Bijlage 2. Afschrift Boardletter 2024 Gemeente Middelburg

Boardletter Gemeente Middelburg Boekjaar 2024

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving

Geachte leden van de gemeenteraad, Aan de gemeenteraad van de gemeente Middelburg Postbus 6000 4330 LA Middelburg ONDERWERP Boardletter 2024

Als onderdeel van de jaarrekeningcontrole van boekjaar 2024 van de gemeente Middelburg rapporteren wij u onze bevindingen uit de interimcontrole. In onze boardletter beschrijven we de belangrijkste risico’s, ons beeld van de interne beheersing, relevante ontwikkelingen in wet- en regelgeving en indien van toepassing andere veranderingen die voor uw gemeente relevant kunnen zijn. Onze bevindingen komen voort uit onze werkzaamheden in het kader van de jaarrekeningcontrole en zijn opgenomen voor zover wij het van belang achten om deze met u te communiceren. De bevindingen en aanbevelingen dienen te worden gelezen als constructieve aanwijzingen voor het college om de interne beheersing van de gemeente Middelburg continue te blijven (door)ontwikkelen.

DATUM 29 november 2024

Deze boardletter is door ons opgesteld voor uw informatie en mag niet zonder onze uitdrukkelijke toestemming geheel of gedeeltelijk aan derden ter beschikking worden gesteld. Wij danken de medewerkers van de gemeente Middelburg voor de samenwerking en zijn graag bereid tot het verstrekken van nadere toelichting.

KENMERK 2411-14420

Met vriendelijke groet, Baker Tilly (Netherlands) N.V.

Was getekend drs. A.R.M. Peelen RA Partner

Boardletter 2024 gemeente Middelburg

2

1

Management samenvatting

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving

1. Management samenvatting Management samenvatting In dit overzicht is een samenvatting opgenomen van de belangrijkste punten uit onze interim-controle.

Onderwerp

Toelichting

Timing van de werkzaamheden

Deze boardletter bevat onze bevindingen die zijn gebaseerd op onze werkzaamheden in het kader van de jaarrekeningcontrole voor boekjaar 2024.

Algemene conclusie interne beheersing

Onze algehele conclusie is dat de interne beheersing in de basis op orde is. Dat blijkt onder andere uit het beperkte aantal bevindingen in onze boardletter met prioriteit midden of hoog. Tegelijkertijd constateren we dat de gemeente op onderdelen haar beheersing nog verder kan (door)ontwikkelen, bijvoorbeeld inzake het vastleggen van de prestatielevering in het inkoopproces en het borgen van functiescheiding in het aanbestedingsproces.

Frauderisicoanalyse

We hebben geconstateerd dat de gemeente Middelburg in 2024 haar interne frauderisicoanalyse 2023 geactualiseerd heeft. De gemeente heeft frauderisico’s en bijbehorende beheersmaatregelen beschreven op basis van de elementen uit de fraudedriehoek (gelegenheid, druk en rationalisatie). Hiermee is een adequate invulling gegeven aan de frauderisicoanalyse. We adviseren om de frauderisicoanalyse jaarlijks uit te blijven voeren om vast te stellen in hoeverre de beheersmaatregelen en restrisico’s nog passend zijn.

Daarnaast adviseren we om bij de volgende actualisatie de kans en de impact van mogelijke frauderisico’s nader uit te werken en de restrisico’s te kwantificeren. Wij adviseren daarbij om te beschrijven welke risico’s de gemeente accepteert en welke risico’s gemitigeerd worden middels reeds genomen of nog te nemen interne beheersingsmaatregelen.

Boardletter 2024 gemeente Middelburg

4

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving

1. Management samenvatting Onderwerp

Toelichting

IT-omgeving

Wij hebben de interne beheersing rondom de IT-omgeving in kaart gebracht. Daarbij hebben we het netwerk en de financiële applicatie Coda (Unit4 Financials) onderzocht. We constateren dat de IT-omgeving in de basis op orde is. Wel constateren we enkele formele verbeterpunten inzake wijzigingsbeheer binnen de financiële applicatie en inzake autorisaties binnen het netwerk en de financiële applicatie. We adviseren om procedures omtrent autorisaties en wijzigingsbeheer verder te formaliseren, bijvoorbeeld door het zichtbaar toepassen van een functie-autorisatie matrix voor het toekennen en wijzigen van rechten binnen de IT-omgeving.

Voorbereidingen jaarrekeningcontrole 2024

We maken met de gemeente afspraken over de planning van de jaarrekeningcontrole 2024. Op voorhand identificeren we een aantal onderwerpen met verhoogde aandacht in onze controle. Dit betreffen met name de controle van de grondexploitaties, de controle op prestatielevering inkopen en de getrouwheid van de WMOlasten. Wij vragen de gemeente het controleproces voor de jaarrekening 2024 goed voor te bereiden.

Onderlinge samenwerking

We hebben met de gemeente Middelburg duidelijke afspraken gemaakt met betrekking tot de controle van de processen / interne beheersing en de jaarrekeningcontrole. De gemaakte afspraken zijn tot op heden nagekomen.

Boardletter 2024 gemeente Middelburg

5

2

Kwaliteit interne beheersing

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving

2.1 Kwaliteit van de interne beheersing - Algemeen Inleiding

Deze boardletter bevat onze bevindingen ten aanzien van de interne beheersing (inclusief de IT-omgeving), die zijn gebaseerd op onze werkzaamheden in het kader van de jaarrekeningcontrole 2024. Deze werkzaamheden zijn dan ook niet gericht op het geven van een oordeel over de interne beheersing van de organisatie als geheel. Een goede interne beheersing maakt dat de risico’s voor de organisatie beter beheersbaar zijn en de jaarrekeningcontrole effectiever en efficiënter kan plaatsvinden. Vanuit onze natuurlijke adviesfunctie willen wij bijdragen aan de verbetering van de bedrijfsvoering, onder andere door het analyseren van de IT-omgeving en de bedrijfsprocessen.

Algehele conclusie

De invoering van de rechtmatigheidsverantwoording door het college in het afgelopen jaar stelt hogere eisen aan het interne beheersingssysteem. De aanwezigheid van een adequaat intern (financieel) beheersingssysteem is daarbij een essentiële randvoorwaarde om te kunnen bijsturen en de betrouwbaarheid van financiële informatie en verslaglegging is van groot belang om dit tijdig en goed te kunnen doen. Onze algehele conclusie is dat de interne beheersing in de basis op orde is. Dat blijkt onder andere uit het beperkte aantal bevindingen in onze boardletter met een gemiddeld tot hoge prioriteit. Tegelijkertijd constateren we dat de gemeente op onderdelen haar beheersing nog verder kan (door)ontwikkelen, bijvoorbeeld in het vastleggen van de prestatielevering in het inkoopproces, het borgen van functiescheiding in het aanbestedingsproces en het tijdig uitvoeren van een spendanalyse.

Boardletter 2024 gemeente Middelburg

7

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving

2.2 Kwaliteit van de interne beheersing - Bevindingen Belangrijkste aanbevelingen

Onderwerp

Omschrijving

In dit overzicht zijn de belangrijkste aanbevelingen naar aanleiding van onze werkzaamheden opgenomen. Wij hebben per bevinding een beknopte omschrijving en aanbeveling opgenomen.

Prestatielevering inkopen

De gemeente Middelburg heeft in 2021 het document ‘Notitie gericht op leveringscriterium’ vastgesteld. In dit document is toegelicht dat bewijsstukken omtrent de prestatielevering niet centraal geregistreerd hoeven te worden. Bewijsstukken dienen in beginsel vanaf € 5.000 voor ten minste 18 maanden bewaard te worden. De vastlegging van de bewijsstukken wordt niet systeemtechnisch afgedwongen. Derhalve zouden we verwachten dat de naleving van deze notitie periodiek wordt gemonitord door middel van (interne) controles. Wij hebben geconstateerd dat de gemeente nog geen (systeemgerichte) controles heeft uitgevoerd om vast te stellen dat het interne beleid omtrent prestatieleveringen wordt nageleefd. Wel hebben we van de IC-medewerkers vernomen dat de uitvraag van de prestatielevering over 2023 bij de betrokken budgethouders soepel is verlopen. Hieruit concludeert de organisatie dat vastlegging van de prestatielevering in het inkoopproces op orde is. De gemeente geeft momenteel derhalve geen prioriteit aan systeemgerichte controles of het systeemtechnisch waarborgen van de prestatielevering. We adviseren echter om de vastlegging van de prestatielevering wel periodiek te toetsen danwel systeemtechnisch te waarborgen vanwege de preventieve werking die hiervan uitgaat, waardoor bevindingen voorkomen kunnen worden.

Daarnaast vergroot het de interne beheersing, waardoor minder gegevensgerichte werkzaamheden noodzakelijk zijn.

Aanbestedingen

Bij de start van het aanbestedingstraject wordt de betrokkenheid van een inkoopadviseur niet afgedwongen. Dit leidt tot een verhoogd risico op onjuiste aanbestedingstrajecten en kan daarmee leiden tot onrechtmatige inkoopcontracten. Daarnaast hebben we vernomen dat het inkooptrajectformulier niet altijd volledig wordt ingevuld. Ook dit kan leiden tot rechtmatigheidsfouten door onjuiste aanbestedingskeuzes. We adviseren maatregelen te treffen om te waarborgen dat inkoopadviseurs tijdig betrokken worden bij aanbestedingstrajecten en inkoopformulieren volledig worden ingevuld.

Tussentijdse spendanalyse

We hebben geconstateerd dat per eind september 2024 nog geen tussentijdse spendanalyse is uitgevoerd. Hierdoor bestaat het risico dat (naderende) onrechtmatige contracten niet tijdig gesignaleerd worden, waardoor de gemeente niet tijdig acties kan ondernemen. We adviseren om eerder in het jaar een tussentijdse spendanalyse uit te voeren. We merken daarbij wel op dat de tussentijdse spendanalyse na onze interimcontrole is afgerond.

Boardletter 2024 gemeente Middelburg

8

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving

2.2 Kwaliteit van de interne beheersing - Bevindingen Onderwerp

Omschrijving

Sociaal Domein

De voorgaande accountant rapporteerde over boekjaar 2023 € 2,1 miljoen aan onzekerheden in de Wmo-lasten. Het overgrote deel van deze onzekerheden zag toe op ontbrekende beschikkingen en/of ondersteuningsplannen. De onzekerheid is met name ontstaan doordat de gemeente per 1 januari 2020 haar Wmo-taken weer intern is gaan uitvoeren, nadat deze taken in de voorgaande jaren waren uitbesteed aan Porthos.

De afgelopen jaren heeft de gemeente Middelburg acties ondernomen om deze situatie te verbeteren. Zo heeft de gemeente interne controles uitgevoerd om vast te stellen dat cliënten daadwerkelijk recht op zorg hebben (gehad). Hierdoor is de groep cliënten met onzekerheden over terechte toekenning van zorg verminderd. De gemeente verwacht door beperkte capaciteit op de afdeling in combinatie met een toename van nieuwe Wmo-aanvragen dat de onzekerheden uit voorgaande jaren in boekjaar 2024 nog niet volledig opgelost zullen zijn. We hebben vernomen dat de streefdatum van 31 december 2025 naar verwachting ook niet gehaald zal worden. Wij benadrukken het belang om de onzekerheden in het sociaal domein te verminderen. Memoriaalboekingen

In het financieel pakket Coda is ingeregeld dat een tweede medewerker een voorgestelde memoriaalboeking moet goedkeuren voordat de boeking verwerkt kan worden. De eerste medewerker voegt daarbij een bijlage toe met een onderbouwing voor de memoriaalboeking. Het is voor ons echter niet zichtbaar welke toetspunten er zijn gehanteerd door de tweede medewerker die de uiteindelijk boeking heeft goedgekeurd. We adviseren daarom de tweede medewerker expliciet te laten vastleggen waarom de memoriaalboeking akkoord is. Daarnaast adviseren we om memoriaalboekingen periodiek te laten toetsen door de (V)IC. Daarbij kan een risicogerichte aanpak gehanteerd worden.

Begrotingswijzigingen

Op basis van de procesbespreking hebben we vernomen dat geen sprake is van een ingeregeld 4-ogen principe binnen dit proces. Hierdoor bestaat een verhoogd risico op onjuiste begrotingswijzigingen. We adviseren om binnen dit proces voldoende functiescheiding in te regelen, zodat begrotingswijzigingen altijd collegiaal getoetst worden voordat deze worden verwerkt. Ook adviseren we om begrotingswijzigingen periodiek te laten toetsen door de (V)IC.

ICT-omgeving

Als onderdeel van onze werkzaamheden hebben wij de ICT-omgeving onderzocht. De uitkomsten hieromtrent zijn opgenomen in hoofdstuk 3.

Boardletter 2024 gemeente Middelburg

9

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving

2.3 Kwaliteit van de interne beheersing - Totaaloverzicht In het overzicht hiernaast zijn de bevindingen met de ingeschatte prioriteit opgenomen. De kleur van de het symbool geeft de status van de constatering aan. Opgelost Actie ondernomen, nog niet opgelost Nieuwe bevinding

#

Proces

Bevinding

1

Inkopen

Vastlegging documentatie prestatielevering

Laag

2

Aanbestedingen

Inzet inkoopadviseurs

Midden

3

Aanbestedingen

Inkoopformulier

Laag

4

Aanbestedingen

Timing tussentijdse aanbestedingsanalyse

Midden

5

Wmo

Onzekerheden

Hoog

6

Memorialen

Overwegingen bij goedkeuring & IC’s

Laag

7

Begroting

Functiescheiding & IC’s

Laag

Boardletter 2024 gemeente Middelburg

Status

Prioriteit

10

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving

2.4 Fraude- en corruptierisico’s Beheersing fraude- en corruptierisico’s

Frauderisicoanalyse De primaire verantwoordelijkheid voor het voorkomen en detecteren van fraude (waaronder corruptie) berust bij het college van burgemeester en wethouders. Deze verantwoordelijkheid betreft ook het onderhouden van een zodanige interne beheersing om het opmaken van de jaarrekening mogelijk te maken zonder dat deze afwijkingen van materieel belang bevat als gevolg van fraude of fouten. Voor het opstellen van een frauderisicoanalyse is het raadzaam een template te gebruiken toegespitst op de gemeente. Hierin kan voor processen waar materiële opbrengsten-/kostenstromen mee zijn gemoeid, inzichtelijk worden gemaakt: • welke frauderisico’s de gemeente onderkent; • wat de geschatte kans en impact van deze frauderisico’s is; • wat de risicorespons van de gemeente is, idealiter afgestemd op de risicobereidheid van de gemeente zoals vastgelegd in frauderisicobeleid; • welke aandacht er is voor soft controls om fraude te voorkomen; • welke interne beheersmaatregelen reeds getroffen zijn om onderkende frauderisico’s te mitigeren; • welke eventuele restrisico’s/leemtes in de interne beheersing resteren en hoe de gemeente deze ondervangt (bijvoorbeeld via de verbijzonderde interne controle). De kans- en impactweging van frauderisico’s kan via een risicomatrix weergegeven worden om op basis daarvan prioriteiten te stellen in de wijze waarop met risico’s wordt omgegaan.

Een voorbeeld van hoe een risicomatrix eruit kan zien is hiernaast opgenomen. Wij merken op dat het uitvoeren van een frauderisicoanalyse en het treffen van interne beheersmaatregelen, onderdeel vormen van het bredere ‘frauderisicomanagement’. Frauderisicomanagement omvat namelijk ook het opstellen van frauderisicobeleid (waarvan M&O-beleid ook onderdeel is), het opstellen van een frauderesponsplan voor situaties dat een vermoeden van fraude bestaat en het periodiek intern evalueren in hoeverre frauderisicomanagement voldoende is ingericht en toereikend werkt binnen de organisatie. Op basis van onze uitgevoerde interim-controle stellen wij vast dat er binnen de gemeente aandacht is voor frauderisico’s en de preventie daarvan. Zo heeft de gemeente een geactualiseerde frauderisicoanalyse opgesteld, mede op basis van de fraudedriehoek (mogelijkheid, druk en rationalisatie). We adviseren om de frauderisicoanalyse jaarlijks uit te blijven voeren om vast te stellen in hoeverre de beheersmaatregelen en restrisico’s nog passend zijn. Daarnaast adviseren we om bij de volgende actualisatie de kans en de impact van mogelijke frauderisico’s nader uit te werken om de restrisico’s nader te kwantificeren. Wij adviseren daarbij om te beschrijven welke risico’s de gemeente accepteert en welke risico’s gemitigeerd worden middels reeds genomen of nog te nemen interne beheersingsmaatregelen.

Boardletter 2024 gemeente Middelburg

11

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving

2.4 Fraude- en corruptierisico’s Beheersing fraude- en corruptierisico’s

Naleving M&O-beleid Wij benadrukken dat er een relatie is tussen fraude en misbruik en oneigenlijk gebruik (M&O). M&O is namelijk een vorm van fraude waarbij de nadruk ligt op handelingen van derden in relatie tot het verkrijgen van overheidsbijdragen dan wel het betalen van heffingen. Aangezien de naleving van het M&O-beleid onderdeel is van de rechtmatigheidsverantwoording, zou de toetsing op het naleven van het M&O beleid onderdeel moeten zijn van de werkzaamheden die gedaan worden ten behoeve van het opstellen van deze verantwoording. Zie hiervoor ook de ‘Kadernota Voorkomen en Bestrijden Misbruik en Oneigenlijk gebruik 2023’. Wij constateren dat in de frauderisicoanalyse expliciet aandacht wordt besteed aan M&O-risico’s vanwege de verwevenheid tussen fraude en M&O, waarmee voldaan wordt aan bovenstaande. Onze frauderisicoanalyse Afgelopen jaren signaleren wij een toenemende aandacht voor fraude. Ook de rol van de accountant bij het signaleren van frauderisico’s is afgelopen jaren veelvuldig besproken. Naar aanleiding van de rapportage van de AFM ‘Scherper op frauderisico’s’ van 8 juni 2023 heeft onze beroepsorganisatie de aanpak van frauderisico’s in de controle geëvalueerd en is deze zomer de concept Handreiking 1153 ‘Frauderisicoanalyse’ gepubliceerd.

Daarnaast wijzen wij u op de Handreiking 1137 ‘Corruptie, werkzaamheden van de accountant’, waarin aandacht geschonken wordt aan corruptierisico’s. Wij vragen de gemeente om ook in de eigen frauderisicoanalyse aandacht te hebben voor mogelijke corruptierisico’s binnen de organisatie. De nadere guidance in Handreiking 1153 en 1137 kan er toe leiden dat dit gevolgen heeft voor de frauderisicoanalyse, die wij voor onze controle van de gemeente Middelburg uitvoeren. Dit kan dan tevens betekenen dat wij in vergelijking met voorgaande jaren meer of andere frauderisico's identificeren.

Boardletter 2024 gemeente Middelburg

12

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving

2.4 Fraude- en corruptierisico’s Beheersing fraude- en corruptierisico’s

Op basis van de bedrijfsverkenning en de interim-controle onderkennen wij de volgende frauderisico’s bij onze jaarrekeningcontrole:

1

Fraude-/corruptierisico

Beheersingsmaatregel

Restrisico

Risico dat het management van de gemeente de procesafspraken doorbreekt, hetgeen een standaard risico is vanuit onze beroepsregels. Dit risico ziet bij de gemeente met name toe op de jaarrekening als geheel en niet op een specifieke post.

n.v.t.

Hoog

De inschatting van het restrisico is bepalend voor de aard en diepgang van de aanvullend uit te voeren gegevensgerichte werkzaamheden. Naar aanleiding van de interim-controle hebben wij geen aanwijzingen voor mogelijke fraude.

Boardletter 2024 gemeente Middelburg

13

3

IT-omgeving

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving

IT-omgeving Inleiding

Als onderdeel van onze controleaanpak hebben wij werkzaamheden uitgevoerd om inzicht te krijgen in de toepassing van de IT systemen in de bedrijfsprocessen en de daarbij (eventueel) behorende risico’s.

Tijdens onze interim-controle hebben wij controlewerkzaamheden uitgevoerd op relevante IT-beheersmaatregelen die de organisatie heeft genomen in de IT-processen; beheersen van de IT-operatie (IT-continuïteitsmaatregelen en uitbestede diensten), beheersen van updates (ontwikkelen en implementeren van nieuwe functionaliteit), beheersen van de identiteit van gebruikers (opzetten passende beveiligingsinstellingen) en beheersen van de bevoegdheden van gebruikers (verlenen en onderhouden van toegang). Afhankelijk van het belang van de IT-applicatie voor de jaarrekeningcontrole en de organisatie hanteren wij een bepaalde scope waarbij wij de uitkomsten van de IT-inrichting toetsen. Zie de onderstaande tabel voor de relevante IT-applicaties en de evaluatie van de IT-processen die door ons zijn gecontroleerd. Samenvatting bevindingen

Veel handelingen die binnen organisaties plaatsvinden, worden geregistreerd door middel van automatisering. Daarbij zijn diverse interne beheersingsmaatregelen steeds vaker geautomatiseerd in softwarepakketten. Wij onderzoeken daarom de beheersing van de IT-omgeving en rapporteren daarover in deze boardletter. Op basis van de door ons uitgevoerde werkzaamheden in augustus 2024 hebben wij onze inschatting van de kwaliteit van het IT-systeem en de applicaties opgenomen. Hierbij hebben wij de volgende onderverdeling gemaakt om de kwaliteit weer te geven: Actiepunt: verbetering op (korte) termijn vereist Adviespunt: verdere aanscherping mogelijk Op dit moment voldoende Bij het uitvoeren van onze werkzaamheden hebben wij gekeken naar de algemene onderwerpen rondom de beheersing van de IT omgeving zoals in de tabel hieronder opgenomen. IT-proces IT-applicatie Netwerk

Authenticatie

Autorisatie

Wijzigingsbeheer n.v.t

UNIT4 Financials

Boardletter 2024 gemeente Middelburg

15

Aanbiedingsbrief | 1. Management samenvatting | 2. Kwaliteit interne beheersing | 3. IT-omgeving

IT-omgeving Cybersecurity

Als onderdeel van de jaarrekeningcontrole hebben wij inzicht gekregen in de cybersecurity-gerelateerde risico’s die zouden kunnen leiden tot een potentiële afwijking van materieel belang in de jaarrekening (met betrekking tot zowel financiële als niet-financiële informatie). Hiervoor hebben wij inzicht gekregen in de mate waarin, en de overweging waarom de organisatie bepaalde informatiebeveiligingsmaatregelen heeft genomen om deze cyberrisico's te beperken. Om het risico van cyberbeveiligingsbedreigingen (d.w.z. continuïteit van de dienstverlening en integriteit van de financiële verslaglegging) te verlagen, heeft de organisatie een mix van beveiligingsmaatregelen geïmplementeerd, waaronder: • Preventieve controles: bewustzijnscampagnes, beveiliging van IT-componenten en netwerksegmentatie, MFA i.c.m. extern inloggen. • Detectieve controles: Firewall en anti-virusscan. • Monitoring: kwetsbaarheidsscans / pentest. We hebben in boekjaar 2024 geen cyberbeveiligingsincidenten geconstateerd die mogelijk leiden tot een afwijking van materieel belang in de jaarrekening van de organisatie. Onze controlewerkzaamheden zijn niet primair gericht op het doen van uitspraken over cyberbeveiliging en we hebben ook geen instructies van het management ontvangen voor het uitvoeren van diepgaande IT-werkzaamheden.

Indien de organisatie daar behoefte aan heeft, kan onze IT-Advisory diepgaande cybersecurity werkzaamheden uitvoeren via een IT-verdiepingsopdracht.

NIS2

In Nederland is de Cyberbeveiligingswet (verder: Cbw) in ontwikkeling die vanaf 2025 verplicht zal worden en de EU richtlijn NIS2 (verder: Network and Information Systems Directive) implementeert. De wet is uit de consultatieronde en wordt na de zomer definitief gemaakt voor invoering naar verwachting in voorjaar 2025. Dit heeft betrekking op meerdere sectoren, waaronder de sector waar de organisatie onder valt. Er worden strengere eisen gesteld aan de beveiliging van netwerk- en informatiesystemen. Organisaties worden onder de Cbw meer dan nu verplicht om te zorgen voor de beveiliging van de hele keten waar zij deel van uitmaken. Op basis van het risico in de leveringsketen zullen zij cybersecurity maatregelen moeten opleggen aan hun leveranciers. Die groep leveranciers zal ook digitaal veiliger moeten gaan werken. Daarnaast komt er een verplichte registratie en meldplicht voor incidenten (naast degene die al bestaat voor privacy). Er worden maatregelen ingevoerd om de naleving van de NIS2 richtlijn te verzekeren, inclusief financiële sancties voor niet-naleving. Wij adviseren om vanuit een actueel inzicht in de IT-objecten en gegevens in de keten waarvan de organisatie deel uitmaakt de risico’s te benoemen en maatregelen en contractuele afspraken scherp in beeld te hebben.

Daarop aanvullend dienen vervolgens een aantal basis hygiëne maatregelen conform de nieuwe wet ingericht te worden. Wij hebben hiervoor een stappenplan ontwikkeld en kunnen de gemeente hierbij ondersteunen.

Boardletter 2024 gemeente Middelburg

16

Contact Rutger Peelen Partner Audit r.peelen@bakertilly.nl Dennis Eijke Director Audit d.eijke@bakertilly.nl

Robert-Jan Buijze Manager Audit r.buijze@bakertilly.nl

Kantoorgegevens Baker Tilly (Netherlands) N.V. Stationspark 8b Postbus 85 4460 AG Goes +31 (0) 113 24 20 00

Baker Tilly (Netherlands) N.V. trading as Baker Tilly is a member of the global network of Baker Tilly International Ltd., the members of which are separate and independent legal entities.