1.29.1 College - 16.1 Bijlage - ENSIA-rapportage 2024

Aan:

Gemeenteraad Meppel

Van:

College van B&W

Betreft:

ENSIA Gemeente Meppel 2024

Datum:

04-02-2025

Inleiding Het College van Burgemeester en Wethouders van de gemeente Meppel legt over het jaar 2024 verantwoording af over de stand van zaken op het gebied van informatieveiligheid binnen de gemeentelijke organisatie. Dit gaat op basis van de landelijke en voor gemeenten verplichte Eenduidige Normatiek Single Information Audit (ENSIA) systematiek. We leggen verantwoording af aan de gemeenteraad (horizontale verantwoording) en aan de verschillende toezichthouders (verticale verantwoording). Scope De ENSIA-verantwoording voor het jaar 2024 gaat over onderstaande onderdelen: • Implementatie van de Baseline Informatiebeveiliging Overheid (BIO) - Zelfevaluatie • Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet) – Geauditeerde zelfevaluatie • Digitale Persoonsidentificatie (DigiD) – Geauditeerde zelfevaluatie • Basis Registratie Personen (BRP) - Zelfevaluatie • Paspoort Uitvoeringsregeling Nederland (PUN) - Zelfevaluatie • Basisregistratie Grootschalige Topografie (BGT) - Zelfevaluatie op datakwaliteit • Basisregistratie Adressen en Gebouwen (BAG) - Zelfevaluatie op datakwaliteit • Basisregistratie Ondergrond (BRO) - Zelfevaluatie op datakwaliteit.

ENSIA-verantwoording Onderstaande tabellen geven per ENSIA-onderdeel een korte toelichting, bevindingen en de stand van zaken weer. Voor de leesbaarheid is per onderdeel met behulp van kleuren de algemene status weergegeven.

Legenda: Ruim voldoende tot goed

Voldoende

Net onvoldoende

Onvoldoende

Het onderdeel is volledig op orde, in control

Het onderdeel is globaal op orde, in control

Het onderdeel is net niet in control

Het onderdeel is niet in control

Mogelijk zijn er minimale verbeterpunten

Er zijn enkele verbeterpunten

Er zijn meerdere verbeterpunten

Er zijn veel verbeterpunten, bijsturing is nodig

Stand van zaken informatieveiligheid gemeente Meppel 2024

pagina 1 van 4

Verantwoording per ENSIA-stelsel De onderstaande tabel geeft per stelsel (domein) een korte toelichting, bevindingen en de stand van zaken weer.

ENSIA-stelsel

Toelichting, bevindingen en stand van zaken

Implementatie BIO

Het strategisch informatiebeveiligingsbeleid is geldig vanaf 2023 en in lijn met de voor overheden verplichte landelijke Baseline Informatiebeveiliging Overheid (BIO). Deze BIO bestaat uit het implementeren van technische- en organisatorische maatregelen waarvan ook een stuk privacy-borging in het kader van de Algemene Verordening Gegevensbescherming afhankelijk is.

Baseline Informatiebeveiliging Overheid

Status

Goed

Het beleid geeft onze organisatie kaders en richting om op het gebied van informatieveiligheid weerbaarder te worden en dat ook te blijven. Het vertalen van beleid naar de implementatie en uitvoering van maatregelen vraagt om een gedegen en voor veel onderdelen langdurig traject, omdat het vaak de werkwijze binnen organisatieprocessen beïnvloedt. In het kader van informatieveiligheid is onze menselijke verdedigingslinie een van de belangrijkste. Hierbij werken we continu aan bewustwording op het gebied van informatiebeveiliging en privacy bij onze medewerkers. Hiervoor volgen alle medewerkers een continu voortdurend bewustwordingsprogramma. De organisatie van informatiebeveiliging en privacy is ingericht met centrale functies zoals de Chief Information Security Officer, een Information Security en Privacy Officer en een Functionaris Gegevensbescherming. Daarnaast zijn er een aantal ondersteunende functies zoals technische en functionele beheerders.

Suwinet Structuur uitvoeringsorganisati e Werk en Inkomen

Suwinet wordt gebruikt voor het uitvoeren van de: • Participatiewet • Inkomensvoorzieningen (IOAW en IOAZ) • Wet gemeentelijke Schuldhulpverlening • Onderzoek Loonbeslag • Adresonderzoek bij burgerzaken

Onvoldoende

Het onderzoek van de externe auditor geeft aan dat de gemeente Meppel in 2024 formeel niet voldaan heeft aan alle SUWI-normen. Dit is terug te herleiden op de formele geldigheid van één enkel beheerdossier. De veiligheid van zowel systeem als gebruik is nooit in het geding geweest.

DigiD Digitale Persoonsidentificatie

DigiD wordt gebruikt door inwoners en is een manier om zichzelf digitaal te identificeren bij aanvragen van voorzieningen of bij informatieverzoeken. DigiD wordt binnen de gemeente Meppel gebruikt voor: • • • •

Parkeervergunningen Verwerken persoonsgegevens bij burgerzaken Belastingzaken Zaaksysteem

Het onderzoek van de externe auditor geeft aan dat de gemeente Meppel in 2024 formeel niet voldaan heeft aan één DIGID-norm op één aansluiting. Dit is terug herleiden naar het feit dat er geen officiële service-level agreement is opgesteld. Gemeente Meppel heeft echter wel prestatieafspraken gemaakt met de leverancier in de overeenkomst en ontvangt hier ook rapportages van.

Stand van zaken informatieveiligheid gemeente Meppel 2024

pagina 2 van 4

Onvoldoende

ENSIA-stelsel

Toelichting, bevindingen en stand van zaken

Status

De gemeente Meppel is van mening dat op deze manier voldaan wel wordt aan de norm namelijk het vastleggen van beveiligingseisen en -wensen. De toezichthouder voor DIGID (Logius) is naar mening van de gemeente te stringent op deze norm. De veiligheid van zowel systeem als gebruik is nooit in het geding geweest.

BRP Basis Registratie Personen Deel 1 bestandscontrole op persoonslijsten

BRP Deel 2 Inhoudelijke controle op de persoonslijsten

BRP is de basisregistratie waarin alle inwoners zijn geregistreerd. Gemeenten beheren deze BRP voor hun inwoners. Uiteindelijk worden alle BRP-registraties landelijk gekoppeld, zodat overheidsinstanties, zorgverleners en andere dienstverleners die gebruik mogen maken van deze BRP beschikken over de juiste persoonsinformatie. Vanwege het grote landelijke belang rondom de BRP zijn gemeenten verplicht om jaarlijks een zelfevaluatie uit te voeren. Goed

Bestandscontrole op de persoonslijsten. Bij de bestandscontrole in de Basisregistratie personen van 23 november 2024 is 99,9 % van de actuele persoonslijsten correct bevonden. Dit is in lijn met eerdere jaren, waarin de score steeds nagenoeg hetzelfde positieve resultaat liet zien. Dit voldoet ruimschoots aan de landelijke norm. Een inhoudelijke controle van persoonslijsten. Aan de hand van brondocumenten is een steekproefsgewijze controle uitgevoerd naar de juiste verwerking daarvan in de basisregistratie. De resultaten voldoen niet op alle aspecten aan de norm. Voldoende

De steekproef wordt uitgevoerd aan de hand van brondocumenten die in de afgelopen 10 jaar in de BRP zijn opgenomen. De fouten kunnen dus ook betrekking hebben op handelingen die 10 jaar geleden zijn uitgevoerd en/of door een andere gemeente. Verbeteringen in het proces en kwaliteit zijn pas langzaam zichtbaar en hebben geen directe invloed op persoonslijsten uit het verleden. Er is een intensieve controle van de mutaties in de BRP zodat fouten nu tijdig opgemerkt en gecorrigeerd worden. Deze controles worden gecontinueerd en de fouten verder geanalyseerd.

BRP Deel 3 Uitvoering van de processen

Reisdocumenten

Een controle op uitvoering van de processen. Door middel van een zelfevaluatie vragenlijst is dit onderdeel onderzocht. In de vragenlijst staan vragen over de procedures die gevolgd worden bij het verwerken en beveiligen van persoonsgegevens. De gemeente scoort op 4 van de 7 onderdelen een goed. Op 1 van de 7 onderdelen wordt een voldoende gescoord. Voor deze onderdelen zijn verbeterpunten vastgesteld. Deze verbeterpunten worden toegelicht in de bijlage managementrapportage BRP. Het eindresultaat voor dit onderdeel is goed. Gemeenten verzorgen de aanvraag en het uitreiken van reisdocumenten voor hun inwoners. Reisdocumenten zijn erg waardevol en vaak de sleutel tot identiteitsfraude. De processen rondom het aanvragen en uitreiken zijn daarom strikt. De burgemeester is verantwoordelijk voor de borging van deze processen en moet hierover jaarlijks verantwoording afleggen aan de minister van Binnenlandse Zaken en Koninkrijksrelaties. Via de ENSIA-verantwoording infomeren we ook het eigen bestuur over de stand van zaken. De gemeente scoort op 5 van de 6 onderdelen een goed. Op 1 onderdeel wordt een voldoende gescoord. Voor dit onderdeel zijn verbeterpunten vastgesteld. Deze verbeterpunten worden toegelicht in de bijlage managementrapportage Reisdocumenten. Het eindresultaat voor dit onderdeel is goed.

Processen en de uitvoering rondom het aanvragen, beheren en uitreiken (functiescheiding) van reisdocumenten zijn op orde.

BAG

Goed

De BAG bevat gemeentelijke basisgegevens van alle adressen en gebouwen in een gemeente. Kopieën van al deze gegevens zijn verzameld in een landelijke voorziening. Deze voorziening

Stand van zaken informatieveiligheid gemeente Meppel 2024

pagina 3 van 4

Goed

ENSIA-stelsel

Toelichting, bevindingen en stand van zaken

Status

Basisregistratie Adressen en Gebouwen

wordt landelijk gebruikt door overheden, organisaties en particulieren. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BAG.

Voldoende

De zelfevaluatie BAG over het jaar 2024 is afgerond met een score van 76%. Hiermee voldoen we aan de landelijk gestelde norm van minimaal 75%, vorig jaar was de score 89%. Op het moment dat we in de jaarlijkse cyclus van mutatiesignalering belanden, is de verwachting dat we gaan voldoen aan de norm van 99% om de feitelijk gerealiseerde panden en verblijfsobjecten, waar geen vergunning aan ten grondslag ligt, binnen een jaar na signalering in de registratie op te nemen.

BGT Basisregistratie Grootschalige Topografie

De BGT is een digitale kaart van Nederland waarop gebouwen, wegen, waterlopen, terreinen en spoorlijnen eenduidig zijn vastgelegd. Kortom: de inrichting van de fysieke omgeving. De BGT is een landelijk uniforme registratie die alleen gemaakt kan worden vanuit een goede samenwerking tussen de diverse bronhouders. Gemeenten zijn als bronhouder medeverantwoordelijk voor de kwaliteit van deze landelijke basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BGT.

Onvoldoende

De zelfevaluatie BGT over het jaar 2024 is afgerond met een score van 67%. Hiermee voldeden we niet aan de landelijk gestelde norm van minimaal 75%. Vorig jaar was de score 90%. Verbetermaatregelen ten aanzien van Kwaliteitsverbeteringstrajecten BGT BAG-BGT panden moeten op elkaar af worden gestemd. Deze afwijkingen m.b.t. de geometrie zijn de afgelopen maanden al voor 100% opgelost. De bandbreedte van <5% is hierbij niet gebruikt omdat dit een nutteloos getal is m.b.t. de exacte afstemming. De BAG panden zijn gemuteerd a.d.h.v. de BGT geometrie. (uitgezonderd multivlak en panden met over/onderbouw).

BRO Basisregistratie Ondergrond

De BRO bevat bodem- en ondergrondgegevens. Het gebruik van deze gegevens is de laatste decennia sterk toegenomen. Een goede informatievoorziening over de ondergrond is van wezenlijk belang voor het realiseren van bestuurlijke ambities als het omgevingsplan, de energietransitie, watertoets en dergelijke. Als we willen dat onze inwoners hier ook actief in participeren, moet het fundament hiervoor op orde en goed ingevuld zijn. De BRO is een van de elementen die de verschillende opgaves mogelijk moeten maken. De gemeente is bronhouder voor deze basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BRO. Als men kijkt naar de geproduceerde hoeveelheid gegevens die onder de eerste 4 tranches van de BRO valt, is dat relatief weinig te noemen. Dat heeft als gevolg dat er nog weinig ervaring is opgedaan met het werkproces. De zelfevaluatie BRO over het jaar 2024 is positief afgerond met een score van 76%. Hiermee voldoen we aan de landelijk norm van 75%. Vorig jaar was de score 73%. De ENSIA-score van BRO is nog erg theoretisch en moet met enige nuance bekeken worden. Daarom stellen wij deze status naar beneden op op “voldoende”.

Stand van zaken informatieveiligheid gemeente Meppel 2024

pagina 4 van 4

Voldoende