Brief RK aan de raad over rapport IB 23 juni 2022

Rekenkamer Hoeksche Waard

Aan: Van: Betreft: Datum:

De gemeenteraad van de Hoeksche Waard Rekenkamer Hoeksche Waard (RK HW) Openbare brief aan de gemeenteraad van de Hoeksche Waard over het rapport “Informatiebeveiliging en privacy” van de RK HW 23 juni 2022

Geachte (burger)raadsleden van de gemeenteraad van de Hoeksche Waard, Op 30 juni 2022 staat het rekenkamerrapport van de rekenkamer Hoeksche Waard (RK HW) over Informatiebeveiliging en privacy (IB&P) op uw agenda voor een oordeelsvorming. Op 10 mei 2022 heeft de voorzitter van de RK HW aan uw raad een toelichting op dit rapport gegeven en uw vragen beantwoord. In deze brief schetsen wij het proces van dit onderzoeksrapport tot heden op hoofdlijnen, zakelijk en feitelijk samengevat. Daarna geven we de stand van zaken per 23 juni 2022 aan met een verzoek aan uw raad.

Belang rekenkamerrapport IB&P en urgentie IB Allereerst wenst de RK HW op te merken dat informatiebeveiliging een belangrijk onderwerp is. De ontwikkelingen en helaas ook de dreigingen zijn er. De RK HW wil, zoals in het rapport verwoord, benadrukken dat in de basis de IB&P bij de gemeente Hoeksche Waard op orde is. Dit wil niet zeggen dat er geen enkel risico is voor de gemeente Hoeksche Waard, wel geeft het aan dat de ambtelijke organisatie de urgentie ziet en alert is.

Korte schets opzet rekenkamerrapport IB&P Het onderzoek IB&P is onder verantwoordelijkheid van de RK HW uitgevoerd door twee externe en gespecialiseerde bureaus: een technisch, concreet en praktisch onderzoek (Hoffmann, deel I) en een beleidsonderzoek (Prae Advies, deel II). In deel I is door Hoffmann het technische deel uitgevoerd, heeft een mystery guest de gemeente Hoeksche Waard in september 2021 bezocht en is een zogenaamde nep-mail verzonden naar alle medewerkers en (burger)raadsleden met het verzoek om gegevens in te vullen. De bevindingen uit deel I zijn meegenomen in het onderzoek van deel II (beleidsonderzoek) waarin documenten zijn bestudeerd en daarna zijn in de interviews zowel het beleid besproken als de bevindingen van het technisch onderzoek aan bod gekomen. In die zin hangen beide onderzoeken met elkaar samen. Van beide delen heeft de RK HW een separate rapportage ontvangen. Van het beleidsdeel waarin de feiten staan opgetekend heeft een ambtelijke check op die feiten plaatsgevonden. Van het technisch deel dat bestaat uit concrete waarnemingen door de onderzoeker is geen ambtelijke check gedaan, aangezien dit eigen constateringen zijn, onderbouwd met foto’s en printscreens en geen feiten. De RK HW heeft op basis van de rapportages een bestuurlijke nota geschreven met conclusies en aanbevelingen.

Bij de bestuurlijke nota zijn de twee onderzoeken als bijlage opgenomen.

Rekenkamerrapport IB&P openbaar op 10 februari 2022 Op 10 februari 2022 heeft de RK HW het rapport “Informatiebeveiliging en privacy” met de twee bijlagen naar uw raad gezonden met een afschrift aan het college van B&W, de gemeentesecretaris en onze vaste contactpersoon binnen de ambtelijke organisatie. Op dat moment is het rapport in alle openbaarheid op de site van de RK HW gezet en heeft de RK HW zoals te doen gebruikelijk het rapport naar de pers gezonden. 1/3

Rekenkamer Hoeksche Waard

Hiermee was het rapport volledig openbaar en alle betrokkenen zijn tegelijk op 10 februari 2022 geïnformeerd.

10 mei 2022: Mail vanuit ambtelijke organisatie Op 10 mei 2022 ontvangt de RK HW een mail van de ambtelijke organisatie dat het rapport van de RK HW over IB&P op de site van de RK HW is gepubliceerd en dat dit rapport volgens de ambtelijke organisatie ‘vertrouwelijke onderdelen’ bevat. Buiten deze mail is geen contact geweest met de RK HW. Het verzoek van de ambtelijke organisatie is om alle bijlagen van het rapport te verwijderen van de site van de RK HW. De ambtelijke organisatie geeft aan een “datalek melding te moeten doen” bij de Autoriteit Persoonsgegevens (AP). Uit de mail blijkt niet op welke passages uit het rapport zij bedoelen waarop dat betrekking zou hebben. De RK HW controleert bij binnenkomst van de mail of er in het betreffende rapport sprake is van een datalek en doet bovendien een check naar de schadelijkheid van het rapport voor de gemeente HW. Beiden is volgens de RK HW niet het geval. Vervolgens heeft de RK HW op haar site gekeken en toen bleek dat het rapport “Informatiebeveiliging en privacy” is verwijderd van de site van de RK HW. Later blijken het Jaarverslag 2021 (beschrijving rapport IB&P) en het Onderzoeksplan 2022 (melding gepubliceerd onderzoek IB&P) eveneens van de site verwijderd te zijn.

De beeldvormende vergadering op 10 mei 2022 De RK HW was uitgenodigd om een toelichting te geven over het rapport IB&P tijdens de beeldvormende vergadering op 10 mei 2022. De RK HW constateert in de loop van de dag dat op de site van de gemeenteraad de beeldvormende vergadering verwijderd is. De RK HW heeft daarop contact met de griffie gezocht. De agenda van de beeldvormende vergadering is vervolgens teruggeplaatst, echter zonder het rapport IB&P openbaar te maken. Conform afspraak heeft de RK HW die avond een toelichting gegeven aan de raad en vragen beantwoord.

Na de beeldvormende vergadering De dagen daarna blijkt uit contacten tussen de griffie en de RK HW dat er geen sprake is van een datalek. Ook blijft onduidelijk op welke passages uit het rapport de ambtelijke organisatie doelt van wat een veiligheidsrisico zou zijn. Het rapport van de RK HW blijft offline (tot heden). In de week erna vindt er overleg plaats tussen de ambtelijke organisatie en de RK HW. De ambtelijke organisatie bevestigt dat er geen datalek is. Wel brengt het rapport veiligheidsrisico’s met zich mee en is er een risico voor aantasting van de bedrijfscontinuïteit van de gemeente Hoeksche Waard, volgens de ambtelijke organisatie. De ambtelijke organisatie geeft aan dat de bijlagen 2 en 4 van het beleidsonderzoek en het rapport van Hoffmann risico oplevert voor de gemeente. De ambtelijke organisatie verzoekt een aantal wijzigingen aan te brengen. RK HW bestudeert deze verzoeken tot wijziging van de ambtelijke organisatie.

2/3

Rekenkamer Hoeksche Waard

Besluit van de RK HW op de gevraagde wijzigingen De RK HW besluit het volgende: • In bijlage 2 van het beleidsrapport wordt de bronnenlijst anders geformuleerd. Deze bijlage was overigens onderdeel van de ambtelijke check in december 2021 en er is destijds geen melding gedaan aan de RK HW over mogelijke veiligheidsrisico’s; • Het verzoek van de ambtelijke organisatie om bijlage 4 van het beleidsrapport te verwijderen niet te honoreren. De RK HW vindt een duiding van het onderzoek door Hoffmann belangrijk. • De door de ambtelijke organisatie gevraagde geheimhouding van het rapport van Hoffmann over te laten aan de raad. Het rapport van Hoffmann (algemeen deel en aangepast dat geschreven is voor openbaarheid) acht de RK HW niet schadelijk en adviseert de raad openbaarheid.

Beschouwingen van de RK HW De RK HW vindt de hiervoor geschetste gang van zaken tot het verwijderen van documenten van de RK HW een aantasting van het democratisch proces. Het zonder enig overleg of duiding verwijderen van rapporten en documenten van de RK HW van de site is zeer ongewenst. De RK HW wil open en transparant zijn en voert in beginsel geen geheime onderzoeken uit. Na het doorlopen van een zorgvuldige en gepubliceerde procedure maakt de RK HW haar jaarverslagen, onderzoeksplannen en rapporten openbaar. De RK HW onderschrijft en volgt de Wet open overheid (Woo) om zo veel als mogelijk informatie openbaar te maken.

De RK HW verzoekt en geeft de gemeenteraad het volgende in overweging •

•

•

•

De RK HW biedt middels deze brief aan de gemeenteraad aan: 1. Het eindrapport IB&P: bestuurlijke nota en rapport Prae Advies; 2. Het algemene rapport van Hoffmann. De RK HW geeft de gemeenteraad van de Hoeksche Waard in overweging om beide rapporten in de openbaarheid te bespreken en openbaar te maken. Hierbij merkt de RK HW op dat de ambtelijke organisatie de uitdrukkelijke wens heeft geuit om het Hoffmann rapport door de raad te laten kwalificeren als geheim stuk. In vervolg op onze aanbevelingen is het vragen om een advies aan de CISO mogelijk een optie; Afhankelijk van de besluiten van de gemeenteraad van de Hoeksche Waard zal de RK HW na besluitvorming (een deel van) de rapporten openbaar maken. De RK HW zal de raad volgen in haar besluitvorming. De RK HW geeft de raad in overweging om een besluit te nemen en het college op te dragen dat het onmogelijk is dat de ambtelijke organisatie rapporten of andere documenten van de RK HW zonder enig overleg en naar eigen inzicht om wat voor reden dan ook van de website van de gemeente Hoeksche Waard haalt.

Tot slot vraagt de RK HW aandacht voor het feit dat informatiebeveiliging en privacy te belangrijk is om alleen over het proces te spreken zoals dat in deze brief is geduid. De RK HW merkt op dat zij geleerd heeft van dit proces en hoopt dat de gemeenteraad zich richt op de inhoud van het rapport. Wij wensen u wijsheid en indien gewenst zijn we uiteraard bereid om een toelichting te geven. Met vriendelijke groet, Rekenkamer Hoeksche Waard

3/3