o4 - 2C-2025-677 ENSIA assurance-rapport 2024 Gemeente Oude Ijsselstreek.pdf

2-Control B.V. Haagsemarkt 1 4813 BA Breda

+31 (0)76 50 194 70 www.2-control.nl info@2-control.nl

Assurance-rapport Inzake de Collegeverklaring ENSIA 2024 van de gemeente Oude IJsselstreek en de bijlagen 1 DigiD en 2 Suwinet waarnaar in de Collegeverklaring verwezen wordt.

2-Control B.V. Bestemd voor: Gemeente Oude IJsselstreek, Logius, Ministerie van Binnenlandse zaken en Koninkrijksrelaties, BKWI en het Ministerie van Sociale Zaken en Werkgelegenheid Datum: 25 april 2025 Referentie: 2C-2025-677

Versiebeheer Versie 0.1 1.0

Datum 10 april 2025 25 april 2025

Status Gereed voor OKB Definitief

Naam 2-Control B.V. 2-Control B.V.

2C-2025-677 25 april 2025 Assurance-rapport inzake Collegeverklaring ENSIA 2024

2 van 6

Inhoud 1 1.1 1.2 1.3 1.4 1.5 1.6 1.7 1.8

Assurance-rapport van de onafhankelijke IT-auditor Ons oordeel De basis voor ons oordeel Object van onderzoek Scope Benadrukking aangelegenheden Beoogde gebruikers en doel Verantwoordelijkheden van het college van gemeente Oude-IJsselstreek Verantwoordelijkheden van de IT-auditor

2C-2025-677 25 april 2025 Assurance-rapport inzake Collegeverklaring ENSIA 2024

4 4 4 4 5 5 6 6 6

3 van 6

1 Assurance-rapport van de onafhankelijke IT-auditor Aan: College B&W van gemeente Oude IJsselstreek Staringstraat 25 7081 BN Gendringen Assurance over de Collegeverklaring ENSIA 2024 van de gemeente Oude IJsselstreek en de bijlagen 1 DigiD en 2 Suwinet waarnaar in de Collegeverklaring wordt verwezen

1.1

Ons oordeel Ingevolge uw opdracht hebben wij de bijgevoegde collegeverklaring ENSIA 2024 inzake Informatiebeveiliging van DigiD en Suwinet (hierna: collegeverklaring), inclusief de bijlagen 1 DigiD en 2 Suwinet waarnaar in de collegeverklaring wordt verwezen, van gemeente Oude IJsselstreek onderzocht. Naar ons oordeel is bijgevoegde collegeverklaring, inclusief de bijlagen 1 DigiD en 2 Suwinet waarnaar in de collegeverklaring wordt verwezen, van gemeente Oude IJsselstreek, in alle van materieel belang zijnde aspecten, juist.

1.2

De basis voor ons oordeel Wij hebben ons onderzoek uitgevoerd volgens Nederlands recht, de NOREA Richtlijn 3000A “Assurance-opdrachten door IT-auditors (Attest-opdrachten)” en de NOREA Handreiking ENSIA door IT-auditors (RE’s) versie 1.0 d.d. 19 december 2024. Deze opdracht is gericht op het verkrijgen van een redelijke mate van zekerheid. Onze verantwoordelijkheden op grond hiervan zijn beschreven in de sectie 'Verantwoordelijkheden van de IT-auditor’. Wij zijn onafhankelijk van gemeente Oude IJsselstreek en hebben voldaan aan de overige vereisten van het Reglement Gedragscode (‘Code of Ethics’) van NOREA. Wij vinden dat de door ons verkregen assurance-informatie voldoende en geschikt is als basis voor ons oordeel.

1.3

Object van onderzoek Met de collegeverklaring geeft het college van Burgemeester en Wethouders, aan in welke mate de gemeente voldoet aan de informatiebeveiligingsnormen voor DigiD en Suwinet. De collegeverklaring maakt onderdeel uit van de verantwoording over informatiebeveiliging middels ENSIA en is tot stand gekomen door een zelfevaluatie over informatiebeveiligingsnormen gebaseerd op de ‘Norm ICTbeveiligingsassessments DigiD versie 3.0’ van Logius voor DigiD en de door de toezichthouder geselecteerde eisen uit de ‘Baseline Informatiebeveiliging Overheid’ versie 1.04zv voor Suwinet. Wij benadrukken dat het specifiek geselecteerde normen zijn en daarmee geen uitspraak wordt gedaan over de informatiebeveiliging als geheel. Betreffende DigiD gaat de verantwoording over de opzet, het bestaan van de interne beheersingsmaatregelen om te kunnen voldoen aan de relevante beveiligingsnormen voor DigiD op 31 december 2024 alsmede de werking van de maatregelen U/TV.01; U/WA.02; C.07; C.08 en C.09 gedurende de periode 1 juli tot en met 31 december 2024. Betreffende Suwinet gaat de verantwoording over de opzet en het bestaan van de interne beheersingsmaatregelen per 31 december 2024.

2C-2025-677 25 april 2025 Assurance-rapport inzake Collegeverklaring ENSIA 2024

4 van 6

1.4

Scope De scope van ons onderzoek bestond uit de hierna genoemde DigiD aansluitingen en Suwinet gegevensverwerkingen: Onderzochte DigiD aansluitingen: Aansluitnummer Aansluitnaam 1000273

Zaaksysteem Oude-Ijsselstreek

1003721

Gemeente Oude-IJsselstreek - eDiensten Burgerzaken

1005079

Gemeente Oude-IJsselstreek Digitaal belastingloket

Onderzochte gegevensverwerkingen Suwinet: Gebruik van Suwinet voor SUWI-taken Voor de volgende taken wordt Suwinet op de volgende plaatsen gebruikt: Taak Organisatie Participatiewet (Pw)

Binnen de gemeente

Inkomensvoorziening voor Oudere en gedeeltelijk Arbeidsongeschikte Werknemers (IOAW)

Binnen de gemeente

Wet inkomensvoorziening oudere en gedeeltelijk arbeidsongeschikte gewezen zelfstandigen (IOAZ)

Binnen de gemeente

Wet gemeentelijke schuldhulpverlening (Wgs)

Binnen de gemeente

Uitvoeren bijzonder bijstand

Binnen de gemeente

Uitvoeren bezoldiging zelfstandigen

Binnen de gemeente

Sociale recherche

Binnen de gemeente

TPM/AR

Gebruik van Suwinet voor niet-SUWI-taken Voor de volgende niet-SUWI-taken wordt Suwinet op de volgende plaatsen gebruikt: Taak Organisatie TPM/AR Hulp aan vroegtijdig schoolverlaters door Regionaal Meld- en Coördinatiecentrum (RMC)

Niet van toepassing

Onderzoek loonbeslag door Gemeentelijke Belastingdeurwaarders

Niet van toepassing

Adresonderzoek door Burgerzaken

Binnen de gemeente

Wij hebben geen onderzoek uitgevoerd naar hierboven niet genoemde DigiD aansluitingen en gegevensverwerkingen Suwinet en doen daar derhalve ook geen uitspraak over. Zoals in de collegeverklaring is aangegeven wordt nog niet aan alle normen inzake DigiD en Suwinet.

1.5

Benadrukking aangelegenheden Wij hebben vastgesteld dat de op de uitzonderingen gerichte beheersingsmaatregelen in verbeterplannen zijn opgenomen, zijn belegd en worden gemonitord. Ons onderzoek heeft zich niet gericht op de juistheid, volledigheid en uitvoering van de verbeterplannen. Ons oordeel is niet aangepast als gevolg van deze aangelegenheid 2C-2025-677 25 april 2025 Assurance-rapport inzake Collegeverklaring ENSIA 2024

5 van 6

1.6

Beoogde gebruikers en doel Ons assurance-rapport is bestemd voor gebruikers van de collegeverklaring. De collegeverklaring is opgesteld voor de gemeenteraad en voor de departementen en aangewezen uitvoeringsinstanties die toezien op de veiligheid van DigiD en Suwinet. Doel van de collegeverklaring is om de gemeenteraad en de departementen die toezien op de veiligheid van DigiD en Suwinet te informeren over het voldoen aan de geselecteerde normen DigiD en Suwinet. Ons assurance-rapport mag enkel worden gebruikt door de beoogde gebruikers voor het doel waarvoor het is opgesteld en dient niet te worden verspreid aan of te worden gebruikt door anderen of voor een ander doel.

1.7

Verantwoordelijkheden van het college van gemeente Oude IJsselstreek Het college van burgemeester en wethouders van gemeente Oude IJsselstreek is verantwoordelijk voor het opstellen van de collegeverklaring. Het college is ook verantwoordelijk voor een zodanige interne beheersing als het noodzakelijk acht om het opstellen van de collegeverklaring mogelijk te maken zonder afwijkingen van materieel belang als gevolg van fraude of fouten.

1.8

Verantwoordelijkheden van de IT-auditor Onze verantwoordelijkheid is het zodanig plannen en uitvoeren van een assurance-opdracht dat wij daarmee voldoende en geschikte assurance-informatie verkrijgen voor het door ons af te geven oordeel. Ons onderzoek is uitgevoerd met een hoge mate maar geen absolute mate van zekerheid waardoor het mogelijk is dat wij tijdens ons onderzoek niet alle materiële afwijkingen als gevolg van fraude of fouten ontdekken. Wij passen het ‘Reglement Kwaliteitsbeheersing NOREA’ (RKBN) toe. Op grond daarvan beschikken wij over een samenhangend stelsel van kwaliteitsmanagement inclusief vastgelegde richtlijnen en procedures inzake de naleving van de ethische voorschriften, professionele standaarden en andere relevante wet- en regelgeving.

Onze assurance-opdracht bestond onder andere uit: - het verkrijgen van kennis omtrent de collegeverklaring en andere omstandigheden rond de opdracht waaronder het verkrijgen van kennis omtrent de interne beheersingsmaatregelen; - het op basis van deze kennis identificeren en inschatten van de risico's dat de collegeverklaring onjuistheden van materieel belang als gevolg van fraude of fouten bevat; - het in reactie op deze risico’s bepalen en uitvoeren van assurance-werkzaamheden en het verkrijgen van assurance-informatie die voldoende en geschikt is als basis voor ons oordeel; - het evalueren of de collegeverklaring in overeenstemming is met de onderliggende beheersingsmaatregelen en uitgevoerde werkzaamheden; en - het evalueren van de uitkomsten van onze werkzaamheden. Breda, 25 april 2025

R.L.E. Haest RE 2-Control B.V. Haagsemarkt 1 4813 BA Breda 2C-2025-677 25 april 2025 Assurance-rapport inzake Collegeverklaring ENSIA 2024

6 van 6