Document · PDF

1.67 RIB Collegeverklaring informatiebeveiliging DigiD en Suwinet 2024

Raadsvergadering 15 april 2025, gemeente KrimpenerwaardBij agendapunt: Informatie van het college2.810 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

RAADSINFORMATIEBRIEF

VAN HET COLLEGE VAN B&W VOOR

de gemeenteraad

CC DATUM ONDERWERP

16 april 2025 Collegeverklaring informatiebeveiliging DigiD en Suwinet

Beste meneer, mevrouw, In het kader van ENSIA (Eenduidige Normatiek Single Information Audit) stelt het college jaarlijks een Collegeverklaring informatiebeveiliging DigiD en Suwinet vast. De verklaring omvat het op 31 december 2024 voldoen van de beoogde (opzet) en ingerichte (bestaan) beheersingsmaatregelen aan de geselecteerde normen inzake DigiD en Suwinet. De verklaring is opgesteld voor de gemeenteraad en de departementen die toezien op de veiligheid van DigiD en Suwinet. De Collegeverklaring informatiebeveiliging DigiD en Suwinet en de bijlagen inzake DigiD en Suwinet worden u hierbij ter kennisname aangeboden. De gemeentelijke organisatie voldoet op 31 december 2024 aan alle geselecteerde normen inzake DigiD en Suwinet. Bijlagen RIB: 1. Collegeverklaring informatiebeveiliging DigiD en Suwinet 2024 2. Bijlage 1 DigiD 3. Bijlage 2 Suwinet Met vriendelijke groet, burgemeester en wethouders van Krimpenerwaard, de secretaris,

de burgemeester,

J. Hennip

ir. J. Beenakker

1361924 / 1581258 gemeente Krimpenerwaard Postbus 51 2820 AB Stolwijk www.krimpenerwaard.nl

Collegeverklaring informatiebeveiliging DigiD en Suwinet Gemeente Krimpenerwaard

Informatiebeveiliging (BIO)

BRP

Reisdocumenten

Suwinet

DigiD

1/3

BAG

BGT

BRO

Gemeentelijk kenmerk collegeverklaring ENSIA over 2024

1580970

Collegeverklaring informatiebeveiliging DigiD en Suwinet 2024 Gemeente Krimpenerwaard Doel en achtergrond verklaring

De aansluitingen die we als gemeente voor DigiD en Suwinet hebben, vereisen dat voorzieningen moeten zijn beveiligd en (privacygevoelige) data moet worden beschermd tegen onrechtmatig gebruik. De gemeente treft interne beheersingsmaatregelen om veilig gebruik te maken van deze aansluitingen. Met deze verklaring geven wij, het College van Burgemeester en Wethouders, aan in welke mate de gemeente voldoet aan de informatiebeveiligingsnormen voor DigiD en Suwinet. Deze verklaring maakt onderdeel uit van de verantwoording over informatiebeveiliging middels ENSIA1 en is tot stand gekomen door een zelfevaluatie over informatiebeveiligingsnormen gebaseerd op de door de toezichthouder geselecteerde eisen uit de ‘Baseline Informatiebeveiliging Overheid’ versie 1.04zv voor Suwinet en de ‘Norm ICT-beveiligingsassessments DigiD versie 3.0’ van Logius. De inhoud van deze collegeverklaring is getoetst door een onafhankelijke ITauditor/RE. Deze verklaring is bestemd voor de toezichthouders van DigiD en Suwinet, te weten Logius, en alsmede de stelselhouder: het Ministerie van Binnenlandse Zaken en Koninkrijkrelaties en de toezichthouder van Suwinet, te weten het Ministerie van Sociale Zaken en Werkgelegenheid via het Bureau Keteninformatie Werk en Inkomen (BKWI).

Reikwijdte en diepgang verklaring

De aansluitingen die we als gemeentelijke organisatie voor DigiD en Suwinet hebben, vereisen dat onze voorzieningen moeten zijn beveiligd en dat (privacygevoelige) data moet worden beschermd tegen onrechtmatig gebruik. Hiervoor stellen de stelselhouders een aantal informatiebeveiligingsnormen verplicht. De gemeentelijke organisatie moet interne beheersingsmaatregelen treffen om te voldoen aan deze gestelde normen teneinde gebruik te mogen (blijven) maken van deze aansluitingen. De zelfevaluatie ENSIA gaat over de opzet en het bestaan van deze beheersingsmaatregelen om te kunnen voldoen aan de relevante beveiligingsnormen voor DigiD en Suwinet op 31 december 2024. Voor DigiD wordt het door Logius vastgestelde Norm ICT-beveiligingsassessments DigiD versie 3.0 gehanteerd. Daarbij zijn normen getoetst op werking. Voor Suwinet de Verantwoordingsrichtlijn GeVS 2022 (tevens geldend voor het verslagjaar 2024) waarin zijn opgenomen de geselecteerde eisen uit de ‘Baseline Informatiebeveiliging Overheid’ versie 1.04zv. Deze Verantwoordingsrichtlijn betreft opzet, bestaan en werking van de interne beheersingsmaatregelen. In het kader van de zelfevaluatie ENSIA zijn geen werkzaamheden uitgevoerd met betrekking tot de werking van deze maatregelen.

Als gevolg van de uitbesteding aan serviceorganisaties door de gemeente is een aantal van de interne beheersingsmaatregelen belegd bij serviceorganisaties. Hiervan hebben wij als gemeente een verantwoording voorzien van een oordeel van een onafhankelijke IT-auditor/RE van de serviceorganisaties ontvangen.

ENSIA ondersteunt de gemeente bij de verantwoording over informatiebeveiliging richting de gemeenteraad en de rijksoverheid. ENSIA gaat uit van de Baseline Informatiebeveiliging Overheid (BIO), alsmede van informatiebeveiligingsnormen vanuit Basisregistratie Personen (BRP), wet- en regelgeving reisdocumenten (PUN, PNIK), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet).

Gemeentelijk kenmerk collegeverklaring ENSIA over 2024

1580970

Collegeverklaring en samenvattend beeld van de auditbevindingen Verklaring / Conclusie Het college van Burgemeester en Wethouders van de Gemeente Krimpenerwaard verklaart dat de gemeentelijke organisatie op 31 december 2024 voldoet aan alle geselecteerde normen inzake DigiD en Suwinet. Samenvattend beeld Deze collegeverklaring betreffende de gemeentelijke organisatie en de serviceorganisaties dekt de geselecteerde normen inzake DigiD en Suwinet af. Het detailoverzicht van normen en of we hier als gemeente aan voldoen, is opgenomen in de volgende bijlagen: • Bijlage 1 DigiD met kenmerk 1581024 • Bijlage 2 Suwinet met kenmerk 1580992

Onderwerp

Wordt aan alle normen voldaan?

Zijn de uitzonderingen in [een] verbeterplan[nen] opgenomen en zijn de verbetermaatregelen belegd en worden deze gemonitord?

DigiD 1003181

Niet van toepassing

DigiD 1003367

Niet van toepassing

Suwinet voor SUWI-taken

Niet van toepassing

Suwinet voor niet-SUWI-taken

Niet van toepassing

College van B&W Krimpenerwaard de secretaris,

de burgemeester,

J. Hennip

ir. J. Beenakker

Gemeente Krimpenerwaard - 1581024 - Bijlage 1 DigiD

Bijlage 1 DigiD - Gemeente Krimpenerwaard - eDiensten Burgerzaken - 1003181 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Krimpenerwaard - eDiensten Burgerzaken met aansluitnummer 1003181

Gemeente Krimpenerwaard biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Krimpenerwaard - eDiensten Burgerzaken voor authenticatie wordt gebruikt: • De eDienst Burgerzaken stelt inwoners in de gelegenheid om informatie op te vragen uit de BRP en of door te geven binnen het burgerzaken domein. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: eDiensten Burgerzaken • Versie: 1.11.0 Deze webapplicatie is extern benaderbaar via het volgende internetadres: • edienstenburgerzaken.krimpenerwaard.nl Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Krimpenerwaard - eDiensten Burgerzaken. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft Geheel standaardpakket. De webapplicatie wordt onderhouden door Centric Netherlands B.V. DigiD-aansluiting Gemeente Krimpenerwaard - eDiensten Burgerzaken bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Centric Netherlands B.V. met beheervorm SaaS. Gemeente Krimpenerwaard heeft de DigiD web-omgeving uitbesteed aan: • Centric Netherlands B.V.

Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier(s) van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:

31-12-2024

Controleperiode:

01-07-2024 t/m 31-12-2024

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van de (toe)leverancier: SaaS-leverancier Naam SaaS-leverancier:

Centric Netherlands B.V.

Referentie/rapportnummer:

TPM: 24X00195119AVN_EDB Sub-TPM: N.v.t.

Oordeelsdatum:

TPM: 30-09-2024 Sub-TPM: N.v.t.

1/6

Gemeente Krimpenerwaard - 1581024 - Bijlage 1 DigiD

SaaS-leverancier Controleperiode:

TPM: 01-03-2024 t/m 30-09-2024 Sub-TPM: N.v.t.

Naam RE-auditor

TPM: B. Beugelaar RE RA Sub-TPM: N.v.t.

Ondertekend door RE-auditor:

TPM: Ja Sub-TPM: N.v.t.

Onze IT-auditor heeft tevens getoetst of de zelfevaluatie en de TPM / assurancerapportage van onze serviceorganisatie het gehele normenkader afdekken. De conclusie van de auditor is opgenomen in het assurancerapport met kenmerk 2C-2025-673.

2/6

Gemeente Krimpenerwaard - 1581024 - Bijlage 1 DigiD

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers.

Aansluithouder

SaaS-leverancier

DigiD-norm

Toetsing op

Oordeel

Oordeel TPM

Totaaloordeel

B.01 Informatiebeveiligingsbeleid

Opzet en bestaan

Voldoet

B.05 Contractmanagement

Opzet en bestaan

Voldoet

U/TV.01 Identificatie en authenticatie

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

U/WA.02 Webapplicatiebeheerproces

Opzet en bestaan

Voldoet

U/WA.03 Automatische data-invoercontrole

Werking Opzet en bestaan

Niet van toepassing

Voldoet

U/WA04. Normaliseren uitvoer

Opzet en bestaan

Niet van toepassing

Voldoet

U/WA.05 Cryptografie/ Privacybevordering

Opzet en bestaan

Voldoet

U/PW.02 Garanderen webprotocollen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.03 Configureren webserver

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.05 Toegang tot beheermechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.07 Hardening van platformen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.03 DMZ

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.06 Hardening van netwerken

Opzet en bestaan

Voldoet

C.03 Vulnerability-assessments

Opzet en bestaan

Niet van toepassing

Voldoet

C.04 Penetratietesten

Opzet en bestaan

Niet van toepassing

Voldoet

C.06 Signaleringsfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

C.07 Monitoringfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

C.08 Wijzigingenbeheer

Opzet en bestaan Werking

C.09 Patchmanagement

Voldoet

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

3/6

Gemeente Krimpenerwaard - 1581024 - Bijlage 1 DigiD

Bijlage 1 DigiD - Gemeente Krimpenerwaard - e-Loket - 1003367 Totaaloverzicht getoetste normen ICT-beveiligingsassessment DigiD-aansluiting Gemeente Krimpenerwaard - e-Loket met aansluitnummer 1003367 Gemeente Krimpenerwaard biedt de volgende functionaliteit aan waarvoor DigiD-aansluiting Gemeente Krimpenerwaard - e-Loket voor authenticatie wordt gebruikt: • Djuma eLoket is onderdeel van het zaaksysteem Djuma. Binnen Djuma eLoket is een onderscheid tussen de eFormulieren module en het klantportaal PIP. Via de eFormulieren module kunnen burgers formulieren ontsluiten en inzenden. Middels het PIP kunnen burgers de status bekijken van de door hen aangemaakt zaak. Deze functionaliteit wordt geboden door de volgende webapplicatie: • Naam: Djuma eLoket • Versie: 2024.215.001 Deze webapplicatie is extern benaderbaar via het volgende internetadres: • eloket.krimpenerwaard.nl Het object van zelfevaluatie is de web-omgeving van DigiD-aansluiting Gemeente Krimpenerwaard - e-Loket. De zelfevaluatie heeft zich gericht op de webapplicatie, de internetadressen waarmee deze kan worden benaderd, de infrastructuur (binnen de DMZ waar de webapplicatie zich bevindt) en een aantal ondersteunende processen conform de “Norm ICT-beveiligingsassessments DigiD versie 3.0” van Logius. Deze webapplicatie betreft Geheel standaardpakket. De webapplicatie wordt onderhouden door Visma Circle BV.

DigiD-aansluiting Gemeente Krimpenerwaard - e-Loket bevindt zich in de Demilitarized Zone (DMZ). De infrastructuur waar deze applicatie op draait, wordt beheerd door Visma Circle BV met beheervorm SaaS. Gemeente Krimpenerwaard heeft de DigiD web-omgeving uitbesteed aan: • Visma Circle BV. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. Het onderzoeken van deze maatregelen is dan ook uitgevoerd door de IT-auditor van deze serviceorganisatie. De normen waar deze maatregelen betrekking op hebben maken geen onderdeel uit van de zelfevaluatie, tenzij sprake is van een gedeelde norm. De DigiD-webomgeving moet aan het gehele normenkader voldoen. Deze zelfevaluatie ENSIA voor DigiD is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan de leverancier van de gemeente valt voor de periode: Aansluithouder Oordeelsdatum:

31-12-2024

Controleperiode:

01-07-2024 t/m 31-12-2024

De overige normen worden afgedekt door onderstaande TPM / assurancerapportage van de (toe)leverancier: SaaS-leverancier Naam SaaS-leverancier:

Visma Circle BV

Referentie/rapportnummer:

TPM: BKBO/240325-01/TPM Sub-TPM: N.v.t.

Oordeelsdatum:

TPM: 30-08-2024 Sub-TPM: N.v.t.

4/6

Gemeente Krimpenerwaard - 1581024 - Bijlage 1 DigiD

SaaS-leverancier Controleperiode:

TPM: 01-01-2024 t/m 30-08-2024 Sub-TPM: N.v.t.

Naam RE-auditor

TPM:

Ondertekend door RE-auditor:

TPM: Ja Sub-TPM: N.v.t.

drs. M.B.H. IJpelaar RE CEH CISA CIPP/e, directeur en drs. M.T.C. Akay CISA, auditor Sub-TPM: N.v.t.

5/6

Gemeente Krimpenerwaard - 1581024 - Bijlage 1 DigiD

Onderstaande tabel toont de uitkomsten van de zelfevaluatie per norm inclusief de normen die getoetst zijn bij de bovengenoemde leveranciers. Aansluithouder

SaaS-leverancier

DigiD-norm

Toetsing op

Oordeel

Oordeel TPM

Totaaloordeel

B.01 Informatiebeveiligingsbeleid

Opzet en bestaan

Voldoet

B.05 Contractmanagement

Opzet en bestaan

Voldoet

U/TV.01 Identificatie en authenticatie

Opzet en bestaan

Voldoet

Werking

Voldoet

Opzet en bestaan

Voldoet

U/WA.02 Webapplicatiebeheerproces

Voldoet

U/WA.03 Automatische data-invoercontrole

Werking Opzet en bestaan

Niet van toepassing

Voldoet

U/WA04. Normaliseren uitvoer

Opzet en bestaan

Niet van toepassing

Voldoet

U/WA.05 Cryptografie/ Privacybevordering

Opzet en bestaan

Voldoet

U/PW.02 Garanderen webprotocollen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.03 Configureren webserver

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.05 Toegang tot beheermechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/PW.07 Hardening van platformen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.03 DMZ

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.04 Protectie- en detectiemechanismen

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.05 Scheiding beheer- en productieomgeving

Opzet en bestaan

Niet van toepassing

Voldoet

U/NW.06 Hardening van netwerken

Opzet en bestaan

Voldoet

C.03 Vulnerability-assessments

Opzet en bestaan

Niet van toepassing

Voldoet

C.04 Penetratietesten

Opzet en bestaan

Niet van toepassing

Voldoet

C.06 Signaleringsfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

C.07 Monitoringfuncties

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

Opzet en bestaan

Niet van toepassing

Voldoet

Werking

Niet van toepassing

Voldoet

C.08 Wijzigingenbeheer C.09 Patchmanagement

6/6

Gemeente Krimpenerwaard - 1580992 - Bijlage 2 Suwinet

Bijlage 2: Gebruik van Suwinet Deze bijlage is een afzonderlijk onderdeel van de Verantwoording informatiebeveiliging Suwinet per 31-122024 Gemeente Krimpenerwaard. Onderwerp van de verantwoording is het gebruik van Suwinet. Deze verantwoording heeft betrekking op de Verantwoordingsrichtlijn GeVS 2022 die is gebaseerd op geselecteerde controls uit de Baseline Informatieveiligheid Overheid (BIO), meer in het bijzonder de in het kader van ENSIA geselecteerde controls. Suwinet-gegevens worden ten behoeve van de dienstverlening door Gemeente Krimpenerwaard verwerkt. Hierbij is de eventuele aanwezigheid van IT-serviceorganisaties in aanmerking genomen. Het bestuur / de directie van Gemeente Krimpenerwaard is als opdrachtgever verantwoordelijk voor de kwaliteit en veiligheid van het gebruik van Suwinet en legt hierover verantwoording af. Gemeente Krimpenerwaard heeft een deel van de Suwinet taken uitbesteed aan Regionaal Bureau Zelfstandigen (RBZ), gemeente Rotterdam. Als gevolg hiervan is een aantal maatregelen belegd bij deze serviceorganisatie. In de navolgende tabellen is opgenomen of het onderzoeken over het al dan niet voldoen aan deze maatregelen is uitgevoerd door de IT-auditor van deze serviceorganisatie.

De controls die betrekking hebben op de taken die belegd zijn bij de serviceorganisatie maken geen onderdeel uit van de zelfevaluatie van Gemeente Krimpenerwaard, tenzij sprake is van een gedeelde norm. De zelfevaluatie ENSIA voor Suwinet is toegepast op dat deel van het gebruik en normenkader dat niet onder uitbesteding aan onze serviceorganisatie valt. De overige normen worden afgedekt door onderstaande Third Party Mededeling (TPM) / assurancerapportage (AR) van onze serviceorganisatie. Leverancier 1 Naam serviceorganisatie:

Gemeente Rotterdam

Referentie/rapportnummer:

AAS2024-2652

Rapportagedatum:

9 december 2024

Naam RE-auditor:

J.L.C. Holierhoek RE

Ondertekend door RE-auditor:

1/3

Gemeente Krimpenerwaard - 1580992 - Bijlage 2 Suwinet

Gebruik van Suwinet voor SUWI-taken Voor de volgende taken wordt Suwinet op de volgende plaatsen gebruikt: Taak

Organisatie

TPM/AR

Participatiewet (Pw)

Binnen de gemeente

Inkomensvoorziening voor Oudere en gedeeltelijk Arbeidsongeschikte Werknemers (IOAW)

Regionaal Bureau Zelfstandigen (RBZ), gemeente Rotterdam

Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen (IOAZ)

Regionaal Bureau Zelfstandigen (RBZ), gemeente Rotterdam

Wet gemeentelijke schuldhulpverlening (Wgs)

Binnen de gemeente

Uitvoeren bijzondere bijstand

Binnen de gemeente

Uitvoeren bezoldiging zelfstandigen

Niet van toepassing

Sociale recherche

Binnen de gemeente

Gebruik van Suwinet voor niet-SUWI-taken Voor de volgende niet-SUWI-taken wordt Suwinet op de volgende plaatsen gebruikt: Taak

Organisatie

TPM/AR

Hulp aan vroegtijdig schoolverlaters door Niet van toepassing Regionaal Meld- en Coördinatiecentrum (RMC) Onderzoek loonbeslag door Gemeentelijke Belastingdeurwaarders

Niet van toepassing

Adresonderzoek door Burgerzaken

Binnen de gemeente

2/3

Gemeente Krimpenerwaard - 1580992 - Bijlage 2 Suwinet

Naleving BIO-maatregelen Zoals in de Verantwoording vermeld, voldoet Gemeente Krimpenerwaard aan alle interne beheersmaatregelen inzake Suwinet op 31 december 2024 in opzet en bestaan aan de geselecteerde controls.

3/3

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=Krimpenerwaard&id=fa03f4ca-2898-478c-ab99-d34de1ab84c0