107 Raadsinformatienota ENSIA verantwoording 2024.pdf

RAADSINFORMATIENOTA

College van burgemeester en wethouders Vergadering van: 7 juli 2025 Gemeente Hardinxveld-Giessendam Zaaknummer: 2025-0049786

Inhoud Inleiding Geachte raadsleden, Het college van burgemeester en wethouders legt sinds 2017 verantwoording af over de status van informatieveiligheid aan de gemeenteraad en de landelijke toezichthouders volgens de Eenduidige Normatiek Single Information Audit(ENSIA) waarin landelijke en Europese wet- en regelgeving en landelijke normenkaders zoals de Baseline Informatiebeveiliging Overheid (BIO) is opgenomen. Het gaat hierbij om de verantwoording die het college aflegt over de stelsels: Baseline Informatiebeveiliging Overheid(BIO), Basisregistratie Personen (BRP), Paspoortuitvoeringsregeling (PUN), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), BRO (Basisregistratie Ondergrond), en de Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet).

Als professionele organisatie is het van belang dat onze gemeente de beveiliging van informatie, en de bescherming van persoonsgegevens, adequaat organiseert. Informatie moet immers beschikbaar, actueel, volledig en betrouwbaar zijn en mag alleen door bevoegden worden ingezien. Bij uitwisseling van informatie moet de gemeente altijd rekening houden met beveiligings- en privacyaspecten. Een belangrijke ontwikkeling op het gebied van beveiligings- en privacyaspecten is de Europese NIS2richtlijn, die op 17 oktober 2024 van kracht is geworden. In Nederland zal naar verwachting in het derde kwartaal van 2025 de wet zijn geïmplementeerd in landelijke wetgeving. In het kader van NIS2 en de Cyberbeveiligingswet komt de raad als toezichthouder nadrukkelijker in beeld in 2025 wordt er overwogen om een Drechtstedelijk trainings-aanbod te doen.

Verantwoording en Geheimhouding De gemeente is verantwoordelijk voor de normnaleving van de processen ongeacht of we zaken hebben gemandateerd of gedelegeerd. In onze regionale samenwerking, waarbij verschillende taken door onze ketenpartners worden uitgevoerd, is het van belang dat we kunnen bouwen op de professionaliteit binnen de keten. Dit maakt ons als gemeente deels afhankelijk van de regionale samenwerking. In samenwerking met de bedrijfsvoering Drechtsteden (BVD) wordt gestreefd naar een goede informatievoorziening. De verantwoording verloopt via het college van B&W naar de gemeenteraad. De gemeenteraad houdt toezicht op de uitvoering door het gemeentebestuur. Om de toezichthoudende rol goed te kunnen

uitvoeren is het belangrijk dat de gemeenteraad, over bovengenoemde stelsels, goed geïnformeerd wordt. Deze raadsinformatiebrief met de bestuurlijke rapportage 2024 (bijlage 1) wordt onder geheimhouding op grond van artikel 5.1 van de Wet open overheid met u gedeeld. De informatie over onze systemen en de genomen beveiligingsmaatregelen kan kwaadwillende helpen bij het doorbreken van de beveiliging, hetgeen kan leiden tot grote schade voor de gemeente. De openbare informatie over informatiebeveiliging 2024 is terug te vinden op de website waarstaatjegemeente.nl. Waar het gaat om landelijke voorzieningen legt de gemeente parallel verantwoording af aan de rijksoverheid.

Kernboodschap Resultaten ENSIA 2024 Gebleken is dat gemeente Hardinxveld-Giessendam op veel onderdelen goed, maar ook op onderdelen binnen de stelsels minder scoort. In de bestuurlijke rapportage 2024 (bijlage 1) wordt er per onderdeel een korte toelichting gegeven. Over het algemeen kan worden geconcludeerd dat, net als in 2023, het ontbreekt aan een goed geborgd regionaal ENSIA proces. Dit komt mede door de afhankelijkheid van onze leveranciers en samenwerkingspartners maar ook door scherpere beveiligingseisen. De strengere beveiliging/auditeisen vragen om aanpassingen binnen onze processen. De bevindingen uit de zelfevaluatie zijn in een lokaal verbeterplan opgenomen en worden regionaal door vertaald in het regionale informatiebeveiligingsjaarplan. Het primaire uitgangspunt van onze informatiebeveiliging is en blijft risicomanagement. Er zullen keuzes gemaakt moeten worden aan welke verbeteringen prioriteit wordt gegeven. Het op orde brengen en houden van een basis set aan beveiligingsmaatregelen heeft eerste prioriteit. Dit wordt ook aanbevolen door het National Cyber Security Center (NCSC) en de VNG Informatiebeveiligingsdienst(IBD). De digitale dreigingen in de huidige turbulente geopolitieke tijd nemen toe. Dit vraagt om meer inzet en bewustwording op het gebied van informatiebeveiliging.

Hierdoor kunnen we eerder inspelen op actuele ontwikkelingen en de benodigde maatregelen treffen. Voor de ENSIA audits betekent dat er ook strengere normen zijn waardoor naast opzet en bestaan ook op werking wordt getoetst. De lokale informatiebeveiligingsadviseur en de regionale Chief Information Security Officer kunnen op verzoek de resultaten van het ENSIA proces nader toelichten. De raadsleden kunnen hiervoor, indien gewenst, een afspraak maken met de griffier.

Hoogachtend, Burgemeester en wethouders van Hardinxveld-Giessendam, de secretaris, de burgemeester,

S.M van der Stel

D.A Heijkoop

Bijlagen Bijlage 1 Bestuurlijke rapportage 2024 Bijlage 2 NCSC -Dreigingsbeeld industriële automatiserings- en controlesystemen (IACS)

-2-