2024-04-25 262 Raadsmededeling Toezichtjaarverslag informatieveiligheid en privacy 2023

RAADSMEDEDELING

Onderwerp

Toezichtjaarverslag informatieveiligheid en privacy 2023

Nummer

2024-262

Portefeuillehouder

Burgemeester,

Team

DEV-CS

Datum

23-04-2024

Inleiding Het college informeert uw raad over het toezichtjaarverslag informatieveiligheid en privacy over het jaar 2023. De Functionaris Gegevensbescherming (FG) en de Chief Information Security Officer (CISO) van de gemeente Deventer zien erop toe dat de gemeente bij het verwerken van informatie en persoonsgegevens voldoet aan de verplichtingen uit de Algemene Verordening Gegevensbescherming (AVG), de Wet Politiegegevens (Wpg) en de Baseline Informatiebeveiliging Overheid (BIO). De FG en CISO rapporteren hun bevindingen rechtstreeks aan het college van burgemeester en wethouders.

Kader Algemene Verordening Gegevensbescherming (AVG) Baseline Informatiebeveiliging Overheid (BIO) Wet Politiegegevens (Wpg).

Kern van de boodschap Om gegevens te beschermen en incidenten te voorkomen, houden de Chief Information Security Officer (CISO) en de Functionaris voor Gegevensbescherming (FG) toezicht. In het toezichtjaarverslag van 2023 constateren zij de positieve ontwikkelingen en voortdurende aandachtspunten op het gebied van informatiebeveiliging en privacy bij de gemeente Deventer. Ze zien dat sommige problemen die ze eind 2022 en 2021 hebben gesignaleerd, zijn opgelost. In 2023 is er, net zoals in voorgaande jaren, hard gewerkt aan het verbeteren van informatieveiligheid en privacy binnen de gemeente. Er zijn daarbij stappen gezet in het verder inbedden van het informatiebeveiliging- en privacymanagement. Bijvoorbeeld bij het inrichten van het proces voor het uitvoeren van DPIA’s (privacy risicoanalyses), het opzetten van een tool voor de registers van verwerkingen en het opstellen van een plan van aanpak voor de implementatie van de Wet Politiegegevens. Een groot deel van de gesignaleerde problemen vraagt echter ook in 2024 nog aandacht. De directie van gemeente Deventer onderschrijft de aanbevelingen van de CISO en FG en heeft deze naar acties vertaald voor 2024. Zij hebben het privacy- en informatiebeveiligingsplan 2024 omarmd.

Nadere toelichting Gemeenten zijn verantwoordelijk voor het gebruik van informatie en persoonsgegevens van inwoners, medewerkers en relaties. Het beschermen van deze gegevens is belangrijk en wordt gereguleerd door de Baseline Informatiebeveiliging Overheid (BIO), de Algemene verordening gegevensbescherming (AVG) en de Wet politiegegevens (Wpg). Niet-naleving kan ernstige gevolgen hebben, zoals schade aan het vertrouwen in de gemeente en haar bestuurders.

De aanbevelingen voor 2024 richten zich op verschillende gebieden: * Governance: Bewustwording vergroten, betrokkenheid van organisaties verhogen en periodieke sturingsinformatie delen met directie en bestuur. * Privacy en security by design: Achterstanden wegwerken bij risicoanalyses, praktijk in lijn brengen met procedures en kennisniveau organisaties verhogen. * Overzicht creëren: Registers bijwerken, capaciteit teams/domeinen aandacht geven en werkprocessen en informatiesystemen bijhouden. * Incidenten: Lessen delen, schaduw-IT verminderen en integrale aanpak verzekeren bij applicatie- en dienstaanschaf. * Bewustwording: Systematisch vergroten van bewustzijn en diverse bewustwordingsprikkels inzetten. * Rechten van betrokkenen: Opnemen van omgang met politiegegevens in privacyverklaringen en aandacht vragen voor taken en verantwoordelijkheden bij verzoeken. * Auditverplichting Wet politiegegevens: Starten met verbeterplannen en capaciteit teams/domeinen aandacht geven. * Wet beveiliging netwerk- en informatiesystemen (Wbni): Capaciteit informatiebeveiliging voor implementatie van de NIS2-richtlijn aandacht geven. Het toezichtverslag sluit af met specifieke aandachtspunten voor 2024 en een conclusie, waarin het belang van voortdurende inzet voor informatiebeveiliging en privacy benadrukt wordt.

De directie van gemeente Deventer heeft de aanbevelingen van de CISO en FG overgenomen. Zij neemt haar verantwoordelijk door in 2024 het privacy- en informatiebeveiligingsplan 2024 uit te voeren. Het toezichtverslag en het privacy- en informatiebeveiligingsplan worden als bijlage met deze raadsmededeling meegestuurd.