1 - Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025

Verantwoordingsrapportage 2025 Informatiebeveiliging & Gegevensbescherming Mei 2026

Pagina 1

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Verantwoordingsrapportage 2025 Informatievoorziening is van essentieel belang voor de continuïteit van de bedrijfsvoering van de gemeente Delft en dient daarom beveiligd te worden. Doel van informatiebeveiliging is het waarborgen van de vertrouwelijkheid, integriteit en beschikbaarheid van alle informatie van de gemeente. Daarnaast is het doel van gegevensbescherming om de bescherming van alle persoonsgegevens die de gemeente verwerkt te borgen. In deze rapportage zijn de verschillende onderwerpen vanuit Informatiebeveiliging en Gegevensbescherming gebundeld in een gezamenlijke Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming over 2025. De implementaties van de wetgeving vanuit de Cyberbeveiligingswet (NIS2) alsmede de geldende normenkaders BIO, AVG en Wpg, vinden elkaar in hetzelfde dilemma: het vinden van de juiste balans in het inrichten van beschermende maatregelen zoals door de kaders worden bepaald, versus de werkbaarheid van de dienstverleningsprocessen van de gemeente Delft. NIS: Network and Information Security BIO: Baseline Informatiebeveiliging Overheid AVG: Algemene Verordening Gegevensbescherming Wpg: Wet politie gegevens

Pagina 2

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Verantwoordingsrapportage 2025 De jaarlijkse gemeentelijke verantwoording over de stand van zaken met betrekking tot informatiebeveiliging en informatiekwaliteit vindt plaats middels ENSIA (Eenduidige Normatiek Single Information Audit). Het gemeentebestuur verantwoordt zich over (zelfevaluatie) informatiebeveiliging (BIO) naar de gemeenteraad (horizontale verantwoording). Daarnaast heeft het gemeentebestuur zich over de stelsels BRP, Reisdocumenten, Suwinet, DigiD, BAG, BGT en BRO in specifieke rapportages verantwoord naar de gemeenteraad maar ook naar de toezichthouders Rijk (verticale verantwoording). De gemeente Delft geeft met de voorliggende schriftelijke verantwoordingsrapportage een brede invulling aan de horizontale verantwoording. Ten aanzien van de voortgang op de implementatie van het Strategisch Informatiebeveiligingsbeleid wordt zowel gereflecteerd op de resultaten uit de BIO zelfevaluaties, als op de uitkomsten en aanbevelingen van de audits en zelfevaluaties uit de verticale verantwoording.

Aanvullend is voor de voortgang op de implementatie van het Gegevensbeschermingsbeleid gekeken naar de ontwikkelingen en activiteiten ten aanzien van zowel de Algemene Verordening Gegevensbescherming (AVG) als de Wet Politiegegevens (Wpg), als naar de adviezen uit het toezichtverslag 2025 van de FG. Tot slot is gekeken naar de aanbevelingen uit de verantwoordingsrapportage uit 2024, en de voortgang op de implementatie van de Cyberbeveilingswet (NIS2).

Pagina 3

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Inhoud Verantwoordingsrapportage 2025 Conclusies en adviezen: Management samenvatting met de hoofdconclusies en adviezen op basis van de voortgangsrapportage 2025.

Bijlage 1: Informatiebeveiliging: Presentatie van de resultaten van de ENSIA zelfevaluatie.

Bijlage 2: Gegevensbescherming: Presentatie van de activiteiten t.a.v. Gegevensbescherming.

Bijlage 3: NIS2: Presentatie van de activiteiten t.b.v. de voorbereidingen op de Cyberbeveiligingswet.

Pagina 4

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Verantwoordingsrapportage 2025 Ontwikkelingen

Impact

Context

+

➔ Spanning

= Pagina 5

Aanbevelingen

! Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Hoofdconclusie “Het inzicht van risico’s op het gebied van informatiebeveiliging en gegevensbescherming is onvolledig. Hierdoor heeft de gemeente onvoldoende inzicht in de daadwerkelijke eigen risico positie en het volwassenheidsniveau op het gebied van informatiebeveiliging en gegevensbescherming.“

Vanuit de rapportages en zelfevaluaties kan geconstateerd worden dat benodigde maatregelen aanwezig zijn en worden toegepast. Het uiteindelijke doel is echter het realiseren van feitelijke veiligheid. Normatief geïmplementeerde maatregelen hebben deels effect, zijn essentieel voor de juiste basis, echter ontberen de doorwerking op de onderliggende bedoelingen van de maatregelen. Een compleet en dekkend inzicht in de daadwerkelijk aanwezige risico’s ontbreekt vooralsnog. Geïmplementeerde maatregelen zijn veelal conform de normen en best practices aanwezig en ingericht. In voorkomende gevallen van incidenten is het van belang hiervan te leren en de betreffende maatregelen te evalueren en aan te scherpen. Hierbij dient gekeken te worden naar de 1.

Effectiviteit van de maatregelen: Op welke onderdelen is een maatregel onvoldoende effectief: Leidt de maatregel wel tot het bedoelde effect? Wordt de maatregel in voldoende mate daadwerkelijk gevolgd?

2.

Scope van de maatregelen: Dekt de maatregel de gehele scope? Maatregelen kunnen onbedoeld situaties niet of onvoldoende afdekken, mogelijk zijn er onbedoelde werkwijzen buiten het zicht van de maatregel.

Pagina 6

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Verantwoordingsrapportage In 2023 zijn het Strategische Informatiebeveiligingsbeleid 2023-2026 en het Gegevensbeschermingsbeleid vastgesteld. In deze rapportage wordt verantwoord over de implementatie van deze beleidsdocumenten binnen de gemeente Delft in 2025. De hoofdlijn van de verantwoordingsrapportage is opgebouwd uit 5 onderdelen: Ontwikkelingen: Als eerste wordt er kort ingegaan op de (externe) ontwikkelingen die zich hebben voorgedaan, gerelateerd aan de onderwerpen Informatiebeveiliging en gegevensbescherming. Impact: Daarna wordt een vertaalslag gemaakt naar de concrete impact die deze ontwikkelingen hebben op de gemeente Delft. Context: Vervolgens wordt stilgestaan bij de eigen Delftse context. Deze is gebaseerd op de informatie zoals in de bijlagen is gepresenteerd: de uitkomsten van de in 2025 uitgevoerde audits en zelfevaluaties (informatiebeveiliging), de voortgang op onderwerpen voor de AVG en Wpg (gegevensbescherming) en de voortgang op de implementatie van de Cyberbeveiligingswet (NIS2). Spanning: Uit de voorgaande onderdelen wordt het spanningsveld beschreven dat hieruit zichtbaar wordt. Aanbevelingen: Afsluitend worden aanbevelingen voor 2026 geformuleerd.

Pagina 7

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Ontwikkelingen De wereld om ons heen is een sterk dynamische omgeving, en daarin ook zeer zeker de wereld van informatiebeveiliging en gegevensbescherming. •

Autonomie en soevereiniteit: De aandacht voor begrippen als Digitale Autonomie en Digitale Soevereiniteit is in 2025 enorm gestegen. Hierbij gaat het om zelfstandig keuzes kunnen maken en regie houden over de eigen data, informatie en technologie: inzicht en controle over waar de gegevens zijn opgeslagen en op wie toegang hebben. De risico bewustwording én waardering van de afhankelijkheid van leveranciers in het algemeen, en big tech in het bijzonder, is enorm gestegen.

•

AI (Artificiële Intelligentie). AI is de overkoepelende term voor alle technieken en methoden om machines taken te laten uitvoeren die menselijke intelligentie vereisen. De opkomst van AI biedt zowel kansen als risico’s. AI en algoritmen bieden gemeenten veelbelovende mogelijkheden om diensten te optimaliseren, efficiënter te werken, en maatschappelijke uitdagingen aan te pakken. AI wordt ook gebruikt door criminelen voor verfijnde aanvallen zoals deepfake-fraude. Gemeenten moeten alert blijven op technologische ontwikkelingen, zoals quantumcomputing, die toekomstige encryptie kunnen doorbreken. Het gebruik van AI en algoritmen brengt risico's met zich mee voor gemeenten. Om deze risico's te beheersen, is het essentieel dat gemeenten proactief handelen en passende maatregelen nemen. In 2025 is een algoritmen beleid voorbereid en is in 2026 vastgesteld.

•

Groeiende wetgeving (Cyberbeveiligingswet)

Pagina 8

AI: Artificiële Intelligentie

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Cyberbeveiligingswet / NIS2 De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn uit 2022. De wet wordt naar verwachting in het tweede kwartaal van 2026 van kracht. Met de Cyberbeveiligingswet (Cbw) wordt de digitale weerbaarheid van essentiële en belangrijke organisaties structureel versterkt. Gemeenten en een groot aantal aan gemeenten verbonden organisaties krijgen hierdoor te maken met strengere eisen. Voor gemeenten betekent de Cbw dat informatiebeveiliging nadrukkelijk onderdeel wordt van bestuurlijke verantwoordelijkheid en aantoonbaar risicomanagement. De wet scherpt bestaande verplichtingen aan en introduceert nieuwe eisen rond onder meer incidentmelding, registratie en kennis bij bestuurders. Daarnaast wordt toezicht op naleving landelijk georganiseerd. De kern van de Cbw bestaat uit drie samenhangende verplichtingen: • Zorgplicht Het treffen, onderhouden en aantoonbaar borgen van passende technische, organisatorische en bestuurlijke maatregelen om cyberrisico’s te beheersen. • Registratieplicht Het registreren en actueel houden van relevante organisatiegegevens in het entiteitenregister. • Meldplicht Het tijdig melden van ernstige cyberincidenten via het centrale meldportaal. De Cbw verplicht gemeenten om hun digitale risico’s aantoonbaar te beheersen.

De Baseline Informatiebeveiliging Overheid 2 (BIO2) vormt het aangewezen normenkader waarmee gemeenten deze zorgplicht gestructureerd en aantoonbaar kunnen invullen. De BIO2 omvat naast technische maatregelen ook governance, risicomanagement en bestuurlijke verantwoordelijkheid. Gemeenten die risicogestuurd werken conform de BIO2 bouwen voort op een stevige basis richting naleving van de zorgplicht van de Cbw. Echter, gemeenten blijven verantwoordelijk voor een eigen risicobeoordeling en proportionele aanvullende maatregelen. Pagina 9

NIS: Network and Information Security Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026) Cbw: Cyberbeveiligingswet

Impact Om de risico’s van informatiebeveiliging en gegevensbescherming te beheersen is het van belang om passende maatregelen te nemen, deze te implementeren en te monitoren. Zowel vanuit de groeiende noodzaak om dit te doen, zoals duidelijk wordt vanuit de geschetste ontwikkelingen, als vanuit de bewustwording en bekendheid binnen de organisatie, nemen de incidentele en structurele werkzaamheden gestaag toe. Er is meer behoefte en noodzaak aan risico inzicht en afwegingen, en er gelden hogere eisen aan compliance. De concrete impact voor de organisatie wordt zichtbaar door onder andere:

Incidentele werkzaamheden: • Privacy & Security by design: Gegevensbescherming en beveiliging dienen in de ontwerpfase van producten, processen of systemen te worden ingebouwd, in plaats van achteraf als "pleister". Het vraagt een proactieve aanpak om privacyrechten te borgen en beveiligingsincidenten (waaronder datalekken) te voorkomen door techniek en organisatie. • Uitvoeren van risico analyses: Risico analyses (zoals DPIA’s, AIA’s en Risico Analyses Informatiebeveiliging) dienen vooraf uitgevoerd te worden. Structurele werkzaamheden: • Actualiseren Risico Analyses: Alle opgestelde risico analyses (zoals DPIA’s en AIA’s) dienen periodiek geactualiseerd te worden, • Compliance: Aantoonbaarheid van geïmplementeerde maatregelen in reguliere werkzaamheden (hogere eisen aan uitvoering van gemeenteprocessen én meer ondersteuning vanuit adviseurs informatiebeveiliging en gegevensbescherming), • Gevraagde en ongevraagde adviezen nemen toe. • Bijhouden registers: Zoals algoritmeregister, Verwerkingsovereenkomsten, risico register. AIA: Algoritme Impact Assessments DPIA: Data Protection Impact Assessments

Pagina 10

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Context De Delftse context is gebaseerd op de informatie zoals gepresenteerd in de bijlagen. De hoofd observatie is dat het Risico Management voor Informatiebeveiliging en Gegevensbescherming sterk verbeterd dient te worden.

Risico management Informatiebeveiliging en Gegevensbescherming vinden elkaar in het dilemma van het vinden van de juiste balans in het inrichten van beschermende maatregelen zoals door de kaders worden bepaald, versus de werkbaarheid van de dienstverleningsprocessen van de gemeente Delft. In voorkomende gevallen vindt nog onvoldoende risico analyse en risico inschatting plaats voor een gebalanceerde afweging, en lijkt door een focus op het dienstverlenende belang de risico afwegingen in onvoldoende mate te worden meegenomen. Risico afweging en acceptatie, bijvoorbeeld ten behoeve van dienstverlening, kan plaatsvinden mits een gebruik wordt gemaakt van een gestructureerd afwegingsproces. Uit o.a. de zelfevaluaties ontstaat het beeld dat het voldoen aan beveiligingsmaatregelen vrij normgericht wordt gedaan, en in mindere mate risicogericht. Naast het evidente belang om aan compliance te voldoen (normgericht), is het essentieel om te sturen op het beoogde en bedoelde effect (feitelijke veiligheid). Hiervoor is het van belang om zelfkritisch te kunnen en mogen zijn of maatregelen de risico’s op onderdelen verkleinen, of op het geheel.

Pagina 11

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Voortgang aanbevelingen 2024 In de verantwoordingsrapportage 2024 zijn een aantal hoofdconclusies en aanbevelingen gedaan. De opvolging hierop is hieronder opgenomen: •

Eigenaarschap/Verantwoordelijkheid: In brede zin is er structurele aandacht voor awareness en kennisdeling, door middel van onder andere: Training veilig werken met informatie (continu); Micro learnings (continu); Campagne 2025 (Veilig werken met informatie heb je zelf in de hand); Cybercrisisoefening (oktober 2025). Het verduidelijken van het verantwoordingsproces (ISMS) heeft continue aandacht.

•

Grote en brede uitdaging Informatiebeveiliging en Gegevensbescherming: In een structureel en periodiek gesprek tussen de Gemeentesecretaris en de CISO/FG vindt afstemming plaats over ontwikkelingen, uitdagingen en casuïstiek omtrent Informatiebeveiliging en Gegevensbescherming.

•

Business Continuïteit: De kritische processen en applicaties zijn in Q4 2025 geactualiseerd en vastgesteld. De status en het opstellen van Bedrijfscontinuïteitsplannen is opgenomen in de jaarplannen van alle afdelingen binnen de gemeente. Vanuit het programma Versterken Maatschappelijke Weerbaarheid wordt gestuurd op het orde krijgen van de bedrijfs-continuïteitsplannen.

•

OT (Operationele Technologie): Er wordt actief bekeken hoe de veiligheid van de systemen verder kunnen worden versterkt. Er wordt aandacht gevraagd bij directe partners en onze eigen beveiligingsleveranciers. Op grotere schaal wordt nagedacht over de impact van eventuele grootschalige calamiteiten, bijvoorbeeld op riolering.

•

IAM (Identity & Access Management): Eind Q1 2026 is een concept plan van aanpak opgesteld waarin een vooronderzoek is opgenomen voor eind 2026 en geplande implementatie vanaf 2027.

•

MDR (Managed Detection and Response): In Q4 2025 is de voorbereiding op de selectie- en implementatie van MDR-dienstverlening opnieuw opgestart. Dit resulteert in een hernieuwde selectie en geplande implementatie eind 2026.

Pagina 12

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Spanning De langzame zichtbare groei die de audits en zelfevaluaties laten zien, de beperkte opvolging op de aanbevelingen en verbeterplannen én de conclusie dat Risico Management sterk verbeterd dient te worden, leiden tot een significante spanning tussen de groeicurve op de doelstellingen voortvloeiend uit het Strategisch Informatiebeveiligingsbeleid en het Gegevensbeschermingsbeleid ten opzichte van het ambitieniveau.

Ambitie

Risico gebaseerd: De gemeente Delft organiseert informatiebeveiliging zodanig dat steeds de afweging gemaakt wordt tussen enerzijds kans, dreiging en gevolgschade en anderzijds de kosten van de mitigerende maatregelen om deze schade te beperken. Verantwoordelijkheid: De gemeente Delft zorgt ervoor dat binnen de gehele gemeentelijke organisatie gehandeld wordt naar een verantwoordelijkheid voor informatiebeveiliging en gegevensbescherming vanuit de lijn met duidelijk ingevuld eigenaarschap.

Security & privacy by design: De gemeente Delft zorgt dat informatiebeveiliging en gegevensbescherming altijd vanaf het begin bij vernieuwingen en veranderingen, zowel bij systemen als beleid en processen, meegenomen wordt.

2023 Pagina 13

2024

2025

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

2026

…

…

Aanbevelingen Vervolg acties op aanbevelingen uit verantwoordingsrapportage 2024 • • • • • •

Eigenaarschap/Verantwoordelijkheid. Grote en brede uitdaging Informatiebeveiliging en Gegevensbescherming. Business Continuïteit OT (Operationele Technologie) IAM (Identity & Access Management) MDR (Managed Detection and Response)

Versterk implementatie van Risico Management en structurele sturing op Risico’s • Implementeer een passend en werkbaar risico management proces, met heldere afspraken en verantwoordelijkheden. • Stuur op een concreet doch realistisch ambitieniveau

Pagina 14

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Verantwoordingsrapportage 2025 Bijlage 1: Informatiebeveiliging

Pagina 15

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Rapportage ENSIA voor de gemeenteraad Gemeente Delft Sinds 2017 verantwoordt het college van B&W zich over informatiebeveiliging middels de ENSIA-systematiek. ENSIA is een zelfevaluatie waarbij normenkaders uit verschillende domeinen zijn samengevoegd. Het grootste kader betreft de Baseline Informatiebeveiliging Overheid (BIO). De BIO geldt voor alle overheidsorganisaties en is een normenkader voor informatiebeveiliging waaraan alle gemeenten zich via de VNG hebben gecommitteerd. Naast het ‘generiek’ toetsen van de organisatie op BIO-naleving, omvat de ENSIA-systematiek nog een aantal specifieke verantwoordingsdomeinen: • • • • • • • •

Suwinet: dit systeem leest gevoelige persoonsgegevens in op verschillende bronapplicaties ten behoeve van de uitvoering van de participatiewet; Basisregistratie Personen (BRP): in dit register staan alle burgers van gemeente Delft vastgelegd; Reisdocumenten: dit bevat een overzicht van het aantal en soort reisdocumenten dat burgers op een gegeven peildatum in bezit hebben. DigiD; DigiD staat voor de digitale identiteit van de burger. DigiD geeft burgers de mogelijkheid om aan te tonen wie ze zijn bij het online regelen van persoonlijk zaken; Basisregistratie Adressen en Gebouwen (BAG): deze bevat gemeentelijke basisgegevens van alle adressen en gebouwen in een gemeente; Basisregistratie Grootschalige Topografie (BGT): dit is een digitale kaart van Nederland waarop alle fysieke objecten zoals gebouwen, wegen, water en groen eenduidig zijn vastgelegd. Basisregistratie Ondergrond (BRO): deze bevat gegevens over geologische en bodemkundige opbouw van de Nederlandse ondergrond; Waarstaatjegemeente: dit dataplatform bundelt, bewerkt en presenteert data voor, van en over gemeenten, toegankelijk voor iedereen; BAG: Basisregistratie Adressen en Gebouwen BGT: Basisregistratie Grootschalige Topografie BRO: Basisregistratie Ondergrond BRP: Basisregistratie Personen .

Pagina 16

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Leeswijzer Deze rapportage is opgesteld op basis van de zelfevaluatie ENSIA 2025 en is als volgt opgebouwd: STATUS INFORMATIEBEVEILIGING (BIO) • Bestuurlijke uitgangspunten • Samenvatting van 5 hoofdstukken (consolidatie van 18 BIO hoofdstukken) VERANTWOORDING AAN HET RIJK UIT ENSIA • Getoetste collegeverklaring ENSIA – DigiD • Getoetste collegeverklaring ENSIA – Suwinet • Status Basisregistratie Personen en Reisdocumenten • Status GEO basisregistraties (BAG, BGT, BRO) De maatregelen zijn beknopt opgenomen. Voor de exacte strekking wordt verwezen naar ENSIA (zelfevaluatie BIO) of de BIO.

Pagina 17

Voor de beoordeling is een schaal gehanteerd met 3 categorieën: Groen, oranje en rood.

Bij de samengevatte 5 hoofdstukken zijn opgenomen: a. Score per hoofdstuk: gebaseerd op de zelfevaluatie zoals uitgevoerd door de proceseigenaren b. Toelichting: Reflectie van de CISO op de zelfevaluatie (bevindingen en risico’s). In de beschrijving voor consolidatie staan bestuurlijke uitgangspunten. Deze kennen geen score.

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Maatregelen BIO BIO Hoofdstuk

Aantal maatregelen

Consolidatie

H5

Informatiebeveiligingsbeleid

2

1. BELEID EN ORGANISATIE

H6

Organiseren van informatiebeveiliging

18

H18

Naleving

11

H7

Veilig personeel

9

H9

Toegangsbeveiliging

30

H11

Fysieke beveiliging en beveiliging van de omgeving

20

H16

Beheer van informatiebeveiligingsincidenten

14

H17

Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer

6

H12

Beveiliging bedrijfsvoering

32

H14

Acquisitie, ontwikkeling en onderhoud van informatiesystemen

13

H15

Leveranciersrelaties

14

H8

Beheer van bedrijfsmiddelen

15

H10

Cryptografie

5

H13

Communicatiebeveiliging

13

Pagina 18

Totaal aantal maatregelen

31 2. PERSONEEL EN TOEGANG

59 3. CONTINUÏTEIT EN INCIDENTEN

20

4. INFORMATIESYSTEMEN

59 5. DATABESCHERMING

33

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

202

Status informatiebeveiliging BIO 2024 BESTUURLIJKE UITGANGSPUNTEN Bestuurlijke principes en beleid, organisatie van de beveiliging en naleving Het bestuur van deze gemeente: • Volgt het beleid van de IBD • Zorgt ervoor dat de juiste informatiebeveiliging door de gemeentelijke organisatie wordt uitgevoerd • Controleert de juiste werking van de informatiebeveiliging

Pagina 19

0-60% = onvoldoende

60-80% = voldoende

80-100% = goed

De scores zijn gebaseerd op de gegeven antwoorden op de maatregelen (inclusief de Delftse aanvullende maatregelen) uit de BIO zelfevaluatie. 1. BELEID EN ORGANISATIE Actueel beleid en organisatie van informatiebeveiliging en controle op naleving

2. PERSONEEL EN TOEGANG Juiste toegang voor medewerkers tot gebouwen, systemen en gegevens 3. CONTINUÏTEIT EN INCIDENTEN Zorgen voor de continuïteit van onze dienstverlening en opvolging van incidenten 4. INFORMATIESYSTEMEN Veilige omgang met informatiesystemen en afspraken hierover met onze leveranciers 5. DATABESCHERMING Veilige omgang met data in onze software Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Status: Goed

1. BELEID EN ORGANISATIE Actueel beleid en organisatie van informatiebeveiliging en controle op naleving • Bestuur, directie en management laten zien dat informatiebeveiliging belangrijk is • De informatiebeveiligingsorganisatie is geregeld • Waar, wanneer en hoe: altijd werken wij veilig • Wij houden ons aan onze afspraken en leven de wet- en regelgeving na onvoldoende

Onderdelen:

voldoende

goed

H5 - Informatiebeveiligingsbeleid H6 - Organiseren van informatiebeveiliging H18 - Naleving Bevindingen Het strategisch informatiebeveiligingsbeleid is geldig tot en met 2026 en in lijn met de voor overheden verplichte landelijke Baseline Informatiebeveiliging Overheid (BIO). BIO: Baseline Informatiebeveiliging Overheid GRC: Governance, Risk, Compliance. ISMS: Information Security Management System

Belangrijkste risico’s De BIO zelfevaluatie wordt grotendeels enkelvoudig uitgevoerd. Onder enkelvoudig wordt verstaan dat er een algemeen gemeentelijk beeld wordt vastgesteld. Een meervoudige uitvoering is een zelfevaluatie per proces. Hierdoor is er bijvoorbeeld nog onvoldoende zicht of autorisatie controles structureel worden uitgevoerd, of op een beperkt aantal processen/applicaties. Vanuit risico management is een beeld voor bijvoorbeeld alle kritieke processen individueel noodzakelijk. De volwassenheid (met name op het gebied van aantoonbaarheid) van het ISMS is hiermee nog niet op het benodigde niveau voor de NIS2. Pagina 20

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Status: Voldoende

2. PERSONEEL EN TOEGANG Juiste toegang voor medewerkers tot gebouwen, systemen en gegevens

46/59 = 78%

Onderdelen:

onvoldoende

voldoende

goed

H7 - Veilig personeel H9 - Toegangsbeveiliging H11 - Fysieke beveiliging en beveiliging van de omgeving Bevindingen De toegang tot informatie-verwerkende systemen dient toegekend en ingetrokken te worden volgens vastgestelde procedures, gebruik makend van vastgestelde rollen (Role Based Access). Verandert een rol, dan veranderen de toegang, rechten en autorisaties voor de personen die deze rol bekleden. Daarnaast dient de toegang van een vertrokken medewerker op tijd te worden ingetrokken. Belangrijkste risico’s Aanwezigheid van en gebrek aan inzicht op specifieke rechten en autorisaties van medewerkers. Mogelijk meer autorisaties aanwezig dan nodig voor de taken. Controles op kritieke procesapplicaties ontbreken of zijn niet voldoende ingericht daardoor ontbreekt een goed inzicht.

Pagina 21

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Status: Voldoende

3. CONTINUÏTEIT EN INCIDENTEN Zorgen voor de continuïteit van onze dienstverlening en het opvolgen van incidenten

Onderdelen:

onvoldoende

voldoende

goed

H16 - Beheer van beveiligingsincidenten H17 - Bedrijfscontinuïteitsbeheer & informatiebeveiliging Bevindingen Aanbesteding op het gebied van Logging & Monitoring (MDR) is afgerond. Implementatieproces is opgestart. Kritieke applicaties en processen zijn binnen de gemeente vastgesteld. Aandacht voor en actualisatie van Bedrijfscontinuïteitsplannen (BCP) voor de kritieke processen is groeiend.

Belangrijkste risico’s • Onvoldoende voorbereiding op een crisis of calamiteit, • Langere hersteltijden en inefficiënte response bij calamiteiten, • Impact op dienstverlening naar de burger, • Verhoogde kwetsbaarheid voor verstoringen. BCP: Bedrijfs Continuïteits Plan MDR: Monitoring, Detection and Response

Pagina 22

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Status: Voldoende

4. INFORMATIESYSTEMEN Veilige omgang met informatiesystemen en afspraken hierover met onze leveranciers

46/59 = 78%

Onderdelen:

onvoldoende

voldoende

goed

H12 - Beveiliging van de bedrijfsvoering H14 - Acquisitie, ontwikkeling en onderhoud van informatie systemen H15 - Leveranciersrelaties Bevindingen Bij vernieuwings- en wijzigingsprojecten op het gebied van Informatie Voorziening (IV) worden baselinetoetsen uitgevoerd: een quick scan risico analyse ter vaststelling van de risico classificatie van de applicatie/het proces en de benodigde maatregelen vanuit informatiebeveiliging en gegevensbescherming (zoals het advies op het uitvoeren van een DPIA). Belangrijkste risico’s Onvoldoende zicht op de (hoge) risico’s en de aanwezigheid van passende maatregelen bij leveranciers.

Pagina 23

IV: Informatie Voorziening.

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Status: Goed

5. DATABESCHERMING Veilige omgang met data in onze software

Onderdelen:

onvoldoende

voldoende

goed

H8 - Beheer van bedrijfsmiddelen H10 - Cryptografie H13 - Communicatiebeveiliging Bevindingen Kritieke processen en applicaties, en eigenaren, zijn vastgesteld. Cryptografie beleid t.b.v. DigiD is aanwezig, nog geen gemeentebreed beleid. Belangrijkste risico’s Door het ontbreken aan een gemeentebreed encryptiebeleid niet gestructureerd voldoen aan passende encryptievereisten.

Pagina 24

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Getoetste collegeverklaring ENSIA - DigiD

Getoetste Collegeverklaring ENSIA - DigiD

Status: Voldoet niet

Van onze ENSIA-zelfevaluatie worden jaarlijks twee onderdelen geaudit door een externe IT-auditor: DigiD en Suwinet. De basis voor de audit vormt de collegeverklaring. Hierin zijn de uitkomsten van de ENSIA-zelfevaluatie opgenomen. Er wordt getoetst op opzet en bestaan en voor een beperkt aantal normen op werking. Voor DigiD worden de collegeverklaring en bijlagen als verantwoording verzonden naar toezichthouder Logius/BZK.

DigiD: DigiD is een authenticatiemiddel dat wordt ingezet voor onze digitale dienstverlening. Voldoet niet op 100% van de normen

Aansluiting 1001245 - Gemeente Delft

Voldoet op 100% van de normen

Het vastleggen van de identiteit van een inwoner ten behoeve van het invullen van online formulieren.

DigiD toets op 20 normen. Voor Digid geldt dat de Gemeente Delft in 2025 aan twee normen niet voldoet. Er zijn acties uitgezet om deze zaken te verbeteren. Op één norm is het verbeterplan al uitgevoerd, en de herbeoordeling heeft geleid tot het oordeel “voldoet”. Op de tweede norm hebben al verbeteracties plaatsgevonden. De herbeoordeling vindt in mei/juni 2026 plaats.

Pagina 25

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Getoetste collegeverklaring ENSIA – Suwinet

Getoetste Collegeverklaring ENSIA - DigiD

Status: Voldoet niet

Van onze ENSIA-zelfevaluatie worden jaarlijks twee onderdelen geaudit door een externe IT-auditor: DigiD en Suwinet. De basis voor de audit vormt de collegeverklaring. Hierin zijn de uitkomsten van de ENSIA-zelfevaluatie opgenomen. Voor Suwinet wordt de collegeverklaring en de desbetreffende bijlage als verantwoording verzonden naar BKWI/SZW. Voor het gebruik van SUWI gegevens moet voldaan worden aan "Verantwoordingsrichtlijn Informatiebeveiliging GeVS 2022" deze maatregelen worden integraal uitgevraagd via de BIO zelfevaluatie.

SUWI (Wet Structuur Uitvoeringsorganisatie Werk en Inkomen): Suwinet is een digitale infrastructuur ontwikkeld door de Suwi-partijen (UWV, SVB en gemeenten) om ervoor te zorgen dat gegevens met elkaar kunnen worden uitgewisseld voor de uitoefening van de wettelijke taak. Er worden alleen gegevens uitgewisseld waar een wettelijke grondslag voor is. Wij gebruiken Suwinet voor de uitvoering van de Participatiewet, de uitvoering van de IOAZ en IOAW, de wet Schuldhulpverlening en het raadplegen van adresgegevens bij Burgerzaken. Voldoet niet op 100% van de normen

Voldoet op 100% van de normen

Suwinet voor SUWI-taken • Suwinet Inkijk

Suwi gegevens worden gebruikt door medewerkers van Klant Contact centrum, Interne dienstverlening, Inburgering en toegang

Suwinet voor SUWI-taken • DKD Inlezen

Gebruik van een automatische DKD (Digitaal Klant Dossier) koppeling voor de Sociaal domein applicatie (SSD).

Suwinet voor niet SUWI-taken • Suwinet Inkijk

Bij Burgerzaken wordt gebruik gemaakt van Suwinet inkijk bij adresonderzoeken. Risicovolle autorisaties zijn toebedeeld aan Sociale Recherche en Bijzonder Onderzoek.

Voor Suwinet geldt dat de gemeente Delft in 2025 niet volledig voldoet (niet 100% 'compliant') aan het normenkader. Het gebruik van Suwinet gegevens bestaat uit de applicatie “Suwinet Inkijk” en een automatische DKD (Digitaal Klant Dossier) koppeling voor de Sociaal domein applicatie (SSD). De koppeling werd in het 2025 niet gebruikt. De service is echter nooit opgezegd, met als gevolg dat wel aan alle normen voldaan moet worden. Twee normen gerelateerd aan DKD-koppeling voldoen niet. Omdat de DKD-koppeling niet gebruikt is, is er geen specifiek informatiebeveiliging risico als gevolg van het niet voldoen aan deze normen. Inmiddels is de DKDservice opgezegd, waardoor er in 2026 geen verantwoording meer afgelegd hoeft te worden over de DKD- koppeling. Voor “Suwinet Inkijk” wordt aan alle normen voldaan, in overeenstemming met voorgaande jaren. Pagina 26

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Status Basisregistratie Personen en Reisdocumenten

Getoetste Collegeverklaring ENSIA - DigiD Van onze zelfevaluatie ENSIA wordt de verantwoording over de Basisregistratie Personen (BRP) en de wet- en regelgeving voor de Reisdocumenten (paspoorten en ID-kaarten) afgeleid. De uitkomsten worden verzonden aan de Rijksdienst voor de Identiteitsgegevens (RvIG). De zelfevaluatie voor informatiebeveiliging vindt via de ENSIA systematiek plaats. De verantwoording over de kwaliteit van de registraties komt voort uit de zelfevaluatie in de Kwaliteitsmonitor. De zelfevaluaties over informatiebeveiliging en de kwaliteit leiden tot scores. Gemeenten worden binnen ENSIA geacht de volgende score te behalen voor: • BRP 1200 punten = 100% • Reisdocumenten 1200 punten = 100%

Basisregistratie Personen (BRP) De zelfevaluatie BRP over het jaar 2024 is afgerond met een score van 1130 van maximaal 1200 zijnde 94% Wet- en regelgeving voor Reisdocumenten De zelfevaluatie Reisdocumenten over het jaar 2024 is afgerond met een score van 1115 van maximaal 1200 zijnde 92%

Pagina 27

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Status: Goed

Status GEO-basisregistraties

Getoetste Collegeverklaring ENSIA - DigiD

Status: Goed

Wij verantwoorden ons aan het ministerie van BZK/Directoraat Generaal Bestuur, Ruimte en Wonen (DGBRW) over drie basisregistraties in het geografische domein. De rapportages zijn tot stand gekomen op basis van door ons uitgevoerde zelfevaluaties. De zelfevaluaties betreffen de kwaliteit van de registraties (geen informatiebeveiliging).

De zelfevaluaties over informatiebeveiliging en de kwaliteit leiden tot scores. Gemeenten worden geacht de volgende score te behalen voor: • Basisregistratie Adressen en Gebouwen (BAG) 75 % • Basisregistratie Grootschalige Topografie (BGT) 75% • Basisregistratie Ondergrond (BRO) 60%

Basisregistratie Adressen en Gebouwen (BAG) De zelfevaluatie BAG over het jaar 2025 is afgerond met een score van 77% Basisregistratie Grootschalige Topografie (BGT) De zelfevaluatie BGT over het jaar 2025 is afgerond met een score 100% Basisregistratie Ondergrond (BRO) De zelfevaluatie BGT over het jaar 2025 is afgerond met een score 88%

Pagina 28 (39)

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

0% - 60/75% 75% - 100%

Verantwoordingsrapportage 2025 Bijlage 2: Gegevensbescherming

Pagina 29

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Rapportage Gegevensbescherming Gemeente Delft Dit hoofdstuk bevat de rapportage op het gebied van Gegevensbescherming (Privacy). Hierin zijn de activiteiten ten aanzien van zowel de Algemene Verordening Gegevensbescherming (AVG) als de Wet Politiegegevens (Wpg) opgenomen. Op de onderwerpen van gegevensbescherming is geen zelfevaluatie en/of audit uitgevoerd en worden er geen scores getoond. Gerapporteerd wordt over de volgende activiteiten: •

• • • • •

DPIA’s: De gemeente is verplicht om voor hoog risico verwerkingen een Data Protection Impact Assessment uit te voeren en deze om de 3 jaar te actualiseren, of eerder bij herzieningen in het proces; Verwerkingsregister: De gemeente beschikt over een verwerkingsregister zoals vereist vanuit de AVG en de Wpg; Verwerkersovereenkomsten: De gemeente is verplicht om met partijen die voor ons persoonsgegevens verwerken een verwerkersovereenkomst af te sluiten. Dit kan een softwareleverancier zijn, of een organisatie die in opdracht van de gemeente werkzaamheden uitvoert; Datalekken; Bij een datalek gaat het om toegang tot persoonsgegevens zonder dat dit mag of zonder dat dit de bedoeling is. Waarbij de oorzaak een inbreuk op de beveiliging van deze gegevens is. Ook het ongewenst vernietigen, verliezen, wijzigen of verstrekken van persoonsgegevens door zo’n inbreuk valt onder een datalek; Data en algoritmen/Algoritmeregister: De gemeente publiceert algoritmes in het algoritmeregister als er sprake is van een hoog risico voor de betrokkene en/of de uitkomst van het algoritme hoge impact heeft op de betrokkene en/of het gebruik van het algoritme onderdeel is van maatschappelijk debat. Inzageverzoeken: Burgers hebben de mogelijkheid om inzageverzoeken te doen in de gegevens die de gemeente van de burger verwerkt.

Ook is hier informatie te vinden hoe een verzoek tot rectificatie en vernietiging ingediend kan worden. AVG: Algemene Verordening Gegevensbescherming DPIA: Data Protection Impact Assessment Wpg: Wet politie gegevens

Pagina 30

Algoritmeregister: Het centrale Algoritmeregister van de Nederlandse overheid. Hier publiceren overheden informatie over hun algoritmes op één plek, zodat het openbaar doorzoekbaar is.

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

DPIA’s Bevindingen De gemeente is verplicht om voor verwerkingen met een potentieel hoog risico een Data Protection Impact Assessment (DPIA) uit te voeren en deze om de 3 jaar te herhalen (of eerder bij herzieningen in het proces). De Autoriteit Persoonsgegevens (AP) heeft criteria opgesteld wanneer er sprake is van een potentieel hoog risico. Bijvoorbeeld als er sprake is van een verwerking van gevoelige (bijzondere) persoonsgegevens op grote schaal of gegevens van kwetsbare personen. In de afgelopen jaren is het aantal uitgevoerde DPIA’s toegenomen. Belangrijkste risico’s Bij het uitvoeren van DPIA’s is met name de aanwezigheid van actuele procesbeschrijvingen relevant voor de doorlooptijd van een DPIA, dit verkort de doorlooptijd van een DPIA significant. In niet alle gevallen is deze procesbeschrijving aanwezig en/of actueel wat de benodigde inzet voor het uitvoeren van DPIA’s vergroot. De aanvraag voor uit te voeren DPIA’s blijft toenemen, en uitgevoerde DPIA’s moeten na 3 jaar weer geactualiseerd worden. Ondanks dat het aantal uitgevoerde DPIA’s in de afgelopen jaren is gestegen, ligt het aantal uit te voeren DPIA’s een stuk hoger. DPIA: Data Protection Impact Assessment.

Pagina 31

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Verwerkingsregister Bevindingen De gemeente beschikt over een verwerkingsregister zoals vereist vanuit de AVG en de Wpg en is gebaseerd op het register van de VNG. In het verwerkingsregister staat informatie over de processen waarin de gemeente persoonsgegevens verwerkt. Het bijwerken van het verwerkingsregister is onderdeel van het proces rond het uitvoeren van DPIA’s en het documenteren van privacy adviezen op zowel bestaande processen als op procesvernieuwingen. In 2024 zijn ook de Wpg verwerkingen in het register opgenomen. Eind 2025 bevatte het verwerkingsregister 246 verwerkingen t.a.v. de AVG, en 8 t.a.v. de WPG. Het verwerkingsregister is een verplichting vanuit de AVG. De Toezichthouder (de Autoriteit Persoonsgegevens) kan de gemeente boetes opleggen indien zij niet voldoet aan de AVG. Om te blijven voldoen is het noodzakelijk dat het verwerkingsregister geactualiseerd en aangevuld wordt. De uitvoerende afdelingen zijn zelf verantwoordelijk voor de eigen verwerkingen in het register (eerste lijn), de tweedelijns beveiligingsorganisatie is verantwoordelijk voor het controleren en faciliteren van de afdelingen. Verder structureren van het proces van informeren, uitleggen en bieden van handelingsperspectief voor proceseigenaren. Actualiseren en aanvullen van het verwerkingsregister.

Pagina 32

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Verwerkersovereenkomsten Bevindingen Als de gemeente persoonsgegevens deelt met of laat verwerken door een derde partij is de gemeente verplicht te onderzoeken of met deze derde partij afspraken gemaakt moeten worden over de beveiliging van deze persoonsgegevens. Dat kan bijvoorbeeld door het afsluiten van een verwerkersovereenkomst. Dit kan een softwareleverancier zijn, of een organisatie die in opdracht van de gemeente werkzaamheden uitvoert. Het kan ook zijn dat een verwerkersovereenkomst niet nodig is en privacy afspraken op een andere manier geborgd worden. Als er een verwerkersovereenkomst wordt afgesloten wordt gebruik gemaakt van de modelovereenkomst van VNG. Zowel bij het aangaan van nieuwe contracten, het afsluiten van samenwerkingsovereenkomsten en convenanten in de regio, en bij verlenging van contracten is het actualiseren/vernieuwen van verwerkersovereenkomsten nog onvoldoende geborgd.

Pagina 33

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Datalekken Bevindingen In 2025 zijn er 37 datalekmeldingen gedaan waarvan er 19 gemeld zijn bij de Autoriteit Persoonsgegevens (AP). Het aantal (intern) gemelde datalekken is hiervoor constant gebleven, het aantal meldingen bij de AP is gestegen. Mogelijke oorzaak voor de relatieve stijging van het percentage meldingen bij het AP is dat de AP aangeeft dat als informatie terecht is gekomen bij een Particulier of een Bedrijf waar de gemeente geen zakelijke overeenkomst mee heeft, dit niet aangemerkt kan worden als ‘Betrouwbare partner’, waardoor het meldingscriterium is aangescherpt.

Datalekken 50 40 30 20 10 0 2021

2022 Datalekken

2023

2024

2025

Meldingen AP

Belangrijkste risico’s Door het mogelijk niet (tijdig) melden van een (potentieel) datalek informeert de gemeente de burger en de toezichthouder niet (tijdig) dat persoonsgegevens zijn gelekt, en welke maatregelen de burger kan nemen om (potentieel) misbruik van deze gegevens tegen te gaan. Dit is een verplichting vanuit de AVG. De Toezichthouder (de Autoriteit Persoonsgegevens) kan de gemeente boetes opleggen indien zij niet voldoet aan de AVG.

Pagina 34

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Algoritmeregister Bevindingen De ontwikkelingen op het gebied van AI gaan snel, ook binnen de gemeente Delft neemt de vraag naar de (on)mogelijkheden van het gebruik van AI toe. In 2024 heeft de gemeente Delft haar eerste algoritmes gepubliceerd op het algoritmeregister van de Nederlandse overheid. Hier worden de algoritmes vermeld die een potentieel hoog risico voor de betrokkene zijn (Hoog-risico AI-systeem volgens de AI-act), waarvan het gebruik van het algoritme onderdeel is van maatschappelijk debat, of een algoritme waarvan de uitkomst impact heeft op de betrokkenen. In 2025 is gewerkt aan het opstellen van AI-beleid wat in 2026 is vastgesteld. Daarnaast is gestart met het uitvoeren van Algoritme Impact Assessments (AIA). Het AI Impact Assessment is een hulpmiddel voor het maken van afwegingen bij het inzetten van kunstmatige intelligentie (artificial intelligence, AI) in een project. Deze assessment heeft als basis de IAMA (Impact Assessment Mensenrechten en Algoritmes) zoals vereist vanuit de overheid. In 2025 zijn 9 AIA’s afgerond.

AIA: Algoritme Impact Assessment IAMA: Impact Assessment Mensenrechten en Algoritmes

Pagina 35

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Algoritme Impact Assessments (AIA) Bevindingen De ontwikkelingen op het gebied van AI gaan snel, ook binnen de gemeente Delft neemt de vraag naar de (on)mogelijkheden van het gebruik van AI toe. In 2024 heeft de gemeente Delft haar eerste algoritmes gepubliceerd op het algoritmeregister van de Nederlandse overheid. Hier worden de algoritmes vermeld die een potentieel hoog risico voor de betrokkene zijn (Hoog-risico AI-systeem volgens de AI-act), waarvan het gebruik van het algoritme onderdeel is van maatschappelijk debat, of een algoritme waarvan de uitkomst impact heeft op de betrokkenen. In 2024 is verder gestart met het opstellen van AI-beleid (naar verwachting vast te stellen in 2025), en is gestart met het uitvoeren van Algoritme Impact Assessments (AIA).

AIA: Algoritme Impact Assessment IV: Informatie Voorziening.

Pagina 36

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2024 (mei 2025)

Inzageverzoeken Bevindingen Het aantal inzageverzoeken dat de gemeente Delft in 2025 kreeg (239) vertoont voor het vierde jaar op rij een stijgende lijn. Vrijwel alle verzoeken zijn binnen de wettelijke termijn afgehandeld. Met een inzageverzoek wordt door de gemeente op verzoek van de burger een overzicht gegeven van de soort persoonsgegevens die door de gemeente verwerkt worden en met welk doel. Als men behoefte heeft om het dossier inhoudelijk te zien, dan kunnen betrokkenen hiervoor een afspraak maken met de verantwoordelijke afdeling. In slechts een paar gevallen is er gevraagd om het dossier volledig op te sturen. Het aantal inzageverzoeken dat de gemeente Delft krijgt is al een aantal jaar relatief hoog zonder dat hier een duidelijke reden voor bekend was. Om beter inzicht te krijgen in de achtergrond van dit relatief hoge aantal inzageverzoeken voor de gemeente Delft is in 2025 een onderzoek uitgevoerd naar de oorzaak hiervan. Hieruit is een mogelijke oorzaak aan het licht gekomen waarna het aanvraagproces is verduidelijkt met als doel om het aantal onbewuste aanvragen te verminderen. De verwachting is dat deze daling doorzet waarmee het aantal inzageverzoeken structureel lager uit gaat vallen.

Pagina 37

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Verantwoordingsrapportage 2025 Bijlage 3: Cyberbeveiligingswet (Cbw - NIS2)

Pagina 38

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

NIS2, wat is het? ✓ Europese wetgeving eind 2022: Richtlijn Netwerk- en Informatiebeveiliging 2 (NIS2) ✓ Nederlandse vertaling van de NIS2 begin 2025: wettelijke verankering in de Cyberbeveiligingswet en BIO 2.0 ✓ Op 15 april 2026 heeft de Tweede Kamer ingestemd met de Cyberbeveiligingswet

December 2024

1e kwartaal 2025 1e kwartaal 2025

3e kwartaal 2025 2e kwartaal 2026

Cbw: Cyber Beveiligings Wet NIS2: Network and Information Security 2 Directive

Pagina 39

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

NIS2, onze plichten Zorg Neem passende (gedocumenteerde) maatregelen (op basis van een risicoanalyse) om de continuïteit van onze diensten zoveel mogelijk te waarborgen en de gebruikte informatie te beschermen volgens de Baseline Informatiebeveiliging Overheid (BIO). Meld Meld incidenten aan de toezichthouder. Registratie

Registreer de gemeente in een entiteitenregister bij het Nationaal Cybersecurity Centrum (NCSC) zodat een Europees breed beeld ontstaat van alle entiteiten onder de NIS2. Toezicht Verplicht toezicht door een onafhankelijke toezichthouder: de Rijksinspectie Digitale Infrastructuur (RDI).

Pagina 40

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Rapportage NIS2 Gemeente Delft Ter voorbereiding op de NIS2 zijn voor de gemeente Delft 6 aandachtsgebieden gedefinieerd waarop activiteiten plaatsvinden om als gemeente voorbereid te zijn op de NIS2 en de cyberbeveiligingswet. Deze aandachtsgebieden zijn:

• • • • • •

Inzicht in risico’s: door het uitvoeren van gestructureerde risicoanalyses creëren van inzicht in de risico’s, en het bewust niet alle risico’s eisen een aanpak. Versterken risico management proces voor proceseigenaren; Risico management systeem: Implementeren van het ondersteunende informatiesysteem voor het gestructureerd classificeren en toetsen van maatregelen en kwetsbaarheden, ten behoeve van het risico management proces voor proceseigenaren; Bedrijfscontinuïteitsplannen: Bedrijfs Continuïteits Management (BCM) is zowel gericht op het doorgaan van de kritieke dienstverlening als het herstel van de normale operaties na een incident. Bewustwording; De medewerker is de eerste en laatste schakel in informatiebeveiliging. Bewustwording is essentieel in het continu informeren, trainen en betrekken van medewerkers; Contract en leveranciersmanagement: Het borgen van duidelijke afspraken en controles met zowel externe partijen als de verbonden partijen ten aanzien van de verdeling van beveiligingsnormen en -vereisten; Controle op OT-systemen: Naast IT maakt de gemeente Delft ook gebruik van Operationele Technologie (OT) voor systemen zoals bruggen, sluizen en verkeerslichten. BCM: Bedrijfs Continuïteits Management. OT: Operationele Technologie.

Pagina 41

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

1. INZICHT IN RISICO’S ✓ ✓ ✓

Status: Onvoldoende

we kennen onze risico’s we maken gestructureerde risicoanalyses niet alle risico’s eisen een aanpak

BIO Baselinetoets: Als quick scan risico analyse voor zowel informatiebeveiliging als gegevensbescherming wordt momenteel het model van de BIO baselinetoets gehanteerd. Hierin wordt een risico classificering vastgesteld ten aanzien van Beschikbaarheid, Integriteit en Vertrouwelijkheid (het BBN niveau), en wordt vastgesteld of een DPIA noodzakelijk is. In 2025 zijn 14 Baselinetoetsen uitgevoerd. Het uitvoeren van een BIO Baselinetoets is standaard onderdeel van het IV portfolioproces. Aanvullend aan deze quick scan risico analyses dienen ook diepgaande risico analyses uitgevoerd te worden. Op basis van de actualisatie van de BIO, en gebruikmakend van de handreikingen en de best practices van de IBD, wordt hiervoor een risico analyse proces ingericht.

BBN: Basis Beveiligings Niveau. BIO: Baseline Informatiebeveiliging Overheid. IBD: Informatie Beveiligings Dienst.

Pagina 42

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Status: Goed

2. BEWUSTZIJN ✓ ✓ ✓ ✓

We trainen ons bestuur Al onze medewerkers volgen trainingen We tonen leiderschap We durven te melden

Bewustwording: Bewustwordingsactiviteiten worden samen met Informatiebeveiliging & Gegevensbescherming georganiseerd. Het doel is medewerkers kennis en context mee te geven, en bijvoorbeeld te zorgen dat medewerkers weten hoe te handelen bij datalekken, phishing mails en beveiligingsincidenten. Bij daadwerkelijke phishing mails die de gemeente ontvangt valt op dat medewerkers snel en adequaat handelen. De uitgebreide training Veilig werken met Informatie is binnen de gemeente verplicht gesteld voor alle nieuwe medewerkers. De deelnemers worden tijdens een bijeenkomst op het stadskantoor voorgelicht over onderwerpen t.a.v. informatiebeveiliging en gegevensbescherming en krijgen praktische handvatten aangereikt om op een veilige manier te kunnen werken. Ook in 2025 is continue aandacht onder andere geborgd door Delft specifieke thema georiënteerde campagnes, lunchlezingen en een speurtocht.

Pagina 43

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

3. MANAGEMENTSYSTEEM

Status: Voldoende

✓ We werken volgens een procesgerichte benadering voor informatiebeveiliging ✓ Inzicht in de invoering van de BIO ✓ Resultaten van audits.

ISMS: Een Information Security Management System (ISMS) is een verzameling van activiteiten, processen en documenten die nodig is om informatiebeveiliging en gegevensbescherming op een systematische manier te managen. Het ISMS helpt bij het managen hiervan doordat kaders, richtlijnen en afspraken op een structurele en effectieve manier worden vastgelegd. Door te werken volgens een procesgerichte benadering voor informatiebeveiliging en gegevensbescherming krijgt de gemeente inzicht in de invoering van de BIO en de AVG, en wordt het risico inzicht op processen en applicaties versterkt. Door in het ISMS resultaten van audits op te nemen kunnen gerichte verbeterplannen opgesteld en gemonitord worden, waarbij de proceseigenaar in control komt. In 2025 is gestart met de implementatie van het ISMS proces, gebruikmakend van een ondersteunende applicatie. Dit implementatieproces van de applicatie heeft vertraging opgelopen en zal in 2026 voortgezet worden.

AVG: Algemene Verordening Gegevensbescherming BIO: Baseline Informatiebeveiliging Overheid ISMS: Information Security Management System PDCA: Plan Do Check Act.

Pagina 44

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

4. LEVERANCIERSMANAGEMENT ✓ ✓ ✓

Status: Voldoende

we leggen afspraken vast we controleren periodiek we praten met onze leveranciers over de huidige stand van zaken en de toekomst

Steeds meer processen vinden plaats in een vorm van samenwerking, bijvoorbeeld met een leverancier of in een keten. Ook maakt de gemeente Delft gebruik van verschillende verbonden partijen. Zo wordt samengewerkt met IT leveranciers, gemeente Rijswijk, maar ook met wooncorporaties en dochter organisaties zoals Delft Support en Werkse! In elke situatie is het van belang de verantwoordelijkheid van de gemeente én de samenwerkingspartner wederzijds inzichtelijk te hebben, en goede onderlinge afspraken te hebben én te monitoren ten aanzien van informatiebeveiliging en gegevensbescherming.

Het inzicht in alle leveranciers, inclusief het inzicht in alle afspraken en risico’s vraagt verdere aandacht.

Pagina 45

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

5. BEDRIJFSCONTINUÏTEITSPLANNEN ✓ ✓ ✓

Status: Voldoende

we hebben actuele continuïteitsplannen we weten wat we moeten doen bij incidenten Duidelijke rolverdeling

BCM: Bedrijfs Continuïteits Management (BCM) is een beheersproces waarbij de gemeente de nodige maatregelen treft om ongeacht de omstandigheden de continuïteit van de meest kritische bedrijfsprocessen te garanderen. In geval van een onderbreking van één of meerdere van deze kritische bedrijfsprocessen willen we deze tot een minimum tijdsduur beperken. In 2025 is het overzicht kritische processen en applicaties opnieuw geactualiseerd. Het overzicht is met de betrokken directeuren afgestemd, proces- en applicatie eigenaren zijn opgenomen. Mede naar aanleiding van het project Versterken Maatschappelijke Weerbaarheid is de aandacht voor en sturing op het hebben van Bedrijfs Continuïteits Plannen (BCP) sterk toegenomen. Voor alle bedrijfs kritische processen wordt nu gestuurd op een actuele procesbeschrijving én een Bedrijfs Continuïteits Plan.

BCM: Bedrijfs Continuïteits Management. BCP: Bedrijfs Continuïteits Plan

Pagina 46

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Status: Voldoende

5. OT SYSTEMEN ✓ ✓ ✓

Inzicht in alle systemen We kennen alle risico’s Verantwoordelijkheid

OT: Binnen de gemeente Delft wordt gebruik gemaakt van verscheidene zogenaamde OT-systemen: Operationele Technologie, of Proces Automatisering (PA). Enerzijds verschillen deze OT systemen van IT systemen. OT betreft systemen in de openbare ruimte, waarbij het risico zich met name voordoet ten aanzien van beschikbaarheid, terwijl IT systemen kantoorautomatisering betreft met risico’s op het gebied van vertrouwelijkheid. Ten aanzien van het borgen en monitoren van passende beveiligingsmaatregelen is er een grote overeenkomst. De gemeente Delft heeft al diverse maatregelen genomen om de veiligheid en betrouwbaarheid van haar operationele technologie (OT-) systemen te waarborgen. Tegelijkertijd is het risico management en controle proces op OT nieuw voor de gemeente. Er wordt actief bekeken hoe de veiligheid van de systemen verder kunnen worden versterkt, en er wordt aandacht gevraagd bij directe partners en onze eigen beveiligingsleveranciers. Op grotere schaal wordt nagedacht over de impact van eventuele grootschalige calamiteiten, bijvoorbeeld op riolering.

OT: Operationele Technologie. PA: Proces Automatisering.

Pagina 47

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)

Afkortingen AIA: Algoritme Impact Assessment AVG: Algemene Verordening Gegevensbescherming BBN: Basis Beveiligings Niveau. BCM: Bedrijfs Continuïteits Management. BCP: Bedrijfs Continuïteits Plan BIO: Baseline Informatiebeveiliging Overheid Cbw: Cyberbeveiligingswet IAMA: Impact Assessment Mensenrechten en Algoritmes ISMS: Information Security Management System IBD: Informatie Beveiligings Dienst. NIS: Network and Information Security OT: Operationele Technologie. PA: Proces Automatisering. PDCA: Plan Do Check Act. Wpg: Wet politie gegevens

Pagina 48

Verantwoordingsrapportage Informatiebeveiliging en Gegevensbescherming 2025 (mei 2026)