2026.099 Raadsbrief Strategisch beleid informatieveiligheid en privacy inclusief volwassenheidsniveau (1628303)

Raadsbrief

Onderwerp Zaaknummer Datum Afdeling Portefeuillehouder Opdrachtgever

Strategisch beleid informatieveiligheid en privacy inclusief volwassenheidsniveau 1628303 17 maart 2026 Bedrijfsvoering 1 (BV1) J.Chr. van der Hoek H.L.K. Canters Afdelingshoofd BV1

Inleiding De gemeente Schouwen-Duiveland werkt elke dag met veel gegevens van inwoners, ondernemers en andere partners. Bijvoorbeeld bij paspoorten, jeugdzorg, belastingen en uitkeringen. Inwoners moeten erop kunnen vertrouwen dat wij zorgvuldig en veilig met hun gegevens omgaan. De digitale wereld verandert snel. Cyberaanvallen komen steeds vaker voor. Ook worden de regels voor digitale veiligheid strenger. In 2026 gaat naar verwachting de nieuwe Cyberbeveiligingswet in. Deze wet stelt extra eisen aan hoe overheden hun digitale systemen beveiligen. Ook de rekenkamer heeft in 2024 geadviseerd om het beleid voor informatieveiligheid en privacy te vernieuwen. Daarom heeft het college het Strategisch beleid informatieveiligheid en privacy 2026–2030 (Bijlage 1) vastgesteld. In dit beleid staat hoe wij nu en in de komende jaren zorgen voor veilige en betrouwbare digitale dienstverlening. En hoe we wij stap voor stap toewerken naar een hoger en aantoonbaar niveau van digitale veiligheid, dat past bij de grootte van onze organisatie en bij de taken die wij uitvoeren. Kernboodschap Met de vaststelling van het Strategisch beleid informatieveiligheid en privacy 2026–2030 geeft de gemeente uitvoering aan nieuwe wettelijke verplichtingen (waaronder de Cyberbeveiligingswet), het vernieuwde landelijke beveiligingskader BIO 2.0 en de aanbevelingen uit het rekenkamerrapport 2024.

Hoewel de organisatie al langer op deze manier werkt, ontbrak de vastlegging in beleid. Ook brengt het beleid privacy en informatieveiligheid samen in één duidelijke governance-structuur. Verantwoordelijkheden binnen de organisatie zijn helder belegd. Gemeente Schouwen-Duiveland gaat voortaan niet alleen rapporteren over naleving van wet- en regelgeving, maar ook over het volwassenheidsniveau van informatieveiligheid en privacy. Het college heeft daarbij de volgende ambitie vastgesteld: • de belangrijkste en meest risicovolle processen bereiken een hoger volwassenheidsniveau; • overige processen krijgen een passend, maar lager volwassenheidsniveau; • het restrisico bij minder kritieke processen wordt bewust geaccepteerd als bestuurlijk aanvaardbaar risico. Deze risicogebaseerde aanpak past bij de omvang van onze organisatie, de wettelijke verplichtingen en de aard van de gemeentelijke dienstverlening. Zo sturen we niet alleen op het naleven van regels (“de vinkjes”), maar vooral op daadwerkelijke risicobeheersing, effectieve veiligheid en structurele verbetering. Daarmee versterkt de gemeente Schouwen-Duiveland haar digitale weerbaarheid en worden risico’s op datalekken en cyberincidenten structureel en aantoonbaar beheerst.

Consequenties Positief: • de gemeente voldoet aantoonbaar aan geldende en aankomende wetgeving; • bestuurlijke verantwoordelijkheid voor digitale veiligheid is expliciet vastgelegd; • de raad krijgt meer inzicht in zowel naleving als ontwikkelniveau; • aanbevelingen van de rekenkamer zijn opgevolgd;

Pagina 1 van 2

•

digitale risico’s worden structureel beheerst en gemonitord.

Aandachtspunten: • digitale veiligheid blijft een continu ontwikkelproces en vraagt blijvende inzet van medewerkers en bestuur; • verdere professionalisering vraagt om aanvullende inzet en middelen. Deze investeringen worden via de reguliere planning- en controlcyclus aan de raad voorgelegd. Communicatie Het strategisch beleid informatieveiligheid en privacy 2026–2030 is openbaar: • het beleid wordt gepubliceerd op de gemeentelijke website; • het document wordt intern gedeeld via intranet; • specifieke functionarissen (zoals teammanagers) ontvangen gerichte uitleg over hun verantwoordelijkheden. Door het beleid openbaar te maken, onderstreept de gemeente het belang van transparantie en verantwoording op het gebied van informatieveiligheid en privacy. Vervolg Via de paragraaf bedrijfsvoering informeren we de raad periodiek over de stand van zaken op gebied van privacy en informatieveiligheid. Daarnaast sturen we de raad jaarlijks een meer uitgebreide rapportage, waarin we de ontwikkeling van het volwassenheidsniveau en de voortgang richting het vastgestelde ambitieniveau nader toelichten. Hiervoor maken we zo veel mogelijk gebruik van reeds bestaande informatiestromen en de bestaande planning- en controlcyclus. Hiermee kan de raad haar controlerende rol blijven uitoefenen op zowel naleving als structurele verbetering.

Indien zich ingrijpende digitale incidenten voordoen, informeert het college de raad tijdig en actief, zodat de raad zijn controlerende taak kan uitoefenen. Bijlagen 1: Strategisch beleid informatieveiligheid en privacy 2026–2030 Burgemeester en wethouders van Schouwen-Duiveland, S.J.A. Bronsveld

J.Chr. van der Hoek MBA

Secretaris

Burgemeester

Pagina 2 van 2