2026.068 Bijlage 4 Rekenkamerrapport privacy en informatiebeveiliging (1666467)

Bijlage 4 Rekenkamerrapport privacy en informatiebeveiliging

Aanbevelingen Rekenkameronderzoek 1. Om aan de basisverplichtingen ten aanzien van privacybescherming en informatiebeveiliging te gaan voldoen adviseren wij de gemeente Schouwen-Duiveland: • Pas het privacybeleid aan. • Actualiseer het register van verwerkingen. • Inventariseer voor welke verwerkingen een DPIA verplicht is, in hoeverre deze al is uitgevoerd en stel een plan op voor het uitvoeren van de DPIA's. Neem in dit plan ook de benodigde capaciteit en financiële middelen voor de uitvoering op. • Richt een verantwoordingsproces in voor de proceseigenaren ten aanzien van de naleving van de verplichtingen uit de AVG en de BIO. • Actualiseer het informatiebeveiligingsbeleid inclusief de uitwerking van de PDCA-cyclus en de rollen en verantwoordelijkheden. • Maak een plan voor de volledige implementatie van de BIO met prioriteiten op basis van een risicoanalyse. Neem daar ook de benodigde in- en externe capaciteit en financiële middelen in op. • Laat de implementatie van de beveiligingsmaatregelen uit de BIO onafhankelijk toetsen: zowel de opzet als het bestaan alsook de borging daarvan door periodieke checks op de implementatie. • Laat tenminste jaarlijks een penetratietest uitvoeren. Neem de penetratietesten en de opvolging van bevindingen op in de planning-en-controlcyclus.

• Voortdurende aandacht te besteden aan de bewustwording van bestuur en ambtelijke organisatie ten aanzien van privacybescherming en informatiebeveiliging. 2. We adviseren de gemeente Schouwen-Duiveland om op basis van het risiconiveau en de hiervoor genoemde inspanningen die nodig zijn om aan de basisverplichtingen op het gebied van privacybescherming en informatiebeveiliging te voldoen, een verbeterplan op te stellen en uit te voeren. Maak inzichtelijk middels dit verbeterplan hoe de gemeente privacybescherming en informatiebeveiliging structureel gaat beleggen in functies en rollen, hoe de gemeente in de bewustwording, deskundigheid en (extra) capaciteit gaat voorzien en welke financiële middelen daarvoor nodig zijn. Sluit daarbij aan bij de ontwikkelingen die zijn ingezet in het kader van het Organisatieprogramma 2022-2026, bijvoorbeeld de meer integrale benadering van bedrijfsvoeringsthema’s. 3. Anticipeer op toekomstige ontwikkelingen bij de planning van capaciteit en expertise op het gebied van privacy en informatiebeveiliging. Te denken valt aan: ontwikkelingen, zoals ChatGPT, en dreigingen die op gemeente afkomen, de implementatie van de NIS2-richtlijn in de Wet beveiliging netwerken en 2 informatiesystemen, die in oktober 2024 in werking treedt. 4.

Zorg voor een beter beveiligingsprofiel op basis van openbaar beschikbare informatie door de issues op basisbeveiliging.nl maandelijks te bewaken en op te lossen. Zorg voor het gebruik van actuele versleutelingsprotocollen op alle apparatuur die verbonden is met het internet en zorg dat deze geen informatie over software en -versies prijsgeeft.

Bestuurlijk reactie Uit het rapport blijkt dat er binnen de gemeente reeds belangrijke stappen zijn gezet om de privacybescherming en informatieveiligheid te verbeteren. Als college hechten we veel belang aan de rol van sleutelfiguren zoals de CISO, FG en de Privacy Officers, maar benadrukken de verantwoordelijkheid van onze managers. Zij zijn verantwoordelijk voor een sterke bedrijfsvoering en het garanderen van privacybescherming en informatieveiligheid in de werkprocessen. Doorlopende bewustwordingscampagnes en de borging van aandacht in ons organisatieprogramma dragen hieraan bij. Echter, zoals uit het rapport blijkt, zijn er nog uitdagingen en verbeterpunten. De bevinding dat ons huidige beleid op het gebied van privacy en informatieveiligheid niet actueel, onvolledig geïmplementeerd, en ontoereikend voor de uitvoering is, neemt het college zeer serieus. Ook de noodzaak voor heldere definities en de praktische uitvoering van rollen, taken en verantwoordelijkheden, alsmede de voortdurende aandacht voor capaciteit en deskundigheid binnen onze organisatie, zijn punten die in de verdere ontwikkeling van onze organisatie de volle aandacht krijgen. In reactie op de aanbevelingen van de rekenkamer onderneemt het college de volgende acties •

Actualisering en implementatie van beleid: We zullen ons privacy- en informatiebeveiligingsbeleid actualiseren en zorgen voor een heldere implementatieplanning, inclusief de benodigde capaciteit en financiële middelen. Hierin nemen we ook de acties op die zorgen voor het gewenste zichtbare beveiligingsprofiel, zoals aanbevolen door de rekenkamer. In het bedrijfsvoeringsdashboard verwerken we data over naleving van AVG en BIO.

•

Verantwoordingsproces en PDCA-cyclus: Er wordt een verantwoordingsproces ingericht waarbij proceseigenaren periodiek rapporteren over de naleving van AVG en BIO als onderdeel van de bredere bedrijfsvoeringsrapportage. Deze rapportage wordt in het afdelings-MT vastgesteld en door ieder afdelingshoofd met de gemeentesecretaris - algemeen directeur besproken. Het college ontvangt over deze bedrijfsvoeringsgesprekken een kwartaalrapportage met een organisatiebrede verantwoording. Onderdeel van de rapportage aan het college is een herkenbare review door de FG en de CISO over de stand van zaken rond AVG en BIO.

•

Risicobeheer en compliance: Wij dragen zorg voor verdere opvolging van het uitvoeringsplan waarmee we het register van verwerking actueel houden, de DPIA's systematisch uitvoeren, en onze compliance aan de basisverplichtingen toetsen en verbeteren.

•

Bewustwording en deskundigheidsbevordering: Voortdurende aandacht voor bewustwording en scholing van zowel bestuurlijke als ambtelijke organisatie zal worden gegarandeerd. Het monitoren van de verplichte deelname is ook een onderdeel van het verantwoordingsproces en de PDCAcyclus.

•

Anticiperen op toekomstige ontwikkelingen: In samenwerking met de FG, CISO en Privacy Officers, zullen we ons voorbereiden op toekomstige ontwikkelingen en risico’s, inclusief de impact van technologische innovaties en nieuwe wettelijke vereisten die voortkomen uit de NIS2-richtlijn.

Stand van zaken 2025 Beleid De organisatie heeft een nieuw integraal strategisch beleid informatieveiligheid en privacy geschreven. Dit presenteren we in Q1 2025 aan MT en B&W en delen we daarna ook met uw raad. In het beleid besteden we aandacht aan nieuwe ontwikkelingen, zoals de AI-act en NIS-2/ Cyberbeveiligingswet. Ook staat in het beleid een uitwerking van rollen en verantwoordelijkheden en een uitgewerkte PDCA-cyclus. De rollen en verantwoordelijkheden in het beleid informatieveiligheid en privacy, sluiten aan op de rollen en verantwoordelijkheden zoals beschreven en vastgelegd in o.a. de handreikingen procesgericht werken en het controleplan IC/ rechtmatigheid. Deze rolduidelijkheid zorgt merkbaar voor meer eigenaarschap bij de nieuwe laag teammanagers. Register van verwerkingen Binnen elk team is een contactpersoon privacy benoemd. Deze contactpersonen vullen het register van verwerkingen, ondersteund door de privacy officer. Dit proces is september 2024 begonnen en loopt door in 2025. Per 1 februari 2025 zijn 210 verwerkingen opgenomen; we verwachten dat dit ongeveer 80% van het totaal is. De Functionaris Gegevensbescherming (FG) beoordeelt opgenomen verwerkingen. De komende tijd ligt de focus op het compleet maken van het register, inclusief wettelijke grondslagen en bewaartermijnen.

Naarmate meer verwerkingen in het register zijn opgenomen, krijgt de organisatie meer inzicht in waar er nog werk te doen is op gebied van de AVG. Vervolgens kunnen de teams deze risico's oppakken en verhelpen. Hieronder vallen ook de nog uit te voeren DPIA's. De contactpersonen privacy zien erop toe dat ook nieuwe verwerkingen worden opgenomen in het register. Ook zorgen zij dat bestaande verwerkingen continu gemonitord blijven. Data Protection Impact Assessments (DPIA's) Op basis van de informatie uit het register van verwerkingen, beoordeelt onze FG voor welke verwerkingen een DPIA uitgevoerd moet worden. Prioritering vindt plaats op basis van de hoogte van de gesignaleerde risico's. Het afgelopen jaar zijn er 3 DPIA's uitgevoerd, op gebied van cameratoezicht en ondermijning. Verantwoordingsproces Verantwoording over de acties op gebied van privacy en informatiebeveiliging vindt elk kwartaal plaats via de bedrijfsvoeringgesprekken. Hierin leggen proceseigenaren integraal verantwoording af over de risico's binnen hun processen, inclusief risico's op gebied van privacy en informatieveiligheid. Hiermee creëerden we een cultuur van aanspreekbaarheid en verantwoordelijkheid. Het college ontvangt over de bedrijfsvoeringgesprekken een kwartaalrapportage met een organisatiebrede verantwoording.

Over de naleving van de BIO (Baseline Informatiebeveiliging Overheid) legt de organisatie jaarlijks verantwoording af via ENSIA1: via vragenlijsten en de collegeverklaring informatiebeveiliging aan toezichthouders binnen het Rijk en via de bestuursrapportage aan de gemeenteraad. Vanaf 2025 breiden we dit proces uit met een raadsbrief, waarin we in meer detail ingaan op de belangrijkste onderwerpen in de BIO. Via de auditcommissie stemmen we af of dit uw raad voldoende inzicht geeft in de naleving, of dat meer informatie gewenst is. BIO implementatie Waar we vorig jaar onze grootste risico’s in beeld hadden, hebben we nu een volledig overzicht van alle risico's. Ook is het beeld specifieker: we weten nu waar in de organisatie welke maatregelen nog ingevoerd moeten worden. Zo kan het zijn dat de organisatie voor de ENSIA-audit voldoet aan een norm, omdat we opzet (er is beleid) en bestaan (we werken volgens het beleid) kunnen aantonen, terwijl nu blijkt dat een andere afdeling niet volgens deze opzet werkt. Deze uitkomst is dan nu voor die afdeling als risico opgenomen in het risicoregister. Risico's in het risicoregister zijn beoordeeld en in de juiste volgorde gezet. De afdelingen hebben de benodigde acties opgenomen in de afdelingsplannen voor 2025 en 2026.

1 Eenduidige Normatiek Single Information Audit. Zie ook http://www.ensia.nl.

Bekijken we dit complete beeld, dan heeft de organisatie 48% van de BIO-normen geïmplementeerd, waarvan 29% binnen alle afdelingen. Dit laat zien dat we veel kennis inmiddels in huis hebben. Maar dat die kennis soms nog niet de hele organisatie heeft bereikt. Bij sommige onderwerpen, zoals dataclassificatie, is er zowel een verandering in techniek nodig, als in het gedrag van mensen. Dat betekent dat niet alleen capaciteit beschikbaar moet zijn op ICT om de benodigde maatregelen technisch mogelijk te maken; de organisatie moet ook goed worden meegenomen in de gewenste verandering (adoptie). Forceren we dit, dan vergroten we op papier wel de veiligheid, maar landen de maatregelen niet goed in de organisatie. Goed voor een audit, maar niet voor de werkelijke veiligheid. Daarom zorgen we ervoor dat we niet sneller veranderen dan de organisatie aankan. De organisatie werkt risicogestuurd. Dit is volledig in lijn met de BIO en betekent dat we de grootste risico’s als eerste behandelen. ICT heeft in de roadmap ICT een financiële en tijdplanning gemaakt voor de technische maatregelen. Tot voorkort hebben we vooral overzicht en inzicht gecreëerd in de stand van zaken van onze BIOimplementatie; nu is het tijd voor actie. Hierbij is altijd ondersteuning beschikbaar. In de begroting is structureel geld opgenomen voor externe ondersteuning waar de organisatie dit nodig heeft.

Met een externe partij hebben we hier concrete afspraken over gemaakt. Onafhankelijke toetsing Externe partij (en auditor) Cuccibu heeft onze GAP-analyse op de BIO uitgevoerd. Zij hebben ook geadviseerd op de te implementeren maatregelen en toetsen periodiek de implementatie hiervan door de verschillende afdelingen en teams. Externe IT-audits vinden plaats waar deze wettelijk verplicht zijn, via ENSIA (DigiD-aansluitingen, Suwinet). Omdat er met de inwerkingtreding van de Cyberbeveiligingswet een wettelijke verplichting ontstaat op het voldoen aan de BIO, zal er ook hier extern getoetst gaan worden. De kaders hiervan worden nu landelijk uitgewerkt in de Cyberbeveiligingswet. We volgen deze wettelijke kaders, wat betekent dat we naar verwachting vanaf 2026 eens per jaar een extra onafhankelijke audit hierop zullen inrichten. Deze audit laten we verzorgen door een andere externe partij, om advies en toetsing gescheiden te houden. Penetratietest Elk jaar laat de organisatie een PEN-test uitvoeren. ICT pakt gevonden kwetsbaarheden direct op, of plant deze in. ICT houdt CISO elke maand op de hoogte over de opvolging. CISO maakt elk kwartaal een rapportage op hoofdlijnen voor het MT. Bewustwording We werken met trainingsmodules per kwartaal. Teammanagers monitoren de deelname van hun teamleden en verantwoorden hierover in de bedrijfsvoeringgesprekken.

We merken dat voorbeelden van incidenten uit onze dagelijkse praktijk, medewerkers meer aanspreken dan theoretische dreigingen. Zoals de “collega” (eigenlijk een oplichter) die P&O vanaf een extern mailadres vraagt haar rekeningnummer te wijzigen, de dag voor de salarisbetalingen. Door dit soort incidenten te delen, leren we van elkaar en worden we ons er steeds meer van bewust dat ook onze gemeente een doelwit is voor oplichters. De Cyberbeveiligingswet kent een verplichte training voor het college. Zodra de nieuwe wet van kracht wordt, zal de gemeente ook hier invulling aan geven. Hierbij zoeken we de samenwerking op met andere gemeenten. Verbeterplan Op basis van het organisatieprogramma en de ambitie “sterke bedrijfsvoering” heeft de organisatie een concernplan 2024 gemaakt. Hierin staan onder andere de verplichtingen en acties die nodig zijn op het gebied van privacy en informatieveiligheid. Risico's worden in beeld gebracht en hier zijn acties en beheersmaatregelen op beschreven. In de bedrijfsvoeringgesprekken controleren we de voortgang.

Acties die nodig zijn komen waar nodig terug in het concernplan 2025. Anticiperen op ontwikkelingen CISO maakt een MT-advies hoe de gemeente in de toekomst qua proces wil omgaan met nieuwe ontwikkelingen. De aanpak is: we houden in de gaten wat er in de toekomst op ons af komt. Hierbij werken we actief samen met andere gemeenten. Alles wat wettelijk moet, bereiden we op tijd voor. Voor NIS2/ Cyberbeveiligingswet volgen we de adviezen van VNG en IBD over een goede aanpak. Extra externe ondersteuning is op afroep beschikbaar. Ook bij volgende toekomstige ontwikkelingen. Openbaar beveiligingsprofiel ICT controleert minimaal elke maand basisbeveiliging.nl. Risico’s die voorkomen dat we "groen” scoren, zet ICT uit bij de medewerker die hierover gaat. Ook leggen ze deze vast in TopDesk en de maandelijkse CISO-rapportage. CISO bewaakt de opvolging van risico’s en informeert waar nodig het MT.

Stand van zaken 2026 Beleid Door nieuwe wetgeving is vanuit efficiëntie oogpunt een pas op de plaats gemaakt in 2025. Het beleid bevat hierdoor nu ook de laatste wetgeving en word in Q2 2026 aangeboden aan de raad. Na raadsbehandeling is deze aanbeveling opgevolgd. Register van verwerkingen Het register is verder gecompleteerd. Er wordt uitgewerkt hoe volledigheid geborgd kan worden. Deze aanbeveling is opgevolgd. Bio Implementatie De BIO wordt nog verder uitgerold in de organisatie. De normen zijn nog niet allemaal geïmplementeerd in 2025. Er is in 2025 nog veel ondersteuning nodig geweest. In de rapportagecyclus van privacy en informatieveiligheid zal hier gedetailleerder over worden gerapporteerd. Openbaar beveiligingsprofiel We hebben in het proces nog niet volledig geborgd dat nieuwe websites ook op het juiste moment en de juiste manier worden getoetst. We zetten in op het aanpassen van het proces zodat we beter inzicht krijgen en problemen kunnen voorkomen. Opgevolgd De volgende aanbevelingen zijn reeds opgelost in 2025: -

DPIA’s Verantwoordingsproces Onafhankelijke toetsing Pentest Bewustwording Verbeterplan Anticiperen op ontwikkelingen