Bijlage 2. Eindrapport informatieveiligheid in Ooststellingwerf: Tussen ambitie en uitvoering

Informatieveiligheid in Ooststellingwerf: tussen ambitie en uitvoering Rekenkameronderzoek naar beleid, uitvoering en bestuurlijke grip op digitale veiligheid

3.2

Inhoudsopgave

Ooststellingwerf ....................................................................... 11

3.2.1

BIO....................................................................................... 11

Bestuurlijke nota .........................................................................................

3.2.2

Incidenten(afhandeling) ....................................................... 12

Samenvatting .............................................................................................. 1

3.2.3

PDCA-cyclus ....................................................................... 13

Conclusies en aanbevelingen ..................................................................... 3

3.2.4

Bestuur & organisatie .......................................................... 13

Bestuurlijke reactie ...................................................................................... 6

3.2.5

Weerbaarheid ...................................................................... 14

Nawoord ...................................................................................................... 7

3.2.6

Crisisorganisatie .................................................................. 15

4.

Rol van de Raad................................................................................ 16

Nota van bevindingen .................................................................................

4.1

Informatievoorziening .............................................................. 16

1.

4.2

Perspectief raadsleden in Ooststellingwerf ............................. 16

2.

3.

Inleiding ............................................................................................... 1 1.1

Aanleiding .................................................................................. 1

1.2

Doel- en vraagstelling ................................................................ 1

5.1

Beantwoording onderzoeksvragen .......................................... 18

1.3

Normenkader ............................................................................. 2

5.2

Toetsing aan het normenkader ................................................ 21

1.4

Werkwijze................................................................................... 3

5.2.1

Normen ten aanzien van het beleid..................................... 21

1.5

Leeswijzer .................................................................................. 3

5.2.2

Normen ten aanzien van digitale veiligheid in de praktijk ... 21

Speelveld digitale veiligheid ................................................................ 4

5.2.3

Normen ten aanzien van de organisatiecultuur ................... 22

5.

Beantwoording onderzoeksvragen - toetsing aan het normenkader 18

2.1

Belangrijke elementen digitale veiligheid................................... 4

2.2

Wetten & regels ......................................................................... 5

Bijlage 1- Geïnterviewde personen ........................................................... 23

2.3

Bestuur & organisatie ................................................................ 6

Bijlage 2 - Documentatie ........................................................................... 24

2.4

Weerbaarheid ............................................................................ 7

Bijlage 3 - Lijst met afkortingen ................................................................. 26

Beleid en uitvoering ............................................................................. 8 3.1

OWO-samenwerking ................................................................. 8

Bestuurlijke nota

0

Samenvatting

gemeenten vallen. Er is nog geen volledig overzicht van wie waarvoor verantwoordelijk is, maar hier wordt aan gewerkt.

Gemeenten zijn steeds afhankelijker geworden van digitalisering; elk gemeentelijk proces kent wel een digitaal component. Daarom neemt ook het belang van informatieveiligheid toe. De Rijksoverheid en Europa dringen met Richtlijnen en wetgeving aan op digitaal veilige gemeenten. De Europese ‘Network and Information Security-directive’ (NIS2 richtlijn) is bedoeld om de cyberbeveiliging en de weerbaarheid van ‘essentiële diensten’, waaronder lokale overheden, in de EU-lidstaten te verbeteren. Op dit moment wordt de richtlijn naar Nederlandse wetgeving vertaald. De bepalingen worden opgenomen in de Cyberbeveiligingswet. Dit houdt in dat digitale veiligheid een plicht wordt voor gemeenten. Vanwege het toegenomen belang van digitale veiligheid en de aanvullende verplichtingen voor gemeenten, hebben de rekenkamers van de gemeenten Opsterland, Weststellingwerf en Ooststellingwerf hier onderzoek naar gedaan. Dit onderzoek is uitgevoerd van oktober 2024 tot januari 2025.

Ooststellingwerf heeft een eigen strategisch informatiebeveiligingsbeleid dat in november 2023 is vastgesteld. Dit beleid is gebaseerd op de BIOnormen en richt zich op het verhogen van de informatieveiligheid en het verbeteren van de organisatie. De gemeente heeft een GAP-analyse uitgevoerd om te bepalen welke maatregelen nog nodig zijn om aan de BIO2 te voldoen. De uitvoering van deze maatregelen gebeurt stapsgewijs en wordt jaarlijks geëvalueerd.

Het doel van het onderzoek is om in beeld te brengen of de informatiebeveiliging adequaat is georganiseerd en geborgd bij de OWOgemeenten en in hoeverre de gemeenteraden in positie zijn om hun taken uit te voeren. De volgende vraag staat centraal in dit onderzoek: Is de informatiebeveiliging van de OWO-gemeenten adequaat georganiseerd en geborgd?

De gemeente gebruikt de PDCA-cyclus (Plan-Do-Check-Act) om continu te verbeteren. De CISO en FG coördineren deze cyclus en geven adviezen aan teamleiders op basis van audits en controles. Er worden ook technische en menselijke pentesten uitgevoerd, zoals phishingtests en mystery guests. De opvolging van de resultaten is echter niet altijd goed vastgelegd.

Beleid en uitvoering in Ooststellingwerf De gemeente Ooststellingwerf werkt op het gebied van ICT en informatiebeveiliging samen met Weststellingwerf en Opsterland in het samenwerkingsverband OWO. Binnen deze samenwerking is Team ICT verantwoordelijk voor de uitvoering van technische beveiligingsmaatregelen, zoals firewalls, monitoring, back-ups en het beheer van applicaties. Grote applicaties worden centraal beheerd, terwijl kleinere applicaties onder de verantwoordelijkheid van de afzonderlijke

Binnen de organisatie zijn de rollen en verantwoordelijkheden verdeeld over het college van B&W, de directie, het lijnmanagement en de teamleiders. De CISO en FG vervullen een dubbele rol. Op het gebied van bewustwording worden er verschillende activiteiten georganiseerd, zoals wekelijkse kennisvragen, informatie op intranet en presentaties. Deelname is echter niet verplicht en er is geen vaste planning. Nieuwe medewerkers krijgen bij hun start uitleg over informatieveiligheid en moeten een VOG overleggen. Voor specifieke functies zijn er nauwelijks gerichte trainingen.

De gemeente voert jaarlijks een ENSIA-audit uit en stelt een jaarrapport op over informatieveiligheid en privacy. Hierin worden ook de resultaten van zelfevaluaties en risicoanalyses besproken. In 2023 zijn er elf datalekken gemeld, vooral veroorzaakt door verkeerd geadresseerde emails. De Functionaris Gegevensbescherming (FG) houdt een register bij van deze incidenten en is het aanspreekpunt voor de Autoriteit Persoonsgegevens.

1

 Rol van de gemeenteraad De gemeenteraad van Ooststellingwerf ontvangt rapportages over informatieveiligheid, zoals de ENSIA-audit en het jaarrapport van de CISO en FG. In 2023 is er een themabijeenkomst georganiseerd over digitale veiligheid. Toch blijkt uit gesprekken dat raadsleden weinig vragen stellen over dit onderwerp en dat het thema weinig prioriteit krijgt. Sommige raadsleden hebben wel kennis van digitale veiligheid, maar anderen vinden het onderwerp te technisch en vertrouwen op collega’s. De raad geeft aan behoefte te hebben aan betere informatie en ondersteuning om haar controlerende en kaderstellende rol goed te kunnen vervullen.

Rol van de raad: De gemeenteraad krijgt rapportages, maar stelt weinig vragen. Veel raadsleden vinden het onderwerp te technisch en geven aan onvoldoende kennis te hebben.

Belangrijkste bevindingen  Beleid: Ooststellingwerf heeft een strategisch informatiebeveiligingsbeleid dat voldoet aan de BIO-normen, maar is nog niet volledig voorbereid op de nieuwe BIO2-standaarden.  Uitvoering: Team ICT voert technische taken uit zoals beveiliging van systemen, pentesten en back-ups. Er is nog geen duidelijke verdeling van verantwoordelijkheden bij incidenten.  Incidenten: Er zijn procedures voor het melden van datalekken. In 2023 waren er 11 datalekken, vooral veroorzaakt door verkeerd geadresseerde e-mails.  PDCA-cyclus: De gemeente werkt met een jaarlijkse cyclus van plannen, uitvoeren, controleren en verbeteren. Resultaten worden gedeeld met de gemeenteraad.  Bewustwording: Nieuwe medewerkers krijgen uitleg over informatieveiligheid. Er zijn wekelijkse kennisvragen en presentaties, maar deelname is niet verplicht en wordt niet goed gemonitord.  Crisisorganisatie: Er is een crisisteam, maar er wordt weinig geoefend. De laatste oefening in 2024 verliep chaotisch.

2

Conclusies en aanbevelingen Hieronder presenteren wij de conclusies en aanbevelingen van dit onderzoek in de gemeente Ooststellingwerf.

Conclusies De gemeente Ooststellingwerf is verantwoordelijk voor het informatiebeveiligingsbeleid, maar de uitvoering daarvan vindt sinds 2012 voor een belangrijk deel plaats in OWO verband. Deze samenwerking levert belangrijke schaalvoordelen op, maar de taakverdeling tussen het samenwerkingsverband en de gemeente Ooststellingwerf is niet op alle onderdelen duidelijk. Zo ontbreekt de structurele afstemming tussen de CISO’s van de drie OWO gemeenten en het samenwerkingsverband. Ook hebben de drie OWO gemeenten los van elkaar trainings- en bewustwordingsactiviteiten ingekocht en uitgevoerd. Dit komt de effectiviteit van de samenwerking niet ten goede. Direct na afloop van dit onderzoek zijn plannen voor uitbreiding van de samenwerking gepresenteerd om de doelmatigheid en doeltreffendheid van beleid en uitvoering te vergroten. In Ooststellingwerf is het strategisch informatiebeveiligingsbeleid vastgesteld door de gemeenteraad. Dit beleid sluit aan op de gangbare normen voor de gemeentelijke overheid. Zo wordt de Baseline Informatieveiligheid Overheid (BIO) als uitgangspunt van het beleid genomen. Ooststellingwerf voldoet nog niet helemaal aan deze norm, maar dit is wel een belangrijke doelstelling. De gemeente heeft het afgelopen jaar de ENSIA verklaring gekregen.

Dit betekent dat een externe auditor heeft vastgesteld dat de gemeente voldoet aan de veiligheidseisen van stelselhouders bij de Rijksoverheid voor het gebruik van hun applicaties. Hier voldoet Ooststellingwerf volledig aan de gestelde norm.

Uit het onderzoek komt ook naar voren dat de medewerkers van de gemeente Ooststellingwerf het belang van digitale veiligheid onderkennen. Het bewustzijn hiervoor is toegenomen. Maar ook op dit vlak is verbetering mogelijk. Op dit moment is de gemeente Ooststellingwerf zelf verantwoordelijk voor de digitale weerbaarheid van de eigen medewerkers door middel van trainings- en bewustwordingsactiviteiten. Er worden incidenteel wel trainingen aangeboden, maar deelname is vrijblijvend. Een gestructureerde aanpak van training en opleiding, voor zowel nieuwe als zittende medewerkers zal de digitale veiligheid in de gemeente versterken. Als de drie OWO gemeenten dit gezamenlijk oppakken, zijn ook hier schaalvoordelen te halen. In het beleid wordt risicomanagement genoemd als uitgangspunt voor sturing op digitale veiligheid door het gemeentebestuur. Maar in de praktijk stuurt het college van b. en w. niet op veiligheidsrisico’s. Ook de gemeenteraad stuurt onvoldoende op digitale veiligheid. De gemeenteraad wordt via de P&C cyclus op hoofdlijnen op de hoogte gebracht van ontwikkelingen op dit gebied, maar wordt door het college van b. en w. onvoldoende in stelling gebracht om de controlerende en kaderstellende rol in te vullen. Maar de raad kan zichzelf ook actiever opstellen; de afgelopen jaren heeft de raad van Ooststellingwerf geen vraag gesteld over dit onderwerp.

Een laatste conclusie betreft de crisisorganisatie. Als er, ondanks alle preventieve maatregelen die de gemeente Ooststellingwerf (individueel of in OWO samenwerkingsverband) genomen heeft, toch een digitale verstoring plaatsvindt, moet er snel gehandeld worden om de schade te beperken. Bij majeure verstoringen wordt dan een crisisorganisatie ingericht. Dat gebeurt ook in Ooststellingwerf. Er is een crisisprotocol en een crisisteam, maar er wordt niet structureel geoefend.

3

Aanbevelingen Beleid en Uitvoering: 1. Intensiveer de samenwerking in OWO verband en breid deze uit door niet alleen de uitvoering gezamenlijk op te pakken, maar ook op korte termijn gezamenlijk beleid te formuleren. Maak hiermee een einde aan onduidelijkheid in taakverdeling tussen de OWO samenwerking en de gemeente Ooststellingwerf en draag zorg voor een duidelijke aansturing. 2. Vertaal de uitgevoerde GAP-analyse structureel naar een concreet verbeterplan met meetbare mijlpalen, versnel de implementatie van de BIO2-norm en zorg voor een integrale aanpak voor informatieveiligheid om het volwassenheidsniveau te verhogen. De gemeente Ooststellingwerf heeft stappen gezet in de implementatie van de Baseline Informatiebeveiliging Overheid (BIO). Maar de gemeente voldoet niet op alle onderdelen aan de BIO. Dat betekent dat de gemeente kwetsbaar blijft en digitale veiligheidsrisico’s loopt. Een extra inspanning is nodig om volledig aan de BIO te voldoen. Om aan de verplichtingen van de Cyberbeveiligingswet te voldoen moet de gemeente doorgroeien naar volwassenheidsniveau 4 (voorspelbaar en geoptimaliseerd). Dit niveau kan worden bereikt door een systematische monitoring van beveiligingsmaatregelen en het verbeteren van de interne evaluatieprocessen. Incidenten(afhandeling): 3. Verhoog de aandacht voor risicobeheersing en zorg voor een duidelijke opvolging van incidenten.

Hoewel er procedures zijn voor het melden van datalekken, is de risicobeheersing in processen waarin veel persoonsgegevens worden verwerkt nog niet optimaal.

Een betere opvolging van incidenten helpt om herhaling te voorkomen en de algehele veiligheid te verbeteren. PDCA-cyclus: 4. Versterk de PDCA-cyclus door de opvolging van audits en adviezen te verbeteren en te documenteren. Op het terrein van digitale veiligheid wordt over het algemeen planmatig gewerkt, maar de laatste twee fasen van de PDCA cyclus moeten beter worden ingevuld. Audits en incidenten moeten vertaald worden in verbeterplannen die vervolgens worden uitgevoerd. Weerbaarheid: 5. Maak bewustwordingsactiviteiten verplicht voor medewerkers, bestuurders en raadsleden en zorg voor een gestructureerde aanpak voor opleiding en training. Vrijblijvende activiteiten kunnen leiden tot lage deelname en onvoldoende kennis en vaardigheden ten aanzien van digitale veiligheid. Verplichte en periodieke trainingen zorgen voor een structureel hoger kennisniveau en betere naleving van veiligheidsprotocollen. Crisisorganisatie: 6. Organiseer periodieke crisisoefeningen en borg de effectiviteit ervan binnen een PDCA-cyclus. Hierbij is het van belang de betrokken rollen en verantwoordelijkheden helder vast te leggen en te evalueren. Ontwikkel een duidelijk crisisprotocol en oefen periodiek met crisissituaties, ook in OWO-samenwerkingsverband. Zonder een duidelijk crisisprotocol en regelmatige oefeningen is de gemeente niet goed voorbereid op daadwerkelijke crisissituaties.

Periodieke oefeningen helpen om de respons te verbeteren en de effectiviteit van het crisismanagement te verhogen.

4

Rol van de Gemeenteraad: 7. Informeer de gemeenteraad zodanig dat zij haar controlerende en kaderstellende rol op het gebied van digitale veiligheid kan vervullen. Geef de raad periodiek inzicht in de voortgang van het digitaal veiligheidsbeleid. Hierbij dient minimaal aandacht besteed te worden aan: ● de mate waarin de gemeente voldoet aan de BIO norm; ● ontwikkeling in het volwassenheidsniveau; ● risicomanagement en crisisbeheersing.

5

Bestuurlijke reactie

gemeente ,

Contactpersoon:

Telefoonnummer: . Ee Zaaknummer: Documentnummer:

ooststellingwerf

Rekenkamercommissie Ooststellingwerf t.a.v. mevrouw H. Vervoort

Onderwerp: Bestuurlijke reactie rapport onderzoek informatieveiligheid

Oosterwolde, 3 juni 2025 Beste mevrouw Vervoort,

Het rapport van uw rekenkamercommissie over het onderzoek naar informatieveiligheid in de gemeente Ooststellingwerf hebben wij met belangstelling gelezen. Hierbij geven we graag onze reactie op het onderzoek. Algemene reactie Binnen de gemeenten maken we steeds meer en steeds vaker gebruik van geautomatiseerde systemen.

Ook is er sprake van toenemende (digitale) informatie-uitwisseling tussen overheidsorganisaties onderling

en met burgers en bedrijven door ontwikkelingen zoals internet en telewerken. We moeten hierbij rekening houden met de privacyregels. Burgers, bedrijven, instellingen moeten de overheid kunnen vertrouwen en hebben er recht op te weten wie welke gegevens verzamelt en waarvoor deze gebruikt worden. Het is daarom van groot belang dat gegevens alleen onder strikte voorwaarden gebruikt worden en goed beveiligd

zijn tegen onbevoegd gebruik. De gemeente Ooststellingwerf onderkent het voldoen aan de eisen van informatiebeveiliging en privacy.

Inhoudelijke reactie Hieronderleest u een puntsgewijze opsomming van uw aanbevelingen aan de gemeenteraad en onze

reactie hierop

Algemeen: Onafhankelijke positie CISO/FG In uw rapport stelt u dat de CISO en FG nog niet volledig in hun onafhankelijke positie zijn gezet. Hier

kunnen wij ons niet in vinden. De gecombineerde rol van CISO/FG binnen de gemeente Ooststellingwerf is organisatorisch belegd, volledig onafhankelijk buiten de lijn. De FG ontvangt geen instructies, adviseert,

signaleert en rapporteert gevraagd en ongevraagd zoals ook in het Reglement voor de FG is opgenomen en als zodanig is vastgesteld. Er is geen sprake van belangenverstrengeling tussen de FG-taken en die van de

rol van CISO. In de rol van CISO wordt niet het doel en de middelen van de gegevensverwerking bepaald. Vanuit die onafhankelijke positie beschikt de CISO/FG derhalve niet over eigen budget, dat is ook niet nodig. Het aanwenden van budget voor het treffen van beveiligingsmaatregelen is een verantwoordelijkheid van directie en lijnmanagement. De CISO/FG houdt onafhankelijk toezicht of de implementatie van de maatregelen in voldoende mate is geborgd, waaronder het aanwenden van budget voor het inzetten van instrumenten om het informatiebeveiligings- en privacy bewustzijn binnen de organisatie op peil te houden.

Wanneerdirectie en lijnmanagementniet zichtbaar voldoen aan het inzetten van instrumenten (en daarvoor geen budget beschikbaar stellen) rapporteert de CISO vanuit zijn Postbus 38, 8430 AA Oosterwolde Bezoekadres ‘tOost11 Telefoon 14 0516 E-mail gemeente@ooststellingwerf.nl Internet www.ooststellingwerf.nl - Wij zijn Fair Trade

onafhankelijke rol aan directie dat aan deze maatregel niet wordt voldaan. Wanneer de CISO zelf zou

beschikken over een budget om aan te wenden voor dit doel dan is de CISO op dit punt de beheersmaatregel van de organisatie, hij draagt dan immers direct zorg voor implementatie van de norm,

daar waar de CISO juist toezicht houdt of genoemde maatregel in voldoende mate binnen de organisatie is geborgd. Wanneer de CISO zou beschikken over budget en dit budget niet voor dit doel zou inzetten, dan

wordt daarmee niet aan deze maatregel voldaan en zou de CISO zichzelf tot de orde moeten roepen (slager

keurt daarmee zijn eigen vlees).

In artikel 38, Lid 6 van de AVG is opgenomen dat de functionaris voor gegevensbescherming andere taken

en plichten kan vervullen en dat de verwerkingsverantwoordelijke ervoor zorgt dat deze taken of plichten niet tot een belangenconflict leiden. Deze splitsing in de inhoudelijk rol van CISO (organisatorisch of technisch uitvoerend) wordt echter niet als zodanig in de berichtgeving op de website van de AP gemaakt. De wijze waarop de gemeente hieraan invulling heeft gegeven voldoet volledig aan de AVG.

Beleid en Uitvoering: Aanbeveling 1. Intensiveer de samenwerking in OWO verband en breid deze uit door niet alleen de uitvoering gezamenlijk op te pakken, maar ook op korte termijn gezamenlijk beleid te formuleren.

Op 9 december 2024 is op basis van een afwegingskader door de OWO-directie besloten om de

beleidsmatige kant van informatiebeveiliging gezamenlijk op te pakken. Daarmee volgen wij deze

aanbeveling al op.

Aanbeveling 2. Vertaal de uitgevoerde GAP-analyse structureel naar een concreet verbeterplan met

meetbare mijlpalen, versnel de implementatie van de BIO2-norm en zorg voor een integrale aanpak voor informatieveiligheid om het volwassenheidsniveau te verhogen.

In de OWO-samenwerking wordt inmiddels gewerkt aan een projectmatige (meerjaren-)aanpak waarin een

keuze is gemaakt de BIO2 risicogericht te implementeren. Het volwassenheidsniveau voor

informatiebeveiliging wat hierbij wordt nagestreefd is minimaal niveau 3.

De verwachting is dat de projectgroep ongeveer twee jaar nodig heeft om de BIO2 voor de bepaalde scope te

implementeren. Naar verwachting is het project rond 1 juli 2027 afgerond om daarmee aan te sluiten op het afleggen van bestuurlijke verantwoording in het kader van ENSIA. Incidenten(afhandeling): Aanbeveling 3. Verhoog de aandacht voor risicobeheersing en zorg voor een duidelijke opvolging van incidenten. Er is reeds voldoende aandacht voorrisicobeheersing en zorg voor duidelijke opvolging van

beveiligingsincidenten. De wijze waarop, is duidelijk verwerkt in de procedure. In de situatie van een

beveiligingsincident, waarbij persoonsgegevens betrokken zijn, is er sprake van een datalek. Uit het rapport

onder 3.2.2. lijkt het alsof wij hebben verzuimd deze datalekken te melden aan de AP, echter indien er geen gevoelige of bijzondere persoonsgegevenszijn gelekt en er geen ernstige nadelige gevolgen van de persoonlijke levenssfeer van betrokkenen zijn, is een melding aan de AP niet verplicht, maaris registratie van het datalek en terugkoppeling aan de verantwoordelijken voldoende.

PDCA-cyclus: Aanbeveling 4. Versterk de PDCA-cyclus door de opvolging van audits en adviezen te verbeteren en te

documenteren.

Deze aanbeveling kunnen wij niet plaatsen, omdat wij dat ons inziens al doen. In de rapportage aan de

gemeenteraad staat een overzicht van ondernomen acties om tot het gewenste niveau van

informatiebeveiliging te komen en staan de overige actiepunten in een verbeterplan beschreven. De

opvolging van de audits op informatieveiligheid en privacy worden gemonitord en gecoördineerd door de CISO en FG. De gemeente voldoetzichtbaar aan alle normen binnen de ENSIA-audit. Aanbevelingen, niet

dwingend van aard, worden niet verwerkt in een verbeterplan maar worden teruggekoppeld aan de verantwoordelijken om na te gaan of er eventueel quick wins mogelijk zijn. De gemeente hanteert hierin een risicogerichte aanpak. De PDCA-cyclus is daarmee voldoende geborgd.

2/3

Weerbaarheid:

Aanbeveling 5. Maak bewustwordingsactiviteiten verplicht voor medewerkers, bestuurders en raadsleden en zorg voor een gestructureerde aanpak voor opleiding en training.

Alle nieuwe medewerkers en contractanten worden conform de BIO binnen 3 maanden na indiensttreding geïnstrueerd over informatiebeveiliging en privacy via de onboardingsapp als onderdeel van het

inwerkprogramma. Door de directie is in het verleden besloten de kwaliteitsleercirkel informatieveiligheid toe te passen en jaarlijks instrumenten voor zittend personeel in te zetten in het kader van bewustwording. Dit doet Ooststellingwerf ook. Dit heeft echter geen verplicht karakter, het volgen van medewerkers past niet

binnen de cultuur van de gemeente Ooststellingwerf. In de praktijk is ook gebleken dat deelname aan de verschillende bewustwordingsactiviteiten hoog is. Het volgen en monitoren van deelname door

medewerkers, bestuurders en raadsleden is privacygevoelig. We zullen HRM en de OR betrekken om te onderzoeken of het gewenst is aan bewustwordingsactiviteiten een verplicht karakter mee te geven en van

daaruit te komen tot een gestructureerde aanpak. Crisisorganisatie:

Aanbeveling 6. Organiseer periodieke crisisoefeningen en borg de effectiviteit ervan binnen een PDCA-

cyclus.

De gemeente Ooststellingwerf onderschrijft het belang van het periodiek oefenen met crisissituaties. In de

OWO-samenwerking ligt het voornemen de rollen en verantwoordelijkheden helder vast te leggen in een bedrijfscontinuïteitsplan en aan te sluiten op de bestaande crisisorganisatie.

Rol van de Gemeenteraad: Aanbeveling 7. Informeer de gemeenteraad zodanig dat zij haar controlerende en kaderstellende rol op het gebied van digitale veiligheid kan vervullen.

Over de voortgang van het digitaal veiligheidsbeleid wordt de raad geïnformeerd in de paragraaf

Bedrijfsvoering en in een separate rapportage informatieveiligheid en privacy. De mate waarin de gemeente voldoet aan de BIO norm maakt hiervan op hoofdlijnen onderdeel uit. De gemeente Ooststellingwerf zal bezien op welke wijze hierin verbeteringen kunnen worden doorgevoerd. We gaan in gesprek met de raad

over wat nodig is om de controlerende en kader stellende rol op dit gebied te vervullen en daarbij de raad in zijn kracht te zetten.

ge

#

f

Met vriendelijke groet,

het Collegevanburgemeester en wethouders

LA

ZÁ /

Ci /

E.H.C. van derLaan

gemeentesegfetaris / zij

L Bijläge(n):

4

Mandaatregeling:

3/3

Nawoord De Rekenkamer bedankt het college voor de uitgebreide bestuurlijke reactie en de daarin opgenomen expliciete onderkenning van het belang van het voldoen aan de eisen van informatiebeveiliging en privacy. We zijn blij te lezen dat een aantal van de aanbevelingen die we doen, al in meer of mindere mate uitvoering krijgen in de praktijk of dat er stappen genomen worden om te onderzoeken wat er met de aanbevelingen gedaan kan worden. Voor twee van de aanbevelingen die we geven, willen we naar aanleiding van de bestuurlijke reactie nogmaals het belang benadrukken en de raad sterk adviseren deze aanbevelingen wel over te nemen. 



Aanbeveling 3: In de bestuurlijke reactie schrijft het college dat er al voldoende aandacht is voor risicobeheersing en het opvolgen van beveiligingsincidenten. Dit wordt vervolgens gekoppeld aan het melden van datalekken waarbij wordt aangegeven dat het rekenkamerrapport zegt dat de gemeente daar verzuimd heeft. Dit is niet het geval en dat hebben we ook in de memorie van antwoord op het ambtelijk wederhoor teruggekoppeld - in het rapport geven we aan dat niet alle datalekken gemeld hoeven te worden bij de AP. Dit is in lijn met wat het college aangeeft. Maar, risicobeheersing gaat immers verder dan alleen het melden van datalekken indien dat noodzakelijk is. Deze aanbeveling komt voort uit de bevinding dat de risicobeheersing in processen waar veel persoonsgegevens verwerkt worden geoptimaliseerd kan worden. Gezien het belang van de bescherming van persoonsgegevens en de mogelijkheden tot optimalisatie van die processen die er binnen de gemeente zijn, blijft dit ons inziens een belangrijke aanbeveling waarvan we de raad adviseren deze over te nemen. Aanbeveling 4: In de bestuurlijke reactie schrijft het college deze aanbeveling niet te kunnen plaatsen omdat ze audits en adviezen al opvolgen en documenteren.

In ons onderzoek komt naar voren dat er inderdaad over het algemeen planmatig wordt gewerkt binnen de gemeente, zoals we in de toelichting op de aanbeveling ook schrijven. Het is heel goed dat de gemeente al grotendeels op deze manier werkt. In het onderzoek hebben we echter ook aanknopingspunten voor optimalisatie gevonden. Die optimalisatie ligt hem voornamelijk in het goed documenteren en vervolgens structureel opvolgen van de (uitvoering van) de verbeterplannen. Het college geeft in het bestuurlijk wederhoor aan dat aanbevelingen (uit de audits) die niet dwingend van aard zijn, worden teruggekoppeld aan de verantwoordelijken en niet worden vastgelegd. Dat is wat ons betreft juist een voorbeeld waarvan we zeggen: leg het wel vast, zodat ook deze aanbevelingen in beeld blijven en opvolging gewaarborgd is. Als dat gedaan wordt dan is de invulling van de PDCA-cyclus nog steviger dan deze nu is.

Naar aanleiding van de toelichting van het college op de positie van de CISO en de FG willen we extra toelichten waarom de dubbelrol van de CISO en FG ons inziens problematisch is. De dubbelrol brengt de onafhankelijkheid in het geding, omdat het kan resulteren in een FG die zijn eigen werk moet controleren, omdat dezelfde functionaris ook de CISO-functie heeft. Een CISO ontwikkelt beleid en geeft advies en de FG moet vervolgens dat beleid controleren. In hoeverre is die controle goed mogelijk als je zelf ook de ontwikkelaar of adviseur kunt zijn geweest? Daarnaast kan het belangenverstrengeling veroorzaken wanneer beveiligingsmaatregelen botsen met privacybescherming. Als laatste moet de FG kunnen opereren zonder instructies te ontvangen over de uitvoering van de eigen taken. Wanneer de FG en CISO dezelfde persoon zijn, kan dit leiden tot een situatie waarin de FG instructies moet opvolgen die in strijd zijn met de vereiste onafhankelijkheid. De Autoriteit Persoonsgegevens draagt ook deze onwenselijkheid van het combineren van CISO en FG rollen uit1. 1

https://www.binnenlandsbestuur.nl/digitaal/brabants-privacytoezicht-gebeurt-vaak-met-een-dubbele-pet

7

Nota van bevindingen

1. Inleiding 1.1

Aanleiding

Gemeenten zijn steeds afhankelijker geworden van digitalisering; elk gemeentelijk proces kent wel een digitale component. Daarom neemt ook het belang van informatieveiligheid toe. Dit belang wordt onderkend door de VNG die met en voor haar leden de Agenda Digitale Veiligheid heeft opgesteld. In deze agenda wordt gepleit voor meer bestuurlijke aandacht voor dit thema. Deze aandacht behelst niet alleen die van de burgemeester of het college van b. en w. , maar ook van de gemeenteraad. De VNG adviseert de colleges dan ook om periodiek het gesprek met de raad aan te gaan over digitale veiligheid.2 Ook de Rijksoverheid en Europa dringen met Richtlijnen en wetgeving aan op digitaal veilige gemeenten. De Europese ‘Network and Information Security-directive’ ofwel de NIS2 richtlijn is bedoeld om de cyberbeveiliging en de weerbaarheid van ‘essentiële diensten’, waaronder lokale overheden, in de EU lidstaten te verbeteren. Op dit moment wordt de richtlijn naar Nederlandse wetgeving vertaald. De bepalingen worden opgenomen in de Cyberbeveiligingswet. Dit houdt in dat digitale veiligheid een plicht wordt voor gemeenten; de vrijblijvendheid gaat er vanaf. De Cyberbeveiligingswet treedt naar verwachting in oktober 2025 in werking. Het gemeentelijk beleidsdomein van informatieveiligheid is dus, ook in de OWO-gemeenten, volop in beweging.

Gelet op de toegenomen cyberdreigingen en de (op handen zijnde) wettelijke verplichting op het gebied van informatieveiligheid is het van belang dat de gemeenteraad zijn kaderstellende en controlerende rol op dit domein goed kan invullen. De Rekenkamer van de OWO-gemeenten (Ooststellingwerf, Weststellingwerf en Opsterland) heeft daarom een onderzoek uitgevoerd naar de informatieveiligheid bij deze gemeenten.

1.2

Doel- en vraagstelling

Het doel van het onderzoek is het in beeld brengen of de informatiebeveiliging adequaat is georganiseerd en geborgd bij de OWO-gemeenten en in hoeverre de gemeenteraden in hun positie zijn om hun taken uit te voeren. De centrale vraag van dit onderzoek luidt als volgt: Is de informatiebeveiliging van de OWO-gemeenten adequaat georganiseerd en geborgd? Deze centrale vraag is opgesplitst in de volgende deelvragen: 1. Wat is het beleid op het gebied van informatieveiligheid; voldoet dit aan actuele standaarden (als de BIO en ENSIA) en zijn de gemeenten voorbereid op de BIO2 en ENSIA? 2. Hoe wordt het Informatieveiligheidsbeleid uitgevoerd op bestuurlijk, organisatorisch, technisch, proces- en medewerkersniveau? Worden hierbij pentesten ingezet, zo ja, welke? 3. Zijn gegevens voldoende beschermd tegen toegang door onbevoegden? In hoeverre wordt getoetst of de organisatie ‘in control’ is op het gebied van informatiebeveiliging en welke instrumenten worden hierbij gebruikt? 4. Is de continuïteit van de gemeentelijke dienstverlening gewaarborgd in geval van grootschalige uitval of verstoring van ICT en hoe is dat geregeld? Weet de organisatie hoe te handelen bij een (ernstig) informatiebeveiligingsincident, hoe ziet het incidentmanagementproces eruit en wordt dit in de praktijk geoefend?

2 Digitale veiligheid en privacy | VNG

1

5. 6. 7. 8.

1.3

Hoe wordt omgegaan met risico’s en incidenten op het gebied van informatieveiligheid en in hoeverre toont de organisatie lerend vermogen (PDCA cyclus)? Hoe wordt gezorgd voor bewustwording voor informatiebeveiliging bij medewerkers, bestuur, raad en samenwerkingspartners? Zijn de rollen en taken op het gebied van informatiebeveiliging voor medewerkers en het management duidelijk en hoe wordt er gestuurd in de gemeentelijke organisatie? Hoe is de raad betrokken bij het informatieveiligheidsbeleid en is dit voldoende om de kaderstellende en controlerende rol te kunnen vervullen?

Normenkader

Op basis van bovenstaande vragen is een normenkader uitgewerkt. Onderstaand normenkader, dat normen bevat over het gemeentelijk beleid, de uitvoeringspraktijk en de cultuur is toegepast in dit onderzoek. Normen ten aanzien van het gemeentelijk beleid ● De gemeente heeft BIO- conform informatiebeveiligingsbeleid. ● De algemene uitgangspunten en kaders zijn besproken in en vastgelegd door de gemeenteraad. ● In het beleid wordt o.a. ingegaan op: ● Strategische uitgangspunten ● Risicomanagement ● Governance (waaronder rollen en verantwoordelijkheden) ● De PDCA-cyclus van de gemeente ● In (voortgangs)rapportages wordt ingegaan op informatiebeveiliging. ● In programma’s en projecten wordt expliciet aandacht besteed aan informatiebeveiliging. ● Er is een procedure hoe wordt omgegaan met informatiebeveiligingsincidenten (waaronder cyberaanvallen) en een crisisprotocol. ● De gemeente heeft beleid voor informatiebeveiliging ten aanzien van samenwerkingspartners, gemeenschappelijke regelingen en leveranciers.

Normen ten aanzien van de uitvoeringspraktijk ● In de praktijk wordt gehandeld conform de wijze waarop informatie wordt beveiligd, waaronder in de relevante werkprocessen, de toewijzing van verantwoordelijkheden, de inrichting van informatiesystemen, de autorisaties, de afspraken voor de verwerking van gegevens en de afspraken over het informeren van burgers en het vragen van toestemming. ● De gemeente heeft een leer- en verbetercyclus (PDCA-cyclus). ● De gemeente heeft inzicht in de belangrijkste verbeterplannen en –maatregelen. ● Er wordt in het geval van incidenten, calamiteiten en crisis volgens de vastgelegde procedures gehandeld. ● De vastgelegde controles en rapportages worden in de praktijk uitgevoerd. ● De gemeente test en toetst procedures regelmatig om de effectiviteit en werking te toetsen. ● De gemeente houdt toezicht op de afspraken ten aanzien van informatiebeveiliging met (samenwerkings)partners, regelingen en leveranciers. ● De raad wordt geïnformeerd op een manier die hem in staat stelt te sturen en te controleren.

2

Normen ten aanzien van de organisatiecultuur ● De medewerkers van de gemeente zijn bekend met het gemeentelijk beleid met betrekking tot informatiebeveiliging en worden van aanpassingen op de hoogte gehouden. ● In hun dagelijks functioneren geven de medewerkers er blijk van het gemeentelijk informatiebeveiligingsbeleid na te leven. ● In de relatie met ketenpartners bewaken de medewerkers actief dat deze ketenpartners zich conformeren aan de regels, standaarden en procedures van de gemeente op het gebied van informatiebeveiliging.

1.4

Werkwijze

Voorafgaand aan dit onderzoek heeft de rekenkamer een vooronderzoek gedaan bij de drie gemeenten, waarin gesprekken zijn gevoerd en documentatie is verzameld. Het onderzoek bestond uit verschillende fasen. Het onderzoek is gestart met een startbijeenkomst voor betrokken medewerkers van de drie gemeenten. Vervolgens is een documentstudie uitgevoerd en zijn verdiepende interviews gehouden. Om te onderzoeken hoe in de OWO-gemeenten het beleid in praktijk wordt gebracht, zijn voor elke gemeente bijeenkomsten met een focusgroep en raadsbijeenkomst georganiseerd. Om te toetsen of de onderzoeksbevindingen correct waren, is voor aanvang van het schrijven van het rapport een convergentiesessie uitgevoerd met ambtelijk betrokkenen van de drie OWO-gemeenten. Op basis van de verkregen informatie is onze analyse uitgevoerd en deze rapportage geschreven.

1.5

Leeswijzer

Het rapport begint met een uitleg over de wettelijke- en overige kaders voor het gemeentelijk digitale veiligheidsbeleid. In dit hoofdstuk wordt dieper ingegaan op (veranderingen in) de wet- en regelgeving zoals de NIS2 richtlijn, de Cyberbeveiligingswet, de BIO2 en ENSIA. Vervolgens behandelen wij in hoofdstuk drie de OWO-samenwerking en het beleid en de uitvoering in Ooststellingwerf. Dit hoofdstuk bevat een belangrijk deel van de bevindingen van ons onderzoek. In hoofdstuk vier zetten we de rol van de raad uiteen, door eerst te benoemen welke informatievoorziening zij ontvangen en daarna in te gaan op het perspectief van de raad. De beantwoording van de onderzoeksvragen en de toetsing aan het normenkader is opgenomen in hoofdstuk 5. In de bijlagen treft u ten slotte een overzicht van de functionarissen waarmee in het kader van dit onderzoek is gesproken plus een overzicht van de documenten die zijn geraadpleegd. Ook is hier een overzicht opgenomen van de gebruikte afkortingen.

3

2. Speelveld digitale veiligheid Dit hoofdstuk is een algemene beschrijving van de context en organisatie van digitale veiligheid in gemeentelijke organisaties en de sturing daarop door college en gemeenteraad.

2.1

Belangrijke elementen digitale veiligheid

Digitale veiligheid gaat over veel meer dan bedrijfsvoering. De gemeentelijke dienstverlening is van digitalisering afhankelijk. Bovendien beschikken gemeenten over steeds meer persoonsgegevens van hun inwoners. Deze inwoners mogen van hun gemeente verwachten dat deze gegevens veilig zijn en dus niet op straat komen te liggen. Als dat toch gebeurt, dan schaadt dit het vertrouwen in de gemeentelijke overheid, en Een hack met gevolgen brengt mogelijk zelfs (directe) Fractievoorzitter Jouke Drenth van oppositiepartij Voorwaarts schade toe aan de getroffen Fonkelveen was net thuis van een crisisberaad met het inwoners. presidium. Dit was zijn derde raadsperiode, maar zo zout had hij het nog niet eerder gegeten. De burgemeester vertelde dat Elke gemeente moet hackers hadden ingebroken in de gemeentelijke maatregelen nemen om ervoor te informatiesystemen. Er was vertrouwelijke informatie zorgen dat persoonsgegevens buitgemaakt; persoonsgegevens van inwoners die bij de veilig zijn en de continuïteit van gemeente vanwege de jeugdzorg geregistreerd waren. Het dienstverlening wordt geborgd. ging hierbij niet alleen om namen, adressen en BSN nummers, 100% Veilig bestaat echter niet; maar ook om behandeldossiers van jongeren.

De hackers er is altijd een risico dat er iets eisten 5 Bitcoin losgeld van de gemeente, dan zou de misgaat, bijvoorbeeld dat een gemeente weer toegang krijgen tot de eigen bestanden. Dat hacker inbreekt in een kwam neer op € 450.000,-! Waar moest je als kleine gemeente gemeentelijk informatiesysteem. dat geld vandaan halen? Niet ingaan op deze eis ging Deze dreiging komt niet alleen misschien nog wel meer kosten. De hackers dreigden om de van buiten, ook een slordigheidje buitgemaakte informatie op het dark web te plaatsen en, zo gaf van een van de eigen de burgemeester aan, Fonkelveen zou de hele IT-omgeving medewerkers kan leiden tot opnieuw moeten opbouwen. Dat kon wel een paar miljoen bijvoorbeeld een datalek (zie ook kosten. Het was een duivels dilemma; zakendoen met de voorbeelden uit de fictieve criminelen of een financiële strop die de gemeente wel eens de gemeente Fonkelveen in de kop kon kosten. Binnen twee dagen moest de burgemeester kaders). beslissen. Tot die tijd werd er nog naar een oplossing gezocht. Als de back-up bestanden niet aangetast waren, kon de Daarnaast is (financiële) schade nog beperkt worden. Maar wat zouden de informatiebeveiliging ook vaak in inwoners van hun gemeente vinden als hun het belang van de gemeente zelf, persoonsgegevens op het web gepubliceerd zouden worden? denk bijvoorbeeld aan informatie Drenth had er geen goed gevoel bij.

Digitale veiligheid was over voorbereidingen op altijd een hamerstuk geweest op de raadsagenda, maar na strategische aankopen. deze wake-up call vast niet meer. Dergelijke informatie is niet per se door wetgeving beschermd, echter iedere gemeente realiseert zich dat dergelijke informatie niet moet lekken. In het algemeen leggen gemeenten hun doelstellingen, processen en rolverdeling vast in een beleidsdocument. Hierbij maken veel gemeenten gebruik van het format van de Informatiebeveiligingsdienst (IBD) van de VNG. Dit format gaat ervan uit dat een beleidsplan voor een periode van meestal vier jaar wordt vastgesteld. Op tactisch niveau wordt het beleid uitgewerkt in jaarplannen. Die plannen worden aan de hand van de Plan-Do-Check-Act (PDCA) cyclus gemonitord met als doel om permanente verbetering door te voeren.

4

2.2

Wetten & regels

Bij de uitvoering van het informatieveiligheidsbeleid moeten gemeenten voldoen aan verschillende wetten en regels. De belangrijkste zijn de Europese Network- and Information Security 2 directive (NIS2), de Cyberbeveiligingswet (Cbw), de Algemene Verordening Gegevensbescherming (AVG), de Baseline Informatiebeveiliging Overheid (BIO) en de Eenduidige Normatiek Single Information Audit (ENSIA). De NIS2 richtlijn van de Europese Unie heeft als doel om de informatiebeveiliging van essentiële diensten, waaronder die van gemeenten, in de EU-lidstaten te verbeteren. In de richtlijn is hiertoe onder meer een zorgplicht en een meldplicht opgenomen, en wordt ook het toezicht op informatiebeveiliging geregeld. De NIS2 richtlijn is niet rechtstreeks van toepassing op gemeenten, maar wordt uitgewerkt in de Cyberbeveiligingswet, waar gemeenten wel aan moeten voldoen. Naar verwachting wordt de wet in het derde kwartaal van 2025 ingevoerd. Vanaf het moment dat de wet ingaat, moet de gemeentelijke digitale veiligheid voldoen aan de eisen die in deze wet staan. De invoering van de Cyberbeveiligingswet leidt tot een taakverzwaring en extra kosten voor gemeenten. De VNG heeft in een reactie op deze wet gevraagd om compensatie van het Rijk voor deze kosten.3

IT leverancier vliegt uit de bocht Eind november krijgt raadslid Elke Schrijver van coalitiepartij Fonkelveen Vooruit een telefoontje van een alleenstaande ouder die in haar straat woont. Haar bijstandsuitkering was niet op haar rekening gestort, misschien zou Elke eens navraag kunnen doen of er iets aan de hand was. Schrijver besluit op onderzoek uit te gaan en neemt contact op met de verantwoordelijk wethouder. Het blijkt om een serieus probleem te gaan: geen enkele uitkeringsgerechtigde in Fonkelveen heeft zijn of haar uitkering gekregen en de telefoon van het klantcontactcentrum staat roodgloeiend. Sommige bellers zijn acuut in de problemen gekomen en moeten geld lenen om boodschappen te doen. Sinds jaar en dag neemt de gemeente Fonkelveen het ICT-systeem van de firma Rik de Zand IT Solutions af voor de uitkeringsadministratie. Uit onderzoek van de beheerders van Fonkelveen bleek dat er enkele dagen geleden een nieuwe versie van deze cloudapplicatie draait die een fout betaalbestand genereert. Geen enkele uitkeringen is daarom betaald. Fonkelveen lijkt overvallen door de nieuwe versie en heeft deze, omdat het om een cloudapplicatie gaat, zelf niet getest. De leverancier probeert de fout op te lossen, maar weet nog niet wanneer dat gaat lukken. Ondertussen is het advies om de betaaltape van vorige maand te gebruiken. Maar die is niet accuraat.

De portefeuillehouder weet nog even niet hoe dit op te lossen. Ondertussen stromen de klachten binnen bij het KCC en vraagt Schrijver zich af wat zij haar buurvrouw kan melden.

De maatregelen die de Cyberbeveiligingswet voorschrijft om de informatiebeveiliging te verbeteren, de zorgplicht, zijn grotendeels opgenomen in de BIO2. In de Cyberbeveiligingswet gaat het naast de beveiliging van kantoorautomatisering (KA) ook over de beveiliging van operationele technologie (OT). Deze OT betreft bijvoorbeeld gemeentelijke bruggen en sluizen die op afstand worden bediend, en camera’s in de openbare ruimte. Nieuw met de komst van de Cyberbeveiligingswet is ook dat er naast ad hoc toezicht (achteraf, via rapportage aan de raad en de stelselhouders bij het Rijk) ook proactief toezicht zal worden gehouden op de informatiebeveiliging van gemeenten. De Rijksinspectie Digitale Infrastructuur (RDI) is daarvoor aangewezen als toezichthouder voor de gemeenten en andere overheidsorganisaties.

3 zie VNG-reactie consultatie Cyberbeveiligingswet (NIS2) | VNG voor meer informatie

5

In 2018 is de Algemene Verordening Gegevensbescherming (AVG) in werking getreden. Deze verordening betreft een uitwerking van Europese regelgeving die bedoeld is om de privacy van alle inwoners (beter) te beschermen. De Autoriteit Persoonsgegevens houdt toezicht op de uitvoering van de AVG in Nederland. Wanneer gemeenten de bescherming van persoonsgegevens niet op orde hebben, riskeren zij een boete van de Autoriteit Persoonsgegevens. Het maatschappelijk en financieel belang van een adequaat privacybeleid is groot. Gemeenten hebben echter niet alleen een goed privacybeleid nodig, maar ook een goede uitvoering daarvan. Beiden zijn verplicht op grond van de AVG. Omdat de beveiliging van persoonsgegevens veel raakvlak heeft met de beveiliging van informatie in het algemeen, zijn de verplichtingen die voortvloeien uit de AVG ook meegenomen in dit onderzoek. De BIO is sinds 2019 het verplichte basisnormenkader voor informatiebeveiliging binnen alle overheidslagen (en dus ook gemeenten). De BIO is gebaseerd op de informatiebeveiligingsstandaarden ISO 27001 en ISO 27002 en omvat een minimum aan maatregelen die getroffen moeten worden op het gebied van informatiebeveiliging. Gemeenten baseren hun informatiebeveiligingsbeleid en hun verantwoording aan de gemeenteraad en de toezichthouders vanuit het Rijk in belangrijke mate op deze BIO.

De BIO wordt op dit moment doorontwikkeld naar de BIO2 en wordt wettelijk verplicht onder de Cyberbeveiligingswet. In de BIO2 is mede naar aanleiding van de komst van de Cyberbeveiligingswet de verantwoordelijkheid van het hogere management in de gemeentelijke informatiebeveiliging vastgelegd. Ook het toewijzen van benodigde middelen, het verhogen van veiligheidsbewustzijn en het uitvoeren van controles maken onderdeel uit van de BIO2. ENSIA is ontstaan uit een gezamenlijk initiatief van een aantal departementen en de VNG. Het doel van ENSIA is om tot een effectief en efficiënt ingericht verantwoordingsstelsel voor informatieveiligheid te komen. De ENSIA is een jaarlijkse audit die gebaseerd is op de BIO. Uitgangspunt voor ENSIA is het horizontale verantwoordingsproces waarin het college van b. en w. zich over de informatieveiligheid verantwoordt aan de gemeenteraad. Deze verantwoording vormt de basis voor de verantwoording aan de stelselhouder (bijvoorbeeld het ministerie van BZK of SZW). Er wordt dus jaarlijks één audit uitgevoerd waarvan (een deel van) de resultaten zowel naar de gemeenteraad als de stelselhouder gaan. Net als de BIO, wordt ook de ENSIA op dit moment doorontwikkeld naar een nieuwe versie. Deze moet vooral gebruikersvriendelijker worden, zowel voor de ambtelijke organisatie als het gemeentebestuur.

2.3

Bestuur & organisatie

Informatieveiligheid is van de hele gemeentelijke organisatie. Vaak is in beleidsdocumenten vastgelegd dat het lijnmanagement hier verantwoordelijkheid voor draagt. Managers moeten erop toezien dat richtlijnen bij medewerkers bekend zijn en worden nageleefd. Vanuit wet- en regelgeving is een aantal functies verplicht gesteld. Zo verplicht de AVG gemeenten om een Functionaris Gegevensbescherming (FG) in dienst te hebben en dient de Chief Information Security Officer (CISO) volgens de BIO2 zo gepositioneerd te zijn binnen de organisatie dat hij onafhankelijk van de lijn kan adviseren over informatieveiligheid4.

4

CISO (Chief Information Security Officer): Verantwoordelijk voor het ontwikkelen en implementeren van het informatiebeveiligingsbeleid binnen een organisatie. Houdt toezicht op de beveiliging van informatie en zorgt ervoor dat de organisatie voldoet aan relevante wet- en regelgeving. Heeft kennis van informatiebeveiliging, risicoanalyse en beveiligingstechnieken. FG (Functionaris Gegevensbescherming) of DPO (Data Protection Officer): Houdt toezicht op de naleving van de Algemene Verordening Gegevensbescherming (AVG) binnen een organisatie. Adviseert en rapporteert aan het hoogste managementniveau over privacykwesties. Is verplicht voor overheidsinstanties en organisaties die op grote schaal bijzondere persoonsgegevens verwerken. PO (Privacy Officer): Ontwikkelt en voert het privacybeleid uit binnen een organisatie. Ondersteunt de FG en fungeert als juridisch adviseur op het gebied van privacy. Is niet verplicht zoals de FG, maar speelt een belangrijke rol in het waarborgen van privacy binnen de organisatie.

6

Het college is eindverantwoordelijk voor de informatieveiligheid van de organisatie. Het College stelt beleid vast en ziet erop toe dat onbevoegden zich geen toegang kunnen verschaffen tot gemeentelijke informatiesystemen. Mocht dit toch gebeuren, dan kan het nodig zijn om een crisisorganisatie in te richten. De gemeenteraad is bevoegd de kaders te stellen en het college te controleren. Allereerst wordt van de gemeenteraad verwacht dat hij voldoende middelen beschikbaar stelt, zodat de gemeente aan wet- en regelgeving kan voldoen. In de praktijk blijkt vaak dat raden het lastig vinden om hun controlerende rol goed in te vullen omdat informatieveiligheid als een technisch onderwerp wordt beschouwd. Maar net als bij andere beleidsterreinen is ook hier het de rol van de gemeenteraad om kaders te stellen en te controleren of de gemeente recht- en doelmatig handelt. Zo is het belangrijk dat de raad controleert of de gemeente voldoet aan de BIO. Maar ook over de andere vlakken van het speelveld kan de raad het college bevragen.

2.4

Weerbaarheid

Weerbaarheid is het vierde belangrijke onderdeel van digitale veiligheid. Elke gemeente neemt maatregelen om onbevoegd gebruik van data en informatiesystemen tegen te gaan. Maar 100% veilig bestaat niet; er is altijd een kans dat het mis gaat. Het gaat hierbij niet alleen om het risico op een hack, maar ook onbedoeld verlies van geclassificeerde informatie, of een IT- leverancier van de gemeente die een fout maakt, waardoor de continuïteit van de gemeentelijke dienstverlening in gevaar komt. Bij weerbaarheid gaat het in eerste instantie om preventieve maatregelen die worden genomen om digitale verstoringen te voorkomen. Voorbeelden van deze maatregelen zijn het autorisatiebeleid en de toegang van medewerkers tot de verschillende informatiesystemen. Ook bewustwordingsactiviteiten als (online) opleidingen en pentesten zijn belangrijke preventieve maatregelen om verstoringen te voorkomen. Bij opleidingen gaat het niet alleen over de vraag of er voldoende wordt aangeboden, maar ook over de mate waarin opleidingen, al dan niet verplicht worden gevolgd en de wijze waarop hierop wordt gemonitord en gestuurd. pentesten (penetratietesten) kunnen zowel betrekking hebben op de technische beveiliging van informatiesystemen als op de medewerkers (human factor pentesten).

Voorbeelden van deze laatste categorie zijn ‘phishing mails’ en mystery guests, die proberen om fysiek het gemeentehuis binnen te komen en toegang te krijgen tot informatiesystemen. Weerbaarheid gaat ook over de respons van de gemeente als een digitale verstoring zich voordoet. Reageert de gemeente adequaat? Wordt er tijdig een crisisorganisatie ingericht en worden hier de juiste beslissingen genomen? Met oefeningen en simulaties van digitale ordeverstoringen kan de gemeente inzicht krijgen in de respons van de organisatie op een digitale verstoring. Zeker als gemeenten samenwerken op het gebied van digitalisering en informatieveiligheid is het van belang om periodiek te oefenen met een digitale verstoring, zodat duidelijk wordt of de juiste afspraken zijn gemaakt ten aanzien van mandaten en bevoegdheden.

7

3. Beleid en uitvoering 3.1

OWO-samenwerking

De colleges van b. en w. van de gemeente Ooststellingwerf, Weststellingwerf en Opsterland zijn in 2011 een intergemeentelijke samenwerking aangegaan voor verschillende diensten, waaronder bedrijfsvoering, de OWO-samenwerking. Ter aanvulling is er tussen de drie samenwerkende gemeenten de regeling ‘gezamenlijke verantwoordelijkheid’ opgesteld in 2015 en door de afzonderlijke colleges vastgesteld5. De OWO samenwerking beslaat verschillende onderdelen, waaronder een afdeling die verantwoordelijk is voor de bedrijfsvoering van de drie gemeenten (OWO bedrijfsvoering). OWO bedrijfsvoering bestaat uit verschillende teams. Een van de teams die onderdeel zijn van OWO bedrijfsvoering is Team ICT. De schematische weergave van de OWO-samenwerking biedt een globaal overzicht van de onderlinge verbanden tussen individuele OWO gemeenten en de OWO organisatie. Deze weergave is gebaseerd op de PowerPoint-presentatie van de themabijeenkomst ICT voor raadsleden van de OWO-gemeenten en op informatie verkregen uit interviews. De operationele taken en verantwoordelijkheden met betrekking tot de ICT-informatiebeveiliging liggen bij Team ICT van de afdeling OWO-Bedrijfsvoering. De medewerkers van het team ICT dragen zorg voor de uitvoering van alle beveiligingsmaatregelen die in het Informatiebeveiligingsplan ICT 2020 zijn benoemd.

Team ICT is verantwoordelijk voor de centrale ICT-infrastructuur van de drie OWO gemeenten, waaronder data, applicaties en telefonievoorzieningen. Daarnaast is Team ICT verantwoordelijk voor de operationele activiteiten op gebied van informatieveiligheid, dit omvat bijvoorbeeld tooling, logging, firewalls en monitoring. Het leveranciersmanagement voor de drie gemeenten wordt deels door Team ICT uitgevoerd. Leveranciersmanagement is belegd bij team ICT van OWO-bedrijfsvoering en bij de afdeling Inkoop, de toetsing of leveranciers voldoen aan contractuele eisen is niet duidelijk belegd. Daarnaast is Team ICT ook verantwoordelijk voor de uitvoering van de back-ups en restores. Ook is Team ICT betrokken bij een monitoring- en responsproject van de VNG, daar is verder geen aanvullende informatie over opgevraagd. Alle grotere applicaties staan onder verantwoordelijkheid van Team ICT, kleinere applicaties staan onder verantwoordelijkheid van de individuele OWO-gemeenten zelf. Grote applicaties zijn applicaties die in OWO-verband worden gebruikt, te denken valt aan VTH (Vergunning, Toezicht en Handhaving), I-zaak (archivering), Teams, I-Babs, csam en isam.

5 Deze Regeling Gezamenlijke verantwoordelijkheid is onder de herziende bestuursovereenkomst OWO-samenwerking in 2024 vernieuwd. Deze zijn tijdens de onderzoeksperiode niet ontvangen.

8

Tijdens het onderzoek is gebleken dat iedere applicatie een eigenaar behoort te hebben en hieraan wordt gewerkt, maar dit nog niet bij elke applicatie al het geval is. Er is geen documentatie ontvangen over de precieze verdeling van verantwoordelijkheden rondom applicaties. Medewerkers vertelden in het kader van het onderzoek dat de CISO’s van de individuele gemeenten in samenwerking met Team ICT op dit moment bezig zijn hun applicaties en de bijbehorende taken, rollen en verantwoordelijkheden in kaart te brengen. De OWO-gemeenten hebben een gezamenlijke aanpak voor de levering en het beheer van ICTvoorzieningen. Apparatuur en applicaties worden door Team ICT centraal verstrekt aan de medewerkers van de gemeente. Medewerkers hebben op laptops geen mogelijkheid om zelf applicaties te downloaden. Dat geeft enige mate van controle over de gebruikte software. Voor mobiele telefoons ontbreekt echter een vergelijkbare mate van beleid; zo blijkt uit de focusgroepen dat er geen richtlijnen zijn voor wachtwoordbeheer en het downloaden van applicaties op mobiele werktelefoons, afgezien van de standaard wachtwoordvereisten, en het downloaden van applicaties op mobiele werktelefoons. Het proces van in- en uitdiensttreding op gebied van apparatuur start en eindigt bij voor medewerkers bij de eigen teamleider.

Zo leveren medewerkers hun apparatuur in bij de teamleider in het geval van een uitdiensttreding. Het verdere proces is belegd bij Team ICT. Dit proces omvat bijvoorbeeld het resetten van apparatuur, tijdig afmelden van medewerkers bij systemen en het toekennen van toegang van nieuwe werknemers tot systemen. Team ICT kent de juiste toegangsrechten tot het systeem toe aan de juiste medewerkers van de individuele OWO gemeenten. De informatie over de juiste toegangsrechten per medewerker ontvangt Team ICT van de drie HR afdelingen van de OWO gemeenten zelf. Het HR-beleid is de verantwoordelijkheid van de drie individuele OWO-gemeenten zelf. Uit interviews blijkt dat het beheer op de juiste toegangsrechten tot systemenvolgens Team ICT nog niet sluitend is geregeld binnen de gemeenten. Hier zit een risico dat onbevoegden toegang kunnen krijgen tot gevoelige informatie en systemen. De colleges van b. en w. van de drie individuele gemeenten zijn eindverantwoordelijk voor het informatiebeveiligingsbeleid. De drie OWO-gemeenten hebben daarom tot nu toe eigen strategisch informatieveiligheidsbeleid. Dit beleid is gebaseerd op de ISO 27001- en ISO 27002-standaarden. Uit gesprekken met medewerkers is gebleken dat Team ICT van OWO-bedrijfsvoering niet structureel bij het opstellen van het strategisch informatieveiligheidsbeleid van alle gemeenten betrokken is.

De CISO van de gemeente Weststellingwerf heeft advies gevraagd aan Team ICT over het strategisch informatieveiligheidsbeleid, de CISO van gemeente Ooststellingwerf heeft het strategisch informatieveiligheidsbeleid ter informatie opgestuurd en de CISO van gemeente Opsterland heeft enkel gesprekken gehad met OWO ICT over het strategisch informatieveiligheidsbeleid. De drie gemeenten zijn momenteel met elkaar in gesprek om gezamenlijk informatiebeveiligingsbeleid op te stellen. Ten tijde van de onderzoeksactiviteiten was dit echter nog niet uitgewerkt. Naast het strategisch informatieveiligheidsbeleid van de drie OWO gemeenten zelf zijn door Team ICT de veiligheidsstandaarden van het informatieveiligheidsbeleid aangevuld met richtlijnen die voor alle OWO-gemeenten gelden. Een van de documenten waar veiligheidsstandaarden voor de drie OWO- gemeenten zijn beschreven, is het Informatiebeveiligingsplan ICT 2020. Hiermee wordt nadere invulling gegeven aan het strategisch informatiebeveiligingsbeleid van de OWO-gemeenten. Het informatiebeveiligingsplan ICT 2020 benoemt de beveiligingsobjecten op het gebied van de ICT en de getroffen maatregelen ten behoeve van het gevraagde beveiligingsniveau.

Team ICT heeft daarnaast een werkinstructie opgesteld voor het omgaan met ernstige verstoringen die voor alle drie de OWO-gemeenten geldt en de verschillende directies van de gemeenten hebben hier op kunnen reageren. De werkinstructie ‘procedure ernstige verstoring ICT’ is in 2024 vernieuwd

9

naar aanleiding van de gezamenlijke crisisoefening van de drie OWO gemeenten in april 2024 hebben uitgevoerd. Dit blijkt uit de memo “terugkoppeling OWO colleges bijeenkomst 2 april.” De werkinstructie ernstige verstoring ICT bevat een standaardprocedure die gevolgd moet worden zodat er op toegezien kan worden dat de verstoring met de juiste aandacht en op een gestructureerde wijze wordt behandeld. Een ernstige ICT verstoring wordt in deze werkinstructie beschreven als een incident waarbij meerdere personen niet verder kunnen werken omdat het kritische werkproces niet beschikbaar is of ernstig beïnvloed wordt door het probleem. Het doel van de procedure ernstige verstoringen is het gestructureerd oplossen van het probleem en een juiste prioritering bepalen om de dienstverlening te kunnen herstellen. In de werkinstructie ‘ernstige verstoring ICT’ staat beschreven wie de crisiscoördinatoren zijn, wat een ernstige verstoring is, hoe prioriteiten aan verstoringen worden toebedeeld en een stappenplan om een ernstige ICT verstoring op te lossen. In het stappenplan staat beschreven wat er gedaan moet worden door de verschillende actoren en in welke volgorde. Het proces start met een melding van een verstoring die wordt beoordeeld door een securitymedewerker van Team ICT. Vervolgens beoordeelt de crisiscoördinator of er sprake is van een ernstig of major incident.