1 ENSIA verantwoording informatieveiligheid over 2023 Haarlem

Collegebesluit

Onderwerp ENSIA verantwoording informatieveiligheid over 2023 Haarlem Nummer 2024/337443 Portefeuillehouder Raadt, E. de Programma/beleidsveld 6.2 Gemeentelijk bestuur Afdeling ConcernControl CC Auteur Zwietering, R. Telefoonnummer 06-15124274 Email rzwietering@haarlem.nl De Nederlandse overheid, waaronder gemeenten, dient te voldoen aan de Kernboodschap Baseline Informatiebeveiliging Overheid (BIO). Gemeenten verantwoorden zich over de informatiebeveiliging en kwaliteit daarvan met ENSIA (Eenduidige Normatiek Single Information Audit). Dit is verplicht. Het doel van ENSIA is een formele bevestiging te krijgen dat de gemeentelijke organisatie volgens alle geldende normen en eisen gewerkt heeft. Het ENSIA-proces combineert verantwoording over (het gebruik van) meerdere basisregistraties en landelijke voorzieningen, waarin de gemeente zelfevaluaties uitvoert en formeel door het bestuur laat vaststellen. Na ondertekening gaat alles nogmaals naar de externe auditor voor procedurele goedkeuring (waarmerken van alle documenten), waarna het via ENSIA ingediend kan worden bij de toezichthouders. Er zijn drie clusters: geo-basisregistraties, BRP & Reisdocumenten en DigiD & Suwinet. Bij de basisregistraties scoren we zeer ruime voldoendes, wat aangeeft dat de gemeente invulling van deze eisen over het algemeen op orde heeft.

Er zijn geen speciale aandachtspunten; hiermee voldoen we aan de gestelde eisen en de auditor is akkoord. Dit collegebesluit betreft de formele en procedurele goedkeuring over 2023. De bijlagen zijn rapportages en geven inzage wat onderzocht is en wat verbeterd kan worden. De volgende documenten worden met deze notitie formeel vastgesteld:  Verantwoordingsrapportage Basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO)  Toelichting BasisRegistratie Personen (BRP) en Reisdocumenten  Collegeverklaring Informatiebeveiliging DigiD en Suwinet  Bijlagen 1 DigiD(1/2/3)-verbindingen bij de collegeverklaring  Bijlage 2 Gebruik Suwinet bij de collegeverklaring Ten opzichte van vorige jaren wordt de WOZ vanaf 2023 niet meer verantwoord binnen het ENSIA-proces. Kenmerk: 2024/337443

1/4

Behandelvoorstel voor commissie Relevante eerdere besluiten Besluit College d.d. 16 april 2024

Het college stuurt dit besluit ter informatie naar de commissie Bestuur. Als onderdeel van de Informatienota Informatiebeveiliging komt de ENSIA verantwoording in juni aan de orde in de Commissie Bestuur. 20230321222 ENSIA verantwoording Haarlem over 2022 20220380516 ENSIA verantwoording Haarlem 2021 Het college van burgemeester en wethouders Besluit: 1. De volgende ENSIA-rapportages over 2023 vast te stellen; o Verantwoordingsrapportage Basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO) o Toelichting BasisRegistratie Personen (BRP) en Reisdocumenten o Collegeverklaring Informatiebeveiliging DigiD en Suwinet o Bijlagen 1 DigiD(1/2/3)-verbindingen bij de collegeverklaring o Bijlage 2 Gebruik Suwinet bij de collegeverklaring

de secretaris,

de burgemeester,

1. Inleiding De Nederlandse overheid, waaronder gemeenten, dient te voldoen aan de Baseline Informatiebeveiliging Overheid (BIO). Gemeenten verantwoorden zich over de informatiebeveiliging en kwaliteit daarvan middels ENSIA. Dat staat voor Eenduidige Normatiek Single Information Audit. Dit is verplicht. Het ENSIA-proces combineert verantwoording over (het gebruik van) meerdere basisregistraties en landelijke voorzieningen, waarin de gemeente zelfevaluaties uitvoert en formeel door het bestuur laat vaststellen. Vastgestelde en getekende documenten gaan vervolgens via ENSIA naar verschillende toezichthouders van de rijksoverheid. Dit collegebesluit betreft de formele en procedurele goedkeuring over 2023. De bijlagen zijn rapportages en geven inzage wat onderzocht is en wat verbeterd kan worden. In de rapportages worden percentages genoemd die gezien kunnen worden als rapportcijfer. Elk jaar worden eisen uitgebreid en verhoogd, wat het behalen van 100% scores lastig maakt. Daarnaast wordt elk jaar op een specifiek onderwerp of aandachtspunt ingezoomd wat ook weer de scores beïnvloed. Voor DigiD-aansluitingen en Suwinet gelden geen rapportcijfers, hieraan kan een gemeente wel of niet voldoen. Bovendien geldt voor DigiD en Suwinet dat een onafhankelijke IT auditor de situatie per Kenmerk: 2024/337443

2/4

31 december 2023 heeft gecontroleerd. Er zijn geen speciale aandachtspunten; hiermee voldoet de gemeente aan de gestelde eisen en de auditor is akkoord. De ENSIA scores en antwoorden over informatiebeveiliging zijn onderdeel van de ‘Informatienota Informatiebeveiliging’, die later in 2024 nog besproken wordt. 2. Besluitpunten college Het college van burgemeester en wethouders Besluit:  De volgende ENSIA-rapportages over 2023 vast te stellen; o Verantwoordingsrapportage Basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO) o Toelichting BasisRegistratie Personen (BRP) en Reisdocumenten o Collegeverklaring Informatiebeveiliging DigiD en Suwinet o Bijlagen 1 DigiD(1/2/3)-verbindingen bij de collegeverklaring o Bijlage 2 Gebruik Suwinet bij de collegeverklaring 3. Beoogd resultaat Met het vaststellen van de rapportages voldoet de gemeente aan de BIO beveiligingseisen en kan het ENSIA-proces afgerond worden. 4. Argumenten 1. Het ENSIA proces is een wettelijke verplichting en met het vaststellen van de rapportages geeft de gemeente daar invulling aan. 2. De scores van de rapportages zijn goed, wat maakt dat de gemeente invulling van deze eisen over het algemeen op orde heeft. De verbeterslagen die in de rapportages worden voorgesteld dragen nog verder bij aan de informatiebeveiliging van de gemeente. 5.

Risico’s en kanttekeningen Dit collegebesluit betreft de formele en procedurele goedkeuring over 2023. De bijlagen zijn rapportages en geven inzage wat onderzocht is en wat verbeterd kan worden. De totaalscore van de basisregistraties wordt met verschillende categorieën beoordeeld. Daarnaast wordt elk jaar ingezoomd op een specifiek onderwerp of aandachtspunt. Hierdoor kan de score per jaar variëren. Nadere specificering en uitwerking staan in de bijlagen. De highlights zijn: Trend score geobasisregistraties Registratie Score 2018 Score 2019

Score 2020

Score 2021

Score 2022

Score 2023

BAG

100%

80%

78%

85%

78%

85%

BGT

100%

100%

100%

100%

100%

100%

BRO

N.v.t.

38%

45%

66%

77%

73%

Kenmerk: 2024/337443

3/4

Trend score BRP en Reisdocumenten Registratie Score 2019 Score 2020

Score 2021

Score 2022

Score 2023

BRP

70,2%

84%

83%

90,4%

92%

Reisdocumenten 85,7%

82%

88%

95,4%

95%

De totaalscores in 2023 zijn voor BRP 92% en Reisdocumenten 95%. Op het onderdeel organisatie van de beveiliging en de toegangsbeveiliging van de BRP en Reisdocumenten scoort de gemeente 100%. Op de naleving van de normen en maatregelen van de beveiliging scoren we iets minder hoog. Dit komt voornamelijk omdat er geen vastgesteld uitwijkplan is en het protocol van IV nooit is getest. Hierdoor kan de dienstverlening van het KCC sterk verminderen en is het mogelijk dat wettelijke termijnen overschreden worden. De kans op een calamiteit die zo’n grote impact heeft dat het KCC moet uitwijken, is minder groot. In 2023 is een business continuity manager aangesteld die afspraken met de uitwijkgemeente laat vaststellen. DigiD en Suwinet DigiD en Suwinet hebben geen scores maar wel een aanvullend audit-onderzoek. Op peildatum 31 december 2023 voldoen de drie DigiD-aansluitingen en Suwinet aan alle normen en de auditor heeft dit bevestigd. 6. Uitvoering Na ondertekening van de bijlagen moet de externe auditor alle documenten waarmerken. Daarna kunnen de rapportages via ENSIA ingediend worden bij de toezichthouders. De inhoudelijke punten van de rapportages komen verder aan de orde bij behandeling van de ‘Informatienota Informatiebeveiliging’, die later in 2024 volgt. 7.

Bijlagen o Verantwoordingsrapportage Basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO) o Toelichting BasisRegistratie Personen (BRP) en Reisdocumenten o Collegeverklaring Informatiebeveiliging DigiD en Suwinet o Bijlagen 1 DigiD(1/2/3)-verbindingen bij de collegeverklaring o Bijlage 2 Gebruik Suwinet bij de collegeverklaring De collegeverklaring heeft eigen bijlagen en die zijn volledig gestandaardiseerd, inclusief de naamgeving. Zo is bijlage 1 voorbestemd aan DigiD-aansluitingen. Haarlem heeft drie aansluitingen en dat geeft drie maal een bijlage 1. Bijlage 2 is voorbestemd aan Suwinet.

Kenmerk: 2024/337443

4/4