2024-170.1 Eindrapport-onderzoek-informatiebeveiliging en privacy

Om te voorkomen dat elk ministerie zijn eigen manier van verantwoorden ging verzinnen en daarmee de gemeenten zouden overvragen, is er gekozen voor een algemeen portaal met vragenlijsten waar de gemeente zich jaarlijks in kan verantwoorden. ENSIA wordt door gemeenten, provincies, waterschappen en de rijksoverheid ook gebruikt om zich te onder andere te verantwoorden over de staat van informatiebeveiliging. Daarin zijn ook de beveiligingsnormen van de Basisregistratie Personen, Reisdocumenten, en Suwinet betrokken.6 ENSIA is onderdeel is van de jaarlijkse verantwoordingscyclus van gemeenten. Het bestaat uit verschillende vragenlijsten. Gemeenten vullen zelf de vragenlijst in en het is daarmee een zelfevaluatie. Voor de DigiD-koppelingen en Suwinet worden verplichte audits uitgevoerd in het kader van ENSIA. Voor deze audits moeten wel vragenlijsten worden ingevuld maar het is geen zelfevaluatie. Daarnaast is er de Algemene Verordening Gegevensbescherming (AVG). De AVG is een Europese verordening, die de regels voor de verwerking van persoonsgegevens door overheidsinstanties en private organisaties standaardiseert. Dit met als doel om het vrije verkeer van gegevens te waarborgen, maar op een dusdanige wijze dat de bescherming van persoonsgegevens is gegarandeerd. Voor de verantwoording rond de Algemene Verordening Gegevensbescherming (AVG) zijn separate procedures aanwezig.

De Functionaris Gegevensbescherming heeft een toezichthoudende rol. De FG is niet verantwoordelijk voor het borgen van de procedures; hij/zij moet controleren of de organisatie de juiste procedures heeft

6

Via Suwinet kunnen overheidsorganisaties gegevens van burgers en bedrijven digitaal bij elkaar opvragen en naar elkaar sturen.

Pagina 27

geïmplementeerd. De FG kan wel advies geven over de te implementeren procedures, maar is niet verantwoordelijk voor het daadwerkelijke gebruik of implementatie hiervan.

1.2 Lokale ambities en beleid Hieronder beschrijven we de ambities en het beleid van de verschillende gemeenten. We richten ons daarbij voornamelijk op de doelen, de processen en/of de thema’s voor doorontwikkeling van de informatiebeveiliging en privacy. De ambtelijke organisatie, rollen en taken van verschillende functionarissen zijn door de gemeenten ook opgenomen in de beleidsplannen. Denk aan de rol van de Chief Information Security Officer (CISO), Functionaris Gegevensbescherming (FG) en proceseigenaren. Deze bespreken we in het volgende hoofdstuk 2 ‘Uitvoering’.

1.2.1 H2O-gemeenten Hattem en Oldebroek De gemeenten Hattem en Oldebroek werken sinds december 2017 samen op het terrein van Informatisering en Automatisering (I&A). De informatisering (CIO) zit bij de gastheergemeente Oldebroek en de automatisering (i-Dienst) in de gemeenschappelijke regeling H2O. Het doel van deze samenwerking is dat het de gemeenten in staat moet stellen om, vanuit gezamenlijke ambities en beleid, te voorzien in een robuuste en betrouwbare informatievoorziening. Door dit samen te doen willen de gemeenten hun kwetsbaarheid verlagen en kwaliteit verhogen. De ambities en het beleid zijn vastgelegd in het ‘Strategisch Informatiebeveiligingsbeleid 2023-2025’ en zijn in 2023 verder geactualiseerd in de ‘Kadernota Strategisch Informatiebeleidsplan 2024-2027’. Tevens is er een door de gemeentesecretaris vastgestelde Strategisch Continuïteitsplan Informatievoorziening H2O. Hiermee zijn de ambities en het beleid met betrekking tot de informatiehuishouding en -beveiliging gemeenschappelijk gemaakt. De uitwerking van dit beleid in concrete maatregelen vindt plaats in een jaarlijks op te stellen informatiebeveiligingsplan, dat we in het volgende hoofdstuk van dit rapport verder belichten.

STRATEGISCH INFORMATIEBEVEILIGINGSBELEID 2023-2025 De gemeenten verstaan onder informatiebeveiliging het treffen en onderhouden van een samenhangend pakket van maatregelen om de betrouwbaarheid van de informatievoorziening aantoonbaar te waarborgen. Kernpunten zijn: beschikbaarheid, integriteit (juiste en volledige informatie) en vertrouwelijkheid van persoonsgegevens en andere informatie.7 Het treffen van maatregelen beperkt zich niet tot ICT maar heeft betrekking op het openbaar bestuur, alle medewerkers, inwoners, gasten, bezoekers en externe relaties.8

De gemeenten hanteren de Baseline Informatiebeveiliging Overheid (BIO) als normenkader voor informatiebeveiliging. Dit in algemene zin, want evalueerbare ambities/doelen ten aanzien van de zwaarte van het beveiligingsniveau (BBN1, BBN2, BBN2+ of BBN3) worden niet gesteld. De doelen zijn verder niet gedifferentieerd naar de verschillende drie kerncriteria: beschikbaarheid, integriteit en vertrouwelijkheid. Wel maken aanvullende beveiligingseisen deel uit van het strategische informatiebeleidsplan, te weten eisen voor de Basisregistratie Personen (BRP), Paspoorten en Nederlandse Identiteitskaarten (PNIK) en Structuur Uitvoeringsorganisatie Werk en Inkomen (SUWI). Ook hanteren de gemeenten tien principes als bestuurlijke aanvulling op de BIO, zie het onderstaande kader. De tien principes voor informatiebeveiliging zijn een-op-een overgenomen van de VNG. De tien principes zijn gelijk met de BIO van kracht geworden en vastgesteld door de Vereniging van Nederlandse Gemeenten en de Informatiebeveiligingsdienst. Door deze principes als uitgangspunt te nemen zien de gemeenten het onderwerp informatiebeveiliging als een proces van risicomanagement, waarbij het

7 8

Deze definitie sluit aan op artikel 1 sub a Voorschrift Informatiebeveiliging Rijksdienst 2007 Bron: Strategisch Informatiebeleidsplan H2O gemeenten 2023-2025

Pagina 28

openbaar bestuur een uitdrukkelijke rol heeft doordat het deel uitmaakt van bestuurlijke besluitvorming, controle en evaluatie.

Tien principes voor informatiebeveiliging als bestuurlijke aanvulling op de BIO 1 Bestuurders bevorderen een veilige cultuur 6 Informatiebeveiliging is een proces 2 Informatiebeveiliging is van iedereen 7 Informatiebeveiliging kost geld 3 Informatiebeveiliging is risicomanagement 8 Onzekerheid wordt ingecalculeerd 4 Risicomanagement is onderdeel van 9 Verbetering komt voort uit leren en ervaring besluitvorming 10 De besturen controleren en evalueren 5 In (keten)samenwerking is informatiebeveiliging ook van belang Bron: Strategisch Informatiebeleidsplan 2023-2025 Als laatste wordt in het strategisch informatiebeveiligingsbeleid 2023-2025 aangegeven dat het plan jaarlijks wordt opgesteld door de Chief Information Security Officer (CISO) onder leiding van de Chief Information Officer (CIO). De CIO is binnen een organisatie de functionaris die verantwoordelijk is voor de informatievoorziening. Om het plan te actualiseren worden de volgende bronnen meegenomen: > De uitkomsten van de jaarlijkse ENSIA audit; > Uitkomsten van overige audits; > Het ‘Dreigingsbeeld Nederlandse gemeenten’ van de Informatiebeveiligingsdienst (IBD); > De door procesverantwoordelijke managers ingebrachte onderwerpen. KADERNOTA STRATEGISCH INFORMATIEBELEIDSPLAN H2O 2024-2027 In de kadernota wordt gesteld dat de H2O gemeenten stapsgewijs werken aan het voldoen aan de BIO.

In dat licht is het een voorzetting van het beleid zoals verwoord in het Strategisch Informatiebeleidsplan.

Er worden verder vijf thema’s belicht waar de H2O-gemeenten aan wil werken: 1 Bouwen aan een stevige basis, de zogeheten ‘digitale infrastructuur’. Dit bestaat uit een aantal componenten die de H2O-gemeenten de komende jaren op orde wil hebben: > Gegevensmanagement: processen en producten voor uitwisseling, kwaliteit en beveiliging over de verwerking van gegevens; > Informatiebeheer: betrouwbaar en duurzaam bewaren van digitale informatie; > Werken onder architectuur: om grip te krijgen op de informatievoorziening willen de gemeenten werken onder één architectuur. Projecten zijn niet meer vrij om hun eigen ‘beste’ oplossing te kiezen, maar moeten binnen gestelde kaders werken; > Centralisatie en professionalisering van functioneel beheer: het functioneel beheer is in de loop de jaren versnipperd waardoor er weinig samenhang is en integratie van systemen; > Governance en sturing op projecten: de IT-governance verbeteren. Taken en rollen op strategisch, tactisch en operationeel niveau beter beschrijven en afstemmen. 2 Datagedreven werken. Het nemen van beslissingen op basis van data en feiten. 3 Doorontwikkelen digitale dienstverlening. Dienstverlening waarbij de klant centraal staat door deze flexibel in te richten en diensten te leveren via de digitale kanalen. Tegelijkertijd wordt gestreefd naar uniformiteit en standaardisatie van processen en informatie.

4 Doorontwikkelen van de informatievoorzieningsorganisatie. De gemeenten spreken hier over het verbeteren van ‘Business- en IT-alignement’. Om dit Engelse vakjargon nader te verklaren vertalen wij dit verder in het Nederlands. Onder de term ‘Business- en IT-alignement’ wordt verstaan het in samenhang en harmonie brengen van behoeften (vraag) enerzijds en informatiesystemen en -technologie (aanbod) anderzijds, met oog op het realiseren van de doelen van het bestuur en organisatie als geheel. Soms ontstaat er een kloof tussen beiden, dat leidt tot onbegrip tussen gebruikers en IT-professionals. Als deze kloof niet wordt

Pagina 29

overbrugd leidt dit tot dure onsamenhangende systemen. Het doel is dit te voorkomen en dat vraag om een goede aansluiting van strategische organisatiedoelen naar benodigde informatiesystemen op tactisch en operationeel niveau. 5

i-Bewustzijn. De gemeenten willen werk maken van het vergroten van digitale geletterdheid en het creëren van bewustzijn over digitale veiligheid, informatiebeveiliging en privacy.

PRIVACYBELEID Op het terrein van de waarborging van privacy is er geen gemeenschappelijk beleid; beide gemeenten hebben hun eigen privacybeleid opgesteld.

De gemeente Oldebroek heeft het beleid in twee stukken beschreven: ‘Grip op privacy, juni 2021’ en ‘Grip op privacy in het sociaal domein’. Het is van toepassing op alle processen binnen de gemeente waarin persoonsgegevens worden verwerkt, daarop is de privacywet van toepassing. De belangrijkste is de Algemene Verordening Gegevensbescherming (AVG). Daarnaast zijn er andere bijzondere wetten die ook iets zeggen over het gebruik van persoonsgegevens. Het gaat om de Wet open overheid (Woo), de Wet basisregistratie personen (Wet BRP), de Wet maatschappelijke ondersteuning (Wmo), de Jeugdwet en de Archiefwet. Het beleid beschrijft verder welke persoonsgegevens de gemeente gebruikt en voor welke doelen. Denk aan het uitgeven van identiteitsbewijzen, het bijhouden van basisregistratie personen, het verstrekken van uitkeringen, het heffen van belastingen et cetera. Alle doelen en grondslagen staan in een verwerkingsregister. Het beleid besteedt ook aandacht aan beveiliging van persoonsgegevens: > De gemeente heeft een datalekprotocol dat beschrijft hoe om te gaan met datalekken. Medewerkers dienen (mogelijke) datalekken te melden en een datalekteam moet dat oppakken en afhandelen. > Bij een nieuw proces of het inkopen van een dienst of product houdt de gemeente in de ontwerpfase als rekening met privacy, ook wel ‘privacy-by-design’ genoemd.

De standaard werkwijze is zo min mogelijk persoonsgegevens te verwerken. > Als een gegevensverwerking complex is of een hoog risico heeft, wordt een risicobeoordeling uitgevoerd en maatregelen getroffen om risico’s zo klein als mogelijk te houden, ook wel een ‘data protection impact assessment (DPIA)’ genoemd. Naast het voldoen aan alle wet- en regelgeving heeft de gemeente Oldebroek vijf kernwaarden en tien privacyregels opgesteld die richtinggevend zijn voor de werkwijze van de gemeente, zie het onderstaande kader. Vijf kernwaarden Oldebroek 1 Dienstverlenend: Gegevens van inwoners worden gebruikt ten dienste van inwoners en alleen als dat echt noodzakelijk is. 2 Eigenaarschap: We nemen verantwoordelijkheid voor het werken met persoonsgegevens. Vertrouwelijkheid en zorgvuldig omgaan met gegevens vinden we belangrijk. 3 Flexibel: We willen voldoen aan alle wetten en dat is een hele uitdaging. We willen ons daarbij flexibel opstellen en denken in mogelijkheden en oplossingen. 4 Verbindend: We verbinden wet- en regelgeving aan de taken die we hebben. Dus aandacht voor hoe we de taak het beste kunnen uitvoeren, maar ook hoe we daarbij de privacy van inwoners kunnen beschermen. 5 Vakbekwaam: Alle medewerkers zijn zich bewust van het belang van privacy en medewerkers passen dit ook toe.

Daar is aanvullende kennis voor nodig en de gemeente heeft daartoe een Privacy Officer en een Functionaris Gegevensbescherming aangesteld. Tien privacyregels Oldebroek 1 We verwerken alleen persoonsgegevens als dat nodig is.

Pagina 30

2 3 4

We gebruiken voor het uitvoeren van taken alleen de echt noodzakelijke persoonsgegevens. We wisselen persoonsgegevens alleen uit als dat nodig is om de taak uit te kunnen voeren. Als we een andere partij vragen om persoonsgegevens te verwerken, dan maken we daar afspraken over. 5 We slaan persoonsgegevens op zo min als mogelijke plekken op. 6 Als we bijzondere persoonsgegevens verwerken zijn we extra alert op hoe we dat doen en met wie we de informatie delen. 7 We zijn transparant over wat we doen met persoonsgegevens. 8 We zorgen voor een goede beveiliging van de persoonsgegevens. 9 Als de bewaartermijn verstreken is, verwijderen we de persoonsgegevens. 10 Als we denken dat persoonsgegevens ‘gelekt’ zijn melden we dat zo snel als mogelijk. Bron: Grip op privacy, gemeente Oldebroek, juni 2021

De gemeente Oldebroek heeft ervoor gekozen om voor het sociaal domein een apart privacybeleid op te stellen: ‘Grip op privacy in het sociaal domein’. De gemeente heeft dit gedaan omdat dit domein een aantal aandachtspunten met zich mee brengt. Het gaat om het gebruik van bijzondere persoonsgegevens en de samenwerking met andere overheidsorganisaties en zorg- en hulpverleners. Als er taken worden overgedragen, al dan niet via een mandaat of delegatie, dan maakt de gemeente afspraken hoe invulling wordt gegeven aan de AVG. Bijzonder persoonsgegevens betreffen bijvoorbeeld iemands etniciteit of strafrechtelijke gegevens. Bij verwerking van deze gegevens geeft de gemeente aan extra aandacht te schenken aan een aantal specifieke criteria uit de AVG. Het gaat bijvoorbeeld om de vraag of verwerking van de persoonsgegevens van vitaal belang is, het omgaan met rechten en plichten van hulpverleners (beroepsgeheim) en de toestemming die nodig is van cliënten om zijn/haar gegevens te mogen verwerken. Transparantie is daarbij belangrijk. Zo schrijft het beleid voor dat vanaf het eerste contact met een inwoner de gemeente transparant is over hoe persoonsgegevens worden verwerkt, op de website is een privacyverklaring te vinden en ook gedurende een traject worden inwoners geïnformeerd als nieuwe informatie wordt opgevraagd en verwerkt.

Daarnaast zijn in de Wmo en Jeugdwet bepalingen opgenomen over het recht van inzage, het recht van correctie en het recht van wissen van gegevens die de gemeente verwerkt. De gemeente Hattem heeft het beleid rondom privacy beschreven in het stuk ‘Grip op privacy’. Ook in dit beleid worden de eerder genoemde tien privacyregels gepresenteerd. Het beleid is verder identiek aan die van de gemeente Oldebroek, behalve dat er vier andere kernwaarden worden genoemd en er geen specifiek privacybeleid is opgesteld voor het sociaal domein. Vier kernwaarden Hattem 1 Duidelijkheid: Gegevens van inwoners worden gebruikt ten dienste van inwoners en alleen als dat echt noodzakelijk is. We communiceren hierover naar inwoners. 2 Samenwerken: We willen van elkaar leren en elkaar helpen om aandacht te blijven houden voor privacy. 3 Vertrouwen: Een zorgvuldige omgang met persoonsgegevens draagt bij aan het vertrouwen in onze organisatie en onze mensen. Om dit vertrouwen te vergroten zijn we transparant over wat we doen met persoonsgegevens en zijn we aanspreekbaar op ons handelen. 4 Verbeteren: We voldoen aan wet- en regelgeving, dat is een hele uitdaging. We zoeken altijd naar de beste oplossing om zorgvuldig met persoonsgegevens om te gaan en tegelijkertijd onze taak zo goed als mogelijk uit te voeren. Bron: Grip op privacy, gemeente Hattem

Pagina 31

1.2.2 Elburg De gemeente Elburg beschikt over een informatiebeveiligingsbeleid 2021-2023, dat recent is geactualiseerd met vaststelling van het ‘Strategisch Informatiebeveiligingsbeleid 2024-2026’, een continuïteitstrategie 2023 en een logisch toegangsbeveiligingsbeleid 2023-2026. STRATEGISCH INFORMATIEBEVEILIGINGSBELEID 2024-2026 Dit beleid is een voorzetting van het beleid over de voorgaande jaren 2021-2023, zie hieronder. Het omvat verder geen nieuw beleid. INFORMATIEBEVEILIGINGSBELEID 2021-2023 Het beleid is identiek aan die van de H2O-gemeenten, zoals besproken in de voorgaande paragraaf. Ook Elburg hanteert de BIO als normenkader en de tien principes als bestuurlijke aanvulling op de BIO. Tevens zijn aanvullende bepalingen opgenomen voor SUWI, BRP en PNIK. Ook hier worden verder geen evalueerbare ambities/doelen ten aanzien van de zwaarte van het beveiligingsniveau (BBN1, BBN2, BBN2+ of BBN3) gesteld. Er wordt ook niet gedifferentieerd naar twee kerncriteria: integriteit en vertrouwelijkheid. Ten aanzien van het kerncriterium beschikbaarheid zijn wel evalueerbare doelen gesteld, zie hieronder de continuïteitstrategie. CONTINUÏTEITSTRATEGIE 2023 In dit document besteedt de gemeente bijzondere aandacht aan kritieke bedrijfsprocessen van de gemeente. Het gaat hierbij om het kerncriterium ‘beschikbaarheid’.

De bedrijfsprocessen zijn hiertoe ingedeeld naar prioriteiten, waarbij nummer 1 de hoogste prioriteit heeft. Het gaat om bedrijfsprocessen die vallen onder: wettelijke bepalingen (bij uitval herstel binnen de door de wet bepaalde tijd), wenselijk herstel binnen 24 uur, 48 uur, of 72 uur . Het document bevat een bijlage waarin alle kritieke bedrijfsprocessen zijn genoemd en zijn verdeeld over de prioriteiten. LOGISCH TOEGANGSBEVEILIGINGSBELEID 2023-2026 Het logisch toegangsbeveiligingsbeleid is een onderdeel van de gemeentelijke informatiebeveiliging. Het doel is ervoor te zorgen dat onbevoegden minder makkelijk toegang kunnen krijgen tot de gemeentelijke informatiesystemen en de informatie binnen deze systemen. Het heeft betrekking op zowel de fysieke beveiliging als op het logische toegangsbeheer. Het beschrijft het gebruik van authenticatie en autorisatie: 1 Een procedure om toegangsrechten toe te wijzen, gebaseerd op het instroom-, doorstroom en uitstroom proces van de afdeling Personeel & Organisatie van de gemeente. 2 Een uniforme autorisatiestructuur voor de gehele gemeente: elk systeem heeft een autorisatiematrix. In deze matrix zijn per systeem functies en rollen van functionarissen beschreven die zijn gekoppeld aan rechten zoals toevoegen, bekijken, wijzigen, verwijderen van gegevens et cetera.

3 Niemand binnen de gemeente mag autorisatie hebben om een gehele cyclus van handelingen in een informatiesysteem of database te beheersen, ook wel ‘Segregration of Duties’ (SOD) genoemd. SOD is in feite een functiescheiding, bepaalde verantwoordelijkheden worden over meer dan één persoon gespreid. 4 Er wordt gebruik gemaakt van een persoonsgebonden gebruikersnaam, wachtwoord en hardwaretoken of authenticator-app. Door de combinatie wil de gemeente de toegangsbeveiliging versterken, ook wel ‘two-factor’of ‘multi-factor’ authenticatie genoemd.

Een two-factor authenticatie (2FA) is een authenticatiemethode waarbij men twee stappen succesvol moet doorlopen om ergens toegang tot te krijgen. In het Nederlands noemen we dit ook wel een twee stappen authenticatie. De eerste stap is veelal het invoeren van een gebruikersnaam en wachtwoord. De tweede stap is bijvoorbeeld het invoeren van een sms-code die na de eerste stap naar de mobiele telefoon wordt verzonden. Alleen deze combinatie zorgt ervoor dat men toegang krijgt.

Pagina 32

Het beleid voorziet verder in een procedure voor het opschonen van niet meer gebruikte accounts. Deze vormen namelijk een risico op ongewenste toegang en worden daarom uitgeschakeld. Indien de laatste inlogdatum meer dan een maand ligt voor de controledatum van een periodieke controle, wordt het account geblokkeerd. Als laatste besteedt de gemeente in het beleid aandacht aan bewustwording van medewerkers. Het beleid schrijft voor dat de CISO daar aandacht aan moet schenken. Tevens is voor externe leveranciers een procedure vastgesteld, waar een risicoafweging voor toegang tot het netwerk deel van uitmaakt. PRIVACYBELEID De gemeente Elburg heeft het privacybeleid veel minder omvattend omschreven dan de hiervoor besproken H2O gemeenten. Het is met name ingegeven door wet- en regelgeving en bevat verder geen lokale visie van de gemeente zelf, zoals kernwaarden die richtinggevend zijn. Er is geen specifiek privacybeleid rondom het sociaal domein.

1.2.3 Nunspeet STRATEGISCH INFORMATIEBEVEILIGINGSBELEID 2021-2024 De gemeente Nunspeet beschikt over een ‘Strategisch Informatiebeveiligingsbeleid 2021-2024’. Ook hier is het beleid identiek aan die van de andere in dit onderzoek onderzochte gemeenten. Ook Nunspeet hanteert de BIO als normenkader en de tien principes als bestuurlijke aanvulling op de BIO. Tevens zijn aanvullende bepalingen opgenomen voor SUWI, BRP en PNIK. Ook hier worden verder geen evalueerbare ambities/doelen ten aanzien van de zwaarte van het beveiligingsniveau (BBN1, BBN2, BBN2+ of BBN3) gesteld. Verder wordt er niet gedifferentieerd naar de drie kerncriteria: beschikbaarheid, integriteit en vertrouwelijkheid.

De gemeente heeft een traject gestart om een nieuw informatiebeleid op te stellen. In dit nieuwe beleid wil de gemeente de ambities meer integraal beschrijven. Dat wil zeggen dat er gekeken zal worden naar verbindingen tussen verschillende organisatieonderdelen en een gemeentebrede informatiearchitectuur.9 Daarbij onderzoekt Nunspeet de kansen voor mogelijkheden voor regionale samenwerking op het gebied van informatisering en automatisering. De gemeente Nunspeet beschikt ook over een bewustwordingsplan voor informatiebeveiliging en bescherming van persoonsgegevens. De gemeente beschrijft daarin gebruik te maken van een Bewustwording Management Systeem. Dat systeem omvat: > Een basistraining met een module voor nieuwe medewerkers, een herhalingsmodule voor medewerkers, specifieke modules voor medewerkers die toegang hebben tot Suwinet of een module Privacy. Omdat de voorgaande modules als belastend werden ervaren is de gemeente overgestapt naar een wekelijkse uitvraag; medewerkers ontvangen iedere woensdag een beveiligingsvraag; > De gemeente heeft de mogelijkheid om een mysteryguest-onderzoek uit te voeren. PRIVACYBELEID Het ‘Privacy beleidskader Gemeente Nunspeet 2020-2024’ is voornamelijk procedureel van aard, kernwaarden en uitgangspunten worden niet genoemd. Wel worden gedragsnormen voor het bestuur, directie en proceseigenaren beschreven.

Zo wordt aangegeven dat het college, de directie en proceseigenaren het belang moeten uitdragen van de uitvoering van het privacy beleid. Zij moeten zelf het goede voorbeeld geven en privacy bespreekbaar maken. Bij dillema’s moeten zij de dialoog aangaan met doelgroepen over wie informatie wordt verwerkt. Ook wordt uitgebreid aandacht besteed aan de ‘data protection impact assessment (DPIA)’ en een auditbeleid. De DPIA wordt ingezet om

9

Bron: interviews

Pagina 33

procesplannen op te stellen en passende beheersmaatregelen te nemen voor verbetering van de waarborging van privacy. Het beleid omschrijft de rol en taak van proceseigenaren in relatie tot de procesplannen en hoe zij moeten rapporteren naar de directie over de voortgang. In de gemeente Nunspeet is het verder de ambitie om het privacybeleid het komende jaar te evalueren en geleerde lessen mee te nemen in nieuwe beleid.

1.2.4 Putten STRATEGISCH INFORMATIEBELEID De gemeente Putten werkt sinds begin 2017 onder andere op het terrein van ICT samen met de gemeenten Bunschoten, Leusden en Nijkerk. De gemeente Bunschoten fungeert als gastheergemeente. De gemeente hebben een gezamenlijk informatiebeveiligingsbeleid, het ‘Strategisch gemeentebreed Informatieveiligheidsbeleid’ van maart 2020. Dat beleid is grotendeels identiek aan die van de andere in dit onderzoek onderzochte gemeenten, want ook Putten hanteert de BIO als normenkader en sluit het aan op specifieke wettelijke kaders voor de BRP, SUWI, AVG en PNIK.

In het beleid wordt aandacht gegeven aan het zogeheten ‘Information Security Management System’. Dit is een cyclisch proces dat wordt doorlopen om informatiebeveiliging te borgen. Het bestaat uit vier stappen: > Stap 1: Informatiebeveiligingsbeleid. Eens in de drie jaar wordt een informatiebeveiligingsbeleid opgesteld. Het bevat de uitgangspunten, normen en kaders voor alle gemeentelijke informatieprocessen. > Stap 2: Informatieveiligheidsanalyse. Deze stap richt zich op de implementatie van het beleid, dat start met een veiligheidsanalyse. Alle gegevensverzamelingen en -applicaties worden toegewezen aan een eigenaar en geclassificeerd op risicoklassen ten aanzien van beschikbaarheid, integriteit en vertrouwelijkheid. De basisbeveiligingsniveaus worden vastgesteld. Hierbij geldt dat gemeentebreed het niveau BBN2 wordt gehanteerd, dat ook het landelijke basisniveau is. Wij merken op dat de gemeente Putten hiermee in het beleid een evalueerbaar doel stelt en dit ook differentieert naar de drie kerncriteria beschikbaarheid, integriteit en vertrouwelijkheid. De praktijksituatie wordt getoetst aan de BIO, door het uitvoeren van een risico evaluatie en een GAP-analyse (verschil gewenste en huidige situatie). > Stap 3: Actieplan. Op basis van de veiligheidsanalyse wordt een actieplan opgesteld, waarin geconstateerde risico’s worden voorzien van maatregelen en prioriteiten.

De informatieveiligheidsorganisatie bewaakt de implementatie. > Stap 4: Technische en organisatorische maatregelen. Het gaat hier om het opstellen van procedures en werkinstructies, of opleveren van technische maatregelen, die voortvloeien uit het actieplan. In het beleid van Putten is de werkwijze voor risicomanagement expliciet uitgewerkt in het beleidsplan. Alle gegevensverzamelingen en -applicaties worden toegewezen aan een eigenaar en geclassificeerd op risicoklassen ten aanzien van beschikbaarheid, integriteit en vertrouwelijkheid en de basisbeveiligingsniveaus worden vastgesteld. Hierbij geldt dat gemeentebreed het niveau BBN2 wordt gehanteerd. De praktijksituatie wordt getoetst aan de BIO door het uitvoeren van een risico evaluatie en een GAPanalyse (verschil gewenste en huidige situatie). Op basis van de veiligheidsanalyse wordt een actieplan opgesteld waarin geconstateerde risico’s worden voorzien van maatregelen en prioriteiten en de informatieveiligheidsorganisatie bewaakt de implementatie.

Pagina 34

PRIVACYBELEID Het beleid van de gemeente Putten is beschreven in het ‘Privacybeleid 2020 van de gemeenten Bunschoten, Leusden, Nijkerk en Putten’. Deze gemeenten hebben dus een gezamenlijk beleid. In het beleid worden zes beginselen en vijf principes beschreven voor het handelen van de gemeente.

Zes beginselen 1 Het is inzichtelijk in hoeverre en op welke manier persoonsgegevens worden gebruikt. 2 Het is duidelijk voor welk doel persoonsgegevens worden gebruikt. 3 Er worden niet te veel maar ook niet te weinig persoonsgegevens verwerkt. 4 De gebruikte persoonsgegevens zijn juist en actueel. 5 Persoonsgegevens worden niet langer bewaard dan nodig. 6 Persoonsgegeven worden op een passende manier beveiligd. Vijf principes 1 Wij verwerken vooral voor onze inwoners en medewerkers veel persoonsgegevens waaronder ook bijzondere persoonsgegevens. 2 Wij zijn ons bewust van de maatschappelijke verantwoordelijkheid die dit met zich mee brengt. 3 Wij gaan zorgvuldig en vertrouwelijk om met persoonsgegevens en treffen passende beveiligingsmaatregelen. 4 Wij zijn transparant over het verzamelen, gebruik, opslaan en delen van persoonsgegevens. 5 Wij houden voortdurend rekening met de belangen van mensen bij de verwerking van hun persoonsgegevens. Wij hebben daarbij in het bijzonder oog voor kwetsbare groepen. Wij zoeken daarbij de ruimte op binnen de wettelijke kaders, zeker wanneer de zorg voor onze inwoners hierom vraagt. Wij zetten bij dilemma’s de belangen van onze inwoners centraal en gaan wij proactief het gesprek met hen aan. Bron: Privacybeleid 2020 van de gemeenten Bunschoten, Leusden, Nijkerk en Putten

Pagina 35

2

Uitvoering In dit hoofdstuk worden de deelvragen 3 t/m 7 beantwoord. De lezer die snel zicht wil krijgen op de antwoorden kan de korte beantwoording lezen direct onder het onderstaande kader. De lezer die meer details tot zich wil nemen kan de daarop volgende paragrafen raadplegen waar we uitgebreider ingaan op de verschillende deelvragen. DEELVRAGEN 3 Hoe is het beleid vertaald naar de uitvoering? 4 Wat is de kwaliteit van het proces van informatiehuishouding in relatie tot informatiebeveiliging en waarborging van privacy? > Hoe is het risicomanagement vorm gegeven? > Wordt de kwaliteit van het proces gemonitord, waaronder tenminste de verplichte ENSIA-audit? > Wordt daarover gerapporteerd, aan wie en hoe wordt indien nodig bijgestuurd? 5 Hoe voeren de gemeenten regie op die zaken waarbij de gemeenten samenwerken met anderen op het terrein van informatiehuishouding, informatiebeveiliging en waarborging van privacy? 6 Hoe wordt het beleid vertaald naar structurele en incidentele financiële lasten die gemoeid zijn met de informatiehuishouding, informatiebeveiliging en waarborging van privacy? 7 Wat zijn actuele ontwikkelingen met betrekking tot informatietechnologie, wet- en regelgeving en in hoeverre spelen de gemeenten daarop in? TOEGEPASTE NORMEN

•

• • •

Het beleid is vertaald naar een uitvoerings- en investeringsplan met zicht op: > Het benodigde digitale informatiehuis; > Wat nodig is om informatie te beveiligen en privacy te waarborgen, waaronder een risicoanalyse en beheersmaatregelen. > Evalueerbare uitvoeringsdoelen; > Samenwerking met anderen; > Structurele lasten en investeringen. Er zijn voldoende financiële en personele middelen om het uitvoeringsplan te realiseren, vernieuwingen door te voeren en in te spelen op nieuwe wet- en regelgeving. Het gebruik en de kwaliteit van de informatiehuishouding wordt regelmatig getoetst, alsmede de informatiebeveiliging en waarborging van privacy aan de hand van audits. Op basis daarvan wordt gerapporteerd en vindt indien nodig bijsturing plaats. De gemeente stuurt op samenwerkingsverbanden met oog op samenhang van de informatiehuishouding, informatiebeveiliging en privacy.

Korte beantwoording van de deelvragen 3 Alle gemeenten hebben in hun informatiebeveiligings- en privacybeleid de verschillende functionarissen en rollen beschreven die relevant zijn voor dit beleid. Hierbij sluiten de gemeenten aan op de wet- en regelgeving, waarin deze rollen worden voorgeschreven. Het gaat om de rollen van het college van b&w, de gemeentesecretaris, de Chief Information Security Officer (CISO), de Privacy Officer (PO), de Functionaris Gegevensbescherming (FG) en de proceseigenaren. In alle gemeenten is de invulling van de rol van proceseigenaar echter een zorgpunt. Weliswaar in verschillende mate. Voor proceseigenaren zelf is de rol niet helder en mede door hoge werkdruk komen zij niet toe aan een goede invulling van deze rol.

Pagina 36

4

Meerdere keren geven gemeenten aan dat eerst het huis of de basis op orde moet zijn om verder te kunnen doorgroeien naar een hoger volwassenheidsniveau rondom informatiebeveiliging en waarborging van privacy.10 Enkel de gemeente Putten heeft daarbij expliciet een uitvoeringsdoel gesteld, namelijk dat gemeentebreed het beveiligingsniveau BBN2 van moet worden gerealiseerd. Zoals eerder beschreven is in het beleid van Putten de werkwijze voor risicomanagement expliciet uitgewerkt in het beleidsplan. Alle gemeente zien een cyclus van risicomanagement als belangrijk, maar hebben echter moeite met het daadwerkelijk implementeren van zo’n cyclus op het gebied van informatiebeveiliging en privacy. In alle gemeenten is de invulling van de rol van proceseigenaar een zorgpunt. Voor proceseigenaren is de rol niet helder en mede door hoge werkdruk komen proceseigenaren niet toe aan een goede invulling van deze rol. Alle gemeenten hebben de ENSIA opgenomen in hun beleid als instrument, om periodiek de stand van zaken rondom informatiebeveiliging te evalueren en daarover verticale verantwoording af te leggen aan de toezichthouders van de ministeries die een rol hebben in het toezicht op informatieveiligheid.

Met de ENSIA leggen de gemeenten verantwoording af over informatieveiligheid gebaseerd op de normen die gelden voor de Nederlandse overheid, waaronder de vragenlijsten met betrekking tot de BIO, BAG, BRO, DigiD, BGT en Suwinet. Met een verklaring geven de colleges aan in hoeverre de gemeenten voldoen aan de normen en waar nog verbeterpunten zijn.

5

Er worden verwerkersovereenkomsten afgesloten met verbonden partijen. Met de verwerkersovereenkomsten is toezicht en controle door de gemeenten mogelijk. Het volgende is daartoe opgenomen in de verwerkersovereenkomsten: > De informatiebeveiliging vindt plaats volgens een algemeen erkende overheidsnorm; > De toereikendheid van de informatiebeveiliging blijkt uit eigen controles; Uit de certificering, eigen of externe controles of uit de audits blijkt of kan afgeleid worden dat de beveiliging voldoet. De Omgevingsdienst Noord-Veluwe kwalificeert zichzelf, op basis van advies van de landsadvocaat Pels Rijcken, als verwerker.11 Met de Omgevingsdienst Noord-Veluwe is door de H2O gemeenten reeds in 2017 een verwerkersovereenkomst afgesloten.12 De gemeenten Nunspeet en Elburg hebben dit niet gedaan.13 Van de gemeente Putten hebben de onderzoekers hierover geen stukken ontvangen.

6

10 11 12 13

Alle gemeenten begroten de financiële middelen die nodig zijn voor I&A binnen het programma Bestuur van de programmabegroting. Dit is verder niet gedifferentieerd naar financiële middelen die nodig zijn voor informatiebeveiliging en waarborging van privacy. Uit gesprekken in het kader van dit onderzoek blijkt dit ook ingewikkeld en zelfs niet mogelijk. Ook zijn er bedenkingen bij geïnterviewden of dit wel zinvol is. Tegelijkertijd wordt aangegeven dat investeringen en middelen voor de implementatie van beleid wel nodig zijn. Er wordt aangegeven dat het ook zou helpen om deze zichtbaar te maken om concrete acties en noodzakelijke verbeteringen uit te kunnen voeren.

Bron: interviews Bron: Opdrachtgeversoverleg Omgevingsdienst Noord-Veluwe, 12 januari 2023. Bron: Verwerkersovereenkomst gemeente Oldebroek met ODNV, tevens bruikbaar in H2O verband, april 2017. Bronnen: e-mail van Elburg d.d. 11 december 2023, e-mail van Nunspeet d.d. 8 december 2023.

Pagina 37

7

Alle gemeenten richten zich op wetgeving die al van kracht is. Deze vormen een belangrijk onderdeel van de werkzaamheden van gemeentelijke organisaties, en informatiebeveiliging in het bijzonder. Daar wordt in de beleidsstukken van de gemeenten ook aandacht aan gegeven. Het gaat dan om de impact van de Omgevingswet op de digitale infrastructuur van de gemeenten en de Wet open overheid. Er wordt in beperkte mate ingespeeld op nieuwe ontwikkelingen rondom wetgeving. Geen van de gemeenten kijkt vooruit op de digitale agenda van bijvoorbeeld de Europese Unie, waarvan nog een groot aantal wetten aankomen die ook van toepassing zijn voor de gemeenten. Denk bijvoorbeeld aan NIS2. Hier wordt momenteel nog weinig aandacht aan besteed. De gemeenten besteden verder nog weinig aandacht aan externe ontwikkelingen, zoals: > Het Internet of Things (IoT). Er worden steeds meer apparaten met elkaar verbonden via internet, denk bijvoorbeeld aan camera’s, sensoren die allerlei zaken meten in onze leefomgeving, maar ook geautomatiseerde besturingssystemen van verkeerslichten of bruggen et cetera. De diversiteit en alomtegenwoordigheid van IoT-apparaten maakt ze aantrekkelijke doelwitten voor cyberaanvallen.

Hun onderling verbonden karakter kan tot wijdverbreide kwetsbaarheden leiden; > Artificial Intelligence (AI) en Machine Learning (ML) maken de afgelopen jaren een enorme ontwikkeling door en zal daarmee ook een belangrijke rol spelen in informatiebeveiliging > Tekorten aan ervaren cybersecurity-professionals. Naarmate cyberdreigingen geavanceerder worden, stijgt de vraag naar ervaren cybersecurity-professionals. Er is een groot tekort aan mensen die zijn uitgerust met de noodzakelijke vaardigheden en kennis om deze evoluerende bedreigingen effectief te bestrijden. Dit tekort vormt een risico voor organisaties.

Pagina 38

2.1 Vertaling van beleid naar uitvoering ORGANISATIE ALGEMEEN Alle gemeenten hebben in hun informatiebeveiligings- en privacybeleid de verschillende functionarissen en rollen beschreven die relevant zijn voor dit beleid. Daarmee sluiten de gemeenten aan op de wet- en regelgeving waarin deze rollen worden voorgeschreven. Het gaat om de rollen van het college van b&w, de gemeentesecretaris, de Chief Information Security Officer (CISO), de Privacy Officer (PO), de Functionaris Gegevensbescherming (FG) en de proceseigenaren. De gemeentesecretarissen dragen de ambtelijke eindverantwoordelijkheid voor het functioneren van de bedrijfsvoering van de ambtelijke organisatie als geheel, waaronder de organisatie en processen rondom informatiebeveiliging en waarborging van privacy. Zij rapporteren hiertoe naar de desbetreffende portefeuillehouders van het college, zodat deze politiek en bestuurlijk verantwoording kunnen afleggen aan de raad.

In de onderstaande tabel wordt weergegeven wat de personele formatie per gemeente is voor de CISO, PO en FG. Rol Formatie in FTE, pijldatum 5 maart 2024 Chief Information Security Officer (CISO) Privacy Officer (PO) Functionaris Gegevensbescherming (FG) Tabel 2.1 Personele formatie per gemeente

H2O, Hattem en Oldebroek 1,50 1,50 0,60

Elburg

Nunspeet

Putten

0,89 1,00 0,44

0,33 0,33 0,50

Geen data ontvangen.

ORGANISATIE INFORMATIEBEVEILIGING Binnen alle gemeenten stellen de gemeentesecretarissen het gewenste beveiligingsniveau vast en zij autoriseren de benodigde procedures en beheersingsmaatregelen die nodig zijn om dat beveiligingsniveau te behouden of te realiseren. Om de ambtelijke eindverantwoordelijkheid waar te kunnen maken worden de gemeentesecretarissen ondersteund door een CISO. Voor de H2O-gemeenten zijn daartoe twee CISO’s aangesteld. Dit zijn sleutelfunctionarissen binnen de informatiebeveiligingsorganisatie. In hoofdlijnen bestaat hun rol uit: > Het ontwikkelen en implementeren van het informatiebeveiligingsbeleid. Dat laatste door het opstellen van beveiligings- en verbeterplannen en projectleiders en proceseigenaren de opdracht geven de plannen uit te voeren; > Het toezien op de naleving van dat beleid door onder andere het laten uitvoeren van audits, waaronder de ENSIA-evaluatie; > Het inrichten en voeren van een incidentenregistratiesysteem, oplossen van incidenten en periodieke rapportage over incidenten naar de directie; > Monitoren van de kwaliteit van de beheersing van het informatiebeveiligingsproces als geheel.

Denk aan de kwaliteit van risicoanalyses, eisen die gesteld worden aan de architectuur, maar ook het bewustzijn onder medewerkers; > Invulling geven aan specifieke rollen: Security Officer Suwinet, Algemeen Contactpersoon InformatieBeveiliging (ACIB), Vertrouwens Contactpersoon InformatieBeveiliging (VCIB), coördinator ENSIA, beveiligingsfunctionaris PNIK. PROCESEIGENAREN Managers zijn verantwoordelijk voor de informatiebeveiliging van dat deel van de processen die onder hun sector of afdeling vallen. Dit worden proceseigenaren genoemd. De proceseigenaren rapporteren aan hun gemeentesecretaris over de door hen uitgevoerde informatiebeveiligingsmaatregelen en -activiteiten. In sommige gemeenten zijn proceseigenaren leden van het Management Team (MT), in andere gemeenten zijn het afdelingsmanagers/teamleiders die moeten rapporteren aan het betreffende

Pagina 39

MT-lid. Afstemming met de andere organisatorische eenheden over de inhoudelijke aanpak vindt plaats door het onderwerp informatiebeveiliging te bespreken in het bedrijfsvoeringsoverleg. In alle gemeenten is de invulling van de rol van proceseigenaar een zorgpunt. Voor proceseigenaren zelf is de rol niet altijd helder, of wordt nog niet altijd zo opgepakt, mede door hoge werkdruk komen proceseigenaren niet toe aan een goede invulling van deze rol. ORGANISATIE PRIVACY In alle gemeenten is het college bestuurlijk verantwoordelijk voor de verwerking van persoonsgegevens. In bepaalde gevallen ligt de verantwoordelijkheid bij een specifieke portefeuillehouder. Dat is het geval voor de openbare orde en veiligheid; de burgemeester is dan de verwerkingsverantwoordelijke. De verwerkingsverantwoordelijke moet zich verantwoorden over de omgang met persoonsgegevens en kunnen aantonen dat de AVG nageleefd wordt. Het college geeft de directie (gemeentesecretaris) opdracht om te voorzien in een team van professionals op het terrein van privacy. Dat team bestaat uit de Functionaris Gegevensbescherming (FG), de Privacy Officer (PO), maar ook de Chief Information Security Officer (CISO). De laatste richt zich niet zozeer op de vraag of persoonsgegevens conform de AVG worden verwerkt, maar wel op de beveiliging van deze gegevens.

De Privacy Officer (PO) maakt de gemeente bewust van het belang van privacy. Hij/zij ontwikkelt en bewaakt het privacybeleid en -procedures en geeft advies aan de proceseigenaren over een privacybestendige uitvoering van de processen. De PO kan bij de meer ingewikkelde vraagstukken de Functionaris voor Gegevensbescherming (FG) om advies vragen. De FG is binnen de gemeente de toezichthouder op de naleving van privacywetgeving conform artikel 37-39 AVG en doet in dat kader ook direct verslag aan het college. De FG is tevens aanspreekpunt voor de Autoriteit Persoonsgegevens. Om te borgen dat de privacywet- en regelgeving in elk proces toegepast wordt, werken de gemeenten met proceseigenaren. Het is de bedoeling dat een proceseigenaar de eisen uit de AVG implementeert en beheersmaatregelen neemt als dat nodig is. De proceseigenaar kan daarbij advies vragen bij de PO en/of FG als dat nodig is. Advies over de veiligheid van de gegevens wordt gevraagd bij de CISO (informatieveiligheid). Bijzonderheden: > De H2O-gemeenten en Putten hebben binnen elke organisatorische eenheid een privacyambassadeur aangesteld, met uitzondering van de gemeente Hattem. > Hij/zij vervult deze rol naast zijn/haar andere taken. De privacy-ambassadeur is binnen de eenheid het aanspreekpunt voor vragen over de AVG. Ook stimuleert de privacy-ambassadeur de eenheid om te werken volgens de AVG.

Tot slot helpt de privacy-ambassadeur de eenheid bij het uitvoeren van taken die voortkomen uit de AVG, zoals het invullen van het verwerkingsregister en het opstellen van een verwerkersovereenkomst.

Pagina 40

2.2 Kwaliteit van het proces ALGEMEEN Meerdere keren geven gemeenten aan dat eerst het huis of de basis op orde moet zijn om verder te kunnen doorgroeien naar een hoger volwassenheidsniveau rondom informatiebeveiliging en waarborging van privacy.14 RISICOMANAGEMENT In het beleid van Putten is de risicoanalyse het meest uitgewerkt, zie het voorgaande hoofdstuk. Alle gemeente vinden een cyclus van risicomanagement belangrijk, maar hebben moeite met het daadwerkelijk implementeren van zo’n cyclus op het gebied van informatiebeveiliging en privacy. In grove lijnen gaat het om het in beeld krijgen van risico’s, het inschatten van de zwaarte van risico’s, het maken van een plan met maatregelen om de grootste risico’s te minimaliseren en het uitvoeren van de maatregelen. De eerste stappen van deze cyclus worden uitgevoerd (beleid), maar de rol van proceseigenaar is binnen de gemeenten nog onvoldoende geborgd en helder bij de aangewezen proceseigenaren. CONTROL EN VERANTWOORDING Alle gemeenten hebben de ENSIA in hun beleid opgenomen. De ENSIA werkt als instrument om periodiek de stand van zaken rondom informatiebeveiliging te evalueren en daarover verticale verantwoording af te leggen aan wettelijke toezichthouders die een rol hebben in het toezicht op informatieveiligheid.

Met de ENSIA leggen de gemeenten verantwoording af over informatieveiligheid gebaseerd op de normen die gelden voor de Nederlandse overheid, de BIO. De verantwoording over de informatiebeveiliging komt onder andere in het jaarverslag en in de Collegeverklaring Informatiebeveiliging tot uitdrukking. Met deze verklaring geven de colleges aan in hoeverre de gemeenten voldoen aan de afspraken die gemaakt zijn voor de ENSIA-verantwoording Informatiebeveiliging. Ook worden de eventuele verbetermaatregelen vermeld die de gemeenten gaanuitvoeren.

2.3 Regie op samenwerking Tijdens het onderzoek is gevraagd om voorbeelden van verbonden partijen en private partijen waarmee de gemeenten samenwerken, waaruit blijkt dat gemeenten ook toezicht houden op de informatiebeveiliging en waarborging van privacy bij deze partijen. Denk bijvoorbeeld aan verbonden partijen in het geval de desbetreffende gemeenten verwerkingsverantwoordelijk zijn. Er zijn door de onderzoekers stukken ontvangen waaruit de aandacht voor informatiebeveiliging en privacy blijkt: > De gemeente Oldebroek heeft een verwerkingsovereenkomst afgesloten met de Inclusief Groep NV, ten behoeve van de Wet sociale werkvoorziening. > De Veiligheidsregio Noord- en Oost Gelderland heeft een Strategisch Informatiebeveiligings-beleid en er is een verwerkersovereenkomst afgesloten. > De Omgevingsdienst Noord-Veluwe kwalificeert zichzelf, op basis van advies van de landsadvocaat Pels Rijcken, als verwerker.15 Met de Omgevingsdienst Noord-Veluwe is door de H2O gemeenten reeds in 2017 een verwerkersovereenkomst afgesloten.16 De gemeenten Nunspeet en Elburg hebben dit niet gedaan.17

14 15 16 17

Bron: interviews Bron: Opdrachtgeversoverleg Omgevingsdienst Noord-Veluwe, 12 januari 2023. Bron: Verwerkersovereenkomst gemeente Oldebroek met ODNV, tevens bruikbaar in H2O verband, april 2017. Bronnen: e-mail van Elburg d.d. 11 december 2023, e-mail van Nunspeet d.d. 8 december 2023.

Pagina 41

Met de verwerkersovereenkomsten is toezicht en controle door de gemeenten mogelijk. Het volgende is daartoe opgenomen: > De informatiebeveiliging vindt plaats volgens een algemeen erkende overheidsnorm; > De toereikendheid van de informatiebeveiliging blijkt uit eigen controles of eigen mededelingen; > Uit de certificering of periodieke externe controles of uit de audits of uit de eigen controles blijkt of kan afgeleid worden dat de beveiliging voldoet.

2.4 Financiële middelen Alle gemeenten begroten de financiële middelen die nodig zijn voor I&A binnen het programma Bestuur van de programmabegroting. Dit is verder niet gedifferentieerd naar financiële middelen die nodig zijn voor informatiebeveiliging en waarborging van privacy. Enkel van de gemeente Elburg hebben de onderzoekers een verbijzonderd investeringsplan rondom Informatiebeveiliging ontvangen. Uit gesprekken in het kader van dit onderzoek blijkt het ook ingewikkeld om informatiebeveiliging financieel te verbijzonderen, waarbij bij geïnterviewden ook bedenkingen zijn of dit wel zinvol is. Het probleem ligt niet bij het begroten van de personele lasten. De formatie voor het invullen van de functies - zoals een CISO, PO en GF - is immers bekend, los van de vraag of die formatieomvang voldoende is voor de taken waarvoor de functionarissen zijn aangesteld, dat hebben we in dit onderzoek niet onderzocht. De ingewikkeldheid zit in de infrastructuur, de hardware, de applicaties en de processen. Informatiebeveiliging is daar een integraal onderdeel van. De kosten daarvan zijn dan ook niet eenvoudig te verbijzonderen. Applicaties en softwarelicenties omvatten bijvoorbeeld naast functionaliteit, ook beveiligingseisen. Deze maken onlosmakelijk deel uit van de licentie.

Ook maakt informatiebeveiliging integraal en onlosmakelijk onderdeel uit van de inrichting van de informatiearchitectuur en werkprocessen binnen de gemeenten.

2.5 Actuele ontwikkelingen en trends WETSWIJZIGINGEN

De voorbereiding en implementatie van wetswijzigingen vormen een belangrijk onderdeel van de werkzaamheden van gemeentelijke organisaties, en informatiebeveiliging in het bijzonder. Daar wordt in de beleidsstukken van de gemeenten ook aandacht aan gegeven. > De Omgevingswet integreert 26 wetten op het gebied van de fysieke leefomgeving, met als doel de regels voor ruimtelijke ordening te vereenvoudigen en samen te voegen. De wet is recent in werking getreden en heeft een grote impact op de digitale infrastructuur van de gemeenten; > De Wet open overheid (Woo) heeft als doel overheidsorganisaties transparanter te maken. De Woo verplicht gemeenten om de informatiehuishouding op orde te brengen en hun digitale overheidsinformatie duurzaam toegankelijk te maken en te houden. Actief openbaar maken van documenten in specifieke informatiecategorieën is een andere vereiste van de Woo. Het is de bedoeling dat alle bestuursorganen en uitvoeringsorganisaties hun openbare informatie koppelen aan het Platform Open Overheidsinformatie (PLOOI), zodat iedere inwoner van Nederland alle overheidsinformatie via die plek kan vinden. Deze verplichting geldt onder andere voor raads- en bestuursstukken en Wob/Woo-verzoeken. PLOOI bevat dan een verwijsindex en een zoekfunctie. > De Wet Hergebruik Overheidsinformatie (Who).

Deze wet is bedoeld om de openheid en het hergebruik van gegevens, die door organisaties met een publieke taak worden beheerd, te verbeteren. Personen kunnen, volgens de Who, een verzoek indienen om hergebruik van informatie mogelijk te maken. Als deze informatie vervolgens geleverd wordt, moet deze in een open en machine leesbaar formaat aangeboden worden. > De Wet Digitale Overheid. Deze wet regelt dat Nederlandse burgers en bedrijven veilig en betrouwbaar kunnen inloggen bij de (semi-)overheid. Daarmee wordt bedoeld dat burgers elektronische identificatiemiddelen krijgen met een substantiële of hoge mate van betrouwbaarheid.

Pagina 42

>

>

>

De Wet Elektronische Publicaties. Met deze wet wil de overheid de toegankelijkheid van (voorgenomen) overheidsbesluiten vergroten door alle wettelijk voorgeschreven bekendmakingen, mededelingen en kennisgevingen van (voorgenomen) besluiten die niet tot een of meer belanghebbenden zijn gericht, te publiceren in de officiële elektronische publicatiebladen van de openbare lichamen waartoe de bestuursorganen behoren. Daarbij dienen deze publicatiebladen op gestandaardiseerde wijze te worden gepubliceerd op www.officielebekendmakingen.nl. Door deze standaardisatie wordt het voor burgers mogelijk om op één website alle algemene bekendmakingen, mededelingen en kennisgevingen van de overheid te raadplegen. De Wet Modernisering Elektronisch en Bestuurlijk Verkeer. Het wetsvoorstel geeft de burger recht om elektronisch berichten aan een bestuursorgaan te zenden op een door het bestuursorgaan bepaalde wijze. De NIS2-richtlijn (Network and Information Security directive) is de opvolger van de NIS-richtlijn. Deze is vastgesteld door de Europese Unie en bedoeld om de cyberbeveiliging en de weerbaarheid van essentiële diensten in EU-lidstaten te verbeteren. De NIS2 vergroot de reikwijdte van de eerste richtlijn door meer sectoren te omvatten. Daarnaast stelt de richtlijn strengere beveiligingsnormen en meldingsvereisten voor incidenten.

De NIS2 wordt momenteel naar Nederlandse wetgeving vertaald.

COMMON GROUND18

Common Ground is een informatiekundige visie waarmee gemeenten collectief de informatievoorziening eenvoudiger, flexibeler en slimmer gaan inrichten. Het doel van Common Ground is het sneller en slimmer oplossen van maatschappelijke opgaven en het terugwinnen van de controle over de eigen gegevens. Het is een VNG-initiatief dat is ontstaan vanuit de behoefte aan een nieuwe, moderne en gezamenlijke informatievoorziening voor gemeenten. Dit moet het mogelijk maken om snel en flexibel te vernieuwen, te voldoen aan privacywetgeving en efficiënt om te gaan met data. Het draait om een structurele hervorming van de gemeentelijke informatievoorziening, waarbij gegevens uniform worden gemaakt, gegevens via API's worden opgehaald en er met één gemeenschappelijke integratielaag wordt gewerkt. Een API (Application Programming Interface) is een softwareverbinding die het mogelijk maakt dat twee of meer applicaties met elkaar kunnen communiceren. Dit leidt tot een transitie die grondig moet worden voorbereid en waarvoor een nieuwe visie op gegevensmanagement nodig is. Nieuwe Common Ground-applicaties zullen gaan draaien op een gestandaardiseerd platform genaamd Haven. INTERNET OF THINGS (IOT) In de beleidsstukken van de vijf gemeenten wordt geen aandacht gegeven aan IoT.

Er worden steeds meer apparaten met elkaar verbonden via internet, denk bijvoorbeeld aan camera’s, sensoren die allerlei zaken meten in onze leefomgeving maar ook geautomatiseerde besturingssystemen van verkeerslichten of bruggen et cetera. De diversiteit en alomtegenwoordigheid van IoT-apparaten maakt ze aantrekkelijke doelwitten voor cyberaanvallen, en hun onderling verbonden karakter kan tot wijdverbreide kwetsbaarheden leiden. KLOOF IN CYBERSECURITYVAARDIGHEDEN EN ONDERWIJS In de beleidsstukken van de vijf gemeenten wordt geen aandacht gegeven aan het tekort aan cybersecurityprofessionals.

18

Bron: https://vng.nl/artikelen/common-ground

Pagina 43

Naarmate cyberdreigingen geavanceerder worden, stijgt de vraag naar ervaren cybersecurityprofessionals. Er is echter een groot tekort aan mensen die zijn uitgerust met de noodzakelijke vaardigheden en kennis om deze evoluerende bedreigingen effectief te bestrijden. Deze kloof vormt een risico voor organisaties. Uit de ambtelijke verificatie van het conceptrapport van bevindingen geeft de gemeente Oldebroek overigens aan geen tekort te hebben aan cybersecurityprofessionals. KUNSTMATIGE INTELLIGENTIE, ARTIFICIAL INTELLIGENCE (AI) In het strategisch informatiebeveiligingsbeleid H2O wordt (summier) aandacht gegeven aan AI. In de beleidsstukken van de andere gemeenten niet.

AI en Machine Learning (ML) maken de afgelopen jaren een enorme ontwikkeling door en zal daarmee ook een belangrijke rol spelen in informatiebeveiliging. Bijvoorbeeld: > Data-analysemogelijkheden van AI kunnen worden gebruikt voor het identificeren en voorspellen van cyberdreigingen; > ML-algoritmen zullen in staat zijn nieuwe dreigingen te herkennen en erop te reageren, waardoor defensieve maatregelen steeds verder worden verbeterd; > ML zal waarschijnlijk ook vooruitgang boeken bij het autonoom aanpassen en bijwerken van cybersecurityprotocollen, waardoor de afhankelijkheid van handmatige updates wordt verminderd; > Mogelijk zullen in de toekomst AI-gestuurde securitybots worden geprogrammeerd om onafhankelijk cyberdreigingen te identificeren en te neutraliseren. Informatiebeveiliging wordt daarmee minder reactief en meer proactief.

Pagina 44

3

Sturing door de raad In dit hoofdstuk worden de deelvragen 8 en 9 beantwoord. In afwijking met de voorgaande hoofdstukken geven we geen korte beantwoording direct onder het onderstaande kader. De deelvragen kunnen namelijk al redelijk kort worden beantwoord in de paragrafen van dit hoofdstuk. DEELVRAGEN 8 Hoe en met welke informatie worden de raden door het college in positie gebracht om hun kaderstellende rol uit te kunnen oefenen? 9 Hoe en met welke informatie worden de raden door de colleges in positie gebracht om hun controlerende rol uit te kunnen oefenen? TOEGEPASTE NORMEN • De raad stelt het beleid vast (doelen en kaders) en controleert (tussentijds) de mate waarin doelen binnen de kaders worden gerealiseerd. • De raad wordt hiertoe door het college met voldoende informatie in positie gebracht.

3.1 Bevoegdheden van de raad en het college De raden hebben ten aanzien van informatiebeveiliging en privacy geen kaderstellende rol. Dit valt geheel binnen de bevoegdheid van het college. Het college gaat immers over de bedrijfsvoering van de gemeente. Daarbij is ten aanzien van de onderwerpen informatiebeveiliging en privacy de speelruimte van het college gering. Het beleid wordt namelijk voornamelijk bepaald door Nationale en Europese wet- en regelgeving. Het college is wel bestuurlijk eindverantwoordelijk voor de informatieveiligheid en privacy van haar gemeente. Het college stelt dan ook het informatiebeveiligings- en privacybeleid vast. Het college legt verantwoording af over het gevoerde beleid. Er is sprake van een verticaal verantwoordingsproces van het college aan toezichthouders die een rol hebben in het toezicht op informatieveiligheid. Bij het afleggen van verantwoording wordt het principe toegepast dat alle informatie die noodzakelijk is voor verticale verantwoording ook onderdeel is van het horizontale verantwoordingsproces. Met dat laatste heeft de raad een controlerende rol; we lichten de rolinvulling van de verschillende raden hieronder verder toe.

3.2 Rolinvulling door de raden in de praktijk Uit gesprekken met een afvaardiging van de raden is een beeld gevormd hoe raden hun controlerende rol in de praktijk invullen. De raden ontvangen van het college jaarlijks de rapportages uit evaluaties en audits rondom informatiebeveiliging en privacy. Hiermee zouden de raden in staat moeten zijn om de controlerende rol richting het college in te vullen. Over het algemeen geven raden aan de invulling van deze rol moeilijk te vinden. Zij zien informatiebeveiliging en privacy vooral als een randvoorwaardelijke zaak waarbij geen politieke keuzes spelen. Er is dan ook nauwelijks raadsaandacht voor deze onderwerpen. Het hang sterk af van de kennis en interesse van individuele raadsleden of er vragen aan het college worden gesteld. We lichten dit hieronder verder toe per gemeente. Rol van de raad (Elburg) De Elburgse gemeenteraad heeft voornamelijk een controlerende en toetsende rol. Deze rol is (op het gebied van informatiebeveiliging) ook concreet vastgelegd in het informatie-beveiligingsbeleid. In de

Pagina 45

praktijk blijkt het afhankelijk van de kennis en interesse van een raadslid of ook daadwerkelijk inhoudelijke vragen over dit onderwerp wordt gesteld. Rol van de raad (Hattem) Voor de Hattemse raad is het technische gehalte van de informatie, als het gaat over ICT en informatiebeveiliging, te hoog. Hierdoor haken raadsleden af en is er onvoldoende collectieve aandacht vanuit de raad voor informatiebeveiliging. Dat blijkt onder andere ook uit de matige interesse voor informatiebijeenkomsten over dit onderwerp. Zo is er ten behoeve van dit onderzoek een informatiesessie aangeboden, maar deze is inmiddels vier keer uitgesteld. Rol van de raad (Nunspeet) De Nunspeetse raad wordt door het college in ruime mate geïnformeerd. Er worden volgens raadsleden veel stukken ter informatie naar de raad gestuurd. Wanneer een raadslid additionele informatie zou willen over een bepaald onderwerp, dan wordt deze een maand later op de agenda gezet. De raad vult de controlerende rol in door vragen te stellen aan het college. In een gesprek in het kader van dit onderzoek geven raadsleden aan dat meer bewustwording bij raadsleden over informatiebeveiliging nodig en zinvol is. Zowel in positieve zin (wat levert ICT op en wat zijn de mogelijkheden?) en in negatieve zin (wat zijn de gevaren en belemmeringen?).

Rol van de raad (Putten) De controlerende rol van de Puttense raad op het gebied van informatiebeveiliging en privacy moet binnen de gemeente nog goed vorm gegeven worden. Dat is ook gaande. Zo is er is een handreiking ‘Gemeenten en privacy: wat kunt u als raadslid doen?’, dat is gedeeld met de raad. De Functionaris Gegevensbescherming heeft ook contact gehad met de griffiers om te bespreken op welke wijze de raad meer betrokken kan worden. Sinds vorig jaar is er meer inhoudelijke belangstelling voor informatiebeveiliging en privacy omdat er raadsleden zijn die hier interesse in hebben. Er is aandacht gevraagd voor informatiebeveiliging, een motie hierover is aangenomen en extra budget is beschikbaar gesteld. Rol van de raad (Oldebroek) De Oldebroekse gemeenteraad heeft vooral een controlerende rol. De raad doet dit op het niveau van de gemeentelijke begroting en de jaarrekening. De onderwerpen informatievoorziening, -beveiliging en privacy spelen daarbij geen grote rol. Voor de raad zijn dit randvoorwaardelijke zaken en er spelen geen politieke vraagstukken op dit terrein.