2021-04-21 RIB-006260 Gegevensveiligheid.pdf

RAADSINFORMATIEBRIEF (RIB) Registratienr :

D/21 /018976

Inlichtingen: Team:

Hannen, Joost Bestuurszaken Strategie en (ontrol Portefeuillehouder: Strous Raadsinformatiebrief Onderwerp: (RIB 2020) Gegevensveiligheid Datum: 20-04-2021

Verzenddatum: Bijlage: Assurancerapport

Aan de leden van de raad van de gemeente Maasgouw

2 1 APR 2021

Geachte leden van de raad,

Inleiding Wij willen de raad graag proactief informeren over ontwikkelingen op het gebied van gegevensveiligheid. Deze raadsinformatiebrief gaat dan ook in op de ontwikkelingen binnen gegevensveiligheid (ENSIA, 1 Informatiebeveiliging en Privacy). Het ENSIA verantwoordingsstelsel komt expliciet aan bod omdat dit een verplichte terugkoppeling aan de raad betreft vanuit de horizontale verantwoording ENSIA. De gemeente verzamelt veel gegevens van burgers en bedrijven voor het uitvoeren van haar publieke taak. Daarnaast verzamelt de gemeente ook de reguliere organisatiegegevens, zo ook de gegevens van medewerkers. Burgers, bedrijven en medewerkers mogen van de gemeente verwachten dat gegevens adequaat worden beveiligd. Informatiebeveiliging en privacy (AVG) gaat over het borgen van de beschikbaarheid, integriteit en vertrouwelijkheid van deze gegevens, het verwerken van persoonsgegevens én het continueren van de bedrijfsprocessen. Dit alles vanuit de invalshoeken mens, techniek en proces. ENSIA verantwoordingsstelsel ENSIA (Eenduidige Normatiek Single Information Audit) heeft tot doel het verantwoordingsproces over informatieveiligheid bij gemeenten verder te professionaliseren door het toezicht te bundelen en aan te sluiten op de gemeentelijke Planning & Control-cyclus.

Hierdoor heeft het gemeentebestuur meer overzicht over de stand van zaken van de informatieveiligheid en kan het hier ook beter op sturen. Algemeen Het algemene beeld is dat we in 2020 duidelijk vooruitgang hebben geboekt ten opzichte van 2019. 2 Hoewel er in 2020 voor het eerst is gewerkt met het nieuwe normenkader BIO is het algemene beeld dat we aan een groot aantal normen voldoen, dit staat verder toegelicht op de volgende pagina onder het kopje 'Gegevensveiligheidsorganisatie'. DigiD en SUWINET Twee specifieke onderdelen binnen de ENSIA-systematiek zijn DigiD en SUWINET. Deze twee onderdelen worden onafhankelijk ge-audit om te toetsen of aan de verplichte beveiligingsnormen voor Wet structuur 3 uitvoeringsorganisatie werk en inkomen (SUWINET ) en Digitale Identiteit (DigiD) zijn voldaan. Naast de 4 zelfevaluatie bestaat de verantwoording uit een IT-audit op de collegeverklaring over DigiD en SUWINET, 1

ENSIA verantwoordingsstelsel behelst het ontwikkelen en implementeren van een zo effectief en efficiënt mogelijk ingericht verantwoordingsstelsel voor informatieveiligheid gebaseerd op de Baseline Informatiebeveiliging Overheid (BIO). ENSIA helpt gemeenten in één keer slim verantwoording af te leggen over informatieveiligheid gebaseerd op de BIO. 2 De BIO (Bassline Informatieveiligheid Overheid) is de opvolger van de baselines informatieveiligheid voor Gemeenten (BIG), Rijk, Waterschappen en Provincies. Hiermee ontstaat één gezamenlijk normenkader voor informatiebeveiliging binnen de ~ehele overheid, gebaseerd op de internationaal erkende en actuele ISO (27001 )-normatiek. Helder, actueel en veilig. SUWINET is een digitale infrastructuur waarin gegevens van burgers worden gedeeld tussen gemeenten, Belastingdienst, de SVB en het UWV voor het uitvoeren van hun wettelijke taak. 4 Met DigiD kunnen burgers en bedrijven zich veilig digitaal identificeren bij overheidsorganisaties.

Pagina 1 van 3

en een verantwoording in het jaarverslag (als onderdeel van de paragraaf Bedrijfsvoering). Het college legt horizontaal, door middel van deze RIB en het in de bijlage opgenomen assurance-rapport, verantwoording af aan de raad en verticaal aan de landelijke partijen (diverse ministeries en andere toezichthoudende organen). De conclusies over de uitgevoerde zelfevaluatie en IT-audit over 2020 worden in deze RIB nader toegelicht. Zowel de zelfevaluatie als de IT· audit zijn positief doorlopen, er zijn geen afwijkingen geconstateerd. 5 Daarom heeft het college de collegeverklaring 2020 en de "Letter of Representation" (LOR) ondertekend en geeft daarmee aan dat ze: • kennis heeft genomen van de verantwoording over de beveiligingsnormen van DigiD en SUWINET op basis van de ENSIA·systematiek; • verklaart dat bij de gemeente Maasgouw op 31 december 2020 de interne beheersingsmaatregelen voldoen aan de geselecteerde normenkaders van DigiD en SUWINET. Basisregistraties in het GEO-informatiedomein Daarnaast neemt het college de verantwoordingsrapportage binnen het GEO (geografische)· informatiedomein ter kennisname aan. Het GEO·informatiedomein bestaat uit de Basisregistratie Adressen en Gebouwen (BAG), de Basisregistratie Grootschalige Topografie (BGT) en de Basisregistratie Ondergrond (BRO).

De gemeente Maasgouw is als bronhouder verantwoordelijk voor het opnemen van gegevens in deze basisregistraties en de kwaliteit ervan. Voor de GEO-informatiedomeinen zijn verantwoordingsrapportages opgesteld met resultaten en eventuele verbeteracties. Deze rapportages worden via de ENSIA·tool ook opgestuurd naar de verticale toezichthouder (Ministerie van BZK). Resultaten zelfevaluatie BAG, BGT, BRO: • De BAG bestaat uit alle gemeentelijke gegevens omtrent adressen en gebouwen. De gemeente Maasgouw is geslaagd (resultaat 80%, normgrens 75%) voor de zelfevaluatie BAG 2020 en heeft hiermee voldaan aan het gestelde normenkader. • De BGT is een digitale kaart van Nederland en daarin worden objecten als gebouwen, wegen, water, groen en spoorlijnen eenduidig vastgelegd. De gemeente Maasgouw is geslaagd (resultaat 100%, normgrens 75%) voor de zelfevaluatie BGT 2020 en heeft hiermee voldaan aan het gestelde normenkader. • De BRO bevat gegevens over de geologische en bodemkundige opbouw van de Nederlandse ondergrond. De verantwoording over de BRO was in 2019 voor het eerst een verplicht onderdeel binnen de ENSIA·systematiek. In 2019 was het resultaat met 50% (normgrens 60%) onvoldoende, omdat het een overgangsjaar betrof had de onvoldoende score geen consequenties. Wel diende er een verbeterplan te worden opgenomen in de verantwoordingsrapportage.

Het verbeterplan heeft er toe geleid dat voor het verantwoordingsjaar 2020 de gemeente Maasgouw wel geslaagd is. Het behaalde resultaat voor 2020 is 63%, hiermee is voldaan aan het gestelde normenkader. Voor 2021 is de verwachting dat we toegroeien naar een hoger resultaat, deels komt dit door autonome ontwikkelingen. Streven is om een resultaat van minimaal 70% te halen omdat we verwachten dat de normgrens de komende jaren gestaag stijgt naar een vergelijkbare normgrens zoals bij de BAG en BGT á 70%. De conclusie is dat er op alle specifieke onderdelen vooruitgang is geboekt. Zo zijn er geen bevindingen geconstateerd en zijn alle normen binnen de basisregistratie GEO·informatiedomein behaald. In MER· verband is er in 2020 ook integraal met elkaar opgetrokken en wordt intensiever samengewerkt op het gebied van ENSIA. Dit is een mooi uitgangspunt omdat het normenkader en bijbehorende normgrenzen in 2021 wordt aangescherpt. De lat wordt dus elk jaar hoger gelegd en het is dus noodzaak om bij te blijven en continue te verbeteren. Gegevensveiligheidsorganisatie (Informatiebeveiliging en Privacy) De afgelopen jaren stond vooral in het teken van de aangepaste wet· en regelgeving, we hebben daarom volop ingespeeld op het nieuwe strategisch beleid en de nieuwe organisatiestructuur gegevensveiligheid (incl. nieuwe governance).

Dit was dus vooral gericht op het neerzetten van de structuur in opzet en bestaan. De komende jaren staat in het teken van het inbedden van gegevensveiligheid in de organisatie, hiermee verschuift de aandacht meer naar de werking, de daadwerkelijk toepassing / invulling.

5

De accountant dient aan het college een schriftelijke bevestiging te vragen inzake de inhoud van de audit. De bevestiging houdt in dat het college aangeeft dat het alle relevante gegevens aan de accountant heeft verstrekt. Het college hiervoor verantwoordelijk is, aan alle contractuele verplichtingen is voldaan en er geen fraude geconstateerd is.

Pagina 2 van 3

Ondanks de corona is er in 2020 een hoop gerealiseerd op het gebied van gegevensveiligheid. Zo is er een nieuw strategisch informatiebeveiligings- en privacybeleid tot stand gekomen, hierin is ook de nieuwe governance opgenomen. Binnen de teams is er ruimte vrijgemaakt om invulling te geven aan de nieuwe governance. Organisatiebreed is flink gewerkt aan bewustwording, in 2020 zijn we gestart met een communicatieplan en zijn de voorbereidingen getroffen om een zogenaamde phishingtest6 uit te voeren (die in januari 2021 daadwerkelijk heeft plaatsgevonden). Verder krijgt elke nieuwe medewerker een uitnodiging om binnen drie maanden na indiensttreding de e-learning gegevensveiligheid af te ronden, huidige medewerkers dienen deze jaarlijks te volgen. In MER-verband is een intern onderzoek uitgevoerd waar ook onderzocht is hoe de (integrale) samenwerking versterkt kan worden. Uit het onderzoek blijkt dat de beste samenwerkingsvorm die van een netwerkorganisatie is. De voorwaarden voor deze netwerkorganisatie zijn deels in 2020 ingevuld en worden in 2021 verder uitgediept. Informatiebeveiliging specifiek 7 In 2020 heeft er een fit/gap analyse plaatsgevonden. Met deze analyse hebben we in kaart gebracht waar we staan wat betreft het voldoen aan de BIO normenkader en bijbehorende maatregelen, en welke zaken er nog beter georganiseerd moeten worden.

De conclusie is dat wij voldoen aan een behoorlijk aantal normen en beschikken dus over passende maatregelen. Toch zijn er nog voldoende aandachtspunten die voor verbetering vatbaar zijn, dit zijn vooral de maatregelen die op teamniveau moeten worden toegepast. Voor de organisatie brede normen en maatregelen is er een informatiebeveiligingsconcernplan 2021 opgesteld, per kwartaal wordt er gerapporteerd aan de directie en portefeuillehouder. In 2021 gaan we ons meer richten op de individuele teams om risicomanagement toe te passen op de kritische processen en systemen binnen het team. Dit alles wordt verwerkt in een informatie beveiligingsplan per team, de team specifieke plannen maken vervolgens onderdeel uit van het concernplan. Privacy (AVG) specifiek Op het gebied van privacy is er ingezet om op teamniveau te oefen met privacy assessments, dit is een instrument om te achterhalen welke risico's we lopen op gebied van verwerken van persoonsgegevens, én welke (aanvullende) maatregelen er nodig zijn om de privacy te waarborgen. Daarnaast is in 2020 het verwerkingsregister afgerond, al blijft het actueel houden een continu proces. In 2020 hebben we ons informationsecurity en privacy managementsysteem verder uitgebouwd en geïmplementeerd. Dit hebben we gedaan zodat we in 2021 hier steeds meer en consequenter mee gaan werken.

Ook in 2020 hebben we hard gewerkt aan de ENSIA verantwoordingssystematiek, zo heeft er in een december 2020 een pre-audit door de IT-auditor plaatsgevonden en in februari 2021 de daadwerkelijk audit. Ook voor het verantwoordingsjaar 2020 voldoen wij aan het ENSIA normenkader en daarmee aan de wet- en regelgeving. Incidenten In 2020 hebben zich geen noemenswaardige informatiebeveiligingsincidenten of privacy-incidenten voorgedaan. Wel zijn alle kleine incidenten en bijna incidenten geregistreerd, geanalyseerd en geavaleerd. Voor sommige onderdelen zijn op basis van de evaluatie aanvullende maatregelen ingevoerd.

6

Een phishingtest houdt in dat iedereen binnen de organisatie een fictieve e-mail krijgt, precies zoals hackers ook te werk gaan. In de e-mail worden de medewerkers verleid om op de link te klikken die erin zit. Vervolgens worden ze (meestal) doorgestuurd naar een speciale website. 7 Met deze methode wordt bekeken hoe de huidige situatie zich verhoudt tot de gewenste situatie en welke kloven (gaps) er zijn. Vervolgens kan er doelgericht te werk worden gegaan om de kloven te dichten.

Pagina 3 van 3