2 Collegeverklaring informatiebeveiliging DigiD en Suwinet 2023 HLM getekend

\

Gemeente Haarlem

Kenmerk 2024/337443

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Haarlem

■I

—» ___ i

intornudabe’^oajlnfl |B*O>

Gemeenteraad

'jemeentebestuür

• 0 s a & 4 9 ~ 0RP

^elsaocumerlw

SAG

flGT

0RO

JoeiwhthouderB Ifyk

Gemeente Haarlem

Kenmerk 2024/337443

Collegeverklaring informatiebeveiliging DigiD en Suwinet 2023 Gemeente Haarlem Doel en achtergrond verklaring De aansluitingen die we als gemeente voor DigiD en Suwinet hebben, vereisen dat voorzieningen moeten zijn beveiligd en (privacygevoelige) data moet worden beschermd tegen onrechtmatig gebruik. De gemeente treft interne beheersingsmaatregelen om veilig gebruik te maken van deze aansluitingen.

Met deze verklaring geven wij, het college van Burgemeester en Wethouders, aan in welke mate de gemeente voldoet aan de informatiebeveiligingsnormen voor DigiD en Suwinet. Deze verklaring maakt onderdeel uit van de verantwoording over informatiebeveiliging middels ENSIA en is tot stand gekomen door een zelfevaluatie over informatiebeveiligingsnormen gebaseerd op de door de toezichthouder geselecteerde eisen uit de 'Baseline Informatiebeveiliging Overheid' versie 1.04zv voor Suwinet en de 'Norm ICT-beveiligingsassessments DigiD versie 3.0' van Logius. De inhoud van deze collegeverklaring is getoetst door een onafhankelijke IT-auditor/RE. Deze verklaring is bestemd voor de toezichthouder van DigiD, te weten Logius, alsmede de stelselhouder, het ministerie van Binnenlandse Zaken en Koninkrijksrelaties en de toezichthouder van Suwinet, te weten Ministerie van Sociale Zaken en Werkgelegenheid via het Bureau Keteninformatie Werk en Inkomen (BKWI) alsmede de stelselhouder, het ministerie van Sociale Zaken en Werkgelegenheid.

Reikwijdte en diepgang verklaring De aansluitingen die we als gemeentelijke organisatie voor DigiD en Suwinet hebben, vereisen dat onze voorzieningen moeten zijn beveiligd en dat (privacygevoelige) data moet worden beschermd tegen onrechtmatig gebruik. Hiervoor stellen de stelselhouders een aantal informatiebeveiligingsnormen verplicht. De gemeentelijke organisatie moet interne beheersingsmaatregelen treffen om te voldoen aan deze gestelde normen teneinde gebruik te mogen (blijven) maken van deze aansluitingen. De zelfevaluatie ENSIA gaat over de opzet en het bestaan van de interne beheersingsmaatregelen om te kunnen voldoen aan de relevante beveiligingsnormen voor DigiD en Suwinet op 31 december 2023. Voor DigiD wordt de door Logius vastgestelde Norm ICT-beveiligingsassessments DigiD versie 3.0 gehanteerd; voor Suwinet de Verantwoordingsrichtlijn GeVS 2022 (tevens geldend voor het verslagjaar 2023) waarin zijn opgenomen de geselecteerde eisen uit de 'Baseline Informatiebeveiliging Overheid' versie 1.04zv. Deze Verantwoordingsrichtlijn betreft opzet, bestaan en werking van de interne beheersingsmaatregelen. In het kader van de zelfevaluatie ENSIA zijn geen werkzaamheden uitgevoerd met betrekking tot de werking van deze maatregelen.

1 ENSIA ondersteunt de gemeente bij de verantwoording over informatiebeveiliging richting de gemeenteraad en de rijksoverheid. EN­ SIA gaat uit van de Baseline Informatiebeveiliging Overheid (BIO), alsmede van informatiebeveiligingsnormen vanuit Basisregistratie Personen (BRP), wet- en regelgeving reisdocumenten (PUN, PNIK), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet).

2

Gemeente Haarlem

Kenmerk 2024/337443

Als gevolg van de uitbesteding aan serviceorganisaties door de gemeente is een aantal van de interne beheersingsmaatregelen belegd bij serviceorganisaties. Hiervan hebben wij als gemeente een rapport van de onafhankelijke IT-auditor/RE van de serviceorganisaties ontvangen.

Collegeverklaring en samenvattend beeld van de auditbevindingen

Verklaring / Conclusie Het college van Burgemeester en Wethouders van de gemeente Haarlem verklaart dat de gemeentelijke organisatie op 31 december 2023 voldoet aan alle geselecteerde normen inzake DigiD en Suwinet.

Samenvattend beeld Deze collegeverklaring betreffende de gemeentelijke organisatie en de serviceorganisaties dekt de geselecteerde normen inzake DigiD en Suwinet af.

Het detailoverzicht van normen en de mate waarin de gemeente en serviceorganisaties hieraan voldoen, zijn opgenomen in de volgende bijlagen: • Bijlage 1 DigiD(l) met kenmerk 2024247911 • Bijlage 1 DigiD(2) met kenmerk 2024247856 • Bijlage 1 DigiD(3) met kenmerk 2024247952 • Bijlage 2 Suwinet met kenmerk 2024248092

Aansluiting DigiD(l) 1000081

Ja

Zijn de uitzonderingen in een verbeterplan opgenomen en zijn de verbetermaatregelen belegd en worden deze gemonitord? Niet van toepassing

DigiD(2) 1003227

Ja

Niet van toepassing

DigiD(3) 1004599

Ja

Niet van toepassing

Suwinet voor SUWI-taken

Ja

Niet van toepassing

Suwinet voor niet-SUWI-taken

Ja

Niet van toepassing

Wordt aan alle normen voldaan?

Namens college van burgemeester en wethouders,

Haarlem, 16 april 2024 de secretaris,

mr. C.M. Lenstra

de burgemeester,