Ter inzage Jaarverslag informatieveiligheid en privacy 2020

2

1. Inhoudsopgave 2. Inleiding........................................................................................... 5 3. Uitgevoerde activiteiten informatiebeveiliging ............................. 6 3.1. Visie, doelstelling en ambities ............................................................................................ 6 3.2. Uitgevoerde activiteiten 2020 en doorkijk naar 2021 .......................................................... 6 3.2.1. ISMS ................................................................................................................................. 6 3.2.2. Bewustzijn ....................................................................................................................... 6 3.2.3. ENSIA ............................................................................................................................... 6 3.2.4. BIO ................................................................................................................................... 7 3.3. Belangrijke doorgevoerde verbetermaatregelen 2020 ........................................................ 7 3.3.1. Samenwerking ................................................................................................................. 7 3.3.2.

Opvolging IBD-meldingen ................................................................................................ 7 3.3.3. Security en privacy .......................................................................................................... 7 3.3.4. Wachtwoordbeleid .......................................................................................................... 7 3.4. Beveiligingsincidenten ....................................................................................................... 8 3.5. Responsible Disclosure meldingen ..................................................................................... 8

4. Uitgevoerde activiteiten privacy .................................................... 9 4.1. Uitgevoerde activiteiten 2020 en doorkijk naar 2021 .......................................................... 9 4.1.1. Algemene verordening gegevensbescherming (AVG) van kracht ................................... 9 4.1.2. Functionaris Gegevensbescherming (FG) ........................................................................ 9 4.1.3. Privacy-beleid .................................................................................................................. 9 4.1.4. Werkplan DPIA’s .............................................................................................................. 9 4.1.5. Verwerkingenregister ...................................................................................................... 9 4.1.6. Ketenregie ....................................................................................................................... 9 4.1.7. Rechten met betrekking tot persoonsgegevens ............................................................. 9 4.1.8. Bewustwording................................................................................................................ 9 4.1.9. Doorkijk naar 2021 ........................................................................................................ 10 4.2.

Datalekken ...................................................................................................................... 10

5. Resultaten ENSIA verantwoording ............................................... 11 5.1. Resultaten zelfevaluatie BIO ........................................................................................... 12 5.2. Resultaten per stelsel ..................................................................................................... 13 5.3. Waarstaatjegemeente.nl ................................................................................................ 15

6. Bijlagen ...................................... Fout! Bladwijzer niet gedefinieerd.

3

4

2. Inleiding Een betrouwbare informatievoorziening vormt een essentiële succesfactor voor de uitvoering van de taken en verantwoordelijkheden van de gemeente Nunspeet. Omdat de gemeente onderdeel uitmaakt van de totale overheid en ook verbonden is met andere ketenpartijen, kan een onveilige situatie bij de gemeente Nunspeet ook direct gevolgen hebben voor de betrouwbaarheid van de dienstverlening door andere overheden of organisaties. Een goede informatiebeveiliging bij de gemeente is dus belangrijk voor het verlenen van een betrouwbare dienstverlening aan de inwoners van Nunspeet, maar ook voor het imago van de overheid in bredere zin. In dit document wordt verslag gedaan over de stand van zaken betreffende informatiebeveiliging en privacy over het jaar 2020 en worden uitgevoerde relevante activiteiten toegelicht. Met dit jaarverslag informatiebeveiliging en privacy legt het college van burgemeester en wethouders over het jaar 2020 verantwoording af aan de raad. Dit jaarverslag beschrijft ook de uitkomsten van de ENSIA verantwoording. In 2020 hebben alle gemeenten voor de vierde keer verantwoording middels de ENSIA systematiek afgelegd aan hun eigen toezichthouder, de raad en de toezichthouders van het rijk. ENSIA staat voor Eenduidige Normatiek Single Information Audit. Voor de verantwoording aan de raad sluit ENSIA aan op de gemeentelijke planning en control cyclus.

ENSIA nam in 2020 voor de eerste keer de Baseline Informatiebeveiliging Overheid (BIO) als uitgangspunt. In de voorgaande jaren was het uitgangspunt de Baseline Informatieveiligheid Gemeenten (BIG). Vanuit deze horizontale (gemeente brede) zelfevaluatie wordt eveneens de verantwoording aan de stelselhouders bij het rijk afgeleid, de zogenaamde verticale verantwoording. De scope van de ENSIA verantwoording betreft de: Implementatie Baseline Informatiebeveiliging Overheid (BIO) Basisregistratie Personen (BRP) Paspoortuitvoeringsregeling Nederland (PUN) Digitale persoonsidentificatie (DigiD) Basisregistratie Adressen en Gebouwen (BAG) Basisregistratie Grootschalige Topografie (BGT) Basisregistratie Ondergrond (BRO) Gezamenlijke Elektronische Voorziening Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet) Een verkorte weergave van de uitkomsten van de ENSIA verantwoording treft u aan in dit jaarverslag. Tenslotte geeft dit jaarverslag over 2020 ook een doorkijk naar de doelstellingen en geplande activiteiten voor 2021.

5

3. Uitgevoerde activiteiten informatiebeveiliging 3.1. Visie, doelstelling en ambities De visie van de gemeente Nunspeet is om de komende jaren te blijven inzetten op het verhogen van de informatieveiligheid en het verder professionaliseren van het informatiebeveiligingsproces in de organisatie. Een betrouwbare informatievoorziening biedt de juiste beveiligingsmaatregelen op basis van risicoafwegingen. Proceseigenaren moeten bij elke wijziging in informatiesystemen risico’s opnieuw beoordelen en die afzetten tegen de genomen en eventueel nieuw te nemen maatregelen. Ieder organisatieonderdeel stuurt op informatieveiligheid en rapporteert daarover via de Functionaris Informatieveiligheid actief aan de directie, die het college voorziet van een jaarverslag informatieveiligheid. De gemeente streeft ernaar om ‘in control’ te zijn en daarover op professionele wijze verantwoording af te leggen. ‘In control’ betekent dat de gemeente weet welke maatregelen genomen zijn en of risico’s hiermee effectief worden afgedekt. Er wordt een smart planning opgesteld van de maatregelen die nog niet genomen zijn. En dit geheel is verankerd in een PDCA-cyclus om adequate informatiebeveiliging te kunnen blijven borgen. Om onze visie te kunnen bereiken waren voor 2020 de volgende doelstellingen geformuleerd: 1.

Verantwoording en rapportage over de informatieveiligheid middels het nieuwe ISMS (Information Security Management System) 2. Implementatie van een nieuwe opzet e-learning informatieveiligheid. 3. ENSIA zelfevaluatie succesvol afronden 4. Technische basismaatregelen van de Baseline Informatie Beveiliging implementeren.

3.2. Uitgevoerde activiteiten 2020 en doorkijk naar 2021 Hieronder volgt een korte beschrijving op welke wijze aan deze doelstellingen is gewerkt en of de doelstelling is behaald.

3.2.1. ISMS In 2020 heeft de uitvraag Informatieveiligheid bij de procesverantwoordelijken plaatsgevonden via het ISMS. Deze uitvraag heeft het inzicht in de stand van de informatiebeveiliging wel bevorderd, maar de wijze van rapporteren daarover verdient verbetering. De inrichting van de ISMS-tool dient verder te worden aangepast aan deze informatiebehoefte en ook de uitvraag dient daarop plaats te vinden. In 2021 zal periodiek gerapporteerd worden over informatiebeveiliging aan de directie en de portefeuillehouders. Op basis van deze stuurinformatie kan indien nodig bijgestuurd worden op het onderwerp informatiebeveiliging. De gemeenteraad wordt onder andere via de jaarlijkse ENSIA verantwoording en de jaarrapportage geïnformeerd over ontwikkelingen op het gebied van informatiebeveiliging en privacy.

3.2.2. Bewustzijn In 2020 is in samenwerking met een externe partij (Recourse) de e-learning gewijzigd naar een andere wijze aanbieden van de thema’s Informatieveiligheid en Privacy. De medewerkers krijgen in plaats van periodiek een module nu wekelijks een vraag per e-mail. De wijze van aanbieden is wat informeler van vorm dan de modules. In 2021 willen we nieuwe medewerkers een startmodule Informatieveiligheid aanbieden. Daarnaast willen we de aangeboden leerstof meer gaan toespitsen op de functie die de betreffende medewerker bekleedt. De crisis-game met het management, die voor april gepland stond, kon niet doorgaan vanwege de corona-maatregelen. Vanwege het thuiswerken is de medewerkers een module “veilig thuiswerken” aangeboden.

3.2.3. ENSIA Het invullen van de ENSIA zelfevaluatie vragenlijst is conform de landelijke planning voor 31 december 2020 uitgevoerd en aangeboden aan de toezichthouder via de ENSIA website. De verdere

6

verantwoording heeft in de loop van 2021 plaatsgevonden. Alle stukken zijn voor de deadline van 1 mei 2020 verstuurd naar de toezichthouders.

3.2.4. BIO Tijdens het invullen van de ENSIA vragenlijst over 2020 hebben we geconstateerd dat we nog niet aan alle normen uit de Baseline Informatiebeveiliging Overheid (BIO) voldoen. Er vindt geen benchmarking plaats ten opzichte van andere gemeenten, dus het is niet duidelijk waar we als gemeente Nunspeet staan ten opzichte van andere gemeenten. Omdat het om een baseline gaat, waarbij de maatregelen samen een basisniveau van informatiebeveiliging bieden, willen we als gemeente in principe aan alle normen voldoen en daar waar dit niet lukt of niet kan een weloverwogen afweging maken ten aanzien van het mogelijke risico dat we lopen door een maatregelen niet of slechts deels te implementeren. Het vraagt een voortdurende afweging per norm waaraan we nog niet voldoen om te bepalen welke risico’s daardoor nog niet afgedekt zijn en of dat acceptabel is. De BIO geeft ten opzichte van de BIG, wat voorheen de norm was, meer ruimte om op basis van een risicoafweging als gemeente zelf te bepalen of bepaalde maatregelen nodig zijn om risico’s bij de gemeente af te dekken. Door het gebruik van het ISMS is de Ensia-inventarisatie tevens een gapanalyse voor wat betreft het voldoen aan de BIO. Op basis van de uitkomsten van de gap-analyse zullen de verbeteringen planmatig worden opgepakt.

Bij het formuleren van verbeteracties zullen we ook nadrukkelijk telkens de afweging maken welk risico met de verbeteractie wordt afgedekt en in welke mate dat bijdraagt aan de betrouwbaarheid van onze dienstverlening.

3.3. Belangrijke doorgevoerde verbetermaatregelen 2020 3.3.1. Samenwerking De gemeente Nunspeet werkt op meerdere vlakken samen met de gemeenten van de Noord-Veluwe. Bij die gemeenten zijn de taken op Privacy- en IB-gebied belegd bij enkelingen en daarmee kwetsbaar. In 2020 is een onderzoek gestart naar een passende wijze van samenwerking waarbij de effectiviteit wordt geoptimaliseerd en de kwetsbaarheid geminimaliseerd. Hiertoe zijn er werkafspraken gemaakt.

3.3.2. Opvolging IBD-meldingen Ook in 2020 zijn tal van meldingen van de IBD ontvangen. De IBD zet zich in om gericht te waarschuwen op basis van een “ICT-foto” die door de gemeenten is aangeleverd. Desalniettemin worden de meldingen breder verspreid en dient bij iedere melding te worden nagegaan of deze voor de gemeente relevant zijn. Een aantal meldingen waren voor Nunspeet relevant en urgent. Het betrof onder andere Windows-kwetsbaarheden en kwetsbaarheden in VM-Ware.

3.3.3. Security en privacy Security en privacy zijn nauw met elkaar verbonden. Er wordt dan ook intensief samengewerkt. Nadat de nieuwe F.G. in dienst is getreden is er een werkprogramma opgesteld om deze onderwerpen in samenhang op te pakken is samenhang met de risico-inventarisatie die samen met het management is gemaakt.

3.3.4. Wachtwoordbeleid Het wachtwoordbeleid is voor de laatste applicaties ingevoerd en de rechten die worden toegekend zijn voor de belangrijkste applicaties gekoppeld aan de functie van de gebruiker (autorisatiematrix). Het gezamenlijk gebruik van toegangsgegevens en het gebruik van accounts met hoge bevoegdheden is zoveel mogelijk teruggedrongen.

7

3.4. Beveiligingsincidenten Bij de Helpdesk ICT zijn in 2020 26 incidenten vastgelegd die aangemerkt zijn als security incident.

Type security incident

Aantal gemelde incidenten

Toelichting

Phishing mail

2 (8%)

2 acties, meerdere meldingen

Account Gerelateerd dreigmail

0

Verloren apparatuur Verstoring bedrijfsvoering

0 2 (8%)

Overig Totaal

22 (85%) 26

Bij netwerkwerkzaamheden is een incident opgetreden waardoor de werkstations onbruikbaar waren. Door een verouderd certificaat kon niet meer worden ingelogd

3.5. Responsible Disclosure meldingen Responsible disclosure is het op een verantwoorde wijze en in gezamenlijkheid tussen melder en organisatie openbaar maken van ICT-kwetsbaarheden. Iedereen kan een responsible disclosure melding doen. De organisatie heeft dan de kans om de kwetsbaarheid op te lossen. De gemeente Nunspeet heeft geen formeel Responsible Disclosure beleid. Het voornemen is om in 2021 een formele regeling vast te stellen.

8

4. Uitgevoerde activiteiten privacy 4.1. Uitgevoerde activiteiten 2020 en doorkijk naar 2021 4.1.1. Algemene verordening gegevensbescherming (AVG) van kracht De Algemene Verordening Gegevensbescherming (AVG) is sinds 25 mei 2018 van kracht. Belangrijk is dat de AVG de organisatie verplicht aan te kunnen tonen, op welke wijze zij voldoet aan de AVG. De functionaris gegevensbescherming (FG) houdt binnen de organisatie toezicht op de naleving van de AVG.

4.1.2. Functionaris Gegevensbescherming (FG) In 2018 hebben de bestuursorganen, in hun rol van verantwoordelijke voor verwerking van persoonsgegevens, een FG aangesteld. Na het beëindigen van de samenwerking met Elburg op het vlak van de F.G.-taken is deze FG-functie tijdelijk intern worden waargenomen. In april 2020 is een nieuwe FG benoemd.

4.1.3. Privacy-beleid In 2018 is zowel een Privacy-beleid als een Privacy-reglement opgesteld. Deze stukken zijn in 2020 geëvalueerd. Deze evaluatie heeft geleid tot het opstellen en vaststellen van gewijzigd beleid dat meer gericht is op de wijze waarop de gemeente Nunspeet aan de geldende regelgeving wil voldoen in plaats van het beschrijven van deze regelgeving. Het nieuwe beleid voorziet in een heldere wijze van verantwoording en rapportage van de privacyaspecten door de procesverantwoordelijken.

4.1.4. Werkplan DPIA’s In 2020 heeft het Managementteam samen met de FG en de PO vastgesteld welke verwerkingen van persoonsgegevens de grootse risico’s met zich meebrengen. Op basis van deze risico-inventarisatie is door de directie een werkprogramma vastgesteld en is in 2020 een aanvang gemaakt met de eerste drie DPIA’s.

4.1.5. Verwerkingenregister In 2019 is het register van verwerkingen vastgesteld. Het register van gegevensverwerkingen vormt het hart van het verantwoordingsinstrumentarium. Afgelopen jaar is gebleken dat het register ten aanzien van de verwerkingen nog niet geheel compleet is. In 2021 zal het worden geactualiseerd en zal geëvalueerd worden welke opzet van het register het meest passend/toegankelijk is.

4.1.6. Ketenregie In 2020 zijn verwerkersovereenkomsten kritisch beoordeeld en daar waar nodig afgesloten. Dit geldt zowel voor ingebruikname van nieuwe applicaties als het herzien van verwerkersovereenkomsten

4.1.7. Rechten met betrekking tot persoonsgegevens In 2019 zijn procedures opgesteld voor verzoeken om inzage, correctie, verwijdering et cetera van persoonsgegevens. Er zijn in 2020 2 verzoeken om inzage bij de gemeente ontvangen en afgehandeld. Daarnaast is er een vraag ontvangen met betrekking tot verstrekking van persoonsgegevens vanuit de Basisregistratie Personen (BRP) aan een maatschappelijke instantie.

4.1.8. Bewustwording In 2020 is gestart met een wekelijkse vraag op het gebied van informatiebeveiliging en gegevensbescherming. Daarmee wordt continu aandacht gecreëerd voor de onderwerpen informatiebeveiliging en gegevensbescherming.

9

4.1.9. Doorkijk naar 2021 In 2021 zal een onderzoek plaatsvinden in samenwerking met collega-gemeenten uit de regio met betrekking tot de stand van zaken voor informatiebeveiliging en gegevensbescherming. Doel van het onderzoek is inzicht te krijgen van overlappende onderwerpen zodat daarop samengewerkt kan worden. Verder zullen diverse DPIA’s gestart worden en worden de procedures bedoeld onder punt 4.1.2 geëvalueerd. Ook zal een protocol met betrekking tot datalekken voorgelegd worden aan de directie. Binnen de organisatie blijft aandacht geschonken worden aan de bewustwording en de uitvoering van DPIA’s.

4.2. Datalekken Sinds 2016 is een meldplicht datalekken. Met de invoering van de AVG is naast de meldplicht ook een registratieplicht van kracht. Die houdt in dat ieder datalek, ook degene die niet gemeld hoeven worden bij de Autoriteit Persoonsgegevens (AP), geregistreerd moeten worden. In 2020 is continu aandacht geweest voor bewustwording, waaronder de bewustwording voor datalekken en beveiligingsincidenten. Het aantal geregistreerde incidenten geeft naar alle waarschijnlijkheid, gelet op de aard en hoeveelheid van de verwerkte gegevens, geen volledig overzicht van de voorgevallen datalekken. Het aantal datalekken wat in 2020 is geregistreerd bedraagt 2, waarvan er geen zijn gemeld aan de AP. Van1 registratie is ook aan de betrokkenen melding gemaakt. Voor 1 melding is niet de gemeente de verwerkingsverantwoordelijke maar een derde. Deze melding is doorgezet naar de verwerkingsverantwoordelijke

10

5. Resultaten ENSIA verantwoording ENSIA staat voor Eenduidige Normatiek Single Information Audit en betekent eenmalige informatieverstrekking en eenmalige IT-audit in plaats van meerdere audittrajecten met verschillende toezichthouders. ENSIA heeft tot doel het ontwikkelen en implementeren van een zo effectief en efficiënt mogelijk ingericht verantwoordingsstelsel over informatiebeveiliging gebaseerd op de Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG). De focus ligt hierbij op de horizontale verantwoording. Het ENSIA traject wordt gecoördineerd vanuit de VNG. Informatie wordt door hen doorgezet naar de verschillende toezichthouders. ENSIA werkt met een zelfevaluatie methodiek op basis van vragenlijsten. Er wordt binnen ENSIA met verschillende vragenlijsten gewerkt. (Zie diagram hieronder voor een grafische weergave) 1. Alle vragen over informatiebeveiliging worden in de BIG zelfevaluatie gesteld. Dit is de grootste vragenlijst uit het stelsel. Een deel van de antwoorden wordt gebruikt voor de verticale verantwoording naar de betrokken stelselhouders van het Rijk. De antwoorden komen na 31 december automatisch terecht bij de betrokken stelselhouders. 2. Per bestaande DigiD aansluiting worden vragen over het normenkader DigiD gesteld. Nunspeet heeft twee aansluitingen. 3. Hiernaast zijn er nog 4 specifieke vragenlijsten in ENSIA opgenomen.

Toelichting afkortingen: AVG: Algemeen Verordening Gegevensbescherming BRP: Basis Registratie Personen BAG: Basisregistratie Adressen en Gebouwen BGT: Basisregistratie Grootschalige Topografie BIG: Baseline Informatiebeveiliging Gemeenten BRO: Basisregistratie Ondergrond PUN: Paspoort Uitvoeringsregeling Nederland Suwinet: (gezamenlijke elektronische voorzieningen) Structuur uitvoeringsorganisatie werk en inkomen

11

5.1. Resultaten zelfevaluatie BIO In 2020 is er voor de eerste keer een landelijke nulmeting geweest naar de mate waarin de BIO is ingevoerd. Deze meting vindt plaats aan de hand van een zeer uitgebreide vragenlijst, die gemeenten zelf invullen. De reikwijdte van deze vragenlijst beslaat tenminste de objecten BRP, PUN, DigiD, Suwinet, BAG, BGT en BRO. Er wordt vanuit de VNG of Rijksoverheid geen percentage opgelegd dat gehaald moet worden. De beantwoording van de ENSIA-vragenlijst met betrekking tot de BIO is gebaseerd op de beantwoording van de vragen door de proceseigenaren in het ISMS. De grafische weergave van de voortgang van de implementatie van de maatregelen is onvoldoende betrouwbaar om dat als diagram in dit verslag op te nemen. Vorig jaar bleek dat dat de maatregelen met betrekking tot continuïteitsbeheer en het beheer van beveiligingsincidenten onvoldoende vorderde. Voor het continuïteitsbeheer geldt dat er afspraken gemaakt zijn met de gemeente Elburg, er een glasvezelverbinding is gerealiseerd en dat er een backup voorziening is ingericht. Een tweede zorgpunt betrof het beheer van beveiligingsincidenten. De registratie van incidenten vindt inmiddels centraal plaats, en vindt gestructureerd plaats, zodat conclusies kunnen worden getrokken ten aanzien van de veiligheid van data, maar ook om de integriteit van de gegevens en de beschikbaarheid daarvan.

Het jaar 2020 was het eerste jaar dat gerapporteerd diende te worden ten aanzien van de BIO. Een belangrijk verschil van de BIO ten opzichte van de BIG is dat de BIO uitgaat van risico-sturing. Voor deze risicobepaling gaat Nunspeet vooralsnog uit van het risico zoals dat door meerdere gemeente is vastgesteld voor de verschillende gemeentelijke processen. Het gemeente specifiek maken van deze risico-inschatting vindt plaats bij de DPIA’s wanneer deze worden uitgevoerd of bij de aanschaf van nieuwe software.

12

5.2. Resultaten per stelsel De uitgevoerde zelfevaluaties per stelsel hebben als doel om de procesborging, tijdigheid, volledigheid en juistheid van de data in de basisregistraties te toetsen. Domein Basisregistratie Personen (BRP)

Paspoortuitvoeringsregeling Nederland (PUN)

Digitale persoonsidentificatie (DigiD)

Score en door te voeren verbeteringen De Wet basisregistratie personen (Wbrp) schrijft voor dat jaarlijks een onderzoek plaatsvindt naar (1) procesmatige inrichting, de werking en de beveiliging van de basisregistratie personen (BRP) en (2) naar de inhoudelijke kwaliteit van de gegevens in de BRP. Hiervoor is het gebruik van de ‘Kwaliteitsmonitor’ voorgeschreven door de Rijksdienst voor Identiteitsgegevens (RvIG). Daarnaast is een deel van dit onderzoek ondergebracht in de ENSIA vragenlijst. (1) De vragenlijst waarmee de procesmatige inrichting, werking en beveiliging van de BRP wordt beoordeeld geeft een score van 96,7%. De norm voor “goed” ligt op 95%. (2) De inhoudelijke kwaliteit wordt op twee manieren bekeken. a. Het resultaat dit jaar is dat wij bij de inhoudelijke bestandcontrole op alle onderdelen ruimschoots voldoen aan de gestelde norm. b. Bij de handmatige gedetailleerde inhoudelijke controle van persoonslijsten voldoen wij bij één van de zeven onderdelen niet aan de gestelde norm. Het niet voldoen hangt samen met de vindbaarheid van brondocumenten. De Paspoortuitvoeringsregeling (PUN) schrijft voor dat jaarlijks een controle wordt uitgevoerd op de toepassing van beveiligingsmaatregelen en de overige aspecten van het aanvraag- en uitgifteproces van reisdocumenten.

Deze controle wordt uitgevoerd op basis van de vragenlijst PNIK zoals opgenomen in de kwaliteitsmonitor van de Rijksdienst voor Identiteitsgegevens (RvIG). Het resultaat over 2020 is “goed”. Er zijn voldoende maatregelen ingevoerd om te kunnen spreken van een beheerst proces. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen van Logius. De zelfevaluatie is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan onze leveranciers valt. De overige normen worden afgedekt door een Third Party Mededelingen (TPM) van onze service-organisaties DigiD-aansluiting 1003167 Gemeente Nunspeet Digitaal loket (website) Service organisatie: Wind Internet De uitkomsten uit de zelfevaluatie zijn getoetst door een RE-gecertificeerde IT-auditor. Deze heeft tevens getoetst of de zelfevaluatie en de TPM van onze serviceorganisatie het gehele normenkader afdekken. De normen zijn getoetst

13

bij de serviceorganisatie én bij ons en zijn alle als voldoende bevonden. DigiD-aansluiting 1000485 – Gemeente Nunspeet 2 (i-Burgerzaken). Service organisatie: PinkRoccade Local Government B.V. De uitkomsten uit de zelfevaluatie zijn getoetst door een RE-gecertificeerde IT-auditor. Deze heeft tevens getoetst of de zelfevaluatie en de TPM van onze serviceorganisatie het gehele normenkader afdekken. De normen zijn getoetst bij de serviceorganisatie én bij ons en zijn alle als voldoende bevonden.

Basisregistratie Adressen en Gebouwen (BAG)

Basisregistratie Grootschalige Topografie (BGT)

De conclusies van de auditor zijn opgenomen in het assurancerapport met kenmerk BKBO/200814-1/AR Score gemeente Nunspeet: 83% (landelijke norm: 75%) De BAG (Basisregistratie Adressen en Gebouwen) bevat gemeentelijke basisgegevens van alle adressen en gebouwen in een gemeente. Uit de zelfevaluatie blijkt dat de gemeente Nunspeet aan niet de landelijke norm voor tijdigheid voldoet. Deze problemen zijn veroorzaak door het wisselen van applicatie. Score gemeente Nunspeet: 87% (landelijke norm: 75%) De BGT (Basisregistratie Grootschalige Topografie) is de gestandaardiseerde kaart waarop gebouwen, wegen, waterlopen, terreinen en spoorlijnen eenduidig zijn vastgelegd. Uit de zelfevaluatie blijkt dat de gemeente Nunspeet aan de landelijke norm voldoet.

14

Basisregistratie Ondergrond (BRO)

Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet)

Score gemeente Nunspeet: 71% (landelijke norm: 60%) De BRO (Basisregistratie Ondergrond) bevat gegevens over geologische en bodemkundige opbouw en, voor zover van belang voor het benutten van natuurlijke hulpbronnen in de ondergrond, ondergrondse constructies en gebruiksrechten. Uit de zelfevaluatie blijkt dat de gemeente Nunspeet aan de landelijke norm voldoet. In 2020 is er twee keer een controle uitgevoerd op het gebruik van Suwinet. De controle heeft zich gericht op twee eenheden, namelijk Sociaal en Burgerzaken. Er heeft een controle plaatsgevonden op de onderstaande onderdelen: Totaal gebruik over een bepaalde maand; Zorgvuldig gebruik (raadplegingen op zoeksleutel anders dan BSN, raadplegingen buiten kantoortijden, meest geraadpleegde BSN over een bepaalde maand, hoogste aantal raadplegingen per actieve gebruiker en hoogste aantal actieve gebruikers dat hetzelfde BSN heeft geraadpleegd over een bepaalde maand). Accountbeheer (geblokkeerde en ongebruikte accounts) Veilig gebruik (whitelist). Er is over 2020 geen sprake van onrechtmatige raadplegingen.

De gemeentelijke basisregistraties spelen een belangrijke rol bij de komst van de Omgevingswet. De Omgevingswet gaat uit van een gelijke informatiepositie voor alle partijen. Veel processen en beslissingen zullen rechtstreeks op grond van digitale informatie tot stand komen. Deze informatie wordt ontsloten via het Digitale Stelsel Omgevingswet, waar basisregistraties een essentieel onderdeel van zijn. De Omgevingswet kan alleen een succes worden als de kwaliteit van data op orde is en blijft.

5.3. Waarstaatjegemeente.nl Dit jaar is voor de tweede keer in het kader van het ENSIA verantwoordingstraject vanuit de gemeente Nunspeet ook informatie aangeleverd over informatiebeveiliging voor de website ‘waarstaatjegemeente.nl’. Waarstaatjegemeente.nl laat voor alle Nederlandse gemeenten aan de hand van thema’s zien waar ze staan op het gebied van onderwerpen waar gemeenten mee bezig zijn. VNG Realisatie beheert en ontwikkelt de site. Gemeenten kunnen hun eigen gegevens vergelijken met andere gemeenten. Ook zijn rapporten te downloaden, waarin de gegevens op een overzichtelijke manier inzichtelijk gemaakt zijn. De site is bedoeld voor gemeentebestuurders en ambtenaren, maar is ook geschikt voor andere geïnteresseerden die willen weten hoe hun gemeente ervoor staat. De informatie is openbaar toegankelijk.

15