Collegevoorstel ENSIA 2025

COLLEGEVOORSTEL Onderwerp

Collegeverklaring ENSIA 2025 & rapportage BAG/BGT/BRO

Datum collegevergadering

21 april 2026

Thema programmabegroting

Bedrijfsvoering

Portefeuillehouder

Dorus Klomberg

Zaaknummer

2026-005575

Samenvatting Via de ENSIA methode verantwoordt de gemeente zich over de status van de informatiebeveiliging van de systemen binnen de onderdelen van ENSIA. Deze verantwoording is gericht aan de gemeenteraad en landelijke toezichthouders. Om ENSIA 2025 af te kunnen ronden moet de collegeverklaring door het college vastgesteld en ondertekend worden. Ook moet de verantwoordingsrapportage over de Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT) en Basisregistratie Ondergrond (BRO) vastgesteld worden. Hierna kunnen de volgende stappen in gang gezet worden ter afronding. De resultaten dit jaar hebben een positief en negatief aspect. Positief is dat we de verbetering op Suwinet hebben weten vast te houden en hier voldoende op scoren. Ook hebben we de verbetering op een van de vier DigiD aansluitingen vast weten te houden. Daarnaast scoren we voldoende op BAG/BGT/BRO. We scoren echter onvoldoende op drie van de vier DigiD aansluitingen. Dit is mede het gevolg van strengere controle, een extra aansluiting, extra normen en processen die niet volledig conform de norm worden uitgevoerd. De uitkomsten van deze audit leiden niet tot directe effecten voor de publieke dienstverlening. Er is via een her-audit de mogelijkheid om alsnog te kunnen voldoen. De verbeteringen om alsnog te kunnen voldoen zijn al grotendeels in gang gezet.

Daarnaast is het realistisch dat we deze verbeteringen doorgevoerd krijgen. Het college wordt gevraagd akkoord te gaan met de resultaten van ENSIA 2025 zodat het gehele traject tijdig afgerond kan worden en de vervolgstappen uitgevoerd kunnen worden.

Voorgesteld besluit 1. 2.

De collegeverklaring ENSIA 2025 inclusief bijlagen DigiD/Suwinet vast te stellen. De verantwoordingsrapportage BAG/BGT/BRO 2025 vast te stellen.

Inleiding De gemeente moet zich elk jaar verantwoorden over de status van informatiebeveiliging en datakwaliteit. Deze verantwoording is enerzijds gericht aan de eigen organisatie: de gemeenteraad. Anderzijds moet de gemeente zich verantwoorden naar centrale toezichthouders: het ministerie van SZW en BZK. ENSIA verzorgt deze verantwoording in één keer, met één verklaring. De collegeverklaring gaat over de verantwoording van een beperkt deel van de gehele ENSIA: over DigiD en Suwinet. Dit jaar is de controle strenger: opzet, bestaan en werking worden gecontroleerd voor al onze aansluitingen. Dat zijn er dit jaar vier, dat waren er vorig jaar drie. Daarnaast hebben wij Suwinet aansluitingen, waarover we ons ook moeten verantwoorden. Om tot een positief oordeel te komen, moet elk onderdeel van elke gecontroleerde norm als voldoende beoordeeld worden. Dit jaar is dat aan onze kant niet gelukt.

1

COLLEGEVOORSTEL Wel hebben onze verbetering van voorgaande jaren voor Suwinet en één van de vier aansluitingen vast weten te houden, een mooie prestatie. De uitzonderingen zijn in een verbeterplan opgenomen en de verbetermaatregelen zijn belegd en worden gemonitord. Er is een her-audit nodig om vast te stellen dat we tijdens een herstelperiode wel voldoen. Indien we dan nog niet voldoen, riskeren we afsluiting, waardoor we de applicaties niet kunnen gebruiken en de gemeentelijke dienstverlening in gevaar komt. Ook voor datakwaliteit is een verbeterplan in gang gezet om kwaliteit vast te houden. Om ENSIA 2025 af te ronden en de herstelperiode in te gaan moet het college de huidige resultaten erkennen, vaststellen en ondertekenen, zodat de auditor en de ENSIA-coördinator de rest van het traject kunnen afronden.

Beoogd effect We willen de dienstverlening voor inwoners waarborgen: de gemeente gebruikt DigiD en Suwinet voor primaire dienstverlening. Tijdig en juist verantwoorden voorkomt afsluiting. Voldoen aan de kaders waarborgt de betrouwbaarheid van onze systemen en daarmee de dienstverlening.

Argumenten

1.1 De gemeente is wettelijk verplicht verantwoording af te leggen via ENSIA. Door in te stemmen met dit voorstel voldoet de gemeente aan deze verplichting en worden de raad en centrale toezichthouders succesvol, tijdig en volledig geïnformeerd. 1.2 ENSIA 2025 moet op tijd afgerond worden. Het formeel vaststellen en ondertekenen van de collegeverklaring en het vaststellen van de verantwoordingsrapportage BAG/BGT/BRO liggen op het kritieke pad voor de verdere werkzaamheden om ENSIA 2025 af te ronden. 2.1 De resultaten kloppen. De huidige bevindingen zijn tot stand gekomen op basis van beoordeling van bewijslast door een gecertificeerde externe IT-auditor. Uit intern onderzoek door onze CISO en afstemming met onze interne verantwoordelijken blijkt dat onze bewijslast niet verandert. Een andere auditor zal tot dezelfde conclusie komen. 2.2 De verantwoording hoeft niet zonder bevindingen te zijn. Het komt vaker voor dat een norm niet voldoet. Voorgaande jaren zijn de resultaten ook vastgesteld mét bevindingen. Akkoord gaan met de resultaten initieert de periode voor verbetering: de her-audit. Het is realistisch deze verbeteringen door te voeren. Het is beter om tijdig mét bevindingen te verantwoorden, dan verbetering door (proberen) te voeren en te laat verantwoorden.

Te laat verantwoorden leidt namelijk sneller tot afsluiting door de toezichthouder, terwijl op tijd verantwoorden leidt tot gegunde ruimte voor verbetering.

Kanttekeningen en/of risico’s

1. Zonder tijdige collegeverklaring kan onze gemeente worden afgesloten van het gebruik van DigiD en Suwinet. We voldoen dan niet aan de ENSIA verplichting om tijdig en op de juiste wijze te verantwoorden over de beveiliging van DigiD en Suwinet. Toezichthouders kunnen dan beslissen deze voorzieningen af te sluiten. Dit raakt onze primaire dienstverlening. Heraansluiting kost weken tot maanden aan tijd, capaciteit van medewerkers en kan extra kosten met zich meebrengen.

Financiën Akkoord gaan met het voorgestelde besluit betekent de eenmalige uitvoering van een her-audit. Deze her-audit moet worden uitgevoerd door een externe controlerende IT-auditor. In de begroting 2026 zijn hier net als eerdere jaren middelen voor gereserveerd. Bedrag (€)

Jaarschijf / jaarschijven

2

COLLEGEVOORSTEL Eenmalige uitgaaf:

5.000 – 7.500

2026

Investering:

n.v.t.

n.v.t.

Structurele lasten:

17.000 - 25.000

2025-2028

Uitvoering Na akkoord deelt de ENSIA-coördinator de vastgestelde en ondertekende documenten met de externe IT-auditor. De auditor zal na ontvangst het concept Assurancerapport (zie bijlage 2) definitief maken en delen met de gemeente. De ENSIA-coördinator zorgt vervolgens dat de definitieve stukken uiterlijk 30 april worden ingediend bij de toezichthouders.

Participatie en communicatie 1.

2.

3.

Gemeenteraad Verantwoording richting de gemeenteraad over de resultaten vindt plaats via de paragraaf Bedrijfsvoering in de jaarrekening en de raadsinformatiebrief Digitale Veiligheid. IT-auditor De vastgestelde en ondertekende documenten worden aan de controlerende IT-auditor overhandigt door de ENSIA-coördinator. De IT-auditor deelt zijn definitieve Assurancerapport met de ENSIA-coördinator. Centrale toezichthouders De ENSIA-coördinator levert vóór 1 mei 2026 de vastgestelde en ondertekende collegeverklaring en verantwoordingsrapportage, tezamen met het definitieve Assurancerapport bij de centrale toezichthouders.

Bijlagen 1. 2. 3. 4. 5. 6. 7. 8.

Gemeente Rheden_Collegeverklaring DigiD en Suwinet 2025 ENSIA Concept Assurance-rapportage gemeente Rheden ENSIA 2025 Gemeente Rheden_Bijlage 1 DigiD 2024 - SaaS-leverancier_DigiD CMS 2025 ENSIA Gemeente Rheden_Bijlage 1 DigiD 2024 - SaaS-leverancier_DigiD Belastingbalie 2025 ENSIA Gemeente Rheden_Bijlage 1 DigiD 2024 - SaaS-leverancier_DigiD Burgerzaken 2025 ENSIA Gemeente Rheden_Bijlage 1 DigiD 2024 - SaaS-leverancier_DigiD Zaaksysteem 2025 ENSIA Gemeente Rheden_Bijlage 2 Verantwoording Suwinet 2025 ENSIA Gemeente Rheden_Rapportage over BAG, BGT en BRO 2025 ENSIA

De Steeg, 21 april 2026 Burgemeester en wethouders van Rheden,

Carol van Eert, burgemeester

Bart Drewes, gemeentesecretaris

3