01 Brief aan gemeenteraad - ENSIA 2022

23.0006884

gemeentesiuss

Inkomende documenten Gemeente Sluis Postadres: Postbus 27 4500 AA Oostburg Bezoekadres: Nieuwstraat 22 4501 BD Oostburg

De raad van de gemeente Sluis

Telefoon 140117 Telefoon +31 (0)117 457 000 Telefax +31 (0)117 452 241 IBAN: N L33IN GB0661900169 BIC code: INGBNL2A BTW-nummer: 811046321B01 www. gemeent esluis. nl info@gemeentesluis. nl

ons kenmerk uw brief d.d. uw kenmerk

n.v.t.

Gemeente Sluis Ingekomen

n.v.t. ENSIA-coördinator.

behandeld door doorkiesnummer

140117

onderwerp

ENSIA 2022.

bijlage(n)

Geen.

ì 5 SEP, 2023 MR.

Oostburg,

Geachte raadsleden, Als gemeente werken we met veel privacygevoelige informatie. Informatiebeveiliging en beheersmaatregelen om risico’s te beperken, zijn dan ook belangrijk. Het verlies van informatie, uitval van ICT, of het door onbevoegden kennisnemen of manipuleren van gegevens kan ernstige gevolgen hebben voor onze bedrijfsvoering, burgers, bedrijven en partnerorganisaties. Dat kan (in)direct leiden tot financiële, maatschappelijke of imagoschade. Informatieveiligheid is daarom van groot belang. Wij hebben dit geborgd in ons informatiebeveiligingsbeleid en de bijhorende uitvoerings- en controleplannen. In de uitvoering van dit beleid moeten wij voldoen aan de eisen van de Baseline Informatiebeveiliging Overheid (BIO). De jaarlijks terugkerende audit ENSIA maakt hier deel van uit. De uitkomsten dienen te worden gerapporteerd aan de gemeenteraad (horizontale verantwoording) en aan de verschillende ministeries (verticale verantwoording). Met deze brief leggen wij verantwoording af aan uw raad over het gevoerde beleid en de borging van de kwaliteit van de registraties. De uitkomsten van deze audit zijn door ons college vastgesteld en hebben betrekking op de periode 2022. De resultaten worden tevens gedeeld met de formele toezichthouder, het ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK). ENSIA-werkwijze in het kort

Gemeenten zijn sinds 2018 verplicht om de jaarlijkse zelfevaluatie uítte voeren. De Nederlandse gemeenten maken voor de verantwoording gebruik van de Eenduidige Normatiek Single Information Audit (ENSIA). Dit gaat uit van het principe van Single Information à Single Audit (SISA). Dit betekent eenmalige informatieverstrekking en een eenmalige IT-audit. In deze systematiek wordt gebundeld verantwoording afgelegd over de resultaten van: » ® » ® « » * ® »

Implementatie Baseline Informatiebeveiliging Overheid (BIO). Basisregistratie Personen (BRP). Reisdocumenten (PUN). Basisregistratie Adressen en Gebouwen (BAG). Basisregistratie Grootschalige Topografie (BGT). Basisregistratie Ondergrond (BRO). Digitale persoonsidentificatie (DigiD). uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet). Waarderegistratie Onroerende Zaken (WOZ). Pag.1/2

ENSIA sluit aan bij de Planning- Â Controlcyclus door een verbinding te maken met de jaarstukken. Wij hebben een collegeverklaring ENSIA opgesteld overeen aantal geselecteerde beveiligingsnormen. Een IT-auditor heeft de collegeverklaring gecontroleerd en het assurancerapport opgesteid. In deze brief met bijlagen rapporteren wij over de bevindingen. ENSIA audit 2022 De verantwoording is gebaseerd op een zelfevaluatie welke bestaat uit vragen die gebaseerd zijn op een aantal beheersmaatregelen op het vlak van informatiebeveiliging. Deze zelfevaluatie is beoordeeld door een onafhankelijke auditor. ENSIA resultaat Het resultaat van de ENSIA audit wordt verwoord in de “Collegeverklaring informatiebeveiliging DigiD en Suwinet 2022” (vastgesteld op 11 april 2023). In deze collegeverklaring wordt verklaard dat bij gemeente Sluis op 31 december 2022 voor DigiD en Suwinet nagenoeg aan de normen wordt voldaan. Geconstateerd is dat de interne beheersingsmaatregelen, in opzet en bestaan, op één maatregel die betrekking heeft op een onderdeel van Suwinet na, voldoen aan de door de Rijksoverheid verplicht gestelde geselecteerde normen inzake de DigiD en Suwinet. U vindt de collegeverklaring als vertrouwelijke bijlage bij deze brief. Voor het afleggen van verantwoording aan de gemeenteraad wordt er aangesloten bij de planning en controlcyclus.

In het jaarverslag is daarom een passage opgenomen over de stand van zaken met betrekking tot informatiebeveiliging en privacy. Dit zodat wij in 2023 voldoen aan de normen voor DigiD en Suwinet, en daarnaast ook voortgang boeken op het verbeteren van de informatiebeveiliging en het voldoen aan andere kaders zoals de AVG (Algemene Verordening Gegevensbescherming). Uit de collegeverklaring over 2022, blijkt dat op één uitzondering na aan alle DigiD en Suwinet normen is voldaan. Ten aanzien van Suwinet dient het register van gegevensverwerkingen geactualiseerd te worden. Wij zijn bezig om ons registerte digitaliseren en zullen dit punt daarin meenemen. De externe auditor heeft op alle overige onderdelen een positief advies af gegeven. Het college heeft verder de verantwoordíngsrapportage over de basisregistraties adressen en gebouwen, grootschalige topografie en ondergrond en de verantwoordingsrapportage WOZ vastgesteld. Deze rapportages voldoen aan de gestelde normen. De rapportages zijn als verfrouwelijke bijlage bijgevoegd. Resultaatafspraken Op basis van de bevindingen uit de zelfevaluaties zetten wij nadere beheersmaatregelen in. Per maatregel zijn actiehouders benoemd en wordt een planning bepaald. Periodiek ontvangen wij rapportage op het effect van deze maatregelen en sturen wij waar nodig bij.

Voorlichting gemeenteraad Informatieveiligheid en privacy zijn onderwerpen die tijdens de informatieve raadsbijeenkomst van 3 oktober 2023 aan de orde komen. Wij vertrouwen erop u hiermee voldoende te hebben geïnformeerd. Hoogachtend, BURGEMEESTER EN WETHOUDERS VAN SLUIS, De secretaris,

De burgemeester,

O. LTgjeflA

S.l. de Kievit-Minnaert

mrxM.M.D

Pag. 2/2