Collegevoorstel ENSIA 2023

Collegevoorstel

Onderwerp

Verklaring ENSIA 2023 (DigiD, Suwinet, BRP, BAG, BGT en BRO)

Zaaknummer

6400-2024

B&W vergadering

19 maart 2024

Integrale advisering

Eric Grotenhuis (Informatieveiligheid en DigiD), Nicolette Klunder (Suwinet), Wilco Bisschop (BAG, BGT en BRO), Jolande Klein Teeselink (BRP)

Portefeuillehouder

Dhr. A.C. (Arco) Hofland

Voor informatie

Hans Scholtheis

Bestuurssamenvatting Het college van burgemeester en wethouders van de gemeente Raalte legt jaarlijks verantwoording af over informatieveiligheid en gegevenskwaliteit aan de landelijke toezichthouders (ministeries van BZK en SZW) en aan de gemeenteraad. Zij doet dit op basis van audits en zelfevaluaties op grond van de ENSIA systematiek. ENSIA is gericht op eenmalige informatieverstrekking en een eenmalige IT-audit voor verschillende onderdelen binnen informatieveiligheid en gegevenskwaliteit. Met een collegeverklaring legt de gemeente Raalte verantwoording af over informatiebeveiliging voor DigiD en Suwinet. Voor de basisregistraties BAG, BGT en BRO voert de gemeente jaarlijks zelfevaluaties uit en stelt zij verantwoordingsrapportages op. Daarnaast voert het college van burgemeester en wethouders jaarlijks op grond van artikel 4.3, lid 1 van de Wet basisregistratie personen (Wet BRP) een onderzoek uit naar de inrichting, werking en beveiliging van de BRP en naar de verwerking van gegevens in de BRP.

Beslispunten 1. 2. 3. 4. 5. 6. 7.

Een collegeverklaring ENSIA 2023 inzake Informatiebeveiliging DigiD en Suwinet af te geven; De verantwoordingsrapportages over de BAG, BGT en BRO vast te stellen; De uitkomsten van het onderzoek als bedoeld in artikel 4.3 van de 'Wet basisregistratie personen’ vast te stellen door het ondertekenen van de bijgesloten uittreksels; De raad te informeren over de collegeverklaring ENSIA 2023 en de verantwoordingsrapportages ter kennisname aan te bieden door toezending van het collegebesluit; De auditor over het afgeven van de verklaring een bevestiging te sturen; De vastgestelde verantwoordingsrapportages BAG, BGT en BRO te sturen naar de centrale database van ENSIA; De ondertekende uittreksels van BRP en reisdocumenten te sturen naar de Autoriteit Persoonsgegevens en de Rijksdienst voor Identiteitsgegevens.

1

Collegevoorstel

Besluit

Inleiding Het college van burgemeester en wethouders van de gemeente Raalte legt jaarlijks verantwoording af over informatieveiligheid en gegevenskwaliteit aan de landelijke toezichthouders (ministeries van BZK en SZW) en aan de gemeenteraad. Zij doet dit op basis van de systematiek van ENSIA. ENSIA staat voor Eenduidige Normatiek Single Information Audit en betekent eenmalige informatieverstrekking en eenmalige IT-audit. ENSIA sluit aan op de gemeentelijke planning en controlcyclus voor informatiebeveiliging, neemt de Baseline Informatiebeveiliging Overheden (BIO) als uitgangspunt en maakt gebruik van een daarop ingerichte zelfevaluatie. Hierdoor heeft het gemeentebestuur meer overzicht over de informatiebeveiliging en gegevenskwaliteit van de gemeente en legt het verantwoording af aan de gemeenteraad en toezichthouders van de genoemde Ministeries. Zo structureert ENSIA ook de zogenaamde verticale verantwoording van gemeenten richting de Rijksoverheid over de Basisregistratie Personen (BRP), Paspoortuitvoeringsregeling Nederland (PUN), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO) en de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet).

Basisregistratie Grootschalige Topografie (BGT) De gemeente Raalte scoort een voldoende op de BGT. De BGT is een gedetailleerde (in vaktaal: grootschalige) digitale kaart van heel Nederland. Daarin worden alle objecten als gebouwen, wegen, water, spoorlijnen en groen op een eenduidige manier vastgelegd. De BGT is een belangrijk onderdeel van het stelsel van basisregistraties en maakt eenmalig inwinnen en meervoudig gebruik mogelijk. Door de gegevens in de BGT eenduidig op te slaan, zijn ze herbruikbaar voor alle overheidsorganisaties die deze gegevens nodig hebben. Uit de toetsing (zie bijlage 3) blijkt dat de Gemeente Raalte een totaalscore van 85% heeft behaald. De minimale norm bedraagt 75% dus er is sprake van een ruime voldoende. De score voor de verwerking van de definitieve geometrie ligt nog onder de norm. Dit komt door de score in de eerste helft van 2023. In de tweede helft voldoet de score wel aan de norm. We vertrouwen erop dat we het proces nu onder controle hebben.

Basisregistratie Adressen en Gebouwen (BAG) De gemeente Raalte scoort net onder de norm op de BAG. De BAG bevat gegevens van alle adressen en gebouwen in Nederland en is onderdeel van het overheidsstelsel van basisregistraties. Gemeenten zijn bronhouders van de BAG. Zij zijn verantwoordelijk voor het opnemen van de gegevens in de BAG en voor de kwaliteit ervan. Alle gemeenten stellen gegevens over adressen en gebouwen centraal beschikbaar via de Landelijke Voorziening (BAGLV). Het Kadaster beheert de BAGLV en stelt de gegevens beschikbaar aan de diverse afnemers. Uit de toetsing (zie bijlage 3) blijkt dat de Gemeente Raalte een totaalscore van 72% heeft behaald. De minimale norm bedraagt 75%. De onvoldoende score ligt voornamelijk bij de gegevenskwaliteit waarbij gegevensmutaties niet tijdig zijn afgehandeld. Met periodieke mutatiesignalering via de luchtfoto willen we komen tot verbetering van de kwaliteit en actualiteit van de BAG.

Basisregistratie Ondergrond (BRO) 2

Collegevoorstel

De gemeente Raalte scoort een onvoldoende op de BRO. De BRO maakt net als de BAG en BGT onderdeel uit van het stelsel van basisregistraties. Met dit stelsel verbetert de overheid haar dienstverlening door belangrijke gegevens over onder andere personen, bedrijven, gebouwen en de ondergrond binnen de overheid te delen. De gegevens over de ondergrond worden op één plek beheerd en beschikbaar gesteld, waarna ze veelvuldig gebruikt kunnen worden. Met de BRO is er eenduidigheid in opslag en uitwisseling van ondergrondgegevens. Uit de toetsing (zie bijlage 3) blijkt dat de Gemeente Raalte een totaalscore van 47% behaald heeft. De minimale norm bedraagt 60% dus er is sprake van een onvoldoende. Met name op het aspect ‘Proces en organisatie’ scoren we niet goed. We gaan dit deels verhelpen door de contracten van de leveranciers aan te passen zodat leveranciers de gegevens volgens de wettelijke catalogi doorleveren aan het Bronhouderportaal. Daarnaast gaan we de verdere implementatie van de BRO in 2024 uitbesteden omdat hiervoor in de eigen organisatie te weinig capaciteit is.

Basisregistratie Personen (BRP) De Basisregistratie Personen (BRP) is een databank met persoonsgegevens van personen die in Nederland wonen of gewoond hebben. Het gaat om gegevens als naam, burgerservicenummer (BSN), geslacht, geboortedatum, geboorteplaats en adres. De Nederlandse overheid heeft deze gegevens nodig om bijvoorbeeld een paspoort, identiteitskaart of rijbewijs te kunnen maken. Of om te weten wie mag stemmen bij verkiezingen. Ook kunnen Nederlandse overheidsorganisaties aan de hand van deze gegevens contact met inwoners opnemen. Uit de zelfevaluatie blijkt dat we op alle onderdelen van de BRP goed in control zijn. De scores zijn ruim voldoende en laten nergens grote fouten of tekortkomingen zien. De zelfevaluatie BRP bestaat uit drie delen:

A. Bestandscontrole: Een geautomatiseerde controle van persoonslijsten aan de hand van ruim 3.000 controleregels. Deze controle wordt op afstand door de Rijksdienst voor Identiteitsgegevens (RvIG) uitgevoerd.

B. Inhoudelijke controle: Een handmatige controle van 50 persoonslijsten. Bij deze controle controleren wij de gehele persoonslijst inclusief brondocumenten.

C. Vragenlijsten: Het beantwoorden van vragenlijsten, verdeeld over zes thema’s: 1. 2. 3. 4. 5. 6.

Organisatie van de beveiliging (ENSIA) Toegangsbeveiliging (ENSIA) Naleving (ENSIA) Bijhouding van de BRP (domein) Verstrekking van gegevens (domein) Aanbeveling (domein)

Hieronder volgen de uitkomsten van de drie onderdelen, voorzien van een vergelijking met voorgaande jaren: Onderdeel 2023 2022 2021 2020 2019 A.

Bestandscontrole

100,00%

100,00%

100,00%

100,00%

99,90%

B.

Inhoudelijke controle

96,00%

88,00%

82,00%

84,00%

86,00%

C. 1. 2. 3. 4. 5.

Vragenlijsten per thema Organisatie beveiliging (ENSIA) Toegangsbeveiliging (ENSIA) Naleving (ENSIA) Bijhouding BRP (domein) Verstrekking gegevens BRP (domein)

100,00% 100,00% 100,00% 90,90% 100,00%

100,00% 100,00% 100,00% 100,00% 100,00%

100,00% 100,00% 100,00% 100,00% 97,30%

100,00% 100,00% 100,00% 81,70% 68,60%

93,80% 93,50% 95,00% 85,70% 86,00%

6.

Aanbeveling (domein)

100,00%

100,00%

85,00%

74,00%

58,00%

3

Collegevoorstel

Duiding van de resultaten

A. Bestandscontrole Hierbij zijn geen fouten geconstateerd.

B. Inhoudelijke controle Op grond van de uitkomsten zijn 2 persoonslijsten gecorrigeerd.

C. Vragenlijsten De resultaten laten dit jaar een iets dalende lijn zien. Voor 2024 hebben we als doel gesteld de werkprocessen te verbeteren en de nieuwe medewerkers bij burgerzaken op het juiste niveau te krijgen. Een uitgebreid verslag van alle bevindingen staat ter informatie in het uittreksel BRP 2023 en het uittreksel reisdocumenten 2023 (bijlagen 4 en 5).

Beoogd effect Met ENSIA verantwoorden we ons gemeente breed over informatieveiligheid. De kern is om de informatiebeveiliging op een hoog niveau te houden. Hiermee garanderen we dat de inwoners van onze gemeente ervan uit kunnen gaan dat hun gegevens in veilige handen zijn en dat de gemeente voor hun een betrouwbare partner is in deze.

Argumenten 1.1 De situatie in de gemeente Raalte voor wat betreft informatieveiligheid geeft voldoende aanleiding om een positieve collegeverklaring ENSIA af te geven Deze verklaring betreft de onderdelen van de ENSIA systematiek waarover zogenaamde assurance wordt gevraagd van een onafhankelijke IT auditor. Voor het jaar 2023 betreft dit DigID en Suwinet (zie bijlage 1). Het college verklaart dat bij de gemeente Raalte op 31 december 2023 de beheersingsmaatregelen (in opzet en bestaan) voldoen aan de geselecteerde normen over DigiD en Suwinet.

1.2 Het assurancerapport ondersteunt de correctheid van de verklaring Een bij de NOREA geregistreerde IT-auditor controleert de Collegeverklaring en stelt een Assurance rapport op. Deze werkzaamheden van de IT-auditor duiden we ook wel aan als de IT-audit. De IT-auditor verklaart in het Assurance rapport dat de Collegeverklaring een getrouw beeld geeft. Getrouw betekent dat de collegeverklaring met een redelijke mate van zekerheid juist en volledig is. Deze verklaring van getrouwheid geeft aanvullende zekerheid over de juistheid en volledigheid van de Collegeverklaring. Het assurancerapport is in conceptvorm bijgevoegd (zie bijlage 2). Na vaststelling door het College wordt het Assurancerapport definitief en ondertekend door de auditor.

2.1 Voor een deel van de basisregistraties scoort de gemeente Raalte boven de norm en voor het deel waar de norm niet wordt gehaald, zijn adequate verbetermaatregelen geformuleerd. Er zijn in 2023 reeds verbetermaatregelen doorgevoerd voor de BAG waardoor verbetering van de kwaliteit in de 2e helft van 2023 al zichtbaar is. Met de mutatiesignalering via luchtfoto’s verwachten we ook een goede stap te zetten in verbetering. De resultaten hiervan gaan echter pas in de loop van de tijd zichtbaar worden. Door in 2024 de implementatie van de BRO uit te besteden, verwachten we goede stappen te zetten en de tekortkomingen weg te werken.

3.1 Voor de Basisregistratie Personen scoren we voldoende maar geven de resultaten aanleiding om verbetermaatregelen door te voeren 4.1 Door de raad te informeren wordt verantwoording afgelegd over de informatieveiligheid 5.1 Ter afronding van de procedure dient de IT-auditor een bevestiging van de collegeverklaring ENSIA 2023 te krijgen 4

Collegevoorstel

De ENSIA coördinator van Raalte stuurt een bevestiging aan de IT-auditor dat de collegeverklaring ENSIA 2023 is afgelegd.

6.1 Met het opsturen van de verantwoordingsrapportages BAG, BGT en BRO naar Ministerie van Binnenlandse Zaken en Koninkrijkrelaties vindt de verticale verantwoording plaats 7.1 Met het versturen van de uittreksels voldoen we aan de wettelijke verplichting om jaarlijks onderzoek uit te voeren en de resultaten te delen met de Autoriteit Persoonsgegevens en het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties.

Duurzaamheid Niet van toepassing.

Kanttekeningen Er zijn geen kanttekeningen.

Financiën en Fiscale aspecten Het besluit heeft geen financiële consequenties.

Vervolg De verklaring wordt opgestuurd naar de VNG. De VNG stuurt vervolgens de verklaring van DigiD naar Logius, toezichthouder namens het Ministerie van Binnenlandse Zaken, en de verklaring van Suwinet naar BKWI, toezichthouder namens het Ministerie van Sociale Zaken en Werkgelegenheid. De verantwoordingsrapportages BAG, BGT en BRO worden opgestuurd naar het Ministerie van Binnenlandse Zaken en Koninkrijkrelaties. De ondertekende uittreksels van de BRP en Reisdocumenten worden verstuurd naar de Autoriteit Persoonsgegevens en de Rijksdienst voor Identiteitsgegevens. Daarmee voldoen we aan de wettelijke plicht om de onderzoeksresultaten aan hen bekend te maken (Wet BRP artikel 4.3, lid 2 en artikel 4.3, lid 4).

Communicatie Andere communicatie dan richting de genoemde organisaties is niet noodzakelijk.

Bijlagen Bijlage 1. Collegeverklaring DigiD en Suwinet Raalte (inclusief bijlagen 1a, 1b en 2) Bijlage 2. Assurancerapport ENSIA 2023 Bijlage 3. Verantwoordingsrapportage BAG, BGT en BRO Bijlage 4. Uittreksel BRP 2023 Bijlage 5. Uittreksel Reisdocumenten 2023

5