentelijk Belastingkantoor Twente (GBT) maar als gemeente blijven wij hiervoor verantwoordelijk. De zelfevaluatie is volledig gebaseerd op gegevens van de zelfevaluatie door het GBT. De behaalde scores per zelfevaluatie waren: BRP Reisdocumenten BAG BGT BRO

94,6 % 92,3 % 85,0 % 100,0 % 61,0 %

(minimaal vereist %) 90% 90% 75% 75% 60%

De WOZ kent geen procentuele score maar een score op negen hoofdonderwerpen. Acht onderwerpen scoorden voldoende. Omdat bij de berichtenuitwisseling nog gebruik werd gemaakt van enkele oude koppelvlakken werd op dat onderdeel een onvoldoende gescoord. Voor komend jaar heeft het GBT een modernisering van de koppelvlakken ingepland. Collegeverklaring ENSIA Bij de zelfevaluaties DigiD en Suwinet was een Collegeverklaring vereist die een onafhankelijk auditor moest toetsen. In deze Collegeverklaring hebben wij verklaard: “dat bij gemeente Bronckhorst op 31 december 2022 de interne beheersingsmaatregelen in opzet en bestaan voldoen aan de geselecteerde beveiligingsnormen inzake Digid en Suwinet”. Assurance rapport auditor ENSIA Het Assurance rapport van onze auditor 2-Control luidde: “Naar ons oordeel is bijgevoegde collegeverklaring, inclusief de bijlagen 1 DigiD en 2 Suwinet waarnaar in de collegeverklaring wordt verwezen, van gemeente Bronckhorst, in alle van materieel belang zijnde aspecten, juist.”

Pagina 2 van 2