Initiatief-raadsvoorstel rekenkameronderzoek Informatiebeveiliging en privacybescherming

Raadsvoorstel

Openbaar

Onderwerp Initiatief-raadsvoorstel rekenkameronderzoek Informatiebeveiliging en privacybescherming Opsteller Programma Portefeuillehouder

Sandra Ruta Bestuur en Organisatie Van Elferen

Collegebesluit Behandeldatum Raad Status Openbaar

Samenvatting De vier Rekenkamers van de gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen hebben onderzoek gedaan naar de informatiebeveiliging en privacybescherming door deze gemeenten en door het IRvN als ondersteuner van deze gemeenten op ICT-gebied. De Rekenkamers sluiten hun onderzoek af met een aantal regionale en lokale aanbevelingen. In dit raadsvoorstel, dat is opgesteld onder verantwoordelijkheid van de auditcommissie, is opgenomen hoe de gemeenteraad van Nijmegen de conclusies en aanbevelingen wil verwerken in gemeentelijk beleid.

Voorstel 1. De aanbevelingen in het rekenkamerrapport ‘Weten wat je moet weten’ over te nemen; 2. Het college te verzoeken de aanbevelingen 1 t/m 13 uit het rapport uit te voeren, en daarbij de volgende punten in acht te nemen: a. voorafgaand aan voorstellen voor nieuw beleid eerst een startnotitie aan de raad aan te bieden; b. in de termijnagenda van de gemeenteraad de planning van de afgesproken beleidsvoorstellen op te nemen; c. de raad een voorstel te doen voor kritische prestatie indicatoren (KPI’s), waarmee de voortgang getoetst kan worden; d. twee keer per jaar aan de raad verslag te doen over de voortgang op de doelstellingen, planning, risico’s, maatregelen en middelen, zo mogelijk als vervanging van bestaande rapportages op dit gebied. 3. Als raad de aanbevelingen 14 t/m 18 integraal uit te voeren en daarbij de volgende punten in acht te nemen: a. duidelijke kaders mee te geven voor meetbare resultaten bij het beleid over digitalisering, informatieveiligheid en privacybescherming; b. tussentijdse rapportages vanuit het college te agenderen en bespreken; c. bij de nieuwe aanbesteding van accountantsdiensten de IT-audit te handhaven; d. in regionaal verband met de andere raden te bespreken hoe er structureel afstemming plaatsvindt. Aanleiding De Rekenkamers hebben tot dit onderzoek besloten om twee redenen.

In de eerste plaats verwerken gemeenten steeds meer (gevoelige) persoonsgegevens en doen zij dat ook steeds meer in samenwerkingsverbanden. Onze inwoners hebben er recht op dat

B&W, Raad / sjab = Raadsvoorstel Opgesteld door Sandra Ruta, 90 30, s.ruta@nijmegen.nl

raadsvoorstel Onderzoek

Raadsvoorstel

gemeenten zorgvuldig met deze gegevens omgaan en deze uitstekend beschermen tegen verkeerd gebruik. Daar zijn landelijke richtlijnen voor opgesteld. Hoe staat het met de opvolging daarvan in de vier onderzochte gemeenten? Ten tweede zijn gemeenten kwetsbaar voor cybercriminaliteit. Een gemeente moet daarop voorbereid zijn, maar is dat niet altijd, zo laten voorbeelden in den lande zien. Hoe is dat in de vier onderzochte gemeenten? Daar geeft dit onderzoek antwoorden op. De gemeenteraad van Nijmegen heeft in 2018 besloten dat rekenkamerrapporten altijd voorzien worden van een raadsvoorstel. Op die manier is duidelijk wat er gebeurt met de aanbevelingen en hoe de gemeenteraad stuurt op het nakomen van de gemaakte afspraken. Een andere afspraak is dat raadsvoorstellen bij rekenkameronderzoeken worden opgesteld door de klankbordgroep van raadsleden bij het onderzoek. Bij dit onderzoek hebben de Rekenkamers niet gekozen voor het instellen van een klankbordgroep. Daarom treedt de auditcommissie op als opsteller van dit voorstel. Beoogde impact Met dit voorstel wordt beoogd dat de gemeente Nijmegen de aanbevelingen uit het onderzoek een goede plek geeft in beleid en uitvoering én voldoet aan de landelijke weten regelgeving, zoals de Baseline Informatiebeveiliging (BIO).

Argumenten De Rekenkamers hebben in het onderzoek vastgesteld dat de gemeenten en iRvN hard werken aan informatiebeveiliging en privacybescherming, maar ook dat er nog veel moet gebeuren om van voldoende beheersing te kunnen spreken. Dat betekent dat de gemeenten kwetsbaar zijn. Ze lopen niet alleen het risico dat veel extra inspanningen en geld nodig zijn als er problemen ontstaan, maar ook dat de dienstverlening aan inwoners en bedrijven wordt gehinderd of zelfs onderbroken, en dat de belangen van inwoners en ondernemers worden geschaad. Uitvoering van de aanbevelingen helpt om de risico’s te verkleinen en om de goede stappen te zetten om te komen tot het juiste beveiligingsniveau. Kanttekeningen De Rekenkamers doen een groot aantal aanbevelingen over complexe materie en roepen op om daar meer systematisch en cyclisch aan te werken. Dat is een moeilijke opgave. Toch zijn we het aan onze stand verplicht om hier met kracht aan te werken. Wij citeren met instemming het coalitieakkoord van de gemeente Nijmegen, ‘Ons Nijmegen. Stad van iedereen’: ‘wij willen dat alle Nijmegenaren kunnen vertrouwen op veilige, ethische en efficiënte dienstverlening en gegevensverwerking door de gemeente Nijmegen’. Een andere kanttekening is dat, mede in verband met personele capaciteit, niet alles morgen geregeld kan zijn, hoe graag wij dat ook zouden willen.

Des te belangrijker is het dan dat het college en de raad samen de prioriteiten afstemmen en transparant het gesprek voeren over de planning en over de inhoud van de opgave. Financiën

raadsvoorstel Onderzoek

Raadsvoorstel

In het bovengenoemde coalitieakkoord is een extra bedrag van € 163.000 per jaar, oplopend tot € 480.000 in 2025, opgenomen voor ‘het verhogen van de cyberveiligheid van de systemen’. Verder is er voorzien in een bedrag van € 500.000 structureel per jaar voor het verbeteren van de (digitale) dienstverlening een bedrag van € 270.000 in 2023 voor het invoeren van IRMA als digitale identiteitsvoorziening. De gemeenteraad beveelt aan dat deze budgetten in onderlinge samenhang worden ingezet om te werken aan de aanbevelingen uit het rapport en dat de besteding van de budgetten een onderdeel is van de periodieke rapportages. Vervolg Uitvoering van de aanbevelingen vergt een gestructureerde meerjarenaanpak. Daarom vraagt de raad om een planning en om regelmatige tussenrapportages, waarin voortgang, risico’s, maatregelen etc. pro-actief gemeld worden. Zoals het onderzoek ook constateert, gaat het om ingewikkelde materie. Extra belangrijk is het daarom dat deze rapportages inzicht bieden (informatie in plaats van gegevens) en zo min mogelijk jargon. In verband met het voorkomen van rapportagedruk is het wenselijk om als uitgangspunt te nemen dat bestaande rapportages worden vervangen. Verder is ook de regionale component hierin van belang. Nijmegen participeert immers samen met de regiogemeenten in het IRvN, onderdeel van de MGR. Regionale afstemming van beleidsvoornemens, o.a.

in bijeenkomsten van gemeenteraden, is essentieel om te voorkomen dat IRvN teveel verschillende opdrachten krijgt. De gemeenteraden van Beuningen en Wijchen hebben inmiddels vergelijkbare raadsvoorstellen vastgesteld. De gemeenteraad van Berg en Dal heeft het onderzoek binnenkort op de raadsagenda. Bijlagen

raadsvoorstel Onderzoek