1197180 Bijlage 2 Eindrapport Rekenkameronderzoek Privacy en informatiebeveiliging

In het Organisatieprogramma 2022–2026 zijn de ambities beschreven die de gemeente daarbij nastreeft, waaronder sterke teams en sterke bedrijfsvoering. Sinds 1 september 2023 kent de gemeente teammanagers in plaats van coördinatoren in de teams. De teammanagers zijn binnen (financiële) kaders verantwoordelijk voor de bedrijfsvoering en moeten ervoor zorgen dat er richtlijnen en procedures tot stand komen.

| 25 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Ook moeten zij zorgen voor de prioritering en bewaking van de uitvoering en de coördinatie over de grenzen van de teams. De afdelingshoofden vormen samen met de gemeentesecretaris het MT en zijn integraal verantwoordelijk voor de afdeling en voor de strategische bedrijfsvoering van de organisatie (concernsturing). De afdelingshoofden en teammanagers zijn medio 2023 gestart met een traject voor managementontwikkeling, waarin onder meer de nadruk ligt op collectieve bedrijfsvoeringsthema’s als privacy en informatiebeveiliging. Vanuit de ambtelijke organisatie wordt opgemerkt dat dit heeft geresulteerd in de opdracht aan leidinggevenden om deze thema's in de afdelingsplannen voor 2024 verder uit te werken. Vervolgens is het de bedoeling om in het eerste kwartaal van 2024 te starten met bedrijfsvoeringsgesprekken per afdeling waarover het college vervolgens in concernbrede kwartaalrapportages wordt geïnformeerd. Hierin wil men ook de reactie van de concerncontroller, de FG en de CISO opnemen. Vanuit de ambtelijke organisatie wordt aangegeven dat deze manier van werken moet doorbreken dat privacybescherming en informatiebeveiliging te veel als verantwoordelijkheid van de PO en de CISO worden gezien. Uit de afdelingsplannen en het concernplan voor 2024 moet blijken hoe de rollen zijn verdeeld en hoe teammanagers en afdelingshoofden zich daarbij ten opzichte van elkaar verhouden.

Rol van de gemeentesecretaris Ook de komst van de huidige gemeentesecretaris heeft tot een omslag geleid in de bewustwording ten aanzien van informatiebeveiliging en privacy. Zij is actief met dit thema bezig en de CISO en de FG hebben rechtstreeks toegang tot haar. Haar ambtelijk opdrachtgeverschap helpt om informatiebeveiliging binnen de organisatie steviger op de agenda te krijgen. Bij respondenten bestaat de indruk dat er bij het MT nu meer eigenaarschap ontstaat ten aanzien van privacy en informatiebeveiliging.

3.2.2 Capaciteit In de interviews wordt aangegeven dat de aandacht en beschikbare capaciteit voor privacy en informatiebeveiliging lange tijd een probleem is geweest. Het bleek lastig om formatie beschikbaar te krijgen en vervolgens hebben de CISO, de PO en de FG hard moeten werken om een positie binnen de organisatie te krijgen. De huidige capaciteit wordt nog steeds als (te) beperkt ervaren. Zo is er voor informatiebeveiliging wel een fulltime CISO aangesteld, maar zij is ook verantwoordelijk voor de ENSIA-coördinatie13 en dat kost veel tijd die zij niet aan haar werkzaamheden als CISO kan besteden. Er is voor de verschillende afdelingen nog geen Information Security Officer (ISO) aangesteld, de functionaris die de CISO zou moeten ondersteunen in het uitvoeren van beleid en controles op het gebied van informatiebeveiliging. Hierover zijn de gemeentesecretaris en de CISO nog in gesprek. Ook voor wat betreft privacy is de beschikbare capaciteit een aandachtspunt. De PO is ziek en wordt nu vervangen door een interim-PO voor twee dagen per week. De interim-PO krijgt veel vragen vanuit de organisatie en komt te weinig toe aan het verwerkingsregister en de DPIA’s (hierover meer in hoofdstuk 5). Er is gezocht naar een extra PO om zo de functie van PO fulltime te kunnen invullen.

Gemeenten verantwoorden zich over informatiebeveiliging middels ENSIA (Eenduidige Normatiek Single Information Audit). In hoofdstuk 6 wordt hier uitgebreider op ingegaan. 13

| 26 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Vanuit de ambtelijke organisatie wordt aangegeven dat voor de rol van PO een fulltime formatieplaats beschikbaar is en dat inmiddels met het vinden van een tweede vervangende PO vanaf het laatste kwartaal van 2023 de inzet van 40 uur per week wordt gerealiseerd. De FG werkt momenteel veertien uur per week voor de gemeente Schouwen-Duiveland en ziet dat als voldoende. Er is budget beschikbaar gesteld om de privacy-contactpersonen te trainen. Er zijn inmiddels een paar overleggen geweest met de contactpersonen, maar het is nog zoeken naar de definitieve contactpersonen en ook is het aantal uren dat zij voor deze rol beschikbaar hebben nog niet helemaal duidelijk. Ook is het voor contactpersonen onduidelijk of het een tijdelijke of een permanente rol betreft. Er komen zo wel veel rollen bij de teams terecht, terwijl de werkdruk al hoog is, merkt een respondent op.

3.2.3 Financiële middelen De financiële middelen die op dit moment beschikbaar zijn voor privacy en informatiebeveiliging zijn volgens respondenten toereikend, maar worden overwegend incidenteel en niet structureel beschikbaar gesteld. Zo wordt, om de benodigde stappen te kunnen zetten met betrekking tot privacy, in de programmabegroting 2024-2027 een incidenteel uitvoeringsbudget van € 15.000 beschikbaar gesteld voor workshops, extra communicatiemiddelen, bijeenkomsten en/of andere specifieke ondersteuning. Vanuit het college wordt opgemerkt dat zowel raad als college er altijd voor hebben gezorgd en zullen zorgen dat er voldoende budget beschikbaar wordt gesteld voor privacy en informatiebeveiliging, maar dat zij geen duidelijk beeld hebben van wat er op dit moment nodig is.

3.2.4 Samenwerking rond informatiebeveiliging Samenwerking met andere gemeenten De CISO heeft de afgelopen jaren actief de samenwerking met andere gemeenten in Zeeland gezocht en een netwerk opgebouwd om inzicht te krijgen in waar de prioriteiten zouden moeten liggen. De volwassenheidsniveaus van de Zeeuwse gemeenten met betrekking tot informatiebeveiliging zijn echter niet heel hoog en mede daarom heeft zij ervoor gekozen om ook aan te sluiten bij landelijke overleggen om daar kennis en ideeën op te doen. De gemeente Schouwen-Duiveland heeft in eerste instantie meegedaan met de VNG/GGI-Veilig14 aanbesteding voor SIEM/SOC. Een van de eisen die de BIO stelt, is het gebruik van SIEM (Security Information & Event Management) en SOC (Security Operations Center). Deze dragen eraan bij dat digitale dreigingen, zoals hackpogingen of malware, beter worden gemonitord en in beeld worden gebracht en helpen overheden daarmee om digitaal weerbaarder te worden. De gemeente Schouwen-Duiveland wilde SIEM/SOC gaan gebruiken als het bij één andere gemeente goed zou werken. Inmiddels is de VNG in overleg met de leverancier gestopt met dit project. De gemeente Schouwen-Duiveland heeft in het algemeen minder goede ervaringen met GGI-Veilig, omdat er een standaardoplossing wordt geboden en aanpassing op de behoefte van de gemeente extra geld kost.

GGI-Veilig is een project van de VNG en bestaat uit een portfolio van producten en diensten voor operationele informatiebeveiliging. 14

| 27 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Samenwerking met externe partijen De gemeente Schouwen-Duiveland werkt samen met verschillende externe partijen, bijvoorbeeld voor informatiebeveiligingsondersteuning (ISO), het opstellen van de roadmap, het inrichten van netwerk monitoring, de bewustwordingscampagne en met (andere) leveranciers van bijvoorbeeld software. In een interview wordt opgemerkt dat het leveranciersmanagement, dat wil zeggen het vaststellen, inrichten, onderhouden en monitoren van de dienstverlening door leveranciers van ICT-diensten, op dit moment nog een blinde vlek is.

3.3 Résumé In verschillende (beleids)documenten worden de rollen, taken en verantwoordelijkheden van het bestuur en de ambtelijke organisatie beschreven. Deels zijn dit documenten die zijn vastgesteld door het college (het beleid), waarin de beschrijving heel globaal van aard is, en deels zijn dit uitwerkingen daarvan door de ambtelijke organisatie. Het is onvoldoende duidelijk hoe de uitgangspunten zich in de verschillende documenten tot elkaar verhouden en hoe de verschillende rollen zijn belegd in de verschillende functies. In de praktijk worden rollen, taken en verantwoordelijkheden niet volledig uitgevoerd zoals beoogd. Dit geldt bijvoorbeeld voor de wijze waarop leidinggevenden invulling geven aan hun rol met betrekking tot privacy en informatiebeveiliging, de invulling van de rol van ISO’s en de privacycontactpersonen bij verschillende afdelingen. Recent is er een extra tactische tussenlaag aan de organisatiestructuur van de gemeente Schouwen-Duiveland toegevoegd: de teammanagers. Het is op dit moment niet duidelijk wat hun rol, taken en verantwoordelijkheden zijn met betrekking tot privacy en informatiebeveiliging en hoe zij zich daarbij verhouden tot de afdelingsmanagers. Dit wordt uitgewerkt in afdelingsplannen waarbij de afdelingsmanager uiteindelijk als proceseigenaar wordt gezien.

Binnen de gemeente Schouwen-Duiveland is recent meer aandacht gekomen voor (bewustwording ten aanzien van) privacy en informatiebeveiliging, onder meer door het aanstellen en beter positioneren van de CISO, de FG en de PO, het inzetten van een bewustwordingscampagne, het uitvoeren van phishing tests en de inzet van de huidige gemeentesecretaris. De organisatie is voor wat betreft de beschikbare capaciteit, vooral decentraal in de teams, en de wijze van rolinvulling op dit moment nog onvoldoende toegerust op hetgeen er vanuit het oogpunt van privacy en informatiebeveiliging van de gemeente wordt gevraagd. De huidige gemeentesecretaris zorgt voor meer eigenaarschap.

| 28 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

H4 | Uitvoering In dit hoofdstuk wordt de uitvoering van het beleid beschreven. De vragen die in dit hoofdstuk worden beantwoord zijn: ● Hoe wordt in de dagelijkse uitvoeringspraktijk van de gemeente gevolg gegeven aan het privacy- en informatiebeveiligingsbeleid? ● Wat is het volwassenheidsniveau van de gemeente op het gebied van privacy en informatiebeveiliging? ● In hoeverre is er inzicht in de gegevensverwerkingen met verwerkers, samenwerkingspartners, gezamenlijke verwerkingsverantwoordelijkheid en naleving IBP?

4.1 Privacy 4.1.1 Toezicht door de FG In 2023 heeft de FG van de gemeente Schouwen-Duiveland een toezichtplan opgesteld. In dit plan beschrijft de FG het wettelijk en gemeentelijk kader, de wijze waarop hij toezicht uitoefent en een planning daarvoor. Op basis van het toezichtplan heeft de FG vervolgens een tweetal onderzoeken uitgevoerd: een onderzoek naar het MT en een onderzoek naar de onderwerpen Wmo en Jeugd binnen de afdeling Werken, Wonen en Leven (WWL). Beide onderzoeken zijn voorzien van adviezen. In het onderzoek naar het MT concludeert de FG dat de score op de kernpunten (opzet, bestaan en werking) is gewogen en uitkomt op een 0,82 op een schaal van 0-4. De FG stelt vast dat er geen goed vervolg is gegeven aan het privacybeleid van 2018, dat het verwerkingsregister onvoldoende is bijgehouden en dat het ook ontbreekt aan DPIA’s die voor belangrijke verwerkingen van persoonsgegevens verplicht zijn. Er is wel een privacyverklaring en de aanstellingen van de FG en een fulltime PO zijn gerealiseerd. Het werkethos binnen de organisatie maakt dat er bereidheid is om naleving van de AVG te verbeteren, aldus het verslag van de FG. De wijze waarop vervolgens opvolging wordt gegeven aan dit onderzoek komt aan de orde in de volgende paragraaf. Verwerkingsregister In een verwerkingsregister staat informatie over de persoonsgegevens die de gemeente gebruikt.

In een verwerkingsregister worden bijvoorbeeld opgenomen de naam en contactgegevens van de FG, een beschrijving van de categorieën van personen en persoonsgegevens en een algemene beschrijving van de technische en organisatorische maatregelen die zijn genomen om de persoonsgegevens die worden verwerkt te beveiligen.

| 29 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Data Protection Impact Assessment (DPIA) Een DPIA is een instrument om vooraf de privacyrisico’s van een gegevensverwerking in kaart te brengen. Een gemeente is verplicht een DPIA uit te voeren wanneer de gegevensverwerking waarschijnlijk een hoog privacyrisico oplevert. In het onderzoek naar de onderwerpen Wmo en Jeugd binnen de afdeling WWL stelt de FG vast dat een aantal zaken niet op orde is. Het gaat vooral om het niet beschreven zijn van de belangrijkste hoofd- en subprocessen in het verwerkingsregister en het niet aanwezig zijn van DPIA’s, terwijl dat laatste hier, gezien de omvang van de verwerkingen, verplicht is. Door het ontbreken van het verwerkingsregister en de DPIA’s, is het niet goed mogelijk om objectief de items te toetsen op opzet, bestaan en werking. De gewogen score op een schaal van 0 tot 4 bedraagt 0,79. In het afdelingsplan ontbreekt privacy als vast onderdeel en is er geen vervolg te zien op basis van het privacybeleid. In de werkzaamheden wordt vooral gefocust op zo veilig mogelijke opslag van individuele verslaglegging. Er worden weinig tot geen datalekken gemeld en de FG constateert dat men de procedure wel kent maar er geen gebruik van maakt, en dat het erop lijkt dat incidenten die zich voordoen worden opgepakt.

De FG merkt op dat medewerkers zich bewust zijn van privacy en dat zij over het algemeen de persoonsgegevens met zorgvuldigheid behandelen. Er wordt in overleg geregeld gekeken naar vastlegging. Ten tijde van het onderzoek wordt gewerkt aan het beschrijven van de werkprocedures, een kwaliteitsbeleid, een kwaliteitskader en workflows. Er is meer aandacht voor het verbeteren van processen. Deze constatering geeft de FG vertrouwen dat privacy steeds meer onder de aandacht komt en dat het voldoen aan de AVG en privacy op relatief korte termijn kan verbeteren. Voorwaarde daarvoor is wel dat daarvoor een actieplan wordt opgesteld. Vanuit de betreffende afdeling wordt aangegeven dat er na de rapportage van de FG is gestart met een plan van aanpak om zo gestructureerder te gaan werken volgens PDCA.

4.1.2 Privacy Plan ‘Basis op Orde’ In maart 2023 is het Privacy Plan ‘Basis op Orde’ door de PO met medewerking van de FG opgesteld. De twee hiervoor beschreven onderzoeken van de FG vormden de basis van dit plan. In het plan wordt geconstateerd dat de gemeente Schouwen-Duiveland (nog) niet aan de basisverplichtingen van de Algemene Verordening Gegevensbescherming (AVG) voldoet en wordt opgemerkt dat dit vijf jaar na het van kracht worden van de AVG niet meer uit te leggen is aan de toezichthouder, maar ook zeker niet aan de inwoners. De FG en PO adviseerden het MT om de hoogste prioriteit te geven aan het op orde krijgen van deze basisverplichtingen, in het bijzonder met betrekking tot het verwerkingsregister en het laten uitvoeren van DPIA's. In het plan worden de benodigde acties beschreven die met betrekking tot het op orde krijgen van het verwerkingsregister zullen worden uitgevoerd. Het verwerkingsregister werd in 2018 vastgesteld door het college in de veronderstelling dat het bijgehouden zou gaan worden, maar dat gebeurde niet. Het plan is nu om een actueel, juist en volledig verwerkingsregister op te leveren.

| 30 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

In het MT van 26 juni 2023 is ingestemd met het opleveren van een actueel, juist en volledig verwerkingsregister in het vierde kwartaal van 2023. Dit is nog niet gelukt, wel zijn in het vierde kwartaal de processen in kaart gebracht. Het MT is hierover in juni 2023 geadviseerd middels een procesvoorstel. Het zorgen dat het verwerkingsregister gevuld wordt, is de verantwoordelijkheid van de leden van het MT en dat wordt nu ook zo beleefd, zo geeft een respondent aan. De rol van proceseigenaar voor verwerkingen is ingebed in de organisatie. Medewerkers begrijpen het, maar vinden het nog wel lastig om daar invulling aan te geven. Toch gebeurt dat nu in toenemende mate, aldus de betreffende respondent. Er is een vernieuwd verwerkingsregister voor Wmo en Jeugd waarin veel processen staan, voor andere clusters moet dit nog via de eerder genoemde privacycontactpersonen vorm krijgen. Dit zijn binnen de afdeling WWL (Loket Samenleving en Zorg) de kwaliteitsmedewerkers die daarover inmiddels resultaatafspraken hebben gemaakt. Er is nog geen duidelijke en vastgelegde aanpak voor de DPIA’s. De DPIA’s moeten in de toekomst ook in het Privacy Management Systeem worden opgenomen. Nu staan ze soms in het zaaksysteem en soms in andere systemen.

Het uitvoeren van DPIA’s wordt nu nog onvoldoende door de organisatie zelf opgepakt; het is in de praktijk met name de PO die hier uitvoering aan geeft. Bij de afdeling WWL zijn inmiddels verschillende primaire processen gescoord met een pre-DPIA, onder meer het intakeproces, het proces rond het opschalen naar een maatwerkvoorziening Wmo en Jeugd, berichten huisartsen, aanvragen hulpmiddelen Wmo, het voeren van sociaal medisch overleg en multidisciplinair overleg (MDO). De gemeente is voornemens de definitieve DPIA in het tweede kwartaal van 2024 uit te voeren na invoering van de nieuwe applicatie voor sociale regie.

4.1.3 Incidenteel inzicht en naleving Uit het Proces voorstel actualiseren verwerkingsregister 23 juni 2023 en uit het Privacy Plan ‘Basis op Orde’ blijkt dat het verwerkingsregister niet op orde is. Onderdeel van het register zijn ook de categorieën van ontvangers en gezamenlijke verwerkingsverantwoordelijken. Verder is het leveranciersmanagement niet op orde en blijkt uit de ontvangen documenten niets van inzicht in de ingeschakelde verwerkers en of daarmee verwerkersovereenkomsten zijn afgesloten. Het inzicht lijkt daarmee incidenteel. Dit blijkt ook uit onderzoek van de FG in 2023. De verschillende plannen die er zijn voor het actualiseren van het beleid, het verwerkingsregister, het onderzoek van de FG en het aanstellen van extra capaciteit voor de PO geven een indruk van het inzicht binnen de gemeente in de naleving van privacy en informatiebeveiliging als geheel. Uit dat inzicht blijkt dat er bewustzijn is ten aanzien van het belang van privacy en informatiebeveiliging, maar dat de mate van naleving wordt bepaald door beschikbare kennis en capaciteit. Deze zijn binnen de organisatie beperkt aanwezig waardoor de naleving incidenteel van aard is.

| 31 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

4.2 Informatiebeveiliging 4.2.1 Inzicht op basis van publieke informatie In het kader van dit onderzoek is er internetresearch uitgevoerd, waarbij is onderzocht welk beeld van de informatiebeveiliging van de gemeente ontstaat bij een verkenning door hackers op basis van publiek beschikbare informatie. Hackers gebruiken dit bij het kiezen van hun slachtoffers. Een organisatie die op basis van publiek beschikbare informatie laat zien dat zij niet in control is, zal in de inschatting van een hacker een gemakkelijkere prooi zijn dan een organisatie die alles op orde lijkt te hebben. We hebben de volgende aspecten onderzocht: ●

● ●

●

● ●

De website bassisbeveiliging.nl meldt voor de gemeente Schouwen-Duiveland twee hoge, nul medium en 55 lage risico’s. De hoge risico’s gaan over het ontbreken van encryptie op websites, maar er zijn foutieve meldingen omdat bezoekers van deze websites automatisch worden doorgestuurd naar adequaat beveiligde websites. Wanneer dit aangepast zou zijn, zou de gemeente Schouwen Duiveland als een van circa tien gemeenten ‘groen’ scoren in dit overzicht (dat een aantal wezenlijke extern zichtbare aspecten weergeeft, maar geen integrale beoordeling is van informatiebeveiliging bij de gemeente). In de ambtelijke reactie op dit onderzoek wordt aangegeven dat het controleren en opvolgen van bevindingen op basisbeveiliging.nl en andere interne en externe vulnerability scans zijn geborgd bij ICT en dat alle bevindingen direct worden beoordeeld en ingepland op basis van het risico. Hierdoor bevindt de gemeente zich vrijwel continu onder de ongeveer 5% “groene gemeenten” en is zij geen opvallend interessant potentieel slachtoffer. Er is een steekproef gedaan van websites ten aanzien van instellingen rond versleuteling (het slotje in de browser). Deze waren allen positief (score A+).

Beveiligingsrelevante instellingen rond e-mail zijn getroffen, onder andere rond het herkennen van mails met een vervalste afzender en versleuteling van de verbinding tussen de verzendende en de ontvangende mailserver.15 Open poorten op de met het internet verbonden servers in subdomeinen van schouwen-duiveland.nl zijn alleen via webbrowser (poort 80 en 443) toegankelijk. Volgens Shodan.io en basisbeveiliging.nl is afvalkalender.schouwen-duiveland.nl ook via poort 21 - onversleutelde file transfer - bereikbaar. Dit protocol is onveilig. Op het internet zijn circa 206 e-mailadressen van de gemeente bekend, die door kwaadwillenden kunnen worden gebruikt voor SPAM en phishing. Op het internet zijn voor 206 e-mailadressen wachtwoorden gevonden. Het lekken van deze wachtwoorden kan langere tijd geleden (bijvoorbeeld de inbreuk bij LinkedIn in 2012) zijn en zijn mogelijk niet de wachtwoorden die voor systemen van de gemeente worden gebruikt. Sommige mensen gebruiken echter dezelfde wachtwoorden of varianten daarvan voor meerdere (privé- en) werkaccounts, ook over langere periodes. Vanuit de ambtelijke organisatie wordt opgemerkt dat door de invoering van multifactor-authenticatie en het verplicht frequent wijzigen van wachtwoorden

Technische bevinding: de mechanismen DNSSEC, DMARC, DKIM en SPF, evenals versleuteling met STARTLS en DANE worden toegepast. 15

| 32 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

● ●

medewerkers nu niet meer dezelfde wachtwoorden over langere perioden kunnen gebruiken. Een tweetal ip-adressen van de gemeente komen voor op zogenaamde blocklists omdat ze worden verdacht van het versturen van SPAM. Een aantal websites geeft informatie over de software waarmee de website werkt. Door zes servers wordt ook versieinformatie over software gedeeld. Bij sommige software, zoals core-js, blijkt het om een verouderde versie te gaan. Hackers kunnen deze informatie gebruiken om beveiligingslekken te vinden.

De gemeente valt voor hackers niet op als een bijzonder zwak potentieel slachtoffer, maar er is wel informatie publiek beschikbaar die door hackers gebruikt zou kunnen worden.

4.2.2 Security and compliance roadmap In 2022 is een security-assessment uitgevoerd: een stand van zaken van informatiebeveiliging op technisch vlak. Hierin werden in het bijzonder risico’s gesignaleerd met betrekking tot Multi-Factor Authenticatie, het inrichten van SIEM/SOC en autorisaties. Vervolgens heeft een extern bureau een security and compliance roadmap voor de gemeente Schouwen-Duiveland opgesteld. De gemeente wil de komende tijd de geadviseerde technische en organisatorische maatregelen oppakken om de systemen en daarmee ook de data steeds veiliger te maken en veilig te houden. In een interview wordt aangegeven dat voorgesteld wordt om hier de komende twee jaar drie afzonderlijke projecten van te maken.

4.2.3 Stand van zaken ten aanzien van de BIO Naast de zelfevaluatie in het kader van ENSIA en het onderzoek dat door externen is uitgevoerd, heeft de CISO van de gemeente Schouwen-Duiveland recent een GAP-analyse uitgevoerd op de beveiligingsmaatregelen uit Annex A van de internationale norm voor informatiebeveiliging ISO 27001 en op de overheidsmaatregelen die een nadere (deel)uitwerking geven van een deel van de BIO-maatregelen. Uit de genoemde GAP-analyse blijkt dat 44% van het totaal van controls en overheidsmaatregelen is geïmplementeerd of niet van toepassing is (48% van de controls en 41% van de overheidsmaatregelen). Het laagst scoren de hoofdstukken over beleid, organisatie, continuïteit en naleving. Het hoogst scoren de hoofdstukken over communicatiebeveiliging en incidentenbeheer. Daarmee voldoet de gemeente niet aan de basisbeveiligingsmaatregelen voor de Nederlandse overheid. Vanuit de ambtelijke organisatie wordt hierbij opgemerkt dat de gemeente in de aanpak de hoogste prioriteit heeft gegeven aan het advies van de IBD aan de kleinere gemeenten. Dit was om 42 BIO-normen en maatregelen uit Verhogen Digitale Weerbaarheid (VDW) als eerste te realiseren. Hiervan heeft de gemeente 81% van de maatregelen geïmplementeerd.

In een gesprek geeft de CISO aan dat zij bij haar aantreden drie jaar geleden eerst met de grootste risico’s aan de slag is gegaan, waarbij de nadruk lag op autorisaties, Multi-Factor Authentication en bewustwording. Vervolgens heeft zij de GAP-analyse uitgevoerd om inzichtelijk te maken waar de gemeente Schouwen-Duiveland staat ten opzichte van de BIO. Op basis van de GAP-analyse voert de CISO gesprekken met proceseigenaren om te komen tot een actieplan. Bij de GAP-analyse is ook een risicoregister opgebouwd met een kwalificatie van de risico’s.

| 33 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Daarin worden voor 64 van de 188 maatregelen 22 risico’s geïdentificeerd en eigenaren toegewezen. Daarmee zijn voor lang niet alle ontbrekende maatregelen eigenaren toegewezen. In de ambtelijke reactie op dit rekenkameronderzoek wordt aangegeven dat inmiddels de meeste eigenaren zijn toegewezen.

4.3 Résumé De gemeente Schouwen-Duiveland voldoet (nog) niet aan de basisverplichtingen van de AVG. De hoogste prioriteit wordt momenteel gegeven aan het op orde krijgen van deze basisverplichtingen, in het bijzonder met betrekking tot het verwerkingsregister en het laten uitvoeren van DPIA's. Ook voor wat betreft informatiebeveiliging valt op dat de gemeente Schouwen-Duiveland nog stappen moet zetten om het gewenste basisniveau te bereiken; de gemeente heeft ongeveer 44 procent van de maatregelen uit de BIO geïmplementeerd, waarmee voor minder dan de helft is voldaan aan de BIO als basisniveau voor de Nederlandse overheid. Op een aantal vanaf het internet (ook voor hackers) zichtbare aspecten geeft de internetresearch een positiever beeld.

| 34 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

H5 | Signaleren, verantwoorden en leren In dit hoofdstuk worden de volgende onderzoeksvragen beantwoord: ● Heeft de gemeente een goed ingerichte crisisstructuur voor het detecteren en bestrijden van cyberaanvallen? ● Wordt zowel het beleid als de uitvoering periodiek geëvalueerd? Worden incidenten nader onderzocht? Worden geleerde lessen vertaald naar beleid, procedures, werkinstructies en overige afspraken? ● In welke mate is er op bestuurlijk niveau aandacht voor privacy en informatiebeveiliging?

5.1 Melden, testen en leren van incidenten 5.1.1 Het melden van datalekken Er zijn in het verleden datalekken geweest in de gemeente Schouwen-Duiveland. Er waren echter maar weinig meldingen van dergelijke incidenten. De procedure bleek niet helder en er werd geen opvolging gegeven aan meldingen. De gemeente heeft inmiddels de procedure voor het melden van datalekken verbeterd en er is een knop op de werkplek. De melding komt dan in Topdesk en bij de FG terecht. Wie vervolgens de melding oppakt, is een informele afspraak van de FG, de PO en de CISO. Nu doet vooral de FG dat, maar dit zou eigenlijk de PO moeten doen. Voor betrokkenen is het melden van incidenten ook geregeld; via DigiD komt de melding in het zaaksysteem en dan gaat deze naar de PO en de betrokken afdeling. Hoewel de procedure verbeterd is, zijn er volgens respondenten nog altijd (te) weinig meldingen, slechts vijf gedurende het afgelopen jaar. Het is volgens respondenten de vraag of datalekken wel als zodanig worden herkend door medewerkers en of de procedure voldoende bekend is. In een gesprek met de afdeling WWL wordt opgemerkt dat datalekken standaard op de agenda staan bij werkoverleggen. De kwaliteitsmedewerker licht deze toe.

Aangegeven wordt dat bij burgerzaken medewerkers in het geval van een datalek wel richting inwoners communiceren en de schade herstellen, maar dat zij intern melding doen van incidenten lastig vinden. Extra aandacht hiervoor wordt gewenst. Uit dit onderzoek is niet gebleken hoe vaak datalekken richting inwoners worden gecommuniceerd.

5.1.2 Phishingtest In 2020 heeft de gemeente Schouwen-Duiveland een phishingtest uitgevoerd. Er werd een mail verzonden aan alle medewerkers met een zogenaamde vakantiedagen-check van P&O. Uit de test bleek dat nog niet alle medewerkers een phishingmail herkennen. Vervolgens ontvingen medewerkers een mail van de CISO met een uitleg over hoe phishingmails herkend en gemeld kunnen worden. De phishingtests hadden een negatief effect; zo durfden sommige medewerkers geen mails van personeelszaken meer te openen en ontstond er weerstand in plaats van bewustwording ten aanzien van informatiebeveiliging. De gemeente heeft vervolgens bewust ingezet op het trainen van medewerkers en gedurende een jaar zijn er geen phishingmails verstuurd.

| 35 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

5.1.3 Penetratietests Bij een penetratietest voert een ethisch hacker aanvallen uit op de gemeentelijke ICT-infrastructuur met als doel de beveiligingsmaatregelen te omzeilen of te doorbreken. Door middel van een penetratietest wordt getoetst in hoeverre technische beveiligingsmaatregelen effectief zijn. In 2022 heeft BDO een penetratietest uitgevoerd op de externe ICT-omgeving van de gemeente Schouwen-Duiveland. Daarbij is een opgegeven reeks van acht domeinen getest vanuit het perspectief van een externe hacker. Dit zijn aanzienlijk minder domeinen dan de 30 die bij de internetrecherche zijn gevonden16. Tijdens de test zijn één middel en meerdere laag (risico) geclassificeerde kwetsbaarheden aangetroffen. In 2021 had BDO een gelijksoortige penetratietest uitgevoerd in de gemeente Schouwen-Duiveland. BDO geeft aan dat, hoewel er geen integrale vergelijking of toetsing is gedaan op opvolging van haar bevindingen uit 2021, zij tot andersoortige en lager geclassificeerde risicobevindingen komt. De gemeente geeft aan dat dit komt door actieve opvolging van testresultaten en verbeteringen in de beveiliging van de opgegeven externe ICT-componenten.

5.2 Informatiebeveiliging op de bestuurlijke agenda 5.2.1 Verantwoording via ENSIA In het beleid is vastgelegd dat de gemeente Schouwen-Duiveland zich jaarlijks richting college en gemeenteraad verantwoordt over informatiebeveiliging middels de ENSIA-systematiek. Eenduidige Normatiek Single Information Audit (ENSIA) Gemeenten verantwoorden zich over informatiebeveiliging middels ENSIA. ENSIA staat voor Eenduidige Normatiek Single Information Audit. ENSIA wordt door het gemeentebestuur gebruikt om zich richting de gemeenteraad te verantwoorden over de staat van informatiebeveiliging op basis van de BIO. Daarnaast verantwoordt het gemeentebestuur zich over de stelsels Basisregistratie Personen (BRP), Paspoortuitvoeringsregeling (PUN), Structuur uitvoeringsorganisatie Werk en Inkomen (Suwinet), digitale persoonsidentificatie (DigiD), Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT) en Basisregistratie Ondergrond (BRO) naar de gemeenteraad, maar ook naar de toezichthouders bij het Rijk. Met de informatie waarmee de horizontale verantwoording van college richting gemeenteraad plaatsvindt, vindt in principe ook de verticale verantwoording richting het Rijk plaats. De verantwoording middels ENSIA over informatieveiligheid sluit aan op de planning- en controlcyclus van de gemeente.

De kwetsbaarheid die is benut bij de hack op de gemeente Hof van Twente is niet gevonden bij een penetratietest omdat het betreffende ip-adres niet in de scope van de penetratietest zat. 16

| 36 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

In 2022 voldeed de gemeente Schouwen-Duiveland gedeeltelijk aan de geldende normen. Voor Suwinet voldeed de gemeente aan de normen, waarbij wordt opgemerkt dat er voldoende aandacht dient te blijven voor verbetering om ervoor te zorgen dat de gemeente ook in 2023 weer aan de normen voldoet. Voor de DigiD-aansluitingen voldeed de gemeente niet aan alle normen. Vanuit de ambtelijke organisatie wordt hierbij opgemerkt dat alle bevindingen zijn verholpen binnen de hiervoor door Logius17 gestelde verbetertermijnen. Er is bij de laatste ENSIA-verantwoording in 2022 alleen een collegeverklaring informatiebeveiliging DigiD en Suwinet opgesteld door de accountant. Een dergelijke verklaring is niet opgesteld ten aanzien van de BIO. Er is vanuit ENSIA geen verplichting om een (dergelijke) collegeverklaring door gemeenten op te stellen over de BIO.

5.2.2 Privacy en informatiebeveiliging in de P&C-cyclus In verschillende planning- en controldocumenten, in het bijzonder de programmabegroting en de jaarstukken, wordt in de paragraaf Weerstandsvermogen en risicobeheersing periodiek gerapporteerd over de ontwikkelingen en risico’s met betrekking tot privacy en informatiebeveiliging. In de programmabegroting 2024-2027 van de gemeente Schouwen-Duiveland worden twee risico’s beschreven die in het kader van dit onderzoek relevant zijn. Deze risico’s hebben betrekking op datalekken en de bescherming van gegevens. Ten aanzien van datalekken wordt opgemerkt dat het niet uit te sluiten is dat bijvoorbeeld met ransomware de gegevens van de gemeente worden gegijzeld of dat informatie bij onbevoegden terechtkomt of toegang geeft tot informatiedragers. De gemeente geeft aan dat zij het risico steeds meer probeert te verkleinen met technische en organisatorische maatregelen, waaronder beschreven werkprocessen, beleidsdocumenten, administratie, scholing, bewustwording en de procedures over het melden van incidenten en datalekken (met alle vervolgacties die dat met zich meebrengt). Het risico op datalekken wordt door de gemeente zelf ingeschat op ‘oranje’. Deze risico’s vragen om aandacht.

Ze vormen individueel nog geen reëel gevaar voor de continuïteit van de organisatie, maar naarmate de tijd vordert, kan het risico wel een bedreiging gaan vormen. Dit risico wordt na weging op basis van waarschijnlijkheid gekwantificeerd op een bedrag van € 560.000. Voor wat betreft de bescherming van gegevens wordt wederom opgemerkt dat het niet uit te sluiten is dat bijvoorbeeld met ransomware de gegevens van de gemeente worden gegijzeld. De kosten van een soortgelijke aanval en werking van ransomware kunnen volgens de programmabegroting oplopen tot € 2 miljoen. Dit is aanzienlijk minder dan de vordering van de gemeente Hof van Twente aan een leverancier naar aanleiding van een ransomware-aanval18. De gemeente geeft aan maatregelen te nemen die volgen uit de zelfevaluatie BIO en door opvolging van de aanbevelingen van de externe audits volgens ENSIA op de informatie-uitwisseling DigiD, Suwinet, BRP en reisdocumenten en Geobasisadministraties. De gemeente spreekt de wens uit om meer op te schuiven naar toezicht aan de voorkant. Dit risico valt in het groene gebied en wordt gezien als een risico dat geen direct gevaar voor de continuïteit van de organisatie oplevert. 17 18

Logius is de dienst digitale overheid, onderdeel van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties. https://www.binnenlandsbestuur.nl/digitaal/rechter-moet-oordeel-vellen-over-miljoenenclaim-na-hack-hof-van-twente

| 37 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Dit risico wordt na weging op basis van waarschijnlijkheid gekwantificeerd op een bedrag van € 200.000. In de jaarstukken over 2022 wordt het risico ten aanzien van de bescherming van gegevens hetzelfde gekwantificeerd, maar valt het risico in het oranje gebied. Opvallend is dat in de meest recente programmabegroting bij het bestaande beleid in Programma 4 Bestuur en burgerzaken niet alleen wordt verwezen naar het Algemeen privacybeleid 2018, maar ook naar het verouderde Informatiebeveiligingsbeleid 2018.

5.2.3 College van B&W Het college is eindverantwoordelijk voor wat betreft het voldoen aan de eisen voor informatiebeveiliging en privacy door de organisatie en stelt de kaders. Privacy en informatiebeveiliging komen op verschillende manieren aan de orde in het college. In relatie tot planning- en controldocumenten, vanwege wijzigingen van verordeningen en soms omdat er praktische vragen zijn, bijvoorbeeld over het vermelden van namen in uitgaande stukken. Beleidsmatig wordt er minder over privacy en informatiebeveiliging gesproken. De onderwerpen privacy en informatiebeveiliging worden niet met een vaste frequentie geagendeerd en op eenduidige wijze in het college besproken. De verantwoordingslijn van de ambtelijke organisatie naar het college is onvoldoende belegd, merkt een respondent op. In de ambtelijke reactie wordt hierbij opgemerkt dat hierin in 2024 een verbetering moet komen door het invoeren van een cyclus van bedrijfsvoeringsgesprekken en het aanbieden van concernbrede kwartaalrapportages aan het college inclusief de voortgang op de portefeuilles privacybescherming en informatiebeveiliging.

De afzonderlijke portefeuillehouders laten zich, met tussenkomst van de gemeentesecretaris, informeren door de CISO en de FG, waarbij de informatievoorziening van de FG richting de portefeuillehouder privacy een meer structureel karakter heeft dan de informatieverstrekking van de CISO aan de portefeuillehouder informatiebeveiliging. Voorheen vond het gesprek over ENSIA tussen de CISO en portefeuillehouder twee keer per jaar plaats. Er wordt in de gemeente Schouwen-Duiveland geen informatie verstrekt van de PO aan de portefeuillehouder privacy. De informatievoorziening van het college aan de raad over privacy en informatiebeveiliging verloopt overwegend via de planning- en controldocumenten. De portefeuillehouders geven aan geïnteresseerd te zijn in wat raadsleden vinden van de betrokkenheid van de raad op deze onderwerpen.

5.2.4 Gemeenteraad Perspectief van de ambtelijke organisatie In een interview wordt aangegeven dat de organisatie er de afgelopen jaren niet in geslaagd is om de raad mee te krijgen op IBP. De onderwerpen zijn te technisch en de afstand van de ambtelijke organisatie tot de raad wordt als te groot ervaren. Zowel de CISO als de FG geven aan het contact met de raad te willen intensiveren en te willen onderzoeken met de raad welke informatiebehoefte er is ten aanzien van privacy en informatiebeveiliging. Respondenten zien het belang van een bewustwordingscampagne voor raadsleden.

| 38 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Perspectief van de raad De onderwerpen privacy en informatiebeveiliging staan niet hoog op de agenda van de gemeenteraad, zo wordt door raadsleden zelf geconstateerd. De onderwerpen krijgen incidenteel aandacht wanneer zich bijvoorbeeld datalekken voordoen of naar aanleiding van de bewustwordingscampagne waaraan ook raadsleden, zij het slechts een beperkt aantal, hebben deelgenomen. Vanuit de ambtelijke organisatie wordt hierbij opgemerkt dat aan een recente training driekwart van de raadsleden heeft deelgenomen. Naast de eerder genoemde aandacht voor de onderwerpen in de planning- en controldocumenten is de informatievoorziening van het college aan de raad beperkt en verloopt deze overwegend via de auditcommissie. De raad ontvangt bijvoorbeeld geen jaarverslag van de FG. Verschillende raadsleden hebben de indruk dat de AVG de informatievoorziening van het college aan de raad in de weg staat. Raadsleden vertrouwen erop dat het goed gaat en dat zij het wel horen als dat niet het geval is. Zij stellen incidenteel vragen aan de portefeuillehouder over privacy en informatiebeveiliging. Zo werd er in 2020 vanuit de raad een vraag gesteld over een datalek en ten tijde van de formatie in 2022 stelde een raadslid een vraag over het in control zijn met betrekking tot informatiebeveiliging.

In antwoord op deze laatste vraag werd de toezegging gedaan om later dat jaar de raad te informeren met een raadsinformatiebrief over de actuele stand van zaken. Het doel was om dat vervolgens ieder jaar te doen en hierbij ook trends inzichtelijk te maken. Ook werd aangegeven dat de CISO indien gewenst bereid was hierover een themabijeenkomst te verzorgen. Recent zijn er geen raadsinformatiebrieven verstuurd of presentaties aan de raad gegeven over privacy en/of informatiebeveiliging. Raadsleden geven aan zoekende te zijn in wat de rol van de raad is ten aanzien van privacy en informatiebeveiliging. Zij zouden graag via een (vertrouwelijke) raadsinformatiebrief worden geïnformeerd over privacy en informatiebeveiliging. Ook een themabijeenkomst met de CISO, FG en PO wordt gewenst. Onderwerpen waar de raad graag beter zicht op zou krijgen zijn de kaders waaraan de gemeente moet voldoen en de mate waarin zij daar daadwerkelijk aan voldoet, hoe de monitoring vorm krijgt, of de systemen op orde zijn en of de organisatie weet wat zij moet doen wanneer zich incidenten voordoen. Ook vragen raadsleden zich af in hoeverre privacy en informatiebeveiliging onderdeel zijn van het cultuurveranderingstraject binnen de ambtelijke organisatie en hoe de informatie-uitwisseling met andere partijen verloopt, bijvoorbeeld in het sociaal domein.

Verder constateren raadsleden dat zij worden gemaild door inwoners die geholpen willen worden. Bij hun aantreden als raadslid is er wel uitleg geweest over vertrouwelijke informatie, maar is er geen uitleg geweest over wat raadsleden moeten doen met informatie die zij van inwoners ontvangen. Raadsleden onderschrijven het belang van een bewustwordingscampagne voor raadsleden.

| 39 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

5.3 Résumé De gemeente Schouwen-Duiveland heeft in voorgaande jaren verschillende tests uitgevoerd om zicht te krijgen op kwetsbaarheden op het gebied van privacy en informatiebeveiliging, onder andere waar het de bewustwording van medewerkers en de technische informatiebeveiliging betreft. De opvolging van de verbeterpunten uit de tests is niet volledig navolgbaar. De informatievoorziening aan het bestuur (college en raad) heeft een ad hoc en ten dele incidentgedreven karakter. De informatievoorziening aan de raad over privacy en informatiebeveiliging, via de planning-en-controlcyclus en anderszins, is beperkt en verloopt deels indirect via de auditcommissie. Er bestaat bij de raad behoefte aan een herhaling van de bewustwordingscampagne voor raadsleden. Tussen raad en college zijn geen heldere afspraken over de wijze waarop en waarover verantwoording wordt afgelegd in het kader van privacy en informatiebeveiliging. De beoogde rol van de gemeenteraad in het beleid, het toezicht houden op het borgen van informatieveiligheid en het creëren van bewustzijn door de gemeente, krijgt in de praktijk onvoldoende invulling.

| 40 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Deel 3 Bijlagen

| 41 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Bijlage 1 | Normenkader Onderzoeksvraag

Norm

Beleid 1.

Wat is het privacy- en informatiebeveiligingsbeleid van de gemeente Schouwen-Duiveland?

● Het beleidskader is vastgesteld en actueel. ● De beoogde ambities en resultaten zijn expliciet benoemd.

2.

In hoeverre voldoet het privacy- en informatiebeveiligingsbeleid aan de gestelde (wettelijke) eisen en normen, waaronder de BIO, de AVG en de Wpg?

● Het beleid geeft invulling aan de wettelijke eisen en normen. ● De geformuleerde doelen zijn tenminste in lijn met de landelijke en sectorale uitgangspunten en doelen.

Organisatie 3.

Hoe is de uitvoering van het privacy- en informatiebeveiligingsbeleid qua taken, rollen en verantwoordelijkheden belegd binnen de gemeente?

● Er is een overzicht van de taken, rollen en verantwoordelijkheden en deze zijn duidelijk bekend in de organisatie. ● De taken, rollen en verantwoordelijkheden worden herkend en uitgevoerd door de betreffende personen.

4.

Hoe is de organisatie toegerust op de uitvoering van het privacy- en informatiebeveiligingsbeleid (allocatie van middelen, capaciteit, kennis en vaardigheden)?

● Er is een werkplanning met inzicht in middelen en capaciteit en daarin blijkt dat de middelen en capaciteit toereikend zijn voor de geplande activiteiten. ● Er is een overzicht dat inzicht geeft of kennis en vaardigheden op privacy- en informatiebeveiligingsbeleid toereikend zijn en er is een aanpak om ambtelijke kennis en ervaring indien nodig op peil te brengen.

5.

Heeft de gemeente een goed ingerichte crisisstructuur voor het detecteren en bestrijden van cyberaanvallen?

● De gemeente heeft een crisisstructuur ingericht. Deze is aantoonbaar bekend in de organisatie en deze wordt periodiek getest.

Uitvoering 6.

Hoe wordt in de dagelijkse uitvoeringspraktijk van de gemeente gevolg gegeven aan het privacy- en informatiebeveiligingsbeleid?

7.

In hoeverre is deze uitvoering geborgd in procedures, werkinstructies en overige afspraken?

● Er is een overzicht van de ingezette maatregelen (technisch, organisatorisch, procedureel, communicatie, anderszins) in het kader van het privacy- en informatiebeveiligingsbeleid en gerelateerd aan de voor de gemeente relevante normen, zoals de BIO, de AVG en de Wpg. ● In het overzicht is aangegeven wie voor welke maatregel verantwoordelijk is.

| 42 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

● Het overzicht is actueel en de implementatie van de maatregelen wordt periodiek gecontroleerd. ● De gemaakte keuzes binnen het beleid zijn vastgelegd in documenten en bekend in de organisatie. ● De keuzes voor het inzetten of achterwege laten van maatregelen zijn gemotiveerd. 8.

Wat is het volwassenheidsniveau van de gemeente op het gebied van privacy en informatiebeveiliging?

● Het volwassenheidsniveau is tenminste in lijn met het landelijke en sectorale streefniveau.

Samenwerking 9.

In hoeverre is er sprake van een effectieve samenwerking met (keten)partners op het gebied van privacy en informatiebeveiliging?

10. In hoeverre is er inzicht in de gegevensverwerkingen met verwerkers, samenwerkingspartners, gezamenlijke verwerkingsverantwoordelijkheid en naleving IBP?

● Er is een overzicht van (keten)partners met wie wordt samengewerkt in de uitvoering van het privacy- en informatiebeveiligingsbeleid. ● Er zijn samenwerkingsafspraken tussen de gemeente en de partners over doelen, activiteiten/resultaten en rolneming. ● De samenwerkingen hebben concrete resultaten beschreven en/of bereikt. ● De gemeente is responsief en pikt signalen van partners op en zet deze om in actie.

Signaleren, verantwoorden en leren 11. Wordt zowel het beleid als de uitvoering periodiek geëvalueerd? Worden incidenten nader onderzocht? Worden geleerde lessen vertaald naar beleid, procedures, werkinstructies en overige afspraken?

● De gemeente toetst periodiek de getroffen maatregelen, evalueert de uitkomsten daarvan en implementeert eventuele verbeterpunten.

12. In welke mate is er op bestuurlijk niveau aandacht voor privacy en informatiebeveiliging? a. Hebben college en raad inzicht in de risico’s die de gemeente loopt ten aanzien van privacy en informatiebeveiliging en hoe deze worden beheerst? b. Wordt hierover periodiek met de portefeuillehouder en het college gesproken? c. Wordt hierover gecommuniceerd met de raad en worden er door de raad conclusies aan verbonden? d. Wat zijn de ambities van de raad voor wat betreft de sturing op privacy en informatiebeveiliging?

● College en raad worden periodiek geïnformeerd over de risico’s met betrekking tot privacy en informatiebeveiliging en de beheersmaatregelen die worden getroffen. ● Het college rapporteert (via de P&C-cyclus) over de voortgang van het privacy- en informatiebeveiligingsbeleid. ● De gedeelde informatie is tijdig, toegankelijk en duidelijk voor de raad. ● Er vindt regelmatig (tenminste iedere twee jaar) een evaluatie plaats die wordt gedeeld met de raad.

| 43 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

13. In hoeverre is privacy- en informatiebeveiligingsbeleid en de uitvoering daarvan toekomstbestendig? En waar liggen eventuele mogelijkheden voor verbetering?

● Het privacy- en informatiebeveiligingsbeleid is zodanig vormgegeven dat redelijkerwijs verwacht kan worden dat dit in de voorzienbare toekomst adequaat dan wel flexibel genoeg is om te anticiperen op maatschappelijke en technologische ontwikkelingen. Mogelijkheden voor verbetering: Hiervoor bestaat in beginsel geen norm, dit moet uit het onderzoek blijken.

| 44 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Bijlage 2 | Bestudeerde documenten ● ● ● ● ● ● ● ● ● ● ● ● ● ● ● ● ● ● ● ● ● ● ● ● ● ● ● ● ● ● ● ●

Informatiebeveiligingsbeleid 2019-2022. Advies Procesvoorstel actualiseren verwerkingsregister Privacy Plan 'Basis op orde’, 2023. Toezichtplan FG, 2022. College advies richtlijn autorisaties, 2020. MT advies Check bewustwordingscampagne Richtlijnen autorisaties applicaties, 2020. Richtlijn e-learning PIB OR instemming MT Update informatiebeveiliging, 2022. Security en Compliance Roadmap, 2022. Raadsvraag datalek (315689), 2020. Onderhandse raadsvraag ten tijde van formatie (2022). GAP-analyse BIO, 2023. Werkplan GSD PIT 2020-2022. Rolverdeling PIT, 2021. Intranetbericht phishingtips, 2020. Presentatie van de Wpg BOA cursus, 2022. Briefje bij privacy kit (n.a.v. top 10) + mail Start bewustwordingscampagne. IB-organisatiebeschrijving, n.d. Informatiebeveiligingsplan, 2019. Intranetcommunicatie rondom MFA, n.d. CISO werkplan 2022. Collegeadvies en -besluit verantwoording informatiebeveiliging ENSIA 2022. Pentest rapport BDO 2022. Verslag Toezicht FG op MT Gemeente Schouwen-Duiveland, 2023. Verslag Toezicht FG op Wmo en Jeugd binnen WWL Gemeente Schouwen-Duiveland, 2023. Profielschets voor contactpersonen Privacy, 2023. Beschrijving IDU-processen – autorisatiematrix – periodieke controle, 2023. Plan van Aanpak Privacy MT gemeente Schouwen-Duiveland, 2023. Crisismanagement m.b.t. een datalek of incident informatiebeveiliging, 2023.

Privacyregeling (mobiele) telefoon-, fax-, e-mail-, internet- en netwerkgebruik en gebruik voorzieningen, 2023. Organisatieprogramma 2022–2026 Gemeente Schouwen-Duiveland, SAMENwerken aan een MOOI en KRACHTIG Schouwen-Duiveland, 2022.

| 45 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Bijlage 3 | Respondenten ● ● ● ● ● ● ● ● ● ● ● ● ● ● ●

Gemeentesecretaris/algemeen directeur Afdelingshoofd bedrijfsvoering 1 Afdelingshoofd bedrijfsvoering 2 Clustermanager P&O en JZ Teammanager I&O en ICT vml. Coördinator ICT Coördinator Burgerzaken Afdelingshoofd Werken, Wonen en Leven Hoofd loket samenleving en zorg Functionaris Gegevensbescherming (FG) Privacy Officer (PO) Chief Information Security Officer (CISO) Burgemeester, portefeuillehouder privacy Wethouder, portefeuillehouder informatiebeveiliging Raadsleden

| 46 | Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

BMC Databankweg 26D 3821 AL Amersfoort Postbus 490 3800 AL Amersfoort (033) 496 52 00 info@bmc.nl www.bmc.nl KvK BMC Advies 32078667 IBAN NL91 ABNA 0504035754 BTW NL80.86.63.598 B.01

Colofon 8 februari 2024 Classificatie

:

Vertrouwelijk

Naam adviseurs

:

● ● ●

Kenmerknummer

:

PO036130-2266

dr. Marsha de Vries CPC ir. Julius Duijts CMC CISSP CEH CIPP/E mr. Alex Commandeur CIPP/E