Verantwoording ENSIA 2022

Schriftelijke mededeling Nummer 1176552 - Verantwoording ENSIA 2022 Aan de commissie: Bestuur en Financiën Portefeuillehouder: M. van de Groep Beleidskader: Informatiebeheer Opmerkingen griffie: Team: Informatiebeheer Ambtenaar: J. Schrijver Telefoonnummer: 033 - 299 1411 E-mailadres: j.schrijver@bunschoten.nl Datum:

Aanvullende stukken 1. Titel: Collegeverklaring-ENSIA-2022-Inzake-Informatiebeveiliging-DigiDen-Suwinet Bijlagen digitaal beschikbaar: Nee Ter inzage: Ja 2. Titel: Bijlage 1 – DigiD (Geheim) Bijlagen digitaal beschikbaar: Nee Ter inzage: Ja 3. Titel: Bijlage 2 – Suwinet (Geheim) Bijlagen digitaal beschikbaar: Nee Ter inzage: Ja 4. Titel: ENSIA Assurancerapport (Geheim) Bijlagen digitaal beschikbaar: Nee Ter inzage: Ja 5. Titel: TPM DigiD (Geheim) Bijlagen digitaal beschikbaar: Nee Ter inzage: Ja 6. Titel: Dataclassificatie in het kader van de DigiD audit 2022 (Geheim) Bijlagen digitaal beschikbaar: Nee Ter inzage: Ja 7. Titel: TPM Suwinet Bunschoten 1.0 (Geheim) Bijlagen digitaal beschikbaar: Nee Ter inzage: Ja 8. Titel: Verantwoordingsrapportage 2022 – BAG, BGT en BRO Bijlagen digitaal beschikbaar: Ja Ter inzage: Ja 9. Titel: Verantwoordingsrapportage 2022 – WOZ Bijlagen digitaal beschikbaar: Ja Ter inzage: Ja Mededeling Vanaf 2020 geldt de BIO (Baseline Informatiebeveiliging voor de Overheid) als normenkader voor informatieveiligheid voor de Nederlandse overheid. Voor de verantwoording van deze baseline is er een zelfevaluatievragenlijst ontwikkeld genaamd ENSIA (Eenduidige Normatiek Single Information Audit). Voor dit jaar bestaat de ENSIA-verantwoording uit een collegeverklaring voor DigiD, Suwinet en de verantwoordingsrapportage BAG, BGT, BRO en WOZ.

Het verantwoordingsproces Gemeenten hebben een belangrijke taak en verantwoordelijkheid als het gaat om het op orde hebben van informatiebeveiliging en het beschermen van informatie. Steeds vaker worden gemeenten geconfronteerd met hacks, datalekken en beveiligingsincidenten. Informatieveiligheid en privacy hebben daarom een belangrijke plaats op de gemeentelijke agenda. Het adequaat inrichten van verantwoordingsprocessen is daarbij essentieel. Zo blijft informatieveiligheid en privacy van burgers gewaarborgd.

Gemeenten verantwoorden zich daarom elk jaar over de kwaliteit van informatieveiligheid van diverse informatiesystemen. Sinds 2017 gebeurt dit met ENSIA-systematiek. Hiermee wordt het verantwoordingsproces rondom informatieveiligheid gestroomlijnd. Dit gebeurt zowel horizontaal, richting de gemeenteraad als verticaal, richting de Ministeries. Collegeverklaring informatieveiligheid inzake DigiD en Suwinet Alle Nederlandse gemeenten zijn verplicht zich te verantwoorden over de stand van zaken omtrent informatieveiligheid. Om deze verantwoording vorm te geven is er een collegeverklaring opgesteld. Met deze collegeverklaring geeft het college de huidige stand van zaken weer over de informatieveiligheid. Voor het verantwoordingsjaar 2022 beslaat de collegeverklaring uit de deelgebieden Suwinet en DigiD. De collegeverklaring is getoetst door een onafhankelijke, externe IT-auditor. Deze auditor heeft assurance afgegeven op de collegeverklaring. Op basis van de collegeverklaring en het assurance rapport dat opgesteld is door de IT-auditor is verantwoording afgelegd aan de verticale toezichthouders (Ministeries).

Verantwoordingsrapportage BAG, BGT, BRO en WOZ In het kader van ENSIA is over het verantwoordingsjaar 2022 ook een zelfevaluatie uitgevoerd voor de BAG (Basisregistratie Adressen en Gebouwen), BGT (Basisregistratie Grootschalige Topografie), BRO (Basisregistratie Ondergrond) en de WOZ (Waarde van Onroerende Zaken). Deze zelfevaluaties gaan in op vier kwaliteitscriteria: borging van het proces, tijdigheid, volledigheid en juistheid. De resultaten uit deze zelfevaluaties zijn op 20-april 2022 gedeeld met de toezichthouder middels de verantwoordingsrapportage. Verantwoording afleggen aan de gemeenteraad Voor het afleggen van verantwoording aan de gemeenteraad wordt er aangesloten bij de planning en control cyclus. In het jaarverslag wordt er verantwoording afgelegd over informatieveiligheid aan de gemeenteraad. Daarnaast worden de collegeverklaring, audit rapportage en de verantwoordingsrapportages BAG, BGT, BRO en WOZ aangeboden aan de gemeenteraad ter verantwoording voor ENSIA. Geheimhouding Binnen informatieveiligheid wordt gewerkt met gevoelige informatie, zoals informatie over netwerken en kwetsbaarheden in de beveiliging. Wanneer deze in verkeerde handen terechtkomt, kan dit grote gevolgen hebben voor de vertrouwelijkheid, juistheid en/of beschikbaarheid van informatie.

Mogelijk gevolg is dat burgers hier schade van ondervinden doordat persoonsgegevens gelekt zijn of dat de dienstverlening niet geleverd kan worden. Om deze reden dienen de bijlagen 2 t/m 7 bij de schriftelijke mededeling vertrouwelijk te worden behandeld en vallen deze documenten onder de geheimhouding, op basis van artikel 87 van de Gemeentewet, opgelegd door het college.