20200430128 1. ENSIA 2019 duiding

Informatienota

Onderwerp ENSIA 2019 duiding Nummer Portefeuillehouder Programma/beleidsveld Afdeling Auteur Telefoonnummer Email Kernboodschap

Behandelvoorstel voor commissie

Relevante eerdere besluiten

Besluit College d.d. 4 mei 2020

2020/430128 Botter, J. 6.2 Gemeentelijk bestuur CC Hut, F.J. 023-5114955 fhut@haarlem.nl De raad heeft bij de behandeling van het RKC Onderzoek informatiebeveiliging opdracht gegeven om naast de verplichte paragraaf en de ENSIA verklaring de gemeenteraad middels een nota inhoudelijk te informeren over de mate van compliancy aan wet en regelgeving en het eigen beleid aan de hand van een jaarlijkse samenvatting met duiding van de scores op de ENSIAzelfevaluatievragenlijst. Met deze nota en bijlagen wordt aan deze opdracht invulling gegeven. Het college stuurt de informatienota ter kennisname naar de commissie Bestuur. De raad heeft om deze informatie gevraagd bij behandeling van het RKC Onderzoek informatiebeveiliging op 28 april 2019. 2019/311846 RKC Onderzoek informatiebeveiliging - Raadsinformatie 2019/311830 RKC Onderzoek informatiebeveiliging – Implementatie beleid 2020/066497 Vaststellen BRP – zelfevaluatie 2019 2020/400627 Te tekenen documenten in verband met verticale ENSIA verantwoording Het college besluit: 1. De informatienota vast te stellen. 2.

Op de bij deze nota behorende bijlagen A en B geheimhouding op te leggen aan de commissie Bestuur op grond van artikel 86 van de Gemeentewet, vanwege de bescherming van de economische of financiële belangen van de gemeente, alsmede ter voorkoming van een onevenredige benadeling van de gemeente, als bedoeld in artikel 10, tweede lid, aanhef en onder b en g van de Wet openbaarheid van bestuur. De geheimhouding wordt opgelegd voor onbepaalde duur. de secretaris,

de burgemeester,

Kenmerk: 2020/430128

1/5

Inleiding Aanleiding Bij behandeling van het RKC Rapport informatiebeveiliging op 28 maart 2019 heeft de raad opdracht gegeven om de raad inhoudelijk te infomeren aan de hand van een zo nodig geheime jaarlijkse samenvatting met duiding van de scores op de ENSIA-zelfevaluatievragenlijst. Tevens heeft de raad hierbij opdracht gegeven om een nieuwe Gap-analyse uit te voeren. Het detailrapport uit de ENSIA zelfevaluatie maakt zichtbaar wat ontbreekt, en wordt daarmee beschouwd als Gap-analyse. De context van ENSIA De website van ENSIA zegt: ENSIA heeft tot doel het ontwikkelen en implementeren van een zo effectief en efficiënt mogelijk ingericht verantwoordingsstelsel voor informatieveiligheid gebaseerd op de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG). 2019 is het laatste jaar dat er verantwoording over de BIG wordt afgelegd. In 2020 zal dat gebeuren op basis van de Baseline Informatiebeveiliging Overheid (BIO). ENSIA helpt gemeenten in één keer slim verantwoording af te leggen over informatieveiligheid gebaseerd op de BIG.

De verantwoordingssystematiek over de Basisregistratie Personen (BRP) en wet- en regelgeving Reisdocumenten (PUN en PNIK), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO) en de Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet) is samengevoegd en gestroomlijnd. Uitgangspunt is het horizontale verantwoordingsproces aan de gemeenteraad. Dit vormt de basis voor het verticale verantwoordingsproces aan nationale partijen die een rol hebben in het toezicht op informatieveiligheid. Bij het afleggen van verantwoording wordt het principe van single information single audit toegepast; alle informatie die noodzakelijk is voor verticale verantwoording is ook onderdeel van het horizontale verantwoordingsproces. ENSIA is als mechanisme nog jong, en wordt op basis van ervaring ieder jaar aangepast. Uitgangspunten bij het beantwoorden van ENSIA vragen Er wordt een applicatie gebruikt waarin antwoorden worden gegeven. Veel antwoorden eisen de keus tussen zwart (Nee) en wit (Ja), terwijl de praktijk vol nuance is en vooral grijstinten vertoont. Verschillende verantwoordingen haken in elkaar. Veel vragen worden beantwoord voor Haarlem als geheel, met als norm dat je pas een Ja antwoord geeft als het voor alle relevante omgevingen in orde is.

Er is vaak geen ruimte om voor specifieke systemen ook de specifieke eigen antwoorden te geven.

Kenmerk: 2020/430128

2/5

Dit heeft als effect dat algemene scores voor het grote geheel soms ten onrechte worden toegerekend aan specifieke applicaties. Daardoor worden soms scores voor deze specifieke applicaties berekend die dan geen recht doen aan de feitelijke situatie. Dit ongewenste effect is ook bekend bij de VNG. Het voor iedere verticale verantwoording kunnen verbijzonderen van antwoorden is één van de verbeteringen die in ENSIA versie 2020 is meegenomen. 2. Kernboodschap Informatiebeveiliging Als het gaat over Informatiebeveiliging dan is het ENSIA beeld van de situatie op 31 december 2019 consistent met het beeld van de informatienota 2019/855765 die is besproken in de raadscommissie van 14 november 2019. Als bijlage A is de detailrapportage Informatieveiligheid uit ENSIA opgenomen. Als bijlage B is duiding van deze antwoorden opgenomen, en wordt de relatie gelegd met prioriteiten die bij de informatienota uit november in een bijlage (2019/870069) zijn aangegeven. Op beide bijlagen wort geheimhouding opgelegd om te voorkomen dat de inhoudelijke informatie door criminelen gebruikt zou kunnen worden. Vanwege de aard van de informatie wordt geheimhouding opgelegd voor onbepaalde duur. Conclusie is dat de uit ENSIA voortkomende acties goed overeenkomen met de prioriteiten die in november 2019 zijn benoemd. DigiD Op de peildatum 31 december werd aan 5 normen niet voldaan.

Op 1 april staan daarvan nog 2 open waarvan de aanpassingen in de testomgeving goed werken. Voor 1 mei zullen alle punten in de productieomgeving zijn opgelost. Suwinet Op de peildatum 31 december werd aan veel normen niet voldaan. Een belangrijke oorzaak hiervan is dat Suwinet wordt gebruikt voor een klein (4 personen) verplicht proces van adrescontroles in de Basisregistratie Personen (BRP). Voor dit proces waren de Suwinet normen niet expliciet en aantoonbaar ingericht. Er zijn nu formele kaders vastgesteld. Er is een werkplan met een rapportagelijn afgesproken waarmee aan iedere norm aantoonbaar wordt voldaan. Voortgang en uitvoering van dit werkplan worden gemonitord. Volgens de oorspronkelijke planning zou hiermee op 1 mei iedere norm kunnen worden afgetekend. Door de Corona maatregelen zijn echter de in maart geplande Awareness sessies met personeel afgelast. Deze sessies worden – mogelijk in digitale vorm – opnieuw gepland met einddatum 1 juni. Als inkomensondersteuning als gevolg van Corona maatregelen tijdelijk piekdrukte oplevert dan zal dat bij inzet van mensen prioriteit krijgen, hierdoor houdt de plandatum 1 juni nog een kleine slag om de arm.

Kenmerk: 2020/430128

3/5

BRP Bij de gegenereerde rapportage is de score 50,5% voor het onderdeel Organisatie van de beveiliging. Vanuit de specifieke voor BRP van toepassing zijnde antwoorden komen wij zelf uit op 78%, waarschijnlijk zijn algemene antwoorden aan BRP toegerekend zoals in de inleiding ook is aangegeven. BAG De Basisregistratie Adressen en Gebouwen (BAG) scoort in de ENSIA in 2019 80% en dat is boven de landelijke norm van 75%. De ENSIA score was vorig jaar echter 96%. In de keten van inwinning, verwerking, databeheer, toegankelijk maken en datagebruik is door nieuwe vraagstelling in de ENSIA met name een lagere score gehaald op het onderdeel ‘tijdigheid’. De termijnoverschrijding in de BAG wordt veroorzaakt door informatietekorten in de keten. Het gaat met name omdat gereedmeldingen van verbouwingen niet bij de BAG aangeleverd worden en verblijfsobjecten die ‘in onderzoek’ blijven staan vanwege een gebrek aan capaciteit/prioriteit bij Handhaving (VTH) door een eerdere bezuiniging. In het verbeterplan wordt een hogere BAG-kwaliteit nagestreefd door een optimalisatie van binnengemeentelijke processen, verbetering van de informatie naar de BAG en meer gebruik te maken van het berichtenverkeer tussen de verschillende registraties en het terugmeld mechanisme van het Kadaster.

BGT Uit de zelfevaluatie blijkt dat de gemeente Haarlem haar taken als bronhouder voor de Basisregistratie Grootschalige Topografie goed uitvoert. Hierbij is in 2019 – net als het jaar ervoor de maximale score behaald. De goede scores vanuit de ENSIA zijn in lijn met het behaalde certificaat voor de transitie van de BGT (SVB-BGT) voor Haarlem en Zandvoort (nummer 1 in de deelregio binnen Noord-Holland). Deze mijlpaal laat zien dat de BGT van Haarlem en Zandvoort beoordeeld is als procesmatig ingericht, land-dekkend, actueel en nauwkeurig. BRO De Basisregistratie Ondergrond (BRO) is een registratie van gegevens over de diepe en de ondiepe ondergrond, die stap voor stap in opbouw is. Die ondergrond wordt steeds belangrijker. Zo halen we drinkwater uit de ondergrond, funderen we gebouwen en infrastructuur en komen er steeds meer functies bij zoals winning van aardwarmte en opslag van CO2. In 2019 scoort Haarlem in de ENSIA met 45% nog onder de landelijke (ontwikkelings) norm van 60%. Een belangrijke oorzaak hiervan is de hoeveelheid aan in- en externe partijen waar vaak nog niet duidelijk is welke gegevens wanneer en waar moeten worden aangeleverd. Dit is inmiddels beschreven in een gemeentelijke proces voor de BRO.

Kenmerk: 2020/430128

4/5

De verbeteracties richten zich op het vullen van de registratie, als eerste met data die is ingewonnen in opdracht van de gemeente Haarlem. Daarvoor is medewerking nodig van in- en externe ketenpartners, opdrachtgevers en uitvoerders. Dat betekent dat er bewustwording nodig is bij de verschillende partijen om de benodigde gegevens op tijd te kunnen aanleveren aan de BROregistratie. 3. Vervolg ENSIA is een systematiek met een jaarcyclus. Deze rapportages zijn momentopnamen die in deze cyclus leiden tot verbeteringen. In bijlage B is de duiding van ENSIA antwoorden gerelateerd aan eerder in november gestelde prioriteiten. Gepland is om in een informatienota in juni 2020 inhoudelijk stil te staan bij de stand van zaken en de voortgang. 4. Bijlagen Bijlage A – Geheim – Rapportage Informatieveiligheid 2019 Haarlem Bijlage B – Geheim – Duiding van de antwoorden uit Rapportage Informatieveiligheid

Kenmerk: 2020/430128

5/5