Bijlage 1- Rapport informatiebeveiliging en privacy
Tekst van het document
Informatieveiligheid en privacy in de ABG Gemeenten rekenkamerrapport 21 november 2025
Inhoudsopgave Conclusies en aanbevelingen
4
1.
Inleiding
7
1.1 1.2 1.3 1.4 1.5
Aanleiding voor het onderzoek Onderzoeksvragen Normenkader Aanpak van het onderzoek Leeswijzer
7 7 9 10 11
2.
Actuele ontwikkelingen informatiebeveiliging en privacy gemeenten 12
2.1 2.2 2.3 2.4
Waarom is gemeentelijke digitale veiligheid belangrijk? Wet- en regelgeving Bestuur & organisatie Weerbaarheid
12 12 14 15
3.
Informatiebeveiligings- en privacybeleid in de ABG gemeenten en ABG organisatie
16
3.1 3.2 3.3 3.4 3.5
Inleiding Informatiebeveiligingsbeleid Het algemeen beleid informatieveiligheid en privacy 2025 – 2029 (Concept) Equalit en het Technisch Beveiligingsbeleid Procedures bij incidenten
16 16 17 19 20
4.
Uitvoering informatiebeveiligings- en privacybeleid
21
4.1 4.2 4.3 4.4 4.5
Inleiding Governance Uitvoering van het informatiebeveiligingsbeleid Uitvoering van het privacybeleid Bewustwording
21 21 22 24 26
5.
Toetsing van het informatiebeveiligings- en privacybeleid 28
5.1 5.2 5.3 5.4 5.5
Inleiding Toetsen van het beleid De jaarlijkse ENSIA audit BIO-zelfevaluatie (Be)sturen op risico’s
pagina 2/38
november 2025
28 28 29 29 31
PBLQ – Rekenkamerrapport ABG gemeenten
5.6
Sturing en controle van de gemeenteraad
31
6.
Crisisbeheersing
33
6.1 6.2 6.3
Inleiding Beleid van de gemeenten op het gebied van crisis Toetsen en oefenen
33 33 34
Bijlage A
Interviews
35
Bijlage B
Bestudeerde documentatie
35
Bijlage C
Stoplichtrapportage
37
pagina 3/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
Conclusies en aanbevelingen Er is bijna geen gemeentelijk proces meer te bedenken zonder digitale component. Digitalisering en digitale veiligheid zijn daarom belangrijke gemeentelijke thema’s geworden. Zeker in deze tijd, waar er sprake is van geopolitieke spanningen, is het belangrijk voor gemeenten om hun informatiebeveiliging op orde te hebben. Dat geldt ook voor de ABG gemeenten Alphen-Chaam, Baarle-Nassau en Gilze en Rijen, en voor de ABG organisatie. Het toegenomen belang van digitalisering en informatieveiligheid wordt ook door Europese en nationale wetgeving ondersteund. De Europese NIS2-richtlijn en de Nederlandse vertaling daarvan, de Cyberbeveiligingswet (de Cbw) stellen extra eisen aan gemeenten. Deze Cbw treedt naar verwachting in het tweede kwartaal van 2026 in werking. Vooruitlopend hierop heeft de rekenkamer van de ABG gemeenten een onderzoek uitgevoerd naar informatiebeveiliging en privacybescherming. In dit onderzoek staat de rechtmatigheid en de doelmatigheid van het beleid en de uitvoering daarvan centraal.
Conclusies Beleid Het informatiebeveiligingsbeleid en het privacybeschermingsbeleid is vastgelegd in een drietal strategische beleidsdocumenten. De verschillende wettelijke- en normenkaders vormen het uitgangspunt voor deze beleidsdocumenten. De ABG gemeenten hebben zich tot doel gesteld om aan de wettelijke kaders te voldoen. Ten aanzien van de privacybescherming kan gesteld worden dat de ABG gemeenten voldoen aan het wettelijk kader, de AVG. Het beleid en de onderliggende processen en protocollen zijn op orde. Wel heeft de ABG organisatie een probleem met de ambtelijke capaciteit voor de uitvoering van het beleid. Door personeelswisselingen en tijdelijke inhuur komt de continuïteit van de uitvoering van het beleid in de knel en kan het beleid en de uitvoering daarvan niet worden verbeterd. De ABG gemeenten voldoen nog niet aan de normenkaders die gelden voor informatiebeveiliging. Voor de BIO is een GAP analyse uitgevoerd waaruit blijkt aan welke normen de organisatie niet voldoet. Een vergelijkbare analyse is uitgevoerd voor de NIS2 richtlijn. Hieruit blijkt dat de organisatie op onderdelen ook een been moet bijtrekken om aan deze richtlijn en daarmee straks ook aan de Cyberbeveiligingswet te voldoen. Voor het technisch informatiebeveiligingsbeleid wordt verwezen naar de samenwerkingspartner Equalit.
Dit is de IT afdeling van de gemeente Oosterhout, waar de ABG organisatie IT producten en diensten afneemt die zijn vastgelegd in een producten en dienstencatalogus. Uitvoering van het beleid In de uitvoering van het informatiebeveiligingsbeleid werken de ABG gemeenten nauw samen met het al eerder genoemde Equalit. Er worden niet alleen producten en diensten afgenomen bij Equalit, ook de CISO van de ABG organisatie is werkzaam voor deze organisatie. Equalit levert niet alleen aan de ABG gemeenten, maar richt de dienstverlening op meer gemeenten in de regio. De relatie met Equalit is aan een herijking toe. Met name in de besturing van de samenwerking wordt ervaren dat de ABG gemeenten te weinig invloed hebben op het dienstenpakket dat door Equalit wordt geleverd. Ook zal
pagina 4/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
er meer flexibiliteit in de dienstverlening nodig zijn om tegemoet te komen aan de wensen van de ABG gemeenten. De uitvoering van het informatiebeveiligingsbeleid richt zich op drie belangrijke doelstellingen. De eerste is om het volwassenheidsniveau van de beveiligingsorganisatie te laten groeien naar niveau 3. Een tweede doelstelling is om het bewustzijn voor het onderwerp in de gehele organisatie te vergroten. En de laatste is om volledig te voldoen aan het normenkader van de BIO2/NIS2. Belangrijk uitgangspunt voor de uitvoering van het informatiebeveiligingsbeleid is de Plan Do Check Act (PDCA) cyclus. De portfoliotafels in de ABG organisatie en met Equalit samen spelen hierin een rol. Aan deze tafels worden verbeterpunten op het gebied van informatiebeveiliging besproken en geprioriteerd. Hierbij speelt risicomanagement een belangrijke rol; de issues met een grote kans en veel impact worden als eerste afgehandeld. De uitvoering van het privacybeschermingsbeleid is een kerntaak voor de Functionaris Gegevensbescherming (FG) en Privacy officer (PO). De afgelopen periode is hierbij sprake geweest van onderbezetting, mede veroorzaakt door regelmatig wisselende externe inhuur. Tijdens de uitvoering van het onderzoek is een nieuwe PO geworven die in dienst komt bij de ABG organisatie. Monitoring van capaciteit op het gebied van privacybescherming blijft echter belangrijk.
Alle medewerkers (en bestuurders en raadsleden) van de ABG gemeenten hebben een rol op het gebied van informatiebeveiliging en privacybescherming. Om de bewustwording te vergroten wordt informatie verspreid via het intranet en worden periodieke informatiesessies belegd. Ook wordt een elearning aangeboden aan alle nieuwe en alle zittende medewerkers. Uit rapportages blijkt dat deelname aan deze e-learning beperkt is. Er zijn verschillende afdelingen waar nog geen enkele medewerker de training heeft gevolgd. Uit een telefonische steekproef onder medewerkers blijkt dat zij op de hoogte zijn van het belang van informatiebeveiliging en privacybescherming. Medewerkers gaan zorgvuldig om met informatie en weten hoe zij moeten handelen bij een incident. Controle op de uitvoering van beleid Er worden verschillende instrumenten ingezet om te controleren of de ABG gemeenten voldoen aan wettelijke-, normen- en beleidskaders. Zo worden er jaarlijks verschillende externe en interne audits uitgevoerd. Ook wordt er periodiek aan de portefeuillehouders gerapporteerd over de stand van zaken met betrekking tot de uitvoering van het beleid. Hierbij speelt risicosturing een belangrijke rol. Uit dit onderzoek komt naar voren dat de gemeenteraden van de ABG gemeenten hun controlerende en kaderstellende taken op het gebied van informatiebeveiliging en privacybescherming onvoldoende invullen.
Tijdens een bijeenkomst voor raadsleden die in het kader van dit onderzoek is georganiseerd geven raadsleden aan dit een belangrijk onderwerp te vinden, maar niet te beschikken over kennis en informatie van dit domein. De meeste raadsleden weten daarom vaak niet welke vragen ze moeten stellen in het kader van hun controlerende, kaderstellende en volksvertegenwoordigende taken. Weerbaarheid In 2023 heeft zich, ondanks alle preventieve maatregelen, toch een grote digitale verstoring voorgedaan in de ABG gemeenten. De informatiesystemen lagen eruit en de schermen gingen op zwart. De ABG gemeenten zijn voorbereid op zo’n situatie. Er zijn protocollen die voorzien in de inrichting van een crisisorganisatie die bevoegdheden heeft om de verstoring op te lossen en de schade te herstellen. Het is belangrijk om periodiek te oefenen met (verschillende vormen van) pagina 5/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
crisissituaties om na te gaan of deze protocollen in de praktijk werkbaar zijn. Dat geldt zeker in het geval van de ABG gemeenten, waar in geval van opschaling veel verschillende actoren betrokken worden bij de crisisaanpak. Zo’n oefening heeft nog niet plaatsgevonden; wel staat er op korte termijn een gepland.
Aanbevelingen Bovenstaande conclusies leiden tot de volgende aanbevelingen: Aan de college van burgemeester en wethouders 1. Informatiebeveiliging en privacybescherming zijn belangrijke onderwerpen voor de gemeenten Alphen-Chaam, Baarle-Nassau en Gilze en Rijen. Als de Cyberbeveiligingswet in werking treedt komen er bovendien nieuwe wettelijke taken bij. Om de uitvoering van het beleid voldoende en continue aandacht te geven, beveelt de Rekenkamer aan om structureel voldoende ambtelijke capaciteit hiervoor beschikbaar te hebben. Daarbij moet ook de onafhankelijkheid van de Chief Information Security Officer en de Functionaris Gegevensbescherming goed geborgd worden. 2. Het is belangrijk dat de medewerkers van de gemeenten Alphen-Chaam, Baarle-Nassau en Gilze en Rijen zich bewust zijn van het belang van informatiebeveiliging en privacybescherming. Daarom zijn zij verplicht om de e-learning op dit gebied te volgen. Deze e-learning wordt al enkele jaren aangeboden, maar ruim 50% van de medewerkers moet de training nog volgen. De Rekenkamer beveelt aan om de teammanagers te verplichten dat alle medewerkers uit hun team de training voor een specifieke datum gevolgd hebben. 3. Digitaal veilig voor 100% is onmogelijk; er kan zich altijd een digitale verstoring voordoen, ook in de gemeenten Alphen-Chaam, Baarle-Nassau en Gilze en Rijen.
Gezien de bestuurlijke gelaagdheid van deze gemeenten is het belangrijk dat er periodiek geoefend wordt met (verschillende) digitale verstoringen. De Rekenkamer beveelt dergelijke periodieke oefeningen aan, waarbij alle actoren betrokken worden. Daarbij is het tevens van belang dat van deze oefening geleerd wordt om de crisisprotocollen in de praktijk te toetsen en aan te scherpen. 4. Het is belangrijk dat de gemeenteraden van de gemeenten Alphen-Chaam, Baarle-Nassau en Gilze en Rijen op het gebied van informatiebeveiliging en privacybescherming hun controlerendeen kaderstellende rol kunnen invullen. De Rekenkamer beveelt daarom aan om te investeren in het kennisniveau van de gemeenteraden, bijvoorbeeld door hier in het inwerkprogramma van de nieuwe gemeenteraden aandacht aan te besteden. Ook is het belangrijk om de gemeenteraden periodiek van de juiste informatie te voorzien. Laat deze informatie aansluiten bij de vorm welke de gemeenteraden kiezen om hun kader stellende rol en controlerende taak uit te voeren. Aan de gemeenteraden: De Rekenkamer beveelt aan om na te denken en te bepalen hoe de gemeenteraden van de gemeenten Alphen-Chaam, Baarle-Nassau en Gilze en Rijen op het gebied van informatiebeveiliging en privacybescherming hun controlerende- en kaderstellende rol kunnen invullen.
Er zijn rapportageformats en handreikingen voor gemeenteraden beschikbaar in ENSIA en bij de VNG. Deze zouden gebruikt kunnen worden om de gemeenteraden beter in stelling te brengen.
pagina 6/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
1.
Inleiding
1.1
Aanleiding voor het onderzoek
Gemeenten beheren en inventariseren steeds meer informatie over hun inwoners. Veel van deze informatie raakt aan de persoonlijke levenssfeer. Dat vraagt om garanties voor een veilige omgang met die informatie en een veilige inrichting van de onderliggende systemen. Informatieveiligheid wordt steeds belangrijker door de toenemende digitalisering. Gemeenten verwerken naast persoonsgegevens veel andere belangrijke gegevens die goed beschermd moeten worden. Informatieveiligheid wordt nog vaak als een verantwoordelijkheid van de IT-afdeling gezien. Dit is een te beperkte insteek om voor een adequate bescherming van gemeentelijke informatie te zorgen. Van de baliemedewerker tot het gemeenteraadslid, allemaal spelen ze een rol als het gaat om digitale veiligheid. Informatieveiligheid zou een kernwaarde moeten zijn van iedere medewerker. De menselijke factor en de dagelijkse uitvoeringspraktijk in de gemeente is daarom een belangrijk aandachtspunt in dit onderzoek. Daarnaast is er aandacht voor de raad. Wordt de raad in staat gesteld om haar controlerende- en kaderstellende rol uit te voeren? Maar ook: geeft de raad voldoende prioriteit aan dit onderwerp? Het laatste belangrijke onderdeel van informatieveiligheid betreft de weerbaarheid van de organisatie. Volledige digitale veiligheid bestaat niet; de kans op een digitale verstoring is altijd aanwezig.
De vraag is hoe de gemeente hierop is voorbereid. Weerbaarheid begint bij het bewustzijn van de medewerkers. Ook de adequate inrichting en reactie van de crisisorganisatie speelt een belangrijke rol in de responsfase van een digitale verstoring. In ons onderzoek hebben wij aandacht besteed aan beide zaken. Zo zijn wij in korte individuele gesprekken nagegaan hoe het met het bewustzijn van de medewerkers is gesteld. Ook hebben wij aandacht besteed aan de crisisorganisatie. Wij hebben hierbij niet alleen gekeken naar de inrichting en werkprocessen, maar ook naar cyberoefeningen. Worden deze uitgevoerd en wordt hiervan geleerd? In het tweede kwartaal van 2026 wordt naar verwachting de Cyberbeveiligingswet van kracht. Gemeenten worden (net als andere overheidsorganisaties) in deze wet gezien als essentiële entiteiten. Dit betekent dat er extra verplichtingen voor gemeenten gaan gelden op het gebied van de zorgplicht en de meldplicht. Deze wet is een belangrijke aanleiding voor de Rekenkamer van de ABG gemeenten om dit onderzoek uit te voeren. Met dit onderzoek wil de Rekenkamer de gemeenteraad nader informeren over dit belangrijke onderwerp, zodat de raad zijn kaderstellende en controlerende rol adequaat kan vervullen.
1.2
Onderzoeksvragen
De rekenkamer heeft onderstaande vraag als hoofdvraag voor dit onderzoek geformuleerd: In hoeverre is het privacybeschermingsbeleid en het informatiebeveiligingsbeleid inclusief de uitvoering daarvan, rechtmatig en doelmatig, ingericht binnen de ABG organisatie en binnen de gemeenten Alphen-Chaam, Baarle-Nassau en Gilze en Rijen?
pagina 7/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
Deze hoofdvraag is vervolgens opgedeeld in verschillende categorieën deelvragen: Categorie
Deelvragen
1) Beleid
a)
Welk beleid heeft de ABG organisatie en hebben de ABG gemeenten geformuleerd ten aanzien van de informatiebeveiliging? Welk beleid heeft de ABG organisatie en hebben de ABG gemeenten geformuleerd ten aanzien van de privacybescherming van burgers?
b)
In hoeverre voldoet dit beleid aan de eisen van de relevante wet- en regelgeving (zoals AVG en de BIO)? Eventueel deze vraag t.a.v. het privacybeschermingsbeleid toespitsen op de Jeugdwet, de Participatiewet en de WMO.
c)
Welke doelstellingen zijn er geformuleerd m.b.t. informatiebeveiliging en welke doelstellingen m.b.t. privacybescherming?
d)
Worden de geformuleerde doelstellingen gehaald?
e)
Welke procedures en verantwoordelijkheden zijn er vastgelegd voor de afhandeling van informatiebeveiligingsincidenten? Welke procedures en verantwoordelijkheden zijn er vastgelegd voor de afhandeling van privacybeschermingsincidenten?
f)
Op welke wijze is de raad bij de ontwikkeling van het beleid betrokken geweest?
a)
Is het informatiebeveiligingsbeleid effectief uitgewerkt in procedures en werkprocessen? Is het privacybeschermingsbeleid effectief uitgewerkt in procedures en werkprocessen?
b)
Worden de procedures en werkprocessen in de dagelijkse uitvoeringspraktijk ook daadwerkelijk toegepast?
c)
Zijn de verantwoordelijkheden voor de uitvoering van het informatiebeveiligingsen privacybeschermingsbeleid duidelijk onafhankelijk ambtelijk belegd, en hoe is dit bestuurlijk geregeld?
d)
Is de formatie voldoende op orde en op de juiste wijze in de organisatie verankerd?
e)
Op welke wijze wordt aandacht besteed aan de bewustwording van de medewerkers t.a.v. de informatiebeveiliging en de privacybescherming? En hoe wordt de mate van bewustwording getoetst?
f)
Op welke wijze monitort/verifieert de gemeente afspraken in verwerkersovereenkomsten met derden, volgens de AVG wetgeving? Op welke wijze monitort de gemeente het informatiebeveiligingsbeleid?
g)
Hoe wordt gereageerd op risico’s en incidenten op het gebied van informatieveiligheid en wat is het lerend vermogen van de organisatie?
h)
Zijn er privacy-schendingen bij de gemeente en de samenwerkingspartners sinds de invoering van de AVG geweest, en zijn deze gemeld bij de Autoriteit Persoonsgegevens? Zijn er informatiebeveiliging-schendingen bij de gemeente en de samenwerkingspartners geweest en zijn deze gemeld en geregistreerd?
i)
Worden er in de uitvoering eventuele ongewenste neveneffecten ervaren van de AVG en zo ja waar zien die op?
2) Uitvoering
pagina 8/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
3) Toetsing
4) Crisisbeheersing
j)
Hoe wordt de burger geïnformeerd over de wijze waarop de gemeente omgaat met hun persoonsgegevens, de maatregelen die genomen worden om hun privacy te beschermen en de rechten van betrokkenen?
a)
Ten aanzien van het informatiebeveiligingsbeleid en t.a.v. het privacybeschermingsbeleid: Is er voldoende zicht op de risico’s en heeft de gemeente een maatregelpakket voor het verkleinen van de risico's? Hoe wordt er gestuurd op het verkleinen van die risico’s?
b)
Op welke manier wordt de gemeenteraad geïnformeerd over de uitvoering van het beleid rondom de bescherming van persoonsgegevens? Op welke manier wordt de gemeenteraad geïnformeerd over de uitvoering van het beleid rondom de bescherming van de informatiebeveiliging? Welke mogelijkheden heeft de raad om te sturen en te controleren?
c)
Hoe en door wie worden de technische toepassingen t.a.v. de informatiebeveiliging (uitbesteed aan Equalit) gemonitord?
a)
Wat is het beleid van de gemeente op het gebied van significante incidenten, calamiteiten en crisisbeheersing?
b)
Op welke wijze wordt dit beleid in de praktijk getoetst en geoefend?
Deze deelvragen zijn leidend voor de indeling van dit rapport; per hoofdstuk behandelen we een categorie met alle daarbij geformuleerde deelvragen.
1.3
Normenkader
Voor dit onderzoek hebben wij een normenkader opgesteld. Dit kader bevat alle facetten van het nemen van technische, organisatorische en juridische maatregelen. Wij hebben dit normenkader gebaseerd op het NIST framework. Dit internationale framework kijkt niet alleen naar risico’s maar ook naar het lerend vermogen en het afhandelen van incidenten en datalekken. In de onderstaande tabel staat het normenkader weergegeven: Activiteiten
Norm met betrekking tot informatieveiligheid en de bescherming van (persoons-)gegevens
Identificeer (Identify)
•
De gemeenten hebben een duidelijk beleid en uitvoeringskader bij hoe zij omgaat met privacy en cybersecurity risico’s van/aan systemen, mensen, gegevens, informatie en middelen.
•
De gemeenten hebben de belangrijkste processen, systemen en risico’s in beeld.
•
De gemeenten stellen dit risicobeeld periodiek bij op basis van (onder andere) informatie over dreigingen en veranderingen in processen en systemen.
•
De gemeenten hebben maatregelen ontwikkeld en geïmplementeerd om te zorgen voor de continuïteit en bescherming van kritische processen en dienstverlening.
•
Medewerkers werken volgens de maatregelen en zijn bewust van eigen handelen en verantwoordelijkheid.
Detecteer/Ontdek (Detect)
•
De gemeenten hebben maatregelen ontwikkeld en geïmplementeerd om cybersecurity incidenten en datalekken te detecteren.
pagina 9/38
november 2025
Bescherm (Protect)
PBLQ – Rekenkamerrapport ABG gemeenten
Reageer (Respond)
Herstel (Recover)
Algemeen
•
Er is een procedure voor het melden van incidenten en datalekken en medewerkers kennen en gebruiken deze procedure.
•
Er is een escalatieprocedure richting de directie, colleges en gemeenteraden.
•
De gemeenten hebben maatregelen/acties/processen geïmplementeerd om actie te (kunnen) ondernemen tegen/na potentiële cybersecurity incidenten. Het gaat bijvoorbeeld om een incidentrespons procedure en nood/continuïteitsplannen.
•
De gemeenten toetsen, oefenen en evalueren deze maatregelen/acties/processen periodiek (zoals het oefenen van een cyberaanval).
•
De rollen en verantwoordelijkheden van functionarissen, directie en raden zijn vastgelegd en in de praktijk bekend.
•
De gemeenten werken planmatig aan weerbaarheid en zijn voorbereid op activiteiten ten behoeve van herstellen van processen en dienstverlening.
•
Incidenten op het gebied van informatiebeveiliging of cybersecurity worden geëvalueerd en leiden tot structurele verbetermaatregelen.
•
De raden wordt periodiek geïnformeerd over de digitale weerbaarheid van de gemeente en de ontwikkelingen op dat vlak.
•
De informatieverstrekking aan de raden biedt de raden voldoende mogelijkheden om de kaderstellende en controlerende verantwoordelijkheden waar te maken.
•
De maatregelen die de gemeenten nemen worden periodiek getoetst, geoefend en/of geëvalueerd.
In Bijlage C geven wij met een stoplichtenrapportage aan of in de ABG gemeenten wel, niet of deels aan de norm is voldaan.
1.4
Aanpak van het onderzoek
Om de onderzoeksvragen te beantwoorden zijn verschillende onderzoeksactiviteiten uitgevoerd. Allereerst is er een documentstudie uitgevoerd naar het beleid met betrekking tot informatieveiligheid, de inrichting van de technische beveiliging en de aandacht voor het veiligheidsbewustzijn. Vervolgens zijn interviews gehouden met sleutelpersonen zoals de portefeuillehouder in het college, de gemeentesecretaris, de Functionaris Gegevensbescherming (FG), de Chief Information Security Officer (CISO), en andere functionarissen die betrokken zijn bij de digitale veiligheid. In korte individuele gesprekken met medewerkers is geïnventariseerd in hoeverre er in verschillende beleidsdomeinen aandacht is voor informatieveiligheid. Er is nagegaan hoe de medewerkers van de gemeente in hun dagelijkse praktijk omgaan met informatieveiligheid, hoe ze hierin geschoold worden en hoe zij omgaan met hun taken en bevoegdheden. Speciale aandacht ging uit naar de borging door het management en de toegang tot CISO, FG en andere veiligheidsfunctionarissen. Daarnaast is er een bijeenkomst met de gemeenteraden van de drie gemeenten georganiseerd, waarin gekeken is hoe de raden de kaderstellende, controlerende en volksvertegenwoordigende rol op het gebied van digitale veiligheid invult. Niet de techniek, maar de (risico)sturing stond tijdens deze bijeenkomst centraal.
Bij deze bijeenkomst waren negen raadsleden aanwezig van alle drie de gemeenten.
pagina 10/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
1.5
Leeswijzer
In het volgende hoofdstuk beschrijven wij de veranderende context voor gemeentelijke informatieveiligheid, waarbij wij specifiek ingaan op het wettelijk kader. Wij vermijden hierbij technisch jargon en proberen de raadsleden van de ABG gemeenten handvatten te bieden voor sturing op dit domein. In de hoofdstukken 3 tot en met 6 beantwoorden we de deelvragen zoals hierboven beschreven. In Bijlage C is een stoplichtenrapportage opgenomen waarin is aangegeven in welke mate de ABG gemeenten aan de normen uit het normenkader voldoen. Ook bevatten de bijlagen een overzicht van bestudeerde documentatie en een overzicht van de afgenomen interviews.
pagina 11/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
2.
Actuele ontwikkelingen informatiebeveiliging en privacy gemeenten
2.1
Waarom is gemeentelijke digitale veiligheid belangrijk?
Digitale veiligheid gaat over veel meer dan bedrijfsvoering. De gemeentelijke dienstverlening is van digitalisering afhankelijk. Bovendien beschikken gemeenten over steeds meer persoonsgegevens van hun inwoners. Deze inwoners mogen van hun gemeente verwachten dat deze gegevens veilig zijn en dus niet op straat komen te liggen. Als dat toch gebeurt, dan schaadt dit het vertrouwen in de gemeentelijke overheid, en brengt mogelijk zelfs (directe) schade toe aan de getroffen inwoners. Elke gemeente moet maatregelen nemen om ervoor te zorgen dat persoonsgegevens veilig zijn en de continuïteit van dienstverlening wordt geborgd. Volledige (100%) digitale veiligheid bestaat echter niet; er is altijd een risico dat er iets misgaat, bijvoorbeeld dat een hacker inbreekt in een gemeentelijk informatiesysteem. Deze dreiging komt niet alleen van buiten, ook een slordigheidje van een van de eigen medewerkers kan leiden tot bijvoorbeeld een datalek. Daarnaast is informatiebeveiliging ook vaak in het belang van de gemeente zelf, denk bijvoorbeeld aan informatie over voorbereidingen op strategische aankopen. Dergelijke informatie is niet per se door wetgeving beschermd, echter iedere gemeente realiseert zich dat dergelijke informatie niet moet lekken.
Onder informatiebeveiliging wordt verstaan het treffen en onderhouden van een samenhangend pakket van maatregelen om de betrouwbaarheid van de informatievoorziening aantoonbaar te waarborgen. Kernpunten daarbij zijn beschikbaarheid, integriteit (juistheid) en vertrouwelijkheid van (persoons)gegevens en andere informatie. In het algemeen leggen gemeenten hun doelstellingen, processen en rolverdeling vast in een beleidsdocument. Hierbij maken veel gemeenten gebruik van het format van de Informatiebeveiligingsdienst (IBD) van de VNG. Dit format gaat ervan uit dat een beleidsplan voor een periode van meestal vier jaar wordt vastgesteld. Op tactisch niveau wordt het beleid uitgewerkt in jaarplannen.
2.2
Wet- en regelgeving
Bij de uitvoering van het informatieveiligheidsbeleid moeten gemeenten voldoen aan verschillende wetten en regels. De belangrijkste zijn de Europese Network- and Information Security 2 directive (NIS2), de Nederlandse implementatie daarvan in de Cyberbeveiligingswet (Cbw), de Algemene Verordening Gegevensbescherming (AVG), de Uitvoeringswet Algemene Verordening Gegevensbescherming (UAVG), de Wet Politiegegevens (Wpg), de Baseline Informatiebeveiliging Overheid (BIO) en de Eenduidige Normatiek Single Information Audit (ENSIA). De NIS2-richtlijn van de Europese Unie heeft als doel om de informatiebeveiliging van essentiële diensten, waaronder die van gemeenten, in de EU-lidstaten te verbeteren. In de richtlijn is hiertoe onder meer een zorgplicht en een meldplicht opgenomen, en wordt ook het toezicht op informatiebeveiliging geregeld. De NIS2-richtlijn is niet rechtstreeks van toepassing op gemeenten, maar wordt uitgewerkt in de Cyberbeveiligingswet, waar gemeenten wel aan moeten voldoen. Bij pagina 12/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
aanvang van dit onderzoek was de verwachting dat de Cyberbeveiligingswet in oktober van 2025 in werking zou treden. De wet lijkt nu uitgesteld tot het tweede kwartaal van 2026. Dat betekent geenszins dat de voorbereidingen die de gemeente treft c.q. getroffen heeft voor niets zijn geweest. Vanaf het moment dat de wet ingaat, moet de gemeentelijke informatiebeveiliging voldoen aan de eisen van deze wet. De invoering van de Cyberbeveiligingswet leidt tot een taakverzwaring en extra kosten voor gemeenten. De VNG heeft in een reactie op deze wet gevraagd om compensatie van het Rijk voor deze kosten.1 De maatregelen die de Cyberbeveiligingswet voorschrijft om de informatiebeveiliging te verbeteren, de zorgplicht, zijn grotendeels opgenomen in de BIO2. In de Cyberbeveiligingswet gaat het naast de beveiliging van kantoorautomatisering (KA) ook over de beveiliging van operationele technologie (OT). Deze OT betreft bijvoorbeeld gemeentelijke bruggen en sluizen die op afstand worden bediend, en camera’s in de openbare ruimte. Nieuw met de komst van de Cyberbeveiligingswet is ook dat er naast ad hoc toezicht (achteraf, via rapportage aan de raad en de stelselhouders bij het Rijk) ook proactief toezicht zal worden gehouden op de informatiebeveiliging van gemeenten.
De Rijksinspectie Digitale Infrastructuur (RDI) is daarvoor aangewezen als toezichthouder voor de gemeenten en andere overheidsorganisaties. In 2018 is de Algemene Verordening Gegevensbescherming (AVG) in werking getreden. Deze verordening betreft een uitwerking van Europese regelgeving die bedoeld is om de privacy van alle inwoners (beter) te beschermen. De Autoriteit Persoonsgegevens houdt toezicht op de uitvoering van de AVG in Nederland. Wanneer gemeenten de bescherming van persoonsgegevens niet op orde hebben, riskeren zij een boete van de Autoriteit Persoonsgegevens. Het maatschappelijk en financieel belang van een adequaat privacybeleid is groot. Gemeenten hebben echter niet alleen een goed privacybeleid nodig, maar ook een goede uitvoering daarvan. Beide zijn verplicht op grond van de AVG. Omdat de beveiliging van persoonsgegevens veel raakvlak heeft met de beveiliging van informatie in het algemeen, zijn de verplichtingen die voortvloeien uit de AVG ook meegenomen in dit onderzoek. De BIO is sinds 2019 het verplichte basisnormenkader voor informatiebeveiliging binnen alle overheidslagen (en dus ook gemeenten). De BIO is gebaseerd op de informatiebeveiligingsstandaarden ISO 27001 en ISO 27002 en omvat een minimum aan maatregelen die getroffen moeten worden op het gebied van informatiebeveiliging.
Gemeenten baseren hun informatiebeveiligingsbeleid en hun verantwoording aan de gemeenteraad en de toezichthouders vanuit het Rijk in belangrijke mate op deze BIO. De BIO wordt op dit moment doorontwikkeld naar de BIO2 en wordt wettelijk verplicht onder de Cyberbeveiligingswet. In de BIO2 is mede naar aanleiding van de komst van de Cyberbeveiligingswet de verantwoordelijkheid van het hogere management in de gemeentelijke informatiebeveiliging vastgelegd. Ook het toewijzen van benodigde middelen, het verhogen van veiligheidsbewustzijn en het uitvoeren van controles maken onderdeel uit van de BIO2. Voor raadsleden biedt de BIO aanknopingspunten om hun controlerende en kaderstellende rol in te vullen. De BIO kent vijf onderdelen die het hele domein van informatiebeveiliging goed afdekken:
1 zie VNG-reactie consultatie Cyberbeveiligingswet (NIS2) | VNG voor meer informatie
pagina 13/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
BIO onderdeel Beleid en organisatie Personeel en toegang Continuïteit en incidenten Informatiesystemen Databescherming
Toelichting Actueel beleid en organisatie van informatiebeveiliging, bewustwording en (controle op) naleving Juiste toegang voor medewerkers tot gebouwen, systemen en gegevens Zorgen voor de continuïteit van de gemeentelijke dienstverlening en opvolging van incidenten Veilige omgang met informatiesystemen en afspraken hierover met leveranciers Veilige omgang met data in gemeentelijke software
Door de raad op hoofdlijnen inzicht te geven in de mate waarin de gemeente voldoet aan de BIOnormen, wordt duidelijk waar de informatiebeveiliging op orde is en waar nog een extra inzet gepleegd moet worden om aan het wettelijk kader te voldoen. ENSIA is ontstaan uit een gezamenlijk initiatief van een aantal departementen en de VNG. Het doel van ENSIA is om tot een effectief en efficiënt ingericht verantwoordingsstelsel voor informatieveiligheid te komen. De ENSIA is een jaarlijkse audit die gebaseerd is op de BIO. Uitgangspunt voor ENSIA is het horizontale verantwoordingsproces waarin het college van B&W zich over de informatieveiligheid verantwoordt aan de gemeenteraad. Deze verantwoording vormt de basis voor de verantwoording aan de stelselhouders, zoals het Ministerie van BZK (voor bijvoorbeeld Basisregistratie Personen) en het Ministerie van SZW (Suwinet). Er wordt dus jaarlijks één audit uitgevoerd waarvan (een deel van) de resultaten zowel naar de gemeenteraad als de stelselhouder gaan. Net als de BIO, wordt ook de ENSIA op dit moment doorontwikkeld naar een nieuwe versie. Deze moet vooral gebruikersvriendelijker worden, zowel voor de ambtelijke organisatie als het gemeentebestuur.
2.3
Bestuur & organisatie
Informatieveiligheid is van de hele gemeentelijke organisatie. Vaak is in beleidsdocumenten vastgelegd dat het lijnmanagement hier verantwoordelijkheid voor draagt. Managers moeten erop toezien dat richtlijnen bij medewerkers bekend zijn en worden nageleefd. Vanuit wet- en regelgeving is een aantal functies verplicht gesteld. Zo verplicht de AVG gemeenten om een Functionaris Gegevensbescherming (FG) in dienst te hebben en dient de Chief Information Security Officer (CISO) volgens de BIO2 zo gepositioneerd te zijn binnen de organisatie dat hij onafhankelijk van de lijn kan adviseren over informatieveiligheid2. Het college is eindverantwoordelijk voor de informatieveiligheid van de organisatie. Het college stelt beleid vast en ziet erop toe dat onbevoegden zich geen toegang kunnen verschaffen tot gemeentelijke 2 CISO (Chief Information Security Officer): Verantwoordelijk voor het ontwikkelen en implementeren van het
informatiebeveiligingsbeleid binnen een organisatie. Houdt toezicht op de beveiliging van informatie en zorgt ervoor dat de organisatie voldoet aan relevante wet- en regelgeving. Heeft kennis van informatiebeveiliging, risicoanalyse en beveiligingstechnieken. De CISO kan in zijn taken worden bijgestaan door een Information Security Officer, een ISO. FG (Functionaris Gegevensbescherming) of DPO (Data Protection Officer): Houdt toezicht op de naleving van de Algemene Verordening Gegevensbescherming (AVG) binnen een organisatie. Adviseert en rapporteert aan het hoogste managementniveau over privacykwesties. Is verplicht voor overheidsinstanties en organisaties die op grote schaal bijzondere persoonsgegevens verwerken. PO (Privacy Officer): Ontwikkelt en voert het privacybeleid uit binnen een organisatie. Ondersteunt de FG en fungeert als juridisch adviseur op het gebied van privacy. Is niet verplicht zoals de FG, maar speelt een belangrijke rol in het waarborgen van privacy binnen de organisatie. pagina 14/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
informatiesystemen. Mocht dit toch gebeuren, dan kan het nodig zijn om een crisisorganisatie in te richten. De gemeenteraad is bevoegd de kaders te stellen en het college te controleren. Allereerst wordt van de gemeenteraad verwacht dat hij voldoende middelen beschikbaar stelt, zodat de gemeente aan weten regelgeving kan voldoen. In de praktijk blijkt vaak dat raden het lastig vinden om hun controlerende rol goed in te vullen omdat informatieveiligheid als een technisch onderwerp wordt beschouwd 3. Maar net als bij andere beleidsterreinen is het ook hier aan de gemeenteraad om kaders te stellen en te controleren of de gemeente recht- en doelmatig handelt.
2.4
Weerbaarheid
Elke gemeente neemt maatregelen om onbevoegd gebruik van data en informatiesystemen tegen te gaan. Het gaat hierbij niet alleen om het risico op een hack, maar ook onbedoeld verlies van geclassificeerde informatie, of een IT-leverancier van de gemeente die een fout maakt, waardoor de continuïteit van de gemeentelijke dienstverlening in gevaar komt. Bij weerbaarheid gaat het in eerste instantie om preventieve maatregelen die worden genomen om digitale verstoringen te voorkomen. Voorbeelden van deze maatregelen zijn het autorisatiebeleid en de toegang van medewerkers tot de verschillende informatiesystemen. Ook bewustwordingsactiviteiten als (online) opleidingen en pentesten 4 zijn belangrijke preventieve maatregelen om verstoringen te voorkomen. Bij opleidingen gaat het niet alleen over de vraag of er voldoende wordt aangeboden, maar ook over de mate waarin opleidingen (al dan niet verplicht) worden gevolgd en de wijze waarop hierop wordt gemonitord en gestuurd. Pentesten kunnen zowel betrekking hebben op de technische beveiliging van informatiesystemen als op de medewerkers (human factor pentesten). Voorbeelden van deze laatste categorie zijn ‘phishing mails’ en mystery guests, die proberen om fysiek het gemeentehuis binnen te komen en toegang te krijgen tot informatiesystemen.
Weerbaarheid gaat daarnaast over de respons van de gemeente als een digitale verstoring zich toch voordoet. Reageert de gemeente adequaat? Wordt er tijdig opgeschaald en een crisisorganisatie ingericht en worden hier de juiste beslissingen genomen? Met oefeningen en simulaties van digitale verstoringen kan de gemeente inzicht krijgen in de effectiviteit van de respons op een digitale verstoring.
Toezicht in het kader van de Cyberbeveiligingswet – Naar gelaagd en geslaagd toezicht, Onderzoek van PBLQ in opdracht van de VNG, IPO en de Unie van Waterschappen, juli 2025 4 Een pentest, oftewel penetratietest, is een gecontroleerde en gesimuleerde cyberaanval op een computersysteem, netwerk of webapplicatie met als doel om kwetsbaarheden te identificeren voordat kwaadwillenden dat doen. 3
pagina 15/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
3.
Informatiebeveiligings- en privacybeleid in de ABG gemeenten en ABG organisatie
3.1
Inleiding
In dit hoofdstuk gaan wij in op het informatiebeveiligings- en het privacybeleid van de ABG gemeenten. Wij geven antwoord op de volgende onderzoeksvragen: Wat is het beleid en sluit dat aan bij de gangbare normen? Welke doelstellingen zijn geformuleerd en worden deze doelstellingen gehaald? Welke procedures gelden er voor beveiligings- en privacybeschermingsincidenten? Op welke wijze zijn de gemeenteraden betrokken geweest bij de ontwikkeling van het beleid? Bij deze vragen werd onderscheid gemaakt tussen het beleid van de ABG gemeenten en de ABG organisatie. Maar dat verschil is in de praktijk niet aangetroffen. Het beleid is ontwikkeld en wordt uitgevoerd door de ABG organisatie. De colleges van B&W van Alphen-Chaam, Baarle-Nassau en Gilze en Rijen zijn bestuurlijk opdrachtgever voor het beleid en hebben elk voor hun eigen gemeente het beleid vastgesteld. Hierbij is het in theorie mogelijk dat de colleges eigen accenten leggen bij de opdrachtverlening. Maar dat hebben wij in dit onderzoek niet aangetroffen. De drie colleges van de ABG gemeenten hebben dus identieke beleidsdocumenten voor informatiebeveiliging en privacy vastgesteld. Een groot deel van de ICT van de ABG gemeenten is uitbesteed aan Equalit, de ICT-afdeling van de gemeente Oosterhout. Hierbij gaat het niet alleen om hardware, maar ook om software, beveiliging en een deel van het beleid.
Hiervoor is een dienstverleningsovereenkomst afgesloten met de gemeente Oosterhout. In dit hoofdstuk gaan wij ook in op de taakverdeling tussen de ABG gemeenten en Equalit.
3.2
Informatiebeveiligingsbeleid
Het informatiebeveiligingsbeleid van de ABG gemeenten is vastgelegd in het beleidsplan: ‘Informatiebeveiligingsbeleid ABG – Een digitaal weerbare organisatie – 2023 – 2027.’ Dit document beschrijft ‘de doelstellingen, uitgangspunten en trends t.a.v. Informatiebeveiliging’ (in de ABG organisatie). Informatiebeveiliging draagt bij aan: Het borgen van de naleving van wet- en regelgeving. Het verhogen van de continuïteit van bedrijfsactiviteiten. Effectiever risicobeheer en procesverbetering. Het verhogen van het vertrouwen van burgers en ketenpartners als het gaat om het waarborgen van de informatie. Het beschermen van de reputatie.5’
5
Informatiebeveiligingsbeleid ABG, pag. 2
pagina 16/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
De doelstelling van het beleid is het creëren en behouden van een digitaal weerbare organisatie waar wordt gewerkt met betrouwbare informatie(systemen). En betrouwbaar betekent in dit verband dat de informatie beschikbaar, juist, volledig en actueel is en dat de informatie op het juiste niveau is beveiligd. In de ABG gemeenten en ABG organisatie wordt: ‘gestreefd naar het veilig en verantwoord gebruik van (persoons)gegevens, het voorkomen van schade door verstoring, uitval of misbruik van informatie(systemen) en, indien er toch schade is ontstaan, het herstellen hiervan. Dit doen we op een verantwoorde manier, aan de hand van de geldende wetten en normenkaders, waarbij risico’s gemanaged worden.’ In het beleidsdocument komt ook de samenwerking met Equalit, de ICT afdeling van de gemeente Oosterhout, aan de orde. De taakverdeling tussen de ABG organisatie en Equalit is vastgelegd in twee verschillende documenten: de taken die volledig door Equalit worden uitgevoerd zijn vastgelegd in het Technisch kader Informatieveiligheid. In het Algemeen beleid informatieveiligheid en privacy 2025 – 2029 zijn de taken vastgelegd die geheel of gedeeltelijk door de ABG organisatie worden uitgevoerd.
3.3
Het algemeen beleid informatieveiligheid en privacy 2025 – 2029 (Concept)
In dit beleidsdocument worden het doel, de richting, de principes en de beleidsregels voor informatiebeveiligingsbeleid en privacy binnen de ABG gemeenten beschreven. Het betreft hier de uitwerking van het Strategisch Beleid in een Tactisch Beleidsdocument. Het beleid sluit aan op de gangbare wetten en normenkaders (BIO en ISO) en is van toepassing op alle processen binnen de ABG organisatie. Het beleid wordt breed opgevat en bevat meer dan ICT; ook fysieke beveiliging en HR processen maken er onderdeel van uit. In het algemeen beleid zijn de taken en rollen ten aanzien van informatiebeveiliging en privacy nauwkeurig omschreven en gekoppeld aan concrete BIO- en ISO normen en het AVG-borgingsproduct. Een samenvatting van deze rolverdeling is weergegeven in onderstaande matrix. Functie College van B&W Directie ABG organisatie
Management
P&O (HR) Chief Information Security Officer (CISO) FG Alle medewerkers, lijnmanagers en bestuurders pagina 17/38
Taak Bepaalt de bestuurlijke en strategische kaders voor het beleid. Zorgt voor vaststelling van het algemeen beleid en communicatie hierover; Eist van gebruikers dat zij de beleidsregels naleven; Zorgt ervoor dat gebruikers beschikken over het juiste kennisniveau en worden bijgeschoold; Belegt rollen en verantwoordelijkheden. Toetst de naleving van het algemeen beleid; Benadrukt het belang van training en opleiding en stimuleert medewerkers om periodiek opleidingen te volgen. Zorgt dat informatiebeveiliging is geborgd bij de in-, door- en uitstroom van personeel. Geeft zelfstandig en onafhankelijk advies op het gebied van informatiebeveiliging en rapporteert aan het bestuur of de toezichthouder. Houdt effectief toezicht op de privacybescherming. Zijn verantwoordelijk voor het beschermen van bedrijfsinformatie. Zij kennen de regels en verplichtingen hieromtrent
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
Volgen verplicht binnen drie maanden na indiensttreding een opleiding. Voor de gemeenteraden van de ABG gemeenten is geen rol benoemd in het strategisch beleid. De raden zijn dan ook niet betrokken geweest bij de ontwikkeling of de vaststelling van het beleid. Regels voor medewerkers Daarnaast wordt in het beleidsdocument aandacht besteed aan de beveiliging van informatie. Zo wordt informatie geclassificeerd (geheim, intern, vertrouwelijk en openbaar) en bevat het beleid regels over hoe met deze informatie om moet worden gegaan om de veiligheid te borgen. Zo is vastgelegd dat printjes direct van de printer gehaald moeten worden, medewerkers hun scherm beveiligen als ze hun werkplek verlaten en data via een beveiligd kanaal gemaild moeten worden. Datzelfde geldt voor apparatuur en het netwerk. Medewerkers mogen geen software installeren op een device van de gemeente, moet er zorgvuldig gebruik gemaakt worden van het internet en is elke medewerker verantwoordelijk voor de bescherming van zijn/haar eigen authenticatie-informatie. Regels voor leveranciers In de contracten die de ABG gemeenten en ABG organisatie sluiten met leveranciers moet ook de informatiebeveiliging en privacy geborgd zijn. Medewerkers die deze contracten afsluiten dienen hierop toe te zien.
Daarnaast heeft een informatiemanager van de ABG organisatie periodieke overleggen met leveranciers waarbij wordt getoetst of wordt voldaan aan de informatiebeveiligingseisen die contractueel zijn vastgelegd. Persoonsgegevens Hoofdstuk 12 van het beleidsdocument gaat over de verwerking van persoonsgegevens. Ook ten aanzien van persoonsgegevens worden, aan de hand van het relevante ISO normenkader en het AVG borgingsproduct regels gesteld voor het verzamelen, verwerken en identificeren van persoonsgegevens. Zo moet er een rechtsgrond zijn voor het verwerken van persoonsgegevens en moet er een toestemmingsproces zijn ingeregeld om persoonsgegevens te registreren en verwerken. Ook is vastgelegd wanneer de ABG organisatie een Data Protection Impact Assessment (DPIA) moet uitvoeren. Dit is een verplicht onderzoek onder de AVG om de privacy-risico’s van een nieuwe verwerking van persoonsgegevens in kaart te brengen en maatregelen te nemen om deze risico’s te beperken voordat de gegevensverwerking van start gaat. Een ander leidend principe bij de verwerking van persoonsgegevens is dat van gegevensminimalisatie. De ABG organisatie verzamelt en verwerkt niet meer persoonsgegevens dan noodzakelijk en wist gegevens als ze niet meer nodig zijn. Verwerkers De ABG organisatie is een open organisaties die veel informatie deelt met bedrijven, instellingen en andere overheden.
Met de organisaties die persoonsgegevens ontvangen worden verwerkersovereenkomsten gesloten. Hierin is vastgelegd dat deze organisatie, net als de gemeenten, passende maatregelen treffen om de veiligheid van deze gegevens te borgen. Hiertoe wordt, zo is in het beleid beschreven een register bijgehouden. Verplichtingen naar betrokkenen Ook zijn in het beleidsdocument de verplichtingen van de gemeenten naar de betrokkenen (van wie persoonsgegevens worden verzameld en verwerkt) vastgelegd. Hierbij geldt (wederom) dat aan de AVG voldaan moet worden. Dat betekent onder andere dat de ABG gemeenten en ABG organisatie in duidelijke taal moeten communiceren en betrokkenen moet informeren over de verwerking van hun pagina 18/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
gegevens. Ook moeten betrokkenen bezwaar kunnen maken en hun toestemming voor verwerking van hun persoonsgegevens kunnen intrekken. Als betrokkenen een verzoek doen om de persoonsgegevens bij de gemeente in te zien, moet hieraan binnen een redelijke termijn gehoor gegeven worden.
3.4
Equalit en het Technisch Beveiligingsbeleid
Met ingang van 2016 heeft de ABG organisatie een samenwerkingsovereenkomst voor onbepaalde tijd afgesloten met de gemeente Oosterhout waarin is vastgelegd: ‘dat met behoud van de gemeentelijke identiteit en gemeentelijke zelfstandigheid samenwerking wordt gezocht om de ambities van een elektronische gemeente en van digitale dienstverlening aan de burger, instellingen en bedrijven versneld te kunnen realiseren.’ Ook is vastgelegd: ‘dat middelen en personeel op het gebied van Informatisering & Automatisering worden geïntegreerd en de uitvoering van ICT-taken wordt ondergebracht bij de gemeente Oosterhout.’ De samenwerking is meer in detail uitgewerkt in een Producten- en Dienstencatalogus6 (PDC) die periodiek wordt aangepast. In deze PDC worden ook de producten en diensten beschreven die betrekking hebben op informatiebeveiliging. Het gaat hierbij zowel om de technische beveiliging (bijvoorbeeld ‘Security monitoring and control Services’ en ‘Cyber Security Services’) als om personele diensten als bijvoorbeeld de CISO-dienstverlening. Het technisch beveiligingsbeleid is vastgelegd in een separaat beleidsdocument7. Het technisch beleid richt zich specifiek op de doelgroep applicatie-, functioneel-, gebouwen- en IT-beheer en geldt voor alle processen van de ABG gemeenten en ABG organisatie.
Het technisch beleid is gebaseerd op de BIO- en de ISO27001-norm en bevat beleidsregels over de verschillende technische componenten van het beveiligingsbeleid. Hierbij moet gedacht worden aan toegangsbeveiliging (multifactor authenticatie), cryptografie (versleuteling van gegevens voor een veilige informatie-uitwisseling met derde partijen) en het back-up beleid. Het technisch beveiligingsbeleid wordt uitgevoerd door Equalit, die hetzelfde beleid uitvoert voor de gemeente Oosterhout. Het is daarom in hoge mate een gegeven en lastig te beïnvloeden door de ABG gemeenten. Zoals eerder in dit rapport al is vermeld, is digitalisering en informatiebeveiliging steeds belangrijker geworden in en voor gemeenten. Er worden nu heel andere eisen gesteld aan de dienstverlening van Equalit dan in 2016, toen de overeenkomst tussen de ABG organisatie en Equalit werd afgesloten. Ten tijde van de uitvoering van dit rekenkameronderzoek lag daarom een voorstel voor om de samenwerkingsrelatie tussen beide entiteiten op een andere en toekomstbestendige leest te schoeien. Omdat de gesprekken hierover zich nog in een oriënterende fase bevinden en relevante documenten nog vertrouwelijk zijn, is hierover geen informatie gedeeld met de onderzoekers.
Wel is in de interviews aangegeven dat de ABG organisatie aanstuurt op meer zeggenschap in de governance van de Gemeenschappelijke Regeling met Oosterhout omdat er in het huidige besturingsmodel onvoldoende snelheid kan worden gemaakt ten aanzien van de doorontwikkeling van het dienstverleningspakket. Ook heeft de ABG organisatie wensen om de informatievoorziening vanuit Equalit te verbeteren en processen rondom escalatie bij digitale verstoringen anders in te richten. Hier wil de ABG organisatie meer invloed op uitoefenen. 6 7
In dit onderzoek hebben wij gebruik gemaakt van de meest recente Producten- en Dienstencatalogus, die van 2025. Technisch beleid informatieveiligheid en privacy gemeente Oosterhout, versie 1.0 – 19-03-2024
pagina 19/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
3.5
Procedures bij incidenten
Er zijn twee verschillende procedures vastgelegd: De procedure incidentmanagement, waarvoor Equalit verantwoordelijk is. In deze procedure wordt het proces incidentmanagement beschreven. Onder incident wordt verstaan: ‘een verstoring in de IC-dienstverlening of een onverwachte situatie die het niveau van de dienstverlening verlaagt (of dat dreigt te gaan doen).’ Het incidentmanagement voor de ABG gemeenten is dus uitbesteed aan Equalit. Het ‘Protocol melding datalekken en beveiligingsincidenten’ is opgesteld door de ABG gemeenten. Dit protocol beoogt ‘een zorgvuldige omgang met gegevens binnen de gemeenten AlphenChaam, Baarle-Nassau, Gilze en Rijen en de ABG organisatie te waarborgen.8’ Uitgangspunt van dit protocol wordt gevormd door de BIO en de AVG; ook in dit document wordt dus aangesloten bij de geldende juridische- en normenkaders. Voor de term datalek wordt dan ook de definitie van de AVG gebruikt: ‘een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens. Een datalek hoeft dus geen betrekking te hebben op persoonsgegevens, maar omdat dit in praktijk vaak niet uitgesloten kan worden dat persoonsgegevens betrokken zijn, wordt hier wel van uitgegaan.
Als definitie van beveiligingsincident wordt gebruikt: ‘Iedere gebeurtenis die schade toebrengt of kan toebrengen aan de beveiliging van informatie’. In het protocol is vastgelegd hoe medewerkers moeten handelen in geval van een datalek of beveiligingsincident. Zo zijn medewerkers verplicht om intern een melding te doen bij de CISO, FG of PO en aan hun leidinggevende. Afhankelijk van de ernst van de melding, wordt die doorgezet naar de Autoriteit Persoonsgegevens (AP) (datalek) of de Informatiebeveiligingsdienst (IBD). In een aantal gevallen worden ook betrokken personen bij een datalek geïnformeerd wat er met hun persoonsgegevens is gebeurd. Datalekken en beveiligingsincidenten worden door de ABG organisatie vastgelegd in twee verschillende registers.
8
Protocol melding datalekken en beveiligingsincidenten, p1
pagina 20/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
4.
Uitvoering informatiebeveiligings- en privacybeleid
4.1
Inleiding
In dit hoofdstuk gaan wij in op de uitvoering van het informatiebeveiligings- en het privacybeleid van de ABG gemeenten. Wij geven antwoord op de volgende onderzoeksvragen: Is het informatiebeveiligingsbeleid en privacybeschermingsbeleid effectief uitgewerkt in procedures en werkprocessen en worden deze in de praktijk toegepast? Hoe zijn de verantwoordelijkheden voor dit beleid ambtelijk en bestuurlijk belegd? Is de formatie voldoende op orde en op de juiste wijze in de organisatie verankerd? Op welke wijze wordt aandacht besteed aan de bewustwording van de medewerkers t.a.v. de informatiebeveiliging en de privacybescherming? Op welke wijze monitort de gemeente afspraken met derden ten aanzien van privacy en informatiebeveiliging? Hoe wordt gereageerd op risico’s en incidenten op het gebied van informatieveiligheid en wat is het lerend vermogen van de organisatie? Worden er in de uitvoering eventuele ongewenste neveneffecten ervaren van de AVG en zo ja waar zien die op? Hoe wordt de burger geïnformeerd over de wijze waarop de gemeente omgaat met hun persoonsgegevens?
4.2
Governance
Het eerste onderwerp met betrekking tot de uitvoering van het privacy- en informatiebeveiligingsbeleid betreft de governance. Het onderstaande figuur laat de getrapte ABG organisatie zien: Gemeenteraad
Gemeenteraad
Gemeenteraad
Alphen - Chaam
Baarle-Nassau
Gilze en Rijen
College
College
College
Alphen - Chaam
Baarle-Nassau
Gilze en Rijen
ABG organisatie (GR) ABG bestuur
ABG directie
Samenwerkingsovereenkomst
Equalit Oosterhout (College)
Managementteam
Afdelingen
pagina 21/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
ABG organisatie De ABG organisatie kent een getrapte governance. De ABG directie bestaat uit de gemeentesecretarissen van de drie gemeenten. Binnen de directie is er een portefeuilleverdeling gemaakt en is er een algemeen directeur aangewezen. Het ABG bestuur wordt gevormd door de portefeuillehouders van de drie colleges. Dit bestuur is de ingang richting de drie colleges én de drie gemeenteraden. In de P&C-cyclus spelen de auditcommissies van Gilze-Rijen en Alphen Chaam en de commissies voor financiële producten van Baarle-Nassau ook nog een rol. Equalit en Oosterhout Zoals in paragraaf 3.4 toegelicht heeft de ABG organisatie een samenwerkingsovereenkomst met Equalit afgesloten voor IT dienstverlening en een CISO dienst. Voor informatiebeveiliging zijn de gemeenten daarom deels afhankelijk van Equalit. Om op verschillende niveaus invulling te geven aan de samenwerking zijn er verschillende formele en informatieoverleggen. Naast een overleg met PO’s, een FG-overleg en het security-team (van Equalit), is er ook een deelnemersraad met alle deelnemende gemeenten. Het hoofd van de afdeling Informatie, Innovatie & ICT neemt hier in deel. In de praktijk heeft de ABG organisatie echter beperkte zeggenschap over Equalit. Dit heeft positieve kanten, omdat Equalit dan zelf sneller kan handelen.
In sommige gevallen, bijvoorbeeld als het gaat om informatievoorziening en verantwoording maakt dit de samenwerking lastiger. De gemeente Oosterhout beziet momenteel de exacte positionering van Equalit en voert een onderzoek uit gericht op de toekomst.
4.3
Uitvoering van het informatiebeveiligingsbeleid
Beveiligingsverbeterplan Om invulling te geven aan het informatiebeveiligingsbeleid heeft de ABG organisatie op basis van een GAP analyse naar de BIO en NIS2/Cbw een Beveiligingsverbeterplan opgesteld.9 In dit verbeterplan staan de belangrijkste doelstellingen genoemd voor de komende periode. Het belangrijkste doel van dit plan is om de beheersing van informatiebeveiliging op een hoger volwassenheidsniveau te krijgen, namelijk niveau 3 (“vastgesteld”).10 Daarnaast moet het bewustzijnsniveau van alle medewerkers groeien, en moeten de ABG gemeenten BIO/NIS2 compliant worden voor 1 januari 2026, in lijn met de Equalit brede ambitie. Deze datum is in het plan opgenomen met de aanname dat de nieuwe Cbw in 2025 van kracht zou worden. De nieuwe wet is echter uitgesteld en de ambitie zal hierop worden bijgesteld. De werkwijze van het security-team van Equalit (welke nader wordt toegelicht in de volgende paragraaf), dat aan de lat staat voor het verbeterplan en waar ook de CISO onderdeel van is, bevindt zich op de volgende deelonderwerpen:11 1. 2. 3. 4.
Het (strategisch) informatiebeveiligingsbeleid; Tactische beleidsdocumenten; Bewustwordings- en awareness activiteiten; Adviezen t.a.v. aanbestedingen software en diensten.
9
Beveiligingsverbeterplan ABG, zonder datum Het plan definieert niveau 3 als “Op volwassenheidsniveau 3 vinden de werkzaamheden in herhaalbare en beheerste processen plaats, nemen de processen de inwoner (klant) als uitgangspunt en zijn deze processen gebaseerd op een organisatie breed formeel vastgestelde werkwijze (gestandaardiseerd).” Het hoogste volwassenheidsniveau in het gebruikt model is niveau 5: Geoptimaliseerd. 11 Het plan benoemt specifieke(re) voorbeelden en activiteiten over het afgelopen jaar. 10
pagina 22/38
november 2025
PBLQ – Rekenkamerrapport ABG gemeenten
Organisatie, taken en verantwoordelijkheden Ten aanzien van de uitvoering van het informatieveiligheidsbeleid in de ABG organisatie zijn er verschillende rollen in de praktijk te onderscheiden. Ten eerste wordt de eerstelijns verantwoordelijkheid belegd bij lijnmanagers. Ten tweede is er een verantwoordelijkheid voor de CISO in de tweede lijn. De rol van de CISO is door de ABG gemeenten uitbesteed aan Equalit: er wordt bij hen een CISO-dienst afgenomen. De CISO is (functioneel) ondergebracht bij de afdeling Informatie, Innovatie & ICT van de ABG organisatie. In de praktijk handelt deze CISO voor de ABG gemeenten en ABG organisatie: hij neemt zijn bevoegdheden en verantwoordelijkheden voor het informatiebeveiligingsbeleid en vult deze als CISO van een andere organisatie in. Echter, deze constructie stelt in het bijzonder de vraag in hoeverre de CISO onafhankelijk kan rapporteren aan het bevoegd management. Formeel gezien kan hier sprake zijn van een ‘conflict of interest’ omdat de CISO tevens formeel onderdeel is van de ICT-leverancier. In de praktijk is dit niet zo gebleken op basis van de rolopvatting van de CISO en de dienstverleningsovereenkomst met Equalit. Verder heeft Equalit een ‘security-team’ met CISO’s voor andere Equalit-deelnemers en een TISO (Technisch Information Security Officer).
Het security-team levert gezamenlijk de kaders, richtlijnen en standaarden voor de informatiebeveiliging van Equalit en de deelnemende gemeenten. Er zijn verschillende ambtelijke overleggen over informatieveiligheid en privacy, in het bijzonder de IPA (maandelijks) en de beveiligingscommissie (frequentie onbekend/niet in beleid gespecificeerd). In deze overleggen zijn relevante functionarissen, zoals de CISO, de FG en de PO betrokken. Daarbij heeft de beveiligingscommissie een besluitvormende rol en IPA een adviserende rol. Het beleid van de gemeenten legt in lijn met geldende normenkaders ook vast dat lijnmanagers van vakafdelingen verantwoordelijk zijn voor informatiebeveiliging. In de praktijk is hier nog winst te behalen: managers van vakafdelingen voelen zich niet altijd verantwoordelijke voor privacy en informatiebeveiliging en de bijbehorende risico’s. Dit verschilt wel per vakafdeling en heeft onder andere te maken met specifieke normenkaders die gelden, zoals die bijvoorbeeld getoetst worden in de jaarlijkse ENSIA audit. In Hoofdstuk 5 gaan we hier verder op in. Procedures en werkprocessen Het informatiebeveiligingsbeleid is vertaald in verschillende procedures en werkprocessen op het gebied van informatiebeveiliging. Ten eerste is er een procedure gericht op het melden en afhandelingen incidenten.
Ten aanzien van deze procedure heeft de gemeente een uitgebreide documentatie over alle incidenten die zijn gemeld, hoe deze zijn afgehandeld en wat de impact was van deze incidenten. Ook voor andere onderwerpen, zoals toegangsbeheer, wijzigings- en probleembeheer of continuïteitsbeheer zijn er procedures aanwezig. Het beleid is verder vertaald in beheerplannen voor applicaties waarin de werkwijze voor beheerders is opgenomen. Hierbij wordt onder andere ingegaan op de genomen maatregelen op basis van geldende normenkaders. Deze beheerplannen beperken zich tot de IT-gerelateerde werkprocessen. Als het gaat om werkprocessen van vakafdelingen, bijvoorbeeld in het sociaal domein, is er een algemeen handboek voor ambtenaren beschikbaar. Er is geen vertaling gemaakt van het informatiebeveiligingsbeleid naar concrete maatregelen die in werkprocessen en/of werkinstructies van vakafdelingen zijn opgenomen: de in het kader van dit onderzoek ontvangen procesbeschrijvingen bevatten geen concrete verwijzingen naar beveiligingsmaatregelen gericht op beschikbaarheid, integriteit of vertrouwelijkheid van informatie. Wel zijn er concrete werkinstructies pagina 23/38