Tkn Jaarverslag 2023 en 2024 informatiebeveiliging

▀ tekst ▀ tekst ▀ tekst

Jaarverslag informatiebeveiliging gemeente Nunspeet

2023 en 2024

nunspeet.nl

Inhoudsopgave 1. Inleiding

3

2. Dreigingsbeeld

4

3. Informatieveiligheid is risicomanagement

5

4. Visie, doelstellingen en ambities

6

5. Uitgevoerde activiteiten 2023 en 2024

7

5.1

Information Security Management System (ISMS)

7

5.1.1

7

5.2

Bewustzijn medewerkers

7

5.2.1

8

Update augustus 2025 Update augustus 2025

5.3

ENSIA-zelfevaluatie

8

5.4

Baseline Informatiebeveiliging Overheid (BIO)

8

5.4.1

BIO2 en NIS2

9

5.5

Netwerkinventarisatie

9

5.6

Project Troje

10

Update augustus 2025

10

6. In 2023 en 2024 doorgevoerde verbetermaatregelen

5.6.1

10

6.1

Samenwerking

10

6.2

Opvolging IBD-meldingen

10

6.2.1

10

6.3

Pen-test

11

6.3.1

11

Update augustus 2025 Update augustus 2025

6.4

Netwerkmonitoring en response

11

6.4.1

11

6.5

Security en privacy

11

6.6

Cloud back-up

11

6.6.1

Update augustus 2025

12

Mobile Device Management (MDM)

12

6.7.1

12

6.7 6.8 6.9

Update augustus 2025

Update augustus 2025

Uitrol Microsoft Teams

12

6.8.1

Update augustus 2025

12

Bedrijfscontinuïteitsmanagement (BCM)

12

6.9.1

13

Update augustus 2025

6.10 Uitwijk en herstel | Incidentresponsemanagement

13

6.10.1 Update augustus 2025

13

6.11 Coordinated Vulnerability Disclosure

13

6.11.1 Update augustus 2025

13

7. Beveiligingsincidenten in 2023 en 2024

14

8. Resultaten ENSIA-verantwoording

15

8.1

Resultaten zelfevaluatie informatiebeveiliging uit de BIO

16

8.1.1

16

Update augustus 2025

8.2

Resultaten Verhogen Digitale Weerbaarheid (VDW)

18

8.3

Resultaten per stelsel

18

8.4

Waarstaatjegemeente.nl

21

9. Verdere doorkijk naar 2025

21

9.1

Overlegstructuur en besluitvorming

22

9.2

Stand van zaken per augustus 2025

22

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

2

1. Inleiding Informatiebeveiliging is ieders verantwoordelijkheid

Als de basis van informatiebeveiliging op orde is, verhoogt dit de digitale weerbaarheid van gemeenten. Een digitaal weerbare gemeente, waar de juiste maatregelen zijn getroffen, kan potentiële incidenten vroegtijdig signaleren en de gevolgen ervan beperken. De gemeente Nunspeet is een informatie gedreven organisatie. Zonder informatie kunnen we geen uitvoering geven aan alle rollen, taken en verantwoordelijkheden die we hebben. Dit betekent dat we ervoor moeten zorgen dat onze informatie voldoende beschikbaar is, integer (correct) blijft en daar waar nodig vertrouwelijk gebruikt wordt. Er zijn echter allerlei risico’s die ervoor kunnen zorgen dat de beschikbaarheid, integriteit en vertrouwelijkheid van onze informatievoorziening wordt aangetast. Te denken valt aan externe risico’s zoals een natuurramp, aardbeving, stroomstoring, brand en criminelen die gijzelingssoftware weten te installeren, of via een hack informatie stelen om hier geld mee te verdienen. Maar ook interne risico’s waarbij het onderscheid wordt gemaakt tussen bewuste en onbewuste risico’s. Met bewust bedoelen we dan medewerkers en bestuurders die bezig zijn met frauduleuze en ondermijnende activiteiten. En met onbewuste risico’s kun je denken aan medewerkers en bestuurders die onbedoeld informatie doorgeven of toegang verstrekken tot informatiebronnen aan derden.

Informatiebeveiliging is risicomanagement en raakt de gehele organisatie. De Baseline Informatiebeveiliging Overheid (BIO) is het normenkader van waaruit ook wij (net als alle andere Nederlandse overheidsinstanties) onze informatiebeveiligingsplannen, uitvoeren, controleren en bijsturen. De gemeente Nunspeet heeft een Chief Informatie Security Officer (CISO) die de organisatie op strategisch, tactisch en operationeel niveau helpt om de nodige risicobeperkende maatregelen te nemen op het gebied van organisatie, mens en techniek. In dit document wordt verslag gedaan over de stand van zaken van onze informatiebeveiliging over de jaren 2023 en 2024 en worden uitgevoerde relevante activiteiten toegelicht. Ook geeft dit jaarverslag een doorkijk naar de doelstellingen en geplande activiteiten voor 2025. In 2025 is er de gemeente -vooruitlopend op de invoering van de Cyberbeveiligingswet- overgestapt op een projectmatige aanpak van informatiebeveiliging én privacy. Dit om meer grip te krijgen op de grote hoeveelheid aanvullende verplichte eisen, de uitvoering ervan en het afleggen van verantwoording over de werking van de normen. Dit jaarverslag beschrijft ook de uitkomsten van de ENSIA-verantwoording over 2023 en 2024. ENSIA staat voor Eenduidige Normatiek Single Information Audit.

Jaarlijks voert de gemeente de ENSIA-zelfevaluatie uit om de stand van zaken te toetsen met betrekking tot de invoering van de maatregelen uit de Baseline Informatiebeveiliging Overheid (BIO). Daarnaast wordt er een vragenlijst “Waar staat je gemeente?” aangeboden. Met dit jaarverslag informatiebeveiliging legt het college van burgemeester en wethouders over de jaren 2023 en 2024 verantwoording af aan de raad.

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

3

2. Dreigingsbeeld De Nederlandse gemeenten werken via de VNG samen op het gebied van Informatieveiligheid. Hiervoor is de Informatie beveiligingsdienst (IBD) opgericht. Eén van de activiteiten van de IBD is het tweejaarlijks opstellen van een dreigingsbeeld. De IBD baseert zich hierbij enerzijds op de dreigingsanalyse van het Nationaal Cyber Security Center (NCSC) en anderzijds op wat zij constateren in de contacten met gemeenten. In oktober 2022 is het ‘Dreigingsbeeld 2023-2024’ verschenen. Vergeleken met het ‘Dreigingsbeeld 2020-2022’ signaleert de IBD de volgende ontwikkelingen: •

meer ransomware-aanvallen met steeds destructievere gevolgen;

•

meer en ernstigere kwetsbaarheden in software;

•

gevaar in ketens uit het zicht.

Deze ontwikkelingen brengen voor gemeenten de volgende risico’s met zich mee: •

uitval van dienstverlening en bedrijfsvoering;

•

vertrouwelijke informatie in verkeerde handen;

•

fouten in de dienstverlening.

Het beeld dat geschetst wordt, is dat het type dreiging weliswaar niet heel veel verandert, maar degenen die misbruik maken van kwetsbaarheden in hoog tempo professionaliseren. Daarbij is het niet zo dat men gericht op zoek is naar bepaalde informatie, maar dat men zich richt op het ontdekken van kwetsbaarheden en deze kwetsbaarheden uitbuiten door de dienstverlening te verlammen en te dreigen met het openbaar maken van vertrouwelijke informatie. De periode tussen de onrechtmatige toegang tot systemen en de feitelijke aanval wordt daarmee steeds langer. Gemeenten kunnen zich wapenen tegen deze dreiging, maar dit vereist een professionalisering van de informatiebeveiliging. Dit vereist kennis van de risico's, investeringen in zowel techniek als in medewerkers in de vorm van het zorgen voor voldoende kennis en bewustzijn en het adequaat handelen zodra kwetsbaarheden in programmatuur bekend worden gemaakt. Dit maakt dat informatieveiligheid meer dan ooit een zaak is voor de gehele organisatie.

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

4

3. Informatieveiligheid is risicomanagement De gemeente heeft zich gecommitteerd aan de Baseline informatiebeveiliging overheid (BIO). In de BIO zijn gestandaardiseerde veiligheidsnormen vastgelegd voor het beschermen van informatie bij overheidsorganisaties. Het doel is aan deze normen te voldoen; oftewel het waarborgen van beschikbaarheid, integriteit, vertrouwelijkheid van informatie en de informatiesystemen binnen de overheid. Hierdoor wordt een veilige samenwerking en uitwisseling van gegevens binnen de overheid bevorderd. Binnen de BIO kennen we drie (oorspronkelijke) basis beveiligingsniveaus (BBN) met bijbehorende beveiligingseisen, namelijk BBN1, BBN2 en BBN3. Een BBN is een verzameling van een minimale set van passende maatregelen om een bepaald belang te beschermen. BBN2 is bijvoorbeeld het passende niveau indien er gebruik gemaakt wordt van persoonsgegevens, terwijl er van BBN3 sprake is wanneer de nationale infrastructuur (de haven van Rotterdam, Schiphol etc.) beschermd moet worden of als er sprake is van Interstatelijke actoren. Omdat het verschil tussen BBN2 en BBN3 erg groot is, is er aanvullend voor gemeenten ook nog BBN2+ ingevoerd. In de BIO is het uitgangspunt dat gemeenten voor de verschillende werkprocessen het BBN-niveau vaststellen. Als zij dit niet doen, dan moeten zij in ieder geval de maatregelen behorend bij niveau 2 treffen.

Nunspeet heeft ervoor gekozen om niet pér proces een afweging te maken, maar de niveaus over te nemen uit het Documentair Structuurplan van de SDU. De reden hiervoor is dat gemeenten veelal te maken hebben met dezelfde processen en de beoordeling daarvan door de SDU is gedaan door een brede groep met inhoudelijk deskundigen. Het nadeel van deze benadering is dat er geen rekening wordt gehouden met omstandigheden die specifiek voor de gemeente Nunspeet gelden. Deze specifieke omstandigheden behoren meegenomen te worden in de verplichte DPIA’s die de komende jaren moeten worden uitgevoerd. Een DPIA (Data Protection Impact Assessment) is een instrument dat organisaties helpt om de privacy risico’s van gegevensverwerking in kaart te brengen en om passende maatregelen te nemen om die risico’s te verkleinen. Onze keuze van werken heeft ook consequenties voor de beantwoording in de ENISA-uitvraag. Bij tal van onderwerpen wordt gevraagd of er mitigerende maatregelen zijn getroffen. Dit is veelal het geval. De vervolgvraag hierop is of er een expliciete risico-afweging aan het treffen van de maatregel ten grondslag heeft gelegen. Dit is in de gekozen systematiek niet het geval en dat vertaalt zich dan ook in de behaalde scores.

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

5

4. Visie, doelstellingen en ambities Een betrouwbare informatievoorziening biedt de juiste beveiligingsmaatregelen op basis van risicoafwegingen. In de visie die de gemeente Nunspeet in het Informatiebeveiligingsbeleid heeft vastgelegd, is de noodzaak van een betrouwbare en veilige informatievoorziening voor het goed functioneren van de gemeentelijke organisatie vastgelegd. Dit brengt met zich mee dat het de komende jaren noodzakelijk is te blijven inzetten op het verhogen van de informatieveiligheid en het verder professionaliseren van het informatiebeveiligingsproces in de organisatie. Proceseigenaren (de teammanagers) moeten bij elke wijziging in informatiesystemen de risico’s opnieuw beoordelen en die afzetten tegen de genomen en eventueel nieuw te nemen maatregelen. Ieder organisatieonderdeel stuurt op informatieveiligheid en rapporteert daarover actief via de Informatiebeveiligingsfunctionaris (CISO) aan de directie, die het college jaarlijks voorziet van een jaarverslag informatiebeveiliging. De gemeente Nunspeet streeft ernaar om ‘in control’ te zijn en daarover op professionele wijze verantwoording af te leggen. ‘In control’ betekent dat de gemeente weet welke maatregelen genomen zijn en of de risico’s hiermee effectief worden afgedekt. Er wordt een smart planning opgesteld van de maatregelen die nog niet genomen zijn.

Dit geheel is verankerd in een Plan-Do-Check-Act (PDCA_-cyclus om adequate informatiebeveiliging te kunnen blijven borgen. Om onze visie te kunnen bereiken waren voor 2023 de volgende doelstellingen geformuleerd: 1. 2. 3. 4.

Verantwoording en rapportage over de informatieveiligheid door middel van het Information Security Management Systeem (ISMS). Het op peil brengen en houden van de kennis bij individuele medewerkers door middel van e-learnings op het gebied van Informatieveiligheid en Privacy. ENSIA-zelfevaluatie succesvol afronden. Technische basismaatregelen van de Baseline Informatie Beveiliging implementeren.

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

6

5. Uitgevoerde activiteiten 2023 en 2024 Hieronder volgt een korte beschrijving op welke wijze aan de doelstellingen is gewerkt en of de doelstelling is behaald. 5.1 Information Security Management System (ISMS) Een Information Security Management System (ISMS) is een verzameling van activiteiten, processen en documenten die nodig zijn om informatiebeveiliging op een systematische manier te managen. Kaders, richtlijnen, afspraken en bewijsvoering worden op een structurele manier vastgelegd en zo ingericht dat dit samen een Plan, Do, Check, Act (PDCA) cyclus vormt. Een werkend ISMS helpt de directie geïnformeerde risicobewuste keuzes te maken rond informatiebeveiliging. In 2023 en 2024 heeft de uitvraag Informatieveiligheid bij de procesverantwoordelijken plaatsgevonden via het ISMS van ReCourse. Door de iets grotere diepgang is met deze uitvraag het inzicht in de stand van de informatiebeveiliging wel bevorderd, maar de wijze van rapporteren daarover verdient verbetering. De inrichting van de ISMS-tool dient verder te worden aangepast aan deze informatiebehoefte en ook de bewijsvoering ter onderbouwing van de beantwoording dient verder te worden uitgebouwd om een betrouwbare weergave te krijgen van de feitelijke situatie. De relevante informatie over de Informatiebeveiliging wordt periodiek gerapporteerd aan de directie en de portefeuillehouders.

Op basis van deze stuurinformatie kan indien nodig bijgestuurd worden op het onderwerp informatiebeveiliging. 5.1.1 Update augustus 2025 Een werkend ISMS is voor gemeenten verplicht met de komst van de nieuwe Baseline Informatiebeveiliging Overheid (BIO2) die naar alle waarschijnlijkheid in het tweede kwartaal van 2026 van kracht wordt. Vooruitlopend op deze verplichting is de gemeente begin 2025 overgestapt op het ISMS van Key2Control. Dit ISMS biedt een geïntegreerd managementsysteem voor kwaliteit, informatiebeveiliging en privacy waarin de CISO en Privacy Officer kunnen samenwerken met de eerste lijn voor verantwoording vóóraf. Hierdoor maakt de organisatie aantoonbaar dat de juiste maatregelen genomen worden om de (kritische) bedrijfsprocessen te verbeteren. Daarnaast zorgt de registratie van de verwerkingen, incidenten en datalekken voor overzicht en transparantie. Doordat dit ISMS en de ENSIA-tool goed op elkaar aansluiten, zal de verantwoording via ENSIA een stuk soepeler verlopen. 5.2 Bewustzijn medewerkers In 2020 is in samenwerking met een externe partij (ReCourse) de opzet van de awareness trainingsmodule voor de thema’s informatieveiligheid en privacy gewijzigd. De medewerkers volgden niet meer periodiek een module, maar ontvingen wekelijks een vraag per e-mail. Deze wijze van aanbieden is wat informeler van vorm dan de modules waren.

Het nadeel van deze manier van het trainen van bewustzijn was, dat er redelijk wat tijd overheen gaat voordat alle gewenste informatie is gedeeld. Om die reden is in 2023 gestart met zowel de wekelijkse vragen, als het aanbieden van modules voor nieuwe medewerkers en voor medewerkers die de beschikking krijgen over een laptop. Naast de systematiek van ReCourse zijn er trainingen beschikbaar op het gebied van informatieveiligheid via de “Nunspeet Academie”.

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

7

In 2023 was de jaarlijkse training crisisstructuur van de VNOG gericht op een cyberincident en in 2024 is onder leiding van het Centrum voor Informatieveiligheid en Privacy (CIP) een cyberoefening georganiseerd voor het bestuur en het management. 5.2.1 Update augustus 2025 Met ingang van de BIO2 moet al het personeel een gecertificeerde training op het gebied van cyberweerbaarheid hebben gevolgd. Vanaf maart 2025 is de gemeente deze training al aan gaan bieden. Ondertussen heeft meer dan een derde van het personeel een certificaat behaald. Door het grotere bewustzijn ontvangen de CISO/TISO en PO meer meldingen van incidenten, meer vragen en meer tips over veilig samen (online) werken. In 2025 wordt verder onderzocht hoe de medewerkers het meest effectief getraind kunnen worden. 5.3 ENSIA-zelfevaluatie Vanuit de horizontale (gemeente brede) Eenduidige Normatiek Single Information Audit (ENSIA)-zelfevaluatie wordt eveneens de verantwoording aan de stelselhouders bij het rijk afgeleid, de zogenaamde verticale verantwoording. De breedte van de ENSIA-verantwoording is licht gewijzigd. De verantwoording Woz is komen te vervallen. De scope betreft nu de: •

Implementatie Baseline Informatiebeveiliging Overheid (BIO)

•

Basisregistratie Personen (BRP)

•

Paspoortuitvoeringsregeling Nederland (PUN)

•

Digitale persoonsidentificatie (DigiD)

•

Basisregistratie Adressen en Gebouwen (BAG)

•

Basisregistratie Grootschalige Topografie (BGT)

•

Basisregistratie Ondergrond (BRO)

•

Gezamenlijke Elektronische Voorziening Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet)

Het invullen van de ENSIA-zelfevaluatie vragenlijst is conform de landelijke planning in beide jaren voor 31 december uitgevoerd en aangeboden aan de toezichthouder via de ENSIA-website. De verdere verantwoording heeft in de loop van 2024 en 2025 plaatsgevonden. Alle stukken zijn voor de deadline van 1 mei van het daaropvolgende jaar verstuurd naar de toezichthouders. ENSIA structureert verantwoording over de basisregistraties (BRP, BAG, BGT en BRO), DigiD en SUWI. De ENSIAresultaten zijn in 2024 ten opzichte van 2023 op hetzelfde niveau. Op sommige punten zijn verbeteracties en plannen uitgezet om in 2025 tot een hoger niveau van informatiebeveiliging te komen. Een onafhankelijke IT-auditor heeft de verplichte audit over Informatiebeveiliging van DigiD en Suwinet onderzocht en goedgekeurd. De gemeenteraad wordt onder andere via de jaarlijkse ENSIA-verantwoording en de jaarrapportage geïnformeerd over ontwikkelingen op het gebied van informatiebeveiliging. 5.4 Baseline Informatiebeveiliging Overheid (BIO) De invoering van de BIO is een langdurig proces. Bij de start is er uitdrukkelijk voor gekozen om ‘het tempo’ van de organisatie te volgen. Het uiteindelijke doel is om de BIO op alle processen toe te passen. In de BIO staan maatregelen voorgesteld om risico’s te verlagen. Dat is geen 100% beveiligingsgarantie.

De gemeente past steeds meer maatregelen die voorgeschreven zijn door de BIO, toe. Sommige maatregelen zijn alleen nog ad hoc en nog niet geborgd in processen en procedures. Tijdens het invullen van de ENSIA-vragenlijsten hebben we geconstateerd dat we nog niet aan alle normen uit de Baseline Informatiebeveiliging Overheid (BIO) voldoen. Op basis van de uitkomsten zullen de verbeteringen planmatig worden opgepakt. Bij het formuleren van verbeteracties zullen we ook nadrukkelijk telkens de afweging maken per norm waaraan we nog niet voldoen, welke risico’s daardoor nog niet afgedekt zijn en of dat acceptabel is voor de organisatie. Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

8

Er vindt geen benchmarking plaats ten opzichte van andere gemeenten, dus het is niet duidelijk waar we als gemeente Nunspeet staan ten opzichte van andere gemeenten. Omdat de BIO een baseline is, waarbij de maatregelen samen een basisniveau van informatiebeveiliging bieden, willen we als gemeente in principe aan alle normen voldoen en daar waar dit niet lukt of niet kan, een afweging maken ten aanzien van het mogelijke risico dat we lopen of we een maatregel niet, of slechts deels implementeren. 5.4.1 BIO2 en NIS2 Na evaluatie van de BIO en ter invulling van de zorgplicht op basis van de Europese richtlijn “Europese Network and Information Systems Directive 2” (NIS 2), is de nieuwe Baseline Informatiebeveiliging Overheid (BIO2) in ontwerp verschenen. NIS2 is een Europese richtlijn die in 2024 is ingegaan, en die gericht is op het vastleggen van minimale beveiligingsmaatregelen voor organisaties die als essentieel en kritisch kunnen worden beschouwd voor de nationale veiligheid. In Nederland wordt de NIS2-richtlijn geïmplementeerd in de vorm van de Cyberbeveiligingswet (Cbw). De nieuwe BIO-norm bevindt zich momenteel in het goedkeuringstraject en zal naar verwachting in het tweede kwartaal van 2026 bestuurlijk worden vastgesteld.. De diensten die door gemeenten worden verleend, zijn onder deze richtlijn als “essentieel” aangemerkt.

Hierdoor wordt de Cyberbeveiligingswet ook voor gemeenten verplicht in de vorm van BIO2. Wat al wel duidelijk is, is dat de risico-sturing onder de BIO 2.0 verder wordt uitgebouwd. Daarmee wordt Informatieveiligheid steeds minder het afvinken van een maatregelenlijst en steeds meer het maken van risicoanalyses, het formuleren van beveiligingsmaatregelen en processen, het beoordelen van de effecten en het weer verfijnen van deze risico’s en maatregelen. 5.5 Netwerkinventarisatie Informatieveiligheid begint met het inzicht in de apparatuur die we in huis hebben. Ondanks de nauwgezette registratie van aangeschafte apparatuur bij het team Informatie, blijft het risico bestaan van schaduwapparatuur die door afdelingen zelf is aangeschaft, en de zogeheten “vergeten” apparatuur die wordt gebruikt op minder voor de hand liggende plaatsen. Om hier inzicht in te krijgen heeft Nunspeet deel genomen aan het project “netwerkinventarisatie” van de Informatie Beveiligingsdienst gemeenten (IBD), van de VNG. De verwachting was dat het project verbeterd inzicht zou bieden en zou helpen bij de actualisatie van de “ICT-foto” van de gemeente. Deze foto is van belang voor de IBD zodat zij op maat kan waarschuwen bij kwetsbaarheden en de gemeente stappen kan zetten in het configuratiemanagement.

De ervaring uit het project is echter dat het plaatsen van een eenvoudige netwerksensor wel leidt tot het verkrijgen van veel informatie, maar dat de interpretatie van deze (beperkte) informatie zodanig complex en omvangrijk is dat hier weinig mee kan worden gedaan. Omdat netwerkbewaking wel een belangrijk onderdeel is van de beveiligingsmaatregelen, is in 2023 gestart met de implementatie van monitoring, detectie- en responsediensten. Deze maatregelen zijn vooral gericht op endpoint-protection. Omdat met het beëindigen van het gebruik van werkstations er ook niet beheerde laptops in het netwerk komen te hangen, zijn de maatregelen in 2024 uitgebreid waardoor met deze maatregelen in samenhang met elkaar gesproken kan worden van een systeem van netwerk-protection.

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

9

5.6 Project Troje In 2022 heeft de Provincie Gelderland een nulmeting Informatieveiligheid bij de Gelderse gemeenten gedaan. Dit project, genaamd Troje, heeft zowel kwetsbaarheden in kaart gebracht van die domeinen die via het internet benaderbaar zijn, als kennis over naleefgedrag van het i-bewustzijn van de medewerkers. Door middel van project Troje wil de Provincie initiatieven op het vlak van informatieveiligheid naar zich toe trekken; mede gezien de incidenten die in het recente verleden bij Gelderse gemeenten hebben plaatsgevonden (Lochem, Hof van Twente). Nunspeet heeft in 2022 deelgenomen aan dit initiatief. De rapportages hierover zijn in 2023 ontvangen. Ze tonen onder andere dat er een redelijk veiligheidsbewustzijn bij de medewerkers is, maar dat met name het naleven van het fysieke toegangsbeleid en het aanspreken van onbekende personen in de beveiligde zone, nog de nodige aandacht behoeft. 5.6.1 Update augustus 2025 Momenteel worden de puntjes op de i gezet met betrekking tot het Fysiek Toegangsbeleid. Een projectgroep bestaande uit de Facilitair Adviseur, de Gebouwenbeheerder, de Privacy Officer, de Teammanager Publiek en de CISO is bezig met het opstellen van een aangescherpte werkwijze rondom toegangsbeheer wat als bijlage zal dienen bij het door de CISO opgestelde beleid.

6. In 2023 en 2024 doorgevoerde verbetermaatregelen 6.1 Samenwerking De gemeente Nunspeet werkt op meerdere vlakken samen met de gemeenten van de Noord-Veluwe. Bij die gemeenten zijn de taken op privacy- en informatiebeveiligingsgebied veelal belegd bij enkelingen en daarmee kwetsbaar. De bestaande samenwerking is in 2023 en 2024 verder uitgebouwd, onder andere door de beveiligingsplannen naast elkaar te leggen om te bezien op welke vlakken de samenwerking gezocht kan worden. De samenwerking is echter ook verbreed door het aansluiten van Meerinzicht en de gemeenten Epe, Dronten en Apeldoorn. Omdat het overleg in een behoefte voorziet en een goede mogelijkheid biedt voor de Informatieveiligheidsdienst gemeenten (IBD) om contacten te leggen met gemeenten, zijn in 2024 nog een enkele gemeente en de IBD zelf aangeschoven. 6.2 Opvolging IBD-meldingen In 2023 zijn er geen specifieke onderzoeken naar kwetsbaarheden in “internet-facing” toepassingen uitgevoerd. Via de IBD hebben we wel meldingen ontvangen van dergelijke kwetsbaarheden. De gemelde kwetsbaarheden zijn beoordeeld en hier is -zo nodig- een vervolg aan gegeven. Het betreft vooral kwetsbaarheden in toepassingen die van derden worden afgenomen, maar waar Nunspeet als opdrachtgever wel verantwoordelijk voor is. 6.2.1 Update augustus 2025 Begin 2025 is er een kwetsbaarhedenscan uitgevoerd via de pentest.

De gemelde kwetsbaarheden zijn beoordeeld en hier is zo nodig een vervolg aan gegeven. Via de dienst Managed Risk van Sophos MDR wordt er door Sophos MDR op onze “internet-facing” toepassingen / diensten elke week een kwetsbaarhedenscan uitgevoerd. Elk kwartaal heeft de TISO overleg met Sophos over aanbevelingen.

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

10

Sinds juni 2025 kan er door de Gemeente Nunspeet ook op alle interne systemen worden gescand op kwetsbaarheden via de Managed Risk dienst van Sophos. Dit is nu nog in een test- en leerfase en zal worden uitgebreid naar wekelijkse scans van “alle” systemen met daarin ook rapportages en overleggen en aanbevelingen door Sophos. 6.3 Pen-test In 2024 moet de periodieke pen-test worden uitgevoerd. De pen- (of penetratie) test heeft grote waarde om de kwetsbaarheid van systemen in beeld te brengen. Uit de uitgevoerde onderzoeken in 2022 blijkt dat er in relatief korte tijd tussen twee onderzoeken in alweer andere zaken werden geconstateerd. Dit kan enerzijds komen door het verschil in onderzoeksmethoden, anderzijds is het zo dat een scan een momentopname is en de dag erna de situatie alweer anders kan zijn, bijvoorbeeld omdat leveranciers wijzigingen in hun applicatie hebben aangebracht. Om die reden verdient het de aanbeveling om de mogelijkheden te onderzoeken voor het implementeren van een eigen vulnerability (kwetsbaarheden) scanner. 6.3.1 Update augustus 2025 De pen-test is afgenomen en de bevindingen worden of zijn al uitgevoerd en worden opgevolgd. De vulnerability scanner is inmiddels ook geïmplementeerd. 6.4 Netwerkmonitoring en response Uit het dreigingsbeeld van de IBD blijkt de verdere professionalisering van cybercriminelen.

De aanvallen die worden uitgevoerd worden in de regel zeer zorgvuldig voorbereid en de termijn tussen het binnendringen van systemen en de feitelijke aanval wordt steeds langer. Om die reden is het van belang om zo vroeg mogelijk te detecteren dat er sprake is van ongeautoriseerde toegang tot de systemen. Het heeft om die reden de hoogste prioriteit om maatregelen te implementeren voor de monitoring van die systemen en de respons op signalen te organiseren. Ter verhoging van de totale netwerkveiligheid verdient het aanbeveling om de standaard netwerkmonitoring uit te breiden met een extra netwerksensor waarmee die devices bewaakt kunnen worden waarop geen (geavanceerde antivirus) software geplaatst kan worden. 6.4.1 Update augustus 2025 Dit is inmiddels geïmplanteerd (NDR). 6.5 Security en privacy Security en privacy zijn nauw met elkaar verbonden. Er wordt dan ook intensief samengewerkt. In 2023 en 2024 is dit verder uitgebouwd en is de capaciteit hiervoor uitgebreid. Dit betreft zowel personele afstemming als de afstemming van taken. Dit laatste vloeit onder andere voort uit de audit die de gemeente in 2022 heeft uitgevoerd ten aanzien van de taken die in het kader van de Wet politiegegevens (Wpg) worden uitgevoerd en waarvoor een verbeterplan is vastgesteld.

6.6 Cloud back-up Het dreigingsbeeld informatieveiligheid laat zien dat er een sterke toename is in de dreiging van ransomewareaanvallen. De dreiging van data die door versleuteling verloren gaat, is groot en kan de bedrijfsvoering zeer langdurig verstoren wanneer er geen afdoende beveiligingsmaatregelen worden getroffen om deze snel te kunnen herstellen. Nunspeet heeft in 2021 een cloud back-up in gebruik genomen die beveiligd is tegen ongeoorloofde versleuteling op basis van het WORM-principe (Write Once Read Many) waarmee dit risico aanzienlijk wordt verkleind. In de BIO is vastgelegd dat de besluitvorming ten aanzien van de periode waarover een back-up wordt bewaard en welke gegevens in de back-up worden meegenomen, op basis van een risicoafweging dient te worden gemaakt en in beleid behoort te worden vastgelegd. Deze keuze is niet beleidsmatig gedaan op grond van een risicoanalyse. De keuzes zijn gemaakt op pragmatische gronden.

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

11

6.6.1 Update augustus 2025 De keuze is nog steeds op basis van pragmatische gronden. Dit zal in de toekomst aangepast moeten worden op grond van een risicoanalyse. Dit hangt ook samen met, of is eigenlijk een voortvloeisel uit het continuïteitsplan. Teams/sharepoint wordt nu bij de Gemeente Nunspeet uitgerold, documenten staan nu bij Microsoft (M365/O365). Daar wordt nu nog geen back-up van gemaakt alleen de standaard retentie van Microsoft. In september 2025 zal er een traject vanuit het project Teams starten over Purview / dataclassificatie. 6.7 Mobile Device Management (MDM) Het beleid van de gemeente Nunspeet is erop gericht om tijd en plaats onafhankelijk te kunnen werken. Dit brengt met zich mee dat werkprocessen in toenemende mate met mobiele apparatuur gefaciliteerd moeten kunnen worden. Daarmee neemt ook de dreiging van misbruik toe bij verlies of diefstal van apparatuur en wordt de noodzaak voor het adequaat updaten van de besturingssoftware steeds groter. Om die reden is besloten om bij de uitrol van de nieuwe mobiele devices direct ook MDM-tooling te implementeren en uit te rollen. De uitrol van de laptops is in 2023 gestart en in 2024 afgerond en is ondersteund met een eigen specifieke e-learning module die, omdat we hem zelf hebben opgesteld, is toegespitst op de Nunspeetse situatie.

6.7.1 Update augustus 2025 MDM is inmiddels geïmplementeerd voor de beheerde laptops voor vast personeel. Voor mobiele telefoons is dit nog niet ingeregeld. Wel loopt er momenteel een testfase. Er zal in de komende tijd ook naar het concept Zero Trust, “nooit vertrouwen, altijd verifiëren." moeten worden gekeken. 6.8 Uitrol Microsoft Teams Afgelopen jaren is de behoefte aan een samenwerkingsplatform sterk gegroeid. In de coronatijd is Microsoft Teams als vergadertool geïmplementeerd. Deze applicatie biedt ook faciliteiten om documenten te delen. Na een proefperiode is besloten ook deze mogelijkheden open te gaan stellen. Voor de beveiliging van de informatie is dit een grote verandering. Want voorheen stond de informatie in een door onszelf beheerde omgeving die uitsluitend vanuit de werkomgeving benaderbaar was. De wens van de organisatie is om ook met externen aan documenten te kunnen werken. In de nieuwe situatie wordt de informatie in de cloud geplaatst en is deze niet alleen benaderbaar voor vertrouwde apparaten die bij de gemeente in beheer zijn, maar ook voor vertrouwde apparaten die niet bij ons in beheer zijn en voor niet vertrouwde apparaten die niet bij ons in beheer zijn. Deze wijziging vraagt om een beleidsmatige aanpak voor het Logisch Toegangsbeheer.

De organisatie zal hiervoor ondersteund worden door een externe specialist in het implementeren van Microsoft toepassingen. 6.8.1 Update augustus 2025 De wijziging is inmiddels geïmplementeerd en dit project loopt nog. Het eerste team is inmiddels volledig over op Microsoft Teams. 6.9 Bedrijfscontinuïteitsmanagement (BCM) Uit het log4j-incident is gebleken dat een relatief klein incident forse impact heeft op de dienstverlening c.q. de bedrijfsvoering. Het is daarbij duidelijk geworden dat er naast het bestaande uitwijkplan ook behoefte is aan plannen op afdelingsniveau waarin voor verschillende scenario’s is uitgewerkt op welke wijze de dienstverlening zo veel mogelijk kan doorgaan. Alle teammanagers zullen hiervoor een plan opstellen voor hun teams.

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

12

6.9.1 Update augustus 2025 Het bedrijfscontinuïteitsmanagement-beleid is inmiddels vastgesteld. Alle teamplannen zijn inmiddels opgesteld. Ook hebben alle teams een calamiteiten-draaiboek klaar. Deze worden nu samengevoegd tot een totaal ICT-draaiboek voor de hele organisatie. 6.10 Uitwijk en herstel | Incidentresponsemanagement Met de implementatie van de cloud-back-up en de monitoring en respons worden er weliswaar grote stappen gezet in het verhogen van de digitale veiligheid, maar dit neemt niet weg dat zich calamiteiten kunnen voordoen waardoor de ICT-omgeving niet meer beschikbaar is. In het uitwijkplan is beschreven hoe de dienstverlening in een dergelijke situatie kan worden hervat en wat hiervoor nodig is. Vanaf 2024 zal verder geconcretiseerd worden hoe we hierin kunnen voorzien. 6.10.1 Update augustus 2025 De gemeente Elburg dient niet meer als uitwijklocatie. Er wordt momenteel gezocht naar een geschikte uitwijklocatie binnen de gemeente Nunspeet. Daarnaast wordt er hard gewerkt aan een geüpdatet uitwijk- en herstelplan om de gemeente voor te bereiden op een calamiteit.

Het implementeren van incident response management is een omvangrijke klus, denk aan: het opstellen van een plan, het werken met verschillende scenario’s, het trainen van werknemers op de verschillende scenario’s, het inrichten van een meld- en uitwijkpunt, en het jaarlijkse oefenen en testen van procedures en plannen. Dit alles met als doel om beveiligingsincidenten snel en effectief te kunnen aanpakken. 6.11 Coordinated Vulnerability Disclosure Coordinated Vulnerability Disclosure (CVD) (voorheen: Responsible disclosure) is het op een verantwoorde wijze -en in gezamenlijkheid tussen melder en organisatie- openbaar maken van ICT-kwetsbaarheden. Iedereen kan een CVD-melding doen. De organisatie heeft dan de kans om de kwetsbaarheid op te lossen. De gemeente Nunspeet heeft geen formeel CVD-beleid. Ondanks het voornemen daartoe, is er nog geen formele regeling vastgesteld. Via de IBD zijn in 2023 twee meldingen ontvangen. Deze meldingen zijn in samenwerking met de leveranciers opgepakt en opgelost. Hierover heeft via de IBD terugkoppeling naar de melders plaatsgevonden. 6.11.1 Update augustus 2025 Het Coordinated Vulnerabiltiy Disclosure beleid is in augustus 2025 formeel vastgesteld en op de website geplaatst. De meldingen zullen worden opgepakt door de CISO en TISO en volgen daarna de formele incidentenprocedure; zoals vereist in de BIO.

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

13

7. Beveiligingsincidenten in 2023 en 2024 Bij de Helpdesk ICT zijn in 2023 27 incidenten vastgelegd die aangemerkt zijn als security incident. Type security incident

Aantal gemelde incidenten

Toelichting

Phishing mail

2 (7,4%)

de meldingen betreffen pogingen, er zijn geen meldingen geweest van geslaagde pogingen.

Niet beveiligd mailen

3 (11,1%)

Datalekken extern

8 (29,6%)

Datalekken intern

4 (14,8%)

Verloren apparatuur Kwetsbare software

1 (3,7%) 2 (7,4%)

Verstoring bedrijfsvoering

1 (3,7%)

Hack leverancier

2 (7,4%)

Betreft het niet encrypted versturen van mail met gevoelige informatie. Het betreft een dataleken met een beperkt risico. Er zijn wel meldingen aan de betrokkenen gedaan, niet aan de AP. Nieuw voor ons was dat een aantal datalekken veroorzaakt werden door een niet correct werkende koppeling tussen systemen. Het betreft geopende post met gevoelige inhoud in postvakken. Betreft een verloren/gestolen telefoon. We hebben 2 meldingen ontvangen van de IBD waaruit bleek dat twee systemen kwetsbaar waren door het niet tijdig updaten van de firmware. Het betrof systemen die in beheer zijn bij derden en niet aan ons netwerk gekoppeld zijn. Door een D-Dos aanval op 1 van onze leveranciers is de clouddienst plat komen te liggen en daarmee onze dienstverlening aan inwoners. Bij twee van de leveranciers is ongeoorloofde toegang geweest tot systemen. In 1 geval zijn geen data ingezien. Doordat de toegang direct is opgemerkt heeft er geen verstoring van de bedrijfsvoering plaats gevonden. De tweede hack betreft de leverancier van een wachtwoordkluis.

Overig Totaal

4 (14,8%) 27

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

14

Bij de Helpdesk ICT zijn in 2024 29 incidenten vastgelegd die aangemerkt zijn als security incident. Type security incident

Aantal gemelde incidenten

Toelichting

Phishing mail

3 (10%)

de meldingen betreffen pogingen, er zijn geen meldingen geweest van geslaagde pogingen.

Datalekken extern

15 (52%)

Verloren apparatuur Kwetsbare software

2 (7%) 2 (7%)

Verstoring bedrijfsvoering

3 (10%)

Hack leverancier

3 (10%)

Het betreft een dataleken met een beperkt risico. Er zijn meldingen aan de betrokkenen gedaan en in 2 gevallen ook aan de AP vanwege de aard van het incident, ondaks dat het risico beperkt was.. Dit jaar hebben we te maken gehad met een dienstverlener die verkeerde data aan een derde heeft verstrekt. Betreft een verloren/gestolen telefoon. En een laptop We hebben 2 meldingen ontvangen van de IBD waaruit bleek dat twee systemen kwetsbaar waren door het niet tijdig updaten van de firmware. Het betrof systemen die in beheer zijn bij derden en niet aan ons netwerk gekoppeld zijn. Door een D-Dos aanval op 1 van onze leveranciers is de clouddienst plat komen te liggen en daarmee onze dienstverlening aan inwoners. Daarnaast is de dienstverlening een dag verstoord geweest na een up-date van systemen. In 1 geval is een dienstverlener getroffen door een beveiligingsincident waardoor de dienstverlening door Nunspeet is geraakt. Bij drie leveranciers is ongeoorloofde toegang geweest tot systemen. Er zijn geen data ingezien.

Overig

1 (3%)

Totaal

29

8. Resultaten ENSIAverantwoording ENSIA staat voor Eenduidige Normatiek Single Information Audit en komt neer op een eenmalige informatieverstrekking en een eenmalige IT-audit in plaats van meerdere audittrajecten met verschillende toezichthouders. ENSIA heeft tot doel het ontwikkelen en implementeren van een zo effectief en efficiënt mogelijk ingericht verantwoordingsstelsel over informatiebeveiliging gebaseerd op de Baseline Informatiebeveiliging Nederlandse Overheid (BIO). De focus ligt hierbij op de horizontale verantwoording. Het ENSIA-traject wordt gecoördineerd vanuit de VNG. Informatie wordt door hen doorgezet naar de verschillende toezichthouders. ENSIA werkt met een zelfevaluatiemethodiek op basis van vragenlijsten. Er wordt binnen ENSIA met verschillende vragenlijsten gewerkt. (Zie diagram op de volgende pagina voor een grafische weergave).

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

15

1.

Alle vragen over informatiebeveiliging worden in de BIO zelfevaluatie gesteld. Dit is de grootste vragenlijst uit het stelsel. Een deel van de antwoorden wordt gebruikt voor de verticale verantwoording naar de betrokken stelselhouders van het Rijk. De antwoorden komen na 31 december automatisch terecht bij de betrokken stelselhouders. 2. Per bestaande DigiD-aansluiting worden vragen over het normenkader DigiD gesteld. Nunspeet heeft twee aansluitingen. 3. Hiernaast zijn er nog 4 specifieke vragenlijsten in ENSIA opgenomen.

Zelfevaluatie met behulp van vragenlijsten ENSIA BIO-zelfevaluatie Informatieveiligheid • Suwinet • BRP • Reisdocumenten (PUN) • AVG (= BIO)

DigiD • Aansluiting 1 • Aansluiting 2

Specifieke vragenlijsten domeinen • • • •

Specifieke vragenlijst BAG Specifieke vragenlijst BRO Specifieke vragenlijst BGT Waar staat je gemeente

Toelichting afkortingen: AVG: Algemeen Verordening Gegevensbescherming BRP: Basis Registratie Personen BAG: Basisregistratie Adressen en Gebouwen BGT: Basisregistratie Grootschalige Topografie BIG: Baseline Informatiebeveiliging Gemeenten BRO: Basisregistratie Ondergrond PUN: Paspoort Uitvoeringsregeling Nederland Suwinet: (gezamenlijke elektronische voorzieningen) Structuur uitvoeringsorganisatie werk en Inkomen. 8.1 Resultaten zelfevaluatie informatiebeveiliging uit de BIO In 2020 is er voor de eerste keer een landelijke nulmeting geweest naar de mate waarin de BIO is ingevoerd. Deze meting vond plaats aan de hand van een zeer uitgebreide vragenlijst die gemeenten zelf moesten invullen. De reikwijdte van deze vragenlijst besloeg en beslaat tenminste de objecten BRP, PUN, DigiD, Suwinet, BAG, BGT en BRO. Er wordt vanuit de VNG of Rijksoverheid geen percentage opgelegd dat gehaald moet worden. De beantwoording van de ENSIA-vragenlijst met betrekking tot de BIO is gebaseerd op de beantwoording van de vragen door de proceseigenaren (teammanagers) in het Information Security Management System (ISMS). De grafische weergave van de voortgang van de implementatie van de maatregelen is onvoldoende betrouwbaar om dat als diagram in dit verslag op te nemen.

Over 2023 bleek dat dat de maatregelen met betrekking tot continuïteitsbeheer en het beheer van beveiligingsincidenten onvoldoende vorderde. Voor het continuïteitsbeheer geldt dat er afspraken gemaakt zijn met de gemeente Elburg; er is een glasvezelverbinding gerealiseerd en een back-up voorziening ingericht. Een tweede zorgpunt betrof het beheer van beveiligingsincidenten. De registratie van incidenten vindt inmiddels centraal en gestructureerd plaats, zodat conclusies kunnen worden getrokken ten aanzien van de veiligheid van data, maar ook van de integriteit van de gegevens en de beschikbaarheid daarvan. 8.1.1 Update augustus 2025 Sinds begin 2025 werkt de gemeente Nunspeet in het ISMS met het strengere BIO2-normenkader volgens de Plan-DoCheck-Act cyclus. Omdat de verantwoording voor de ENSIA nog over de oude BIO zal zijn in 2025, wordt ook dat normenkader bijgehouden. Door deze nieuwe manier van werken, waarop in het laatste hoofdstuk nader ingegaan zal worden, staat de gemeente er goed voor.

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

16

Resultaten BIO1-zelfevaluatie meting per augustus 2025

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

17

8.2 Resultaten Verhogen Digitale Weerbaarheid (VDW) De BIO-maatregelen zijn talrijk en bestrijken vele aspecten. Niet alle maatregelen dragen in gelijke mate bij aan de daadwerkelijke informatieveiligheid van de organisatie. Om hier meer overzicht in te verschaffen, zijn er een dertigtal maatregelen geselecteerd die gezien moeten worden als het fundament voor die daadwerkelijke digitale veiligheid. De gemeente Nunspeet voldoet nog niet aan al deze maatregelen. Tijdens het Log4j-incident is gebleken dat de Intrusion detection en de logging daarvan te wensen over laten. Hierdoor is het niet goed mogelijk om vast te stellen of er ongeoorloofde toegang tot de systemen is geweest en wat er bij eventuele toegang heeft plaatsgevonden. Het college heeft in 2021 besloten om in ieder geval de maatregelen uit de VDW in 2022 te implementeren. In 2023 en 2024 is er verder gewerkt aan segmentering van het netwerk om het netwerkverkeer beter te kunnen bewaken en de eventuele gevolgen bij ongeoorloofde toegang te kunnen beperken. Naast het realiseren van detectiemaatregelen gaat het bij de te treffen maatregelen vooral over organisatorische maatregelen als het protocolleren van processen op het gebied van applicatiebeheer en het actueel maken van de configuratiemanagementdatabase.

8.3 Resultaten per stelsel De uitgevoerde zelfevaluaties per stelsel hebben als doel om de procesborging, tijdigheid, volledigheid en juistheid van de data in de basisregistraties te toetsen. Domein Basisregistratie Personen (BRP)

Score en door te voeren verbeteringen De Wet basisregistratie personen (Wbrp) schrijft voor dat jaarlijks een onderzoek plaatsvindt naar (1) procesmatige inrichting, de werking en de beveiliging van de basisregistratie personen (BRP) en (2) naar de inhoudelijke kwaliteit van de gegevens in de BRP. Hiervoor is het gebruik van de ‘Kwaliteitsmonitor’ voorgeschreven door de Rijksdienst voor Identiteitsgegevens (RvIG). Daarnaast is een deel van dit onderzoek ondergebracht in de ENSIA-vragenlijst. 2023 (1) De vragenlijst waarmee de procesmatige inrichting, werking en beveiliging van de BRP wordt beoordeeld geeft een score van 100%. De norm voor “goed” ligt op 95%. (2) De inhoudelijke kwaliteit wordt op twee manieren bekeken. a. Het resultaat dit jaar is dat wij bij de inhoudelijke bestandcontrole op alle onderdelen ruimschoots voldoen aan de gestelde norm. b. Bij de handmatige gedetailleerde inhoudelijke controle van persoonslijsten voldoen wij bij een onderdeel (adres) van de zeven onderdelen niet aan de gestelde norm. Het niet voldoen heeft een technische oorzaak waardoor handmatig correcties moesten worden uitgevoerd. Dit probleem is inmiddels opgelost.

Paspoortuitvoeringsregeling Nederland (PUN)

2024 (1) De score in 2024 is van hetzelfde hoge niveau als 2023. (2) Zowel bij de bestandscontrole als bij de handmatige controle blijkt dat ruimschoots aan de norm wordt voldaan De Paspoortuitvoeringsregeling (PUN) schrijft voor dat jaarlijks een controle wordt uitgevoerd op de toepassing van beveiligingsmaatregelen en de overige aspecten van het aanvraagen uitgifteproces van reisdocumenten. Deze controle wordt uitgevoerd op basis van de vragenlijst PNIK zoals opgenomen in de kwaliteitsmonitor van de Rijksdienst voor Identiteitsgegevens (RvIG).

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

18

Digitale persoonsidentificatie (DigiD)

Het resultaat over 2023 is een score van 1934 op de maximaal 2000 te behalen punten = 96,7%. Er zijn voldoende maatregelen ingevoerd om te kunnen spreken van een beheerst proces. 2024 De score op de zelfevaluatie bedroeg in 2024 1981 punten op het maximaal te behalen totaal van 2000 punten. Een score dus van 99%. Een DigiD-aansluiting dient aan het gehele normenkader te voldoen van Logius. De zelfevaluatie is toegepast op dat deel van het normenkader dat niet onder uitbesteding aan onze leveranciers valt. De overige normen worden afgedekt door een Third Party Mededelingen (TPM) van onze service-organisaties 2023 DigiD-aansluiting 1003167 Gemeente Nunspeet Digitaal loket (website) Service organisatie: Wind Internet De uitkomsten uit de zelfevaluatie zijn getoetst door een REgecertificeerde IT-auditor. Deze heeft tevens getoetst of de zelfevaluatie en de TPM van onze serviceorganisatie het gehele normenkader afdekken. De normen zijn getoetst bij de serviceorganisatie én bij ons en zijn alle als voldoende beoordeeld. DigiD-aansluiting 1000485 – Gemeente Nunspeet 2 (i-Burgerzaken). Service organisatie: PinkRoccade Local Government B.V. De uitkomsten uit de zelfevaluatie zijn getoetst door een REgecertificeerde IT-auditor. Deze heeft tevens getoetst of de zelfevaluatie en de TPM van onze serviceorganisatie het gehele normenkader afdekken.

De normen zijn getoetst bij de serviceorganisatie én bij ons en zijn alle als voldoende bevonden. De conclusies van de auditor zijn opgenomen in het Assurance rapport met kenmerk BKBO/220912-01/V1/AR 2024 DigiD-aansluiting 1003167 Gemeente Nunspeet Digitaal loket (website) Service organisatie: Wind Internet De uitkomsten uit de zelfevaluatie zijn getoetst door een REgecertificeerde IT-auditor. Deze heeft tevens getoetst of de zelfevaluatie en de TPM van onze serviceorganisatie het gehele normenkader afdekken. De normen zijn getoetst bij de serviceorganisatie én bij ons. Dit jaar zijn een aantal normen voor de eerste maal op werking onderzocht. De normen zijn alle als voldoende beoordeeld, met uitzondering van norm C.08. Het toetsen van de gevolgen van wijzigingen kon onvoldoende worden aangetoond. DigiD-aansluiting 1000485 – Gemeente Nunspeet 2 (i-Burgerzaken). Service organisatie: PinkRoccade Local Government B.V. De uitkomsten uit de zelfevaluatie zijn getoetst door een REgecertificeerde IT-auditor. Deze heeft tevens getoetst of de zelfevaluatie en de TPM van onze serviceorganisatie het gehele normenkader afdekken. De normen zijn getoetst bij de serviceorganisatie én bij ons en zijn alle als voldoende bevonden.

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

19

Basisregistratie Adressen en Gebouwen (BAG)

Basisregistratie Grootschalige Topografie (BGT)

Basisregistratie Ondergrond (BRO)

Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet)

De conclusies van de auditor zijn opgenomen in het Assurance rapport met kenmerk BKBO/220912-01/V2/AR. 2023 Score gemeente Nunspeet: 85% (landelijke norm: 75%) De BAG (Basisregistratie Adressen en Gebouwen) bevat gemeentelijke basisgegevens van alle adressen en gebouwen in een gemeente. Uit de zelfevaluatie blijkt dat de gemeente Nunspeet qua score een flinke stap vooruit heeft gezet (van 76% in 2022 naar 85% in 2023). Door verdere procesoptimalisatie is er nog winst te halen ten aanzien van de gegevenskwaliteit. 2024 Score gemeente Nunspeet: 92% (landelijke norm: 75%) Score gemeente Nunspeet: 90% (landelijke norm: 75%) De BGT (Basisregistratie Grootschalige Topografie) is de gestandaardiseerde kaart waarop gebouwen, wegen, waterlopen, terreinen en spoorlijnen eenduidig zijn vastgelegd. Uit de zelfevaluatie blijkt dat de gemeente Nunspeet aan de landelijke norm voldoet. De score is vergelijkbaar met 2022. Voor de optimalisatie van het proces zou het aanstellen van een tweede BGT-beheerder aanzienlijke winst opleveren. 2024 Score gemeente Nunspeet: 93% (landelijke norm: 75%). Score gemeente Nunspeet: 47% (landelijke norm: 60%) De BRO (Basisregistratie Ondergrond) bevat gegevens over geologische en bodemkundige opbouw en, voor zover van belang voor het benutten van natuurlijke hulpbronnen in de ondergrond, ondergrondse constructies en gebruiksrechten.

De zelfevaluatie laat zien dat de gegevenskwaliteit matig is en het proces onvoldoende geborgd is. De gemeente Nunspeet voldoet daardoor niet aan de landelijke norm. 2024 Score gemeente Nunspeet: 44% (landelijke norm: 60%). Vanwege het niet voldoen aan de norm en de negatieve score is een projectgroep geformeerd om de uitvoering op het gewenste niveau te brengen. In 2023 is Suwinet gebruikt voor zowel de uitvoering van de P-wet als voor adresonderzoeken. Voor beide toepassingen is er twee keer een rapportage opgevraagd over het gebruik van Suwinet om dit te kunnen controleren. Bij de controle wordt specifiek gekeken naar de onderstaande onderdelen: • Totaal gebruik over een bepaalde maand; • Zorgvuldig gebruik (raadplegingen op zoeksleutel anders dan BSN, raadplegingen buiten kantoortijden, meest geraadpleegde BSN over een bepaalde maand, hoogste aantal raadplegingen per actieve gebruiker en hoogste aantal actieve gebruikers dat hetzelfde BSN heeft geraadpleegd over een bepaalde maand). • Accountbeheer (geblokkeerde en ongebruikte accounts) • Veilig gebruik (whitelist). Er is geconstateerd dat er een groot aantal afgebroken inlogpogingen zijn geweest. Dit bleek te zijn veroorzaakt door onbekendheid met de applicatie door een nieuwe gebruiker. Er is over 2023 geen sprake geweest van onrechtmatige raadplegingen.

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

20

2024 Uit de toetsing blijkt dat over 2024 aan de gestelde normen is voldaan. Voor 2025 zal de toetsing worden uitgebreid omdat Suwinet dan ook gebruikt zal gaan worden voor de schuldhulpverlening, waarbij een deel van de taken door de gemeente Zwolle uitgevoerd gaat worden. De betekenis van de basisregistratie Personen is wel bekend, omdat die een rol speelt bij de uitvoering van de taken die van oudsher bij de gemeente liggen. De rol van de Geo-basisregistraties neemt steeds verder toe omdat ze een belangrijke rol spelen bij uitvoering van de Omgevingswet. De Omgevingswet gaat uit van een gelijke informatiepositie voor alle partijen. Veel processen en beslissingen zullen rechtstreeks op grond van digitale informatie tot stand komen. Deze informatie wordt ontsloten via het Digitale Stelsel Omgevingswet, waar de basisregistraties een essentieel onderdeel van zijn. De Omgevingswet kan alleen een succes worden als de kwaliteit van data op orde is en blijft. 8.4 Waarstaatjegemeente.nl Ook in 2023 en in 2024 is er in het kader van het ENSIA-verantwoordingstraject vanuit de gemeente Nunspeet informatie aangeleverd over informatiebeveiliging voor de website ‘waarstaatjegemeente.nl’. Waarstaatjegemeente.nl laat voor alle Nederlandse gemeenten aan de hand van thema’s zien waar ze staan op het gebied van onderwerpen waar gemeenten mee bezig zijn.

VNG Realisatie beheert en ontwikkelt de site. Gemeenten kunnen hun eigen gegevens vergelijken met andere gemeenten. Ook zijn er rapporten te downloaden, waarin de gegevens op een overzichtelijke manier inzichtelijk gemaakt zijn. De site is bedoeld voor gemeentebestuurders en ambtenaren, maar is ook geschikt voor andere geïnteresseerden die willen weten hoe hun gemeente ervoor staat. De informatie is openbaar toegankelijk en vindbaar op via de url: Waarstaatjegemeente.nl - cijfers en statistieken van gemeenten.

9. Verdere doorkijk naar 2025 De afgelopen jaren is er op een informele manier geprobeerd om de financiën, formatie en structuren op te zetten om informatiebeveiliging en privacy binnen de gemeente Nunspeet te implementeren en te borgen. De basis is neergezet, nu is het goed om te kijken naar de volgende stap en hoe we kunnen gaan werken met jaarschijven, waarin we steeds meer de PDCA-cyclus gaan implementeren en borgen. Het momentum is daar om verder te professionaliseren en de noodzaak is er ook. Cyberweerbaarheid is voor elke organisatie een belangrijk thema, zo ook voor de gemeente Nunspeet. Dit vraagt van ons een meer gestructureerde aanpak, waardoor er op een efficiënte manier meer resultaten behaald zullen worden. Organisatiebreed weten we beter waarvoor we het doen en wat er in 2025 gedaan moet worden. Want, informatiebeveiliging en privacy zijn niet het vraagstuk van de bedrijfsvoering teams – juist niet – maar van de hele organisatie. Door informatiebeveiliging en privacy projectmatig aan te pakken, wordt ervoor gezorgd dat iedereen betrokken wordt op zijn eigen manier. Door te werken vanuit de PDCA-cyclus in het Informatie Security Management Systeem, wordt informatiebeveiliging ingebed in alle werkprocessen waardoor het minder voelt als ‘extra’ werk, maar als een andere inrichting van en/of aanvulling op het werk.

Begin 2025 is ervoor gekozen om projectmatig met jaarplannen te gaan werken. Begin van ieder jaar worden de prioriteiten voor dat jaar per kwartaal ingepland. Waarbij de haalbaarheid voor de projectgroep niet uit het oog verloren wordt.

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

21

De projectgroep bestaat uit vertegenwoordigers van de teams Informatie en POC: • Projectleider/teammanager Informatie: Verantwoordelijk voor de algehele coördinatie van het project. Bewaakt de planning en voortgang hierop. Adviseert op onderdelen die de informatievoorziening raken en stemt hierover af met collega’s van team Informatie/POC en/of externe partijen. Verzorgt daarna op hoofdlijnen – op inhoud bijgestaan door de betrokken medewerkers – de communicatie naar stuurgroep en dergelijke. •

CISO: de Chief Information Security Officer is verantwoordelijk voor het voorbereiden, definiëren en coördineren van (en communiceren over) al het informatiebeveiligingsbeleid. Daarnaast initieert de CISOinitiatieven binnen de lijnorganisatie ten aanzien van de uitvoering en naleving van de genomen beheersmaatregelen. Tevens is de CISO verantwoordelijk voor het implementeren van de nieuwe BIO2 / Cyberbeveiligingswet.

•

TISO: de Technical Information Security Officer is verantwoordelijk voor het opstellen, uitvoeren en inrichten van de technische aspecten van informatiebeveiligingsstrategie of -beleid binnen de organisatie.

•

PO: de Privacy-officer is verantwoordelijk voor het ontwikkelen en bewaken van het privacybeleid van de gemeente. Heeft een adviserende en begeleidende rol bij de beoordeling van risico's bij verwerkingen van persoonsgegevens en het daarbij uitvoeren van de DPIA bij hoog risicoververwerkingen. Onderzoekt datalekmeldingen en is vraagbaak bij privacyvraagstukken vanuit de organisatie.

Vooruitlopend op de invoering van de Cyberbeveiligingswet, heeft de gemeente Nunspeet ervoor gekozen om al in 2025 te gaan werken volgens de (strengere) normen uit de nieuwe Baseline Informatiebeveiliging Overheid (BIO2). Een grote uitdaging! 9.1 Overlegstructuur en besluitvorming De projectgroep Informatiebeveiliging en Privacy komt tweewekelijks bijeen voor overleg. Voor dit project geldt bij uitstek dat keuzes op een zorgvuldige, transparante manier gemaakt worden. Besluitvorming die van doorslaggevende betekenis is, wordt voorgelegd aan de stuurgroep bestaande uit de directeur Bedrijfsvoering, teammanager POC, de FG vanuit zijn onafhankelijke rol en de projectgroepleden. 9.2 Stand van zaken per augustus 2025 Het conceptjaarverslag 2024 eindigde met de volgende alinea: “In de verantwoording is al gesignaleerd dat de gemeente Nunspeet nog niet alle maatregelen vanuit de BIO heeft geïmplementeerd. De IBD heeft op basis van een risico-inschatting een prioritering gemaakt in maatregelen die minimaal op orde zouden moeten zijn. Ook hieraan voldoet Nunspeet (nog) niet. Voor een aantal maatregelen geldt dat de maatregelen weliswaar worden uitgevoerd, maar dat een en ander nog geprotocolleerd en beschreven moeten worden. Voor een aantal andere maatregelen geldt dat deze nog uitgewerkt en geïmplementeerd moeten worden.

Dit wordt in 2025 verder opgepakt.” Door de projectmatige aanpak, een goede jaarplanning en door te werken vanuit het ISMS met een Plan-DoCheck-Act cyclus, loopt de gemeente Nunspeet nog steeds volgens planning en zal de gemeente met ingang van de nieuwe Cyberbeveiligingswet in 2026, aantoonbaar aan de wet voldoen. Op de volgende twee pagina’s een visueel overzicht van de voortgang van de implementatie van de BIO2 tussen april en augustus 2025.

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

22

Stand van zaken op 1 april 2025 voor de (nieuwe) BIO2:

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

23

Stand van zaken op 1 augustus 2025 voor de (nieuwe) BIO2:

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

24

Bijlagen De volgende bijlagen liggen ter inzage bij de Griffie ter ondersteuning van dit jaarverslag: •

Rapportage zelfevaluatie Informatiebeveiliging 2023

•

Rapportage Verhogen Digitale Weerbaarheid

•

Collegeverklaring en Assurance rapport Suwinet en DigiD

•

Vastgestelde rapportage BAG/BGT/BRO

•

Vastgestelde rapportages BRP/PUN

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

25

Gemeente Nunspeet Markt 1 8071 GJ Nunspeet T (0341) 25 99 11 E gemeente@nunspeet.nl nunspeet.nl

Jaarverslag informatiebeveiliging gemeente Nunspeet 2023 en 2024

26