Voorstel Verantwoording informatiebeveiliging ENSIA 2020 - Voorstel.pdf

Gemeenteraad Papendrecht Vergadering van 1 juli 2021 Zaaknummer: 2021-0011413

Voorstel Openbaar

Verantwoording informatiebeveiliging ENSIA 2020 Bevoegde portefeuillehouder:

Aart-Jan Moerkerke

Betrokken portefeuillehouder(s):

Pieter Paans;

Fatale termijn: 30-4-2021 Uiterlijke datum om de getekende documenten aan te leveren in de ENSIA tool voor de verticale verantwoording. 15-7-2021 Uiterlijke datum dat de horizontale verantwoording is afgerond.

Gevraagd besluit 1. De rapportages uit de zelfevaluatie ENSIA 2020 vast te stellen. 2. Bekrachtiging geheimhouding op de bijlagen 1 tot en met 7 van deze nota Verantwoording ENSIA 2020. De geheimhouding blijft gehandhaafd.

Inhoud Inleiding Informatiebeveiliging vormt een belangrijk kwaliteitsaspect van de informatievoorziening van de overheid. Het beveiligen van informatie is echter geen eenmalige zaak, maar een proces waarbij steeds de Plan-Do-Check-Act cyclus wordt doorlopen. Het doorlopen van dit proces is een verantwoordelijkheid van het lijnmanagement. Om te voorkomen dat informatie en informatiesystemen te licht of te zwaar worden beveiligd, vormt risicomanagement een belangrijk onderdeel in dit proces. Inwoners en ondernemers verwachten een betrouwbare overheid die zorgvuldig met informatie omgaat. Het gaat daarbij om het waarborgen van beschikbaarheid, integriteit en vertrouwelijkheid van informatie(systemen). Dat zorgt niet alleen voor betrouwbaarheid, maar ook een goede kwaliteit en continuïteit van de bedrijfsvoerings- en dienstverleningsprocessen. Iedere overheidslaag heeft in een eerder stadium besloten de Baseline Informatiebeveiliging Overheid (BIO) toe te passen. Dit is bevestigd in de Ministerraad van 14 december 2018. Het BIO normenkader is de basis voor het in 2020 vastgestelde regionale informatiebeveiligingsbeleid Drechtsteden. Gemeenten verantwoorden zich over informatiebeveiliging en – kwaliteit middels ENSIA. Dat staat voor Eenduidige Normatiek Single Information Audit. De focus van ENSIA ligt op verantwoording richting de gemeenteraad.

Parallel hieraan leggen gemeenten verantwoording af aan de rijksoverheid waar het gaat om het gebruik van landelijke voorzieningen. De ENSIA tool beschikt over diverse rapportages maar de algemene vragenlijst is integraal waardoor er in een enkel geval een afweging moet worden gemaakt als er vanuit de diverse beleidsterreinen een andere visie is op het niveau van de informatiebeveiliging. Vanuit de VNG realisatie is in 2020 voor 2021 een nieuwe tool aangekocht waar hopelijk meer splitsing van de beveiligingsniveau's van de verschillende beleidsterreinen kan worden ingevoerd. Voor het onderdeel Suwinet en DigiD wordt een collegeverklaring opgesteld. Een IT-auditor controleert deze collegeverklaring en stelt een

Assurance rapport op. Alle rapportages moeten door uw college worden vastgesteld en voor 15 juli 2020 ter kennisname aan de gemeenteraad worden voorgelegd(horizontale verantwoording). Voor de verticale verantwoording moeten de getekende rapportages uiterlijk 30 april 2021 worden geüpload in de ENSIA tool. Beoogd effect Voldoen aan zowel de verticale als de horizontale verantwoording. Argumenten 1.1. Verantwoording Suwinet. Lokaal hebben we suwinet-inkijk voor burgerzaken. Daarnaast is het Regionale Meld- en Coördinatiepunt (RMC) ondergebracht bij centrum gemeente Dordrecht en treden zij op als verantwoordingsplichtige op voor het onderdeel voortijdige schoolverlaters. In de collegeverklaring verklaart uw college of de gemeente op 31 december 2020 in opzet (inrichting en beschrijving) en bestaan voldoet aan alle beheersingsmaatregelen die nodig zijn voor de informatieveiligheid richting de toezichthouder. In deze verklaring moet de gemeente in het kader van opdrachtgeverschap ook verantwoorden voor de uitvoering suwinet inkijk en suwinet DKD wat binnen de Gemeentebelastingen en Basisinformatie Drechtsteden en de Sociale Dienst Drechtsteden wordt gebruikt. 1.2. Verantwoording DigiD Voor onze digitale dienstverlening wordt gebruik gemaakt van webformulieren die worden ontsloten met inloggen via DigiD.

Om te borgen dat dit op een veilige manier kan plaatsvinden dient jaarlijks richting Logius verantwoording te worden afgelegd over de gestelde normen. In de collegeverklaring verklaart uw college of de gemeente op 31 december 2020 in opzet (inrichting en beschrijving) en bestaan voldoet aan alle beheersingsmaatregelen die nodig zijn voor de informatieveiligheid richting de toezichthouder. 1.3. De vastgestelde uittreksels BRP en reisdocumenten. Met de uittreksels BRP en Reisdocumenten wordt de verplichte verantwoording afgelegd aan de RvIG en de autoriteitpersoonsgegevens. De verantwoording richting de toezichthouders heeft voor de deadline van 14 februari 2021 plaatsgevonden.Ter informatie wordt de gemeenteraad in kennis gesteld dat conform de wetgeving de zelfevaluatie heeft plaatsgevonden. De toezichthouder neemt steekproeven of de zelfevaluatie een juiste weergave is van de werkelijkheid. Dit jaar zat de gemeente Papendrecht niet in de steekproef. 1.4. De algemene status van informatiebeveiliging. De VNG realisatie heeft de BIO normen vertaald naar een bestuurlijke rapportage die kan worden gebruikt voor de verantwoording richting de raad. De antwoorden van de zelfevaluatie ENSIA, de audits en de gabanalyse zijn input voor deze rapportage waardoor inzicht wordt verkregen of regionaal en lokaal wordt voldaan aan de BIO normen en waar al dan niet bewust risico wordt gelopen.

1.5. Met de vastgestelde rapportage BAG kunnen we ons verantwoorden naar de gemeenteraad en de landelijke toezichthouder. In de wet Basisregistratie Adressen en Gebouwen (BAG) zijn de taken en bevoegdheden van de betrokken partijen beschreven. Kwaliteitsborging is beschreven in de Regeling Zelfcontrole. Het college van burgemeester en wethouders is verantwoordelijk voor de uitvoering van de taken op grond van de Wet BAG. De bijgevoegde rapportage is opgesteld op basis van de jaarlijkse zelfevaluatie zoals beschreven in de Regeling Zelfcontrole BAG om horizontaal verantwoording af te leggen aan de

2/5

gemeenteraad over de uitvoering van de Wet BAG en om verticaal verantwoording af te leggen aan het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (DGBRW), als formeel toezichthoud. 1.6. Met de vastgestelde rapportage BGT kunnen we ons verantwoorden naar de gemeenteraad en de landelijke toezichthouder. De taken op grond van de Wet Basisregistratie Grootschalige Topografie (BGT) worden door de bronhouders in medebewind uitgevoerd. Met deze rapportage legt het dagelijks bestuur over deze uitvoering horizontaal verantwoording af aan het algemeen bestuur. Deze rapportage wordt hier naast ook gebruikt om verticaal verantwoording af te leggen aan Ministerie van Binnenlandse Zaken en Koninkrijksrelaties , als formeel toezichthouder. 1.7. Met de vastgestelde rapportage BRO kunnen we ons verantwoorden naar de gemeenteraad en de landelijke toezichthouder. Met de rapportage Basisregistratie Ondergrond (BRO) wordt de verplicht verantwoording afgelegd aan het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties. De bronhouders hebben de wettelijke taak om gegevens over de ondergrond aan te leveren. De BRO werkt volgens een groeimodel. Van de in totaal ca.

26 beoogde registratieobjecten zijn met name de volgende 10 voor gemeenten van belang: Geotechnische sonderingsonderzoeken, Grondwatermonitoringsputten, Booronderzoek: geotechnische boormonsterbeschrijving, Geotechnische boormonsteranalyse, Grondwatermonitoringsnet, Grondwatersamenstellingsonderzoek, Grondwaterstandsonderzoek, Booronderzoek: geotechnische boormonsteranalyse 2, Booronderzoek: toegepast geologisch booronderzoek, Formatieweerstandsonderzoek. 1.8. Transparantie informatiebeveiliging Vanuit de resolutie ‘Informatieveiligheid, randvoorwaarde voor de professionele gemeenten’ is aangegeven dat gemeenten de lokale invulling rondom het thema van informatieveiligheid transparant maken voor burgers, bedrijven en (keten)partners. De rapportage waar staat je gemeente wordt gedeeld aan de VNG zodat zij het kunnen publiceren op de site www.waarstajegemeente.nl. 2.1. Geheimhouding door het college is voorlopig Het college kan deze geheimhouding voorlopig opleggen tot de eerstvolgende gemeenteraadsvergadering. Langere geheimhouding kan alleen na bekrachtiging van de raad. 2.2. Geheimhouding In de bijlagen 1 t/m 7 van deze raadsnota In de verantwoording ENSIA 2020 is informatie opgenomen over beveiligingsmaatregelen die de gemeente treft om de systemen en gegevens te beveiligen.

Deze informatie kan kwaadwillende helpen bij het doorbreken van de beveiliging, wat kan leiden tot grote schade voor de gemeente. Dit leidt tot onevenredige benadeling van de gemeente (artikel 10, tweede lid, onder g van de WOB) en kan de financiële belangen van de gemeente (artikel 10, tweede lid, onder b van de WOB) schaden 2.3. Bekrachtiging De raad dient de geheimhouding te bekrachtigen (art. 25 lid 3). Kanttekeningen Niet van toepassing. Financiën Verantwoording over informatieveiligheid wordt verwerkt in de jaarstukken onder het kopje informatiebeveiliging van de paragraaf bedrijfsvoering. Vanuit de Algemene Leden Vergadering van de VNG is de resolutie aangenomen dat structureel voldoende budget vrij moet worden gemaakt voor blijvende weerbaarheid tegen digitale dreigingen (naar advies van de CyberSecurityRaad). Mocht er binnen het huidige lokale of regionale ict budget extra middelen voor het informatiebeveiligingsbeleid nodig zijn dan zal dit separaat aan u worden voorgelegd.

3/5

Uitvoering Na uw bekrachtiging blijft de geheimhouding gehandhaafd. De rapportages worden gedeeld met de toezichthouders voor 1 mei 2021. Communicatie & participatie De getekende verantwoording over 2020 naar de landelijke toezichthouder(s) moet uiterlijk 30 april 2021 zijn geupload in de de tool die hier landelijk voor beschikbaar is. Voor de horizontale verantwoording 2020 geldt dat uiterlijk op 15 juli 2021 besluitvorming in de gemeenteraad moet hebben plaatsgevonden Duurzaamheid & ecologie Niet van toepassing. ICT De antwoorden voor de zelfevaluatie ENSIA worden aangeleverd door de procesverantwoordelijken,zowel lokaal als regionaal. De ENSIA coördinatoren uit de regio werken samen en coördineren het proces.

Alle relevante stukken zijn voor u ter inzage gelegd. Burgemeester en wethouders van Papendrecht,

Bijlagen 1. Bijlage 8 ENSIA Verantwoordingsrapportage BAG 2020 Papendrecht.pdf 2. Bijlage 9 ENSIA Verantwoordingsrapportage BGT 2020 Papendrecht.pdf 3. Bijlage 10 ENSIA Verantwoordingsrapportage BRO 2020 Papendrecht.pdf

4/5

CONCEPT RAADSBESLUIT Datum: donderdag 1 juli 2021

De raad van de gemeente Papendrecht, gelezen het voorstel van het college van 20 april 2021,

besluit: 1. De rapportages uit de zelfevaluatie ENSIA 2020 vast te stellen. 2. Bekrachtiging geheimhouding op de bijlagen 1 tot en met 7 van deze nota Verantwoording ENSIA 2020. De geheimhouding blijft gehandhaafd.

Aldus vastgesteld in de openbare vergadering van donderdag 1 juli 2021,

5/5