RIB 24- 16 ENSIA 2023 Informatieveiligheid en Privacy

Aan de raadsleden

Dongen, maart 2024

Uw kenmerk Zaaknummer Bijlage(n)

: : :

Contactpersoon/tel.nr. Betreft

: :

Raadsinformatiebrief nr. 24-16 1. Jaarverslag 2023 en jaarplan 2024 Functionaris Gegevensbescherming 2. Bestuurlijke rapportage ENSIA 2023.pptx Veerle Ultee / 14 0162 Rapportage stand van zaken informatieveiligheid en privacy mede naar aanleiding van ENSIA 2023

Geachte raadsleden, Inleiding Het college van burgemeester en wethouders van de gemeente Dongen legt over 2023 verantwoording af over de stand van zaken op het gebied van informatiebeveiliging binnen de gemeentelijke organisatie. Dit gaat op basis van de Eenduidige Normatiek Single Information Audit (= ENSIA) systematiek. Privacy hangt samen met informatieveiligheid. Als informatie veilig is, wordt ook de privacy van de inwoners en medewerkers van de gemeente Dongen beter beschermd. In deze raadsinformatiebrief informeren wij u over de uitkomsten van de ENSIA en de stand van zaken op het gebied van privacy (Algemene Verordening Gegevensbescherming, de AVG). Dit is de Europese verordening die de privacy van inwoners en medewerkers van de gemeente Dongen beschermt. ENSIA ENSIA heeft tot doel het verantwoordingsproces over informatieveiligheid te professionaliseren door het toezicht te bundelen en aan te sluiten op de gemeentelijke planning & control-cyclus. Hierdoor heeft het gemeentebestuur meer overzicht over de stand van zaken van de informatieveiligheid en kan het hier ook beter op sturen. ENSIA neemt de Baseline Informatiebeveiliging Overheid (BIO) als uitgangspunt en maakt gebruik van een daarop ingerichte zelfevaluatie.

Scope van de ENSIA verklaring De ENSIA verantwoording voor het jaar 2023 gaat over: • Implementatie van de Baseline Informatiebeveiliging Overheid (BIO) – zelfevaluatie; • Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet) – externe audit; • Basis Registratie Personen (BRP) – zelfevaluatie; • Paspoorten en Nederlandse identiteitskaarten (PNIK) – zelfevaluatie; • Basisregistratie Grootschalige Topografie (BGT) – zelfevaluatie; • Basisregistratie Adressen en Gebouwen (BAG) – zelfevaluatie; • Basisregistratie Ondergrond (BRO) – zelfevaluatie; Dit jaar ontbreken twee onderdelen die het vorig verantwoordingsjaar wel in scope waren: • Basisregistratie Onroerende Zaken (WOZ) – zelfevaluatie in samenwerking met de BWB.

•

Deze zelfevaluatie is uit de ENSIA gehaald. Dit is een landelijke beslissing. Het is niet de verwachting dat de WOZ de komende jaren weer terugkeert binnen ENSIA. Digitale Persoonsidentificatie (DigiD) – externe audit; In 2023 is de gemeente gewisseld van DigiD aansluiting. Vanwege de vervanging van het zaaksysteem en daarmee samenhangend de digitale formulieren is er een andere DigiD aansluiting. Deze is echter niet lokaal maar wordt door de leverancier middels een landelijke aansluiting voorzien. Voor deze landelijke aansluiting is dus geen lokale audit nodig. Wel heeft gemeente Dongen een nieuwe (extra) DigiD aansluiting t.b.v. de digitale producten van Burgerzaken ingericht. Deze aansluiting is bij in gebruik name conform de voorschriften van Logius ge-audit door een externe auditor en hoeft daarom dit jaar iet nogmaals in het kader van ENSIA ge-audit te worden.

Specifiek voor het onderdeel Suwinet is een Assurance verklaring gevraagd van een onafhankelijke en geaccrediteerde IT-auditor. Deze IT-auditor toetst volgens de landelijke normenkaders over de opzet en het bestaan van beheersmaatregelen. Dit laatste wordt door de verticale toezichthouders vereist. De overige onderdelen bestaan uit een zelfevaluatie: een door de betrokken medewerkers zelf ingevulde digitale vragenlijst. Voor de meeste onderdelen leggen we ook verantwoording af aan landelijke toezichthouders.

Bijgaande presentatie geeft u op alle onderdelen inzicht in de stand van zaken. Een samenvatting: Onderdeel BIO Suwinet BRP PNIK BGT BAG BRO

Stand van zaken

Legenda: Het onderdeel is op orde, in control. Wellicht zijn er enkele verbeterpunten. Het onderdeel krijgt een voldoende. Er zijn meerdere verbeterpunten. Het onderdeel is niet in control. Er zijn veel verbeterpunten, bijsturing is nodig.

Privacy (AVG en WPG) Privacy krijgt steeds meer aandacht. Door de verregaande digitalisering van de samenleving ontstaan er nieuwe uitdagingen. De Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG), die sinds 25 mei 2018 van kracht zijn, geven de gemeente richtlijnen en verplichtingen met betrekking tot de bescherming van de persoonlijke levenssfeer van inwoners en medewerkers. Ook is er een externe audit voor de Wet Politiegegevens (WPG). Deze wetgeving ziet toe op een zorgvuldige omgang met politiegegevens. Voor de gemeente vallen de werkzaamheden van de BOA’s deels onder deze wetgeving. Gemeente Dongen heeft de externe WPG-audit goed doorstaan. De rol van de FG, functionaris gegevensbescherming, krijgt binnen de organisatie steeds meer vorm. In deze RIB is daarom als bijlage voor het eerst het jaarverslag van de FG opgenomen. Een FG houdt binnen een organisatie toezicht op de toepassing en naleving van de privacywetgeving en heeft een onafhankelijke positie. Informatieveiligheid Sinds de COVID-19 pandemie werken meer medewerkers thuis. De Digitale Werkplek is voor alle ‘kantoorwerkers’ vanuit huis beschikbaar. Daarom hebben we in 2023 een groot project om gegevens op telefoons, tablets en laptops beter te beveiligen afgerond. Multi-factor-authenticatie is hierbij de norm.

Rekenkamer-onderzoek Eind 2022/begin 2023 heeft de rekenkamercommissie (RMB) onderzoek gedaan naar de informatiebeveiliging van gemeente Dongen. Het onderzoek van de RMB bestaat uit een organisatorisch onderzoek (BIO normering die ook binnen ENSIA gehanteerd wordt) en een technisch onderzoek (pentest). De CISO heeft actief meegewerkt aan het onderzoek van de RMB. Het rapport is eind 2023 aan uw raad aangeboden. Alle bevindingen met een hoog risico zijn opgepakt en afgehandeld. Bewustwording Medewerkers worden regelmatig via het intranet op de hoogte gehouden van recente ontwikkelingen op privacygebied en informatieveiligheid. Zo delen we voorbeelden van phishingmails en pogingen om persoonlijke gegevens te achterhalen. Ook krijgen medewerkers de kans om kennis op te doen over hoe de AVG in de praktijk toegepast kan worden. Daarbij ligt de nadruk op het menselijke aspect van de bescherming van persoonsgegevens en het voorkomen van incidenten. Datalekken en incidenten In 2023 zijn er 5 datalekken geregistreerd, deze hebben we beoordeeld en intern afgehandeld. De datalekken betreffen meestal verkeerd geadresseerde e-mails. Er zijn 4 beveiligingsincidenten geregistreerd. Ambities 2024 Het afgelopen jaar hebben we zowel het informatieveiligheidsbeleid als het privacybeleid vernieuwd.

Voor 2024 richt onze energie zich onverminderd op het voorkomen van datalekken, het informatiebewuster en digitaal vaardiger maken van de organisatie en het nemen van preventieve (organisatorische en technische) maatregelen om de privacy informatieveiligheid van gemeente Dongen te borgen. Op het gebied van informatieveiligheid en privacy blijven we samenwerken met regionale (gemeenten Tilburg en Waalwijk) en landelijke (Informatiebeveiligingsdienst) partners en leveranciers. Ook zal er in 2024 een interne WPG-audit plaatsvinden. Wij hopen u hiermee voldoende te hebben geïnformeerd. Met vriendelijke groet, Burgemeester en wethouders van Dongen, De secretaris,

De burgemeester,

Mr. H.L.M. van Noort

M.C. Bakermans