1 ENSIA verantwoording informatieveiligheid 2025 Haarlem

Collegebesluit

Onderwerp ENSIA verantwoording informatieveiligheid 2025 Haarlem Nummer Portefeuillehouder Programma/beleidsveld Afdeling Auteur Telefoonnummer Email Kernboodschap

2026/100734 Raadt, E. de 6.2 Gemeentelijk bestuur CC Zwietering, R. 06-15124274 rzwietering@haarlem.nl Gemeenten dienen te voldoen aan de Baseline Informatiebeveiliging Overheid (BIO) en verantwoorden zich daarover middels het ENSIA-auditproces. Naast de informatiebeveiliging wordt ook de kwaliteit en organisatie rondom het gebruik van basisregistraties en landelijke voorzieningen getoetst. De gemeente Haarlem heeft de beveiliging, kwaliteit en organisatie van de Basisregistraties Adressen en Gebouwen (BAG), Grootschalige Topografie (BGT) en Ondergrond (BRO) op orde. Op de peildatum van 31 december 2025 werd niet aan alle gestelde eisen voor Suwinet voldaan. Dit betrof specifiek de onderdelen cursus en autorisatie. De procedure en werkwijze zijn inmiddels aangescherpt. Vanaf dit jaar is DigiD geen onderdeel meer van de door ENSIA voorgeschreven collegeverklaring. De verantwoording over het gebruik van DigiD wordt opgenomen in de informatienota ‘Informatiebeveiliging’, die later in 2026 volgt. De volgende documenten worden met dit besluit formeel vastgesteld: a. Verantwoordingsrapportage 2025 Basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO) b. Gebruik Suwinet c. Collegeverklaring Informatiebeveiliging Suwinet 2025

Behandelvoorstel voor commissie

Het college stuurt het besluit ter kennisname naar de commissie Bestuur.

Relevante eerdere besluiten

2025/32321 ENSIA verantwoording informatieveiligheid over 2024 Haarlem 2024/337460 ENSIA verantwoording informatieveiligheid over 2023 Haarlem

Kenmerk: 2026/100734

1/4

Besluit college d.d. 7 april 2026

Het college van burgemeester en wethouders besluit: •

De volgende ENSIA-rapportages over 2025 vast te stellen; o Verantwoordingsrapportage 2025 Basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO) o Gebruik Suwinet o Collegeverklaring Informatiebeveiliging Suwinet 2025

de secretaris,

de burgemeester,

1. Aanleiding De Nederlandse overheid, waaronder gemeenten, dient te voldoen aan de Baseline Informatiebeveiliging Overheid (BIO). Gemeenten verantwoorden zich over de informatiebeveiliging en kwaliteit daarvan middels het ENSIA-auditproces. Dit is verplicht. ENSIA staat voor Eenduidige Normatiek Single Information Audit. Het ENSIA-proces combineert verantwoording over het gebruik van meerdere basisregistraties en landelijke voorzieningen, waarin de gemeente zelfevaluaties uitvoert en formeel door het bestuur laat vaststellen. Vastgestelde en getekende documenten gaan vervolgens via ENSIA naar verschillende toezichthouders van de rijksoverheid. 2. Beoogd resultaat Na het vaststellen van de rapportages kan de verplichte verantwoording worden afgerond. 3. Onderbouwing voorstel Het ENSIA-proces is een verplichting en met het vaststellen van de rapportages geeft de gemeente daar invulling aan. 4. Risico’s en kanttekeningen 4.1 Risico’s Suwinet kent geen score vanuit ENSIA, alleen ‘voldoet’ of ‘voldoet niet’. Indien aan één norm niet voldaan wordt, geldt het totale oordeel als ‘voldoet niet’. 4.2 Kanttekeningen De ENSIA-rapportages zijn in twee clusters ingedeeld: een rapportage over de basisregistraties, en een verklaring over de landelijke voorzieningen Suwinet.

Kenmerk: 2026/100734

2/4

De rapportage en verklaring zijn een toelichting op zelfevaluaties. Deze komen van de betrokken afdelingen en geven inzage wat onderzocht is en wat verbeterd kan worden. Vanaf dit jaar wordt niet meer via de door ENSIA voorgeschreven collegeverklaring gerapporteerd over het gebruik van DigiD. De verantwoording over het gebruik van DigiD wordt opgenomen in de informatienota ‘Informatiebeveiliging’, die later in 2026 volgt. Volgend rapportagejaar zal ook toezichthouder BKWI met Suwinet deze verkorte procedure volgen. Rapportage over de basisregistratie BRP & Reisdocumenten volgt na ENSIA een eigen proces en ondertekening van de rapportage omdat de aanvullende audit kwaliteitsmonitor specifieke punten behandelt. De totaalscore van de GEO-basisregistraties wordt met verschillende categorieën beoordeeld. Nadere specificering en uitwerking staan in de bijlagen. De kernpunten uit de rapportage zijn: Trend score GEO-basisregistraties Registratie

Score 2020

Score 2021

Score 2022

Score 2023

Score 2024

Score 2025

BAG

78%

85%

78%

85%

81%

87%

BGT

100%

100%

100%

100%

94%

80%

BRO

45%

66%

77%

73%

66%

78%

De BAG en BGT laten een stabiele trendscore zien, terwijl de BRO een stijgende trend vertoont. De BAG heeft dit jaar in zowel categorie 1 (gegevenskwaliteit) als categorie 2 (proces en organisatie) aan de gestelde norm voldaan. De totaalscore bedraagt 87 procent. De BGT voldoet aan categorie 1 (gegevenskwaliteit). In de BGT‑rapportage valt bij categorie 2 (proces en organisatie) een duidelijk lagere score op ten opzichte van vorig jaar. Een van de belangrijkste antwoordcategorieën, namelijk ‘formatieruimte georganiseerd’, is onjuist ingevuld. Hierdoor is aan dit onderdeel een lagere score toegekend dan feitelijk het geval zou zijn geweest, wat invloed heeft op de totaalscore van 2025. Desondanks voldoet de BGT, met een totaalscore van 80 procent, nog steeds aan de gestelde eisen. Voor de BRO zijn zowel categorie 1 (gegevenskwaliteit) als categorie 2 (proces en organisatie) met een voldoende beoordeeld. De totaalscore komt uit op 78 procent. Dit is een stijging ten opzichte van voorgaande jaren en is mede het resultaat van de geautomatiseerde aanlevering van grondwatermeetgegevens. Suwinet heeft geen scores vanuit ENSIA, maar wel een aanvullend audit-onderzoek. Op peildatum 31 december 2025 voldoen we niet aan de gestelde eisen voor Suwinet voor wat betreft cursus en autorisatie.

We kunnen niet aantonen over langere periode volgens vastgestelde procedures te werken en controles uit te voeren. In het eerste kwartaal 2026 zijn de procedures en werkwijze gewijzigd. Hiermee verwachten we geen consequenties met betrekking tot Suwinet.

Kenmerk: 2026/100734

3/4

5. Consequenties en uitvoering 5.1 Planning Na ondertekening van de bijlagen moet de externe auditor alle documenten waarmerken. Daarna kunnen de rapportages via ENSIA ingediend worden bij de toezichthouders van de rijksoverheid. Dit moet uiterlijk 30 april gedaan zijn. De inhoudelijke punten van de rapportages komen verder aan de orde bij behandeling van de ‘Informatienota Informatiebeveiliging’, die later in 2026 volgt. 6. Bijlagen 1 Verantwoordingsrapportage 2025 Basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO) 2 Gebruik Suwinet 3 Collegeverklaring informatiebeveiliging Suwinet 2025

Kenmerk: 2026/100734

4/4