2023 170 927326 Offerte Rekenkameronderzoek BMC privacy informatiebeveiliging ondertekend - aangepast

Privacy & informatiebeveiliging Rekenkameronderzoek Schouwen-Duiveland

rrrrrrrrrrrrrrrrrrrrrrrrrrraTite

Offerte | 26 april 2023

Partners in verbetering

Privacy & informatiebeveiliging Rekenkameronderzoek

Offerte Rekenkamer Schouwen-Duiveland

BMC 26 april 2023 Classificatie

:

Vertrouwelijk

Naam adviseurs

:

● ● ●

Kenmerknummer

:

PO036130-1939

dr. Marsha de Vries CPC ir. Julius Duijts CMC CISSP CEH CIPP/E mr. Alex Commandeur CIPP/E

Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Inhoudsopgave H1 | Inleiding 1.1 Aanleiding

1 1

1.2 Privacy en informatiebeveiliging in de gemeente Schouwen-Duiveland 1 1.2.1 Privacybeleid

1

1.2.2 Informatiebeveiligingsbeleid

1

1.2.3 Het belang van informatieveiligheid

2

1.3 Onderzoek naar privacy en informatiebeveiliging H2 | Vraagstelling

2 3

2.1 Doelstelling en scope van het onderzoek

3

2.2 Hoofdvraag en deelvragen

3

H3 | Onderzoeksmethoden 3.1 Naar een digitaal weerbare gemeente 3.2 Onderzoeksmethoden

5 5 5

H4 | Plan van aanpak

7

4.1 Stappenplan

7

4.2 Planning

11

H5 | Projectteam

12

5.1 Projectteam

12

5.2 Risicobeheersing

13

H6 | Investering

14

H7 | Tot slot

15

Bijlage 1 | Concept normenkader

16

Dit document (inclusief eventuele bijlagen) is opgesteld door BMC en de (auteurs)rechten met betrekking tot de inhoud en het format van dit document berusten bij BMC. Dit document is uitsluitend bedoeld voor gebruik door de opdrachtgever en mag niet worden gepubliceerd of aan anderen ter beschikking worden gesteld zonder uitdrukkelijke voorafgaande toestemming van BMC.

Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

H1 | Inleiding 1.1 Aanleiding Betrouwbare en veilige informatievoorziening is essentieel voor gemeenten. Door de toenemende digitalisering wordt zorgvuldig omgaan met de gegevens van inwoners en organisaties steeds belangrijker.1 De Rekenkamer van Schouwen-Duiveland constateert in haar offerteaanvraag dan ook dat beveiligingsincidenten grote gevolgen kunnen hebben voor onder meer de vertrouwelijkheid en integriteit van informatie en de privacy van inwoners en medewerkers en voor de beschikbaarheid en continuïteit van de dienstverlening van gemeenten. Deze verschillende vormen van inbreuk op de informatieveiligheid kunnen grote impact hebben op de reputatie, financiën en/of operationele processen van een gemeente en kunnen ook vergaande gevolgen hebben voor inwoners. Nu de maatschappelijke relevantie toeneemt, vindt de Rekenkamer het een goed moment om nader onderzoek te doen naar de stand van privacy en informatiebeveiliging van de gemeente Schouwen-Duiveland en naar de controlerende rol van de raad daarbij.

1.2 Privacy en informatiebeveiliging in de gemeente Schouwen-Duiveland 1.2.1 Privacybeleid In mei 2018 heeft het college van B&W van de gemeente Schouwen-Duiveland het Algemeen Privacybeleid vastgesteld. Met dit privacybeleid wil de gemeente duidelijk richting geven aan privacy en daarmee laten zien dat zij de privacy van inwoners en medewerkers waarborgt, beschermt en handhaaft. Met het privacybeleid en het uitvoeren daarvan wil de gemeente ervoor zorgen dat zij goed kan inspelen op wettelijke en technologische ontwikkelingen, maar ook verantwoording kan afleggen aan de gemeenteraad, de Autoriteit Persoonsgegevens of de rechter. Het privacybeleid draagt bij aan het beschermen van de privacy van personen van wie de gemeente gegevens verwerkt of laat verwerken. De gemeente informeert hiermee haar inwoners over hoe zij omgaat met de privacy van betrokkenen.2

1.2.2 Informatiebeveiligingsbeleid Eveneens in 2018 heeft het college van B&W het Informatiebeveiligingsbeleid opgesteld. In het beleid beschrijft de gemeente het belang van informatiebeveiliging; gemeenten zijn als eerste overheid het visitekaartje voor de gehele overheid en het eerste aanspreekpunt voor toeristen, recreanten, inwoners en bedrijven en de kwaliteit van de informatiehuishouding is in sterke mate bepalend voor de dienstverlening en behoorlijk bestuur. De informatiehuishouding voorziet in de beschikbaarheid van de juiste informatie, voor de juiste mensen, op de juiste tijd en in de juiste vorm en maakt zo effectieve besluitvorming en dienstverlening mogelijk, aldus de gemeente Schouwen-Duiveland.

1 2

https://vng.nl/projecten/informatieveiligheid; geraadpleegd op 17 april 2023. Gemeente Schouwen-Duiveland, Algemeen Privacybeleid 2018, p.4.

| 1 | Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Onder informatiebeveiliging verstaat de gemeente: “Het treffen en onderhouden van een samenhangend pakket maatregelen om de betrouwbaarheid van de informatievoorziening te waarborgen”. De term betrouwbaarheid verwijst naar drie kwaliteitsaspecten, namelijk beschikbaarheid, integriteit en vertrouwelijkheid.3

1.2.3 Het belang van informatieveiligheid In de meest recente programmabegroting4 van de gemeente Schouwen-Duiveland wordt opgemerkt dat informatieveiligheid de laatste jaren steeds belangrijker is geworden en dat de informatie die de gemeente beheert over (en voor) haar inwoners en ondernemers goed beveiligd moet worden. De gemeente constateert dat er voortdurende aandacht, bewustwording, kennis en investering in techniek, mensen en processen noodzakelijk is, maar dat het voor de gemeente steeds moeilijker wordt om deze complexe materie 24/7 zelf te beheren en toe te passen. Om meer in control te komen waar het gaat om informatieveiligheid liet de gemeente recent een onderzoek uitvoeren naar de inrichting en het beheer van de ICT-omgeving om te zien wat er nodig is om te voldoen aan de gestelde kwaliteitseisen. Daarnaast is de gemeente in 2022 begonnen met de implementatie van een Informatiebeveiligings Management Systeem (ISMS) en is de gemeente van plan om blijvend in te zetten op bewustwording door middel van een bewustwordingscampagne en trainingen voor medewerkers. Daarnaast bereidt de gemeente zich beter voor op eventuele (cyber)incidenten door mogelijke scenario’s uit te werken en te oefenen, zo staat in de programmabegroting beschreven.

1.3 Onderzoek naar privacy en informatiebeveiliging Het onderzoek wordt voor de Rekenkamer van Schouwen-Duiveland vooral ingegeven door het grote maatschappelijke belang van adequate sturing op, informatievoorziening over en beheersing van privacy en informatiebeveiliging. Een inbreuk op privacy en/of informatiebeveiliging kan niet alleen financiële schade tot gevolg hebben, maar kan ook tot imagoschade leiden. Het accent van het onderzoek zal liggen op de opzet, het bestaan en de werking van het privacy- en informatiebeveiligingsbeleid bij de gemeente Schouwen-Duiveland, zo geeft de Rekenkamer aan. De gemeente Schouwen-Duiveland heeft BMC gevraagd om een offerte uit te brengen voor een onderzoek naar privacy en informatiebeveiliging in de gemeente. Met deze offerte voldoen we graag aan dit verzoek. In deze offerte geven we onze visie op het onderzoek en scherpen we het onderzoeksdoel en de onderzoeksvraag daarop aan (hoofdstuk 2). Daarna volgt de onderzoeksmethode (hoofdstuk 3) en het plan van aanpak (hoofdstuk 4). Het normenkader is opgenomen in bijlage 1.

3 4

Gemeente Schouwen-Duiveland, Informatiebeveiligingsbeleid 2018, p.6. Gemeente Schouwen-Duiveland, Programmabegroting 2023-2026.

| 2 | Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

H2 | Vraagstelling 2.1 Doelstelling en scope van het onderzoek De Rekenkamer wil met dit onderzoek inzicht geven in het privacy- en informatiebeveiligingsbeleid van de gemeente Schouwen-Duiveland en in de wijze waarop de gemeente daar invulling en uitvoering aan geeft. Onderzocht wordt in hoeverre de aanpak van privacy en informatiebeveiliging doeltreffend en doelmatig verloopt in de gemeente. Ook moet er een doorkijk worden gegeven richting de toekomst: zijn er nog aandachts- en verbeterpunten die meegenomen kunnen worden in het beleid dan wel de organisatie en uitvoering daarvan? Met deze kennis en dit inzicht zijn de raadsleden vervolgens beter in staat om invulling te kunnen geven aan hun controlerende rol. Dit onderzoek draagt bij aan de digitale weerbaarheid van de gemeente Schouwen-Duiveland. Het onderzoek richt zich niet alleen op het beleid dat is geformuleerd en de maatregelen die zijn getroffen ter voorkoming van incidenten, maar ook op de mate waarin de gemeente is toegerust op het signaleren van dergelijke incidenten en de gevolgen daarvan en op het beperken van de schade en het bevorderen van het herstel wanneer incidenten zich voordoen.

2.2 Hoofdvraag en deelvragen BMC heeft, met inachtneming van de hoofdvraag die door de Rekenkamer werd geformuleerd, voor dit onderzoek de volgende hoofdvraag opgesteld: Is de huidige wijze van privacynaleving en informatiebeveiliging doeltreffend en doelmatig, waar liggen mogelijkheden voor verbetering en in hoeverre zijn college en raad in staat om met behulp van het huidige verantwoordingsinstrumentarium te sturen en te controleren op privacy en informatiebeveiliging? De Rekenkamer van Schouwen-Duiveland heeft vervolgens verschillende onderzoeksvragen geformuleerd. BMC heeft vanuit haar expertise onderzoeksvragen toegevoegd waarmee we denken nog gerichter aanbevelingen te kunnen doen aan de gemeenteraad. Deze vragen hebben we in het rood toegevoegd. Daarbij hebben we een thematische onderverdeling gemaakt in de vragen. Beleid 1. Wat is het privacy- en informatiebeveiligingsbeleid van de gemeente Schouwen-Duiveland? 2. In hoeverre voldoet het privacy- en informatiebeveiligingsbeleid aan de gestelde (wettelijke) eisen en normen, waaronder de BIO, de AVG en de WPG? Organisatie 3. Hoe is de uitvoering van het privacy- en informatiebeveiligingsbeleid qua taken, rollen en verantwoordelijkheden belegd binnen de gemeente?

| 3 | Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

4. Hoe is de organisatie toegerust op de uitvoering van het privacy- en informatiebeveiligingsbeleid (allocatie van middelen, capaciteit, kennis en vaardigheden)? 5. Heeft de gemeente een goed ingerichte crisisstructuur voor het detecteren en bestrijden van cyberaanvallen? Uitvoering 6. Hoe wordt in de dagelijkse uitvoeringspraktijk van de gemeente gevolg gegeven aan het privacy- en informatiebeveiligingsbeleid? 7. In hoeverre is deze uitvoering geborgd in procedures, werkinstructies en overige afspraken? 8. Wat is het volwassenheidsniveau van de gemeente op het gebied van privacy en informatiebeveiliging? Samenwerking 9. In hoeverre is er sprake van een effectieve samenwerking met (keten)partners op het gebied van informatiebeveiliging? 10. In hoeverre is er inzicht in de gegevensverwerkingen met verwerkers, samenwerkingspartners, gezamenlijke verwerkingsverantwoordelijkheid en naleving IBP? Signaleren, verantwoorden en leren 11. Wordt zowel het beleid als de uitvoering periodiek geëvalueerd? Worden incidenten nader onderzocht? Worden geleerde lessen vertaald naar beleid, procedures, werkinstructies en overige afspraken? 12. In welke mate is er op bestuurlijk niveau aandacht voor privacy en informatiebeveiliging? a. Hebben college en raad inzicht in de risico’s die de gemeente loopt ten aanzien van privacy en informatiebeveiliging en hoe deze worden beheerst? b.

Wordt hierover periodiek met de portefeuillehouder en het college gesproken? c. Wordt hierover gecommuniceerd met de raad en worden er door de raad conclusies aan verbonden? d. Wat zijn de ambities van de raad voor wat betreft de sturing op privacy en informatiebeveiliging? 13. In hoeverre is privacy- en informatiebeveiligingsbeleid en de uitvoering daarvan toekomstbestendig? En waar liggen eventuele mogelijkheden voor verbetering? In het volgende hoofdstuk gaan we in op het plan van aanpak om uitvoering te geven aan dit onderzoek. Hierbij gaan we in op het onderzoeksmodel, de onderzoeksmethoden en het stappenplan. Een voorstel voor een normenkader dat gekoppeld is aan de deelvragen vindt u in bijlage 1.

| 4 | Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

H3 | Onderzoeksmethoden 3.1 Naar een digitaal weerbare gemeente In dit onderzoek staat de digitale weerbaarheid van de gemeente Schouwen-Duiveland centraal, dat wil zeggen, de mate waarin de gemeente in staat is om cyberincidenten te voorkomen en om, wanneer cyberincidenten zich toch voordoen, deze te ontdekken, de schade ervan te beperken en het herstel eenvoudiger te maken. Zowel de kans dat cyberincidenten zich voordoen als de impact ervan kunnen zo worden verkleind. “Het vergroten van digitale weerbaarheid is zeker niet alleen een opgave voor technische experts. Het is ook, of wellicht vooral, een vraagstuk van governance en/of risicomanagement voor bestuurders van organisaties en (groepen van) landen”, aldus de Nationaal Coördinator Terrorismebestrijding en Veiligheid5. De digitale weerbaarheid kan worden vergroot door het treffen van verschillende typen maatregelen.

Denk aan technische, procedurele en/of organisatorische maatregelen, maar bijvoorbeeld ook aan wetgeving, subsidieverlening, scholing om gebruikers te bekwamen in veilig gedrag, voorlichtings- en bewustwordingscampagnes, samenwerking tussen partijen en normerende kaders voor digitalisering van diensten en processen en het ontwerp van systemen.6 De Wetenschappelijke Raad voor het Regeringsbeleid (WRR) heeft geconstateerd dat in beleidsprogramma’s veelal de nadruk wordt gelegd op cyberveiligheid en preventie in plaats van op manieren om ontwrichtende gebeurtenissen op te vangen. Om de digitale weerbaarheid van organisaties te verbeteren, zou er aandacht moeten zijn voor paraatheid, signalering, bestrijding en herstel en wederopbouw.7

3.2 Onderzoeksmethoden In deze paragraaf beschrijven we welke methoden we willen inzetten voor het onderzoek naar het privacy- en informatiebeveiligingsbeleid in de gemeente Schouwen-Duiveland. Deskresearch Om inzicht te krijgen in de stand van zaken ten aanzien van privacy en informatiebeveiliging (beleid, organisatie, uitvoering, signaleren, evalueren en leren) starten we met het uitvoeren van een deskresearch. We kijken naar onder andere beleidsdocumenten, verantwoordingsdocumenten, documentatie van beheersmaatregelen, de implementatie en de borging daarvan, visies, samenwerkingsafspraken, moties en schriftelijke vragen van de gemeenteraad. Naast deze interne documenten zijn wij ook geïnteresseerd in de rapportages die worden gemaakt op basis van de interne en/of externe audits die worden uitgevoerd naar de privacy en informatiebeveiliging (naleving BIO) in de gemeente Schouwen-Duiveland. In overleg met de ambtelijk contactpersoon willen we nagaan welke relevante informatie ons ter beschikking gesteld kan worden. In hoofdstuk 4 is onder het kopje deskresearch een lijst opgenomen met documenten die we in ieder geval relevant achten voor het onderzoek. NCTV, Cybersecuritybeeld Nederland, 2020, p.7. NCTV, Cybersecuritybeeld Nederland, 2020. 7 WRR, Voorbereiden op digitale ontwrichting, 2019. 5 6

| 5 | Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Naast de analyse van documenten zullen wij internet research uitvoeren. Wij zullen openbare benchmarks, zoals bijvoorbeeld te vinden op de website basisbeveiliging.nl, bestuderen om daarmee vanuit vergelijkend perspectief uitspraken te kunnen doen over de informatieveiligheid in de gemeente Schouwen-Duiveland. Op basis van de deskresearch proberen we al zoveel mogelijk informatie te verzamelen om de onderzoeksvragen te beantwoorden aan de hand van het normenkader (bijlage 1). Aanvulling en verdieping door interviews Informatie uit documenten gaat leven als deze in een gesprek door betrokkenen wordt toegelicht en ingekleurd. Achtergronden worden helder en de onderzoekers kunnen hun vragen stellen ter verduidelijking. We willen graag spreken met zowel de bestuurlijk als de ambtelijk verantwoordelijken. Tijdens het onderzoek willen we niet alleen spreken met de portefeuillehouder uit het college van B&W, maar ook met een afvaardiging van de gemeenteraad. Bij voorkeur is dit een afspiegeling van de verschillende fracties. We zullen met hen onder andere in gesprek gaan over mogelijke signalen die zij opvangen en de ambities van de raad ten aanzien van de sturing op privacy en informatiebeveiliging. Daarnaast gaan wij in gesprek met een beperkt aantal samenwerkingspartners van de gemeente. In overleg met de Rekenkamer maken we nadere afspraken over de interviews.

In stap 3 in het plan van aanpak is een opsomming gemaakt van personen en partijen die we in ieder geval willen spreken. Ter voorbereiding op de interviews stellen we een interviewprotocol op met de aanleiding en het doel van het onderzoek en de gespreksonderwerpen. Indien de planning van de gesprekken wordt afgestemd met de Rekenkamer, kunnen leden desgewenst aanwezig zijn bij de interviews. Van elk interview stellen we een beknopt verslag op dat we ter fiattering voorleggen aan de geïnterviewde(n). Rapporteren De rapportage die wij maken zal bestaan uit twee delen (zie ook hoofdstuk 4). Deel I is het bestuurlijke deel en een op zichzelf staand rapport met conclusies en aanbevelingen. Deel II vormt de meer uitgebreide Nota van Bevindingen.

| 6 | Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

H4 | Plan van aanpak In dit hoofdstuk werken we het plan van aanpak voor u uit.

4.1 Stappenplan

Activiteiten: We organiseren een startbijeenkomst. Deze bijeenkomst is gericht op een kennismaking tussen de Rekenkamer, een vertegenwoordiging van de ambtelijke organisatie en het projectteam. Daarnaast bespreken we de onderzoeksopzet en maken we praktische werkafspraken over bijvoorbeeld de aankondiging van het onderzoek, de planning, de te bestuderen documenten en de te interviewen personen. BMC legt de gemaakte afspraken vast in een beknopt verslag. Resultaten: ● De onderzoeksopzet is vastgesteld met een duidelijke afbakening van het onderzoek, de werkwijze en de planning. ● Het onderzoek is aangekondigd in de ambtelijke organisatie. ● De benodigde informatie is beschikbaar voor de onderzoekers via de ambtelijke organisatie.

Activiteiten: In de tweede stap verzamelen we de documenten op basis van een vooraf bepaalde lijst met benodigde informatie en bestuderen we de beschikbaar gestelde documenten. Hierbij gaan we in op de huidige beleidspraktijk (de meest recente jaren vanaf 2018). We denken hierbij in ieder geval aan de volgende documenten vanuit de ambtelijke organisatie/het college: ● Stukken met betrekking tot (de ontwikkeling van) het privacy- en informatiebeveiligingsbeleid die van college naar raad zijn gestuurd. ○ Algemeen privacybeleid 2018. ○ Informatiebeveiligingsbeleid 2018. ● Bestuursvoorstellen en -besluiten gericht op uitvoering van beleid zoals een werkplan, beleidsregel, afspraken met (keten)partners of een convenant.

| 7 | Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

● ● ●

MT-besluiten gericht op toerusting van de organisatie en uitvoeringsprioritering. Documentatie van beheersmaatregelen, de implementatie en de borging daarvan. Stukken waarin verantwoording wordt afgelegd, dan wel wordt teruggekoppeld aan het college of de raad, onder meer interne en/of externe audits.

Met het oog op de kaderstellende en controlerende rol van de gemeenteraad denken we aan de volgende documenten: ● Moties, amendementen en schriftelijke vragen en antwoorden die gericht zijn op de totstandkoming en uitvoering van het privacy- en informatiebeveiligingsbeleid. ● Links naar opnames van vergaderingen waarin privacy en informatiebeveiliging aan de orde zijn geweest. Daarnaast worden reguliere planning- en controldocumenten bestudeerd, in het bijzonder: ● Samen koers houden. Coalitieakkoord 2022–2026. ● Kadernota’s en begrotingen 2018-2023. ● Jaarstukken 2018-2022. ● Tussentijdse rapportages 2018-2022. Ook maken we voor dit onderzoek, voor zover deze documenten beschikbaar zijn, gebruik van: ● Gap-analyses ten opzichte van de BIO, AVG en Wpg. ● Implementatieplannen ten aanzien van de BIO, AVG en Wpg. ● Rapportages van toetsing op naleving, zoals rapportages van audits, phishing simulaties, vulnerability scans en penetratietesten. Naar aanleiding van bovenstaande documenten en de interviews behouden we ons het recht voor om aanvullende documenten op te vragen. De uitkomsten van de deskresearch beschrijven we in een eerste Notitie van Bevindingen. Op basis van de eerste bevindingen schrijven we de topiclijsten voor de interviews.

Daarnaast stellen we een interviewprotocol op om de te interviewen personen te informeren en voor te bereiden op de interviews en de te bespreken onderwerpen. BMC doet hiervoor een voorstel waarop de Rekenkamer kan reageren. Resultaten: ● Eerste Notitie van Bevindingen op basis van de deskresearch ten aanzien van de onderzoeksvragen. De samenvatting van deze notitie delen we met de Rekenkamer in de vorm van een tussenproduct. ● Een goed beeld van de verwonderpunten en witte vlekken die we nog willen ophelderen en invullen. ● Overeenstemming met de Rekenkamer over de te interviewen personen en de onderwerpen waar wij op ingaan tijdens de interviews. ● Opgesteld interviewprotocol dat is verstuurd aan de te interviewen personen.

| 8 | Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Activiteiten: Om de resultaten van de deskresearch nader te duiden en aan te vullen, houden we interviews. We werken daarbij met een sneeuwbalaanpak waarbij we de geïnterviewden vragen wie we echt ook nog moeten spreken. We denken daarbij aan de volgende personen en rollen binnen de gemeente Schouwen-Duiveland: ● Chief Information Security Officer (CISO). ● Informatiebeveiligingsfunctionaris (ISO). ● Privacy officer/adviseur. ● Functionaris Gegevensbescherming (FG). ● Beveiligingsfunctionarissen BRP, SUWI, DIGID (groepsgesprek). ● Vertegenwoordiging van de gemeenteraad (groepsgesprek). ● Portefeuillehouder in het college. ● MT-lid/-leden verantwoordelijk voor privacy en informatiebeveiliging. ● Enkele procesverantwoordelijken (coördinatoren). Ook willen we in gesprek met een tweetal samenwerkingspartners van de gemeente Schouwen-Duiveland. Op basis van de deskresearch doen wij een voorstel voor de partners met wie wij graag in gesprek willen gaan. We gaan uit van maximaal tien (groeps)gesprekken, waarbij de keuze van de respondenten uiteraard in overleg met de Rekenkamer geschiedt. De leden van de Rekenkamer en de secretaris kunnen desgewenst aanwezig zijn bij de interviews die door BMC worden afgenomen. We stellen na afloop van ieder gesprek een beknopt verslag op dat we terugkoppelen aan de geïnterviewden.

Nadat we de interviews hebben afgerond, zullen we de eerste Notitie van Bevindingen aanvullen met de analyses van de gespreksverslagen. Resultaten: ● Witte vlekken zijn ingevuld. ● Verwonderpunten zijn opgehelderd. ● Verdiepend inzicht in hoe het privacy- en informatiebeveiligingsbeleid in de praktijk verloopt en waar de obstakels, uitdagingen en kansen zitten.

Activiteiten: Nadat het veldwerk is afgerond, gaan we aan de slag met het opstellen van het conceptrapport met daarin de bevindingen. Separaat doen we een voorstel voor de conclusies en aanbevelingen. Het conceptrapport met de conclusies en aanbevelingen bespreken we met de Rekenkamer, waarna we het concept eventueel aanscherpen.

| 9 | Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Het rapport bestaat in ieder geval uit: ● Managementsamenvatting met conclusies en aanbevelingen. ● Deel I – De essentie van het onderzoek (bestuurlijk deel): ○ Doel van het onderzoek ○ Belang van het onderzoek voor de gemeenteraad ○ Conclusies ten aanzien van de hieronder genoemde hoofdstukken ○ Aanbevelingen (separaat aan te leveren) ● Deel II – Verdieping op de essentie van het onderzoek (onderzoeksverslag): ○ Beleid ○ Organisatie ○ Uitvoering ○ Signaleren, verantwoorden en leren ● Bijlagen, onder andere: ○ Normenkader ○ Overzicht van de gebruikte documenten ○ Overzicht van de geïnterviewde functionarissen Resultaten: ● Rapport met bevindingen en conceptconclusies en -aanbevelingen. ● Bestuurlijk rapport met de essentie van het onderzoek.

Activiteiten: Conform het onderzoeksprotocol van de Rekenkamer Schouwen-Duiveland wordt allereerst de ambtelijke organisatie de mogelijkheid geboden tot het geven van een technische reactie, dat wil zeggen, een controle op feitelijke onjuistheden. Het conceptrapport zal daartoe zonder conclusies en aanbevelingen worden aangeboden aan de ambtelijke organisatie. Na het verstrijken van de termijn voor de ambtelijke reactie worden feitelijke onjuistheden in het rapport door BMC gecorrigeerd. Daarna bestaat voor het college de mogelijkheid om op het aangepaste en definitieve rapport, inclusief conclusies en aanbevelingen, een bestuurlijke reactie te geven. BMC stelt een inhoudelijke reactie op de bestuurlijke reactie op, waarna de Rekenkamer een nawoord kan formuleren. Het eindrapport wordt voorgelegd aan de gemeenteraad van Schouwen-Duiveland en eventueel door de onderzoekers samen met de Rekenkamer toegelicht op een speciale openbare informatiebijeenkomst voor de raad. Resultaten: ● Eindrapport met conclusies en aanbevelingen. ● Presentatie aan de gemeenteraad. ● Decharge door de Rekenkamer Schouwen-Duiveland. Tot slot evalueren we graag met de Rekenkamer Schouwen-Duiveland het onderzoek op proces en inhoud.

| 10 | Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

4.2 Planning Gekoppeld aan het plan van aanpak stellen we de volgende planning voor. We zorgen aan het begin van het onderzoek voor een gedetailleerde planning op weekniveau. Activiteiten

Mei

Juni

Juli

Aug

Sep

Okt

Nov

Dec

Stap 1: Start onderzoek Stap 2: Deskresearch Stap 3: Interviews Stap 4: Analyse en conceptrapport Stap 5: Wederhoor en eindrapport

De planning, zoals weergegeven, is gebaseerd op een gunning in week 20 en een start van het onderzoek in week 22 met een digitale startbijeenkomst. Bij de planning gaan we uit van een doorlooptijd van zes maanden tot oplevering van het conceptrapport, inclusief conclusies en een separaat voorstel voor aanbevelingen (bespreking met de Rekenkamer in week 43). Daarna ramen we één week om het rapport gereed te maken voor de ambtelijke reactie. BMC geeft een inhoudelijke reactie op zowel de ambtelijke als de bestuurlijke reactie. Bij de start van het onderzoek zal BMC een detailplanning op weekniveau maken, zodat de mijlpalen voor alle betrokkenen duidelijk zijn. Hybride werken BMC werkt hybride: we werken digitaal waar het kan en komen live bijeen als dat van meerwaarde is, bijvoorbeeld bij de interviews voor zover deze geclusterd gepland kunnen worden. BMC heeft uitgebreide ervaring met plaats- en tijdonafhankelijk werken. We kunnen ook aansluiten op door u gebruikte programma’s, zoals MS Teams.

| 11 | Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

H5 | Projectteam 5.1 Projectteam Het projectteam hebben we dusdanig samengesteld dat de kennis en expertise aanwezig zijn over zowel de thematiek als de methodiek. Het team heeft ruime ervaring met het doen van rekenkameronderzoek. Het projectteam bestaat uit mevrouw De Vries, de heer Duijts en de heer Commandeur. Hieronder stellen we ze kort aan u voor. Mevrouw dr. M.S. (Marsha) de Vries CPC, senior adviseur Mevrouw De Vries werkt als senior adviseur rekenkameronderzoek bij BMC. Voor dit onderzoek vervult zij de rol van projectleider en is daarmee eindverantwoordelijke voor het gehele onderzoek. Daarnaast is zij contactpersoon voor de opdrachtgever, coördineert, voert onderzoekswerkzaamheden uit (deskresearch, interviews en schrijven van het rapport) en zet aanvullende ondersteuning van BMC in waar nodig. Mevrouw De Vries is gepromoveerd op een onderzoek naar ketensamenwerking en is lange tijd werkzaam geweest als adviseur en onderzoeker in het veiligheidsdomein. Eerder was zij enkele jaren werkzaam als (wnd. concern)controller bij een middelgrote gemeente. Mevrouw De Vries heeft ruime ervaring als projectleider en voert sinds tien jaar veel rekenkameronderzoeken uit.

Zij heeft verschillende (rekenkamer)onderzoeken uitgevoerd waarin vraagstukken centraal stonden die qua inhoud en aanpak sterk lijken op onderhavige onderzoeksopzet, waaronder recent een onderzoek naar digitale weerbaarheid van Waterschap Brabantse Delta en een onderzoek naar informatieveiligheid in de gemeente Súdwest-Fryslân. De heer ir. J. (Julius) Duijts CMC CISSP CEH CIPP/E, partner informatiebeveiliging De heer Duijts is bij dit onderzoek betrokken vanuit zijn expertise op het gebied van informatieveiligheid en zijn ervaring met onderzoek en advisering bij gemeenten. Hij voerde meerdere assessments uit op het gebied van informatiebeveiliging en begeleidde de implementatie van de daaruit volgende adviezen. Dat betreft zowel de BIO, CSIR als ISO27001 en de inrichting van de organisatie als de implementatie van technische en organisatorische beheersingsmaatregelen. Hij is gecertificeerd door internationale beroepsverenigingen als Certified Information Systems Security Professional (CISSP) en Certified Informational Privacy Professional (CIPP/E) en hij is gecertificeerd als Certified Ethical Hacker (CEH master) en als Certified Management Consultant (CMC). De heer mr. A. (Alex) Commandeur CIPP/E, partner privacy De heer Commandeur is expert op het gebied van privacy en (persoons)informatievoorziening en heeft kennis van daarbij benodigde informatiesystemen.

Hij heeft negen jaar gewerkt als hoofd van de afdeling Toezicht publieke sector van de AP en heeft zich vanuit die rol beziggehouden met tal van privacyvraagstukken bij overheden, waaronder gemeenten en zorginstellingen. Bij BMC heeft hij ruime ervaring met opdrachten bij verschillende overheden, zorg- en onderwijsinstellingen, waaronder het uitvoeren van privacyscans, vraagstukken over informatiedeling, implementatietrajecten en (interim-)invulling van de rol van FG.

| 12 | Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Daarnaast is hij plaatsvervangend voorzitter van de Commissie Persoonsgegevens van de gemeente Amsterdam, verzorgt hij trainingen voor Outvie (voorheen IIR) en Grotius specialisatie opleiding privacyrecht en is hij voormalig jurylid bij de Nederlandse Privacy Awards.

5.2 Risicobeheersing Voor dit project onderscheiden we de volgende risico’s: ● De benodigde informatie is niet of onvoldoende aanwezig. ● Er is onvoldoende menskracht binnen de organisatie voor het mede uitvoeren van de opdracht (interviews). ● Er komen gedurende het traject nieuwe vragen. Om deze risico’s te minimaliseren, maken we aan het begin van het traject een werkplan met daarin opgenomen de werkzaamheden die uitgevoerd moeten worden, wie verantwoordelijk is en wanneer het moet gebeuren. Dit werkplan is het bestek van de opdracht. Dit sluit niet uit dat er problemen kunnen ontstaan, maar eventuele kwesties herkennen we snel en bespreken we met de opdrachtgever. Als een tijdige oplevering en/of de kwaliteit van het eindresultaat in het geding komen, signaleren we dit tijdig en komen we met suggesties voor bijsturing. BMC zal de Rekenkamer daarom gedurende de opdracht de vorderingen in een overzicht melden, zodat altijd inzichtelijk is in welk stadium het onderzoek zich bevindt. Voor het tijdig en efficiënt uitvoeren van de projectwerkzaamheden gelden voorts de volgende uitgangspunten: ● Bij de start van het onderzoek stelt de Rekenkamer de betrokken medewerkers op de hoogte van het doel en de aanpak van het onderzoek, zodat betrokkenen tijdig zijn geïnformeerd en constructieve medewerking aan het onderzoek is geborgd.

● Er is namens de Rekenkamer één aanspreekpunt voor het projectteam. Belangrijke tussenproducten (tussenrapport uitkomsten van stap 2, opzet inhoudsopgave rapport en interviewprotocol) en de urenbesteding bespreken we met deze persoon. ● De haalbaarheid van de planning van de werkzaamheden, bespreking en rapportage is afhankelijk van de kwaliteit, volledigheid, juistheid en tijdigheid van de oplevering van informatie. ● Met betrekking tot de interviews rekenen we op de aanwezigheid, beschikbaarheid en medewerking van alle relevante ambtelijke functionarissen. ● We rekenen erop dat u het plannen van afspraken kunt (laten) faciliteren door de secretaris van de Rekenkamer, zodanig dat het onderzoek tijdig en efficiënt kan verlopen. Hierbij gaan we ervan uit dat de interviews zoveel mogelijk op twee of drie aansluitende dagen worden gepland. ● De richtlijnen zoals geformuleerd in de handreiking onderzoek door de NVRR worden als leidraad gebruikt tijdens het onderzoek.

| 13 | Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

H7 | Tot slot Genoemd bedrag is overeenkomstig prijspeil 2023. Op deze offerte zijn de algemene handelsvoorwaarden van BMC Advies versie maart 2018 van toepassing. Deze voorwaarden zijn gedeponeerd bij de Kamer van Koophandel te Gooi-, Eemen Flevoland onder nummer 32078667. Een exemplaar van deze voorwaarden is bijgevoegd. Vanuit de doelstellingen van ons kwaliteitsbeleid (zie ook www.bmc.nl/over-bmc) stellen we het op prijs als u ons bij afwijzing van de offerte op de hoogte wilt stellen van de expliciete redenen. Tevens vragen wij bij opdrachtverlening uw medewerking om samen met ons na afloop te evalueren of de uitvoering van de opdracht qua inhoud, proces en relatie met de opdrachtgever aan uw verwachtingen heeft voldaan. Voor vragen naar aanleiding van dit voorstel kunt u contact opnemen met Marsha de Vries via telefoonnummer 06 – 57 11 64 22 of per e-mail via marsha.de.vries@bmc.nl. Gaat u met deze offerte akkoord, dan ontvangen wij graag een exemplaar digitaal ondertekend retour (secretariaatonderzoek@bmc.nl).

Met vriendelijke groet, BMC

Voor akkoord: Rekenkamer Schouwen-Duiveland

drs. N. Brinkman Managing partner Data & Dienstverlening Datum:

Bijlagen: ● Normenkader ● Algemene handelsvoorwaarden BMC Advies B.V. (separaat)

| 15 | Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

Bijlage 1 | Concept normenkader Onderzoeksvraag

Norm

Beleid 1.

Wat is het privacy- en informatiebeveiligingsbeleid van de gemeente Schouwen-Duiveland?

● ●

Het beleidskader is vastgesteld en actueel. De beoogde ambities en resultaten zijn expliciet benoemd.

2.

In hoeverre voldoet het privacy- en informatiebeveiligingsbeleid aan de gestelde (wettelijke) eisen en normen, waaronder de BIO, de AVG en de WPG?

●

Het beleid geeft invulling aan de wettelijke eisen en normen. De geformuleerde doelen zijn tenminste in lijn met de landelijke en sectorale uitgangspunten en doelen.

●

Organisatie 3.

4.

Hoe is de uitvoering van het privacy- en informatiebeveiligingsbeleid qua taken, rollen en verantwoordelijkheden belegd binnen de gemeente?

●

Hoe is de organisatie toegerust op de uitvoering van het privacy- en informatiebeveiligingsbeleid (allocatie van middelen, capaciteit, kennis en vaardigheden)?

●

●

●

5.

Heeft de gemeente een goed ingerichte crisisstructuur voor het detecteren en bestrijden van cyberaanvallen?

Er is een overzicht van de taken, rollen en verantwoordelijkheden en deze zijn duidelijk bekend in de organisatie. De taken, rollen en verantwoordelijkheden worden herkend en uitgevoerd door de betreffende personen. Er is een werkplanning met inzicht in middelen en capaciteit en daarin blijkt dat de middelen en capaciteit toereikend zijn voor de geplande activiteiten. Er is een overzicht dat inzicht geeft of kennis en vaardigheden op privacy- en informatiebeveiligingsbeleid toereikend zijn en er is een aanpak om ambtelijke kennis en ervaring indien nodig op peil te brengen.

●

De gemeente heeft een crisisstructuur ingericht, deze is aantoonbaar bekend in de organisatie en deze wordt periodiek getest.

●

Er is een overzicht van de ingezette maatregelen (technisch, organisatorisch, procedureel, communicatie, anderszins) in het kader van het privacy- en informatiebeveiligingsbeleid en gerelateerd aan de voor de gemeente relevante normen, zoals de BIO, de AVG en de WPG. In het overzicht is aangegeven wie voor welke maatregel verantwoordelijk is.

Uitvoering 6.

Hoe wordt in de dagelijkse uitvoeringspraktijk van de gemeente gevolg gegeven aan het privacy- en informatiebeveiligingsbeleid?

●

| 16 | Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

7.

In hoeverre is deze uitvoering geborgd in procedures, werkinstructies en overige afspraken?

● ● ●

8.

Wat is het volwassenheidsniveau van de gemeente op het gebied van privacy en informatiebeveiliging?

Het overzicht is actueel en de implementatie van de maatregelen wordt periodiek gecontroleerd. De gemaakte keuzes binnen het beleid zijn vastgelegd in documenten en bekend in de organisatie. De keuzes voor het inzetten of achterwege laten van maatregelen zijn gemotiveerd.

●

Het volwassenheidsniveau is tenminste in lijn met het landelijke en sectorale streefniveau.

●

Er is een overzicht van (keten)partners met wie wordt samengewerkt in de uitvoering van het privacy- en informatiebeveiligingsbeleid. Er zijn samenwerkingsafspraken tussen de gemeente en de partners over doelen, activiteiten/resultaten en rolneming. De samenwerkingen hebben concrete resultaten beschreven en/of bereikt. De gemeente is responsief en pikt signalen van partners op en zet deze om in actie.

Samenwerking 9.

In hoeverre is er sprake van een effectieve samenwerking met (keten)partners op het gebied van privacy en informatiebeveiliging?

● 10. In hoeverre is er inzicht in de gegevensverwerkingen met verwerkers, samenwerkingspartners, gezamenlijke verwerkingsverantwoordelijkheid en naleving IBP?

● ●

Signaleren, verantwoorden en leren 11. Wordt zowel het beleid als de uitvoering periodiek geëvalueerd? Worden incidenten nader onderzocht? Worden geleerde lessen vertaald naar beleid, procedures, werkinstructies en overige afspraken?

●

De gemeente toetst periodiek de getroffen maatregelen, evalueert de uitkomsten daarvan en implementeert eventuele verbeterpunten.

12. In welke mate is er op bestuurlijk niveau aandacht voor privacy en informatiebeveiliging? a. Hebben college en raad inzicht in de risico’s die de gemeente loopt ten aanzien van privacy en informatiebeveiliging en hoe deze worden beheerst? b. Wordt hierover periodiek met de portefeuillehouder en het college gesproken? c. Wordt hierover gecommuniceerd met de raad en worden er door de raad conclusies aan verbonden? d. Wat zijn de ambities van de raad voor wat betreft de sturing op privacy en informatiebeveiliging?

●

College en raad worden periodiek geïnformeerd over de risico’s met betrekking tot privacy en informatiebeveiliging en de beheersmaatregelen die worden getroffen. Het college rapporteert (via de P&C-cyclus) over de voortgang van het privacy- en informatiebeveiligingsbeleid. De gedeelde informatie is tijdig, toegankelijk en duidelijk voor de raad. Er vindt regelmatig (tenminste iedere twee jaar) een evaluatie plaats die wordt gedeeld met de raad.

●

● ●

| 17 | Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

13. In hoeverre is privacy- en informatiebeveiligingsbeleid en de uitvoering daarvan toekomstbestendig? En waar liggen eventuele mogelijkheden voor verbetering?

●

Het privacy- en informatiebeveiligingsbeleid is zodanig vormgegeven dat redelijkerwijs verwacht kan worden dat dit in de voorzienbare toekomst adequaat dan wel flexibel genoeg is om te anticiperen op maatschappelijke en technologische ontwikkelingen.

Mogelijkheden voor verbetering: Hiervoor bestaat in beginsel geen norm, dit moet uit het onderzoek blijken.

| 18 | Offerte Rekenkameronderzoek Privacy en informatiebeveiliging Schouwen-Duiveland

BMC Databankweg 26D 3821 AL Amersfoort Postbus 490 3800 AL Amersfoort (033) 496 52 00 info@bmc.nl www.bmc.nl KvK BMC Advies 32078667 IBAN NL91 ABNA 0504035754 BTW NL80.86.63.598 B.01