20220629 Aanbiedingsbrief raad De Wolden - Visie en beleid Informatieveiligheid & Privacy v1.0def

Aan de leden van de Gemeenteraad Datum: 29 juni 2022 Onderwerp: Visie en beleid Informatieveiligheid & Privacy 2022-2025 Ons kenmerk: Geachte heer, mevrouw, Gemeenten hebben een belangrijke taak en verantwoordelijkheid als het gaat om het op orde hebben van informatieveiligheid en het beschermen van privacy van de inwoners. In dat kader hebben wij u vorige maand geïnformeerd over de uitkomsten van de zelfevaluatie Eenduidige Normatiek Single Information Audit (ENSIA) en de status van de invoering van de Baseline Informatiebeveiliging Overheid (hierna: BIO). Daarbij is aangegeven dat de gemeentelijke organisatie nog niet (volledig) voldoet aan alle gestelde eisen vanuit de BIO. Een van die eisen vanuit de BIO en de Algemene Verordening Gegevensbescherming (AVG) is dat er actueel beleid moet zijn op het terrein van informatieveiligheid en privacy. Het vigerend beleid is van 2018 en gebaseerd op de Baseline Informatiebeveiliging Gemeenten (BIG), de voorloper van de BIO. Eens per drie jaar wordt het beleid geactualiseerd. Deze actualisatie heeft vertraging opgelopen omdat een hogere prioriteit is gegeven aan het versneld doorvoeren van diverse veiligheidsmaatregelen in verband met het toenemend risico op hackpogingen en ransomwareaanvallen (u kent waarschijnlijk de voorvallen bij de gemeente Buren en Hof van Twente).

Belangrijke technische beveiligingsmaatregelen zijn inmiddels operationeel (waaronder de optimalisatie van de back-up, extra monitoring dataverkeer en invoering multifactor authenticatie). Hierdoor kan het actualiseren van het beleid worden opgepakt. Het leek ons goed u te informeren dat het college heeft vastgesteld: • De geactualiseerde Visie op Informatieveiligheid & Privacy • Het Strategisch Beleid Informatieveiligheid & Privacy De Visie op Informatieveiligheid gaat met name over de ontwikkelingen op het gebied van digitalisering. Digitalisering heeft veel voordelen, maar helaas nemen ook de dreigingen en risico's op het terrein van informatieveiligheid en privacy toe. Daarom moeten op diverse terreinen maatregelen worden genomen (technische, fysieke en logische toegangsbeveiliging, getraind personeel en vooral het vergroten van bewustwording). De organisatie kan veel beveiligingsmaatregelen invoeren en handhaven, maar dit levert altijd een spanningsveld op tussen bijvoorbeeld dienstverlening, werkbaarheid, techniek, beheer en kosten. En helaas bestaat 100% veiligheid niet. Dat betekent dat er keuzes moeten worden gemaakt over welke maatregelen en risico's acceptabel zijn voor de organisatie.

Pagina 1 van 2

Grote uitdaging is bij te blijven en de informatieveiligheid op acceptabel niveau te houden. Dit is een race tegen hackers en andere kwaadwillenden. We moeten er alles aan doen om de gegevens van de inwoners en de bedrijfsvoering van de gemeente zo veilig en weerbaar mogelijk te maken en de risico's en kwalijke gevolgen te beperken. Ook in de maatschappij zien we deze ontwikkeling. Digitalisering kan mooie kansen bieden voor inwoners en ondernemers, maar helaas zijn er ook situaties waarbij de openbare orde en veiligheid in het gedrang komen door cybercrime, ondermijning, complottheorieën of oproepen tot onrust stoken via social media. De gemeente kan hierin (samen met ketenpartners) een actieve rol spelen richting inwoners en ondernemers. Informatieveiligheid is daardoor al lang geen vraagstuk meer van ICT, maar voor de gehele organisatie (van bestuurder tot individuele medewerker). Het vraagt meer én continu aandacht en inzet. Het Strategisch Beleid Informatieveiligheid beschrijft met name welke weten regelgeving van toepassing is, hoe de verantwoordelijkheden zijn belegd, welke processen er zijn voor de borging en hoe de organisatie rondom informatieveiligheid en privacy geregeld is. Daarbij willen we u graag wijzen op de 10 bestuurlijke principes voor informatiebeveiliging 1 (VNG, 2019), omdat dit ook voor bestuurders van groot belang is.

De verdere uitwerking naar tactisch beleid over informatieveiligheid en privacy en de uitvoering ervan is belegd binnen de SWO. Vanuit de SWO zal de verdere monitoring en bewaking plaatsvinden op de invoering van de maatregelen die door de BIO en AVG vereist worden. Hierover zal gerapporteerd worden aan het college en de raad (onder andere via de jaarlijkse zelfevaluatie ENSIA) Wij gaan ervan uit dat wij u hiermee voldoende hebben geïnformeerd. Met vriendelijke groet, burgemeester en wethouders,

Roelof Pieter Koning Gemeentesecretaris

1

Inge C.J. Nieuwenhuizen burgemeester

Zie https://vng.nl/files/vng/de-10-bestuurlijke-principes-voor_20190109.pdf

Pagina 2 van 2