2024-170.1 Eindrapport-onderzoek-informatiebeveiliging en privacy

Eindrapport

Onderzoek naar informatiebeveiliging en bescherming persoonsgegevens

Een onderzoek van de rekenkamers van de gemeenten Elburg, Hattem, Nunspeet, Oldebroek en Putten

Leeswijzer Rapport A

Deel 1 De kern

Deel 1 is voor de lezer die snel de kern tot zich wil nemen. Het richt zich op de centrale vragen van het onderzoek en kan eigenstandig gelezen worden. Het bevat de inleiding, de conclusies en aanbevelingen.

> > >

In het hoofdstuk ‘conclusies’ wordt de centrale vraag van het onderzoek beantwoord; In het hoofdstuk ‘aanbevelingen’ worden aanbevelingen aan de raden en de colleges gedaan; Het laatste hoofdstuk bevat kernbevindingen per gemeente.

Deel 2 De bevindingen

Deel 2 is voor de lezer die meer details tot zich wil nemen. Het bevat een beantwoording van alle deelvragen.

Bijlagen

Deel 3 bevat de bijlagen. > Basisbeveiligingsniveaus van de BIO; > Lijst van veel gebruikte termen en afkortingen; > Respondenten en bronnenlijst.

Op het gebied van Informatievoorziening en Automatisering (I&A) werken de gemeenten Hattem en Oldebroek per 1 juli 2017 samen in een gemeenschappelijke regeling H2O (waarin ook Heerde). Dit is een gemeenschappelijke bedrijfsvoeringorganisatie. H2O biedt automatiseringsdiensten aan en de gemeente Oldebroek fungeert als centrumgemeente voor de informatievoorziening. In het rapport zullen we de I&A van de gemeenten Hattem en Oldebroek dan ook als één organisatie beschouwen en bevindingen niet apart per gemeente presenteren. De gemeente Putten werkt samen met de gemeenten Bunschoten, Leusden en Nijkerk op het terrein van I&A. Deze gemeenten behoren echter niet tot de scope van het onderzoek en daarom zal in dit rapport de gemeente Putten apart worden behandeld. Dit geldt ook voor de gemeente Elburg en Nunspeet. De gemeenten Elburg en Nunspeet hebben weliswaar een onderzoek gestart naar samenwerking met de H2O-gemeenten, maar deze samenwerking is nog niet tot stand gekomen.

Colofon Dit rapportage is opgesteld voor de rekenkamers van de gemeenten Elburg, Hattem, Nunspeet, Oldebroek en Putten. Het is opgesteld door: > Onderzoekers van het bestuurskundig onderzoeks- en adviesbureau Partners+Pröpper: Ing. Peter Struik MBA en Hilda Sietsema. > Het adviesbureau IB&P: Erna Havinga MBA CISSP CISM CISA. Noordwijk, 5 juli 2024

Pagina 3

Inhoudsopgave Deel 1 De kern ................................................................... 4 1

Inleiding.................................................................................................. 5

2

Vraagstelling .......................................................................................... 6

3

Evaluatiemodel en afbakening ................................................................. 7

4

Conclusies............................................................................................... 8

5

Aanbevelingen ....................................................................................... 12

6

Algemene kernbevindingen ................................................................... 14

5.1 5.2

Algemene kernbevindingen voor alle gemeenten ................................................... 14 Kernbevindingen per gemeente .............................................................................. 17

Deel 2 De bevindingen ..................................................... 22 1

Ambities en beleid van de gemeenten .................................................... 23

1.1 Landelijke kaders ................................................................................................... 26 1.2 Lokale ambities en beleid ........................................................................................ 27 1.2.1 H2O-gemeenten Hattem en Oldebroek .................................................................. 27 1.2.2 Elburg ...................................................................................................................... 31 1.2.3 Nunspeet................................................................................................................. 32 1.2.4 Putten ..................................................................................................................... 33

2

Uitvoering.............................................................................................. 35

2.1 2.2 2.3 2.4 2.5

Vertaling van beleid naar uitvoering ........................................................................38 Kwaliteit van het proces ......................................................................................... 40 Regie op samenwerking ......................................................................................... 40 Financiële middelen ................................................................................................ 41 Actuele ontwikkelingen en trends ........................................................................... 41

3

Sturing door de raad ............................................................................. 44

3.1 3.2

Bevoegdheden van de raad en het college ............................................................. 44 Rolinvulling door de raden in de praktijk ................................................................ 44

Bijlage 1: De basisbeveiligingsniveaus ........................................................... 46 Bijlage 2: Lijst van veel gebruikte termen en afkortingen ................................ 47 Bijlage 3: Respondenten en schriftelijke bronnen ........................................... 48

Pagina 4

1 Deel 1 De kern

Pagina 5

1

Inleiding Waarom dit onderzoek? De samenwerkende rekenkamers van de gemeenten Elburg, Hattem, Nunspeet, Oldebroek en Putten (hierna: de rekenkamer) voerden een gezamenlijk onderzoek uit naar de informatiehuishouding, -veiligheid en bescherming van persoonsgegevens in de vijf gemeenten. Met het onderzoek wil de rekenkamer zicht krijgen op wat de gemeenten willen bereiken met informatiehuishouding en in hoeverre de staat van de informatiebeveiliging en waarborging van privacy voldoet. Dit onderwerp is namelijk van groot belang. De digitalisering neemt alleen maar toe en als de informatiebeveiliging niet op orde is heeft dit grote negatieve gevolgen. Digitalisering heeft natuurlijk ook grote voordelen. Inwoners en bedrijven kunnen online diensten afnemen bij hun gemeenten en informatie raadplegen. Dat levert een gemak voor zowel inwoners en bedrijven. Het heeft ook voordelen voor het gemeentebestuur en de ambtelijke organisatie. Door digitalisering kan in no-time de juiste informatie, op de juiste plek en op het juiste moment beschikbaar zijn voor beleidsontwikkeling, besluitvorming, uitvoering en voor publieke verantwoording. Tegelijkertijd maakt het de overheid ook kwetsbaar. Onbevoegde personen kunnen er namelijk ook misbruik van maken.

Dat gebeurt ook in de praktijk en door allerlei incidenten is de aandacht voor informatiebeveiliging en waarborging van privacy dan ook toegenomen, zie het onderstaande kader. De dreiging neemt ook toe, er is een toename van ransomware-aanvallen (gijzelsoftware).1 Steeds vaker proberen kwaadwillenden een ingang te vinden en de (potentiële) gevolgen van een aanval worden ook ernstiger. Kwaadwillenden versleutelen gegevens en persen het slachtoffer af om deze gegevens na het betalen van losgeld weer toegankelijk te maken. De Informatiebeveiligingsdienst van de VNG ontving de afgelopen twee jaar steeds meer meldingen van situaties waar gemeentelijke processen langdurig(er) verstoord zijn als gevolg van destructieve gijzelsoftware. Criminelen aarzelen niet om privacygevoelige gegevens van inwoners, bedrijven en medewerkers online te publiceren. Er rust dus een grote verantwoordelijkheid op de schouders van gemeenten. Inwoners en bedrijven verwachten een betrouwbare overheid die zorgvuldig met informatie omgaat. Het gaat daarbij om het waarborgen van beschikbaarheid, integriteit en vertrouwelijkheid van informatie. Informatiebeveiliging en de waarborging van privacy gaan daarbij hand in hand. Zo kan het gevolg van een datalek een inbreuk op de privacy van personen betekenen. Het kan niet alleen schade opleveren voor personen, maar kan ook de reputatie schaden van de overheid.

CYBERAANVAL De gemeente Hof van Twente is in 2020 getroffen door een cyberaanval. Medewerkers konden niet langer inloggen op de computersystemen. Bij de aanval is mogelijk ‘zeer privacygevoelige informatie’ buitgemaakt door de daders. Het datalek is gemeld bij de Autoriteit Persoonsgegevens en andere relevante instanties. Bron: Hof van Twente in een persverklaring op haar website. De gemeente Buren werd in 2022 getroffen door een ransomware-aanval. Bij de hack zijn gegevens van de gemeente gestolen. Vervolgens is een grote hoeveelheid data gepubliceerd op het darkweb. Bron: Dreigingsbeeld informatiebeveiliging Nederlandse gemeenten 2023-2024, Informatiebeveiligingsdienst (IBD) van de VNG. De MIVD en AIVD troffen tijdens een incident response onderzoek een nieuwe Remote Access Trojan (RAT) malware aan. Deze RAT is een gerichte persistente malware die buiten het zicht van traditionele detectiemaatregelen opereert en specifiek voor FortiGate-apparaten is ontwikkeld. Bron: Nationaal Cyber Security Centrum, 6 februari 2024

1

Bron: Dreigingsbeeld informatiebeveiliging Nederlandse gemeenten 2023-2024, Informatiebeveiligingsdienst (IBD) van de VNG.

Pagina 6

2

Vraagstelling Centrale vraagstelling > Wat willen de gemeenten met de informatiehuishouding, in relatie tot informatiebeveiliging en waarborging van privacy, bereiken en wat is of wordt bereikt? > Voldoet de staat van de informatiebeveiliging en waarborging van privacy? Deelvragen Om de centrale vraag te kunnen beantwoorden zijn verschillende deelvragen geformuleerd. AMBITIES EN BELEID 1 Wat zijn de ambities, de doelen en het beleid van de gemeenten ten aanzien van de informatiehuishouding in relatie tot informatiebeveiliging en waarborging van privacy? > In hoeverre kent het beleid evalueerbare en/of meetbare ambities en doelen? 2 In welke mate sluit het beleid aan op wet- en regelgeving en op landelijke richtlijnen? UITVOERING 3 Hoe is het beleid vertaald naar de uitvoering? 4 Wat is de kwaliteit van het proces van informatiehuishouding in relatie tot informatiebeveiliging en waarborging van privacy? > Hoe is het risicomanagement vormgegeven? > Wordt de kwaliteit van het proces gemonitord, waaronder tenminste de verplichte ENSIA audit? > Wordt daarover gerapporteerd, aan wie en hoe wordt indien nodig bijgestuurd? 5 Hoe voeren de gemeenten regie op die zaken waarbij de gemeenten samenwerken met anderen op het terrein van informatiehuishouding, informatiebeveiliging en waarborging van privacy? 6 Hoe wordt het beleid vertaald naar structurele en incidentele financiële lasten

die gemoeid zijn met de informatiehuishouding, de informatiebeveiliging en de waarborging van privacy? 7 Wat zijn actuele ontwikkelingen met betrekking tot informatietechnologie, wet- en regelgeving en in hoeverre spelen de gemeenten daarop in?

Resultaten 8

Zijn de beoogde beleids- en uitvoeringsdoelen van de gemeenten, waaronder het voldoen aan landelijk wet- en regelgeving, gehaald en wat zijn verklarende factoren voor het wel of niet realiseren van deze doelen?

ROL VAN DE RAAD 9 Hoe en met welke informatie worden de raden door het college in positie gebracht om hun kaderstellende rol uit te kunnen oefenen? 10 Hoe en met welke informatie worden de raden door de colleges in positie gebracht om hun controlerende rol uit te kunnen oefenen?

Pagina 7

3

Evaluatiemodel en afbakening Afbakening Dit rekenkameronderzoek richt zich op de bestuurlijke- en organisatorische voorwaarden die de gemeente moet invullen om zoveel als mogelijk te waarborgen dat informatie bij de gemeente in goede handen is. Het biedt daarmee geen antwoord op de vraag of de gemeente daadwerkelijk informatie op een veilige wijze verwerkt en opslaat. Dit onderzoek is namelijk geen externe audit op de werking en effecten van informatiebeveiligingsmaatregelen. In dit onderzoek is de gemeente ook niet getest met een stresstest of is geprobeerd de informatiebeveiliging te breken. Het onderzoek spitst zich toe op de informatiehuishouding van de gemeenten zelf in relatie tot de beveiliging van informatie en de bescherming van persoonsgegevens. Tegelijkertijd verwerken ook verbonden partijen, en andere relevante samenwerkingsverbanden, gegevens voor de gemeenten. De informatiehuishouding van deze partijen valt buiten de reikwijdte van het onderzoek. Wel is bestudeerd in hoeverre de gemeenten regie voeren of sturing geven aan deze partijen rondom eisen met betrekking tot informatiebeveiliging. Evaluatiemodel Als ‘roer’ op het onderzoek is het onderstaande evaluatiemodel gebruikt. Het evaluatiemodel sluit aan op de deelvragen en bevat eveneens de hoofdnormen die gebruikt worden in het onderzoek.

Figuur 3.1: Evaluatiemodel en hoofdnormen.

Pagina 8

4

Conclusies In dit hoofdstuk beantwoorden we de twee centrale vragen: > Wat willen de gemeenten met de informatiehuishouding, in relatie tot informatiebeveiliging en waarborging van privacy, bereiken en wat is of wordt bereikt? > Voldoet de staat van de informatiebeveiliging en waarborging van privacy? Kernconclusie Beleidsmatig (op papier) is de informatiebeveiliging en waarborging van privacy op orde. Alle vijf gemeenten hebben een identiek informatiebeveiligings- en privacybeleid. Zij streven dezelfde doelen en normen na die zijn ontleend van de landelijke landelijke richtlijn ‘Baseline Informatiebeveiliging Overheid (BIO)’. Ten aanzien van de uitvoering is er nog veel ruimte voor verbetering: 1 De maatschappelijk doelen raken uit het zicht: leveren alle inspanningen daadwerkelijk informatieveiligheid voor inwoners en bedrijven? 2 Er is een landelijk een stelsel van sturings- en controlemechanismen opgetuigd. Dat stelsel is dermate complex dat het in de uitvoering veel onduidelijkheid geeft over rollen, taken en verantwoordelijkheden. Het vraagt heel wat van gemeenten en voor kleinere gemeenten is de uitvoering moeilijk. 3 De raden zijn niet in staat om met de huidige informatie hun controlerende rol op een zinvolle wijze in te vullen. 4 De gemeenten werken in meer of mindere mate samen.

De gemeenten Hattem en Oldebroek doen dit het meest intensief met de samenwerking in de gemeenschappelijke regeling H2O. Hoewel niet diepgaand onderzocht, zijn er signalen dat intensieve samenwerking kansen biedt voor gemeenten die dat nog niet doen. 5 Er bestaan tussen de gemeenten verschillende beelden over hoe zij zich verhouden tot verbonden partijen. 6 Tot slot zijn er kansen voor de gemeenten om best-practices over en weer te benutten. Een aantal best-practices zijn in dit onderzoek naar boven gekomen. We werken de bovenstaande punten verder uit in de onderstaande deelconclusies.

Deelconclusie 1: maatschappelijke doelen geraken uit zicht. Deze deelconclusie sluit aan op kernbevinding 1 uit paragraaf 6.1 van deel 1 van dit rapport. De gemeenten richten zich op het inrichten van sturings- en controlmechanismen om te kunnen voldoen aan de normen zoals die gesteld zijn in de Baseline Informatiebeveiliging Overheid (BIO). Zij noemen dit ook wel ‘de basis of het huis op orde hebben’. Dat is begrijpelijk maar het zijn in feite voorwaarden die gemeenten moeten invullen om de maatschappelijke doelen op het terrein van informatiebeveiliging te realiseren. Uiteindelijk draait het om de betekenis voor de samenleving; de beoogde maatschappelijke doelen voor inwoners en bedrijven, te weten: beschikbaarheid (continuïteit), integriteit (betrouwbaarheid) en vertrouwelijkheid (exclusiviteit). Alle sturings- en controlmechanismen ten spijt, geen van de gemeenten geeft in de jaarrapportages over informatiebeveiliging een helder oordeel over in welke mate deze drie maatschappelijke doelen worden gerealiseerd. De maatschappelijke doelen, en de mate waarin deze worden gerealiseerd, raken uit het zicht. Dit wordt overigens ook landelijk onderkend, zie het onderstaande kader.

Pagina 9

Meer aandacht voor informatieveiligheid Op de VNG-ledenvergadering van juni 2022 namen de leden een motie aan voor meer structurele aandacht en financiering voor informatieveiligheid op lokaal niveau. Ondertekenaars van de motie vroegen de VNG ook zo spoedig mogelijk in gesprek te gaan met BZK over de processen rondom de BIO– en ENSIA-veiligheidsaudits. Die toetsen nu of het vereiste instrumentarium aanwezig is voor beveiliging, maar niet of het ook wordt gebruikt en in hoeverre het structureel bijdraagt aan daadwerkelijke informatieveiligheid voor inwoners, ondernemers en (gemeentelijke) processen. Bron: https://ibestuur.nl/artikel/vng/ensia-verantwoordingsmethodiek-viert-eerste-lustrum/ Deelconclusie 2: in de uitvoering is er - door het complexe stelsel van sturings- en controlemechanismen - nog veel onduidelijkheid over rollen, taken en verantwoordelijkheden. Deze deelconclusie sluit aan op kernbevindingen 1 en 2 uit paragraaf 6.1 van deel 1 van dit rapport. Dat er sprake is van een complex stelsel wordt geïllustreerd in het onderstaande kader. Zoals genoemd is dit stelsel in het beleid van de gemeenten verankerd maar is ons inziens voor (kleinere) gemeenten niet eenvoudig uit te voeren.

Een complex stelsel van sturings- en controlemechanismen Alle gemeenten hebben in hun informatiebeveiligings- en privacybeleid de verschillende functionarissen en rollen beschreven, aansluitend op landelijke regelgeving, waarin deze rollen worden voorgeschreven. Het gaat om de rollen van het College van B&W, de gemeentesecretaris, de Chief Information Officer (CIO), Chief Information Security Officer (CISO), de Privacy Officer (PO), de Functionaris Gegevensbescherming (FG) en de Proceseigenaren. Het college legt jaarlijks verantwoording af ten aanzien van de informatieveiligheid op basis van de Eenduidige Normatiek Single Information Audit systematiek (ENSIA). De gedachte hierachter is dat met ENSIA het gemeentebestuur met een zelfevaluatie overzicht heeft over de informatieveiligheid van de gemeente en verantwoording kan afleggen aan de gemeenteraad (horizontale verantwoording) en aan de rijksoverheid (verticale verantwoording).

Dit met één systematiek dat onder meer uitgaat van de Baseline Informatiebeveiliging Overheid (BIO) en het volgende bundelt: verantwoording over Basisregistratie Personen (BRP), Paspoortuitvoeringsregeling Nederland (PUN), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), de Woz, Algemene verordening gegevensbescherming (AVG) en de Gezamenlijke Elektronische Voorzieningen Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet). Voor de informatiebeveiligingsnormen inzake DigiD en Suwinet bestaat een verantwoordingsplicht aan het rijk door middel van een Assurance van een onafhankelijke IT auditor. Hierover leg het college een collegeverklaring af. De collegeverklaring omvat het voldoen van de beheersingsmaatregelen aan de geselecteerde normen inzake DigiD (Norm ICT-beveiligingsassessments DigiD versie 3.0 (de Norm v3.0) en Suwinet (Specifiek Suwinet normenkader Afnemers, versie 1.0). De collegeverklaring wordt opgesteld voor de gemeenteraad en de departementen die toezien op de veiligheid van DigiD en Suwinet.

Het complexe stelsel is in de kern gericht op risicomanagement en het afleggen van verantwoording. Alle gemeenten in dit onderzoek zien een cyclus van risicomanagement als belangrijk. Zij hebben echter moeite met het daadwerkelijk implementeren van zo’n cyclus. De eerste stappen van deze cyclus worden uitgevoerd, namelijk het in beeld krijgen van risico’s en het formuleren van benodigde maatregelen om risico’s weg te nemen of te minimaliseren. De stap

Pagina 10

daarna, het uitvoeren van maatregelen en de controle daarop, gaat moeizamer. Beleidsmatig zijn hiertoe proceseigenaren benoemd maar in de praktijk komt deze rol onvoldoende uit de verf. Proceseigenaren zijn managers van afdelingen of teams binnen de primaire processen. Zij hebben de handen al vol hebben aan het managen van de productie en het werkproces waar zij leiding aan geven. Ook is het voor hen niet altijd duidelijk wat hun taak en mandaat is ten aanzien van het nemen van maatregelen, en hoe dit zich verhoudt tot alle andere rollen zoals die van de CIO, CISO, PO en FG. De verdergaande taakdifferentiatie, als gevolg van het onderscheiden van al deze rollen, werkt in de hand dat er juist onduidelijkheid over rolverdeling bestaat en het stimuleert in onvoldoende mate gedeeld eigenaarschap binnen de organisatie.

Deelconclusie 3: de raden zijn niet in staat om met de huidige informatie hun controlerende rol op een zinvolle wijze in te vullen. Deze deelconclusie sluit aan op kernbevinding 3 uit paragraaf 6.1 van deel 1 van dit rapport. De raden zien informatiebeveiliging vooral als een randvoorwaardelijke zaak, waarbij geen politieke keuzes spelen. Zij houden zich niet bezig met het controleren van het college of de gemeente aan alle normen van de Baseline Informatiebeveiliging Overheid (BIO) voldoet. Zij vinden het maatschappelijke effect belangrijker. Kernpunten voor raadsleden zijn:2 > Dat de essentiële processen van de gemeente altijd door kunnen gaan en de gemeentelijke dienstverlening altijd beschikbaar is voor inwoners en bedrijven; > Dat informatie niet in de verkeerde handen valt. De raden ontvangen van het college jaarlijks de rapportages uit ENSIA zelfevaluaties en externe audits rondom informatiebeveiliging en privacy. Deze informatie is bedoeld voor zowel verantwoording naar de raden (horizontale verantwoording) als naar de rijksoverheid (verticale verantwoording). Met deze informatie zijn de raden echter niet in staat om op een eenvoudige wijze een eenduidig oordeel te vormen over de bovenstaande kernpunten.

Deelconclusie 4: intensieve samenwerking biedt kansen. Deze deelconclusie sluit aan op kernbevinding 4 uit paragraaf 6.1 van deel 1 van dit rapport. De gemeenten Hattem en Oldebroek gaan een stap verder in de samenwerking dan de andere gemeenten. Hattem en Oldebroek werken samen in de gemeenschappelijke regeling H2O op het gebied van Informatievoorziening en Automatisering. In dit onderzoek hebben we de doelen en resultaten van deze samenwerking niet diepgaand onderzocht. Wel zijn er signalen uit interviews dat er synergievoordelen zijn en het de continuïteit ten goede komt. De organisatie is minder kwetsbaar. Kennis en ervaring kan worden behouden waardoor er kan worden voortgebouwd. Deelconclusie 5: er bestaan tussen de gemeenten verschillende beelden over hoe zij zich verhouden tot verbonden partijen. Deze deelconclusie sluit aan op kernbevinding 5 uit paragraaf 6.1 van deel 1 van dit rapport. In het geval de gemeenten een verbonden partij beschouwen als gegevensverwerker, en de gemeenten als verwerkersverantwoordelijken, dan sluiten de gemeenten een verwerkersovereenkomst af. Ten aanzien van de Omgevingsdienst Noord-Veluwe hebben de gemeenten hierbij niet een gezamenlijke lijn getrokken. Met de Omgevingsdienst Noord-Veluwe is door de H2O gemeenten een verwerkersovereenkomst afgesloten. De gemeenten Nunspeet en Elburg hebben dit niet gedaan.

2 Bron: werkatelier met raadsleden.

Pagina 11

Tot slot deelconclusie 6: kansen om best-practices te benutten. Deze deelconclusie sluit aan op kernbevinding 6 uit paragraaf 6.1 van deel 1 van dit rapport. De gemeenten kunnen van elkaar leren want er zijn in dit onderzoek best-practices per gemeente naar voren gekomen die over en weer kunnen worden benut. Om herhaling te voorkomen verwijzen we naar de tabel van kernbevinding 6 uit paragraaf 6.1 van deel 1 van dit rapport. In deze tabel zijn de best-practices per gemeente opgenomen.

Pagina 12

5

Aanbevelingen De onderstaande aanbevelingen doet de Rekenkamer. Om het in één stuk te houden nemen we de aanbevelingen van de Rekenkamer in dit rapport integraal over. Naar aanleiding van de conclusies doet de Rekenkamer 5 aanbevelingen, waarvan 2 aan de gemeenteraden en 3 aan de colleges van B&W. Aanbevelingen aan de gemeenteraden Aanbeveling 1: Verbeter het inzicht in de maatschappelijke effecten van het informatieveiligheidsbeleid Het ontbreekt aan inzicht in de daadwerkelijke effecten van het informatieveiligheidsbeleid. Hoewel de beleidsmatige basis op orde is, kan niet worden beoordeeld hoe effectief het beleid daadwerkelijk is. Door in samenwerking met het college te investeren in rapportages die inzicht geven in de maatschappelijke effecten kan dit inzicht worden verbeterd. Mogelijke instrumenten hiervoor zijn audits op diverse onderdelen van het beleid, maar ook het concreet testen van de veiligheidsmechanismen door bijvoorbeeld de inzet van ethische hackers, mystery guests of het uitvoeren van (technische) pentesten. Aanbeveling 2: Stuur vervolgens zo nodig op het vergroten van de maatschappelijke effecten Zodra inzicht ontstaat in de daadwerkelijke effecten, kan worden beoordeeld waar eventuele verbeteringen nodig zijn en welke kosten en inspanningen daarbij acceptabel zijn.

Bovendien schrijdt de techniek continu voort, en ook kwaadwillenden ontwikkelen hun werkmethoden continu. Absolute veiligheid kan nooit worden gegarandeerd, maar het bepalen van het juiste ambitieniveau (wat willen we bereiken) en welke inspanningen daarvoor acceptabel zijn (wat gaan we daarvoor doen, wat mag het kosten) lenen zich wel degelijk voor politieke discussie. Aanbevelingen aan de colleges van B&W Aanbeveling 3: Investeer in de kwaliteit van uitvoering van het informatieveiligheidsbeleid Zoals in de conclusies is beschreven, is de uitvoering kwetsbaar. Bij proceseigenaren, die doorgaans geen expert zijn op het gebeid van IT en informatieveiligheid, ontbreekt veelal de kennis om het beleid adequaat uit te voeren. Hierdoor ontstaat een (te) grote druk op de sleutelfunctionarissen en inhoudelijke experts zoals de Chief Information Security Officer (CISO), Functionaris Gegevensbescherming (FG) en de Privacy Officer (PO). Een manier om te zorgen voor een evenwichtiger taakverdeling en vooral beter bewustzijn bij proceseigenaren, is de vorming van een integraal ‘opgaveteam’ of andere organisatorische vorm.

Hierin komen en werken de proceseigenaren en inhoudelijke experts samen en richten zij zich, voorvloeiende uit de periodieke risicoanalyses, op het implementeren van multidisciplinaire maatregelen om de informatiebeveiliging en waarborging van privacy voortdurend op een hoger niveau te brengen. Een multidisciplinair team is in deze visie verantwoordelijk voor informatiebeveiliging en privacy, en rapporteert aan college en managementteam. De proceseigenaren van de afdelingen staan dus niet alleen, er is sprake van gedeeld eigenaarschap in plaats van individueel eigenaarschap. Aan een dergelijk team kunnen ook, afhankelijk van de aard van een vraagstuk, tijdelijk anderen worden toegevoegd. Bijvoorbeeld als het vraagstuk impact heeft op de processen van samenwerkingspartners zoals verbonden partijen.

Pagina 13

Aanbeveling 4: Versterk de regie op samenwerkingspartners en verbonden partijen De gemeenten hebben qua beleid de basis op orde, maar vertalen dit nog niet altijd naar andere partijen die processen uitvoeren waarvoor de gemeenten wel mede- of eindverantwoordelijk zijn. Door in contracten, gemeenschappelijke regelingen, subsidierelaties etc. dezelfde waarborgen voor informatieveiligheid vast te leggen, kunnen de gemeenten hun beleid ook vertalen naar alle taken die niet door de gemeente alleen worden uitgevoerd. Aanbeveling 5: Verken de mogelijkheden tot samenwerking Voor kleinere gemeenten is het een grote uitdaging om voldoende technische beveiligingsmaatregelen te treffen. Schaalvergroting kan daarbij helpend zijn. De H2O samenwerking is hiervan een voorbeeld. Het verdient aanbeveling voor alle 5 gemeenten om de winstkansen van samenwerking te onderzoeken.

Pagina 14

6

Algemene kernbevindingen De bronnen voor dit hoofdstuk bestaan uit: > De jaarrapportages Informatiebeveiliging van de gemeenten, waarin de resultaten van de jaarlijkse ENSIA-evaluatie zijn verwerkt (bij voorkeur die van 2023, anders die van 2022); > Interviews met sleutelpersonen. De ENSIA-evaluatie is een zelfevaluatie waarin vijf onderwerpen aan de orde komen. Wij nemen de uitkomst in hoofdlijnen op (zie de tabellen paragraaf 5.2 per gemeente, kolom Resultaat ENSIA). Wij voegen daar verbeterpunten aan toe, die uit gesprekken in het kader van het onderzoek van de rekenkamers naar voren zijn gekomen (zie de tabellen per gemeente, kolom Verbeterpunten uit gesprekken). Wij voegen tevens toe of de gemeenten maatschappelijke doelen hebben gesteld en of er zicht is op realisatie van deze doelen. Dit is namelijk de hoogste laag waarop de raad kan sturen. ENSIA richt zich op een laag daaronder, namelijk op de uitvoeringsdoelen en -prestaties. Verder is dit hoofdstuk opgesteld met het oog op de controlerende rol van de raad. Daarmee is zoveel als mogelijk geprobeerd het toegankelijk te maken voor raadsleden, door op hoofdlijnen zaken te benoemen, (technisch) jargon te vermijden en niet perse langs het format te werken van de ENSIA.

6.1 Algemene kernbevindingen voor alle gemeenten Er zijn een aantal algemene kernbevindingen die voor alle vijf de gemeenten gelden. 1

Alle gemeenten hebben de ENSIA opgenomen in hun beleid als instrument, om periodiek de stand van zaken rondom informatiebeveiliging te evalueren. Met de ENSIA leggen de gemeenten verantwoording af over informatieveiligheid gebaseerd op de normen die gelden voor de Nederlandse overheid, waaronder de vragenlijsten met betrekking tot de BIO, BAG, BRO, DigiD, BGT en Suwinet. Met een verklaring geven de colleges aan in hoeverre de gemeenten voldoen aan de normen en waar nog verbeterpunten zijn. Wat de daadwerkelijke maatschappelijke effecten zijn van het wel of niet realiseren van de normen en de gerapporteerde incidenten is echter niet helder. Is bijvoorbeeld door een of meer incidenten of het niet voldoen aan een bepaalde norm- de beschikbaarheid van de dienstverlening van de gemeente onder de maat geweest, of is informatie in verkeerde handen gevallen of is de informatie niet meer juist en volledig? Deze vragen worden met de rapportages niet beantwoord. Als laatste geven de gemeenten aan dat eerst het huis of de basis op orde moet zijn om verder te kunnen doorgroeien naar een hoger volwassenheidsniveau rondom informatiebeveiliging en waarborging van privacy. Tegelijkertijd geven zij ook aan dat het huis of de basis voortdurend aan verandering onderhevig zal zijn.

Ontwikkeling op het terrein van wet- en regelgeving, technologie en cyberaanvallen zullen voortdurend aan de orde zijn.

2

Alle gemeenten zien een cyclus van risicomanagement als belangrijk, maar hebben moeite met het daadwerkelijk implementeren van zo’n cyclus op het gebied van informatiebeveiliging en privacy. In grove lijnen gaat het om het in beeld krijgen van risico’s, het inschatten van de zwaarte van een risico, het maken van een plan met maatregelen om de grootste risico’s te minimaliseren en het uitvoeren van de maatregelen. De eerste stappen van deze cyclus worden uitgevoerd, namelijk het formuleren en vaststellen van beleid, het uitvoeren van dat beleid, het

Pagina 15

regelmatig in beeld krijgen van risico’s en het formuleren van benodigde maatregelen om risico’s weg te nemen of te minimaliseren. Hiertoe spelen verschillende organen en functionarissen een rol. Alle gemeenten hebben in hun informatiebeveiligings- en privacybeleid de verschillende rollen beschreven, aansluitend op landelijke regelgeving, waarin deze rollen worden voorgeschreven. Het gaat om de rollen van het College van B&W, de gemeentesecretaris, de Chief Information Officer (CIO), Chief Information Security Officer (CISO), de Privacy Officer (PO), de Functionaris Gegevensbescherming (FG) en de Proceseigenaren. Bij de aangewezen proceseigenaren is hiertoe de eigen rol binnen de gemeenten echter nog onvoldoende helder. Dit is een belangrijk sluitstuk van de cyclus van risicomanagement. Maatregelen die volgen uit risicoanalyses (en die niet bij de ICT-afdeling liggen) moeten immers ook worden geïdentificeerd, geïmplementeerd en de planning hiervan moet worden bewaakt. In alle gemeenten is de invulling van de rol van de proceseigenaren, weliswaar in verschillende mate, een zorgpunt. 3

De raden hebben geen kaderstellende rol ten aanzien van informatiebeveiliging en privacy. Dit valt geheel binnen de bevoegdheid van het college, waarbij de speelruimte voor het college zeer gering is. Het beleid wordt voornamelijk bepaald door Nationale en Europese wet- en regelgeving. Over het algemeen geven de raden aan de invulling van de controlerende rol moeilijk te vinden. Zij zien informatiebeveiliging en privacy vooral als een randvoorwaardelijke zaak, waarbij geen politieke keuzes spelen. Er is dan ook nauwelijks raadsaandacht voor deze onderwerpen. Het hangt sterk af van de kennis en interesse van individuele raadsleden of er vragen aan het college worden gesteld.

4

Uit de gesprekken blijkt dat samenwerking met andere gemeenten als positief wordt beschouwd. Er wordt kennis en ervaring gedeeld rondom informatiebeveiliging en privacy. De gemeenten Hattem en Oldebroek gaan daarbij nog een stap verder door samen te werken in een gemeenschappelijke regeling H2O op het gebied van Informatievoorziening en Automatisering. In dit onderzoek hebben we niet diepgaand onderzocht wat de voordelen zijn van deze verdergaande samenwerking. Wel zijn er signalen dat er voordelen zijn. Die worden genoemd in interviews in het kader van dit onderzoek, te weten: > De samenwerking in H2O verband bieden de betrokken gemeenten kansen voor synergie zoals een gezamenlijke inkoop of gezamenlijke ontwikkelingen van oplossingen die bijdragen aan het verbeteren van informatiebeveiliging en privacybescherming. > Ook biedt het voordelen ten aanzien van de continuïteit. Kleinere gemeenten zijn kwetsbaar voor personeelsverloop in combinatie met een krappe arbeidsmarkt. Kennis en ervaring dat wordt opgebouwd kan onvoldoende worden vastgehouden en daarop kan onvoldoende worden voortgebouwd. Er is dan veelal sprake van voortdurend achter de feiten aanlopen en brandjes blussen. Echter, zoals bij elke vorm van samenwerking, kunnen er ook uitdagingen zijn.

Enkele uitdagingen die in interviews worden genoemd zijn: > Verschillen van volwassenheidsniveau van informatiebeveiliging en privacy tussen gemeenten kunnen de samenwerking bemoeilijken. > Het op één lijn brengen van beleid, procedures en oplossingen tussen verschillende gemeenten kan complex zijn. > Het gezamenlijk toewijzen van middelen (financieel en personeel) voor samenwerkingsinitiatieven kan een uitdaging vormen, vooral als er concurrerende prioriteiten tussen en binnen de afzonderlijke gemeenten zijn.

Pagina 16

>

5

Educatie van het personeel (bewustwording) is nodig maar dat gebeurt nog niet volgens een bewustwordingsplan, dat ook daadwerkelijk getoetst kan worden op doeltreffendheid.

Een deel van de taken van gemeenten worden uitgevoerd door verbonden partijen of private partijen. In het geval de gemeenten een verbonden partij beschouwen als gegevensverwerker, en de gemeenten als verwerkersverantwoordelijken, dan sluiten de gemeenten een verwerkersovereenkomst af. Hier bestaan tussen de gemeenten wel verschillende beelden over. Bijvoorbeeld rondom de Omgevingsdienst Noord-Veluwe. De Omgevingsdienst NoordVeluwe kwalificeert zichzelf, op basis van advies van de landsadvocaat Pels Rijcken, als verwerker.3 Met de Omgevingsdienst Noord-Veluwe is door de H2O gemeenten reeds in 2017 een verwerkersovereenkomst afgesloten.4 De gemeenten Nunspeet en Elburg hebben dit niet gedaan.5 Van de gemeente Putten hebben de onderzoekers hierover geen stukken ontvangen. Met de verwerkersovereenkomsten is toezicht en controle door de gemeenten mogelijk. Het volgende is daartoe opgenomen in de verwerkersovereenkomsten: > De informatiebeveiliging vindt plaats volgens een algemeen erkende overheidsnorm; > De toereikendheid van de informatiebeveiliging blijkt uit eigen controles, certificering, en/of uit externe audits.

6

De gemeenten kunnen van elkaar leren. In dit onderzoek zijn best-practices per gemeente naar voren gekomen die over en weer kunnen worden benut, zie onderstaande tabel.

Nunspeet

Elburg

Leerpunt te benutten door de andere gemeenten > Elburg heeft een uitgebreide continuïteitsstrategie ontwikkeld met evalueerbare doelen voor de beschikbaarheid van informatiesystemen voor kritische bedrijfsprocessen. Andere gemeenten kunnen hiervan leren door duidelijke prioriteiten te stellen voor herstel van bedrijfsprocessen bij uitval. Op basis van beveiligingsincidenten wordt het proces herzien/geëvalueerd. > Er is een procedure vastgesteld waarbij een risicoafweging voor toegang tot informatiesystemen door externe leveranciers deel uitmaakt. Andere gemeenten kunnen deze procedure overnemen/verbeteren om de veiligheid van externe samenwerkingen te waarborgen. > De ambitie leeft bij Elburg om security en privacy-by-design in te voeren. Mogelijk kan dit in samenwerking met de betrokken gemeenten om zo tot een gezamenlijk plan te komen en dit vervolgens binnen de organisatie te implementeren. > Nunspeet heeft een notitie opgesteld met betrekking tot bewustwording voor informatiebeveiliging en bescherming van persoonsgegevens. Hoewel nog summier, kan dit als startpunt dienen voor andere gemeenten om vergelijkbare plannen te ontwikkelen. > Nunspeet onderzoekt kansen voor regionale samenwerking op het gebied van informatisering en automatisering. Gemeenten kunnen hiervan leren om samenwerkingsverbanden te versterken en gezamenlijke continuïteitsplannen te ontwikkelen

3

Bron: Opdrachtgeversoverleg Omgevingsdienst Noord-Veluwe, 12 januari 2023.

4

Bron: Verwerkersovereenkomst gemeente Oldebroek met ODNV, tevens bruikbaar in H2O verband, april 2017. Bronnen: e-mail van Elburg d.d. 11 december 2023, e-mail van Nunspeet d.d. 8 december 2023.

5

Oldebroek en Hattem (H2O)

Putten

Pagina 17

> Putten werkt aan de implementatie van een Informatie Securitymanagement System, een cyclisch proces om informatiebeveiliging te borgen. Dit systeem omvat het opstellen van de PDCA-cyclus, wat als een gedetailleerde blauwdruk kan dienen voor andere gemeenten. > In het beleid van Putten is de werkwijze voor risicomanagement expliciet uitgewerkt in het beleidsplan. Alle gegevensverzamelingen en -applicaties worden toegewezen aan een eigenaar en geclassificeerd op risicoklassen ten aanzien van beschikbaarheid, integriteit en vertrouwelijkheid en de basisbeveiligingsniveaus worden vastgesteld. > H2O heeft specifieke kernwaarden en een privacybeleid opgesteld, wat richting geeft aan de werkwijze van de gemeente. Deze aanpak kan helpen bij het ontwikkelen van een cultuur van zorgvuldige omgang met persoonsgegevens . > H2O en gemeente Elburg hebben een ENSIA rapportage format gebruikt om te rapporteren over de ENSIA resultaten. Wellicht is dit ook toepasbaar bij gemeente Nunspeet en Putten om meer inzicht in de resultaten te communiceren richting de Raad. > Oldebroek en Hattem werken intensief samen in de gemeenschappelijke regeling H2O. In het geval de andere gemeenten ook een intensievere samenwerking onderzoeken en overwegen is het raadzaam de ervaringen van H2O mee te nemen.

6.2 Kernbevindingen per gemeente Zie de overzichten op de volgende bladzijde.

Pagina 18

2O-gemeenten Hattem en Oldebroek Maatschappelijke doen en resultaten Maatschappelijke doelen worden niet expliciet geformuleerd in termen van de betekenis voor inwoners en bedrijven.

Er zijn in 2022 in totaal 22 incidenten geregistreerd. Er is vanuit de rapportages niet op te maken wat de gevolgen zijn geweest van deze incidenten voor inwoners en bedrijven en/of deze acceptabel zijn geweest.

Uitvoeringsdoelen en -prestaties Onderwerp en conform de richtlijn BIO

Informatiebeveiligingsbeleid en organisatie Er is een actueel beleid en organisatie van informatiebeveiliging en controle op naleving. Personeel en toegang Juiste toegang voor medewerkers tot systemen en gegevens.

Resultaat ENSIA

Verbeterpunten uit de gesprekken

•

Steevast wordt nog gesproken over ‘het accent ligt op huis op orde’. Tegelijkertijd is er het besef dat het huis permanent aan verandering onderhevig zal zijn.

• •

Aanpak risicomanagement moet nog worden beschreven. Beleidsmatig is de regie op informatiebeveiliging op orde, de implementatie van regie is nog te

•

verbeteren. Uitvoering van het beleid is soms moeizaam. Verschillende lagen van de organisatie houden er,

•

vanwege gemak, ook alternatieve werkwijzen erop na. Meer aandacht voor bewustwording is nodig. Niet alle medewerkers zijn zich bewust van hun rol en verantwoordelijkheden rondom informatiebeveiliging.

Continuïteit en incidenten Zorgen voor continuïteit van de gemeentelijke dienstverlening en adequate opvolging incidenten. Leveranciersmanagement Veilige omgang met informatiesystemen en afspraken hierover met leveranciers. Databescherming Veilige omgang met data in de software.

•

Incidenten hebben tot verhoogde aandacht geleid, maar structurele borging van risicoanalyses en investeringsplannen ontbreekt.

•

Er is geen structurele monitoring en evaluatie van incidenten en continuïteitsplannen.

•

Samenwerking met leveranciers biedt kansen maar vereist heldere afspraken en borging van verantwoordelijkheden.

•

Er is geen volledig overzicht van alle contracten en de beveiligingseisen die aan leveranciers worden gesteld.

•

Bewustzijn en implementatie van databeschermingsmaatregelen varieert.

•

Specifieke activiteiten voor databescherming zijn aanwezig, maar niet altijd gestructureerd.

Pagina 19

Gemeente Elburg Maatschappelijke doelen en resultaten Maatschappelijke doelen worden niet expliciet geformuleerd in termen van de betekenis voor inwoners en bedrijven.

Onderzoekers hebben geen specifiek verslag informatieveiligheid over 2022 ontvangen. In de jaarstukken 2022 wordt wel aangegeven dat er minder incidenten zijn gemeld dan in 2021. Er wordt verder niet aangegeven of incidenten gevolgen hadden voor inwoners en bedrijven en/of deze acceptabel zijn geweest.

Uitvoeringsdoelen en -prestaties Onderwerp en conform de richtlijn BIO

Informatiebeveiligingsbeleid en organisatie Er is een actueel beleid en organisatie van informatiebeveiliging en controle op naleving. Personeel en toegang Juiste toegang voor medewerkers tot systemen en gegevens.

Resultaat ENSIA

Verbeterpunten uit de gesprekken

• •

Een aanzet tot een bewustwordingsplan is opgesteld, moet nog worden uitgebreid. Het is wenselijk om met de raad een meerjarig investeringsplan met projecten te kunnen bespreken.

•

De personele capaciteit en kennis is onvoldoende om zaken op te pakken.

•

De gemeente kampt met verloop aan medewerkers, daarmee is het uitdagend om het beleid te implementeren. Op technisch vlak lukt dit wel omdat maatregelen afgedwongen kunnen worden, op organisatorisch vlak is dit moeilijker.

•

Bewustwordingsactiviteiten zijn aanwezig, maar niet verplicht en soms onvoldoende.

Continuïteit en incidenten Zorgen voor continuïteit van de gemeentelijke dienstverlening en adequate opvolging incidenten.

•

Nog teveel brandjes blussen, hoger volwassenheidsniveau is nodig volgens de organisatie. Daar worden wel stappen gezet bij bijv. verbeteren Incidentmanagement.

•

Er zijn in het verleden beveiligingsincidenten geweest, op basis hiervan is het proces van incidentenmanagement herzien. Incidentenmanagement- en responsprotocol is opgesteld in 2022.

Leveranciersmanagement Veilige omgang met informatiesystemen en afspraken hierover met leveranciers.

•

De ambitie is om informatiebeveiliging en privacy ‘by-design’ in te richten. De beschikbaarheid van

•

mensen en middelen is hier een barrière. Nog geen regie op verbonden partijen ten aanzien van informatiebeveiliging.

•

Privacybeleid is onvoldoende en wordt momenteel herzien.

•

Privacyfunctionarissen worden te laat of ad hoc betrokken bij projecten.

Databescherming Veilige omgang met data in onze software.

• Dataclassificatie, DPIA’s e.d. worden niet consequent uitgevoerd.

Pagina 20

Gemeente Nunspeet Maatschappelijke doelen en resultaten Maatschappelijke doelen worden niet expliciet geformuleerd in termen van de betekenis voor inwoners en bedrijven.

Er zijn in 2022 43 incidenten geweest. De meeste incidenten hadden geen onacceptabel gevolgen. Eén keer was vanwege te grote kwetsbaarheid de dienstverlening aan burgers enkele dagen niet mogelijk.

Uitvoeringsdoelen en -prestaties

Informatiebeveiligingsbeleid en organisatie Er is een actueel beleid en organisatie van informatiebeveiliging en controle op naleving. Personeel en toegang Juiste toegang voor medewerkers tot systemen en gegevens. Continuïteit en incidenten Zorgen voor continuïteit van de gemeentelijke dienstverlening en adequate opvolging incidenten. Leveranciersmanagement Veilige omgang met informatiesystemen en afspraken hierover met leveranciers. Databescherming Veilige omgang met data in onze software.

Resultaat ENSIA

ENSIA is wel uitgevoerd. De jaarrapportage bevat geen eindoordeel over de vijf onderwerpen.

Onderwerp en conform de richtlijn BIO

Verbeterpunten uit de gesprekken •

Steevast wordt nog gesproken over ‘het accent ligt op basis op orde’. Tegelijkertijd is er het besef dat de basis permanent aan verandering onderhevig zal zijn.

•

Proceseigenaren zijn druk bezig met processen, nog onvoldoende tijd voor bewustwording

•

Niet alle processen op het gebied van informatiebeveiliging en privacy zijn formeel gedocumenteerd

•

of gestandaardiseerd. Er is in de uitvoering een gebrek aan duidelijkheid over de rollen en verantwoordelijkheden op het gebied van informatiebeveiliging en privacy zoals deze in het beleid zijn beschreven.

• •

Risicoanalyse op het terrein van privacy frequenter uitvoeren en maatregelen monitoren. Kwetsbaarheid door onvoldoende protocolleren van werkzaamheden. Inhoudelijke kennis over welke

•

(technische) beveiligingsmaatregelen er zijn moet worden vastgelegd. De mogelijkheid om uit te wijken naar andere IT-omgeving is nog niet gerealiseerd.

•

Nog geen formeel toezicht op verbonden partijen of controle op leveranciers.

•

Geen specifieke voorafgaande eisen opgesteld voor samenwerkingsverbanden op het gebied van informatiebeveiliging en privacy

•

Verwacht wordt dat niet alle datalekken worden herken en/of gemeld.

•

Verwerkersovereenkomsten worden met derden opgesteld, maar toezicht is nog niet formeel ingericht.

Pagina 21

Gemeente Putten Maatschappelijke doelen en resultaten Maatschappelijke doelen worden niet expliciet geformuleerd in termen van de betekenis voor inwoners en bedrijven.

Onderzoekers hebben geen specifiek verslag informatieveiligheid over 2022 ontvangen. Er is niet op te maken wat de gevolgen zijn geweest van eventuele deze incidenten voor inwoners en bedrijven en/of deze acceptabel zijn geweest.

Uitvoeringsdoelen en -prestaties

Informatiebeveiligingsbeleid en organisatie Er is een actueel beleid en organisatie van informatiebeveiliging en controle op naleving. Personeel en toegang Juiste toegang voor medewerkers tot systemen en gegevens. Continuïteit en incidenten Zorgen voor continuïteit van de gemeentelijke dienstverlening en adequate opvolging incidenten. Leveranciersmanagenent Veilige omgang met informatiesystemen en afspraken hierover met leveranciers. Databescherming Veilige omgang met data in onze software.

Resultaat ENSIA

ENSIA is wel uitgevoerd. De jaarrapportage bevat geen eindoordeel over de vijf onderwerpen.

Onderwerp en conform de richtlijn BIO

Verbeterpunten uit de gesprekken •

Beleid op het gebied van informatiebeveiliging is verouderd en biedt onvoldoende kaders.

•

Er is een overkoepelend beleid. Er is nog behoefte aan deelbeleid voor domeinen waar verwerking

•

van bijzondere persoonsgegevens aan de orde is. Onvoldoende governance en onduidelijke rollen, vooral rondom proceseigenaren.

•

Er is geen scherp zicht op de stand van zaken van de uitvoering van een actieplan op basis van de GAP-analyse.

•

Nog geen eigen vaste CISO, rol wordt nu a.i. ingevuld voor 20 uur per week.

•

Risicomanagement is nog niet breed geïmplementeerd. Veel zaken worden nog ad hoc opgepakt. Proceseigenaren moeten nog in positie worden gebracht om de eisen met betrekking tot bedrijfscontinuïteit binnen hun eigen processen te inventariseren.

• •

Er wordt nog niet toegezien op verbonden partijen m.b.t. informatiebeveiliging. Verwerkersovereenkomsten worden opgesteld, maar onduidelijk of dit bij elk contract is gebeurd en of hier op wordt toegezien.

•

Privacy-by-design wordt toegepast, maar monitoring en evaluatie ontbreken grotendeels

Pagina 22

2 Deel 2 De bevindingen

Pagina 23

1

Ambities en beleid van de gemeenten In dit hoofdstuk worden de deelvragen 1 en 2 beantwoord. De lezer die snel zicht wil krijgen op de antwoorden kan de korte beantwoording lezen direct onder het onderstaande kader. De lezer die meer details tot zich wil nemen kan de daaropvolgende paragrafen raadplegen waarin we uitgebreider ingaan op de verschillende deelvragen. DEELVRAGEN 1 Wat zijn de ambities, de doelen en het beleid van de gemeenten ten aanzien van de informatiehuishouding in relatie tot informatiebeveiliging en waarborging van privacy? > In hoeverre kent het beleid evalueerbare en/of meetbare ambities en doelen? 2 In welke mate sluit het beleid aan op wet- en regelgeving en landelijke richtlijnen? TOEGEPASTE NORMEN

• • • •

Er is een door de raad en/of het college vastgestelde visie en beleid op informatiehuishouding, informatiebeveiliging en waarborging van privacy; Beleidsdoelen zijn evalueerbaar geformuleerd, mede op het niveau van maatschappelijke effecten; De behoeften en wensen van gebruikers van informatie zijn geïnventariseerd en betrokken bij de beleidsvorming; Het beleid sluit aan op Nationale en Europese wet- en regelgeving en uitgangspunten: de Baseline Informatiebeveiliging Overheid (BIO) en de Algemene Verordening Gegevensbescherming (AVG).

Korte beantwoording van de deelvragen INFORMATIEBEVEILIGINGSBELEID 1 Alle vijf gemeenten hebben een nagenoeg identiek informatiebeveiligingsbeleid, waarin doelen en processen zijn beschreven voor de beveiliging van informatie. Dat beleid is vastgesteld door de colleges en de raden zijn daarvan in kennis gesteld.

De gemeenten volgen met het beleid de landelijke richtlijn ‘Baseline Informatiebeveiliging Overheid (BIO)’. De BIO gaat uit van drie kerncriteria voor informatiebeveiliging: beschikbaarheid, integriteit en vertrouwelijkheid van informatie. De BIO biedt de gemeenten keuzes voor verschillende beveiligingsniveaus. Er worden van licht naar zwaar drie niveaus onderscheiden, te weten: BBN1, BBN2 en BBN3. Het niveau is zwaarder in het geval kennisname van informatie door ongeautoriseerde buitenstaanders leidt tot grotere negatieve gevolgen voor het openbaar bestuur en de samenleving. Het gaat daarbij om financiële gevolgen voor de overheid, politieke gevolgen voor het openbaar bestuur, het vertrouwen van burgers in de overheid en ongemak of zelfs schade voor burgers. Als een gemeente een bepaald beveiligingsniveau nastreeft, heeft de gemeente daarmee dus een beleidsdoel op het niveau van bestuurlijke- en maatschappelijke effecten geformuleerd. BBN3 is overigens niet van toepassing voor gemeenten maar voor de ministeries van het rijk. De Informatiebeveiligingsdienst (IBD) van de VNG heeft voor gemeenten hiertoe voor gemeenten een tussenniveau BBN2+ voorgeschreven, dat van toepassing is als systemen aan een zwaardere eis moeten voldoen dan BBN2. Verder heeft de Informatiebeveiligingsdienst van de VNG aangegeven dat BBN2 hoe dan ook het basisniveau is voor de gemeenten.

De gemeenten benoemen in hun beleid wel de mogelijke beveiligingsniveaus, maar niet alle gemeenten stellen expliciet een bepaald beveiligingsniveau als beleidsdoel vast. Dat gebeurd niet in algemene zin maar ook niet per kerncriterium. Hiermee zijn de beleidsdoelen niet evalueerbaar

Pagina 24

geformuleerd. Een uitzondering is de gemeente Putten en de gemeente Elburg. Deze gemeenten stellen expliciet in het beleid dat alle informatiesystemen worden geclassificeerd op risicoklassen ten aanzien van beschikbaarheid, integriteit en vertrouwelijkheid. Beveiligingsniveaus worden hierop vastgesteld; Putten en Elburg hanteren gemeentebreed het basisniveau BBN2, dat overigens het landelijk vastgestelde niveau is. Zoals eerder genoemd is het informatiebeveiligingsbeleid van alle gemeenten verder in de basis nagenoeg identiek. Verschillen zijn er in de mate waarin deelonderwerpen worden belicht en uitgewerkt. We lichten dat hieronder verder toe. a

b

c

d

De H2O gemeenten (Hattem en Oldebroek) belichten, naast informatiebeveiliging, de thema’s waaraan de gemeenten de komende jaren willen werken. Belangrijke hoofdlijnen zijn gericht op enerzijds standaardisatie en anderzijds voldoende flexibiliteit te behouden om in te kunnen spelen op de behoefte van gebruikers en nieuwe ontwikkelingen. Deze hoofdlijnen zijn: > Verder bouwen aan een stevige basis rondom het werken onder één architectuur, om meer grip te krijgen. Projecten zijn niet meer vrij om hun ‘eigen beste’ oplossing te kiezen; > Digitale dienstverlening zodanig inrichten dat de klant centraal staat en in samenhang en harmonie brengen van behoeften van gebruikers (vraag) en informatiesystemen (aanbod). Dit met oog op het realiseren van de doelen van het bestuur en de organisatie als geheel. Daarmee maakt een inventarisatie van behoeften en wensen van gebruikers deel uit van beleidsvorming; > Het vergroten van het bewustzijn van bestuurders en medewerkers over informatie veiligheid en privacy. Uit gesprekken in het kader van dit onderzoek blijkt dat alternatieve werkwijzen worden gekozen. Bijvoorbeeld: Zivver (programma wat zorgt dat e-mails versleuteld worden verstuurd). Verschillende lagen van de organisatie (ook raad en college) vinden het toch moeizaam om hiermee te werken. Hierdoor worden ook alternatieve werkwijzen eropna gehouden om het Zivver-programma te ontwijken.

Hierdoor wordt waarschijnlijk nog onveiliger gewerkt en wordt de ambitie/doel vanuit het informatiebeveiligingsbeleid niet gehaald. Het lijkt soms een keurslijf waar je in wordt gedrukt, waar je niet meer aan ontkomt, en dat geeft ook wrijving. Aanvullende bewustwording rondom de noodzaak en de mogelijke gevolgen of risico’s van dit gedrag kan het gedrag veranderen. De gemeente Elburg heeft: > Een strategie voor continuïteit uitgewerkt met daarbij evalueerbare doelen ten aanzien van de beschikbaarheid van informatiesystemen voor kritische bedrijfsprocessen; > Het logische toegangsbeleid uitgewerkt dat ingaat op processen en procedures voor het toewijzen van autorisaties en toegangsrechten, inloggen en authenticatie en opschonen van niet gebruikte accounts; > Een procedure vastgesteld voor externe leveranciers, waar een risicoafweging voor toegang tot informatiesystemen deel van uitmaakt. De gemeente Nunspeet heeft een korte notitie met betrekking tot bewustwording voor informatiebeveiliging en bescherming van persoonsgegevens opgesteld. Daarbij merken we op dat dit inhoudelijk nog zeer summier is en nog niet voldoet aan de template/handreiking zoals die is opgesteld door de IBD. Alle gemeenten maken overigens gebruik van een Bewustwording Management Systeem.

Dat systeem voorziet in basistrainingen voor nieuwe medewerkers en herhalingsmodules, specifieke trainingen voor medewerkers die toegang hebben tot Suwinet of een module Privacy. De gemeente Putten werkt het zogeheten ‘Information Security Management System’ verder uit. Dat is een cyclisch proces dat wordt doorlopen om informatiebeveiliging te borgen. Het bestaat uit vier stappen: Opstellen van Informatiebeveiligingsbeleid, Informatieveiligheidsanalyse, Actieplan en als laatste stap Technische en Organisatorische maatregelen.

Pagina 25

2

Het beleid van alle vijf gemeenten sluit aan op landelijke wetgeving en -richtlijnen zoals de Baseline Informatiebeveiliging Overheid (BIO), de Algemene Verordening Persoonsgegevens (AVG) en aanvullende beveiligingseisen voor de Basisregistratie Personen (BRP), Paspoorten en Nederlandse Identiteitskaarten (PNIK) en Structuur Uitvoeringsorganisatie Werk en Inkomen (SUWI).

PRIVACYBELEID Alle vijf gemeenten hebben een privacybeleid. Dat beleid is vastgesteld door de colleges en de raden zijn daarvan in kennis gesteld. Rondom het waarborgen van privacy moet rekening worden gehouden met allerlei wet- en regelgeving, wat het complex maakt. Het beleid van de gemeenten sluit hier op aan. De belangrijkste is de Algemene Verordening Gegevensbescherming (AVG). Daarnaast zijn er andere bijzondere wetten die ook iets zeggen over het gebruik van persoonsgegevens. Het gaat om de Wet open overheid (Woo), de Wet basisregistratie personen (Wet BRP), de Wet maatschappelijke ondersteuning (Wmo), de Wet politiegegevens (Wpg), de Jeugdwet en de Archiefwet.

De gemeenten Oldebroek besteedt in het privacybeleid ook aandacht aan de beveiliging van persoonsgegevens en voor het sociaal domein is een apart privacybeleid opgesteld. De gemeente heeft dit gedaan omdat dit domein een aantal specifieke aandachtspunten met zich mee brengt. Het gaat om het gebruik van bijzondere persoonsgegevens en de samenwerking met andere overheidsorganisaties en zorg- en hulpverleners. OVERKOEPELEND De gemeenten Hattem, Oldebroek en Putten beschrijven in hun beleid de kernwaarden en principes of uitgangspunten waaruit zij werken. Door kernwaarden en principes te formuleren, wordt het beleid voor bestuurders en medewerkers behapbaar en richt het zich op de bedoeling van het waarborgen van privacy. De gemeenten Nunspeet en Elburg beschrijven geen kernwaarden en principes/uitgangspunten. Het beleid van deze gemeenten is voornamelijk procedureel van aard en gericht op strikte navolging van wet- en regelgeving.

Een in onze ogen interessant punt is de spanning die kan ontstaan tussen strikte navolging van wet- en regelgeving, de taak die de gemeenten hebben en de hulp- of zorgvraag die een inwoner nodig heeft. Deze spanning komt nadrukkelijk tot uiting met het benoemen van kernwaarden en principes. Voorbeelden uit het beleid van de gemeente Hattem. Oldebroek en Putten zijn: a “We willen voldoen aan alle wetten en dat is een hele uitdaging. We willen ons daarbij flexibel opstellen en denken in mogelijkheden en oplossingen.” b “We voldoen aan wet- en regelgeving, dat is een hele uitdaging. We zoek altijd naar de beste oplossing om zorgvuldig met persoonsgegevens om te gaan en tegelijkertijd onze taak zo goed als mogelijk uit te voeren.” c “Wij hebben daarbij in het bijzonder oog voor kwetsbare groepen. Wij zoeken daarbij de ruimte op binnen de wettelijke kaders, zeker wanneer de zorg voor onze inwoners hierom vraagt.”

Pagina 26

1.1 Landelijke kaders De Baseline Informatiebeveiliging Overheid (BIO) is het basisnormenkader voor informatiebeveiliging binnen alle overheidslagen. Het is voor alle overheidsinstanties per 1 januari 2020 het verplichte normenkader. De huidige BIO wordt naar verwachting overigens eind dit jaar vervangen door de BIO 2.0. De drie basisbeveiligingsniveaus van de BIO Kerncriteria in de BIO zijn: beschikbaarheid (continuïteit) , integriteit (betrouwbaarheid) en vertrouwelijkheid (exclusiviteit) van informatie. Binnen de basisbeveiligingsniveaus worden de drie kerncriteria verder gespecificeerd. Als voorbeeld ten aanzien van vertrouwelijkheid van informatie: > Het ambitieniveau kan als ‘laag’ worden gesteld (BBN1) als kennisname van informatie door ongeautoriseerden (buitenstaanders) niet gewenst is, maar niet leidt tot schade van enige omvang.

Het kan hoogstens leiden tot financiële gevolgen, die zijn op te vangen binnen de begroting van de gemeente, en irritatie en ongemak bij burgers; > Het ambitieniveau kan als ‘midden’ worden gesteld (BBN2) als kennisname van informatie door ongeautoriseerden (buitenstaanders) niet gewenst is en leidt tot politieke schade aan een bestuurder, financiële gevolgen niet zijn op te vangen binnen de gemeentelijke begroting, bindende aanwijzing van de Autoriteit Persoonsgegevens en directe imagoschade door negatieve publiciteit; > Het ambitieniveau kan als ‘hoog’ worden gesteld (BBN3) als kennisname van informatie door ongeautoriseerden (buitenstaanders) niet gewenst is en het gaat om vertrouwelijke informatie waarbij het openbaar maken grote impact heeft, waarvan niet is uit te leggen dat deze niet gerubriceerd is en beschermd wordt op BBN3 niveau en geen weerstand is geboden tegen statelijke actoren. In bijlage 1 van dit rapport worden de drie niveaus nog verder toegelicht. De Eenduidige Normatiek Single Information Audit (ENSIA) is een initiatief van gemeenten en de ministeries van BZK en SZW. ENSIA streeft naar een zo effectief en efficiënt mogelijk ingericht verantwoordingsstelsel. ENSIA is ontstaan omdat er veel toezichthouders waren (lees ministeries) die bij wet toezicht moesten houden op bepaalde wetten die door gemeenten werden uitgevoerd.