25. Raadsinformatiebrief 2025-26 inzake ENSIA verantwoording 2024

Raadsinformatiebrief Van

Burgemeester en Wethouder/Burgemeester

Zaak nr.

1688679

Aan

Gemeenteraad

RIB nr.

2025- 26

Portefeuillehouder

J.E.G.M. Göbbels

Datum

9 april

Informatie bij

ENSIA Coördinator H. Arnolds

Tel. nr.

(035) 629 2912

Onderwerp Collegeverklaring inzake ENSIA verantwoording gemeente Hilversum over het jaar 2024.

Kernboodschap De Eenduidige Normatiek Single Information Audit (ENSIA) streeft naar een zo effectief en efficiënt mogelijk ingericht verantwoordingsstelsel voor informatieveiligheid binnen de Nederlandse overheid. Ook gemeenten verantwoorden zich middels deze audit over de staat van informatiebeveiliging binnen de eigen gemeente. Het doel van de ENSIA is het waarborgen van beschikbaarheid, integriteit en vertrouwelijkheid van informatie(systemen). De basis van de ENSIA wordt gevormd door de Baseline Informatiebeveiliging Overheid (BIO). De Baseline beschrijft het basisniveau voor informatiebeveiliging die wordt gehanteerd binnen de Nederlandse overheid. De ENSIA (audit) is geënt op het een zo eenduidige en integraal mogelijke wijze van verantwoorden naar de daarvoor aangewezen verantwoordelijke instantie. Jaarlijks voert de gemeente op haar landelijke voorzieningen deze audit uit. Per voorziening verschilt wie aan wie de gemeente verantwoording over de resultaten van de audit aflegt. Bij de ENSIA wordt gekeken naar informatiebeveiliging, maar voor diverse landelijke voorzieningen ook naar de data-kwaliteit en -integriteit. De ENSIA-audit wordt toegepast voor de volgende gemeentelijke voorzieningen: Voorziening

Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet). Digitale persoonsidentificatie (DigiD), Reisdocumenten (Paspoortuitvoeringsregeling Nederland (PUN)

Component informatieveiligheid

Component Data-kwaliteit en integriteit

Basisregistraties Basisregistratie Personen (BRP) Basisregistratie Adressen en Gebouwen (BAG) Basisregistratie Grootschalige Topografie (BGT) Basisregistratie Ondergrond (BRO)

Conclusie component Informatieveiligheid Over het afgelopen jaar voldoet de gemeente Hilversum op 31 december 2024 voor drie aansluitingen aan de informatiebeveiligingsnormen rondom DigiD. Eén van de DigiD-aansluitingen is op 31 december 2024 niet in orde maar dat is inmiddels door de leverancier hersteld door het aanbieden van nieuwe verklaring waarbij de DigiD-aansluiting voldoet. Deze verklaring wordt door de stelselhouder geaccepteerd en daarmee worden alle DigiD aansluitingen gecontinueerd. De gemeente Hilversum voldoet aan de gestelde eisen voor Suwinet. De gemeente Hilversum voldoet aan de informatieveiligheidseisen rondom het gebruik van de basisregistraties. Conclusie component Data-kwaliteit en -integriteit De gemeente Hilversum voldoet aan de normen rondom kwaliteit van gegevens van de BAG, BGT, BRP, en de PUN. Aan de gestelde eisen rondom de kwaliteit van de data van de BRO wordt niet volledig voldaan. De verbetering van de kwaliteit van de data in de BRO is noodzakelijk; de negatieve trend van de afgelopen jaren is nog niet gekeerd; het heeft vooral te maken met het verzamelen van data uit andere bronnen die door derden beheerd worden. Het college B en W heeft reeds een eerste stap gezet door bij betreffende collega's en team(s) meer bewustwording te creëren en daarbij verwacht het dat de maatregelen dit jaar leiden tot een verbetering van de gegevenskwaliteit.

Notabene Het voorstel BRP/PUN wordt separaat van deze stukken aan het college aangeboden. Deze wordt daarna – zoals voorgeschreven - via de kwaliteitsmonitor van de stelselhouder aangeboden- en niet via de ENSIA systematiek. Voor het onderzoek naar de beveiligingsmaatregelen en de datakwaliteit treedt de burgemeester op als verantwoordelijk orgaan.

Aanleiding Wat is een ENSIA verantwoording? ENSIA helpt gemeenten in één keer slim verantwoording af te leggen aan de Rijksoverheid en de gemeenteraad over informatieveiligheid gebaseerd op de Baseline Informatiebeveiliging Overheid (BIO). De verantwoordingssystematiek over de Basisregistraties is daarmee samengevoegd en gestroomlijnd. Het horizontale verantwoordingsproces aan de gemeenteraad vormt de basis voor het verticale verantwoordingsproces aan de Rijksoverheid (ministeries en uitvoeringsorganisaties) die een rol hebben in het toezicht op informatieveiligheid. Met het vaststellen van de collegeverklaring verklaart het college van BenW in hoeverre de gemeente Hilversum voldoet aan de vereiste normen op het gebied van de Basisadministraties. Daarbij baseert de gemeente zich op de gestelde normen uit de Baseline Informatiebeveiliging Overheid (BIO).

Na vaststelling en indienen van de Collegeverklaring, de verantwoordingsrapportages en het bijbehorende assurance rapport van de auditor, continueren de stelselhouders de aansluitingen van de gemeente Hilversum. Dat is cruciaal voor de continuering van de dienstverlening van de gemeente aan de inwoners, bedrijven en ketenpartners. Openheid en transparantie, op een veilige manier. Wij willen de raad informeren over de stand van zaken rondom informatiebeveiliging. Daarmee kunt u uw controlerende taak uitoefenen. Omdat de gemeente Hilversum geen inhoudelijke informatie over de stand van zaken van de informatiebeveiliging openbaar maakt is er door het college B en W geheimhouding opgelegd op de aangeboden bijlagen. Openbaarheid van de informatie inzake informatiebeveiliging van de systemen van de gemeente zou de positie van Hilversum kunnen schaden.

Burgemeester en wethouders van Hilversum, de gemeentesecretaris,

de burgemeester,

mr. C.P. Torres Barrera

dr. ir. G.M. van den Top

Bijlage(n): Deze raadsinformatiebrief is digitaal beschikbaar op internet onder “Vergaderstukken”, B en W-vergadering van 8 april 2025.