Raadsinformatiebrief Voortgang op Informatiebeveiliging en Privacy

Postadres Gemeente Nijmegen

Aan de gemeenteraad van Nijmegen

Postbus 9105 6500 HG Nijmegen Bezoekadres Korte Nieuwstraat 6 6511 PP Nijmegen T 14 024 nijmegen.nl

Datum Onderwerp

Contactpersoon Esther Zijlstra e.zijlstra@nijmegen.nl T 024 – 329 39 63

1 april 2025 Voortgang op informatiebeveiliging en privacy

Ons kenmerk E25.000416

Geachte leden van de raad, In deze halfjaarlijkse brief nemen we u mee in de ontwikkelingen die er zijn op het vlak van informatiebeveiliging en privacy en het effect dat deze hebben op het verloop van de KPI`s die in deze brief besproken worden. Terugblik In deze brief, volgen wij doorgaans een bepaald format. Dit format is gebaseerd op de indicatoren die wij eerder met u hebben afgestemd. We hebben er in deze brief voor gekozen om het periodiek terugkerende deel van de brief te verplaatsen naar de bijlage. Wij nemen graag eerst de gelegenheid om onze verwachtingen over de toekomstige ontwikkelingen en de haalbaarheid van de gestelde doelen te schetsen, omdat er belangrijke veranderingen hebben plaatsgevonden op het gebied van informatiebeveiliging en privacy die hier invloed op hebben. In 2022 werd het Rekenkamerrapport ‘Weten wat je moet weten’ gepresenteerd. Een van de bevindingen is dat de gemeente tekortschoot op het gebied van privacybescherming en informatiebeveiliging. In reactie op dat rapport heeft het college een aantal stappen ondernomen. Een daarvan is middels deze halfjaarlijkse update en de vastgestelde KPI’s de raad beter in staat te stellen om te sturen. Een andere is het verbeteren en vervangen van het strategisch privacy- en informatiebeveiligingsbeleid dat er destijds lag.

Hierbij lag de nadruk op het toevoegen en versterken van de strategische component: waar willen we als gemeente naartoe, wat is onze ambitie? Dit heeft geleid tot een nieuw privacybeleid, dat in 2023 door uw raad is vastgesteld. Ook het informatiebeveiligingsbeleid wordt herzien. De vaststelling is voorzien voor 2025. We hebben destijds ons ambitieniveau voor wat betreft informatiebeveiliging en privacy vastgesteld op volwassenheidsniveau 3. Op het gebied van privacy heeft de raad vastgesteld dat we hier in 2027 aan moeten voldoen. Op het gebied van informatiebeveiliging was de verwachting dat een periode van 3 jaar voldoende zou moeten zijn.

Gemeente Nijmegen

Pagina 1 van 3

Nu het rapport inmiddels bijna 3 jaar oud is, kunnen we een realistisch beeld schetsen van hoe haalbaar de gestelde doelen zijn. Hierbij letten we op de ontwikkelingen op het gebied van privacy en informatiebeveiliging, in verhouding tot de beschikbare middelen. Als we het gestelde doel in 2027 willen bereiken, dan moeten we in 2025 al in enigszins in de buurt komen. Verschuivende doelen Bij het vaststellen van onze ambitie om volwassenheidsniveau 3 te bereiken op deze thema’s, zijn we uitgegaan van wat niveau 3 ten tijde van het rekenkamerrapport betekende. Inmiddels zijn we drie jaar verder en kunnen we vaststellen dat volwassenheidsniveau 3 in 2022 iets anders inhield dan in 2025. Door de stroomversnelling waar de ontwikkelingen in informatiebeveiliging en privacy de afgelopen jaren in zijn geraakt is de investering die het behalen van niveau 3 van ons vraagt gestegen. Naast de AVG als wettelijk kader op het vlak van privacy zal in 2025 de Cyberbeveiligingswet van kracht worden, met in haar kielzog de update van de Baseline Informatiebeveiliging Overheid (hierna BIO), BIO2. Dit betekent dat de eisen die aan gemeenten gesteld worden toenemen, inclusief het toezicht daar op. Hoe dit uiteindelijk vorm krijgt moet nog blijken, maar het bereik van de wet is veel breder dan de huidige (wettelijke) kaders.

Waar eerst het accent vooral lag op het sociaal domein komt nu ook het fysieke domein in de schijnwerper te staan. Gemeenten zijn aangewezen als essentiële entiteiten, wat vooral betekent dat er wezenlijk scherper toezicht gehouden moet worden. Ook bij privacybescherming wordt steeds duidelijker hoe de AVG ingekleurd dient te worden. Zo omvat het borgingsmodel dat we hanteren (Borgingsmodel 3.0 van de Informatiebeveiligingdienst) nieuwe vereisten, zoals een FG-regeling, specifieke privacyverklaringen een controleprocedure voor automatische besluitvorming. Allemaal vereisten waarvan in 2022 nog minder duidelijk was hoe we deze als gemeente concreet moesten invullen. Er is nog meer wetgeving, zoals de AI act, de Wet gegevensverwerking voor samenwerkingsverbanden, de Europese Data Act, de aankomende Wet aanpak meervoudige problematiek sociaal domein, enzovoorts, die effect heeft op onze informatiehuishouding en gegevensverwerking. Zo blijft de lat steeds verschuiven. Boven op de wettelijke eisen waar wij door middel van volwassenheidsniveau 3 aan willen voldoen is er natuurlijk het uiteindelijke doel om de gegevens van de inwoners van Nijmegen veilig te houden. De technologische en geopolitieke ontwikkelingen van de afgelopen tijd hebben effect op de dreigingen waar wij ons tegen moeten wapenen, naast dat de technologie ons ook kansen biedt in de verdediging.

Deze ontwikkelingen moeten onderzocht en geduid worden en ook dit vraagt een investering. Daarnaast moeten risico’s en maatregelen opnieuw worden afgewogen en wellicht nieuwe maatregelen worden getroffen om het veiligheidsniveau te handhaven.

Gemeente Nijmegen

Pagina 2 van 3

Conclusie De afgelopen jaren zijn er veel stappen gezet op het gebied van privacy en informatiebeveiliging. Denk bijvoorbeeld aan het vaststellen van nieuw privacybeleid, het uitvoeren van inmiddels meer dan 100 DPIA’s, het herzien van autorisaties in kritieke systemen en het intensiever werken aan i-bewustzijn (zie voor meer voorbeelden pagina 1 van de bijlage). Tegelijkertijd is het zo dat de vereisten bij de doelen die we gesteld hebben verschuiven. Gelet op deze verschuivende doelen, willen we deze brief gebruiken om een signaal af te geven dat de doelstellingen die we naar aanleiding van het rekenkamerrapport “weten wat je moet weten” hebben vastgesteld, die later vertaald zijn naar de roadmap, met de huidige middelen niet binnen de gestelde termijn gaan halen. We zullen – als onderdeel van het komende begrotingsproces - in beeld brengen wat naar onze indruk aanvullend nodig is om deze doelen alsnog te bereiken, hoe zich dat verhoudt tot de afgesproken tijdlijn en welke mogelijke risico’s een vertraging met zich meebrengt.

Hoogachtend, Het college van burgemeester en wethouders van Nijmegen

A.P.W. van de Klift

H.M.F. Bruls

gemeentesecretaris

burgemeester

Gemeente Nijmegen

Pagina 3 van 3