D35 d.d. 1 juli 2022 van de Rekenkamer inzake Rapport regionaal rekenkameronderzoek Weten wat je moet weten
Tekst van het document
Hiervoor bevat de AVG voorwaarden in de vorm van kwaliteitseisen, transparantieverplichtingen en dienstverleningsvoorschriften zoals facilitering van individuele inzage- en correctiemogelijkheden. Door te handelen naar deze voorwaarden, bewerkstelligt u het groene licht van de AVG.
Beoordeling AVG-naleving Groen licht veronderstelt een volwassen digibewuste cultuur.4 Zover zijn gemeenten vaak nog niet en Hilversum vormt geen uitzondering. Om uw ontwikkeling inzichtelijk te maken, introduceerde ik in 2018 de dashboardrapportages die u aantreft op pagina’s 6 en 7 van dit verslag. • De bestuurlijke ontwikkellijn is meest wezenlijk omdat hieruit blijkt in hoeverre de gemeente beschikt over het vermogen om bescherming van persoonsgegevens duurzaam te waarborgen. • De ontwikkellijn per aandachtsgebied gaat over de vraag in hoeverre u erin slaagt om ook groen licht te verdienen op uitvoeringsniveau. 1 Artikel 37-39 AVG. 2 Artikel 1 AVG - waarbij aangetekend dat het niet alleen gaat om bescherming van de persoon in kwestie maar ook om de bescherming van
anderen zoals bijvoorbeeld omwonenden. 3 EU/EDPB Guidelines on the concepts of controller and processor, 07/2020. 4 Het tegenovergestelde van digibetocratie.
2/8
Naleving van de AVG is iets kwalitatiefs en laat zich niet gemakkelijk in een cijfer uitdrukken. Toch stelt met name de bestuurlijke ontwikkellijn in staat om een beoordeling af te geven, door de vraag te stellen in hoeverre het beleidsthema de aandacht krijgt die het verdient. Het is welbegrepen dat er andere beleidsthema’s zijn die belangrijk zijn, maar dat neemt niet weg dat de aandacht voor bescherming van personen bij gegevensverwerking 100% behoort te zijn, of in ieder geval meer dan 90%.5 Voor Gemeente Hilversum bedroeg dat percentage 2018 en 2019 nog 25% respectievelijk 50%, in 2020 is dit verder gestegen naar 63%. Dat is een opgaande lijn. De bestuurlijke ontwikkellijn had wellicht een steiler verloop gehad als in 2020 de coronacrisis niet was uitgebroken.
Verloop bestuurlijke ontwikkellijn – de donkerblauwe lijn geeft de AVG-beleidsvoering van Gemeente Hilversum weer. De lichtblauwe stippellijn toont het gemiddelde van gemeenten waar PMP het FG-schap invult. Sturing boven de 90% wil zeggen dat bestuur en management ‘op niveau’ zitten. Het vergt tijd en inspanningen om op dat niveau te komen en niet terug te vallen.
Opvallend in 2020 Vooral positief is dat er sprake is van een stijging, óndanks de coronacrisis. Dit wordt met name verklaard doordat het interne supportteam voor AVG en informatiebeveiliging, het PIT, werd versterkt met extra mensen waardoor meer werk verzet kan worden en uitval niet meteen leidt tot stilstand in de beleidsvoering. Door in 2021 de juiste prioriteiten te stellen en resultaten te boeken, moet het mogelijk zijn om in 2021 de ontwikkellijn steilere stijging te geven. Twee invalshoeken werken bevorderend: • de ontwikkeling van een bestuurlijke visie op ‘Hilversum 2035’: wat wil de gemeente betekenen voor haar inwoners in het digitale tijdperk en hoe organiseer je dat slim – ook in samenwerking met regionale en landelijke ketenpartners? • bestuurlijke aandacht voor digitale transformatie tijdens collegevergaderingen, raadsvergaderingen en in het directieteam.
5 De percentages zijn het gemiddelde van de scores in de kolom ‘werking’ op de bestuurlijke ontwikkellijn in de FG-verslagen 2018-2020.
3/8
In 2020 is het PIT er in geslaagd om zich beter binnen de gemeenteorganisatie te manifesteren. De managementrapportages van het PIT maken de voortgang inzichtelijk. De privacy officers slagen er steeds beter in om proceseigenaren klantgericht te ondersteunen en oogsten op die manier waardering. Hét instrument om tot een AVG-conforme werkwijze te komen, is de uitvoering van dataprotectie impact assessments (DPIA’s). Een goede DPIA doet denken aan een milieueffectentoets, maar voor de digitale leefomgeving. De proceseigenaar onderzoekt, geholpen door het PIT, welke risico’s personen lopen zónder beschermingsmaatregelen en welke maatregelen nodig zijn om effectieve bescherming te bieden zodat die risico’s zich redelijkerwijs niet kunnen voordoen. In het afgelopen jaar zijn verschillende DPIA’s opgestart, zoals de DPIA Ondermijning en een DPIA Werk en Inkomen, naast de DPIA’s die zijn uitgevoerd voor smart city-projecten (Snelliuslaan, Druktemeter, Hoppler buurtplatform) en bijvoorbeeld de DPIA bodycams. Het is aan het PIT om te rapporteren over voortgang en resultaten volgens het jaarplan dat in samenspraak met het college is vastgesteld. Belangrijk is dat met de uitvoering van DPIA’s in het afgelopen jaar kennis en ervaring is opgedaan, waardoor Gemeente Hilversum nu beter kan voorzien in passende maatregelen zoals de AVG voorschrijft.
Medewerkers en bestuurders worden uitgedaagd om kritischer te zijn, onder meer op protocollen en regelingen waarmee ogenschijnlijk de AVG wordt nageleefd. Een voorbeeld is de ‘Verwerkersovereenkomst Machtigingsbesluit Toeslaggedupeerden’ die eind 2020 tot stand kwam. Bij toetsing aan de AVG bleek deze regeling in het geheel niet te kloppen omdat geen rekening was gehouden met de eigen verantwoordelijkheid van gemeenten.6
FG-advies voor 2021 In de rechterkolom van de bestuurlijke ontwikkellijn en de ontwikkellijn per aandachtsgebied treft u aanbevelingen aan voor een verdere opgaande lijn in 2021. Hoofdzakelijk gaat het om het volgende: 1. Leg de nadruk op realisatie van beheersmaatregelen. Geef proceseigenaren duidelijk opdracht en laat hen verantwoording afleggen over genomen beschermingsmaatregelen. Bij hogere risicoscores (zie privacybeleidskader) zijn proceseigenaren ook opdrachtgever van audits. 2. Ontwikkel een eigen bestuurlijke visie en strategie op de digitalisering en de opkomst van nieuwe technologieën zoals smart tech, algoritmes en kunstmatige intelligentie. Hanteer de AVG als kompas om te waarborgen dat gegevensverwerking ten dienste staat van de mens. 3. Maak met buurgemeenten en ketenpartners afspraken over ieders rol en verantwoordelijkheid in informatieketens. Meer specifiek verdienen in 2021 schuldhulpverlening en het werk van bijzondere opsporingsambtenaren aandacht. Het PIT heeft in het werkplan 2021 aangegeven hier werk van te maken. • Schuldhulpverlening vanwege de recente wijziging van de Wet gemeentelijke schuldhulpverlening waarin wordt benadrukt dat gegevens kunnen worden gedeeld voor een meer menscentrale aanpak. Door de coronacrisis en de toeslagenaffaire is dat actueel.
• Het werk van bijzondere opsporingsambtenaren verdient prioriteit omdat op de verwerking van persoonsgegevens door BOA’s sinds 2018 vaak óók vernieuwde Wet politiegegevens van toepassing is. Bij de aanpassing van de Wpg is bepaald dat op de gegevensverwerking door 6 De verwerkersovereenkomst is door het Ministerie van Financiën voorgesteld aan gemeenten, in samenwerking met de VNG.
4/8
BOA’s na twee jaar een audit dient te worden uitgevoerd, die daarna om de vier jaar moet worden herhaald.
Bijdrage FG aan de beleidsvoering Als FG ondersteun ik de beleidsvoering vanuit mijn wettelijke rol en verantwoordelijkheid. Ik kan helpen door misverstanden over de AVG weg te nemen en de baten van duurzaam databeleid te accentueren. Via participatie in regionaal FG-overleg en bijvoorbeeld mijn contacten met de Autoriteit Persoonsgegevens help ik het pad te effenen voor toekomstvast gemeentebestuur. Uw FG is ook degene die als de gemeentelijke data-ombudsman de personen helpt die ondanks alle waarborgen op het gebied van gegevensbescherming, toch verstrikt raken of in de steek zijn gelaten door ‘het systeem’ waar Gemeente Hilversum evenzeer deel van uit maakt.
Utrecht, 10 maart 2021
Mr. S.H. Katus, CIPP/E CIPM FIP
5/8
Leeswijzer ontwikkellijnen Algemeen In de kern gaat de AVG niet over privacy. De AVG reikt praktische handvatten aan voor maatschappelijk verantwoord omgaan met persoonsgegevens, duurzame samenwerking binnen informatieketens (jeugdketen, zorgketen, veiligheidsketen, …) en acceptabele inzet van nieuwe technologieën zoals data-analyse, algoritmes / kunstmatige intelligentie, gezichtsherkenning, drones of bijvoorbeeld verkeerssensoren. Voor de beoordeling van de mate waarin een gemeente aan de AVG voldoet, hanteer ik hierna zowel prestatie-indicatoren op bestuurlijk niveau (bestuurlijke ontwikkellijn) als prestatieindicatoren op uitvoeringsniveau (ontwikkellijn per aandachtsgebied).7 De kwaliteit van de beleidsvoering visualiseer ik vervolgens zowel aan de hand van onderstaande symbolen, als de driedeling ‘opzet, bestaan en werking’.
Niet onderzocht,
In aanzet aanwezig
Substantieel aan-
Grotendeels
Volledig aanwezig
Onderzocht maar (nu)
afwezig of niet
en aantoonbaar
wezig en aantoon-
aanwezig en
en aantoonbaar
niet aan de orde.
baar
aantoonbaar
aantoonbaar
– Opzet: de aanpak klopt op papier – er is goed over nagedacht. – Bestaan: de aanpak is volgens plan in praktijk gebracht – de gemeente heeft daadwerkelijk in passende gegevensbescherming voorzien. – Werking: de aanpak blijkt ook in de praktijk doelmatig en doeltreffend.
Control & accountability Overal zou een 100% score moeten staan, uitgezonderd situaties waarin de AVG niet van toepassing is omdat (nog) niet met persoonsgegevens wordt gewerkt. Daarmee is niet gezegd dat oplossingen perfect zijn of dat zich geen privacydiscussies kunnen voordoen, maar wel dat de gemeente naar behoren de AVG naleeft, doordat is voorzien in AVG-conforme oplossingen (‘passende maatregelen’). Het gemeentebestuur (vooral het college), is dan maximaal in control en in de positie om met vertrouwen verantwoording af te leggen over beleid en maatregelen • Dit FG-verslag ondersteunt de verantwoording door het college aan de raad en eventueel anderen, zoals de Autoriteit Persoonsgegevens of de rechter. • De raad beschikt aan de hand van dit verslag over de informatie die nodig is om het college te kunnen controleren op het gebied van privacybescherming. • De accountant beschikt met dit verslag over een in onafhankelijkheid en op expertise gebaseerde beoordeling voor de jaarcontrole. • Dit verslag hoort leidend te zijn bij BRP-, ENSIA-audits of rekenkamertoetsing voor zover de vraag speelt of de gemeente de AVG naleeft. AVG-toetsing door anderen dan de FG brengt extra administratieve lasten met zich mee en strookt niet met de toezichtsystematiek van de AVG.
7 De indicatoren op uitvoeringsniveau vormen tegelijkertijd de koppeling met het verwerkingsregister waarover de gemeente volgens artikel
30 AVG moet beschikken. Vgl. de afspraken hierover die we in VNG/IBD-verband hebben gemaakt.
6/8
Ontwikkellijn bestuurlijk Speerpunten 1. Beleid Visie, missie en aanpak
Opzet
Bestaan
Werking
Advies (1) Plaats het privacybeleidskader in het licht van duurzaam databeleid. (2) Zet het belang van duurzaam databeleid af tegen andere bestuurlijke thema’s. (3) Maak FG-verslagen onderdeel van horizontale verantwoording.
2. Regie en support Ondersteuning aan proceseigenaren
(1) Bevorder begrip bij proceseigenaren en waarom zij behoeftesteller zijn. (2) Benadruk de ondersteunende functie van het PIT. (3) Waarborg de kwaliteit en capaciteit van het PIT. (4) Laat proceseigenaren via de concerndirecteur verantwoording afleggen over hun oplossingen.
3. Toezicht Kwaliteitsbewaking en data-ethiek
(1) Betrek de FG naar behoren en tijdig bij alle bestuurlijke aangelegenheden die verband houden met verwerking en bescherming van persoonsgegevens. (2) Blijf hem ruimte geven voor uitoefening van taken. (3) Bevorder FG-regio overleg.
4. Werkprogramma Plan ‘Samen op weg naar digitale duurzaamheid’.
(1) Relateer het werkprogramma voor de middellange termijn aan duurzaam databeleid. (2) Probeer via het jaarplan zoveel mogelijk ‘grote slagen’ te maken. Bijvoorbeeld: één integrale DPIA op bescherming van personen bij de gemeentelijke aanpak op het gebied van bijstand, schuldenproblematiek en fraudebestrijding. (3) waarborg korte doorlooptijden van DPIA’s en implementatie van maatregelen.
5. Privacy by design Interne activiteiten en gegevensdeling privacyproof
6. Ketenregie Uitbestede activiteiten en gegevensdeling privacyproof
(1) Zie toe op de implementatie van DPIA-uitkomsten (2) Vraag bij hogere AVG-risicoscoring de FG nadrukkelijk om DPIA-advies.
(1) Beperk ketenregie niet tot ‘verwerkersovereenkomsten’ maar neem ook verantwoordelijkheid bij deelname in samenwerkingsverbanden. (2) Voer ook in samenwerking met ketenpartners duurzaam databeleid. (3) Baseer ketenregie-afspraken op DPIA-uitkomsten en maak afspraken SMART.
7. Verzoeken, klachten en incidenten Veerkracht en servicegerichtheid
8. Communicatie en training/opleiding Cultuur, begrip en draagvlak
(1) Bewaak de goede werking van afhandeling van verzoeken, klachten en incidenten. (2) Draag zorg voor goede incidentadministratie (niet alleen datalekken). (3) Blijf lering trekken. (4) Betrek de FG waar nodig – met name bij escalatie van klachten. (1) Waarborg dat informatieverstrekking steeds voldoet aan de eisen van art. 13-14 AVG. (2) Blijf sturen op toereikende kennis en het juiste gedrag van medewerkers. (3) Waarborg met name dat personeelswisselingen niet kunnen leiden tot een ‘kennisgat’.
9. Informatiebeveiliging Beschikbare, betrouwbare en veilige informatievoorzieningen
10. Budget Algemene financiële middelen voor duurzaam databeleid
(1) Herijk informatiebeveiligingsmaatregelen aan de hand van DPIAuitkomsten. (2) Blijf de landelijke afspraken nakomen volgens de Baseline Informatiebeveiliging Overheid (BIO). (3) Blijf oplossingsgericht en kritisch op de administratieve lastendruk. (1) Draag er zorg voor dat in 2021 passend budget is voor kwalitatief goede AVG-beleidsvoering. (2) Geef het budget voor AVG-management / duurzaam databeleid een aparte post op de gemeentebegroting. (4) voorzie in een reserve voor de bekostiging van juridische bijstand bij rechtszaken.
7/8
Ontwikkellijn per aandachtsgebied Aandachtsgebied 1. Belastingheffing
Opzet
Bestaan
Werking
Advies Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig.
2.
Bescherming en opvang, inclusief rechtsbescherming
Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig.
3.
Burgerzaken
Er worden al langere tijd strenge eisen gesteld aan BRP en BSN, maar nog niet zozeer vanuit de AVG. Hanteer daarom evengoed een DPIA-aanpak om een beeld te vormen van de passendheid van maatregelen.
4.
Cultuur en sport
Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig. Mogelijk blijkt de AVG in dit aandachtsgebied minder een rol te spelen.
5.
Fraudeonderzoek
Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig.
6.
Gemeenteraad
(1) Heb contact met de FG, zowel de proceseigenaar (griffier) als in het kader van raadstoezicht. Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig.
7.
Interne organisatie
Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig.
8.
Jeugd en onderwijs
Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig.
9.
Lokale economie
Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig. Mogelijk blijkt de AVG in dit aandachtsgebied minder een rol te spelen.
10. Milieu en duurzaamheid
Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig. Mogelijk blijkt de AVG in dit aandachtsgebied minder een rol te spelen.
11. Wonen, ruimte en bereikbaarheid
Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig. Mogelijk blijkt de AVG in dit aandachtsgebied minder een rol te spelen.
12. Veiligheid en openbare orde
Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig. Draag zorg voor de audit conform de ministeriële regeling ‘periodieke audit politiegegevens’ van 26 juni 2019.
13. Werk en inkomen
Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig.
14. Zorg en welzijn
Voer DPIA’s uit voor zover sprake is van verwerking van persoonsgegevens met een hoger risicoprofiel (> A1). Realiseer en implementeer procesplan(nen) waar nodig.
8/8
Privacy Management Partners Coöperatie UA adres
Vondellaan 58 3521 GH Utrecht telefoon
+31 85 401 38 66 e-mail
info@pmpartners.nl website
www.pmpartners.nl
Weten wat je moet weten
BIJLAGE 7: TOELICHTING GEBRUIKTE AFKORTINGEN EN BEGRIPPEN In deze bijlage zijn gebruikte afkortingen en begrippen toegelicht. Bij enkele toelichtingen zijn links naar meer informatie opgenomen. AB: Algemeen Bestuur AP: Autoriteit Persoonsgegevens. De AP is de toezichthoudende autoriteit, zoals bedoeld in art. 51 lid 1 AVG. De AP houdt onafhankelijk toezicht op het gebruik van persoonsgegevens. De taken van de AP zijn toezicht, advisering, voorlichting, informatieverstrekking en verantwoording, en internationale taken. Voor meer informatie: https://www.autoriteitpersoonsgegevens.nl/ . De AP heeft ook een korte handreiking voor raadsleden gemaakt. AVG: Algemene Verordening Gegevensbescherming. De AVG is een Europese verordening waarin maatregelen en voorschriften zijn opgenomen die betrekking hebben op de bescherming van de persoonsgegevens in Europa. De AVG trad in 2016 in werking met een overgangsperiode tot 25 mei 2018. BIG: Baseline Informatiebeveiliging Nederlandse Gemeenten. De BIG gold in de periode 2012 – 2019. Vanaf 2019 is de BIO (zie hierna) van toepassing. BIO: De Baseline Informatiebeveiliging Overheid (BIO) is sinds 2019 het basisnormenkader voor informatiebeveiliging binnen de overheid (Rijk, gemeenten, provincies, waterschappen). CERT: Computer Emergency Response Team.
De IBD (zie hierna) is de CERT / CSIRT voor alle Nederlandse gemeenten en onderdeel van de Vereniging Nederlandse Gemeenten. CIO: Chief Information Officer. De hoogste verantwoordelijke binnen een organisatie op het gebied van ICT. CIS: Center for Internet Security. CIS is een non-profit organisatie die wereldwijd erkende ‘best practices’ opstelt voor het beveiligen van IT-systemen en data. CISO: Chief Information Security Officer. De CISO is verantwoordelijk voor het implementeren van het informatiebeveiligingsbeleid én het toezicht daarop. CSIRT: Computer Security Incident Response Team. De IBD (zie hierna) is de CERT / CSIRT voor alle Nederlandse gemeenten en onderdeel van de Vereniging Nederlandse Gemeenten. Datalek: De toegang tot of vernietiging, verlies, wijziging of verstrekking van persoonsgegevens bij een organisatie, zonder dat dit de bedoeling is van deze organisatie.
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 7, bladzijde 1
Weten wat je moet weten
DB: Dagelijks Bestuur. DDoS-aanval: Distributed) Denial-of-Service-aanval. Met een DDoS-aanval wordt de capaciteit van onlinediensten of de ondersteunende servers en netwerkapparatuur aangevallen. Het resultaat van deze aanval is dat diensten slecht of helemaal niet meer bereikbaar zijn voor medewerkers of klanten. DIV: Documentaire Informatie Voorziening (in spreektaal vaak: het archief) DOP: Digitaal Ontwikkel Plan. DPIA: Data Protection Impact Assessment of gegevensbeschermingseffectbeoordeling. Een DPIA is een onderzoek dat de privacyrisico’s van een gegevensverwerking in kaart brengt. In de regel dienen DPIA’s uitgevoerd te worden wanneer een organisatie een nieuw systeem of proces wil invoeren. De Autoriteit Persoonsgegevens heeft een lijst gepubliceerd van verwerkingen waarvoor een DPIA verplicht is. DVO: Dienstverleningsovereenkomst. FG: Functionaris Gegevensbescherming. Organisaties zijn in bepaalde situaties verplicht een functionaris gegevensbescherming (FG) aan te stellen. De FG houdt binnen de organisatie onafhankelijk toezicht op en adviseert over de toepassing en naleving van de AVG. GAP-analyse: Een onderzoek waarbij getoetst wordt in hoeverre voldaan wordt aan een bepaalde set van eisen. Het verschil tussen de huidige en gewenste situatie is de ‘gap’. GMT: Gemeentelijk Management Team. GR: Gemeenschappelijke Regeling.
GRC tool: Governance, Risk & Compliance tool. Een GRC-tool is een hulpmiddel voor het beheren van de governance van een organisatie, het beheren van risico’s en het naleven van regelgeving. IBD: Informatiebeveiligingsdienst. De IBD is de sectorale CERT / CSIRT voor alle Nederlandse gemeenten en onderdeel van de Vereniging van Nederlandse Gemeenten. De IBD ondersteunt gemeenten op het gebied van informatiebeveiliging en privacy. Voor meer informatie: https://www.informatiebeveiligingsdienst.nl/ en specifiek voor de handreikingen, factsheets, formats en andere hulpmiddelen van de IBD voor gemeenten: Producten Informatiebeveiliging & Privacy - Informatiebeveiligingsdienst iRvN: ICT Rijk van Nijmegen. iRvN is een module binnen de Modulaire Gemeenschappelijke Regeling Rijk van Nijmegen. Voor meer informatie: https://www.irvn.nl/
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 7, bladzijde 2
Weten wat je moet weten
ISMS: Information Security Management System is de Engelse term voor het managementsysteem voor informatiebeveiliging. Een ISMS is een geautomatiseerd systeem waarin – volgens de principes van de PDCA-cyclus (zie hierna) - de administratieve organisatie wordt vastgelegd en beheerd. ISO 27001: Internationale standaard voor het implementeren, onderhouden en continu verbeteren van een managementsysteem voor informatiebeveiliging. De BIO (zie hiervoor) is afgeleid van de ISO 27002:2013 norm en verplicht Nederlandse overheden om het managementsysteem in te richten volgens deze norm. KPI: Kritische Prestatie Indicator. Met kritische prestatie-indicatoren worden de prestaties van organisaties (of teams of medewerkers) gemeten. Op deze manier kan de voortgang van de uitvoering van beleid of van contractuele afspraken meetbaar en concreet gemaakt worden. Op basis van meetresultaten kan vervolgens besloten worden of bijsturing noodzakelijk is. Logging: Het registreren van uitgevoerde handelingen in een logbestand zodat monitoring en evaluatie plaats kan vinden. Door middel van logging worden gebeurtenissen in systemen vastgelegd. Bijvoorbeeld wie bepaalde gegevens heeft bekeken of heeft aangepast, maar ook pogingen om ongeautoriseerd toegang te krijgen tot systemen (denk aan DDoS aanvallen of ransomware). Ook kunnen door logging datalekken gesignaleerd of juist uitgesloten worden.
MGR: Modulaire Gemeenschappelijke Regeling Rijk van Nijmegen. Voor meer informatie: https://www.regiorvn.nl/ en https://lokaleregelgeving.overheid.nl/CVDR669794/2 MT: Managementteam. NBA-LIO en NOREA volwassenheidsmodel: model waarmee het volwassenheidsniveau voor informatiebeveiliging kan worden bepaald. Voor meer informatie: zie bijlage 2 of https://www.nba.nl/intern-en-overheidsaccountants/volwassenheidsmodel-informatiebeveiliging/ P&C cyclus: Planning & Control cyclus. PDC: Producten en Diensten Catalogus. PDCA-cyclus: PDCA staat voor Plan Do Check Act en betreft een structurele, cyclische aanpak die ook de basis is voor informatiebeveiliging en privacybescherming. Penetratietest (of kortweg pentest): Een onderzoek waarbij ethische hackers proberen de systemen en netwerken van een organisatie binnen te dringen met als doel het identificeren van kwetsbaarheden en het geven van passende adviezen om die kwetsbaarheiden te verkleinen of op te lossen. PO: Privacy Officer. Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 7, bladzijde 3
Weten wat je moet weten
Privacy Baseline: Model waarmee het volwassenheidsniveau voor privacybescherming bepaald kan worden. Voor meer informatie: zie bijlage 2 of https://www.cipoverheid.nl/media/1302/20190506-privacy-baseline-v3_2.pdf Ransomware: Kwaadaardige software die gegevens, of de toegang daartoe, onmogelijk maakt door informatie te versleutelen (encryptie) en losgeld te eisen. RvN: Rijk van Nijmegen. SMART: SMART staat voor Specifiek, Meetbaar, Acceptabel, Realistisch, Tijdgebonden. Dit is een algemeen gehanteerde norm, waarbij het uitgangspunt is dat aan hoe meer onderdelen wordt voldaan, hoe helderder de informatie is. •
Specifiek: voor maar één uitleg vatbaar
•
Meetbaar: er is sprake van een nulmeting én een streven of prognose
•
Acceptabel: de uitvoerder heeft de uitvoering geaccepteerd
•
Realistisch: de haalbaarheid is op enigerlei wijze onderbouwd en de gemeente heeft invloed op de realisatie
•
Tijdgeboden: er is een te volgen tijdpad benoemd
SO: Security Officer. Suwinet: Een digitale infrastructuur waarmee de Suwipartijen (UWV, SVB en gemeenten) gegevens met elkaar kunnen uitwisselen voor de uitoefening van hun wettelijke taak. Toestemming
Elke vrije, specifieke, geïnformeerde en ondubbelzinnige wilsuiting waarmee de
betrokkene door middel van een verklaring of een ondubbelzinnige actieve handeling hem betreffende verwerking van persoonsgegevens aanvaardt. VNG: Vereniging van Nederlandse Gemeenten. De VNG ondersteunt gemeenten onder meer op het gebied van informatieveiligheid en privacybescherming. Voor gemeenteraden heeft de VNG diverse zogenaamde Raadgevers opgesteld. Op het gebied van informatiebeveiliging en privacybescherming zijn diverse Raadgevers over de informatiesamenleving interessant voor de gemeenteraad. WDW: Werkorganisatie Druten-Wijchen. Wbp: Wet bescherming persoonsgegevens. De Wbp gold vanaf 2001 en is inmiddels vervangen door de AVG. Wmo: Wet maatschappelijke ondersteuning.
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 7, bladzijde 4
Weten wat je moet weten
BIJLAGE 8: P&C-DOCUMENTEN OVER INFORMATIEBEVEILIGING EN PRIVACYBESCHERMING In deze bijlage zijn achtereenvolgens selecties van teksten over informatiebeveiliging en privacybescherming opgenomen uit: •
Begroting 2022;
•
Adviesbrieven van de auditcommissie bij de begrotingen;
•
Zienswijzen bij de begroting van de MGR (iRvN);
•
Boardletters 2018 tot en met 2021;
•
Jaarstukken 2020;
•
Adviesbrieven van de auditcommissie bij de jaarstukken;
•
Zienswijzen bij de begroting en jaarstukken van de MGR (iRvN).
Begroting 2022 In de begroting 2022 is op een aantal plaatsen ingegaan op informatiebeveiliging en privacybescherming: Programma Bestuur en Organisatie Vanuit het programma ‘Open en Weerbaar’ investeren we in het verhogen van het bewustzijn van de informatieveiligheid onder onze inwoners, bedrijven en instellingen. In 2022 bieden we inzicht in sensoren in de openbare ruimte en richten we een systeem in voor de ondersteuning van het recht van inzage.
Bij de toelichting op de baten en lasten van het programma Bestuur en Organisatie is onder meer ingegaan op informatiebeveiliging en privacybescherming: •
AVG proof maken van applicaties Vanuit wetgeving komen er nieuwe taken naar ons toe. Dat betekent dat de processen en applicaties die ons bij de uitvoering ondersteunen anders moeten worden ingericht en aangepast om aan de Algemene Verordening Gegevensbescherming (AVG) te voldoen. De Autoriteit Persoonsgegevens kan organisaties die niet aan de AVG voldoen een boete opleggen.
•
Duurzame borging privacy Door veranderende wetgeving zien we een noodzakelijke structurele toename voor de juridische capaciteit op het thema privacy.
•
Informatieveiligheid Landelijk is de informatieveiligheid steeds vaker in het nieuws; hackers, die systemen platleggen en losgeld eisen om weer bij de systemen te kunnen. Om de risico’s te minimaliseren, zetten we extra in op informatieveiligheid. Zo stellen we een security officer aan. Dat is een functionaris die de afdelingen ondersteunt bij het vertalen van het informatiebeveiligingsbeleid naar in de praktijk toepasbare richtlijnen en procedures.
De digitale versie van de begroting is op onderdelen uitgebreider. Zo zijn in die versie in de programma’s onder meer links opgenomen naar ‘Actuele stukken en links’. In het programma Bestuur en Organisatie zijn niet de links naar het geldende informatiebeveilings- en privacybeschermingsbeleid opgenomen.
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 8, bladzijde 1
Weten wat je moet weten
Paragraaf Weerstandsvermogen en risicobeheersing In deze paragraaf is een top 10 met de belangrijkste risico’s opgenomen. In de top 10 staat ook databeveiliging (kans dat dit risico optreedt: 50%, maximale bedrag dat het risico tot gevolg kan hebben: € 1 mln). Het risico is als volgt omschreven: De verdergaande digitale vastlegging van gegevens vraagt er om alert te zijn op de risico’s die automatisering met zich meebrengt. Op basis van het vastgestelde Informatieveiligheidsbeleid werken we in 2021 verder aan de realisatie van alle te nemen maatregelen die gesteld worden vanuit de Baseline Informatieveiligheid Gemeenten (BIG 1). Daarnaast streven we er naar te voldoen aan de AVG Hiertoe is er een Functionaris Gegevensbescherming benoemd en wordt Privacybeleid vastgesteld en uitgevoerd. We zoeken steeds een goede balans tussen de kerntaken van de gemeente en de privacy van de burger. Hierbij streven we naar transparantie over ons handelen en de achtergronden daarvan. Welke risicovolle gebeurtenissen worden zoal onderkend: •
Het ontstaan van schade aan of verstoring van het terrein en de data van de organisatie, bedrijfsmiddelen en onderbreking van de bedrijfsactiviteiten als gevolg van het feit dat onbevoegden toegang krijgen tot de fysieke of logische omgeving;
•
Verlies, schade of diefstal van apparatuur en/of data;
•
Het ontstaan van fysieke bedreigingen en gevaren van buitenaf;
•
Verlies, schade of diefstal door nalatigheid of opzettelijk misbruik van panden, apparatuur en data in het bezit van de gemeente;
•
Externe leverancier voldoet niet aan de contractueel vastgestelde kwaliteits- en veiligheidseisen.
Adviesbrieven auditcommissie bij begrotingen De auditcommissie stelt jaarlijks onder meer bij de begroting een adviesbrief aan de raad op. Deze brief bevat aandachtspunten voor de raad bij de behandeling van de begroting, en ook concrete adviezen in de richting van het college en de raad. De auditcommissie geeft invulling aan het opdrachtgeverschap van de gemeenteraad aan de accountant. Omdat een specifieke opdracht aan de accountant is sinds 2018 cybersecurity / IT-beheersing, is de auditcommissie ook actief op dit dossier. De auditcommissie voert hierover ook enkele keren per jaar een gesprek met de accountant. Hieronder zijn citaten opgenomen uit de adviesbrieven bij de begrotingen 2020 en 2022 opgenomen over informatiebeveiliging en/of privacybescherming. In de adviesbrief 2021 is de auditcommissie niet ingegaan op aspecten van informatiebeveiliging en/of privacybescherming. Adviesbrief auditcommissie bij begroting 2020 De paragrafen bieden ook een plek om te rapporteren over de wijze waarop de gemeente invulling geeft aan de nodige verbeteringen in de bedrijfsvoering en in onze governance. Zo zijn er vanuit de boardletter van de accountant, diverse rekenkameronderzoeken en de nota Verbonden Partijen aanbevelingen geformuleerd op het gebied van dossiervorming en dossierbeheer, onze grondportefeuille, databeveiliging en informatievoorziening en archivering.
De verbeterpunten zijn nog niet naar behoren opgelost, (…)
1
Rekenkamer: vanaf 2020 zijn gemeenten verplicht de Baseline Informatiebeveiliging Overheid (BIO) toe te
passen, 2019 was het overgangsjaar van de BIG naar de BIO. Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 8, bladzijde 2
Weten wat je moet weten
Adviesbrief auditcommissie bij Begroting 2022: Het college benoemt een top 10 van risico’s buiten de grondexploitaties om. Daarbij wordt ook databeveiliging genoemd. Cybersecurity is één van de speerpunten van de auditcommissie in deze raadsperiode en de commissie laat zich graag verder informeren over de voortgang van het plan van aanpak inzake cyber security.
Zienswijzen gemeenteraad bij ontwerpbegrotingen MGR (iRvN) 2021 en 2022 Op grond van de Gemeenschappelijke Regeling MGR (artikel 29, lid 5) kan de gemeenteraad zijn zienswijze bij de ontwerpbegroting naar voren brengen. De gemeenteraad heeft de afgelopen jaren steeds gelijktijdig zijn zienswijzen bij de jaarstukken van jaar x-1 en de ontwerpbegroting van jaar x +1 naar voren gebracht. Hierna zijn de zienswijzen van de raad opgenomen bij de ontwerpbegrotingen 2021 en 2022. Zienswijzen gemeenteraad bij de ontwerpbegroting MGR 2021 (iRvN) Ten aanzien van de ontwerpbegroting 2021 plaatsen wij ook enkele kanttekeningen: •
Wij zien de oplopende bezuiniging in 2021 wel verwerkt, maar we roepen u op deze bezuiniging ook meerjarig te verwerken;
•
We verzoeken de MGR om te onderzoeken of het moderniseren van met name het IT beheer ons via moderne cloudoplossingen regionale schaalvoordelen op kan leveren (ook met het oog op VNG Samen Organiseren en de visie Common Ground);
•
U beschrijft uw rol als ICT- en I&A-adviseur. Wij verzoeken u de iRvN-evaluatie hieromtrent af te wachten;
•
Tenslotte plaatsen wij de opmerking dat als gevolg van de coronacrisis er vertraging in levering van apparaten kan plaatsvinden, met een onderuitputting van middelen als gevolg. We vinden het reëel dat u de daarop betrekking hebbende investeringen deels meeneemt naar 2021.
Zienswijzen gemeenteraad bij de ontwerpbegroting MGR 2022 (iRvN) We merken op dat in de begroting 2022-2023 al een doorvertaling te zien is van de nog lopende evaluatie iRvN en de wijze waarop we regionaal daarin samenwerken. Dit vinden wij prematuur. We gaan allereerst in op efficiency en effectiviteit en zullen daarna op de inhoudelijke doelen uit uw begroting ingaan. Efficiency: Vanaf 2020 hebben we een taakstelling opgelegd van 3x 1% oplopend tot 3%, vergelijkbaar met de efficiency taakstelling van onze eigen organisatie. Deze wordt door iRvN voor 2021 gerealiseerd, via korting op de indexering. Voor 2022 wordt voorgesteld dit te doen door minder inhuur op Servicedesk. Gezien de investering in meer zelfservice en een verbeterde rapportage op het dienstenlandschap, vinden we dit een logisch voorstel. Conform het advies van de Adviesfunctie verzoeken wij u de generieke korting van 1% vanaf 2023 door te voeren conform de BRN-richtlijnen 2022 en deze niet af te laten hangen van de evaluatie. Effectiviteit: De bij de oprichting van iRvN geformuleerde doelen (de 4K’s. Kortweg; minder meerkosten, behoud van kwaliteit, verzorgen van bedrijfscontinuïteit en meer ontwikkelkansen voor medewerkers) zijn tot nu toe niet in indicatoren vertaald. We zien graag dat deze worden ontwikkeld, zodat we hier, samen met de regio, op kunnen sturen.
Dit kan een uitwerking zijn van de evaluatie iRvN.
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 8, bladzijde 3
Weten wat je moet weten
Inhoudelijke doelen: In het verlengde van de wens tot een regionale informatievisie te komen en vooruitlopend op de uitkomsten van de evaluatie iRvN, geven we een aantal aspecten aan die voor ons daarbij van belang zijn: •
Informatieveiligheid De boardletter 2020 van de accountant maakt duidelijk dat sturing op IT- beheersing en beperken van de risico’s op cybercrime, te maken krijgen met verhoogde normering. Die vraagt een gezamenlijke inspanning, die momenteel wordt vertaald in een groeidocument met een realistische meerjarige planning van de activiteiten voor Nijmegen samen met iRvN. We willen graag weten of dit binnen de bestaande financiële kaders te realiseren blijft.
•
Klanttevredenheid Bij de metingen van de klanttevredenheid, is de tevredenheid van de Nijmeegse organisatie niet opgenomen in de 0 en 1-meting. De beschrijving in de begroting laat dus met name het beeld zien van de andere regiopartners. Wij zien graag een voorstel met welke indicatoren die tevredenheid zichtbaar te maken is.
•
Kwaliteit performance In de afsprakenkaders 2021 zijn algemene indicatoren opgenomen, die vooral een beeld van de technische performance geven. Deze raken de bedrijfsvoering, daar wil het bestuur niet op sturen. We denken dat als gevolg van technologische innovaties in de toekomst minder budget nodig is voor beheer. We willen dan ook graag inzicht in deze ontwikkeling en hoe het budget mogelijk ingezet kan worden voor de verhoogde normering op het vlak van informatieveiligheid en privacy.
•
Advisering
•
Datasturing
U spreekt ambities uit rond advisering. Wij stellen voor de iRvN-evaluatie hieromtrent af te wachten. Onze bestuurlijke verantwoordelijkheid voor (beleidsontwikkeling rond) datagebruik en sturing daarop is groot. Aansluitend bij de ontwikkeling van ons datahuis, is een herverdeling van databeheertaken wellicht nodig. Wij stellen ook hier voor de iRvN-evaluatie af te wachten. •
Landelijke samenwerking We zien de meerwaarde van landelijke samenwerking via het programma Samen Organiseren, welke een langjarige inspanning vergt.
Boardletters 2018 tot en met 2021 De gemeenteraad is opdrachtgever van de accountant. Deze opdrachtgeversrol wordt in praktische zin ingevuld door de auditcommissie. Specifiek onderdeel van de opdracht aan de accountant is sinds 2018 de cybersecurity / IT-beheersing. De accountant richt zich in zijn controle, en dus ook bij het thema cybersecurity, primair op de opzet, het bestaan en (waar mogelijk en relevant) de werking van de interne beheersingsmaatregelen, voor zover relevant voor de controle van de jaarrekening. De accountant doet verslag van zijn bevindingen op dit punt in de boardletter. Uit de samenvatting van de boardletter 2018 • •
Interne beheersingsomgeving is op orde met uitzondering van de IT-beheersing Verbeteringen ten aanzien van de algemene IT beheersmaatregelen in het kader van de controle van de jaarrekening zijn noodzakelijk
•
Wij adviseren dringend vanwege het toenemende belang en afhankelijkheid van een veilige en betrouwbare IT-omgeving op basis van een concreet actieplan met o.a. deadlines en het benoemen van een actieverantwoordelijke op korte termijn tot een daadwerkelijke implementatie van de noodzakelijke Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 8, bladzijde 4
Weten wat je moet weten
verbeteringen ten aanzien van de IT-systemen te komen. (…). Op basis van een dergelijke risicoanalyse en generieke normenkaders maakt u inzichtelijk welke beheersmaatregelen minimaal aanwezig moeten zijn.
Uit de samenvatting van de boardletter 2019 •
De interne beheersing kan op onderdelen verder worden versterkt en efficiënter worden ingericht. Eén van de belangrijkste aandachtspunten die wij aan u voorgaand jaar hebben meegegeven is het opvolgen van de IT bevindingen, omdat dit van belang is een volgende stap te kunnen zetten in de doorontwikkeling van de kwaliteit van de interne beheersing. Wij hebben vastgesteld dat hieraan nog geen adequate opvolging is gegeven.
•
Wij concluderen dat de gemeente zich bewust is van cyberrisico’s. (…). Echter er is nog geen dermate volwassen beleid geïmplementeerd zodat in de volle breedte antwoord gegeven kan worden op cyberrisico’s.
•
(…). Wij adviseren een inventarisatie te maken van alle kritische onderdelen en periodiek te bekijken of er geen ongeautoriseerde handelingen zijn uitgevoerd met betrekking tot deze kritische onderdelen.
Uit de samenvatting van de boardletter 2020 •
Overall beeld is dat de interne beheersing in opzet verder is verbeterd. Het belangrijkste aandachtspunt dat wij voorgaande jaren hebben gerapporteerd is het opvolgen van de IT-audit bevindingen. (…). Het afgelopen jaar heeft uw gemeente in opzet een aantal concreter verbeteringen doorgevoerd in de geautomatiseerde gegevens verwerking, Wij adviseren uw college om het komend jaar prioriteit te geven aan de implementatie van deze ingezette verbeteracties.
•
Cybersecurity heeft uw aandacht maar kan verder worden versterkt.
•
Wij zien een positieve ontwikkeling op de naleving van de Algemene Verordening Gegevensbescherming (AVG) en adviseren om na te gaan hoe de verbreding naar het informatiebeveiligingsaspect verder vorm kan krijgen.
•
De gemeente Nijmegen is één van de eerste gemeenten die in samenwerking met de VNG de SIEM (Security Information & Event Management) implementatie aan het realiseren is. Dit is een positieve ontwikkeling waarbij Nijmegen is aangesloten bij het landelijk initiatief om de technische informatiebeveiliging naar een hoger volwassenheidsniveau te tillen.
•
Wij adviseren de beheersing rondom persoonlijke apparaten (zoals laptops, telefoons en tablets) aan te scherpen.
•
Opzet algemene IT-heersmaatregelen verbeterd, implementatie nog niet altijd aantoonbaar. (…). Wij adviseren uw college op korte termijn beleid vast te stellen (IT-governance) (…). (…) en vervolgens, als onderdeel van IT-governance, een detailplan op te stellen met o.a. deadlines en het benoemen van een actieverantwoordelijke op te stellen, zodat op korte termijn overgegaan kan worden tot de daadwerkelijke implementatie van de noodzakelijke (resterende) verbeteringen.
Uit de samenvatting van de boardletter 2021 •
Ons overall beeld is dat er ruim voldoende aandacht is voor de interne beheersing van processen. Verschillende verbeteracties zijn ingezet om deze interne beheersing verder te versterken. (…). Ondanks deze ingezette verbeteringen laat het onverlet dat een aantal bevindingen uit onze boardletters al meerdere jaren open staat. Voorbeelden hiervan zijn: (…) en het doorontwikkelen en versterken van de IT-omgeving.
•
De openstaande observaties zien toe op de implementatie van relevante beheersmaatregelen rondom autorisaties en de rechtenstructuur binnen de applicaties. Dit is de volgende stap in het groeipad tot een volwassen interne beheersing van de IT-omgeving van de gemeente Nijmegen. Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 8, bladzijde 5
Weten wat je moet weten
•
In 2021 heeft de gemeente Nijmegen het informatiebeveiligingsbeleid geactualiseerd. Het aangepaste beleid sluit aan bij de doelstellingen van de gemeente en staat aan de basis van het ambitiedocument 2021-2023 waarin het groeipad van de gemeente is geformuleerd. (…).
•
Om het bereiken van de doelstellingen uit de beleidsstukken te kunnen meten is het formuleren van Kritische Prestatie Indicatoren (KPI’s) van groot belang. Hoewel uw gemeente een start heeft gemaakt met het formuleren van de KPI is een verdere uitwerking benodigd. (…).
•
Daarnaast wijzen wij uw gemeente nogmaals op het belang van het inzichtelijk maken en beheersen van risico’s ten aanzien van de samenwerking met leveranciers.
•
De verdeling van taken en verantwoordelijkheden tussen uw gemeente en het iRvN, alsmede het afleggen van verantwoording hierover, verdient aandacht.
•
Wij adviseren uw gemeente capaciteit vrij te maken om op korte termijn de aanbevelingen uit onze eerdere IT-audits daadwerkelijk te implementeren. Hierbij is het van belang om prioriteiten in de aanbevelingen aan te brengen op basis van het risico-profiel van de data en de systemen, (…).
•
Tenslotte zien wij een belangrijke rol voor het college in het bewaken van de voortgang van de doelstellingen zoals deze zijn geformuleerd in het ambitiedocument 2021 – 2023, alsmede het kunnen inspelen op actuele ontwikkelingen op dit gebied.
Jaarstukken In de jaarstukken 2020 2 is op een aantal plaatsen ingegaan op informatiebeveiliging en privacybescherming. Hieronder is aangegeven waar het concreet om gaat. Programma Bestuur en Organisatie We werkten aan onze informatieveiligheid en privacy Als betrouwbare overheidsorganisatie hebben we doorgewerkt aan de verbetering van ons programma rond informatieveiligheid en privacy. Daarbij zorgden de inbraak bij de Universiteit Maastricht en Citrix crisis er in 2020 voor, dat wij ons meer bewust werden van de kwetsbaarheden rond IT. We hebben samen met iRvN belangrijke stappen gezet die de veiligheid van onze systemen en processen verhogen en die ons reactievermogen zullen verbeteren. We hebben een actieprogramma gestart om de risico’s op cybercriminaliteit te monitoren en zullen voortdurend alert zijn op aanvullende maatregelen die we kunnen nemen om extra beveiliging te verbeteren. (…). Ook blijven we actief met acties in het kader van bewustwording op deze thema’s. Op het gebied van privacy hebben we ook veel bereikt in 2020. (…). Ook is dit jaar de route vastgesteld hoe elke afdeling de komende jaren verder privacy-proof kan worden gemaakt. (…). Tot slot is in 2020 ingezet op verbeteracties om tot verdere bewustwording te komen. Dit blijft een terugkerend thema komende jaren.
Paragraaf Verbonden partijen (iRvN) Het jaar voor de iRvN is gekleurd door de Citrix- en corona-crisis. Daarmee is de aandacht voor de risico’s van cybercriminaliteit en informatieveiligheid in de spotlight gekomen en in het verlengde daarvan ons bestuurlijk handelen. Voor beide crises bleek de iRvN de zaken op orde te hebben. Samen met de gemeentelijke organisatie zijn waardevolle ervaringen opgehaald voor het aanscherpen van ons basis icrisisproces en bleken we goed in staat werk vanuit thuis online te kunnen voortzetten. Hierbij was voldoende aandacht voor bewustwording bij medewerkers op hacking en phishing enerzijds en verhoging
2
Op het moment van afronding van het onderzoek waren de jaarstukken 2021 nog niet beschikbaar. Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 8, bladzijde 6
Weten wat je moet weten
digitale vaardigheid anderzijds. Daarin heeft iRvN goede service en ondersteuning kunnen bieden. Ten slotte zien we dat de verdergaande digitalisering van onze bedrijfsprocessen tot een wijziging van de ondersteuningsbehoefte leidt. De rol van applicatiebeheer verschuift deels naar leveranciers. Terwijl de komende jaren voor iRvN de realisatie van ons kantoorautomatisering (privacyproof, informatieveilig, archiefwaardig) via de lijn van het landelijke programma Samen Organiseren tot stand gaat komen. Ten slotte zijn we in 2020 gestart met het evaluatie onderzoek (5 jaar werken met iRvN) die in 2021 tot een advies leidt over de doorontwikkeling van iRvN naar de toekomst toe.
Paragraaf Weerstandsvermogen en risicobeheersing De tekst uit de jaarstukken 2020 is identiek aan die uit de begroting 2020: De verdergaande digitale vastlegging en verwerking van gegevens vraagt erom alert te zijn op de risico’s die automatisering met zich meebrengt. Op basis van het vastgestelde Informatieveiligheidsbeleid werken we in 2021 verder aan de realisatie van alle te nemen maatregelen vanuit de Baseline Informatiebeveiliging Overheid en AVG en werken we volgens een vastgesteld privacybeleid. We zoeken steeds een goede balans tussen de kerntaken van de gemeente en de privacy van burgers. Hierbij streven we naar transparantie over ons handelen en de achtergronden daarvan. Welke risicovolle gebeurtenissen onderkennen we zoal: • •
Het ontstaan van schade aan of verstoring van het terrein en de gebouwen van de gemeente; Het beschadigen of verwijderen van data van de organisatie, bedrijfsmiddelen en de onderbreking van de bedrijfsactiviteiten als gevolg van het feit dat onbevoegden toegang krijgen tot de fysieke of logische omgeving;
•
Verlies, schade of diefstal van apparatuur met of zonder data;
•
Het ontstaan van fysieke bedreigingen en gevaren van buitenaf (natuur);
•
Verlies of schade door misbruik van/door medewerkers;
•
Een externe leverancier voldoet niet aan de contractueel vastgestelde kwaliteits- en veiligheidseisen.
•
De (digitale) data van de gemeente wordt ten onrechte niet of te laat vernietigd. Maar in andere gevallen juist niet lang genoeg bewaard.
Gevolgen: •
Onbevoegde toegang tot kritieke systemen en/of waardevolle data kan leiden tot misbruik van informatie voor fraude of andere criminele activiteiten.
•
De gemeente werkt steeds meer samen met ketenpartners en besteedt steeds meer taken uit. Om dit mogelijk te maken delen we (rechtmatig) data. Bij beheer van systemen en gegevens door een derde partij, kunnen door toedoen van deze derde partij, ook data van de gemeente op straat belanden. In andere gevallen kunnen ze door derden onjuist of voor andere doeleinden dan bedoeld of toegestaan gebruikt worden.
•
De gemeente voldoet niet aan de aan haar gestelde kwaliteits- en veiligheidseisen als de externe leveranciers zich niet houden aan de contractueel vastgestelde eisen en de gemeente dit niet periodiek of structureel toetst.
•
Data die nodig zijn voor verantwoording en geschiedschrijving zijn niet meer beschikbaar.
Maatregelen: •
Toegang tot niet-openbare gedeelten van gebouwen, beveiligingszones, netwerkzones en programmatuur is alleen mogelijk na autorisatie daarvoor.
•
In diverse panden (of zones) van de gemeente maken we gebruik van cameratoezicht.
•
We beschermen (data)verbindingen tegen interceptie of beschadiging. (…).
•
We beveiligen applicatie omgevingen evenals de ondersteunende programmatuur die we gebruiken voor beheer.
•
We monitoren, loggen en analyseren activiteiten. Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 8, bladzijde 7
Weten wat je moet weten
•
We verwijderen gegevens en programmatuur van apparatuur of overschrijven deze veilig voordat we de apparatuur afvoeren. (…).
•
We bewaren en vernietigen data conform de Archiefwet 1995 en de daaruit voortvloeiende archiefbesluiten en de Algemene verordening gegevensbescherming (AVG).
•
We werken structureel aan het bewustzijn van de medewerkers binnen de gemeentelijke organisatie, leveranciers en derden die uitvoering geven aan deel- of ketentaken. (…).
•
Bij externe hosting van data en/of services (uitbesteding) blijft de gemeente eindverantwoordelijk voor de betrouwbaarheid van uitbestede diensten. Het voldoen aan de hiervoor geldende regels vereist goede (contractuele) afspraken en controle daarop door middel van contractmanagement.
Adviesbrieven van de auditcommissie bij de jaarstukken De auditcommissie stelt jaarlijks onder meer bij de jaarstukken een adviesbrief aan de raad op. Deze brief bevat aandachtspunten voor de raad bij de behandeling van de jaarstukken, en ook concrete adviezen in de richting van het college en de raad. De auditcommissie geeft invulling aan het opdrachtgeverschap van de gemeenteraad aan de accountant. Omdat een specifieke opdracht aan de accountant is sinds 2018 cybersecurity / IT-beheersing, is de auditcommissie ook actief op dit dossier. De auditcommissie baseert haar adviesbrief niet alleen op de jaarstukken zelf, maar ook op andere relevantie stukken en gesprekken met betrokkenen. Voor wat betreft het onderwerp informatiebeveiliging en privacybescherming gaat het om: •
de boardletter van de accountant;
•
gesprekken met de accountant;
•
gesprekken met de portefeuillehouder en sleutelfiguren uit de ambtelijke organisatie.
In de adviesbrief bij de jaarstukken 2020 is de auditcommissie niet specifiek ingegaan op zaken rond informatiebeveiliging en privacybescherming. Naar aanleiding van de jaarstukken 2019 vroeg zij daar wel aandacht voor. Bij die jaarstukken heeft de auditcommissie een initiatiefraadsvoorstel opgesteld in plaats van een adviesbrief. Het initiatiefraadsvoorstel is unaniem aangenomen door de gemeenteraad. Beslispunt 3 is relevant voor dit onderzoek: Het college te verzoeken om met voorrang te sturen op de aandachtspunten ten aanzien van de bedrijfsvoering die de accountant in zijn bevindingen constateert, met name IT-beheersing, dossiervorming en ‘softcontrols’.
Jaarstukken MGR (iRvN) 2019 en 2020 en zienswijzen van de raad Op grond van de Gemeenschappelijke Regeling MGR (artikel 31, lid 3) kan de gemeenteraad zijn zienswijze bij de jaarstukken naar voren brengen. De gemeenteraad heeft de afgelopen jaren gelijktijdig zijn zienswijzen bij de jaarstukken van jaar x-1 en de ontwerpbegroting van jaar x +1 naar voren gebracht. Hierna zijn de zienswijzen van de raad opgenomen bij de jaarstukken 2019 en 2020 3.
3
Op het moment van afronding van dit onderzoek waren de jaarstukken 2021 nog niet beschikbaar. Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 8, bladzijde 8
Weten wat je moet weten
Zienswijzen van de gemeenteraad bij de jaarstukken MGR 2019 (module iRvN) U beschrijft uw inspanningen in 2019 op het gebied van het veilig en effectief beheren, exploiteren en ontwikkelen van de technische ICT-infrastructuur. We zien de resultaten van deze inspanningen terug en we plaatsen ook enkele kanttekeningen: •
We zijn tevreden met de geringe overlast die we in de regio ervaren hebben als gevolg van hacks. Desondanks roepen wij u op om meer aandacht aan dit onderwerp te besteden, bijvoorbeeld in de risicoparagraaf van de begroting;
•
We zijn blij met de melding dat iRvN alle verplichte en aanbevolen open standaarden toepast in haar beheer. In de rapportage zien we daarnaast graag overgenomen welke open source applicaties de iRvN in beheer heeft;
•
We zijn blij met de inspanningen op het gebied van de bestrijding van cyberrisico’s die, zoals recentelijk weer is gebleken, van groot belang zijn. We nodigen u uit om de aanbevelingen uit het Citrixevaluatieonderzoek waar nodig op te volgen;
•
We zijn ten slotte tevreden met de inspanningen die zijn geleverd om onze bewoners inzagerecht te geven en de applicaties AVG-proof te maken. Wij zijn ons bewust van de inspanning die dit vergt en roepen u op om deze inspanningen voort te zetten.
Zienswijzen van de gemeenteraad bij de jaarstukken MGR 2020 (module iRvN) We zijn tevreden dat de iRvN binnen het budget de beheeractiviteiten heeft gerealiseerd. We geven over een aantal doelen/resultaten de volgende opmerkingen mee: •
Open standaard/open source We zijn blij dat u alle verplichte en aanbevolen open standaarden toepast in uw beheer en tevens in uw rapportage laat zien welke open source applicaties u in beheer heeft of ondersteunt.
•
Informatieveiligheid We zijn tevreden met uw inspanningen op het gebied van veiligheid en bestrijding van cyberrisico’s. We verwachten dat we hierop blijvende inspanning moeten realiseren, gezien de dynamische ontwikkeling waarin cybersecurity zich bevindt.
•
Landelijke samenwerking De samenwerking die u landelijk zoekt voor de realisatie van infrastructurele voorzieningen, vinden we passend bij onze visie en de bijbehorende doelstellingen.
Rekenkamer(commissie)s gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen Bijlage 8, bladzijde 9
Rekenkamer(commissie)s
Berg en Dal, Beuningen, Nijmegen en Wijchen
RAPPORT GEMEENTE NIJMEGEN
Weten wat je moet weten Regionaal rekenkameronderzoek naar informatiebeveiliging en privacybescherming Juli 2022
COLOFON Dit rapport is op basis van een gezamenlijk onderzoek opgesteld door de rekenkamer(commissie)s van de gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen naar informatiebeveiliging en privacybescherming. Voor elk van de vier gemeenten die zijn onderzocht is een aparte versie van het rapport opgesteld. Op onderdelen verschillen die versies van elkaar, omdat er behalve veel gezamenlijke bevindingen ook verschillen zijn tussen de gemeenten. Voorliggend rapport betreft het rapport voor de gemeente Nijmegen. Elk rapport is te vinden op de website van de betreffende rekenkamer of bij de rekenkamer op te vragen.
Telefoon
Website
www.bergendal.nl/rekenkamer
griffie@bergendal.nl
Berg en Dal 06 28 74 38 98 Beuningen 14 024
Gemeente Beuningen / Rekenkamer
Nijmegen 024 – 329 23 38
https://www.nijmegen.nl/over-de-
rekenkamer@nijmegen.nl
gemeente/rekenkamer/onderzoeksrapporten/ Wijchen 088 – 432 72 03
www.wijchen.nl
griffie@wijchen.nl
Bij de uitvoering van het onderzoek zijn de rekenkamer(commissie)s ondersteund door onderzoekers van: •
DMC Group (onderdeel informatiebeveiliging): drs. Chris P.J. Deben CISM, ing. Henk Struving CISA CISSP CISM Lead auditor ISO 27001 en Mick Deben BSc CISSP CRISC;
•
Legal2Practice (onderdeel privacybescherming): mr. Jean Paul van Schoonhoven BBA CCO SIO FIP CIPM CIPT CIPP/E, Meindert Boon RA CDPP CIPM CIPP/e, Philippe Dauphin MA BCS Data Protection en Wilfred Brom BC;
Bij het opstellen van de rapportage zijn de rekenkamer(commissie)s ondersteund door drs. Etienne Lemmens van Prae Advies & Onderzoek.
Weten wat je moet weten
AANBEVELINGEN In dit rapport zijn concrete aanbevelingen voor versterking van informatiebeveiliging en privacybescherming geformuleerd. We benadrukken daarin de noodzaak om de huidige inspanningen te versterken door hier meer systematisch en cyclisch aan te werken. In de kern zijn alle aanbevelingen daarop gericht. In het rapport worden ze nader onderbouwd en toegelicht; hieronder zijn ze allemaal op een rijtje gezet. De rekenkamers zijn zich ervan bewust dat de aanbevelingen een forse inspanning vergen van de colleges van B&W. Dat neemt niet weg dat ons inziens alle aanbevelingen - in samenhang - moeten worden opgepakt. Waar zaken niet kunnen wachten, manen we tot spoed. Uiteindelijk zijn het raad en college die samen moeten afspreken in welke volgorde en met welk tijdpad aan de slag wordt gegaan. We bevelen de gemeenteraden aan om hun college het volgende op te dragen: 1. Zorg voor heldere afspraken tussen de gemeenten en iRvN over informatiebeveiliging 2. Overweeg om het pad in te slaan van gezamenlijk informatiebeveiligingsbeleid in de regio 3. Verhelder het beleid voor informatiebeveiliging en privacybescherming 4. Werk zo snel mogelijk de belangrijkste ontbrekende onderdelen van het beleid uit 5. Voer zo snel mogelijk een organisatiebrede risicoanalyse uit 6. Maak risicomanagement tot een continu proces 7. Stel voldoende (financiële) middelen beschikbaar 8.
Geef de CISO en FG de beschikking over een eigen budget 9. Leg vast hoe je gaat toetsen en rapporteren 10. Ga KPI’s gebruiken 11. Zet volop en systematisch in op bewustwording 12. Besteed meer bestuurlijke aandacht aan informatiebeveiliging en privacybescherming in de gemeente 13. Besteed meer bestuurlijke aandacht aan informatiebeveiliging en privacybescherming in de regio We bevelen de gemeenteraden aan om zelf te zorgen voor de volgende zaken: 14. Stel het beleid voor informatiebeveiliging en privacybescherming vast 15. Laat je informeren en ondersteunen 16. Richt je controlerende rol beter in 17. Overweeg de opdracht aan de accountant voor een IT-audit te continueren 18. Overweeg een regionale aanpak Tot slot: de rekenkamer is een instrument van en voor de gemeenteraad. Kort samengevat komt ons advies aan de raad op het volgende neer: stel bewust de beleidskaders en doelen vast, bewaak dat het college die oppakt, laat je hierover goed en gericht informeren, stel vragen waar nodig, en zoek daarbij zoveel mogelijk samenwerking met de andere raden in de regio.
Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 1
Weten wat je moet weten
Inhoudsopgave
AANBEVELINGEN .............................................................................................................. 1 1.
INLEIDING ................................................................................................................. 4
1.1 AANLEIDING VOOR HET ONDERZOEK ............................................................................................ 4 1.2 DOEL- EN VRAAGSTELLING VAN HET ONDERZOEK ...................................................................... 4 1.3 AFBAKENING EN SCOPE VAN HET ONDERZOEK ............................................................................ 5 1.4 AANPAK VAN HET ONDERZOEK ...................................................................................................... 7 1.5 LEESWIJZER .................................................................................................................................... 9 2.