Voorstel Vaststellen ENSIA 2021 - Voorstel.pdf

Commissie ABZ Papendrecht Vergadering van 23 mei 2022 Zaaknummer: 2022-0058213

Voorstel Openbaar

Vaststellen ENSIA 2021 Bevoegde portefeuillehouder:

Annemiek Jetten

Gevraagd besluit 1. De raadsinformatiebrief en rapportages ENSIA 2021 vast te stellen. 2. De geheimhouding op de bijlagen 1 tot en met 7 (raadsinformatiebrief en 6 rapportages) van deze nota Verantwoording ENSIA 2021 te bekrachtigen. De geheimhouding blijft gehandhaafd.

Inhoud Inleiding Naar aanleiding van een resolutie van de Buitengewone Algemene Ledenvergadering van de VNG, heeft de VNG samen met het rijk een nieuwe, efficiënte verantwoordingssystematiek ontwikkeld: de Eenduidige Normatiek Single Information Audit (ENSIA). Hiervoor zijn de verantwoordingssystematieken voor de Basisregistratie Personen (BRP), Reisdocumenten (PUN en PNIK), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT, Basisregistratie Ondergrond (BRO), Inkomen (Suwinet), samengevoegd en gestroomlijnd. Dit betekent dat er niet voor alle onderdelen afzonderlijke audits (die elkaar deels overlappen) moeten worden uitgevoerd. Ook hoeven er geen afzonderlijke rapportages opgesteld te worden. Met ingang van het verantwoordingsjaar 2021 laat de Waarderingskamer de verantwoording over (een deel van de) Wet Waardering Onroerende Zaken (Wet WOZ) via ENSIA verlopen. ENSIA helpt gemeenten in één keer slim verantwoording af te leggen over informatieveiligheid gebaseerd op de BIO (Baseline Informatiebeveiliging Overheid). Hiermee kan met één verklaring zowel horizontaal (van het college naar de raad) als verticaal (van het college naar de landelijke toezichthouders) verantwoording worden afgelegd. De verantwoordingssystematiek ENSIA is in 2017 ingevoerd.

Daarmee is 2021 het vijfde jaar dat deze systematiek gebruikt wordt. De verklaring met bijlagen en de rapportages over het geo-domein (BAG, BGT en BRO) en WOZ zijn opgesteld aan de hand van landelijke modellen. Beoogd effect Met de voorliggende ENSIA-collegeverklaring geeft het college aan in hoeverre de beheersingsmaatregelen voldoen aan de normen die gelden voor DigiD en Suwinet en op welke onderdelen de gemeente niet voldoet aan deze normen. De collegeverklaring is opgesteld aan de hand van de uitkomsten van de zelfevaluaties die door de lijnverantwoordelijken zijn uitgevoerd, onder coördinatie van de ENSIA-coördinator. Een gecertificeerde IT-auditor heeft de collegeverklaring gecontroleerd. Na vaststelling van de collegeverklaring zal de auditor zijn Assurancerapport afgeven. De IT-auditor verklaart hierin dat de collegeverklaring een getrouw beeld geeft. De collegeverklaring wordt gezamenlijk met het Assurancerapport aangeboden aan de gemeenteraad. Argumenten 1.1 Door in te stemmen met de uitkomsten van de zelfevaluatie DigiD verklaart het college dat de interne beheersingsmaatregelen van de gemeente in opzet en bestaan niet voldoen aan de normen voor DigiD.

De zelfevaluatie van de DigiD-aansluiting levert voor een aansluiting verbeterpunten op en voldoet daarmee niet aan de gestelde normen. De bevindingen zijn opgenomen in een verbeterplan. Na uitvoering verbeterplan in Q3 is de verwachting dat we weer voldoen. De zelfevaluatie is getoetst door een IT-auditor. 1.2 Door in te stemmen met de uitkomsten van de zelfevaluatie Suwinet verklaart het college dat de interne beheersingsmaatregelen van de gemeente in opzet en bestaan niet voldoen aan de normen voor Suwinet. De zelfevaluatie van de Suwinet-aansluitingen levert voor een aansluiting verbeterpunten op en voldoet daarmee niet aan de gestelde normen. De bevindingen zijn opgenomen in een verbeterplan. Na uitvoering verbeterplan in Q3 is de verwachting dat we weer voldoen. De zelfevaluatie is getoetst door een IT-auditor. 2.1 Door in te stemmen met de uitkomsten legt het college verantwoording af over het gebruik van de BAG, BGT en BRO aan de landelijke toezichthouder, het ministerie van BZK. Binnen het ENSIA stelsel zijn voor het geo-domein BAG, BGT en BRO domein specifieke zelfevaluaties opgenomen over het gebruik van deze drie basisregistraties. De zelfevaluaties binnen het geo-domein zijn gekoppeld aan een puntenscore. In de bijlage is per stelsel een rapportage opgenomen met de bevindingen.

Na vaststelling zullen de rapportages openbaar toegankelijk zijn via het ministerie van BZK. De zelfevaluatie BAG door de lijnverantwoordelijken leveren een score op van 97%. De score is te beoordelen als 'voldoet'. De conclusie van deze zelfevaluatie is dat de kwaliteit van de BAG-registratie in lijn ligt met de vereisten van het ministerie. De zelfevaluatie BGT door de lijnverantwoordelijken leveren een puntenscore op van 100%. De score is te beoordelen als 'voldoet'. Ondanks dat aan de vereisten wordt voldaan zijn er door voortschrijdend inzicht toch een aantal verbeterpunten die in een verbeterplan zijn opgenomen. De conclusie van deze zelfevaluatie is dat de kwaliteit van de BGT-registratie in lijn ligt met de vereisten van het ministerie. De zelfevaluatie BRO door de lijnverantwoordelijken leveren een puntenscore op van 44%. De score is te beoordelen als 'voldoet niet'. De zelfevaluatie levert een aantal verbeterpunten op die in een verbeterplan zijn opgenomen. De conclusie van deze zelfevaluatie is dat de kwaliteit van de BRO-registratie nog niet in lijn ligt met de vereisten van het ministerie. 3.1 Door in te stemmen met de uitkomsten legt het college verantwoording af over het gebruik van de WOZ aan de landelijke toezichthouder, het ministerie van Financiën.

De conclusie van deze zelfevaluatie is dat de kwaliteit van de WOZ in lijn ligt met de vereisten van het ministerie. De zelfevaluatie levert wel een aantal verbeterpunten op die in een verbeterplan zijn opgenomen. 4.1 Door verantwoordelijken te benoemen kan toezicht worden gestroomlijnd op de uitvoering van de verbeteringen binnen een bepaalde termijn. Voor de vastgestelde verbeteringen en de verbeterpunten in de verschillende zelfevaluaties worden voorstellen gemaakt en verbeterplannen opgesteld. Dat de verbeteringen binnen een bepaalde termijn worden afgehandeld moet een verantwoordelijke worden benoemd om toezicht te houden op de uitvoering. De aansluitingen vallen onder gemeentesecretaris Voor de drie Suwinet-aansluitingen zijn dit: • Suwinet-aansluiting Participatiewet, IOAZ en IOAW: Sociaal Team • Suwinet-aansluiting Burgerzaken: Team Burgerzaken • Suwinet-aansluiting Belastingdeurwaarders: Team Dienstverlening en Facilitair • • Voor de twee DigiD-aansluitingen zijn dit:

2/5

• DigiD-aansluiting Gemeentelijke Dienstverlening: Team Dienstverlening en Facilitair • DigiD-aansluiting eDiensten Burgerzaken: Team Dienstverlening en Facilitair Voor het Geo-domein zijn dit: • Basisregistratie Adressen en Gebouwen (BAG): Team Beheer Openbare Ruimte • Basisregistratie Grootschalige Topografie (BGT): Team Beheer Openbare Ruimte • Basisregistratie Ondergrond (BRO): Team Beheer Openbare Ruimte 5.1 Met het ondertekenen van de collegeverklaring legt het college conform de ENSIA-methodiek verantwoording af over de informatiebeveiliging aan zowel de raad als aan de landelijke toezichthouders. Het college van burgemeester en wethouders geeft met deze verklaring aan in hoeverre de gemeente Papendrecht voldoet aan de voor DigiD en Suwinet geselecteerde informatiebeveiligingsnormen op basis van de Eenduidige Normatiek Single Information Audit (ENSIA) systematiek. 6.1 De geheimhouding wordt opgelegd in verband met de belangen genoemd in artikel 10, tweede lid, onder b en g van de Wet openbaarheid van bestuur. De geheimhouding wordt opgelegd voor onbepaalde duur. Voorstel is dat op de collegeverklaring en de bijlagen 1 en 2, het Assurancerapport van de IT auditor en de managementrapportages geheimhouding wordt opgelegd op grond van artikel 55, eerste lid, van de Gemeentewet.

Dit omdat in de bijlagen informatie is opgenomen over beveiligingsmaatregelen die de gemeente treft om de systemen en gegevens te beveiligen. Deze informatie kan kwaadwillenden helpen bij het doorbreken van de beveiliging, wat kan leiden tot grote schade voor de gemeente. Dit leidt tot onevenredige benadeling van de gemeente (artikel 10, tweede lid, onder g van de WOB) en kan de financiële belangen van de gemeente (artikel 10, tweede lid, onder b van de WOB) schaden. De geheimhouding is niet van toepassing op toezending van de bijlagen aan de landelijke toezichthouders voor de DigiD- en Suwinet-aansluitingen, die de bijlagen moeten ontvangen in het kader van het verticale toezicht. De geheimhouding wordt opgelegd in verband met de belangen genoemd in artikel 10, tweede lid, onder b en g van de Wet openbaarheid van bestuur. De geheimhouding wordt opgelegd voor onbepaalde duur. 7.1 De geheimhouding wordt opgelegd omdat in de bijlagen informatie is opgenomen over beveiligingsmaatregelen die de gemeente treft om de systemen en gegevens te beveiligen. Het voorstel is dat geheimhouding voor onbepaalde tijd wordt opgelegd op de volgende stukken: raadsinformatienota en bijbehorende bijlagen, op grond van artikel 25, tweede lid Gemeentewet.

De geheimhouding is niet van toepassing op toezending van de bijlagen aan de landelijke toezichthouders, die de bijlagen moeten ontvangen in het kader van het verticale toezicht. De geheimhouding wordt opgelegd in verband met de belangen genoemd in artikel 10, tweede lid, onder b en g van de Wet openbaarheid van bestuur. 8.1 Met het indienen van het verzoek wordt gevraagd de geheimhouding te bekrachtigen. De door het college opgelegde geheimhouding op grond van artikel 25, tweede lid Gemeentewet, de raad op grond van artikel 25, derde lid van de Gemeentewet te verzoeken de opgelegde geheimhouding op de raadsinformatiebrief en bijbehorende bijlagen tijdens de eerstvolgende vergadering te bekrachtigen. 9.1 Met de voorliggende raadsinformatiebrief wordt voldaan aan één van de doelstellingen van ENSIA. Met de voorliggende raadsinformatiebrief informeert het college de raad over zowel informatieveiligheid als de resultaten van de verantwoording aan de stelselhouders en wordt voldaan aan één van de doelstellingen van ENSIA. Kanttekeningen De gemeente wordt verantwoordelijk gehouden voor de normnaleving. Het kan zijn dat vanuit de landelijke toezichthouders aanvullende vragen worden gesteld op de zelfevaluaties.

3/5

Financiën Er zijn geen financiële consequenties. Uitvoering N.v.t. Communicatie & participatie De raad wordt middels een raadsinformatiebrief op de hoogte gesteld. De communicatie naar de medewerkers vindt plaats vanuit de betrokkenheid in het ENSIA-proces bij de totstandkoming van de verantwoordingsrapportages en via berichtgeving. Duurzaamheid & ecologie N.v.t. ICT N.v.t. Alle relevante stukken zijn voor u ter inzage gelegd.

Bijlagen 1. 2. 3. 4. 5. 6. 7.

Bijlage 1 - Raadsinformatiebrief ENSIA verantwoording 2021 GPD GEHEIM.pdf Bijlage 2 - Gemeente Papendrecht_rapportage DigiD - 2021 ENSIA GEHEIM.pdf Bijlage 3 - Gemeente Papendrecht_rapportage DigiD - 2021 ENSIA GEHEIM.pdf Bijlage 4 - Gemeente Papendrecht_rapportage Suwinet_2021 ENSIA GEHEIM.pdf Bijlage 5 - Gemeente Papendrecht_rapportage DigiD en Suwinet_2021 ENSIA GEHEIM.pdf Bijlage 6 - Gemeente Papendrecht_rapportage WOZ 2021 ENSIA GEHEIM.pdf Bijlage 7 - Gemeente Papendrecht_rapportage BAG-BGT-BRO 2021_2021 ENSIA GEHEIM.pdf

4/5

CONCEPT RAADSBESLUIT Datum:

De raad van de gemeente Papendrecht,

besluit: 1. De raadsinformatiebrief en rapportages ENSIA 2021 vast te stellen. 2. De geheimhouding op de bijlagen 1 tot en met 7 (raadsinformatiebrief en 6 rapportages) van deze nota Verantwoording ENSIA 2021 te bekrachtigen. De geheimhouding blijft gehandhaafd.

Aldus vastgesteld in de openbare vergadering van ,

5/5