Raadsvoorstel.pdf

Raadsvoorstel Datum raadsvergadering

: 21 september 2023

Zaaknummer

: 506671

Onderwerp:

: ENSIA 2022

De raad wordt voorgesteld 1. De collegeverklaring tezamen met de auditrapportage vast te stellen ten behoeve van de verantwoording over informatieveiligheid. 2. Kennis te nemen van de Rapportages Digitale weerbaarheid AVG en Rapportage digitale veiligheid 2022 (VDW_2022), middels actieve informatievoorziening vanuit het College.

Aanleiding Jaarlijks is het college verplicht om verantwoording af te leggen over informatieveiligheid. Dit gebeurd sinds een aantal jaar via het ENSIA (Eenduidige Normatiek Single Information Audit) stelsel. Dit zijn de afspraken die de VNG heeft gemaakt met de Minister van Binnenlandse zaken om zo de audit druk op gemeentes te verminderen. Deze verantwoording gebeurd middels vastgesteld stramien van de VNG genaamd de "Collegeverklaring". Middels deze verklaring kan de raad, zijn toetsende rol uitoefenen. Wat wordt met beslissing bereikt Het vaststellen van de Collegeverklaring ENSIA 2022 is één van de middelen die de raad kan inzetten bij het houden van toezicht op informatieveiligheid, zoals bedoeld in de sectorafspraken tussen de VNG en de minister. De collegeverklaring geeft aan, aan welke normen uit de toetsingskaders wel of niet wordt voldaan. Voor 2022 is bepaald dat voor DigiD, onze digitale inlogmethode voor inwoners en over Suwinet, een beveiligde omgeving waar veel gevoelige gegevens van inwoners opvraagbaar zijn, verantwoording afgelegd dient te worden. Jaarlijks bepaald de VNG samen met NOREA (beroepsvereniging auditors) welke normen gecontroleerd worden. Argumenten om in te stemmen met voorgestelde beslissing(en) 1.1.

De Collegeverklaring tezamen met de audit rapportage vast te stellen ten behoeve van de verantwoording over informatieveiligheid Met het vaststellen van de verklaring en de rapportage geeft de raad gevolg aan zijn toezichthoudende rol en geeft daarmee aan, de verantwoording over informatieveiligheid, extern getoetst door een auditor voldoende te vinden. Kanttekeningen a. STOER en Oude IJsselstreek in 2022 Over het jaar 2022 zijn wij als gemeente verantwoordelijk geweest voor het gebruik van Suwinet binnen Oude IJsselstreek, maar ook als dat virtueel onder de vlag van STOER is ingezet. Doordat de Participatiewet officieel wordt uitgevoerd door de gemeente is externe toetsing op de uitvoering niet nodig. Op dit moment wordt en mag Suwinet niet ingezet worden voor andere doeleinden. Mogelijk veranderd dat in 2023. b. Suwinet voldoet niet volledig 1

Tijdens de audit bleek dat wij niet voldeden aan alle eisen voor het gebruik van Suwinet. De normen waaraan niet werd voldaan waren de normen 7.2.2., 9.2.5., uit de Baseline Informatieveiligheid Overheid (normenkader voor Suwinet). In deze normen staat: 7.2.2. alle medewerkers van de organisatie en, voor zover relevant, contractanten behoren een passende bewustzijnsopleiding en -training te krijgen en regelmatige bijscholing van beleidsregels en procedures van de organisatie, voor zover relevant voor hun functie. Dit is gedeeltelijk gedaan gedurende het jaar, Niet alle nieuwe gebruikers hebben binnen 3 maanden de "verplichte" cursus gedaan. Bij norm 9.2.5. gaat het om: Registratie en afmelden van gebruikers Een formele registratie- en afmeldingsprocedure behoort te worden geïmplementeerd om toewijzing van toegangsrechten mogelijk te maken. Dit is gedeeltelijk gedaan gedurende het jaar. Er is inmiddels een procedure, maar deze werd nog niet altijd juist gevolgd en gecontroleerd. Met collega’s kwaliteit binnen STOER wordt er gewerkt aan verbetering waardoor in de toekomst de uitvoering, maar bovenal de monitoring een hogere kwaliteit bereikt. Er wordt gewerkt aan een kwaliteitshandboek. Kosten, baten, dekking Er zijn geen aanvullende kosten gemoeid bij de verantwoording van de ENSIA toetsing, verbeterpunten en privacy, dan reeds begroot binnen de reguliere bedrijfsvoering.

Uitvoering Planning N.v.t. Personeel N.v.t. Communicatie/participatie N.v.t. Evaluatie/verantwoording Naast dat de collegeverklaring ter besluitvorming is ingediend bij de raad, zal deze verklaring ook toegezonden worden naar Logius als toezichthouder voor DigiD en het BKWI als toezichthouder voor Suwinet.

Bijlagen 1. 1509_Gemeente Oude IJsselstreek_CV DigiD en Suwinet 2022_2022 ENSIA (openbaar) 2. Auditrapportage ENSIA 2022 (vertrouwelijk) 3. Schriftelijke bevestiging bij assurance opdracht (openbaar) 4. Collegeverklaring DigiD 2022 ENSIA (vertrouwelijk) 5. Collegeverklaring Suwi 2022 ENSIA (vertrouwelijk) 6. Digitale weerbaarheid AVG gemeente Oude IJsselstreek 2022 (vertrouwelijk) 7. Rapportage digitale veiligheid 2022 (vertrouwelijk)

2

Burgemeester en wethouders,

Ron Frerix Secretaris

Otwin van Dijk Burgemeester

Raadsvergadering d.d. ☐

conform voorstel

☐

zonder hoofdelijke stemming

☐

met algemene stemmen

☐

……stemmen voor……stemmen tegen

☐

aangenomen

☐

aangenomen met amendement…………

☐

aangehouden

☐

verworpen

☐

ter vergadering uitgereikt bij agendapunt

☐

in handen van B&W gesteld

☐

opmerkingen/toezeggingen……………….

☐

……………………………………………….

3

Raadsvergadering d.d. 21 september 2023

De raad van de gemeente Oude IJsselstreek,

overwegende dat

gelezen het voorstel van burgemeester en wethouders d.d. 30 mei 2023

gelet op het bepaalde in de VNG resolutie “Informatieveiligheid, randvoorwaarde voor de professionele gemeente” van 2013 opnieuw bekrachtigd in de VNG resolutie "Digitale Veiligheid: kerntaak voor gemeenten" van 2021.

BESLUIT: 1. De collegeverklaring tezamen met de auditrapportage vast te stellen ten behoeve van de verantwoording over informatieveiligheid 2. Kennis te nemen van de Rapportages Digitale weerbaarheid AVG en Rapportage digitale veiligheid 2022 (VDW_2022), middels actieve informatievoorziening vanuit het College.

Aldus besloten door de raad van de gemeente Oude IJsselstreek in zijn openbare vergadering van 21 september 2023

De griffier,

de voorzitter,

M.B.J. Looman

O.E.T. van Dijk

4