Agendabundel

Kengetallen P&O De omvang van het personeelsbestand is van nature kwetsbaar in relatie tot onze omvang. Voor vrijwel ieder werkveld geldt dat het een taak is die bij één, hooguit twee, medewerkers berust. Deze medewerkers hebben een veelheid van taken en zijn op meerdere beleidsterreinen actief. Dit maakt werken in Rozendaal bijzonder en juist daardoor ook aantrekkelijk. De keerzijde is dat uitval of vertrek van medewerkers snel grote consequenties heeft, in de dienstverlening, in de voortgang van projecten en vaak ook in kosten (doordat vervolgens externe inhuur noodzakelijk is).

68

Omschrijving Formatieplaatsen (fte) Medewerkers (aantal) Mannen (%) Vrouwen (%) Ziekteverzuim (%) Instroom (%) Uitstroom (%) Deeltijders (%) Leeftijd (gemiddeld) Maximum Salarisschaal (%) Budget opleidingen (% loonsom)

Werkelijk 2023 12,3 14 64% 36% 2,00% 0% 0% 57% 52,4 86%

Begroot 2024 12,3 14 64% 36% 7,00% 0% 0% 57% 52,4 86%

1,21%

1,25%

Begroot 2025 12 14 43% 57% 7,00% 0% 7% 57% 53,3 78% 1,31%

Interne versus externe capaciteit In 2025 maken we gebruik van externe inhuur voor ondersteuning op in ieder geval privacy, informatieveiligheid, informatievoorziening, archiefbeheer en burgerzaken. De gemeente maakt verder gedurende het hele jaar gebruik van medewerkers van Scalabor voor werkzaamheden in de buitendienst en schoonmaakdiensten. Het project OOR vraagt het nodige van de ambtelijke organisatie, maar hier wordt ook ingehuurd op het gebied van woonbegeleiding, projectleider en locatiemanager. Ziekteverzuim 2021 Verzuimpercentage 6,80% Kort (0-8 dagen) 0,30% Middellang (8-43 dagen) 0,70% Lang ( >43 dagen) 5,80% * 2024 betreft de cijfers tm kwartaal 2.

2022 6,80% 0,70% 0,50% 5,50%

2023 8,27% 0,71% 0,51% 7,05%

2024 9,09% 1,17% 1,04% 6,88%

Het verzuimpercentage in Rozendaal is al enige jaren hoger dan gebruikelijk, terug te herleiden naar (meerdere) specifieke langdurige cases. Voor 2025 verwachten we nog steeds een hoger dan gemiddeld ziekteverzuim. Om dit op te vangen zijn extra middelen opgenomen bij externe inhuur in programma 0. Integriteit In de gemeente Rozendaal is zowel voor de bestuurders van de gemeente als voor de ambtenaren een gedragscode vastgesteld. In de wet is bepaald dat het college over het gevoerde integriteitbeleid voor de ambtenaren jaarlijks verantwoording dient af te leggen aan de gemeenteraad. In de Ambtenarenwet is de bepaling opgenomen dat ambtenaren een eed of belofte moeten afleggen dat hij of zij zich als een goed ambtenaar zal gedragen en als een goed ambtenaar zal handelen. Het is inmiddels een goede gewoonte dat we alle medewerkers uitnodigen om aanwezig te zijn bij het afleggen van de ambtseed of -belofte door nieuwe medewerkers. Deze eed of belofte wordt afgelegd ten overstaan van de burgemeester en in aanwezigheid van de gemeentesecretaris. Hierdoor houden we het thema integriteit op de agenda in de organisatie. Het zittende personeel heeft een schriftelijke verklaring rondom integriteit getekend die in het personeelsdossier is opgeborgen. Inhuurkrachten leggen geen eed of belofte af, maar ondertekenen een integriteits- en geheimhoudingsverklaring.

Behalve de gedragscode voor de ambtenaren heeft Rozendaal al sinds 2002 een zogenaamde klokkenluidersregeling. Daarin is bepaald dat ambtenaren (desgewenst anoniem) misstanden kunnen melden. Van deze klokkenluidersregeling is in Rozendaal nog nooit gebruik gemaakt. 69

Informatievoorziening en digitalisering De zorg voor een goede (digitale) informatievoorziening is een vitaal onderdeel binnen de gemeentelijke bedrijfsvoering. Het draagt bij aan het verbeteren van de dienstverlening aan onze inwoners, efficiënter werken en het bevorderen van de transparantie. Dit brengt niet alleen kansen maar ook uitdagingen met zich mee door de steeds hogere eisen die gesteld worden in het kader van privacy en veiligheid. Zie daarvoor ook paragraaf 9. VerSAASing Het gebruik van het SaaS-model (Software as a Service) is een belangrijke ontwikkeling vanuit de Digitale Agenda 2022-2023. De traditionele IT biedt applicaties aan zonder de techniek eromheen. De gemeente is dan verantwoordelijk voor de techniek om te applicatie naar behoren te laten werken. Bij SaaS-applicaties is dit verleden tijd. Met andere woorden: de aanbieder zorgt voor installatie, onderhoud, beheer en support. Binnen Rozendaal zijn bijna al onze applicaties ‘versaasd’. Alleen op Burgerzaken zijn er nog twee applicaties waar dit nog niet mogelijk is (RDW en Raas-station). Ook voor deze twee applicaties worden er landelijk stapjes gezet om verSAASing mogelijk te maken. Wij volgen deze ontwikkeling. Samenwerkingsverbanden Xantion ontzorgt ons op het gebied van het beheer van ons netwerk, apparatuur en telefonie.

Hierbij valt te denken aan het inspoelen van laptops, het zorg dragen van een veilig netwerk, het beheren van accountants en dergelijke. Op het gebied van ICT nemen wij nog een dienst af bij De Connectie. Via de Connectie zijn wij aangesloten op een glasvezelverbinding waarover een beveiligde lijn (Gemnet) loopt waarmee wij op een veilige wijze gegevens kunnen uitwisselen op diverse applicaties. Uitwijk bij calamiteiten Door de verSAASing is de locatie aan de Kerklaan voor de meeste werkprocessen geen kritieke locatie meer. De bedrijfscontinuïteit is hiermee sterk verbeterd. Voor het restrisico dat er nog is, met name op Burgerzaken, stellen wij een uitwijkplan op. Reguliere aanpak Er ligt naar aanleiding van de Digitale Agenda 2022-2023 inmiddels een goede basis voor een gestructureerde en planmatigere aanpak van de reguliere uitdagingen in het i-domein. Heldere rollen en verantwoordelijkheden zorgen er daarbij voor dat alle spelers (voor Rozendaal gaat het gauw om 45 rollen) op het juiste moment de juiste dingen doen (regievoering).

De kosten in de begroting voor informatievoorziening hebben betrekking op informatievoorzieningsvraagstukken die voor de bedrijfsvoering van belang zijn, zoals: (digitaal) informatiebeheer en het DMS/RMA; kantoorautomatisering en werkplekken; connectiviteit, zoals de glasvezelkabel; uitvoering wettelijke taken zoals Wet open overheid en de Archiefwet; informatiebeveiliging en privacyvraagstukken. In paragraaf 9 Informatieveiligheid gaan wij in op de thema’s die hierbij spelen.

70

Planning en control Planning en controlcyclus Het primaire doel van de P&C-cyclus is om het beleid en de bedrijfsvoering in beeld te krijgen en te houden. De P&C-cyclus moet inzicht geven in hoeverre de gemeente haar doelstellingen bereikt en welke (financiële) middelen daarbij nodig zijn. De ambtelijke organisatie legt daarbij verantwoording af aan het college van B&W. Het college doet dat op zijn beurt richting de gemeenteraad. De P&C-cyclus bestaat in Rozendaal uit respectievelijk de kadernota, de begroting, tussentijdse (financiële) verantwoordingsrapportages (Turap’s) en de Jaarstukken. De kadernota en begroting blikken vooruit op het komend begrotingsjaar en gaan dus over het ‘plannen’. De Turap’s en de jaarstukken blikken terug op (een gedeelte van) een jaar en ondersteunen de raad in de controlerende rol. De begroting en jaarstukken zijn verplicht vanuit het Besluit Begroten en Verantwoorden (BBV). In de BBV is ook geregeld hoe deze stukken eruit moeten zien. Andere momenten van plannen en verantwoorden zijn vrij. Jaarlijks evalueren we de afgelopen P&C-cyclus en verbeteren we, zowel op inhoud als op proces. Van Kadernota 2025-2028 naar Begroting 2025-2028 De Kadernota 2025-2028, zoals behandeld in de raadsvergadering van 2 juli 2024, geeft een negatief vooruitzicht voor jaren 2026 t/m 2028. De ingezette extra belastingverhoging blijft daarmee onvermijdelijk.

Onze afhankelijkheid van de middelen van het Rijk voor onze inkomsten worden jaarlijks bevestigd. (Zie ook het hoofdstuk ‘Financieel perspectief’.) Net zoals het voorgaande jaar staan wij in deze begroting stil bij de sturende vragen wat we willen bereiken, wat gaan we daarvoor doen en wat mag het kosten. Hierbij willen wij als college zo scherp mogelijk beschrijven wat de opdracht van de raad is voor 2025. Hiermee willen wij de raad in staat stellen om de kaders helder vorm te geven, prioriteiten te stellen en uiteindelijk ook om effectiever de controlerende taak uit te oefenen. Wij werken deze begroting uit in ambtelijke werkprogramma’s. Sturen op risico’s Om grip te houden op doeltreffendheid en doelmatigheid is het van belang om financiële en operationele risico’s in beeld te hebben, en om daarop als organisatie te kunnen sturen. Dat doen we onder meer door het bijhouden van de paragraaf Weerstandsvermogen. Daarin geven we (op basis van een tweejaarlijkse herijking) een risico-indicatie. Door een nog altijd stevige reservepositie kunnen we de geschetste risico’s opvangen. We streven er naar om de weerstandsratio niet lager te laten uitkomen dan 4 en we geven in de jaarstukken aan welke impact inzet van de reserve heeft op dit getal.

Sturen op rechtmatigheid Op grond van een wijziging van de Gemeentewet heeft het college de verplichting om zelf te verklaren in hoeverre de bestedingen rechtmatig tot stand zijn gekomen (de rechtmatigheidsverklaring). De accountant geeft sinds de jaarstukken 2023 alleen nog een oordeel af over het getrouw beeld van de jaarstukken, waarvan de uitgevoerde controles op de rechtmatigheid een onderdeel zijn. Om aan deze (wettelijke) verplichting te voldoen blijven we de (verbijzonderde) interne controle (VIC) verder ontwikkelen. Financiële functie Voor de financiële functie van de gemeente zijn vastgesteld een Financiële Verordening, voorgeschreven in artikel 212 Gemeentewet en een controleverordening voorgeschreven in artikel 213 Gemeentewet. Vanaf de jaarrekening 2016 is Stolwijk Kelderman door de gemeenteraad als accountant benoemd. Inmiddels heeft er een aanbesteding plaatsgevonden voor de accountantsdiensten controle op de jaarrekening 2025-2028. 71

Administratieve organisatie Voor een groot aantal processen zijn procesbeschrijvingen vereist. De digitale transitie, onder meer de implementatie van het DMS (document management systeem) versterkt nut en noodzaak hiervan. Daarnaast zijn in het kader van de functiebeschrijvingen globale taakbeschrijvingen opgesteld. In de verder ontwikkeling van de VIC wordt ook aandacht besteed aan dit onderwerp. Op tal van terreinen dient de gemeente (verplichte) controles, audits en zelfevaluaties uit te voeren. Voor bijvoorbeeld burgerzaken betreft het de jaarlijkse zelfevaluaties voor de Basisregistratie Personen (BRP) en voor de reisdocumenten. Jaarlijks dienen daarvoor controlewerkzaamheden plaats te vinden. De handhaving van allerlei wet- en regelgeving met name op het gebied van brandveiligheid, bouwen woningzicht en milieu vraagt voortdurend aandacht voor procesinrichting en benodigde kaders zoals mandaatregeling. We richten ons bij het maken van passende afspraken over dienstverlening daarom op verantwoordingsinformatie en controle informatie over passende uitvoering en kloppende procesinformatie op de gebieden Informatiebeveiliging, archiefregels, privacyregels en bevoegdheidsregels zoals mandaten.

Naast deze bedrijfsbrede verantwoording over de risicobeheersing en beheersmaatregelen zijn de volgende ontwikkelingen relevant voor gedegen risicobeheersing: Frauderisico-analyse: periodiek evalueren we het risico op fraude binnen de processen. De belangrijkste beheersmaatregel op het vlak van fraudebestrijding is het up-to-date houden van de budgetverantwoordelijkheid waarbij het 4-ogenprincipe uitgangspunt is. Projectmatig werken: door op specifieke grotere ontwikkeling meer projectmatig te sturen worden risico’s beter ingekaderd en inzichtelijk gemaakt. Inkoop en aanbesteding: zoals alle gemeenten merken ook wij dat de Europese aanbestedingsregels zo nu en dan knellen met onze bedrijfsvoering. Het gaat daarbij niet alleen om het beleidsmatige inkoopkader, maar zeker ook over de processtappen die per inkoop doorgelopen moeten worden. Contractmanagement: om goed op risico’s te kunnen sturen en daarop tijdig in te springen is het voor Rozendaal van belang om het contractmanagement goed vorm te geven. Dat heeft betrekking op het updaten van afspraken met leveranciers en samenwerkingspartners. Dit raakt ook het gedegen administreren van de lopende contractafspraken. In 2025 werken we aan beide verder. Samenwerkingsverbanden Het uitvoeren van de financiële administratie hebben wij belegd bij De Connectie.

Zij dragen zorg voor de verwerking in een financieel pakket volgens de wettelijke verplichte regels. Ook zorgen zij voor de betaling van de facturen. Hierbij steunen wij op de ISAE-verklaring. Ook voor de uitvoering van de inning van de lokale heffingen maken wij gebruik van de expertise die binnen De Connectie aanwezig is. Het gaat hierbij om het opleggen van de heffingen, innen van de heffingen, het taxeren van de woningwaarde en het behandelen van bezwaren op de heffingen. Onze partner binnen het Sociaal Domein is de Gemeente Rheden. Voor de financiële afhandeling van alle uitkeringen en de verleende zorg maken wij gebruik van de systemen en de kennis die hiervoor binnen onze buurgemeente aanwezig is. Ook verzorgt de gemeente Rheden de VIC op het gebied van het Sociale Domein.

72

Paragraaf 6: Verbonden Partijen Inleiding Het begrip Verbonden Partij is vastgelegd in het Besluit Begroting en Verantwoording (BBV). In artikel 1 lid b BBV wordt het als volgt gedefinieerd: “Een privaatrechtelijke of publiekrechtelijke organisatie waarin de provincie onderscheidenlijk de gemeente een bestuurlijk en financieel belang heeft.” Wat is ons beleid? Rozendaal is als kleine gemeente sterk afhankelijk van goede samenwerking met de partners in de omgeving om aan haar doelstellingen te bereiken. De focus in de samenwerkingen ligt op het degelijk en deugdelijk organiseren van de uitvoering van de wettelijke taken en het daartoe reduceren van kwetsbaarheden in de uitvoering. Dit speelt in het bijzonder in de samenwerking met de partners gemeente Rheden en De Connectie. Maar ook andere samenwerkingsrelaties zijn essentieel voor het voldoen aan wettelijke taken. Denk aan de BVO DRAN, waar de uitvoering van het doelgroepenvervoer is belegd en de Modulaire gemeenschappelijke regeling sociaal domein. Deelname aan een Verbonden Partij wordt dan ook bepaald door doeltreffendheid en doelmatigheid van de uitvoering van de taak. Daarnaast is een aanleiding om te participeren in een Verbonden Partij als dit gestimuleerd, of voorgeschreven wordt door een hogere overheid. Een ander voorbeeld is de wettelijk verplichte Omgevingsdienst.

Ook de deelname in een Veiligheidsregio en een GGD is geregionaliseerd, in ons geval de Veiligheids- en Gezondheidsdienst Gelderland Midden (VGGM). Wat is het belang voor de gemeenteraad? Deze paragraaf is om twee redenen van belang voor de raad. Allereerst voeren de Verbonden Partijen vaak beleid uit dat de gemeenten in principe ook zelf kan uitvoeren. We dragen weliswaar taken op of over aan de Verbonden Partijen, maar houden daarbij veelal zelf de uiteindelijke verantwoordelijkheid voor het realiseren van de beoogde doelstellingen van de programma’s. Voor de gemeente en daarmee voor de raad blijft er dus nog steeds een kaderstellende en controlerende taak over bij die programma’s. Daarnaast zijn er de financiële risico’s die we met Verbonden Partijen kunnen lopen en de daaruit voortvloeiende budgettaire gevolgen. Bij het aangaan en onderhouden van contacten met Verbonden Partijen is van belang om: af te wegen wat de meest doelmatige manier is om een taak uit te voeren; te bekijken welke manier de beste garantie geeft dat de taak wordt uitgevoerd zoals we voor ogen hebben; te zorgen dat we voldoende inhoudelijk en financieel inzicht hebben en houden in het uitvoeren van een taak. Bestuur en toezicht De meeste Verbonden Partijen van de gemeente zijn gemeenschappelijke regelingen, deze zijn gebaseerd op de Wet gemeenschappelijke regelingen (Wgr).

Als publiekrechtelijke lichamen zijn bepalingen van Gemeentewet, Provinciewet of Waterschapswet ook voor de gemeenschappelijke regelingen van toepassing. Via vertegenwoordiging in dagelijks en/of algemeen bestuur is het toezicht (governance) geregeld. Voor de privaatrechtelijke rechtspersonen (de vennootschappen) hebben we minder instrumenten in handen. Hier maken we gebruik van de beschikbare wettelijke mogelijkheden als het stemrecht van de aandeelhouder en toezicht door raden van commissarissen. Invloed 73

Over het algemeen is de invloed van de gemeente Rozendaal, vanwege de omvang en het belang, zeer klein te noemen. Van belang is voortdurend af te wegen welke bestuurlijke en ambtelijke capaciteit dan geïnvesteerd wordt in de betreffende Verbonden Partij gegeven dat belang. Het is ook niet altijd noodzakelijk omdat de deelname van meerdere gemeenten in gemeenschappelijke regelingen ook voor een soort natuurlijk aantal ’checks en balances’ zorgt waar het gaat over bestuur en toezicht. Overzicht Verbonden Partijen Verbonden Partijen worden onderscheiden in drie groepen: Gemeenschappelijke regelingen; Stichtingen en verenigingen; Coöperaties en vennootschappen. Gemeenschappelijke regelingen Deelname in een gemeenschappelijke regeling gebeurt in de gevallen waarin de gemeente, taken waar zij verantwoordelijk voor is, niet anders dan in samenwerking met anderen kan uitvoeren, of als die samenwerking bijdraagt aan een doelmatige aanpak. De Wgr regelt deze samenwerkingsvorm. Het bestuur van de gemeenschappelijke regelingen wordt meestal gevormd door een afvaardiging van de deelnemers en de besluitvorming vindt plaats op basis van meerderheidsbesluiten. In hoeverre er sprake is van overdracht van taken en daarmee van autonomie hangt sterk af van het type regeling.

Voor Rozendaal geldt dat voornamelijk wordt deelgenomen in relatief lichte samenwerkingsvormen waarbij het type bevoegdheid dat wordt overgedragen (voor zover überhaupt sprake is van taakoverdracht) een uitvoerend karakter heeft. De door de gemeente aangewezen vertegenwoordigers in de besturen informeren college en raad over relevante ontwikkelingen. De betreffende organen leggen hun begroting, rekening en andere beleidsplannen voor aan de gemeente. Onderstaande informatie wordt gepresenteerd in lijn met de voorschriften in het Besluit Begroting en Verantwoording (BBV).

74

Gemeenschappelijke regelingen Veiligheids- en Gezondheidsregio Gelderland-Midden (VGGM)

Vestigingsplaats Programma Openbaar belang

Ontwikkelingen en risico’s

Financiële belang Bestuurlijk belang

Financiële gegevens

Arnhem Programma 1 Veiligheid en Programma 7 Volksgezondheid en Milieu De Veiligheids- en Gezondheidsregio Gelderland-Midden behartigt de belangen van de gemeenten in het samenwerkingsgebied op de terreinen van: a. Brandweerzorg; b. Publieke gezondheid; c. GHOR; d. Rampenbestrijding en crisisbeheersing; e. Gemeenschappelijke meldkamer. De VGGM is bezig haar organisatie op orde te krijgen. Uit benchmark blijkt dat zij te krap in de bezetting bedrijfsvoering zitten. Hier is een plan voor opgesteld. Daarnaast blijft de verdeling van de huisvestingskosten van de brandweer boven de markt hangen. Voor Rozendaal komen hier mogelijk kosten uit voort. Er is nog geen zicht op de termijn waarop hier duidelijkheid over komt. De VGGM heeft een traject ingezet om samen met de gemeenten te kijken wat ze kunnen aanpassen om gemeenten tegemoet te komen in de ravijnjaren. Voor de begroting 2025 is al een taakstellende besparing van 2% opgenomen. Het bestuur van de VGGM werkt op weg naar de kadernota 2026 nadere inhoudelijke besparingsvoorstellen uit. 2025: € 186.000 (brandweer) en € 84.000 (publieke gezondheid) De burgemeester is lid van het algemeen bestuur. De wethouder sociaal domein/publieke gezondheid participeert bestuurlijk in het GGD-deel van deze regeling.

31-12-2022 31-12-2023 Eigen vermogen € 7.806.000 Eigen vermogen € 7.579.000 Vreemd vermogen € 51.358.000 Vreemd vermogen € 48.887.000 Resultaat 2022 € 707.000 Resultaat 2023 € 1.730.000

Gelders Archief Vestigingsplaats Programma Openbaar belang Ontwikkelingen en risico’s

Financiële belang Bestuurlijk belang Financiële gegevens

Arnhem Programma 0 Bestuur en ondersteuning Hoofdtaak is het beheren van de archiefstukken en collecties van de gemeenten Arnhem, Renkum, Rheden, Rozendaal en het Rijksarchief Gelderland. Via een nieuw meerjarig strategisch plan 2025-2028 werkt het GA de komende jaren aan goede, toegankelijke (archief)informatie voor iedereen. Het GA zet in op nieuwe technologie om de dienstverlening te verbeteren. De komende tijd spant het GA zich in om invulling te geven aan het e-Depot. 2025: € 13.673 Namens Rheden, Renkum en Rozendaal is de burgemeester van Renkum lid van het algemeen bestuur. 31-12-2022 31-12-2023 Eigen vermogen € 461.845 Eigen vermogen € 852.027 Vreemd vermogen € 20.372.876 Vreemd vermogen € 20.093.663 75

Omgevingsdienst regio Arnhem (ODRA) Vestigingsplaats Programma Openbaar belang

Ontwikkelingen en risico’s Financiële belang Bestuurlijk belang Financiële gegevens

Arnhem Programma 7 Volksgezondheid en Milieu en programma 8 (VHROSV) Gemeenschappelijke behartiging van de belangen van de deelnemers in van vergunningverlening, toezicht en handhaving in het kader van het omgevingsrecht. Ook het belang van goede samenwerking tussen de omgevingsdiensten in Gelderland. De ODRA heeft een traject ingezet om samen met de gemeenten te kijken wat ze kunnen aanpassen om gemeenten tegemoet te komen in de ravijnjaren. Basistaken worden uitgevoerd tegen uurtarief op basis van jaarlijks te sluiten overeenkomsten, de bijdrage voor 2024 bedraagt naar verwachting € 37.000. Eén lid algemeen bestuur uit Rozendaal. Eén lid dagelijks bestuur (wethouder Renkum) namens Doesburg, Renkum, Rheden en Rozendaal. 31-12-2022 31-12-2023 Eigen vermogen € 862.900 Eigen vermogen € 857.000 Vreemd vermogen € 5.825.200 Vreemd vermogen € 7.099.000

Bedrijfsvoeringsorganisatie Doelgroepenvervoer Regio Arnhem Nijmegen (BVO DRAN) Vestigingsplaats Arnhem Programma Programma 4 Onderwijs en programma 6 Sociaal domein Openbaar belang Adequaat en efficiënt vervoer van diverse doelgroepen. Ontwikkelingen en De BVO Dran heeft aangegeven een uitvoeringsorganisatie te zijn. Zij zien risico’s slecht beperkt mogelijkheden om gemeenten tegemoet te komen in de ravijnjaren. Financiële belang 2025: € 49.801 (bedrijfsvoeringsorganisatie DRAN plus de vervoerskosten) Bestuurlijk belang Eén lid per gemeente in het bestuur. Financiële gege31-12-2022 31-12-2023 vens Eigen vermogen € 0 Eigen vermogen € 0 Vreemd vermogen € 10.313.756 Vreemd vermogen € 10.690.891

Modulaire Gemeenschappelijke Regeling Sociaal Domein regio Centraal Gelderland (MGRSD) Vestigingsplaats Programma Openbaar belang

Ontwikkelingen en risico’s

Financiële belang

Arnhem Programma 6 Sociaal domein Regio Centraal Gelderland is een samenwerkingsverband van 12 gemeenten in het sociaal domein. Via de module Inkoop koopt de regio gezamenlijk diensten in op het gebied van Wmo en Jeugdhulp. Gezamenlijk wordt de transformatie in het sociaal domein zo goed mogelijk vorm gegeven met als doel optimale dienstverlening voor de inwoners. De MGRSD ziet weinig mogelijkheden om gehoor te geven aan te oproep om tot kosten reductie te komen voor de aanstaande ravijnjaren van de gemeenten. Er zullen beleidskeuzes gemaakt moeten worden door gemeenten om een kosten reductie te kunnen bewerkstelligen. Bijdrage van Rozendaal in 2025 bedraagt € 108.867.

76

Bestuurlijk belang

Financiële gegevens

Eén lid per gemeente in het algemeen bestuur, de wethouder financiën. Deze heeft één stem. De wethouder Sociaal Domein heeft zitting in de bestuurscommissies die onderdeel uitmaken van de MGRSD. 31-12-2022 31-12-2023 Eigen vermogen € 685.000 Eigen vermogen € 714.000 Vreemd vermogen € 4.388.000 Vreemd vermogen € 7.149.000

Groene Metropoolregio Arnhem-Nijmegen (GMR) Vestigingsplaats Programma Openbaar belang

Ontwikkelingen en risico’s

Financiële belang Bestuurlijk belang Financiële gegevens

Elst Divers De Groene Metropoolregio Arnhem-Nijmegen (GMR) is op 1 januari 2021 van start gegaan. De GMR is een samenwerkingsverband van 18 gemeenten. De uitdaging van deze GR is hoe om te gaan met groei van wonen, werken en mobiliteit, zodat wij een balans kunnen vinden tussen levendige stedelijkheid en ontspannen leefkwaliteit: groene groei. We participeren in alle vijf opgaven. De financiële situatie bij gemeenten werkt door op Gemeenschappelijke Regelingen, zo ook op de GMR. Het AB van de GMR heeft daarom in september 2024 opdracht gegeven om met de blik op de begroting 2026 e.v. op zoek te gaan naar besparingen, waardoor de bijdrage per inwoner vanuit de gemeenten omlaag kan. Tegelijkertijd heeft een bezuiniging invloed op (de voortgang van) de regionale ambities en projecten, daar waar vanuit de raden juist aangedrongen wordt op het vergroten van de realisatiekracht (‘van plannen naar doen’). Op basis van inwoneraantal is de Rozendaalse bijdrage aan de GMR voor 2025 € 22.000. Eén lid per gemeente in het algemeen bestuur (de burgemeester), deze heeft één stem. 31-12-2022 31-12-2023 Eigen vermogen € 347.799 Eigen vermogen € 380.937 Vreemd vermogen € 4.901.995 Vreemd vermogen € 5.323.902

Overig, waaronder stichtingen en verenigingen Vereniging Nederlandse Gemeenten (VNG) Vestigingsplaats Programma Openbaar belang Ontwikkelingen en risico’s Financiële belang Bestuurlijk belang

Den Haag Programma 0 Bestuur en ondersteuning Belangenbehartiging t.b.v. gemeenten in het hele proces van besluitvorming bij de rijksoverheid en provincies. De VNG blijft zich onverminderd inzetten voor de positie van gemeenten. In 2025 € 11.360 (contributie + fonds GGU). Stemrecht o.b.v. lidmaatschap

77

K80 Vestigingsplaats Programma Openbaar belang

Ontwikkelingen en risico’s

Financiële belang Bestuurlijk belang

Beesel Programma 0 Bestuur en ondersteuning Belangenbehartiging t.b.v. kleine gemeenten (< ca. 25.000 inwoners) in het hele proces van besluitvorming bij VNG, de rijksoverheid en provincies; samenwerking en kennisdeling tussen kleine gemeenten. De K80 is, in het vierde jaar van het bestaan (twee jaar als informeel netwerk en inmiddels ruim twee jaar als formele stichting) in een fase van doorontwikkeling en professionalisering. We groeien in aantal leden, hebben betrokken leden, geven inhoud aan de thema’s en staan op het netvlies van de VNG en ministeries. De wijze waarop de K80 nu is georganiseerd loopt tegen haar grenzen aan. De ambtelijke ondersteuning van het DB komt uit de gemeenten van de DB-leden. Activiteiten en bijeenkomsten worden door de leden zelf, uit de eigen capaciteit, opgezet. De ondersteuning is beperkt in tijd en middelen, terwijl de omvang en inzet voor de K80 groeit. Ook is er de behoefte aan een duidelijke communicatiestrategie, naar de eigen leden en naar externe partners. Het DB van de K80 neemt in 2025 definitieve beslissingen over de benodigde professionalisering. 2025: € 2.200 Stemrecht o.b.v. lidmaatschap

Stichting Veilig Thuis (zelfstandige stichting onder verantwoordelijkheid van de GR VGGM) Vestigingsplaats Programma Openbaar belang

Ontwikkelingen en risico’s Financiële belang Bestuurlijk belang

Arnhem Programma 6 Sociaal Domein Een autonome, slagvaardige organisatie met als opdracht het uitvoeren van de wettelijke en overige taken van het Advies- en Meldpunt Huiselijk geweld en Kindermishandeling (AMHK) voor de zestien gemeenten van GelderlandMidden N.v.t. 2024: € 14.461 Er is een Raad van Toezicht bestaande uit ten minste vijf leden, onder wie leden van het college van deelnemende gemeenten, die benoemd worden door het AB van de VGGM.

78

Paragraaf 7: Grondbeleid Grondbeleid is een belangrijk instrument in het kader van het ruimtelijke beleid. Na het sluiten van de grondexploitatie de Del is er geen grondexploitatie meer ‘open’. Op dit moment zijn er ook geen ontwikkelingen op grond waarin een grondexploitatie voorzien is.

79

Paragraaf 8: Openbaarheidsparagraaf (Wet Open Overheid) Deze paragraaf vloeit voort uit het besluit tot actieve openbaarmaking van informatie. Deze nieuwe verplichting is gericht op het verbeteren van de informatiehuishouding binnen overheidsinstanties, Bovendien vereist artikel 3.5 van de Wet open overheid (Woo, 2022) dat een bestuursorgaan in de jaarlijkse begroting en verantwoording specifieke aandacht besteedt aan zowel de beleidsvoornemens als de uitvoering van de Wet open overheid. Ook de gemeente Rozendaal streeft naar open en transparante communicatie met haar burgers. Om dit te bewerkstelligen houden we de wettelijke eisen als basis aan. Dit niveau hebben we nog niet bereikt, maar daar hebben we ook nog tot 2027 de tijd voor. Wat is de Woo? De Wet open overheid (Woo) regelt het recht op informatie over alles wat de gemeente Rozendaal doet. De Woo biedt de mogelijkheid om informatie op te vragen en vervangt de Wet openbaarheid van bestuur (Wob). Het doel van deze wet is om de overheid en overheidsinformatie transparanter te maken. De Wo orgelt de toegang tot informatie ‘van publiek belang’. Daarbij is het uitgangspunt: overheidsinformatie is openbaar, behalve als er een reden is waarom dat niet kan. De Woo bestaat uit drie onderdelen: 1. de openbaarmaking op eigen initiatief (actieve openbaarmaking: overheden moeten sommige informatie uit zichzelf openbaar maken); 2.

de openbaarmaking op verzoek (passieve openbaarmaking, dus pas als iemand erom vraagt, het vroegere Wob-verzoek); 3. verbetering van de informatiehuishouding (overheidsinformatie moet goed te vinden zijn). Actief openbaar maken Actief openbaar maken houdt in dat documenten in de 11 informatiecategorieën binnen 14 dagen nadat ze de status ‘definitief’ hebben gekregen elektronisch gepubliceerd moeten worden. Deze verplichting gaat bijvoorbeeld gelden voor de raadsstukken, bestuursstukken (agenda’s en besluitenlijsten van de vergaderingen van de colleges van B&W) en Woo-verzoeken. Een deel van deze stukken maken we ook nu al actief openbaar, zoals lokale regelgeving, de raadsstukken en -besluiten en aangevraagde en toegekende vergunningen. Passief openbaar maken Passief openbaar maken houdt in dat er een Woo-verzoek ingediend wordt om informatie te krijgen over een onderwerp of stukken die niet actief gepubliceerd hoeven te worden. De opgevraagde informatie wordt dan zo veel als mogelijk na het verzoek alsnog gepubliceerd. Informatiehuishouding De Woo verplicht gemeenten om de informatiehuishouding op orde te brengen en hun digitale overheidsinformatie duurzaam toegankelijk te maken en te houden. De bepaling uit de Archiefwet dat 80

gemeentelijke documenten in een goede, geordende en toegankelijke staat moeten bewaren, wordt herhaald in de Woo. Implementatie Het schema voor de implementatie van de Woo in onze gemeente ziet er als volgt uit.

1 2 3 4 5 6 7 8 9 10 11

Gefaseerde actieve openbaarmaking Woo informatie categorieën Wet- en regelgeving Organisatiegegevens Raadsvergaderstukken en - verslagen Bestuursstukken Stukken adviescolleges Convenanten Jaarplannen- en verslagen Woo verzoeken en de daarbij verstrekte informatie Onderzoeken Beschikkingen Klachten

2023

2024

2025

2026

2027

In 2024 is er een plan van aanpak vastgesteld door het college van B&W voor de implementatie van de Woo. Hierin is beschreven dat het ambitieniveau vastgesteld is op de basis. Om de te publiceren stukken te laten voldoen aan de eisen van de AVG wordt er een tool (Anonimizer) gebruikt die het mogelijk maakt om de stukken te anonimiseren. Verder wordt er onderzocht welke applicatie het meest geschikt is voor het publiceren van de stukken. De raadsstukken worden via IBabs op onze website openbaar gemaakt. Inmiddels zijn wij wel aangesloten bij KOOP. Dit is een platform met een index waar wij als gemeente aan kunnen geven via welke digitale weg wij de actieve openbaarmaking gerealiseerd. Deze index wordt het komende jaar verder gevuld.

81

Paragraaf 9: Informatieveiligheid en privacy De Nederlandse samenleving en de overheid digitaliseren. Dat biedt veel nieuwe kansen, maar geeft ook nieuwe bedreigingen, onder andere voor de informatieveiligheid. Organisaties die gegijzeld worden door hackers, en niet meer bij hun eigen gegevens kunnen zonder betaling; ze kunnen hun taken niet meer uitvoeren. Of vertrouwelijke gegevens die na een datalek op straat liggen. De bedreigingen worden steeds groter en dat stelt hogere eisen aan de organisatie.5 Dat vraagt om een weerbare organisatie (en weerbare burgers). Aansluitend bij de toenemende risico’s groeit het wettelijk kader: vanuit de Europese Unie worden nationaal steeds meer vereisten op het brede terrein van digitalisering afgedwongen in wetgeving. Daar moeten wij als organisatie in mee blijven gaan om de betrouwbaarheid van onze systemen en (persoons)gegevens te borgen. Bij alles wat we doen moeten we ons, vooraf, bewust zijn van de impact op de privacy van onze inwoners en anderen. Dit vraagt een planmatige PDCA-inzet op het terrein van gegevensverwerking ten behoeve van de bescherming van de privacy. Deze eisen en de wijze waarop wij deze in onze bedrijfsvoering incorporeren, vormen de focus van deze paragraaf. Doelstelling Burgers verwachten een toegankelijke en betrouwbare overheid die zorgvuldig met informatie omgaat.

Informatiebeveiliging moet de primaire bedrijfsprocessen ondersteunen en de veilige en verantwoorde uitvoering daarvan mogelijk maken. Het gaat daarbij om het waarborgen van beschikbaarheid, integriteit en vertrouwelijkheid van informatie(systemen). Dat zorgt ook voor een goede kwaliteit en continuïteit van de bedrijfsvoerings- en dienstverleningsprocessen. Daarbij spelen techniek én mens een rol. We werken continu door passende, risicogerichte technische en organisatorische maatregelen (denk ook aan een veilige inrichting van de werkplekken en werkomgeving – zie programma 0) aan de beschikbaarheid, integriteit en vertrouwelijkheid van onze systemen en gegevens. In het vervolg van deze paragraaf informeren we u op hoofdlijnen over (veranderingen in) wet- en regelgeving, ons lokale beleid en de lokale uitvoeringsplannen, gericht op 2025. Wetgeving en normenkaders privacy Privacy: de Algemene verordening gegevensbescherming (AVG) De Algemene Verordening Gegevensbescherming (AVG, 2018) geeft de wettelijke kaders aan voor de aantoonbare bescherming van de privacy van ons inwoners. De wet eist dat organisaties aantonen dat zij de juiste organisatorische en technische maatregelen hebben genomen voor de verwerking van persoonsgegevens. De AVG richt zich vooral op de bescherming en een juist gebruik van persoonsgegevens (vertrouwelijkheid).

Dit geldt ook voor organisaties die namens Rozendaal persoonsgegevens verwerken. De AVG heeft gezorgd voor een versterking en uitbreiding van privacy rechten van burgers in de hele EU. De wet regelt ook meer en strakker vastgelegde verantwoordelijkheden voor organisaties en uitgebreidere bevoegdheden voor alle toezichthouders in de EU. In Nederland berust het toezicht bij de Autoriteit Persoonsgegevens (AP).

5 Zie het Dreigingsbeeld informatiebeveiliging Nederlandse gemeenten 2023-2024, via www.informatiebeveiligingsdienst.nl.

82

Wetgeving en normenkaders informatieveiligheid Baseline informatiebeveiliging overheid (BIO) Informatiebeveiliging vormt een belangrijk kwaliteitsaspect van de informatievoorziening van de overheid. Het beveiligen van informatie is echter geen eenmalige zaak, maar een proces waarbij steeds de Plan-Do-Check-Act cyclus wordt doorlopen. Om te voorkomen dat informatie en informatiesystemen te licht (risico) of te zwaar (kosten inefficiënt) worden beveiligd, vormt risicomanagement een belangrijk onderdeel in dit proces. Vanaf 2020 geldt voor de gehele Nederlandse overheid één uniform normenkader voor informatiebeveiliging, de Baseline Informatiebeveiliging Overheid (BIO). Dit normenkader is dus leidend in de PDCA-cyclus voor informatieveiligheid. De BIO is opgezet om gemeentes vanuit een meer risico-gebaseerde denkwijze de voor hen relevante beheersmaatregelen te laten treffen. De beheersmaatregelen die in de BIO zijn opgenomen, zijn verplicht voor alle overheden. De BIO is gebaseerd de ISO 27001 en ISO 27002 norm. De ISO normen zijn de laatste jaren gewijzigd. Om die reden, én omdat de EU-wetgeving is aangescherpt, wordt er momenteel gewerkt aan een BIO2.0, die naar verwachting eind 2024 van kracht wordt (zie verder onder NIS2 en Cyberbeveiligingswet). Uiteraard heeft ook de gemeente Rozendaal de ambitie om te voldoen aan de BIO.

De BIO draait immers om het zorgvuldig omgaan met gevoelige informatie; betrouwbare en continue dienstverlening; voldoen aan wet- en regelgeving en het beheersen van risico’s. NIS2 en de Cyberbeveiligingswet Eind 2022 is in de Europese Unie de Network and Information Security Directive (NIS2) vastgesteld. De richtlijn is gericht op een versterking van de digitale en economische weerbaarheid van Europese lidstaten en wordt op dit moment omgezet naar de Nederlandse Cyberbeveiligingswet.6 De NIS2 richtlijn richt zich op risico’s die netwerk- en informatiesystemen bedreigen, zoals cyberbeveiligingsrisico’s. Ook informatiesystemen in de overheidsdienstverlening zoals C2000, DigiD en de Basisregistratie Personen vallen daaronder. Gemeenten spelen een cruciale rol bij de faciliteit of coördinatie van verschillende vitale diensten, waaronder gezondheidszorg, afvalwaterverwerking, drinkwatervoorziening en andere diensten die genoemd worden in de EU-NIS2-richtlijn. Hoewel gemeenten de wettelijke taken voor deze diensten uitbesteden aan private partijen, zien we dat het gemeentebestuur verantwoordelijk blijft voor de informatieveiligheid en ook privacybescherming van de gegevensuitwisseling met en door die partijen.

De nationale uitwerking van NIS2 in de Cyberbeveiligingswet heeft verregaande gevolgen voor gemeenten op het gebied van zorgplicht, meldplicht, toezicht, sancties, periodieke controles (met pentesten en audits) en de focus op aantoonbaarheid. Ook voor onze gemeente is het van belang om nu aan het werk te gaan, zodat we op tijd voldoen aan de Cyberbeveiligingswet. Samen met de Cyberbeveiligingswet wordt nu gewerkt aan een nieuwe BIO, de BIO2.0. De NIS2-richtlijn brengt namelijk enkele andere maatregelen met zich mee die nu nog geen onderdeel zijn van de 6 De NIS2, de EU-richtlijn die aan de basis staat van de nationale Cyberbeveiligingswet, is op 16 januari 2023 in werking ge-

treden. EU-lidstaten hebben formeel tot 17 oktober 2024 de tijd om deze maatregelen in nationaal recht om te zetten. Het wetsvoorstel voor de Cyberbeveiligingswet heeft dit voorjaar in consultatie gelegen. Het definitieve wetsvoorstel moet dus nog worden behandeld door de beide Kamers en zal niet eerder dan medio 2025 van kracht worden

83

BIO. De BIO2.0 wordt het nieuwe kader voor de overheid voor informatiebeveiliging. Met de Cyberbeveiligingswet is het de bedoeling dat de BIO2.0, die tot nu toe het karakter had van ‘verplichtende zelfevaluatie’, verankerd wordt in nationale wetgeving. ENSIA De ENSIA (Eenduidige Normatiek Single Information Audit) vloeit voort uit en is gebaseerd op de BIO. Uit het proces van de ENSIA – een zelfevaluatie – volgt een beeld van de mate waarin aan de BIO wordt voldaan. Bij deze audit gaat het vooral om de beveiliging van overheidsinformatie in brede zin (waaronder persoonsgegevens). ENSIA is het instrument waarmee intern aan het college van B&W en extern aan de toezichthouders van de verschillende stelsels verantwoording wordt afgelegd. Dit gebeurt door middel van een zelfevaluatie op basis van vragenlijsten die door de stelselhouders zijn opgesteld. Daarnaast verantwoordt de gemeente zich ook horizontaal aan de gemeenteraad via de jaarrekening. ENSIA sluit aan op de gemeentelijke planning en controlcyclus. Zo krijgt het gemeentebestuur meer overzicht over de informatieveiligheid van hun gemeente. Overige wetgeving en normenkaders Wet digitale overheid De WDO is in 2023 in werking getreden met als doel het werken aan een betrouwbare overheid.

Dit uit zich onder andere in maatregelen voor betrouwbaarheid van digitale dienstverlening, denk aan betrouwbaarheidsniveau ’s voor DigiD en eHerkenning. Rozendaal ontwikkelt haar digitale dienstverlening steeds verder en krijgt ook steeds meer met deze wettelijke verplichtingen te maken. WDO is hier ook een onderdeel van. Overheidsorganisaties moeten hun websites en apps toegankelijk maken en houden. En ze moeten voor al die websites en apps verklaringen publiceren (dit betreft o.a. cloudapplicaties, mobiele applicaties en intranetten). Wet modernisering elektronisch bestuurlijk verkeer Vanaf januari 2026 krijgen we te maken met de Wet modernisering elektronisch bestuurlijk verkeer (Wmebv). Deze wet regelt dat burgers en bedrijven hun zaken die ze met de overheid moeten doen, digitaal kunnen afhandelen. Zij krijgen daarmee het recht om formele berichten, zoals aanvragen voor vergunningen en bezwaarschriften, elektronisch aan het bestuursorgaan te zenden. Gemeenten zijn verplicht hun communicatiekanalen digitaal toegankelijk te maken voor iedereen, dus ook voor mensen met een beperking of met minder digitale vaardigheden. Deze ‘zorgplicht’ is al verplicht op dit moment. Om dit te kunnen doen en om de veiligheid van o.a. persoonsgegevens te kunnen waarborgen, zijn er in 2022 en 2023 de nodige stappen gezet, vanuit de Digitale Agenda 2022-2023.

Eind 2022/beging 2023 is het DMS (document management systeem) geïmplementeerd, zijn de werkplekken voorzien van nieuwe apparatuur en wordt er gewerkt vanuit de Cloud. In 2024 zijn de nodige stappen gezet m.b.t. de digitale dienstverlening aan onze burgers en bedrijven en aan de servicenormen, wat o.a. inhoudt dat inmiddels DigiD (burgers) en eHerkenning (bedrijven) zijn geïmplementeerd en de eerste digitale formulieren zijn op de website geplaatst. In een eerder stadium is er al voor gezorgd dat gebruik gemaakt kan worden van een meldingensysteem (FIXI), een voorleesfunctie (Readspeaker), en men kan digitaal een afspraak maken om de gemeente te bezoeken. De digitale toegankelijkheid speelt hierbij een belangrijke rol. Gemeenten dienen aan te tonen dat aan alle gestelde eisen wordt voldaan of verklaart in de toegankelijkheidsverklaring hoe de gemeente hier op (een vooraf gestelde) termijn aan zal voldoen. Dit geldt niet alleen voor de eigen website, maar ook voor de digitale apps 84

waar de gemeente gebruik van maakt. Om de gemeente te kunnen toetsen aan de digitale toegankelijkheidseisen, wordt inmiddels gebruik gemaakt van speciale software. AI-Act Artificial intelligence (AI) heeft het afgelopen jaar een flinke vaart genomen, zowel in ontwikkeling als in gebruik. Het is niet meer weg te denken uit de dagelijkse praktijk. AI kan veel opleveren, maar levert ook risico’s op, voornamelijk voor privacy & informatiebeveiliging. Op Europees niveau is het verantwoord gebruik van AI voor bedrijven gereguleerd in de AI-act. Deze is in augustus 2024 in werking getreden. Ook onze gemeente maakt volgens de definities in de AI-act gebruik van algoritmes en AI, al is dat vaak via de relaties die we hebben met leveranciers. De verwachting is dat wij, net als andere organisaties, komende jaren veel meer te maken krijgt met het gebruik van AI en de verantwoording van gebruik. Concrete investeringen zijn moeilijk te voorspellen, maar zijn onlosmakelijk verbonden met marktontwikkelingen en wet- en regelgeving. Beleid We hebben de doelen uitgewerkt en maatregelen vastgelegd in beleid. Het Strategisch Informatiebeveiligingsplan is in 2024 opnieuw tegen het licht gehouden en aangepast aan organisatorische veranderingen en/of technologische ontwikkelingen; het Privacy beleid is eveneens geactualiseerd in 2024.

Het college van B&W is het besluitvormend orgaan voor beide (samenhangende) onderwerpen. Het Strategisch Informatiebeveiligingsplan herijken we eens per drie jaar (de vorige versie dateerde uit 2020); het Privacy beleid actualiseren we jaarlijks, mits nodig. Het beleid vormt de basis voor actieplannen en jaarverslagen. We werken continu in een cyclus van plan-do-check-act (PDCA-cyclus). Beleid ten aanzien van incidenten De ISO (Information Security Officer) wordt door de medewerkers geïnformeerd over beveiligingsincidenten en legt deze vast ten behoeve van rapportages. Hieronder vallen o.a. inbreuken op en (ver)storingen in de informatietechnologie, datacommunicatie of andere infrastructurele voorzieningen die gevolgen kunnen hebben voor de continuïteit en integriteit van de bedrijfsprocessen evenals signaleringen dat het informatieveiligheidsbeleid niet wordt nageleefd. Eventuele incidenten of datalekken worden bijgehouden in een afzonderlijk register en wanneer van toepassing gemeld bij de Autoriteit Persoonsgegevens (AP). Voor grote incidenten, zoals bijvoorbeeld een hack, zijn geen kosten geraamd in de begroting. Uitvoering privacy Rollen en taken Voor de functie van FG (Functionaris gegevensbescherming) blijven we net als de afgelopen jaren gebruik maken van een extern bureau.

Dit maakt de inzet schaalbaar en zo kunnen we gemakkelijker ook de onvoorspelbare werkzaamheden opvangen. De functie van PO (Privacy Officer) wordt vanaf 2022 intern ingevuld. Actieplan Privacy 2024 Rozendaal heeft de basis op orde voor privacy. Om er voor te zorgen dat de privacy gewaarborgd blijft, wordt jaarlijks een actieplan privacy opgesteld. De uitvoering gebeurt voornamelijk door onze Privacy Officer (PO). Monitoring vindt plaats door de (wettelijk verplichte) functionaris gegevensbescherming (FG). Daarnaast wordt jaarlijks o.a. gekeken naar de actualisering en borging van (privacy)processen, het actualiseren van het verwerkingsregister, processen rondom o.a. de meldplicht datalekken, bewustwording en afspraken met derden. Jaarlijks wordt, in het 1e kwartaal, door de FG 85

verslag uitgebracht aan het college van B&W van de stand van zaken rondom privacy op basis van het Privacy beleid en het actieplan. Uitvoering informatieveiligheid Rollen en taken Om zowel de grote lijnen te bewaken, de risico’s te bepalen, uitvoering te geven aan de BIO (en straks de BIO2.0), het beleid te formuleren en uit te (laten) voeren, hebben we in het kader van de Digitale Agenda 2022-2023 gekeken naar de rollen die hierbij van belang zijn. Voor de rol van de CISO zijn wij een samenwerking aangegaan met een externe partij. De CISO adviseert over het ontwikkelen, uitvoeren en handhaven van beleidsterreinen en beleidsprocessen (ICT-beveiligingsmanager). De ISO (Information Security Officer) zorgt voor het opstellen, bijstellen, vernieuwen en herzien van het informatiebeveiligingsbeleid en de daaruit voortvloeiende informatie(beveiligings)plannen en zorgt voor de afstemming van de werkzaamheden binnen de organisatie. De ISO-rol is intern belegd. Actieplan Informatiebeveiliging Net als bij privacy, werken we gestructureerd aan informatiebeveiliging. Dit doen we met een jaarlijks actieplan. Het actieplan wordt opgesteld door de CISO in samenwerking met de ISO. Risico-gestuurd werken is een drijfveer in de aanpak. Ook voor een kleine gemeente als Rozendaal is het essentieel dat risico’s goed worden ingeschat.

Ten behoeve van deze begroting lichten we er enkele onderdelen uit. Bewustwording: onderdeel van het actieplan is (terugkerend) bewustwording. In de maand oktober, de cybersecurity-maand, besteden we extra aan bewustwording, digitaal veilig en informatiebewust werken. Daarnaast wordt er vanaf 2024 gebruik gemaakt van Security awareness elearning, wat zorgt voor een continu proces van bewustmaken, opfrissen, meten, evalueren en herhalen. Ook houden de CISO en de ISO de organisatie alert door mails en memo’s te sturen over veilig werken en met het doorsturen van meldingen van bijvoorbeeld de IBD (over phishingemails en andere dreigingen) aan alle medewerkers en het bestuur om zo aandacht te vragen voor veilig werken. Implementatie Cyberbeveiligingswet (NIS2 en BIO2.0): voor de implementatie van de Cyberbeveiligingswet in onze gemeente stellen we in 2025 een plan van aanpak op dat voortbouwt op de uitwerking van de BIO in onze gemeente. In 2024 heeft een eerste impactanalyse plaatsgevonden. Belangrijk hierbij is het gaan voldoen aan de aantoonbaarheid van de risico’s en maatregelen. Vooral de thema’s (externe) contract- en leveranciersmanagement, business continuity management en periodieke controles moeten geïmplementeerd en geborgd gaan worden binnen onze gemeente.

Belangrijk om te melden is overigens dat er voor gemeenten (nog) geen structurele financiering is voorzien om de preventieve en repressieve aanpak van digitale onveiligheid op lokaal niveau te realiseren. Dit betekent dat we een forse (doorontwikkel)opgave vooralsnog binnen de huidige middelen moeten incorporeren. De VNG spant zich ervoor in om dit bij de nieuwe staatssecretaris Digitalisering alsnog geregeld te krijgen. Ook in 2025 wordt de ENSIA uitgevoerd, waarin we ons verantwoorden over 2024. Informatieveiligheid en samenwerking met derden: (be)veilig(d) samenwerken met leveranciers en andere samenwerkingspartners is van groot belang. De NIS-2 richtlijn verplicht ons om de veiligheid binnen onze toeleveringsketen te waarborgen. Onze leveranciers moeten voldoen aan de nieuwe normen en aantoonbaar werken aan cybersecurity. Hiervoor moeten goede afspraken worden gemaakt en dit betekent dat we in control moeten komen met onze leveranciers. Om onder andere de kwaliteit van de ICT-dienstverlening te garanderen en dat samenwerkingspartijen voldoen aan vooraf bepaalde normen, wordt vanaf eind 2022 gewerkt met TPM’s. Een TPM (Third Party Memorandum) is een verklaring door een onafhankelijke audit partij over de kwaliteit van de ICT-dienstverlening en beheersing van een organisatie.

De kosten die gemoeid zijn met de verstrekking van de benodigde TPM’s zijn al in de begroting opgenomen.

86

Inzet 2025 Samengevat focust de inzet in 2025 zich, naast een scala van terugkerende werkzaamheden, op: bewustwordingsactiviteiten, m.n. via de Security awareness e-learning voor alle medewerkers én collegeleden; doorontwikkeling digitale dienstverlening en de mogelijkheid voor burgers en bedrijven om digitale aanvragen te doen (via DigiD) via de website; het gebruik van TPM’s voor o.a. SUWI en DigiD (belastingen en burgerzaken); het opstellen en uitvoeren van het plan van aanpak NIS2/Cyberbeveiligingswet; opzetten en bijhouden Algoritmeregister; de implementatie van de Wmebv. het opstellen van een nieuw Actieplan Privacy; het opstellen van een nieuw Actieplan Informatiebeveiliging. Tot slot, de activiteiten die de gemeente onderneemt om zowel aan de BIO (2.0) (en de NIS2/Cyberbeveiligingswet) als de AVG te voldoen zijn talrijk en hebben veelal een technisch karakter. Ondanks alle fysieke, technische en digitale maatregelen blijft de mens (vaak onbewust) een zwakke schakel waar het gaat om informatieveiligheid. Incidenten vallen dan ook niet uit te sluiten. Het is van belang dat er sprake is van een veilige omgeving (dus niet direct afrekenen) waarin dergelijke incidenten gemeld kunnen worden om van te leren.

87