RV 1158910 Verantwoording ENSIA 2020

Raadsvoorstel Verantwoording ENSIA 2020 Nummer 1158910 Aan de commissie: Portefeuillehouder: M. van de Groep Beleidskader: Opmerkingen griffie: Team: Informatiebeheer Ambtenaar: Telefoonnummer: 033 - 299 1411 E-mailadres: Datum: 27 mei 2021 Aanvullende stukken

1. Titel:Collegeverklaring-ENSIA-2020-Inzake-Informatiebeveiliging-DigiD-en-Suwinet (Geheim) 2. 3. 4. 5. 6. 7. 8. 9.

Bijlagen digitaal beschikbaar: nee Ter inzage: ja Titel: Bijlage 1 DigiD (geheim) Bijlagen digitaal beschikbaar: nee Ter inzage: ja Titel: Bijlage 2 Suwinet (geheim) Bijlagen digitaal beschikbaar: nee Ter inzage: ja Titel:Verantwoordingsrapportage-BAG-2020 (Geheim) Bijlagen digitaal beschikbaar: nee Ter inzage: ja Titel: Verantwoordingsrapportage-BGT-2020 (Geheim) Bijlagen digitaal beschikbaar: nee Ter inzage: ja Titel: Verantwoordingsrapportage-BRO-2020 (Geheim) Bijlagen digitaal beschikbaar: nee Ter inzage: ja Titel: ENSIA Assurancerapport (Geheim) Bijlagen digitaal beschikbaar: nee Ter inzage: ja Titel: TPM DigiD (Geheim) Bijlagen digitaal beschikbaar: nee Ter inzage: ja Titel: Dataclassificatie in het kader van de DigiD audit 2020 (Geheim) Bijlagen digitaal beschikbaar: nee Ter inzage: ja

Voorstel De geheimhouding op de collegeverklaring en de hierboven genoemde stukken te bekrachtigen. Inleiding In november 2014 hebben de Nederlandse gemeenten de “Resolutie Informatieveiligheid, randvoorwaarde voor de professionele gemeente” aangenomen. Daarin hebben de gemeenten afgesproken om toe te werken naar de Baseline Informatieveiligheid Gemeenten (BIG). Inmiddels is deze baseline opgevolgd door de Baseline Informatieveiligheid Overheid (BIO). Deze nieuwe baseline is van toepassing op alle overheidsorganisaties. Voor de verantwoording van deze baseline is er een zelfevaluatievragenlijst ontwikkeld genaamd ENSIA (Eenduidige Normatiek Single Information Audit). Voor dit jaar bestaat de ENSIA

verantwoording uit een collegeverklaring voor DigiD en Suwinet. Daarnaast worden de verantwoordingsrapportage BAG, BGT en BRO opgeleverd. Het verantwoordingsproces Gemeenten hebben een belangrijke taak en verantwoordelijkheid als het gaat om het op orde hebben van informatiebeveiliging en het beschermen van informatie. Steeds vaker worden gemeenten geconfronteerd met hacks, datalekken en beveiligingsincidenten. Informatieveiligheid en privacy hebben daarom een belangrijke plaats op de gemeentelijke agenda. Het adequaat inrichten van verantwoordingsprocessen is daarbij essentieel. Zo blijft informatieveiligheid en privacy van burgers gewaarborgd. Gemeenten verantwoorden zich daarom elk jaar over de kwaliteit van informatieveiligheid van diverse informatiesystemen. Sinds 2017 gebeurt dit met ENSIA-systematiek. Hiermee wordt het verantwoordingsproces rondom informatieveiligheid gestroomlijnd. Dit gebeurt zowel horizontaal, richting de gemeenteraad als verticaal, richting de Ministeries. Collegeverklaring informatieveiligheid inzake DigiD en Suwinet Alle Nederlandse gemeenten zijn verplicht zich te verantwoorden over de stand van zaken omtrent informatieveiligheid. Om deze verantwoording vorm te geven is er een collegeverklaring opgesteld. Met deze collegeverklaring geeft het college de huidige stand van zaken weer over de informatieveiligheid.

Voor het verantwoordingsjaar 2020 beslaat de collegeverklaring uit de deelgebieden Suwinet en DigiD. De collegeverklaring is getoetst door een onafhankelijke, externe IT-auditor. Deze auditor heeft assurance afgegeven op de collegeverklaring. Op basis van de collegeverklaring en het assurance rapport dat opgesteld is door de IT-auditor is verantwoording afgelegd aan de verticale toezichthouders (Ministeries). Verantwoordingsrapportage BAG, BGT en BRO In het kader van ENSIA is over het verantwoordingsjaar 2020 ook een zelfevaluatie uitgevoerd voor de BAG (Basisregistratie Adressen en Gebouwen), BGT (Basisregistratie Grootschalige Topografie) en BRO (Basisregistratie Ondergrond). Deze zelfevaluaties gaan in op vier kwaliteitscriteria: borging van het proces, tijdigheid, volledigheid en juistheid. De resultaten uit deze zelfevaluaties zijn op 16april 2021 gedeeld met de toezichthouder middels de verantwoordingsrapportage. Verantwoording afleggen aan de gemeenteraad Voor het afleggen van verantwoording aan de gemeenteraad wordt er aangesloten bij de planning en control cyclus. In het jaarverslag wordt er verantwoording afgelegd over informatieveiligheid aan de gemeenteraad. Daarnaast worden de collegeverklaring, audit rapportage en de verantwoordingsrapportages BAG, BGT en BRO aangeboden aan de gemeenteraad ter verantwoording voor ENSIA.

Geheimhouding Binnen informatieveiligheid wordt gewerkt met gevoelige informatie, zoals informatie over netwerken en kwetsbaarheden in de beveiliging. Wanneer deze in verkeerde handen terechtkomt, kan dit grote gevolgen hebben voor de vertrouwelijkheid, juistheid en/of beschikbaarheid van informatie. Mogelijk gevolg is dat burgers hier schade van ondervinden doordat persoonsgegevens gelekt zijn of dat de dienstverlening niet geleverd kan worden. Om deze reden dienen de bijlagen bij het raadsvoorstel vertrouwelijk te worden behandeld en vallen deze documenten onder de geheimhouding.

Argumenten In de bijlagen is informatie opgenomen over de beveiligingsmaatregelen die de gemeente treft om de systemen en gegevens te beveiligen. Deze informatie kan kwaadwillende helpen bij het doorbreken van de beveiliging, wat kan leiden tot grote schade voor de gemeente. Kanttekening N.v.t. Financiën Bij dit raadsvoorstel zijn er geen financiële gevolgen. Uitvoering N.v.t. Communicatie N.v.t.

De raad van de gemeente Bunschoten, Gezien het voorstel van burgemeester en wethouders nummer 1185821 Gelet op de Gemeentewet: Artikel 25, derde lid Besluit De geheimhouding op de collegeverklaring en de bijbehorende stukken te bekrachtigen Aldus vastgesteld in de openbare vergadering van de raad van de gemeente Bunschoten van 27 mei 2021 , Griffier Drs. E. Hoogstraten Voorzitter M. van de Groep