14. Raadsinformatiebrief 2024-27 inzake ENSIA Informatiebeveiliging gemeente Hilversum 2023

Raadsinformatiebrief Van

Burgemeester en Wethouder/Burgemeester

Zaak nr.

1401380

Aan

Gemeenteraad

RIB nr.

2024- 27

Portefeuillehouder

K.J. Walters

Datum

4 april 2024

Informatie bij

ENSIA Coördinator H. Arnolds

Tel. nr.

(035) 629 2912

Onderwerp Collegeverklaring ENSIA 2023 inzake ENSIA verantwoording gemeente Hilversum over het jaar 2023.

Kernboodschap De Eenduidige Normatiek Single Information Audit (ENSIA) streeft naar een zo effectief en efficiënt mogelijk ingericht verantwoordingsstelsel voor informatieveiligheid binnen de Nederlandse overheid. Ook gemeenten verantwoorden zich middels deze audit over de staat van informatiebeveiliging binnen de eigen gemeente. Het doel van de ENSIA is het waarborgen van beschikbaarheid, integriteit en vertrouwelijkheid van informatie(systemen). De basis van de ENSIA wordt gevormd door de Baseline Informatiebeveiliging Overheid (BIO). De Baseline beschrijft het basisniveau voor informatiebeveiliging die wordt gehanteerd binnen de Nederlandse overheid. De ENSIA (audit) is geënt op het een zo eenduidige en integraal mogelijke wijze van verantwoorden naar de daarvoor aangewezen verantwoordelijke instantie. Jaarlijks voert de gemeente op haar landelijke voorzieningen deze audit uit. Per voorziening verschilt wie aan wie de gemeente verantwoording over de resultaten van de audit aflegt. Bij de ENSIA wordt gekeken naar informatiebeveiliging, maar voor diverse landelijke voorzieningen ook naar de data-kwaliteit en -integriteit. De ENSIA-audit wordt toegepast voor de volgende gemeentelijke voorzieningen: Voorziening Component informatieveiligheid Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet).

Digitale persoonsidentificatie (DigiD), Reisdocumenten (Paspoortuitvoeringsregeling Nederland (PUN) Paspoorten en Nederlandse Identiteitskaarten (PNIK)

Component Data-kwaliteit en integriteit

Basisregistraties Basisregistratie Adressen en Gebouwen (BAG) Basisregistratie Grootschalige Topografie (BGT) Basisregistratie Ondergrond (BRO) Basisregistratie Personen (BRP)

Conclusie component Informatieveiligheid Over het afgelopen jaar voldoen we aan de informatiebeveiligingsnormen rondom DigiD en Suwinet voor alle voorzieningen en alle basisregistraties. Conclusie component Data-kwaliteit en -integriteit De conclusie is dat we voldoen aan de normen rondom kwaliteit van gegevens van de BGT, de BRP, en de PUN/PNIK. Aan de gestelde eisen rondom de kwaliteit van de data BAG en de BRO worden niet volledig voldaan. De verbetering van de kwaliteit van de data in de BRO is noodzakelijk; de negatieve trend van de afgelopen jaren is nog niet gekeerd; het heeft vooral te maken met het verzamelen van data uit andere bronnen die door derden beheerd worden. Het college heeft reeds een eerste stap gezet door bij betreffende collega's en team(s) meer bewustwording te creëren. Voor wat betreft de BAG is het verbeteren van de kwaliteit van de data nodig. Er zijn inmiddels acties ondernomen om dat te realiseren. Daarvoor zijn mensen en middelen ter beschikking gesteld. De onderstaande verbeteringen zijn reeds doorgevoerd: - Medewerkers in objectenbeheer zijn allround gemaakt (kwetsbaarheid is verminderd, waardoor tijdigheid, maar ook kwaliteit sterk verbeterd is); - Kwaliteitsdashboard wordt dagelijks bijgehouden (voorheen niet geborgd). We verwachten dat de maatregelen dit jaar leiden tot een verbetering van de gegevenskwaliteit.

De verantwoording over het stelsel van de Waardering Onroerende Zaken (WOZ) – zoals u die vorig jaar aantrof in de ENSIA verantwoording - is door de Waarderingskamer weer uit het ENSIA verantwoordingsstelsel gehaald.

Aanleiding Wat is een ENSIA verantwoording? ENSIA helpt gemeenten in één keer slim verantwoording af te leggen aan de Rijksoverheid en de gemeenteraad over informatieveiligheid gebaseerd op de Baseline Informatiebeveiliging Overheid (BIO). De verantwoordingssystematiek over de Basisregistraties is daarmee samengevoegd en gestroomlijnd. Het horizontale verantwoordingsproces aan de gemeenteraad vormt de basis voor het verticale verantwoordingsproces aan de Rijksoverheid (ministeries en uitvoeringsorganisaties) die een rol hebben in het toezicht op informatieveiligheid. Met het vaststellen van de collegeverklaring verklaart het college Ben W in hoeverre de Gemeente Hilversum voldoet aan de vereiste normen op het gebied van de Basisadministraties. Daarbij baseren we ons op de gestelde normen uit de Baseline Informatiebeveiliging Overheid (BIO). Na vaststelling en indienen van de Collegeverklaring, de verantwoordingsrapportages en het bijbehorende assurance rapport van de auditor, continueren de stelselhouders de aansluitingen van de gemeente Hilversum. Dat is cruciaal voor de continuering van de dienstverlening van de gemeente aan de inwoners, bedrijven en ketenpartners.

Openheid en transparantie, op een veilige manier. Wij willen de raad informeren over de stand van zaken rondom informatiebeveiliging. Daarmee kunt u uw controlerende taak uitoefenen. Echter, we willen geen enkele kwalificatie (voldoende of onvoldoende) van de informatiebeveiliging van de systemen van de gemeente Hilversum openbaar maken. Deze informatie kan – in de handen van een kwaadwillende – leiden tot een ongewenste situatie voor de gemeente Hilversum. Daarom achten we het noodzakelijk dat er geheimhouding op de bijlagen opgelegd wordt. Burgemeester en wethouders van Hilversum, de gemeentesecretaris,

de burgemeester,

mr. C.P. Torres Barrera

dr. ir. G.M. van den Top

Bijlage(n): Deze raadsinformatiebrief is digitaal beschikbaar op internet onder “Vergaderstukken”, B en W-vergadering van 2 april 2024.