D03 00 Nota Rapportage informatieveiligheid en ENSIA 2020.pdf

BESLUITVORMENDE NOTA AAN BURGEMEESTER EN WETHOUDERS No. 21.0001414 Afdeling/eenheid/cluster: Advies

Projectnaam:

Bijl.: Datum:

Steller:

8

E. Klompe

24 maart 2021

Portefeuille: I Onderwerp: Rapportage informatieveiligheid en ENSIA 2020 Voorgesteld besluit 1. Kennis nemen van de rapportage informatieveiligheid 2020. 2. Instemmen met en ondertekenen van de collegeverklaring ENSIA 2020 inzake DigiD en Suwinet. 3. Instemmen met en ondertekenen van de bestuursrapportages BAG, BGT en BRO. 4. De raad informeren via de rapportages en collegeverklaring. Inleiding Inwoners en ondernemers verwachten van de overheid dat zij zorgvuldig met hun gegevens omgaat. Dat betekent zorgen dat de gegevens betrouwbaar en beschikbaar zijn. Het betekent ook vertrouwelijk omgaan met die gegevens. 1

ENSIA is door de VNG geïntroduceerd in 2017. Het doel is om als college in één keer slim verantwoording af te leggen over informatieveiligheid aan de gemeenteraad èn aan diverse nationale partijen die een rol hebben in het toezicht op informatieveiligheid. De verantwoording over 2020, 2 volgens een vast patroon, met verplichte indeling en teksten modellen, moet vóór 30 april 2021 afgerond zijn. Doelstelling  Het college periodiek informeren over de status van onze informatieveiligheid.  Invulling geven aan de landelijke afspraak over ENSIA (Eenduidige Normatiek Single Information Audit) waarmee uw college verantwoording richting de gemeenteraad èn de verantwoording richting de Rijksoverheid (in hun rol als toezichthouder) over onze informatieveiligheid aflegt. Argumenten 1.1. In het strategisch informatieveiligheidsbeleid is vastgelegd dat jaarlijks gerapporteerd wordt over informatieveiligheid aan uw college Het college heeft een coördinator informatiebeveiliging benoemd die onafhankelijk adviseert en signaleert over informatieveiligheid. Deze functionaris stelt jaarlijks een rapportage informatieveiligheid op. Als bijlage bij dit voorstel treft u deze rapportage aan. 2.1. Gemeenten moeten verantwoording afleggen aan de Rijksoverheid via ENSIA Gemeenten moeten jaarlijks over informatieveiligheid rapporteren.

Dit doen we door éénmalig een uitgebreide zelfevaluatielijst digitaal in te vullen in de ENSIA-tool. Hier wordt een verantwoordingsproces opgestart over:  het voldoen aan de gemeentelijke normen van informatiebeveiliging (BIG);  de Basisregistratie Personen (BRP);  de Paspoortuitvoeringsregeling Nederland (PUN);  de Digitale persoonsidentificatie (DigiD);  de Basisregistratie Adressen en Gebouwen (BAG);  de Basisregistratie Grootschalige Topografie (BGT);  de Basisregistratie Ondergrond (BRO) en; 1

Eenduidige Normatiek Single Information Audit Het niet gebruiken van het vaste format kan tot afkeuring van de documenten bij diverse ministeries leiden. 2



de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet)

2.2. Uw college toont met de collegeverklaring aan dat de gemeente Noordoostpolder voldoet aan beveiligingsnormen voor DigiD. Inwoners kunnen hun zaken met de gemeente via ons Digitaal loket indienen. Er wordt met DigiD ingelogd. We moeten aan het ministerie van Binnenlandse Zaken en Koninkrijksrelaties aantonen dat wij voldoende preventie– en detectiemaatregelen nemen om veilig digitale dienstverlening te garanderen. Dat tonen we aan via een collegeverklaring die door een EDP-auditor is gecontroleerd en gewaarmerkt. 2.3 Uw college toont met de collegeverklaring aan in hoeverre de gemeente Noordoostpolder voor Suwinet/DKD-inlezen aan de beveiligingsnormen voldoet. We maken vooral bij het cluster Uitvoering Sociaal Domein gebruik van Suwinet. Zo kunnen we persoonsgegevens van inwoners, die bij verschillende organisaties of basisregistraties zijn opgeslagen, raadplegen in één web toepassing. Als afnemer Suwinet moeten we aantonen dat we de veiligheid van de persoonsgegevens voldoende waarborgen. Uit de audit komt dat de gemeente Noordoostpolder voldoet aan alle normen van Suwinet. DKD-Inlezen kan worden gebruikt voor het inlezen van gegevens voor de uitvoering van de Bijstand/Participatiewet. Uitgangspunt was en is dat deze functionaliteit is uitgeschakeld waardoor geen beveiligingsmaatregelen nodig leken.

Helaas is vermoedelijk na een update deze functionaliteit per ongeluk opengesteld (zie verder onder kanttekeningen 2.3). 2.4. Uw college toont via bestuursrapportages aan in welke mate we voldoen aan de kwaliteitsnormen voor de BAG, BGT en BRO Als gemeente zijn we bronhouder van de BAG, BGT en BRO. We moeten jaarlijks een zelfevaluatie uitvoeren. Via een bestuursrapportage tonen we aan het ministerie van Binnenlandse Zaken en Koninkrijksrelaties aan dat we voldoen aan de kwaliteitscriteria voor de basisregistraties. 3.1. Uw college legt verantwoording af over informatieveiligheid aan de gemeenteraad Via de eerdergenoemde VNG-resolutie is tevens afgesproken dat jaarlijks verantwoording over informatieveiligheid wordt afgelegd aan de gemeenteraad. Dit doen we via het hoofdstuk informatieveiligheid en privacy in de paragraaf bedrijfsvoering van het jaarverslag 2020. Aanvullend worden dit collegevoorstel, de rapportage informatieveiligheid en de collegeverklaring ter informatie 3 aan de gemeenteraad verstrekt. Zonder bijlagen vanwege het vertrouwelijk karakter daarvan. Kanttekeningen 2.3 We voldoen niet aan alle normen voor DKD-inlezen en hebben hiervoor een verbeterplan opgesteld Bij de ENSIA-pré-audit in november 2020 bleek dat er door één medewerker DKD-inlezingen te zijn gedaan en dat deze gegevens zijn opgeslagen.

Vermoedelijk is na een update deze functionaliteit per ongeluk opengesteld. Door dit (minimale) gebruik van de functionaliteit moest dit jaar onverwacht een extra audit gedaan worden op DKD-Inlezen. In deze audit is logischerwijs geconstateerd dat op een aantal punten onze inrichting van deze functionaliteit niet voldoet. Logischerwijs omdat we deze functionaliteit niet wilden gebruiken. Om de aanbevelingen van de auditor te implementeren en de veiligheidsrisico’s te mitigeren is een verbeterplan opgesteld. Dit treft u in de bijlage aan. In basis is de verbetermaatregel dat de functionaliteit DKD-Inlezen weer wordt uitgeschakeld. Om te voorkomen dat in de toekomst achteraf opnieuw blijkt dat de functie toch in gebruik is, wordt een expliciete controle op de uitgeschakelde functie ingevoegd in de bestaande controlestructuur. 3.1. De verantwoording over de BRP en PUN betreft alleen het onderdeel over informatieveiligheid Uw college is via separate besluitvorming geïnformeerd over de uitkomsten van de zelfevaluatie op kwaliteit van de BRP en PUN.

3

De Informatiebeveiligingsdienst voor gemeenten (IBD) heeft gemeenten nog eens nadrukkelijk gewezen op vertrouwelijkheid van de bijlagen, deze bevat gegevens die door kwaadwillende misbruikt zouden kunnen worden.

3.2. De verschillende rapportages uit de ENSIA-tool zijn bestemd voor specialisten en daardoor gedetailleerd De verantwoording richting de verschillende Rijksoverheden wordt getoetst door specialisten. Dat betekent dat in de bijlagen bij dit voorstel soms gedetailleerde informatie bevat. Essentie voor uw college is dat de bijlagen aantonen dat de gemeente voldoende maatregelen treft om te zorgen dat de gegevens in de bronregistraties voldoende beschermd zijn en dat de kwaliteit van gegevens gewaarborgd is. Planning/Uitvoering  Na behandeling in de collegevergadering worden de collegeverklaring en de bestuursrapportages BAG, BGT en BRO door uw college getekend.  De gewaarmerkte collegeverklaring, een assurance verklaring, en de ondertekende bestuursrapportages worden geüpload in de ENSIA-tool voor de verantwoording richting de Rijksoverheid.  Het collegevoorstel, de rapportage informatieveiligheid en de collegeverklaring worden ter informatie aan de gemeenteraad verstrekt.  Daar waar in managementrapportages of Assurance rapporten verbetersuggesties zijn opgenomen, wordt aan de verantwoordelijke managers gevraagd deze maatregelen op te pakken.

Bijlagen  Rapportage informatieveiligheid 2020  Collegeverklaring  Bijlage 1 collegeverklaring DigiD  Bijlage 2 collegeverklaring Suwinet  Verbeterplan DKD-Inlezen  Bestuursrapportage BAG  Bestuursrapportage BGT  Bestuursrapportage BRO