1 Informatiebeveiliging voorjaar 2025

Informatienota

Onderwerp Informatiebeveiliging voorjaar 2025 Nummer 2025/440558 Portefeuillehouder Raadt, E. de Programma/beleidsveld 7.2 Algemene dekkingsmiddelen Afdeling CC Auteur Hut, F.J. Telefoonnummer Email fhut@haarlem.nl Kernboodschap Volgens afspraak wordt tweemaal per jaar gerapporteerd over informatiebeveiliging. In deze nota wordt ingegaan op de afgesproken onderwerpen van de juni-rapportage: • Voortgang van de beveiligingsprioriteiten • Voortgang van verbeterplannen DigiD en Suwinet • Analyse van Security incidenten • ENSIA verantwoording over het vorige jaar met duiding van de resultaten en de relatie tot de benoemde beveiligingsprioriteiten. Behandelvoorstel voor Het college stuurt de informatienota ter kennisname naar de commissie Bestuur. commissie In juni 2020 is met informatienota 2020/465284 (bijlage A) afgesproken dat over deze onderwerpen jaarlijks in juni wordt gerapporteerd. Er wordt geheimhouding opgelegd ten aanzien van de bij deze informatienota behorende bijlagen 1, 2, 3 en 4, op grond van artikel 87 van de Gemeentewet, vanwege de bescherming van de economische of financiële belangen van de gemeente, als bedoeld in onder artikel 5.1, tweede lid, aanhef en onder b, van de Wet open overheid. De geheimhouding op bijlagen 1, 2, 3 en 4 geldt voor een periode van 3 jaar, en vervalt op 1 juni 2028.

Relevante eerdere Stand van zaken informatiebeveiliging (2020/465284) besluiten Informatienota Informatiebeveiliging najaar 2024 (2024/1364619) ENSIA verantwoording informatieveiligheid over 2024 Haarlem (2025/32321) Besluit college 1. De informatienota aan de commissie Bestuur vast te stellen; d.d. 20 mei 2025 2. Een verplichting geheimhouding op te leggen ten aanzien van de bij deze informatienota behorende bijlagen 1, 2, 3 en 4, op grond van artikel 87 van de Gemeentewet, vanwege de bescherming van de economische of financiële belangen van de gemeente, als bedoeld in onder artikel 5.1, tweede lid, aanhef en onder b, van de Wet open overheid. De geheimhouding op bijlagen 1, 2, 3 en 4 geldt voor een periode van 3 jaar, en vervalt op 1 juni 2028. de secretaris,

Kenmerk: 2025/440558

de burgemeester,

1/3

1. Aanleiding In juni 2020 is met informatienota 2020/465284 (bijlage A) afgesproken dat over de volgende onderwerpen ieder jaar in juni wordt gerapporteerd: • Voortgang van de beveiligingsprioriteiten • Voortgang van verbeterplannen DigiD en Suwinet • Analyse van Security incidenten • ENSIA verantwoording over het vorige jaar met duiding van de resultaten en de relatie tot de benoemde beveiligingsprioriteiten. Hieronder wordt op ieder van deze punten ingegaan. 2. Toelichting Rapportages gaan regelmatig over dezelfde onderwerpen, maar worden vanuit verschillende perspectieven en voor verschillende doelen gemaakt. In 2021 is de onderlinge samenhang van de verschillende rapportages uitgewerkt (zie bijlage 1 van 2021/217257 Informatienota Informatiebeveiliging voorjaar 2021). De Baseline Informatiebeveiliging Overheid (BIO) wordt risico-gebaseerd geïmplementeerd. Hierbij wordt het mechanisme van ISO27001 gebruikt om jaarlijks prioriteiten te stellen. De onafhankelijke volwassenheidsrapportage ten opzichte van de ISO27001 geeft het beste beeld om de ontwikkeling van de beveiliging te volgen. Het omvat de BIO, en het is het oordeel van een onafhankelijke derde. Als verplichte overheidsnorm wordt de BIO geïmplementeerd. De ISO27001 benadering met een risicoanalyse wordt gebruikt om ieder jaar prioriteiten te stellen.

Dit betekent dat verminderen van risico’s de primaire drijfveer is, met uiteindelijk een hogere score op de BIO-Zelfevaluatie als gevolg. BIO-Zelfevaluatie De BIO-Zelfevaluatie is consistent met de ISO27001 volwassenheidsrapportage en met de risicoanalyse bij de informatienota (2024/1364619) van najaar 2024. In bijlage 1 (Geheim) staat de beantwoording van de BIO-zelfevaluatie voorafgegaan door een korte toelichting over de opzet van de vragenlijst. In bijlage 2 (Geheim) wordt duiding gegeven, en wordt de relatie gelegd met prioriteiten en verbeteracties. Voortgang van de beveiligingsprioriteiten In bijlage 3 (Geheim) wordt de status beschreven van de onderwerpen die in informatienota 2024/1364619 zijn geprioriteerd. Voortgang van verbeterplannen DigiD en Suwinet Voor DigiD werd op peildatum 31 december 2024 aan alle normen voldaan.

Kenmerk: 2025/440558

2/3

Voor Suwinet werd op peildatum 31 december 2024 op twee punten niet aan de normen voldaan. Er is een verbeterplan opgesteld waarvan de uitvoering is gestart. De verwachting is dat eind juni weer volledig aan de normen wordt voldaan. Mede door functiewisselingen zijn bij Suwinet bepaalde periodieke controles niet volgens schema uitgevoerd, en dit is niet opgevallen. Als structurele maatregel controleert vanaf nu de interne auditor of geplande taken inderdaad zijn uitgevoerd. Een situatie van “het is niet opgevallen” kan dan niet opnieuw gebeuren. Analyse van Security incidenten Social Engineering via de E-mail wordt steeds gewoner, zoals berichten zogenaamd namens een burgemeester, een gemeentesecretaris of een directeur. Hieraan wordt regelmatig aandacht besteed, er wordt voldoende gemeld als zoiets gebeurt. Technische beheersmaatregelen hieromtrent lijken effectief te werken. Er springen twee incidenten uit: • Er waren alarmen over te lage luchtvochtigheid in een serverruimte, wat zou kunnen leiden tot schade als gevolg van statische elektriciteit. Apparatuur is anders ingesteld. • Een storing in het fysiek domein, die in bijlage 4 (Geheim) wordt beschreven. Bij urgente meldingen vanuit de Informatiebeveiligingsdienst (IBD, onderdeel van VNG) zijn we steeds in staat geweest om snel te handelen.

Geheimhouding Ten aanzien van de bij deze nota behorende bijlagen 1, 2, 3 en 4 wordt geheimhouding opgelegd. In de bijlagen is informatie opgenomen over de informatiebeveiligingsmaatregelen die de gemeente treft om haar gegevens en de systemen te beveiligen. Deze informatie kan kwaadwillenden helpen bij het doorbreken van de beveiliging, wat kan leiden tot grote schade voor de gemeente. De geheimhouding op bijlage 1, 2, 3 en 4 geldt voor een periode van 3 jaar, en komt te vervallen op 1 juni 2028. Tegen die tijd zullen de belangrijkste kwetsbaarheden verholpen zijn, en daarmee zal de reden vervallen zijn waarom geheimhouding nu wordt opgelegd. 3. Resultaten en/of consequenties Er zijn geen bijzondere consequenties te melden. Geplande activiteiten worden gedekt vanuit beschikbare budgetten. 4. Uitvoering en vervolg Er wordt continu gewerkt aan verbetering. In het najaar is de volgende rapportage. 5. Bijlagen Bijlage 1 – GEHEIM – BIO-Zelfevaluatie Haarlem 2024 Bijlage 2 – GEHEIM – Duiding van BIO-Zelfevaluatie en relatie met prioriteiten en verbeteracties Bijlage 3 – GEHEIM – Voortgang van beveiligingsprioriteiten Bijlage 4 – GEHEIM – Stroomstoring in de openbare ruimte Kenmerk: 2025/440558

3/3