110. D21.251301 Memo Raad ENSIA-verantwoording 2020

*Z012BC2348E* Zaaknummer Documentnummer

Z20.007545 D21.251301

MEMO Aan

:

Gemeenteraad

Van

:

R.J.M. Karman

Afdeling

:

KAP Middelen

Onderwerp

:

ENSIA-verantwoording 2020

Behoort bij:

:

Datum

:

31 maart 2021

Besproken met:

:

Burgemeester Naterop

Inleiding Via de Eenduidige Normatiek Single Information Audit (ENSIA) leggen gemeenten jaarlijks verantwoording af over informatieveiligheid voor verschillende stelsels en normenkaders, zowel intern als extern aan de toezichthouders van het Rijk.

In 2020 zijn de volgende stelsels opgenomen in de ENSIA-systematiek: Afkorting

Stelsel

DigiD

Digitale identiteit Gezamenlijke elektronische Voorzieningen Suwinet (GeVS) SUWI (Structuur Uitvoeringsorganisatie Werk en Inkomen) BAG Basisregistratie Adressen en Gebouwen BGT Basisregistratie Grootschalige Topografie BRO Basisregistratie Ondergrond BRP* Basisregistratie Personen Paspoortuitvoeringsregeling Nederland (PUN), Reisdocumenten* Paspoorten en Nederlandse Identiteitskaarten (PNIK)

Verantwoordelijk ministerie/ toezichthouder BZK (Logius) SZW (BKWI) BZK (DGBRW) BZK (DGBRW) BZK (DGBRW) BZK (RvIG) BZK (RvIG)

*) Over BRP en Reisdocumenten is apart gerapporteerd via Burgerzaken. De verantwoording daarover loopt via de Kwaliteitsmonitor van de RvIG (die bovendien andere deadlines hanteert) en maakt niet voor het gehele proces deel uit van het verantwoordingsproces met ENSIA.

De informatiebehoefte van de verschillende toezichthouders van het Rijk is van een gedetailleerd niveau. De rapportages voor externe verantwoording zijn opgesteld aan de hand van landelijke modellen met een vaste structuur en formulering, bepaald door de toezichthouders van het Rijk, waar niet van afgeweken mag worden. Daardoor zijn deze rapportages niet voor iedereen even leesbaar. Het Rijk eist voor de verschillende stelsels wel dat de raad wordt geïnformeerd over deze externe verantwoording. Daarom informeren we de raad via dit memo, met samenvattend een toelichting op de rapportages:

-1-

DigiD en Suwinet Met een collegeverklaring geeft het college aan in hoeverre in 2020 werd voldaan aan de normen die gelden voor DigiD en Suwinet. De collegeverklaring is opgesteld aan de hand van de uitkomsten van de zelfevaluaties die door de lijnverantwoordelijken/ vakafdelingen zijn uitgevoerd, in samenwerking met de Bevelandse gemeenten en GR de Bevelanden, onder coördinatie van de CISO’s/ENSIA-coördinatoren van de gemeenten en de GR. Een gecertificeerde IT-auditor heeft de collegeverklaring gecontroleerd en een assurancerapport afgegeven. De IT-auditor verklaart hierin dat de collegeverklaring een getrouw beeld geeft. Samenvattend beeld voor DigiD en Suwinet: • De DigiD-aansluitingen voldoen aan de normen. • Suwinet-gegevens worden gebruikt door de afdeling WIZ van GR de Bevelanden, waarbij niet aan alle normen is voldaan. Een verbeterplan is opgesteld om te monitoren op maatregelen die bij de GR zijn belegd.

BAG, BGT en BRO Voor het geo-domein zijn domeinspecifieke zelfevaluaties uitgevoerd over het gebruik van de drie basisregistraties BAG, BGT en BRO. Deze zijn gekoppeld aan een puntenscore. De scores zijn voldoende tot goed.

Rapportages niet openbaar Zoals in de inleiding opgemerkt, zijn de rapportages voor de verschillende toezichthouders van het Rijk van een gedetailleerd niveau. Daarvan zijn bepaalde stukken vertrouwelijk in verband met de belangen genoemd in artikel 10, tweede lid, onder b, e en g van de Wet openbaarheid van bestuur. Deze stukken mogen niet openbaar gemaakt worden omdat hierin informatie is opgenomen over beveiligingsmaatregelen die de gemeente treft om de systemen en gegevens te beveiligen. Vanwege het vertrouwelijke karakter van deze bijlagen, worden deze op de gebruikelijke wijze, via de beveiligde omgeving, als vertrouwelijk beschikbaar gesteld aan de raad. Raadsleden die daar behoefte aan hebben, kunnen op die manier kennisnemen van de gedetailleerde rapportages.

-2-