35 Raadsinformatiebrief 15 april 2026 ENSIA verantwoording 2025

gemeente Schiedam

Informatiemanagement, ICT & FD Stadskantoor, Stadserf 1 Postbus 1501

Aan de gemeenteraad van Schiedam

3100 EA Schiedam 14 010 schiedam.nl

uw kenmerk uw brief van

ons kenmerk

datum

26UIT01135

15 april 2026

doorkiesnummer

e-mail

14 april 2026

contact@schiedam.nl

onderwerp

Raadsbrief ENSIA verantwoording 2025

Geachte leden van de gemeenteraad, De gemeente Schiedam verantwoordt zich dit jaar voor de negende keer over de kwaliteit van de informatieveiligheid van haar informatiesystemen. Sinds 2017 gebeurt dit jaarlijks via de van Rijkswege verplichte Eenduidige Normatiek Single Information Audit (ENSIA). ENSIA heeft als doel om een effectief en efficiënt systeem voor informatieveiligheid te ontwikkelen en in te voeren, gebaseerd op de Baseline Informatiebeveiliging Overheid (BIO), de norm voor informatieveiligheid. Met ENSIA wordt het toezicht gebundeld en aangesloten op de gemeentelijke controlprocessen, waardoor de gemeenteraad meer overzicht krijgt van de informatieveiligheid en hier beter op kan sturen. Daarnaast is het van belang om verantwoordings- en verbeterprocessen goed in te richten, zodat de informatieveiligheid en privacy van burgers gewaarborgd blijven. ENSIA is een initiatief van gemeenten en de ministeries van BZK en SZW, gericht op het efficiënt en effectief inrichten van een verantwoordingsstelsel voor informatieveiligheid en datakwaliteit. Gemeenten gebruiken ENSIA om verantwoording af te leggen over de informatiebeveiliging aan de gemeenteraad.

Daarnaast wordt er verantwoording afgelegd over de stelsels Basisregistratie Personen (BRP), Reisdocumenten, de wet Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet), Digitale Persoonsidentificatie (DigiD), de Basisregistratie Adressen en Gebouwen (BAG), de Basisregistratie Grootschalige Topografie (BGT) en de Basisregistratie Ondergrond (BRO), zowel naar de gemeenteraad als naar de toezichthouders van het Rijk.

*26UIT01135*

Hoe staan we ervoor? De gemeente Schiedam voldoet, voor haar verantwoordelijkheid met betrekking tot de drie DigiD-aansluitingen, aan alle geselecteerde normen inzake DigiD en waarborgt de kwaliteit van de informatieveiligheid van de onderzochte DigiD-applicaties binnen de gemeente. Stroomopwaarts MVS, waaraan de gemeente Schiedam Suwi- en niet-Suwi-taken heeft uitbesteed, heeft aangetoond dat zij, met uitzondering van één (compliance) subnorm, voldoen aan de gestelde normen en passende maatregelen hebben getroffen. Stroomopwaarts MVS dient een verbeterplan op te stellen en aantoonbaar te maken dat zij de tekortkomingen aanpakken om volledig te voldoen aan de gestelde norm. Voor de verantwoording over DigiD worden DigiD-assessmentrapporten opgesteld door de auditor. Voor de verantwoording over Suwinet wordt de collegeverklaring informatiebeveiliging opgesteld op basis van de zelfevaluatie. Deze documenten laten zien of de beheersmaatregelen voor DigiD en Suwinet goed zijn opgezet en of ze in de praktijk werken zoals bedoeld (Opzet, Bestaan en Werking). De onafhankelijke IT-auditor heeft de collegeverklaring en bijlagen gecontroleerd op waarheidsgetrouwheid en heeft in een Assurance-rapport verklaard dat de collegeverklaring, in alle materieel belangrijke aspecten, juist is.

Daarmee is de audit over de periode 2025 afgerond, zonder dat er verdere verbeteringen nodig zijn vanuit de gemeente Schiedam. De collegeverklaring, het Assurancerapport en de DigiD-assessmentrapporten zijn als geheime bijlagen bij deze brief gevoegd. De rapportages voor de BAG, BGT en BRO zijn opgesteld op basis van een zelfevaluatie, waarover zowel horizontale verantwoording aan de raad als verticale verantwoording aan het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties plaatsvindt. De BAG voldoet voor 92%, de BGT voor 78% en de BRO voor 78%. Alle drie de onderdelen scoren boven de normwaarde en voldoen hiermee aan de gestelde eisen. Risico bij het lekken van deze informatie Het Assurance-rapport, de bijlagen bij de collegeverklaring en de DigiD-assessmentrapporten bevatten informatie over het wel of niet voldoen aan beveiligingsnormen. De genomen maatregelen geven gedetailleerd weer hoe het staat met de informatieveiligheid van de gemeente Schiedam. De openbaarmaking van deze informatie over de informatieveiligheid vormt een potentieel beveiligingsrisico door het bieden van inzicht aan kwaadwillenden. Daarom zijn de documenten alleen voor de gemeenteraad en de rijksoverheid bedoeld en mogen ze niet verder verspreid worden.

Verstrekken geheime documenten aan de raad Op 14 april 2026 heeft het college op grond van artikel 87 van de Gemeentewet in samenhang met artikel 5.1, tweede lid, sub i van de Wet open overheid geheimhouding opgelegd op de bijlagen behorend bij deze brief. Het college heeft dit gedaan om te voorkomen dat informatie in verkeerde handen komt. Op grond van artikel 89, tweede lid van de Gemeentewet wordt de verplichting tot geheimhouding in acht genomen door allen die van de informatie kennis dragen. Daarnaast blijft de geheimhouding op de stukken die aan de raad zijn verstrekt voortduren totdat de raad haar opheft conform artikel 89, derde lid van de Gemeentewet. Geheimhouding is geldig tot 2031. Dit termijn van vijf jaar is een gebruikelijk termijn, ook bij andere gemeenten. Na vijf jaar zal de status van informatiebeveiliging bij de gemeente dusdanig veranderd zijn dat de input uit de documenten niet langer een concreet risico opleveren.

Vervolg Met de collegeverklaring en de DigiD-assessmentrapporten leggen we aan de gemeenteraad verantwoording af over de kwaliteit van de informatieveiligheid van de systemen van de gemeente Schiedam. Dit is de basis voor het verantwoordingsproces naar de landelijke toezichthouders die een rol hebben in het toezicht op informatieveiligheid. Tegelijkertijd markeert dit het begin van de voorbereiding op de nieuwe ENSIA-audit en de verdere implementatie van de Baseline Informatiebeveiliging Overheid (BIO). Aangezien de gemeente Schiedam eindverantwoordelijk is voor de uitbestede Suwi- en niet-Suwi-taken, is het van belang dat de gemeente Schiedam actief toezicht houdt op Stroomopwaarts MVS. De gemeente moet op operationeel niveau toezicht houden op het opstellen van een verbeterplan door Stroomopwaarts MVS en ervoor zorgen dat zij de gemeente voortdurend op de hoogte houdt van de voortgang, zodat de gemeente haar verantwoordingsplicht kan blijven nakomen.

Hoogachtend, Burgemeester en wethouders van Schiedam, de secretaris,

de burgemeester,

C.E. Bos

mr. H.M. Bergmann

Bijlagen: • (26BIJ00438) GSD-2025-DA-DigiD Assessment – 1004571 gemeente Schiedam Parkeren voor gemeente Schiedam (geheim); • (26BIJ00437) GSD-2025-DA-DigiD Assessment – 1005279 gemeente Schiedam eDiensten Burgerzaken voor gemeente Schiedam (geheim); • ( 26BIJ00439) GSD-2025-DA-DigiD Assessment – 1005785 gemeente Schiedam Digitaal Loket voor gemeente Schiedam (geheim); • (26BIJ00436) Collegeverklaring Suwinet 2025 Gemeente Schiedam (geheim); • (26BIJ00409) Behorend bij collegeverklaring, Bijlage 2 Suwinet 2025 Gemeente Schiedam (geheim); • (26BIJ00628) GSCEA2025-01S Assurancerapport ENSIA Gemeente Schiedam 2025 (geheim).