Db09 Raadsbrief Bevindingen DigiD-audit 2025

Raadsbrief Bevindingen DigiD-audit 2025 aan: | de raad van de gemeente Hillegom datum document: | 11 mei 2026 ons kenmerk: | Z-26-485043 datum collegevergadering: | 14 juli 2026 portefeuillehouder: | Dhr. J.S. Nederpelt behandelend ambtenaar: | Kyra Zuijderduijn emailadres: | k.zuijderduijn@hltsamen.nl embargo: | ☐ programma: | HLT Begroting Geachte leden van de gemeenteraad, Met deze brief informeren wij u over de bevindingen uit de DigiD-audit van 2025. Uit de DigiD-audit 2025 blijkt dat gemeente Hillegom grotendeels voldoet aan de gestelde beveiligingseisen. De audit bevat één afwijking op het gebied van de registratie van beveiligingsincidenten. Dit betreft een procesmatige tekortkoming en vormt geen direct risico voor de veiligheid van gegevens of de continuïteit van onze dienstverlening. De betreffende werkwijze is inmiddels aangescherpt en geïmplementeerd. In de tweede helft van 2026 tonen wij via een heraudit aan dat de verbeteringen effectief werken. Achtergrond Jaarlijks toetst de gemeente Hillegom de informatieveiligheid via de ENSIA, de landelijke audit op informatiebeveiliging. Onderdeel hiervan is de DigiD-audit, waarin wordt beoordeeld of wij gegevens veilig en volgens de geldende normen (Baseline Informatiebeveiliging Overheid - BIO) verwerken. Sinds 2025 wordt DigiD los van ENSIA verantwoord.

Daarom informeren wij u met deze brief afzonderlijk over de bevindingen uit de DigiD-audit 2025. De DigiD-audit De DigiD-audit bestaat uit zeven normen. Alle normen worden getoetst op opzet en bestaan. Daarnaast worden drie normen ook getoetst op werking. De opzet staat voor het ontwerp van een beveiligingsmaatregel, bijvoorbeeld in beleid. Bestaan bekijkt of de maatregelen daadwerkelijk zijn getroffen. De werking gaat over de effectiviteit van getroffen maatregelen. Dit doen we op basis van een steekproef over de hele periode die getoetst wordt. Bevindingen Er is een afwijking geconstateerd op norm U/WA.02 Toegangsbeveiliging. Dit blijkt uit het rapport van onze auditor. Deze norm eist dat wij als organisatie 1 2 incidenten registreren, analyseren, opvolgen en afhandelen. Om aan te kunnen tonen dat wij voldoen aan deze eisen, dient er een onafhankelijke controle uitgevoerd te worden door de Chief information Security Officer (CISO). In 2025 werden de incidenten afgehandeld, maar onvoldoende geregistreerd. Hierdoor konden wij niet aantonen dat wij op de hoogte zijn van alle beveiligingsincidenten. Aanbevelingen Voor norm U/WA.02 heeft de auditor aanbevolen om de registratie van beveiligingsincidenten eenduidig en consistent in te richten. Daarnaast is bij norm U/TV.01 een verbetermogelijkheid benoemd op het gebied van autorisatiebeheer.

Het gaat hierbij om het verder verduidelijken van rollen, verantwoordelijkheden en bijbehorende rechten, onder andere voor Burgerzaken. Verbeterpunten Op basis van de bevindingen en aanbeveling is het incidentenprotocol aangescherpt en verwerkt in onze processen. Hierdoor wordt nu geregistreerd met duidelijke categorieën voor beveiligingsincidenten. Zo zorgen wij ervoor dat opzet, bestaan en werking in lijn zijn met de eisen. Om structureel verbetering te borgen binnen het DigiD normenkader, vindt in mei 2026 een DigiD quickscan plaats. Deze quickscan heeft twee focuspunten. Ten eerste is het doel gemeente Hillegom te helpen de her-audit succesvol af te ronden. Ten tweede is het doel om de gemeente handvatten te geven de normenkaders bij te houden en te vertalen naar operationeel beleid. Zo verbeteren we onze informatiebeveiliging en voorkomen we een her-audit in de toekomst. Vervolg Doordat norm U/WA.02 Toegangsbeveiliging op werking niet voldoet, gaan wij vanaf Q2 2026 een fase van herauditing in. Conform het proces van Logius (DigiD) krijgen wij zes maanden om de verbeterde werking aan te tonen. Conclusie Gezien de beperkte benodigde verbetering en de ondersteuning van de DigiD quickscan verwachten we een positieve bevinding in de her-audit. Deze verbetering hebben wij al getroffen.

Daarmee verwachten we dat de impact van niet voldoen beperkt blijft en verwachten wij geen impact op de continuïteit van onze digitale dienstverlening. Namens het college van Hillegom, M. Witkamp R. ter Hark Secretaris Voorzitter