Raadsinformatiebrief 2022-25 inzake Collegeverklaring ENSIA 2022 inzake Informatiebeveiliging DigiD en Suwinet over het jaar 2021

Raadsinformatiebrief Van

Burgemeester en Wethouder/Burgemeester

Zaak nr.

1108228

Aan

Gemeenteraad

RIB nr.

2022-25

Portefeuillehouder

K. Walters

Datum

14 april 2022

Informatie bij

J.H. van der Knaap (CISO) H. Arnolds (ENSIA coördinator)

Tel. nr.

(035) 629 2013 (035) 629 2912

Onderwerp Collegeverklaring ENSIA 2022 inzake Informatiebeveiliging DigiD en Suwinet over het jaar 2021.

Kernboodschap In de Eenduidige Normatiek Single Information Audit (ENSIA) systematiek is het verplicht een collegeverklaring vast te stellen. De concept collegeverklaring is op 4 maart 2022 ge audit door een externe auditor. De auditor geeft een assurance verklaring af over de collegeverklaring en de bijlagen. Die assuranceverklaring is noodzakelijk voor de continuering van de aansluitingen op DigiD en Suwinet1. Het gaat daarbij om de DigiD aansluitingen op: DigiD 2 - Sociaal Plein DigiD 3 - Belastingbalie DigiD 4 - iBurgerzaken DigiD 5 - Zaaksysteem De conclusie is dat we voldoen we aan de gestelde normen voor DigiD en Suwinet. Aanleiding ENSIA heeft tot doel het ontwikkelen en implementeren van een zo effectief en efficiënt mogelijk verantwoordingsstelsel voor informatieveiligheid, gebaseerd op de Baseline Informatiebeveiliging Overheid (BIO). ENSIA helpt gemeenten in één keer slim verantwoording af te leggen over informatieveiligheid gebaseerd op de BIO.

De verantwoordingssystematiek over de Basisregistratie Personen (BRP) en weten regelgeving Reisdocumenten (Paspoortuitvoeringsregeling Nederland (PUN) en Paspoorten en Nederlandse Identiteitskaarten (PNIK)), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO) en de Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet) is daarmee samengevoegd en gestroomlijnd. Uitgangspunt is het horizontale verantwoordingsproces aan de gemeenteraad. Dit vormt de basis voor het verticale verantwoordingsproces aan de Rijksoverheid (ministeries en uitvoeringsorganisaties) die een rol hebben in het toezicht op informatieveiligheid. Bij het afleggen van verantwoording wordt het principe van ‘single information single audit’ toegepast; alle informatie die noodzakelijk is voor verticale verantwoording is ook onderdeel van het horizontale verantwoordingsproces. 1

https://www.bkwi.nl/producten/suwinet-services/ Structuur Uitvoering Werk en Inkomen (SUWI)

Met het vaststellen van de collegeverklaring verklaart het College in hoeverre de Gemeente Hilversum voldoet aan de vereiste normen voor DigiD en Suwinet. Alle voorgaande jaren voldeden we aan alle normen. En ook dit jaar voldoen we voor Suwinet aan alle informatiebeveiligingsnormen. Voor DigiD wordt dit jaar aan alle informatiebeveiligingsnormen voldaan. Wij krijgen jaarlijks verschillende Third Party Memoranda (TPM’s) waarin een auditor ons een verklaring geeft voor de aansluitingen bij de verschillende leveranciers. Logius is landelijk verantwoordelijk voor DigiD aansluitingen en Bureau Keteninformatisering Werk en Inkomen (BKWI) en Uitvoeringsinstituut Werknemersverzekeringen (UWV) zijn verantwoordelijk voor Suwinet. Na vaststelling en indienen van de Collegeverklaring en het bijbehorende assurance rapport van de auditor, continueren zij de aansluitingen van de gemeente Hilversum.

Burgemeester en wethouders van Hilversum, de gemeentesecretaris,

de burgemeester,

mr. C.P. Torres Barrera

dr. ir. G.M van den Top

Bijlage(n): Collegeverklaring 2020 ENSIA 1108228 Deze raadsinformatiebrief is digitaal beschikbaar op internet onder “Vergaderstukken”, B en W-vergadering van 12 april 2022.

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Hilversum 1108228

Auditor Noordbeek B.V.

p. 1/3

Gemeentelijk kenmerk bijlage 1 DigiD (3):

1108228

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Hilversum Doel en achtergrond verklaring Met deze verklaring geven wij, het college van burgemeester en wethouders, aan in welke mate Gemeente Hilversum voldoet aan de informatiebeveiligingsnormen voor DigiD en Suwinet. Deze verklaring maakt onderdeel uit van de verantwoording over informatiebeveiliging middels ENSIA1 en is tot stand gekomen door een zelfevaluatie over informatiebeveiligingsnormen. De inhoud wordt getoetst door een onafhankelijke IT-auditor. De verklaring is bestemd voor de stelselhouders van DigiD en Suwinet, te weten het ministerie van Binnenlandse Zaken en Koninkrijksrelaties en het ministerie van Sociale Zaken en Werkgelegenheid.

Reikwijdte en diepgang verklaring De toetsing gaat over de opzet en het bestaan van de beheersingsmaatregelen om te kunnen voldoen aan de relevante beveiligingsnormen voor DigiD en Suwinet op 31 december 2021. De beheersingsmaatregelen inzake DigiD en Suwinet die zijn uitbesteed aan dienstverlener(s) worden niet getoetst door de auditor. Deze collegeverklaring en de verantwoording van de dienstverlener(s) dekken tezamen de normen inzake DigiD en Suwinet af. Het overzicht van en waar deze belegd zijn, is opgenomen in de bijlagen: • Bijlage 1 DigiD met kenmerk 1108147 • Bijlage 2 Suwinet met kenmerk 1108147

Verklaring college Het college verklaart dat bij gemeente Gemeente Hilversum op 31 december 2021 de beheersingsmaatregelen (in opzet en bestaan) voldoen aan de geselecteerde normen inzake DigiD en Suwinet. Auditor Noordbeek B.V.

1 ENSIA ondersteunt de gemeente bij de verantwoording over informatiebeveiliging richting de gemeenteraad en de rijksoverheid.

ENSIA gaat uit van de Baseline Informatiebeveiliging Overheid (BIO), alsmede van informatiebeveiligingsnormen vanuit Basisregistratie Personen (BRP), wet- en regelgeving reisdocumenten (PUN, PNIK), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet) en de Wet Onroerende Zaken (WOZ).

p. 2/3

Samenvattend beeld

Onderwerp

DigiD 1003789 DigiD 1003707 DigiD 1003403 DigiD 996571

Zaaksysteem.nl iBurgerzaken Digitale Belastingbalie Selfservice sociaal Domein e-diensten Mijn Inkomen

Suwinet voor SUWI-taken Suwinet voor niet-SUWItaken

Wordt aan alle normen voldaan?

Zijn de uitzonderingen in [een] verbeterplan[nen] opgenomen en zijn de verbetermaatregelen belegd en worden deze gemonitord?

Ja Ja Ja Ja

Niet van toepassing Niet van toepassing Niet van toepassing Niet van toepassing

Ja Ja

Niet van toepassing Niet van toepassing

Hilversum, 12 april 2022 College van B&W gemeente Gemeente Hilversum,

De gemeentesecretaris,

de burgemeester,

mr. P. Torres Barrera

dr.ir. G.M van den Top

Naam auditfirma: Naam auditor: Datum :

Noordbeek B.V. Prof.dr.ir. R. Paans RE

p. 3/3