MadR Rekenkamerrapport informatieveiligheid - FG en CISO

Mededeling aan de raad Van Datum B&W Onderwerp Portefeuillehouder Domein

: : : : :

Burgemeester en wethouders 16 oktober 2025 Rekenkamerrapport informatieveiligheid: FG en CISO Jack Werkman Planning & Control

Kennis te nemen van De reactie van het college op vragen vanuit de raadscommissie om de functies Functionaris Gegevensbescherming (FG) en Chief Information Security Officer (CISO) te scheiden.

Inleiding In het rekenkamerrapport over informatieveiligheid is benoemd dat het niet wenselijk is om de functies FG en CISO te combineren en bij 1 persoon onder te brengen. In de raadscommissie is gevraagd om de functies te scheiden.

Kernboodschap Op dit moment zijn de functies FG en CISO gecombineerd. Hoewel wij dit juridisch goed hebben geregeld willen wij niet dat de schijn wordt gewekt dat de functiescheiding niet goed is. Daarom gaan wij de functies scheiden en blijven wij de onafhankelijkheid borgen. Huidige situatie Wij hebben op dit moment twee personen in dienst die beide de functies FG en CISO hebben. Dit zorgt ervoor dat de functies minder kwetsbaar zijn, vervanging gemakkelijk gaat en kennis op een goede manier wordt uitgewisseld. Artikel 38 lid 6 van de AVG bepaalt dat een FG andere taken mag uitvoeren, zolang dit niet leidt tot een belangenconflict. De FG moet onafhankelijk zijn in de uitoefening van zijn/haar taken, en mag geen instructies ontvangen over hoe die taken moeten worden uitgevoerd. Deze onafhankelijkheid is essentieel om ervoor te zorgen dat de FG zijn/haar rol objectief kan vervullen en dat er geen conflicten ontstaan tussen de taken van de FG en andere functies binnen de organisatie. Een combinatie zou alleen overwogen kunnen worden als: 1. De CISO uitsluitend een uitvoerende rol heeft zonder beleidsverantwoordelijkheid of sturing op het doel en de middelen van de gegevensverwerking. 2. Er duidelijke en aantoonbare scheidingen zijn in taken, bevoegdheden en verantwoordelijkheden. 3.

Dit intern is vastgelegd in het organogram, de rapportagelijnen en de taakomschrijvingen, waarbij de FG rechtstreeks rapporteert aan het hoogste managementniveau (bijvoorbeeld de directie of het bestuur). Bovenstaande voorwaarden zijn van toepassing op hoe wij het hebben geregeld. Wij vinden het belangrijk dat de FG en CISO een onafhankelijke positie hebben. Ze zijn daarmee niet verantwoordelijk voor het implementeren van beleid en het treffen van maatregelen. Daar is de directie voor verantwoordelijk. Er wordt door de FG en CISO op toegezien en over gerapporteerd. Vervolg Naar aanleiding van de reacties in de commissie op woensdag 8 oktober 2025 hebben wij als college de situatie besproken. Wij vinden informatieveiligheid en privacy van groot belang. Wij willen niet dat de huidige constructie de schijn wekt dat de functiescheiding niet goed geregeld is. Wij gaan daarom acties ondernemen om de functies FG en CISO te scheiden. Wij gaan er vanuit dat wij op deze manier aan uw wens tegemoet komen.

Vervolg U wordt via de P&C cyclus op de hoogte gehouden van de acties die zijn ondernomen.