D04 00 Nota Rapportage informatieveiligheid en ENSIA-verantwoording 2021.pdf

BESLUITVORMENDE NOTA AAN BURGEMEESTER EN WETHOUDERS No. 22.0000457 Afdeling/eenheid/cluster:

Projectnaam:

Bijl.: Datum:

Steller:

Rapportage informatieveiligheid en ENSIA-verantwoording 2021

6

E Klompe

7 maart 2022

Portefeuille: I Onderwerp: Rapportage informatieveiligheid en ENSIA-verantwoording 2021 Voorgesteld besluit 1. Instemmen met en ondertekenen van de collegeverklaring ENSIA 2021 inzake DigiD en Suwinet. 2. Instemmen met de bestuursrapportages BAG, BGT en BRO en WOZ. 3. Kennisnemen van de rapportage informatieveiligheid 2021. 4. De raad informeren via de rapportages en collegeverklaring. Inleiding Inwoners en ondernemers verwachten van de overheid dat zij zorgvuldig met hun gegevens omgaat. Dat betekent zorgen dat de gegevens betrouwbaar en beschikbaar zijn. Het betekent ook vertrouwelijk omgaan met die gegevens. ENSIA1 is door de VNG geïntroduceerd in 2017. Het doel is om als college in één keer verantwoording af te leggen over informatieveiligheid aan de gemeenteraad èn aan de rijksoverheid waar het gaat om het gebruik van landelijke voorzieningen. De verantwoording over 2021, volgens een vast patroon, met verplichte indeling en teksten2 modellen, moet vóór 30 april 2022 afgerond zijn. Doelstelling • Het college periodiek informeren over de status van onze informatieveiligheid. • Invulling geven aan de landelijke afspraak over ENSIA (Eenduidige Normatiek Single Information Audit) waarmee uw college verantwoording richting de gemeenteraad èn de verantwoording richting de Rijksoverheid (in hun rol als toezichthouder) over onze informatieveiligheid aflegt. Argumenten 1.1.

Gemeenten moeten verantwoording afleggen aan de Rijksoverheid via ENSIA Gemeenten moeten jaarlijks over informatieveiligheid rapporteren. Dit doen we door éénmalig een uitgebreide zelfevaluatielijst digitaal in te vullen in de ENSIA-tool. Hier wordt een verantwoordingsproces opgestart over: • het voldoen aan de gemeentelijke normen van informatiebeveiliging (BIG); • de Basisregistratie Personen (BRP); • de Paspoortuitvoeringsregeling Nederland (PUN); • de Digitale persoonsidentificatie (DigiD); • de Basisregistratie Adressen en Gebouwen (BAG); • de Basisregistratie Grootschalige Topografie (BGT); • de Basisregistratie Ondergrond (BRO); • de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet) en • de Waardering Onroerende Zaken (WOZ)

1 Eenduidige Normatiek Single Information Audit 2 Het niet gebruiken van het vaste format kan tot afkeuring van de documenten bij diverse

ministeries leiden.

1.2. Uw college toont met de collegeverklaring aan dat de gemeente Noordoostpolder voldoet aan beveiligingsnormen voor DigiD en Suwinet •

•

Inwoners kunnen hun zaken met de gemeente via ons Digitaal loket indienen. Er wordt met DigiD ingelogd. We moeten aan het ministerie van Binnenlandse Zaken en Koninkrijksrelaties aantonen dat wij voldoende preventie– en detectiemaatregelen nemen om veilig digitale dienstverlening te garanderen. Dat tonen we aan via een collegeverklaring die door een EDPauditor is gecontroleerd en gewaarmerkt. We maken vooral bij het cluster Uitvoering Sociaal Domein gebruik van Suwinet. Zo kunnen we persoonsgegevens van inwoners, die bij verschillende organisaties of basisregistraties zijn opgeslagen, raadplegen in één web toepassing. Als afnemer Suwinet moeten we aantonen dat we de veiligheid van de persoonsgegevens voldoende waarborgen.

2.1. Uw college toont via bestuursrapportage voor de BAG, BGT en BRO aan in welke mate we voldoen aan de kwaliteitsnormen Als gemeente zijn we bronhouder van de BAG, BGT en BRO. We moeten jaarlijks zelfevaluaties uitvoeren. Deze evaluaties betreffen de gegevenskwaliteit en de borging van beheerprocessen. Via de bestuursrapportage tonen we aan het ministerie van Binnenlandse Zaken en Koninkrijksrelaties aan dat we voldoen aan de kwaliteitscriteria voor de basisregistraties. De trend van de laatste vier jaar laat zien dat de basisregistraties op orde zijn. Wel hebben we voor 2021 moeten constateren dat de totaalscore voor de BAG ligt onder het percentage van 75%. Uit een analyse van deze gegevens blijkt dat dit het gevolg is van twee situaties die het percentage nadelig hebben beïnvloed. In de rapportage wordt ingegaan op de stand van zaken verbeterplan 2020 en zijn naar aanleiding van de bevindingen 2021 nieuwe verbetermaatregelen geformuleerd. 2.2 Uw college toont via de bestuursrapportage aan in welke mate we voldoen aan de eisen van informatiebeveiliging en informatie-architectuur WOZ 2021 Met ingang van het verantwoordingsjaar 2021 laat de Waarderingskamer de verantwoording over (een deel van de) Wet Waardering Onroerende Zaken (Wet WOZ) via ENSIA verlopen. Het gaat hier om het deel systeembeheer van de oude oktobervragenlijst.

De beheersmaatregelen (opzet en bestaan) voldoen voor het grootste gedeelte aan de normen. Een specifieke controle van de BIO inzake de WOZ heeft niet plaatsgevonden. Hiervoor is een verbetermaatregel voorgesteld. 3.1. In het strategisch informatieveiligheidsbeleid is vastgelegd dat jaarlijks gerapporteerd wordt over informatieveiligheid aan uw college Het college heeft een coördinator informatiebeveiliging benoemd die onafhankelijk adviseert en signaleert over informatieveiligheid. Deze functionaris stelt jaarlijks een rapportage informatieveiligheid op. Als bijlage bij dit voorstel treft u deze rapportage aan. 4.1. Uw college legt verantwoording af over informatieveiligheid aan de gemeenteraad Inwoners en ondernemers verwachten een betrouwbare overheid die zorgvuldig met informatie omgaat. Het gaat daarbij om het waarborgen van beschikbaarheid, integriteit en vertrouwelijkheid van informatie(systemen). Gemeenten zorgen voor verankering van informatieveiligheid op de gemeentelijke agenda, waarbij het college jaarlijks verantwoording over informatieveiligheid aflegt aan de gemeenteraad. Dit doen we via het hoofdstuk informatieveiligheid en privacy in de paragraaf bedrijfsvoering van het jaarverslag 2021. Aanvullend worden dit collegevoorstel, de rapportage informatieveiligheid en de collegeverklaring ter informatie aan de gemeenteraad verstrekt.

Zonder bijlagen vanwege het vertrouwelijk karakter3 daarvan. Kanttekeningen 2.1. De verantwoording over de BRP en PUN betreft alleen het onderdeel over informatieveiligheid Uw college is via separate besluitvorming (15-02-2022) geïnformeerd over de uitkomsten van de zelfevaluatie op kwaliteit van de BRP en PUN. 3

De Informatiebeveiligingsdienst voor gemeenten (IBD) heeft gemeenten nog eens nadrukkelijk gewezen op vertrouwelijkheid van de bijlagen, deze bevat gegevens die door kwaadwillende misbruikt zouden kunnen worden.

Planning/Uitvoering • Na behandeling in de collegevergadering worden de collegeverklaring en de bestuursrapportages BAG, BGT en BRO en WOZ door uw college getekend. • De gewaarmerkte collegeverklaring, een Assurance verklaring, en de ondertekende bestuursrapportages worden geüpload in de ENSIA-tool voor de verantwoording richting de Rijksoverheid. • Het collegevoorstel, de rapportage informatieveiligheid en de collegeverklaring worden ter informatie aan de gemeenteraad verstrekt. • Daar waar in managementrapportages of Assurance rapporten verbetersuggesties zijn opgenomen, wordt aan de verantwoordelijke managers gevraagd deze maatregelen op te pakken. De Ensia coördinator en de coördinator nformatiebeveiliging zien hierop toe. Bijlagen • Rapportage informatieveiligheid 2021 • Collegeverklaring • Bijlage 1 collegeverklaring DigiD • Bijlage 2 collegeverklaring Suwinet • Bestuursrapportage BAG, BGT en BRO • Bestuursrapportage WOZ