Collegevoorstel ENSIA 2022

Collegevoorstel

Onderwerp

Verklaring ENSIA 2022 (DigiD, Suwinet, WOZ, BAG, BGT en BRO)

Zaaknummer

9630-2023

B&W vergadering

21 maart 2023

Integrale advisering

Eric Grotenhuis (Informatieveiligheid en DigiD), Gert Jan Kikkert (Suwinet), Janneke Oosterveen (Suwinet), Wilco Bisschop (BAG, BGT en BRO), Giovanni Curtu (WOZ)

Portefeuillehouder

Dhr. M.P. (Martijn) Dadema

Voor informatie

Hans Scholtheis

Bestuurssamenvatting Het college van burgemeester en wethouders van de gemeente Raalte legt jaarlijks verantwoording af over informatieveiligheid en gegevenskwaliteit aan de landelijke toezichthouders (ministeries van BZK, SZW en Financiën) en aan de gemeenteraad. Zij doet dit op basis van audits en zelfevaluaties op grond van de ENSIA systematiek. ENSIA is gericht op eenmalige informatieverstrekking en een eenmalige IT-audit voor verschillende onderdelen binnen informatieveiligheid en gegevenskwaliteit. Met een collegeverklaring legt de gemeente Raalte verantwoording af over informatiebeveiliging voor DigiD en Suwinet. Voor de basisregistraties BAG, BGT en BRO voert de gemeente jaarlijks zelfevaluaties uit en stelt zij verantwoordingsrapportages op.

Beslispunten 1. 2. 3. 4. 5.

Een collegeverklaring ENSIA 2022 inzake Informatiebeveiliging DigiD en Suwinet af te geven; De verantwoordingsrapportages over de BAG, BGT, BRO en WOZ vast te stellen; De raad te informeren over de collegeverklaring ENSIA 2022 en de verantwoordingsrapportages ter kennisname aan te bieden door toezending van het collegebesluit; De auditor over het afgeven van de verklaring een bevestiging te sturen; De vastgestelde verantwoordingsrapportages BAG, BGT, BRO en WOZ te sturen naar de centrale database van ENSIA.

Besluit

1

Collegevoorstel

Inleiding Het college van burgemeester en wethouders van de gemeente Raalte legt jaarlijks verantwoording af over informatieveiligheid en gegevenskwaliteit aan de landelijke toezichthouders (ministeries van BZK, SZW en Financiën) en aan de gemeenteraad. Zij doet dit op basis van de systematiek van ENSIA. ENSIA staat voor Eenduidige Normatiek Single Information Audit en betekent eenmalige informatieverstrekking en eenmalige IT-audit. ENSIA sluit aan op de gemeentelijke planning en controlcyclus voor informatiebeveiliging, neemt de Baseline Informatiebeveiliging Overheden (BIO) als uitgangspunt en maakt gebruik van een daarop ingerichte zelfevaluatie. Hierdoor heeft het gemeentebestuur meer overzicht over de informatiebeveiliging en gegevenskwaliteit van de gemeente en legt het verantwoording af aan de gemeenteraad en toezichthouders van de genoemde Ministeries. Zo structureert ENSIA ook de zogenaamde verticale verantwoording van gemeenten richting de Rijksoverheid over de Basisregistratie Personen (BRP), Paspoortuitvoeringsregeling Nederland (PUN), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), Waardering Onroerend Zaken (WOZ) en de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet).

Basisregistratie Grootschalige Topografie (BGT) De gemeente Raalte scoort een voldoende op de BGT. De BGT is een gedetailleerde (in vaktaal: grootschalige) digitale kaart van heel Nederland. Daarin worden alle objecten als gebouwen, wegen, water, spoorlijnen en groen op een eenduidige manier vastgelegd. De BGT is een belangrijk onderdeel van het stelsel van basisregistraties en maakt eenmalig inwinnen en meervoudig gebruik mogelijk. Door de gegevens in de BGT eenduidig op te slaan, zijn ze herbruikbaar voor alle overheidsorganisaties die deze gegevens nodig hebben. Uit de toetsing (zie bijlage 3) blijkt dat de Gemeente Raalte een totaalscore van 91% heeft behaald. De minimale norm bedraagt 75% dus er is sprake van een ruime voldoende. Vergeleken met 2021 is een stijgende lijn te zien. De ingezette verbetermaatregelen (gericht op het tijdig beantwoorden van terugmeldingen en het verhogen van de kwaliteit van de gegevens) blijken dus effect te hebben gehad.

Basisregistratie Adressen en Gebouwen (BAG) De gemeente Raalte scoort net onder de norm op de BAG. De BAG bevat gegevens van alle adressen en gebouwen in Nederland en is onderdeel van het overheidsstelsel van basisregistraties. Gemeenten zijn bronhouders van de BAG. Zij zijn verantwoordelijk voor het opnemen van de gegevens in de BAG en voor de kwaliteit ervan. Alle gemeenten stellen gegevens over adressen en gebouwen centraal beschikbaar via de Landelijke Voorziening (BAGLV). Het Kadaster beheert de BAGLV en stelt de gegevens beschikbaar aan de diverse afnemers. Uit de toetsing (zie bijlage 3) blijkt dat de Gemeente Raalte een totaalscore van 71% heeft behaald. De minimale norm bedraagt 75%. De onvoldoende score ligt voornamelijk bij de gegevenskwaliteit waarbij gegevensmutaties niet tijdig zijn afgehandeld.

Basisregistratie Ondergrond (BRO) De gemeente Raalte scoort een onvoldoende op de BRO. De BRO maakt net als de BAG en BGT onderdeel uit van het stelsel van basisregistraties. Met dit stelsel verbetert de overheid haar dienstverlening door belangrijke gegevens over onder andere personen, bedrijven, gebouwen en de ondergrond binnen de overheid te delen. De gegevens over de ondergrond worden op één plek beheerd en beschikbaar gesteld, waarna ze veelvuldig gebruikt kunnen worden. Met de BRO is er eenduidigheid in opslag en uitwisseling van ondergrondgegevens. Uit de toetsing (zie bijlage 3) blijkt dat de Gemeente Raalte een totaalscore van 50% behaald heeft. De minimale norm bedraagt 60% dus er is sprake van een onvoldoende ondanks dat een licht stijgende lijn is ingezet ten opzichte van 2021. De voornaamste oorzaak van deze onvoldoende score ligt in het feit dat er te weinig formatie beschikbaar is voor het uitvoeren van de BRO-processen.

2

Collegevoorstel

Waardering Onroerende Zaken (WOZ) De gemeente Raalte voldoet aan de norm voor WOZ.De gemeente is bronhouder van de basisregistratie WOZ en gebruikt de WOZ-waarde voor de onroerendezaakbelasting (OZB) en soms de rioolheffing. Uit de toetsing (zie bijlage 4) blijkt dat de wijze waarop de gemeente Raalte haar basisregistratie uitvoert, voldoet aan de norm. Er zijn geen aanbevelingen gegeven voor de nabije toekomst. Gerelateerd collegebesluit In januari 2023 is een ander collegebesluit genomen met betrekking tot de BRP. Dit besluit is van een andere aard dan het voorliggende collegevoorstel. Het collegebesluit van 24 januari 2023 over de Basisregistratie Personen (BRP) betreft de vaststelling van de zelfevaluatie die jaarlijks verplicht is uit te voeren op grond van artikel 4.3 van de ‘Wet basisregistratie personen’. Die staat los van de audit voor DigiD en Suwinet waar voorliggend collegevoorstel over gaat.

Beoogd effect Met ENSIA verantwoorden we ons gemeente breed over informatieveiligheid. De kern is om de informatiebeveiliging op een hoog niveau te houden. Hiermee garanderen we dat de inwoners van onze gemeente ervan uit kunnen gaan dat hun gegevens in veilige handen zijn en dat de gemeente voor hun een betrouwbare partner is in deze.

Argumenten 1.1 De situatie in de gemeente Raalte voor wat betreft informatieveiligheid geeft voldoende aanleiding om een positieve collegeverklaring ENSIA af te geven Deze verklaring betreft de onderdelen van de ENSIA systematiek waarover zogenaamde assurance wordt gevraagd van een onafhankelijke IT auditor. Voor het jaar 2022 betreft dit DigID en Suwinet (zie bijlage 1). Het college verklaart dat bij de gemeente Raalte op 31 december 2022 de beheersingsmaatregelen (in opzet en bestaan) voldoen aan de geselecteerde normen over DigiD en Suwinet.

1.2 Het assurancerapport ondersteunt de correctheid van de verklaring Een bij de NOREA geregistreerde IT-auditor controleert de Collegeverklaring en stelt een Assurance rapport op. Deze werkzaamheden van de IT-auditor duiden we ook wel aan als de IT-audit. De IT-auditor verklaart in het Assurance rapport dat de Collegeverklaring een getrouw beeld geeft. Getrouw betekent dat de collegeverklaring met een redelijke mate van zekerheid juist en volledig is. Deze verklaring van getrouwheid geeft aanvullende zekerheid over de juistheid en volledigheid van de Collegeverklaring. Het assurancerapport is bijgevoegd (zie bijlage 2).

2.1 Voor een deel van de basisregistraties scoort de gemeente Raalte boven de norm en voor het deel waar de norm niet wordt gehaald, zijn adequate verbetermaatregelen geformuleerd. Er zijn begin 2023 reeds verbetermaatregelen doorgevoerd voor de BAG waardoor verbetering van de kwaliteit in de lijn der verwachting ligt. Deze verbetermaatregelen liggen onder meer in betere werkafspraken met samenwerkingspartners en alerter zijn op signaleringen. Een deel van de verbetermaatregelen is afgelopen weken reeds doorgevoerd. De komende tijd wordt onderzocht, hoe de inzet van medewerkers op de BRO verbeterd kan worden. Mogelijk dat hiervoor extra formatie nodig is.

3.1 Door de raad te informeren wordt verantwoording afgelegd over de informatieveiligheid 4.1 Ter afronding van de procedure dient de IT-auditor een bevestiging van de collegeverklaring ENSIA 2022 te krijgen De ENSIA coördinator van Raalte stuurt een bevestiging aan de IT-auditor dat de collegeverklaring ENSIA 2022 is afgelegd.

5.1 Met het opsturen van de verantwoordingsrapportages WOZ, BAG, BGT en BRO naar Ministerie van Binnenlandse Zaken en Koninkrijkrelaties vindt de verticale verantwoording plaats

Duurzaamheid Niet van toepassing. 3

Collegevoorstel

Kanttekeningen Er zijn geen kanttekeningen.

Financiën Het besluit heeft geen financiële consequenties.

Vervolg De verklaring wordt opgestuurd naar de VNG. De VNG stuurt vervolgens de verklaring van DigiD naar Logius, toezichthouder namens het Ministerie van Binnenlandse Zaken, en de verklaring van Suwinet naar BKWI, toezichthouder namens het Ministerie van Sociale Zaken en Werkgelegenheid. De verantwoordingsrapportages BAG, BGT en BRO worden opgestuurd naar het Ministerie van Binnenlandse Zaken en Koninkrijkrelaties. De verantwoordingsrapportage WOZ wordt opgestuurd naar het Ministerie van Financiën.

Communicatie Andere communicatie dan richting de VNG en de ministeries is niet noodzakelijk.

Bijlagen Bijlage 1. Collegeverklaring DigiD en Suwinet Raalte (inclusief bijlagen 1a, 1b en 2) Bijlage 2. Assurancerapport ENSIA 2021 Bijlage 3. Verantwoordingsrapportage BAG, BGT en BRO Bijlage 4. Verantwoordingsrapportage WOZ

4