1.103.1 College - 25.1 Bijlage - ENSIA Rapportage 2025

Aan:

Gemeenteraad Gemeente Meppel

Van:

College van Burgemeester en Wethouders

Betreft:

ENSIA-verantwoording "Stand van zaken informatieveiligheid gemeente Gemeente Meppel 2025”

Datum:

04-03-2026

Inleiding Het college van burgemeester en wethouders van de gemeente Meppel legt over het jaar 2025 verantwoording af over de stand van zaken op het gebied van informatieveiligheid binnen de gemeentelijke organisatie. Dit gaat op basis van de landelijke en voor gemeenten verplichte Eenduidige Normatiek Single Information Audit (ENSIA) systematiek. We leggen verantwoording af aan de gemeenteraad (horizontale verantwoording) en aan de verschillende toezichthouders (verticale verantwoording). Scope De ENSIA-verantwoording voor het jaar 2025 gaat over onderstaande onderdelen: • Implementatie van de Baseline Informatiebeveiliging Overheid (BIO) - Zelfevaluatie • Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet) – Geauditeerde zelfevaluatie • Digitale Persoonsidentificatie (DigiD) – Geauditeerde zelfevaluatie • Basis Registratie Personen (BRP) - Zelfevaluatie • Paspoort Uitvoeringsregeling Nederland (PUN) - Zelfevaluatie • Basisregistratie Grootschalige Topografie (BGT) - Zelfevaluatie op datakwaliteit • Basisregistratie Adressen en Gebouwen (BAG) - Zelfevaluatie op datakwaliteit • Basisregistratie Ondergrond (BRO) - Zelfevaluatie op datakwaliteit.

ENSIA-verantwoording

Onderstaande tabellen geven per ENSIA-onderdeel een korte toelichting, bevindingen en de stand van zaken weer. Voor de leesbaarheid is per onderdeel met behulp van kleuren de algemene status weergegeven.

Legenda: Ruim voldoende tot goed

Voldoende

Net onvoldoende

Onvoldoende

Het onderdeel is volledig op orde, in control.

Het onderdeel is globaal op orde, in control.

Het onderdeel is net niet in control.

Het onderdeel is niet in control.

Mogelijk zijn er minimale verbeterpunten.

Er zijn enkele verbeterpunten.

Er zijn meerdere verbeterpunten.

Er zijn veel verbeterpunten, bijsturing is nodig.

Stand van zaken informatieveiligheid gemeente Meppel 2025

pagina 1 van 4

Verantwoording over de Baseline Informatiebeveiliging Overheid (BIO)

De onderstaande tabellen geven per hoofdstuk van de Baseline Informatiebeveiliging Overheid (BIO) een korte toelichting van de stand van zaken voor de gemeentelijke organisatie. Daarna volgt een serie tabellen die ingaat op de datakwaliteit, personeel en organisatie rondom de verschillende stelsels (BRP, PUN, DigiD, Suwinet, BAG, BGT en BRO).

BIO

Ruim voldoende tot goed

Baseline Informatiebeveiliging Overheid. Om op het gebied van informatieveiligheid weerbaar te blijven volgen we de landelijke Baseline Informatiebeveiliging Overheid (BIO). Deze BIO is het normenkader waarbij we op basis van een eigen risico-afweging keuzes maken in het implementeren van beheers- en beveiligingsmaatregelen. Hierbij blijft een basispakket aan generieke maatregelen voor iedere (overheid)organisatie verplicht. Het strategisch informatiebeveiligingsbeleid is geldig tot 2025 en in lijn met de voor overheden verplichte landelijke Baseline Informatiebeveiliging Overheid (BIO). In het kader van informatieveiligheid is onze menselijke verdedigingslinie een van de belangrijkste. Hierbij werken we continue aan bewustwording op het gebied van informatiebeveiliging en privacy bij onze medewerkers. Hiervoor volgen we een bewustwordingsprogramma voor alle medewerkers. Door het toenemende dreigingsniveau op informatiebeveiliging is extra menskracht vereist. Ook moet de komende jaren meer geïnvesteerd worden in technische maatregelen om onze weerbaarheid op het gebied van informatieveiligheid te behouden. Vanaf 2024 is hiervoor door een herijking structureel extra budget beschikbaar gesteld. Gezien het toenemende landelijke dreigingsniveau is het niet zeker dat dit extra budget toereikend is richting de toekomst.

Specifiek gekeken naar de borging van informatieveiligheid over het geheel gezien scoren we naar mening van onszelf een voldoende tot goed. Deze score komt voort uit resultaten van onder andere de verschillende ENSIA-onderdelen waaronder een externe audit. Actie- en verbeterpunten zijn, vanuit onze eigen ambitie tot continue verbetering, ingebracht in het jaarplan voor Informatiebeveiliging & Privacy2026.

SUWINET

Structuur uitvoeringsorganisatie Werk en Inkomen Suwinet wordt gebruikt voor het uitvoeren van de; •

Participatiewet;

•

Inkomensvoorzieningen (IOAW en IOAZ);

•

Adresonderzoeken voor het bijhouden van de BRP;

•

Regeling opvang ontheemden Oekraïne (RooO).

Ruim voldoende tot goed

Vanwege de hoeveelheid en gevoeligheid van (persoons)gegevens binnen Suwinet is bepaald dat iedere gemeente naast de zelfevaluatie ook extern getoetst wordt op naleving van het normenkader. Het uitvoeren van de audit voor Suwinet is een vereiste van de Regeling SUWI. Het onderzoek van de externe auditor geeft aan dat de gemeente Meppel voldoet aan de wettelijk gestelde eisen en normen in het kader van informatieveiligheid rondom het gebruik en beheer van alle Suwinet-aansluitingen.

Stand van zaken informatieveiligheid gemeente Meppel 2025

pagina 2 van 4

DigiD

Ruim voldoende tot goed

Digitale Persoonsidentificatie DigiD is voor inwoners de manier om zichzelf digitaal te identificeren. DigiD wordt gebruikt voor;

• Parkeervergunningen • Burgerzaken • Belastingzaken • Zaaksysteem Onvoldoende of onjuist beheer van een DigiD-aansluiting kan grote gevolgen hebben voor de landelijke keten en uiteindelijk persoonsinformatie van inwoners. Daarom heeft de toezichthouder bepaald dat iedere DigiD-aansluiting naast een jaarlijkse zelfevaluatie ook (extern) getoetst wordt op naleving van het normenkader. Het onderzoek van de externe auditor geeft aan dat onze processen rondom DigiD op orde zijn. Wij voldoen aan de gestelde informatiebeveiligingsnormen. Naast het onderzoek rondom organisatorische waarborgen zijn er technische penetratietest uitgevoerd. Ook deze uitkomst is positief, er zijn geen kwetsbaarheden ontdekt.

BRP – Basis Registratie Personen

Ruim voldoende tot goed

Deel 1 – Bestandscontrole op persoonslijsten BRP is de basisregistratie waarin alle inwoners zijn geregistreerd. Gemeenten beheren deze BRP voor hun inwoners. Uiteindelijk worden alle BRP-registraties landelijk gekoppeld, zodat overheidsinstanties, zorgverleners en andere dienstverleners die gebruik mogen maken van deze BRP beschikken over de juiste persoonsinformatie. Vanwege het grote landelijke belang rondom de BRP zijn gemeenten verplicht om jaarlijks een zelfevaluatie uit te voeren. Bestandscontrole op de persoonslijsten. Bij de bestandscontrole in de Basisregistratie personen is 99,8 % van de actuele persoonslijsten correct bevonden. De gemeente Meppel voldoet ruimschoots aan de gestelde normen.

BRP – Basis Registratie Personen

Ruim voldoende tot goed

Deel 2 – Inhoudelijke controle op de persoonslijsten Een inhoudelijke controle van persoonslijsten. Aan de hand van brondocumenten is een steekproefsgewijze controle uitgevoerd naar de juiste verwerking daarvan in de basisregistratie. De gemeente scoort hierop met 84% ruim voldoende tot goed

BRP – Basis Registratie Personen

Ruim voldoende tot goed

Deel 3 – Uitvoering van de processen Een controle op uitvoering van de processen. Door middel van een zelfevaluatie vragenlijst is dit onderdeel onderzocht. In de vragenlijst staan vragen over de procedures die gevolgd worden bij het verwerken en beveiligen van persoonsgegevens. De gemeente scoort hierop 90% ruim voldoende tot goed

PUN

Ruim voldoende tot goed

Paspoort Uitvoeringsregeling Nederland Gemeenten verzorgen de aanvraag en het uitreiken van reisdocumenten voor hun inwoners. Reisdocumenten zijn erg waardevol en vaak de sleutel tot identiteitsfraude. De processen rondom het aanvragen en uitreiken zijn daarom strikt. De burgemeester is verantwoordelijk voor de borging van deze processen en moet hierover jaarlijks verantwoording afleggen aan de minister van Binnenlandse Zaken en Koninkrijksrelaties. Via de ENSIA-verantwoording infomeren we ook het eigen bestuur over de stand van zaken.

Stand van zaken informatieveiligheid gemeente Meppel 2025

pagina 3 van 4

PUN

Ruim voldoende tot goed

BAG

Voldoende

Paspoort Uitvoeringsregeling Nederland De zelfevaluatie PUN over het jaar 2025 is afgerond met een score van 98,7%.

Basisregistratie Adressen en Gebouwen De BAG bevat gemeentelijke basisgegevens van alle adressen en gebouwen in een gemeente. Kopieën van al deze gegevens zijn verzameld in een landelijke voorziening. Deze voorziening wordt landelijk gebruikt door overheden, organisaties en particulieren. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BAG. De zelfevaluatie BAG geeft een score over de datakwaliteit aen proces en organisatie. Over het jaar 2025 is een score van behaald van 77%. Hiermee voldoen we wel aan de landelijk gestelde norm van minimaal 75%.

BGT

Ruim voldoende tot goed

Basisregistratie Grootschalige Topografie De BGT is een digitale kaart van Nederland waarop gebouwen, wegen, waterlopen, terreinen en spoorlijnen eenduidig zijn vastgelegd. Kortom: de inrichting van de fysieke omgeving. De BGT is een landelijk uniforme registratie die alleen gemaakt kan worden vanuit een goede samenwerking tussen de diverse bronhouders. Gemeenten zijn als bronhouder medeverantwoordelijk voor de kwaliteit van deze landelijke basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BGT. De BGT is gegenereerd uit de geometrische databron Kernregistratie Topografie (KRT) voor haar informatie. De KRT is een interne databron binnen onze organisatie waarin alle geografische objecten van de gemeente Meppel zijn geregistreerd. De KRT is leverancier van data naar de overige basisregistraties BAG, BGT en de BRO, waarbij wordt voldaan aan de weten regelgeving. De zelfevaluatie BGT geeft een score over de datakwaliteit en proces en organisatie. Over het jaar 2025 is een score van 100% behaald. Hiermee voldoen we wel aan de landelijk gestelde norm van minimaal 75%.

BRO

Ruim voldoende tot goed

Basisregistratie Ondergrond De BRO bevat bodem- en ondergrondgegevens. Het gebruik van deze gegevens is de laatste decennia sterk toegenomen. Een goede informatievoorziening over de ondergrond is van wezenlijk belang voor het realiseren van bestuurlijke ambities als het omgevingsplan, de energietransitie, watertoets en dergelijke. Als we willen dat onze inwoners hier ook actief in participeren, moet het fundament hiervoor op orde en goed ingevuld zijn. De BRO is een van de elementen die de verschillende opgaves mogelijk moeten maken. De gemeente is bronhouder voor deze basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BRO. De zelfevaluatie BGT geeft een score over de datakwaliteit en proces en organisatie. Over het jaar 2025 is een score van 95% behaald. Hiermee voldoen we ruim aan de landelijk gestelde norm van minimaal 60%.

Stand van zaken informatieveiligheid gemeente Meppel 2025

pagina 4 van 4