Collegevoorstel ENSIA 2024

Collegevoorstel

Onderwerp

Jaarlijkse verantwoording informatieveiligheid en gegevenskwaliteit basisregistraties 2024 (DigiD, Suwinet, BRP, PUN, BAG, BGT en BRO)

Zaaknummer

18962-2025

B&W vergadering

25 maart 2025

Integrale advisering

Eric Grotenhuis (Informatieveiligheid en DigiD), Nicolette Klunder (Suwinet), Wilco Bisschop (BAG, BGT en BRO), Michiel Brouwer (BRP en PUN)

Portefeuillehouder

Dhr. R.J. (Rob) Zuidema

Voor informatie

Hans Scholtheis

Bestuurssamenvatting Het college van burgemeester en wethouders van de gemeente Raalte legt jaarlijks verantwoording af over informatieveiligheid en gegevenskwaliteit aan de landelijke toezichthouders (ministeries van BZK en SZW) en aan de gemeenteraad. Zij doet dit op basis van audits en zelfevaluaties op grond van de ENSIA systematiek. ENSIA is gericht op eenmalige informatieverstrekking en een jaarlijkse eenmalige IT-audit voor verschillende onderdelen binnen informatieveiligheid en gegevenskwaliteit. Met een collegeverklaring legt de gemeente Raalte verantwoording af over informatiebeveiliging voor DigiD en Suwinet. Voor de basisregistraties BAG (adressen en gebouwen), BGT (topografie) en BRO (ondergrond) voert de gemeente jaarlijks zelfevaluaties uit en stelt zij verantwoordingsrapportages op. Daarnaast voert het college van burgemeester en wethouders jaarlijks op grond van artikel 4.3, lid 1 van de Wet basisregistratie personen (Wet BRP) een onderzoek uit naar de inrichting, werking en beveiliging van de BRP en naar de verwerking van gegevens in de BRP. Tot slot voert de burgemeester jaarlijks op grond van artikel 94, lid 1 van de Paspoortuitvoeringsregeling Nederland een onderzoek uit naar de beveiligingsmaatregelen en aanvraag- en uitgifteprocessen rond reisdocumenten.

Beslispunten Voor het college: 1. Een collegeverklaring ENSIA 2024 over Informatiebeveiliging DigiD en Suwinet af te geven; 2. De verantwoordingsrapportages over de BAG, BGT en BRO vast te stellen; 3. De uitkomsten van het onderzoek als bedoeld in artikel 4.3 van de 'Wet basisregistratie personen’ vast te stellen door het ondertekenen van de bijgesloten uittreksels; 4. De raad te informeren over de collegeverklaring ENSIA 2024 en de verantwoordingsrapportages ter kennisname aan te bieden door toezending van het collegebesluit; 5. De auditor over het afgeven van de verklaring een bevestiging te sturen; 6. De vastgestelde verantwoordingsrapportages BAG, BGT en BRO te sturen naar het Ministerie van Binnenlandse Zaken en Koninkrijkrelaties voor de centrale database van ENSIA; 7. Het ondertekende uittreksel van de BRP te sturen naar de Autoriteit Persoonsgegevens en de Rijksdienst voor Identiteitsgegevens.

1

Collegevoorstel

Voor de burgemeester: 1. De uitkomsten van het onderzoek als bedoeld in artikel 94 van de Paspoortuitvoeringsregeling vast te stellen door het ondertekenen van het bijgesloten uittreksel; 2. Het ondertekende uittreksel van de reisdocumenten te sturen naar de Autoriteit Persoonsgegevens en de Rijksdienst voor Identiteitsgegevens.

Besluit

Inleiding Het college van burgemeester en wethouders van de gemeente Raalte legt jaarlijks verantwoording af over informatieveiligheid en gegevenskwaliteit aan de landelijke toezichthouders (ministeries van Sociale Zaken en Werkgelegenheid (SZW) en van Binnenlandse Zaken en Koninkrijkrelaties (BZK)) en aan de gemeenteraad. Zij doet dit op basis van de systematiek van ENSIA. ENSIA staat voor Eenduidige Normatiek Single Information Audit en betekent eenmalige informatieverstrekking en eenmalige IT-audit. ENSIA sluit aan op de gemeentelijke planning en controlcyclus voor informatiebeveiliging, neemt de Baseline Informatiebeveiliging Overheden (BIO) als uitgangspunt en maakt gebruik van een daarop ingerichte zelfevaluatie. Hierdoor heeft het gemeentebestuur meer overzicht over de informatiebeveiliging en gegevenskwaliteit van de gemeente en legt het verantwoording af aan de gemeenteraad en toezichthouders. Zo structureert ENSIA ook de zogenaamde verticale verantwoording van gemeenten richting de Rijksoverheid over de Basisregistratie Personen (BRP), Paspoortuitvoeringsregeling Nederland (PUN), Digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO) en de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet).

Basisregistratie Adressen en Gebouwen (BAG) De gemeente Raalte scoort boven de norm op de BAG. De BAG bevat gegevens van alle adressen en gebouwen in Nederland en is onderdeel van het overheidsstelsel van basisregistraties. Gemeenten zijn bronhouders van de BAG. Zij zijn verantwoordelijk voor het opnemen van de gegevens in de BAG en voor de kwaliteit ervan. Alle gemeenten stellen gegevens over adressen en gebouwen centraal beschikbaar via de Landelijke Voorziening (BAGLV). Het Kadaster beheert de BAGLV en stelt de gegevens beschikbaar aan de diverse afnemers. Uit de toetsing (zie bijlage 3) blijkt dat de gemeente Raalte een totaalscore van 90% heeft behaald. De minimale norm bedraagt 75%. De score is dus voldoende. De gegevens in de BAG zijn over het algemeen betrouwbaar met hier en daar nog een paar kleine verbeterpunten.

Basisregistratie Grootschalige Topografie (BGT) De gemeente Raalte scoort een voldoende op de BGT. De BGT is een gedetailleerde (in vaktaal: grootschalige) digitale kaart van heel Nederland. Daarin worden alle objecten als gebouwen, wegen, water, spoorlijnen en groen op een eenduidige manier vastgelegd. De BGT is een belangrijk onderdeel van het stelsel van basisregistraties en maakt

2

Collegevoorstel

eenmalig inwinnen en meervoudig gebruik mogelijk. Door de gegevens in de BGT eenduidig op te slaan, zijn ze herbruikbaar voor alle overheidsorganisaties die deze gegevens nodig hebben. Uit de toetsing (zie bijlage 3) blijkt dat de Gemeente Raalte een totaalscore van 93% heeft behaald. De minimale norm bedraagt 75% dus er is sprake van een voldoende. Ten opzichte van 2023 hebben we een verbetering bereikt in de verwerking van de definitieve geometrie. Met de mutatiesignalering via luchtfoto’s hebben we hierin een belangrijke stap gezet.

Basisregistratie Ondergrond (BRO) De gemeente Raalte scoort een onvoldoende op de BRO. De BRO maakt net als de BAG en BGT onderdeel uit van het stelsel van basisregistraties. Met dit stelsel verbetert de overheid haar dienstverlening door belangrijke gegevens over onder andere personen, bedrijven, gebouwen en de ondergrond binnen de overheid te delen. De gegevens over de ondergrond worden op één plek beheerd en beschikbaar gesteld, waarna ze veelvuldig gebruikt kunnen worden. Met de BRO is er eenduidigheid in opslag en uitwisseling van ondergrondgegevens. Uit de toetsing (zie bijlage 3) blijkt dat de Gemeente Raalte een totaalscore van 54% behaald heeft. De minimale norm bedraagt 60% dus er is sprake van een onvoldoende. Op het aspect ‘Proces en organisatie’ scoren we nog niet goed al zien we een lichte verbetering ten opzichte van 2023. In de loop van 2024 is gestart met de samenwerking met een externe partner. Zij gaat ons ondersteunen in de verdere implementatie van de BRO in onze organisatie. Daarnaast is het aanpassen van de contracten van de leveranciers een belangrijk ontwikkelpunt zodat de leveranciers de gegevens volgens de wettelijke catalogi doorleveren aan het Bronhouderportaal.

Basisregistratie Personen (BRP) De Basisregistratie Personen (BRP) is een databank met persoonsgegevens van personen die in Nederland wonen of gewoond hebben. Het gaat om gegevens als naam, burgerservicenummer (BSN), geslacht, geboortedatum- en plaatsverblijfplaats, nationaliteit, kinderen en huwelijkse staat. De Nederlandse overheid heeft deze gegevens nodig om bijvoorbeeld een paspoort, identiteitskaart of rijbewijs te kunnen maken. Of om te weten wie mag stemmen bij verkiezingen. Ook kunnen Nederlandse overheidsorganisaties aan de hand van deze gegevens contact met inwoners opnemen. Uit de zelfevaluatie blijkt dat we op alle onderdelen van de BRP goed in control zijn. De scores zijn ruim voldoende en laten nergens grote fouten of tekortkomingen zien. De zelfevaluatie BRP bestaat uit drie delen:

A. Bestandscontrole: Een geautomatiseerde controle van persoonslijsten aan de hand van ruim 3.000 controleregels. Deze controle wordt op afstand door de Rijksdienst voor Identiteitsgegevens (RvIG) uitgevoerd.

B. Inhoudelijke controle: Een handmatige controle van 50 persoonslijsten. Bij deze controle controleren wij de gehele persoonslijst inclusief brondocumenten.

C. Vragenlijsten: Het beantwoorden van vragenlijsten, verdeeld over zes thema’s: 1. 2. 3. 4. 5. 6.

Organisatie van de beveiliging (ENSIA) Toegangsbeveiliging (ENSIA) Naleving (ENSIA) Bijhouding van de BRP (domein) Verstrekking van gegevens (domein) Aanbeveling (domein)

3

Collegevoorstel

Hieronder volgen de uitkomsten van de drie onderdelen, voorzien van een vergelijking met voorgaande jaren: Onderdeel

2024

2023

2022

2021

2020

A.

Bestandscontrole

100,00%

100,00%

100,00%

100,00%

100,00%

B.

Inhoudelijke controle

90,00%

96,00%

88,00%

82,00%

84,00%

100,00% 100,00% 100,00% 90,20% 100,00% 100,00%

100,00% 100,00% 100,00% 90,90% 100,00%

100,00% 100,00% 100,00% 100,00% 100,00%

100,00% 100,00% 100,00% 100,00% 97,30%

100,00% 100,00% 100,00% 81,70% 68,60%

40,00%

-

-

-

-

C. Vragenlijsten per thema 1. Organisatie beveiliging (ENSIA) 2. Toegangsbeveiliging (ENSIA) 3. Naleving (ENSIA) 4. Beleid en organisatie (domein) 5. Uitvoering bijhouden (domein) 6. Uitvoering verstrekking (domein) 7. Uitvoering incidentafhandeling (domein) Duiding van de resultaten

A. Bestandscontrole Hierbij zijn geen fouten geconstateerd.

B. Inhoudelijke controle Op grond van de uitkomsten zijn 5 persoonslijsten gecorrigeerd.

C. Vragenlijsten De resultaten laten dit jaar een iets dalende lijn zien. Voor 2025 hebben we als doel gesteld de werkprocessen te verbeteren en de nieuwe medewerkers bij burgerzaken op het juiste kennis- en vaardigheidsniveau te krijgen. Een uitgebreid verslag van alle bevindingen staat ter informatie in het uittreksel BRP 2024 (bijlage 4).

Reisdocumenten Uit de zelfevaluatie blijkt dat we op alle onderdelen goed in control zijn. De scores zijn ruim voldoende en laten nergens grote fouten of onvolkomenheden zien. De zelfevaluatie bestaat uit het beantwoorden van vragenlijsten, verdeeld over zes thema’s: 1. Organisatie van de beveiliging (ENSIA) 2. Toegangsbeveiliging (ENSIA) 3. Naleving (ENSIA) 4. Aanvraag- en uitgifteproces reisdocumenten (domein) 5. Overig proces reisdocumenten (domein) 6. Aanbeveling

4

Collegevoorstel

Hieronder volgen de uitkomsten, voorzien van een vergelijking met voorgaande jaren: Vragenlijsten per thema 1. Organisatie beveiliging (ENSIA) 2. Toegangsbeveiliging (ENSIA) 3. Naleving (ENSIA) 4. Aanvraag- en uitgifteproces (domein) 5. Overig proces (domein)

2024 100,00% 100,00% 100,00% 86,20% 100,00%

2023 100,00% 100,00% 100,00% 100,00% 100,00%

2022 100,00% 100,00% 100,00% 100,00% 100,00%

2021 100,00% 100,00% 100,00% 100,00% 100,00%

6.

31,50%

88,00%

100,00%

100,00%

Aanbeveling (domein)

2020 70,00% 82,00% 86,00% 84,50% 92,30% 52,00%

Duiding van de resultaten De resultaten laten op onderdelen een iets dalende lijn zien. Het gaat hier om (nieuwe) vraagonderdelen waar wij in de praktijk wel naar handelen, maar waarbij de aantoonbaarheid ervan en controle erop tekortschiet. Op deze punten hebben we als doel gesteld de vastlegging en controle aan te scherpen. Meer informatie over de bevindingen staat in het uittreksel reisdocumenten 2024 (bijlage 5).

Beoogd effect Met ENSIA verantwoorden we ons gemeentebreed over informatieveiligheid. De kern is om de informatiebeveiliging op een hoog niveau te houden. Hiermee garanderen we dat de inwoners van onze gemeente ervan uit kunnen gaan dat hun gegevens in veilige handen zijn en dat de gemeente voor hun hierin een betrouwbare partner is.

Argumenten Voor het college: 1.1 De situatie in de gemeente Raalte voor wat betreft informatieveiligheid geeft voldoende aanleiding om een positieve collegeverklaring ENSIA af te geven Deze verklaring betreft de onderdelen van de ENSIA systematiek waarover zogenaamde assurance wordt gevraagd van een onafhankelijke IT auditor. Voor het jaar 2024 betreft dit DigID en Suwinet (zie bijlage 1). Het college verklaart dat bij de gemeente Raalte op 31 december 2024 de beheersingsmaatregelen (in opzet en bestaan) voldoen aan de geselecteerde normen over DigiD en Suwinet.

1.2 Het assurancerapport ondersteunt de correctheid van de verklaring Een bij de NOREA geregistreerde IT-auditor controleert de Collegeverklaring en stelt een Assurance rapport op. Deze werkzaamheden van de IT-auditor duiden we ook wel aan als de IT-audit. De IT-auditor verklaart in het Assurance rapport dat de Collegeverklaring een getrouw beeld geeft. Getrouw betekent dat de collegeverklaring met een redelijke mate van zekerheid juist en volledig is. Deze verklaring van getrouwheid geeft aanvullende zekerheid over de juistheid en volledigheid van de Collegeverklaring. Het assurancerapport is in conceptvorm bijgevoegd (zie bijlage 2). Na vaststelling door het College wordt het Assurancerapport definitief en ondertekend door de auditor.

2.1 Voor het grootste deel van de basisregistraties scoort de gemeente Raalte boven de norm en voor het deel waar de norm niet wordt gehaald, zijn adequate verbetermaatregelen geformuleerd. Voor de BAG en BGT voldoen we aan de norm en is er sprake van een goede beheersing van het proces. Voor de BRO blijven verbeterstappen noodzakelijk. Met de uitbesteding van de implementatie van de BRO, verwachten we goede stappen te zetten en de tekortkomingen nog in de eerste helft van 2025 weg te werken.

3.1 Voor de Basisregistratie Personen scoren we voldoende maar geven de resultaten aanleiding om verbetermaatregelen door te voeren

5

Collegevoorstel

4.1 Door de raad te informeren wordt verantwoording afgelegd over de informatieveiligheid 5.1 Ter afronding van de procedure dient de IT-auditor een bevestiging van de collegeverklaring ENSIA 2024 te krijgen De ENSIA coördinator van Raalte stuurt een bevestiging aan de IT-auditor dat de collegeverklaring ENSIA 2024 is afgelegd.

6.1 Met het opsturen van de verantwoordingsrapportages BAG, BGT en BRO naar Ministerie van Binnenlandse Zaken en Koninkrijkrelaties vindt de verticale verantwoording plaats 7.1 Met het versturen van het uittreksel BRP voldoen we aan de wettelijke verplichting om jaarlijks onderzoek uit te voeren en de resultaten te delen met de Autoriteit Persoonsgegevens en het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties. Voor de burgemeester: 1.1 Voor de reisdocumenten zijn we in control en zijn verbetermaatregelen niet noodzakelijk 2.1 Met het versturen van het uittreksel van de reisdocumenten voldoen we aan de wettelijke verplichting om jaarlijks onderzoek uit te voeren en de resultaten te delen met de Autoriteit Persoonsgegevens en het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties.

Duurzaamheid Niet van toepassing.

Kanttekeningen Er zijn geen kanttekeningen.

Financiën en Fiscale aspecten Het besluit heeft geen financiële consequenties.

Vervolg De verklaring wordt opgestuurd naar de VNG. De VNG stuurt vervolgens de verklaring van DigiD naar Logius, toezichthouder namens het Ministerie van Binnenlandse Zaken, en de verklaring van Suwinet naar BKWI, toezichthouder namens het Ministerie van Sociale Zaken en Werkgelegenheid. De verantwoordingsrapportages BAG, BGT en BRO worden opgestuurd naar het Ministerie van Binnenlandse Zaken en Koninkrijkrelaties. De ondertekende uittreksels van de BRP en Reisdocumenten worden verstuurd naar de Autoriteit Persoonsgegevens en de Rijksdienst voor Identiteitsgegevens. Daarmee voldoen we aan de wettelijke plicht om de onderzoeksresultaten aan hen bekend te maken (Wet BRP artikel 4.3, lid 2 en artikel 4.3, lid 4). Het uittreksel BRP én het uittreksel reisdocumenten worden bovendien geüpload in de landelijke Kwaliteitsmonitor.

Communicatie Andere communicatie dan richting de genoemde organisaties is niet noodzakelijk.

Bijlagen Bijlage 1. Collegeverklaring DigiD en Suwinet Raalte (inclusief bijlagen 1a, 1b en 1c) Bijlage 2. Assurancerapport ENSIA 2024 Bijlage 3. Verantwoordingsrapportage BAG, BGT en BRO Bijlage 4. Uittreksel BRP 2024 Bijlage 5. Uittreksel Reisdocumenten 2024

6