1. ENSIA verantwoording Haarlem over 2022

Collegebesluit

Onderwerp ENSIA verantwoording Haarlem over 2022 Nummer 2023/321222 Portefeuillehouder Raadt, E. de Programma/beleidsveld 7.2 Algemene dekkingsmiddelen Afdeling CC Auteur Hut, F.J. Telefoonnummer 023-5114955 Email fhut@haarlem.nl Het ENSIA-proces combineert horizontale en verticale verantwoording, waarin de Kernboodschap gemeente zelfevaluaties uitvoert en formeel door het bestuur laat vaststellen. Vastgestelde en getekende documenten gaan vervolgens naar toezichthouders. De volgende documenten worden met deze notitie formeel vastgesteld:  Verantwoordingsrapportage Basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO)  Verantwoordingsrapportage WOZ (Waardering Onroerende Zaken)  Uittreksel Reisdocumenten  Collegeverklaring Informatiebeveiliging DigiD en Suwinet  Bijlage 1 DigiD bij de collegeverklaring  Bijlage 2 Suwinet bij de collegeverklaring

Behandelvoorstel voor commissie Relevante eerdere besluiten Besluit College d.d. 4 april 2023

Voor DigiD is een verbeterplan opgesteld. De voortgang van dit plan wordt gemonitord, de verwachting is dat in april 2023 aan alle normen wordt voldaan. Het college stuurt dit besluit ter informatie naar de commissie Bestuur. Als onderdeel van de Informatienota Informatiebeveiliging komt de ENSIA verantwoording in juni aan de orde in de Commissie Bestuur. 2022/380516 ENSIA verantwoording Haarlem 2021 1. Het college stelt de volgende documenten over het jaar 2022 vast:  Bijlage A - Verantwoordingsrapportage Basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO)  Bijlage B - Verantwoordingsrapportage WOZ (Waardering Onroerende Zaken)  Bijlage C - Uittreksel Reisdocumenten  Bijlage D - Collegeverklaring Informatiebeveiliging DigiD en Suwinet  Bijlage E - Bijlage 1 DigiD bij de collegeverklaring  Bijlage F - Bijlage 2 Suwinet bij de collegeverklaring de secretaris,

Kenmerk: 2023/321222

de burgemeester,

1/5

1. Inleiding Het ENSIA-proces combineert horizontale en verticale verantwoording, waarin de gemeente zelfevaluaties uitvoert en formeel door het bestuur laat vaststellen. Vastgestelde en getekende documenten gaan vervolgens naar toezichthouders. Voor DigiD aansluitingen en voor gebruik van Suwinet geldt bovendien dat een onafhankelijke IT auditor de situatie per 31 december controleert, dat een verbeterplan wordt gemaakt voor iedere norm waaraan niet volledig wordt voldaan, en dat de IT auditor controleert dat de inhoud van door het college vastgestelde documenten en bijlagen overeenkomt met eerder gedane waarnemingen. De uiterste inleverdatum van de stukken – waar nodig beoordeeld en afgetekend door de auditor – is 30 april. De ENSIA antwoorden over informatiebeveiliging zijn onderdeel van de Informatienota Informatiebeveiliging van juni. 2. Besluitpunten college 1. Het college stelt de volgende documenten over het jaar 2022 vast:  Bijlage A - Verantwoordingsrapportage Basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO)  Bijlage B - Verantwoordingsrapportage WOZ (Waardering Onroerende Zaken)  Bijlage C - Uittreksel Reisdocumenten  Bijlage D - Collegeverklaring Informatiebeveiliging DigiD en Suwinet  Bijlage E - Bijlage 1 DigiD bij de collegeverklaring  Bijlage F - Bijlage 2 Suwinet bij de collegeverklaring 3.

Beoogd resultaat Op basis van vastgestelde documenten kan het verplichte verantwoordingsproces worden vervolgd. 4. Argumenten Het ENSIA-proces is verplicht. De voorgeschreven zelfevaluaties zijn uitgevoerd. Daarnaast heeft een externe auditor voor DigiD en Suwinet in december 2022 en begin januari 2023 de situatie op peildatum 31 december 2022 beoordeeld. De resultaten van de zelfevaluaties zijn in de bijlagen bij dit collegebesluit vastgelegd. 5. Risico’s en kanttekeningen BAG, BGT en BRO De gemeente legt als bronhouderorganisatie1 verantwoording af over het beheer van de basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO). Dat doen we intern richting de gemeenteraad en aan het Rijk via het directoraat-generaal Bestuur, Ruimte en Wonen van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties. De scores, die op de volgende pagina’s te zien zijn, vormen het resultaat van door ons uitgevoerde zelfevaluaties. Deze evaluaties betreffen de gegevenskwaliteit en de borging van beheerprocessen. Informatiebeveiliging maakt hiervan vooralsnog geen onderdeel uit.

1

Een organisatie die een of meerdere basisregistraties beheert en daarmee bronhouder is van die registratie. Kenmerk: 2023/321222

2/5

Het gebruik van de data die in de registraties staan biedt ook voor de gemeente veel voordelen. Voorbeelden van opgaven waarbij nuttig gebruik gemaakt wordt van deze gegevens zijn de woningbouw, de energietransitie en de Omgevingswet. De resultaten voor 2022 zijn overwegend voldoende. De BGT scoort in alle categorieën zelfs 100%. Voor de BAG en BRO is de totaalscore voldoende, al scoren beide op het onderdeel gegevenskwaliteit beduidend minder goed dan op het onderdeel proces en organisatie. In het “Jaarplan Kwaliteit” voor de BAG dat jaarlijks door het ministerie van BZK wordt opgesteld worden prioriteiten voor kwaliteitsverbetering gegeven die in de ENSIA worden getoetst. Deze prioriteiten veranderen jaarlijks. Dit jaar werd de focus gelegd op verblijfsobjecten “in onderzoek”, en op de “Verwerkingstermijn Definitieve Pandgeometrie” waar door eerdere bezuinigingen bij de afdeling Vergunningen, Toezicht en Handhaving (VTH), respectievelijk het uitblijven van gereedmeldingen en een jaarlijkse (i.p.v. halfjaarlijkse) mutatiesignalering, flinke achterstanden zijn opgebouwd. Het knelpunt bij de BRO zit voornamelijk in het uitblijven van de implementatie van tranche 3: grondwaternetten en -monitoring. De afdeling BBOR stelt de directie apart op de hoogte over de knelpunten rond de implementatie van de BRO - tranche 3: registratie grondwaternetten en monitoring.

Gezien de scores en doorlopend hoge kwaliteit van de BGT zijn de verbetermaatregelen hier vooral gericht op het bijhouden van die kwaliteit en het versoepelen van de processen. De BAG en de BRO scoren door de jaren heen minder goed. De verbetermaatregelen voor deze registraties zijn dan ook nodig om de kwaliteit van de gegevens te verbeteren. Voor beide is er een knelpunt dat inzet en aandacht van zowel de betrokken afdelingen als het dagelijks bestuur behoeven. Met het indienen van deze rapportage committeert het dagelijks bestuur zich bij de Rijkstoezichthouder aan bovenstaande verbetermaatregelen. WOZ De Waardering Onroerende Zaken (WOZ) bestaat naast het authentieke gegeven “vastgestelde waarde” (WOZ-waarde) ook uit de gegevens die nodig zijn om deze waarde aan zowel een onroerende zaak te relateren als aan een belanghebbende. Voor het relateren van de WOZ-waarde aan een onroerende zaak is er aan de ene kant de (van een BAG-adres afgeleide) aanduiding van een onroerende zaak en aan de andere kant de koppeling aan kadastrale percelen en/of adressen en aan BAG verblijfsobjecten, standplaatsen, ligplaatsen en/of panden. Verder wordt vastgelegd voor welke belanghebbende de WOZ-waarde van betekenis is.

De naam-adres-woonplaats (NAW)-gegevens van deze belanghebbende zijn vastgelegd mede door een relatie naar de Basisregistratie Personen (BRP) of het Nationaal Handelsregister (NHR). Sinds vorig jaar verantwoordt de gemeente zich via ENSIA ook over informatiebeveiliging en informatie-architectuur van de WOZ-uitvoering aan de toezichthouder Waarderingskamer. De WOZ-uitvoering is voor Haarlem gedelegeerd aan de gemeenschappelijke regeling Cocensus. De ENSIA organisatie heeft besloten dat iedere deelnemende gemeente de antwoorden ongewijzigd moet invoeren zoals Cocensus die heeft verstrekt. Dit heeft geleid tot het rapport dat als bijlage B is toegevoegd. Kenmerk: 2023/321222

3/5

In de rapportage staan twee rode kruizen. Als opmerkingen hierbij:  Het eerste rode kruis is voor het ontbreken van Baseline Informatiebeveiliging Overheid (BIO) controles. Dit is niet in overeenstemming met de gegeven antwoorden, het lijkt erop dat dit rode kruis onterecht is.  Het tweede rode kruis is omdat niet wordt geanticipeerd op Common Ground. Dit is een visie die gemeenten moet helpen om informatievoorziening minder complex en robuuster te maken. Cocensus kiest ervoor om de softwareleverancier te volgen. Uittreksel Reisdocumenten De totaalscore is 95%. Op twee onderdelen zijn geen punten gescoord:  De leverancier van reisdocumenten wordt niet jaarlijks op informatiebeveiliging beoordeeld. Deze leverancier is monopolist.  Continuïteitsplannen worden niet jaarlijks getest met een rapportage. Er zijn door afdeling IV wel voorzieningen getroffen, maar een formele test is niet gedaan. Suwinet Op peildatum 31 december 2022 wordt aan alle normen voldaan. DigiD Op peildatum 31 december 2022 voldoet geen van de drie aansluitingen aan alle normen. Dit heeft te maken met:  De nieuwe DigiD-norm B.01 omtrent beleid. Op peildatum 31 december 2022 werd voor alle drie de aansluitingen niet aan deze norm voldaan. Tijdens de audit in januari 2023 werd wel aan deze norm voldaan.  De DigiD-norm U/WA.02 omtrent beheer van de webapplicatie mijn.haarlem.nl.

De verwachting is dat in april 2023 aan deze norm wordt voldaan. 6. Uitvoering De vastgestelde en getekende documenten worden ingeleverd bij de toezichthouders. Het verbeterplan van DigiD wordt gemonitord totdat de onvolkomenheden zijn hersteld. Dit wordt dan door een onafhankelijke auditor gecontroleerd. De toezichthouder zal over de afhandeling worden geïnformeerd. De rapportages worden als bijlagen bij de Informatienota Informatiebeveiliging van juni geagendeerd.

Kenmerk: 2023/321222

4/5

7. Bijlagen  Bijlage A - Verantwoordingsrapportage Basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO)  Bijlage B - Verantwoordingsrapportage WOZ (Waardering Onroerende Zaken)  Bijlage C - Uittreksel Reisdocumenten  Bijlage D - Collegeverklaring Informatiebeveiliging DigiD en Suwinet  Bijlage E - Bijlage 1 DigiD bij de collegeverklaring  Bijlage F - Bijlage 2 Suwinet bij de collegeverklaring

Kenmerk: 2023/321222

5/5