presentatie Informatiebeleidsplan en informatiebeveiliging Rhenen 2026 - Raad
Tekst van het document
Informatisering Gemeente Rhenen 2024-2028 Marieke van Eijk – Informatieadviseur/informatieanalist 20 april 2026
Waarom een informatiebeleidsplan?
Scope
Waar gaan we naar toe? In dienst van organisatie • Hoge werkdruk ICT-afdeling • Contracten en applicaties niet goed in beeld • Assertiviteit wordt beloond
Basis op orde • Passend applicatielandschap • Contracten centrale plek • Afspraken samenwerken en documenten delen • Kosten op orde • Voldoen aan wetgeving
Visie Onze ambitie is met informatievoorziening waarde te leveren voor de inwoner en organisatie op een duurzame manier
Sporen informatiebeleid
Realisatie en uitvoering Plateau 4 Plateau 3 Plateau 2
Plateau 1
20242025
20252026
20262027
20272028
Status 2026
Status 2026
Informatiebeveiliging Gemeente Rhenen 2026 Peter den Dulk - CISO 30 maart 2026
Gap-analyse • BIO: dit beschrijft de basismaatregelen die nodig zijn om gegevens te beschermen tegen verlies, fouten of misbruik • Wij voldoen voor 43% aan deze basismaatregelen (december 2025) • Dit betekent niet dat de gemeente voor 57% onvoldoende beveiligd is.
Cyberbeveiligingswet (NIS2-richtlijn) • Cyberbeveiligingswet (CBW): wetgeving met als doel om voldoende weerbaar en continu beschikbaar blijven. • Aantoonbaar risicobeheer en passende maatregelen • Expliciete bestuursaansprakelijkheid • Volwassenheidsniveau Rhenen: o Governance: 1.4 o Uitvoering: 2.3
Dreigingen • Toenemende cyberdreiging: statelijke actoren, criminelen en insiders. • Aanvallen op kritieke infrastructuur verstoren gemeentelijke diensten en ketens. • Strengere wettelijke eisen verhogen complexiteit en nalevingsrisico. • Arbeidsmarkt bemoeilijkt aantrekken en behouden specialisten; afhankelijkheid van externen neemt toe. • Data-soevereiniteit: ongewenste afhankelijkheid van derden voor toegang tot onze data.
Kwetsbaarheden • Risicomanagement is nog niet geïmplementeerd; hierdoor ontbreekt structurele grip op risico’s, prioritering en aantoonbare beheersing. • Beleidsregels ontbreken of zijn onvoldoende geïmplementeerd. • Informatie wordt niet altijd correct bewaard. • Er is onvoldoende capaciteit (tijd en mensen) om werkzaamheden structureel en tijdig uit te voeren. • Lessen uit incidenten en evaluaties worden nog onvoldoende vertaald naar structurele procesverbeteringen.
Risico's • Het werk kan niet (tijdig) worden uitgevoerd door uitval van systemen, afhankelijkheden en onvoldoende beschikbare specialisten. • Informatie kan onvolledig of onjuist zijn door fouten (mensen en/of systemen), ongeautoriseerde wijzigingen of verouderde brongegevens.
• Informatie (bijvoorbeeld persoonsgegevens) kan beschikbaar komen voor onbevoegden, die deze bewust of onbewust kunnen inzien, delen of misbruiken.
Kansen • Commitment belanghebbenden Voldoende commitment van college en management, bevestigd via de vastgestelde roadmap. • SIEM/SOC-monitoring Monitoring verder benutten om dreigingen en afwijkingen sneller en effectiever te detecteren en opvolging te versnellen. • Change Advisory Board (CAB) Formeel overleg waarin specialisten wijzigingen beoordelen op beleidsregels en risico’s. • Incidentmanagement Het implementeren van de beleidsregels om incidenten tijdig en voldoende af te handelen en structureel te vertalen naar verbeteracties (lessons learned). • GRC-tool Verdere implementatie om controles en verantwoording efficiënter uit te voeren; tevens kerninstrument voor registratie en uitvoering van risicomanagement.
• AI (ondersteunend) Kan helpen bij snellere detectie van dreigingen/kwetsbaarheden en efficiënter werken, mits passend ingericht en beheerst.
ISMS
Taken en verantwoordelijkheden: Organisatie van informatiebeveiliging, duidelijke rolverdeling en betrokkenheid van management, college en raad.
Risicomanagement: Fundament voor informatiebeveiliging: risico’s identificeren, beoordelen en beheersen voor continuïteit en compliance.
Beleid: Uitgangspunten vastgesteld voor integrale aanpak, inclusief normen, processen en verantwoordelijkheden.
Roadmap 2026 •
ISMS-inrichting & implementatie
•
Beleidsregels
•
Risicomanagement (basis)
•
Business Continuïteit & Crisisbeheersing (BCM)
•
Bewustwording & gedrag
•
Kwetsbaarheidsanalyses (pentests)
Bedankt voor jullie tijd