1 Informatienota informatiebeveiliging najaar 2024

Informatienota

Onderwerp Informatienota informatiebeveiliging najaar 2024 Nummer Portefeuillehouder Programma/beleidsveld Afdeling Auteur Telefoonnummer Email Kernboodschap

Behandelvoorstel voor commissie

2024/1364619 Raadt, E. de 7.2 Algemene dekkingsmiddelen CC Hut, F.J. 0638294516 fhut@haarlem.nl Het college informeert de commissie Bestuur over de afgesproken onderwerpen op het gebied van Informatiebeveiliging: • Status van openstaande punten gerelateerd aan het RKC onderzoek • Voortgang van de beveiligingsprioriteiten • Voortgang van verbeterplannen DigiD en Suwinet • Analyse van Security incidenten • Risico analyse • Voorgestelde beveiligingsprioriteiten voor het volgende jaar • Beoordeling van de informatiebeveiliging, waaronder de volwassenheid Het college stuurt de informatienota ter kennisname naar de commissie Bestuur. Hiermee wordt invulling gegeven aan de afspraak om tweemaal per jaar over de stand van informatiebeveiliging te rapporteren. In de bijlagen is informatie opgenomen over de informatiebeveiligingsmaatregelen die de gemeente treft om haar gegevens en de systemen te beveiligen. Deze informatie kan kwaadwillenden helpen bij het doorbreken van de beveiliging, wat kan leiden tot grote schade voor de gemeente. Er wordt geheimhouding opgelegd ten aanzien van de bij deze informatienota behorende bijlagen A, B en C op grond van artikel 87 van de Gemeentewet, vanwege de bescherming van de economische of financiële belangen van de gemeente, als bedoeld in onder artikel 5.1, tweede lid, aanhef en onder b, van de Wet open overheid.

De geheimhouding op bijlagen A, B en C geldt voor een periode van 3 jaar, en komt te vervallen op 1 december 2027. Tegen die tijd zullen de belangrijkste kwetsbaarheden verholpen zijn, en daarmee zal de reden vervallen zijn waarom geheimhouding nu wordt opgelegd.

Kenmerk: 2024/1364619

1/6

Relevante eerdere besluiten

Besluit college d.d. 5 november 2024

2019/311846 RKC Onderzoek / Raadsinformatie 2019/311830 RKC Onderzoek / Implementatie beleid 2019/311840 RKC Onderzoek / Kwetsbaarheden 2019/355441 Motie 14.1 Integraal Risicomanagement 2019/940161 Afstemmen structuur van voortgangsrapportage 2020/854267 Referentiekader voor volwassenheid van Informatiebeveiliging Besluit: 1. De informatienota aan de commissie Bestuur vast te stellen; 2. Geheimhouding op te leggen ten aanzien van de bij deze informatienota behorende bijlagen A, B en C op grond van artikel 87 van de Gemeentewet, vanwege de bescherming van de economische of financiële belangen van de gemeente, als bedoeld in onder artikel 5.1, tweede lid, aanhef en onder b, van de Wet open overheid. De geheimhouding op bijlagen A, B en C geldt voor een periode van 3 jaar, en vervalt op 1 december 2027. de secretaris,

de burgemeester,

Kenmerk: 2024/1364619

2/6

1. Inleiding Deze notitie met bijlagen is de afgesproken halfjaarlijkse rapportage over Informatiebeveiliging. In notitie 2019/940161 Afstemmen structuur van voortgangsrapportage zijn de onderwerpen beschreven waarover wordt gerapporteerd: • Status van openstaande punten gerelateerd aan het RKC onderzoek • Voortgang van de beveiligingsprioriteiten • Voortgang van verbeterplannen DigiD en Suwinet • Analyse van Security incidenten • Risico analyse • Voorgestelde beveiligingsprioriteiten voor het volgende jaar • Beoordeling van de informatiebeveiliging, waaronder de volwassenheid. 2. Kernboodschap Het lezen van de bijlagen is nodig om een goed beeld van de situatie te krijgen. Vanwege het soort informatie daarin zijn deze bijlagen geheim gemaakt, en is de strekking ervan niet in de kernboodschap samengevat. Wijzigingen in de context van informatiebeveiliging Digitale risico’s worden steeds dominanter door verdere digitalisering en verdere integratie van werkzaamheden binnen digitale ketens. Ook veranderen gebruikte technieken. Als reactie op steeds grotere risico’s komt er op dit gebied steeds meer wetgeving. Het initiatief voor die wetgeving komt steeds vaker vanuit de Europese Unie. Een voorbeeld hiervan is de NIS2directive, die door Nederland wordt verwerkt in de Cyberbeveiligingswet die in oktober 2024 van kracht zou moeten worden, maar waar Nederland vertraagd is.

Waarschijnlijk wordt deze wet in de tweede helft van 2025 van kracht. Als reactie op veranderde technieken veranderen ook de gebruikte standaarden. De veel gebruikte ISO 27001 standaard is in 2022 aangepast, en de vorige versie vervalt in 2025. De overheid gebruikt de Baseline Informatiebeveiliging Overheid (BIO) die van een oude versie van de ISO 27001 is afgeleid. In 2025 wordt de vernieuwde BIO verwacht, deze nieuwe BIO zal zijn afgeleid van de vernieuwde ISO 27001. Met name de NIS2-directive heeft belangrijke consequenties: • Beperken van maatschappelijke risico’s is het uitgangspunt, zie preambule (1). Daarmee wordt bedrijfscontinuïteit een belangrijk onderwerp. • Gemeenten zullen in het hoogste niveau (“Essentieel”) worden ingedeeld, wat betekent dat aan de aansturing van de informatiebeveiliging en de verantwoording over informatiebeveiliging zwaardere eisen worden gesteld. • Het voldoen aan internationale normen zoals de ISO 27001 wordt aangemoedigd, zie preambule (79). • In de bijlagen van NIS2 staan kritieke sectoren genoemd. Hierbij staan verschillende onderwerpen (zoals weg, water, afval) waar de gemeente verantwoordelijkheden heeft. De

Kenmerk: 2024/1364619

3/6

•

automatisering hiervan is vaak meer technisch van aard (zoals verkeersregelinstallaties, bediening van bruggen, aansturing van rioolpompen) waardoor de veiligheid van technische automatisering als vakgebied nu nadrukkelijk in beeld komt. Tot nu toe was dit geen onderdeel van de BIO. Er wordt door NIS2 nadrukkelijk stil gestaan bij de kwetsbaarheid van ketens, omdat daarmee de risico’s van verschillende partijen aan elkaar worden verbonden. Door deze verbondenheid hebben incidenten steeds grotere impact. De aansturing van en samenwerking met derde partijen – naast leveranciers zijn dat ook ketenpartners en verbonden partijen – wordt hierdoor een veel belangrijker onderwerp.

In het nieuwe beleid voor informatiebeveiliging en bedrijfscontinuïteit (2023/1948368) is reeds op bovenstaande ontwikkelingen geanticipeerd. Voor NIS2 is eind vorig jaar een programma gestart. De jaarlijkse audit tegen de ISO 27001 standaard voor informatiebeveiliging is dit jaar uitgebreid met een eerste beoordeling tegen de ISO 22301 standaard voor bedrijfscontinuïteit en met een beoordeling van de mate waarin de gemeente reeds voldoet aan de eisen van NIS2. Ook in de risicoanalyse wordt dit jaar het bredere terrein beoordeeld, om prioriteiten zoveel mogelijk te kunnen baseren op een totaalbeeld. Status van openstaande punten gerelateerd aan het RKC onderzoek Bij de bespreking van het RKC onderzoek zijn de acties ondergebracht in drie verschillende categorieën die ieder apart in de administratie zijn opgenomen: • Raadsinformatie • Implementatie van beleid • Kwetsbaarheden. 2019/311846 RKC Onderzoek / Raadsinformatie: Dit onderdeel is afgesloten. 2019/311830 RKC Onderzoek / Implementatie beleid: Dit onderdeel is afgesloten. 2019/311840 RKC Onderzoek / Kwetsbaarheden. Alle 15 onderdelen van dit advies zijn nu afgerond. Dit zal aan de Rekenkamer worden toegelicht, waarna dit punt via het reguliere proces kan worden afgehandeld. Voortgang van beveiligingsprioriteiten Er is voortgang, waarbij beschikbare capaciteit een belemmering is.

Uitgebreidere informatie is te vinden in Bijlage A (Geheim).

Kenmerk: 2024/1364619

4/6

Voortgang van verbeterplannen DigiD en Suwinet De externe auditor heeft in april vastgesteld dat aan normen van DigiD en Suwinet wordt voldaan. Daarom is er geen verbeterplan nodig. Analyse van Security incidenten Twee onderwerpen zijn de moeite waard om hier te melden: Defensie netwerk Op 28 augustus was er een storing in een landelijk Defensie netwerk. Dit heeft bij de gemeente geleid tot verstoringen op verschillende terreinen: Er was geen toegang tot informatie van de RDW, BRP/Proweb werkte niet, Suwinet had kuren en voor Handhaving werkte het C2000 netwerk niet. Betrokken partijen waren tijdens de storing voor ons niet bereikbaar en er werd ook nauwelijks informatie verstrekt. Het herstel is uiteindelijk buiten ons om gegaan. Dit voorbeeld illustreert de verwachting van ENISA (Instituut van de Europese Unie voor informatiebeveiliging) dat in 2030 de risico’s via derde partijen de grootste zorg zullen zijn. SPAM en phishing Ondertussen is het “normaal” geworden dat vanaf internet berichten worden gestuurd zogenaamd namens binnen de gemeente belangrijke personen zoals de gemeentesecretaris. We melden zulke incidenten ook aan de Informatiebeveiligingsdienst (IBD) bij VNG zodat zij over alle gemeenten heen een totaalbeeld kunnen opbouwen. Onder andere via het intranet wordt hieraan extra aandacht gegeven.

Risico analyse en voorgestelde beveiligingsprioriteiten voor het volgende jaar Er is conform het beleid een Informatiebeveiliging Risico Analyse uitgevoerd waarop de prioriteiten van het beveiligingsplan worden gebaseerd. In bijlage B is het hierbij gevolgde proces te lezen, tot en met de voorgestelde prioriteiten. Hierbij zijn ook de resultaten van de recent uitgevoerde audit (dit is volgende onderwerp) meegenomen. Beoordeling van de informatiebeveiliging, waaronder de volwassenheid In collegebesluit 2020/854267 is gekozen voor het gebruik van ISO 27001 als referentiekader. Zoals hierboven is toegelicht is de reikwijdte van de audit dit jaar verbreed. In de eerste helft van september is de audit van 2024 uitgevoerd. De aanbevelingen uit de audit zijn meegewogen bij de beveiligingsprioriteiten van 2025. Het rapport van de audit is opgenomen als bijlage C (Geheim). Geheimhouding Ten aanzien van de bij deze nota behorende bijlagen A, B en C wordt geheimhouding opgelegd.

Kenmerk: 2024/1364619

5/6

In de bijlagen is informatie opgenomen over de informatiebeveiligingsmaatregelen die de gemeente treft om haar gegevens en de systemen te beveiligen. Deze informatie kan kwaadwillenden helpen bij het doorbreken van de beveiliging, wat kan leiden tot grote schade voor de gemeente. De geheimhouding op bijlagen A, B en C geldt voor een periode van 3 jaar, en komt te vervallen op 1 december 2027. Tegen die tijd zullen de belangrijkste kwetsbaarheden verholpen zijn, en daarmee zal de reden vervallen zijn waarom geheimhouding nu wordt opgelegd. 3. Consequenties -4. Vervolg Het beveiligingsplan voor 2025 zal nu worden uitgewerkt. De commissie Bestuur zal geïnformeerd blijven via de afgesproken halfjaarlijkse rapportages. 5. Bijlagen Bijlage A GEHEIM - Status van beveiligingsprioriteiten Bijlage B GEHEIM - Informatiebeveiliging en Bedrijfscontinuïteit Risico Analyse najaar 2024 en prioriteiten 2025 Bijlage C GEHEIM - Volwassenheidsbepaling ISO 27001, ISO 22301 en NIS2 Gemeente Haarlem

Kenmerk: 2024/1364619

6/6