1 ENSIA Verantwoording over 2024 Haarlem

Collegebesluit

Onderwerp ENSIA verantwoording informatieveiligheid over 2024 Haarlem Nummer Portefeuillehouder Programma/beleidsveld Afdeling Auteur Telefoonnummer Email Kernboodschap

2025/32321 Raadt, E. de 6.2 Gemeentelijk bestuur CC Zwietering, R. 06-15124274 rzwietering@haarlem.nl Gemeenten dienen te voldoen aan de Baseline Informatiebeveiliging Overheid (BIO) en verantwoorden zich daarover middels het ENSIA-auditproces. Dit is verplicht. Naast de informatiebeveiliging wordt ook de kwaliteit van de basisregistraties getoetst. De scores in de rapportage zijn goed, wat aangeeft dat de gemeente invulling van deze eisen over het algemeen op orde heeft. Dit collegebesluit betreft de formele en procedurele goedkeuring over 2024. De inhoudelijke punten van de rapportage en verklaring komen aan de orde bij behandeling van de ‘Informatienota Informatiebeveiliging’, die later in 2025 volgt. De volgende documenten worden met dit besluit formeel vastgesteld: 1 Verantwoordingsrapportage Basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO) 2 Collegeverklaring Informatiebeveiliging DigiD en Suwinet 3 Bijlage 1 DigiD 1000081 bij de collegeverklaring 4 Bijlage 1 DigiD 1003227 bij de collegeverklaring 5 Bijlage 1 DigiD 1004599 bij de collegeverklaring 6 Bijlage 2 Gebruik Suwinet bij de collegeverklaring

Behandelvoorstel voor commissie Relevante eerdere besluiten

Het college stuurt dit besluit ter informatie naar de commissie Bestuur. Als onderdeel van de Informatienota Informatiebeveiliging komt de ENSIA verantwoording in juni aan de orde in de Commissie Bestuur. 2024/337460 ENSIA verantwoording informatieveiligheid over 2024 Haarlem 2023/321222 ENSIA verantwoording informatieveiligheid over 2023 Haarlem

Kenmerk: 2025/32321

1/4

Besluit college d.d. 18 maart 2025

Het college van burgemeester en wethouders besluit: 1. De volgende ENSIA-rapportages over 2024 vast te stellen; • Verantwoordingsrapportage Basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO) • Collegeverklaring Informatiebeveiliging DigiD en Suwinet • Bijlage 1 DigiD 1000081 bij de collegeverklaring • Bijlage 1 DigiD 1003227 bij de collegeverklaring • Bijlage 1 DigiD 1004599 bij de collegeverklaring • Bijlage 2 Gebruik Suwinet bij de collegeverklaring de secretaris,

de burgemeester,

1. Aanleiding De Nederlandse overheid, waaronder gemeenten, dient te voldoen aan de Baseline Informatiebeveiliging Overheid (BIO). Gemeenten verantwoorden zich over de informatiebeveiliging en kwaliteit daarvan middels het ENSIA-auditproces. Dit is verplicht. ENSIA staat voor Eenduidige Normatiek Single Information Audit. Het ENSIA-proces combineert verantwoording over het gebruik van meerdere basisregistraties en landelijke voorzieningen, waarin de gemeente zelfevaluaties uitvoert en formeel door het bestuur laat vaststellen. Vastgestelde en getekende documenten gaan vervolgens via ENSIA naar verschillende toezichthouders van de rijksoverheid. 2. Beoogd resultaat Met het vaststellen van de rapportages voldoet de gemeente aan de BIO-beveiligingseisen en aan de eisen op het gebied van data-kwaliteit en data-integriteit voor de basisregistraties. Hiermee kan het ENSIA-proces afgerond worden. 3. Onderbouwing voorstel 1. Het ENSIA-proces is een wettelijke verplichting en met het vaststellen van de rapportages geeft de gemeente daar invulling aan. 2. De scores in de rapportage zijn goed, wat maakt dat de gemeente invulling van deze eisen over het algemeen op orde heeft. De verbeterslagen die in de rapportage worden voorgesteld dragen bij aan de informatiebeveiliging en de data-kwaliteit van de gemeente.

Kenmerk: 2025/32321

2/4

4. Risico’s en kanttekeningen 4.1 Risico’s DigiD en Suwinet kennen geen scores, alleen ‘voldoet’ of ‘voldoet niet’. Indien aan één norm niet voldaan wordt, geldt het totale oordeel als ‘voldoet niet’. Voor DigiD dreigt dan afsluiting en een korte periode (weken) waarin alsnog aan alle voorwaarden voldaan moet worden. Afsluiting van DigiD betekent stopzetting van de digitale dienstverlening van Haarlem en Zandvoort. 4.2 Kanttekeningen De ENSIA-rapportages zijn in twee clusters ingedeeld: een rapportage over de GEO-basisregistraties, en een verklaring over DigiD&Suwinet. De rapportage en verklaring zijn een toelichting op zelfevaluaties. Deze komen van de betrokken afdelingen en geven inzage wat onderzocht is en wat verbeterd kan worden. Inhoudelijk scoren de GEO-basisregistraties goed, wat aangeeft dat de gemeente invulling van deze eisen over het algemeen op orde heeft. De totaalscore van de basisregistraties wordt met verschillende categorieën beoordeeld. Daarnaast wordt elk jaar ingezoomd op een specifiek onderwerp of aandachtspunt en worden vragen toegevoegd. Hierdoor kan de score per jaar variëren. Nadere specificering en uitwerking staan in de bijlagen. De kernpunten uit de rapportage zijn: Trend score GEO-basisregistraties Registratie Score 2019 Score 2020 Score 2021 Score 2022 Score 2023 Score 2024 BAG

80%

78%

85%

78%

85%

81%

BGT

100%

100%

100%

100%

100%

94%

BRO

38%

45%

66%

77%

73%

66%

De BAG scoort gemiddeld 81% (norm 75%), de BGT 94% (norm 75%) BRO 66% (norm 60%). Hiermee zijn de resultaten voor 2024 gemiddeld iets lager dan in 2023 maar nog steeds voldoende. De BAG scoort iets lager door termijnoverschrijding van de informatieverstrekking van ketenpartners. De BGT scoort ook iets lager dan voorgaande jaren. Dit komt door het aanpassen van de software voor het inwinnen van fotomateriaal, dat leidde tot een tijdelijke verstoring in de processen. Bij de BRO heeft het implementatieproject voor grondwaterstanden vertraging opgelopen. De verwachting is dat medio 2025 gegevens over grondwater aan de BRO geleverd kunnen worden, waardoor de ENSIA-scores weer zullen verbeteren. DigiD en Suwinet DigiD en Suwinet hebben geen scores maar wel een aanvullend audit-onderzoek. Op peildatum 31 december 2024 voldoen de drie DigiD-aansluitingen. Voor Suwinet voldoen we niet aan de gestelde eisen maar is een verbeterplan opgesteld, gericht op cursus en autorisatie. De auditor is akkoord met het verbeterplan. Hiermee verwachten we geen consequenties met betrekking tot Suwinet.

Kenmerk: 2025/32321

3/4

5. Consequenties en uitvoering 5.1 Planning Na ondertekening van de bijlagen moet de externe auditor alle documenten waarmerken. Daarna kunnen de rapportages via ENSIA ingediend worden bij de toezichthouders van de rijksoverheid. Dit moet uiterlijk 30 april gedaan zijn. De inhoudelijke punten van de rapportages komen verder aan de orde bij behandeling van de ‘Informatienota Informatiebeveiliging’, die later in 2025 volgt. 6. Bijlagen 1 Verantwoordingsrapportage Basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO) 2 Collegeverklaring Informatiebeveiliging DigiD en Suwinet 3 Bijlage 1 DigiD 1000081 bij de collegeverklaring 4 Bijlage 1 DigiD 1003227 bij de collegeverklaring 5 Bijlage 1 DigiD 1004599 bij de collegeverklaring 6 Bijlage 2 Gebruik Suwinet bij de collegeverklaring De collegeverklaring heeft eigen bijlagen en die zijn volledig gestandaardiseerd, inclusief de naamgeving. Zo is bijlage 1 bestemd voor DigiD-aansluitingen. Haarlem heeft drie aansluitingen en dat geeft drie maal een bijlage 1. Bijlage 2 is gereserveerd voor Suwinet.

Kenmerk: 2025/32321

4/4