Beantwoording technische vragen

Agendapunt

Onderwerp Raadsvoorstel Rekenkameronderzoek informatiebeveiliging en privacybescherming

5

Fractie D66

Vraag

Antwoord

1. Op welke puntenvoldoet de organisatie nog niet aan De organisatie voldoet op de volgende punten nog niet aan de NIS2 richtlijn, en op welke termijn verwacht men dat de NIS2 richtlijn: - Governance: Bestuursorganen opleiden, dit is opgelost? - De beveiliging van de toeleveringsketen, - Asset management, - Rapportageverplichtingen: Zo snel mogelijk mee-delen maatregelen aan 'klanten'. De NIS2 richtlijn is onderdeel van de Cyberbeveiligingswet en wordt eind 2e kwartaal 2026 ingevoerd. Op dit moment wordt wordt een roadmap opgesteld om de genoemde punten op te lossen. 2. Is volledige compliance in 2026 haalbaar binnen de Nee, een gemeente kan hoogwaardige compliance aantonen, maar volledige en permanente 100%-compliance huidige planning en middelen? is niet realistisch is; cyberrisico’s en dreigingen veranderen continu. 3. Hoe wordt de gemeenteraad periodiek geïnformeerd We informeren u regulier via de P&C-cyclus over de uitkomsten van diverse audits en zelfevaluaties. Op basis over cyber- en privacyrisico’s? van de aanbeveling punt vier uit het rapport gaan wij met u in gesprek om aan te sluiten bij de door uw gewenste informatievorm. 4. Hoe wordt de kwaliteit van de beveiligingsdiensten Externe bureau's onderwerpen de (beveiligings)diensten jaarlijks aan een audit en wordt er een penetratietest van Equalit onafhankelijk gecontroleerd? uitgevoerd. 5.

Wat waren de uitkomsten van de jaarlijkse audits (ENSIA)? Kunnen we de uitkomsten overlegd krijgen?

De ENSIA verantwoording loopt (nog) tot 1 mei 2026 en hierover wordt de raad t.z.t geinformeerd. De informatie van 2025 is beschikbaar en kan aan de raad worden 6. Welke afspraken met Equalit gelden voor Door Equalit is een Incident responseplan opgesteld en vastgesteld, met hiein gestelde termijnen. De inhoud van dit incidentrespons en herstel? plan wordt jaarlijks in verschillende audits (ISAE 3402, DIGID, Accountant-controle) beoordeeld en akkoord 7. Hoe gaat geregeld worden dat de CISO onafhankelijk De borging van de onafhankelijkheid van deze functies is een aanbevelinguit het rapport en wordt opgepakt. Wij van Equalit kan functioneren? komen hierop terug in het jaarverslag.

8. Hoe wordt de opvolging van verbetermaatregelen bewaakt?

9. Is de capaciteit van CISO, FG en Privacy Officer structureel voldoende?

Bedoelt u hiermee de Opvolging van verbetermaatregelen wordt bewaakt via de Portfolio-methodiek en de ISMS-tool die op dit moment wordt geïmplementeerd. Een ISMS-tool borgt dat verbetermaatregelen ín beeld' blijven, toont voortgang en levert aantoonbaar bewijs richting bestuur en audits. De capaciteit voor de drie functies is op dit moment voldoende.

10. Wanneer vindt de eerstvolgende cybercrisisoefening plaats en wordt de raad daarbij betrokken?

In de loop van 2026 wordt een cybercrisisoefeninguitgevoerd, dit is een aangelegenheid van het college en organisatie zoals bij elke rampenoefening.