[22bb003280] Collegebrief inzake Collegeverklaring Gemeente Rotterdam ENSIA 2021

Bezoekadres: Stadhuis Coolsingel 40 3011 AD Rotterdam Postadres: Postbus 70012 3000 KP Rotterdam Website: www.rotterdam.nl Inlichtingen: Özgür Dogan Telefoon: 0622740682

Aan de Gemeenteraad

Portefeuillehouder: A. van Gils Cluster: BCO Ons kenmerk: 22bo3053 Datum: B&W 19 april 2022 Betreft: Collegeverklaring ENSIA

Onderwerp: Collegeverklaring Gemeente Rotterdam ENSIA 2021

Op welke gronden deze brief?/Waarom nu voorgelegd? Met de voorliggende brief informeren wij u over de ENSIA-resultaten over het verantwoordingsjaar 2021. Per 1 juli 2017 is het landelijke project ENSIA (Eénduidige Normatiek Single Information Audit) voor gemeenten van start gegaan. Doel van de ENSIA is om gemeentelijke organisatie(s) op een eenduidige en transparante manier richting de gemeenteraad en richting het Rijk verantwoording af te laten leggen over de mate waarin deze in control is (zijn) op het vlak van de beveiliging van de aansluitingen op landelijke systemen voor de basisregistraties (zie onder toelichting), zoals bijvoorbeeld DigiD. Conform de landelijke richtlijnen moet de uitkomst van de audits uiterlijk 15 juli worden gedeeld met uw raad, inclusief een overzicht met de eventueel benodigde verbetermaatregelen (‘verbeterplannen’). Met het toezenden van de voorliggende brief geeft ons college hier invulling aan. Aangezien het belang van openbaar maken van de informatie niet opweegt tegen het inzicht dat de inhoud van de bijlagen bieden in eventuele kwetsbaarheden in gebruikte systemen, verstrekken wij u deze informatie met inachtneming van artikel 25, tweede lid Gemeentewet en artikel 10, tweede lid, onder b, d en g, van de Wet Openbaarheid van Bestuur, onder oplegging van geheimhouding.

Overeenkomstig artikel 25 van de Gemeentewet verzoeken wij u deze geheimhouding in uw eerstvolgende vergadering te bekrachtigen voor de duur van de periode die nodig is om de kwetsbaarheden conform de verbeterplannen op te lossen. Dit zal uiterlijk eind van het jaar het geval zijn.

Relatie met het coalitieakkoord/collegewerkprogramma/begroting/eerder aangenomen moties en gedane toezeggingen: n.v.t.

Toelichting: De gemeenteraad wordt via de reguliere P&C cyclus geïnformeerd over het informatiebeleid inclusief het informatieveiligheidsbeleid. Daarnaast heeft de gemeente de verplichting om middels de ENSIA over een aantal koppelingen met landelijke systemen verantwoording af te leggen aan het Rijk. Met de ENSIA-methodiek leggen gemeentelijke organisatie(s) op een

Blad:

2/4 eenduidige en transparante manier richting de gemeenteraad en richting het Rijk verantwoording af over de mate waarin deze in control is (zijn) op het vlak van de beveiliging van de aansluitingen op landelijke systemen voor de basisregistraties. Het gaat daarbij over rapportagejaar 2021 om de volgende aansluitingen:      

De Digitale persoonsidentificatie (DigiD), De Gezamenlijke Elektronische Voorzieningen Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet). De Basisregistratie Adressen en Gebouwen (BAG), De Basisregistratie Grootschalige Topografie (BGT), De Basisregistratie Ondergrond (BRO) De Waardering Onroerende Zaken (WOZ)

Het doel van ENSIA is om in één systematiek de verantwoording over deze koppelingen te bundelen en daarmee in één keer verantwoording af te leggen over het gebruik van deze zes registratiesystemen. Het uitgangspunt daarbij is de Baseline Informatiebeveiliging Gemeenten en de gebruikte methodiek is die van zelfevaluatie, waarbij jaarlijks voor een aantal onderdelen van de ENSIA wordt vastgesteld dat daarnaast ook een assuranceverklaring van een onafhankelijke IT-auditor wordt gevraagd. Voor de audit over 2021 is bepaald dat een assuranceverklaring is vereist voor de volgende onderdelen: (1) de aansluitingen met DigiD en (2) de aansluiting op Suwinet. Met de audits wordt beoordeeld of de aansluitingen per 31 december 2021 in opzet en bestaan qua beheersingsmaatregelen voldoen aan de gestelde normen. In de gemeente Rotterdam is deze audit uitgevoerd door Concernauditing. Overigens wordt jaarlijks het normenkader voor de audits bepaald en/of aangepast. Dat betekent dat een vergelijking in tijd (bv. 2021 t.o.v. 2022) niet te maken is. In de bijlage vindt u ter informatie de Collegeverklaring over de audits op de DigiD- en Suwinet-aansluitingen. Daarnaast treft u ook de verantwoordingsrapportages BAG, BGT, BRO en WOZ.

De verantwoording over de Basisregistratie Personen en Wet- en regelgeving Reisdocumenten verloopt middels een eigen proces en valt om die reden buiten dit verantwoordingsmoment.

Uitkomst audits op DigiD en Suwinet De gemeente Rotterdam heeft voor de verantwoording van 2021 zelfevaluaties voor DigiD en Suwinet uitgevoerd. De zelfevaluaties en de onafhankelijke toetsing door Concernauditing hebben uitgewezen dat voor DigiD en voor Suwinet aan de meeste normen wordt voldaan. Deze normen zijn afgeleid vanuit de Baseline Informatiebeveiliging, oftewel de BIO. Vanuit de BIO zijn enkele normen voor DigiD en Suwinet voor dit jaar verzwaard, maar dit heeft geen impact gehad op de uiteindelijke eindscore. Als Gemeente Rotterdam voldoen we aan de meeste normen, en de bevindingen die geconstateerd zijn hebben een lage impact. Voor de normen waar bevindingen voor zijn, zijn er verbeterplannen opgesteld en naar verwachting zullen ze voor het eind van 2022 zijn geïmplementeerd. De bevindingen zijn als bijlagen toegevoegd.

Blad:

3/4 Uitkomst meting BAG, BGT, BRO en WOZ Naast DigiD en Suwinet, is ook voor het gebruik van de BAG, BGT, BRO en WOZ een zelfevaluatie uitgevoerd. De uitkomsten van deze zelfevaluaties zijn opgenomen in de rapportages die als bijlage bij deze brief zijn gevoegd. Bij de BGT is een score van 100% gehaald, bij de BAG 83% en bij de BRO 77,5%. Deze scores hebben betrekking op de juridische verankering, de actualisatie van procesbeschrijvingen, herijking van formatie en het wegwerken van achterstand. De verantwoordelijke organisatieonderdelen hebben de benodigde verbetermaatregelen in gang gezet, en grotendeels geïmplementeerd. Tevens is er dit jaar de zelfevaluatie WOZ (waardering onroerende zaken) meegenomen in de ENSIA-audit. De resultaten hiervan treft u eveneens in de bijlage.

Verbeterplannen Met deze brief informeert het college u ook over de inhoud van de verbeterplannen. In bijlage 4 zijn deze verbeterplannen, gezien het relatief technische karakter ervan, op hoofdlijnen bijgesloten. Desgewenst kan een meer verdiepende toelichting gefaciliteerd worden. Met deze brief benadrukt ons college dat het de bevindingen en de risico’s goed op het netvlies heeft en dat de benodigde actie is/wordt ondernomen en voor het eind van het jaar zullen zijn opgelost.

Vervolgstappen N.v.t. Financiële en juridische consequenties/aspecten: N.v.t.

Burgemeester en Wethouders van Rotterdam, De secretaris,

De burgemeester,

V.J.M. Roozen

A. Aboutaleb

Bijlage(n): Bijlage 1 (geheim): Collegeverklaring ENSIA (inclusief bijlagen DigiD en Suwinet) Bijlage 2 (geheim): Verantwoordingsrapportage BAG, BGT en BRO Bijlage 3 (geheim): Verantwoordingsrapportage WOZ Bijlage 4 (geheim): Verbeterplannen op hoofdlijnen

Blad:

4/4