2026-32 Raadsinformatiebrief FG jaarrapportage en Bestuursrapportage Digitale Weerbaarheid

Doorkiesnr Onderwerp

:

Verzenddatum

: FG jaarrapportage en Bestuursrapportage Weerbaarheid 2025 : Digitale 21 april 2026

Zaaknummer

: 2922281

Aan de leden van de gemeenteraad

Raadsinformatiebrief Afdeling: Kwaliteit & Control

Geachte leden van de raad, Raadsinformatiebrief – Digitale weerbaarheid en privacy 2025 Inleiding De gemeente verwerkt in de uitvoering van haar wettelijke taken grote hoeveelheden (persoons)gegevens. Het betreft daarbij regelmatig gevoelige en bijzondere gegevens van kwetsbare inwoners, maar ook gegevens van medewerkers, samenwerkingspartners en andere betrokkenen. Het is daarom van groot belang dat de gemeente deze gegevens aantoonbaar, zorgvuldig en structureel beschermt. Wij geven een overzicht van de actuele stand van zaken rondom digitale weerbaarheid en privacy in 2025. De informatie is gebaseerd op de bestuursrapportage Digitale Weerbaarheid van de Chief Information Security Officer (CISO) en de jaarrapportage van de Functionaris Gegevensbescherming (FG). Vanwege het vertrouwelijke karakter van deze rapportages zijn deze documenten niet openbaar en liggen ter inzage bij de griffie. Stand van zaken privacy (2025) De FG houdt onafhankelijk toezicht op de naleving van de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet AVG binnen de gemeente. In de jaarlijkse rapportage brengt de FG verslag uit van de uitgevoerde werkzaamheden, de belangrijkste bevindingen en geïdentificeerde risico’s, en doet zij aanbevelingen ter verbetering van de gegevensbescherming.

De jaarrapportage over 2025 is voorgelegd aan het college van burgemeester en wethouders en geadviseerd de aanbevelingen van de FG over te nemen. Met deze aanbevelingen wordt richting gegeven aan verdere versterking van privacy en gegevensbescherming binnen de gemeente in 2026.

Zaaknummer: 2922281

pagina 1 van 3 Documentnummer: 3018254

De gemeente Nuenen maakt gebruik van het Privacy Control Framework (PCF) om de privacyvolwassenheid te meten. Eind 2024 bedroeg de score 1,4. Dat houdt in dat 48% van de noodzakelijke maatregelen zijn geïmplementeerd. Aan het einde van 2025 is opnieuw gemeten: de score steeg naar 1,8 (60%). Deze groei laat zien dat de organisatie stappen zet richting volwassenheid, maar het vereiste niveau 3 waarbij alle wettelijke normen zijn geborgd (100%), is nog niet bereikt. Ontwikkelingen en verbeterpunten De FG heeft in dat kader aanbevelingen gedaan die zich richten op een structurele en cyclische aanpak van privacy en gegevensbescherming. Deze aanbevelingen sluiten aan bij de zogenoemde PDCA-cyclus (Plan-Do-Check-Act) en hebben onder meer betrekking op:    

het tijdig anticiperen op nieuwe Europese wetgeving (zoals op het gebied van informatiebeveiliging en artificiële intelligentie); het actueel en volledig houden van registers en documentatie; het zorgvuldig uitvoeren en actualiseren van risicoanalyses en afspraken met verwerkers; het blijvend investeren in bewustwording, opleiding en sturing binnen de organisatie.

Stand van zaken informatiebeveiliging (2025) Jaarlijks leggen wij voor 1 mei verantwoording af over de stand van zaken van informatiebeveiliging aan de Raad en de externe toezichthouders. Dit gebeurt volgens de systematiek van Eenduidige Normatiek Single Information Audit (ENSIA), waarmee wij inzicht bieden in de naleving van wettelijke verplichtingen en beveiligingsnormen. De CISO blikt in de bestuursrapportage Digitale Weerbaarheid terug op de uitgevoerde werkzaamheden, bevindingen en risico’s en doet aanbevelingen voor verdere verbetering aan het college. Op basis van de rapportage blijkt dat we op dit moment onvoldoende ‘in control’ zijn op het gebied van informatiebeveiliging. De belangrijkste knelpunten liggen in onvoldoende capaciteit en expertise, versnipperde verantwoordelijkheden en het ontbreken van structurele borging in de primaire processen. Wanneer informatiebeveiliging beter geborgd is binnen processen, verminderen we de kans op uitval van dienstverlening, datalekken, afpersing door cybercriminelen en reputatieschade. Ontwikkelingen en verbeterpunten Een positieve ontwikkeling is dat de gemeente dit jaar voldoet aan de normen voor BRP, BAG, BGT, BRO, Suwinet, DigiD en reisdocumenten. Voor Suwinet en DigiD wordt al een onafhankelijke audit uitgevoerd.

De CISO adviseert om ook de naleving van het vastgestelde informatiebeveiligingsbeleid onafhankelijk te laten toetsen.

pagina 2 van 3 2922281

De CISO heeft vooruitlopend op de komst van de cyberbeveiligingswet een aantal quick wins benoemd. Deze hebben direct effect hebben op de beveiliging van processen en systemen. De urgentie om te versnellen wordt versterkt door nieuwe wetgeving en doordat het wereldwijde dreigingsniveau op het gebied van cybersecurity verder toeneemt. De CISO heeft in dat kader aanbevelingen gedaan en hebben onder meer betrekking op:     

organiseer training voor bestuurders; richt een heldere governance, rolverdeling en rapportagelijnen in; veranker informatiebeveiliging in de primaire processen; versterk risicobeheersing, incidentmanagement en ketenveiligheid; richt organisatiebreed een kwaliteitsmanagementsysteem volgens ISO/IEC 27001 in.

Opvolging van de aanbevelingen is een gezamenlijke en organisatiebrede verantwoordelijkheid van de Dommelvallei-organisaties. Wij onderschrijven het belang van deze aanbevelingen en zullen deze betrekken bij de verdere ontwikkeling van het privacy- en informatiebeveiligingsbeleid. Serious Game Cyberbeveiligingswet voor bestuurders VNG en de gemeente Sluis hebben een serious game ontwikkeld over cyberweerbaarheid. Raadsleden ervaren hierbij realistische scenario’s zoals datalekken en cyberincidenten vanuit hun rol als volksvertegenwoordiger. De game versterkt bestuurlijke scherpte en toezicht. Wij nodigen Raadsleden van harte uit om deze te spelen. Kijk voor meer informatie op Serious game of ga direct naar de link.

Met vriendelijke groet, Burgemeester en wethouders van Nuenen De secretaris De burgemeester, mr. drs. H.P.C. Verbruggen

F.G.F. van Genugten

Deze brief is digitaal verstuurd en daarom niet voorzien van een fysieke handtekening. ValidSigned door F. van Genugten op 29-04-2026

ValidSigned door J. Verbruggen op 30-04-2026

pagina 3 van 3 2922281