RIS318374 Bijlage collegeverklaring

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Gemeente Den Haag

1/3

Gemeentelijk kenmerk collegeverklaring ENSIA over 2023

DBV/10710262

Collegeverklaring informatiebeveiliging DigiD en Suwinet 2023 Gemeente Gemeente Den Haag Doel en achtergrond verklaring De voorzieningen die we als gemeente voor DigiD en Suwinet hebben, moeten beveiligd zijn tegen onrechtmatig gebruik. De gemeente treft (beheers)maatregelen om veilig gebruik te maken van deze voorzieningen. Met deze verklaring geven wij, het College van Burgemeester en Wethouders, aan in welke mate de gemeente voldoet aan de informatiebeveiligingsnormen voor DigiD en Suwinet. Deze verklaring maakt onderdeel uit van de verantwoording over informatiebeveiliging middels ENSIA1 en is tot stand gekomen door een zelfevaluatie over informatiebeveiligingsnormen gebaseerd op de door de toezichthouder geselecteerde eisen uit de Baseline Informatiebeveiliging Overheid voor Suwinet en het Normenkader 3.0 voor DigiD. De inhoud van deze collegeverklaring is getoetst door een onafhankelijke IT-auditor. Deze verklaring is bestemd voor de toezichthouders van DigiD en Suwinet, te weten Logius en het Ministerie van Sociale Zaken en Werkgelegenheid via het Bureau Keteninformatie Werk en Inkomen (BKWI) alsmede de stelselhouders: het ministerie van Binnenlandse Zaken en Koninkrijksrelaties en het ministerie van Sociale Zaken en Werkgelegenheid.

Reikwijdte en diepgang verklaring De toegang die we als gemeentelijke organisatie voor DigiD en Suwinet hebben, moet beveiligd zijn tegen onrechtmatig gebruik. Hiervoor stellen de stelselhouders een aantal informatiebeveiligingsnormen verplicht. De gemeentelijke organisatie moet beheersmaatregelen treffen om te voldoen aan deze gestelde normen en gebruik te mogen (blijven) maken van deze voorzieningen. De toetsing van de IT-auditor gaat over de opzet en het bestaan van deze beheersingsmaatregelen om te kunnen voldoen aan de relevante beveiligingsnormen voor DigiD en Suwinet op 31 december 2023. Voor DigiD wordt het door Logius vastgestelde DigiD-normenkader 3.0 gehanteerd; voor Suwinet de Verantwoordingsrichtlijn GeVS 2022 (actuele versie) die ten behoeve van ENSIA nader is uitgewerkt in de ENSIA Suwinet-guidance. De door de gemeente uitbestede beheersingsmaatregelen inzake DigiD en Suwinet zijn getoetst door een onafhankelijke IT-auditor van de externe dienstverlener. Hiervan hebben wij als gemeente een auditrapport ontvangen.

Collegeverklaring en samenvattend beeld van de auditbevindingen Verklaring / Conclusie Het college van Burgemeester en Wethouders van de gemeente Den Haag verklaart dat de gemeentelijke organisatie op 31 december 2023 niet voldoet aan alle geselecteerde normen inzake DigiD en Suwinet. Het college verklaart dat voor DigiD en Suwinet niet aan alle normen wordt voldaan. Wij hebben verbeterplannen opgesteld om aan de normen te voldoen, de acties zijn belegd en worden gemonitord.

1 ENSIA ondersteunt de gemeente bij de verantwoording over informatiebeveiliging richting de gemeenteraad en de rijksoverheid.

ENSIA gaat uit van de Baseline Informatiebeveiliging Overheid (BIO), alsmede van informatiebeveiligingsnormen vanuit Basisregistratie Personen (BRP), wet- en regelgeving reisdocumenten (PUN, PNIK), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet).

2

Gemeentelijk kenmerk collegeverklaring ENSIA over 2023

DBV/10710262

Samenvattend beeld Deze collegeverklaring en de verantwoording van de externe dienstverlener(s) dekken tezamen de beveiligingsnormen inzake DigiD en Suwinet af. Het detailoverzicht van normen en of we hier als gemeente aan voldoen, is opgenomen in de volgende bijlagen: • Bijlage 1 DigiD met auditkenmerk GAD/2024.06 o Digid 1000921 met gemeentelijk kenmerk DBV/10710264 o Digid 1004345 met gemeentelijk kenmerk DBV/10710263 o Digid 1003623 met gemeentelijk kenmerk DBV/10710265 • Bijlage 2 Suwinet met auditkenmerk GAD/2024.06 en gemeentelijk kenmerk DBV/10710266

Onderwerp

Wordt aan alle normen voldaan?

Zijn de uitzonderingen in [een] verbeterplan[nen] opgenomen en zijn de verbetermaatregelen belegd en worden deze gemonitord?

DigiD 1000921

Nee

Ja

DigiD 1004345

Ja

Niet van toepassing

DigiD 1003623

Ja

Niet van toepassing

Suwinet voor SUWI-taken

Nee

Ja

Suwinet voor niet-SUWI-taken

Ja

Niet van toepassing

College van B&W Gemeente Gemeente Den Haag Den Haag, 25 maart 2024

Auditor Drs. Guido L. Vleugels RE RA Den Haag, Datum

3