Collegevoorstel ENSIA 2021

Collegevoorstel

Onderwerp

Verklaring ENSIA 2021 (DigiD, Suwinet, WOZ, BAG, BGT en BRO)

Zaaknummer

21371-2022

B&W vergadering

5 april 2022

Integrale advisering

Eric Grotenhuis (Informatieveiligheid en DigiD), Gert Jan Kikkert (Suwinet), Janneke Oosterveen (Suwinet), Wilco Bisschop (BAG, BGT en BRO), Giovanni Curtu (WOZ)

Portefeuillehouder

Dhr. M.P. (Martijn) Dadema

Voor informatie

Hans Scholtheis

Bestuurssamenvatting Jaarlijks moeten de DOWR gemeenten verantwoording afleggen over informatieveiligheid aan de toezichthouders (ministeries van BZK, SZW en I&M) en aan de gemeenteraden. De gemeente Raalte heeft hiervoor in DOWR-verband in 2017 ENSIA ingevoerd wat staat voor eenmalige informatieverstrekking en een eenmalige IT-audit voor verschillende onderdelen binnen informatieveiligheid. Met een collegeverklaring wordt door iedere gemeente over de ENSIA-domeinen verantwoording afgelegd over informatiebeveiliging voor DigiD en Suwinet. Deze verklaring betreft de onderdelen (DigiD en Suwinet) waarover “assurance” wordt gevraagd van een onafhankelijke IT-auditor. De IT-auditor verklaart in het Assurance rapport dat de collegeverklaring een getrouw beeld geeft. Dit gaat naar Binnenlandse Zaken en Sociale Zaken en Werkgelegenheid. Met de jaarlijkse zelfevaluatie BAG, BGT en BRO zijn verantwoordingsrapportages opgesteld. Met het vaststellen van deze verantwoordingsrapportages wordt horizontaal verantwoording afgelegd aan de gemeenteraad. Verticaal wordt verantwoording afgelegd aan het Ministerie van Binnenlandse zaken, als formeel toezichthouder van de drie genoemde registraties. De zelfevaluatie WOZ is dit jaar nieuw.

Hiervoor wordt horizontaal verantwoording aan de gemeenteraad afgelegd en verticaal aan het Ministerie van Financiën, als formeel toezichthouder van de genoemde registratie.

Beslispunten 1. 2. 3. 4. 5.

Een collegeverklaring ENSIA 2021 inzake Informatiebeveiliging DigiD en Suwinet af te geven; De verantwoordingsrapportages over de BAG, BGT, BRO en WOZ vast te stellen; De raad te informeren over de collegeverklaring ENSIA 2021 en de verantwoordingsrapportages ter kennisname aan te bieden door toezending van het collegebesluit; De auditor over het afgeven van de verklaring een bevestiging te sturen; De vastgestelde verantwoordingsrapportages BAG, BGT, BRO en WOZ te sturen naar de centrale database van ENSIA.

1

Collegevoorstel

Besluit

Inleiding De gemeente Raalte heeft voor haar informatieveiligheid in DOWR-verband in 2017 ENSIA ingevoerd. Het doel van ENSIA is om verantwoording over informatieveiligheid af te leggen aan de gemeenteraad. ENSIA staat voor Eenduidige Normatiek Single Information Audit en betekent eenmalige informatieverstrekking en eenmalige IT-audit. ENSIA sluit aan op de gemeentelijke planning en controlcyclus voor informatiebeveiliging, neemt de Baseline Informatiebeveiliging Overheden (BIO) als uitgangspunt en maakt gebruik van een daarop ingerichte zelfevaluatie. Hierdoor heeft het gemeentebestuur meer overzicht over de informatiebeveiliging van de gemeente en kan het bestuur beter sturen en verantwoording afleggen aan de gemeenteraad en andere belanghebbenden. Zo structureert ENSIA ook de zogenaamde verticale verantwoording van gemeenten richting de Rijksoverheid over de Basisregistratie Personen (BRP), Paspoortuitvoeringsregeling Nederland (PUN), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), Waardering Onroerend Zaken (WOZ) en de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet). Gerelateerd collegebesluit In februari 2022 is een ander collegebesluit genomen met betrekking tot de BRP.

Dit besluit is van een andere aard dan het voorliggende collegevoorstel. Het collegebesluit van 15 februari 2022 over de Basisregistratie Personen (BRP) betreft de vaststelling van de zelfevaluatie die jaarlijks verplicht is uit te voeren op grond van artikel 4.3 van de ‘Wet basisregistratie personen’. Die staat los van de audit voor DigiD en Suwinet waar voorliggend collegevoorstel over gaat.

Beoogd effect Het effect dat is beoogd met dit voorstel is dat de toezichthoudende organisaties (Logius en BKWI) de verklaring toetsen aan de normen en zij concluderen dat de gemeente Raalte voldoet aan deze normen.

Argumenten 1.1 De situatie in de gemeente Raalte voor wat betreft informatieveiligheid geeft voldoende aanleiding om een positieve collegeverklaring ENSIA af te geven Deze verklaring betreft de onderdelen van de ENSIA systematiek waarover zogenaamde assurance wordt gevraagd van een onafhankelijke IT auditor. Voor het jaar 2021 betreft dit DigID en Suwinet (zie bijlage 1). Het college verklaart dat bij de gemeente Gemeente Raalte op 31 december 2021 de beheersingsmaatregelen (in opzet en bestaan) voldoen aan de geselecteerde normen over DigiD en Suwinet.

2

Collegevoorstel

1.2 Het Assurance rapport ondersteunt de correctheid van de verklaring Een bij de NOREA geregistreerde IT-auditor controleert de Collegeverklaring en stelt een Assurance rapport op. Deze werkzaamheden van de IT-auditor duiden we ook wel aan als de IT-audit. De IT-auditor verklaart in het Assurance rapport dat de Collegeverklaring een getrouw beeld geeft. Getrouw betekent dat de collegeverklaring met een redelijke mate van zekerheid juist en volledig is. Deze verklaring van getrouwheid geeft aanvullende zekerheid over de juistheid en volledigheid van de Collegeverklaring. Het assurancerapport is bijgevoegd(zie bijlage 2).

2.1 De gemeente Raalte scoort een voldoende op de Basisregistratie Adressen en Gebouwen (BAG) De Basisregistratie Adressen en Gebouwen (BAG) bevat gegevens van alle adressen en gebouwen in Nederland en is onderdeel van het overheidsstelsel van basisregistraties. Gemeenten zijn bronhouders van de BAG. Zij zijn verantwoordelijk voor het opnemen van de gegevens in de BAG en voor de kwaliteit ervan. Alle gemeenten stellen gegevens over adressen en gebouwen centraal beschikbaar via de Landelijke Voorziening (BAGLV). Het Kadaster beheert de BAGLV en stelt de gegevens beschikbaar aan de diverse afnemers. Uit de toetsing (zie bijlage 3) blijkt dat de Gemeente Raalte een totaalscore van 85% heeft behaald. De minimale norm bedraagt 75%. Ondanks de goede score komen uit de rapportage toch verbeterpunten naar voren. Deze richten zich op het proces omtrent sloopmeldingen en op het tijdig verwerken van de definitieve geometrie (het doen van landmetingen en deze als punten, lijnen en vlakken in de digitale kaart verwerken). De BAG-coördinator ziet toe op een verdere verbetering van deze processen.

2.2 De gemeente Raalte scoort een voldoende op de Basisregistratie Grootschalige Topografie (BGT) De Basisregistratie Grootschalige Topografie (BGT) is een gedetailleerde (in vaktaal: grootschalige) digitale kaart van heel Nederland. Daarin worden alle objecten als gebouwen, wegen, water, spoorlijnen en groen op een eenduidige manier vastgelegd. De BGT is een belangrijk onderdeel van het stelsel van basisregistraties en maakt eenmalig inwinnen en meervoudig gebruik mogelijk. Door de gegevens in de BGT eenduidig op te slaan, zijn ze herbruikbaar voor alle overheidsorganisaties die deze gegevens nodig hebben. Uit de toetsing (zie bijlage 3) blijkt dat de Gemeente Raalte een totaalscore van 85% heeft behaald. De minimale norm bedraagt 75% dus er is sprake van een ruime voldoende. Vergeleken met 2020 is er echter een stap terug gedaan. Op grond hiervan is daarom geconcludeerd dat verbetermaatregelen gewenst zijn. Deze maatregelen zijn reeds ingezet en richten zich op het tijdig beantwoorden van terugmeldingen en het verhogen van de kwaliteit van de gegevens.

2.3 De gemeente Raalte scoort een onvoldoende op de Basisregistratie Ondergrond (BRO) De Basisregistratie Ondergrond (BRO) maakt net als de BAG en BGT onderdeel uit van het stelsel van basisregistraties. Met dit stelsel verbetert de overheid haar dienstverlening door belangrijke gegevens over onder andere personen, bedrijven, gebouwen en de ondergrond binnen de overheid te delen. De gegevens over de ondergrond worden voortaan op één plek beheerd en beschikbaar gesteld, waarna ze veelvuldig gebruikt kunnen worden. Met de BRO ontstaat er eenduidigheid in opslag en uitwisseling van ondergrondgegevens. Uit de toetsing (zie bijlage 3) blijkt dat de Gemeente Raalte een totaalscore van 38% behaald heeft. De minimale norm bedraagt 60% dus er is sprake van een onvoldoende. Er is hiervoor een aantal oorzaken aan te wijzen. Ten eerste is de werkdruk bij de BRO-coördinator in het afgelopen jaar zo hoog geweest dat de coördinatietaken onvoldoende uitgevoerd konden worden. Ten tweede is verbetering van de contracten met leveranciers noodzakelijk. Tot slot blijkt dat de werkprocessen voor de BRO weliswaar zijn beschreven maar dat er niet conform gewerkt wordt. Op deze tekortkomingen zijn reeds maatregelen ingezet. Voor de coördinator is meer tijd vrijgespeeld om zijn taken op te pakken. Eén van die taken is de contracten met leveranciers In 2022 te verbeteren.

Daarnaast gaat monitoring plaatsvinden om te toetsen of de ingezette maatregelen voldoende effect hebben.

3

Collegevoorstel

2.4 De gemeente Raalte voldoet aan de norm voor Waardering Onroerende Zaken Sinds 2021 maakt ook de Waardering Onroerende Zaken (WOZ) onderdeel uit van de ENSIA toetsing. De gemeente is bronhouder van de basisregistratie WOZ en gebruikt de WOZ-waarde voor de onroerendezaakbelasting (OZB) en soms de rioolheffing. Uit de toetsing (zie bijlage 4) blijkt dat de wijze waarop de gemeente Raalte haar basisregistratie uitvoert voldoet aan de norm. Desalniettemin wordt ingespeeld op nieuwe ontwikkelingen om de WOZ uitvoering en de dienstverlening richting inwoner en ondernemer verder te verbeteren.

3.1 Door de raad te informeren wordt verantwoording afgelegd over de informatieveiligheid 4.1 Ter afronding van de procedure dient de IT-auditor een bevestiging van de collegeverklaring ENSIA 2021 te krijgen De ENSIA coördinator van Raalte stuurt een bevestiging aan de IT-auditor dat de collegeverklaring ENSIA 2021 is afgelegd.

5.1 Met het opsturen van de verantwoordingsrapportages WOZ, BAG, BGT en BRO naar Ministerie van Binnenlandse Zaken en Koninkrijkrelaties vindt de verticale verantwoording plaats

Duurzaamheid Niet van toepassing.

Kanttekeningen Er zijn geen kanttekeningen.

Financiën Het besluit heeft geen financiële consequenties.

Vervolg We gaan iets strakker sturen op de basisadministraties om te voorkomen dat de kwaliteit achterblijft en er niet voldaan wordt aan de ENSIA-norm. De verklaring wordt opgestuurd naar de VNG. De VNG stuurt vervolgens de verklaring van DigiD naar Logius, toezichthouder namens het Ministerie van Binnenlandse Zaken, en de verklaring van Suwinet naar BKWI, toezichthouder namens het Ministerie van Sociale Zaken en Werkgelegenheid. De verantwoordingsrapportages BAG, BGT en BRO worden opgestuurd naar het Ministerie van Binnenlandse Zaken en Koninkrijkrelaties. De verantwoordingsrapportage WOZ wordt opgestuurd naar het Ministerie van Financiën.

Communicatie Andere communicatie dan richting de VNG en de ministeries is niet noodzakelijk.

Bijlagen Bijlage Bijlage Bijlage Bijlage

1. Collegeverklaring DigiD en Suwinet Raalte (inclusief bijlagen 1a, 1b en 2) 2. Assurancerapport ENSIA 2021 3. Verantwoordingsrapportage BAG, BGT en BRO 4. Verantwoordingsrapportage WOZ

4