18 Collegebrief 1 mei 2024 ENSIA verantwoording 2023

gemeente Schiedam

Informatiemanagement, ICT & FD Stadskantoor, Stadserf 1 Postbus 1501

Aan de gemeenteraad van Schiedam

3100 EA Schiedam 14 010 schiedam.nl

uw kenmerk

uw brief van

ons kenmerk

datum

24UIT02736

1 mei 2024

doorkiesnummer

e-mail

29 april 2024

contact@schiedam.nl

onderwerp

Raadsbrief ENSIA verantwoording 2023

Geachte leden van de gemeenteraad, De gemeente Schiedam verantwoordt zich dit jaar voor de zevende keer over de kwaliteit van de informatieveiligheid van haar informatiesystemen. Sinds 2017 gebeurt dit met de Eenduidige Normatiek Single Information Audit (ENSIA). ENSIA heeft tot doel het ontwikkelen en implementeren van een zo effectief en efficiënt mogelijk ingericht verantwoordingsstelsel voor informatieveiligheid, dat is gebaseerd op de Baseline Informatiebeveiliging Overheid (BIO), door het toezicht te bundelen en meer aan te sluiten op de gemeentelijke control processen. Hierdoor krijgt het gemeentebestuur meer overzicht over de stand van zaken van de informatieveiligheid en kan het hier ook beter op sturen. Aanvullend is het adequaat inrichten van verantwoordingsprocessen en verbeterprocessen essentieel. Zo blijft informatieveiligheid en privacy van de burgers gewaarborgd. Hoe staan we ervoor? Met ENSIA legt de gemeente Schiedam in één keer verantwoording af over informatieveiligheid op basis van de Baseline Informatiebeveiliging Overheid (BIO). De verantwoordingsprocedure voor verschillende systemen, waaronder DigiD, Suwinet, BRP, Reisdocumenten, BAG (85%), BGT (83%) en BRO (84%), is geïntegreerd en vereenvoudigd.

Dit zorgt voor een samenhangend proces waarbij alle beslispunten onderling zijn verbonden, wat vanuit het perspectief van de externe auditor van cruciaal belang is vanwege de integraliteit van zowel het formele verantwoordingsproces als lokale verbeteracties. Op basis van de uitkomsten van de zelfevaluatie is door het college de Collegeverklaring Informatiebeveiliging opgesteld. De onafhankelijke IT-auditor heeft de Collegeverklaring Informatiebeveiliging en de daarbij behorende bijlagen op waarheidsgetrouwheid onderzocht en in een Assurance-rapport verklaard dat de Collegeverklaring in alle van materieel belang zijnde aspecten juist is. Hiermee is de audit over de periode 2023 met goed gevolg en zonder noodzakelijke verbeteringen afgesloten. Zowel de collegeverklaring als het Assurance Rapport zijn als geheime bijlage bij deze brief toegevoegd.

*24UIT02736*

Risico bij lekken van de informatie. Zowel het Assurance-rapport als de bij de Collegeverklaring behorende bijlagen gaan in op het al dan niet voldoen aan individuele beveiligingsnormen en geeft met de individueel getroffen maatregelen gedetailleerde informatie over de staat van de informatieveiligheid van de gemeente Schiedam. De openbaarmaking van deze informatie over de informatieveiligheid van de gemeente Schiedam vormt een potentieel beveiligingsrisico door het bieden van inzicht aan kwaadwillenden. Daarom zijn de documenten alleen bedoeld voor de gemeenteraad en relevante departementen, en mogen deze niet worden verspreid naar anderen. Vervolg Wij leggen hiermee verantwoording af aan de raad over de kwaliteit van informatieveiligheid van de informatiesystemen van de gemeente Schiedam. Dit vormt de basis voor het verantwoordingsproces aan de landelijke toezichthouders die een rol hebben in het toezicht op informatieveiligheid. Tegelijkertijd vormt dit de aftrap voor de uitvoering van de aanbevelingen, de voorbereidingen op de nieuwe ENSIA-audit en de verdere implementatie van de Baseline Informatiebeveiliging Overheid (BIO).

Hoogachtend, Burgemeester en wethouders van Schiedam, de secretaris,

de burgemeester,

C.E. Bos

mr. H.M. Bergmann

Bijlagen: 24BIJ02847 - Collegeverklaring DigiD en Suwinet 2023 Gemeente Schiedam (Geheim) 24BIJ02848 - Assurancerapport ENSIA Gemeente Schiedam 2023 Concept (Geheim)