Raadsbrief Programma informatiebeveiliging iRvN

Postadres Gemeente Nijmegen

Aan de gemeenteraad van Nijmegen

Postbus 9105 6500 HG Nijmegen Bezoekadres Korte Nieuwstraat 6 6511 PP Nijmegen T 14 024 nijmegen.nl

Datum Onderwerp

Contactpersoon Niels Loeffen n.loeffen@nijmegen.nl T 06 - 29 63 91 45

7 juni 2022 Programma informatiebeveiliging iRvN

Geachte leden van de raad,

Ons kenmerk E22.000976

In de brief informeren we u hierbij over het Advies programma informatiebeveiliging iRvN dat als doel heeft de bescherming van regiogemeenten tegen cybercriminaliteit mee te laten groeien met de toename van het dreigingsniveau.

Bijlage(n) Bijgevoegd: Ja

Door de toegenomen digitalisering is het zorgvuldig omgaan met de informatie en gegevens van burgers, bedrijven en ketenpartners van groot belang. Gemeente Nijmegen heeft de technische uitvoering van informatiebeveiliging ondergebracht bij ICT Rijk van Nijmegen (iRvN). De bedreigingen voor informatieveiligheid voor de (lokale) overheid groeien de afgelopen jaren exponentieel in omvang en volwassenheid. De urgentie voor verbetering van de informatieveiligheid is daarom hoog. Vanwege de regionale samenwerking bij ICT-dienstverlening is ook het regionaal organiseren van informatieveiligheid noodzakelijk. iRvN heeft daarom een GAP-analyse op basis van wereldwijde veiligheidsnormen laten uitvoeren door het bedrijf Hunt & Hackett, experts in informatiebeveiliging en cybercrime.1 Op basis van de aanbevelingen uit de analyse heeft iRvN een programma van maatregelen inclusief kostenraming samengesteld. Met dit programma van maatregelen blijft in regioverband de basis voor informatieveiligheid op orde en wordt een extra stap gezet in de richting van monitoring, detectie en preventie. Hiermee worden hackaanvallen in een vroeger stadium gedetecteerd en wordt er direct, geautomatiseerd op gereageerd.

De maatregelen binnen het programma vergroten de slagkracht binnen drie aandachtgebieden: basishygiëne: aanscherping van monitoring van kwetsbaarheden; reactieve maatregelen: eerder kunnen detecteren van (potentiële) aanvallen en geautomatiseerd kunnen reageren; proactief acteren: regulier testen van de ICT-infrastructuur waarin handmatig en actief op zoek wordt gegaan naar kwetsbaarheden. 1 Een GAP analyse is een onderzoeksmethode waarin de huidige situatie vergeleken wordt met de gewenste

situatie, in dit geval wereldwijd geaccepteerde veiligheidsnormen.

Gemeente Nijmegen

Pagina 1 van 2

Het voorgestelde programma betreft technische maatregelen en voldoet aan de Baseline Informatiebeveiliging Overheid (BIO) dat sinds 1 januari 2019 de verplichte standaard is voor informatiebeveiliging van Nederlandse overheden. Met het programma worden risico’s verminderd, maar 100% informatieveiligheid bestaat niet. De technische maatregelen zijn bedoeld om het beveiligingsniveau te professionaliseren zodat het mee kan blijven bewegen met het continu toenemend dreigingsniveau, maar dat het ook werkbaar blijft voor de organisatie (aspect gebruiksgemak). Herhaaldelijk herijken en zo nodig bijstellen van het programma en de daarmee samenhangende kosten blijft noodzakelijk. Hoewel we weten dat het menselijke handelen het grootste risico op datalekken vormt, zijn binnen het programma met name technische maatregelen opgenomen. Bewustwordingsmaatregelen voor medewerkers worden opgepakt door regiogemeenten zelf en ook iRvN organiseert dit separaat voor haar eigen medewerkers. De jaarlijkse exploitatiekosten voor de voorgestelde maatregelen bedragen € 885.500 voor een programma met een looptijd van drie jaar. In overeenstemming met de in MGR verband afgesproken verdeelsleutel neemt de gemeente Nijmegen daarvan 54% voor haar rekening.

Het gevraagde budget voor het programma informatiebeveiliging bedraagt daarmee € 163.000 in 2022, € 366.000 in 2023, € 407.000 in 2024 en structureel € 480.000 vanaf 2025 en is opgenomen in de 1e voortgangsmonitor van 2022 en de stadsbegroting 2023-2026. iRvN wil starten met het programma in het derde kwartaal van 2022. De voortgang van het programma zal worden gemeld via de auditcommissie. In de bijlagen vindt u het advies programma beveiliging iRvN. Hoogachtend,

mr. drs. A.H. van Hout gemeentesecretaris

drs. H.M.F. Bruls burgemeester

Gemeente Nijmegen

Pagina 2 van 2