b-bijlage-rapport-rekenkamer-koersen-op-agenda-digitale-veiligheid-in-purmerend-2025

Koersen op de Agenda Digitale Veiligheid in Purmerend eindrapport April 2025 1598512

Inhoudsopgave 1.

Inleiding

1

1.1 1.2 1.3 1.4

Aanleiding en opdracht Referentiekader Werkwijze Indeling rapport

1 3 3 3

2.

Invulling kaders digitale veiligheid

4

2.1 2.2 2.2.1 2.2.2 2.2.3 2.3 2.3.1 2.3.2 2.4 2.4.1 2.4.2 2.4.3 2.5 2.5.1 2.5.2

Inleiding Awareness Actielijn 1: Bewustzijn vergroten Actielijn 2: Weerbare organisatie Actielijn 3: De digitale brandoefening Governance Actielijn 4: Decentrale verantwoording waar kan, centraal toezicht waar moet Actielijn 5: OOV bevoegdheden en rollen voor de lokale bestuurders Risicogericht handelen Actielijn 6: Lokale vitale processen bepalen vanuit maatschappelijke taken Actielijn 7: Krachtige partner in de keten Actielijn 8: Risicomanagement geeft focus Eén overheid/ samen organiseren Actielijn 9: Versterken gemeentelijke weerbaarheid Actielijn 10: Eén overheid

4 4 4 7 9 10 10 11 11 11 12 12 13 13 14

3.

De rol van bestuurders

15

4.

Conclusies en aanbevelingen

17

5.

Bestuurlijke reactie

20

Bijlage A

Bestudeerde Documentatie

21

Bijlage B

Geïnterviewde personen

22

Bijlage C

Afkortingslijst

23

0

1.

Inleiding

1.1

Aanleiding en opdracht

In de 21ste eeuw nemen het gebruik en daarmee ook het belang van digitale middelen toe. Mede vanwege een steeds omvangrijker digitale infrastructuur beheren en benutten overheden meer en meer data en informatie. Dat betreft onder meer privacygevoelige informatie van hun inwoners. Het belang van een goede bescherming van de digitale infrastructuur en de daarin aanwezige data en informatie neemt daarmee eveneens toe. Nu overheden steeds meer gebruik maken van Informatie- en CommunicatieTechnologie (ICT) worden zij steeds kwetsbaarder als de ICT zou falen. Dat kan gebeuren door bijzondere omstandigheden zoals, stroomuitval of andere calamiteiten, maar ook wanneer de digitale infrastructuur overgenomen (‘gehackt’) wordt door kwaadwillende derden. Daarom is het van belang dat overheden hun ICT-infrastructuur goed beschermen, zich voorbereiden op calamiteiten en ook, in het geval van inbreuken, in staat zijn om het functioneren van de digitale infrastructuur snel en adequaat te herstellen. Het realiseren van digitale veiligheid wordt binnen gemeenten vaak als een ICT-onderwerp gezien, en daarmee ook als de verantwoordelijkheid van de afdeling ICT (of I&A; Informatie en Automatisering). Dit zou echter een te beperkte benadering zijn van deze uitdaging. Het borgen van digitale veiligheid moet idealiter een kernwaarde zijn van elke medewerker in een overheidsorganisatie.

Daarmee zijn de menselijke factor en de dagelijkse uitvoeringspraktijk voor elke gemeente belangrijke aandachtspunten. Digitale Veiligheid is het resultaat van zowel goede technische randvoorwaarden, de wijze waarop de veiligheid is geborgd is in processen en procedures als van de aandacht voor het bewustzijn met betrekking tot digitale veiligheid in de organisatie. Bovendien beperken digitale risico’s zich niet alleen tot de eigen gemeentelijke organisatie. De gemeente werkt geregeld samen met andere overheden of organisaties waarin informatie wordt gedeeld en uitgewisseld. Ook dan dient de gemeente er aandacht voor te hebben dat deze gegevens in veilige handen zijn. Digitalisering heeft niet alleen een grote impact op het functioneren van overheden, maar op het leven van alle burgers. Ook zij zijn afhankelijk van digitale middelen en lopen risico’s als privacygevoelige informatie in handen valt van derden. Het is daarmee ook een verantwoordelijkheid van overheden om hun inwoners te beschermen en die te ondersteunen in het bevorderen van een veilig gebruik van digitale middelen. De Vereniging van Nederlandse Gemeenten stimuleert sinds enige tijd dat gemeenten aandacht besteden aan het bewaken en bevorderen van de digitale veiligheid. De VNG stelt daartoe diverse tips, handreikingen en ‘best practices’ beschikbaar.

Bovendien heeft de VNG de Agenda Digitale Veiligheid opgesteld. Deze agenda bevat tien actielijnen om de digitale veiligheid te versterken. Deze tien actielijnen kunnen worden geclusterd in vier aandachtsgebieden. Deze zijn ‘awareness’, ‘governance’, ‘risicogericht handelen’ en ‘één overheid / samen organiseren’. Dit leidt tot de volgende ordening van deze Digitale Agenda1:

1

Een verdere uitwerking van deze agenda vindt plaats in hoofdstuk 2. Overigens gaat van de adviezen van de VNG geen dwingende werking uit. Het staat elke gemeente vrij om daar al dan niet en naar eigen wijze opvolging aan te geven.

pagina 1/23

April 2025

Digitale veiligheid in Purmerend

Agenda Digitale Veiligheid 2020 – 2024 Awareness 1. 2. 3.

Digitale Veiligheid vergroten Weerbare organisatie De digitale Brandoefening

Governance 4. 5.

Decentrale verantwoording waar kan, centraal toezicht waar moet OOV-bevoegdheden en rollen voor de lokale bestuurders

Risicogericht handelen 6. 7. 8.

Lokale Vitale processen bepalen vanuit maatschappelijke taken Krachtige partner in de keten Risicomanagement geeft focus

Eén overheid / Samen organiseren 9. 10.

Informatiebeveiligingsdienst gemeenten verbreden en versterken Eén overheid

De rekenkamer van Purmerend heeft begin 2024 het initiatief genomen om te verkennen in hoeverre en op welke wijze de gemeente invulling en opvolging geeft aan deze digitale agenda. Het doel van het onderzoek is om inzicht te geven in de stand van zaken in de uitwerking en uitvoering van de Digitale Veiligheid in de gemeente Purmerend. Tevens dient het onderzoek duidelijk te maken wat de rol van de raad, het college en de burgemeester2 is met betrekking tot de Agenda digitale veiligheid, en op welke manier bestuur en ambtenaren betrokken zijn bij en zich bewust zijn van de digitale Veiligheidsagenda. Dit leidt tot de volgende onderzoeksvraag: Centrale onderzoeksvraag Hoe wordt binnen de gemeente Purmerend invulling gegeven aan de Digitale Veiligheidsagenda? Deze centrale onderzoeksvraag is uitgewerkt in de volgende deelvragen. Deelvragen 1. Welke van de 10 VNG actielijnen uit de agenda digitale veiligheid zijn reeds opgepakt? Hoe zijn deze uitgewerkt en uitgevoerd? Welke resultaten/ effecten zijn bekend? 2. Welke rollen hebben raad, college en burgemeester bij het verder ontwikkelen en in uitvoering brengen van de digitale veiligheidsagenda? Hoe zijn deze beschreven en geïmplementeerd? 3.

Op welke manier zijn bestuurder (raad, college, burgemeester) op het moment van het onderzoek betrokken bij het tot uitvoering brengen van de digitale veiligheidsagenda? In hoeverre zijn ze geïnformeerd? Welk belang hechten zij eraan? Op welke wijze implementeren zij onderdelen van de agenda in beleid en sturing? 4. Op welke manier zijn ambtenaren op dit moment betrokken bij de digitale veiligheidsagenda? In hoeverre zijn zij geïnformeerd? Welk belang hechten zij eraan? Is hun werkwijze ervan doordrongen?

2

De burgemeester is wat het bewaken van de openbare orde en veiligheid betreft een zelfstandig bestuursorgaan, vandaar dat er een onderscheid wordt gemaakt tussen enerzijds het college van B&W en anderzijds de burgemeester.

pagina 2/23

April 2025

Digitale veiligheid in Purmerend

Met de resultaten van het onderzoek wil de rekenkamer de gedachtewisseling in de raad over de sturing op en de controle van digitale veiligheid in de gemeente ondersteunen en stimuleren.

1.2

Referentiekader

Het onderzoek heeft in eerste instantie een beschrijvend en inventariserend karakter. De beoordeling van de inspanningen en activiteiten van de gemeente staat minder centraal. Om die reden is in dit onderzoek niet gewerkt met een normenkader maar met een referentiekader. Dit kader heeft een ondersteunende functie bij het beschrijven van de staat van digitale veiligheid, zoals daar aandacht aan wordt besteed door de gemeente Purmerend. De actielijnen van de Agenda Digitale Veiligheid verschaffen het uitgangspunt voor dit kader. Door de bevindingen voor de gemeente Purmerend in verband te brengen met de actielijnen ontstaat een beter inzicht in de structurering van het gemeentelijk beleid. Dit betekent dat wordt bekeken: •

Of elke actielijn in het beleid van de gemeente Purmerend en in het dagelijks handelen van de medewerkers een duidelijk herkenbare positie heeft;

•

Of het beleid (zowel de voorbereiding als de uitvoering daarvan) recht doet aan hetgeen bij elk van die actielijnen van gemeenten wordt verlangd;

•

Of en tot welke resultaten dit leidt.

1.3

Werkwijze

Het onderzoek is begonnen met een startbijeenkomst waaraan de rekenkamer, de onderzoekers van PBLQ en verschillende vertegenwoordigers van de gemeentelijke organisatie, waaronder de portefeuillehouder veiligheid hebben deelgenomen. Vervolgens is kennisgenomen van beschikbare relevante documenten. Aansluitend is in gesprekken met ambtenaren en portefeuillehouders ingegaan op het gemeentelijk beleid. In het kader van het onderzoek is tevens een gedachtewisseling met raadsleden belegd. Tijdens deze bijeenkomsten is ingegaan op de wijze waarop raadsleden hun kaderstellende, controlerende en volksvertegenwoordigende verantwoordelijkheden met betrekking tot het bevorderen van digitale veiligheid in Purmerend ervaren. Het veldwerk voor dit rekenkameronderzoek is in het najaar van 2024 afgesloten. Van eventuele ontwikkelingen en aanpassingen in het geldende beleid die sindsdien hebben plaatsgevonden, kan in deze rapportage geen melding worden gemaakt.

1.4

Indeling rapport

Dit rapport is als volgt ingedeeld. In hoofdstuk 2 worden de tien actielijnen van de Digitale Veiligheidsagenda elk verder toegelicht. Vervolgens worden in dit hoofdstuk bij elke actielijn de bevindingen met betrekking tot Purmerend, verkregen uit diverse documenten, interviews en de praktijkverkenning, gepresenteerd. Hoofdstuk 3 is gericht op de positie en verantwoordelijkheden van de diverse bestuursorganen in Purmerend, het College van B&W, de burgemeester en de gemeenteraad. De aldus verkregen inzichten leiden in hoofdstuk 4 tot de beantwoording van de onderzoeksvragen en een toetsing aan het referentiekader. Daaraan worden verschillende aanbevelingen verbonden.

pagina 3/23

April 2025

Digitale veiligheid in Purmerend

2.

Invulling kaders digitale veiligheid

2.1

Inleiding

Dit hoofdstuk bevat de verkregen inzichten met betrekking tot de opvolging door de gemeente Purmerend van de actielijnen in de Agenda Digitale Veiligheid van de VNG. Deze informatie is relevant voor de beantwoording van de volgende twee deelvragen: Deelvragen 1. Welke van de 10 actielijnen uit de VNG-agenda digitale veiligheid zijn reeds opgepakt? Hoe zijn deze uitgewerkt en uitgevoerd? Welke resultaten/ effecten zijn bekend? 4. Op welke manier zijn ambtenaren op dit moment betrokken bij de digitale veiligheidsagenda? In hoeverre zijn ze geïnformeerd? Welk belang hechten zij eraan? Is hun werkwijze ervan doordrongen? De verkregen informatie is ontleend aan twee bronnen. De eerste daarvan zijn de beschikbare beleidsdocumenten van de gemeente. Deze zijn vermeld in bijlage A. De tweede bron betreft de gesprekken die hebben plaatsgevonden met medewerkers van de gemeente die een rol of verantwoordelijkheid hebben in de inrichting van het beleid met betrekking tot digitale veiligheid. In dit verband is ook gesproken met zowel de portefeuillehouder veiligheid als informatiebeleid. Een overzicht van de gesproken functionarissen is opgenomen in bijlage B.

2.2

Awareness

In veel beschouwingen over digitale veiligheid wordt de menselijke factor van groot belang geacht. Vanuit die optiek besteedt de Agenda Digitale Veiligheid van de VNG allereerst aandacht aan het bevorderen van het bewustzijn van medewerkers van gemeenten over de relevante risico’s en opgaven. De agenda stelt hierover (pagina 8): “Het is van essentieel belang dat lokale overheden interne bewustwording creëren over het belang van privacybescherming van privacygevoelige data van inwoners en de impact als deze data op straat komen te liggen.” De nagestreefde ‘awareness’ gaat verder dan louter aandacht voor privacybescherming. Het betreft tevens de aandacht voor pogingen van derden om toegang te krijgen tot de ICT-infrastructuur van de gemeente (hacken). Weliswaar kunnen er vele technische waarborgen tegen hackpogingen of andere inbreuken op de cyberveiligheid worden genomen, de ervaring leert dat de menselijke factor een groot risico vormt. In dat verband wordt in de Digitale Agenda (pagina 8) genoemd: “Het begint echter wel met menselijk falen en kwetsbaarheden; slechte wachtwoorden, een ondoordachte klik of onvoldoende controle op de eigen veiligheid.” Het bevorderen van de Awareness wordt in de digitale agenda uitgewerkt in drie actielijnen.

De eerste richt zich op het bewustzijn van de medewerkers en de inwoners, de tweede op voorbereiding op en alertheid van de organisatie als het gaat om digitale verstoringen en de derde op het oefenen met digitale noodscenario’s ter voorbereiding op daadwerkelijke incidenten.

2.2.1

Actielijn 1: Bewustzijn vergroten

In 2018 is de Algemene Verordening Gegevensbescherming (AVG) in werking getreden. Deze verordening betreft een uitwerking van Europese regelgeving die bedoeld is om de privacy van alle inwoners (beter) te beschermen. Wellicht valt privacybescherming als zodanig niet direct onder de pagina 4/23

April 2025

Digitale veiligheid in Purmerend

ambitie om het bewust\zijn in de organisatie te vergroten, de inwerkingtreding van de AVG verplichte organisaties, waaronder ook overheden, wel om specifieke functionarissen aan te stellen en allerlei procedures in te regelen. Deze functionarissen en procedures bevatten in zelfzelf verschillende bouwstenen die van belang zijn voor het versterken van het bewustzijn. Om die reden staat wij hier toch bij stil. De relevante bouwstenen en functionarissen zijn vermeld in het navolgende kader. Korte Inleiding op de Algemene Verordening Gegevensbescherming (AVG) 3 De AVG heeft tot doel om de privacy van burgers te beschermen. Om ervoor te zorgen dat dit inderdaad het geval is, zijn er voor organisaties als gemeenten verschillende waarborgen, procedures en functionarissen van belang. Deze zijn: Functionaris Gegevensbescherming: Gemeenten zijn verplicht een Functionaris Gegevensbescherming (FG) aan te stellen. Deze functionaris houdt toezicht op de toepassing en naleving van de AVG. Data protection Impact assessment: De AVG verplicht gemeenten om een data protection impact assessment (DPIA) uit te voeren. Dat is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen, mede om vervolgens maatregelen te kunnen nemen ter verkleining en beheersing van de risico’s. Verwerkingsregisters: Gemeenten zijn verplicht om een verwerkingsregister bij te houden.

Dit register bevat informatie over de persoonsgegevens die door de organisatie worden verwerkt. Een veilige omgang met gegevens is ook zeer gediend met het inrichten en naleven van een gedegen informatiebeveiligingsbeleid. Gemeenten stellen daartoe een Chief Information Security Officer (CISO)4 aan, die verantwoordelijk is voor dit informatiebeveiligingsbeleid. Dit betreft zowel het implementeren van beleid als het toezicht houden op de uitvoering ervan. Ook het definiëren en ontwerpen van de strategie op het gebied van informatiebeveiliging behoort tot het takenpakket. Gemeenten stellen tevens een Privacy Officer (PO) aan. Een Privacy Officer zorgt ervoor dat de AVG wordt nageleefd binnen een organisatie en ziet erop toe dat de privacy en dataverwerking bij elke medewerker die persoonsgegevens verzamelt, in veilige handen is. Een PO geeft advies en biedt ondersteuning, geeft interne trainingen en heeft een rol bij het melden van datalekken. Een gemeente werkt vaak samen met andere organisaties voor het uitvoeren of ondersteunen van taken. Dit kan een bedrijf zijn, een andere gemeente of bijvoorbeeld een gemeenschappelijke regeling. Zo'n andere organisatie heet een verwerker van persoonsgegevens. De gemeente blijft zelf eindverantwoordelijk voor de privacy van de persoonsgegevens van zijn inwoners. In AVG termen is de gemeente de verwerkingsverantwoordelijke.

Wanneer een andere organisatie persoonsgegevens verwerkt moet er altijd een verwerkersovereenkomst worden afgesloten tussen beide partijen. Hierin worden afspraken gemaakt over onder andere het doel van de verwerking, geheimhoudingsplicht, beveiliging, verwijderingstermijnen en auditverplichtingen. Mede vanwege de verplichtingen die voortvloeien uit de AVG en het daarmee sterk verbonden belang van goede informatiebeveiliging heeft de Nederlandse overheid de Baseline Informatiebeveiliging Overheid ontwikkeld.

3

De AVG is een uitwerking van Europese wet- en regelgeving. Daarmee hebben alle bepalingen een verplichtend karakter. Zie voor een uitgebreide uitleg voor diverse begrippen en procedures: notendop_avg.pdf (autoriteitpersoonsgegevens.nl) 4 Overigens is binnen de gemeente Purmerend afgesproken om louter de afkorting CISO te gebruiken. De functie wordt niet volledig uitgeschreven. pagina 5/23

April 2025

Digitale veiligheid in Purmerend

Baseline Informatiebeveiliging Overheid (BIO) De Vereniging van Nederlandse Gemeenten heeft in samenwerking met andere (belangenorganisaties van) overheden de Baseline Informatiebeveiliging Overheid (BIO) ingericht. In de BIO is het basisniveau voor informatiebeveiliging beschreven. Informatiebeveiliging is het proces van het nemen en beheren van passende technische en organisatorische maatregelen om dit te garanderen. Omdat de AVG stelt dat er technische en organisatorische maatregelen moeten worden ondernomen ten aanzien van de verwerking van persoonsgegevens, is er overlap tussen privacy en informatiebeveiliging. Het op deze wijze ontwikkelde voor Nederlandse overheden ontwikkelde normenkader is de Baseline Informatiebeveiliging Overheid (BIO). In de BIO zijn (verplichte) beheersmaatregelen opgenomen. Verder gaat de BIO uit van risicomanagement op basis van een Plan-Do-Check-Act cyclus om de beveiliging continue bij te stellen en te verbeteren. Voor de verantwoording over informatiebeveiliging gebruiken gemeenten de ENSIA-systematiek (Eenduidige Normatiek Single Information Audit). Via deze systematiek legt de gemeente verantwoording af over de informatieveiligheid van een aantal basisregistraties en informatiestelsels (waaronder de Basisregistratie Personen, DigiD en Suwinet). Elke gemeente heeft moeten anticiperen op de inwerkingtreding van de AVG.

Onder meer hebben gemeenten hun privacybeleid in lijn gebracht met de AVG, de vanwege de AVG verplichte functionarissen aangesteld, verwerkersregisters ingericht en de verschillende instrumenten toegepast. • De situatie in Purmerend In Purmerend zijn in de gemeenteraadsvergadering van 29 november 2018 het privacybeleid en het informatiebeveiligingsbeleid vastgesteld. In deze nota zijn de vereisten vanuit de AVG geregeld. De inrichting van het beleid wordt beschreven, met daarin de rollen en verantwoordelijkheden van de FG, CISO, privacyfunctionaris, een werkgroep privacy, een tactisch overleg bestaande uit de directeur bedrijfsvoering en diensten, managers, de CISO, de FG en de concerncontroller en de taken en verhoudingen tussen deze functionarissen. Voor het informatiebeveiligingsbeleid is de Baseline Informatiebeveiliging Overheid (BIO) als uitgangspunt genomen. Zowel in het privacybeleid als in het informatiebeveiligingsbeleid is opgenomen dat de opbrengsten jaarlijks worden geïnventariseerd en beoordeeld, op basis waarvan het beleid eventueel wordt aangepast (Plan-Do-Act-Check cyclus). De inventarisatie en beoordelingen worden tevens benut om jaarlijks verslag te doen aan de gemeenteraad. Het informatiebeveiligingsbeleid van Purmerend is eveneens in 2018 vastgesteld voor de periode 2019 -2021. Dit beleid is bij B&W-besluit eerst verlengd voor 2022 en later ook voor 2023.

Nieuw beleid is thans in voorbereiding. Tussen december 2023 en april 2024 heeft er binnen de gemeentelijke organisatie een bewustwordingscampagne plaatsgevonden, ondersteund door een extern bureau. Naast het bevorderen van het algemene bewustzijn over digitale uitdagingen, het kennisniveau en de meldingsbereidheid was er het doel om te onderzoeken in hoeverre medewerkers weerstand weten te bieden aan phishing of verdachte situaties op tijd melden. Resultaten van de bewustwordingscampagne zijn verwerkt in een presentatie, die besproken is met het bestuur en management. Afgesproken is dat managers zelf, de CISO of een ISO op uitnodiging van de manager deze presentatie ook aan hun medewerkers geven. Vooraf is niet gemeten of de bewustwording voldoende was omdat bewustwording door de gemeente gezien wordt als een doorlopend aandachtspunt. Naar mening van betrokkenen bij de campagne is het resultaat dat het aantal pagina 6/23

April 2025

Digitale veiligheid in Purmerend

meldingen per incident is verdrievoudigd. Dat houdt in dat nu één phisingmail drie keer zoveel gemeld wordt bij het centrale punt. In de zomer van 2024 is gewerkt aan een bewustwordingsplan. Een voorstel zal worden besproken in het tactische overleg, bestaande uit de directeur bedrijfsvoering en diensten, managers, de CISO, de FG en de concerncontroller. Wel is al bekend (directiebesluit uit maart 2024) dat er aandacht zal worden besteed aan het versterken van de aandacht voor informatieveiligheid in het inwerkprogramma voor nieuwe medewerkers. Verder worden vanaf oktober tot de zomer van 2025 maandelijks filmpjes uitgebracht die de bewustwording van medewerkers moeten vergroten. - Het beleid voor de lokale gemeenschap Het vergroten van het kennisniveau rondom digitale veiligheid geldt niet alleen voor het bestuur en de ambtelijke organisatie, maar ook voor inwoners. De gemeente onderneemt activiteiten om de digitale veiligheid in de lokale gemeenschap te versterken. Zo worden voor de jeugd gastlessen digitale veiligheid in de klas georganiseerd. Verder bestaat er een game, waarin de jongeren worden uitgedaagd op digitale veiligheid. De gemeente organiseert tevens evenementen om jongeren te laten zien hoe zij de digitale vaardigheden in kunnen zetten voor de samenleving.

Voor ouders is er een project cyberouders waarbij de insteek is om de kloof tussen kinderen en ouders in de digitale wereld kleiner te maken. Voor ouderen heeft de gemeente al twee keer een informatiedag georganiseerd over cybercriminaliteit. Voor ondernemers gaat Purmerend gratis trainingen geven over hoe te handelen bij een digitaal ongeluk (‘hack’). Binnen de politie zijn er ook ‘digitale wijkagenten’ actief, die tevens aandacht hebben voor digitale criminaliteit in Purmerend. Tussen de politie en de gemeente worden regelmatig informatie en inzichten gewisseld. Al met al kan worden vastgesteld dat aan Actielijn 1 – het vergroten van bewustzijn – zowel binnen de organisatie als in de lokale gemeenschap aandacht wordt besteed.

2.2.2

Actielijn 2: Weerbare organisatie

Uitgangspunt van deze actielijn is dat de gemeente is voorbereid op inbreuken op de informatieveiligheid. In dat verband is het niet alleen belangrijk om weerbaar te zijn en veiligheidsmaatregelen te nemen tegen risico’s, maar ook veerkrachtig op te kunnen treden wanneer een incident zich daadwerkelijk voordoet. Zo is het belangrijk dat onderbrekingen in de bedrijfsvoering, bijvoorbeeld ten gevolge van een hack maar ook vanwege een calamiteit, snel opgelost kunnen worden. - Purmerend als weerbare organisatie Binnen de gemeentelijke organisatie zijn een CISO, information security officers (ISO’s), een FG en verschillende privacyofficers aanwezig. Van al deze functionarissen zijn hun taken en verantwoordelijkheden vastgelegd. Tevens zijn er medewerkers openbare orde en veiligheid. De chief information security officer (CISO) heeft een belangrijke verantwoordelijkheid. De CISO heeft als taak om op basis van het gemeentelijk informatiebeveiligingsbeleid zorg te dragen voor een samenhangend pakket van maatregelen ter waarborging van de vertrouwelijkheid, integriteit en beschikbaarheid van de informatie binnen de gemeente. De CISO is verantwoordelijk voor het opstellen, actualiseren, controleren en naleven van het informatiebeveiligingsbeleid van de gemeente. Daarnaast is de CISO verantwoordelijk voor het uitvoeren of laten uitvoeren van risicoanalyses en interne audits.

Bij grote beveiligingsrisico’s heeft de CISO de bevoegdheid, zo nodig, direct in te grijpen (met verantwoording achteraf aan het management). De CISO heeft de bevoegdheid om op pagina 7/23

April 2025

Digitale veiligheid in Purmerend

elke plek in de organisatie, het IT netwerk en/of leveranciers van de gemeente gevraagd en ongevraagd onderzoek te (laten) doen naar de informatiebeveiliging. In de gesprekken is gebleken dat in Purmerend de CISO een actieve rol speelt in het bevorderen en bewaken van de informatieveiligheid. Het jaarplan Informatiebeveiliging 2024 bevat een brede opsomming van initiatieven en activiteiten die de gemeente voornemens is om te ontwikkelen om de informatieveiligheid te versterken. Onder meer wordt er een beveiligingsincidentenregister bijgehouden met daarin de beschrijving van het incident, de gevolgen/ impact, betrokkenen en de getroffen maatregelen. Tevens worden er risicoanalyses uitgevoerd met betrekking tot informatiebeveiliging van systemen geleverd door derden. Elke gemeente moet rekening houden met de mogelijkheid dat de systemen gehackt worden. Ook om andere redenen (zoals een grote elektriciteit storing of brand in het gemeentehuis) is het zaak om zich voor te bereiden op de consequenties daarvan. In Purmerend worden diverse risicoanalyses gedaan maar nog niet voor elk systeem. Een dergelijke analyse kan bijdragen aan een plan waarin is opgenomen in welke volgorde (prioriteit) de verschillende systemen en applicaties hersteld moeten worden.

In het jaarplan informatiebeveiliging 2024 is opgenomen dat risicoanalyses plaatsvinden en dat wordt gestart met het opstellen van een centraal bedrijfscontinuïteitsplan. Op dit moment heeft de gemeente Purmerend geen centraal bedrijfscontinuïteitsplan maar zijn er wel diverse decentrale plannen aanwezig. Jaarlijks wordt er wel uitwijktest uitgevoerd waarbij de plannen en de wettelijk verplichte onderdelen getoetst worden. Wel is genoemd dat de CISO en het management alle vitale processen kennen. Met een risicoanalyse breng je de interne en externe risicofactoren in kaart en stel je per bedreiging vast hoe groot de kans is dat het risico werkelijkheid wordt en welke consequenties dat zou hebben voor de organisatie. Een bedrijfscontinuïteitsplan is een draaiboek waarin staat wat gedaan moet worden om de organisatie draaiende te houden na een ramp. Mocht het gemeentehuis om welke reden dan ook niet bruikbaar zijn, dan kan de gemeente gebruikmaken van een alternatieve locatie. Elk jaar wordt getest of de benodigde ICT-systemen in die uitwijklocatie operationeel zijn. Om de kwaliteit van de informatiebeveiliging periodiek te toetsen is de gemeente door de rijksoverheid verplicht om periodiek een ENSIA5 uit te voeren. Deze audit is gebaseerd op de Baseline Informatievoorziening Overheid (BIO). Purmerend voert de ENSIA elk jaar uit.

Bij het bestendigen en bevorderen van de informatieveiligheid maakt Purmerend ook gebruik van de kennis en informatie die verkregen wordt in regionale samenwerkingsverbanden. Dat betreft om te beginnen de Veiligheidsregio. Elke gemeente is verplicht aangesloten bij een Veiligheidsregio, in het geval van Purmerend de veiligheidsregio Zaanstreek-Waterland. In het Beleidsplan 2021-2024 van deze regio wordt over digitale veiligheid (op pagina 12) gesteld: “Daar waar we in het verleden vooral te maken hadden met rampenbestrijding als gevolg van grote branden en ongevallen, leiden ontwikkelingen als klimaatverandering, digitalisering maar ook de toegenomen actie- en demonstratiebereidheid en de gevolgen van de wereldwijde pandemie COVID-19 steeds vaker tot crises met maatschappij-ontwrichtende gevolgen. Bij deze nieuwe crisistypen is de traditionele rampenbestrijding niet altijd toereikend.” In NW46 trekken we samen op waar het gaat om het 5 6

Zie ook het kader aan het begin van dit hoofdstuk. ENSIA staat voor Eenduidige Normatiek Single Information Audit De afkorting staat voor Noord-West, en heeft betrekking op de samenwerking tussen de vier veiligheidsregio’s in NoordHolland.

pagina 8/23

April 2025

Digitale veiligheid in Purmerend

voorkomen en bestrijden van de gevolgen van digitale ontwrichting. Bij de voorbereiding van de eigen regionale crisisorganisatie zullen het verkrijgen van de juiste informatiepositie en het veerkrachtig kunnen reageren op effecten van digitale ontwrichting belangrijke aandachtspunten zijn. Met onze NW4-buurregio’s nemen we gezamenlijk deel aan de landelijke cyberoefening ISIDOOR. Deze oefening richt zich onder meer op de samenwerking tussen Rijk en veiligheidsregio’s en zal voor ons ook een belangrijk vertrekpunt zijn in het opstellen van planvorming op dit thema.” In het Regionaal Risicoprofiel 2021-2024 van de Veiligheidsregio is in het inleidende hoofdstuk (pagina 9) een paragraaf opgenomen over digitale ontwrichting. Daarin wordt genoemd dat in het Cybersecuritybeeld 2019 staat dat bijna alle vitale digitale systemen nog steeds niet goed beveiligd zijn in Nederland en dat er nauwelijks analoge terugvalopties zijn of alternatieven. Bij een digitale ontwrichting is het belangrijk dat de veiligheidsregio goed geïnformeerd wordt zodat er een goed zicht ontstaat over mogelijke keteneffecten van de digitale ontwrichting. Daarnaast staat vermeld dat het belangrijk is dat alle crisispartners van de veiligheidsregio beschikken over continuïteitsplannen waarbij het belangrijk is dat de (onderlinge) communicatie is stand blijft.

Bovendien is het belangrijk dat de veiligheidsregio veerkrachtig te werk gaat en de plannen flexibel kan toepassen. In Noord - Holland besteedt het programma Noord- Holland Samen Veilig ook aandacht aan het weerbaar maken van overheidsinstellingen en burgers ten aanzien van cybercriminaliteit. In april 2023 hebben de gemeenten Landsmeer, Edam- Volendam, Waterland en Purmerend en het politie Basisteam Purmerend een intentieovereenkomst getekend voor integrale samenwerking cybercrime en gedigitaliseerde criminaliteit. Het doel is de aanpak van online criminaliteit te verbeteren en slachtoffers te voorkomen. Tevens is er het doel om te werken naar een gezamenlijke aanpak met structureel overleg en gedeelde verantwoordelijkheden. Een bijzondere vorm van digitale onveiligheid zijn online aangejaagde ordeverstoringen. Het Integraal Veiligheidsplan van Purmerend voor de periode 2023-2026 maakt hier melding van, maar bevat geen concrete plannen om hierop te anticiperen. In de interviews is gebleken dat de gemeente mogelijke digitaal aangejaagde ordeverstoringen niet zelf consequent registreert en volgt. Vanzelfsprekend ontvangt, indien nodig, de gemeente hierover wel informatie van politie (met name de digitale wijkagenten) of het Openbaar Ministerie.

Voor zover in dit onderzoek is gebleken heeft de gemeente alle nodige initiatieven en acties om een weerbare organisatie te zijn in beeld. De basis is op orde. Tegelijkertijd worden verschillende acties wel onderscheiden en aangekondigd, maar bestaan die louter nog in voorgenomen plannen. Besluitvorming over de daarvoor benodigde middelen en personele capaciteit moet nog plaatsvinden.

2.2.3

Actielijn 3: De digitale brandoefening

Gemeenten worden steeds afhankelijker van digitale netwerken. Hoewel de impact van digitale incidenten en –crisis in veel gevallen beperkt blijft tot de eigen bedrijfsvoering, kunnen deze ook gevolgen hebben voor de fysieke omgeving. In het algemeen weten bestuurders vaak wel waar de verantwoordelijkheden van diverse partijen (zoals OM, politie en brandweer) liggen als het gaat om fysieke veiligheid. Dat zou ook moeten gelden voor digitale veiligheidsincidenten met bijvoorbeeld een fysiek element. Dit is juist belangrijk omdat hier zowel ambtenaren bij betrokken zijn vanuit de reguliere informatieveiligheid als ambtenaren vanuit de fysieke veiligheidsketen. De gemeente Purmerend heeft in het voorjaar van 2024, geïnitieerd door de veiligheidsregio, een cyberoefening uitgevoerd. Ten tijde van dit rekenkameronderzoek was een evaluatie nog niet pagina 9/23

April 2025

Digitale veiligheid in Purmerend

beschikbaar. Functionarissen van de gemeente Purmerend die betrokken waren bij de oefening noemen dat Purmerend naar hun mening voldoende heeft gepresteerd. Weliswaar is er geoefend, de aandacht voor deze actielijn heeft vooralsnog een incidenteel karakter.

2.3

Governance

Elke gemeente kan op enig moment geconfronteerd worden met bijvoorbeeld datalekken, digitale verstoringen, incidenten en digitale criminaliteit. Dergelijke incidenten beperken zich niet tot één plaats maar kunnen ook elders ontwrichtende gevolgen hebben. Bestuurders worden daarom niet alleen geconfronteerd met de eigen bedrijfsvoering, maar óók met (digitale) incidenten in de samenleving. Het maakt dat het thema ‘digitale veiligheid’ ook aan de orde komt op de (regionale) bestuurstafel. De governance, ten aanzien van het thema ‘digitale veiligheid’, wordt in de digitale agenda uitgewerkt in twee actielijnen.

2.3.1

Actielijn 4: Decentrale verantwoording waar kan, centraal toezicht waar moet

De rijksoverheid hanteert het basisprincipe dat gemeenten zelf verantwoordelijk zijn en blijven voor hun informatieveiligheid. Via de planning en control-cyclus leggen gemeenten zelf verantwoording af aan de gemeenteraad. Tegen alle aanvallen, ook de aanvallen vanuit het buitenland, worden de nodige maatregelen genomen door de gemeente Purmerend. In de gemeente Purmerend is regelmatig overleg tussen B&W, de verantwoordelijke portefeuillehouder en de CISO, FG en privacyfunctionarissen. Ook wordt er jaarlijks teruggekoppeld aan de gemeenteraad via de jaarverslagen van de CISO en de FG. Vanuit de gemeenteraad is er weinig aandacht voor dit onderwerp. Vanuit de ambtelijke organisatie wordt onderzocht hoe het thema meer bestuurlijk kan worden gemaakt. Een van de acties die de ambtelijke organisatie heeft ondernomen is het organiseren van een bijeenkomst digitale veiligheid voor de gemeenteraad in november 2024. De ENSIA-rapportage, met de daarin opgenomen conclusies en verbeteracties, wordt gedeeld met het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties, het ministerie van Sociale Zaken en Werkgelegenheid en de Autoriteit Persoonsgegevens. De CISO verantwoordt zich aan de gemeenteraad middels een jaarverslag. Op die manier legt het college van B&W tevens verantwoording af over de Baseline Informatiebeveiliging Overheid (BIO).

Deze BIO is vanaf 2020 van toepassing op de gehele overheid. In het verslag wordt gerapporteerd over de belangrijkste informatiebeveiligingsvraagstukken van de voorgaande periode. Zo waren dat in het jaarverslag informatieveiligheid 2022 bijvoorbeeld vraagstukken met betrekking tot de fusie van de gemeente Purmerend en de gemeente Beemster tot de nieuwe gemeente Purmerend. In het jaarverslag rapporteert de CISO over de jaarlijkse onafhankelijke toets die een IT- auditor doet op de BIO. Onderdeel van de stukken naar de raad is de managementletter van de auditor waarin de raad de huidige stand van de totale informatiebeveiliging kan lezen. Het jaarverslag over 2023 is ten tijde van het onderzoek nog niet gereed, maar in het jaarverslag over 2022 wordt gemeld dat de – CISO constateerde, op basis van de rapportage van de IT auditor, dat er geen openstaande punten zijn die de organisatie niet al zelf in beeld heeft. Ook over de resultaten van de ENSIA wordt gerapporteerd in het jaarverslag. Scores ten opzichte van vorige jaren worden vermeld en verbeterpunten worden aangehaald in het verslag. Hiernaast worden ook aantallen datalekken en beveiligingsincidenten genoemd. Er wordt een verklaring gegeven voor pagina 10/23

April 2025

Digitale veiligheid in Purmerend

een eventuele stijging van de aantallen. Bovendien wordt in een korte paragraaf ingegaan op het vooruitzicht voor het komende jaar op gebied van informatiebeveiliging. Zo wordt in het jaarverslag van 2022 bijvoorbeeld gewezen op de komende NIS2 richtlijn, die een hoger niveau van cybersecurity bij organisaties voorschrijft. Verbeterpunten vanuit de audit van de onafhankelijke adviseur op de BIO worden opgepakt in het jaarplan voor 2024. Voordat de ENSIA rapportage wordt aangeboden aan de ministeries van BZK, SZW en de Autoriteit Persoonsgegevens worden de evaluaties afzonderlijk voorgelegd aan het college van B&W om vast te stellen en akkoord te geven op verzending naar de eerdergenoemde partijen. In het algemeen kan worden gesteld dat de gemeentelijke organisatie zowel aan de gemeenteraad als waar nodig aan andere overheden verantwoording aflegt.

2.3.2

Actielijn 5: OOV bevoegdheden en rollen voor de lokale bestuurders

Voor elke gemeente geldt dat zowel de burgemeester als het college van B&W een belangrijke rol hebben in het integraal veiligheidsbeleid. In diverse nota’s en plannen van Purmerend, die in de eerdere paragrafen van dit hoofdstuk al de revue zijn gepasseerd, zijn deze rollen ook specifiek onderscheiden en ingevuld. Al met al kan worden vastgesteld dat de governance ten aanzien van het thema ‘digitale veiligheid veel aandacht krijgt.

2.4

Risicogericht handelen

Elke gemeente kan geconfronteerd worden met datalekken, digitale verstoringen, incidenten en digitale criminaliteit. Daar waar het aandachtsgebied ‘governance’ zich concentreerde op de gemeente zelf, is in de paragraaf ‘risicogericht handelen’ een bovenlokaal perspectief gekozen. Dit aandachtsgebied kent de actielijnen ‘lokale vitale processen bepalen vanuit maatschappelijke taken’, ‘krachtige partner in de keten’ en ‘risicomanagement geeft focus’. Deze richten zich op het belang van het collectief (h)erkennen van lokale vitale processen, de impact van digitale ontwrichting en het netwerkmanagement bij het thema ‘digitale veiligheid’.

2.4.1

Actielijn 6: Lokale vitale processen bepalen vanuit maatschappelijke taken

Vanuit de agenda digitale veiligheid van de VNG wordt gemeentebestuurders op het hart gedrukt om binnen de eigen gemeente met stakeholders een gesprek te voeren over lokale vitale processen en wat de impact is bij digitale ontwrichting. Vanuit de BIO is het al verplicht om een risicoanalyse uit te voeren en te bedenken hoe de continuïteit gewaarborgd kan worden bij cyberincidenten en -crises. Die principes kunnen gemeentelijke bestuurders ook inzetten voor het gesprek m.b.t. lokale vitale processen, zoals besturingssystemen voor verkeersveiligheid. In de gemeente Purmerend is, zoals al eerder genoemd, er geen bedrijfscontinuïteitsplan. Wel wordt er aangegeven dat er bij alle relevante interne overleggen en met de overleggen met ketenpartners en externe partijen altijd aandacht is voor digitale risico’s. Deze actielijn krijgt daarmee slechts beperkte aandacht. pagina 11/23

April 2025

Digitale veiligheid in Purmerend

2.4.2

Actielijn 7: Krachtige partner in de keten

Steeds meer gemeenten dragen uitvoerende taken over aan andere organisaties, waardoor data meer verspreid raken over ketens. Elke organisatie is zelf verantwoordelijk voor haar informatiebeveiliging en bedrijfscontinuïteit, maar VNG raadt aan raakvlakken en wederzijdse afhankelijkheden en risico’s te verkennen. In de praktijk zijn verwerkersovereenkomsten met organisaties waarmee informatie wordt gedeeld daarvoor een belangrijk instrument. Wanneer een organisatie de verwerking van persoonsgegevens uitbesteedt aan een externe partij dat is het vanuit de privacywetgeving verplicht om afspraken te maken over de verwerking van deze gegevens. Deze afspraken worden vastgelegd in een verwerkersovereenkomst. In de interviews in Purmerend is genoemd dat als in de praktijk informatie met derden wordt gewisseld, er inderdaad verwerkersovereenkomsten worden afgesloten. Daarnaast vraagt risicomanagement ook dat informatie over incidenten (regionaal én landelijk) gedeeld moet worden, zodat de gemeente juiste beslissingen kan nemen. Informatie vanuit de Informatiebeveiligingsdienst van de VNG speelt hierin een belangrijke rol. De Informatiebeveiligingsdienst De IBD is de sectorale CERT / CSIRT 7 voor alle Nederlandse gemeenten en onderdeel van de Vereniging van Nederlandse Gemeenten. De IBD ondersteunt gemeenten op het gebied van informatiebeveiliging en privacy.

De IBD is voor gemeenten het schakelpunt met het Nationaal Cyber Security Centrum (NCSC). De IBD draagt namens gemeenten bij aan de Baseline Informatiebeveiliging Overheid (BIO) en geeft regelmatig kennisproducten uit. Daarnaast faciliteert de IBD kennisdeling tussen gemeenten onderling, met andere overheidslagen, met vitale sectoren en met leveranciers. Alle Nederlandse gemeenten kunnen gebruik maken van de producten en de generieke dienstverlening van de IBD. Purmerend maakt gebruik van de diensten van de IBD. Eerder is al ter sprake gekomen dat Purmerend kennis en informatie deelt binnen de Veiligheidsregio en binnen Noord-Holland-SamenVeilig. Ook wordt er informatie gedeeld met politie en Openbaar Ministerie. Daarnaast geeft de gemeente Purmerend aan dat zij een stevig ingericht proces kent waarin beveiligingsincidenten worden afgehandeld (waaronder een eigen CERT). Het gemeentelijke CERT treedt actief in contact met het IBD om informatie te delen. Daarmee geeft Purmerend zeker invulling aan het belang om een goede partner in de keten te zijn. Er kan echter niet worden vastgesteld of Purmerend daarmee ook een ‘krachtige’ partner is.

2.4.3

Actielijn 8: Risicomanagement geeft focus

VNG benadrukt in de Agenda Digitale Veiligheid het belang van een ‘digitale risicokaart’ ten aanzien van de bedrijfscontinuïteit van lokale vitale processen. Dit biedt houvast voor het prioriteren en plannen van maatregelen met ketenpartners. Zoals al eerder genoemd wordt het belang hiervan wel onderkend in de organisatie van Purmerend. Een uitgewerkte risicokaart is echter nog niet beschikbaar. In het verlengde van de inzichten die bij actielijn 6 zijn opgedaan, is ook bij deze achtste actielijn sprake van beperkte aandacht.

7

CERT staat voor ‘Computer Emergency Response Teams’. CSIRT staat voor ‘Computer Security Incident Response Teams’.

pagina 12/23

April 2025

Digitale veiligheid in Purmerend

2.5

Eén overheid/ samen organiseren

2.5.1

Actielijn 9: Versterken gemeentelijke weerbaarheid

Om de digitale weerbaarheid van gemeenten zelf te vergroten raadt de VNG aan gemeenten aan om: •

Informatiebeveiliging op de agenda van het college te zetten en te zorgen dat lijnmanagers verantwoordelijkheid kunnen nemen. Op deze manier hoopt de VNG dat de top van de organisatie doordrongen is van het belang van informatiebeveiliging en zelf het goede voorbeeld geeft. • De basis op orde te brengen met de basale beveiligingsprocessen en maatregelen. • De menselijke schakel te versterken. • De positie van de CISO te versterken, zodat deze ruimte en middelen heeft en kan investeren in kennis en kunde. • Het inzicht in risico’s van nieuwe technologieën te verbeteren door de juiste mensen verantwoordelijk te maken en al in het beginstadium de CISO en verantwoordelijke lijnmanagers te betrekken. Naast deze concrete aanraders wordt in de Agenda Digitale Veiligheid gewezen op aandacht voor netwerk monitoring, het bewaken van dataverkeer van de eigen organisatie en respons op eventuele aanvallen. - De situatie in Purmerend In bovenstaande paragrafen is al het nodige aan de orde geweest met betrekking tot de opstelling van Purmerend bij al deze aandachtspunten. Informatieveiligheid maakt onderdeel uit van de portefeuille van de wethouder informatiebeleid. Vanuit deze verantwoordelijkheid komt het onderwerp met enige regelmaat ter sprake in het College van B&W. Belangrijke plannen en nota’s worden eveneens besproken in het college van B&W.

De basis aan beveiligingsmaatregelen is op orde. Verder is er gerichte en permanente aandacht voor het versterken van het bewustzijn in de organisatie. Binnen de organisatie van Purmerend bekleedt de CISO al een relatief sterke functie. In de interviews met verschillende functionarissen gaven zij aan zich bewust te zijn van het belang van de CISO en verwezen ze naar allerlei acties die door de CISO worden uitgevoerd. De CISO zelf geeft wel aan niet alle voornemens in activiteiten te kunnen omzetten, bij gebrek aan mensen en middelen. Zo is al genoemd dat het structureel inventariseren van risico’s en het garanderen van bedrijfscontinuïteit in het geval van grote incidenten nog aandacht behoeven. Er is daarmee zeker aandacht voor het versterken van de gemeentelijke weerbaarheid, al geven alle betrokkenen aan dat meer aandacht gewenst is.

pagina 13/23

April 2025

Digitale veiligheid in Purmerend

2.5.2

Actielijn 10: Eén overheid

VNG en de Rijksoverheid bieden een breed palet aan (ICT)voorzieningen en -diensten aan die gemeenten digitaal veiliger moeten maken. Vanuit de Agenda Digitale Veiligheid wordt gemeenten opgeroepen hier zoveel mogelijk gebruik van te maken. Een van de instrumenten is de Baseline Informatiebeveiliging Overheid (BIO). - De situatie in Purmerend Zoals al genoemd zijn de adviezen, voorzieningen en diensten van VNG en de Rijksoverheid, en ook die van de Veiligheidsregio goed bekend in Purmerend. Purmerend voldoet zeker aan basisvereisten (zoals toetsing aan de BIO), waardoor Purmerend een betrouwbare overheidspartner is. Het ontbreekt Purmerend echter aan middelen en mogelijkheden om in alle ambities te voorzien.

pagina 14/23

April 2025

Digitale veiligheid in Purmerend

3.

De rol van bestuurders

In dit hoofdstuk zijn de rollen van raad, college en burgemeester (als zelfstandig bestuursorgaan) aan de orde. Daarnaast is aandacht besteed aan de wijze waarop aan die rollen in de praktijk invulling wordt gegeven. Richtinggevend zijn de volgende onderzoeksvragen: Deelvragen 2. Welke rollen hebben gemeenteraad, college van B&W en burgemeester bij het verder ontwikkelen en in uitvoering brengen van de digitale veiligheidsagenda? Hoe zijn deze beschreven en geïmplementeerd? 3. Op welke manier zijn bestuurders (raad, college, burgemeester) op het moment van het onderzoek betrokken bij het tot uitvoering brengen van de digitale veiligheidsagenda? In hoeverre zijn ze geïnformeerd? Welk belang hechten zij eraan? Op welke wijze implementeren zij onderdelen van de agenda in beleid en sturing? In het onderzoek zijn geen documenten aangetroffen waarin de rollen, verantwoordelijkheden en taken van raad, college en burgemeester bij het verder brengen van de digitale veiligheidsagenda expliciet zijn beschreven. Op basis van algemene documenten en de interviews is duidelijk dat er binnen het college een portefeuillehouder informatiebeleid is onderscheiden, die zich ook bezighoudt met digitale veiligheid. Het thema openbare orde en veiligheid behoort wettelijk gezien tot de verantwoordelijkheid van de burgemeester.

Zowel de portefeuillehouder informatiebeleid als de burgemeester hebben wekelijks portefeuillehoudersoverleg met de voor hun thema relevante ambtenaar of ambtenaren. In het geval beide portefeuilles overlap vertonen, vindt er overleg en afstemming plaats tussen burgemeester en portefeuillehouder. Belangrijke beleidsnota’s en rapportages worden binnen het college geagendeerd, besproken en vastgesteld. De gemeenteraad wordt regulier over ontwikkelingen in het beleid geïnformeerd door middel van jaarverslagen van de portefeuillehouder Openbare Orde en Veiligheid, alsmede door de jaarverslagen van de CISO en de FG. De gemeenteraad wordt vanzelfsprekend ook betrokken bij het vaststellen van beleidsplannen en bij besluitvorming over de benodigde budgetten. Relevante evaluaties worden eveneens gedeeld met de raad. In verscheidene interviews met zowel bestuurders als ambtenaren is genoemd dat zij de raad als weinig actief en betrokken rond dit thema ervaren. De ambtelijke organisatie is op zoek naar een manier op de raad meer te betrekken bij dit onderwerp. Zo wordt in het 4e kwartaal van 2024 ook een avond georganiseerd met de raadsleden met betrekking tot bewustwording over digitale veiligheid. De gemeenteraad informeert uit eigen initiatief zelden naar ontwikkelingen met betrekking tot digitale vaardigheid.

pagina 15/23

April 2025

Digitale veiligheid in Purmerend

In de context van dit onderzoek is ook een bijeenkomst met raadsleden belegd. De aanwezige raadsleden toonden zich bewust van het belang van dit thema en de daarmee verbonden risico's. Zij gaven aan behoefte te hebben aan een modus tussen wat moet qua beveiliging en wat nog werkzaam is voor de burgers. Naar hun mening moet er steeds een goede afweging worden gemaakt tussen veiligheid en klantvriendelijkheid. Daarnaast gaven de aanwezigen aan dat zij meer actief over dit thema geïnformeerd willen worden. Dit zou bijvoorbeeld kunnen gebeuren door middel van periodieke rapportages. De raadsleden verwachten dan ook meer gevoel bij dit onderwerp te krijgen en beter hun controlerende en kaderstellende taken uit kunnen voeren. Ook werd de behoefte aan bewustwordingstrainingen of kennisbevordering genoemd.

pagina 16/23

April 2025

Digitale veiligheid in Purmerend

4.

Conclusies en aanbevelingen

In het onderzoek hebben vier deelvragen centraal gestaan. Na presentatie van de bevindingen in de vorige twee hoofdstukken, kunnen de deelvragen nu als volgt worden beantwoord: Deelvragen 1.

Welke van de tien actielijnen uit de VNG-agenda digitale veiligheid zijn reeds opgepakt? Hoe zijn deze uitgewerkt en uitgevoerd? Welke resultaten/ effecten zijn bekend?

Antw.

Binnen Purmerend zijn alle tien de actielijnen uit de Agenda Digitale Veiligheid in beeld. Op alle actielijnen vinden relevante activiteiten plaats. Op onderdelen wordt niet aan alle in de agenda genoemde ambities voldaan.

2.

Welke rollen hebben Raad, College en Burgemeester bij het verder ontwikkelen en in uitvoering brengen van de digitale veiligheidsagenda? Hoe zijn deze beschreven en geïmplementeerd?

Antw.

De rollen van raad, college en burgemeester zijn niet expliciet beschreven en vastgelegd. In de praktijk geven zij wel conform hun bevoegdheden en verantwoordelijkheden invulling aan hun verantwoordelijkheden. Wel kan worden vastgesteld dat de raad slechts marginaal betrokken is bij dit beleid.

3.

Op welke manier zijn bestuurders (Raad, College, Burgemeester) op het moment van het onderzoek betrokken bij het tot uitvoering brengen van de digitale veiligheidsagenda? In hoeverre zijn ze geïnformeerd? Welk belang hechten zij eraan? Op welke wijze implementeren zij onderdelen van de agenda in beleid en sturing

Antw.

College van B&W en burgemeester zijn zich bewust van het belang van de ambities die in de digitale veiligheidsagenda zijn opgenomen. De portefeuillehouder ICT en de portefeuillehouder openbare orde en veiligheid zetten zich er actief voor in. Indien nodig vindt overleg en afstemming in het college van B&W plaats. De raad speelt in dit verband een betrekkelijk kleine en weinig betrokken rol. Aan hen is de digitale veiligheidsagenda als zodanig niet bekend.

4.

Op welke manier zijn ambtenaren op dit moment betrokken bij de digitale veiligheidsagenda? In hoeverre zijn ze geïnformeerd? Welk belang hechten zij eraan? Is hun werkwijze ervan doordrongen?

Antw.

Binnen de gemeentelijke organisatie zijn alle relevante functionarissen aanwezig en actief betrokken bij de invulling en realisatie van de digitale veiligheidsagenda. Met name de CISO speelt een zeer actieve rol. De laatste tijd wordt de samenwerking en afstemming met medewerkers van openbare orde en veiligheid meer gezocht en gerealiseerd. De gehele organisatie is regelmatig onderwerp van bewustwordingsactiviteiten.

Zoals aangegeven in het eerste hoofdstuk is bij aanvang van het onderzoek een referentiekader opgesteld om zo meer gestructureerd zicht te krijgen op de bevindingen. Toepassing van dit referentiekader leidt tot het volgende resultaat: - Heeft elke actielijn in het beleid van de gemeente Purmerend en in het dagelijks handelen van de medewerkers een duidelijk herkenbare positie? Zoals uit het antwoord op deelvraag 1 blijkt, geeft Purmerend invulling aan elke actielijn uit Digitale Veiligheidsagenda. Tegelijkertijd is naar voren gekomen dat niet elke actielijn een duidelijk herkenbare positie heeft, noch in het beleid noch in het dagelijks handelen van de medewerkers. pagina 17/23

April 2025

Digitale veiligheid in Purmerend

- Het beleid (zowel de voorbereiding als de uitvoering daarvan) doet recht aan hetgeen bij elk van die actielijnen van gemeenten wordt verlangd. In het algemeen is dit het geval. Maar aan de hand van de nuances in bovenstaand overzicht wordt al duidelijk dat niet bij alle actielijnen volledig recht wordt gedaan aan wat van gemeenten wordt verlangd. - Leidt dit tot resultaten Zoals in de inleiding van deze rapportage is aangegeven heeft dit onderzoek een overwegend beschrijvend en inventariserend karakter. De beoordeling van de inspanningen en activiteiten van de gemeente staat daarmee minder centraal. Binnen deze context wordt kort ingegaan op de opbrengsten van het beleid. Gezien de inspanningen en activiteiten die sinds enkele jaren worden ontwikkeld lijdt het geen twijfel dat er resultaten worden behaald. Zeer aannemelijk is dat de ‘awareness’ ten aanzien van informatieveiligheid en cybersecurity binnen de organisatie zich op een voldoende niveau bevindt. Ook is er binnen de organisatie sprake van uitgewerkt beleid, voorschriften en werkwijzen die bijdragen aan de weerbaarheid. Er is geoefend, er wordt verantwoording afgelegd, zowel intern als aan de centrale overheid. Er ontbreken echter ‘harde gegevens’ om de indruk dat er resultaten worden geboekt te staven.

Evenmin kan inzichtelijk worden gemaakt of inbreuken op de veiligheid, zowel binnen de organisatie als in de lokale gemeenschap, nu minder voorkomen dan enkele jaren terug. De bij dit onderzoek geformuleerde centrale onderzoeksvraag luidt als volgt: Hoe wordt binnen de gemeente Purmerend invulling gegeven aan de Digitale Veiligheidsagenda? Binnen Purmerend wordt gestructureerd invulling gegeven aan de verschillende activiteiten die onderdeel zijn van de Digitale Veiligheidsagenda. Op onderdelen is nog niet aan alle in de agenda genoemde ambities voldaan.

pagina 18/23

April 2025

Digitale veiligheid in Purmerend

Dit leidt tot de volgende aanbevelingen: Aanbevelingen aan het college van B&W 1

Aan enkele actielijnen uit de VNG-Agenda Digitale Veiligheid geeft Purmerend beperkt invulling. Bepaal – natuurlijk mede in overleg met de raad – of de gemeente de ambitie heeft om aan alle actielijnen passende opvolging te geven.

2.

Als de gemeente daadwerkelijk ambitieuzer wil zijn, zorg dan dat daarvoor de middelen en capaciteit beschikbaar komen.

3

Op het gebied van informatieveiligheid is veel verantwoordelijkheid belegd bij de CISO. Dat kan een kwetsbaarheid betekenen in geval van uitval. Investeer structureel in capaciteit van kennis en mensen. Hou daarbij rekening met arbeidsmarktkrapte.

4

Raadsleden geven aan meer over digitale veiligheid te willen weten. Geef hier invulling aan.

Aanbevelingen aan de gemeenteraad 1

Indien de raad belang hecht aan het thema digitale veiligheid, stel dan voldoende middelen beschikbaar.

2

Wees je ervan bewust dat het thema digitale veiligheid breder is dan louter informatieveiligheid. De actielijnen hebben ook betrekking op gedigitaliseerde criminaliteit, cybercrime, cyberincidenten en online aangejaagde ordeverstoringen.

3

Het is belangrijk om naast goed geïnformeerd te willen zijn, ook invulling te geven aan de sturende en controlerende verantwoordelijkheden.

pagina 19/23

April 2025

Digitale veiligheid in Purmerend

Bestuurlijke reactie

pagina 20/23

April 2025

Digitale veiligheid in Purmerend

Bijlage A

Bestudeerde Documentatie

Documentnaam

Jaar van vaststelling

BIO Versie 1

2017

Gemeentelijk informatiebeveiligingsbeleid

2019

Privacybeleid

2019

Beoordelingsmatrix informatiebeveiligingsincidenten

2021

Procesbeschrijving behandelen informatiebeveiligingsincident

2021

Regionaal risicoprofiel 2021-2024 Veiligheidsregio Zaanstreek - Waterland

2021

Kracht van samen, samen voor veilig beleidsplan VrZW 2021-2024

2021

Jaaruitvoeringsprogramma Integrale Veiligheid gemeente Beemster

2021

Uitkomsten Ensia 2021

2021

Collegebesluit jaarverslag informatiebeveiliging 2022 (423363)

2022

Jaar uitvoeringsprogramma 2022 Integrale Veiligheid

2022

Collegebesluit verantwoordingsrapportages BAG, BGT, BRO 2023 (423360) Collegebesluit zelfevaluastie BRP (423361) Collegebesluit zelfevaluatie reisdocumenten (423361) Collegebesluit Digid en Suwinet (423363)

2023 2023 2023 2023

Deelofferte 1 basiskennis informatiebeveiliging en privacy video Deelofferte 2 social engineering campagne Deel offerte 3 cybercrisisoefening

2023 2023 2023

Jaaruitvoeringsprogramma integrale veiligheid 2023 inclusief terugblik 2022 Risicoanalyse op de informatiebeveiliging systeem X. Voorbeeld is ingezien.

2023 2023

Regionale aanpak cybercrime en gedigitaliseerde criminaliteit

2023

Integraal veiligheidsplan Purmerend 2023-2026

2023

Intentieovereenkomst integrale samenwerking cybercrime en gedigitaliseerde criminaliteit

2023

Jaaruitvoeringsprogramma integrale veiligheid 2024 inclusief terugblik 2023 Bewustwordingscampagne presentatie Regionaal risicoprofiel VrZW 2025-2028 Register datalekken gemeente Purmerend Register beveiligingsincidenten gemeente Purmerend. Register is getoond zonder inhoud Collegebesluit DigiDnormen kader (1580064) Collegebesluit vastellen gegevenseigenaren (1482209) Contactenmatrix CERT geanonimiseerde versie

2023 2023 2024 2024 2024 2024 2024 2024

pagina 21/23

April 2025

Digitale veiligheid in Purmerend

Bijlage B

Geïnterviewde personen

Functie

Burgemeester Portefeuillehouder informatiebeleid Directeur Bedrijfsvoering, Chief Information Security Officer Adviseur Openbare orde en veiligheid Adviseur JVZ Veiligheid Adviseur integrale veiligheid

Bijeenkomst met raads- en commissieleden 25-11-2024

B.A.C. Jonk-de Lange M.J.W. Smid F.G. Pankras C. van Urk K. Visser-Schotman R.A. Heynen

pagina 22/23

April 2025

Digitale veiligheid in Purmerend

Bijlage C

Afkortingslijst

Afkorting

Betekenis

BIO

Baseline Informatiebeveiliging

CCV

Centrum voor Criminaliteitspreventie en Veiligheid

CISO

Chief Information en Security Officer

DPIA

Data Protection Impact Assessment

ENSIA

Eenduidige Normatiek Single Information Audit

FG

Functionaris Gegevensbescherming

VNG

Vereniging Nederlandse Gemeenten

pagina 23/23

April 2025

Digitale veiligheid in Purmerend