Informatienota Informatiebeveiliging Voorjaar 2026

Informatienota

Onderwerp Informatienota Informatiebeveiliging Voorjaar 2026 Nummer Portefeuillehouder Programma/beleidsveld Afdeling Auteur Telefoonnummer Email Kernboodschap

Behandelvoorstel voor commissie

2026/149071 Raadt, E. de 7.2 Algemene dekkingsmiddelen CC Hut, F.J. fhut@haarlem.nl Het college rapporteert over de informatiebeveiliging. In deze nota wordt ingegaan op de volgende onderwerpen: • Voortgang van de beveiligingsprioriteiten • Voortgang van verbeterplannen DigiD en Suwinet • Analyse van Security incidenten • ENSIA verantwoording over het vorige jaar met duiding van de resultaten en de relatie tot de benoemde beveiligingsprioriteiten. Het college stuurt de informatienota ter kennisname naar de commissie Bestuur. In de bijlagen is informatie opgenomen over de informatiebeveiligingsmaatregelen die de gemeente treft om haar gegevens en de systemen te beveiligen. Deze informatie kan kwaadwillenden helpen bij het doorbreken van de beveiliging, wat kan leiden tot grote schade voor de gemeente. Er wordt geheimhouding opgelegd ten aanzien van de bij deze informatienota behorende bijlagen 1, 2 en 3 op grond van artikel 87 van de Gemeentewet, vanwege de bescherming van de economische of financiële belangen van de gemeente, als bedoeld in onder artikel 5.1, tweede lid, aanhef en onder b, van de Wet open overheid. De geheimhouding op bijlagen 1, 2 en 3 geldt voor een periode van 3 jaar, en komt te vervallen op 1 juli 2029. Tegen die tijd zullen de belangrijkste kwetsbaarheden verholpen zijn, en daarmee zal de reden vervallen zijn waarom geheimhouding nu wordt opgelegd.

Relevante eerdere besluiten Besluit college d.d. …….

2019/355441 Motie 14.1 Integraal Risicomanagement 2019/940161 Afstemmen structuur van voortgangsrapportage 2020/854267 Referentiekader voor volwassenheid van Informatiebeveiliging Het college besluit: 1. de informatienota aan de commissie Bestuur vast te stellen;

Kenmerk: 2026/149071

1/4

(wordt ingevuld door BC)

2. een verplichting geheimhouding op te leggen ten aanzien van de bij deze informatienota behorende bijlagen 1, 2 en 3 op grond van artikel 87 van de Gemeentewet, vanwege de bescherming van de economische of financiële belangen van de gemeente, als bedoeld in onder artikel 5.1, tweede lid, aanhef en onder b, van de Wet open overheid. De geheimhouding op bijlagen 1, 2 en 3 geldt voor een periode van 3 jaar, en vervalt op 1 juli 2029.

1. Aanleiding In juni 2020 is met informatienota 2020/465284 (bijlage A) afgesproken dat over de volgende onderwerpen ieder jaar in juni wordt gerapporteerd: • Voortgang van de beveiligingsprioriteiten • Voortgang van verbeterplannen DigiD en Suwinet • Analyse van Security incidenten • ENSIA verantwoording over het vorige jaar met duiding van de resultaten en de relatie tot de benoemde beveiligingsprioriteiten. Hieronder wordt op ieder van deze punten ingegaan. 2. Toelichting Het lezen van de bijlagen is nodig om een goed beeld van de situatie te krijgen. Vanwege het soort informatie daarin zijn deze bijlagen geheim gemaakt, en is de strekking ervan niet in deze toelichting samengevat. Rapportages gaan regelmatig over dezelfde onderwerpen, maar worden vanuit verschillende perspectieven en voor verschillende doelen gemaakt. In 2021 is de onderlinge samenhang van de verschillende rapportages uitgewerkt (zie bijlage 1 van 2021/217257 Informatienota Informatiebeveiliging voorjaar 2021). De Baseline Informatiebeveiliging Overheid (BIO) wordt risico-gebaseerd geïmplementeerd. Hierbij wordt het mechanisme van ISO27001 gebruikt om jaarlijks prioriteiten te stellen. De onafhankelijke volwassenheidsrapportage ten opzichte van de ISO27001, ISO22301 en NIS2 geeft het beste beeld om de ontwikkeling van de beveiliging te volgen.

Het omvat de BIO, en het is het oordeel van een onafhankelijke derde. Als verplichte overheidsnorm wordt de BIO geïmplementeerd. De ISO27001 benadering met een risicoanalyse wordt gebruikt om ieder jaar prioriteiten te stellen. Dit betekent dat verminderen van risico’s de primaire drijfveer is, met uiteindelijk een hogere score op de BIO-Zelfevaluatie als gevolg. In 2026 gaat BIO versie 2 van kracht worden. Deze is direct afgeleid van ISO 27001 waarop de gemeente zich al geruime tijd baseert. De ingangsdatum hiervan zal naar verwachting in het tweede kwartaal zijn.

Kenmerk: 2026/149071

2/4

Ook in 2026 gaat de Cyberbeveiligingswet van kracht worden. Dit is de Nederlandse uitwerking van de NIS2-regelgeving door de Europese Unie. Gemeenten zijn ingedeeld op het hoogste niveau “Essentieel”. De ingangsdatum hiervan zal naar verwachting in het tweede kwartaal zijn. Op dezelfde datum gaat de Wet Weerbaarheid Kritieke Entiteiten (WWKE) van kracht worden. Dit is de Nederlandse uitwerking van de Critical Entities Resilience Regulation door de Europese Unie. Het is nog onbekend of gemeenten onder deze wet zullen vallen, mogelijk wordt dit pas besloten en gecommuniceerd nadat de wet van kracht is geworden. BIO-Zelfevaluatie De BIO-Zelfevaluatie is consistent met de ISO27001, ISO22301 en NIS2 volwassenheidsrapportage en met de risicoanalyse bij de informatienota (2025/771501) van najaar 2025. In bijlage 1 (Geheim) staat de beantwoording van de BIO-zelfevaluatie voorafgegaan door een korte toelichting over de opzet van de vragenlijst. In bijlage 2 (Geheim) wordt duiding gegeven, en wordt de relatie gelegd met prioriteiten en verbeteracties. Voortgang van de beveiligingsprioriteiten In bijlage 3 (Geheim) wordt de status beschreven van de onderwerpen die in informatienota 2025/771501 zijn geprioriteerd. Voortgang van verbeterplannen DigiD en Suwinet Op peildatum 31 december 2025 werd voor DigiD aan alle normen voldaan.

Op peildatum 31 december 2025 werd voor Suwinet aan drie normen niet of niet volledig voldaan. Werkwijze en vastlegging zijn aangescherpt. Op 15 mei 2026 heeft de externe auditor vastgesteld dat aan alle drie deze normen werd voldaan. Analyse van Security incidenten Regelmatig wordt digitaal ingebroken bij een partij waarmee de gemeente regulier samenwerkt. De aanvaller valt vervolgens de gemeente aan door e-mailberichten te sturen met een bekende afzender (vanaf die partij) waaraan de ontvanger (binnen de gemeente) is gewend. Vanwege de bekendheid wordt door de ontvanger makkelijker geklikt, en worden makkelijker gegevens ingevuld. Er is op deze manier niemand binnen geweest. De aanvallen zijn automatisch gedetecteerd en gestopt. Intern is hieraan extra aandacht gegeven, zodat de mensen weten waarop ze moeten letten. Technische maatregelen zijn en worden verder aangescherpt. Apple had eind maart / begin april een heel omvangrijke update. Het interne netwerk was overbelast toen honderden apparaten deze update tegelijk gingen downloaden. Het is nu ingesteld dat het downloaden in de tijd meer wordt gespreid.

Kenmerk: 2026/149071

3/4

Bij urgente meldingen vanuit de Informatiebeveiligingsdienst (IBD, onderdeel van VNG) zijn we steeds in staat geweest om snel te handelen. Geheimhouding Er wordt geheimhouding opgelegd ten aanzien van de bij deze informatienota behorende bijlagen 1, 2 en 3 op grond van artikel 87 van de Gemeentewet, vanwege de bescherming van de economische of financiële belangen van de gemeente, als bedoeld in onder artikel 5.1, tweede lid, aanhef en onder b, van de Wet open overheid. De geheimhouding op bijlagen 1, 2 en 3 geldt voor een periode van 3 jaar, en komt te vervallen op 1 juli 2029. Tegen die tijd zullen de belangrijkste kwetsbaarheden verholpen zijn, en daarmee zal de reden vervallen zijn waarom geheimhouding nu wordt opgelegd. 3. Resultaten en/of consequenties Er zijn geen bijzondere consequenties te melden. Geplande activiteiten worden gedekt vanuit beschikbare budgetten. 4. Uitvoering en vervolg In de huidige opzet ontvangt de commissie tweemaal per jaar uitgebreide informatie. Deze informatie is voor een deel aanvullend op elkaar en voor een deel overlappend. Het blijkt voor commissieleden lastig te zijn om zich een beeld te vormen, en het onderwerp wordt lang niet altijd voor bespreking geagendeerd.

Voorstel is om de frequentie terug te brengen naar éénmaal per jaar in december, en daarbij de volgende informatie te delen: • De jaarlijkse auditrapportage ten opzichte van de normen ISO27001 (beveiliging), ISO22301 (continuïteit) en Cyberbeveiligingswet. De audit wordt gedaan door een externe auditor. Dit geeft het beste totaalbeeld. • Een overzicht van significante incidenten, en maatregelen die zijn getroffen om herhaling te voorkomen. Dit geeft een indicatie van de effectiviteit van beheersmaatregelen. • De jaarlijkse risicoanalyse. Dit maakt de blootstelling aan risico’s inzichtelijk. • Gerealiseerde verbeteringen in het afgelopen jaar, gerelateerd aan de prioriteiten zoals die aan het eind van het vorige jaar zijn gesteld. • Prioriteiten voor het komende jaar, als reactie op de auditbevindingen, de incidenten, de risico’s en de restpunten van het afgelopen jaar. De timing van de rapportage sluit dan goed aan bij de P&C cyclus. 5. Bijlagen Bijlage 1 – GEHEIM – BIO-Zelfevaluatie Haarlem 2025 Bijlage 2 – GEHEIM – Duiding van BIO-Zelfevaluatie en relatie met prioriteiten en verbeteracties Bijlage 3 – GEHEIM – Voortgang van beveiligingsprioriteiten

Kenmerk: 2026/149071

4/4