Schriftelijke mededeling.docx

Schriftelijke mededeling Nummer 1230450 - Verantwoording ENSIA 2025 Aan de commissie: Bestuur en Financiën Portefeuillehouder: J. Geurts Beleidskader: Informatiebeheer Opmerkingen griffie: Team: Informatiebeheer Ambtenaar: J. Schrijver Telefoonnummer: 033 - 299 1411 E-mailadres: j.schrijver@bunschoten.nl Datum: 21-04-2026

Aanvullende stukken 1. Titel: Collegeverklaring-ENSIA-2025-Inzake-Informatiebeveiliging-Suwinet-Bunschoten Bijlagen digitaal beschikbaar: Ja Ter inzage: Ja 2. Titel: Bijlage 1 - Suwinet (Geheim) Bijlagen digitaal beschikbaar: Nee Ter inzage: Ja 3. Titel: ENSIA Assurancerapport (Geheim) Bijlagen digitaal beschikbaar: Nee Ter inzage: Ja 4. Titel: Verantwoordingsrapportage 2025 – BAG, BGT en BRO Bijlagen digitaal beschikbaar: Ja Ter inzage: Ja Mededeling Vanaf 2020 geldt de BIO (Baseline Informatiebeveiliging voor de Overheid) als normenkader voor informatieveiligheid voor de Nederlandse overheid. Voor de verantwoording van deze baseline is er een zelfevaluatievragenlijst ontwikkeld genaamd ENSIA (Eenduidige Normatiek Single Information Audit). Voor dit jaar bestaat de ENSIA-verantwoording uit een collegeverklaring voor Suwinet en de verantwoordingsrapportage BAG, BGT en BRO. Het verantwoordingsproces Gemeenten hebben een belangrijke taak en verantwoordelijkheid als het gaat om het op orde hebben van informatiebeveiliging en het beschermen van informatie. Steeds vaker worden gemeenten geconfronteerd met hacks, datalekken en beveiligingsincidenten. Informatieveiligheid en privacy hebben daarom een belangrijke plaats op de gemeentelijke agenda. Het adequaat inrichten van verantwoordingsprocessen is daarbij essentieel.

Zo blijft informatieveiligheid en privacy van burgers gewaarborgd. Gemeenten verantwoorden zich daarom elk jaar over de kwaliteit van informatieveiligheid van diverse informatiesystemen. Sinds 2017 gebeurt dit met ENSIA-systematiek. Hiermee wordt het verantwoordingsproces rondom informatieveiligheid gestroomlijnd. Dit gebeurt zowel horizontaal, richting de gemeenteraad als verticaal, richting de Ministeries. Collegeverklaring informatieveiligheid inzake Suwinet Alle Nederlandse gemeenten zijn verplicht zich te verantwoorden over de stand van zaken omtrent informatieveiligheid. Om deze verantwoording vorm te geven is er een collegeverklaring opgesteld. Met deze collegeverklaring geeft het college de huidige stand van zaken weer over de informatieveiligheid. Sinds dit jaar maakt de verantwoording van DigiD geen deel meer uit van de collegeverklaring. Nadat de audit assurance heeft afgegeven worden de resultaten direct gedeeld met de toezichthouder Logius. Dit gebeurt volgens het 3000D audit-principe. Voor het verantwoordingsjaar 2025 beslaat de collegeverklaring daarom alleen uit het deelgebied Suwinet. De collegeverklaring is getoetst door een onafhankelijke, externe IT-auditor. Deze auditor heeft assurance afgegeven op de collegeverklaring. Op basis van de collegeverklaring en het assurance

rapport dat opgesteld is door de IT-auditor is verantwoording afgelegd aan de verticale toezichthouders (Ministeries). In de verklaring is te lezen dat de gemeente Bunschoten aan alle normen voldoet. Verantwoordingsrapportage BAG, BGT en BRO In het kader van ENSIA is over het verantwoordingsjaar 2025 ook een zelfevaluatie uitgevoerd voor de BAG (Basisregistratie Adressen en Gebouwen), BGT (Basisregistratie Grootschalige Topografie) en de BRO (Basisregistratie Ondergrond). Deze zelfevaluaties gaan in op vier kwaliteitscriteria: borging van het proces, tijdigheid, volledigheid en juistheid. De resultaten uit deze zelfevaluaties zijn op 29 april 2026 gedeeld met de toezichthouder middels de verantwoordingsrapportage. Verantwoording afleggen aan de gemeenteraad Voor het afleggen van verantwoording aan de gemeenteraad wordt er aangesloten bij de planning en control cyclus. In het jaarverslag wordt er verantwoording afgelegd over informatieveiligheid aan de gemeenteraad. Daarnaast worden de collegeverklaring, audit rapportage en de verantwoordingsrapportages BAG, BGT de BRO aangeboden aan de gemeenteraad ter verantwoording voor ENSIA. Geheimhouding Binnen informatieveiligheid wordt gewerkt met gevoelige informatie, zoals informatie over netwerken en kwetsbaarheden in de beveiliging.

Wanneer deze in verkeerde handen terechtkomt, kan dit grote gevolgen hebben voor de vertrouwelijkheid, juistheid en/of beschikbaarheid van informatie. Mogelijk gevolg is dat burgers hier schade van ondervinden doordat persoonsgegevens gelekt zijn of dat de dienstverlening niet geleverd kan worden. Om deze reden dienen de bijlagen 2 en 3 bij de schriftelijke mededeling vertrouwelijk te worden behandeld en vallen deze documenten onder de geheimhouding, op basis van artikel 87 van de Gemeentewet, opgelegd door het college. Deze stukken worden gewaarmerkt en uitgeprint bij de griffie ter inzage gelegd.