1197180 Bijlage 2 Eindrapport Rekenkameronderzoek Privacy en informatiebeveiliging

Privacy en informatiebeveiliging Rekenkameronderzoek Schouwen-Duiveland

rrrrrrrrrrrrrrrrrrrrrrrrrrraTite

Privacy en informatiebeveiliging Rekenkameronderzoek

Rapport Rekenkamer Schouwen-Duiveland

Rapport | 27 maart 2024

Partners in verbetering

Inhoudsopgave Inleiding

1

Deel 1 Bestuurlijk deel

2

1. Privacy en informatiebeveiliging

3

2. Conclusies

4

3. Aanbevelingen

6

Aan college en ambtelijke organisatie

6

Aan de gemeenteraad

7

4. Bestuurlijke reactie

8

Deel 2 Onderzoeksverslag

10

H1 | Onderzoeksopzet

11

1.1 Doelstelling en scope van het onderzoek

11

1.2 Hoofdvraag en deelvragen

11

1.3 Onderzoeksmethoden

13

1.3.1 Deskresearch

13

1.3.2 Aanvulling en verdieping door interviews

13

H2 | Beleid

14

2.1 Inleiding

14

2.2 Privacybeleid

14

2.3 Informatiebeveiligingsbeleid

15

2.4 Borging van het beleid: plan, do, check, act

17

2.4.1 Privacy

17

2.4.2 Informatiebeveiliging

17

2.5 Résumé

19

H3 | Organisatie

20

3.1 Rollen, taken en verantwoordelijkheden zoals beschreven

20

3.1.1 Het bestuur: het college van B&W en de gemeenteraad

20

3.1.2 Ambtelijke organisatie

20

3.2 De organisatie van privacy en informatiebeveiliging in de praktijk

24

3.2.1 Privacy en informatiebeveiliging op de agenda

24

3.2.2 Capaciteit

26

3.2.3 Financiële middelen

27

3.2.4 Samenwerking rond informatiebeveiliging

27

3.3 Résumé

28

H4 | Uitvoering

29

4.1 Privacy

29

4.1.1 Toezicht door de FG

29

4.1.2 Privacy Plan ‘Basis op Orde’

30

4.1.3 Incidenteel inzicht en naleving

31

Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

4.2 Informatiebeveiliging

32

4.2.1 Inzicht op basis van publieke informatie

32

4.2.2 Security and compliance roadmap

33

4.2.3 Stand van zaken ten aanzien van de BIO

33

4.3 Résumé

34

H5 | Signaleren, verantwoorden en leren

35

5.1 Melden, testen en leren van incidenten

35

5.1.1 Het melden van datalekken

35

5.1.2 Phishingtest

35

5.1.3 Penetratietests

36

5.2 Informatiebeveiliging op de bestuurlijke agenda

36

5.2.1 Verantwoording via ENSIA

36

5.2.2 Privacy en informatiebeveiliging in de P&C-cyclus

37

5.2.3 College van B&W

38

5.2.4 Gemeenteraad

38

5.3 Résumé

40

Deel 3 Bijlagen

41

Bijlage 1 | Normenkader

42

Bijlage 2 | Bestudeerde documenten

45

Bijlage 3 | Respondenten

46

Colofon

47

Dit document (inclusief eventuele bijlagen) is opgesteld door BMC en de (auteurs)rechten met betrekking tot de inhoud en het format van dit document berusten bij BMC. Dit document is uitsluitend bedoeld voor gebruik door de opdrachtgever en mag niet worden gepubliceerd of aan anderen ter beschikking worden gesteld zonder uitdrukkelijke voorafgaande toestemming van BMC.

Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Inleiding Betrouwbare en veilige informatievoorziening is essentieel voor gemeenten. Door de toenemende digitalisering wordt zorgvuldig omgaan met de gegevens van inwoners en organisaties steeds belangrijker.1 De Rekenkamer van Schouwen-Duiveland constateert dan ook dat beveiligingsincidenten grote gevolgen kunnen hebben voor onder meer de vertrouwelijkheid en integriteit van informatie, de privacy van inwoners en medewerkers en voor de beschikbaarheid en continuïteit van de dienstverlening van gemeenten. Deze verschillende vormen van inbreuk op de informatieveiligheid kunnen grote impact hebben op de reputatie, financiën en/of operationele processen van een gemeente en kunnen ook vergaande gevolgen hebben voor inwoners. Nu de maatschappelijke relevantie toeneemt, vindt de Rekenkamer het een goed moment om nader onderzoek te doen naar de stand van privacy en informatiebeveiliging van de gemeente Schouwen-Duiveland en naar de controlerende rol van de raad daarbij. Het doel van dit rekenkameronderzoek is inzicht geven in het privacy- en informatiebeveiligingsbeleid van de gemeente Schouwen-Duiveland en in de wijze waarop de gemeente daar invulling en uitvoering aan geeft. Onderzocht is in hoeverre de aanpak van privacy en informatiebeveiliging doeltreffend en doelmatig verloopt in de gemeente.

Ook wordt er een doorkijk gegeven richting de toekomst en worden aandachts- en verbeterpunten in beeld gebracht die meegenomen kunnen worden in het beleid dan wel de organisatie en uitvoering daarvan.

1

https://vng.nl/projecten/informatieveiligheid, geraadpleegd op 17 april 2023.

| 1 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Deel 1 Bestuurlijk deel

| 2 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

1. Privacy en informatiebeveiliging De Rekenkamer van de gemeente Schouwen-Duiveland wil de gemeenteraad inzicht geven in het privacy- en informatiebeveiligingsbeleid van de gemeente, in de wijze waarop de gemeente daar invulling en uitvoering aan geeft en in de wijze waarop de gemeenteraad daarbij betrokken is. Hiertoe heeft de Rekenkamer een onderzoek laten uitvoeren door BMC. Gemeenten beschikken voor de uitvoering van hun taken over gemiddeld 400 registraties waarin persoonsgegevens voorkomen. Dit kan variëren van de basisregistratie personen, de WOZ-registratie tot registraties voor uitkeringen, voorzieningen of vergunningen. In deze registraties komen veel verschillende soorten persoonsgegevens voor. Naast de naam en adresgegevens kan het gaan om onder meer gezondheidsgegevens, financiële gegevens, BSN en gegevens over strafbare gedragingen. In het sociaal domein worden ook gegevens verwerkt in relatie tot de situatie in het gezin. De aard van deze gegevens maakt dat deze vertrouwelijk moeten worden behandeld. De vertrouwelijke aard van de gegevens maakt ook dat afspraken moeten worden gemaakt, bijvoorbeeld over wie toegang mag hebben tot de persoonsgegevens, waarvoor deze mogen worden gebruikt en tot hoelang deze mogen worden bewaard.

Daarnaast moet worden bepaald welke beveiligingsmaatregelen nodig zijn om de persoonsgegevens te beveiligen tegen ongeautoriseerde toegang, verlies of vernietiging. Voor het verwerken van de persoonsgegevens wordt gebruikgemaakt van vele externe leveranciers. Met deze leveranciers moeten afspraken worden gemaakt over de wijze waarop zij omgaan met de gegevens en de beveiliging daarvan. Maar ook over wat er gebeurt met de persoonsgegevens indien de overeenkomst met de leverancier wordt beëindigd. Dit vraagt dat er goed inzicht is in met welke leverancier er afspraken zijn over het verwerken van persoonsgegevens en dat hierover afspraken zijn vastgelegd. Dit heet een verwerkersovereenkomst. Over de wijze waarop moet worden omgegaan met persoonsgegevens zijn onder meer in de Algemene verordening gegevensbescherming (AVG) en de Baseline Informatiebeveiliging Overheid (BIO) regels gesteld. Belangrijke verplichtingen die worden genoemd zijn de verplichting om je registraties goed in beeld te hebben (een register van verwerkingen), het uitvoeren van risico-analyses (DPIA) en een dataclassificatie om het vereiste niveau van beveiliging voor specifieke toepassingen vast te stellen, evenals eventuele aanvullende maatregelen.

Daarnaast dient de gemeente een basisniveau van informatiebeveiliging te realiseren met meer dan honderd beveiligingsmaatregelen uit de BIO, zoals bijvoorbeeld: ● Het opstellen van informatiebeveiligingsbeleid waarin de organisatie beschrijft hoe zij ervoor zorgt dat er sprake is van adequate informatiebeveiliging en dat de organisatie voldoet aan de BIO. ● Het opvragen van een VOG voor nieuwe medewerkers. ● Bewustwording en training van medewerkers. ● Het inventariseren en classificeren van informatie, systemen en applicaties.

| 3 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

● ● ● ● ● ●

Toegangsbeveiliging voor applicaties en gebouwen, waaronder wachtwoordbeleid en autorisaties. Het gebruik van versleuteling van gegevens. Het maken van backups. Het borgen van informatiebeveiliging in het inkoopproces en bij leveranciers. Het detecteren van, reageren op en het herstellen bij incidenten. Het toetsen van de informatiebeveiliging, bijvoorbeeld door phishing simulaties en penetratietesten.

Bovenstaande regels en verplichtingen vragen dat intern is beschreven op welke wijze aan bovenstaande verplichtingen uitvoering is gegeven. Daarnaast is van belang dat is beschreven op welke wijze daarover verantwoording wordt afgelegd en aan wie en dat hier vervolgens in de praktijk uitvoering aan wordt gegeven. Het college van burgemeester en wethouders is in de meeste gevallen eindverantwoordelijk. In een enkel geval het bestuursorgaan burgemeester. Ook de gemeenteraad heeft een eindverantwoordelijkheid, namelijk voor de verwerking van persoonsgegevens binnen de griffie. De Privacy Officer (PO) adviseert over privacybescherming en over activiteiten ter bescherming van persoonsgegevens. Het toezicht op de naleving van wet- en regelgeving wordt intern uitgevoerd door de Functionaris Gegevensbescherming (FG) en de Chief Information and Security Officer (CISO). Extern is de Autoriteit Persoonsgegevens toezichthouder.

2. Conclusies In dit onderzoek stond de vraag centraal of de huidige wijze van privacynaleving en informatiebeveiliging in Schouwen-Duiveland doeltreffend en doelmatig is, waar mogelijkheden voor verbetering liggen en in hoeverre college en raad in staat zijn om met behulp van het huidige verantwoordingsinstrumentarium te sturen en te controleren op privacy en informatiebeveiliging. Deze centrale vraag werd beantwoord met behulp van een documentenstudie, internetresearch en interviews met ambtelijk en bestuurlijk betrokkenen. Op basis hiervan kunnen de volgende conclusies worden getrokken: ●

De gemeente Schouwen-Duiveland is actief bezig met het verbeteren van de privacybescherming en informatiebeveiliging binnen de gemeente. Dit blijkt onder meer uit het aanstellen en beter positioneren van de CISO, de FG en de PO, een security- en compliance roadmap, het inzetten van een bewustwordingscampagne en de aandacht voor privacy en informatiebeveiliging binnen het huidige organisatieontwikkelingstraject.

●

Binnen de organisatie neemt de bewustwording en het eigenaarschap ten aanzien van privacy en informatiebeveiliging toe. Desondanks is voortdurende aandacht voor de bewustwording van bestuur en ambtelijke organisatie ten aanzien van privacybescherming en informatiebeveiliging door middel van scholing en het gesprek daarover noodzakelijk.

| 4 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

●

De gemeente Schouwen-Duiveland heeft privacy- en informatiebeveiligingsbeleid vastgesteld, maar dit beleid is niet actueel, is niet (volledig) geïmplementeerd en geeft op dit moment onvoldoende richting aan de uitvoering. Zo zijn ambities en doelen recent niet vertaald naar een implementatieplan met een planning, waarvan de voortgang wordt bewaakt. Ook heeft de sturing op privacy en informatiebeveiliging op basis van de PDCA-cyclus nog geen vorm gekregen. De gemeente is voornemens het beleid in 2024 te actualiseren.

●

De rollen, taken en verantwoordelijkheden van bestuur en ambtelijke organisatie ten aanzien van privacy en informatiebeveiliging zijn beschreven in verschillende (beleids)documenten. Het is onvoldoende duidelijk hoe de uitgangspunten in de verschillende documenten zich tot elkaar verhouden en hoe de verschillende rollen zijn belegd in de verschillende functies. De wijze waarop hier vervolgens in de praktijk invulling aan wordt gegeven verloopt niet zoals beoogd. De organisatie is voor wat betreft de (decentraal) beschikbare capaciteit en de wijze waarop rollen worden ingevuld op dit moment nog onvoldoende toegerust op hetgeen er vanuit het oogpunt van privacy en informatiebeveiliging van de gemeente wordt gevraagd.

●

In de praktijk blijkt dat in de gemeente Schouwen-Duiveland aan geen van de verplichte basisnormen op het gebied van zowel privacybescherming als informatiebeveiliging volledig wordt voldaan. De gemeente heeft in voorgaande jaren verschillende tests uitgevoerd om zicht te krijgen op kwetsbaarheden op het gebied van privacy en informatiebeveiliging. De opvolging van de verbeterpunten uit de betreffende tests is niet volledig navolgbaar.

●

Het voor kwaadaardige hackers zichtbare beveiligingsprofiel van de gemeente op basis van openbare informatie, zit in de middenmoot. Ervan uitgaande dat hackers eerder organisaties met een zwak beveiligingsprofiel zullen aanvallen, valt de gemeente niet op, maar met beperkte inspanningen kan de gemeente een beter beeld naar buiten afgeven.

●

Er is nog onvoldoende zicht op de privacyrisico’s binnen de organisatie. Dit zicht kan onder meer worden verkregen door een actueel register van verwerkingen en het uitvoeren van Data Protection Impact Assessments (risicoanalyses) voor de verwerkingen waarvoor dit verplicht is. Voor het register van verwerkingen geldt dat dit (nog) niet actueel is, voor de DPIA’s geldt dat er geen inzicht is in de verwerkingen waarvoor deze verplicht zijn en in hoeverre deze zijn uitgevoerd.

●

De bestuurlijke aandacht voor privacy en informatiebeveiliging en ook de (gevraagde en ongevraagde) informatievoorziening vanuit het college aan de raad zijn beperkt. De informatievoorziening aan de raad over privacy en informatiebeveiliging verloopt overwegend via de planning-en-controlcyclus en deels indirect via de auditcommissie. Tussen raad en college zijn geen heldere afspraken over de wijze waarop en waarover verantwoording wordt afgelegd in het kader van privacy en informatiebeveiliging.

| 5 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

De bestuurlijke ambities zijn (nog) niet duidelijk en het daadwerkelijk sturen op informatiebeveiliging vanuit ambities en doelen moet nog vorm krijgen. De rol van de gemeenteraad zoals beschreven in het beleid krijgt in de praktijk onvoldoende invulling.

3. Aanbevelingen Aan college en ambtelijke organisatie ●

Om aan de basisverplichtingen ten aanzien van privacybescherming en informatiebeveiliging te gaan voldoen adviseren wij de gemeente Schouwen-Duiveland: ○ Pas het privacybeleid aan. ○ Actualiseer het register van verwerkingen. ○ Inventariseer voor welke verwerkingen een DPIA verplicht is, in hoeverre deze al is uitgevoerd en stel een plan op voor het uitvoeren van de DPIA's. Neem in dit plan ook de benodigde capaciteit en financiële middelen voor de uitvoering op. ○ Richt een verantwoordingsproces in voor de proceseigenaren ten aanzien van de naleving van de verplichtingen uit de AVG en de BIO. ○ Actualiseer het informatiebeveiligingsbeleid inclusief de uitwerking van de PDCA-cyclus en de rollen en verantwoordelijkheden. ○ Maak een plan voor de volledige implementatie van de BIO met prioriteiten op basis van een risicoanalyse. Neem daar ook de benodigde in- en externe capaciteit en financiële middelen in op. ○ Laat de implementatie van de beveiligingsmaatregelen uit de BIO onafhankelijk toetsen: zowel de opzet als het bestaan alsook de borging daarvan door periodieke checks op de implementatie. ○ Laat tenminste jaarlijks een penetratietest uitvoeren. Neem de penetratietesten en de opvolging van bevindingen op in de planning-en-controlcyclus.

○ Voortdurende aandacht te besteden aan de bewustwording van bestuur en ambtelijke organisatie ten aanzien van privacybescherming en informatiebeveiliging.

●

We adviseren de gemeente Schouwen-Duiveland om op basis van het risiconiveau en de hiervoor genoemde inspanningen die nodig zijn om aan de basisverplichtingen op het gebied van privacybescherming en informatiebeveiliging te voldoen, een verbeterplan op te stellen en uit te voeren. Maak inzichtelijk middels dit verbeterplan hoe de gemeente privacybescherming en informatiebeveiliging structureel gaat beleggen in functies en rollen, hoe de gemeente in de bewustwording, deskundigheid en (extra) capaciteit gaat voorzien en welke financiële middelen daarvoor nodig zijn. Sluit daarbij aan bij de ontwikkelingen die zijn ingezet in het kader van het Organisatieprogramma 2022-2026, bijvoorbeeld de meer integrale benadering van bedrijfsvoeringsthema’s.

●

Anticipeer op toekomstige ontwikkelingen bij de planning van capaciteit en expertise op het gebied van privacy en informatiebeveiliging. Te denken valt aan: ○ ontwikkelingen, zoals ChatGPT, en dreigingen die op gemeente afkomen;

| 6 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

○

●

de implementatie van de NIS2-richtlijn2 in de Wet beveiliging netwerken en informatiesystemen, die in oktober 2024 in werking treedt.

Zorg voor een beter beveiligingsprofiel op basis van openbaar beschikbare informatie door de issues op basisbeveiliging.nl maandelijks te bewaken en op te lossen. Zorg voor het gebruik van actuele versleutelingsprotocollen op alle apparatuur die verbonden is met het internet en zorg dat deze geen informatie over software en -versies prijsgeeft.

Aan de gemeenteraad ●

Stel als gemeenteraad vast welke informatie de raad nodig acht over privacy en informatiebeveiliging en op welke momenten de raad een verantwoordingsverslag wenst te ontvangen en bespreken. Stel ook vast welke documenten de raad zelf wenst vast te stellen. Uit dit onderzoek blijkt dat de raad in ieder geval behoefte heeft aan beter zicht op de kaders waaraan de gemeente moet voldoen en de mate waarin zij daar daadwerkelijk aan voldoet, de wijze waarop monitoring vorm krijgt, de mate waarin de systemen op orde zijn en een antwoord op de vraag of de organisatie weet wat zij moet doen wanneer zich incidenten voordoen. Ook vragen raadsleden zich af in hoeverre privacy en informatiebeveiliging onderdeel zijn van de organisatieontwikkeling en hoe de informatie-uitwisseling met andere partijen verloopt, bijvoorbeeld in het sociaal domein.

●

Spreek als gemeenteraad af welke kaders en eventuele leertrajecten de raad zelf nodig heeft om veilig en bewust om te gaan met informatie(systemen) en welke informatie de raad hiervoor nodig heeft.

●

Zorg dat de gehele raad, en niet alleen de auditcommissie, periodiek wordt geïnformeerd over de status van de privacybescherming en informatiebeveiliging, waaronder de status van de implementatie van beveiligingsmaatregelen uit de BIO en de ontwikkelingen met betrekking tot de privacy risicoanalyses (DPIA’s) en het register van verwerkingen. In het voorjaar kan de informatievoorziening aan de raad plaatsvinden middels de bestuursrapportage en in het najaar zou de raad met een raadsinformatiebrief geïnformeerd kunnen worden. Daarnaast kan de auditcommissie tussentijds geïnformeerd worden over de ontwikkelingen met betrekking tot privacybescherming en informatiebeveiliging.

De Europese NIS2-richtlijn richt zich op risico's die netwerk- en informatiesystemen bedreigen, zoals cyberbeveiligingsrisico's. De komst van de richtlijn moet bijdragen aan meer Europese harmonisatie en een hoger niveau van cybersecurity bij bedrijven en organisaties (ncsc.nl; geraadpleegd op 6 april 2023). De NIS2-richtlijn wordt in Nederland geïmplementeerd door de Wet beveiliging netwerk- en informatiesystemen (Wbni). 2

| 7 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

4. Bestuurlijke reactie Geachte leden van de Rekenkamer, Met aandacht hebben wij het rekenkamerrapport Privacy en Informatiebeveiliging bestudeerd en besproken in de collegevergadering van 27 februari 2024. Het rapport biedt waardevolle inzichten in de huidige staat van privacybescherming en informatieveiligheid binnen onze gemeente. Het geeft ook inzicht in de effectiviteit van onze bestaande beleidsinstrumenten op dit gebied. Als college waarderen we de gedegen aanpak van dit onderzoek en de lerende manier waarop de rekenkamer met betrokkenen tot haar conclusies en aanbevelingen is gekomen. Uit het rapport blijkt dat er binnen de gemeente reeds belangrijke stappen zijn gezet om de privacybescherming en informatieveiligheid te verbeteren. Als college hechten we veel belang aan de rol van sleutelfiguren zoals de CISO, FG en de Privacy Officers, maar benadrukken de verantwoordelijkheid van onze managers. Zij zijn verantwoordelijk voor een sterke bedrijfsvoering en het garanderen van privacybescherming en informatieveiligheid in de werkprocessen. Doorlopende bewustwordingscampagnes en de borging van aandacht in ons organisatieprogramma dragen hieraan bij. Echter, zoals uit het rapport blijkt, zijn er nog uitdagingen en verbeterpunten.

De bevinding dat ons huidige beleid op het gebied van privacy en informatieveiligheid niet actueel, onvolledig geïmplementeerd, en ontoereikend voor de uitvoering is, neemt het college zeer serieus. Ook de noodzaak voor heldere definities en de praktische uitvoering van rollen, taken en verantwoordelijkheden, alsmede de voortdurende aandacht voor capaciteit en deskundigheid binnen onze organisatie, zijn punten die in de verdere ontwikkeling van onze organisatie de volle aandacht krijgen. In reactie op de aanbevelingen van de rekenkamer onderneemt het college de volgende acties: ● Actualisering en implementatie van beleid: We zullen ons privacy- en informatiebeveiligingsbeleid actualiseren en zorgen voor een heldere implementatieplanning, inclusief de benodigde capaciteit en financiële middelen. Hierin nemen we ook de acties op die zorgen voor het gewenste zichtbare beveiligingsprofiel, zoals aanbevolen door de rekenkamer. In het bedrijfsvoeringsdashboard verwerken we data over naleving van AVG en BIO. ● Verantwoordingsproces en PDCA-cyclus: Er wordt een verantwoordingsproces ingericht waarbij proceseigenaren periodiek rapporteren over de naleving van AVG en BIO als onderdeel van de bredere bedrijfsvoeringsrapportage. Deze rapportage wordt in het afdelings-MT vastgesteld en door ieder afdelingshoofd met de gemeentesecretaris - algemeen directeur besproken.

Het college ontvangt over deze bedrijfsvoeringsgesprekken een kwartaalrapportage met een organisatiebrede

| 8 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

verantwoording. Onderdeel van de rapportage aan het college is een herkenbare review door de FG en de CISO over de stand van zaken rond AVG en BIO. ● Risicobeheer en compliance: Wij dragen zorg voor verdere opvolging van het uitvoeringsplan waarmee we het register van verwerking actueel houden, de DPIA's systematisch uitvoeren, en onze compliance aan de basisverplichtingen toetsen en verbeteren. ● Bewustwording en deskundigheidsbevordering: Voortdurende aandacht voor bewustwording en scholing van zowel bestuurlijke als ambtelijke organisatie zal worden gegarandeerd. Het monitoren van de verplichte deelname is ook een onderdeel van het verantwoordingsproces en de PDCA-cyclus. ● Anticiperen op toekomstige ontwikkelingen: In samenwerking met de FG, CISO en Privacy Officers, zullen we ons voorbereiden op toekomstige ontwikkelingen en risico’s, inclusief de impact van technologische innovaties en nieuwe wettelijke vereisten die voortkomen uit de NIS2-richtlijn. Het college erkent de noodzaak voor een verbeterde informatievoorziening aan en interactie met de raad. Het college zal naast het tussentijds informeren van de auditcommissie, ook de hele raad betrekken via de reguliere bestuursrapportages.

Deze zullen ook de stand van zaken van privacybescherming en informatieveiligheid bevatten inclusief de overgenomen aanbevelingen over de beveiligingsmaatregelen uit de BIO, de risicoanalyses (DPIA’s) en het register van verwerkingen. Wij danken de rekenkamer voor haar waardevolle inzichten en aanbevelingen. Het college zal deze uitdagingen verder oppakken. Samen met de raad en onze ambtelijke organisatie gaan we de privacybescherming en informatieveiligheid voor onze inwoners, ondernemers en medewerkers op een hoger niveau brengen. Met vriendelijke groet, Namens het college van burgemeester en wethouders, Gemeentesecretaris S.J.A. Bronsveld

Burgemeester J.Chr. van der Hoek

| 9 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Deel 2 Onderzoeksverslag

| 10 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

H1 | Onderzoeksopzet 1.1 Doelstelling en scope van het onderzoek In de programmabegroting 2024-2027 van de gemeente Schouwen-Duiveland wordt opgemerkt dat informatieveiligheid de laatste jaren steeds belangrijker is geworden en dat de informatie die de gemeente beheert over (en voor) haar inwoners en ondernemers goed beveiligd moet worden. De gemeente constateert dat er voortdurende aandacht, bewustwording, kennis en investering in techniek, mensen en processen noodzakelijk is. Ten aanzien van datalekken en de bescherming van gegevens wordt opgemerkt dat het niet uit te sluiten is dat bijvoorbeeld met ransomware de gegevens van de gemeente Schouwen-Duiveland worden gegijzeld of dat informatie bij onbevoegden terechtkomt of dat toegang verkregen wordt tot informatiedragers. De schade kan materieel, immaterieel, juridisch of financieel zijn of betrekking hebben op imagoschade. De gemeente geeft aan te proberen het risico steeds meer te verkleinen met technische maatregelen en organisatorische maatregelen, waaronder beschreven werkprocessen, beleidsdocumenten, administratie, scholing, bewustwording en de procedures over het melden van incidenten en datalekken (met alle vervolgacties die dat met zich meebrengt). De gemeente merkt op dat de kosten van een ransomware-aanval kunnen oplopen tot € 2 miljoen.

De Rekenkamer wil met dit onderzoek inzicht geven in het privacy- en informatiebeveiligingsbeleid van de gemeente Schouwen-Duiveland, in de wijze waarop de gemeente daar invulling en uitvoering aan geeft en in de wijze waarop de gemeenteraad daarbij betrokken is. Onderzocht is in hoeverre de aanpak van privacy en informatiebeveiliging doeltreffend en doelmatig verloopt in de gemeente. Ook wordt er een doorkijk gegeven richting de toekomst: zijn er nog aandachts- en verbeterpunten die meegenomen kunnen worden in het beleid dan wel de organisatie en uitvoering daarvan? Met deze kennis en dit inzicht zijn de raadsleden vervolgens beter in staat om invulling te kunnen geven aan hun controlerende rol.

1.2 Hoofdvraag en deelvragen Voor dit onderzoek werd de volgende hoofdvraag opgesteld: Is de huidige wijze van privacynaleving en informatiebeveiliging doeltreffend en doelmatig, waar liggen mogelijkheden voor verbetering en in hoeverre zijn college en raad in staat om met behulp van het huidige verantwoordingsinstrumentarium te sturen en te controleren op privacy en informatiebeveiliging?

| 11 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Deze hoofdvraag valt uiteen in de volgende deelvragen: Beleid 1. Wat is het privacy- en informatiebeveiligingsbeleid van de gemeente Schouwen-Duiveland? 2. In hoeverre voldoet het privacy- en informatiebeveiligingsbeleid aan de gestelde (wettelijke) eisen en normen, waaronder de BIO, de AVG en de Wpg? Organisatie 3. Hoe is de uitvoering van het privacy- en informatiebeveiligingsbeleid qua taken, rollen en verantwoordelijkheden belegd binnen de gemeente? 4. Hoe is de organisatie toegerust op de uitvoering van het privacy- en informatiebeveiligingsbeleid (allocatie van middelen, capaciteit, kennis en vaardigheden)? 5. Heeft de gemeente een goed ingerichte crisisstructuur voor het detecteren en bestrijden van cyberaanvallen? Uitvoering 6. Hoe wordt in de dagelijkse uitvoeringspraktijk van de gemeente gevolg gegeven aan het privacy- en informatiebeveiligingsbeleid? 7. In hoeverre is de uitvoering van het beleid geborgd in procedures, werkinstructies en overige afspraken? 8. Wat is het volwassenheidsniveau van de gemeente op het gebied van privacy en informatiebeveiliging? Samenwerking 9. In hoeverre is er sprake van een effectieve samenwerking met (keten)partners op het gebied van informatiebeveiliging? 10.

In hoeverre is er inzicht in de gegevensverwerkingen met verwerkers, samenwerkingspartners, gezamenlijke verwerkingsverantwoordelijkheid en naleving IBP? Signaleren, verantwoorden en leren 11. Wordt zowel het beleid als de uitvoering periodiek geëvalueerd? Worden incidenten nader onderzocht? Worden geleerde lessen vertaald naar beleid, procedures, werkinstructies en overige afspraken? 12. In welke mate is er op bestuurlijk niveau aandacht voor privacy en informatiebeveiliging? a. Hebben college en raad inzicht in de risico’s die de gemeente loopt ten aanzien van privacy en informatiebeveiliging en hoe worden deze beheerst? b. Wordt hierover periodiek met de portefeuillehouder en het college gesproken? c. Wordt hierover gecommuniceerd met de raad en worden er door de raad conclusies aan verbonden? d. Wat zijn de ambities van de raad voor wat betreft de sturing op privacy en informatiebeveiliging? 13. In hoeverre is privacy- en informatiebeveiligingsbeleid en de uitvoering daarvan toekomstbestendig? En waar liggen eventuele mogelijkheden voor verbetering?

| 12 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

1.3 Onderzoeksmethoden In deze paragraaf beschrijven we welke methoden we hebben ingezet voor het onderzoek naar het privacy- en informatiebeveiligingsbeleid in de gemeente Schouwen-Duiveland.

1.3.1 Deskresearch Om inzicht te krijgen in de stand van zaken ten aanzien van privacy en informatiebeveiliging (beleid, organisatie, uitvoering, signaleren, evalueren en leren) zijn we gestart met het uitvoeren van een deskresearch. We keken naar onder andere beleidsdocumenten, verantwoordingsdocumenten, documentatie van beheersmaatregelen, de implementatie en de borging daarvan, visies, samenwerkingsafspraken, moties, toezeggingen en (schriftelijke) vragen van de gemeenteraad. Naast deze interne documenten analyseerden we de rapportages die zijn gemaakt op basis van de interne en/of externe audits die werden uitgevoerd naar de privacy en informatiebeveiliging (naleving BIO) in de gemeente Schouwen-Duiveland. Een overzicht van de bestudeerde documenten is opgenomen in bijlage 2. Naast de analyse van documenten hebben we internetresearch uitgevoerd. Daarbij werden openbare benchmarks, zoals bijvoorbeeld te vinden op de website basisbeveiliging.nl, bestudeerd om daarmee vanuit vergelijkend perspectief uitspraken te kunnen doen over de informatieveiligheid in de gemeente Schouwen-Duiveland.

1.3.2 Aanvulling en verdieping door interviews Informatie uit documenten gaat leven als deze in een gesprek door betrokkenen wordt toegelicht en ingekleurd. Achtergronden worden helder en de onderzoekers kunnen hun vragen stellen ter verduidelijking. We hebben in dit onderzoek gesproken met zowel de bestuurlijk als de ambtelijk verantwoordelijken. Tijdens het onderzoek werd gesproken met de portefeuillehouder uit het college van B&W en met een afvaardiging van de gemeenteraad. Een overzicht van de respondenten is opgenomen in bijlage 3.

| 13 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

H2 | Beleid 2.1 Inleiding In dit hoofdstuk wordt het beleid ten aanzien van privacy en informatiebeveiliging in de gemeente Schouwen-Duiveland beschreven en wordt geschetst in hoeverre het beleid voldoet aan de geldende eisen en normen. Daarmee worden de volgende onderzoeksvragen beantwoord: ● Wat is het privacy- en informatiebeveiligingsbeleid van de gemeente Schouwen-Duiveland? ● In hoeverre voldoet het privacy- en informatiebeveiligingsbeleid aan de gestelde (wettelijke) eisen en normen, waaronder de BIO, de AVG en de Wpg? ● In hoeverre is de uitvoering van het beleid geborgd in procedures, werkinstructies en overige afspraken?

2.2 Privacybeleid In mei 2018 heeft het college van B&W van de gemeente Schouwen-Duiveland het Algemeen Privacybeleid vastgesteld. Met dit privacybeleid wil de gemeente duidelijk richting geven aan privacy en daarmee laten zien dat zij de privacy van inwoners en medewerkers waarborgt, beschermt en handhaaft. Met het privacybeleid en het uitvoeren daarvan wil de gemeente ervoor zorgen dat zij goed kan inspelen op wettelijke en technologische ontwikkelingen, maar ook verantwoording kan afleggen aan de gemeenteraad, de Autoriteit Persoonsgegevens of de rechter. Het privacybeleid draagt bij aan het beschermen van de privacy van personen van wie de gemeente gegevens verwerkt of laat verwerken. De gemeente informeert hiermee haar inwoners over hoe zij omgaat met de privacy van betrokkenen.3 Het privacybeleid is van toepassing op de omgang met persoonsgegevens van burgers, medewerkers, ketenpartners en stakeholders en de daaraan ten grondslag liggende documenten, zowel digitaal als niet-digitaal. De algemene uitgangspunten van het privacybeleid zijn:4 ● We verwerken persoonsgegevens alleen ten behoeve van het doel waarvoor zij zijn verkregen en verwerken daarbij niet meer gegevens dan noodzakelijk. ● We gaan zorgvuldig om met persoonlijke informatie en nemen passende organisatorische en technische maatregelen om de persoonsgegevens te beschermen.

● We beschouwen alle persoonsgegevens als vertrouwelijke informatie, waar een geheimhoudingsplicht voor geldt. Intern wordt gewerkt op basis van het need-to-know principe. Dat houdt in dat bestuurders, medewerkers, ingehuurde derden en leveranciers en partners alleen toegang krijgen tot gegevens voor zover deze gegevens

3 4

Gemeente Schouwen-Duiveland, Algemeen Privacybeleid 2018, p.4. Gemeente Schouwen-Duiveland, Algemeen Privacybeleid 2018, p.10.

| 14 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

●

noodzakelijk zijn voor hun taakuitoefening. We maken daarover duidelijke afspraken die de privacy van betrokkenen waarborgen. We houden ons aan de AVG en andere toepasselijke wet- en regelgevingen omtrent de verwerking van persoonsgegevens.

In interviews wordt aangegeven dat het privacybeleid geactualiseerd moet worden. Het huidige beleid is overwegend een beschrijving van de Algemene Verordening Gegevensbescherming (AVG). De Algemene Verordening Gegevensbescherming (AVG) De AVG is de Europese privacywetgeving, die sinds 25 mei 2018 in de hele Europese Unie (EU) geldt. De AVG gaat over de bescherming van persoonsgegevens. Mensen hebben meer privacyrechten, organisaties hebben meer verantwoordelijkheden en de toezichthouder heeft meer bevoegdheden. Het beleid geeft onvoldoende richting; er staan geen ambities en doelen in. De gemeente is voornemens het privacybeleid in 2024 te herzien. Het nieuwe beleid zal zowel betrekking hebben op privacy als op informatiebeveiliging en de Chief Information and Security Officer (CISO) en de Privacy Officer (PO) gaan hiermee gezamenlijk aan de slag.

2.3 Informatiebeveiligingsbeleid Het college van B&W van de gemeente Schouwen-Duiveland heeft in 2019 het Informatiebeveiligingsbeleid gemeente Schouwen-Duiveland 2019-2022 vastgesteld. Hiervoor is een sjabloon van de Informatiebeveiligingsdienst (IBD)5 gebruikt. Informatiebeveiliging is in het beleid gedefinieerd als de risicogebaseerde aanpak, waarmee maatregelen worden geïdentificeerd en uitgevoerd op basis waarvan de waarborging van beschikbaarheid, integriteit en vertrouwelijkheid van informatie en informatiemiddelen plaatsvindt. De basis voor informatiebeveiliging in de gemeente Schouwen-Duiveland is de Baseline Informatiebeveiliging Overheid (BIO), die is afgeleid van Annex A van de internationale norm voor informatiebeveiliging ISO 27001. De Baseline Informatiebeveiliging Overheid (BIO) De BIO is het gezamenlijk normenkader voor informatiebeveiliging voor alle Nederlandse overheden en daarmee ook het vertrekpunt voor de informatiebeveiliging van de gemeente Schouwen-Duiveland. In de BIO zijn beveiligingsmaatregelen over een aantal hoofdstukken verdeeld: ● Informatiebeveiligingsbeleid ● Organiseren van de informatiebeveiliging ● Veilig personeel ● Beheer van de bedrijfsmiddelen ● Toegangsbeveiliging

De Informatiebeveiligingsdienst (IBD) is onderdeel van de VNG en ondersteunt gemeenten bij preventie, detectie, coördinatie en kennisdeling op het gebied van informatiebeveiliging. 5

| 15 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

● ● ● ● ● ● ● ● ●

Cryptografie Fysieke beveiliging en beveiliging van de omgeving Beveiliging bedrijfsvoering Communicatiebeveiliging Acquisitie, ontwikkeling en onderhoud van informatiesystemen Leveranciersrelaties Beheer van informatiebeveiligingsincidenten Informatiebeveiligingsaspecten van bedrijfscontinuïteitsbeheer Naleving

De BIO bestaat uit de beveiligingsmaatregelen uit Annex A van de internationale norm voor informatiebeveiliging ISO 27001 en uit aanvullende overheidsmaatregelen die een nadere (deel)uitwerking geven van deze maatregelen. Voor elk van de maatregelen kan vervolgens in beeld worden gebracht hoe ver een organisatie, in dit geval de gemeente, is met betrekking tot de opzet, het bestaan en de werking van de betreffende maatregel. De opzet van maatregelen staat voor ontwerp, bijvoorbeeld te vinden in het informatiebeveiligingsbeleid. Bij bestaan gaat het om de vraag of maatregelen daadwerkelijk getroffen zijn. Bij de werking van maatregelen gaat het erom of maatregelen doen waarvoor ze bedoeld zijn en dus om de effectiviteit van maatregelen. In het beleid staat verwoord dat de gemeente Schouwen-Duiveland ervoor zorgt dat de medewerkers met een rol in de organisatie van informatieveiligheid voldoende getraind zijn en blijven op het gebied van informatiebeveiliging en privacy. Daarnaast wordt jaarlijks en cyclisch bij alle andere medewerkers bewustwording vergroot over de wijze waarop ze met gevoelige (burger)gegevens moeten omgaan. Hierin worden de medewerkers ondersteund door technische maatregelen en tools, aldus het informatiebeveiligingsbeleid.

De gemeente wil om te zorgen dat zij blijft voldoen aan geldende wet- en regelgeving, de organisatie en de werkwijze regelmatig toetsen door middel van audits, zoals de jaarrekeningcontrole en andere audits door de externe accountant enerzijds en door interne controle door interne auditors anderzijds. In het beleid staat verder beschreven dat de technische en organisatorische maatregelen op het gebied van informatieveiligheid door de CISO worden opgepakt en verder worden uitgezet in de organisatie na een zorgvuldige risicoafweging. Op basis van de grootste risico’s worden prioriteiten gesteld en maatregelen getroffen. Het voornemen is om hiertoe jaarlijks aangepaste plannen op te stellen en ten uitvoer te brengen.

| 16 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

2.4 Borging van het beleid: plan, do, check, act 2.4.1 Privacy Het privacybeleid van 2018 wordt door bestuur en ambtelijke organisatie als onvoldoende concreet gezien en is destijds ook niet uitgewerkt in een heldere aanpak met daarbij een omschrijving van de benodigde capaciteit. Eind 2022 heeft de Functionaris Gegevensbescherming (FG) van de gemeente Schouwen-Duiveland het toezichtplan FG opgesteld. Dit plan betreft de AVG en de Wpg. De Wet politiegegevens (Wpg) De Wpg regelt de verwerking van persoonsgegevens voor de uitoefening van de politietaak door onder meer de Nationale Politie en organisaties voor bijzondere opsporing. Onder die laatste categorie vallen bijvoorbeeld ook de buitengewone opsporingsambtenaren (boa’s) die voor gemeenten werkzaam zijn. Als werkgevers van boa’s zijn gemeenten volgens de Wpg verplicht om externe audits te laten uitvoeren en de resultaten te delen met de Autoriteit Persoonsgegevens. De FG zal alle afdelingen, het MT en de gemeenteraad benaderen en bevragen waarna hij vervolgens zijn bevindingen zal terugkoppelen naar het MT en de portefeuillehouder. Het toezicht door de FG vindt plaats aan de hand van een lijst met overkoepelende items die de FG toetst op opzet, bestaan en werking. Voor de uitvoering van het toezicht wordt het borgingsproduct van de VNG niet gebruikt.

Dit borgingsproduct heeft als doel om een goede omgang met persoonsgegevens binnen de gehele gemeente te waarborgen. Het borgingsproduct wordt als te groot en uitgebreid gezien en gaat naar de mening van de FG te weinig in op opzet, bestaan en werking. Het toezichtplan van de FG vormt de nulmeting. Van daaruit wordt vervolgens gekeken op welke wijze de organisatie de adviezen opvolgt. In 2023 heeft de FG twee onderzoeken op deze wijze uitgevoerd, waarover meer in hoofdstuk 5.

2.4.2 Informatiebeveiliging Van beleid naar uitvoering Zoals in de voorgaande paragraaf is beschreven, moet de uitwerking van het informatiebeveiligingsbeleid in concrete maatregelen plaatsvinden in jaarlijkse informatiebeveiligingsplannen (IBP). Voor 2019 is het Informatiebeveiligingsplan Gemeente Schouwen-Duiveland 2019 opgesteld. Daarin komen de volgende onderwerpen aan de orde: ● Formaliseren rollen en verantwoordelijkheden. ● Bewustwording en opleidingen. ● Informatie en classificatie. ● Uitrollen maatregelen voor beveiligingsniveaus. Voor de betreffende onderwerpen wordt ingegaan op de te ondernemen acties, de verantwoordelijken en betrokkenen en er is een prioritering en planning toegevoegd. Voor de jaren na 2019 is er, naast het jaarlijkse CISO-werkplan en de roadmap ICT (waarover later meer), geen informatiebeveiligingsplan opgesteld.

| 17 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

De PDCA-cyclus in de praktijk In een interview wordt geschetst hoe de PDCA-cyclus voor wat betreft informatiebeveiliging op dit moment vorm krijgt in de gemeente Schouwen-Duiveland. Er vinden autorisatiecontroles plaats. Hierbij vormt de autorisatiematrix die recent is opgesteld het vertrekpunt. De autorisatiematrix geldt voor alle systemen. Vanuit de ambtelijke organisatie wordt opgemerkt dat het werken met een autorisatiematrix een belangrijke verbetering is, maar dat er nog een aantal achterstanden moeten worden ingelopen. Naast de autorisatiecontroles worden Suwinet en DigiD periodiek geaudit. Suwinet Suwinet is een netwerk dat het Uitvoeringsinstituut Werknemersverzekeringen (UWV), de Sociale Verzekeringsbank (SVB) en gemeentelijke sociale diensten gebruiken om onderling gegevens uit te wisselen over werk, inkomen, vermogen en re-integratie. DigiD DigiD staat voor Digitale Identiteit en wordt door inwoners onder meer gebruikt om toegang te krijgen tot de digitale dienstverlening van de gemeente. Sinds het in dienst treden van de huidige CISO in 2020 wordt er op basis van ‘grootste risico's eerst’ gekeken naar wat de volgende stap zou moeten zijn. Nu de meest urgente risico’s zijn aangepakt, heeft de CISO een GAP-analyse uitgevoerd op de BIO. Met een GAP-analyse maak je het verschil inzichtelijk tussen de huidige situatie en de gewenste situatie, in dit geval de BIO.

Op basis daarvan is er nu een risicoregister met een kwalificatie van de risico's opgenomen in de GAP-analyse en is er een actieplan opgesteld. Dit actieplan wordt nog afgestemd met de afdelingen om eigenaarschap te stimuleren. Jaarlijks wordt er al een werkplan opgesteld. Het laatste werkplan is van 2022, in 2023 is de CISO verder gegaan met de acties die nog open stonden. Aanverwant beleid en regelingen In aanvulling op het informatiebeveiligingsbeleid heeft de gemeente Schouwen-Duiveland verschillende andere beleidsuitgangspunten en procedures uitgewerkt. Zo heeft de gemeente recent een crisismanagementplan opgesteld voor het optreden bij privacy- of informatiebeveiligingsincidenten. Dit plan is onderdeel van de inrichting en borging van het bedrijfscontinuïteitsbeheer en de crisisorganisatie. In het plan is onder meer aandacht voor het besluitvormingsproces dat doorlopen moet worden in het geval van een incident. De organisatie streeft ernaar het plan ter besluitvorming voor te leggen in het eerste kwartaal van 2024. Daarnaast bestaat er sinds september 2023 een geactualiseerde regeling voor telefoon-, fax-, e-mail-, internet- en netwerkgebruik en het gebruik van de voorzieningen van de gemeente Schouwen-Duiveland. Binnen de gemeente is er momenteel in het bijzonder aandacht voor het privégebruik en het zelf plaatsen van software op de laptop door medewerkers.

In een interview wordt opgemerkt dat de BIO duidelijke richtlijnen geeft op dit gebied en dat helpt in het gesprek met medewerkers.

| 18 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

2.5 Résumé De gemeente Schouwen-Duiveland heeft privacy- en informatiebeveiligingsbeleid. Dit beleid is gebaseerd op de geldende wet- en regelgeving. Het privacybeleid heeft de AVG en de Wpg als uitgangspunt. Het privacybeleid is overwegend een beschrijving van de AVG en geeft onvoldoende richting. Het informatiebeveiligingsbeleid heeft het gezamenlijk normenkader voor informatiebeveiliging voor alle Nederlandse overheden, de BIO, als uitgangspunt. Er zijn op onderdelen aanvullend beleid en procedures opgesteld. Het privacy- en informatiebeveiligingsbeleid is niet actueel en is recent niet vertaald naar uitvoeringsplannen waarin ambities en doelen worden vertaald naar concrete activiteiten met een overzicht van benodigde middelen en een planning. De PDCA-cyclus, waarbij vanuit inzicht in risico’s maatregelen worden genomen die worden getoetst waarna eventueel bijsturing plaatsvindt, staat nog in de kinderschoenen. De gemeente is voornemens het beleid in 2024 te herzien, waarbij het nieuwe beleid zowel betrekking zal hebben op privacy als op informatiebeveiliging.

| 19 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

H3 | Organisatie In dit hoofdstuk gaan we in op de wijze waarop de privacybescherming en informatiebeveiliging binnen de gemeente Schouwen-Duiveland zijn georganiseerd en beschrijven we in hoeverre de organisatie hierop is toegerust. Daarmee beantwoorden we de volgende onderzoeksvragen: ● Hoe is de uitvoering van het privacy- en informatiebeveiligingsbeleid qua taken, rollen en verantwoordelijkheden belegd binnen de gemeente? ● Hoe is de organisatie toegerust op de uitvoering van het privacy- en informatiebeveiligingsbeleid (allocatie van middelen, capaciteit, kennis en vaardigheden)? ● In hoeverre is er sprake van een effectieve samenwerking met (keten)partners op het gebied van informatiebeveiliging?

3.1 Rollen, taken en verantwoordelijkheden zoals beschreven In verschillende (beleids)documenten6 zijn de rollen, taken en verantwoordelijkheden ten aanzien van privacy en informatiebeveiliging en de samenhang daartussen uitgewerkt. In deze paragraaf wordt beschreven hoe die rollen, taken en verantwoordelijkheden volgens de betreffende (beleids)documenten zijn belegd.

3.1.1 Het bestuur: het college van B&W en de gemeenteraad Het college van B&W is eindverantwoordelijk voor wat betreft het voldoen aan de eisen voor informatiebeveiliging en privacy door de organisatie. Het college moet de kaders stellen ten aanzien van privacybescherming en informatiebeveiliging op basis van landelijke en Europese wet- en regelgeving en landelijke normenkaders. Het college is verantwoordelijk voor een duidelijk te volgen privacy- en informatiebeveiligingsbeleid en moet het management van de organisatieonderdelen stimuleren om maatregelen te nemen om persoonsgegevens van betrokkenen te beschermen en te beveiligen. Binnen de gemeente Schouwen-Duiveland heeft de burgemeester privacy in portefeuille en is informatiebeveiliging belegd bij een wethouder. De gemeenteraad zou toezicht moeten houden op het borgen van informatieveiligheid en het creëren van bewustzijn door de gemeente.

3.1.2 Ambtelijke organisatie Het college heeft de verantwoordelijkheden op het gebied van privacybescherming en informatieveiligheid in praktische zin gedelegeerd aan de gemeentesecretaris7. Deze moet met het managementteam het gewenste niveau van informatieveiligheid en privacy voor de gemeente vaststellen. Daarnaast is de gemeentesecretaris verantwoordelijk voor de juiste en volledige implementatie van de privacywet- en regelgeving en zou de gemeentesecretaris voor ieder (informatie)systeem een procesverantwoordelijke of systeemeigenaar moeten aanwijzen. Informatiebeveiligingsbeleid gemeente Schouwen-Duiveland 2019-2022, het Privacybeleid 2018, de IB-organisatiebeschrijving Schouwen-Duiveland (2021), de Rolverdeling PIT. Rollen in het kader van Privacy en Informatiebeveiliging van de CISO, PO, FG en leidinggevenden (2021) en het Toezichtplan FG (2021). 7 Rolverdeling PIT. Rollen in het kader van Privacy en Informatiebeveiliging van de CISO, PO, FG en leidinggevenden (2021). 6

| 20 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

De afdelingshoofden worden genoemd als eigenaar van de persoonsgegevens8 en zijn daarmee ook verantwoordelijk voor de verwerking van de betreffende persoonsgegevens. De organisatie (en dus de eigenaren) is verantwoordelijk voor de beschikbaarheid (het bereikbaar en inzichtelijk zijn), de integriteit (juistheid, tijdigheid en volledigheid) en de vertrouwelijkheid (waardoor de persoonsverwerking uitsluitend toegankelijk is voor daartoe geautoriseerde personen). De eigenaar heeft in ieder geval de volgende verantwoordelijkheden:9 ● Aanmelden verwerking van persoonsgegevens bij de Privacy Officer (PO). ● Aanmelden van wijzigingen in de verwerking van persoonsgegevens bij de Privacy Officer. ● De aanvraag, inbreng van inhoudelijke, functionele kennis en uitvoer en het effectueren van de resultaten van een DPIA (Data Protection Impact Assesment, of risicoanalyse). ● Afsluiten, beheren en actualiseren van verwerkersovereenkomsten. ● Inventariseren van feiten en omstandigheden in het geval van een veiligheidsincident (datalek). ● De adviezen uit rapportages/analyses van veiligheidsincidenten implementeren en beargumenteren als de adviezen niet worden geïmplementeerd. ● Het belang van informatiebeveiliging en privacyprocedures (periodiek) onder de aandacht brengen van de afdeling.

● Aanwijzen contactpersoon (ambassadeur) informatieveiligheid en privacy binnen de afdeling (onder voorbehoud van een mogelijk toekomstig besluit in deze door de organisatie). ● Uitvoeren van het beleid ten aanzien van de betreffende persoonsgegevens die onder zijn verantwoordelijkheid vallen. Vanaf 25 mei 2018 dient elke overheidsinstantie in Europa een Functionaris Gegevensbescherming (FG) te hebben aangewezen. Deze controleert of de gemeente de privacywetgeving naleeft en burgers hun recht op privacy kunnen uitoefenen ten opzichte van de gemeente. De FG is onafhankelijk en moet adviseren over de uitleg van de verplichtingen uit de privacywetgeving voor de gemeente Schouwen-Duiveland. Ook moet de FG toetsen of de uitvoering conform wetgeving is en, in geval van tekortkomingen, rapporteren aan het college. De FG is ook het aanspreekpunt van de gemeente wanneer de Autoriteit Persoonsgegevens (de privacytoezichthouder) vragen heeft over de manier waarop de gemeente uitvoering geeft aan de privacywetgeving. De FG moet toezicht houden op de naleving van privacywetgeving, maar voert deze niet uit. De invoering van maatregelen moet worden gecoördineerd en gecontroleerd door de Privacy Officer (PO). De rol van de PO is gericht op de uitvoering, advisering en naleving van de privacywetgeving.

De PO moet adviseren over privacybescherming en over activiteiten ter bescherming van persoonsgegevens.

Overigens bestaat er geen “eigenaar” van persoonsgegevens, zie kamerbrief: https://open.overheid.nl/documenten/ronl-8f62147a-d378-48ad-84aa-52074cc8d6d6/pdf 9 Rolverdeling PIT, 2021, p.4-5. 8

| 21 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

De gemeente Schouwen-Duiveland wil bij iedere afdeling een privacycontactpersoon aanstellen die als aanjager moet optreden. De verantwoordelijkheden, taken en bevoegdheden van de privacycontactpersonen zijn als volgt omschreven:10 ● Het zich eigen maken van basale kennis met betrekking tot de AVG. Hierbij zullen de PO en FG geregeld zorgen voor de kennis en de contactpersonen wijzen op de bewustwording. ● Het signaleren van nieuwe verwerkingen van persoonsgegevens en de collega’s wijzen op de spelregels van de AVG. ● Het meewerken (of laten meewerken) aan het vullen van het verwerkingsregister onder begeleiding van de PO. Hiervoor zal een (administratief) systeem worden opgezet. ● Het meewerken (of laten meewerken) aan de DPIA’s onder begeleiding van de PO (een compact model is reeds gekozen). ● Aanspreekbaar zijn voor de PO en/of FG met betrekking tot de kennis van de afdeling/het cluster (het gaat hier om ‘de weg weten’). ● Het aan mogen spreken van collega’s op het signaleren van issues met betrekking tot de privacy. ● Het mede signaleren van datalekken en/of raadpleegbaar zijn voor collega’s. Uiteraard zijn de PO en FG ook beschikbaar om informatie, kennis en advies te geven. De Chief Information Security Officer (CISO) moet, gevraagd en ongevraagd, adviseren over informatiebeveiliging en moet periodiek aan het managementteam rapporteren over de stand van zaken.

Waar het technische en organisatorische maatregelen op het gebied van informatieveiligheid betreft moet de CISO deze oppakken en verder uitzetten in de organisatie. Dit moet gebeuren na een zorgvuldige risicoafweging, waarna op basis van de grootste risico’s eerst de prioritering wordt gegeven en maatregelen worden getroffen. Jaar na jaar worden hiertoe aangepaste plannen opgesteld en ten uitvoer gebracht, aldus het informatiebeveiligingsbeleid. In de IB-organisatiebeschrijving Schouwen-Duiveland staat vervolgens beschreven dat de coördinatie van informatiebeveiliging is belegd bij een strategische adviesfunctie binnen alle organisatieonderdelen. Uitvoerende taken zijn zo veel mogelijk belegd bij (decentrale) security-functionarissen. Over het functioneren van informatiebeveiliging moet periodiek, maar minimaal jaarlijks, worden gerapporteerd conform de P&C-cyclus. In het document IB-organisatiebeschrijving Schouwen-Duiveland worden de rollen en verantwoordelijkheden van de CISO, de Information Security Officers (ISO’s), de FG, de security officers SUWINET, DigiD en BRP en het eigenaarschap van informatiesystemen (systeemeigenaar, gegevenseigenaar en proceseigenaar/coördinator) verder uitgewerkt. Volgens de IB-organisatiebeschrijving zijn de proceseigenaren de leidinggevenden van de verschillende clusters.

10

Profielschets voor contactpersonen Privacy, 17 juli 2023.

| 22 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

De informatiebeveiligingsorganisatie wordt als volgt gevisualiseerd: Figuur 1 De organisatie van informatiebeveiliging (IB-organisatiebeschrijving Schouwen-Duiveland, 2021)

In de gemeente Schouwen-Duiveland werken de CISO, de PO en de FG samen in het Privacy & Informatiebeveiliging Team (PIT). De taken van het PIT worden samengevat als toezicht, advies/raadpleging, informatie en ondersteuning. Het daadwerkelijk realiseren van activiteiten voortvloeiend uit beleid behoort niet tot de taken van het PIT. Het PIT moet zich specifiek richten op privacy-issues waarbij expliciet wordt opgemerkt dat de CISO-functie breder is. In het document Rolverdeling PIT worden de verantwoordelijkheden van de FG, de PO, de CISO en de eigenaren, voor zover van toepassing, nader uitgewerkt voor de volgende privacy-onderwerpen:11 ● Beheer van het register van verwerkingen. ● Registratie, beheer en actualisatie van verwerkersovereenkomsten. ● Deelname leden van Privacy- en Informatiebeveiliging Team (PIT). ● Afhandeling veiligheidsincidenten met persoonsgegevens (incidenten en datalekken). ● Advies en voorlichting aan de organisatie. ● Uitvoering Data Protection Impact Assessment (DPIA). ● Afhandeling verzoek rechten van betrokkenen met betrekking tot persoonsgegevens. ● Ontwikkelen en beheer van procedures, formats en beleid.

Naast de hiervoor genoemde specifieke rollen staat in het informatiebeveiligingsbeleid dat iedere medewerker de verantwoordelijkheid heeft om gevoelige gegevens te beschermen en dat leidinggevenden erop sturen om bescherming en bewustzijn over informatieveiligheid en privacywetgeving te creëren.

11

Rolverdeling PIT, 2021, p.8-15.

| 23 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

3.2 De organisatie van privacy en informatiebeveiliging in de praktijk 3.2.1 Privacy en informatiebeveiliging op de agenda In verschillende gesprekken wordt aangegeven dat er sinds 2020 binnen de gemeente Schouwen-Duiveland meer aandacht is gekomen voor (bewustwording ten aanzien van) privacy en informatiebeveiliging. Dit wordt onder meer toegeschreven aan het aanstellen en beter positioneren van de CISO, de FG en de PO, het inzetten van een bewustwordingscampagne, het uitvoeren van phishingtests en de inzet van de huidige gemeentesecretaris. Positionering Volgens respondenten is het scherp krijgen en beleggen van rollen, taken en verantwoordelijkheden met betrekking tot privacy en informatiebeveiliging in de gemeente Schouwen-Duiveland een grote uitdaging. Zo werd, ondanks de beschrijving van rollen, taken en verantwoordelijkheden in verschillende (beleids)documenten, informatiebeveiliging tot voor kort in de praktijk door leidinggevenden als de verantwoordelijkheid van het team ICT gezien. Mede door de positionering van de CISO bij dit betreffende team lag de nadruk op technische beveiliging. Er is lang gesproken over de positionering van de CISO. De CISO is recent ondergebracht bij het team Juridische Zaken. Dit team valt onder een van de bedrijfsvoeringsafdelingen. De gemeentesecretaris is de ambtelijk opdrachtgever, een wethouder de bestuurlijk opdrachtgever van de CISO.

Respondenten geven aan dat de CISO nu meer aan de voorkant wordt meegenomen bij het ontwikkelen van processen. Desondanks worden volgens verschillende respondenten, waaronder leidinggevenden, privacy en informatiebeveiliging nog te veel gezien als verantwoordelijkheid van de CISO, de FG en de PO. Bewustwording In 2021 heeft op initiatief van de CISO een bewustwordingscampagne voor privacy en informatiebeveiliging plaatsgevonden. De campagne bestond uit een eenmalige online training en wekelijkse nano learnings12. Deelname was verplicht. De doelen van de campagne waren: ● Voldoen aan de richtlijnen zoals gesteld in de AVG (bewustwording & opleiding). ● Medewerkers weten dat zij in hun werkzaamheden rekening moeten houden met privacy en het veilig houden van informatie voor onze inwoners, organisaties en bedrijven. ● Medewerkers begrijpen hun eigen rol en verantwoordelijkheid bij dit onderwerp. ● Medewerkers weten waar zij op het gebied van privacy en informatiebeveiliging op moeten letten in hun dagelijkse werkzaamheden en doen regelmatig deze 'check’. ● Medewerkers melden incidenten. De deelname aan de bewustwordingscampagne en de resultaten van de phishingtests die daarnaast werden uitgevoerd (zie hoofdstuk 6) zijn teruggekoppeld aan de leidinggevenden. 12

Bij nano learnings wordt lesstof frequent en in kleine stukjes aangeboden.

| 24 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Respondenten hebben de indruk dat er door de nanolearnings en tests met phishingmails wel een omslag is geweest; de bewustwording onder medewerkers is groter geworden. In de interviews wordt opgemerkt dat de mate van bewustwording verschilt per afdeling. Het aantal meldingen van incidenten is nog altijd beperkt, gedurende het afgelopen jaar werden er vijf incidenten gemeld, wat de vraag oproept of zich weinig incidenten voordoen of dat medewerkers deze niet als zodanig herkennen. Er vindt momenteel een doorontwikkeling van de bewustwordingscampagne plaats. Er komt een nieuwe campagne met een andere insteek met filmpjes van onder andere de burgemeester. Er moeten nog wel stappen worden gezet om de bewustwording en het (proces)eigenaarschap ten aanzien van privacy en informatiebeveiliging te vergroten. Zo moeten leidinggevenden hier meer verantwoordelijkheid voor gaan nemen. Leidinggevenden hebben in het verleden bijvoorbeeld niet actief gestuurd op deelname aan de bewustwordingscampagne. Ook hebben zij de nanolearnings niet altijd zelf gevolgd en hebben zij dus onvoldoende voorbeeldgedrag getoond. Elkaar aanspreken hierop wordt als lastig ervaren; verschillende respondenten merken op dat de gemeente Schouwen-Duiveland geen aanspreekcultuur heeft.

Naast de bewustwordingscampagne zijn alle medewerkers van de gemeente Schouwen-Duiveland door de CISO geïnformeerd over de introductie van Multi Factor Authenticatie (MFA). Hierbij werd onder meer aangegeven wat MFA is, waarom het belangrijk is en wat de gevolgen ervan zijn voor de medewerker. Ook de raad werd hierover geïnformeerd. In de onboarding van nieuwe medewerkers is beperkt aandacht voor privacy en informatiebeveiliging. De personeels- en salarisadministratie stuurt een mail naar nieuwe medewerkers. Ook krijgen medewerkers de zogenaamde privacykit thuisgestuurd, inclusief een top 10-checklist op het gebied van informatieveiligheid. Een vernieuwde versie van het onboardingsprogramma is recent besproken in het MT. Hierin is meer aandacht voor privacy en informatiebeveiliging. In het vorige programma was dit onvoldoende meegenomen. Het nieuwe onboardingsprogramma gaat meer vragen van de leidinggevenden. In het geval van een vaststellingsovereenkomst bij uitdiensttreding na een conflict wordt het correct omgaan met informatie van de gemeente benoemd, maar het is geen vast onderdeel van het exitgesprek dat plaatsvindt bij het beëindigen van een dienstverband op eigen verzoek. Organisatieontwikkeling In 2022 is de gemeente Schouwen-Duiveland gestart met de versterking en vernieuwing van de organisatie.