Collegevoorstel ENSIA 2025

Collegevoorstel

Onderwerp

Jaarlijkse verantwoording informatieveiligheid en gegevenskwaliteit basisregistraties 2025 (DigiD, Suwinet, BRP, PUN, BAG, BGT en BRO)

Zaaknummer

7206-2026

B&W vergadering

17 maart 2026

Integrale advisering

Eric Grotenhuis (Informatieveiligheid en DigiD), Gert Jan Kikkert (Suwinet), Ria Koerhuis (BAG, BGT en BRO), Michiel Brouwer (BRP en PUN)

Portefeuillehouder

Dhr. R.J. (Rob) Zuidema

Voor informatie

Hans Scholtheis

Bestuurssamenvatting Het college van burgemeester en wethouders van de gemeente Raalte legt jaarlijks verantwoording af over informatieveiligheid en gegevenskwaliteit aan de landelijke toezichthouders (ministeries van BZK en SZW) en aan de gemeenteraad. Zij doet dit op basis van audits en zelfevaluaties op grond van de ENSIA systematiek. ENSIA is gericht op eenmalige informatieverstrekking en een jaarlijkse eenmalige IT-audit voor verschillende onderdelen binnen informatieveiligheid en gegevenskwaliteit. Met een collegeverklaring legt de gemeente Raalte verantwoording af over informatiebeveiliging voor DigiD en Suwinet. Voor de basisregistraties BAG (adressen en gebouwen), BGT (topografie) en BRO (ondergrond) voert de gemeente jaarlijks zelfevaluaties uit en stelt zij verantwoordingsrapportages op. Daarnaast voert het college van burgemeester en wethouders jaarlijks op grond van artikel 4.3, lid 1 van de Wet basisregistratie personen (Wet BRP) een onderzoek uit naar de inrichting, werking en beveiliging van de BRP en naar de verwerking van gegevens in de BRP. Tot slot voert de burgemeester jaarlijks op grond van artikel 94, lid 1 van de Paspoortuitvoeringsregeling Nederland een onderzoek uit naar de beveiligingsmaatregelen en aanvraag- en uitgifteprocessen rond reisdocumenten.

Beslispunten Voor het college: 1. Een collegeverklaring ENSIA 2025 over Informatiebeveiliging DigiD en Suwinet af te geven; 2. De verantwoordingsrapportages over de BAG, BGT en BRO vast te stellen; 3. De uitkomsten van het onderzoek als bedoeld in artikel 4.3 van de 'Wet basisregistratie personen’ vast te stellen door het ondertekenen van de bijgesloten uittreksels; 4. De raad te informeren over de collegeverklaring ENSIA 2025 en de verantwoordingsrapportages ter kennisname aan te bieden door toezending van het collegebesluit; 5. De auditor over het afgeven van de verklaring een bevestiging te sturen opdat hij het assurancerapport een definitieve status kan geven; 6. De vastgestelde verantwoordingsrapportages BAG, BGT en BRO te sturen naar het Ministerie van Binnenlandse Zaken en Koninkrijkrelaties voor de centrale database van ENSIA; 7. Het ondertekende uittreksel van de BRP te sturen naar de Autoriteit Persoonsgegevens en de Rijksdienst voor Identiteitsgegevens.

1

Collegevoorstel

Voor de burgemeester: 1. De uitkomsten van het onderzoek als bedoeld in artikel 94 van de Paspoortuitvoeringsregeling vast te stellen door het ondertekenen van het bijgesloten uittreksel; 2. Het ondertekende uittreksel van de reisdocumenten te sturen naar de Autoriteit Persoonsgegevens en de Rijksdienst voor Identiteitsgegevens.

Besluit

Inleiding Het college van burgemeester en wethouders van de gemeente Raalte legt jaarlijks verantwoording af over informatieveiligheid en gegevenskwaliteit aan de landelijke toezichthouders (ministeries van Sociale Zaken en Werkgelegenheid (SZW) en van Binnenlandse Zaken en Koninkrijkrelaties (BZK)) en aan de gemeenteraad. Zij doet dit op basis van de systematiek van ENSIA. ENSIA staat voor Eenduidige Normatiek Single Information Audit en betekent eenmalige informatieverstrekking en eenmalige IT-audit. ENSIA sluit aan op de gemeentelijke planning en controlcyclus voor informatiebeveiliging, neemt de Baseline Informatiebeveiliging Overheden (BIO) als uitgangspunt en maakt gebruik van een daarop ingerichte zelfevaluatie. Hierdoor heeft het gemeentebestuur meer overzicht over de informatiebeveiliging en gegevenskwaliteit van de gemeente en legt het verantwoording af aan de gemeenteraad en toezichthouders. Zo structureert ENSIA ook de zogenaamde verticale verantwoording van gemeenten richting de Rijksoverheid over de - Basisregistratie Personen (BRP), - Paspoortuitvoeringsregeling Nederland (PUN), - Digitale persoonsidentificatie (DigiD), - Basisregistratie Adressen en Gebouwen (BAG), - Basisregistratie Grootschalige Topografie (BGT), - Basisregistratie Ondergrond (BRO), - Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet).

Basisregistratie Adressen en Gebouwen (BAG) De gemeente Raalte scoort boven de norm op de BAG. De BAG bevat gegevens van alle adressen en gebouwen in Nederland en is onderdeel van het overheidsstelsel van basisregistraties. Gemeenten zijn bronhouders van de BAG. Zij zijn verantwoordelijk voor het opnemen van de gegevens in de BAG en voor de kwaliteit ervan. Alle gemeenten stellen gegevens over adressen en gebouwen centraal beschikbaar via de Landelijke Voorziening (BAGLV). Het Kadaster beheert de BAGLV en stelt de gegevens beschikbaar aan de diverse afnemers. Uit de toetsing (zie bijlage 3) blijkt dat de gemeente Raalte een totaalscore van 89% heeft behaald. De minimale norm bedraagt 75%. De score is dus voldoende. De gegevens in de BAG zijn over het algemeen betrouwbaar met hier en daar nog een paar kleine verbeterpunten.

Basisregistratie Grootschalige Topografie (BGT) De gemeente Raalte scoort een voldoende op de BGT. De BGT is een gedetailleerde (in vaktaal: grootschalige) digitale kaart van heel Nederland. Daarin worden alle objecten als gebouwen, wegen, water, spoorlijnen en groen op een eenduidige manier vastgelegd. De BGT is een belangrijk onderdeel van het stelsel van basisregistraties en maakt

2

Collegevoorstel

eenmalig inwinnen en meervoudig gebruik mogelijk. Door de gegevens in de BGT eenduidig op te slaan, zijn ze herbruikbaar voor alle overheidsorganisaties die deze gegevens nodig hebben. Uit de toetsing (zie bijlage 3) blijkt dat de Gemeente Raalte een totaalscore van 88% heeft behaald. De minimale norm bedraagt 75% dus er is sprake van een voldoende. Het inzetten van mutatiesignalering via luchtfoto’s leidt tot betere kwaliteit en actualiteit van zowel de BAG als de BGT. Met het nog beter inrichten van het werkproces voor verwerking van de mutaties in de basisregistraties verwachten we nog meer efficiency te bereiken.

Basisregistratie Ondergrond (BRO) De gemeente Raalte scoort een voldoende op de BRO. De BRO maakt net als de BAG en BGT onderdeel uit van het stelsel van basisregistraties. Met dit stelsel verbetert de overheid haar dienstverlening door belangrijke gegevens over onder andere personen, bedrijven, gebouwen en de ondergrond binnen de overheid te delen. De gegevens over de ondergrond worden op één plek beheerd en beschikbaar gesteld, waarna ze veelvuldig gebruikt kunnen worden. Met de BRO is er eenduidigheid in opslag en uitwisseling van ondergrondgegevens. Uit de toetsing (zie bijlage 3) blijkt dat de Gemeente Raalte een totaalscore van 91% behaald heeft. De minimale norm bedraagt 60% dus er is sprake van een voldoende. Op het aspect ‘Proces en organisatie’ scoorden we afgelopen jaren niet goed en daar is in 2025 verandering in gebracht. Door voldoende formatie beschikbaar te hebben en door actualisatie van het processenhandboek BRO door een externe partner is de borging verbeterd. Dit heeft geleid tot een positief resultaat.

Basisregistratie Personen (BRP) De Basisregistratie Personen (BRP) is een databank met persoonsgegevens van personen die in Nederland wonen of gewoond hebben. Het gaat om gegevens als naam, burgerservicenummer (BSN), geslacht, geboortedatum- en plaatsverblijfplaats, nationaliteit, kinderen en huwelijkse staat. De Nederlandse overheid heeft deze gegevens nodig om bijvoorbeeld een paspoort, identiteitskaart of rijbewijs te kunnen maken. Of om te weten wie mag stemmen bij verkiezingen. Ook kunnen Nederlandse overheidsorganisaties aan de hand van deze gegevens contact met inwoners opnemen. Uit de zelfevaluatie blijkt dat we op alle onderdelen van de BRP goed ‘in control’ zijn. De scores zijn ruim voldoende en laten nergens grote fouten of tekortkomingen zien. De zelfevaluatie BRP bestaat uit drie delen:

A. Bestandscontrole: Een geautomatiseerde controle van persoonslijsten aan de hand van ruim 3.000 controleregels. Deze controle wordt op afstand door de Rijksdienst voor Identiteitsgegevens (RvIG) uitgevoerd.

B. Inhoudelijke controle: Een handmatige controle van 50 persoonslijsten. Bij deze controle controleren wij de gehele persoonslijst inclusief brondocumenten.

C. Vragenlijsten: Het beantwoorden van vragenlijsten, verdeeld over zes thema’s: 1. 2. 3. 4. 5. 6.

Organisatie van de beveiliging (ENSIA) Toegangsbeveiliging (ENSIA) Naleving (ENSIA) Bijhouding van de BRP (domein) Verstrekking van gegevens (domein) Aanbeveling (domein)

3

Collegevoorstel

Hieronder volgen de uitkomsten van de drie onderdelen, voorzien van een vergelijking met voorgaande jaren: Onderdeel

2025

2024

2023

2022

2021

A.

Bestandscontrole

100,00%

100,00%

100,00%

100,00%

100,00%

B.

Inhoudelijke controle

86%

90,00%

96,00%

88,00%

82,00%

100,00% 100,00% 100,00% 100,00% 100,00% 100,00%

100,00% 100,00% 100,00% 90,20% 100,00% 100,00%

100,00% 100,00% 100,00% 90,90% 100,00%

100,00% 100,00% 100,00% 100,00% 100,00%

100,00% 100,00% 100,00% 100,00% 97,30%

100,00%

40,00%

-

-

-

C. Vragenlijsten per thema 1. Organisatie beveiliging (ENSIA) 2. Toegangsbeveiliging (ENSIA) 3. Naleving (ENSIA) 4. Beleid en organisatie (domein) 5. Uitvoering bijhouden (domein) 6. Uitvoering verstrekking (domein) 7. Uitvoering incidentafhandeling (domein) Duiding van de resultaten BRP

A. Bestandscontrole In de bestandscontrole zijn geen fouten geconstateerd.

B. Inhoudelijke controle Bij de inhoudelijke controle zijn bij 7 persoonslijsten afwijkingen geconstateerd. Op grond van de uitkomsten van de inhoudelijke controle zijn daarvan 5 persoonslijsten gecorrigeerd. Voor 1 persoonslijst is bewust gekozen om deze niet te corrigeren. Van een andere persoonslijst was correctie niet mogelijk. Er zijn dus bij de inhoudelijke controle weliswaar afwijkingen geconstateerd en deze zijn niet wenselijk. We streven per slot van rekening naar een foutloze uitvoering. Toch duiden deze afwijkingen niet op grote fouten of tekortkomingen en zijn we ‘in control’.

C. Vragenlijsten De resultaten laten dit jaar een stijgende lijn zien ten opzichte van 2024. Hiermee hebben we laten zien dat verbetering van de werkprocessen en krijgen van nieuwe medewerkers bij burgerzaken op het juiste kennis- en vaardigheidsniveau, heeft geleid tot resultaatverbeteringen. Een uitgebreid verslag van alle bevindingen staat ter informatie in het uittreksel BRP 2025 (bijlage 4).

Reisdocumenten Uit de zelfevaluatie blijkt dat we op alle onderdelen goed in control zijn. De scores zijn ruim voldoende en laten nergens grote fouten of onvolkomenheden zien. De zelfevaluatie bestaat uit het beantwoorden van vragenlijsten, verdeeld over zes thema’s: 1. Organisatie van de beveiliging (ENSIA) 2. Toegangsbeveiliging (ENSIA) 3. Naleving (ENSIA) 4. Aanvraag- en uitgifteproces reisdocumenten (domein) 5. Overig proces reisdocumenten (domein) 6. Aanbeveling

4

Collegevoorstel

Hieronder volgen de uitkomsten, voorzien van een vergelijking met voorgaande jaren: Vragenlijsten per thema 1. Organisatie beveiliging (ENSIA) 2. Toegangsbeveiliging (ENSIA) 3. Naleving (ENSIA) 4. Aanvraag- en uitgifteproces (domein) 5. Overig proces (domein) 6.

Aanbeveling (domein)

2025 100% 100% 100% 77,9% 79,7%

2024 100,00% 100,00% 100,00% 86,20% 100,00%

2023 100,00% 100,00% 100,00% 100,00% 100,00%

2022 100,00% 100,00% 100,00% 100,00% 100,00%

2021 100,00% 100,00% 100,00% 100,00% 100,00%

37,5%

31,50%

88,00%

100,00%

100,00%

Duiding van de resultaten reisdocumenten De resultaten laten op onderdelen een iets dalende lijn zien. Dit geeft aanleiding voor het cluster Burgerzaken om in 2026 risicogericht aan de slag te gaan met een aantal aandachtspunten. Meer informatie over de bevindingen staat in het uittreksel reisdocumenten 2025 (bijlage 5).

Beoogd effect Met ENSIA verantwoorden we ons gemeentebreed over informatieveiligheid. De kern is om de informatiebeveiliging op een hoog niveau te houden. Hiermee garanderen we dat de inwoners van onze gemeente ervan uit kunnen gaan dat hun gegevens in veilige handen zijn en dat de gemeente voor hun hierin een betrouwbare partner is.

Argumenten Voor het college: 1.1 De situatie in de gemeente Raalte voor wat betreft informatieveiligheid geeft voldoende aanleiding om een positieve collegeverklaring ENSIA af te geven Deze verklaring betreft de onderdelen van de ENSIA systematiek waarover zogenaamde assurance wordt gevraagd van een onafhankelijke IT auditor. Voor het jaar 2025 betreft dit DigID en Suwinet (zie bijlage 1). Het college verklaart dat bij de gemeente Raalte op 31 december 2025 de beheersingsmaatregelen (in opzet en bestaan) voldoen aan de geselecteerde normen over DigiD en Suwinet.

1.2 Het assurancerapport ondersteunt de correctheid van de verklaring Een bij de NOREA geregistreerde IT-auditor controleert de Collegeverklaring en stelt een Assurance rapport op. Deze werkzaamheden van de IT-auditor duiden we ook wel aan als de IT-audit. De IT-auditor verklaart in het Assurance rapport dat de Collegeverklaring een getrouw beeld geeft. Getrouw betekent dat de collegeverklaring met een redelijke mate van zekerheid juist en volledig is. Deze verklaring van getrouwheid geeft aanvullende zekerheid over de juistheid en volledigheid van de Collegeverklaring. Het assurancerapport is in conceptvorm bijgevoegd (zie bijlage 2). Na vaststelling door het College wordt het Assurancerapport definitief en ondertekend door de auditor.

2.1 Voor de basisregistraties scoort de gemeente Raalte boven de norm. Voor de BAG, BGT en BRO voldoen we aan de norm en is er sprake van een goede beheersing van het proces.

3.1 Voor de Basisregistratie Personen scoren we voldoende maar geven de resultaten aanleiding om verbetermaatregelen door te voeren. 4.1 Door de raad te informeren wordt verantwoording afgelegd over de informatieveiligheid 5.1 Ter afronding van de procedure dient de IT-auditor een bevestiging van de collegeverklaring ENSIA 2025 te krijgen De ENSIA coördinator van Raalte stuurt een bevestiging aan de IT-auditor dat de collegeverklaring ENSIA 2025 is afgelegd.

5

Collegevoorstel

6.1 Met het opsturen van de verantwoordingsrapportages BAG, BGT en BRO naar Ministerie van Binnenlandse Zaken en Koninkrijkrelaties vindt de verticale verantwoording plaats 7.1 Met het versturen van het uittreksel BRP voldoen we aan de wettelijke verplichting om jaarlijks onderzoek uit te voeren en de resultaten te delen met de Autoriteit Persoonsgegevens en het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties. Voor de burgemeester: 1.1 Voor de reisdocumenten zijn we ‘in control’ en zijn verbetermaatregelen niet noodzakelijk 2.1 Met het versturen van het uittreksel van de reisdocumenten voldoen we aan de wettelijke verplichting om jaarlijks onderzoek uit te voeren en de resultaten te delen met de Autoriteit Persoonsgegevens en het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties.

Duurzaamheid Niet van toepassing.

Kanttekeningen Er zijn geen kanttekeningen.

Financiën en Fiscale aspecten Het besluit heeft geen financiële consequenties.

Vervolg De verklaring wordt opgestuurd naar de VNG. De VNG stuurt vervolgens de verklaring van DigiD naar Logius, toezichthouder namens het Ministerie van Binnenlandse Zaken, en de verklaring van Suwinet naar BKWI, toezichthouder namens het Ministerie van Sociale Zaken en Werkgelegenheid. De verantwoordingsrapportages BAG, BGT en BRO worden opgestuurd naar het Ministerie van Binnenlandse Zaken en Koninkrijkrelaties. De ondertekende uittreksels van de BRP en Reisdocumenten worden verstuurd naar de Autoriteit Persoonsgegevens en de Rijksdienst voor Identiteitsgegevens. Daarmee voldoen we aan de wettelijke plicht om de onderzoeksresultaten aan hen bekend te maken (Wet BRP artikel 4.3, lid 2 en artikel 4.3, lid 4). Het uittreksel BRP én het uittreksel reisdocumenten worden bovendien geüpload in de landelijke Kwaliteitsmonitor. De verklaring wordt opgestuurd naar de auditor opdat hij het assurancerapport definitief kan maken.

Communicatie Andere communicatie dan richting de genoemde organisaties is niet noodzakelijk.

Bijlagen Bijlage 1. Collegeverklaring DigiD en Suwinet Raalte (inclusief bijlagen 1a, 1b, 1c en 2) Bijlage 2. Assurancerapport ENSIA 2025 Bijlage 3. Verantwoordingsrapportage BAG, BGT en BRO Bijlage 4. Uittreksel BRP 2025 Bijlage 5. Uittreksel Reisdocumenten 2025

6