A2. Jaarverslag Informatiebeveiliging 2025 voor Raad
Tekst van het document
Inhoudsopgave
Managementsamenvatting .................................................................................................... 3 1.
Inleiding ...................................................................................................................... 5
2.
IB-beleid, doelstellingen en ambities ............................................................................... 6
3.
2.1.
Wat is informatiebeveiliging? ................................................................................. 6
2.2.
Baseline Informatiebeveiliging Overheid (BIO) ......................................................... 6
2.3.
Informatieveiligheid is geborgd in de organisatie ...................................................... 6
2.4.
Uitgangpunten en doelen van ons informatiebeveiligingsbeleid ................................... 7
2.5.
Relatie met privacy ............................................................................................... 8
ENSIA (Eenduidige Normatiek Single Information Audit) .................................................... 9 3.1.
Aanleiding ........................................................................................................... 9
3.2.
Uitvoering van ENSIA 2025 ................................................................................... 10
3.3.
Verantwoordingsrapportages zelfevaluatie 2025 ...................................................... 11
3.4.
Resultaten zelfevaluaties per stelsel ....................................................................... 12
3.4.1.
Zelfevaluaties BRP en PUN ................................................................................ 12
3.4.2. Zelfevaluatie basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO). ............................................................................................ 13 4.
Collegeverklaring ENSIA inzake informatiebeveiliging Suwinet ........................................... 15
5.
Samenvattend beeld en resultaten informatiebeveiliging 2025 .......................................... 16 5.1.
Achtergrond ........................................................................................................ 16
5.2.
Resultaat meting BIO ........................................................................................... 17
5.3.
Algemene Verordening Gegevensbescherming (AVG) ............................................... 18
6.
Disclaimer .................................................................................................................. 20
7.
Realisatie doelstellingen IB-beleid .................................................................................. 21
8.
9.
7.1.
Controls & beheersmaatregelen IB ......................................................................... 22
7.2.
Jaarplan Informatiebeveiliging 2026 met verbeterpunten .......................................... 23
7.3.
Nieuwe wet- en regelgeving over informatiebeveiliging ............................................ 27
Incidenten, ontdekte kwetsbaarheden en datalekken ....................................................... 29 8.1.
Gemelde incidenten en kwetsbaarheden ................................................................. 29
8.2.
Gemelde datalekken ............................................................................................ 29
Meerjarenperspectief ................................................................................................... 32 9.1.
Grootste risico’s voor gemeenten........................................................................... 32
9.2.
Dreigingsbeeld 2025 – 2026 ................................................................................. 33
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
2
Managementsamenvatting Het College van B&W van gemeente Midden-Delfland legt jaarlijks verantwoording af over het informatiebeveiligingsbeleid. Dit jaarverslag Informatiebeveiliging Midden-Delfland 2025 bevat die verantwoording. Het jaarverslag is gebaseerd op een actuele meting vanuit ons ISMS1. Deze meting is uitgevoerd op basis van de 112 normen zoals opgenomen in de Baseline Informatiebeveiliging Overheid (BIO). Hierin zijn ook de resultaten uit de Eenduidige Normatiek Single Information Audit (ENSIA) 2025 opgenomen. Deze meting heeft het karakter van een zelfevaluatie waarbij is nagegaan in hoeverre de gemeente voldoet aan de 112 normen uit de BIO. De normen uit de BIO zijn vooral vanuit een generiek beeld beoordeeld en niet specifiek toegespitst op applicaties. In het jaarverslag houden we rekening met verbeterpunten die voortkomen uit de meting over de BIO, ENSIA 2025 en de DigiD/Suwinet-audit. De verbeterpunten met de hoogste risico’s vormen het informatiebeveiliging jaarplan 2026. Het College van B&W wordt verzocht het jaarverslag informatiebeveiliging 2024 vast te stellen en de CISO het mandaat te geven het jaarplan met verbeteracties uit te (laten) voeren.
Activiteiten in 2025 In 2025 is op het gebied van informatiebeveiliging het volgende gerealiseerd: • Het Information Security Management System (ISMS) hebben we met taken verder uitgerold naar andere beheerders van applicaties om de plan-do-check-act cyclus voor informatiebeveiliging op een breder vlak structureel vorm te geven. Dit doen we gefaseerd en gaat in 2026 verder. • We hebben AI-beleid opgesteld als leidraad voor het gebruik van AI toepassingen. • We zijn gestart met het actualiseren ons dataclassificatie-overzicht en implementeren labelprocedures in de vakapplicaties, dit loopt door in 2026. • We verbeterden het beheer van toegangsrechten binnen vakapplicaties, waarbij functioneel applicatiebeheerders een centrale rol krijgen. • We planden een cybercrisisoefening die gericht is op het vergroten van bewustwording en het testen van beveiligingsmaatregelen. Dit is door vertrek van deelnemende medewerkers doorgeschoven naar 2026. • We implementeerden een SIEM/SOC-systeem om kwetsbaarheden en beveiligingsincidenten vroegtijdig te signaleren en daarop te reageren. • We werkten onze bedrijfscontinuïteitsplannen verder uit, met extra aandacht voor noodscenario’s voor cruciale processen zoals burgerzaken, dit loopt door in 2026. • We voerden penetratietesten uit om inzicht te krijgen in de effectiviteit van beveiligingsmaatregelen en om risico’s te verkleinen.
Beveiligingsincidenten In 2025 zijn 244 spam/phishing meldingen, 20 incidenten en 118 geconstateerde kwetsbaarheden gemeld bij de CISO en ISO. Het gaat hierbij ook om ontdekte kwetsbaarheden die met updates van software en zijn opgelost. De kwetsbaarheidsmeldingen kwamen voornamelijk van de Informatie Beveiligingsdienst (IBD) en betroffen geconstateerde kwetsbaarheden in software met daarbij het advies over hoe deze zijn te verhelpen.
1
ISMS is een Engelse afkorting en staat voor Information Security Management System. In het Nederlands wordt dit aangeduid als een managementsysteem voor informatiebeveiliging.
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
3
Datalekken In 2025 zijn 13 datalekken gemeld bij de privacy officer.
Aantal gemelde datalekken 2020 2021 2022 2023 2024 2025 0
5
10
15
20
Zelfevaluaties Gemeenten moeten richting de Rijksoverheid verantwoording afleggen over de Basisregistratie Personen (BRP), Paspoortuitvoeringsregeling (PUN), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO) en de Structuur uitvoeringsorganisatie Werk en Inkomen (SUWI). Hieronder de resultaten per onderdeel voor 2024: • De BRP en reisdocumenten (PUN) scoren met respectievelijk 95% en 96% score goed op de norm. • De BAG scoort met 100 % ruim voldoende, derhalve worden nog verbeteracties voorgesteld. • De BGT scoort met 100 %goed op de norm. • De BRO scoort met 93 %goed op de norm. • De gemeente Midden-Delfland is DigiD aansluithouder voor de Persoonlijke Internetpagina en webformulieren van ons zaaksysteem (xxllnc zaken). Dit wordt vanaf dit jaar op een andere wijze verantwoord. Over het gebruik van DigiD is door een externe IT-auditor vastgesteld dat op alle onderdelen wordt voldaan aan het gestelde normenkader. • Over het gebruik van Suwinet is door een externe IT-auditor vastgesteld dat op alle onderdelen wordt voldaan aan het gestelde normenkader. Vooruitblik 2026 op het gebied van de informatiebeveiliging Activiteiten voor 2026: • We actualiseren ons Strategisch Informatiebeveiligingsbeleid volgens de nieuwe Cyberbeveiligingswet en BIO 2.0.
• We passen onze processen en informatiebeveiligingsorganisatie aan op aangescherpte regelgeving zoals NIS 2, de Cyberbeveiligingswet en de BIO 2.0. • We organiseren verplichte trainingen voor bestuurders, zodat zij de risico’s van cyberveiligheid beter begrijpen en integreren in regulier risicobeheer. • We stellen een overzicht samen van wie contact onderhoudt met welke overheidsinstanties en toezichthouders met betrekking tot informatiebeveiliging • We actualiseren ons dataclassificatie-overzicht en implementeren labelprocedures in de vakapplicaties. • We plannen een cybercrisisoefening die gericht is op het vergroten van bewustwording en het testen van beveiligingsmaatregelen. • We werken onze bedrijfscontinuïteitsplannen verder uit, met het in 2025 gestarte noodscenario met uitwijk voor de cruciale processen van burgerzaken. • We rollen het ISMS breder uit en versterken de controle en verbetering door interne audits.
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
4
1. Inleiding Met de VNG resolutie “Informatieveiligheid, randvoorwaarde voor de professionele gemeente” van 2013 hebben de gemeenten afgesproken de Baseline Informatieveiligheid Gemeenten (BIG) te implementeren. Deze baseline is vanaf 2020 overgegaan in de Baseline Informatiebeveiliging Overheid (BIO) en is nu de kern van de verantwoording over informatieveiligheid aan de gemeenteraad. Gemeenten verantwoorden zich daarom elk jaar over de kwaliteit van de beveiliging van de informatievoorziening. Sinds 2018 gebeurd dit met de Eenduidige Normatiek Single Information Audit (ENSIA). Gemeenten voeren nu over 2025 opnieuw een zelfevaluatie informatiebeveiliging uit. Deze is onder meer gericht op beveiligingsnormen van de BIO, AVG, BRP, PUN, BAG, BGT, DigiD en Suwinet. Het College van B&W rapporteert aan de gemeenteraad over de stand van zaken van de informatievoorziening met een jaarverslag. Dit jaarverslag informatiebeveiliging bevat naast informatie over de informatiebeveiliging in brede zin ook een verwijzing naar de verplichte ‘Collegeverklaring ENSIA’. Deze gaat over twee specifiek geselecteerde beveiligingsnormenkaders (DigiD en Suwinet). Een gecertificeerd IT-auditor heeft de Collegeverklaring getoetst en een assurance-rapport opgeleverd dat nodig is voor de verticale verantwoording.
Met dit achtste jaarverslag over onze informatiebeveiliging geven we uitvoering aan de verantwoordingsplicht naar de gemeenteraad.
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
5
2. IB-beleid, doelstellingen en ambities Met de vaststelling van het integraal informatiebeveiligingsbeleid in 2015 zette de gemeente Midden-Delfland een belangrijke eerste stap om de beveiliging van persoonsgegevens en andere informatie binnen de gemeente op orde te houden. Het huidige strategisch informatiebeveiligingsbeleid is gebaseerd op de Baseline Informatiebeveiliging Overheid, die per 2020 de Baseline Informatiebeveiliging Gemeenten opvolgde.
2.1.
Wat is informatiebeveiliging?
Onder informatiebeveiliging wordt verstaan: het treffen en onderhouden van een samenhangend pakket aan maatregelen om de betrouwbaarheid van de informatievoorziening te waarborgen. Kernpunten daarbij zijn beschikbaarheid, integriteit (juistheid) en vertrouwelijkheid van persoonsgegevens en andere informatie. Het informatiebeveiligingsbeleid geldt voor het complete proces van informatievoorziening en de hele levenscyclus van informatiesystemen. Het beperkt zich niet alleen tot de ICT en heeft betrekking op het politiek bestuur, medewerkers, burgers en bedrijven en samenwerkingspartners.
2.2.
Baseline Informatiebeveiliging Overheid (BIO)
In november 2013 is tijdens de Buitengewone Algemene Ledenvergadering (BALV) van de Vereniging van Nederlandse Gemeenten (VNG) de Resolutie ‘Informatieveiligheid, randvoorwaarde voor de professionele gemeente’ bekrachtigd. Deze Resolutie is opgesteld door de Vereniging van Nederlandse Gemeenten (VNG) in samenwerking met de Informatiebeveiligingsdienst voor gemeenten (IBD) en de Taskforce Bestuur en Informatieveiligheid Dienstverlening (Taskforce BID). De resolutie houdt in dat iedere gemeente het informatiebeveiligingsbeleid vaststelt aan de hand van de Baseline Informatiebeveiliging. Vanaf 1 januari 2020 is de Baseline Informatiebeveiliging Overheid (BIO) van kracht. De BIO vervangt de bestaande baselines informatieveiligheid voor Gemeenten (BIG) uit 2013, Rijk, Waterschappen en Provincies. Hiermee is één gezamenlijk normenkader ontstaan voor informatiebeveiliging binnen de gehele overheid, gebaseerd op de internationaal erkende ISOnormen NEN-ISO/IEC 27001 en NEN-ISO/IEC 27002. Gericht op risicomanagement De BIO legt de nadruk op risicomanagement. De rol van bestuurders en lijnmanagers is daarbij explicieter geworden. Om hieraan invulling te geven, is gelijktijdig met de BIO de handreiking ‘10 bestuurlijke principes voor informatiebeveiliging’ van kracht geworden.
Deze principes ondersteunen bestuurders bij het nemen van hun verantwoordelijkheid op het gebied van informatieveiligheid.
2.3.
Informatieveiligheid is geborgd in de organisatie
Ons doel is om ‘in control’ te zijn op het gebied van informatiebeveiliging. ‘In control’ zijn betekent dat we inzicht hebben in welke passende technische en organisatorische maatregelen nodig zijn, welke al zijn getroffen, en dat we actief controleren of deze maatregelen effectief functioneren. Het belang van informatieveiligheid is voor alle doelgroepen duidelijk Mensen zijn de sleutel tot informatiebeveiliging. Voor een beveiligingsincident dat uitmondt in een datalek is vaak niet meer nodig dan een klik op een verkeerd linkje, een verkeerd geadresseerde e-mail met gegevens over een burger, een verloren laptop of het uitlenen van een toegangspas. Dit risico kan alleen beheerst worden als dag-in-dag-uit gewerkt wordt aan bewustzijn van medewerkers, medewerkers veilige tools en procedures ter beschikking hebben om hun werk te doen en als bestuurders zelf het goede voorbeeld geven. De P&C-cyclus voor informatieveiligheid is ingericht De P&C-cyclus voor informatieveiligheid is ingericht. De implementatie en borging van informatiebeveiliging is een continu proces. Omgevingsfactoren, en de bijbehorende bedreigingen en kwetsbaarheden, veranderen voortdurend. Daarom is het essentieel dat organisaties periodiek evalueren en bijsturen om de beveiligingsmaatregelen actueel en effectief te houden.
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
6
Informatiebeveiligingsplan Op basis van het informatiebeveiligingsbeleid stellen we jaarlijks een informatiebeveiligingsplan op. Hierin geven we aan op welke wijze de informatiebeveiliging wordt verbeterd en welke tijdsplanning hierbij gehanteerd gaat worden.
2.4.
Uitgangpunten en doelen van ons informatiebeveiligingsbeleid
Uitgangspunten informatiebeveiligingsbeleid De belangrijkste globale uitgangspunten van het informatiebeveiligingsbeleid zijn: • Het College van B&W is eindverantwoordelijk voor informatiebeveiliging en stelt het informatiebeveiligingsbeleid vast. • De gemeentesecretaris is verantwoordelijk voor de uitvoering van het Informatiebeveiligingsbeleid. • De Chief Information Security Officer (hierna CISO) is gepositioneerd in een lijnfunctie. • De CISO rapporteert jaarlijks over de informatiebeveiliging aan het college van burgemeester en wethouders. • In het kader van de signaalfunctie rapporteert de CISO in bijzondere gevallen waarbij de veiligheid van de organisatie in het gedrang komt of dreigt te raken rechtstreeks aan de gemeentesecretaris. • Aan de hand van een GAP-analyse uit ons ISMS en het actuele dreigingsbeeld (van NCSC en IBD) wordt periodiek een top 10 van te nemen maatregelen opgesteld. • Kennis en bewustzijn van informatiebeveiliging en omgaan met persoonsgegevens binnen de gemeente Midden-Delfland worden bevorderd en geborgd. Strategische doelen Informatiebeveiligingsbeleid De strategische doelen van het informatiebeveiligingsbeleid zijn: • Het managen van de informatiebeveiliging. • Adequate bescherming van bedrijfsmiddelen. • Het minimaliseren van risico’s van menselijk gedrag. • Het voorkomen van ongeautoriseerde toegang.
• Het garanderen van correcte en veilige informatievoorzieningen. • Het beheersen van de toegang tot informatiesystemen. • Het waarborgen van veilige informatiesystemen. • Het adequaat reageren op incidenten. • Het beschermen van kritieke bedrijfsprocessen. • Het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers. • Het waarborgen van de naleving van dit beleid De 10 principes voor informatiebeveiliging voor de bestuurder Een incident binnen de gemeentelijke processen kan directe gevolgen hebben voor onze inwoners, ondernemers en partners. Daarom moet informatiebeveiliging een expliciet aandachtspunt zijn voor bestuurders. De onderstaande tien principes voor informatiebeveiliging vormen een bestuurlijke aanvulling op het normenkader van de BIO. Ze gaan over de waarden en verantwoordelijkheden die bestuurders zichzelf opleggen om grip te houden op informatieveiligheid. 1. Bestuurders bevorderen een veilige cultuur. 2. Informatiebeveiliging is van iedereen. 3. Informatiebeveiliging is risicomanagement. 4. Risicomanagement is onderdeel van de besluitvorming. 5. Informatiebeveiliging behoeft ook aandacht in (keten)samenwerking. 6. Informatiebeveiliging is een proces. 7. Informatiebeveiliging kost geld. 8. Onzekerheid calculeren we in. 9. Verbetering komt voort uit leren en ervaring. 10. Het bestuur controleert en evalueert.
De principes gaan vooral over de rol van het bestuur bij het borgen van informatiebeveiliging in de gemeentelijke organisatie. Deze principes ondersteunen de bestuurder bij het uitvoeren van goed risicomanagement.
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
7
2.5.
Relatie met privacy
Sinds de inwerkingtreding van de Algemene Verordening Gegevensbescherming (AVG) op 25 mei 2018 staat privacy volop in de schijnwerpers. Privacy heeft specifiek betrekking op persoonsgegevens — een begrip dat ruim moet worden geïnterpreteerd. Zo kan bijvoorbeeld een kenteken als persoonsgegeven worden beschouwd als het herleidbaar is tot een individu. Informatiebeveiliging heeft een breder aandachtsgebied. Het richt zich niet alleen op de bescherming van persoonsgegevens, maar ook op zaken als bedrijfscontinuïteit en de beveiliging van andere soorten informatie. Toch worden privacy en informatiebeveiliging vaak in één adem genoemd, en terecht. Veel beveiligingsmaatregelen dragen direct bij aan het waarborgen van privacy. Omgekeerd versterken privacyvereisten, zoals het afsluiten van verwerkersovereenkomsten, ook de informatiebeveiliging. Binnen gemeente Midden-Delfland worden informatiebeveiliging en privacy daarom in samenhang benaderd. Afbeelding: relatie informatiebeveiliging met privacy
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
8
3. ENSIA (Eenduidige Normatiek Single Information Audit) 3.1.
Aanleiding
Sinds 1 juli 2017 is ENSIA (Eénduidige Normatiek Single Information Audit) de verplichte verantwoordingsmethodiek voor gemeenten. Deze is ontwikkeld door BZK (Binnenlandse Zaken en Koninkrijksrelaties), SZW (Sociale Zaken en Werkgelegenheid), IenM (Infrastructuur en Milieu), VNG (Vereniging van Nederlandse Gemeenten) en gemeenten zelf. ENSIA ondersteunt gemeenten bij hun verantwoordelijkheid voor informatieveiligheid. Jaarlijks wordt verantwoording afgelegd over onder andere DigiD, Suwinet, BRP (Basisregistratie Personen), BAG (Basisregistratie Adressen en Gebouwen), BGT (Basisregistratie Grootschalige Topografie), BRO (Basisregistratie Ondergrond) en PUN (Paspoortuitvoeringsregeling Nederland). Deze verantwoording sluit aan op de P&C-cyclus en is in lijn met de BIO (Baseline Informatiebeveiliging Overheid). Achtergrond ENSIA (Eénduidige Normatiek Single Information Audit) helpt gemeenten om transparant en aantoonbaar ‘in control’ te zijn op het gebied van informatieveiligheid. Gemeenten leggen verantwoording af aan zowel de gemeenteraad als landelijke toezichthouders, zoals BZK (Binnenlandse Zaken en Koninkrijksrelaties), IenW (Infrastructuur en Waterstaat) en SZW (Sociale Zaken en Werkgelegenheid), over onder andere BRP (Basisregistratie Personen), PUN (Paspoortuitvoeringsregeling Nederland), DigiD, BAG (Basisregistratie Adressen en Gebouwen) en Suwinet.
ENSIA bundelt deze verantwoordingslijnen in één werkwijze, gebaseerd op de BIO (Baseline Informatiebeveiliging Overheid). Waar mogelijk zijn toezichtvereisten geïntegreerd in de ENSIAvragenlijst, die is afgeleid van de BIO. Hoewel ENSIA bedoeld is om audits te vereenvoudigen, nemen de werkzaamheden jaarlijks toe. Dit komt door uitbreiding van normenkaders, nieuwe wet- en regelgeving, en een groeiend aantal domeinen waarop informatieveiligheid en privacy van toepassing zijn. ENSIA en de BIO bieden gemeenten de kans om het proces van aantoonbare informatieveiligheid te verbeteren. Door toenemende digitalisering en decentralisatie beheren gemeenten steeds meer (persoons)gegevens. Jaarlijks wordt verantwoording afgelegd over de kwaliteit van informatieveiligheid en de gebruikte systemen.
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
9
3.2.
Uitvoering van ENSIA 2025
ENSIA ondersteunt zowel het horizontale als het verticale verantwoordingsproces. De ontwikkeling gaat daarbij steeds meer in de richting van horizontale verantwoording. Hieronder is het ENSIAproces voor het verantwoordingsjaar 2025 grafisch weergegeven. Meer informatie over ENSIA en de werkwijze is terug te vinden op www.ensia.nl. Afbeelding: grafische weergave ENSIA verantwoordingsproces 2025
Verklaring van het college van burgemeester en wethouders Sinds 2020 wordt de zelfevaluatie uitgevoerd aan de hand van vragenlijsten die zijn gebaseerd op de BIO (Baseline Informatiebeveiliging Overheid). Op basis van de uitkomsten van deze zelfevaluatie is een collegeverklaring opgesteld, waarop een audit heeft plaatsgevonden. De scope van de audit over 2025 is, net als in voorgaande jaren, beperkt tot Suwinet en DigiD. De collegeverklaring, waarin de gemeente de algehele status van informatieveiligheid verantwoordt, wordt ‘horizontaal’ aangeboden en als bijlage opgenomen in dit jaarverslag. Deze verklaring wordt als integraal rapport toegevoegd aan het jaarverslag informatiebeveiliging (zie ook hoofdstuk 3). Toelichting werkwijze zelfevaluatie. Via de online ENSIA-tool zijn zelfevaluatievragenlijsten beschikbaar gesteld aan de gemeentelijke ENSIA-coördinator. Deze vragenlijsten bestrijken het volledige domein van de BIO (Baseline Informatiebeveiliging Overheid), inclusief specifieke normen voor: • BRP (Basisregistratie Personen) • PUN (Paspoortuitvoeringsregeling Nederland) • DigiD (Digitale persoonsidentificatie) • BAG (Basisregistratie Adressen en Gebouwen) • BGT (Basisregistratie Grootschalige Topografie) • BRO (Basisregistratie Ondergrond) • Suwinet (Structuur uitvoeringsorganisatie Werk en Inkomen) Jaarverslag Informatiebeveiliging Midden-Delfland 2026
10
In de periode van 1 juli tot 31 december 2025 zijn de vragenlijsten ingevuld door de domeinbeheerders en ingediend bij de landelijke toezichthouders. Voor de basisregistraties BAG, BGT en BRO zijn aanvullende verantwoordingsrapportages als bijlagen toegevoegd. Verticale verantwoording ‘Verticaal’ verantwoorden we met de collegeverklaring de specifieke status van auditonderdeel Suwinet richting de betreffende landelijke toezichthouder. In voorgaande jaren betrof dit ook DigiD. DigiD maakt vanaf dit jaar geen onderdeel meer uit van de collegeverklaring. De landelijke toezichthouder Logius heeft de verantwoordingssystematiek aangepast. De beveiliging van DigiD wordt voortaan volledig en rechtstreeks door de externe IT-auditor getoetst volgens een aparte auditmethodiek. Daarnaast rapporteren we onze zelfevaluatie over de BAG, BGT en BRO naar de verticale toezichthouder (Ministerie van Binnenlandse Zaken en Koninkrijksrelaties.) De rapportagedeadline hiervoor is 30 april 2026. In paragraaf 3.3 vindt u de conclusies uit de betreffende verantwoordingsrapportages.
3.3.
Verantwoordingsrapportages zelfevaluatie 2025
De verantwoordingrapportages over de ingevulde ENSIA-vragenlijsten zijn als bijlagen bijgevoegd voor het college en de raad. De verantwoording over de BIO bevat de vragen die wettelijk gericht zijn op de specifieke normen (BRP, PUN, Suwinet, en DigiD). Daarnaast zijn apart de verantwoordingsrapportages over de BAG, BGT en BRO als bijlagen van dit jaarverslag bijgevoegd. Deze bevatten ook de niet BIO gebaseerde vragen, die gericht zijn op de specifieke normenkaders van BAG, BGT en BRO. De normen uit de Algemene Verordening Gegevensbescherming (AVG) zijn in de vragen over de BIO en de specifieke domeinen geïntegreerd. Samen met de collegeverklaring over Suwinet en DigiD vormt het jaarverslag informatiebeveiliging inclusief de verantwoordingsrapportages BAG, BGT en BRO de horizontale verantwoording aan de gemeenteraad.
Zelfevaluatie BIO Onderwerpen uit de BIO zijn: Informatiebeveiligingsbeleid Organiseren van informatiebeveiliging Veilig Personeel Beheer van bedrijfsmiddelen Toegangsbeveiliging Cryptografie Fysieke beveiliging en beveiliging van de omgeving Beveiliging bedrijfsvoering Communicatiebeveiliging Acquisitie, ontwikkeling en onderhoud van informatiesystemen Leveranciersrelaties Beheer van informatiebeveiligingsincidenten Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer Naleving In de hoofdstukken 4 en 6 wordt uitgebreid ingegaan op de resultaten van 2025 en de op basis van de BIO geïmplementeerde maatregelen.
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
11
3.4.
Resultaten zelfevaluaties per stelsel
Via de ENSIA systematiek is verantwoording afgelegd aan het Rijk. In de volgende paragrafen wordt per zelfevaluatie een toelichting gegeven. De bijbehorende rapportages zijn als bijlagen opgenomen bij deze rapportage.
3.4.1.
Zelfevaluaties BRP en PUN
De Basisregistratie Personen (BRP) is onderdeel van het stelsel van basisregistraties van de Nederlandse overheid. De Nederlandse overheid registreert persoonsgegevens in de BRP. Alle overheidsinstellingen en bestuursorganen (zoals bijvoorbeeld de Belastingdienst) zijn verplicht voor hun taken gebruik te maken van die gegevens. Het gaat daarbij onder andere om naam, geboortedatum, geboorteplaats, verblijfplaats en familierelaties. Met deze gegevens wordt bijvoorbeeld een paspoort en identiteitskaart verstrekt of wordt de hoogte van een studietoelage berekend. Voor het uitgeven van reisdocumenten hebben gemeenten met wetgeving te maken zoals de Paspoortuitvoeringsregeling Nederland 2001 (PUN). Jaarlijks moeten gemeenten verantwoording afleggen over het gebruik van de BRP en de reisdocumenten. Met de komst van ENSIA is het inhoudelijke deel afgesplitst van het beveiliging technische deel. Het inhoudelijke deel, dat onder andere kijkt naar de kwaliteit van de persoonsgegevens in het BRP en de inrichting van de verwerkingsprocessen, wordt door de vakafdeling uitgevoerd. Het technische deel wordt op basis van de BIO-richtlijnen uitgevraagd. De zelfevaluaties BRP en Reisdocumenten zijn ingediend zodat de externe toezichthouder (het ministerie van Binnenlandse zaken en Koninkrijkszaken) zich hierover een oordeel kan vormen.
Op het inhoudelijke deel van de zelfevaluaties scoort gemeente Midden-Delfland binnen de gestelde normen. De scores van het ENSIA-deel voor de zelfevaluatie BRP en Reisdocumenten treft u hieronder aan. Resultaat uit zelfevaluatie informatieveiligheid BRP 2025 (ENSIA) Thema BRP
Totaal behaalde punten Midden-Delfland
Totaal mogelijk
Percentage
1. Organisatie van de beveiliging
400
400
100 %
2. Toegangsbeveiliging
400
400
100 %
3. Naleving
350
400
87,5 %
1.200
95 %
Totaal 1.150
Resultaat uit zelfevaluatie informatieveiligheid Reisdocumenten 2025 (ENSIA) Thema Reisdocumenten
Totaal behaalde punten Midden-Delfland
Totaal mogelijk
Percentage
1. Organisatie van de beveiliging
400
400
100 %
2. Toegangsbeveiliging
400
400
100 %
3. Naleving
360
400
90 %
1.200
96 %
Totaal 1.160
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
12
3.4.2.
Zelfevaluatie basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO).
In ons land worden geografische basisgegevens jaarlijks meer dan 5 miljard keer gebruikt via de landelijke voorzieningen. Indirect gebruik, via bijvoorbeeld de doorlevering van geo-data door fabrikanten van navigatiesoftware, komt daar nog bovenop. Het gebruik blijft jaarlijks stijgen en het maatschappelijk belang van deze gegevens, als onderdeel van de geo-informatie infrastructuur, is daarmee groot. Het is daarom cruciaal om de gegevenskwaliteit landelijk op peil te houden.
Afbeelding: nationale geo-informatie infrastructuur (NGII) als basis voor maatschappelijke vraagstukken (bron: BZK)
Wij leggen als bronhouderorganisatie verantwoording af over het beheer van de basisregistraties adressen en gebouwen (BAG), grootschalige topografie (BGT) en ondergrond (BRO). Dat doen we intern richting de gemeenteraad en aan het Rijk via het directoraat-generaal Bestuur, Ruimte en Wonen van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties. De hieronder vermelde scores, zijn het resultaat van door ons uitgevoerde zelfevaluaties. Deze evaluaties betreffen de gegevenskwaliteit en de borging van beheerprocessen. Informatiebeveiliging maakt hiervan vooralsnog geen onderdeel uit. Scores geo-basisregistraties 2025 Basisregistratie
Score
BAG 100%
< 75% onvoldoende Basisregistratie
BGT
Score
100%
< 75% Onvoldoende
Consequenties score
We zijn in “Control” en blijven alert op aandachtspunten. De Omgevingswet heeft consequenties voor de registraties in de BAG. Als er niet genoeg gegevens komen bij de aanvragen, kan niet alles op een goede manier in de BAG geregistreerd worden. vanaf 75% voldoende Consequenties score
Kwalitatieve BGT → kwalitatief beheer openbare ruimte, adequate voorbereiding plannen en projecten. Essentieel bij de uitvoering van de Omgevingswet Onvoldoende beheercapaciteit BGT → hogere kosten beheer openbare ruimte langere termijn, omdat de ondergrondkaart voor BOR dan niet meer klopt. vanaf 75% voldoende
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
13
Basisregistratie BRO
Score
93%
< 60% Onvoldoende
Consequenties score
Als de processen niet op orde zijn, dan worden BRO data niet aangeleverd aan de BRO. Deze gegevens zijn dan niet zichtbaar in het BRO loket en kunnen dan ook niet gebruikt worden voor andere processen. vanaf 60% voldoende
Trend score geo-basisregistraties Registratie
Score 2018
Score 2019
Score 2020
Score 2021
Score 2022
Score 2023
Score 2024
Score 2025
BAG
90%
95%
95%
92%
92%
92%
94%
100%
BGT
70%
60%
60%
72%
100%
100%
98%
100%
BRO
N.v.t.
50%
54%
44%
100%
84%
97%
93%
De organisatie is “in control” voor wat betreft de basisregistraties BAG, BGT en BRO Voorgestelde verbetermaatregelen voor 2026 Door de verbetermaatregelen door te voeren zoals hieronder beschreven hopen we bij de volgende verantwoordingsrapportage beter te scoren. BAG We zorgen dat de processen juist blijven werken, zodat alle mutaties tijdig verwerkt kunnen worden.
-
-
Jaarlijks voeren we een mutatiesignalering uit en de resultaten verwerken we in de BGT en de BAG. Voor de WOZ willen we proberen om meer af te gaan stemmen. er is nu al een lijst voor de ontbrekende panden in de WOZ en nu is er sinds dit jaar een lijst met oppervlakte verschillen. Deze lijst wil ik uit gaan zoeken en oplossen. daarna kunnen we aan de slag met het vergelijken en optimaliseren van de bouwjaren. Het is een contintu lopen BAG-proces bezig. Zodra er een processtap anders gaat lopen, dan passen we het processenhandboek daaraan aan.
BGT
-
De processen met de BAG en de BOR controleren we jaarlijks controleren en apssen we waar nodig aan. Ook in 2026 voeren we een mutatiesignalering zachte topografie uit. We volgen wat de kwaliteitseisen zijn van de BGT voor 2026 en geven daar uitvoering aan. We zijn in 2021 gestart met het opstellen van een objectenhandboek BGT. Dit handboek wordt geregeld gecontroleerd en aangevuld. We zijn dit jaar bezig geweest met de koppeling tussen de BGT en de BOR. De koppeling van de BGT met de BOR is eind november 2025 daadwerkelijke gerealiseerd .
BRO
-
We zorgen dat de processen beter ingebed worden in de organisatie en zorgen dat het proces met de bodemonderzoeken beter gaat lopen.
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
14
4. Collegeverklaring ENSIA inzake informatiebeveiliging Suwinet
Het College van Burgemeester en Wethouders geeft in een verklaring aan in hoeverre de beheersmaatregelen voldoen aan de voor de ENSIA verantwoording geselecteerde normen voor Suwinet. Sinds het huidige verslagjaar is de ENSIA-collegeverklaring uitsluitend gericht op het gebruik van Suwinet. De verantwoording over DigiD maakt geen onderdeel meer uit van de ENSIA-collegeverklaring; hiervoor wordt een separaat verantwoordings- en toetsingsproces gevolgd, conform de geldende landelijke kaders. Voor zowel Suwinet als DigiD wordt jaarlijks een assuranceverklaring afgegeven door een onafhankelijke IT-auditor, waarmee wordt vastgesteld dat aan de relevante beveiligings- en beheerseisen wordt voldaan.
Bij de ENSIA vragenlijsten is geconstateerd dat inzake Suwinet aan alle normen wordt voldaan. Suwinet, oftewel het Digitaal Klantdossier wordt gebruikt door gemeenten, en diverse andere overheidsinstellingen binnen de sociale sector om gegevens over werkzoekenden en uitkeringsgerechtigden bij te houden en met elkaar te delen. U treft de collegeverklaring over Suwinet als bijlage van dit jaarverslag aan. Een gecertificeerd auditor toetst of onze interne beheersingsmaatregelen in opzet, bestaan en werking voldoen aan de normen inzake DigiD en Suwinet. Hierover geeft de auditor een assuranceverklaring af en bekrachtigt de collegeverklaring voor Suwinet. Deze documenten zijn van belang voor de verticale verantwoording aan de departementen. De auditor heeft geconstateerd dat ook onze interne beheersingsmaatregelen in opzet, bestaan en werking voldoen aan de normen inzake DigiD.
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
15
5. Samenvattend beeld en resultaten informatiebeveiliging 2025 5.1.
Achtergrond
Dit is het zevende jaarverslagslag is over onze informatiebeveiliging. Ons gemeentelijk informatiebeveiligingsbeleid is actueel. We hebben ons in 2015 geconformeerd aan het normenkader van de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG) en sinds 2020 de Baseline Informatiebeveiliging Overheid (BIO). In 2023 hebben we ons Strategisch Informatiebeveiligingsbeleid vervangen door een geactualiseerde versie. In 2026 wordt deze vervangen door een op de BIO 2.0 gebaseerd Strategisch informatiebeveiligingsbeleid. We zijn als gemeente aangesloten bij de Informatiebeveiligingsdienst (IBD). De IBD is de sectorale CERT / CSIRT (Computer Emergency Response Team en Computer Security Incident Response Team)voor alle Nederlandse gemeenten. Het is onderdeel van de Vereniging van Nederlandse Gemeenten. De IBD ondersteunt gemeenten op het gebied van informatiebeveiliging en privacy. De IBD is voor gemeenten het schakelpunt met het Nationaal Cyber Security Centrum (NCSC). De IBD draagt namens gemeenten bij aan de Baseline Informatiebeveiliging Overheid (BIO) en geeft regelmatig kennisproducten uit. Daarnaast faciliteert de IBD kennisdeling tussen gemeenten onderling, met andere overheidslagen, met vitale sectoren en met leveranciers. Alle Nederlandse gemeenten kunnen gebruik maken van de producten en de generieke dienstverlening van de IBD.
Voor meer informatie over de IBD, zie hun site https://www.informatiebeveiligingsdienst.nl/ Van GAP-analyse naar planning en prioritering Om het informatiebeveiligingsbeleid goed te implementeren, werken we op basis van een “GAPanalyse/risicoanalyse”. Deze analyses zijn uitgevoerd in directe samenspraak met de betrokken collega’s van de vakafdelingen. Hiermee is het “GAP” of “gat” tussen de huidige en de gewenste situatie (volgens de geldende normen) in beeld gebracht. Vanuit deze analyse en het actuele dreigingsbeeld van het NCSC en IBD hebben we een planning en rangschikking van maatregelen gemaakt, om aan de normen met de hoogste prioriteit te voldoen. Deze planning en prioritering is vormgegeven en geactualiseerd in een jaarlijkse top 10 te nemen maatregelen en quick-wins waaraan in 2024 verder is gewerkt. Voortdurend wordt na de genomen maatregelen de top 10 aangevuld met nieuwe actuele, op de gap-analyse gebaseerde, acute dreigingen en de aanbevelingen uit de audit over ENSIA verantwoording. Om inzicht te verschaffen waar we met onze informatiebeveiliging nu precies staan hebben we met ons ISMS meting uitgevoerd over 2021, 2022, 2023, 2024 en 2025.
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
16
5.2.
Resultaat meting BIO
Op basis van de resultaten ENSIA 2025 is begin 2026 een meting uitgevoerd op de 112 normen in de BIO. Grafisch ziet het resultaat van meting 5 uit ons ISMS er als volgt uit: 100%
5 Informatiebeveiligingsbeleid 83%
6 Organiseren van informatiebeveiliging 100%
7 Veilig Personeel 100%
8 Beheer van bedrijfsmiddelen 68%
9 Toegangsbeveiliging 50%
10 Cryptografie 93%
11 Fysieke beveiliging en beveiliging van de omgeving 82%
12 Beveiliging bedrijfsvoering 100%
13 Communicatiebeveiliging 89%
14 Acquisitie, ontwikkeling en onderhoud van… 90%
15 Leveranciersrelaties 100%
16 Beheer van informatiebeveiligingsincidenten 63%
17 Informatiebeveiligingsaspecten van… 94%
18 Naleving 0%
20%
40%
60%
80%
100%
120%
Tabel 1 De in de grafiek getoonde onderdelen betreffen de hoofdstukken uit de BIO (meting uit maart 2026).
Wat valt op? Over het algemeen zijn er op veel onderdelen stappen gezet om het niveau van onze informatiebeveiliging omhoog te brengen. In 2025 is ook doorgegaan met het vormgeven van bedrijfscontinuïteitsmanagement. Daarnaast hebben we ons ISMS verder ingericht en uitgerold. De hoofdstukken 9, 10 en 12 laten een forse daling van de score zien, dit heeft te maken met een strengere toetsing op de uitvoering van de normen over deze aspecten en veranderende technische eisen. In 2026 implementeren we de vereiste maatregelen. Op de te nemen maatregelen van hoofdstuk 17 van de BIO ofwel informatieveiligheidsaspecten van bedrijfscontinuïteit hebben we een aantal verbeterstappen gezet. Vorige meting zijn we op dit aspect gestegen naar 63% waar we dit jaar ook op uitkomen. We hebben naast het vastgestelde beleid op bedrijfscontinuïteit veel maatregelen ingericht zoals back-up, noodstroomaggregaat etc. Het is allemaal nog niet compleet en in samenhang tot een (crisis) plan gevormd. Het spectrum van bedrijfscontinuïteitsbeheer is veel meer dan dat. Bedrijfscontinuïteitsmanagement (BCM) moet duidelijkheid geven over hoe we onze meest essentiële dienstverlening naar onze burgers kunnen continueren bij uitval van ICT voorzieningen. Hiervoor is in 2023 een BCM beleid voor vastgesteld. Daarbij is ook een noodproces vastgelegd voor het uitkeren van uitkeringen bij uitval van onze systemen.
In 2025 zijn we gestart om andere kwetsbare processen noodscenario’s op te stellen zoals voor de processen rond burgerzaken en de BAG. Dit krijgt in 2026 vervolg waarbij we kijken
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
17
naar een andere totaaloplossing voor zowel fysieke uitwijk als wijziging van de technische uitwijkomgeving voor deze processen. Verderop in dit jaarverslag gaan we in hoofdstuk 7 nader in op de voorgenomen verbeterpunten en activiteiten die onder de categorie actualisatie/onderhoud vallen voor 2026 voorzien van een toelichting. Deze verbeterpunten gaan we na goedkeuring van dit jaarplan als actiepunten opnemen in het ISMS en van daaruit monitoren. De vergaande digitalisering en de daarmee gepaard gaande dreigingen zoals bijvoorbeeld ransomware2 (Hof van Twente) of datalek (Odido) noodzaakt ons als gemeente alert te zijn en aandacht te blijven vragen en geven aan informatieveiligheid. Bewustwording onder het personeel over het digitaal handelen blijft ook in 2026 een continu aandachtspunt.
5.3.
Algemene Verordening Gegevensbescherming (AVG)
Sinds 25 mei 2019 is de Algemene Verordening Gegevensbescherming (AVG) van toepassing. Op 3 juni 2019 heeft het college van de gemeente Midden-Delfland het privacy beleid vastgesteld. Dit beleid bevat de algemene beleidsuitgangspunten over de bescherming van persoonsgegevens door de gemeente Midden-Delfland. Het laat zien hoe de gemeente omgaat met persoonsgegevens en welke maatregelen zij treft om te voldoen aan de AVG. De functionaris gegevensbescherming controleert jaarlijks of aanpassingen aan dit beleid nodig zijn. Ook in 2025 hebben we op basis van de AVG met leveranciers en dienstverleners verwerkersovereenkomsten en dataleveringsovereenkomsten afgesloten. Hierin zijn de verantwoordelijkheden geregeld voor de beveiliging van het gebruik van onze privacygevoelige gegevens. We hebben naast technische maatregelen, ook gewerkt aan bewustzijn bij de medewerkers. Informatiebeveiliging en privacybescherming hebben een grote ‘houding en gedrag’- kant. Vanwege de inwerkingtreding van de AVG zijn door de projectgroep Privacy gemeente-brede bijeenkomsten georganiseerd waarbij vooral is ingegaan op hoe er vertrouwelijk met persoonsgegevens van personen moet worden gegaan. Onze interne beveiligingsorganisatie bestaat uit medewerkers van de verschillende teams die binnen hun team zorgen voor bewustzijn en aanspreekpunt zijn voor informatiebeveiliging voor hun team.
Daarnaast zijn er voor de borging van de AVG en de privacybescherming medewerkers binnen de organisatie aangewezen als privacy-ambassadeur. Bij het incidenten overzicht informatiebeveiliging in hoofdstuk 8 leest u ook het aantal en soort datalekken over 2025.
2
Ransomware ofwel gijzelsoftware is schadelijke software die computers en bestanden gijzelt. Criminelen geven toegang weer vrij als hiervoor losgeld is betaald.
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
18
" Als burger ben je verplicht gegevens met de overheid te delen. Natuurlijk ga je er dan vanuit dat de overheid daar zorgvuldig mee omgaat." Aleid Wolfsen, voorzitter Autoriteit Persoonsgegevens
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
19
6. Disclaimer
Beveiligingsincidenten zijn helaas niet te voorkomen; 100% beveiliging is een utopie. De vraag is dan ook niet zozeer of er een beveiligingsincident met een hoge impact zal plaatsvinden, maar wanneer. Beveiligingsincidenten kunnen leiden tot onderbreking van werkzaamheden, reputatieschade en aanzienlijke financiële schade als gevolg van het bestrijden van een incident en het herstellen naar een normale situatie. De maatregelen die we nemen zijn erop gericht de risico’s zoveel mogelijk te minimaliseren tegen aanvaardbare kosten. Daarnaast houden we rekening met de impact op dienstverlening en bedrijfsvoering. Een hele goede maatregel is bijvoorbeeld het uitschakelen van alle internetverbindingen van het gemeentehuis. Een hacker van buiten het kantoor zou dan geen enkele kans meer hebben. Dit is in deze tijd onwerkbaar omdat onze gegevensuitwisseling met inwoners en andere overheden voor een groot gedeelte via het internet lopen. Naast preventieve maatregelen richten we ons ook op procedures en maatregelen wanneer zich een incident voordoet. Zodat we met onze dienstverlening en bedrijfsvoering zo snel mogelijk weer operationeel zijn.
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
20
7. Realisatie doelstellingen IB-beleid Hieronder geven we aan met welke genomen maatregelen we invulling hebben gegeven aan de in hoofdstuk 2 genoemde strategische doelen. De strategische doelen van het informatiebeveiligingsbeleid: • Het managen van de informatiebeveiliging. • Adequate bescherming van bedrijfsmiddelen. • Het minimaliseren van risico’s van menselijk gedrag. • Het voorkomen van ongeautoriseerde toegang. • Het garanderen van correcte en veilige informatievoorzieningen. • Het beheersen van de toegang tot informatiesystemen. • Het waarborgen van veilige informatiesystemen. • Het adequaat reageren op incidenten. • Het beschermen van kritieke bedrijfsprocessen. • Het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers. • Het waarborgen van de naleving van dit beleid. De drie belangrijkste punten, die in grote mate het succes bepalen van de implementatie van de BIO: Maatregel Doelstelling Informatiebeveiligingsbeleid Het managen van de informatiebeveiliging Er is op dit moment een compleet gemeente-breed informatiebeveiligingsbeleid. We hebben de verplichting dit elke 3 jaar te actualiseren. In 2023 is ons het op de BIO gebaseerde informatiebeveiligingsbeleid voor 2023-2026 door het college van burgemeester en wethouders vastgesteld.
Naar verwachting actualiseren we dit beleid in 2026 vanwege de Cyberbeveiligingswet en de BIO 2.0 die van kracht worden.
Informatiebeveiligingsorganisatie (IB-organisatie) Zonder IB-organisatie is het onmogelijk om tot een goede borging van informatiebeveiliging te komen binnen de ambtelijke organisatie.
Het managen van de informatiebeveiliging
Elk bedrijfsproces bestaat uit verschillende informatiestromen, waarbij ook verschillende (informatie-)systemen gebruikt worden. Voor al deze onderdelen zijn de taken, bevoegdheden en verantwoordelijkheden met betrekking tot informatiebeveiliging vastgelegd en toegewezen aan een functie/rol in de organisatie. De leden van de IB-organisatie worden sinds 2017 opgeleid. In 2026 wordt de IB-organisatie geactualiseerde naar de nieuwe Cyberbeveiligingswet en de BIO 2.0. ISMS Er is een ISMS (Information Security Management System) geïmplementeerd binnen de gemeente Midden-Delfland. Deze software gebruiken we als ondersteunende tool om alle bedrijfsprocessen in relatie met informatiebeveiliging in kaart te brengen, te monitoren en te borgen binnen de gemeentelijke organisatie. Ook verantwoorden we in het ISMS de stand van zaken per proces en per norm. Het ISMS wordt in 2026 nog verder uitgerold over de IB-organisatie en vakapplicaties.
Het managen van de informatiebeveiliging
Hiermee zijn de randvoorwaarden ingevuld voor een succesvolle verdere implementatie van het IBbeleid.
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
21
7.1.
Controls & beheersmaatregelen IB
In de BIO staan controls en maatregelen. Het vraagt meerdere jaren om deze maatregelen te implementeren in onze gemeentelijke processen en systemen. Het is daarom nodig om inzicht te krijgen in wat er moet gebeuren met welke prioriteit. Met een delegatie van applicatie- en procesbeheerders is daarom op basis van de Baseline Informatiebeveiliging Gemeenten (BIG) in 2016 een GAP- en Impactanalyse uitgevoerd op gemeentebrede maar ook systeem specifieke maatregelen. Met de GAP-analyse zoeken we uit waar we staan met genomen maatregelen ten opzichte van de normen en risico’s. Een meting dus over wat we aan maatregelen al ‘in huis’ hebben, wat is hiervan nog up-to-date en wat moet er nog aan maatregelen georganiseerd worden. Hierbij is het van belang om alvast na te denken of maatregelen gemeentebreed of systeem specifiek zijn. Deze stap geeft ook al inzicht in hoe het nu geregeld is, dus wie voert feitelijk welke informatiebeveiligingsmaatregelen uit. Hiermee is er inzicht gekomen in waar we de focus voor het komende jaar qua BIO-implementatie op leggen: a. De status van belangrijke gemeente-brede maatregelen. b. Essentiële processen. c. Kritische systemen. d. De status van systeem specifieke maatregelen.
Conclusies GAP- en impactanalyse Uit de eerste (BIG-gebaseerde) GAP-analyse kwamen 155 nog te implementeren maatregelen. Om de juiste prioriteit te krijgen bij deze 155 openstaande maatregelen die de gemeente MiddenDelfland als eerste op moet pakken is naast de GAP-analyse ook een risico- en impactanalyse gemaakt. Omdat het onmogelijk was om alle maatregelen tegelijk op te pakken, hebben we ons na de risicoen impactanalyse) gericht op een top 10 lijst. De te implementeren maatregelen op deze top 10 lijst pakten we als eerste op. Daarna richten we ons jaarlijks op 10 nieuwe normen en te nemen maatregelen van de BIG, volgens de prioritering uit de impact- en risicoanalyse. Met de inwerkingtreding van de BIO is het aantal maatregelen omlaag gegaan maar wel met de komst van een aantal verplichte maatregelen. Welke maatregelen je moet nemen als organisatie hangt af van de risico’s. Deze worden inzichtelijk gemaakt aan de hand van wat de kans is dat zich iets voor doet, wat de impact dit heeft en welke schade er mee gemoeid is. De BIO Baselinetoets Na de impactanalyse voor de BIG hebben we een in 2019/2020 de (BIO) baselinetoets uitgevoerd waarmee we een dataclassificatieschema hebben opgesteld. Hiermee bepalen we of een proces, informatiesysteem een bepaald Basis Beveiliging Niveau (BBN) heeft binnen de BIO en welke maatregelen nodig zijn.
Er wordt hierbij gekeken naar 3 beveiligingsaspecten van informatie (biv genaamd): beschikbaarheid, integriteit, vertrouwelijkheid. De uitkomsten gebruiken we om te bepalen of er meer maatregelen nodig zijn voor een proces en onderliggende informatiesystemen. Deze maatregelen kunnen worden verkregen uit een voor gedefinieerde lijst met maatregelen bovenop de baseline, of door een aanvullende diepgaande risicoanalyse. De normen en (genomen en nog te nemen) maatregelen houden we bij in ons ISMS. In 2025 is binnen de gemeente actief toegewerkt naar de invoering van de Baseline Informatiebeveiliging Overheid 2.0 (BIO 2.0). De BIO 2.0 is in 2025 landelijk vastgesteld en fungeerde voor gemeenten als richtinggevend normenkader, vooruitlopend op de wettelijke verankering via de Cyberbeveiligingswet. Gedurende het jaar is ingezet op de voorbereiding van de overgang van BIO 1.04 naar BIO 2.0. Hierbij lag de nadruk op het versterken van het risicogestuurd werken en het verder inrichten van het Information Security Management System (ISMS) conform de uitgangspunten van ISO 27001. De traditionele indeling in vaste beveiligingsniveaus maakte daarbij plaats voor een aanpak waarbij beveiligingsmaatregelen worden afgestemd op actuele en geprioriteerde risico’s.
Daarnaast zijn bestaande risicoanalyses en dataclassificaties tegen het licht gehouden om beter inzicht te krijgen in de te beschermen belangen, zoals beschikbaarheid, integriteit en Jaarverslag Informatiebeveiliging Midden-Delfland 2026
22
vertrouwelijkheid van informatie. Deze inzichten vormen een belangrijke basis voor het bepalen van prioriteiten, zowel voor preventieve maatregelen als voor herstel bij eventuele verstoringen. Met deze voorbereidingen heeft de gemeente in 2025 een belangrijke stap gezet om in 2026 aantoonbaar en structureel te kunnen werken conform de BIO 2.0 en de daaruit voortvloeiende wettelijke verplichtingen. 2026 geldt voor gemeenten als overgangsfase naar het werken volgens de BIO 2.0 Er is getoetst wat al is geïmplementeerd en nog actueel is volgens de BIO normen. Met name de generieke beveiligingsmaatregelen die gemeente-breed gelden. Bij deze generieke beveiligingsmaatregelen gaan we uit van: • Het gemeentelijk informatiebeveiligingsbeleid, dit is gelijk voor de gehele gemeente • Het toewijzen van de Chief Information Security Officer (CISO)-functie • Verantwoordelijkheden van de lijnmanagers (te verankeren in het beleid) • (ITIL) beheerprocessen en aandacht voor beveiliging • Personele beveiligingsmaatregelen • Fysieke toegangsbeveiligingsmaatregelen • Beveiligingsmaatregelen voor apparatuur en software • Malware scanning als generieke dienst (dus niet ten behoeve van één informatiesysteem) • Omgang met (mobiele) gegevensdragers • Het hebben van een Information Security Management Systeem (ISMS)
7.2.
Jaarplan Informatiebeveiliging 2026 met verbeterpunten
De focus voor verbetering richt zich vooral op de hoofdstukken in BIO die volgens de meting of vanwege regelgeving of ontwikkelingen aandacht verdienen. Deze hoofdstukken vindt u in onderstaande tabel terug met de beschrijving van de verbeterpunten voor 2025. Hoofdstuk BIO
Onderwerp
Beschrijving verbeterpunten
5
Informatiebeveiligingsbeleid
We actualiseren in 2026 ons Strategisch Informatiebeveiligingsbeleid op basis van de eisen uit de nieuwe Cyberbeveiligingswet en de BIO 2.0
6.1.3
Organiseren van Informatiebeveiliging
7.2.2
Bewustzijn, opleiding en training
Er behoren passende contacten met relevante overheidsinstanties te worden onderhouden. We maken een overzicht wie met welke (overheids)instanties en toezichthouders contact heeft ten aanzien van informatiebeveiligingsaangelegenheden (vergunningen/incidenten/calamiteiten) en welke eisen voor deze aangelegenheden relevant zijn. We organiseren voor de gemeentelijke bestuurders een verplicht te volgen training over informatiebeveiliging. Zodra de nieuwe regelgeving ingaat, wordt de gemeente expliciet verantwoordelijk voor de beheersing van cyberrisico's. Dat betekent dat een analyse van cyberrisico's onderdeel moet zijn van het bredere, reguliere risicobeheer, net als financiële, juridische en politieke risico's. De bestuurders hebben hierin een belangrijke rol. Dit brengt met zich mee dat het college van burgemeester en wethouders verplicht is om informatiebeveiligingsmaatregelen goed te keuren en een training te volgen. Deze training stelt de bestuurders in staat om risico's te identificeren, risicobeheersmaatregelen te evalueren en de impact van zowel de risico's als de beheersmaatregelen te beoordelen.
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
23
8.1 / 8.2
Dataclassificatie
9
Toegangsbeveiliging
16 (+ 7,17 en 18)
Beheer van informatiebeveiligingsincidenten
17
Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer
18.2.2
Uitbreiden gebruik ISMS
18.2.2
Beoordeling van technische naleving
In 2026 vervolgen we de actualisatie van ons dataclassificatie-overzicht en stellen we procedures om onze informatie te labelen in de vak-applicaties (dit is wel georganiseerd in ons zaaksysteem). Het gaat dan vooral om het beheer van toegangsrechten in de vakapplicaties zelf. Hier ligt een belangrijke rol voor de functioneel applicatiebeheerders. Dit gaat met de ingezette bredere uitrol van het ISMS in 2026 meer aandacht krijgen. We plannen in de 2e helft van 2026 een cybercrisisoefening in. De oefening is gericht op het creëren of versterken van bewustwording m.b.t. informatiebeveiliging en privacybescherming bij een brede doelgroep: • vakspecialisten informatiebeveiliging en privacybescherming; • bestuurders; • management (op alle niveaus). Daarnaast geeft de oefening inzicht in de werking van bepaalde genomen beveiligingsmaatregelen. We hebben veel maatregelen ingericht zoals back-up, noodstroomaggregaat etc. maar dat is allemaal nog niet compleet en in samenhang tot een (crisis) plan gevormd Het spectrum van bedrijfscontinuïteitsbeheer is ook veel meer dan dat. Bedrijfscontinuïteitsmanagement (BCM) moet duidelijkheid geven over hoe we onze meest essentiële dienstverlening naar onze burgers kunnen continueren bij uitval van ICT voorzieningen. Hiervoor is in 2023 een BCM beleid voor vastgesteld.
Daarbij is ook een eerste noodproces vastgelegd voor het uitkeren van uitkeringen bij uitval van onze systemen. In 2024 is gestart om voor andere kwetsbare processen noodscenario’s op te stellen zoals voor de processen rond burgerzaken. Dit kreeg in 2025 vervolg waarbij we kijken naar een andere totaaloplossing voor zowel fysieke uitwijk als het snel beschikbaar krijgen van gebruikte systemen dit wordt in 2026 afgerond. Het ISMS is ons managementsysteem dat helpt om op een aantoonbare en controleerbare wijze verantwoording af te leggen op het gebied van informatiebeveiliging. Het breder uitrollen van het ISMS onder functioneel applicatiebeheerders op basis van de PDCA-cyclus en de daaruit voortkomende periodieke rapportages is van belang. De verbeterstap is dat organisatie vertrouwd raakt met het ISMS gericht op continu verbeteren van informatiebeveiliging. Dit proces is bij een aantal functioneel applicatiebeheerders al succesvol vorm gegeven en krijgt in 2026 een vervolg. We voeren in 2026 wederom pentesten uit op de meest risicovolle onderdelen uit onze technische infrastructuur. Het doel van penetratietesten is het verkrijgen van inzicht in de status en effectiviteit van de beveiligingsmaatregelen. Het resultaat geeft aan wat de aandachtsgebieden zijn en biedt concrete handvatten
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
24
18. (en 5.)
Organisatorische aanpassingen op de zelfevaluatie informatiebeveiliging als gevolg van de Cyberbeveiligingswet en de BIO 2.0
voor adequate maatregelen en investeringen, met als doel de beveiligingsrisico’s te reduceren. Het geeft inzicht in de gevonden inbraakmogelijkheden, de genomen maatregelen en de restrisico’s en de mogelijkheid hierover aan het management te rapporteren. Een penetratietest gebruiken we eventueel ook als onderdeel van een bewustwordingscampagne om de bewustwording van de medewerkers te verhogen. De auditlast neemt al sinds 2025 toe op informatiebeveiliging (en privacy) als gevolg van de aangescherpte regelgeving zoals NIS2, de Cyberbeveiligingswet en de BIO2.0. Het ENSIA-proces wordt daar ook op aangepast. Hierdoor wordt er in toenemende mate ook op actieve werking van de genomen beveiligingsmaatregelen worden getoetst. Hiervoor organiseren we in 2026 met de betreffende domeinbeheerders werkbare processen in ons ISMS. Daarnaast actualiseren we in 2026 ons Strategisch Informatiebeveiligingsbeleid op de nieuwe regelgeving en passen we onze beveiligingsorganisatie daarop aan.
Aanbevelingen auditor DigiD en Suwinet Daarnaast zijn uit de ENSIA audit over DigiD en Suwinet door de auditor aanbevelingen gedaan. Over Suwinet gaat het om: • Vanaf verantwoordingsjaar 2026 wordt de toets op werking een verplicht element. Maak aantoonbaar dat gedurende het gehele verantwoordingsjaar: • invoerende en controlerende Suwi-taken zijn gescheiden; • de gebruikersbeheerder geen security officer Suwinet is; • de gebruikersbeheerder en/of de security officer Suwinet geen rol heeft als medewerker met Suwinet inkijk of -inlezen rechten in de uitvoering; • het autoriseren van toewijzing van toegang tot Suwinet of Suwinet gerelateerde gegevens gescheiden is van het controleren van deze rechten op het rechtmatig gebruik van Suwinet of Suwinet gerelateerde gegevens, of het controleren van de actualiteit van de gebruikersadministratie • Houd gedurende het verantwoordingsjaar een lijst bij van nieuwe medewerkers die toegang krijgen tot Suwinet en houd daarin aantoonbaar bij dat al deze medewerkers maximaal binnen drie maanden na indiensttreding een training (I-) bewustzijn succesvol hebben gevolgd en rapporteer hierover jaarlijks aan het management.
• Zorg aantoonbaar voor een verbijzonderde interne controle over het verantwoordingsjaar door een onafhankelijke deskundige (dus iemand buiten het administratieve proces zoals bij voorbeeld de security officer Suwinet) op het naleven van de beheersmaatregelen met betrekking tot het registreren en afmelden van gebruikers. • Zet de ‘Handleiding instroom uitstroom MD’ om naar een werkwijze of voorschrift en zorg dat het toekennen/intrekken en controleren van toegangsrechten hierin allemaal duidelijk is opgenomen. • Zorg aantoonbaar voor een verbijzonderde interne controle over het verantwoordingsjaar door een onafhankelijke deskundige (dus iemand buiten het administratieve proces zoals bij voorbeeld de security officer Suwinet) op het naleven van de beheersmaatregelen met betrekking tot single sign-on of MFA, het autorisatieproces, het registreren, loggen, analyseren en beoordelen van uitzonderingen op gebruikersactiviteiten en informatiebeveiligingsincidenten.
Jaarverslag Informatiebeveiliging Midden-Delfland 2026
25
Over DigiD gaat het om: • Ondersteun als securityorganisatie de betrokken teams zo veel mogelijk bij het verzamelen van bewijslast gedurende hun eigen proces, zodat men voor de volgende audit alleen maar informatie hoeft aan te leveren die al vastgelegd is. • Houd er rekening mee dat de controleperiode gedurende de tijd zal toenemen naar uiteindelijk een jaar. Een controleperiode van een jaar is gebruikelijk voor de toetsing op werking. • Draag zorg voor de verbijzonderde interne controle op het identiteits- en toegangsbeheer en het wijzigingsbeheer van xxllnc Zaken. Deze controles worden ook wel tweedelijnscontroles genoemd en moeten aantoonbaar worden uitgevoerd door een deskundige die buiten het administratieve proces staat zoals een securityofficer, een kwaliteitsfunctionaris of intern auditor of CISO. Functioneel beheer mag hier uiteraard wel bij assisteren om de benodigde data voor de controle te verschaffen. • Ga na of het authenticatieniveau van DigiD dat u voor uw dienst gebruikt nog wel passend is bij de vertrouwelijkheid van de gegevens die worden uitgewisseld. Gebruik hiervoor de https://regelhulpenvoorbedrijven.nl/betrouwbaarheidsniveaus/ Hiermee kan een beredeneerde keuze worden gemaakt voor het juiste betrouwbaarheidsniveau voor digitale diensten.