Raadsvoorstel ENSIA 2021.pdf

Raadsvoorstel Datum raadsvergadering

: 30 juni 2022

Zaaknummer

: 340020

Onderwerp:

: ENSIA 2021

De raad wordt voorgesteld 1. Kennis te nemen van de collegeverklaring ENSIA 2021 2. Kennis te nemen van de auditrapportage ENSIA 2021 3. De collegeverklaring tezamen met de auditrapportage vast te stellen ten behoeve van de verantwoording over informatieveiligheid Aanleiding Jaarlijks is het college verplicht om verantwoording af te leggen over informatieveiligheid. Dit gebeurd sinds een aantal jaar via het ENSIA (Eenduidige Normatiek Single Information Audit) stelsel. Dit zijn de afspraken die de VNG heeft gemaakt met de Minister van Binnenlandse zaken om zo de audit druk op gemeentes te verminderen. Deze verantwoording gebeurd middels vastgesteld stramien van de VNG genaamd de "Collegeverklaring". Middels deze verklaring kan de Raad mede zijn toetsende rol uitoefenen. Wat wordt met beslissing bereikt Het kennisnemen van de Collegeverklaring ENSIA 2021 is één van de middelen die de raad kan inzetten bij het houden van toezicht op informatieveiligheid, zoals bedoeld in de sectorafspraken tussen de VNG en de minister. De collegeverklaring geeft aan, aan welke normen uit de toetsingskaders wel of niet wordt voldaan. Voor 2021 is bepaald dat voor DigiD, onze digitale inlogmethode voor inwoners en over Suwinet, een beveiligde omgeving waar veel gevoelige gegevens van inwoners opvraagbaar zijn, verantwoording afgelegd dienen te worden.

Jaarlijks bepaald de VNG samen met NOREA (beroepsvereniging auditors) welke normen gecontroleerd worden. Argumenten om in te stemmen met voorgestelde beslissing(en) 1.1. Kennis te nemen van de collegeverklaring ENSIA 2021 De raad laat hiermee zien dat het zijn toezichthoudende rol uitvoert en hiermee indien gewenst kan bijsturen via de begrotingscyclus. 2.1. Kennis te nemen van de auditrapportage ENSIA 2021 De audit rapportage geeft formeel weer of er afwijkingen zijn geconstateerd in de collegeverklaring. Deze audit rapportage is opgesteld door een externe onafhankelijke RE IT auditor. 3.1. De Collegeverklaring tezamen met de audit rapportage vast te stellen ten behoeve van de verantwoording over informatieveiligheid Met het vaststellen van de verklaring en de rapportage geeft de raad vervolg aan zijn toezichthoudende rol en geeft daarmee aan, de verantwoording over informatieveiligheid, extern getoetst voldoende te vinden.

1

Kanttekeningen A. STOER en Oude IJsselstreek in 2021 Over het jaar 2021 zijn wij als gemeente verantwoordelijk geweest voor het gebruik van Suwinet binnen Oude IJsselstreek, maar ook als dat virtueel onder de vlag van STOER is ingezet. Doordat de Participatiewet officieel wordt uitgevoerd door de gemeente is externe toetsing op de uitvoering niet nodig. Op dit moment wordt en mag Suwinet niet ingezet worden voor andere doeleinden. Mogelijk veranderd dat in 2022. B. Suwinet voldoet niet volledig Tijdens de audit bleek dat wij niet voldeden aan alle eisen voor het gebruik van Suwinet. De normen waaraan niet werd voldaan waren de normen 7.2.2.1.a, 9.2.5.1.a, 18.1.4.2.b.1 uit de Baseline Informatieveiligheid Overheid (normenkader voor Suwinet). In deze normen staat: 7.2.2.1.a alle medewerkers van de organisatie en, voor zover relevant, contractanten behoren een passende bewustzijnsopleiding en -training te krijgen en regelmatige bijscholing van beleidsregels en procedures van de organisatie, voor zover relevant voor hun functie. Dit is gedeeltelijk gedaan gedurende het jaar. Bij norm 9.2.5.1.a gaat het om: Registratie en afmelden van gebruikers Een formele registratie- en afmeldingsprocedure behoort te worden geïmplementeerd om toewijzing van toegangsrechten mogelijk te maken. Dit is gedeeltelijk gedaan gedurende het jaar.

18.1.4.2.b.1 gaat over de bescherming van de persoonsgegevens, specifiek de controle op logging van het gebruik van suwinet. Dit is in het 2e deel van 2021 onvoldoende geweest. Met collega’s kwaliteit binnen STOER wordt er gewerkt aan verbetering waardoor in de toekomst de uitvoering, maar bovenal de monitoring een hogere kwaliteit bereikt. Kosten, baten, dekking Er zijn geen aanvullende kosten gemoeid bij de verantwoording van de ENSIA toetsing, verbeterpunten en privacy, dan reeds begroot binnen de reguliere bedrijfsvoering. Uitvoering Planning N.v.t. Personeel N.v.t. Communicatie/participatie N.v.t. Evaluatie/verantwoording Naast dat de collegeverklaring ter besluitvorming is ingediend bij de raad, zal deze verklaring ook toegezonden worden naar Logius als toezichthouder voor DigiD en het BKWI als toezichthouder voor Suwinet.

Algemene bijlagen 1. Collegeverklaring ENSIA 2021 (Openbaar) 2. Auditrapportage ENSIA 2021 (Openbaar) 3. Schriftelijke bevestiging bij assurance opdracht (Openbaar) Achterliggende bijlagen (ter inzage voor raadsleden) 1. Collegeverklaring DigiD 2021 ENSIA (Vertrouwelijk) 2. Collegeverklaring Suwi 2021 ENSIA (Vertrouwelijk)

2

Burgemeester en wethouders,

Bob Konings

Otwin van Dijk

Waarnemend Secretaris

Burgemeester

Raadsvergadering d.d. ☐

conform voorstel

☐

zonder hoofdelijke stemming

☐

met algemene stemmen

☐

……stemmen voor……stemmen tegen

☐

aangenomen

☐

aangenomen met amendement…………

☐

aangehouden

☐

verworpen

☐

ter vergadering uitgereikt bij agendapunt

☐

in handen van B&W gesteld

☐

opmerkingen/toezeggingen……………….

☐

……………………………………………….

3