B7 - B&W - Raadsinformatiebrief kaders en werkafspraken I&A Brummen D482805

Gemeenteraad Brummen

Brummen Ons kenmerk Uw kenmerk Onderwerp

: 19 mei 2026 : Z124952/D481143 : : Vaststellen kaders & werkafspraken I&A

Verzonden d.d.: 19 mei 2026

Geachte raadsleden, Langs deze weg informeren wij u over het volgende: Brummen werkt continue aan haar informatievoorziening, passend bij de i-Visie 2024–2027. Om de doelen uit de visie te realiseren zijn duidelijke en samenhangende kaders vastgesteld. Deze kaders behelzen samengevat het volgende: Brummen sluit aan bij landelijke standaarden en kiest bewust voor standaardoplossingen zonder maatwerk. Digitale toegankelijkheid is verplicht bij ICT-toepassingen. Informatiebeveiliging en privacy zijn structureel geborgd via BIO2, de AVG en vastgesteld gemeentelijk beleid. Een belangrijk uitgangspunt binnen het kader is digitale soevereiniteit. Brummen hanteert het principe ‘cloud, tenzij’. SaaS-oplossingen hebben de voorkeur, mits zij voldoen aan strenge eisen. De gemeente streeft er daarbij expliciet naar de afhankelijkheid van niet-Europese, met name Amerikaanse, leveranciers waar mogelijk te beperken. Zo houden wij grip op onze gegevens. Het gebruik van AI volgt de Europese AI Act en richt zich op verantwoord en transparant gebruik. Wij kiezen niet voor een experimentele rol als koploper, maar voor bewezen toepassingen. Wij gaan ervan uit u hiermee voldoende te hebben geïnformeerd.

Engelenburgerlaan 31 6971 BV Brummen Postbus 5 6970 AA Brummen Telefoon (0575) 56 82 33 Fax (0575) 56 82 88 E-mail: gemeente@brummen.nl

Z124952/D481143

Blz. 2 van2

Met vriendelijke groet, burgemeester en wethouders van Brummen,

H. Matser secretaris

Bijlage(n):

Ir. J.N. Rozendaal burgemeester (wnd.)

- Kaders I&A Brummen (D478740)

478740

Kaders & werkafspraken I&A Gemeente Brummen

1

Inhoudsopgave 1 2 3

4

5

6

7

8

9

MANAGEMENTSAMENVATTING ..................................................................................................................................3 KADERS & WERKAFSPRAKEN I&A...............................................................................................................................4 2.1 AANLEIDING ............................................................................................................................................................... 4 CONTINUE VERBETEREN ...........................................................................................................................................4 3.1 JAARLIJKSE EVALUATIE .................................................................................................................................................... 4 3.2 VERANTWOORDELIJKHEDEN ........................................................................................................................................... 4 3.3 EVALUATIEPROCES ....................................................................................................................................................... 4 3.3.1 Rapportage en besluitvorming ..............................................................................................................................

5 3.3.2 Interne audits ...................................................................................................................................................... 5 STANDAARDEN & ARCHITECTUURPRINCIPES .............................................................................................................6 4.1 LANDELIJKE STANDAARDEN ............................................................................................................................................. 6 4.2 DATA EN WERK IN STANDAARD APPLICATIES ......................................................................................................................... 6 4.2.1 Standaard applicaties, Open Source en Common Ground first .............................................................................. 6 4.3 HERGEBRUIK............................................................................................................................................................... 6 4.4 DATA & ARCHIVERING ................................................................................................................................................... 7 4.5 KOPPELBAARHEID ........................................................................................................................................................

7 4.6 ZAAKGERICHT WERKEN .................................................................................................................................................. 7 4.7 WEBTOEGANKELIJKHEID ................................................................................................................................................ 7 4.8 DUURZAME ARCHIVERING .............................................................................................................................................. 8 4.9 ORGANISATIE EN BORGING ............................................................................................................................................. 8 4.10 AFWIJKINGEN EN PROCEDURE ......................................................................................................................................... 8 4.11 ACTUALISATIE EN MONITORING ........................................................................................................................................ 9 INFORMATIEBEVEILIGING & PRIVACY ....................................................................................................................... 10 5.1 WAT WIL GEMEENTE BRUMMEN BEREIKEN? ......................................................................................................................

10 5.2 WAT DOET GEMEENTE BRUMMEN? ................................................................................................................................. 10 5.2.1 BIO2: Risicobeheer en autorisaties ..................................................................................................................... 10 5.2.2 Continuïteit en beschikbaarheid ......................................................................................................................... 11 5.2.3 Privacy (AVG) ..................................................................................................................................................... 11 5.2.4 Dataclassificatie................................................................................................................................................ 11 5.2.5 Autorisaties, rollen en rechten ............................................................................................................................ 11 5.2.6 Wachtwoordbeleid ............................................................................................................................................ 11 5.2.7 Handhaving en controle .....................................................................................................................................

13 5.2.8 Monitoring en bijstelling ..................................................................................................................................... 13 5.2.9 Opslag van informatie ........................................................................................................................................ 13 CLOUD OPLOSSINGEN ............................................................................................................................................ 14 6.1 HUIDIGE SITUATIE ....................................................................................................................................................... 14 6.2 DOELSITUATIE: STANDAARD APPLICATIES, CLOUD FIRST ....................................................................................................... 14 6.3 INZET VAN CLOUDDIENSTEN ......................................................................................................................................... 14 6.3.1 Visie op buitenlandse Clouddiensten en datalocatie ........................................................................................... 14 6.4 BORGING VAN EISEN: INFORMATIEBEVEILIGING, PRIVACY, CONTINUÏTEIT EN CONTRACTMANAGEMENT .............................................

15 6.5 RISICOAFWEGING EN COMPLIANCE ................................................................................................................................ 15 6.6 SAMENVATTING EN RICHTING ........................................................................................................................................ 15 AI-BELEID ............................................................................................................................................................... 16 7.1.1 Huidige status en ambitie ................................................................................................................................... 16 7.1.2 Visie op AI-gebruik ............................................................................................................................................. 16 7.1.3 Toepassingen en projecten................................................................................................................................. 16 7.1.4 Borging van eisen: privacy, security, continuïteit .................................................................................................. 16 7.1.5 AI-Act en ethiek .................................................................................................................................................

17 7.1.6 Kaders voor gebruik van Copilot ......................................................................................................................... 17 WERKPLEKKEN ....................................................................................................................................................... 18 8.1 WERKPLEKKEN .......................................................................................................................................................... 18 8.1.1 Beschikbare werkplekken .................................................................................................................................. 18 8.1.2 Werken via de gemeentelijke werkomgeving (VDI) ............................................................................................... 19 8.1.3 Plaats onafhankelijk werken ............................................................................................................................... 19 8.1.4 Privégebruik en accounts buiten de Brummen omgeving ..................................................................................... 20 8.1.5 Beveiliging, updates & incidentmelding...............................................................................................................

20 ONDERSTEUNENDE BELEIDSDOCUMENTEN & BEDRIJFSVOERING ............................................................................ 22 9.1 CHANGE MANAGEMENT .............................................................................................................................................. 22 9.2 GOVERNANCE & ORGANISATIE ...................................................................................................................................... 23

2

1 Managementsamenvatting De gemeente Brummen werkt aan een betrouwbare, veilige en toekomstbestendige informatievoorziening die aansluit bij de i-Visie 2024-2027. Deze i-Visie richt zich op toegankelijke en eigentijdse dienstverlening, datagedreven werken, efficiënte bedrijfsvoering en een wendbare organisatie. Om deze doelen op een effectieve manier te realiseren zijn duidelijke kaders, richtlijnen en werkafspraken noodzakelijk. Dit document vormt het fundament voor deze kaders, richtlijnen en afspraken. Begrippen in dit document zijn opgenomen in de begrippenlijst in de bijlage. Continu verbeteren is een centrale pijler. Jaarlijks wordt dit document geëvalueerd op werking, knelpunten en veranderende wet- en regelgeving. Input wordt opgehaald bij betrokkenen. Het MT bespreekt de bevindingen en besluit over eventuele aanpassingen. Daarnaast worden interne audits uitgevoerd op basis van de BIO2. Brummen volgt landelijke standaarden zoals GEMMA en NORA. De organisatie kiest bewust voor standaardoplossingen zonder maatwerk, stimuleert het hergebruik van bestaande applicaties en stelt eisen aan partijen mb.t. koppelmogelijkheden, archivering en open data-ontsluiting. Digitale toegankelijkheid is verplicht bij alle websites, apps en aanbestedingen.

Op het gebied van informatiebeveiliging en privacy werkt Brummen volgens BIO2, AVG, het Privacybeleid 2023-2027 en het informatiebeveiligingsbeleid 2024-2028. Risicobeheer, autorisaties bij in- en uitstroom, dataclassificatie, DPIA’s en digitale archivering zijn structureel onderdeel van de werkwijze. Wachtwoordbeleid, monitoring, incidentregistratie en veilige opslag van gegevens zijn geregeld met werkafspraken en technische voorzieningen. Voor cloudoplossingen hanteert Brummen het principe Cloud, tenzij. SaaS is de gewenste standaard voor aan te schaffen applicaties, mits veilig, Europees compliant en passend bij de gemeentelijke eisen voor privacy, datalocatie en continuïteit. De afhankelijkheid van Amerikaanse aanbieders wordt waar mogelijk verminderd. Nieuwe cloudtoepassingen worden getoetst aan de voorschriften in dit document. Het AI-beleid volgt de AI-Act en richt zich op verantwoord, transparant en uitlegbaar gebruik van AI. Brummen kiest bewust niet voor een koploperspositie, maar volgt bewezen toepassingen en voert gecontroleerde pilots uit waarbij persoonsgegevens niet zonder noodzaak met AI worden verwerkt. Het kader voor werkplekken zorgt voor een veilige, uniforme en efficiënt beheerde digitale werkomgeving. Gemeentelijke informatie mag uitsluitend in beheerde systemen worden opgeslagen.

Apparatuur wordt centraal beheerd via MDM, en BYOD is slechts beperkt toegestaan onder strikte voorwaarden. Tot slot zorgt de governance-structuur voor duidelijke rollen, eigenaarschap en besluitvormingsprocessen. De informatiemanager, CISO, FG, proceseigenaren, applicatie-eigenaren en functioneel beheerders hebben een gezamenlijke verantwoordelijkheid voor kwaliteit, veiligheid en continuïteit. Het MT borgt de besluitvorming en naleving.

3

2 Kaders & werkafspraken I&A 2.1 Aanleiding In 2024 heeft de raad van Brummen de i-Visie voor de periode 2024-2027 vastgesteld. Deze visie geeft de uitgangspunten weer waar o.a. de afdeling I&A van Brummen aan werkt in deze periode. In de i-Visie worden een aantal speerpunten benoemd, te weten toegankelijke en eigentijdse dienstverlening, werken naar een datagedreven organisatie, het versterken van effectieve bedrijfsvoering en het werken aan een efficiënte organisatie. In het realiseren van deze speerpunten, met name op het stuk van efficiëntie, zijn duidelijke kaders en werkafspraken nodig. Deze kaders en werkafspraken helpen I&A om sneller en effectiever in te spelen op de wensen van de organisatie. Dit sluit aan bij het genoemde in 3.4. van de i-Visie. Daarin staat dat wordt gewerkt aan professioneel gebruik van de informatievoorziening, waarbij geleerd wordt van goede voorbeelden van andere organisaties. Omdat landelijke regelgeving en richtlijnen zoals de BIO2 aangeven dat onderdelen in dit document verplicht zijn, worden deze hier ook in opgenomen. Duidelijke kaders vergroten de professionaliteit en efficiëntie. Dit document is een startpunt waarin invulling wordt gegeven aan de kaders die in het dagelijks werk van I&A handvatten geven. Zo blijft gemeente Brummen in staat om adequaat in te spelen op interne- en externe ontwikkelingen en risico’s te beheersen.

3 Continue verbeteren Gemeente Brummen streeft naar een wendbare, toekomstbestendige informatievoorziening. Dit vraagt om een organisatiecultuur waarin het vanzelfsprekend is om processen, systemen en afspraken continu te verbeteren. Dit document en de daarin gemaakte afspraken worden daarom periodiek geëvalueerd en aangepast indien tussentijdse incidenten of vragen hier aanleiding toe geven. Door actief te sturen op optimalisatie sluit de informatiehuishouding aan bij de behoeften van de organisatie en geldende wet- en regelgeving.

3.1 Jaarlijkse evaluatie Gemeente Brummen borgt de kwaliteit en actualiteit van deze afspraken door middel van een jaarlijks terugkerende evaluatie. De evaluatie toetst de werking van kaders en afspraken in de praktijk en signaleert verbeterpunten. Daarnaast wordt bekeken of aansluiting blijft bestaan bij wet- en regelgeving, interne doelen en ontwikkelingen in het vakgebied.

3.2 Verantwoordelijkheden De informatiemanager is verantwoordelijk voor het initiëren en coördineren van de evaluatie van dit document met de betrokken rollen (waaronder Coördinator, CISO, FG). De coördinator I&A ondersteunt bij de uitvoering en rapportage. Het managementteam (MT) is verantwoordelijk voor de besluitvorming over voorgestelde verbeteringen en de vaststelling van de aangepaste kaders.

3.3 Evaluatieproces De evaluatie wordt uitgevoerd volgens een vast proces:

4

•

•

•

Input wordt opgehaald bij een representatieve groep eindgebruikers, managers, coördinatoren en I&A-medewerkers (waaronder helpdesk, functioneel beheer en informatiemanagement). De evaluatie bestaat uit interviews met managers en coördinatoren, aangevuld met een enquête onder eindgebruikers die direct met deze kaders of de bijbehorende processen te maken hebben gehad. Indien uit de enquête blijkt dat er sprake is van ontevredenheid of onduidelijkheid, worden aanvullende verdiepende gesprekken gevoerd om verbeterpunten te identificeren.

3.3.1

Rapportage en besluitvorming

De informatiemanager en coördinator I&A stellen op basis van de verzamelde input een document op met bevindingen, conclusies en eventuele voorstellen voor verbetering. Deze memo wordt jaarlijks ter bespreking en besluitvorming aangeboden aan het MT. Indien de evaluatie geen aanleiding geeft tot aanpassing, blijven de kaders en werkafspraken ongewijzigd en wordt de evaluatie ter kennisname aangeboden. Indien er verbeterpunten zijn, dan worden deze voorzien van een voorstel tot aanpassing. Dit wordt besproken in het MT en aanpassingen daarna verwerkt. Door deze werkwijze is geborgd dat het ICT-beleid aansluit bij de actuele behoeften van de organisatie en voldoet aan geldende eisen. De jaarlijkse evaluatie draagt bij aan een continue verbetering van de informatievoorziening. 3.3.2 Interne audits Naast de evaluatie van de werkafspraken worden er jaarlijks interne audits uitgevoerd op de naleving van landelijke richtlijnen als de BIO2. De verantwoordelijkheid hiervoor ligt bij de CISO van gemeente Brummen.

5

4 Standaarden & architectuurprincipes 4.1 Landelijke standaarden Brummen positioneert zich op het gebied van I&A als volger en niet als innovator. De organisatie streeft daarom naar een architectuur gebaseerd op voor gemeenten gebruikelijke landelijke standaarden zoals uitgewerkt in de landelijk door gemeenten gebruikte GEMMA/NORA. Door het volgen van GEMMA-standaarden wordt geborgd dat de informatiehuishouding van de gemeente aansluit bij landelijke ontwikkelingen, goed samenwerkt met ketenpartners en voldoet aan actuele wet- en regelgeving. Er worden geen eigen architectuurstandaarden of principes ontwikkeld. Daarnaast past Gemeente Brummen bij de inrichting van het DWH (datawarehouse) het Gemeentelijk Gegevens model (GGM) toe. Dit model vormt de basis voor uniforme gegevensdefinities en zorgt dat analyses en rapportages betrouwbaar worden uitgevoerd. Bij aanbestedingen en implementaties van nieuwe systemen toetst Brummen op het gebruik van landelijke API-standaarden*, zoals onder andere StUF en ZGW API’s. Deze standaarden sluiten aan op de GEMMA-architectuur en Common Ground-principes, zodat gegevensuitwisseling toekomstbestendig en interoperabel* blijft.

4.2 Data en werk in standaard applicaties ICT heeft als doel om de gebruiker zoveel mogelijk te ondersteunen. Binnen Brummen wordt gebruik gemaakt van standaard applicaties met standaard processen om de verschillende werkprocessen te faciliteren. Gebruik van standaard applicaties met standaard processen zorgt voor goede functionele ondersteuning aan de eindgebruikers. Tegelijkertijd zorgt dit voor een beheersbare ICT omgeving op zowel op het vlak van technische complexiteit als van kosten. Er wordt geen gebruik gemaakt van maatwerkapplicaties. Daarnaast is het voor de uitvoering van het werk door medewerkers van Brummen niet toegestaan om lokale of persoonlijke administraties in Excelsheets of andere (persoonlijke) databases te gebruiken. 4.2.1 Standaard applicaties, Open Source en Common Ground first Het MT van Brummen heeft vastgelegd dat zij geen innovaties op het gebied van open source gaat faciliteren, maar dat zij wel graag van Open Source gebruik wil maken indien dat bewezen oplossingen betreft. Bij vergelijkbare functionaliteit krijgt open source software de voorkeur boven gesloten oplossingen, mits deze voldoet aan de eisen op het gebied van beveiliging, ondersteuning en continuïteit. Oplossingen die common ground principes ondersteunen krijgen bij vergelijkbare geschiktheid de voorkeur boven andere (https://commonground.nl/, https://vng.nl/artikelen/common-ground).

4.3 Hergebruik In het changeproces wordt, vanwege beheersbaarheid en duurzaamheid, altijd eerst gekeken naar gebruik van bestaande oplossingen voordat andere/nieuwe oplossingen worden aangeschaft. Indien blijkt dat een bestaande oplossing ook een werkbare invulling met een kloppende businesscase kan geven van een functionele vraag, wordt daar voor gekozen. Als hiervan wordt afgeweken, kan dit alleen na het maken van een businesscase en een besluit door het MT.

6

4.4 Data & Archivering Gemeente Brummen moet te allen tijde eigenaar blijven van de data in softwareoplossingen en dit moet contractueel zijn vastgelegd. Data in applicaties moet toegankelijk zijn en eenvoudig ontsloten kunnen worden voor rapportages en managementinformatie, bijvoorbeeld via een datawarehouse of API*. Applicaties die kunnen ontsluiten via het GGM (gemeentelijk gegevensmodel) hebben hierbij de voorkeur. De gemeente Brummen past open standaarden toe zoals verplicht in de Wet digitale overheid (Wdo) en volgt de ‘pas toe of leg uit’-lijst van het Forum Standaardisatie. Software moet beschikken over een eigen archiefmodule, die voldoet aan de eisen van duurzame toegankelijkheid en informatiebeheer conform de Archiefwet. Indien dit niet het geval is, moet software kunnen koppelen met het zaaksysteem van de gemeente op basis van landelijke standaarden. Data moet, indien gewenst, exporteerbaar zijn in een standaard, open format, zodat een overstap naar andere applicaties hiermee eenvoudig te organiseren is. (o.a. door gebruik te maken van standaarden hiervoor, zoals van het Forum Standaardisatie en Haven/Haven+). Dit moet zijn vastgelegd in een exit-strategie bij beëindiging van de samenwerking.

4.5 Koppelbaarheid De oplossing moet koppelbaar zijn met het zaaksysteem en/of andere relevante vakapplicaties via gestandaardiseerde API’s* en andere gangbare koppelmogelijkheden volgens Nederlandse overheidsstandaarden zoals gepubliceerd door Logius.

4.6 Zaakgericht werken Zaakgericht werken is sinds 2017 geïntroduceerd in Brummen en wordt nog steeds als uitgangspunt voor inrichting van applicaties gebruikt. JOIN is het oorspronkelijke zaaksysteem met DMS. Inmiddels zijn er verscheidene applicaties geïmplementeerd met een eigen archiefmodule. Een actuele lijst met applicaties en archiefmodules wordt onderhouden door de informatiemanager. Deze systemen ondersteunen procesgericht werken en voldoen aan de eisen om te kunnen voldoen aan actuele wet- en regelgeving op het gebied van informatiebeheer en transparantie. Hiervoor is nog wel inhoudelijk werk nodig binnen de applicaties. Dit wordt in de komende periode uitgevoerd.

4.7 Webtoegankelijkheid Gemeente Brummen vindt het belangrijk dat alle websites, e-loketten en applicaties digitaal toegankelijk zijn voor iedereen, inclusief mensen met een beperking. Dit beleid schrijft voor dat onze digitale kanalen moeten voldoen aan de WCAG 2.1-richtlijnen (niveau A en AA) en dat voor alle websites en apps een toegankelijkheidsverklaring wordt opgesteld volgens het verplichte model. Bij aanbestedingen, implementaties en ontwikkeling van nieuwe websites en applicaties stelt gemeente Brummen digitale toegankelijkheid als eis. Leveranciers moeten aantonen dat hun producten voldoen aan de geldende toegankelijkheidsnormen. Digitale toegankelijkheid zorgt ervoor dat alle inwoners, ongeacht beperkingen, gelijke toegang hebben tot gemeentelijke informatie en diensten. Dit draagt bij aan inclusie, gebruiksvriendelijkheid en transparantie, en versterkt daarmee de kwaliteit van onze dienstverlening. Toegankelijkheidsverklaringen zijn openbaar en worden opgesteld via de invul assistent op toegankelijkheidsverklaring.nl.

7

4.8 Duurzame archivering Brummen werkt volgens het Toepassingsprofiel Metagegevens Lokale Overheden (TMLO) en onderzoekt het concept van een pre-depot. De gemeente bereidt zich voor op aansluiting op het e-depot van het Regionaal Archief Zutphen (RAZ) voor overdracht van blijvend te bewaren stukken. Bij aanbestedingen van nieuwe applicaties wordt scherp gelet op het gebruik van metadatamodellen zoals TMLO of opvolger MDTO. Dit waarborgt dat informatie vindbaar, betrouwbaar en duurzaam toegankelijk blijft voor toekomstige generaties en voldoet aan wettelijke bewaarplichten.

4.9 Organisatie en borging De eindverantwoordelijkheid voor beleid, kaders en afspraken rond ICT en informatiebeveiliging ligt bij het college en de gemeentesecretaris zoals vastgelegd in o.a. de BIO2. Zij zijn van daaruit verplicht om zich te informeren over de stand van zaken en de opdracht aan de organisatie te geven om de juiste maatregelen te nemen. De rollen informatiemanager, CISO, adviseur informatiebeheer, Privacy Officer en Functionaris Gegevensbescherming (FG) zijn verantwoordelijk voor monitoring van ontwikkelingen en implementatie van standaarden. De informatiemanager coördineert deze activiteiten en adviseert het managementteam (MT). De informatiemanager levert hierover ook informatie/rapportage aan aan het MT. De uitvoering van standaarden vindt plaats binnen de disciplines systeembeheer, werkplekbeheer/helpdesk, data-analyse en (technisch)applicatiebeheer. Zij zijn verantwoordelijk voor de technische implementatie, configuratie en het doorvoeren van standaardwijzigingen in de praktijk. Deze teams voeren uit wat door informatiemanager, CISO, adviseur informatiebeheer, Privacy Officer, en FG wordt geadviseerd en indien nodig vastgesteld door het MT. De informatiemanager is verantwoordelijk voor het proces van actueel houden van toegankelijkheidsverklaringen en het monitoren van WCAG-conformiteit.

4.10 Afwijkingen en procedure Hoewel de gemeente Brummen het uitgangspunt hanteert om landelijke en sectorale standaarden toe te passen, kan het in uitzonderlijke gevallen voorkomen dat hiervan wordt afgeweken. Een afwijking wordt altijd gemotiveerd en vastgelegd. Voorbeelden van situaties waarin een afwijking kan worden overwogen zijn: • • • •

Technische onmogelijkheid (bestaande applicatie ondersteunt standaard niet) Tijdelijke overgangssituatie (migratietraject) Functionele overwegingen (standaard voorziet niet in specifieke eisen) Marktbeperkingen (geen leverancier beschikbaar)

De motivatie bevat een risicoanalyse en een voorstel voor alternatieve borging of een plan van aanpak om alsnog aan de standaard te voldoen op termijn, waarbij technische plus en minpunten worden meegenomen. Indien sprake is van een afwijking die een beveiligingsrisico met zich meebrengt, wordt deze minimaal elke 3 maanden opnieuw besproken. Afstemming

8

vindt plaats met proceseigenaar en applicatiebeheerder, waarna besluitvorming door het MT volgt.

4.11 Actualisatie en monitoring GEMMA en andere standaarden worden regelmatig geactualiseerd op basis van landelijke ontwikkelingen en technologische innovaties. De informatiemanager, CISO, adviseur informatiebeheer, Privacy Officer, FG volgen deze ontwikkelingen actief en zorgen voor tijdige implementatie van relevante updates binnen de organisatie.

9

5 Informatiebeveiliging & Privacy Gemeente Brummen verwerkt veel gevoelige en vertrouwelijke informatie. Informatiebeveiliging en privacy zijn daarom onlosmakelijk verbonden en vormen samen een belangrijk kwaliteitsaspect van de informatievoorziening. Door deze onderwerpen gezamenlijk te behandelen, wordt de samenhang tussen beveiliging, beschikbaarheid en bescherming van persoonsgegevens versterkt. De monitoring en bijstelling worden geborgd door de rollen: informatiemanager, CISO, adviseur informatiebeheer, Privacy Officer en FG. Gemeente Brummen waarborgt informatiebeveiliging en privacy door te werken volgens BIO2, AVG, het Privacybeleid 2023-2027 en het informatiebeveiligingsbeleid 2024-2028. Deze kaders zorgen voor veilige verwerking van gegevens en bescherming van persoonsgegevens. De cyberbeveiligingswet (Wbni) verplicht de gemeente tot het nemen van digitale veiligheidsmaatregelen en het melden van ernstige cyberincidenten. Dit versterkt de digitale weerbaarheid en de betrouwbaarheid van de informatievoorziening. Software en leveranciers moeten voldoen aan wetgeving. Zij moeten daarom expliciet voldoen aan de AVG en BIO2 (Baseline Informatiebeveiliging Overheid).

Als onderdeel hiervan moeten eisen uit de AVG zoals Privacy by design (veilig ontworpen software) en privacy by default (privacy beschermende maatregelen moeten standaard worden toegepast) aantoonbaar zijn toegepast.

5.1 Wat wil gemeente Brummen bereiken? Gemeente Brummen moet en wil voldoen aan de eisen van de BIO2 en AVG en daaropvolgende van toepassing zijnde wetten en regelgeving. Als onderdeel hiervan moeten risico’s geïdentificeerd en beheerst worden en daarnaast moeten incidenten worden voorkomen. De dienstverlening aan inwoners en partners moet gewaarborgd blijven. Het doel is een organisatie waarin informatie veilig en transparant wordt verwerkt, medewerkers alleen toegang hebben tot wat zij nodig hebben, en privacy rechten van betrokkenen goed zijn geborgd.

5.2 Wat doet Gemeente Brummen? 5.2.1

BIO2: Risicobeheer en autorisaties

Risico-inventarisatie en risicobehandelplan: Gemeente Brummen voert periodiek (pre-)DPIA’s uit om risico’s in kaart te brengen. De CISO, FG en PO werken samen met proceseigenaren en management aan het actualiseren van risicoanalyses en het kiezen van een risicostrategie (vermijden, verminderen, overdragen, accepteren). Resultaten worden besproken met het management en verwerkt in beleid en uitvoering. Autorisaties bij in-, door- en uitstroom: Bij indiensttreding, functiewijziging en uitdiensttreding worden autorisaties, rollen en rechten toegekend, gewijzigd of verwijderd op basis van functieprofielen, templates en profielen. Dit gebeurt in samenwerking met MT, coördinatoren, HR en I&A, zodat medewerkers nooit meer rechten hebben dan nodig. De verdere technische uitwerking van functieprofielen en autorisatiestructuren is hierbij nog in ontwikkeling.

10

5.2.2

Continuïteit en beschikbaarheid

Gemeente Brummen hanteert proces- en zaakgericht werken als uitgangspunt voor de inrichting van de informatievoorziening, conform de GEMMA-referentiearchitectuur. Dit betekent dat processen zo veel mogelijk eenduidig worden ingericht en zaakgericht worden vastgelegd, zodat registratie, vindbaarheid en transparantie binnen het primaire proces optimaal worden ondersteund. Deze werkwijze dient als leidraad voor de informatiehuishouding en ondersteunt continuïteit, kwaliteit en uniforme dienstverlening. • •

Archivering: Dossiers worden gedigitaliseerd en via archiefmodules vernietigd of klaargemaakt voor overdracht aan het regionaal e-depot. Technische maatregelen: Gemeente Brummen implementeert momenteel diverse technische maatregelen, waaronder Mobile Device Management (MDM), uitbreiding van netwerkbeveiliging en het centraliseren en beveiligen van privileged accounts.

5.2.3

Privacy (AVG)

Archivering en vernietiging: Gemeente Brummen houdt zich aan wettelijke bewaartermijnen en zorgt voor digitale overdracht naar het regionaal archief/e-depot. Vernietiging gebeurt conform selectielijsten. Hierbij worden de volgende principes toegepast: • Dataminimalisatie: Processen en formulieren worden zo ingericht dat alleen noodzakelijke gegevens worden uitgevraagd en verwerkt. • Gereguleerde toegang: Autorisaties, rollen en rechten worden via templates en profielen toegekend. Toegang is strikt op basis van noodzaak. Ter verdere versterking van deze werkwijze wordt een autorisatiematrix opgesteld, waarin rollen en toegangsrechten eenduidig en centraal worden vastgelegd. • Rechten van betrokkenen: Afdelingen werken met privacy-ambassadeurs. De PO en FG begeleiden de afhandeling van rechten, zoals inzage, rectificatie en verwijdering. • DPIA-proces en verwerkingsregister: Op basis van pre-DPIA/DPIA worden risico’s in kaart gebracht, maatregelen gekozen en het verwerkingsregister geactualiseerd. 5.2.4

Dataclassificatie

Classificatie van data en processen is een expliciet doel van Brummen. Door gebruik te maken van informatie uit i-Navigator stuurt Gemeente Brummen op passende eisen voor beschikbaarheid en vertrouwelijkheid van gegevens en wordt een directe koppeling gelegd naar autorisaties en procesinrichting. 5.2.5

Autorisaties, rollen en rechten

Het autorisatiebeleid is ingericht via templates en profielen, gekoppeld aan functieprofielen en specifieke rollen binnen applicaties. Medewerkers krijgen bij in-, door- en uitstroom direct passende rechten. MT en coördinatoren, HR en I&A beheren en actualiseren deze profielen gezamenlijk in samenwerking met de afdelingen. 5.2.6 Wachtwoordbeleid Gemeente Brummen hanteert een wachtwoordbeleid dat gericht is op het beschermen van de beschikbaarheid, integriteit en vertrouwelijkheid van gemeentelijke informatie. Sterke wachtwoorden zijn essentieel om ongeautoriseerde toegang te voorkomen. Dit beleid geldt voor alle medewerkers, stagiairs en externe partijen die gebruikmaken van gemeentelijke systemen en voorzieningen.

11

5.2.6.1 Doel en uitgangspunten Het wachtwoordbeleid heeft als doel om veilige toegang tot systemen te waarborgen en misbruik van accounts te voorkomen. Het sluit aan op de BIO2, AVG en het gemeentelijke informatiebeveiligingsbeleid. Het beleid wordt periodiek geëvalueerd op basis van dreigingen en technologische ontwikkelingen. 5.2.6.2 Wachtwoordregels • Wachtwoordgeschiedenis De laatste tien gebruikte wachtwoorden worden onthouden en kunnen niet opnieuw worden ingesteld voor de applicaties waar Brummen het beheer over heeft. • Geldigheidsduur Wachtwoorden zijn maximaal 300 dagen geldig en moeten daarna verplicht worden gewijzigd. De lange duur is mede om hergebruik van eenvoudige wachtwoorden te voorkomen omdat eindgebruikers te vaak hun wachtwoord moeten vervangen. • Minimale gebruiksduur Er geldt geen minimale gebruiksduur: wachtwoorden kunnen direct worden gewijzigd. • Minimale lengte Een wachtwoord moet minimaal zestien tekens bevatten. Een langer wachtwoord in de vorm van een wachtwoordzin wordt aangeraden. Een voorbeeld van een wachtwoordzin is: Klaas koopt 1 kaas bij Bert! 5.2.6.3 Complexiteitseisen Wachtwoorden moeten bestaan uit een combinatie van: • Hoofdletters • Kleine letters • Cijfers 5.2.6.4 Opslag van wachtwoorden Het opslaan van wachtwoorden met makkelijk te breken versleuteling is niet toegestaan.

Brummen stelt in de komende periode een veilige wachtwoordvoorziening beschikbaar die voor iedereen te gebruiken is. 5.2.6.5 Accountvergrendeling Accounts worden vergrendeld na zes foutieve inlogpogingen. Deze foutieve inlogpogingen worden gesignaleerd bij systeembeheer of de helpdesk en onderzocht. 5.2.6.6 Duur vergrendeling Vergrendeling kan alleen worden opgeheven door systeembeheer of de helpdesk. 5.2.6.7 Reset lockout-teller De teller wordt niet automatisch gereset. 5.2.6.8 Verantwoordelijkheden van medewerkers Medewerkers zijn verplicht hun wachtwoorden geheim te houden en niet te delen met anderen. Tevens is het niet toegestaan om: • Wachtwoorden op papier te bewaren; • Onbeveiligde digitale wachtwoordopslag te gebruiken (zoals een Excelbestand). Het gebruik van wachtwoordmanagers is toegestaan na goedkeuring door de CISO en team I&A. Hiervoor wordt nog een centrale voorziening ingericht. Medewerkers blijven te allen tijde verantwoordelijk voor wat er onder hun account gebeurt.

12

5.2.7

Handhaving en controle

Het management en de coördinatoren zien toe op de naleving van dit beleid. Hierbij worden zij ondersteund door team I&A, door o.a. technische monitoring en maatregelen. Bij overtreding kan worden overgegaan tot: • Tijdelijke of permanente blokkering van accounts; • Aanvullende beveiligingsmaatregelen; • Disciplinaire stappen bij ernstige overtredingen. 5.2.8

Monitoring en bijstelling

De informatiemanager, CISO, adviseur informatiebeheer, Privacy Officer, FG en controller monitoren voortgang en risico’s. Afwijkingen, bevindingen uit pre-DPIA/DPIA, risicoanalyses, audits en incidenten worden periodiek gerapporteerd door middel van de kwartaalrapportage IBP. De rapportage wordt met het management besproken en leiden, waar nodig, tot bijstelling van inrichting, maatregelen, procedures of planning. 5.2.9 Opslag van informatie Gemeente Brummen stelt duidelijke kaders voor de opslag van informatie. Gegevens over inwoners, medewerkers, processen of interne besluitvorming mogen uitsluitend conform de dataclassificatie methodiek worden opgeslagen in daarvoor bedoelde en beheerde systemen, zoals vak applicaties, het zaaksysteem, archiefmodules of andere door de organisatie goedgekeurde opslaglocaties. Alle medewerkers zijn zelf verantwoordelijk voor het veilig en juist opslaan van informatie. Data wordt zoveel mogelijk enkelvoudig opgeslagen en meervoudig gebruikt. Werk wordt zoveel mogelijk digitaal uitgevoerd. Rapportages, aanvragen en klantdossiers worden waar mogelijk niet geprint maar digitaal bewerkt. Data wordt niet opgeslagen buiten de EU, en bij voorkeur niet bij providers die dochterondernemingen zijn van organisaties buiten de EU.

5.2.9.1 Delen van documenten • Intern samenwerken: Delen van informatie en documenten gaat via de W-Schijf • Extern delen gebeurt via Zivver voor veilige uitwisseling met externen • Microsoft365 (o.a. Teams/Sharepoint/Onedrive) wordt gefaseerd ingevoerd, tot volledige implementatie is afgerond, is het gebruik beperkt. 5.2.9.2 Opslagverbod op niet-geautoriseerde locaties Gemeentelijke informatie mag uitsluitend worden opgeslagen in beheerde systemen (vak applicaties, zaaksysteem, archiefmodules of door de organisatie goedgekeurde opslaglocaties). Het is niet toegestaan om gemeentelijke informatie over het werk, burgers of cliënten op te slaan op persoonlijke of onbeheerde plekken, waaronder maar niet beperkt tot persoonlijke schijven, privé-OneDrives, Google-Drive, Dropbox, WhatsApp, Signal, persoonlijke USB-sticks, lokale downloads naar laptops of telefoons, of schijven zonder beheer afspraken. Deze locaties vallen buiten het gemeentelijke beheer en voldoen niet aan de eisen voor informatiebeveiliging, privacy, archivering en controleerbaarheid en verantwoording.

13

6 Cloud oplossingen 6.1 Huidige situatie De gemeente Brummen werkt met een hybride IT-landschap waarin zowel Cloudoplossingen als on-premise infrastructuur worden ingezet. Een groot deel van de applicaties en data is inmiddels naar de Cloud gemigreerd. Belangrijke vak applicaties zoals Youforce, Tim, LEEF, ZorgNed, Fixi en Decos Join (zaaksysteem) draaien in de Cloud of als hybride oplossing. Tegelijkertijd zijn er nog systemen, zoals Key2Burgerzaken en Key2Finance die on-premise worden gehost. Dit komt vaak door benodigde investeringen, technische eisen of het ontbreken van geschikte SaaS-alternatieven.

6.2 Doelsituatie: Standaard applicaties, cloud first Brummen maakt voor haar inhoudelijke werkzaamheden zoveel mogelijk gebruik van bestaande en bewezen applicaties, waarbij er een voorkeur is voor applicaties die als SaaS worden aangeboden applicaties om het technisch beheer te minimaliseren en flexibiliteit en schaalbaarheid te vergroten. Met SaaS wordt nadrukkelijk niet gedacht aan gevirtualiseerde desktop applicaties die in een cloud omgeving van een leverancier zijn geplaatst. Indien een applicatie niet als SaaS wordt aangeboden maar wel noodzakelijk wordt geacht is hiervoor een eigen serverpark met een virtualisatieplatform beschikbaar, in de vorm van een terminalserver (Citrix/MS terminalserver). Het doel is dat de terminalserver op termijn wordt uitgefaseerd. Nieuw aan te schaffen applicaties moeten bij voorkeur als SaaS draaien zonder gebruik van de terminalserver. Hier wordt alleen bij uitzondering van afgeweken (SaaS, tenzij). Bij vergelijkbare geschiktheid is er een voorkeur voor Europese cloud leveranciers boven andere. Cloudleveranciers moeten voldoen aan de Nederlandse en Europese wet- en regelgeving waaronder de AVG en niet onderhavig zijn aan wetgeving die hen kan dwingen onze data over te dragen aan anderen.

Sommige applicaties, zoals NetWrix (auditing en logging) en netwerkbeveiligingslagen als Eduguard, blijven bewust on-premise vanwege de hoeveelheid data, latency (reactiesnelheid), privacy gevoeligheid en de noodzaak tot offline beschikbaarheid en continuïteit van dienstverlening.

6.3 Inzet van Clouddiensten Gemeente Brummen maakt primair gebruik van SaaS-oplossingen voor haar kernapplicaties. Daarnaast wordt Connectivity-as-a-Service (CaaS) ingezet. CaaS betekent dat netwerkfunctionaliteiten zoals firewalls, internetfiltering, routing en beveiligingslagen als beheerde Clouddienst kunnen worden afgenomen. Dit zorgt voor centrale, schaalbare en uniform ingerichte netwerkbeveiliging, zonder dat deze lokaal onderhouden hoeft te worden. 6.3.1 Visie op buitenlandse Clouddiensten en datalocatie Gemeente Brummen hanteert een kritisch beleid ten aanzien van buitenlandse Clouddiensten, met name Amerikaanse aanbieders. De ambitie is om data op te slaan in een veilig land met passende verdragen en waar leveranciers voldoen aan de gestelde eisen op het gebied van

14

privacy, datalocatie en compliance. In de huidige markt is het echter niet altijd mogelijk om deze ambitie volledig te realiseren, vanwege het beperkte aanbod van geschikte alternatieven. De gemeente heeft een duidelijke ambitie om de afhankelijkheid van Amerikaanse Cloudaanbieders te verkleinen en geeft waar mogelijk de voorkeur aan Nederlandse of Europese leveranciers. Daarbij worden marktontwikkelingen en landelijke richtlijnen nauwlettend gevolgd, zodat het beleid kan worden aangepast zodra betere alternatieven beschikbaar komen.

6.4 Borging van eisen: informatiebeveiliging, privacy, continuïteit en contractmanagement Bij iedere aanbesteding worden eisen op het gebied van informatiebeveiliging, privacy, continuïteit en contractmanagement standaard opgenomen. De Functionaris Gegevensbescherming (FG), Privacy Officer (PO) en Chief Information Security Officer (CISO) zijn betrokken bij de toetsing en borging van deze eisen. Ook buiten aanbestedingen om worden nieuwe Clouddiensten getoetst door de relevante functionarissen. De borging van continuïteit vindt plaats via changemanagement en periodieke evaluaties. Deze wijzigingen en evaluaties worden geregistreerd en afgehandeld via TOPdesk, zodat besluitvorming, controles en opvolging uniform en traceerbaar zijn. Gemeente Brummen hanteert het principe “Cloud, tenzij”, waarbij Cloudoplossingen de standaard zijn, tenzij er zwaarwegende redenen zijn om hiervan af te wijken. Een Cloudoplossing wordt echter alleen gekozen wanneer het gaat om een dedicated webapplicatie (expliciet geen gevirtualiseerde gehoste desktopapplicatie) oplossing die aantoonbaar toegevoegde waarde biedt ten opzichte van de bestaande situatie.

6.5 Risicoafweging en compliance Bij iedere nieuwe Cloud implementatie voert gemeente Brummen een integrale risicoafweging uit conform de Baseline Informatiebeveiliging Overheid (BIO2), Cbw en AVG. Bij verwerking van persoonsgegevens wordt een DPIA uitgevoerd. Leveranciers moeten aantoonbaar voldoen aan beveiligingsnormen en contractueel waarborgen dat data binnen de EU blijft.

6.6 Samenvatting en richting De Cloud aanpak van gemeente Brummen is gericht op een geleidelijke, verantwoorde migratie naar SaaS-oplossingen, met oog voor standaardisatie, veiligheid, privacy en continuïteit. De aanpak sluit aan bij de speerpunten uit de I-visie: toegankelijke en eigentijdse dienstverlening, data gedreven werken, voldoen aan informatiewetten en het versterken van de organisatieefficiëntie. Gemeente Brummen blijft alert op marktontwikkelingen en streeft naar een toekomstbestendige, flexibele informatievoorziening die aansluit bij de maatschappelijke en wettelijke opgaven van de organisatie.

15

7 AI-beleid Dit AI-beleid is opgesteld om richting te geven aan het gebruik van Artificial Intelligence binnen de gemeente Brummen. Dit beleid sluit aan op het document “Kader inrichting Artificial Intelligence” (Gemeente Brummen, juni 2025). Dit kader is een levend document dat regelmatig wordt geactualiseerd om in te spelen op technologische en wettelijke ontwikkelingen. Voor actuele richtlijnen en kaders, waaronder het gebruik van generatieve AI zoals Copilot, dient altijd de meest recente versie van dit document te worden geraadpleegd. 7.1.1

Huidige status en ambitie

De gemeente Brummen bevindt zich aan het begin van de implementatie van AI binnen haar organisatie. De directie heeft AI als topprioriteit aangemerkt, met als uitgangspunt dat de gemeente enerzijds haar afhankelijkheid van Amerikaanse technologie wil verminderen en anderzijds proactief wil inspelen op de kansen en risico’s die AI met zich meebrengt. Brummen kiest er nadrukkelijk voor om géén koploper te zijn in het toepassen van AI, maar volgt wél actief de relevante ontwikkelingen binnen gemeenteland en Europa om weloverwogen, veilige en bewezen toepassingen te kunnen inzetten. De eerste stappen richten zich op het uitvoeren van pilots en het volgen van relevante trends binnen gemeenteland. Hierbij wordt bewust gekozen voor een gefaseerde aanpak: allereerst wordt onderzocht wat de impact van AI is op ethiek, privacy en veiligheid, alvorens er wordt gekeken naar concrete functionaliteiten en toepassingen. De AI-Act wordt als basis gehanteerd voor het beleid van de gemeente Brummen, zodat alle toekomstige ontwikkelingen en implementaties aansluiten bij de wettelijke kaders en ethische richtlijnen. 7.1.2

Visie op AI-gebruik

Brummen ziet AI (bijv. toepassingsgerichte AI-oplossingen) als een middel om haar dienstverlening te verbeteren, processen te optimaliseren en medewerkers te ondersteunen. Generatieve AI, zoals chatbots, kan bijdragen aan het toegankelijker en persoonlijker maken van gemeentelijke diensten, bijvoorbeeld door het sneller beantwoorden van vragen van inwoners of het ondersteunen van bezwaarprocedures. Tegelijkertijd is transparantie, uitlegbaarheid en menselijke tussenkomst bij besluitvorming essentieel. De gemeente streeft ernaar dat algoritmen altijd uitlegbaar en toetsbaar zijn, en dat op uitkomsten van algoritmen een menselijk eindoordeel volgt. 7.1.3

Toepassingen en projecten

Op dit moment is het gebruik van AI binnen Brummen nog beperkt en vooral experimenteel. Er wordt gestart met pilots, waarbij de nadruk ligt op het inventariseren van bestaande en potentiële AI-toepassingen. Hierbij wordt gebruik gemaakt van het landelijke algoritmeregister (algoritmes.overheid.nl) om transparantie te waarborgen en kennis te delen met andere gemeenten. De voorkeur gaat uit naar Europese of Nederlandse AI-oplossingen, maar de praktijk leert dat dit niet altijd direct haalbaar is. 7.1.4

Borging van eisen: privacy, security, continuïteit

Het AI-beleid van Brummen is gebaseerd op relevante wet- en regelgeving, waaronder de AVG, BIO2, Cbw, Archiefwet, Woo en de Europese AI-Act. Voor AI-systemen die persoonsgegevens verwerken of een hoog risico vormen, worden DPIA’s en IAMA’s (Impact Assassement

16

Mensenrechten en Algoritmes) uitgevoerd. Leveranciers van AI-systemen moeten transparant zijn over hun algoritmen en voldoen aan alle compliance-verplichtingen gedurende de levenscyclus van hun applicaties. Daarnaast moeten deze geregistreerd worden in het Algoritmeregister van de Nederlandse overheid. In het inkoopproces worden expliciete eisen gesteld aan transparantie, documentatie, risicomanagement en audits. 7.1.5

AI-Act en ethiek

De AI-Act is een integraal onderdeel van het AI-beleid van Brummen. Hoog-risico algoritmen worden geregistreerd en getoetst aan de eisen van de AI-Act als onderdeel van het change proces. Daarnaast wordt overwogen om een ethische commissie of werkgroep in te stellen die de ethische consequenties van AI-gebruik beoordeelt. Het beleid is een “levend document” dat meebeweegt met technologische en maatschappelijke ontwikkelingen. 7.1.6

Kaders voor gebruik van Copilot

Voor generatieve AI zoals Copilot gelden specifieke kaders document “Kader inrichting Artificial Intelligence” (Gemeente Brummen, juni 2025), waaronder het verbod op het verwerken van persoonsgegevens, het vermijden van organisatiegevoelige informatie, het controleren van output op juistheid en het voorkomen van discriminatie. Medewerkers worden aangemoedigd om ervaring op te doen met Copilot, maar het gebruik is nog geen integraal onderdeel van bedrijfsprocessen. Andere chatprogramma’s zoals ChatGPT voor gemeentelijk werk zijn nadrukkelijk niet toegestaan.

17

8 Werkplekken 8.1 Werkplekken Gemeente Brummen faciliteert medewerkers met een betrouwbare, veilige en toekomstbestendige digitale werkplek. Deze werkplek stelt medewerkers in staat hun werk effectief uit te voeren, onafhankelijk van locatie en binnen de kaders van informatiebeveiliging, privacy en continuïteit. Dit werkplekbeleid beschrijft de typen werkplekken, bijbehorende functionaliteiten, verantwoordelijkheden en afbakening van gebruik. Het beheer van de uitgegeven apparatuur ligt bij I&A. I&A is verantwoordelijk voor het uitleveren van laptops en telefoons die periodiek geüpdate worden en het updaten van deze apparaten wordt waar mogelijk afgedwongen via Mobile device management. Toepasselijkheid op medewerkers, inhuur en stagiairs Dit werkplekbeleid is van toepassing op alle gebruikers van gemeentelijke werkplekken, waaronder medewerkers, inhuur, stagiairs en tijdelijk ingehuurde professionals. Voor al deze groepen gelden dezelfde kaders voor informatiebeveiliging, privacy, gebruik van gemeentelijke middelen en melding van incidenten. Afwijkende of beperkte toegangsrechten worden uitsluitend vooraf bepaald door team I&A en geregistreerd in TOPdesk. Principe: werken gebeurt in de gemeentelijke digitale werkomgeving en op gemeentelijke middelen.

Niet-gemeentelijke apparatuur wordt uitsluitend onder voorwaarden gebruikt, zie paragraaf over niet door Brummen beheerde apparatuur. 8.1.1 Beschikbare werkplekken Gemeente Brummen stelt verschillende typen werkplekken beschikbaar die aansluiten op de diversiteit aan werkzaamheden binnen de organisatie. Werkplekken worden centraal beheerd en ingericht volgens uniforme standaarden om beschikbaarheid, veiligheid en betrouwbaarheid te waarborgen. 8.1.1.1 Werkplek (kantoor) De standaard werkplek maakt onderdeel uit van een vaste bureauopstelling. Medewerkers kunnen gebruikmaken van alle beschikbare werkplekken binnen gemeentelijke locaties. De werkplek is geschikt voor het gebruik van vrijwel alle applicaties, inclusief grafische toepassingen via VDI. Configuratie: • Vaste PC of thin client/chromebook. • 2× 27 inch monitor met bureaubeugel • Toetsenbord • Muis 8.1.1.2 Aanlandwerkplek Aanlandwerkplekken zijn bedoeld voor medewerkers die primair met een laptop werken. De werkplek biedt de mogelijkheid om een laptop via USB-C aan te sluiten op een dockingstation.

18

Configuratie: • Dockingstation met USB-C • 2× 27 inch monitor met bureaubeugel • Toetsenbord • Muis 8.1.1.3 Grafische werkplek Voor werkzaamheden die intensieve grafische verwerking vereisen (o.a. GIS, CAD of Adobetoepassingen) is een grafische werkplek beschikbaar. Afhankelijk van de technische eisen wordt een virtuele of fysieke werkplek ingezet. Virtuele variant: geschikt voor o.a. GIS-toepassingen. Fysieke varianten worden alleen toegepast wanneer applicaties te zwaar zijn voor VDI. 8.1.1.4 Thuiswerkplek Voor thuiswerken kan een aanvullende monitor en randapparatuur worden verstrekt. Arbomiddelen zijn persoonsgebonden en worden via HR aangevraagd. Toekenning verloopt conform Arbo‑advies. 8.1.2 Werken via de gemeentelijke werkomgeving (VDI) Brummen werkt primair via een virtuele desktopomgeving (VDI). De onderliggende technologie (bijv. Citrix of opvolger) kan wijzigen zonder beleidsimpact. 8.1.3

Plaats onafhankelijk werken

8.1.3.1 Laptop Iedere medewerker die er een nodig heeft ontvangt een laptop om plaats-onafhankelijk te kunnen werken. Via VPN of VDI is toegang beschikbaar tot gemeentelijke applicaties en bestanden. De gemeente werkt op dit moment met Chromebooks: indien een functie dat vereist, wordt stapsgewijs naar reguliere laptops overgestapt. Configuratie: • Chromebook of laptop (functie afhankelijk) • Voeding • Draadloze muis • Laptoptas 8.1.3.2 Tablet Een tablet (iPad) kan, na akkoord van de leidinggevende, worden verstrekt wanneer dit noodzakelijk is voor het werk. Tablets worden geleverd met mail, agenda en een beschermhoes. Optioneel kan toegang worden verleend via de VDI tot lokale schijven (W-schijf). Wanneer een iPad geen recente iOS updates meer ontvangt, komt deze in aanmerking voor vervanging. 8.1.3.3 Mobiele telefonie Iedere medewerker ontvangt een standaard gemeentelijke smartphone. Afwijkingen (bijvoorbeeld groter model) zijn uitsluitend mogelijk op basis van medische noodzaak of andere gegronde redenen, met akkoord van leidinggevende en ingediend bij team I&A. 8.1.3.4 Gebruik van niet door Brummen beheerde apparatuur (BYOD) Gebruik van apparatuur die niet door Brummen wordt beheerd is in principe niet toegestaan in het werken voor Brummen.

Uitsluitend onder voorwaarden (formele aanvraag via een wijzigingsverzoek, risicobeoordeling, apparatuur up-to-date en voorzien van virusbescherming) kan hiervan worden afgeweken. Aan de hand van het verzoek wordt vervolgens bepaald wat de meest passende oplossing is die geboden kan worden.

19

8.1.3.5 Duurzaamheid In het kader van duurzaamheid wil Brummen graag apparaten zolang mogelijk inzetten alvorens deze te vervangen. Bij de keuze van apparaten wordt hier waar mogelijk rekening gehouden zodat er geen onnodige verspilling van grondstoffen ontstaat. 8.1.4

Privégebruik en accounts buiten de Brummen omgeving

8.1.4.1 Privégebruik Beperkt privégebruik van gemeentelijke middelen is toegestaan, zolang dit niet conflicteert met beveiligingsmaatregelen, geen gebruik gemaakt wordt van het @brummen.nl account voor privé-zaken, geen risico vormt voor informatiebeveiliging en geen gemeentelijke informatie wordt gebruikt of opgeslagen in privé-applicaties of privé-opslag. Bij twijfel stemt de medewerker dit af met de leidinggevende. Bij beveiligings- of privacyvraagstukken wordt er met de CISO of Privacy Officer afgestemd. 8.1.4.2 Overdracht van informatie en accounts bij uit dienst Accounts in toepassingen buiten de gemeente-omgeving die zijn aangemaakt met een @brummen.nl account zijn alleen toegestaan voor werkdoeleinden. Deze moeten bij vertrek worden overgedragen en worden afgesloten. Het is niet toegestaan om het @brummen.nl account te gebruiken voor privé-aangelegenheden. 8.1.4.3 Acounts, onboarding & offboarding Gebruikersaccounts worden op de laatste werkdag gedeactiveerd, verwijdering vindt plaats na drie maanden conform beheerproces. Daarnaast worden alle fysieke spullen, zoals een tag, telefoon, laptop, tablet, etc. ingeleverd op de laatste werkdag. Aanvragen, wijzigingen en intrekkingen van gebruiker accounts of autorisaties verlopen via HR en TOPdesk. 8.1.5

Beveiliging, updates & incidentmelding

8.1.5.1 Toegang en 2FA Toegang tot de gemeente omgeving en applicaties vindt plaats via autorisaties in Active Directory. Toegang tot gemeentelijke applicaties vindt plaats via de virtuele Brummen omgeving waarbij verplicht gebruik moet worden gemaakt van 2-factor authenticatie via OTP (one-timepassword via een app). 8.1.5.2 Updates en Mobile Device Management (MDM) MDM is op dit moment in ontwikkeling en nog niet volledig uitgerold. Het doel van MDM is om updates, beveiligingsinstellingen en apparaat configuraties centraal te kunnen beheren en te borgen dat gemeentelijke apparaten veilig en up-to‑date blijven. Naarmate MDM verder wordt ingericht, wordt bepaald welke updates automatisch worden afgedwongen en welke verantwoordelijkheid bij medewerkers blijft liggen. Hierover volgt aanvullende uitwerking in separaat beheerbeleid zodra MDM volledig operationeel is. Tot dat moment geldt: medewerkers installeren reguliere OS & en app-updates zodra die beschikbaar zijn, en team I&A kan kritieke beveiligingsupdates centraal uitrollen wanneer dit noodzakelijk is voor de veiligheid van de gemeentelijke omgeving. Indien medewerkers na herhaalde aansporing updates niet installeren, wordt hen de toegang via het betreffende device ontzegd.

20

8.1.5.3 Vermissing, diefstal & datalekken Vermissing of diefstal van apparaten dient uiterlijk binnen 24 uur gemeld zijn bij team I&A. Mogelijke datalekken meld je daarnaast bij de Privacy Officer (PO). Registratie en afhandeling van meldingen verlopen via Topdesk, zodat opvolging en audittrail geborgd zijn.

21

9 Ondersteunende beleidsdocumenten & bedrijfsvoering 9.1 Change Management Brummen heeft een changemanagementproces, dat is vastgesteld door het MT. Hieronder staat een samenvatting, de volledige procedure is te vinden in het vastgestelde proces. Meldingen kunnen worden ingediend via het change proces in topdesk. Gemeente Brummen heeft een uniforme procedure voor wijzigingen in ICT-systemen, bedoeld om deze snel, veilig en gecontroleerd door te voeren zonder onnodige vertraging. De afspraken worden halfjaarlijks geëvalueerd. Doel en scope De procedure geldt voor alle wijzigingen aan software, hardware, processen en gegevensverwerking die impact hebben op werkprocessen of systemen. Kleine functionele aanpassingen vallen buiten deze procedure. Het doel is om wijzigingen zorgvuldig door te voeren met aandacht voor informatiebeveiliging, privacy en continuïteit. Rollen • • • • • • •

Aanvrager: dient de wijziging in. Informatiemanager (IM): analyseert impact, coördineert afstemming en bereidt besluitvorming voor. Proceseigenaar (PE): beoordeelt gevolgen voor processen. Functioneel beheerder (FB): beoordeelt applicatie-impact en test. ICT-coördinator: beoordeelt techniek en plant uitvoering. CISO & FG: toetsen beveiliging en privacy. Budgethouder, Controller, MT en Change Adviesgroep: worden betrokken bij grotere of risicovolle wijzigingen.

Procedure 1. Initiatie: wijzigingsverzoek via TOPdesk; IM bepaalt of intake nodig is. 2. Analyse: IM onderzoekt doel, impact en betrokken systemen, en betrekt relevante rollen. 3. Beoordeling: FB, ICT-coördinator, CISO, FG en zo nodig AE en budgethouder beoordelen risico’s, techniek en kosten. 4. Besluit: o Standaardwijzigingen: besluit door IM + ICT-coördinator. o Grote/majeure wijzigingen: besluit door MT of Change Adviesgroep. 5. Uitvoering: ICT-coördinator plant; FB test; IM bewaakt voortgang. 6. Nazorg: IM evalueert resultaat en rondt de wijziging af. Classificatie Wijzigingen worden ingedeeld als klein, standaard, groot of majeur; deze categorie bepaalt de diepgang van beoordeling en besluitvorming.

22

9.2 Governance & Organisatie Gemeente Brummen werkt met een heldere governance-structuur voor ICT, gericht op een goed beheerbare informatiehuishouding en duidelijke afspraken over eigenaarschap en verantwoordelijkheden. Deze structuur is vastgesteld door het managementteam en vormt de basis voor effectieve samenwerking, snelle besluitvorming en het beheersen van risico’s. Voor een uitgebreide beschrijving van rollen, verantwoordelijkheden en overlegstructuren wordt verwezen naar de documenten “Brummen – Governance en Eigenaarschap” zoals opgenomen in zaaknummer Z124694. Rollen & verantwoordelijkheden Binnen de ICT-organisatie zijn de volgende rollen en verantwoordelijkheden belegd: • Gemeentesecretaris: Eindverantwoordelijk voor de uitvoering van taken en het toezicht op correcte invulling van rollen. • Proceseigenaar: Verantwoordelijk voor het functioneren, optimaliseren en compliance van werkprocessen. • Key User: Inhoudelijk expert en eerste aanspreekpunt voor functioneel beheer bij procesinrichting en adoptie. • Gegevenseigenaar: Verantwoordelijk voor kwaliteit, rechtmatigheid, veiligheid en doelbinding van gegevens. • Informatiemanager: Verbindende schakel tussen beleid, processen en technologie; strategisch en tactisch verantwoordelijk voor informatievoorziening.