RIS322867 Voortgang maatregelen Verhogen van de digitale weerbaarheid

Typ tekstTyp tekstTyp tekst

Hilbert Bredemeijer Wethouder van Onderwijs, Jeugd, Sport en Dienstverlening

dienst: dienstcode

Retouradres: Postbus 12600, 2500 DJ Den Haag

Ons kenmerk

Aan de voorzitter van de commissie Bestuur

DBV/10924104 RIS322867 Contactpersoon

Dennis Ravensbergen Dienst

Dienst Bedrijfsvoering Afdeling

DBV Digitale Strategie & Infor.. Telefoonnummer

14070 E-mailadres

Datum

cio-staf@denhaag.nl

15 juli 2025 Onderwerp

Voortgang maatregelen Verhogen van de digitale weerbaarheid

Geachte voorzitter, In de commissie van 18 juni jl. heb ik toegezegd u te informeren over de voortgang van de maatregelen voor het verhogen van de digitale weerbaarheid van de gemeente Den Haag (toezegging 960). Via deze brief informeer ik u hierover. Aanpak en ambitie Het verbeteren van de digitale veiligheid en digitale weerbaarheid is een thema dat continue aandacht heeft binnen de gemeente Den Haag. We doen dit op basis van de gestructureerde aanpak en een set aan richtlijnen en standaarden uit het Baseline Informatiebeveiliging Overheid framework (BIOframework) van de Rijksoverheid 1. Vanuit dit framework wordt de volwassenheid van organisaties op het gebied van de digitale veiligheid en digitale weerbaarheid geëvalueerd en geobjectiveerd. De volwassenheid wordt gemeten op basis van een schaal van 1 tot 5 en vastgesteld middels een BIO-assessment 2. De gemeente Den Haag streeft hierbij een volwassenheidniveau 3 na. Dit is ook het niveau dat wordt geadviseerd door Secura, een gespecialiseerde leverancier op het gebied van digitale veiligheid en digitale weerbaarheid welke eind 2024 in opdracht van de CIO een onafhankelijke BIO-audit heeft uitgevoerd. Groei in volwassenheid De ontwikkeling van de BIO-volwassenheid van onze organisatie laat een gestage groei zien. Van een 1.7 in 2021 naar een 2.1 in 2023 en een 2.3 in 2024.

In de tweede helft van 2025 wordt er door het CISO-office wederom een self-assessment uitgevoerd om de bio-volwassenheid in 2025 opnieuw vast te stellen. De verwachting is dat we dan doorgroeien naar een volwassenheid van 2,5. Deze groei in volwassenheid is het gevolg van een gestructureerde en risico gebaseerde aanpak in combinatie met actieve sturing op de verschillende maatregelen die de gemeente Den Haag de afgelopen jaren heeft genomen.

1

Baseline Informatiebeveiliging Overheid Cybersecurity - Digitale Overheid

2

BIO Self-Assessment - cip-overheid

Gemeente Den Haag

Spui 70 Den Haag

Postbus 12600 2500 DJ Den Haag

Telefoonummer 14070 www.denhaag.nl

Gemeente Den Haag Ons kenmerk

DBV/10924104

Gerealiseerde maatregelen Zo is eind 2023 het transitieplan I&A opgesteld. Vanuit dit plan zijn veel maatregelen doorgevoerd op het gebied van het inrichten van beheer- en onderhoudsprocessen op het gebied van IT zoals incidentmanagement, wijzigingenmanagement en configuratiemanagement en is er software geïnstalleerd om het IT-landschap in kaart te brengen en te monitoren. Daarnaast is sinds de toekenning van de NAVO-top aan de gemeente Den Haag medio 2024 ook flink geïnvesteerd in het verder verbeteren van de digitale veiligheid en digitale weerbaarheid. Zo zijn verschillende technische maatregel doorgevoerd, zijn alle kritieke processen in kaart gebracht en de bijbehorende business continuïteitsplannen opgesteld. Tot slot is er uitgebreid geoefend met de crisisorganisatie. Lopende maatregelen Naast het transitieplan I&A en de werkzaamheden in het kader van de NAVO-top is er nog een ander belangrijk programma opgestart te weten het programma Haags Digitaal Samenwerken. De kern van dit programma is dat medewerkers van de gemeente Den Haag beter worden getraind in het effectief gebruiken van hun digitale werkplekomgeving. Een belangrijk onderdeel van deze training is dat medewerkers worden opgeleid in het gebruik van hun werkplekomgeving conform de wettelijke kaders. Dat is inclusief bewustwording op het gebied van digitale veiligheid en goed informatiebeheer.

Daarnaast zijn er nog verschillende maatregelen genomen. Zo wordt er op dit moment een Risico- en compliance manager geworven, is er voor risicomanagement software in gebruik genomen (GRC) en is een proces ingevoerd om beveiligingsrisico's op een gestructureerde en controleerbare manier te beheren (ISM). Ook is er nieuw cloud beleid opgesteld en wordt er een nieuwe visie en strategie ontwikkelt voor de toekomstige Haagse digitale werkplekomgeving. Voor deze visie geldt dat het uitgangspunt is dat de werkplek volledig "managed” wordt en daarmee dus beter te beveiligen is. Onafhankelijke audits en onderzoeken Aanvullend op deze maatregelen voor digitale veiligheid en weerbaarheid worden naast de kaderstellende en toetsende taak van de 2e lijns CISO-office, ook regelmatig onafhankelijke interne en externe audits en onderzoeken uitgevoerd door de 3e-lijn. Zo voert de gemeentelijke accountantsdienst jaarlijks onderzoek uit naar digitale veiligheid en digitale weerbaarheid middels de jaarrekening. Heeft Secura eind 2024 een onafhankelijke BIO-audit uitgevoerd. En heeft de rekenkamer in 2024 de werkplek onderzocht. Deze onafhankelijke onderzoeken en audits zijn zeer helpend om meer focus aan te brengen in onze gestructureerde en risico gebaseerde aanpak en werkwijze.

In de geheime bijlage 2 bij deze brief is een overzicht gegeven van de status van de opvolging van alle aanbevelingen uit audits in 2024. Programma Versneld Verhogen Digitale Weerbaarheid Aangezien er veel overlap zat in de aanbevelingen uit de verschillende audits en onderzoeken hebben wij ervoor gekozen om de openstaande bevindingen op gestructureerde en risico gebaseerde wijze op te lossen middels het programma “Versneld Verhogen Digitale Weerbaarheid". Dit programmaplan is vertrouwelijk als bijlage bijgevoegd.

2/3

Gemeente Den Haag Ons kenmerk

DBV/10924104

Samenvatting en conclusie Op basis van de maatregelen die de afgelopen periode zijn doorgevoerd, aangevuld met de maatregelen die middels verschillende projecten en programma's nog worden genomen, ben ik van mening dat wij voldoende invulling hebben gegeven aan de aanbevelingen van de Haagse rekenkamer. Ik zal dan ook geen nieuw plan aanleveren maar actief blijven sturen op lopende projecten, programma's en maatregelen. Dit met als doel om het geambieerde volwassenheidsniveau 3 te realiseren en daarmee de digitale veiligheid en digitale weerbaarheid van de gemeente Den Haag op het noodzakelijke niveau te brengen. Met vriendelijke groet, de wethouder van Onderwijs, Jeugd, Sport en Dienstverlening Hilbert Bredemeijer

3/3