Informatienota informatiebeveiliging najaar 2025

Informatienota

Onderwerp Informatienota informatiebeveiliging najaar 2025 Nummer Portefeuillehouder Programma/beleidsveld Afdeling Auteur Telefoonnummer Email Kernboodschap

2025/771501 Raadt, E. de 7.2 Algemene dekkingsmiddelen CC Hut, F.J.

Behandelvoorstel voor commissie

Het college stuurt de informatienota ter kennisname naar de commissie Bestuur.

fhut@haarlem.nl Het college informeert de commissie Bestuur over de afgesproken onderwerpen op het gebied van Informatiebeveiliging: • Voortgang van de beveiligingsprioriteiten • Voortgang van verbeterplannen DigiD en Suwinet • Analyse van Security incidenten • Risico analyse • Voorgestelde beveiligingsprioriteiten voor het volgende jaar • Beoordeling van de informatiebeveiliging, waaronder de volwassenheid

Hiermee wordt invulling gegeven aan de afspraak om tweemaal per jaar over de stand van informatiebeveiliging te rapporteren. In de bijlagen is informatie opgenomen over de informatiebeveiligingsmaatregelen die de gemeente treft om haar gegevens en de systemen te beveiligen. Deze informatie kan kwaadwillenden helpen bij het doorbreken van de beveiliging, wat kan leiden tot grote schade voor de gemeente.

Relevante eerdere besluiten

Uitvoering motie 14.1 Integraal Risicomanagement (2019/855753) Referentiekader voor volwassenheid van Informatiebeveiliging (2020/854267)

Kenmerk: 2025/771501

1/4

Besluit college d.d. 9 december 2025

Het college besluit: 1. De informatienota aan de commissie Bestuur vast te stellen; 2. Een verplichting geheimhouding op te leggen ten aanzien van de bij deze informatienota behorende bijlagen A, B en C op grond van artikel 87 van de Gemeentewet, vanwege de bescherming van de economische of financiële belangen van de gemeente, als bedoeld in onder artikel 5.1, tweede lid, aanhef en onder b, van de Wet open overheid. De geheimhouding op bijlagen A, B en C geldt voor een periode van 3 jaar, en vervalt op 1 januari 2029.

1. Aanleiding Deze notitie met bijlagen is de afgesproken halfjaarlijkse rapportage over Informatiebeveiliging. In notitie 2019/940161 Afstemmen structuur van voortgangsrapportage zijn de onderwerpen beschreven waarover wordt gerapporteerd: • Voortgang van de beveiligingsprioriteiten • Voortgang van verbeterplannen DigiD en Suwinet • Analyse van Security incidenten • Risico analyse • Voorgestelde beveiligingsprioriteiten voor het volgende jaar • Beoordeling van de informatiebeveiliging, waaronder de volwassenheid. 2. Toelichting Het lezen van de bijlagen is nodig om een goed beeld van de situatie te krijgen. Vanwege het soort informatie daarin zijn deze bijlagen geheim gemaakt en is de strekking ervan niet in de toelichting samengevat. De externe auditor heeft net als vorig jaar de volwassenheid beoordeeld van de informatiebeveiliging (ISO 27001), de bedrijfscontinuïteit (ISO 22301) en de conformiteit met NIS2. Dezelfde reikwijdte is gebruikt voor de risicoanalyse en de prioriteiten voor 2026. De invoering van de Cyberbeveiligingswet / NIS2 is verder uitgesteld. Verwachting is dat deze wet nu in het tweede kwartaal van 2026 van kracht gaat worden. We vorderen met het realiseren van informatie beschermingsmaatregelen. Tegelijk nemen de bedreigingen toe en daarmee de eisen die gesteld worden om weerbaar te blijven.

Dat laatste zal van blijvende en oplopende betekenis zijn in te nemen maatregelen. Voortgang van beveiligingsprioriteiten Er is voortgang, waarbij beschikbare capaciteit een belemmering is. Uitgebreidere informatie is te vinden in Bijlage A (Geheim).

Kenmerk: 2025/771501

2/4

Voortgang van verbeterplannen DigiD en Suwinet De externe auditor heeft in april vastgesteld dat aan normen van DigiD werd voldaan. Voor Suwinet is een verbeterplan opgesteld. Dit verbeterplan wordt gemonitord door de interne IT auditor. Eén van de acties werd onvoldoende opgepakt. Dit is gesignaleerd en hierop is actie genomen. Analyse van Security incidenten Twee onderwerpen zijn de moeite waard om hier te melden: De klimaatbehandeling in de serverruimte in gebouw Raakspoort werd niet goed gemonitord. Hierdoor werd de temperatuur te hoog, waardoor schade aan apparatuur had kunnen ontstaan. De monitoring is aangescherpt. Door een storing bij Ziggo zijn het draadloos netwerk en de vaste telefonie tijdelijk uitgevallen. Het voorbereide noodscenario voor de telefonie is gebruikt. Risico analyse en voorgestelde beveiligingsprioriteiten voor het volgende jaar Er is conform het beleid een Informatiebeveiliging Risico Analyse uitgevoerd waarop de prioriteiten van het beveiligingsplan worden gebaseerd. In bijlage B (Geheim) is het hierbij gevolgde proces te lezen, tot en met de voorgestelde prioriteiten. Hierbij zijn ook de resultaten van de recent uitgevoerde audit (dit is volgende onderwerp) meegenomen. Beoordeling van de informatiebeveiliging, waaronder de volwassenheid In collegebesluit 2020/854267 is gekozen voor het gebruik van ISO 27001 als referentiekader.

Zoals hierboven is toegelicht is de reikwijdte van de audit vanaf vorig jaar verbreed. In de eerste helft van september is de audit van 2025 uitgevoerd. De aanbevelingen uit de audit zijn meegewogen bij de beveiligingsprioriteiten van 2026. Het rapport van de audit is opgenomen als bijlage C (Geheim). Geheimhouding Ten aanzien van de bij deze nota behorende bijlagen A, B en C wordt geheimhouding opgelegd. In de bijlagen is informatie opgenomen over de informatiebeveiligingsmaatregelen die de gemeente treft om haar gegevens en de systemen te beveiligen. Deze informatie kan kwaadwillenden helpen bij het doorbreken van de beveiliging, wat kan leiden tot grote schade voor de gemeente. De geheimhouding op bijlagen A, B en C geldt voor een periode van 3 jaar, en komt te vervallen op 1 januari 2029. Tegen die tijd zullen de belangrijkste kwetsbaarheden verholpen zijn, en daarmee zal de reden vervallen zijn waarom geheimhouding nu wordt opgelegd.

Kenmerk: 2025/771501

3/4

3. Resultaten en/of consequenties Er zijn geen bijzondere consequenties te melden. Geplande activiteiten worden gedekt vanuit beschikbare budgetten. 4. Uitvoering en vervolg Het beveiligingsplan voor 2026 zal nu worden uitgewerkt. De commissie Bestuur zal geïnformeerd blijven via de afgesproken halfjaarlijkse rapportages. 5. Bijlagen Bijlage A GEHEIM - Status van beveiligingsprioriteiten Bijlage B GEHEIM - Informatiebeveiliging en Bedrijfscontinuïteit Risico Analyse najaar 2025 en prioriteiten 2026 Bijlage C GEHEIM - Volwassenheidsbepaling ISO 27001, ISO 22301 en NIS2 Gemeente Haarlem

Kenmerk: 2025/771501

4/4