RIB 25-30 Bijl1 - Bestuurlijke rapportage ENSIA 2024
Tekst van het document
Rapportage ENSIA voor de gemeenteraad
gemeente Dongen Leeswijzer
Deze rapportage is opgesteld op basis van de zelfevaluatie ENSIA 2024 en is als volgt opgebouwd: STATUS INFORMATIEBEVEILIGING (BIO) • Bestuurlijke uitgangspunten • Samenvatting van 5 hoofdstukken (consolidatie van de 18 BIO hoofdstukken) VERANTWOORDING AAN HET RIJK UIT ENSIA • Getoetste collegeverklaring ENSIA – Suwinet en DigiD • Status Basisregistratie Personen en Reisdocumenten • Status GEO basisregistraties (BAG, BGT, BRO) De maatregelen zijn beknopt opgenomen. Voor de exacte strekking raadpleegt u ENSIA (zelfevaluatie BIO) of de BIO.
Met behulp van smiley’s en soms ook een score (percentage) is aangegeven hoe de gemeente er voor staat per onderdeel. Er zijn bestuurlijke uitgangspunten opgenomen in de overzichtspagina BIO. Deze kennen geen score.
Status informatiebeveiliging BIO - Samenvatting BESTUURLIJKE UITGANGSPUNTEN Bestuurlijke principes en beleid, organisatie van de beveiliging en naleving
100% veiligheid is een illusie. De zelfevaluatie (en andere testen) laat zien dat de informatiebeveiliging bij de gemeente Dongen voldoende op orde is, maar dat er op onderdelen ook nog zeker ruimte is voor verbetering. We werken, samen met leveranciers en de gemeente Tilburg, continu om de veiligheid te vergroten. De zelfevaluatie geeft daarbij input op ons jaarlijkse informatieveiligheidsplan waarin we acties benoemen, prioriteren en plannen.
Het bestuur van deze gemeente: • Volgt het beleid van de IBD • Zorgt ervoor dat de juiste informatiebeveiliging door de gemeentelijke organisatie wordt uitgevoerd • Controleert de juiste werking van de informatiebeveiliging
1. BELEID EN ORGANISATIE Actueel beleid en organisatie van informatiebeveiliging en controle op naleving
2. PERSONEEL EN TOEGANG Juiste toegang voor medewerkers tot gebouwen, systemen en gegevens 3. CONTINUÏTEIT EN INCIDENTEN Zorgen voor de continuïteit van onze dienstverlening en opvolging van incidenten 4. INFORMATIESYSTEMEN Veilige omgang met informatiesystemen en afspraken hierover met onze leveranciers 5. DATABESCHERMING Veilige omgang met data in onze software
Status: voldoende
1. BELEID EN ORGANISATIE Actueel beleid en organisatie van informatiebeveiliging en controle op naleving • Bestuur, directie en management laten zien dat informatiebeveiliging belangrijk is • De informatiebeveiligingsorganisatie is geregeld • Waar, wanneer en hoe: altijd werken wij veilig • Wij houden ons aan onze afspraken en leven de wet- en regelgeving na Onderdelen:
<geef kleur>
onvoldoende
voldoende
goed
H5 - Informatiebeveiligingsbeleid H6 - Organiseren van informatiebeveiliging H18 - Naleving Toelichting: Voor de geconstateerde tekortkomingen in hoofdstukken 6 en 18 stellen we een verbeterplan op, en werken we, onder meer samen met de gemeente Tilburg, aan het verder verbeteren van de informatiebeveiliging.
Waar we naar streven: Het bestuur en medewerkers zijn actief betrokken bij informatiebeveiliging. Er is een organisatiebreed beleid dat richting en sturing geeft. De organisatie is effectief ingericht, waarbij rollen, taken en bevoegdheden zijn ondergebracht. Verantwoording is structureel ingericht, zodat naleving is geborgd.
Status: voldoende
2. PERSONEEL EN TOEGANG Juiste toegang voor medewerkers tot gebouwen, systemen en gegevens
Onderdelen:
onvoldoende
voldoende
In control
H7 - Veilig personeel H9 - Toegangsbeveiliging H11 - Fysieke beveiliging en beveiliging van de omgeving Toelichting: Voor de geconstateerde tekortkomingen in hoofdstuk 9 stellen we een verbeterplan op. Zo staat er voor het komend jaar een project op de planning met gemeente Tilburg voor het verder beschermen van het netwerk voor afwijkende hardware. Waar we naar streven: Alleen de juiste personen hebben toegang tot de gebouwen, systemen en gegevens van de gemeente. Er zijn passende organisatorische en technische maatregelen getroffen. Dit gaat om waarborgen rondom in- en externe medewerkers, toegang tot gebouwen en omgeving en toegang tot de (digitale) informatievoorziening.
Status: in control
3. CONTINUÏTEIT EN INCIDENTEN Zorgen voor de continuïteit van onze dienstverlening en het opvolgen van incidenten
Onderdelen:
onvoldoende
voldoende
In control
H16 - Beheer van beveiligingsincidenten H17 - Bedrijfscontinuïteitsbeheer & informatiebeveiliging Toelichting: Op deze onderdelen zijn we als organisatie in control. Uiteraard is verdere optimalisatie altijd mogelijk, maar hier gaat de komende tijd onze prioriteit niet naar uit. Waar we naar streven: De diensten van de gemeente worden geleverd volgens de afspraken die de gemeente daarover maakt met de burger en bedrijven. Ook bij incidenten worden de diensten geleverd volgens deze afspraken.
Status: voldoende
4. INFORMATIESYSTEMEN Veilige omgang met informatiesystemen en afspraken hierover maken met onze leveranciers
Onderdelen:
onvoldoende
voldoende
In control
H12 - Beveiliging van de bedrijfsvoering H14 - Acquisitie, ontwikkeling en onderhoud van informatie systemen H16 - Leveranciersrelaties Toelichting Voor de geconstateerde tekortkomingen in hoofdstukken 12, 14 en 16 stellen we een verbeterplan op. Zo voeren we op regelmatige basis overleggen met onze belangrijkste leveranciers. Waar we naar streven: Informatiesystemen zijn een keten van mensen, processen en middelen. Hierin zijn procedures en maatregelen beschikbaar ter bescherming van de omgeving. Het gaat hierbij om zowel de interne als de externe informatiesystemen (uitbesteding, leveranciers en cloud-toepassingen).
Status: voldoende
5. DATABESCHERMING Veilige omgang met data in onze software
Onderdelen:
onvoldoende
voldoende
in control
H8 - Beheer van bedrijfsmiddelen H10 - Cryptografie H13 - Communicatiebeveiliging Toelichting Voor de geconstateerde tekortkomingen in hoofdstukken 8, 10 en 13 stellen we een verbeterplan op. Denk hierbij aan het actualiseren van ons cryptografie beleid. Waar we naar streven: Data wordt op de juiste manier beschermd. De gegevens van de burgers worden veilig opgeslagen en gecommuniceerd. Binnen en buiten de gemeente.
Getoetste collegeverklaring ENSIA - Suwinet ENSIA - DigiD Getoetste Collegeverklaring
Status: voldoet
Van onze ENSIA-zelfevaluatie worden jaarlijks twee onderdelen geaudit door een IT-auditor: DigiD en Suwinet. De basis voor de audit vormt de collegeverklaring. Hierin zijn de uitkomsten van de ENSIA-zelfevaluatie opgenomen. Er wordt getoetst op opzet en bestaan (niet op werking). Voor Suwinet worden de collegeverklaring en bijlagen als verantwoording verzonden naar toezichthouder BKWI/SZW. SUWI (Wet Structuur Uitvoeringsorganisatie Werk en Inkomen): Suwinet is een digitale infrastructuur die is ontwikkeld door de Suwi-partijen (UWV, SVB en gemeenten) om ervoor te zorgen dat zij gegevens met elkaar kunnen uitwisselen voor de uitoefening van hun wettelijke taak. Er worden alleen gegevens uitgewisseld waar een wettelijke grondslag voor is. Wij gebruiken Suwinet voor de uitvoering van de Participatiewet, de uitvoering van de IOAZ en IOAW, raadplegen van adresgegevens bij Burgerzaken en het raadplegen van gegevens door gemeentelijk gerechtsdeurwaarders wanneer er een getekend dwangbevel is. Niet voldaan
Gebruik van Suwinet voor SUWI-taken - Participatiewet (Pw) - Inkomensvoorziening voor Oudere en gedeeltelijk Arbeidsongeschikte Werknemers (IOAW) - Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen (IOAZ)
voldaan
De gemeente Dongen voldoet volgens het oordeel van de externe auditor aan alle alle interne beheersmaatregelen inzake Suwinet in opzet en bestaan aan de geselecteerde controls. Voor zowel de SUWI-taken als de niet-SUWItaken.
Gebruik van Suwinet voor niet-SUWI-taken - Adresonderzoek door Burgerzaken Algemene toelichting: Uit het assurancerapport van de externe auditor blijkt dat we op alle getoetste onderdelen voldoen. Ook het oordeel van onze zelf-evaluatie positief. Er zijn derhalve geen verbeterpunten of verbeteracties. Ook de Suwinettaken die zijn uitbesteed aan gemeente Tilburg voldoen.
Getoetste collegeverklaring ENSIA - DigiD Getoetste Collegeverklaring ENSIA - DigiD
Status: voldoet
Van onze ENSIA-zelfevaluatie worden jaarlijks twee onderdelen geaudit door een IT-auditor: DigiD en Suwinet. De basis voor de audit vormt de collegeverklaring. Hierin zijn de uitkomsten van de ENSIA-zelfevaluatie opgenomen. Er wordt getoetst op opzet, bestaan en (dit jaar voor het eerst ook beperkt op) werking. Voor DigiD worden de collegeverklaring en bijlagen als verantwoording verzonden naar toezichthouder Logius/BZK. DigiD: DigiD is een authenticatiemiddel dat wordt ingezet voor onze digitale dienstverlening. Hiermee ontsluiten we digitale formulieren op de website. Niet voldaan
Aansluiting eDiensten (aansluitnummer 1005291)
voldaan
De gemeente Dongen voldoet volgens het oordeel van de externe auditor aan alle beheersmaatregelen inzake DigiD in opzet, werking en bestaan aan de geselecteerde controls.
Algemene toelichting: Uit het assurance-rapport van de externe auditor blijkt dat we op alle getoetste onderdelen voldoen. Op een onderdeel is er sprake van een nonoccurance (de werking van maatregelen kan niet getoetst worden als er geen voorval plaats heeft gevonden). Ook het oordeel van onze zelf-evaluatie is positief. Er zijn derhalve geen verbeterpunten of verbeteracties.
Status Basisregistratie Personen en Reisdocumenten Getoetste Collegeverklaring ENSIA - DigiD
Status: verbetering mogelijk
Van onze zelfevaluatie ENSIA wordt de verantwoording over de Basisregistratie Personen (BRP) en de wet- en regelgeving voor de Reisdocumenten (paspoorten en ID-kaarten) afgeleid. De uitkomsten worden verzonden aan de Rijksdienst voor de Identiteitsgegevens (RvIG). De zelfevaluatie voor informatiebeveiliging vindt via de ENSIA systematiek plaats. De verantwoording over de kwaliteit van de registraties komt voort uit de zelfevaluatie in de Kwaliteitsmonitor. De zelfevaluaties over informatiebeveiliging en de kwaliteit leiden tot scores. Gemeenten worden binnen ENSIA geacht de volgende score te behalen voor: • BRP 1200 punten = 100% • Reisdocumenten 1200 punten = 100%
94% - 95%
Basisregistratie Personen (BRP) De zelfevaluatie BRP over het jaar 2024 is afgerond met een score van 94%. Wet- en regelgeving voor Reisdocumenten De zelfevaluatie Reisdocumenten over het jaar 2024 is afgerond met een score van 95%. Algemene toelichting: Voor de BRP scoren we 100% op organisatie en toegang en 82,5% op naleving. Voor de Reisdocumenten scoren we 100% op organisatie en toegang en 87,5% op naleving. Hoewel er ruimte is voor verbetering, zijn de scores voldoende. In 2025 is er een nieuwe BRP specialist in dienst gekomen en kunnen we verder werken aan het verbeteren van de prestaties.
Status GEO-basisregistraties Getoetste Collegeverklaring ENSIA - DigiD
Status: voldoet
Wij verantwoorden ons aan het ministerie van BZK/Directoraat Generaal Bestuur, Ruimte en Wonen (DGBRW) over drie basisregistraties in het geografische domein. De rapportages zijn tot stand gekomen op basis van door ons uitgevoerde zelfevaluaties. De zelfevaluaties betreffen de kwaliteit van de registraties (geen informatiebeveiliging). De zelfevaluaties over informatiebeveiliging en de kwaliteit leiden tot scores. Gemeenten worden geacht minimaal de volgende score te behalen voor: • Basisregistratie Adressen en Gebouwen (BAG) 75% • Basisregistratie Grootschalige Topografie (BGT) 75% • Basisregistratie Ondergrond (BRO) 60%
Basisregistratie Adressen en Gebouwen (BAG) De zelfevaluatie BAG over het jaar 2024 is afgerond met een score van 99% Basisregistratie Grootschalige Topografie (BGT) De zelfevaluatie BGT over het jaar 2024 is afgerond met een score van 100% Basisregistratie Ondergrond (BRO) De zelfevaluatie BGT over het jaar 2024 is afgerond met een score van 82% Algemene toelichting: Net als voorgaande jaren scoren we zeer ruim voldoende voor de BRO en de (bijna) maximale score voor de BGT en de BAG.
82% - 100%