Bijlage 2 Eindrapport informatieveiligheid Opsterland

Team ICT is verantwoordelijk voor de centrale ICT-infrastructuur van de drie OWO gemeenten, waaronder data, applicaties en telefonievoorzieningen. Daarnaast is Team ICT verantwoordelijk voor de operationele activiteiten op gebied van informatieveiligheid, dit omvat bijvoorbeeld tooling, logging, firewalls en monitoring. Het leveranciersmanagement voor de drie gemeenten wordt deels door Team ICT uitgevoerd. Leveranciersmanagement is belegd bij team ICT van OWO-bedrijfsvoering en bij de afdeling Inkoop, de toetsing of leveranciers voldoen aan contractuele eisen is niet duidelijk belegd. Daarnaast is Team ICT ook verantwoordelijk voor de uitvoering van de back-ups en restores. Ook is Team ICT betrokken bij een monitoring- en responsproject van de VNG, daar is verder geen aanvullende informatie over opgevraagd. Alle grotere applicaties staan onder verantwoordelijkheid van Team ICT, kleinere applicaties staan onder verantwoordelijkheid van de individuele OWO-gemeenten zelf. Grote applicaties zijn applicaties die in OWO-verband worden gebruikt, te denken valt aan VTH (Vergunning, Toezicht en Handhaving), I-zaak (archivering), Teams, I-Babs, csam en isam. Tijdens het onderzoek is gebleken dat iedere applicatie een eigenaar behoort te hebben en hieraan wordt gewerkt, maar dit nog niet bij elke applicatie al het geval is.

Er is geen documentatie ontvangen over de precieze verdeling van 5

Deze Regeling Gezamenlijke verantwoordelijkheid is onder de herziende bestuursovereenkomst OWO-samenwerking in 2024 vernieuwd. Deze zijn tijdens de onderzoeksperiode niet ontvangen.

19

verantwoordelijkheden rondom applicaties. Medewerkers vertelden in het kader van het onderzoek dat de CISO’s van de individuele gemeenten in samenwerking met Team ICT op dit moment bezig zijn hun applicaties en de bijbehorende taken, rollen en verantwoordelijkheden in kaart te brengen. De OWO-gemeenten hebben een gezamenlijke aanpak voor de levering en het beheer van ICTvoorzieningen. Apparatuur en applicaties worden door Team ICT centraal verstrekt aan de medewerkers van de gemeente. Medewerkers hebben op laptops geen mogelijkheid om zelf applicaties te downloaden. Dat geeft enige mate van controle over de gebruikte software. Voor mobiele telefoons ontbreekt echter een vergelijkbare mate van beleid; zo blijkt uit de focusgroepen dat er geen richtlijnen zijn voor wachtwoordbeheer en het downloaden van applicaties op mobiele werktelefoons, afgezien van de standaard wachtwoordvereisten, en het downloaden van applicaties op mobiele werktelefoons. Het proces van in- en uitdiensttreding op gebied van apparatuur start en eindigt bij voor medewerkers bij de eigen teamleider. Zo leveren medewerkers hun apparatuur in bij de teamleider in het geval van een uitdiensttreding. Het verdere proces is belegd bij Team ICT. Dit proces omvat bijvoorbeeld het resetten van apparatuur, tijdig afmelden van medewerkers bij systemen en het toekennen van toegang van nieuwe werknemers tot systemen.

Team ICT kent de juiste toegangsrechten tot het systeem toe aan de juiste medewerkers van de individuele OWO gemeenten. De informatie over de juiste toegangsrechten per medewerker ontvangt Team ICT van de drie HR afdelingen van de OWO gemeenten zelf. Het HR-beleid is de verantwoordelijkheid van de drie individuele OWO-gemeenten zelf. Uit interviews blijkt dat het beheer op de juiste toegangsrechten tot systemenvolgens Team ICT nog niet sluitend is geregeld binnen de gemeenten. Hier zit een risico dat onbevoegden toegang kunnen krijgen tot gevoelige informatie en systemen. De colleges van b. en w. van de drie individuele gemeenten zijn eindverantwoordelijk voor het informatiebeveiligingsbeleid. De drie OWO-gemeenten hebben daarom tot nu toe eigen strategisch informatieveiligheidsbeleid. Dit beleid is gebaseerd op de ISO 27001- en ISO 27002-standaarden. Uit gesprekken met medewerkers is gebleken dat Team ICT van OWO-bedrijfsvoering niet structureel bij het opstellen van het strategisch informatieveiligheidsbeleid van alle gemeenten betrokken is.

De CISO van de gemeente Weststellingwerf heeft advies gevraagd aan Team ICT over het strategisch informatieveiligheidsbeleid, de CISO van gemeente Ooststellingwerf heeft het strategisch informatieveiligheidsbeleid ter informatie opgestuurd en de CISO van gemeente Opsterland heeft enkel gesprekken gehad met OWO ICT over het strategisch informatieveiligheidsbeleid. De drie gemeenten zijn momenteel met elkaar in gesprek om gezamenlijk informatiebeveiligingsbeleid op te stellen. Ten tijde van de onderzoeksactiviteiten was dit echter nog niet uitgewerkt. Naast het strategisch informatieveiligheidsbeleid van de drie OWO gemeenten zelf zijn door Team ICT de veiligheidsstandaarden van het informatieveiligheidsbeleid aangevuld met richtlijnen die voor alle OWO-gemeenten gelden. Een van de documenten waar veiligheidsstandaarden voor de drie OWO- gemeenten zijn beschreven, is het Informatiebeveiligingsplan ICT 2020. Hiermee wordt nadere invulling gegeven aan het strategisch informatiebeveiligingsbeleid van de OWO-gemeenten. Het informatiebeveiligingsplan ICT 2020 benoemt de beveiligingsobjecten op het gebied van de ICT en de getroffen maatregelen ten behoeve van het gevraagde beveiligingsniveau.

Team ICT heeft daarnaast een werkinstructie opgesteld voor het omgaan met ernstige verstoringen die voor alle drie de OWO-gemeenten geldt en de verschillende directies van de gemeenten hebben hier op kunnen reageren. De werkinstructie ‘procedure ernstige verstoring ICT’ is in 2024 vernieuwd naar aanleiding van de gezamenlijke crisisoefening van de drie OWO gemeenten in april 2024 hebben uitgevoerd. Dit blijkt uit de memo “terugkoppeling OWO colleges bijeenkomst 2 april.”

20

De werkinstructie ernstige verstoring ICT bevat een standaardprocedure die gevolgd moet worden zodat er op toegezien kan worden dat de verstoring met de juiste aandacht en op een gestructureerde wijze wordt behandeld. Een ernstige ICT verstoring wordt in deze werkinstructie beschreven als een incident waarbij meerdere personen niet verder kunnen werken omdat het kritische werkproces niet beschikbaar is of ernstig beïnvloed wordt door het probleem. Het doel van de procedure ernstige verstoringen is het gestructureerd oplossen van het probleem en een juiste prioritering bepalen om de dienstverlening te kunnen herstellen. In de werkinstructie ‘ernstige verstoring ICT’ staat beschreven wie de crisiscoördinatoren zijn, wat een ernstige verstoring is, hoe prioriteiten aan verstoringen worden toebedeeld en een stappenplan om een ernstige ICT verstoring op te lossen. In het stappenplan staat beschreven wat er gedaan moet worden door de verschillende actoren en in welke volgorde. Het proces start met een melding van een verstoring die wordt beoordeeld door een securitymedewerker van Team ICT. Vervolgens beoordeelt de crisiscoördinator of er sprake is van een ernstig of major incident. Als dit het geval is dan stelt de crisiscoördinator een oplosteam samen en wordt er naar aanleiding van een eerste analyse een oplossingsrichting bepaald.

Het oplosteam geeft prioriteit aan de herstelwerkzaamheden. Vervolgens wordt gestart met het herstellen van de dienstverlening en vindt er indien nodig regelmatig contact plaats met de CISO van de desbetreffende gemeente. Als laatste stap wordt onder verantwoordelijkheid van de crisiscoördinator een major incident rapport opgesteld dat naar de CISO’s van de OWO gemeenten wordt gestuurd. De betreffende medewerkers coördineren waar mogelijk de verbetervoorstellen. Oefenen met crisissituaties is cruciaal om adequaat te kunnen handelen in het geval van een crisis. In april 2024 vond een oefening plaats met de colleges en gemeentesecretarissen van de drie gemeenten. Uit gesprekken met medewerkers bleek dat er binnen de OWO-samenwerking redelijk veel afspraken duidelijk zijn door de procedure ernstige verstoringen, maar dat er ook onderdelen zijn waar aanvullende afspraken over gemaakt moeten worden, zoals een gezamenlijk standpunt op ransomware6. De PDCA-cyclus op informatiebeveiliging is voor een groot deel bij de individuele gemeenten zelf belegd. Zo worden jaarlijks audits uitgevoerd volgens de ENSIA systematiek. Hiervoor levert Weststellingwerf voor Ooststellingwerf en Opsterland de gegevens op gebied van ICT aan. Ooststellingwerf levert de gegevens aan voor BAG en BGT rapportage.

Op operationeel gebied worden technische verbeterplannen uitgevoerd door Team ICT van OWO bedrijfsvoering. Uit interviews is gebleken dat niet bij alle acties duidelijk is waar de verantwoordelijkheid ligt op het vervolg. Team ICT wordt daarnaast niet structureel betrokken bij de opstart en uitvoering van risicoanalyses door de individuele gemeenten. Er is geen structureel overleg tussen de CISO’s van de drie gemeenten en Team ICT van OWO bedrijfsvoering. Uit gesprekken met medewerkers blijkt dat Team ICT niet altijd op de hoogte is van informatiebeveiligingsplannen van de gemeenten en dat de effectiviteit van advies en samenwerking daardoor beperkt wordt. Deze medewerkers geven aan dat er wel regelmatig contact is met de CISO van de gemeente Weststellingwerf en enig contact met de CISO van Opsterland. De CISO van Weststellingwerf treedt op als contactpersoon bij de ISO’s van de drie gemeenten. Echter, met de CISO van de gemeente Ooststellingwerf is minder vaak contact. De CISO's hebben onderlinge werkafspraken gemaakt. Eén van de werkafspraken is dat de CISO van West als contactpersoon optreedt bij I&A aangelegenheden (waaronder de ICT gerelateerde vragen vanuit ENSIA) en van daaruit doorschakelt naar de CISO's van Oost en Opsterland. De CISO van Oost is contactpersoon 6

Informatiebeveiligingsdienst (IBD) De IBD is het Computer Emergency Response Team, of Computer Security Incident Response Team (CERT/CSIRT) voor alle Nederlandse gemeenten, en onderdeel van de Vereniging van Nederlandse Gemeenten.

21

voor wat betreft de OWO-onderdelen BVI en Backoffice Sociaal Domein. Uit gesprekken is ook gebleken dat enige tijd terug een CITSO (Chief Information Technical Security Officer) is aangenomen door OWO bedrijfsvoering. Deze CITSO dient als tussenpersoon tussen Team ICT van OWO bedrijfsvoering en de drie CISO’s van de individuele OWO-gemeenten en adviseert op de technische infrastructuur. Ook blijkt uit de interviews dat de CITSO vanuit team ICT het nieuwe gezamenlijke strategische informatieveiligheidsbeleid coördineert en voor de drie OWO-gemeenten technische vraagstukken afstemt.

3.2

Opsterland

Het strategisch beleid voor informatiebeveiliging is bij de gemeente Opsterland vastgelegd in het document ‘Strategisch Gemeentelijk informatiebeveiligingsbeleid Gemeente Opsterland’. Hiervoor heeft de gemeente het format van de Informatiebeveiligsdienst (IBD7) overgenomen. Dit heeft als voordeel dat het een actueel document is, waarin alle aspecten van het strategisch informatiebeveiligingsbeleid beschreven zijn. Het nadeel is dat in het document cruciale verbindingen met de situatie in Opsterland buiten beschouwing zijn gelaten omdat het format enkel algemeenheden beschrijft. Het document gaat niet in op de specifieke verbeter- of aandachtspunten van de gemeentelijke organisatie Opsterland. Het beleidsdocument is hierdoor een algemene beschrijving van voorbeeldbeleid en is geen richtinggevend document voor de gemeente Opsterland.8 Hieronder gaan we nader in op de uitwerking van de aspecten van het strategische informatieveiligheidsbeleid, waarbij we kijken naar de documenten die onder het strategisch beleid hangen. Hierbij zullen we telkens de verbinding maken tussen die documenten en het strategische beleid dat als basis dient. 3.2.1

BIO

De BIO wordt getoetst door middel van een zelfevaluatie. Uit de evaluatie van 2023 kwam een aantal verbeterpunten naar voren, waaronder het toegangsbeheer. De autorisaties worden nog te vaak niet op de juiste manier toegewezen, waardoor de ambtelijke organisatie risico’s loopt. Er wordt ten tijde van dit onderzoek gewerkt aan een tool om dit te verbeteren. Het BIO-normenkader beschrijft dat met alle leveranciers die, als verwerker voor of namens de organisatie persoonsgegevens verwerken, verwerkersovereenkomsten gesloten moeten worden waarin alle wettelijk vereiste afspraken zijn vastgesteld. De gemeente Opsterland heeft met de leveranciers van belangrijke applicaties verwerkersovereenkomsten gesloten. Op dit moment is de gemeentelijke organisatie de resterende applicaties in kaart aan het brengen en aan het onderzoeken of er verwerkersovereenkomsten gesloten dienen te worden. Uit gesprekken met diverse medewerkers blijkt dat er momenteel wordt gewerkt aan een implementatieplan, door een werkgroep, voor de nog in te regelen maatregelen uit de BIO, aangezien deze nog niet allemaal aanwezig zijn in de ambtelijke organisatie. Zo mist momenteel een integrale aanpak voor het normenkader van de BIO, veel verschillende onderdelen zijn nog gescheiden.

De ambtelijke organisatie is, volgens gesprekken met functionarissen, op weg om te voldoen aan de BIO2 die in het kader van de Cyberbeveiligingswet verplicht wordt opgesteld. Maar voordat aan de BIO norm voldaan wordt, moet de ambtelijke organisatie nog wel een ontwikkeling doormaken. Momenteel worden werkzaamheden binnen informatiebeveiligingsprocesssen op verwerkingsniveau informeel uitgevoerd. Te weinig processen en procedures zijn vastgelegd of bekend en de PDCA7

Informatiebeveiligingsdienst (IBD) De IBD is het Computer Emergency Response Team, of Computer Security Incident Response Team (CERT/CSIRT) voor alle Nederlandse gemeenten, en onderdeel van de Vereniging van Nederlandse Gemeenten. 8 De gemeente is momenteel bezig het beleid te herzien. We hebben hier geen conceptdocumenten van ontvangen.

22

cyclus is onvoldoende aanwezig. Het aantoonbare cyclische doorlopende verbeterproces ontbreekt in de gemeente Opsterland. Om te voldoen aan de Cyberbeveiligingswet moet de gemeente een hoger volwassenheidsniveau realiseren waarbij prestaties worden gemeten, vergeleken en worden gebruikt voor een geoptimaliseerd leervermogen. 3.2.2

Incidenten(afhandeling)

De gemeente Opsterland heeft een actueel geldend privacy beleid waarin het juridisch kader, de toezichthoudende autoriteit, governance, beginselen, rechten van betrokkenen, website (cookies) en bewustwording uiteen wordt gezet. Daarnaast werkt de Privacy Officer van Opsterland op dit moment aan het inzichtelijk maken hoe in elk domein van de gemeentelijke organisatie het met privacy gesteld is. De volgorde waarin domeinen op gebied van privacy worden geanalyseerd, is gekozen op basis van een risico inschatting. Adviezen vanuit DPIA’s (Data Protection Impact Assessments) worden opgenomen in audit- en controlerapportages, en er wordt gestreefd naar het verhogen van de rapportagefrequentie naar elk kwartaal.910 De gemeente Opsterland beschrijft het volgende in het strategisch beleid over incidenten(afhandeling): ● De gemeente kent een eigen systeem waarin incidenten worden vastgelegd. ● Dit systeem geeft waardevolle informatie om van te leren. Incidenten worden gebruikt voor input bij het actualiseren van het beleid. De gemeentelijke organisatie van Opsterland heeft een Datalekprotocol11 waarin de te doorlopen stappen worden beschreven in het geval van een datalek, geschreven door de Chief Information Security Officer (CISO), die het document heeft geschreven toen hij de rol van Privacy Officer (PO) had.

Ook worden de taken en verantwoordelijkheden van verschillende functies beschreven die een rol spelen bij een datalek, zoals de Privacy Officer (PO), CISO en de teammanager. Bijbehorend is er een datalekregister waar alle datalekken worden geregistreerd. De PO en CISO actualiseren het protocol en het register. Uit interviews met de CISO en FG komt naar voren dat men in de veronderstelling is dat medewerkers het niet als een probleem ervaren om een datalek te melden. Medewerkers weten bij wie ze moeten zijn en wat de procedure is om te volgen. Het strategisch beleid wordt deels nageleefd door het ‘eigen systeem’ in de vorm van een datalekkenregister. Er staat niet gedocumenteerd wanneer het register herzien wordt en welke rol de incidenten hebben in de actualisatie van het beleid. Uit het gesprek met de focusgroep met medewerkers in het sociaal domein komt echter een ander beeld naar voren. Door de deelnemers werd aangegeven dat de gemiddelde medewerker onvoldoende over kennis en kunde beschikt om een datalek te identificeren en vervolgens geen weet heeft waar ze die zouden moeten melden.

9

Rapportages zijn niet aan ons beschikbaar gesteld tijdens de onderzoeksperiode. We kunnen het bestaan van de documenten bevestigen, aangezien er een enkele audit & controle rapportage bij het ambtelijk wederhoor is nagestuurd. Er valt dus nog steeds geen uitspraken te doen over de frequentie van de rapportage, enkel de uitgesproken ambitie. 10 Dit geldt ook voor de uitgevoerde privacyscan door The Privacy Company. Document is pas beschikbaar gesteld na de onderzoeksperiode na het ambtelijk wederhoor. 11 Op 28 maart 2025 (na de onderzoeksperiode) is een nieuwe versie van het datalekprotocol vastgesteld

23

3.2.3

PDCA-cyclus12

Volgens het strategisch beleid is informatiebeveiliging een continue verbeterproces. Dit krijgt vorm in de ‘Plan, do, check en act’-cyclus van het managementsysteem van informatiebeveiliging. In de ENSIA-rapportage worden ook de eventuele verbetermaatregelen opgenomen. De ENSIA rapportage is onderdeel van de jaarlijkse cyclus en omvat ook het informatiebeveiligingsbeleid. Buiten de ENSIA-rapportage wordt de PDCA-cyclus onvoldoende in de praktijk gebracht bij de gemeente Opsterland. Uit het toegezonden ENSIA rapport van 2023 blijkt dat de gemeente Opsterland voldoet aan de eisen van de audit. ENSIA omvat echter niet de hele organisatie en het beleid. Het blijkt dat er niet periodiek niet aantoonbaar wordt gedocumenteerd en cyclisch verbeterd. In het jaarplan staat enkel dat bevindingen van de ENSIA rapportage zijn gebruikt om verbeteringen door te voeren en dat er maatregelen zijn getroffen voor de normen waar de gemeente Opsterland niet aan voldeed. Er zijn daarmee ook geen concrete verbeterplannen of andere documentatie gevonden die wijst op een vastgelegde PDCA-cyclus. Dit is in tegenspraak met het strategisch beleid waarin de PDCA-cyclus als één van de belangrijke uitgangspunten is genoemd. Ook de CISO en FG geven aan dat er elementen van de PDCA-cyclus aanwezig zijn, maar nog niet zijn geïntegreerd tot één geheel.

Er is, voor zover wij konden onderzoeken, geen PDCA-cyclus, afgezien van de jaarlijkse ENSIA rapportages, aanwezig in de gemeente Opsterland. 3.2.4

Bestuur & organisatie

Het strategisch beleid van de gemeente Opsterland voorschrijft het Three Lines of Defence model voor de taken en verantwoordelijkheden met betrekking tot informatiebeveiliging. In dit model is het lijnmanagement verantwoordelijk voor de eigen processen in de eerste lijn. De tweede lijn, waaronder de CISO, ondersteunt, adviseert en coördineert en bewaakt of het management zijn verantwoordelijkheden neemt. In de derde lijn wordt het geheel door een auditor van een objectief oordeel voorzien met mogelijkheden tot verbetering, waaronder de FG. De directie van gemeente Opsterland is volgens het beleid aangewezen voor de aansturing van het strategisch beleid. Zij zorgen dat alle processen en systemen zijn ondergebracht bij een afdelingsmanager. Daarnaast stelt de directie het gewenste niveau van continuïteit en vertrouwelijkheid vast en werkt de tactische informatiebeveiligingsonderwerpen uit. De uitvoering van informatiebeveiliging is belegd bij de teamleiders en zij vullen hun eigen rol in. Zij hebben een aantal taken, zoals het uitdragen van het informatiebeveiligingsbeleid en het vroegtijdig signaleren van de voornaamste bedreigingen.

12

Nagezonden documenten versterken het beeld dat de PDCA cyclus nog onvoldoende in praktijk wordt gebracht. Een extra onderbouwing hiervan is de GAP-analyse uit 2023. In deze analyse worden 11 risico’s gesignaleerd, waarvan een aantal zeer ernstig. In het BIO-implementatieplan, waarvan wij in mei 2025 een ongedateerde conceptversie ontvingen, zijn dezelfde risico’s uit 2023 integraal overgenomen. Er is geen indicatie dat de risico’s zijn opgenomen in een werkproces en stellen wederom vast dat de PDCA cyclus niet tot uitvoer wordt gebracht. In aanvulling op ons onderzoeksrapport stellen wij wel ernstige tekortkomingen in (de uitvoering van) het digitale veiligheidsbeleid vast. Bovendien staat in het document ‘Directieadvies audit en controle rapportage’ dat ‘aanbevelingen blijven lang liggen’. Dit wordt bevestigd door het feit dat de audit en control rapportages van 2023 en 2024 bijna exacte kopieën zijn op het gebied van informatiebeveiliging. Uit het eerdergenoemde BIO-implementatieplan blijkt vervolgens dat gemeente twee jaar nodig heeft om aan de BIO te voldoen en door te groeien naar een volwassenheidsniveau 3. De BIO is al 8 jaar een verplichtend normenkader voor gemeenten en wordt wettelijk verplicht onder de Cyberbeveiligingswet.

24

De rol van het lijnmanagement wordt in de gemeentelijke organisatie Opsterland ingevuld door de gemeentesecretaris. De overige directieleden hebben geen formele rol als het gaat om informatieveiligheid, afgezien van het beleid. Veel taken zijn immers belegd bij de teamleiders. Deze laatste groep heeft de verantwoordelijkheid over de medewerkers en het informatiebeveiligingsbeleid. De FG en CISO zijn in de gemeente Opsterland onafhankelijk in positie gezet in de organisatie, waardoor ze onafhankelijk advies kunnen geven. Deze functionarissen geven aan dat ze contact hebben met de portefeuillehouder. Er is vertrouwen in de functionarissen vanuit het bestuur. In de praktijk zijn veel taken bij de teamleiders belegd, zoals het toekennen van rollen in applicaties bij nieuwe medewerkers (gebruikersrechten), onboarding en bewustwording. Daarnaast zijn zij ervoor verantwoordelijk dat hun medewerkers de (gedrag)sregels voor digitale veiligheid in acht nemen. In interviews gaven zowel teamleiders als medewerkers aan dat dit voor extra werkdruk zorgde en niet altijd de aandacht kreeg die nodig was. Daarnaast geven medewerkers aan dat de FG, CISO en PO vaak onvoldoende op de hoogte zijn hoe de afdelingen werken en de daarbij behorende werkprocessen. 3.2.5

Weerbaarheid

Een van de strategische doelen van de gemeente Opsterland op gebied van informatieveiligheid is het minimaliseren van de risico’s van menselijk gedrag. Dit wordt ingevuld door alle medewerkers te trainen in het gebruik van beveiligingsprocedures en in het verantwoord omgaan met persoonsgegevens en andere informatie. Om de weerbaarheid van de hele gemeentelijke organisatie, mens en systeem, te kunnen garanderen, moet aan preventie worden gewerkt. Om nieuwe medewerkers te informeren en op te leiden betreffende informatieveiligheid, is er een onboardingstraining. De Privacy Officer is ten tijde van dit rekenkameronderzoek bezig met het herzien van deze onboarding. Zo is een nieuwe training ontwikkeld die in 2025 van start zal gaan voor alle nieuwe medewerkers.13 Uit gesprekken met verschillende medewerkers is gebleken dat er diverse activiteiten worden georganiseerd om de bewustwording rond informatieveiligheid te vergroten, zoals lezingen en de wekelijkse Digiheld-vraag. Deze activiteiten zijn echter niet verplicht en medewerkers kunnen makkelijk niet deelnemen. Ook lijken er geen informatiebeveiligingsopleidingen en/of trainingen te zijn voor zittende medewerkers, naast de vrijblijvende activiteiten. Daarnaast is informatieveiligheid geen onderwerp van gesprek in afdelingsoverleggen en het lijkt verder in de organisatie ook niet op de agenda te staan.

De fysieke veiligheid van medewerkers wordt wel besproken tijdens dit soort overleggen. In Opsterland wijst de praktijk uit dat het kennisniveau van de meeste medewerkers onvoldoende is om informatieveiligheid goed te borgen in de werkprocessen. In het gesprek met de focusgroep is aangegeven dat men de CISO en FGonvoldoende zichtbaar vindt met als gevolg dat medewerkers onwetend zijn. Dit bemoeilijkt het werken met persoonsgegevens omdat onvoldoende duidelijk is hoe medewerkers hiermee om moeten gaan en welke kaders en richtlijnen zij in hun werk moeten meenemen om digitaal veilig te zijn. Daarmee wordt niet voldaan aan de uitgangspunten van het strategisch beleid.14 3.2.6

Crisisorganisatie

Het adequaat reageren op incidenten wordt benoemd als strategisch doel van het informatieveiligheidsbeleid. Hieronder valt het oefenen met (cyber)crisissituaties. Het oefenen met crisissituaties staat echter niet als specifiek uitgangspunt genoemd in het strategisch beleid. 13 14

Inmiddels is de nieuwe onboardingstraining begin 2025 van start gegaan. Dit was na de onderzoeksperiode. In het rapport van de Privacy Company wordt benoemd dat het niveau op bewustwording 4 is.

25

Er wordt momenteel gewerkt aan een cybercrisisoefening binnen de gemeente Opsterland, zo is gebleken uit gesprekken met functionarissen. Er is een oefening begin 2024 geweest om een cyberaanval OWO-breed te stimuleren. We hebben niet kunnen verifiëren dat de verbeterpunten binnen de gemeentelijke organisatie Opsterland zijn doorgevoerd aan de hand van een PDCA-cyclus. Daarnaast werd gemeld dat er in OWO-verband geoefend wordt, naast de gemelde oefening van begin 2024 al hebben we hier ook geen documentatie van ontvangen van de gemeente Opsterland. Er is aangegeven dat momenteel in OWO-verband wordt gewerkt aan een verdere invulling van de crisisstructuur.15 Oefenen met (cyber)crisisoefeningen is cruciaal in deze tijd om adequaat te kunnen handelen bij een soortgelijk incident, zoals het strategisch beleid voorschrijft. Dit is in de gemeente Opsterland nog niet geformaliseerd en geprofessionaliseerd. Het onderdeel crisisoefening ontbreekt in het strategisch beleid. Er wordt niet periodiek geoefend en het is onduidelijk wat er met de bevindingen en verbeterpunten uit de genoemde sessie van april 2024 is gebeurd. De PDCA-cyclus ontbreekt op dit vlak.

15

De OWO directie heeft na de onderzoeksperiode een continuïteitsplan vastgesteld om dit te verbeteren.

26

4

Rol van de Raad

De gemeenteraad speelt een belangrijke rol bij de digitale veiligheid van de gemeente. De raad controleert immers het college of de veiligheid voldoet aan de daaraan gestelde eisen. Ook stelt de raad de beleids- en financiële kaders vast. Deze belangrijke rol van de raad is expliciet meegenomen in dit onderzoek. In elk van de OWO-gemeenten is gesproken met een vertegenwoordiging van de gemeenteraad. Na een korte introductie over de status van het onderzoek is met de aanwezige raadsleden een casus over digitale veiligheid besproken. Deze casus speelde zich af in een fictieve gemeente die in karakteristiek vergelijkbaar is met de eigen gemeente. Na de behandeling van deze casus is het gesprek gevoerd over de wijze waarop de raad thans de controlerende en kaderstellende rol ten aanzien van digitale veiligheid vervult. Vervolgens is gesproken over mogelijke verbeteringen van deze rol.

4.1

Informatievoorziening

Er zijn verschillende manieren waarop de raad geïnformeerd kan worden over informatieveiligheid. Allereerst zijn er raadsstukken die de situatie rondom informatieveiligheid uiteenzetten. Dit zijn bijvoorbeeld jaarrapportages en ENSIA evaluaties. Raadsleden kunnen daarnaast zelf ook vragen stellen over de actualiteiten rondom informatieveiligheid. De CISO van Opsterland stelt gezamenlijk met de FG een jaarlijkse rapportage op, deze wordt door het college van b. en w. aan de gemeenteraad aangeboden. Deze jaarrapportage biedt een overzicht van de stand van zaken rondom informatieveiligheid. Daarnaast krijgen de gemeenteraadsleden informatie over de ENSIA-audit. Ook wordt de gemeenteraad geïnformeerd over nieuwe ontwikkelingen binnen de OWO-samenwerking. Er zijn door de raad geen schriftelijke vragen ingediend over het onderwerp informatieveiligheid. Functionarissen vertellen dat de opkomst bij raadsbijeenkomsten op dit onderwerp over het algemeen ook laag is, al zijn alle fracties vaak wel vertegenwoordigd. Er lijkt weinig belangstelling voor het onderwerp. Wanneer de gemeenteraad mondelinge vragen stelt, gaan deze vooral over het technische deel in plaats van het menselijke en organisatorische deel van informatieveiligheid.

4.2

Perspectief raadsleden in Opsterland

In de raadsbijeenkomst in Opsterland leidt de casus tot veel herkenning. Sommige raadsleden geven aan dat het gebruik van jargon en afkortingen in documenten over digitale veiligheid niet bijdraagt aan een raadsbreed begrip van het onderwerp digitale veiligheid. Raadsleden die beter ingevoerd zijn in de materie geven aan dat het voor de gemeenteraad niet relevant is om te focussen op de techniek. Die is immers snel achterhaald. Ook de BIO en ENSIA rapportages bieden volgens hen te weinig aanknopingspunten voor de raad om te sturen. Raadsleden zijn van mening dat digitale veiligheid meer aandacht en sturing van de gemeenteraad nodig heeft. De gemeente besteedt geld aan preventie, maar de raad krijgt geen inzicht in de besteding van deze middelen of in de incidenten die daarmee zijn voorkomen. Raadsleden hebben er onvoldoende zicht op of het college daadwerkelijk ‘in control’ is bij een cyberincident. Een deel van de raadsleden wil periodiek worden bijgepraat over digitale veiligheid. Ook zou het onderwerp verankerd moeten worden in het inwerkprogramma van (nieuwe) raadsleden.16

16

Er liggen plannen om privacy en informatiebeveiliging onderdeel te maken van het inwerkprogramma voor de raad. Deze ontwikkeling is niet ter sprake gekomen tijdens het onderzoek.

27

Niet alleen de kaderstellende en controlerende rol van de raad komt aan bod in deze bijeenkomst. Raadsleden zijn immers ook gebruikers van digitale voorzieningen. Er is aandacht voor digitale veiligheid bij ambtenaren en ook het college van b. en w. doet mee als het gaat om bewustwordingsactiviteiten als ‘phishing mails’. Dat geldt (nog) niet voor de raad terwijl ook raadsleden werken met vertrouwelijke informatie.

28

5. Beantwoording onderzoeksvragen en toetsing aan het normenkader 5.1

Beantwoording onderzoeksvragen

1. Wat is het beleid op het gebied van informatieveiligheid; voldoet dit aan actuele standaarden (als de BIO en ENSIA) en zijn de gemeenten voorbereid op de BIO2 en ENSIA? De drie OWO-gemeenten stellen op dit moment hun eigen strategisch informatiebeveiligingsbeleid op. Team ICT werkt samen met de individuele OWO-gemeenten aan een gezamenlijk nieuw strategisch informatiebeveiligingsbeleid dat voor alle drie de gemeenten geldt. Individuele gemeenten bereiden zich voor op de BIO2, team ICT is hier via de CITSO bij betrokken. Voor de drie individuele gemeenten geldt wel dat ze verschillen in volwassenheid en de mate waarin ze aan de BIO en ENSIA standaarden voldoen. Het niveau van de gemeente Opsterland (en daarmee het voldoen aan de BIO en ENSIA) ligt lager dan de gemeenten Ooststellingwerf en Weststellingwerf. Het beleid van de gemeente Opsterland is algemeen beschreven en niet toegespitst op de gemeente zelf. De BIO is niet volledig geïmplementeerd, er wordt momenteel gewerkt aan een plan met maatregelen. De verbeterpunten van de BIO uit 2020 zijn nog niet doorgevoerd. De gemeente is nog onvoldoende voorbereid op de BIO2 en ENSIA. 2.

Hoe wordt het Informatieveiligheidsbeleid uitgevoerd op bestuurlijk, organisatorisch, technisch, proces- en medewerkersniveau? Worden hierbij pentesten ingezet, zo ja, welke? Team ICT is verantwoordelijk voor de operationele activiteiten op gebied van informatieveiligheid. Op bestuurlijk niveau wordt Team ICT betrokken bij het nieuwe strategisch informatieveiligheidsbeleid dat door de drie gemeenten opgesteld wordt. Er is echter geen structureel bestuurlijk overleg tussen OWO en de portefeuillehouders van de individuele gemeenten. Daarnaast worden er periodiek pentesten en ENSIA audits uitgevoerd door Team ICT. De verantwoordelijkheid voor het vervolg op bevindingen van pentesten, interne audits en evaluaties zijn bij de desbetreffende OWO-gemeenten belegd. De opvolging daarvan is verschillend in uitvoering. Team ICT voert de technische en praktische bevindingen uit. Het informatieveiligheidsbeleid van de gemeente Opsterland is algemeen en wordt niet structureel getoetst op uitvoering. Er worden vanuit Team ICTpentesten uitgevoerd. De uitvoering op het beleid laat verschillende witte vlekken zien. De gemeente Opsterland voert zelf geen (human) pentesten uit. De gemeente is bezig met het verhogen van de frequentie van de audit- en controlerapportages, maar het is momenteel onduidelijk wat de huidige frequentie is en wat er met de uitkomsten van de rapportages gebeurt. 3.

Zijn gegevens voldoende beschermd tegen toegang door onbevoegden? In hoeverre wordt getoetst of de organisatie ‘in control’ is op het gebied van informatiebeveiliging en welke instrumenten worden hierbij gebruikt? Team ICT voert het leveranciersmanagement uit voor de drie OWO-gemeenten. Alle grotere applicaties staan onder verantwoordelijkheid van team ICT van OWO, kleinere applicaties staan onder verantwoordelijkheid van de gemeenten zelf. De drie OWO-gemeenten werken gezamenlijk aan een overzicht van alle kernapplicaties en de bijbehorende regie verantwoordelijkheden. Het beheer op de juiste toegangsrechten voor applicaties is volgens team ICT van OWO nog niet sluitend geregeld binnen de gemeenten, waardoor onbevoegden mogelijk toegang kunnen krijgen tot gevoelige informatie en systemen. Team ICT van OWO maakt gebruik van tooling, logging, firewalls

29

en monitoring. Daarnaast is team ICT ook verantwoordelijk voor de uitvoering van de back-ups en restores van de OWO gemeenten. In de gemeente Opsterland is momenteel nog onvoldoende controle op toegangsbeheer, zoals ook eerder geconstateerd in de BIO audit van 2020. Opsterland is momenteel bezig met het in kaart brengen van de resterende applicaties die de eigen gemeente heeft aangeschaft. Niet met alle leveranciers en externe partijen zijn er al verwerkersovereenkomsten gesloten en de gemeente heeft deze partijen nog niet volledig in beeld. Het risico bestaat dat gegevens in handen van onbevoegden vallen. De gemeente hanteert voor applicaties een twee-factor-authenticatie, al is er voor apparatuur geen beleid hierop. Er is geen overzicht op de gebruikersrechten en het is onduidelijk of dit periodiek wordt onderzocht. 4. Is de continuïteit van de gemeentelijke dienstverlening gewaarborgd in geval van grootschalige uitval of verstoring van ICT en hoe is dat geregeld? Weet de organisatie hoe te handelen bij een (ernstig) informatiebeveiligingsincident, hoe ziet het incidentmanagementproces eruit en wordt dit in de praktijk geoefend? In OWO-verband is een procedure ernstige verstoringen waarin de volgorde en prioriteit van handelen tijdens een ernstige verstoring beschreven staat. Er wordt echter niet structureel geoefend met een uitgebreide verstoring zoals een cybercrisis.

Ook zijn de taken en verantwoordelijkheden tijdens een cybercrisis tussen de individuele gemeenten en Team ICT momenteel niet geheel duidelijk. In Opsterland is een procedure voor het melden van datalekken aanwezig en er wordt een jaarlijks overzicht gemaakt van de incidenten in de gemeente Opsterland. Er is geen crisisprotocol aanwezig en er wordt niet periodiek geoefend. Er is een enkele oefening op OWO niveau geweest, al heeft Opsterland hier geen documentatie over aangeleverd en is het niet benoemd in gesprekken. De uitkomsten en opvolging van deze oefening zijn onduidelijk. Team ICT van OWO bedrijfsvoering volgt een incidentenprotocol waardoor de dienstverlening in zekere mate geborgd lijkt. 5. Hoe wordt omgegaan met risico’s en incidenten op het gebied van informatieveiligheid en in hoeverre toont de organisatie lerend vermogen (PDCA cyclus)? Er is geen gezamenlijke verbetercyclus voor de drie OWO-gemeenten. De risicoanalyses en incidentenprocedures worden bij de verschillende gemeenten verschillend uitgevoerd. Wel wordt binnen team ICT gewerkt aan monitoring en verbetering van zwakke punten in de informatiebeveiliging van de applicaties die op OWO niveau zijn belegd. Het verlenen en beheren van de juiste toegangsrechten voor gebruikers wordt door team ICT genoemd als een van die verbeterpunten.

Een incident wordt vastgesteld bij de servicedesk van OWO door een gebruikersmelding van een medewerker van een van de OWO gemeenten of vanuit een van de monitoringstools. Team ICT monitort vervolgens of een incident een ernstige verstoring is en start de bijbehorende oplossingsmaatregel. Er is in Opsterland geen volledige PDCA-cyclus. Er zijn wel elementen aanwezig, zoals een datalekprocedure en incidentenregister, maar er mist een sluitende systematiek waarin periodiek geleerd en verbeterd wordt op informatieveiligheid. Zo is het onduidelijk hoe er op de bevindingen van de ENSIA rapportages opvolging plaatsvindt. Incidenten worden bijgehouden, maar het is onduidelijk hoe risico’s worden gemonitord. 6. Hoe wordt gezorgd voor bewustwording voor informatiebeveiliging bij medewerkers, bestuur, raad en samenwerkingspartners? Team ICT van OWO heeft geen rol in de bewustwording over informatiebeveiliging onder medewerkers van de individuele OWO-gemeenten. Er is geen gezamenlijke aanpak. De individuele gemeenten hebben hun eigen bewustwordingsprogramma. De intensiteit van dat programma verschilt per gemeente.

30

Opsterland heeft een verplichte onboarding voor nieuwe medewerkers, die in 2025 wordt herzien. Daarnaast organiseert de gemeente Opsterland bewustwordingsactiviteiten. Deze activiteiten zijn echter niet verplicht en medewerkers onttrekken zich er makkelijk aan. De monitoring van de activiteiten is onduidelijk en eventuele opvolging en verbeterplannen zijn er niet. Het kennisniveau op informatieveiligheid lijkt onvoldoende onder de medewerkers van de ambtelijke organisatie. Er worden verwerkersovereenkomsten gesloten met samenwerkingspartners om de bewustwording te borgen. Binnen het bestuur is informatieveiligheid tijdens functioneringsgesprekken een onderwerp van gesprek. Onder de raadsleden is het geen onderwerp van gesprek, al is die wens er wel. De raad doet daarbij niet mee aan de wekelijkse bewustwordingsvraag. 7. Zijn de rollen en taken op het gebied van informatiebeveiliging voor medewerkers en het management duidelijk en hoe wordt er gestuurd in de gemeentelijke organisatie? Er is geen structureel bestuurlijk overleg tussen Team ICT van OWO en de CISO’s van de individuele gemeenten. Er is hierdoor nog geen eenduidige afstemming over het informatieveiligheidsbeleid en uitvoering tussen de gemeenten en Team ICT van OWO.

De taken en verantwoordelijkheden binnen Team ICT liggen vooral op de technische en praktische uitvoering van ICT zoals het leveranciersmanagement en het beheer van de grotere applicaties. De drie OWO-gemeenten werken op dit moment gezamenlijk met Team ICT aan een overzicht autorisaties, rollen en taken van de kernapplicaties. Een CITSO dient als tussenpersoon tussen Team ICT van OWO bedrijfsvoering en de drie CISO’s van de individuele OWO gemeenten en adviseert op de techniek. De rollen en verantwoordelijkheden zijn in het beleid van Opsterland duidelijk uiteengezet. In de praktijk hebben teammanagers in de gemeente Opsterland echter meer taken en lijken de verantwoordelijkheden voor de informatiebeveiliging naar de achtergrond te verdwijnen. De FG en CISO zijn echter wel onafhankelijk binnen de ambtelijke organisatie en hebben een eigen budget. Ze staan sterk in hun positie naar het bestuur toe. Echter dit is niet het geval naar de medewerkers van de ambtelijke organisatie toe. Medewerkers zijn minder bekend met de FG en CISO en het is hen onduidelijk wat hun taken en verantwoordelijkheden zijn in de praktische uitvoering. 8. Hoe is de raad betrokken bij het informatieveiligheidsbeleid en is dit voldoende om de kaderstellende en controlerende rol te kunnen vervullen? Raadsleden ontvangen een jaarlijkse rapportage en de resultaten van de ENSIA audit.

Raadsleden geven aan onvoldoende kennis en informatie te hebben om hun taken uit te voeren. Dit wordt mede veroorzaakt door het gebrek aan informatievoorziening afgezien van het jaarlijkse rapport van de FG en CISO en de ENSIA rapportage.

31

5.2

Toetsing aan het normenkader

5.2.1

Normen ten aanzien van het beleid

Norm

Ooststellingwer f

Weststellingwerf

Opsterland

De gemeente heeft BIO- conform informatiebeveiligingsbeleid. De algemene uitgangspunten en kaders zijn besproken in en vastgelegd door de gemeenteraad. In het beleid wordt o.a. ingegaan op: ● Strategische uitgangspunten ● Risicomanagement ● Governance (waaronder rollen en verantwoordelijkheden) ● De PDCA-cyclus van de gemeente In (voortgangs)rapportages wordt ingegaan op informatiebeveiliging. In programma’s en projecten wordt expliciet aandacht besteed aan informatiebeveiliging. Er is een procedure hoe wordt omgegaan met informatiebeveiligingsincidenten (waaronder cyberaanvallen) en een crisisprotocol. De gemeente heeft beleid voor informatiebeveiliging ten aanzien van samenwerkingspartners, gemeenschappelijke regelingen en leveranciers.

5.2.2

OWO nvt

nvt

nvt nvt

Normen ten aanzien van digitale veiligheid in de praktijk

Norm

Ooststellingwerf

Weststellingwerf

Opsterland

OWO

In de praktijk wordt gehandeld conform de wijze waarop informatie wordt beveiligd, waaronder in de relevante werkprocessen, de toewijzing van verantwoordelijkheden, de inrichting van informatiesystemen, de autorisaties, de afspraken voor de verwerking van gegevens en de afspraken over het informeren

32

van burgers en het vragen van toestemming. De gemeente heeft een leer- en verbetercyclus (PDCA-cyclus). De gemeente heeft inzicht in de belangrijkste verbeterplannen en –maatregelen. Er wordt in het geval van incidenten, calamiteiten en crisis volgens de vastgelegde procedures gehandeld. De vastgelegde controles en rapportages worden in de praktijk uitgevoerd. De gemeente test en toetst procedures regelmatig om de effectiviteit en werking te toetsen. De gemeente houdt toezicht op de afspraken ten aanzien van informatiebeveiliging met (samenwerkings)partners, regelingen en leveranciers. De gemeenteraad wordt geïnformeerd op een manier die hem in staat stelt te sturen en te controleren.

5.2.3

nvt

nvt

Normen ten aanzien van de organisatiecultuur

Norm

Ooststellingwerf

Weststellingwerf

Opsterland

OWO

De medewerkers van de gemeente zijn bekend met het gemeentelijk beleid met betrekking tot informatiebeveiliging en worden van aanpassingen op de hoogte gehouden. In hun dagelijks functioneren geven de medewerkers er blijk van het gemeentelijk informatiebeveiligingsbeleid na te leven. In de relatie met ketenpartners bewaken de medewerkers actief dat deze ketenpartners zich conformeren aan de regels, standaarden en procedures van de gemeente op het gebied van informatiebeveiliging.

33

Bijlage 1- Geïnterviewde personen Afdelingshoofd OWO bedrijfsvoering CISO Opsterland FG Opsterland Gemeentesecretaris Opsterland Inkoopstrateeg OWO bedrijfsvoering Privacy Officer Opsterland Teamleider ICT OWO bedrijfsvoering Wethouder Opsterland

34

Bijlage 2 - Documentatie Documentnaam Verwerkingsregister Opsterland Model verwerkersovereenkomst gemeente Opsterland Assurance rapport ENSIA audit 2023 b. en w. -advies Collegeverklaring ENSIA 2023 DPIA privacyprotocol ondermijning Datalekprotocol gemeente Opsterland Datalekregister AVG-gegevens Gemeentelijke informatiebeveiligingsplan ICT OWO17 Informatiebeveiligingsplan Werk en Inkomen 2016 Onboardingstraining privacy 2025 Privacybeleid 2022-2026 Rechten van betrokkenen protocol Strategisch Gemeentelijk Informatiebeveiligingsbeleid Gemeente Opsterland 2020 Werkinstructie Procedure Ernstige Verstoring ICT18

Versie

Datum 2024

25-04-2024 16-04-2024 1.0

12-2023

4.0

18-12-2019

4.0

01-09-2016

1.0 2020

1.9

04-2024

Nagestuurde documenten: Documentnaam

Datum document

Document na onderzoeksperiode?

AC rapportage 2024 Q3

2024 Q3

Nee

Jaarplan Audit & Control 2024 Actielijst OWO-afdeling Bedrijfsvoering Audit & Control rapportage interim 2023 BIO vragenlijst Opsterland template 2025 Concept OWOinformatiebeveiligingsbeleid Datalekprotocol - gemeente Opsterland v1.1

2024

Nee

12-5-2025

Ja

2023

Nee

2025 datum niet ingevuld (maar beleid voor 2026-2030)

Ja

27-mrt

Ja

Datalekregister AVG-gegevens Directie advies Audit & Control rapportage interim 2023 DT akkoord audit& control rapportage DT akkoord audit & control rapportage

2025

Deels

1-7-2024

Nee

17-7-2024

Nee

22-1-2025

Ja

17 18

Ja

Geldig voor alle OWO gemeenten. Aangeleverd door Opsterland. Geldig voor alle OWO gemeenten. Aangeleverd door Opsterland.

35

Gemeente Opsterland ENSIA 2023 GAP analyse BIO: top 11 risico's Veilig werken bij Opsterland, dat doe je zo!

25-4-2024

Nee

24-5-2023

Nee

1-11-2024

Nee

Verslag overleg MT-breed Voortgangsrapportage interm 2022 Werkinstructie Procedure Ernstige Verstoringen ICT

6-4-2023

Nee

2022

Nee

jun-24

Nee

Jaarplan Audit & control 2025 Meldingen in TOPdesk OWOgemeenten

2025

Ja

9-10-2023

Nee

Privacybeleid 2022-2026

2022 geen datum, maar naar schatting begin 2025 (streefdoel 2 jaar en 2027 Projectplan - implementatie BIO wordt genoemd als jaartal) Gemeentelijk Informatiebeveiligingsplan ICT 18-12-2019

Nee

Incident Managment Proces Actielijst OWO-afdeling Bedrijfsvoering

29-1-2025

Ja

26-5-2025

Ja

TO DO lijst printscreens

Q2 2025

Ja

Ja Nee

36

Bijlage 3 - Lijst met afkortingen Afkorting AVG Wpg DPIA ENSIA IBP FG CISO CITSO PO OWO PDCA BIO VNG KCC AP b. en w. ICT VTH I&A IBD

Betekenis Algemene Verordening Gegevensbescherming Wet politiegegevens Data Protection Impact Assessment Eenduidige Normatiek Single Information Audit Informatiebeveiliging en Privacy Functionaris Gegevensbescherming Chief Information Security Officer Chief Information Technical Security Officer Privacy Officer Ooststellingwerf, Weststellingwerf en Opsterland (samenwerkingsverband gemeenten) Plan-Do-Check-Act (kwaliteitscyclus) Baseline Informatiebeveiliging Overheid Vereniging van Nederlandse Gemeenten Klant Contact Centrum Autoriteit Persoonsgegevens Burgemeester en Wethouders Informatie- en Communicatietechnologie Vergunning Toezicht en Handhaving Informatie en Automatisering Informatie beveiligingsdienst

37