Tkn Rapportage Informatiebeveiliging en Privacy n.a.v. rapport Rekenkamer
Tekst van het document
Rapportage Informatiebeveiliging en Privacy Stand van zaken sinds het Rekenkamerrapport
nunspeet.nl
Inhoudsopgave 1. Inleiding
3
1.1
Conclusies uit het rekenkamerrapport
3
1.2
Samenvatting
3
1.3
Leeswijzer
3
2. Wat is er gebeurd met de aanbevelingen van de rekenkamer?
4
2.1
Informatiebeveiligingsbeleid en maatschappelijke doelen
4
2.2
Privacybeleid
4
2.3
Rollen, taken en verantwoordelijkheden
4
2.4
Risicomanagement en de PDCA-cyclus
5
2.5
Vooruitlopen op NIS2/BIO2
5
2.6
Risicobewustzijn, bewustwording en cultuur
5
2.7
Leveranciersrelaties en compliance
5
2.8
Bedrijfscontinuïteit
5
2.9
Jaarverslag
6
2.10 AI-beleid
6
3. Conclusie
6
DOCUMENTGESCHIEDENIS Versie
Datum
Door
Omschrijving wijziging
C.01
29 september 2025
CISO
Eerste concept
C.02
8 oktober 2025
CISO
Opmerkingen Privacy Officer verwerkt
C.03
9 oktober 2025
CISO
Opmerkingen teammanager team Informatie en teammanager team POC verwerkt
D.01
9 oktober 2025
CISO
Definitief
Rapportage Informatiebeveiliging en Privacy Stand van zaken sinds het Rekenkamerrapport
2
1. Inleiding In oktober 2024 publiceerden de samenwerkende rekenkamers van de gemeenten Elburg, Hattem, Nunspeet, Oldebroek en Putten een gezamenlijk rapport over de informatiehuishouding, informatieveiligheid en bescherming van persoonsgegevens in de vijf gemeenten. Het eindrapport gaf antwoord op twee centrale vragen: 1. wat de gemeenten wilden bereiken op het gebied van informatiebeveiliging en privacy en 2.
of de toenmalige staat van informatiebeveiliging en privacy voldoende was.
Daarnaast werd onderzocht of beleids- en uitvoeringsdoelen waren gehaald en of de raad haar kaderstellende en controlerende rol voldoende uit kon voeren. 1.1 Conclusies uit het rekenkamerrapport In het rapport trok de rekenkamer de conclusie dat beleidsmatig de informatieveiligheid en de waarborging van privacy op orde is, maar dat er meer aandacht moest komen voor de maatschappelijke effecten van het beleid voor inwoners en ondernemers. Tevens werden de gemeenten geadviseerd om in het strategisch informatiebeveiligingsbeleid de doelen concreter (meetbaar) te formuleren en de voortgang hiervan vaker, ook aan de raad, te communiceren. Tot slot adviseerde de rekenkamer om de rollen en verantwoordelijkheden helder te beleggen, inclusief de verantwoordelijkheden die aan de rol verbonden zijn. 1.2 Samenvatting De gemeente Nunspeet heeft de aanbevelingen uit het Rekenkamerrapport serieus genomen en vertaald naar concrete verbeteringen in beleid, uitvoering en governance. Deze rapportage beschrijft de voortgang die de Gemeente Nunspeet sinds najaar 2024 heeft geboekt op het gebied van de informatiehuishouding in relatie tot de beveiliging van informatie en de bescherming van persoonsgegevens. De conclusies en aanbevelingen uit het rapport worden hoofdstuk 2 behandeld.
1.3 Leeswijzer In hoofdstuk 2 worden in tien paragrafen alle bevindingen uit het Onderzoek naar informatiebeveiliging en bescherming van persoonsgegevens van de rekenkamers van de gemeenten Elburg, Hattem, Nunspeet, Oldebroek en Putten behandeld. Iedere paragraaf geeft per bevinding de voortgang aan; waar staan we een jaar later en waar willen we naar toe. Tot slot is in hoofdstuk 3 de eindconclusie te lezen.
Rapportage Informatiebeveiliging en Privacy Stand van zaken sinds het Rekenkamerrapport
3
2. Wat is er gebeurd met de aanbevelingen van de rekenkamer? Deze rapportage beschrijft de voortgang die de Gemeente Nunspeet sinds najaar 2024 heeft geboekt op het gebied van informatiebeveiliging en privacy. 2.1 Informatiebeveiligingsbeleid en maatschappelijke doelen Het strategisch informatiebeveiligingsbeleid en bedrijfscontinuïteit 2025–2028 is in 2025 geactualiseerd en bevat aanvullende beleidsmatige versterkingen die ingaan op de maatschappelijke doelen voor inwoners en ondernemers, te weten: de beschikbaarheid van informatie(systemen), de integriteit (juistheid/betrouwbaarheid) van onze informatie en de vertrouwelijkheid ervan. In de Jaarrapportage Informatiebeveiliging over 2023 en 2024 is de stand van zaken over 2025 verder onderbouwd. Zoals geadviseerd door de rekenkamer geeft de jaarrapportage een helder beeld van de mate waarin deze drie maatschappelijke doelen inmiddels zijn gerealiseerd. De doelstellingen binnen het informatiebeveiligingsbeleid zijn concreter (SMART) geformuleerd. Dit betekent dat ze Specifiek, Meetbaar, Acceptabel, Realistisch en Tijdgebonden zijn. Bovendien zijn de rollen en de daarbij behorende verantwoordelijkheden duidelijker gedefinieerd, volgens de eisen van de nieuwe Baseline Informatiebeveiliging Overheid (BIO2).
De BIO2 wordt juridisch gekoppeld aan de Cyberbeveiligingswet (Cbw) die naar alle waarschijnlijkheid in het tweede kwartaal van 2026 van kracht wordt. Met de ingang van de Cbw is de BIO2 daarmee voor overheidsorganisaties wettelijk verplicht. Het beleid wordt jaarlijks geëvalueerd en bijgesteld op basis van actuele dreigingen, wet- en regelgeving en interne audits, en voldoet nu aantoonbaar aan de wettelijke en normatieve eisen. 2.2 Privacybeleid Ook het Privacybeleid 2025-2028 is in 2025 geactualiseerd. Het privacybeleid heeft zich voornamelijk gericht op het verduidelijken van de taken en verantwoordelijkheden die de gemeente heeft richting haar inwoners, medewerkers en andere betrokkenen waarvan de persoonsgegevens worden verwerkt. Het privacybeleid is afgestemd met de teammanagers en de directie, zodat het beleid wordt gedragen vanuit de gehele organisatie en geen “opgelegd” stuk is. De Privacy Officer en de CISO werken nauw samen om gemeenschappelijke doelen te bereiken. Veel van onderstaande acties zijn, waar mogelijk en noodzakelijk, gezamenlijk opgepakt c.q. geïmplementeerd. 2.3 Rollen, taken en verantwoordelijkheden Op advies van de rekenkamer zijn de verantwoordelijkheden helder belegd: • teammanagers zijn proces- en risico-eigenaren; •
de CISO voert regie en coördineert het informatiebeveiligingsbeleid;
•
de TISO is verantwoordelijk voor technische implementatie van informatiebeveiligingsissues;
•
de privacy officer adviseert en ondersteunt de organisatie over privacyvraagstukken;
•
de functionaris gegevensbescherming houdt toezicht binnen de organisatie op de uitvoering hiervan;
•
de directie en het college van B&W dragen bestuurlijke verantwoordelijkheid.
Rapportage Informatiebeveiliging en Privacy Stand van zaken sinds het Rekenkamerrapport
4
De teammanagers zijn nu expliciet aangewezen als zowel proces- als risico-eigenaar. Het informatiebeveiligings- en privacybeleid is gepresenteerd aan college, directie, management, functioneel beheerders en beleidsteams. De rollen en verantwoordelijkheden zijn duidelijk gecommuniceerd, inclusief de verantwoordelijkheden die aan de rol verbonden zijn. 2.4 Risicomanagement en de PDCA-cyclus De vernieuwde Baseline Informatiebeveiliging Overheid (BIO2) is ontwikkeld om de informatiebeveiliging binnen de overheid te versterken en aan te passen aan de huidige en toekomstige dreigingen. Gemeenten worden door de implementatie van de BIO2 gestimuleerd een risico gebaseerde aanpak te hanteren. Begin 2025 werd de software van Key2Control aangeschaft als informatiebeveiligings- en privacy managementsysteem. Door middel van deze applicatie wordt de volledige PDCA (Plan-Do-Check-Act) cyclus voor informatiebeveiliging en privacy -jaarlijks doorlopen. Vanaf oktober 2025 wordt ook de risicomodule in Key2Control in gebruik genomen; waardoor risicomanagement structureel ingebed wordt in de organisatie. De CISO, TISO en Privacy Officer adviseren teammanagers over eventuele risico’s en maatregelen en rapporteren minimaal zes keer per jaar aan de Stuurgroep Informatiebeveiliging en Privacy over de voortgang, datalekken, informatiebeveiligingsincidenten en verbetermaatregelen.
De projectmatige aanpak en de implementatie van de PDCA-cyclus zorgen ervoor dat de gemeente Nunspeet qua risicomanagement aantoonbaar voldoet aan deze zorgplichtmaatregel uit de Cyberbeveiligingswet die in 2026 van kracht wordt. 2.5 Vooruitlopen op NIS2/BIO2 De gemeente Nunspeet is begin 2025 actief begonnen met het implementeren van de normen uit de nieuwe Baseline Informatiebeveiliging Overheid en anticipeert daarmee actief op de aankomende Europese Network & Information Security Directive (NIS2-richtlijn). Het implementeren uit zich in beleidsmatige voorbereidingen, technische maatregelen en het versterken van de awareness en het kennisniveau van medewerkers, zoals ook aanbevolen door de Rekenkamer. 2.6 Risicobewustzijn, bewustwording en cultuur De gemeente investeert in bewustwording via trainingen, communicatie en presentaties. Incidenten worden (indien mogelijk) gebruikt als leermomenten. Dit draagt bij aan een cultuur van informatieveiligheid. De gemeente zal blijven investeren in het risicobewustzijn van medewerkers via e-learningmodules en gecertificeerde trainingen op het gebied van cyberweerbaarheid en kennis van de privacywetgeving. Meer dan een derde van het personeel heeft inmiddels een gecertificeerde training afgerond. Ook het college en de raad zullen in de tweede helft van 2026 verplicht een training cyberweerbaarheid moeten volgen.
2.7 Leveranciersrelaties en compliance Bij uitbesteding van IT-diensten worden contracten afgesloten met duidelijke eisen op het gebied van informatiebeveiliging en privacy. Leveranciers moeten ISO 27001-gecertificeerd zijn, een verwerkersovereenkomst afsluiten en voldoen aan Service Level Agreements (SLA)-afspraken. 2.8 Bedrijfscontinuïteit Informatiebeveiliging en bedrijfscontinuïteit zijn onlosmakelijk met elkaar verbonden. Het bedrijfscontinuïteitsmanagementbeleid is medio 2025 vastgesteld. Ieder team heeft een bedrijfscontinuïteitsplan en een calamiteitendraaiboek opgesteld. Een projectgroep onder leiding van de CISO en TISO werkt hard aan een herstel- en uitwijkplan (Disaster Recovery Plan). Vanaf 2026 zullen de uitwijk- en continuïteitsplannen grondig getest worden en verbeterplannen worden opgesteld naar aanleiding van bevindingen uit de testen en oefeningen om de veerkracht van de organisatie te vergroten.
Rapportage Informatiebeveiliging en Privacy Stand van zaken sinds het Rekenkamerrapport
5
2.9 Jaarverslag Het Jaarverslag Informatiebeveiliging 2023 en 2024 was anders opgesteld dan voorgaande jaren. In de jaarrapportage wordt, zoals geadviseerd door de rekenkamer, ingegaan op de beschikbaarheid, integriteit en vertrouwelijkheid van de informatievoorziening. Het dreigingsbeeld en de risico’s worden beschreven, maar ook de risicobeperkende maatregelen komen aan de orde. De doelstellingen en geplande activiteiten zijn opgenomen en er wordt vooruitgekeken naar de komst van de Cyberbeveiligingswet. Het jaarverslag Privacy wordt opgesteld door de functionaris gegevensbescherming. Deze heeft recent het jaarverslag over 2024 gedeeld met het college van Burgemeester en Wethouders en ter kennisname voorgelegd aan de raad. 2.10 AI-beleid In 2025 is een organisatiebreed AI-beleid vastgesteld. Dit beleid adresseert de ethische, juridische en technische aspecten van het gebruik van kunstmatige intelligentie, met specifieke aandacht voor privacy, transparantie en risicobeheersing. De gemeente Nunspeet hanteert vooralsnog een terughoudende houding ten opzichte van het gebruik van AI gezien de risico’s die met het gebruik gepaard gaan op het gebied van informatiebeveiliging en privacy.
3. Conclusie Onze organisatie heeft de aanbevelingen uit het Rekenkamerrapport serieus genomen en vertaald naar concrete verbeteringen in beleid, uitvoering en governance. De komende periode ligt de focus op het implementeren en testen van het herstel- en uitwijkplan, het verder operationaliseren van risicomanagement en het versterken van bewustwording. Hiermee leggen we een solide basis voor compliance en toekomstbestendige beveiliging van onze informatievoorziening. Om deze solide basis voor de toekomst te borgen en verder uit te bouwen, zal volgend jaar met het (nieuwe) college en de (nieuwe) raad aandacht besteed worden aan ieder zijn rol en verantwoordelijkheid; en aan de hand van (leer)casussen vaker de dialoog met elkaar worden opgezocht. Dit maakt het voor de raad eenvoudiger om haar controlerende taak zinvol uit te voeren.
Rapportage Informatiebeveiliging en Privacy Stand van zaken sinds het Rekenkamerrapport
6