6 Informatiebrief raad stand van zaken informatiebeveiliging gemeente Oss 2021.DOCX

Gemeente Oss Raadhuislaan 2, Oss Telefoon 14 0412 Fax [0412] 64 26 05 E-mail gemeente@oss.nl www.oss.nl

Postbus 5 5340 BA Oss

Wilt u bij uw reactie de datum van deze brief en ons kenmerk vermelden?

Datum

Ons kenmerk

29 maart 2022

Behandeld door

Doorkiesnummer

Michiel Broekman

Onderwerp

Stand van zaken informatiebeveiliging 2021

Geachte raadsleden, Het college van burgemeester en wethouders legt over het jaar 2021 verantwoording af over de stand van zaken op het gebied van informatiebeveiliging. Deze verantwoording is gebaseerd op de landelijke systematiek Eenduidige Normatiek Single Information Audit (ENSIA). Voor gemeenten is dit een verplicht jaarlijks terugkerend proces. ENSIA neemt de landelijke Baseline Informatiebeveiliging Overheid (BIO) als uitgangspunt en maakt gebruik van een daarop ingerichte zelfevaluatie. Hierdoor heeft het gemeentebestuur meer inzicht in de stand van zaken met betrekking tot informatiebeveiliging in de organisatie. Wat is de aanleiding voor deze informatie? De gemeente Oss wil een betrouwbare organisatie zijn voor inwoners, (keten)partners en bedrijven. Ons informatiebeveiligingsbeleid geeft kaders, richting en sturing. We vertalen het beleid naar maatregelen om onze informatievoorziening te beschermen en misbruik te voorkomen. Op deze manier dragen we bij aan een betrouwbare en weerbare overheid. Met de rapportage geven we inzicht in, en leggen we verantwoording af over de stand van zaken op het gebied van informatiebeveiliging in onze organisatie. Wat is de kernboodschap? Gemeente Oss heeft informatiebeveiliging in de basis op orde. Dit blijkt uit de verschillende ingevulde zelfevaluaties, maar ook uit de externe audit die voor een aantal onderdelen is uitgevoerd.

ENSIA Scope De ENSIA-verantwoording voor het jaar 2021 gaat over onderstaande onderdelen: •

Implementatie van de Baseline Informatiebeveiliging Overheid (BIO). Zelfevaluatie;

Volgvel

Ons kenmerk

2

• • • • • • • •

Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet). Extern onderzoek; Digitale Persoonsidentificatie (DigiD). Extern onderzoek; Basis Registratie Personen (BRP). Zelfevaluatie; Paspoort Uitvoeringsregeling Nederland (PUN). Zelfevaluatie; Basisregistratie Grootschalige Topografie (BGT). Zelfevaluatie; Basisregistratie Adressen en Gebouwen (BAG). Zelfevaluatie; Basisregistratie Ondergrond (BRO). Zelfevaluatie; Basisregistratie Waardering Onroerende Zaken (WOZ). Zelfevaluatie.

Illustratie ENSIA-onderdelen en verantwoordingslijn

ENSIA-verantwoording Onderstaande tabel geeft per onderdeel van ENSIA een korte toelichting met de bevindingen en de stand van zaken. Voor de leesbaarheid is per onderdeel met behulp van smileys de status weergegeven. Per onderdeel zijn ook de bevindingen kort uitgewerkt ter onderbouwing van deze status. Legenda:







Ruim voldoende tot Goed

Voldoende

Onvoldoende

Het onderdeel is volledig op orde, in control Wellicht zijn er minimale verbeterpunten

Het onderdeel is globaal op orde, in control Er zijn enkele verbeterpunten

Het onderdeel is niet in control Er zijn veel verbeterpunten, bijsturing is nodig

Volgvel

Ons kenmerk

3

Verantwoording per onderdeel Domein Onderdeel

Toelichting, bevindingen & stand van zaken

BIO

We volgen de landelijke Baseline Informatiebeveiliging Overheid (BIO) om onze informatievoorziening te beveiligen. De BIO bevat verplichte overheidsmaatregelen en zorgt voor één basisniveau voor informatiebeveiliging voor alle overheidsorganisaties.

Implementatie van de Baseline Informatiebeveiliging Overheid

Status

 Voldoende

In 2021 hebben we gewerkt aan het strategisch informatiebeveiligingsbeleid waarin we de doelen, uitgangspunten, rollen en verantwoordelijkheden beschrijven in het kader van informatiebeveiliging. Risicomanagement speelt een belangrijke rol: door regelmatig risico’s te identificeren en te beoordelen kan onze organisatie bewust noodzakelijke maatregelen treffen en tijdelijke risico’s of restrisico’s accepteren. Het beleid zal de komende drie jaren als paraplu dienen voor al het tactische en operationele beleid. Het beleid is nog niet af en zal begin 2022 opgeleverd worden. Informatiebeveiliging is veel meer dan het nemen van technische maatregelen. Uit incidenten blijkt dat het juist vaak misgaat door (onbewust) menselijk handelen. We blijven onze medewerkers daarom bewust maken van het belang van informatiebeveiliging. Via de campagne ‘Veilig werk’ houden we bijvoorbeeld regelmatig phishing acties, vertellen we over actuele cyberdreigingen en leggen we uit wat we verwachten van onze medewerkers. We hebben een cybercrisis geoefend en ontdekt op welke vlakken we ons kunnen verbeteren als we daadwerkelijk getroffen worden. Verder hebben we meer kennis en slagkracht gekregen door ons informatiebeveiligingsteam uit te breiden met een technisch beveiligingsspecialist.

SUWINET Structuur Uitvoeringsorganisatie Werk en Inkomen

Op basis van de ENSIA-zelfevaluaties en bijbehorende externe audits (DigiD en Suwinet) blijkt dat onze organisatie informatiebeveiliging voldoende heeft geborgd. Het is niet mogelijk om alle risico’s te voorkomen. Bovendien verandert het dreigingsbeeld voortdurend. In samenwerking met de landelijke informatiebeveiligingsdienst (IBD) en collega-gemeenten acteren we hierop. Suwinet wordt door ons gebruikt voor het uitvoeren van de Participatiewet, IOAW en IOAZ, adresonderzoeken burgerzaken en voor het uitvoeren van de Wet gemeentelijke schuldhulpverlening. Iedere taak gebruikt een aparte Suwinet-aansluiting. Vanwege de hoeveelheid en gevoeligheid van (persoons)gegevens binnen Suwinet heeft het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties bepaald dat iedere aansluithouder naast de zelfevaluatie ook extern getoetst wordt op naleving van het normenkader.

 Ruim voldoende tot goed

Volgvel

Ons kenmerk

4

DIGID

Het (externe) onderzoek rondom het veilig en verantwoord gebruik van Suwinet toont aan dat we voldoen aan de gestelde landelijke normenkaders voor het veilig en integer gebruik van Suwinet-gegevens. DigiD is voor inwoners de manier om zichzelf digitaal te identificeren.

Digitale Persoonsidentificatie

DigiD wordt gebruikt voor onze digitale dienstverlening via ons loket Oss.nl en de digitale loketten van burgerzaken en het sociaal domein. Onvoldoende of onjuist beheer van een DigiD-aansluiting kan grote gevolgen hebben voor de landelijke keten en uiteindelijk persoonsinformatie van inwoners. Daarom heeft de toezichthouder bepaald dat iedere DigiD-aansluiting naast een jaarlijkse zelfevaluatie ook (extern) getoetst wordt op naleving van het normenkader.

BRP Basisregistratie Personen

Het externe onderzoek bij zowel onze leveranciers als onszelf toont aan dat er is voldaan aan het landelijk gestelde normenkader voor een veilig beheer van DigiD. BRP is de basisregistratie waarin alle inwoners zijn geregistreerd. Gemeenten beheren deze BRP voor hun inwoners. Uiteindelijk worden alle BRP-registraties landelijk gekoppeld zodat overheidsinstanties, zorgverleners en andere dienstverleners die gebruik mogen maken van deze BRP beschikken over de juiste persoonsinformatie.

 Ruim voldoende tot goed

 Ruim voldoende tot goed

Vanwege het grote landelijke belang rondom de BRP zijn gemeenten verplicht om jaarlijks een zelfevaluatie uit te voeren. Deze zelfevaluatie bestaat uit twee onderdelen. Processen en Uitvoering: De zelfevaluatie BRP (processen en uitvoering) over het jaar 2021 is afgerond met een score van 93,4%. Dit is boven de landelijk gestelde norm van minimaal 90%.

PUN Paspoort Uitvoeringsregeling Nederland (Reisdocumenten)

Inhoudelijke BRP: Ook de inhoudelijke controle op de kwaliteit van onze Basis Registratie Personen is met een prima resultaat afgerond. Gemeenten verzorgen de aanvraag en het uitreiken van reisdocumenten voor hun inwoners. Reisdocumenten zijn erg waardevol en vaak de sleutel van identiteitsfraude. De processen rondom het aanvragen en uitreiken zijn daarom strikt. De burgemeester is verantwoordelijk voor de borging van deze processen en moet hierover jaarlijks verantwoording afleggen aan de minister van Binnenlandse Zaken en Koninkrijksrelaties. Via de ENSIA-verantwoording infomeren we ook het eigen bestuur over de stand van zaken. De zelfevaluatie PUN over het jaar 2021 is afgerond met een score van 93,5%. Hiermee voldoen we aan de landelijk gestelde norm van minimaal 90%. Processen en de uitvoering rondom het aanvragen,

 Ruim voldoende tot goed

Volgvel

Ons kenmerk

5

BGT Basisregistratie Grootschalige Topografie

beheren en uitreiken van reisdocumenten zijn op orde. De beveiligingsfunctionaris reis- en waardedocumenten heeft in de rapportage ‘Informatiebeveiliging PNIK aan de burgemeester’ vijf aandachtspunten benoemd. De BGT is een digitale kaart van Nederland waarop gebouwen, wegen, waterlopen, terreinen en spoorlijnen eenduidig zijn vastgelegd. Kortom: de inrichting van de fysieke omgeving. Gemeenten zijn als bronhouder mede verantwoordelijk voor de kwaliteit van deze landelijke basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BGT.

 Voldoende

De zelfevaluatie BGT over het jaar 2021 is afgerond met een score van 77%. Hiermee voldoen we aan de landelijk gestelde norm van minimaal 75% voor een positief resultaat. In 2020 was de score 97% .

BAG Basisregistratie Adressen en Gebouwen

Dit is voldoende en daarmee is onze BGT een betrouwbare basisregistratie. Voor de BGT zijn in 2021 wat achterstanden ontstaan door een capaciteitstekort bij de afdeling IBOR-VS. Inmiddels is binnen deze afdeling een halve FTE-uitbreiding toegezegd. De BAG bevat gemeentelijke basisgegevens van alle adressen en gebouwen in een gemeente. Kopieën van al deze gegevens zijn verzameld in een landelijke voorziening. Deze voorziening wordt landelijk gebruikt door overheden, organisaties en particulieren. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BAG.

 Ruim voldoende tot goed

De zelfevaluatie BAG over het jaar 2021 is afgerond met een score van 82%. Deze score ligt boven de landelijk gestelde norm van minimaal 75% voor een positief resultaat. In 2020 was de score 83%. De BAG is daardoor een betrouwbare basisregistratie.

BRO Basisregistratie Ondergrond

In 2021 was het verwerken van de definitieve pandgeometrie een aandachtspunt. We halen nu geen 100% omdat voor een aantal panden het meer dan 6 maanden duurt voordat de definitieve geometrie voor de BAG beschikbaar komt. In het eerste half jaar is het werkproces verbeterd waardoor minder panden de termijn van 6 maanden overschreden. De BRO bevat bodem- en ondergrondgegevens. Het gebruik van deze gegevens is de laatste decennia sterk toegenomen. Deze gegevens spelen een cruciale rol op uitvoerend niveau, maar zijn ook van belang bij het oplossen van maatschappelijke vraagstukken. Daarbij valt onder meer te denken aan het rekening houden met de gevolgen van klimaatverandering, zoals het stijgen van de zeewaterspiegel en bodemdaling. De gemeente is bronhouder voor deze basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BRO. De zelfevaluatie BRO over het jaar 2021 is afgerond met een score van 94%. Deze score ligt ruim boven de landelijk gestelde norm van minimaal 75% voor een positief resultaat. In 2020 was de score 83%.

 Ruim voldoende tot goed

Volgvel

Ons kenmerk

6

De BRO is landelijk (bij gemeenten) nog in opbouw. Bij ons zien we een stijgende lijn omdat processen rondom de BRO inmiddels zijn uitgewerkt.

WOZ Basisregistratie Waardering Onroerende Zaken

De score is erg theoretisch en moet dan ook met enige nuance bekeken worden. Als men kijkt naar de geproduceerde hoeveelheid gegevens die onder de eerste 4 tranches van de BRO valt, is dat weinig te noemen. Dat heeft als gevolg dat er nog weinig ervaring is opgedaan met het uitvoeren van processen. De WOZ staat voor Waardering Onroerende Zaken. De WOZ-waarde wordt zowel intern als extern gebruikt. Intern bij het bepalen van de hoogte van verschillende belastingsoorten (onder andere onroerendezaakbelastingen) en extern door de Belastingdienst (Inkomsten- en vermogensbelasting), Waterschappen en het CBS voor de berekening van de belastingcapaciteit. Gemeenten bepalen de hoogte van de WOZ-waarde. Dit doen ze vanuit de Wet waardering onroerende zaken. Het is van belang dat WOZgegevens actueel zijn en op een juiste wijze worden beheerd. Een onjuiste WOZ-registratie resulteert enerzijds in een te hoge kostendoorberekening aan inwoners en bedrijven en anderzijds in een onjuiste opbrengst voor gemeenten en afnemers. Gemeente Oss heeft de taken rondom WOZ-processen uitbesteed aan de Belastingsamenwerking Oost-Brabant (BSOB). De verantwoording over 2021 is geschreven vanuit BSOB. In 2021 is de zelfevaluatie WOZ toegevoegd aan de ENSIAverantwoording.

Deze zelfevaluatie is nog niet gekoppeld aan een normenkader en scorematrix en geeft daarmee nog geen direct waardeoordeel over het beheer en de kwaliteit bij gemeenten. De WOZrapportage geeft het bestuur wel een globaal inzicht in de stand van zaken bij de BSOB.

Hoogachtend, Burgemeester en wethouders van de gemeente Oss, Namens dezen,

 Geen oordeel