Voorstel tot het geven van de opdracht voor het uitvoeren van de aanbevelingen uit het rapport informatiebeveiliging.pdf

Advies

Raadsvoorstel Aan:

Gemeenteraad

Portefeuillehouder: Betrokken portefeuillehouder(s): Classificatie:

Wethouder Augustijn

Van team: Adviseur: E-mail:

Griffie M. Klaassen Bos m.klaassenbos@denhelder.nl

Openbaar

Kenmerk: 000022804

Onderwerp:

Voorstel tot het geven van de opdracht voor het uitvoeren van de aanbevelingen uit het rapport informatiebeveiliging Publiekssamenvatting: In opdracht van de rekenkamer is een onderzoek naar de informatiebeveiliging uitgevoerd bij de gemeente Den Helder. De hoofdvraag van het onderzoek was: ‘Is de informatieveiligheid bij de gemeente Den Helder voldoende gewaarborgd?’ In het onderzoek zijn diverse zaken geconstateerd die meer aandacht nodig hebben. Zowel op gebied van organisatie, mens als techniek bevat het rapport verbeterpunten. Door het uitvoeren van de concreet geformuleerde verbeterpunten, de aanbevelingen, kunnen de geconstateerde risico’s worden verminderd. Geadviseerd besluit 1. Het college van burgemeester en wethouders op te dragen de aanbevelingen uit het rapport uit te voeren en een tijdspad uit te werken voor de stapsgewijze realisatie van verbeteringen; 2. bijlage 5.2 geheim te verklaren tot 1 juni 2028.

Aanleiding en context Vorig jaar heeft de rekenkamercommissie besloten onderzoek te doen naar de informatiebeveiliging. In het bericht van 26 juni 2023 hierover aan de raad schrijft de rekenkamercommissie dat het een buitengewoon actueel item is: “Verspreid over heel Nederland zijn er de afgelopen jaren immers diverse voorbeelden te zien geweest van situaties waarin de informatieveiligheid niet - dan wel onvoldoende - was gewaarborgd. De complexiteit van met name de technische aspecten van informatieveiligheid is voor veel betrokken bestuurders en ambtenaren een lastige problematiek waarop moeilijk grip valt te krijgen.” Het onderzoek is uitgevoerd door het onderzoeksbureau Hoffmann en is gestart onder de voormalige rekenkamercommissie. In verband met de verhuizing naar Willemsoord heeft het onderzoek langer geduurd dan gepland en vond de afronding plaats in 2024 onder de verantwoordelijkheid van de nieuwe rekenkamer. Het onderzoek richtte zich op de aspecten: organisatie, mens en techniek. Hoffmann heeft onderzoek gedaan door middel van deskresearch en interviews met de ambtenaren in de organisatie. Daarnaast zijn er zowel digitale als fysieke testen gedaan.

Doelen en resultaten Het onderzoek naar de organisatie van de informatiebeveiliging had tot doel na te gaan of de gemeente Den Helder de belangrijkste risico’s in beeld heeft, hoe het beleid is opgesteld en of dit in de praktijk wordt toegepast. De hoofdvraag van het onderzoek was: ‘Is de informatieveiligheid bij de gemeente Den Helder voldoende gewaarborgd?’ Door de bevindingen in het rapport geeft de rekenkamer de raad inzicht in het beveiligingsniveau van de gemeente Den Helder. Met concreet uitvoerbare verbeterpunten, de aanbevelingen, geeft het rapport aan hoe het niveau kan worden verhoogd. Kaders en omstandigheden - In de hoofdstukken IVa en XIa van de Gemeentewet staan bepalingen over de rekenkamer en de bevoegdheden van de rekenkamer. In het bijzonder is in artikel 185 van de Gemeentewet geregeld dat de 000022804- pag. 1 van 3

-

rekenkamer mededelingen met vertrouwelijke gegevens en bevindingen ter vertrouwelijke kennisneming van de raad kan verstrekken. De Verordening gemeentelijke rekenkamer Den Helder 2023 bevat bepalingen over de inrichting van de rekenkamer. In het document Missie en werkwijze biedt de Rekenkamer Den Helder een integrale beschrijving van wat de rekenkamer doet, hoe dit wordt gedaan en welke uitgangspunten hieraan ten grondslag liggen. In artikel 87 Gemeentewet is bepaald dat de gemeenteraad geheimhouding kan opleggen ten aanzien van informatie die onder hem berust.

Argumenten en alternatieven In het onderzoek zijn diverse zaken geconstateerd die nadere aandacht behoeven zowel op gebied van organisatie, mens als techniek bevat het rapport verbeterpunten. Door het uitvoeren van deze concreet geformuleerde verbetermogelijkheden worden de geconstateerde risico’s verminderd. In het rapport worden voor de segmenten organisatie, mens en techniek in separate paragrafen de aanbevelingen benoemd. De aanbevelingen zijn samengevat in overkoepelende aanbevelingen. De onderzoekers schatten in dat de gemeente zich voor informatiebeveiliging op een volwassenheids-niveau tussen 1 en 2 op een schaal van 5 bevindt. De rekenkamer onderschrijft dat de gemeente Den Helder een hoger niveau zou moeten nastreven. Van de in het rapport genoemde aanbevelingen, benadrukken wij:  Bepaal welk volwassenheidsniveau de gemeente nastreeft en welke stappen er moeten worden gedaan om dat te bereiken.  Zet extra stappen om het bewustzijn van medewerkers qua informatiebeveiliging te vergroten en de uitvoering van afspraken te verbeteren.  Geef hogere prioriteit aan het tot stand komen van een Business Continuïteitsplan. In het rapport zijn de risico’s en de impact daarvan in kaart gebracht.

Door de aanbevelingen uit het rapport over te nemen en het college opdracht te geven deze aanbevelingen uit te voeren, worden de risico’s verminderd en het beveiligingsniveau van de informatieveiligheid in de gemeente Den Helder verhoogd. Door de uitwerking van de maatregelen in een tijdspad, wordt een realistische implementatie van die maatregelen bevorderd. Bestuurlijke reactie Het college onderschrijft het belang van informatiebeveiliging. In de bestuurlijke reactie spreekt het college de waardering uit voor het rapport en geeft aan de aanbevelingen te implementeren en de informatiebeveiligingspraktijken te versterken voor een veiligere toekomst voor de gemeenschap (zie bijlage 3). Bijlage 5.2 geheim verklaren De rekenkamer heeft op grond van artikel 185, lid 1, Gemeentewet in samenhang met artikel 5.1, lid 2, onder h van de Wet open overheid beoordeeld dat het openbaar maken van de informatie in de bijlage 5.2 achterwege blijft omdat het belang daarvan niet opweegt tegen het belang van de beveiliging van personen en het voorkomen van sabotage en het bekend worden extra risico’s met zich brengt. De rekenkamer biedt de bijlage daarom, conform artikel 185, lid 3, Gemeentewet, vertrouwelijk ter kennisgeving aan. De rekenkamer stelt de raad voor om deze bijlage geheim te verklaren tot 1 juni 2028. Binnen deze termijn is er voldoende tijd om de verbeteringen te realiseren.

De bijlage ligt ter inzage bij de griffie en op afspraak voor raadsleden in te zien. Duurzaamheid Dit voorstel heeft geen specifieke aspecten met betrekking tot duurzaamheid. Bestuurlijke vernieuwing De informatiebeveiliging is direct van invloed op de bedrijfsvoering van de gemeentelijke organisatie en daarmee ondersteunend aan de doelen van het programma bestuurlijke vernieuwing. Het voorstel komt, op grond van artikel 2, sub c en d van de Referendumverordening 2012, niet in aanmerking voor het houden van een referendum vanwege het belang van de (digitale) veiligheid in de processen en de daarmee in verband houdende inrichting van de gemeentelijke organisatie. Financiële consequenties Het college geeft in de bestuurlijke reactie op het rapport aan dat de financiële consequenties integraal worden betrokken bij de voorstellen in de planning- en controlcyclus. 000022804- pag. 2 van 3

Uitvoering en Planning Het college verstrekt de raad jaarlijks via de paragraaf Bedrijfsvoering van de jaarrekening een overzicht van de aan het college gedane voorstellen van de rekenkamer, vergezeld van zijn standpunt daaromtrent en van de wijze waarop aan de voorstellen vervolg is gegeven (artikel 8, lid 2, Verordening gemeentelijke rekenkamer Den Helder 2023). Communicatie Het rapport informatiebeveiliging wordt toegevoegd aan: - de publicaties op de pagina van de rekenkamer op de website van de gemeente Den Helder - de bibliotheek rekenkamerrapporten op de website van de Nederlandse Vereniging voor Rekenkamers en Rekenkamercommissies

000022804- pag. 3 van 3