RKC Adviesbrief over opvolging aanbeveling Informatiebeveiliging - Raadsinformatie
Tekst van het document
*ƒ* Gemeente Haarlem
Rekenkamercommissie
Kenmerk Datum
T.a.v. Commissie bestuur
2021/533127 29 september 2021
Contact
Boukje Detmar
Telefoon
023-5114885
bdetmar@haarlem.nl
Onderwerp: RKC Adviesbrief over opvolging aanbeveling Informatiebeveiliging - Raadsinformatie
Geachte leden,
De door de raad overgenomen aanbevelingen worden door de rekenkamercommissie (RKC) geregistreerd en zodra het college aan de raad hierover een verantwoording aanbiedt, wordt de RKC in de gelegenheid gesteld uw raad hierover te adviseren. De RKC informeert u met deze brief over haar oordeel over de verantwoording over de opvolging van het college van de aanbeveling 2019/311846 met betrekking tot de raadsinformatie uit het onderzoek naar de
informatiebeveiliging van de gemeente Haarlem (2019). Bij de beoordeling van de opvolging worden door de RKC drie oordelen gehanteerd: opgevolgd/gedeeltelijk opgevolgd/niet opgevolgd. Het is aan de raad om vast te stellen of de aanbevelingen voldoende zijn afgedaan.
Aanbeveling 2019/311846 Informatiebeveiliging - Raadsinformatie De raad geeft het college opdracht om de raadsinformatie over informatiebeveiliging te verbeteren
door naast de verplichte paragraaf en de ENSIA verklaring: a. De gemeenteraad middels een (zo nodig geheime) nota inhoudelijk te informeren over de mate van compliancy aan wet en regelgeving en het eigen beleid aan de hand van een jaarlijkse samenvatting met duiding van de scores op de ENSIA-zelfevaluatievragenlijst. b. Aan de hand van een objectieve maatstaf (bijvoorbeeld het volwassenheidsniveau) te rapporteren over de ontwikkeling van de verschillende onderdelen van de informatievoorziening, waaronder
informatiebeveiliging. Onderdeel a) In opvolging van de aanbeveling heeft het college in 2020 over het jaar 2019 een samenvatting en duiding van de ENSIA-scores met de raad gedeeld. ENSIA staat voor Eenduidige Normatiek Single Information Audit. Het is een zelfevaluatie waarmee het college aan de raad verantwoording aflegt
over de stand van zaken met betrekking tot de informatiebeveiliging.
Graag ons kenmerk vermelden bij uw reactie.
Kenmerk: [Kenmerk]
1/2
Onderdeel b)
In opdracht van het college heeft eind 2020 een externe audit plaatsgevonden waarin, met ISO 27001 als referentiekader, het volwassenheidsniveau van de informatiebeveiliging is bepaald. De score bedroeg 2 op een schaal van 1 tot 5. Er is dus nog ruimte voor verbetering. Het college geeft aan niveau 3 op termijn als ambitie te hebben, dat willen zeggen voldoen aan de ISO 27001 normen. Het volwassenheidsniveau zal voortaan jaarlijks in september worden vastgesteld en aan de raad worden gerapporteerd. Oordeel RKC: opgevolgd
Hoewel de materie van ENSIA en volwassenheidsniveau niet altijd even toegankelijk is, vraagt het belang van informatiebeveiliging wel om blijvende aandacht van de gemeenteraad. Problemen met informatiebeveiliging van uiteenlopende organisaties komen nog steeds wekelijks in het nieuws. De maatschappelijke gevolgen daarvan zijn groot. Het is daarom belangrijk het onderwerp jaarlijks expliciet te blijven agenderen.
Met vriendelijke groet.
/. Sacha Schneiders, voorzitter
Graag ons kenmerk vermelden bij uw reactie.
Kenmerk: [Kenmerk] Telefoonnummer: 14 023 | www.haarlem.nl
2/2