AP 6a Raadsvoorstel Onderzoek rekenkamer informatiebeveiliging en privacy

Raadsvoorstel 1183847 Agendapunt: Nummer: Datum college: Raadsvergadering: Commissie Datum commissie: Portefeuillehouder: Onderwerp:

<Agendapunt> <Nummer> 19 november 2024 19 december 2024 Algemeen Bestuur 10 december 2024 C.W.J. Blom Rekenkameronderzoek veiliging en privacy

informatiebe-

Voorstel  Kennisnemen van het eindrapport van de rekenkamer over informatiebeveiliging en bescherming persoonsgegevens.  De aanbevelingen van de rekenkamer overnemen.

Geachte raad, Inleiding De samenwerkende rekenkamers van de gemeenten Elburg, Hattem, Nunspeet, Oldebroek en Putten (hierna: de rekenkamer) voerden een gezamenlijk onderzoek uit naar de informatiehuishouding, -veiligheid en bescherming van persoonsgegevens in de vijf gemeenten. Met het onderzoek wil de rekenkamer zicht krijgen op wat de gemeenten willen bereiken met informatiehuishouding en in hoeverre de staat van de informatiebeveiliging en waarborging van privacy voldoet. Dit onderwerp is namelijk van groot belang. De digitalisering neemt alleen maar toe en als de informatiebeveiliging niet op orde is en dit heeft grote negatieve gevolgen. Kernconclusie Beleidsmatig (op papier) is de informatiebeveiliging en waarborging van privacy op orde. Alle vijf gemeenten hebben een identiek informatiebeveiligings- en privacy beleid. Zij streven dezelfde doelen en normen na die zijn ontleend van de landelijke richtlijn ‘Baseline Informatiebeveiliging Overheid (BIO). Ten aanzien van de uitvoering is er nog veel ruimte voor verbetering:  De maatschappelijk doelen raken uit het zicht: leveren alle inspanningen daadwerkelijk informatieveiligheid voor inwoners en bedrijven?  Er is een landelijk een stelsel van sturings- en controlemechanismen opgetuigd. Dat stelsel is dermate complex dat het in de uitvoering veel onduidelijkheid geeft over rollen, taken en verantwoordelijkheden.

Het vraagt heel wat van gemeenten en voor kleinere gemeenten is de uitvoering moeilijk.  De raden zijn niet in staat om met de huidige informatie hun controlerende rol op een zinvolle wijze in te vullen.  De gemeenten werken in meer of mindere mate samen. Hoewel niet diepgaand onderzocht, zijn er signalen dat intensieve samenwerking kansen biedt voor gemeenten die dat nog niet doen.

-2-

 

Er bestaan tussen de gemeenten verschillende beelden over hoe zij zich verhouden tot verbonden partijen. Tot slot zijn er kansen voor de gemeenten om best-practices over en weer te benutten. Een aantal best-practices zijn in dit onderzoek naar boven gekomen.

Aanbevelingen aan de gemeenteraden:  

Verbeter het inzicht in de maatschappelijke effecten van het informatieveiligheidsbeleid; Stuur vervolgens zo nodig op het vergroten van de maatschappelijke effecten.

Aanbevelingen aan de colleges van B&W Investeer in de kwaliteit van uitvoering van het informaBeveiligheidsbeleid; Versterk de regie op samenwerkingspartners en verbonden parBjen; Verken de mogelijkheden tot samenwerking.

  

Kernbevindingen voor gemeente Nunspeet Maatschappelijke doen en resultaten  Er zijn in 2022 in totaal 22 incidenten geregistreerd. Er is vanuit de rapportages niet op te maken wat de gevolgen zijn geweest van deze incidenten voor inwoners en bedrijven en/of deze acceptabel zijn geweest. Uitvoeringsdoelen en –prestaties conform de richtlijn BIO  ENSIA is uitgevoerd. De jaarrapportage bevat geen eindoordeel over de vijf onderwerpen;  Steevast wordt nog gesproken over ‘het accent ligt op basis op orde’. Tegelijkertijd is er het besef dat de basis permanent aan verandering onderhevig zal zijn;  Proceseigenaren zijn druk bezig met de uitvoering van processen, nog onvoldoende tijd voor de randvoorwaarden bewustwording met betrekking tot Informatieveiligheid en Privacy;  Niet alle processen op het gebied van informatiebeveiliging en privacy zijn formeel gedocumenteerd of gestandaardiseerd;  Er is in de uitvoering een gebrek aan duidelijkheid over de rollen en verantwoordelijkheden op het gebied van informatiebeveiliging en privacy zoals deze in het beleid zijn beschreven;  Risicoanalyse op het terrein van privacy frequenter uitvoeren en maatregelen monitoren;  Kwetsbaarheid door onvoldoende protocolleren van werkzaamheden.

Inhoudelijke kennis over welke (technische) beveiligingsmaatregelen er zijn moet worden vastgelegd;  De mogelijkheid om uit te wijken naar andere IT-omgeving is nog niet gerealiseerd;  Nog geen formeel toezicht op verbonden partijen of controle op leveranciers;  Geen specifieke voorafgaande eisen opgesteld voor samenwerkingsverbanden op het gebied.  Verwacht wordt dat niet alle datalekken worden herkend en/of gemeld;  Verwerkersovereenkomsten worden met derden opgesteld, maar toezicht is nog niet formeel ingericht. Standpunt commissie Dit onderwerp is in de commissie Algemeen Bestuur tijdens haar vergadering van 10 december 2024 aan de orde geweest.

-3-

Geheimhouding Is openbaar Stukken ter inzage n.v.t. Bijlage(n) Eindrapport rekenkamer informatiebeveiliging en bescherming persoonsgegevens. JJG

Burgemeester en wethouders van Nunspeet, de secretaris, de burgemeester, mr. A. Heijkamp

C.W.J. Blom