Bijlage 5. Heemskerk ENSIA 2025 - Assurancerapport Suwinet 2025

ASSURANCE-RAPPORT NOREA Richtlijn 3000A ‘Assurance-opdrachten door IT-auditors (Attest-opdrachten)’ Inzake de Collegeverklaring ENSIA 2025 van de gemeente Heemskerk en de bijlage 2 Suwinet waarnaar in de Collegeverklaring verwezen wordt

(Bestemd voor gemeente Heemskerk, BKWI en het Ministerie van Sociale Zaken en Werkgelegenheid)

Uitgebracht door Onderzoekers

: :

Uitgebracht aan Datum Rapportnummer Versie Status

: : : : :

Duijnborgh Audit B.V. Frank Kossen RE Drs. Mohamed El Aarbaoui RE (QA) Gemeente Heemskerk 24 februari 2026 20260224 DBA-GEM HEE - ASSURANCE-RAPPPORT ENSIA (Suwinet) 1.0 Definitief

Datum

24 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260224 DBA-GEM HEE - ASSURANCE-RAPPPORT ENSIA (Suwinet)

Pagina

2 van 5

Inhoud 1

ASSURANCE-RAPPORT VAN DE ONAFHANKELIJKE AUDITOR.................................................................... 3 1.1 ONS OORDEEL ...................................................................................................................................... 3 1.2 DE BASIS VOOR ONS OORDEEL .................................................................................................................. 3 1.3 OBJECT VAN ONDERZOEK ........................................................................................................................ 3 1.4 SCOPE ................................................................................................................................................ 4 1.5 BEOOGDE GEBRUIKERS EN DOEL ................................................................................................................ 4 1.6 BESCHRIJVING VAN DE VERANTWOORDELIJKHEDEN ........................................................................................ 4 1.6.1 Verantwoordelijkheden van het college van gemeente Heemskerk ........................................... 4 1.6.2 Verantwoordelijkheden van de IT-auditor................................................................................. 4

Datum

24 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260224 DBA-GEM HEE - ASSURANCE-RAPPPORT ENSIA (Suwinet)

Pagina

3 van 5

1 Assurance-rapport van de onafhankelijke auditor Aan: Gemeente Heemskerk

1.1

Ons oordeel

Ingevolge uw opdracht hebben wij de bijgevoegde collegeverklaring ENSIA 2025 inzake Informatiebeveiliging van Suwinet (hierna: collegeverklaring), inclusief de bijlage 2 Suwinet waarnaar in de collegeverklaring wordt verwezen, van gemeente Heemskerk onderzocht. Naar ons oordeel is bijgevoegde collegeverklaring, inclusief de bijlage 2 Suwinet waarnaar in de collegeverklaring wordt verwezen, van gemeente Heemskerk, in alle van materieel belang zijnde aspecten, juist.

1.2

De basis voor ons oordeel

Wij hebben ons onderzoek uitgevoerd volgens Nederlands recht, waaronder de NOREA Richtlijn 3000A “Assurance-opdrachten door IT-auditors (Attest-opdrachten)” en de HANDREIKING Suwinet (in kader ENSIA) voor IT-auditors (RE’s) Versie 1.0 – Verantwoordingsjaar 2025, d.d. 30 september 2025. Deze opdracht is gericht op het verkrijgen van een redelijke mate van zekerheid. Onze verantwoordelijkheden op grond hiervan zijn beschreven in de sectie 'Verantwoordelijkheden van de IT-auditor’. Wij zijn onafhankelijk van gemeente Heemskerk en hebben voldaan aan de overige vereisten van het Reglement Gedragscode (‘Code of Ethics’) van NOREA. Wij zijn van mening dat de door ons verkregen assurance-informatie voldoende en geschikt is als basis voor ons oordeel.

1.3

Object van onderzoek

Met de collegeverklaring geeft het college van Burgemeester en Wethouders aan in welke mate de gemeente voldoet aan de informatiebeveiligingsnormen voor Suwinet. De collegeverklaring maakt onderdeel uit van de verantwoording over informatiebeveiliging middels ENSIA en is tot stand gekomen door een zelfevaluatie over informatiebeveiligingsnormen gebaseerd op de door de toezichthouder geselecteerde eisen uit de ‘Baseline Informatiebeveiliging Overheid’ versie 1.04zv voor Suwinet. Wij benadrukken dat het specifiek geselecteerde normen zijn en daarmee geen uitspraak wordt gedaan over de informatiebeveiliging als geheel. Betreffende Suwinet gaat de verantwoording over de opzet en het bestaan van de interne beheersingsmaatregelen per 31 december 2025. De criteria waarvan gebruik wordt gemaakt bij het uitvoeren van de assurance-opdracht houden in dat: -

de risico’s die het voldoen aan de beveiligingsrichtlijnen in gevaar brengen en daarmee de betrouwbaarheid van Suwinet aantasten, werden onderkend;

Datum

24 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260224 DBA-GEM HEE - ASSURANCE-RAPPPORT ENSIA (Suwinet)

Pagina

4 van 5

-

de onderkende interne beheersingsmaatregelen, indien zij werkzaam zijn zoals beschreven, een redelijke mate van zekerheid zouden verschaffen dat die risico’s het voldoen aan beveiligingsrichtlijnen niet zouden verhinderen; de interne beheersingsmaatregelen die verband houden met de beveiligingsrichtlijnen op afdoende wijze zijn opgezet en daadwerkelijk zijn geïmplementeerd.

-

1.4

Scope

De scope van ons onderzoek bestond uit de hierna genoemde Suwinet-gegevensverwerkingen: Onderzochte gegevensverwerkingen Suwinet: Taak Participatiewet (Pw) Inkomensvoorziening voor Oudere en gedeeltelijk Arbeidsongeschikte Werknemers (IOAW) Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen (IOAZ) Wet gemeentelijke schuldhulpverlening (Wgs) Regeling opvang ontheemden Oekraïne

1.5

Suwinet service Suwinet-inkijk Suwinet-inkijk Suwinet-inkijk Suwinet-inkijk Suwinet-inkijk

Beoogde gebruikers en doel

Ons assurance-rapport is bestemd voor gebruikers van de collegeverklaring. De collegeverklaring is opgesteld voor de gemeenteraad en voor het departement en aangewezen uitvoeringsinstantie die toezien op de veiligheid van Suwinet. Doel van de collegeverklaring is om de gemeenteraad en het departement en aangewezen uitvoeringsinstantie die toezien op de veiligheid van Suwinet te informeren over het voldoen aan de geselecteerde Suwinet normen. Ons assurance-rapport mag alleen worden gebruikt door de beoogde gebruikers voor het doel waarvoor het is opgesteld en dient niet te worden verspreid aan of te worden gebruikt door anderen of voor een ander doel.

1.6

Beschrijving van de verantwoordelijkheden

1.6.1

Verantwoordelijkheden van het college van gemeente Heemskerk

Het college van burgemeester en wethouders van gemeente Heemskerk is verantwoordelijk voor het opstellen van de collegeverklaring. Het college is ook verantwoordelijk voor een zodanige interne beheersing als het noodzakelijk acht om het opstellen van de collegeverklaring mogelijk te maken zonder afwijkingen van materieel belang als gevolg van fraude of fouten. 1.6.2

Verantwoordelijkheden van de IT-auditor

Onze verantwoordelijkheid is het zodanig plannen en uitvoeren van ons onderzoek dat wij daarmee voldoende en geschikte assurance-informatie verkrijgen voor het door ons af te geven oordeel.

Datum

24 februari 2026

Versie

1.0 - Definitief

Rapport nr.

20260224 DBA-GEM HEE - ASSURANCE-RAPPPORT ENSIA (Suwinet)

Pagina

5 van 5

Ons onderzoek is uitgevoerd met een hoge mate maar geen absolute mate van zekerheid waardoor het mogelijk is dat wij tijdens ons onderzoek niet alle materiële afwijkingen als gevolg van fraude of fouten ontdekken. Wij passen het ‘Reglement Kwaliteitsbeheersing NOREA’ (RKBN) toe. Op grond daarvan beschikken wij over een samenhangend stelsel van kwaliteitsmanagement inclusief vastgelegde richtlijnen en procedures inzake de naleving van de ethische voorschriften, professionele standaarden en andere relevante wet- en regelgeving. Onze assurance-opdracht bestond onder andere uit: -

het verkrijgen van kennis omtrent de collegeverklaring en andere omstandigheden rond de opdracht waaronder het verkrijgen van kennis omtrent de interne beheersingsmaatregelen; het op basis van deze kennis identificeren en inschatten van de risico's dat de collegeverklaring onjuistheden van materieel belang als gevolg van fraude of fouten bevat; het in reactie op deze risico’s bepalen en uitvoeren van assurance-werkzaamheden en het verkrijgen van assurance-informatie die voldoende en geschikt is als basis voor ons oordeel; het evalueren of de collegeverklaring in overeenstemming is met de onderliggende beheersingsmaatregelen en uitgevoerde werkzaamheden; het evalueren van de uitkomsten van onze werkzaamheden.

Duijnborgh Audit B.V. F. Kossen RE

Drs. M. El Aarbaoui RE (QA)