RIB 25-30 Informatieveiligheid en privacy (ENSIA 2024)

RAADSINFORMATIEBRIEF Nummer

25-30

Datum

8 april 2025

Onderwerp

Informatieveiligheid en privacy (ENSIA 2024)

Portefeuillehouder Hans Slagboom Bijlagen

1. Bestuurlijke rapportage ENSIA 2024 2. Jaarverslag 2024 en Jaarplan 2025 Functionaris Gegevensbescherming

Aan de gemeenteraad van Dongen, Inleiding Het college van burgemeester en wethouders van de gemeente Dongen legt over 2024 verantwoording af over de stand van zaken op het gebied van informatiebeveiliging binnen de gemeentelijke organisatie. Dit gaat op basis van de Eenduidige Normatiek Single Information Audit (= ENSIA) systematiek. Privacy hangt samen met informatieveiligheid. Als informatie veilig is, wordt ook de privacy van de inwoners en medewerkers van de gemeente Dongen beter beschermd. In deze raadsinformatiebrief informeren wij u over de uitkomsten van de ENSIA en de stand van zaken op het gebied van privacy (Algemene Verordening Gegevensbescherming, de AVG). Dit is de Europese verordening die de privacy van inwoners en medewerkers van de gemeente Dongen beschermt. ENSIA ENSIA heeft tot doel het verantwoordingsproces over informatieveiligheid te professionaliseren door het toezicht te bundelen en aan te sluiten op de gemeentelijke planning & control-cyclus. Hierdoor heeft het gemeentebestuur meer overzicht over de stand van zaken van de informatieveiligheid en kan het hier ook beter op sturen. ENSIA neemt de Baseline Informatiebeveiliging Overheid (BIO) als uitgangspunt en maakt gebruik van een daarop ingerichte zelfevaluatie.

Scope van de ENSIA-verklaring De ENSIA-verantwoording voor het jaar 2024 gaat over: • Implementatie van de Baseline Informatiebeveiliging Overheid (BIO) – zelfevaluatie; • Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet) – externe audit;

• • • • • •

Digitale Persoonsidentificatie (DigiD) – externe audit; Basis Registratie Personen (BRP) – zelfevaluatie; Paspoorten en Nederlandse identiteitskaarten (PNIK) – zelfevaluatie; Basisregistratie Grootschalige Topografie (BGT) – zelfevaluatie; Basisregistratie Adressen en Gebouwen (BAG) – zelfevaluatie; Basisregistratie Ondergrond (BRO) – zelfevaluatie;

Voor de onderdelen Suwinet en DigiD is een Assurance verklaring gevraagd van een onafhankelijke en geaccrediteerde IT-auditor. Deze IT-auditor toetst volgens de landelijke normenkaders over de opzet en het bestaan van beheersmaatregelen. Dit laatste wordt door de verticale toezichthouders vereist. De overige onderdelen bestaan uit een zelfevaluatie: een door de betrokken medewerkers zelf ingevulde digitale vragenlijst. Voor de meeste onderdelen leggen we ook verantwoording af aan landelijke toezichthouders.

Bijgaande presentatie geeft u op alle onderdelen inzicht in de stand van zaken. Een samenvatting: Onderdeel

Stand van zaken

BIO Suwinet DigiD BRP Reisdoc. BGT

Legenda: Het onderdeel is op orde, in control. Wellicht zijn er enkele verbeterpunten. Het onderdeel krijgt een voldoende. Er zijn meerdere verbeterpunten. Het onderdeel is niet in control. Er zijn veel verbeterpunten, bijsturing is nodig.

BAG BRO Privacy (AVG en WPG) Privacy krijgt steeds meer aandacht. Door de verregaande digitalisering van de samenleving ontstaan er nieuwe uitdagingen. De Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG), die sinds 25 mei 2018 van kracht zijn, geven de gemeente richtlijnen en verplichtingen met betrekking tot de bescherming van de persoonlijke levenssfeer van inwoners en medewerkers. Ook is er een externe audit voor de Wet Politiegegevens (WPG). Deze wetgeving ziet toe op een zorgvuldige

omgang met politiegegevens. Voor de gemeente vallen de werkzaamheden van de BOA’s deels onder deze wetgeving. Gemeente Dongen heeft de externe WPG-audit goed doorstaan. Bij deze RIB is als bijlage het jaarverslag van de FG opgenomen. Een FG houdt binnen een organisatie toezicht op de toepassing en naleving van de privacywetgeving en heeft een onafhankelijke positie. Bewustwording Medewerkers worden regelmatig via het intranet op de hoogte gehouden van recente ontwikkelingen op het gebied van privacy en informatieveiligheid. Zo delen we voorbeelden van phishingmails en pogingen om persoonlijke gegevens te achterhalen. Ook krijgen medewerkers de kans om kennis op te doen over hoe de AVG in de praktijk toegepast kan worden. Daarbij ligt de nadruk op het menselijke aspect van de bescherming van persoonsgegevens en het voorkomen van incidenten. Datalekken en incidenten In 2024 zijn er 9 datalekken geregistreerd, deze hebben we beoordeeld en intern afgehandeld. In 3 gevallen is het datalek gemeld bij de Autoriteit Persoonsgegevens. Het aantal geregistreerde datalekken is gestegen ten opzichte van 2023 (5 geregistreerde datalekken) en nagenoeg gelijk aan 2022 (8). De aard van de datalekken is vergelijkbaar aan voorgaande jaren; het betreft meestal verkeerd geadresseerde e-mails. Ook landelijk signaleert de Autoriteit Persoonsgegevens een stijging in het aantal meldingen.

Er zijn 2 beveiligingsincidenten geregistreerd. Ambities 2025 Voor 2025 richt onze energie zich onverminderd op het voorkomen van datalekken, het informatiebewuster en digitaal vaardiger maken van de organisatie en het nemen van preventieve (organisatorische en technische) maatregelen om de privacy informatieveiligheid van gemeente Dongen te borgen. Op het gebied van informatieveiligheid en privacy blijven we samenwerken met regionale (gemeenten Tilburg en Waalwijk) en landelijke (Informatiebeveiligingsdienst) partners en leveranciers. Wij vertrouwen erop u hiermee voldoende te hebben geïnformeerd. Het college van burgemeester en wethouders,

Dr. G.W. Goedmakers

Ir. J.C. Slagboom

Secretaris

Burgemeester