6 Toelichting BRP en Reisdocumenten getekend
Tekst van het document
♦ƒ* Gemeente Haarlem
Kenmerk 2024/337443
Toelichting overzicht resultaten zelfevaluatie 2023
BRP en Reisdocumenten BIO
De Baseline Informatiebeveiliging Overheid (BIO) is een basisnormenkader voor informatiebeveiliging binnen alle overheidslagen. Overheidsorganisaties geven die richtlijnen zelf betekenis in hun eigen ICT-bedrijfsvoering en leggen hierover verantwoording af. Gemeenten leggen in één keer verantwoording af over informatieveiligheid met ENSIA. De Basisregistratie Personen (BRP) en de Paspoortuitvoeringsregeling (PUN) (Reisdocumenten) zijn onderdeel van de BIO. Er worden vragen gesteld over de organisatie van de beveiliging, de toegangsbeveiliging en de naleving.
Trend score In de afgelopen vijf jaar hebben we de informatiebeveiliging van de BRP en de Reisdocumenten steeds verbeterd.
Registratie
Score 2019
Score 2020
Score 2021
Score 2022
Score 2023
BRP
70,2%
84%
83%
90,4%
92%
Reisdocumenten
85,7%
82%
88%
95,4%
95%
De totaalscores in 2023 zijn voor BRP 92% en Reisdocumenten 95%. De gemeente scoort 100% op de Organisatie van de beveiliging en de toegangsbeveiliging van de BRP en Reisdocumenten. Op de naleving van de normen en maatregelen van de beveiliging scoren we iets minder hoog.
Dit komt doordat onze organisatie geen vastgestelde prestatie-indicatoren heeft voor het beoordelen van leveranciers op het gebied van informatiebeveiliging en doordat een
calamiteitenplan en continuïteitsplan ontbreken. Daardoor kunnen we ook voor de BRP en de
Reisdocumenten de beoordeling van de leveranciers en het testen van het continuïteitsplan niet (goed) uitvoeren wat enig puntenverlies geeft. Basisregistratie Personen (BRP) 15.2.1.l.a 40 punten verlies Worden de prestaties van leveranciers op het gebied van informatiebeveiliging jaarlijks beoordeeld op vooraf vastgestelde prestatie-indicatoren? Nee
Uitleg: Onze organisatie kent geen vastgestelde prestatie-indicatoren met betrekking tot de informatiebeveiliging. Het KCC voert zelf jaarlijks een leveranciersbeoordeling uit. Hier maakt de
leverancier van de BRP niet standaard deel van uit. . Het contract van de leverancier van de BRP valt onder IV.
17.1.3.l.a 50 punten verlies Worden continuïteitsplannen jaarlijks getest op geldigheid en bruikbaarheid? Nee Uitleg: Er bestaat een protocol bij IV in geval van uitwijking, maar dit is nog nooit getest.
4*
Gemeente Haarlem
Kenmerk 2024/337443
Er is in 2023 wel een business continuity manager aangesteld en het KCC sluit bij overleggen aan om ook de BRP te ondervangen. Tabel 1: Resultaten BRP Informatiebeveiliging Gemeente: Gemeente Haarlem
Betreft: Resultaat uit zelfevaluatie informatiebeveiliging BRP (ENSIA) Totaal behaalde punten
Totaal mogelijk totaal
Percentage
1. BRP-organisatie
400
400
100,0 %
2. BRP-toegang
400
400
100,0 %
3. BRP-naleving
310
400
77,5 %
1.110
1.200
92,0 %
Thema BRP
Totaal
Reisdocumenten 15.2.1.1.b 15 punten verlies Worden de prestaties van leveranciers op het gebied van informatiebeveiliging jaarlijks beoordeeld op vooraf vastgestelde prestatie-indicatoren? Nee
Uitleg: Onze organisatie kent geen vastgestelde prestatie-indicatoren met betrekking tot de informatiebeveiliging. Het KCC voert zelf jaarlijks een leveranciersbeoordeling uit. Hier maakt de leverancier van de BRP niet standaard deel van uit.
17.1.3.1.b 40 punten verlies Worden continuïteitsplannen jaarlijks getest op geldigheid en bruikbaarheid? Nee Uitleg: Er bestaat een protocol bij IV in geval van uitwijking, maar dit is nog nooit getest. Er is in 2023 wel een business continuity manager aangesteld en het KCC sluit bij overleggen aan om ook de Reisdocumenten te ondervangen.
Tabel 2: Resultaten Reisdocumenten Informatiebeveiliging
Gemeente: Gemeente Haarlem
Betreft: Resultaat uit zelfevaluatie informatiebeveiliging Reisdocumenten (ENSIA) Totaal behaalde punten
Totaal mogelijk totaal
Percentage
1. Reisdocumenten-organisatie
400
400
100,0 %
2. Reisdocumenten-toegang
400
400
100,0 %
3. Reisdocumenten-naleving
345
400
86,2 %
1.145
1.200
95,0 %
Thema Reisdocumenten
Totaal
Risico's Leveranciersbeoordeling: Zonder deze jaarlijkse beoordeling is er minder zicht op de prestaties op het gebied van informatiebeveiliging. Het kan zijn dat daarmee ongezien de informatiebeveiliging
van de leveranciers niet op orde is. Toch is de kans daarop klein omdat de leveranciers zelf criteria
en eisen hebben voor hun eigen beveiliging en niet alleen voor onze gemeente maar ook voor andere gemeenten de beveiliging op orde moeten hebben. Daarnaast heeft het KCC eigen
Gemeente y* Haarlem
Kenmerk 2024/337443
controlestappen ingebed in de processen voordat een reisdocument wordt afgegeven of een
wijziging in de BRP wordt doorgevoerd. Continuiteitsplan: Het KCC maakt elk jaar een risicoanalyse en daar staan de mogelijke calamiteiten
in. Het ontbreken van een getest continuïteitsplan kan grote risico's met zich meebrengen op het moment dat er een calamiteit is. Als medewerkers niet meer bij de reisdocumenten of de BRP
kunnen, komt de dienstverlening van het KCC bijna stil te liggen en is het mogelijk dat wettelijke termijnen overschreden worden.
De kans op een calamiteit die zo'n grote impact heeft dat het KCC moet uitwijken, is minder groot.
Verbetermaatregelen Leveranciersbeoordeling: Het KCC kan in het proces van de leveranciersbeoordelingen de leveranciers van de BRP en Reisdocumenten elk jaar meenemen en eigen prestatie-indicatoren voor
de beveiliging vooraf vaststellen. Dit zal in overleg met afdeling IV gebeuren. Continuïteitsplan: Het KCC is aangehaakt bij de totstandkoming van een organisatiebreed
continuïteitsplan. Het KCC houdt daarbij in het oog of dit plan alle effecten voldoende afdekt, die zich op de eigen afdeling en specifiek voor de BRP en waardedocumenten kunnen voordoen. Het is mogelijk dat een aanvullend plan nodig blijkt. Als afgeleide van het continuïteitsplan komen in later
stadium inkoop en leveranciersbeoordeling aan de orde. Hierin wordt de mate van
informatiebeveiliging van leveranciers opgenomen.
Namens het college van burgemeester en wethouders.
Haarlem, 16 april 2024 de secretaris,
de burgemeester,
mr. C.M. Lenstra
drs. J. Wienen