D07 01 Jaarverslag informatieveiligheid privacy en WPG 2025.pdf

Jaarverslag 2025 Informatieveiligheid, gegevensbescherming en WPG

Gemeente Noordoostpolder

Gemaakt Genop 3/2/2026 9:55:00 AM 19 Maart 2026

Inhoudsopgave Inhoudsopgave ........................................................................................................... 2 1.

Inleiding ........................................................................................................... 3

2.

Informatieveiligheid ........................................................................................... 4

3.

Privacy ............................................................................................................. 8

4.

Wet Politiegegevens ......................................................................................... 11

5.

Bewustwording medewerkers ............................................................................ 12

Jaarverslag informatieveiligheid en privacy 2025

Pagina 2 van 12

1.

Inleiding

Onze inwoners, ondernemers en samenwerkingspartners moeten erop kunnen vertrouwen dat hun gegevens bij de gemeente veilig zijn en dat hun privacy gerespecteerd wordt. Dat betekent dat eisen gesteld worden aan de bescherming van deze gegevens in lijn met vigerende wetgeving zoals de (u)AVG, de WPG1 en de Baseline informatiebeveiliging Overheid. Meer concreet zijn de eisen, zoals opgenomen in het strategisch beleid informatieveiligheid en privacy van de gemeente: • • • • • • •

Gegevens moeten op orde en controleerbaar zijn Gegevens en informatie mogen alleen verwerkt worden als ze nodig zijn voor uitvoering van onze gemeentelijke taken Gegevens en informatie mogen alleen beschikbaar zijn voor de daartoe geautoriseerde personen Gegevens moeten voor hen beschikbaar zijn en mogen niet onderschept, gelezen of gemanipuleerd kunnen worden Medewerkers moeten zorgvuldig en bewust handelen om bovenstaande te borgen. Doelstellingen en beginselen uit de AVG moeten we waarborgen Onze toezichthouders moeten voldoen aan de Wet politiegegevens

Dit jaarverslag gaat in op de informatieveiligheid (hoofdstuk 2), een verslag over de AVG (hoofdstuk 3) en de bevindingen over de WPG (hoofdstuk 4).

1

Algemene Verordening Gegevensbescherming en Wet Politiegegevens

Jaarverslag informatieveiligheid en privacy 2025

Pagina 3 van 12

2. Informatieveiligheid Geldende kaders informatieveiligheid •

•

•

Voor gemeenten is de Baseline Informatiebeveiliging Overheid (BIO2) de standaard voor informatiebeveiliging. De BIO2 is juridisch gekoppeld aan de Cyberbeveiligingswet (Cbw) die naar verwachting in 2026 van kracht wordt. En daarmee een belangrijk verplicht kader om aan te voldoen. De BIO bevat regels en richtlijnen die zijn ontworpen om ervoor te zorgen dat de gemeente hun informatie veilig beheert, gebaseerd op risicomanagement. De maatregelen helpen om de gemeente te beschermen tegen cyberaanvallen, datalekken en andere beveiligingsrisico's. De 10 principes voor informatiebeveiliging van de VNG zijn een bestuurlijke aanvulling hierop. Hierin wordt ingegaan op de verantwoordelijkheid van bestuurders voor de informatiebeveiliging binnen gemeentelijke organisatie.

Grootste risico’s informatieveiligheid Cybercriminaliteit neemt nog steeds drastisch toe in zowel frequentie als complexiteit, met een groeiende impact. Het Dreigingsbeeld Informatiebeveiliging 2025-2026 van de VNG spreekt over een onverminderd complex digitaal dreigingslandschap. Ransomeware, datalekken en uitval van processen door incidenten vormen de grootste bedreigingen. Door de versaasing van het applicatielandschap is er daarnaast steeds vaker sprake van afhankelijkheid van externe leveranciers. Het is belangrijk om met deze externe partijen duidelijke afspraken te maken over informatiebeveiliging èn om de uitvoering te monitoren. Dit vraagt extra inzet en investeringen, terwijl er in het algemeen gesproken financiële en personele krapte is. Het goed inrichten van informatiebeveiliging in de breedste zin van het woord voorkomt extra tijdsinvestering en herstelkosten achteraf. De uitdaging is om te zorgen dat informatie op het juiste moment beschikbaar is, voor onze medewerkers, inwoners, ondernemers en samenwerkingspartners. Ook nadat zaken afgehandeld zijn. Iedereen moet erop kunnen vertrouwen en dat hun data juist en volledig is èn dat dit niet door kwaadwillende kan worden onderschept (weerbaarheid).

Jaarverslag informatieveiligheid en privacy 2025

Pagina 4 van 12

Basismaatregelen om als gemeente digitaal weerbaar te zijn en blijven De organisatie treft veel maatregelen zoals toegangsbeheer met multifactor authenticatie, netwerkscheiding, back-ups, monitoring en response. De organisatie heeft in 2025 stappen gezet ter voorbereiding op nieuwe regelgeving, zoals NIS2 en de daaruit voortvloeiende Nederlandse Cybersecuritywet. Doel van deze regelgeving is dat gemeenten digitaal weerbaar moeten zijn. Met daarbij als complexe factor dat de digitale risico’s steeds groter worden i.c. dat er telkens nieuwe risico’s ontstaan. Dit vergt telkens opnieuw aandacht en aanpassingen. Hackers zitten immers niet stil, beveiligingsmaatregelen moeten aangepast worden om voldoende weerbaar te blijven. De gemeente werkt volgens een ISMS (information securitymanagement system) om in beeld te houden in hoeverre de gemeente voldoet aan de beveiligingsmaatregelen en waar verbetering nodig is. Ook worden de informatiebeveiligingsincidenten en datalekken geregistreerd. In 2025 is in lijn met de Cybersecuritywet monitoring en response ingevoerd inclusief de daarbij behorende processen. Hiermee wordt 24/7 o.a. gecontroleerd op verdachte inlogpogingen. En als er, ondanks alle aanwezige beveiligingsmaatregelen, toch iets gebeurt, kunnen we direct ingrijpen om het incident te stoppen en verdere schade te voorkomen.

Er is veel aandacht besteed aan de rol van de functioneel beheerders als het gaat over informatieveiligheid en het belang om de autorisaties en logging volgens BIO2 te gaan vormgeven. Er is vastgesteld welke kritische applicaties de gemeente heeft. Dat zijn applicaties die essentieel zijn om de dienstverlening te continueren en waarvoor in geval van langdurige incidenten alternatieve processen moeten zijn geregeld. Er worden via nieuwe/aangepaste changeprocedures (inkoop) afspraken gemaakt met leveranciers over informatieveiligheid en privacy. Medio 2025 is in de changeprocedures ook het onderwerp en daarmee de toetsing op AI/Algoritmes opgenomen. Daarnaast is er periodiek aandacht voor bewustwording. Alle medewerkers vormen een laatste en belangrijke schakel wanneer de basismaatregelen onverhoopt niet afdoende functioneren. Bovenstaande activiteiten leveren een belangrijke bijdrage aan het verbeteren van de digitale weerbaarheid van onze gemeente. Toch is niet uit te sluiten dat de gemeente te maken krijgt met een grootschalig incident. De gemeente moet voorbereid zijn op het risico van uitval van gemeentelijke dienstverlening en de bedrijfsvoering. Informatiebeveiligingsdienst gemeenten (IBD) Gemeenten worden ondersteund bij het treffen van beveiligingsmaatregelen en bij het versterken van hun digitale weerbaarheid door een aparte dienst van de VNG.

De IBD biedt veel voorbeeldproducten waar gemeenten mee kunnen werken aan hun informatieveiligheid. Ze focussen zich tegenwoordig meer op cyberweerbaarheid en het ontwikkelen van producten die voldoen aan de nieuwste wetgeving op gebied van informatieveiligheid en AI. Hun informatie en voorbeelden worden binnen de gemeente gebruikt als basis voor de beveiligingsmaatregelen. De gemeente verstrekt periodiek een geactualiseerde ICT-foto aan de IBD. Op basis van deze foto ontvangt de gemeente meer gericht kwetsbaarheidsmeldingen. ICTbeheer screent deze meldingen en treft waar nodig maatregelen. We zien (gelukkig) vaak dat dit kwetsbaarheden

Jaarverslag informatieveiligheid en privacy 2025

Pagina 5 van 12

betreft waarvoor de leveranciers al updates hebben. Deze updates zijn meestal al bekend en doorgevoerd of al gepland. We ontvingen daarnaast berichten over actuele dreigingen, zoals over phishingcampagnes met adviezen hoe te voorkomen dat de omgeving van Gemeente Noordoostpolder vatbaar is voor genoemde typen aanvallen. In voorkomende gevallen zijn de geadviseerde maatregelen doorgevoerd.

Kwetsbaarheid Meldingen IBD 109 Op onze website staat een zogenoemde Coördinated Vulnerability Disclosure met een meldformulier. Hiermee geeft de gemeente aan dat ze open staat voor meldingen van kwetsbaarheden van buitenaf. Externen kunnen kwetsbaarheden melden en vinden op de site de spelregels die de gemeente hierbij hanteert. We hebben in 2025 geen melding ontvangen via deze opengestelde weg. In 2025 zijn er totaal 39 keer informatiebeveiligingsincident geregistreerd. Dit aantal ligt hoger dan voorgaande jaren door de invoering van monitoring en response. Zeven keer betrof de melding na onderzoek meer een beveiligingslek. Dat zijn situaties waarbij er zich nog geen incident heeft voorgedaan maar wel maatregelen nodig zijn om incidenten te voorkomen. Door deze meldingen konden we daadwerkelijke incidenten en eventuele datalekken voorkomen. Bij 21 van de meldingen was sprake van mogelijk onbevoegde kennisname van persoonsgegevens ofwel een datalek. Dit is verder uitgewerkt in hoofdstuk 3. In alle gevallen was sprake van kleinschalige incidenten en dit heeft niet geleid tot uitval van systemen of van onze dienstverlening.

Meldingen Beveiligingsincident intern

39

Beveiligingsincident

18

Datalek

21

ENSIA en andere kwaliteitsaudits Jaarlijks wordt een proces van zelfevaluatie op de informatiebeveiliging doorlopen. Daarnaast wordt jaarlijks een externe DigiD-audit en audit op Suwinet-inkijk uitgevoerd. Deze externe audits zijn met goed gevolg doorlopen. Hierover wordt apart gerapporteerd via een collegeverklaring, zowel richting de gemeenteraad als richting toezichthoudende organisaties. Er is weer geaudit op de uitvoering en veiligheid van de BRP en reisdocumenten via het invullen van een kwaliteitsmonitor. Ook zijn de zelfaudits voor de overige basisregistraties zoals BAG, BGT en BRo weer doorlopen. De scores zijn goed. Er zijn de afgelopen jaren veel verbeteringen doorgevoerd, ook om de continuïteit van het beheer te verbeteren.

Jaarverslag informatieveiligheid en privacy 2025

Pagina 6 van 12

Aanbevelingen die nog genoemd worden, zijn vooral gericht op het actueel houden van verschillende handboeken/ procedures. En zorgen dat de gemeente aantoonbaar in control is.

Jaarverslag informatieveiligheid en privacy 2025

Pagina 7 van 12

3. Privacy Geldende kaders privacy: (u) AVG Een gemeente beschikt over veel persoonsgegevens van haar inwoners, ondernemers, medewerkers en samenwerkingspartners. Gemeenten moeten voorzichtig zijn met de (digitale) persoonsgegevens die zij verzamelen en beheren om de privacy van haar inwoners, ondernemers en medewerkers te waarborgen. De regels hiervoor liggen vast in Europese Regelgeving; de AVG die sinds 25 mei 2018 van kracht is, en de Nederlandse uitwerking daarvan(uAVG). Borging AVG in organisatie De gemeente heeft strategisch privacybeleid vastgelegd. In dat beleid is opgenomen dat de gemeente voldoet aan de (u)AVG. En dat deze wetgeving ook van toepassing is voor het gebruik van Algoritmes en AI. Tevens wordt verwezen naar de verschillende materiewetten waarin soms ook specifieke eisen worden gesteld. Er is een Functionaris Gegevensbescherming (FG) aangesteld en aangemeld bij de Autoriteit Persoonsgegevens (AP). De privacyadviseur is eerste adviseur voor management en medewerkers als het gaat over het voldoen aan de privacywetgeving. De adviseur heeft een coördinerende rol in het jaarlijks actualiseren van het verwerkingenregister. De adviseur helpt en adviseert onder andere bij het beoordelen van nieuwe of gewijzigde applicaties, het opstellen of actualiseren van de privacy impact analyses (DPIA) en alle voorkomende vraagstukken op het gebied van privacy.

Een gemeente moet minimaal actuele privacy impact analyses (DPIA’s) hebben geregistreerd van gegevensverwerkingen waar sprake is van een hoog privacy risico. Van een hoog privacy risico is sprake wanneer er heel veel persoonsgegevens worden geregistreerd en wanneer er zeer gevoelige gegevens worden bijgehouden over deze personen. Of wanneer er bijvoorbeeld sprake is van gebruik van nieuwe technologieën. Bij nieuwe verwerkingen of grote aanpassingen van verwerkingen wordt via een pré-DPIA het risico beoordeeld en waar van toepassing vervolgens een volledige DPIA opgesteld. Het integraal verantwoordelijk management moet hier invulling aan geven. Zij worden ondersteund door de privacyadviseur. De IBD heeft steeds meer voorbeeld DPIA’s beschikbaar voor gemeenten. Daar wordt in voorkomende gevallen gebruik van gemaakt. In 2025 is gewerkt aan het vastleggen en in sommige gevallen updaten van de ‘must have DPIA’s’ zoals door de IBD zijn gedeeld. Daarnaast is met alle afdelingen het verwerkingenregister geactualiseerd. In 2025 is het anonimiseren via een tool eanonimiseren verplicht gesteld. Dit om te zorgen dat bij het verstrekken van documenten en het openbaar maken van documenten het verwijderen van persoonsgegevens en andere vertrouwelijke informatie duurzaam is en echt niet meer te herleiden zijn. In 2025 is een nieuwe applicatie voor ‘veilig mailen’ uitgerold.

De applicatie maakt het mogelijk om vertrouwelijke informatie en persoonsgegevens veilig te versturen. Ook grote bestanden kunnen worden meegezonden.

Jaarverslag informatieveiligheid en privacy 2025

Pagina 8 van 12

Rechten van betrokkenen In 2025 zijn 15 verzoeken geregistreerd op grond van de rechten van betrokken in overeenstemming met de AVG. 11 daarvan betroffen verzoeken om inzage in dossiers binnen het sociaal domein. Viermaal betrof het een verwijderingsverzoek.

Inzageverzoeken

Verwijderingsverzoeken

4

11

Vanuit privacy wordt altijd contact opgenomen met de indieners. Dit gesprek helpt meestal met het verhelderen van het verzoek. Op dit vlak wordt samengewerkt met de vakafdelingen om het verzoek te beoordelen en in voorkomende gevallen de gevraagde gegevens te verstrekken. Wat wel opvalt is dat een aantal inzageverzoeken betrekking hebben op jeugd waarbij vaak sprake is van een complexe thuissituatie. Inzage in eigen dossier wordt altijd toegekend. In twee gevallen is de verzoeker verwezen naar andere informatiebronnen of kanalen, die verzoeken zijn daarna niet verder in behandeling genomen. Drie van de vier verwijderingsverzoeken zijn toegekend. Een verzoek betrof een niet-inwoner. Deze is niet in behandeling genomen, omdat deze persoon geen verdere informatie heeft verstrekt na herhaalde verzoeken. De FG heeft een klacht ontvangen waarbij de indiener van mening was dat een medewerker van de gemeente te veel informatie gedeeld heeft over een andere gemeente. Deze terechte klacht is informeel afgehandeld door de manager van de afdeling. Daarnaast is een klacht ontvangen waarbij er onterecht informatie gedeeld zou zijn. De casus is geanalyseerd en in samenspraak met de betreffende afdeling eveneens informeel afgehandeld. De informatie was niet ten onrechte gedeeld, maar hierover had beter gecommuniceerd kunnen worden.

Aanbeveling van de FG is om te allen tijde kritisch te blijven op wat je deelt, extern maar ook intern met collega’s. Datalekken Het aantal meldingen van datalekken is in de afgelopen jaren iets opgelopen. Dat kan ook positief zijn, omdat er meer aandacht is gevraagd bij medewerkers voor het melden. Medewerkers lijk zich meer bewust van het feit dat datalekken gemeld moeten worden. In 2025 zijn 21 (potentiële) datalekken gemeld. Twintig van deze meldingen kwamen van onze medewerkers, een maal is er een melding gedaan door een betrokkene. Telkens is de afweging gemaakt of er een melding aan de AP en eventueel aan betrokkenen nodig was.

Intern geregistreerd

Gemeld bij AP

21

5

In alle gevallen betrof het persoonsgegevens van een of enkele personen en was daarnaast sprake van het lekken van een beperkt aantal persoonsgegevens. Omdat er vaak sprake was

Jaarverslag informatieveiligheid en privacy 2025

Pagina 9 van 12

van een onjuiste maar wel betrouwbaar2 geachte ontvanger, was het melden van de meeste lekken aan de Autoriteit Persoonsgegevens niet nodig. Bij vijf meldingen was er sprake van datalekken waarbij enkele gevoelige persoonsgegevens zijn gelekt (brieven met bijlagen naar onjuiste ontvanger). Deze zijn wel gemeld bij de Autoriteit en waar van toepassing ook aan betrokkenen. We zien dat medewerkers wanneer zij ontdekken dat iets niet goed gegaan is, vaak zelf al aan de betrokkenen gemeld hebben dat er per ongeluk gegevens naar een verkeerde ontvanger zijn gestuurd. Dit heeft niet geleid tot privacyklachten bij de Functionaris Gegevensbescherming. Het aantal meldingen dat de gemeente heeft gedaan bij de Autoriteit Persoonsgegevens is wel hoger dan voorgaande jaren. Eind 2024 gaf de Autoriteit Persoonsgegevens aan dat gemeenten volgens hen te weinig datalekken melden. De Autoriteit houdt vooral toezicht op datalekken waarbij het risico voor betrokkenen groot is. Maar dat betekent niet dat datalekken met een laag risico niet gemeld hoeven te worden. Sindsdien wordt de lijn gehanteerd binnen de organisatie dat als er bij een incident gevoelige persoonsgegevens zijn gelekt – zelfs al is het maar één gegeven – de gemeente dit meldt bij de Autoriteit Persoonsgegevens. Noordoostpolder wijkt niet af van de landelijke trend qua soorten datalekken.

Nog steeds zijn de meest voorkomende datalekken: • E-mail of brief naar een verkeerd (e-mail) adres. • E-mail of brief bevat een verkeerde bijlage met persoonsgegevens van andere personen. • Onjuiste autorisatie van een (enkele) medewerker tot systemen of zaken met risico op onbevoegde kennisname van persoonsgegevens. • Documenten met persoonsgegevens bij de printer gevonden. • Inzage door een geautoriseerd persoon maar zonder geldige reden of meer persoonsgegevens gedeeld dan noodzakelijk.

2

Een medewerker van de gemeente die ambtenaren eed en integriteitsverklaring heeft afgelegd of een externe partij waarmee we zakendoen en afspraken hebben over geheimhouding.

Jaarverslag informatieveiligheid en privacy 2025

Pagina 10 van 12

4. Wet Politiegegevens Wanneer een gemeente haar taken uitvoert en daarbij persoonsgegevens verwerkt, is de Algemene Verordening Gegevensbescherming (AVG) altijd van toepassing. Maar als een Buitengewoon opsporingsambtenaar (BOA) persoonsgegevens verwerkt, dan ligt dat soms net even anders. Die gegevens kunnen namelijk onder verschillende wettelijke regimes vallen. Persoonsgegevens die een boa verwerkt in zijn rol als toezichthouder, vallen onder de AVG. De gegevens die de boa als opsporingsambtenaar verwerkt, vallen onder de Wet politiegegevens (Wpg). De Wpg is voor de gemeente van toepassing voor de Boa’s en de leerplichtambtenaren. Hierop wordt verplicht geaudit op opzet, bestaan en werking: een maal per 4 jaar een externe audit en de overige jaren een interne audit. De jaarlijkse interne audit heeft betrekking op één dan wel een aantal onderdelen van de wet. Conform de Wet politiegegevens (Wpg) is in 2025 een externe audit uitgevoerd op domein I (openbare ruimte) en domein III (leerplicht). De uitkomsten van deze audit bieden handvatten om de interne organisatie rondom politiegegevens verder te verbeteren. De rapportage is in overeenstemming met regelgeving verstrekt aan de Autoriteit Persoonsgegevens. De audit spreekt van het nog niet volledig voldoen aan de Wpg.

Er is echter wel sprake van aanzienlijke verbeteringen die door de organisatie vanaf 2023 zijn doorgevoerd op beide domeinen. De verbetering die in 2025 nog zijn doorgevoerd zijn niet meegenomen in het oordeel van de externe auditor. De aanbevelingen betreffen inmiddels ‘de puntjes op de i’, zoals het formeel laten vaststellen van een uitgevoerde DPIA, het tweemaal per jaar (aantoonbaar) controleren van autorisaties en het zorgen voor een procedure in het kader van de documentatieplicht.

Jaarverslag informatieveiligheid en privacy 2025

Pagina 11 van 12

5. Bewustwording medewerkers Menselijk handelen speelt een belangrijke rol in het veilig houden van de (persoons)gegevens die de gemeente beheert. Mochten alle technische maatregelen falen vormen de medewerkers de laatst ‘buffer’. Alert handelen en melden van onregelmatigheden is van groot belang. Voortdurende bewustwording en training op het gebied van informatiebeveiliging en privacy is dus erg belangrijk. Daarom wordt er in de gemeente, naast de verantwoordelijkheid van het management hierin, door een aparte werkgroep aandacht gevraagd voor informatieveilig- en privacybewust handelen. Nieuwe medewerkers hebben de verplichting om binnen 3 maanden na indiensttreding een training te volgen. Het volgen van de training wordt geregistreerd. In 2025 is besloten om een herhalingstraining voor alle medewerkers uit te voeren. Deze certificaten zijn eveneens opgenomen in de personeelsdossiers. De training zal vanaf 2025 een per vier jaar herhaald worden. Bij alle introductiedagen voor de nieuwe medewerkers zijn workshops gegeven aan nieuwe medewerkers over informatieveiligheid en privacy. De Wet Politiegegevens wordt hierin ook meegenomen. Er worden periodiek berichten op het intranet geplaatst zowel over informatieveiligheid als over het belang van het waarborgen van privacy.

In 2025 is voor de medewerkers een lezing van een ethische hacker georganiseerd om mensen alert te houden op de risico’s en ook bewust te maken van de effecten. Het grootste risico zit nog steeds in e-mails die steeds minder goed te onderscheiden zijn van echt. Dat is terug te zien in het aantal waarschuwingsberichten via het intranet en e-mail. Medewerkers worden snel geattendeerd op actuele dreigingen, zoals CEO-phishing3. De werkgroep een phishingtest uitgevoerd voor de zomer. De uitkomsten zijn vervolgens gebruikt om medewerkers en management te vragen alert te blijven.

3

Fraudeurs doen zich voor als personen met een hoge functie binnen de organisatie, zoals directie en bestuurders

Jaarverslag informatieveiligheid en privacy 2025

Pagina 12 van 12