Bijlage 2. Eindrapport informatieveiligheid in Ooststellingwerf: Tussen ambitie en uitvoering

Als dit het geval is dan stelt de crisiscoördinator een oplosteam samen en wordt er naar aanleiding van een eerste analyse een oplossingsrichting bepaald. Het oplosteam geeft prioriteit aan de herstelwerkzaamheden. Vervolgens wordt gestart met het herstellen van de dienstverlening en vindt er indien nodig regelmatig contact plaats met de CISO van de desbetreffende gemeente. Als laatste stap wordt onder verantwoordelijkheid van de crisiscoördinator een major incident rapport opgesteld dat naar de CISO’s van de OWO gemeenten wordt gestuurd. De betreffende medewerkers coördineren waar mogelijk de verbetervoorstellen. Oefenen met crisissituaties is cruciaal om adequaat te kunnen handelen in het geval van een crisis. In april 2024 vond een oefening plaats met de colleges en gemeentesecretarissen van de drie gemeenten. Uit gesprekken met medewerkers bleek dat er binnen de OWO-samenwerking redelijk veel afspraken duidelijk zijn door de procedure ernstige verstoringen, maar dat er ook onderdelen zijn waar aanvullende afspraken over gemaakt moeten worden, zoals een gezamenlijk standpunt op ransomware6. De PDCA-cyclus op informatiebeveiliging is voor een groot deel bij de individuele gemeenten zelf belegd. Zo worden jaarlijks audits uitgevoerd volgens de ENSIA systematiek. Hiervoor levert Weststellingwerf voor Ooststellingwerf en Opsterland de gegevens op gebied van ICT aan.

Ooststellingwerf levert de gegevens aan voor BAG en BGT rapportage. Op operationeel gebied worden technische verbeterplannen uitgevoerd door Team ICT van OWO bedrijfsvoering. Uit interviews is gebleken dat niet bij alle acties duidelijk is waar de verantwoordelijkheid ligt op het vervolg. Team ICT wordt daarnaast niet structureel betrokken bij de opstart en uitvoering van risicoanalyses door de individuele gemeenten. Er is geen structureel overleg tussen de CISO’s van de drie gemeenten en Team ICT van OWO bedrijfsvoering. Uit gesprekken met medewerkers blijkt dat Team ICT niet altijd op de hoogte is van informatiebeveiligingsplannen van de gemeenten en dat de effectiviteit van advies en samenwerking daardoor beperkt wordt. Deze medewerkers geven aan dat er wel regelmatig contact is met de CISO van de gemeente Weststellingwerf en enig contact met de CISO van Opsterland. Echter, met de CISO van de gemeente Ooststellingwerf is minder vaak contact. De CISO's hebben onderlinge werkafspraken gemaakt. 6

Informatiebeveiligingsdienst (IBD) De IBD is het Computer Emergency Response Team, of Computer Security Incident Response Team (CERT/CSIRT) voor alle Nederlandse gemeenten, en onderdeel van de Vereniging van Nederlandse Gemeenten.

10

Eén van de werkafspraken is dat de CISO van West als contactpersoon optreedt bij I&A aangelegenheden (waaronder de ICT gerelateerde vragen vanuit ENSIA) en van daaruit doorschakelt naar de CISO's van Oost en Opsterland. De CISO van Oost is contactpersoon voor wat betreft de OWO-onderdelen BVI en Backoffice Sociaal Domein. Uit gesprekken is ook gebleken dat enige tijd terug een CITSO (Chief Information Technical Security Officer) is aangenomen door OWO bedrijfsvoering. Deze CITSO dient als tussenpersoon tussen Team ICT van OWO bedrijfsvoering en de drie CISO’s van de individuele OWO-gemeenten en adviseert op de technische infrastructuur. Ook blijkt uit de interviews dat de CITSO vanuit team ICT het nieuwe gezamenlijke strategische informatieveiligheidsbeleid coördineert en voor de drie OWO-gemeenten technische vraagstukken afstemt.

3.2

Ooststellingwerf

Het strategisch beleid voor informatiebeveiliging en privacy is bij de gemeente Ooststellingwerf vastgelegd in het document ‘Informatiebeveiligingsbeleid Ooststellingwerf’. Deze is vastgesteld op 7 november 2023 door het college van b. en w. In dit strategische informatiebeveiligingsbeleid staan de belangrijkste prioriteiten voor de komende jaren vermeld. Dit zijn het verhogen van informatieveiligheid en verdere professionalisering van de informatiebeveiligingsfunctie in de organisatie. In het document wordt gesteld dat een betrouwbare informatievoorziening noodzakelijk is voor het goed functioneren van de gemeente en is de basis voor het beschermen van rechten van burgers en bedrijven. Dit vereist volgens de gemeente Ooststellingwerf een integrale aanpak, goed opdrachtgeverschap en risicobewustzijn. De gemeente Ooststellingwerf werkt op dit moment aan de vernieuwing van het strategisch informatiebeveiligingsbeleid op basis van het BIO normenkader. Zo is er een GAP analyse uitgevoerd om te bezien welke maatregelen nog uitgevoerd moeten worden in het kader van de BIO. De implementatie van die maatregelen vindt gefaseerd plaats. De volgorde van implementatie wordt in de jaarrapportage beschreven.

Hieronder gaan we nader in op de uitwerking van de aspecten van het strategische informatieveiligheidsbeleid, waarbij we kijken naar de documenten die onder het strategisch beleid hangen. Hierbij zullen we telkens de verbinding maken tussen die documenten en het strategische beleid dat als basis dient.

3.2.1 BIO In het gemeentelijk informatiebeveiligingsbeleid van Ooststellingwerf is de BIO als normenkader opgenomen. Het BIO normenkader bevat het totaalpakket aan informatiebeveiligingsmaatregelen die gelden voor iedere gemeente, zo ook Ooststellingwerf. Het BIO normenkader wordt jaarlijks met een zelfevaluatie getoetst. De CISO speelt hierbij een coördinerende rol. In het jaarrapport Informatieveiligheid en Privacy van 2023 van Ooststellingwerf wordt een aantal zaken genoemd die uit de zelfevaluatie en de GAP-analyse zijn gekomen, en nog (deels) geïmplementeerd moeten worden met oog op de BIO2. Risicobeheersing is hierbij het belangrijkste doel. Allereerst wordt er prioriteit gegeven aan gemeente brede informatiebeveiliging, waaronder ook HRM en dienstverlening. Daarna ligt de focus voornamelijk op informatiesystemen, die persoonlijke en andere gevoelige gegevens bevatten van inwoners en de eigen medewerkers van de ambtelijke organisatie. Om te kunnen voldoen aan het BIO normenkader is een aantal acties ondernomen. Hierover wordt gerapporteerd in het jaarrapport over Informatieveiligheid en Privacy 2023.

11

Zo wordt gestreefd naar een meer planmatige aanpak waarbij periodiek over de voortgang van de implementatie wordt gerapporteerd. Hieronder valt de GAP-analyse en zelfevaluatie van de BIO. De gemeente stelt dat dit een jaarlijks terugkerend proces is. Het BIO normenkader stelt dat met alle leveranciers die, als verwerker voor of namens de gemeentelijke organisatie persoonsgegevens verwerken, verwerkersovereenkomsten gesloten moeten worden waarin alle wettelijk vereiste afspraken zijn vastgesteld. De onderzoekers hebben geen inzicht verkregen in het verwerkingsregister en verwerkersovereenkomsten van de ambtelijke organisatie. Uit gesprekken komt naar voren dat de BIO rapportage in de gemeente Ooststellingwerf ter besluitvorming wordt voorgelegd aan de directie. De gemeentelijke organisatie bereidt zich momenteel voor om te voldoen aan de BIO2 in het kader van de Cyberbeveiligingswet. Uit gesprekken met medewerkers blijkt dat het daarin nog stappen kan zetten op het gebied van het volwassenheidsniveau van digitale veiligheid. Momenteel bevindt de gemeentelijke organisatie van Ooststellingwerf zich op niveau 2; het beheersd en herhaalbaar processen uitvoeren. Om te kunnen voldoen aan de Cyberbeveiligingswet moet de gemeentelijke organisatie echter groeien naar niveau 4 (voorspelbaar).

Op dit niveau worden prestaties gemeten, vergeleken en gebruikt voor een geoptimaliseerd leervermogen. De ambtelijke organisatie van de gemeente Ooststellingwerf heeft wel de ambitie om door te groeien, zo blijkt uit interviews, maar de concrete plannen zijn er nog niet.

3.2.2 Incidenten(afhandeling) De gemeente Ooststellingwerf beschrijft in het strategisch informatieveiligheidsbeleid dat incidenten mogelijk negatieve gevolgen kunnen hebben voor burgers, bedrijven, partners en de eigen organisatie met mogelijk politieke consequenties. Daarnaast stelt het strategisch informatieveiligheidsbeleid dat een van de strategische doelen het adequaat reageren op incidenten is. De gemeentelijke organisatie van Ooststellingwerf rapporteert jaarlijks door middel van de ENSIA systematiek over de incidenten en risico’s met betrekking tot informatieveiligheid. Er worden binnen de ambtelijke organisatie van Ooststellingwerf DPIA’s (Data Protection Impact Assessment) uitgevoerd aan de hand van een stroomschema. De FG adviseert in dit traject en de Privacy medewerker voert de DPIA uit. Het college van b. en w. heeft in 2017 de procedure meldplicht datalekken vastgesteld met daarin een stroomschema voor het melden en afhandelen van een datalek. Deze procedure is in 2019 geactualiseerd in het kader van de AVG en in 2023 geactualiseerd in het kader van de Wpg. De FGvan Ooststellingwerf is de contactpersoon richting de Autoriteit Persoonsgegevens en houdt centraal een register bij van beveiligingsincidenten en datalekken die binnen de gemeentelijke organisatie van Ooststellingwerf hebben plaatsgevonden.

In het jaarrapport van 2023 zijn er 11 datalekken geregistreerd. Deze voldeden echter niet allemaal aan de verplichtingen voor een melding bij de AP. Uit gesprekken met medewerkers blijkt dat de FG en CISO van Ooststellingwerf goed benaderbaar zijn in de organisatie. Medewerkers weten ze te vinden zodra iets een datalek zou kunnen zijn en er wordt dan ook direct contact gezocht. Dit wordt gezien als basisprincipe op de afdelingen van de gemeente Ooststellingwerf. De meest voorkomende datalekken gaan voornamelijk over verkeerd geadresseerde mails of contactgegevens. Medewerkers zijn zich ervan bewust dat het om een datalek gaat en zijn bekend met de procedure.

12

3.2.3 PDCA-cyclus Het college van b. en w. van Ooststellingwerf verantwoordt zich over informatiebeveiliging met de ENSIA-rapportage. Zo legt het College van b. en w. jaarlijks verantwoording af aan de gemeenteraad met een door een externe auditor ondertekende verklaring. Uit de ENSIA rapportage blijkt dat de ambtelijke organisatie voldoet aan alle normen die gesteld worden. Zo blijkt bijvoorbeeld uit de BRP audit dat de gemeente Ooststellingwerf in 2023 een score heeft behaald van 97%, waarmee voldaan wordt aan de gestelde veiligheidseisen. De gemeente toont daarmee aan goede resultaten te hebben behaald op gebied van informatiebeveiliging. In de rapportage aan de gemeenteraad staat een overzicht van ondernomen acties om tot het niveau van informatiebeveiliging te komen en staan de overige actiepunten in een verbeterplan beschreven. Daarnaast publiceren de CISO en de FG van Ooststellingwerf gezamenlijk een jaarrapport waarin de behaalde resultaten, ontwikkelingen, activiteiten, incidenten en risico’s met betrekking tot informatieveiligheid en privacy worden beschreven. De jaarrapportage wordt ter kennisname naar de gemeenteraad van Ooststellingwerf verstuurd. De beide functionarissen geven aan dat naast het jaarrapport ook adviezen aan de lijnorganisatie meegegeven worden. Deze adviezen zijn gekoppeld aan de bevindingen uit het jaarrapport.

De opvolging van de audits op informatieveiligheid en privacy worden gemonitord en gecoördineerd door de CISO en FG. Specifieke adviezen voor teams worden gekoppeld aan de betreffende teamleiders. De FG en CISO voeren daarnaast jaarlijkse controles op gebruikersrechten, op basis van de verkregen overzichten vanuit HR. Op basis van deze controles worden verbeterplannen opgesteld met bevindingen die ook worden gerapporteerd aan de teamleiders. Het opvolgen van deze verbeterplannen valt onder verantwoordelijkheid van de teamleiders. Periodiek worden er pentesten en phishing-testen uitgevoerd vanuit team ICT van OWObedrijfsvoering. De FG en CISO van Ooststellingwerf hebben een mystery guest geïnitieerd. Uit de interviews is duidelijk geworden dat opvolging van de bevindingen door de beveiligingsfunctionarissen CISO en FG van Ooststellingwerf wordt gecoördineerd. De resultaten of bevindingen zijn gerapporteerd, maar de opvolging hiervan is niet terug te vinden in de documentatie. Naar aanleiding van het inzetten van de mystery guest zijn adviezen opgesteld en wordt bijgehouden welke maatregelen op basis van deze adviezen ondernomen zijn.

3.2.4 Bestuur & organisatie Het strategisch beleid onderscheidt vier rollen met betrekking tot informatiebeveiliging: het College van b. en w. van Ooststellingwerf in de beslissende rol, de directie in de sturende rol, het lijnmanagement in de vragende rol en als laatst de teammanagers in de uitvoerende rol. Het college van b. en w. stelt het informatiebeveiligingsbeleid formeel vast en controleert de uitvoering van dit beleid. De directie adviseert over het vaststellen van dit beleid, stuurt op risico’s en is verantwoordelijk voor de kaderstelling. Het lijnmanagement is verantwoordelijk voor het opstellen van beveiligingseisen en plannen. Teammanagers van de verschillende domeinen rapporteren aan de beveiligingsfunctionaris (CISO). De rol van College van b. en w., de directie en het lijnmanagement van Ooststellingwerf zijn beschreven in het beleidsdocument “Verantwoordelijkheden voor de informatiebeveiliging.” In het strategisch informatieveiligheidsbeleid is de rol van de beveiligingsfunctionaris (CISO) beschreven. De CISO coördineert, houdt toezicht, adviseert gevraagd en ongevraagd en rapporteert aan de directie van gemeente Ooststellingwerf. De CISO is daarnaast secretaris van de beveiligingsadviescommissie die periodiek afstemming heeft over het informatiebeveiligingsbeleid.

Deze commissie bestaat uit vakinhoudelijke specialisten of teamleiders van de gemeente Ooststellingwerf op gebied van I&A, Beheer en Onderhoud, burgerzaken en sociaal domein.

13

De rol van de FG en de privacy officer worden niet verder uitgewerkt in het strategisch informatiebeveiligingsbeleid. Volgens het normenkader van de BIO2 dient de CISO zo gepositioneerd te zijn binnen de organisatie dat hij onafhankelijk van de lijn kan adviseren over informatieveiligheid. De CISO en FG functie zijn beiden in een duo rol belegd. Twee functionarissen vervullen daarmee dus zowel de CISO als de FG rol. Zij zijn onafhankelijk gepositioneerd binnen de organisatie om te rapporteren en signaleren, maar hebben geen budgetten om de adviezen op te stellen. Op die manier zijn zij wel volledig afhankelijk van de budgetten van de lijnorganisatie voor de uitvoering van deze adviezen en zijn daarmee dus nog niet volledig in hun onafhankelijke positie gezet. Het is daarbij wettelijk vastgelegd dat de FG geen taken mag uitvoeren die buiten het takenpakket van een FG vallen, zoals een CISO. De FG en CISO van Ooststellingwerf zijn wel goed te vinden en worden ook door de andere medewerkers als onafhankelijk gezien. Verschillende medewerkers vertellen dat er een open cultuur heerst op het gebied van informatieveiligheid. Teamleiders agenderen het onderwerp in team overleggen, maar agendering kan ook vanuit de teams zelf komen. Men stelt dat het gesprek op verschillende momenten vanzelf op gang komt.

Bij de gesproken medewerkers is duidelijk bij wie de expertise ligt in de ambtelijke organisatie om de lastige informatiebeveiligingsvraagstukken op te pakken, namelijk bij de FG en de CISO.

3.2.5 Weerbaarheid Een van de strategische doelen van de ambtelijke organisatie Ooststellingwerf op gebied van informatieveiligheid is het minimaliseren van de risico’s van menselijk gedrag. Om de weerbaarheid van de gemeentelijke organisatie te kunnen garanderen, moet er aan preventie gewerkt worden. Dit kan door verschillende bewustwordingsacties onder medewerkers uit te zetten. Bij de gemeente Ooststellingwerf komt tijdens de onboarding van nieuwe medewerkers informatieveiligheid aan bod en hebben nieuwe medewerkers een Verklaring Omtrent het Gedrag (VOG) nodig om te kunnen werken bij de gemeentelijke organisatie. Daarnaast werkt de gemeentelijke organisatie Ooststellingwerf aan bewustwording door wekelijkse korte kennisvragen over informatieveiligheid en privacy uit te zetten naar alle zittende medewerkers via Digiheld en maandelijkse informatie over informatieveiligheid en privacy op intranet te delen. Daarnaast worden er activiteiten rondom bewustwording georganiseerd, zoals een lezing en een presentatie aan de gemeenteraad. Voor specifieke functiegroepen zijn geen aparte opleidingen over informatieveiligheid, met uitzondering van een training omtrent het veilig gebruik van Suwinet. Zo hebben teammanagers verschillende uitvoerende taken rondom informatieveiligheid, maar is er geen verplichte opleiding die hen daarvoor voorbereid.

Weerbaarheid wordt onder meer ook getest door middel van een phishingtest, periodieke pentesten en de inzet van een mystery guest. In 2024 is zowel een phishingtest als een pentest uitgezet. De uitvoering en opvolging van bevindingen uit pentesten ligt op technisch vlak bij de Team ICT van OWO bedrijfsvoering, tenzij bevindingen binnen de scope van de gemeentelijke organisatie van Ooststellingwerf vallen. De coördinatie van het behandelen van deze bevindingen ligt bij de beveiligingsfunctionarissen, de CISO en FG, van de gemeente Ooststellingwerf. Medewerkers van de gemeente Ooststellingwerf zijn niet verplicht om deel te nemen aan deze bewustwordingsactiviteiten. De opkomst bij evenementen en het deelnemerspercentage van de trainingen en de Digiheld vragen worden wel gemonitord en teruggekoppeld aan teammanagers door de beveiligingsfunctionarissen. De onderzoekers hebben geen inzichten en inhoudelijke gegevens ontvangen vanuit deze monitoring. De bewustwordingsactiviteiten kennen daarnaast geen vaste cyclus of jaarplanning en worden incidenteel ingepland. In het bestuur is informatieveiligheid geen onderwerp van gesprek.

14

3.2.6 Crisisorganisatie In het strategisch informatieveiligheidsbeleid van de gemeente Ooststellingwerf staat beschreven dat er een crisisteam is geïnstalleerd voor het interne crisisbeheer. Dit team staat onder leiding van de gemeentesecretaris van Ooststellingwerf. De onderzoekers hebben geen documenten over de werkwijze van dit crisisteam ontvangen. Daarnaast staat in het strategisch beleid beschreven dat de gemeente participeert in landelijke platforms en contacten met de Informatiebeveiligingsdienst (IBD) onderhoudt. Er is op 2 april 2024 voor het laatst geoefend met een cybercrisis in OWO-verband, al is dit volgens betrokken en gesproken medewerkers chaotisch verlopen omdat de doelstellingen als onrealistisch werden ervaren. Het was namelijk onduidelijk wat met de oefening bereikt moest worden. De ambitie is om in de toekomst vaker gezamenlijk te oefenen met de ambtenaren openbare orde en veiligheid en dat in OWO-verband. In ieder geval is uit gesprekken met functionarissen duidelijk geworden dat het essentieel is om een goed afgesproken crisisstructuur te hebben waarbij goede informatie uitwisseling van belang is. Hierbij is de wens uitgesproken om met deze structuur in de praktijk te gaan oefenen. Tijdens de onderzoeksperiode was dit nog niet gebeurd.

In het strategisch beleid van gemeente Ooststellingwerf wordt het belang van oefenen met (cyber)crisissituaties onderschreven, maar er lijkt na de laatste oefening verder geen invulling aan het onderwerp gegeven. Er wordt nog niet periodiek geoefend en het is onduidelijk wat er met eventuele bevindingen en verbeterpunten van de oefening van april 2024 gebeurt. Een PDCA-cyclus ontbreekt op dit vlak.

15

4. Rol van de Raad De gemeenteraad speelt een belangrijke rol bij de digitale veiligheid van de gemeente. De raad controleert immers het college of de veiligheid voldoet aan de daaraan gestelde eisen. Ook stelt de raad de beleids- en financiële kaders vast. Deze belangrijke rol van de raad is expliciet meegenomen in dit onderzoek. In elk van de OWO-gemeenten is gesproken met een vertegenwoordiging van de gemeenteraad. Na een korte introductie over de status van het onderzoek is met de aanwezige raadsleden een casus over digitale veiligheid besproken. Deze casus speelde zich af in een fictieve gemeente die in karakteristiek vergelijkbaar is met de eigen gemeente. Na de behandeling van deze casus is het gesprek gevoerd over de wijze waarop de raad thans de controlerende en kaderstellende rol ten aanzien van digitale veiligheid vervult. Vervolgens is gesproken over mogelijke verbeteringen van deze rol.

4.1

Informatievoorziening

Er zijn verschillende manieren waarop de gemeenteraad geïnformeerd wordt over informatieveiligheid. Allereerst zijn er raadsstukken die de situatie rondom informatieveiligheid uiteenzetten. Dit zijn bijvoorbeeld jaarrapportages en ENSIA-rapportages. Raadsleden kunnen daarnaast zelf ook vragen stellen over de actualiteiten rondom informatieveiligheid. De CISO van Ooststellingwerf stelt gezamenlijk met de FG een jaarlijkse rapportage op, deze wordt door het college van b. en w. aan de gemeenteraad aangeboden. Deze jaarrapportage biedt een overzicht van de stand van zaken rondom informatieveiligheid. Daarnaast krijgen de raadsleden informatie over de ENSIA-audit. Ook wordt de gemeenteraad geïnformeerd over nieuwe informatiebeveiliging ontwikkelingen binnen de OWO samenwerking. In 2023 is er een themabijeenkomst georganiseerd voor de gemeenteraad van Ooststellingwerf over privacy en informatieveiligheid. De gemeenteraad heeft sinds 2018 geen schriftelijke vragen gesteld over het onderwerp informatieveiligheid of digitale veiligheid. Op de website van de gemeenteraad zijn afgezien van de jaarrapportages over informatieveiligheid en privacy geen stukken te vinden. Over de jaarrapportages zijn geen schriftelijke vragen gesteld. Medewerkers geven aan dat zij het jammer vinden dat de gemeenteraad weinig interesse lijkt te hebben in het onderwerp informatieveiligheid.

4.2

Perspectief raadsleden in Ooststellingwerf

Uit de raadsbijeenkomst kwam naar voren dat de raadsleden van Ooststellingwerf een wisselend kennisniveau hebben ten aanzien van digitale veiligheid. Een deel van de raadsleden heeft in het dagelijks werk te maken met IT en digitale veiligheid en is daarom bekend met de ‘techniek’. Deze raadsleden kunnen uit de voeten met het jargon en willen in algemene zin meer informatie. Het deel van de raadsleden dat aangeeft minder verstand te hebben van digitalisering, weet op basis van de verkregen informatie de controlerende en kaderstellende rol niet goed in te vullen. Zij vertrouwen op het oordeel van collega-raadsleden die beter in de materie zitten. Raadsleden van Ooststellingwerf onderkennen over het algemeen het toegenomen belang van digitale veiligheid, maar geven aan hier nog onvoldoende op te sturen. Dat heeft enerzijds te maken met de informatie die de raad ontvangt en anderzijds met het feit dat de gemeenteraad zelf zegt te weinig prioriteit toe te kennen aan dit thema. Zo is er onlangs op het niveau van de OWO-samenwerking een raadsbijeenkomst georganiseerd, maar was de opkomst vanuit de gemeenteraden laag. Ook geeft men aan dat zij niet weten of in de andere OWO-gemeenten raadsvragen over dit onderwerp worden gesteld.

16

De raadsleden van Ooststellingwerf vinden over het algemeen dat het geen zin heeft om te sturen op ‘techniek’. Dat vraagt volgens hen om veel detailkennis en is bovendien snel achterhaald. Maar ook de jaarlijkse ENSIA rapportage, waarin is aangegeven of de gemeente voldoet aan de veiligheidseisen die door stelselhouders zijn gesteld aan kernapplicaties (bijvoorbeeld Digid, Suwinet, BRP) en de informatie die de raad ontvangt in het kader van de P&C cyclus, bieden voor raadsleden onvoldoende aanknopingspunten om de sturende rol waar te maken. De gemeenteraadsleden van Ooststellingwerf hebben geen eenduidig beeld over de wijze waarop ze hun sturende rol in kunnen vullen en welke informatie daarvoor nodig is. Wel geeft een aantal raadsleden aan in gesprek te willen over de positie van en informatievoorziening aan de raad, met name voor wat betreft incidenten.

17

5. Beantwoording onderzoeksvragen en toetsing aan het normenkader 5.1

Beantwoording onderzoeksvragen

1. Wat is het beleid op het gebied van informatieveiligheid; voldoet dit aan actuele standaarden (als de BIO en ENSIA) en zijn de gemeenten voorbereid op de BIO2 en ENSIA? De drie OWO-gemeenten stellen op dit moment hun eigen strategisch informatiebeveiligingsbeleid op. Team ICT werkt samen met de individuele OWO-gemeenten aan een gezamenlijk nieuw strategisch informatiebeveiligingsbeleid dat voor alle drie de gemeenten geldt. Individuele gemeenten bereiden zich voor op de BIO2, team ICT is hier via de CITSO bij betrokken. Voor de drie individuele gemeenten geldt wel dat ze verschillen in volwassenheid en de mate waarin ze aan de BIO en ENSIA standaarden voldoen. Het niveau in Ooststellingwerf is hierbij hoger dan in Opsterland en relatief gelijk aan Weststellingwerf. Geen van de drie gemeenten voldoen volledig aan de BIO. Het lokale beleid voldoet deels aan de actuele standaarden. De gemeente Ooststellingwerf scoort voldoende op de ENSIA vragenlijst. De BIO is echter nog onvoldoende geïmplementeerd. Dit wil de gemeente door middel van de GAP-analyse gaan verbeteren. Momenteel heeft de gemeente Ooststellingwerf nog niet de volwassenheid op het gebied van informatieveiligheid om te voldoen aan BIO2 en ENSIA en zijn dus onvoldoende voorbereid. 2.

Hoe wordt het Informatieveiligheidsbeleid uitgevoerd op bestuurlijk, organisatorisch, technisch, proces- en medewerkersniveau? Worden hierbij pentesten ingezet, zo ja, welke? Team ICT is verantwoordelijk voor de operationele activiteiten op gebied van informatieveiligheid. Op bestuurlijk niveau wordt Team ICT betrokken bij het nieuwe strategisch informatieveiligheidsbeleid dat door de drie gemeenten opgesteld wordt. Er is echter geen structureel bestuurlijk overleg tussen OWO en de portefeuillehouders van de individuele gemeenten. Daarnaast worden er periodiek pentesten en ENSIA audits uitgevoerd door Team ICT. Dit zijn technische testen op de apparatuur en applicaties die vanuit OWO ICT worden uitgegeven. De verantwoordelijkheid voor het vervolg op bevindingen van pentesten, interne audits en evaluaties zijn bij de desbetreffende OWO-gemeenten belegd. De opvolging daarvan is verschillend in uitvoering. Team ICT voert de technische en praktische bevindingen uit. Het beleid in Ooststellingwerf wordt uitgevoerd met behulp van de verbeterplannen die voortkomen uit de jaarrapporten over de behaalde resultaten. Hiervoor worden periodiek de uitkomsten van OWO ICT pentesten gebruikt. Daarnaast voert de gemeente Ooststellingwerf ook human pentesten uit, in de vorm van mystery guests en phishing testen. 3.

Zijn gegevens voldoende beschermd tegen toegang door onbevoegden? In hoeverre wordt getoetst of de organisatie ‘in control’ is op het gebied van informatiebeveiliging en welke instrumenten worden hierbij gebruikt? Team ICT voert het leveranciersmanagement uit voor de drie OWO-gemeenten. Alle grotere applicaties staan onder verantwoordelijkheid van team ICT van OWO, kleinere applicaties staan onder verantwoordelijkheid van de gemeenten zelf. De drie OWO-gemeenten werken gezamenlijk aan een overzicht van alle kernapplicaties en de bijbehorende regie verantwoordelijkheden. Het beheer op de juiste toegangsrechten voor applicaties is volgens team ICT van OWO nog niet sluitend geregeld binnen de gemeenten, waardoor onbevoegden mogelijk toegang kunnen krijgen tot gevoelige informatie en systemen. Dit resulteert erin dat de organisatie niet volledig ‘in control’ is, omdat het toegangsbeheer niet sluitend en overzichtelijk ingeregeld is. Team ICT van OWO maakt

18

gebruik van tooling, logging, firewalls en monitoring. Daarnaast is team ICT ook verantwoordelijk voor de uitvoering van de back-ups en restores van de OWO gemeenten. De gebruikersrechten zijn nog niet goed genoeg geregeld bij de gemeente Ooststellingwerf. OWO ICT is verantwoordelijk voor het toekennen van gebruikersrechten aan medewerkers, maar de informatie voor het toekennen van deze rechten komt van gemeenten zelf. De teammanagers zijn verantwoordelijk voor het doorgeven van gebruikersrechten en aanpassingen daarop aan OWO ICT. Er wordt jaarlijks een check gedaan op de gebruikersrechten van medewerkers. Het toegangsbeheer is goed geregeld is bij de gemeente Ooststellingwerf, waardoor de gemeente beschermd is tegen toegang door onbevoegden. De gemeente werkt met twee-factor-authentificatie voor toegang tot applicaties. De gemeentelijke organisatie is op dit vlak ‘in control’, maar mist op andere gebieden de controle op informatieveiligheid, zoals te zien is aan het nog bescheiden volwassenheidsniveau. 4.

Is de continuïteit van de gemeentelijke dienstverlening gewaarborgd in geval van grootschalige uitval of verstoring van ICT en hoe is dat geregeld? Weet de organisatie hoe te handelen bij een (ernstig) informatiebeveiligingsincident, hoe ziet het incidentmanagementproces eruit en wordt dit in de praktijk geoefend? In OWO-verband is een procedure ernstige verstoringen waarin de volgorde en prioriteit van handelen tijdens een ernstige verstoring beschreven staat. Er wordt echter niet structureel geoefend met een uitgebreide verstoring zoals een cybercrisis. Ook zijn de taken en verantwoordelijkheden tijdens een cybercrisis tussen de individuele gemeenten en Team ICT momenteel niet geheel duidelijk. Ooststellingwerf heeft een procedure aanwezig voor incidenten en datalekken. De ambtelijke organisatie maakt jaarrapporten met een overzicht van alle incidenten. Er is geen crisisprotocol aanwezig en er wordt niet periodiek geoefend. Er is een enkele oefening in OWO verband geweest, maar de uitkomsten en opvolging van deze eenmalige oefening is onduidelijk. De verdeling van taken en verantwoordelijkheden tijdens een cybercrisis zijn momenteel ook onduidelijk. 5. Hoe wordt omgegaan met risico’s en incidenten op het gebied van informatieveiligheid en in hoeverre toont de organisatie lerend vermogen (PDCA cyclus)? Er is geen gezamenlijke verbetercyclus voor de drie OWO-gemeenten.

De risicoanalyses en incidentenprocedures worden bij de verschillende gemeenten verschillend uitgevoerd. Wel wordt binnen team ICT gewerkt aan monitoring en verbetering van zwakke punten in de informatiebeveiliging van de zaken die op OWO niveau zijn geregeld. Het verlenen en beheren van de juiste toegangsrechten voor gebruikers wordt door team ICT genoemd als een van die verbeterpunten. Een incident wordt vastgesteld bij de servicedesk van OWO door een gebruikersmelding van een medewerker van een van de OWO gemeenten of vanuit een van de monitoringstools. Team ICT monitort vervolgens of een incident een ernstige verstoring is en start de bijbehorende oplossingsmaatregel. Er is in Ooststellingwerf een jaarlijkse PDCA-cyclus door middel van de ENSIA rapportages. De behaalde resultaten van de ENSIA rapportage worden gezamenlijk met informatie over incidenten, risico’s en uitgevoerde plannen rondom informatieveiligheid in een jaarlijkse rapportages beschreven. Deze rapportages zijn organisatiebreed beschikbaar en worden gedeeld met de gemeenteraad. De jaarrapporten worden ook gebruikt door de CISO om adviezen naar betreffende teams te sturen, om zo gerichte verbeteringen door te voeren.

19

6. Hoe wordt gezorgd voor bewustwording voor informatiebeveiliging bij medewerkers, bestuur, raad en samenwerkingspartners? Team ICT van OWO heeft geen rol in de bewustwording over informatiebeveiliging onder medewerkers van de individuele OWO-gemeenten. Er is geen gezamenlijke aanpak. De individuele gemeenten hebben hun eigen bewustwordingsprogramma. De intensiteit van dat programma verschilt per gemeente. Er is een verplichte onboarding voor nieuwe medewerkers in Ooststellingwerf. Er worden bewustwordingsactiviteiten georganiseerd en er is een wekelijkse vraag voor alle medewerkers. Alle activiteiten zijn echter vrijblijvend en medewerkers kunnen zich hier makkelijk aan onttrekken. De monitoring van de activiteiten en eventuele opvolging is ook niet altijd duidelijk. Daarmee kan niet met zekerheid iets gezegd worden over het bewustwordingsniveau van medewerkers binnen de ambtelijke organisatie op het gebied van informatieveiligheid. Binnen het bestuur is informatieveiligheid geen onderwerp van gesprek en bewustwording kan verbeterd worden. Het is onduidelijk of er verwerkersovereenkomsten worden gesloten met samenwerkingspartners en of hier bewust met informatieveiligheid wordt omgegaan. Daarnaast is het onduidelijk of de gemeenteraad betrokken wordt bij de bewustwordingsactiviteiten. Er is een verschillend kennisniveau binnen de gemeenteraad. 7.

Zijn de rollen en taken op het gebied van informatiebeveiliging voor medewerkers en het management duidelijk en hoe wordt er gestuurd in de gemeentelijke organisatie? Er is geen structureel bestuurlijk overleg tussen Team ICT van OWO en de CISO’s van de individuele gemeenten. Er is hierdoor nog geen eenduidige afstemming over het informatieveiligheidsbeleid en uitvoering tussen de gemeenten en Team ICT van OWO. De taken en verantwoordelijkheden binnen Team ICT liggen vooral op de technische en praktische uitvoering van ICT zoals het leveranciersmanagement en het beheer van de grotere applicaties. De drie OWO-gemeenten werken op dit moment gezamenlijk met Team ICT aan een overzicht autorisaties, rollen en taken van de kernapplicaties. Een CITSO dient als tussenpersoon tussen Team ICT van OWO bedrijfsvoering en de drie CISO’s van de individuele OWO gemeenten en adviseert op de techniek De verantwoordelijkheden worden voor alle rollen op het gebied van informatiebeveiliging in de gemeentelijke organisatie van Ooststellingwerf staan beschreven. De CISO en FG hebben echter een dubbelrol en hebben geen eigen budget en zijn daarmee niet volledig onafhankelijk in hun positie gesteld. Dit is problematisch aangezien het vanuit de AVG verplicht is dat de FG geen andere taken uitvoert dan die voor de FG zijn vastgesteld om de onafhankelijkheid van de FG te waarborgen.

Er wordt gestuurd op informatieveiligheid vanuit de FG, CISO en PO. 8. Hoe is de raad betrokken bij het informatieveiligheidsbeleid en is dit voldoende om de kaderstellende en controlerende rol te kunnen vervullen? De raadsleden ontvangen rapportages, maar niet frequent. Raadsleden ontvangen enkel de ENSIA rapportages en het jaarrapport van de CISO dacht ik, dit is te weinig informatie om te kunnen sturen op informatieveiligheid. Daarnaast stellen ze weinig vragen en stellen ze zelf het kennisniveau te missen. De raad geeft aan te weinig prioriteit te geven aan op het thema. Raadsleden komen bij een bijeenkomst over dit thema maar in lage getalen opdagen. Het kennisniveau is onvoldoende voor de raadsleden om hun kaderstellende en controlerende rol uit te voeren.

20

5.2

Toetsing aan het normenkader

5.2.1 Normen ten aanzien van het beleid Norm

Ooststellingwerf

Weststellingwerf

Opsterland

De gemeente heeft BIO- conform informatiebeveiligingsbeleid. De algemene uitgangspunten en kaders zijn besproken in en vastgelegd door de gemeenteraad. In het beleid wordt o.a. ingegaan op: ● Strategische uitgangspunten ● Risicomanagement ● Governance (waaronder rollen en verantwoordelijkheden) ● De PDCA-cyclus van de gemeente In (voortgangs)rapportages wordt ingegaan op informatiebeveiliging. In programma’s en projecten wordt expliciet aandacht besteed aan informatiebeveiliging. Er is een procedure hoe wordt omgegaan met informatiebeveiligingsincidenten (waaronder cyberaanvallen) en een crisisprotocol. De gemeente heeft beleid voor informatiebeveiliging ten aanzien van samenwerkingspartners, gemeenschappelijke regelingen en leveranciers.

OWO nvt

nvt

nvt nvt

5.2.2 Normen ten aanzien van digitale veiligheid in de praktijk Norm In de praktijk wordt gehandeld conform de wijze waarop informatie wordt beveiligd, waaronder in de relevante werkprocessen, de toewijzing van verantwoordelijkheden, de inrichting van informatiesystemen, de autorisaties, de afspraken voor de verwerking van gegevens en de afspraken over het informeren van burgers en het vragen van toestemming. De gemeente heeft een leer- en verbetercyclus (PDCA-cyclus).

Ooststellingwerf

Weststellingwerf

Opsterland

OWO

nvt

21

De gemeente heeft inzicht in de belangrijkste verbeterplannen en – maatregelen. Er wordt in het geval van incidenten, calamiteiten en crisis volgens de vastgelegde procedures gehandeld. De vastgelegde controles en rapportages worden in de praktijk uitgevoerd. De gemeente test en toetst procedures regelmatig om de effectiviteit en werking te toetsen. De gemeente houdt toezicht op de afspraken ten aanzien van informatiebeveiliging met (samenwerkings)partners, regelingen en leveranciers. De gemeenteraad wordt geïnformeerd op een manier die hem in staat stelt te sturen en te controleren.

nvt

5.2.3 Normen ten aanzien van de organisatiecultuur Norm

Ooststellingwerf

Weststellingwerf

Opsterland

OWO

De medewerkers van de gemeente zijn bekend met het gemeentelijk beleid met betrekking tot informatiebeveiliging en worden van aanpassingen op de hoogte gehouden. In hun dagelijks functioneren geven de medewerkers er blijk van het gemeentelijk informatiebeveiligingsbeleid na te leven. In de relatie met ketenpartners bewaken de medewerkers actief dat deze ketenpartners zich conformeren aan de regels, standaarden en procedures van de gemeente op het gebied van informatiebeveiliging.

22

Bijlage 1- Geïnterviewde personen Afdelingshoofd OWO bedrijfsvoering Burgemeester Ooststellingwerf FG/CISO Ooststellingwerf FG/CISO Ooststellingwerf Gemeentesecretaris Ooststellingwerf HR Ooststellingwerf Inkoopstrateeg OWO bedrijfsvoering Privacy Officer Ooststellingwerf Teamleider ICT OWO bedrijfsvoering

23

Bijlage 2 - Documentatie Documentnaam Presentatie iBewustzijn Bestuur en Management

Versie

Datum 30-11-2026

Advies b. en w. – Informatiebeveiligingsbeleid gemeente Ooststellingwerf

05-12-2023

Advies b. en w. – plan van aanpak ENSIA 2023

07-11-2023

Advies b. en w. – rapport mystery guest

12-01-2018

Advies b. en w. – Verantwoording informatieveiligheid ENSIA 2023

02-04-2024

Advies college proces Data Protection Impact Assessment AVG Wpg

05-12-2023

Advies directie informatiebeveiligingsbewustzijn

28-09-2016

Advies directie procedure rechten van betrokkene AVG Wpg

07-11-2023

Advies directie proces meldplicht datalekken

30-11-2023

Beleidsuitgangspunten IB Sociaal Domein Ooststellingwerf

8.0

20-12-2023

Beleidsuitgangspunten informatiebeveiliging BRP en waardedocumenten Beleidsuitgangspunten informatiebeveiliging webapplicaties DigiD

2.0

Besluit b. en w. informatiebeveiligingsbeleid

05-12-2023

Besluit b. en w. rapportage informatieveiligheid en privacy 2022

16-05-2023

Besluit b. en w. verantwoording informatieveiligheid ENSIA

02-04-2024

Besluit MT Plan van aanpak ENSIA 2023

11-11-2023

Directie-advies: Afwegingskader opstellen informatieveiligheidsbeleid

09-12-2024

Evaluatie phishingtest

26-02-2024

Formulier melding datalek Ooststellingwerf AVG Wpg Handreiking DPIA Ooststellingwerf 2023 Informatiebeveiligingsbeleid Gemeente Ooststellingwerf

10-2023 5.0

07-11-2023

Mededeling aan de raad – rapportage informatieveiligheid en privacy 2022

16-05-2023

Mededeling aan de raad – rapportage informatieveiligheid en privacy 2023

21-05-2024

Overzicht aanbevelingen, acties en advies tot aanvullende maatregelen – rapport Mystery guest

16-07-2020

Plan van aanpak ENSIA 2024 Privacybeleid extern AVG Wpg

02-2023

Privacybeleid intern AVG Wpg

11-2022

24

Privacyverklaring AVG Wpg

02-2023

Presentatie: Kick-off Sociaal domein

07-01-2025

Presentatie Themabijeenkomst ICT Voor raadsleden van de OWO gemeenten Raadsbrief: afwegingskader informatieveiligheidsbeleid Rapportage Informatieveiligheid en Privacy periode 2022

02-05-2023

Registratie beveiligingsincidenten – datalekken

16-09-2024

Reglement Functionaris Gegevensbescherming AVG Wpg Samenvatting behaalde resultaten informatieveiligheid en privacy

2022

Stroomschema DPIA

2023

Stroomschema meldplicht datalekken AVG Wpg Terugkoppeling OWO-colleges bijeenkomst cyberaanval oefening

01-10-2024

Verantwoordelijkheden voor de informatiebeveiliging

25

Bijlage 3 - Lijst met afkortingen Afkorting AVG Wpg DPIA ENSIA IBP FG CISO CITSO PO OWO PDCA BIO VNG KCC AP b. en w. ICT VTH I&A IBD

Betekenis Algemene Verordening Gegevensbescherming Wet politiegegevens Data Protection Impact Assessment Eenduidige Normatiek Single Information Audit Informatiebeveiliging en Privacy Functionaris Gegevensbescherming Chief Information Security Officer Chief Information Technical Security Officer Privacy Officer Ooststellingwerf, Weststellingwerf en Opsterland (samenwerkingsverband gemeenten) Plan-Do-Check-Act (kwaliteitscyclus) Baseline Informatiebeveiliging Overheid Vereniging van Nederlandse Gemeenten Klant Contact Centrum Autoriteit Persoonsgegevens Burgemeester en Wethouders Informatie- en Communicatietechnologie Vergunning Toezicht en Handhaving Informatie en Automatisering Informatie beveiligingsdienst

26