Ter kennisname Jaarverslag informatieveiligheid 2021
Tekst van het document
2
1. Inhoudsopgave 2. Inleiding ....................................................................................... 4 3. Uitgevoerde activiteiten informatiebeveiliging....................... 5 3.1.
Visie, doelstelling en ambities ................................................................................. 5
3.2.
Uitgevoerde activiteiten 2021 en doorkijk naar 2022 ............................................ 5
3.2.1.
ISMS .................................................................................................................................. 5
3.2.2.
Bewustzijn ....................................................................................................................... 5
3.2.3.
ENSIA .............................................................................................................................. 6
3.2.4.
BIO ................................................................................................................................... 6
3.2.5.
Netwerkinventarisatie.................................................................................................... 6
3.2.6.
Cybersprint ..................................................................................................................... 6
3.2.7.
Project Troje ................................................................................................................... 6
3.3.
Belangrijke doorgevoerde verbetermaatregelen 2021 .......................................... 7
3.3.1.
Samenwerking ............................................................................................................... 7
3.3.2.
Opvolging IBD-meldingen ............................................................................................ 7
3.3.3.
Security en privacy ........................................................................................................ 7
3.3.4.
Cloud Back-up................................................................................................................ 7
3.4.
Beveiligingsincidenten ............................................................................................. 8
3.5.
Responsible Disclosure meldingen ........................................................................ 8
4. Resultaten ENSIA verantwoording ......................................... 9 4.1.
Resultaten zelfevaluatie BIO .................................................................................. 10
4.2.
Resultaten Verhoogde Digitale Weerbaarheid (VDW). ........................................ 10
4.3.
Resultaten per stelsel ............................................................................................. 11
4.4.
Waarstaatjegemeente.nl ......................................................................................... 14
5. Bijlagen...................................................................................... 14
3
2. Inleiding Een betrouwbare informatievoorziening vormt een essentiële succesfactor voor de uitvoering van de taken en verantwoordelijkheden van de gemeente Nunspeet. Omdat de gemeente onderdeel uitmaakt van de totale overheid en ook verbonden is met andere ketenpartijen, kan een onveilige situatie bij de gemeente Nunspeet ook direct gevolgen hebben voor de betrouwbaarheid van de dienstverlening door andere overheden of organisaties. Een goede informatiebeveiliging bij de gemeente is dus belangrijk voor het verlenen van een betrouwbare dienstverlening aan de inwoners van Nunspeet, maar ook voor het imago van de overheid in bredere zin. In dit document wordt verslag gedaan over de stand van zaken betreffende informatiebeveiliging en privacy over het jaar 2021 en worden uitgevoerde relevante activiteiten toegelicht. Met dit jaarverslag informatiebeveiliging en privacy legt het college van burgemeester en wethouders over het jaar 2021 verantwoording af aan de raad. Dit jaarverslag beschrijft ook de uitkomsten van de ENSIA verantwoording. In 2021 hebben alle gemeenten voor de vijfde keer verantwoording middels de ENSIA systematiek afgelegd aan hun eigen toezichthouder, de raad en de toezichthouders van het rijk. ENSIA staat voor Eenduidige Normatiek Single Information Audit. Voor de verantwoording aan de raad sluit ENSIA aan op de gemeentelijke planning en control cyclus.
ENSIA nam in 2020 voor de eerste keer de Baseline Informatiebeveiliging Overheid (BIO) als uitgangspunt. In 2021 zijn voor de eerste maal dertig maatregelen gemarkeerd die als elementair zijn gemarkeerd voor de verhoogde digitale weerbaarheid van de overheid. Vanuit de horizontale (gemeente brede) zelfevaluatie wordt eveneens de verantwoording aan de stelselhouders bij het rijk afgeleid, de zogenaamde verticale verantwoording. De scope van de ENSIA verantwoording betreft de: • Implementatie Baseline Informatiebeveiliging Overheid (BIO) • Basisregistratie Personen (BRP) • Paspoortuitvoeringsregeling Nederland (PUN) • Digitale persoonsidentificatie (DigiD) • Basisregistratie Adressen en Gebouwen (BAG) • Basisregistratie Grootschalige Topografie (BGT) • Basisregistratie Ondergrond (BRO) • Bestuurlijke verantwoordingsrapportage Woz • Gezamenlijke Elektronische Voorziening Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet) Een verkorte weergave van de uitkomsten van de ENSIA verantwoording treft u aan in dit jaarverslag. Tenslotte geeft dit jaarverslag over 2021 ook een doorkijk naar de doelstellingen en geplande activiteiten voor 2022.
4
3. Uitgevoerde activiteiten informatiebeveiliging 3.1. Visie, doelstelling en ambities De visie van de gemeente Nunspeet is om de komende jaren te blijven inzetten op het verhogen van de informatieveiligheid en het verder professionaliseren van het informatiebeveiligingsproces in de organisatie. Een betrouwbare informatievoorziening biedt de juiste beveiligingsmaatregelen op basis van risicoafwegingen. Proceseigenaren moeten bij elke wijziging in informatiesystemen risico’s opnieuw beoordelen en die afzetten tegen de genomen en eventueel nieuw te nemen maatregelen. Ieder organisatieonderdeel stuurt op informatieveiligheid en rapporteert daarover via de Functionaris Informatieveiligheid actief aan de directie, die het college voorziet van een jaarverslag informatieveiligheid. De gemeente streeft ernaar om ‘in control’ te zijn en daarover op professionele wijze verantwoording af te leggen. ‘In control’ betekent dat de gemeente weet welke maatregelen genomen zijn en of risico’s hiermee effectief worden afgedekt. Er wordt een smart planning opgesteld van de maatregelen die nog niet genomen zijn. En dit geheel is verankerd in een PDCA-cyclus om adequate informatiebeveiliging te kunnen blijven borgen. Om onze visie te kunnen bereiken waren voor 2021 de volgende doelstellingen geformuleerd: 1.
Verantwoording en rapportage over de informatieveiligheid middels het nieuwe ISMS (Information Security Management System) 2. Implementatie van een nieuwe opzet e-learning informatieveiligheid. 3. ENSIA zelfevaluatie succesvol afronden 4. Technische basismaatregelen van de Baseline Informatie Beveiliging implementeren.
3.2.
Uitgevoerde activiteiten 2021 en doorkijk naar 2022
Hieronder volgt een korte beschrijving op welke wijze aan deze doelstellingen is gewerkt en of de doelstelling is behaald.
3.2.1. ISMS In 2021 heeft de uitvraag Informatieveiligheid bij de procesverantwoordelijken plaatsgevonden via het ISMS. Door de iets grotere diepgang is met deze uitvraag het inzicht in de stand van de informatiebeveiliging wel bevorderd, maar de wijze van rapporteren daarover verdient verbetering. De inrichting van de ISMS-tool dient verder te worden aangepast aan deze informatiebehoefte en ook de bewijsvoering ter onderbouwing van de beantwoording dient verder te worden uitgebouwd om een betrouwbare weergave te krijgen van de feitelijke situatie. In 2022 zal periodiek gerapporteerd worden over informatiebeveiliging aan de directie en de portefeuillehouders. Op basis van deze stuurinformatie kan indien nodig bijgestuurd worden op het onderwerp informatiebeveiliging. De gemeenteraad wordt onder andere via de jaarlijkse ENSIA verantwoording en de jaarrapportage geïnformeerd over ontwikkelingen op het gebied van informatiebeveiliging en privacy.
3.2.2. Bewustzijn In 2020 is in samenwerking met een externe partij (Recourse) de e-learning gewijzigd naar een andere wijze aanbieden van de thema’s Informatieveiligheid en Privacy. De medewerkers krijgen in plaats van periodiek een module nu wekelijks een vraag per e-mail. De wijze van aanbieden is wat informeler van vorm dan de modules. Het is in 2021 nog niet gelukt de nieuwe medewerkers een startmodule Informatieveiligheid aan te bieden. Voor de meer algemene opleiding van de medewerkers is gestart met de Nunspeet Academie. Hierin wordt een specifieke module AVG aangeboden. Hierin is een overlap met de training Informatieveiligheid. Komend jaar wordt onderzocht hoe de medewerkers het meest effectief getraind kunnen worden. De crisis-game met het management, die voor april gepland stond, kon niet doorgaan vanwege de corona-maatregelen.
5
3.2.3. ENSIA Het invullen van de ENSIA zelfevaluatie vragenlijst is conform de landelijke planning voor 31 december 2021 uitgevoerd en aangeboden aan de toezichthouder via de ENSIA website. De verdere verantwoording heeft in de loop van 2022 plaatsgevonden. Alle stukken zijn voor de deadline van 1 mei 2021 verstuurd naar de toezichthouders.
3.2.4. BIO Tijdens het invullen van de ENSIA vragenlijst over 2021 hebben we geconstateerd dat we nog niet aan alle normen uit de Baseline Informatiebeveiliging Overheid (BIO) voldoen. Er vindt geen benchmarking plaats ten opzichte van andere gemeenten, dus het is niet duidelijk waar we als gemeente Nunspeet staan ten opzichte van andere gemeenten. Omdat het om een baseline gaat, waarbij de maatregelen samen een basisniveau van informatiebeveiliging bieden, willen we als gemeente in principe aan alle normen voldoen en daar waar dit niet lukt of niet kan een weloverwogen afweging maken ten aanzien van het mogelijke risico dat we lopen door een maatregelen niet of slechts deels te implementeren. Het vraagt een voortdurende afweging per norm waaraan we nog niet voldoen om te bepalen welke risico’s daardoor nog niet afgedekt zijn en of dat acceptabel is. De BIO geeft ten opzichte van de BIG, wat voorheen de norm was, meer ruimte om op basis van een risicoafweging als gemeente zelf te bepalen of bepaalde maatregelen nodig zijn om risico’s bij de gemeente af te dekken. Door het gebruik van het ISMS is de Ensia-inventarisatie tevens een gapanalyse voor wat betreft het voldoen aan de BIO. Op basis van de uitkomsten van de gap-analyse zullen de verbeteringen planmatig worden opgepakt.
Bij het formuleren van verbeteracties zullen we ook nadrukkelijk telkens de afweging maken welk risico met de verbeteractie wordt afgedekt en in welke mate dat bijdraagt aan de betrouwbaarheid van onze dienstverlening.
3.2.5. Netwerkinventarisatie Informatieveiligheid begint met het inzicht in de apparatuur die we in huis hebben. Ondanks de nauwgezette registratie van aangeschafte apparatuur bij het team Informatie, blijft het risico bestaan van schaduwapparatuur die door afdelingen zelf is aangeschaft en de zogeheten “vergeten” apparatuur, die wordt gebruikt op minder voor de hand liggende plaatsen. Om hier inzicht in te krijgen neemt Nunspeet deel aan het project “netwerkinventarisatie” van de Informatie Beveiligingsdienst gemeenten (IBD) , van de VNG. Nunspeet had zich in 2020 aangemeld voor het proefproject, maar dit is, onder andere door Corona, toen niet van de grond gekomen. Het verbeterde inzicht leidt tot actualisatie van de “beveiligingsfoto” van de gemeente, waardoor de IBD op maat kan waarschuwen en we stappen kunnen zetten in het configuratiemanagement.
3.2.6. Cybersprint De Log4j problematiek is voor de IBD aanleiding geweest om gemeenten in 2020 aan te bieden om deel te nemen aan een gerichte scan op deze kwetsbaarheid. In 2021 is dit uitgebreid naar een meer algemene vulnerability-scan (kwetsbaarheden). Nunspeet heeft aan de Log4j-scan mee gedaan en heeft zich aangemeld voor het proefproject cybersprint in 2021.
3.2.7. Project Troje Naast het initiatief van de IBD heeft ook de Provincie Gelderland een initiatief gestart dat enerzijds kwetsbaarheden in beeld brengt, maar zich anderzijds ook richt op het i-bewustzijn van de medewerkers. Hiermee wil de Provincie meer het initiatief op het vlak van informatieveiligheid naar zich toe trekken, mede gelet op de incidenten die in het recente verleden bij Gelderse gemeenten hebben plaatsgevonden (Lochem, Hof van Twente). Nunspeet zal zich in 2022 aanmelden en deelnemen aan dit initiatief. 6
3.3. Belangrijke doorgevoerde verbetermaatregelen 2021 3.3.1.
Samenwerking
De gemeente Nunspeet werkt op meerdere vlakken samen met de gemeenten van de Noord-Veluwe. Bij die gemeenten zijn de taken op Privacy- en IB-gebied belegd bij enkelingen en daarmee kwetsbaar. In 2021 is deze samenwerking verder uitgebouwd en zijn de beveiligingsplannen naast elkaar gelegd om te bezien op welke vlakken de samenwerking gezocht kan worden.is een onderzoek gestart naar een passende wijze van samenwerking waarbij de effectiviteit wordt geoptimaliseerd en de kwetsbaarheid geminimaliseerd. Hiertoe zijn er werkafspraken gemaakt.
3.3.2. Opvolging IBD-meldingen Ook in 2021 zijn tal van meldingen van de IBD ontvangen. De IBD zet zich in om gericht te waarschuwen op basis van een “ICT-foto” die door de gemeenten is aangeleverd. Desalniettemin worden de meldingen breder verspreid en dient bij iedere melding te worden nagegaan of deze voor de gemeente relevant zijn. Een aantal meldingen waren voor Nunspeet relevant en urgent. Het betrof onder andere de landelijk bekend geworden Log4j-kwetsbaarheid en Windows-kwetsbaarheden en kwetsbaarheden in VM-Ware.
3.3.3. Security en privacy Security en privacy zijn nauw met elkaar verbonden. Er wordt dan ook intensief samengewerkt. Nadat de nieuwe F.G. in dienst is getreden is er een werkprogramma opgesteld om deze onderwerpen in samenhang op te pakken is samenhang met de risico-inventarisatie die samen met het management is gemaakt.
3.3.4.
Cloud Back-up
Het dreigingsbeeld informatieveiligheid laat zien dat er een sterke toename is in de dreiging van ransomeware. De dreiging van versleutelde data die verloren gaat is groot en kan de bedrijfsvoering zeer langdurig verstoren indien geen afdoende beveiligingsmaatregelen worden getroffen om deze te kunnen herstellen. Nunpeet heeft in 2021 een cloud back-up in gebruik genomen die beveiligd is tegen ongeoorloofde versleuteling op basis van het WORM-principe (Write Once Read Many) waarmee dit risico aanzienlijk wordt verkleind.
7
3.4.
Beveiligingsincidenten
Bij de Helpdesk ICT zijn in 2021 40 incidenten vastgelegd die aangemerkt zijn als security incident.
Type security incident
Aantal gemelde incidenten
Toelichting
Phishing mail
14 (35%)
de meldingen betreffen pogingen, er zijn geen meldingen geweest van geslaagde pogingen.
Account Gerelateerd dreigmail
1
Verloren apparatuur Verstoring bedrijfsvoering
0 2 (5%)
Overig
23 (56%)
Totaal
40
3.5.
De VM-ware kwetsbaarheid heeft er toe geleid dat het extern inloggen tijdelijk moest worden afgesloten. Doordat de werkplekken in het gemeentehuis beperkt waren vanwege corona, heeft dit impact gehad op de bedrijfsvoering. Vanwege de Log4j kwetsbaarheid moest de gegevensmakelaar worden uitgeschakeld en was de dienstverlening aan burgers enkele dagen niet mogelijk. Een belangrijk deel van de meldingen betreft kwetsbaarheden in programmatuur waarvoor spoedpatches noodzakelijk waren.
Responsible Disclosure meldingen
Responsible disclosure is het op een verantwoorde wijze en in gezamenlijkheid tussen melder en organisatie openbaar maken van ICT-kwetsbaarheden. Iedereen kan een responsible disclosure melding doen. De organisatie heeft dan de kans om de kwetsbaarheid op te lossen. De gemeente Nunspeet heeft geen formeel Responsible Disclosure beleid. Ondanks het voornemen daartoe, is in 2021 nog geen formele regeling vastgesteld.
8
4. Resultaten ENSIA verantwoording ENSIA staat voor Eenduidige Normatiek Single Information Audit en betekent eenmalige informatieverstrekking en eenmalige IT-audit in plaats van meerdere audittrajecten met verschillende toezichthouders. ENSIA heeft tot doel het ontwikkelen en implementeren van een zo effectief en efficiënt mogelijk ingericht verantwoordingsstelsel over informatiebeveiliging gebaseerd op de Baseline Informatiebeveiliging Nederlandse Overheid (BIO). De focus ligt hierbij op de horizontale verantwoording. Het ENSIA traject wordt gecoördineerd vanuit de VNG. Informatie wordt door hen doorgezet naar de verschillende toezichthouders. ENSIA werkt met een zelfevaluatie methodiek op basis van vragenlijsten. Er wordt binnen ENSIA met verschillende vragenlijsten gewerkt. (Zie diagram hieronder voor een grafische weergave) 1. Alle vragen over informatiebeveiliging worden in de BIO zelfevaluatie gesteld. Dit is de grootste vragenlijst uit het stelsel. Een deel van de antwoorden wordt gebruikt voor de verticale verantwoording naar de betrokken stelselhouders van het Rijk. De antwoorden komen na 31 december automatisch terecht bij de betrokken stelselhouders. 2. Per bestaande DigiD aansluiting worden vragen over het normenkader DigiD gesteld. Nunspeet heeft twee aansluitingen. 3. Hiernaast zijn er nog 5 specifieke vragenlijsten in ENSIA opgenomen.
Toelichting afkortingen: AVG: Algemeen Verordening Gegevensbescherming BRP: Basis Registratie Personen BAG: Basisregistratie Adressen en Gebouwen BGT: Basisregistratie Grootschalige Topografie BIG: Baseline Informatiebeveiliging Gemeenten BRO: Basisregistratie Ondergrond Woz: Wet waardering onroerende zaken PUN: Paspoort Uitvoeringsregeling Nederland Suwinet: (gezamenlijke elektronische voorzieningen) Structuur uitvoeringsorganisatie werk en inkomen
9
4.1. Resultaten zelfevaluatie BIO In 2020 is er voor de eerste keer een landelijke nulmeting geweest naar de mate waarin de BIO is ingevoerd. Deze meting vindt plaats aan de hand van een zeer uitgebreide vragenlijst, die gemeenten zelf invullen. De reikwijdte van deze vragenlijst beslaat tenminste de objecten BRP, PUN, DigiD, Suwinet, BAG, BGT en BRO. Er wordt vanuit de VNG of Rijksoverheid geen percentage opgelegd dat gehaald moet worden. De beantwoording van de ENSIA-vragenlijst met betrekking tot de BIO is gebaseerd op de beantwoording van de vragen door de proceseigenaren in het ISMS. De grafische weergave van de voortgang van de implementatie van de maatregelen is onvoldoende betrouwbaar om dat als diagram in dit verslag op te nemen. Vorig jaar bleek dat dat de maatregelen met betrekking tot continuïteitsbeheer en het beheer van beveiligingsincidenten onvoldoende vorderde. Voor het continuïteitsbeheer geldt dat er afspraken gemaakt zijn met de gemeente Elburg, er een glasvezelverbinding is gerealiseerd en dat er een backup voorziening is ingericht. Een tweede zorgpunt betrof het beheer van beveiligingsincidenten. De registratie van incidenten vindt inmiddels centraal plaats, en vindt gestructureerd plaats, zodat conclusies kunnen worden getrokken ten aanzien van de veiligheid van data, maar ook om de integriteit van de gegevens en de beschikbaarheid daarvan.
Sinds 2020 is de BIO het normenkader voor overheden ten aanzien van Informatieveiligheid. Een belangrijk verschil van de BIO ten opzichte van de BIG is dat de BIO uitgaat van risico-sturing. Voor deze risicobepaling gaat Nunspeet vooralsnog uit van het risico zoals dat door meerdere gemeente is vastgesteld voor de verschillende gemeentelijke processen. Het gemeente specifiek maken van deze risico-inschatting vindt plaats bij de DPIA’s wanneer deze worden uitgevoerd of bij de aanschaf van nieuwe software.
4.2.
Resultaten Verhoogde Digitale Weerbaarheid (VDW).
De BIO-maatregelen zijn talrijk en bestrijken een veelheid van aspecten. Niet alle maatregelen dragen in gelijke matte bij aan de daadwerkelijke informatieveiligheid. Om hier meer overzicht in te verschaffen, zijn er een dertigtal maatregelen geselecteerd die gezien moeten worden als het fundament voor die digitale veiligheid. Nunspeet voldoet nog niet aan al deze maatregelen. Tijdens het Log4j-incident is gebleken dat de Intrusion detection en de logging daarvan te wensen over laat. Hierdoor is het niet goed mogelijk om vast te stellen of er ongeoorloofde toegang tot de systemen is geweest en wat er bij eventuele toegang heeft plaatsgevonden. Het college heeft in 2021 besloten om in ieder geval de maatregelen uit de VDW in 2022 te implementeren. Om dit te kunnen realiseren is het budget dat voor de centre-firewall was gereserveerd voor 2023 naar voren te halen en dit op te hogen om een afdoende beveiligingsniveau te realiseren. Naast het realiseren van detectiemaatregelen betreffen de te treffen maatregelen vooral het protocolleren van processen op het gebied van applicatiebeheer en het actueel maken van de configuratiemanagement database.
10
4.3.
Resultaten per stelsel
De uitgevoerde zelfevaluaties per stelsel hebben als doel om de procesborging, tijdigheid, volledigheid en juistheid van de data in de basisregistraties te toetsen. Domein Basisregistratie Personen (BRP)
Paspoortuitvoeringsregeling Nederland (PUN)
Digitale persoonsidentificatie (DigiD)
Score en door te voeren verbeteringen De Wet basisregistratie personen (Wbrp) schrijft voor dat jaarlijks een onderzoek plaatsvindt naar (1) procesmatige inrichting, de werking en de beveiliging van de basisregistratie personen (BRP) en (2) naar de inhoudelijke kwaliteit van de gegevens in de BRP. Hiervoor is het gebruik van de ‘Kwaliteitsmonitor’ voorgeschreven door de Rijksdienst voor Identiteitsgegevens (RvIG). Daarnaast is een deel van dit onderzoek ondergebracht in de ENSIA vragenlijst. (1) De vragenlijst waarmee de procesmatige inrichting, werking en beveiliging van de BRP wordt beoordeeld geeft een score van 100%. De norm voor “goed” ligt op 95%. (2) De inhoudelijke kwaliteit wordt op twee manieren bekeken. a. Het resultaat dit jaar is dat wij bij de inhoudelijke bestandcontrole op alle onderdelen ruimschoots voldoen aan de gestelde norm. b. Bij de handmatige gedetailleerde inhoudelijke controle van persoonslijsten voldoen wij bij drie van de zeven onderdelen niet aan de gestelde norm. Het niet voldoen hangt samen met de vindbaarheid van brondocumenten. De Paspoortuitvoeringsregeling (PUN) schrijft voor dat jaarlijks een controle wordt uitgevoerd op de toepassing van beveiligingsmaatregelen en de overige aspecten van het aanvraag- en uitgifteproces van reisdocumenten.
Deze controle wordt uitgevoerd op basis van de vragenlijst PNIK zoals opgenomen in de kwaliteitsmonitor van de Rijksdienst voor Identiteitsgegevens (RvIG). Het resultaat over 2021 is maximaal. Er zijn voldoende maatregelen ingevoerd om te kunnen spreken van een beheerst proces. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen van Logius. De zelfevaluatie is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan onze leveranciers valt. De overige normen worden afgedekt door een Third Party Mededelingen (TPM) van onze service-organisaties DigiD-aansluiting 1003167 Gemeente Nunspeet Digitaal loket (website) Service organisatie: Wind Internet De uitkomsten uit de zelfevaluatie zijn getoetst door een RE-gecertificeerde IT-auditor. Deze heeft tevens getoetst of de zelfevaluatie en de TPM van onze serviceorganisatie het gehele normenkader afdekken. De normen zijn getoetst
11
bij de serviceorganisatie én bij ons en zijn alle als voldoende bevonden. DigiD-aansluiting 1000485 – Gemeente Nunspeet 2 (i-Burgerzaken). Service organisatie: PinkRoccade Local Government B.V. De uitkomsten uit de zelfevaluatie zijn getoetst door een RE-gecertificeerde IT-auditor. Deze heeft tevens getoetst of de zelfevaluatie en de TPM van onze serviceorganisatie het gehele normenkader afdekken. De normen zijn getoetst bij de serviceorganisatie én bij ons en zijn alle als voldoende bevonden.
Basisregistratie Adressen en Gebouwen (BAG)
Basisregistratie Grootschalige Topografie (BGT)
Basisregistratie Ondergrond (BRO)
Bestuurlijke verantwoordingsrapportage Woz
De conclusies van de auditor zijn opgenomen in het assurancerapport met kenmerk BKBO/210809-10/AR Score gemeente Nunspeet: 85,7% (landelijke norm: 75%) De BAG (Basisregistratie Adressen en Gebouwen) bevat gemeentelijke basisgegevens van alle adressen en gebouwen in een gemeente. Uit de zelfevaluatie blijkt dat de gemeente Nunspeet aan niet de landelijke norm voor tijdigheid voldoet. Deze problemen zijn veroorzaak door het wisselen van applicatie. Score gemeente Nunspeet: 81,8% (landelijke norm: 75%) De BGT (Basisregistratie Grootschalige Topografie) is de gestandaardiseerde kaart waarop gebouwen, wegen, waterlopen, terreinen en spoorlijnen eenduidig zijn vastgelegd. Uit de zelfevaluatie blijkt dat de gemeente Nunspeet aan de landelijke norm voldoet. Score gemeente Nunspeet: 72,2% (landelijke norm: 60%) De BRO (Basisregistratie Ondergrond) bevat gegevens over geologische en bodemkundige opbouw en, voor zover van belang voor het benutten van natuurlijke hulpbronnen in de ondergrond, ondergrondse constructies en gebruiksrechten. Uit de zelfevaluatie blijkt dat de gemeente Nunspeet aan de landelijke norm voldoet. Dit jaar is er voor de eerste maal gerapporteerd over de Informatiebeveiliging en de informatiearchitectuur Woz.
In tegenstelling tot bijvoorbeeld de basisregistratie BAG, en BGT gelden er voor de Woz geen concrete kwaliteitseisen, maar richt de vragenlijst zich vooral op de informatiestructuur. De applicatie waarvan de gemeente Nunspeet gebruik maakt is aan vervanging toe. Bij de vervanging van de applicatie zal nadrukkelijk gekeken worden naar de ontwikkelingen op het gebied van common ground en API’s voor koppelvlakken.
12
Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet)
In 2021 is er twee keer een controle uitgevoerd op het gebruik van Suwinet. De controle heeft zich gericht op twee eenheden, namelijk Sociaal en Burgerzaken. Er heeft een controle plaatsgevonden op de onderstaande onderdelen: • Totaal gebruik over een bepaalde maand; • Zorgvuldig gebruik (raadplegingen op zoeksleutel anders dan BSN, raadplegingen buiten kantoortijden, meest geraadpleegde BSN over een bepaalde maand, hoogste aantal raadplegingen per actieve gebruiker en hoogste aantal actieve gebruikers dat hetzelfde BSN heeft geraadpleegd over een bepaalde maand). • Accountbeheer (geblokkeerde en ongebruikte accounts) • Veilig gebruik (whitelist). Er is over 2021 geen sprake van onrechtmatige raadplegingen. Er is wel geconstateerd dat er geen detailrapportages zijn opgevraagd en medewerkers niet altijd voor het gebruik van Suwinet zijn getraind. Deze tekortkomingen zijn gerapporteerd in de collegeverklaring.
De gemeentelijke basisregistraties spelen een belangrijke rol bij de komst van de Omgevingswet. De Omgevingswet gaat uit van een gelijke informatiepositie voor alle partijen. Veel processen en beslissingen zullen rechtstreeks op grond van digitale informatie tot stand komen. Deze informatie wordt ontsloten via het Digitale Stelsel Omgevingswet, waar basisregistraties een essentieel onderdeel van zijn. De Omgevingswet kan alleen een succes worden als de kwaliteit van data op orde is en blijft.
13
4.4.
Waarstaatjegemeente.nl
Dit jaar is voor de derde keer in het kader van het ENSIA verantwoordingstraject vanuit de gemeente Nunspeet ook informatie aangeleverd over informatiebeveiliging voor de website ‘waarstaatjegemeente.nl’. Waarstaatjegemeente.nl laat voor alle Nederlandse gemeenten aan de hand van thema’s zien waar ze staan op het gebied van onderwerpen waar gemeenten mee bezig zijn. VNG Realisatie beheert en ontwikkelt de site. Gemeenten kunnen hun eigen gegevens vergelijken met andere gemeenten. Ook zijn rapporten te downloaden, waarin de gegevens op een overzichtelijke manier inzichtelijk gemaakt zijn. De site is bedoeld voor gemeentebestuurders en ambtenaren, maar is ook geschikt voor andere geïnteresseerden die willen weten hoe hun gemeente ervoor staat. De informatie is openbaar toegankelijk.
5. Bijlagen De volgende bijlagen liggen ter inzage bij de Griffie ter ondersteuning van dit jaarverslag: • Collegeverklaring en Assurance rapport Suwinet en DigiD • Vastgestelde rapportage BAG/BGT/BRO • Vastgestelde bestuurlijke verantwoording Woz • Vastgestelde rapportages BRP/PUN
14