Document · PDF

05 bijlage 655678 AR Assurancerapport ENSIA DigiD en SUWInet 2024

Gemeenteraad 1 juli 2025, gemeente Midden-DelflandBij agendapunt: Jaarrekening 20242.224 woorden

Open het PDF bij de gemeente ↗Naar de vergadering →

Tekst van het document

Uit het bestand gehaald, zonder opmaak, tabellen en afbeeldingen

Assurance rapport inzake de Collegeverklaring 2024 van Gemeente Midden-Delfland en de bijlagen 1 DigiD en 2 Suwinet waarnaar in de Collegeverklaring verwezen wordt

Bestemd voor Gemeente Midden-Delfland, Logius, Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, BKWI en het Ministerie van Sociale Zaken en Werkgelegenheid

BKBO bv Kenmerk BKBO/231204-01/V1/AR Rapportdatum: 22 april 2025 Dit assurancerapport heeft 14 pagina’s www.bkbo.nl

Gemeente Midden-Delfland ENSIA Assurancerapport DigiD en Suwinet Rapportdatum: 22 april 2025 Rapport BKBO/231204-01/V1/AR

FEIT Ook al zegt men dat de wetenschap voor niets staat, blijft het een feit dat de zon voor niets opgaat.

Jules Deelder

250422 ENSIA Assurancerapport Midden-Delfland (1.0) © Copyright 2025 BKBO bv. Alle rechten zijn voorbehouden. Reproductie zonder schriftelijke toestemming van de eigenaar is verboden. Wanneer u vragen heeft over dit document kunt u zich richten tot BKBO 073-2110337 Pagina 2 van 14

Gemeente Midden-Delfland ENSIA Assurancerapport DigiD en Suwinet Rapportdatum: 22 april 2025 Rapport BKBO/231204-01/V1/AR

Inhoudsopgave 1

Assurancerapport van de onafhankelijke auditor

Bijlage A1 Rapport van bevindingen DigiD xxllnc Zaken

Bijlage A2 Rapport van bevindingen Suwinet P-wet

Bijlage A3 Rapport van bevindingen Suwinet Adresonderzoek

Bijlage A4 Rapport van bevindingen Suwinet Bbz (carve-out)

Bijlage A5 Rapport van bevindingen Suwinet Wgs

Bijlage Collegeverklaring ENSIA 2024

1.1 1.2 1.3 1.4 1.5 1.6 1.6.1 1.6.2

Ons oordeel De basis voor ons oordeel Object van onderzoek Scope Beoogde gebruikers en doel Beschrijving van de verantwoordelijkheden Verantwoordelijkheden van het college van B&W Verantwoordelijkheden van de IT-auditor

4 4 5 5 6 6 6 7

Gemeente Midden-Delfland ENSIA Assurancerapport DigiD en Suwinet Rapportdatum: 22 april 2025 Rapport BKBO/231204-01/V1/AR

Assurancerapport van de onafhankelijke auditor Aan: Rapportdatum: Van:

College van B&W van Gemeente Midden-Delfland 22 april 2025 BKBO bv

Assurance over de Collegeverklaring ENSIA 2024 van de gemeente MiddenDelfland en de bijlagen 1 DigiD en 2 Suwinet waarnaar in de Collegeverklaring wordt verwezen

1.1

Ons oordeel

Ingevolge uw opdracht hebben wij de bijgevoegde collegeverklaring ENSIA 2024 inzake Informatiebeveiliging van DigiD en Suwinet (hierna: collegeverklaring), inclusief de bijlagen 1 DigiD en 2 Suwinet waarnaar in de collegeverklaring wordt verwezen, van de gemeente Midden-Delfland onderzocht. Naar ons oordeel is bijgevoegde collegeverklaring, inclusief de bijlagen 1 DigiD en 2 Suwinet waarnaar in de collegeverklaring wordt verwezen, van de gemeente MiddenDelfland, in alle van materieel belang zijnde aspecten, juist.

1.2

De basis voor ons oordeel

Wij hebben ons onderzoek uitgevoerd volgens Nederlands recht, de NOREA Richtlijn 3000A “Assurance-opdrachten door IT-auditors (Attest-opdrachten)” en de NOREA Handreiking ENSIA voor IT-auditors (RE’s) versie 5.0 d.d. 19 december 2024. Deze opdracht is gericht op het verkrijgen van een redelijke mate van zekerheid. Onze verantwoordelijkheden op grond hiervan zijn beschreven in de sectie 'Verantwoordelijkheden van de IT-auditor’. Wij zijn onafhankelijk van de gemeente Midden-Delfland en hebben voldaan aan de overige vereisten van het Reglement Gedragscode (‘Code of Ethics’) van NOREA. Wij vinden dat de door ons verkregen assurance-informatie voldoende en geschikt is als basis voor ons oordeel.

Gemeente Midden-Delfland ENSIA Assurancerapport DigiD en Suwinet Rapportdatum: 22 april 2025 Rapport BKBO/231204-01/V1/AR

1.3

Object van onderzoek

Met de collegeverklaring geeft het College van Burgemeester en Wethouders, aan in welke mate de gemeente voldoet aan de informatiebeveiligingsnormen voor DigiD en Suwinet. De collegeverklaring maakt onderdeel uit van de verantwoording over informatiebeveiliging middels ENSIA en is tot stand gekomen door een zelfevaluatie over informatiebeveiligingsnormen gebaseerd op de ‘Norm ICT-beveiligingsassessments DigiD versie 3.0’ van Logius voor DigiD en de door de toezichthouder geselecteerde eisen uit de ‘Baseline Informatiebeveiliging Overheid’, versie 1.04zv voor Suwinet. Wij benadrukken dat het specifiek geselecteerde normen zijn en daarmee geen uitspraak wordt gedaan over de informatiebeveiliging als geheel. Betreffende DigiD gaat de verantwoording over de opzet, het bestaan van de interne beheersingsmaatregelen om te kunnen voldoen aan de relevante beveiligingsnormen voor DigiD op 31 december 2024 alsmede de werking van de maatregelen U/TV.01; U/WA.02; C.07; C.08 en C.09 gedurende de periode 1 juli – 31 december 2024. Betreffende Suwinet gaat de verantwoording over de opzet en het bestaan van de interne beheersingsmaatregelen per 31 december 2024.

1.4

Scope

De scope van ons onderzoek bestond uit de hierna genoemde DigiD aansluitingen en Suwinet gegevensverwerkingen. De onderzochte DigiD aansluitingen zijn: Aansluitnummer

Aansluitnaam

1003883

Gemeente Midden-Delfland DigiD

De onderzochte gegevensverwerkingen Suwinet zijn: Type Gegevensverwerking Suwinet-Inkijk (Suwi-taak)

Werk en Inkomen (o.a. uitvoering P-wet, IOAW/IOAZ)

Suwinet-Inkijk (niet-Suwi taak)

Adresonderzoek Burgerzaken

Carve-out via RBZ Rotterdam

Werk en Inkomen (uitvoering Besluit Bijstand Zelfstandigen)

Suwinet-Inkijk (Suwi-taak)

Schuldhulp (Wet gemeentelijke schuldhulpverlening)

Gemeente Midden-Delfland ENSIA Assurancerapport DigiD en Suwinet Rapportdatum: 22 april 2025 Rapport BKBO/231204-01/V1/AR

Wij hebben tijdens ons onderzoek -conform collegeverklaring- vastgesteld dat in tegenstelling tot de opgave van BKWI gedurende het verantwoordingsjaar 2024 alleen gebruik is gemaakt van Suwinet Inkijk en niet van DKD Inlezen. Wij hebben geen onderzoek uitgevoerd naar hierboven niet genoemde DigiD aansluitingen en gegevensverwerkingen Suwinet en doen daar derhalve ook geen uitspraak over. Zoals in de collegeverklaring is aangegeven wordt nog niet aan alle normen inzake DigiD en/of Suwinet voldaan. Benadrukking aangelegenheden Wij hebben vastgesteld dat de op de uitzonderingen gerichte beheersingsmaatregelen in verbeterplannen zijn opgenomen, zijn belegd en worden gemonitord. Ons onderzoek heeft zich niet gericht op de juistheid, volledigheid en uitvoering van de verbeterplannen. Ons oordeel is niet aangepast als gevolg van deze aangelegenheid.

1.5

Beoogde gebruikers en doel

Ons assurance rapport is bestemd voor gebruikers van de collegeverklaring. De collegeverklaring is opgesteld voor de gemeenteraad en voor de departementen en aangewezen uitvoeringsinstanties die toezien op de veiligheid van DigiD en Suwinet. Doel van de collegeverklaring is om de gemeenteraad en de departementen die toezien op de veiligheid van DigiD en Suwinet te informeren over het voldoen aan de geselecteerde normen DigiD en Suwinet. Ons assurance rapport mag enkel worden gebruikt door de beoogde gebruikers voor het doel waarvoor het is opgesteld en dient niet te worden verspreid aan of te worden gebruikt door anderen of voor een ander doel.

1.6

Beschrijving van de verantwoordelijkheden

1.6.1

Verantwoordelijkheden van het college van B&W

Het college van burgemeester en wethouders van de gemeente Midden-Delfland is verantwoordelijk voor het opstellen van de collegeverklaring.

Gemeente Midden-Delfland ENSIA Assurancerapport DigiD en Suwinet Rapportdatum: 22 april 2025 Rapport BKBO/231204-01/V1/AR

Het college is ook verantwoordelijk voor een zodanige interne beheersing als het noodzakelijk acht om het opstellen van de collegeverklaring mogelijk te maken zonder afwijkingen van materieel belang als gevolg van fraude of fouten.

1.6.2

Verantwoordelijkheden van de IT-auditor

Onze verantwoordelijkheid is het zodanig plannen en uitvoeren van ons onderzoek dat wij daarmee voldoende en geschikte assurance-informatie verkrijgen voor het door ons af te geven oordeel. Ons onderzoek is uitgevoerd met een hoge mate maar geen absolute mate van zekerheid waardoor het mogelijk is dat wij tijdens ons onderzoek niet alle materiële afwijkingen als gevolg van fraude of fouten ontdekken. Wij passen het ‘Reglement Kwaliteitsbeheersing NOREA’ (RKBN) toe. Op grond daarvan beschikken wij over een samenhangend stelsel van kwaliteitsmanagement inclusief vastgelegde richtlijnen en procedures inzake de naleving van de ethische voorschriften, professionele standaarden en andere relevante wet- en regelgeving. Onze assurance-opdracht bestond onder andere uit: •

het verkrijgen van kennis omtrent de collegeverklaring en andere omstandigheden rond de opdracht waaronder het verkrijgen van kennis omtrent de interne beheersingsmaatregelen;

•

het op basis van deze kennis identificeren en inschatten van de risico's dat de collegeverklaring onjuistheden van materieel belang als gevolg van fraude of fouten bevat;

•

het in reactie op deze risico’s bepalen en uitvoeren van assurancewerkzaamheden en het verkrijgen van assurance-informatie die voldoende en geschikt is als basis voor ons oordeel;

•

het evalueren of de collegeverklaring in overeenstemming is met de onderliggende beheersingsmaatregelen en uitgevoerde werkzaamheden; en

•

het evalueren van de uitkomsten van onze werkzaamheden.

Gemeente Midden-Delfland ENSIA Assurancerapport DigiD en Suwinet Rapportdatum: 22 april 2025 Rapport BKBO/231204-01/V1/AR

Vlijmen d.d. 22 april 2025 BKBO bv

Signed By: Martinus Benedictus Hermann IJpelaar 2025-04-22T13:11:32+02:00 ID: 14958c97-5437-4fa2-a607-f192525b4bb3 Auth: csc

drs. M.B.H. IJpelaar RE CEH CISA CIPP/E, directeur

T.S. Verdouw BSW, auditondersteuner

Gemeente Midden-Delfland ENSIA Assurancerapport DigiD en Suwinet Rapportdatum: 22 april 2025 Rapport BKBO/231204-01/V1/AR

Bijlage A1 Rapport van bevindingen DigiD xxllnc Zaken Deze bijlage bevat de testresultaten van de auditor en is niet bestemd voor de verticale toezichthouder en wordt slechts verstrekt aan de gemeente Midden-Delfland.

Gemeente Midden-Delfland ENSIA Assurancerapport DigiD en Suwinet Rapportdatum: 22 april 2025 Rapport BKBO/231204-01/V1/AR

Bijlage A2 Rapport van bevindingen Suwinet P-wet Deze bijlage bevat de testresultaten van de auditor en is niet bestemd voor de verticale toezichthouder en wordt slechts verstrekt aan de gemeente Midden-Delfland.

Gemeente Midden-Delfland ENSIA Assurancerapport DigiD en Suwinet Rapportdatum: 22 april 2025 Rapport BKBO/231204-01/V1/AR

Bijlage A3 Rapport van bevindingen Suwinet Adresonderzoek Deze bijlage bevat de testresultaten van de auditor en is niet bestemd voor de verticale toezichthouder en wordt slechts verstrekt aan de gemeente Midden-Delfland.

Gemeente Midden-Delfland ENSIA Assurancerapport DigiD en Suwinet Rapportdatum: 22 april 2025 Rapport BKBO/231204-01/V1/AR

Bijlage A4 Rapport van bevindingen Suwinet Bbz (carve-out) Deze bijlage bevat de testresultaten van de auditor en is niet bestemd voor de verticale toezichthouder en wordt slechts verstrekt aan de gemeente Midden-Delfland.

Gemeente Midden-Delfland ENSIA Assurancerapport DigiD en Suwinet Rapportdatum: 22 april 2025 Rapport BKBO/231204-01/V1/AR

Bijlage A5 Rapport van bevindingen Suwinet Wgs Deze bijlage bevat de testresultaten van de auditor en is niet bestemd voor de verticale toezichthouder en wordt slechts verstrekt aan de gemeente Midden-Delfland.

Gemeente Midden-Delfland ENSIA Assurancerapport DigiD en Suwinet Rapportdatum: 22 april 2025 Rapport BKBO/231204-01/V1/AR

Bijlage Collegeverklaring ENSIA 2024 De bijgevoegde collegeverklaring inclusief de door de gemeente Midden-Delfland opgestelde bijlagen 1 DigiD en 2 Suwinet.

De tekst is automatisch uit het bestand gehaald en kan afwijken van het origineel (kolommen, tabellen en koppen lopen door elkaar). Het officiële stuk bij de gemeente is leidend. Bron: https://api1.ibabs.eu/publicdownload.aspx?site=middendelfland&id=39134ca0-001d-4542-bf5e-98e1d7fda8fc