Collegevoorstel ENSIA 2020 (DigiD, Suwinet, BAG, BGT en BRO)

Collegevoorstel

Onderwerp

Verklaring ENSIA 2020 (DigiD, Suwinet, BAG, BGT en BRO)

Zaaknummer

24008-2021

B&W vergadering

6 april 2021

Integrale advisering

Eric Grotenhuis (Informatieveiligheid en DigiD), Gert Jan Kikkert (Suwinet), Janneke Oosterveen (Suwinet), Wilco Bisschop (BAG, BGT en BRO)

Portefeuillehouder

Dhr. M.P. (Martijn) Dadema

Voor informatie

Hans Scholtheis

Bestuurssamenvatting

Jaarlijks moeten de DOWR gemeenten verantwoording afleggen over informatieveiligheid aan de toezichthouders (ministeries van BZK, SZW en I&M) en aan de gemeenteraden. De gemeente Raalte heeft hiervoor in DOWR-verband in 2017 ENSIA ingevoerd wat staat voor eenmalige informatieverstrekking en een eenmalige IT-audit voor verschillende onderdelen binnen informatieveiligheid. Aan de hand van een collegeverklaring wordt door iedere gemeente over de ENSIA domeinen verantwoording afgelegd over informatiebeveiliging voor DigiD en Suwinet. Deze verklaring gaat over de onderdelen van de ENSIA systematiek waarover zogenaamde “assurance” wordt gevraagd van een onafhankelijke IT auditor. De IT-auditor verklaart in het Assurance rapport dat de collegeverklaring een getrouw beeld geeft. Daarnaast zijn aan de hand van de jaarlijkse zelfevaluatie Basisregistratie Adressen en Gebouwen (BAG), de Basisregistratie Grootschalige Topografie (BGT) en de Basisregistratie Ondergrond (BRO) verantwoordingsrapportages opgesteld. Met het vaststellen van de verantwoordingsrapportages legt het college horizontaal verantwoording af aan de gemeenteraad over de uitvoering van de Wet BAG, de Wet BGT en de Wet BRO. Verticaal legt zij verantwoording af aan het Ministerie van Infrastructuur en Milieu, als formeel toezichthouder van de drie genoemde registraties.

Beslispunten 1. 2. 3. 4. 5.

Een collegeverklaring ENSIA 2020 inzake Informatiebeveiliging DigiD en Suwinet af te geven; De verantwoordingsrapportages over de BAG, BGT en BRO vast te stellen; De raad te informeren over de verklaring en de verantwoordingsrapportages ter kennisname aan te bieden; De auditor over het afgeven van de verklaring een bevestiging te sturen; De vastgestelde verantwoordingsrapportages BAG, BGT en BRO te sturen naar de centrale database van ENSIA.

Besluit

1

Collegevoorstel

Inleiding

De gemeente Raalte heeft voor haar informatieveiligheid in DOWR-verband in 2017 ENSIA ingevoerd. Het doel van ENSIA is om verantwoording over informatieveiligheid af te leggen aan de gemeenteraad. ENSIA staat voor Eenduidige Normatiek Single Information Audit en betekent eenmalige informatieverstrekking en eenmalige IT-audit. ENSIA sluit aan op de gemeentelijke planning en controlcyclus voor informatiebeveiliging, neemt de Baseline Informatiebeveiliging Overheden (BIO) als uitgangspunt en maakt gebruik van een daarop ingerichte zelfevaluatie. Hierdoor heeft het gemeentebestuur meer overzicht over de informatiebeveiliging van de gemeente en kan het bestuur beter sturen en verantwoording afleggen aan de gemeenteraad en andere belanghebbenden. Zo structureert ENSIA ook de zogenaamde verticale verantwoording van gemeenten richting de Rijksoverheid over de Basisregistratie Personen (BRP), Paspoortuitvoeringsregeling Nederland (PUN), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO) en de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet). Gerelateerd collegebesluit In februari is een ander collegebesluit genomen met betrekking tot de BRP. Dit besluit is van een andere aard dan het voorliggende collegevoorstel.

Het collegebesluit van 9 februari 2021 over de Basisregistratie Personen (BRP) betreft de vaststelling van de zelfevaluatie die jaarlijks verplicht is uit te voeren op grond van artikel 4.3 van de ‘Wet basisregistratie personen’. Die staat los van de audit voor DigiD en Suwinet waar voorliggend collegevoorstel over gaat.

Beoogd effect

Het effect dat is beoogd met dit voorstel is dat de toezichthoudende organisaties (Logius en BKWI) de verklaring toetsen aan de normen en zij concluderen dat de gemeente Raalte voldoet aan deze normen.

Argumenten

1.1 De situatie in de gemeente Raalte voor wat betreft informatieveiligheid geeft voldoende aanleiding om een positieve collegeverklaring ENSIA af te geven Deze verklaring betreft de onderdelen van de ENSIA systematiek waarover zogenaamde assurance wordt gevraagd van een onafhankelijke IT auditor. Voor het jaar 2020 betreft dit DigID en Suwinet (zie bijlage 1). De verklaring omvat het op 31 december 2020 in opzet en bestaan voldoen van de beheersingsmaatregelen aan de geselecteerde normen over DigiD en Suwinet. Het college verklaart dat bij gemeente Raalte op 31 december 2020 de beheersingsmaatregelen (in opzet en bestaan) voldoen aan de geselecteerde normen over Suwinet. Het college verklaart dat voor DigiD aan 1 norm niet wordt voldaan. Wij hebben een verbeterplan opgesteld om aan alle normen te voldoen, de acties zijn belegd en worden gemonitord. Naar verwachting is de verbetermaatregel eind april 2021 uitgevoerd en voldoet de gemeente Raalte alsnog voor 100% aan de norm. 1.2 Het Assurance rapport ondersteunt de correctheid van de verklaring Een bij de NOREA geregistreerde IT-auditor controleert de Collegeverklaring en stelt een Assurance rapport op. Deze werkzaamheden van de IT-auditor duiden we ook wel aan als de IT-audit. De IT-auditor verklaart in het Assurance rapport dat de Collegeverklaring een getrouw beeld geeft.

Getrouw betekent dat de collegeverklaring met een redelijke mate van zekerheid juist en volledig is. Deze verklaring van getrouwheid geeft aanvullende zekerheid over de juistheid en volledigheid van de Collegeverklaring. Het assurancerapport is bijgevoegd(zie bijlage 2). 2.1 Raalte scoort een voldoende op de Basisregistratie Adressen en Gebouwen (BAG)

2

Collegevoorstel

De Basisregistratie Adressen en Gebouwen (BAG) bevat gegevens van alle adressen en gebouwen in Nederland en is onderdeel van het overheidsstelsel van basisregistraties. Gemeenten zijn bronhouders van de BAG. Zij zijn verantwoordelijk voor het opnemen van de gegevens in de BAG en voor de kwaliteit ervan. Alle gemeenten stellen gegevens over adressen en gebouwen centraal beschikbaar via de Landelijke Voorziening (BAGLV). Het Kadaster beheert de BAGLV en stelt de gegevens beschikbaar aan de diverse afnemers. Voor de zelfevaluatie (zie bijlage 3) is getoetst op de onderdelen ‘Borging proces’, ‘Tijdigheid’, ‘Volledigheid’ en ‘Juistheid’. Uit de toetsing blijkt dat de Gemeente Raalte een totaalscore van 80% heeft behaald. De minimale norm bedraagt 75%. Uit de rapportage komen verbeterpunten naar voren; het tijdig verwerken van de definitieve geometrie (het doen van landmetingen en deze als punten, lijnen en vlakken in de digitale kaart verwerken) is nog steeds een knelpunt maar is verbeterd t.o.v. 2019. Ook de objecten die op ‘in onderzoek’ staan, zijn niet tijdig afgehandeld. Dit zie je terug in de resultaten ten aanzien van de ‘borging van het proces’ en de ‘tijdigheid’. In de rapportage zijn de verbetermaatregelen beschreven waarvan een groot deel reeds is uitgevoerd. Het gaat daarbij om afspraken met de landmeter en de samenwerking met de Omgevingsdienst IJsselland.

2.2 Raalte scoort een voldoende op de Basisregistratie Grootschalige Topografie (BGT) De Basisregistratie Grootschalige Topografie (BGT) is een gedetailleerde (in vaktaal: grootschalige) digitale kaart van heel Nederland. Daarin worden alle objecten als gebouwen, wegen, water, spoorlijnen en groen op een eenduidige manier vastgelegd. De BGT is een belangrijk onderdeel van het stelsel van basisregistraties en maakt eenmalig inwinnen en meervoudig gebruik mogelijk. Door de gegevens in de BGT eenduidig op te slaan, zijn ze herbruikbaar voor alle overheidsorganisaties die deze gegevens nodig hebben. Voor de zelfevaluatie (zie bijlage 4) is getoetst op de onderdelen ‘Borging proces’, ‘Tijdigheid’, ‘Volledigheid’ en ‘Juistheid’. Uit de toetsing blijkt dat de Gemeente Raalte een totaalscore van 100% heeft behaald. De minimale norm bedraagt 75%. Op grond hiervan is geconcludeerd dat verbetermaatregelen niet van toepassing zijn. 2.3 Raalte scoort een voldoende op de Basisregistratie Ondergrond (BRO) De Basisregistratie Ondergrond (BRO) maakt net als de BAG en BGT onderdeel uit van het stelsel van basisregistraties. Met dit stelsel verbetert de overheid haar dienstverlening door belangrijke gegevens over onder andere personen, bedrijven, gebouwen en de ondergrond binnen de overheid te delen.

De gegevens over de ondergrond worden voortaan op één plek beheerd en beschikbaar gesteld, waarna ze veelvuldig gebruikt kunnen worden. Met de BRO ontstaat er eenduidigheid in opslag en uitwisseling van ondergrondgegevens. In het derde kwartaal van 2019 heeft Raalte het bronhouderportaal van de BRO in gebruik genomen. Het beheer van en dus ook de verantwoording voor de BRO is dus nieuw voor Raalte. Daarom is in 2020 een processenhandboek opgesteld en in gebruik genomen. Voor de zelfevaluatie (zie bijlage 5) is getoetst op de onderdelen ‘Borging proces’, ‘Tijdigheid’, ‘Volledigheid’ en ‘Juistheid’. Uit de toetsing blijkt dat de Gemeente Raalte een totaalscore van 63% behaald heeft. De minimale norm bedraagt 60%. Met name op het onderdeel ‘Borging proces’ is de score onvoldoende. Voorname oorzaak is de achtervang (vervanging bij afwezigheid) die nog niet afdoende is geregeld. Dit wordt binnen de DOWRsamenwerking georganiseerd. In vier jaar tijd, verdeeld over vier tranches wordt de BRO gevuld met verschillende ondergrondgegevens. De eerste tranche is uitgevoerd. Vanwege de Coronacrisis en andere factoren is de vulling in het kader van de tweede tranche nog niet uitgevoerd. Dit wordt alsnog in 2021 gedaan.

3.1 Door de raad te informeren wordt verantwoording afgelegd over de informatieveiligheid 4.1 Ter afronding van de procedure dient de IT-auditor een bevestiging van de verklaring te krijgen De ENSIA coördinator van Raalte stuurt een bevestiging aan de IT-auditor dat de verklaring is afgelegd. 5.1 Met het opsturen van de verantwoordingsrapportages BAG, BGT en BRO naar Ministerie van Binnenlandse Zaken en Koninkrijkrelaties vindt de verticale verantwoording plaats 3

Collegevoorstel

Duurzaamheid

Niet van toepassing.

Kanttekeningen

Er zijn geen kanttekeningen.

Financiën

Het besluit heeft geen financiële consequenties.

Vervolg

De verklaring wordt opgestuurd naar de VNG. De VNG stuurt vervolgens de verklaring van DigiD naar Logius, toezichthouder namens het Ministerie van Binnenlandse Zaken, en de verklaring van Suwinet naar BKWI, toezichthouder namens het Ministerie van Sociale Zaken en Werkgelegenheid. De verantwoordingsrapportages BAG, BGT en BRO worden opgestuurd naar het Ministerie van Binnenlandse Zaken en Koninkrijkrelaties.

Communicatie

Andere communicatie dan richting de VNG en het Ministerie is niet noodzakelijk.

Bijlagen Bijlage Bijlage Bijlage Bijlage Bijlage

1. Collegeverklaring DigiD en Suwinet Raalte 2. Assurancerapport ENSIA 2020 3. Verantwoordingsrapportage BAG 4. Verantwoordingsrapportage BGT 5. Verantwoordingsrapportage BRO

4