Raadsvoorstel Rapport Rekenkamer

Zaaknummer: 0086228669

RAADSVOORSTEL MET BESLUIT

Raadsvergadering

: 29 september 2025

Agendapunt

:

Onderwerp

: Onderzoeksrapport Rekenkamer - Informatieveiligheid

Portefeuillehouder

:

Beetsterzwaag, 1 september 2025

Voorstel 1.

2. 3.

Over te nemen de aanbevelingen van de rekenkamer zijnde: 1. Intensiveer de samenwerking in OWO verband en breid deze uit door niet alleen de uitvoering gezamenlijk op te pakken, maar ook gezamenlijk beleid te formuleren; 2. Vertaal de uitgevoerde GAP-analyse structureel naar een concreet verbeterplan met meetbare mijlpalen, versnel de implementatie van de BIO2-norm en zorg voor een integrale aanpak voor informatieveiligheid om het volwassenheidsniveau te verhogen; 3. Verhoog de aandacht voor risicobeheersing en zorg voor een duidelijke opvolging van incidenten; 4. Versterk de PDCA-cyclus door de opvolging van audits en adviezen te verbeteren en te documenteren; 5. Maak bewustwordingsactiviteiten verplicht voor medewerkers, bestuurders en raadsleden en zorg voor een gestructureerde aanpak voor opleiding en training. 6. Organiseer periodieke crisisoefeningen en borg de effectiviteit ervan binnen een PDCAcyclus; 7. Informeer de gemeenteraad zodanig dat zij haar controlerende en kaderstellende rol op het gebied van digitale veiligheid kan vervullen. Het college te verzoeken uitvoering te geven aan aanbevelingen 1 t/m 7 en de raad over een jaar hierover te informeren met een raadsbrief. Het college te verzoeken de informatievoorziening richting de raad, conform aanbeveling 7, tijdig te doen.

Inleiding De Rekenkamer heeft onderzocht of de informatiebeveiliging voldoende is georganiseerd en geborgd in Opsterland en in hoeverre de gemeenteraad in positie is om haar taken uit te voeren. Aanleiding daarvoor is de toenemende afhankelijkheid van digitalisering en de bijbehorende risico’s voor publieke dienstverlening en persoonsgegevens. Het onderzoek richt zich op het beleid, de uitvoering en de bestuurlijke grip op digitale veiligheid. De Rekenkamer doet in het eindrapport verschillende aanbevelingen aan het college en de gemeenteraad. De Rekenkamer concludeert dat het strategisch beleid grotendeels voldoet aan landelijke normen, maar dat de uitvoering versnipperd is, verantwoordelijkheden niet altijd duidelijk zijn, en het lerend vermogen en de bewustwording binnen de organisatie versterkt moeten worden. Ook is de rol van de gemeenteraad als kadersteller en controleur op dit onderwerp volgens de rekenkamer nog beperkt. Het college heeft op het rapport gereageerd en geeft aan op meerdere punten in actie te zijn of te willen komen. Bij twee aanbevelingen, over incidentenafhandeling en bewustwording, plaatst het college kanttekeningen. Met dit voorstel kan de raad zich uitspreken over de opvolging van de aanbevelingen en richting geven aan de uitvoering.

In de oriënterende raadsbijeenkomst heeft de raad de gelegenheid om in gesprek te gaan met de rekenkamer en het college. 1/4

Zaaknummer: 0086228669

Beoogd effect en/of resultaat Een vervolg geven aan de uitkomsten van het onderzoek van de rekenkamer.

Argumenten 1. De rekenkamer is een instrument van en voor de raad De gemeenteraad heeft een rekenkamer ingesteld om de kaderstellende en controlerende rol van de raad te ondersteunen. De rekenkamer onderzoekt of beleid en uitvoering rechtmatig, doelmatig en doeltreffend zijn. Dit betekent dat wordt gekeken of volgens de regels is gehandeld, of middelen goed zijn besteed en of het beleid de gewenste resultaten oplevert. De rekenkamer van Opsterland vormt een personele unie met de rekenkamers van Ooststellingwerf en Weststellingwerf. De rekenkamer bestaat uit een externe voorzitter en externe leden. De rekenkamer legt haar bevindingen vast in rapporten. Deze rapporten worden voor een bestuurlijke reactie voorgelegd aan het college van burgemeester en wethouders. De reactie van het college wordt integraal in het rapport opgenomen. De gemeenteraad ontvangt vervolgens het rapport. Het is aan de raad om te bepalen in welke mate de aanbevelingen overgenomen worden en welke opdrachten aan het college worden gegeven. 2. Het overnemen van de aanbevelingen is onvoldoende zonder opdracht. 3. Actualiteit en continuïteit in de informatievoorziening Voor een goede uitvoering van de controlerende en kaderstellende rol heeft de raad actuele informatie nodig. In de jaarstukken van het afgelopen jaar werd bijvoorbeeld verwezen naar een ENSIArapportage van het jaar daarvoor.

Om te voorkomen dat de raad achterloopt, is het wenselijk dat het college rapportages met een informatiebrief toestuurt als het niet is gelukt deze te verwerken in P&Cdocumenten.

Kanttekeningen 1.1 Afhankelijkheid van andere OWO-gemeenten (aanbeveling 1) Aanbeveling 1 richt zich op samenwerking binnen OWO-verband. Succes op dit punt is mede afhankelijk van bereidheid bij de andere OWO-gemeenten. 1.2 Verschil in inzicht over risicobeheersing en opvolging van incidenten (aanbeveling 3) Het college stelt dat incidenten al voldoende worden geregistreerd en opgevolgd via bestaande systemen. De Rekenkamer vindt echter dat de opvolging in de praktijk beperkt zichtbaar is. Volgens de Rekenkamer ontbreekt het aan structurele analyse en terugkoppeling, wat zij belangrijk vinden om risico’s te beheersen en ervan te leren. 1.3 Verschil in inzicht over borging van opvolging audits en adviezen (aanbeveling 4) Het college en de rekenkamer verschillen van inzicht over hoe goed de opvolging van audits en adviezen is geborgd. Het college vindt dat dit al gebeurt binnen bestaande processen. De Rekenkamer ziet vooral dat met name de fasen ‘Check’ en ‘Act’ van de PDCA-cyclus onvoldoende zichtbaar zijn ingevuld, waardoor verbeteracties niet structureel worden vastgelegd of gevolgd. Daarnaast plaatst het college kanttekeningen bij de toepassing van stoplichtkleuren in het rapport: deze zouden een te simplistisch beeld geven.

De Rekenkamer erkent dat die een vereenvoudiging zijn, maar noemt het een bruikbaar hulpmiddel om in één oogopslag de aandachtspunten weer te geven, gebaseerd op haar bevindingen. 1.4 Verschil in inzicht over onderzoeksbasis (aanbevelingen 2, 4 en 5) Het college plaatst kanttekeningen bij de representativiteit en onderbouwing van enkele bevindingen uit het onderzoek. Zo wijst het op de beperkte omvang van de focusgroep (vier medewerkers uit één team). Ook noemt het een aanvullend onderzoek van de Privacy Company dat een positiever beeld laat zien van het bewustwordingsniveau. De Rekenkamer erkent dat zij dit aanvullende onderzoek niet kon meenemen vanwege de timing, maar ziet de signalen uit haar eigen onderzoek als relevant. Ook geeft de Rekenkamer aan achter de onderzoeksmethodiek te staan, waarbij benadrukt wordt dat het geschetste beeld niet uitsluitend gebaseerd is op de focusgroep. 1.5 Verschil in inzicht over effect van verplichte bewustwording (aanbeveling 5) Er bestaat verschil van inzicht over het effect van het verplicht stellen van bewustwordingsactiviteiten voor medewerkers. Het college geeft aan al een combinatie van verplichte en vrijwillige activiteiten uit 2/4

Zaaknummer: 0086228669 te voeren, zoals onboardings-trainingen en phishing-tests, maar vindt uitbreiding van verplichte onderdelen niet wenselijk. Volgens het college kan dit het draagvlak en de intrinsieke motivatie ondermijnen. De Rekenkamer benadrukt juist dat vrijblijvendheid kan leiden tot lage deelname en onvoldoende kennis over digitale veiligheid. Verplichte, gestructureerde trainingen kunnen volgens haar bijdragen aan een duurzaam hoger kennisniveau en betere naleving van protocollen. 1.6 Bewustwording raadsleden vraagt om passende benadering (aanbeveling 5) Het verplicht stellen van bewustwordingsactiviteiten is vooral van toepassing op het college en medewerkers, voor wie het college formeel verantwoordelijkheid draagt. Voor raadsleden ligt dat anders: zij hebben een autonome positie en bepalen zelf aan welke bijeenkomsten zij deelnemen. Daarnaast beschikken zij niet over dezelfde toegang tot informatie als ambtenaren en het college, wat vraagt om een andere benadering qua inhoud en vorm. Hoewel het college deelname niet kan verplichten, kan het wél een faciliterende of stimulerende rol vervullen. De raad kan zelf besluiten om scholing en bewustwording op te nemen in het inwerkprogramma of via themabijeenkomsten.

Middelen Het college geeft geen financieel voorbehoud in de bestuurlijke reactie voor de opvolging van de aanbevelingen.

SDG’s Niet van toepassing.

Evaluatie De uitvoering van de aanbevelingen kan worden gevolgd via de jaarstukken en, indien van toepassing, via aanvullende rapportages of themabijeenkomsten.

Bijlagen 1. Aanbiedingsbrief rekenkamerrapport 2. Rapport rekenkamer Informatieveiligheid in Opsterland: Tussen ambitie en uitvoering 3. Begrippenlijst van de griffie bij rekenkamerrapport

De Agendacommissie van de Gemeente Opsterland, De secretaris

De voorzitter

Laura Meijer

Andries Bouwman

Team

: Griffie

Behandelend ambtenaar : Ruerd de Haas Telefoonnummer

: 0512 386 299

Emailadres

: ruerd.de.haas@opsterland.nl

3/4

Zaaknummer: 0086228669

Ontwerp raadsbesluit Raadsvergadering

: 29 september 2025

Agendapunt

:

Onderwerp

: Onderzoeksrapport Rekenkamer - Informatieveiligheid

De raad van de Gemeente Opsterland, gelezen het voorstel van de agendacommissie d.d. 14 juli 2025, besluit: 1. Over te nemen de aanbevelingen van de rekenkamer zijnde: 1. Intensiveer de samenwerking in OWO verband en breid deze uit door niet alleen de uitvoering gezamenlijk op te pakken, maar ook gezamenlijk beleid te formuleren; 2. Vertaal de uitgevoerde GAP-analyse structureel naar een concreet verbeterplan met meetbare mijlpalen, versnel de implementatie van de BIO2-norm en zorg voor een integrale aanpak voor informatieveiligheid om het volwassenheidsniveau te verhogen; 3. Verhoog de aandacht voor risicobeheersing en zorg voor een duidelijke opvolging van incidenten; 4. Versterk de PDCA-cyclus door de opvolging van audits en adviezen te verbeteren en te documenteren; 5. Maak bewustwordingsactiviteiten verplicht voor medewerkers, bestuurders en raadsleden en zorg voor een gestructureerde aanpak voor opleiding en training. 6. Organiseer periodieke crisisoefeningen en borg de effectiviteit ervan binnen een PDCAcyclus; 7. Informeer de gemeenteraad zodanig dat zij haar controlerende en kaderstellende rol op het gebied van digitale veiligheid kan vervullen. 2. Het college te verzoeken uitvoering te geven aan aanbevelingen 1 t/m 7 en de raad over een jaar hierover te informeren met een raadsbrief. 3.

Het college te verzoeken de informatievoorziening richting de raad, conform aanbeveling 7, tijdig te doen.

Aldus besloten in de openbare vergadering van de raad van de Gemeente Opsterland van 29 september 2025. De griffier,

De voorzitter,

Laura Meijer

Andries Bouwman

4/4