10 Collegebrief - ENSIA-verantwoording Stand van zaken informatieveiligheid gemeente Sluis 2023

gemeentesLU is Postadres: Postbus 27 4500 AA Oostburg Bezoekadres: Nieuwstraat 22 4501 BD Oostburg

De raad van de gemeente Sluis

Telefoon 140117 Telefoon+31 (0)117 457 000 Telefax+31 (0)117 452 241

24.0017095

IBAN: NL33INGB0661900169 BIC code: INGBNL2A BTW-nummer: 811046321B01

Inkomende documenten Gemeente Sluis

www.gemeentesluis.nl info@gemeentesluis.nl ons kenmerk uw brief d.d. uw kenmerk behandeld door doorkiesnummer onderwerp bijlage(n)

Oostburg,

: n.v.t. ' : n.v.t. : ENSIA-coördinator :140117 : ENSIA-verantwoording “Stand van zaken informatieveiligheid gemeente Sluis 2023". : Geen

Gemeente Sluis Ingekomen

2 4 JÜLÌ 2024

2 4 JUL 2024

NR.

Geachte raadsleden, inleiding

Wij leggen over het jaar 2023 verantwoording af over de stand van zaken op het gebied van informatievei-ligheid binnen de gemeentelijke organisatie. Dit gaat op basis van de landelijke en voor gemeenten verplichte Eenduidige Normatiek Single Information Audit (ENSIA) systematiek. We leggen verantwoording af aan uw gemeenteraad (horizontale verantwoording) en aan de verschillende toezichthouders (verticale verantwoor-ding). Scope

De ENSIA-verantwoording voor het jaar 2023 gaat over onderstaande onderdelen: » » « » » » » »

Implementatie van de Baseline Informatiebeveiliging Overheid (BIO) - Zelfevaluatie Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet) - Geauditeerde zelfevaluatie Digitale Persoonsidentificatie (DigiD) - Geauditeerde zelfevaluatie Basis Registratie Personen (BRP) - Zelfevaluatie Paspoort Uitvoeringsregeling Nederland (PUN) - Zelfevaluatie Basisregistratie Grootschalige Topografie (BGT) - Zelfevaluatie op datakwaliteit Basisregistratie Adressen en Gebouwen (BAG) - Zelfevaluatie op datakwaliteit Basisregistratie Ondergrond (BRO) - Zelfevaluatie op datakwaliteit.

ínfoímMiebevíîSfgìng (BSO)

Gpmetfntŵ@s?\sur

.

i I ) BttO BRP

ReíidocuJTventen

Stwinct

0*9*0

BAG

BGT

BRÖ

Gemeenţ«řf#âd

ft x

^TĩXfřichthoruŵn RhIs

ENSIA-verantwoording

Onderstaande tabellen geven per ENSIA-onderdeel een korte toelichting, bevindingen en de stand van zaken weer. Voor de leesbaarheid is per onderdeel met behulp van kleuren de algemene status weergegeven. Pag. 1/6

Legenda: Ruim voldoende tot goed

Voldoende

Net onvoldoende

Onvoldoende

Het onderdeel is volledig

Het onderdeel is globaal op

Het onderdeel is net niet in

Het onderdeel is niet in control

op orde, in control

orde, in control

control

Mogelijk zijn er minimale

Er zijn enkele

Er zijn meerdere

Er zijn veel verbeterpunten,

verbeterpunten

verbeterpunten

verbeterpunten

bijsturing is nodig

Verantwoording per ENSIA-stelsel De onderstaande tabel geeft per stelsel (domein) een korte toelichting, bevindingen en de stand van zaken weer. ENSIA-stelsel

Toelichting, bevindingen en stand van zaken

Status

Implementatie BIO Om op het gebied van informatieveiligheid weerbaar te blijven volgen we de landelijke Baseline Informatiebeveiliging Overheid (BIO). Deze BIO is Baseline

het normenkader waarbij we op basis van een eigen risico-afweging

Informatiebeveiliging

keuzes maken in het implementeren van beheers- en

Overheid

Voldoende

beveiligingsmaatregelen. Hierbij blijft een basispakket aan generieke maatregelen voor iedere (overheid)organisatie verplicht. Het strategisch informatiebeveiligingsbeleid is geldig tot 2026en in lijn met de voor overheden verplichte landelijke Baseline Informatiebeveiliging Overheid (BIO). In het kader van informatieveiligheid is onze menselijke verdedigingslinie een van de belangrijkste. Hierbij werken we continue aan bewustwording op het gebied van informatiebeveiliging en privacy bij onze medewerkers. Hiervoor volgen we een bewustwordingsprogramma voor alle medewerkers. Door het toenemende dreigingsniveau op informatiebeveiliging is extra menskracht vereist. Ook moet de komende járen meer geïnvesteerd worden in technische maatregelen om onze weerbaarheid op het gebied van informatieveiligheid te behouden. Vanaf 2023 is hiervoor door een herijking structureel extra budget beschikbaar gesteld. Gezien het toenemende landelijke dreigingsniveau is het niet zeker dat dit extra budget toereikend is richting de toekomst. Specifiek gekeken naar de borging van informatieveiligheid over het geheel gezien scoren we ons zelf op een (krappe) voldoende. Deze score komt voort uit resultaten van onder andere de verschillende ENSIAonderdelen waaronder een externe audit. Er blijft echter werk aan de winkel.

Actie- en verbeterpunten worden vertaald naar onze meerjaren roadmap informatiebeveiliging en verbeterplannen.

Suwinet Structuur uitvoeringsorganisatie Werk en Inkomen

Suwinet wordt gebruikt voor het uitvoeren van de Participatiewet. Vanwege de hoeveelheid en gevoeligheid van (persoons)gegevens binnen Suwinet is bepaald dat iedere gemeente naast de zelfevaluatie ook

Net voldoende

extern getoetst wordt op naleving van het normenkader. Het uitvoeren van de audit voor Suwinet is een vereiste van de Regeling SUWI. Pag. 2 I 6

gemeenteSLUis | ENSIA-stelsel

Toelichting, bevindingen en stand van zaken

Status

Het onderzoek van de externe auditor geeft aan dat de gemeente Sluis op twee onderdelen nog niet voldoet aan de wettelijk gestelde eisen en normen in het kader van informatieveiligheid rondom het gebruik en beheer van alle Suwinet-aansluitingen. Er wordt een verbeterplan opgesteld om aan de normen te voldoen. Deze actie is belegd en wordt gemonitord.

DigiD

DigiD is voor inwoners de manier om zichzelf digitaal te identificeren. DigiD wordt gebruikt voor diverse dienstverlenende processen. 99,9996

Digitale Persoonsidentificatie

Onvoldoende of onjuist beheer van een DigiD-aansluiting kan grote gevolgen hebben voor de landelijke keten en uiteindelijk persoonsinformatie van inwoners. Daarom heeft de toezichthouder bepaald dat iedere DigiD-aansluiting naast een jaarlijkse zelfevaluatie ook (extern) getoetst wordt op naleving van het normenkader. Het onderzoek van de externe auditor geeft aan dat onze processen rondom DigiD op orde zijn. Wij voldoen aan de gestelde informatiebeveiligingsnormen. Naast het onderzoek rondom organisatorische waarborgen heeft er ook een technische penetratietest plaatsgevonden. Benodigde aanbevelingen zijn opgevolgd of gepland. De veiligheid van DigiD en websites staat onder druk. Het landelijke dreigingsbeeld geeft aan dat digitale risico's onverminderd groot zijn en cyberaanvallen steeds meer succesvol zijn met alle gevolgen van dien. De beveiliging vraagt steeds meer aandacht waarbij het een uitdaging is om dit huidige niveau vast te houden.

BRP Basis Registratie Personen

BRP is de basisregistratie waarin alle inwoners zijn geregistreerd. Gemeenten beheren deze BRP voor hun inwoners. Uiteindelijk worden alle BRP-registraties landelijk gekoppeld, zodat overheidsinstanties, zorgverleners en andere dienstverleners die gebruik mogen maken van

99,99X0

deze BRP beschikken over de juiste persoonsinformatie. Vanwege het

Deel 1

grote landelijke belang rondom de BRP zijn gemeenten verplicht om jaarlijks een zelfevaluatie uit te voeren.

bestandscontrole op persoonslijsten

Bestandscontrole op de persoonslijsten. Bij de bestandscontrole in de Basisregistratie personen van 17 november 2023 is 99,99^. van de actuele persoonslijsten correct bevonden. Dit is in lijn met eerdere járen, waarin de score steeds nagenoeg hetzelfde positieve resultaat liet zien. Dit voldoet ruimschoots aan de landelijke norm.

BRP

Een inhoudelijke controle van persoonslijsten. Aan de hand van brondocumenten is een steekproefsgewijze controle uitgevoerd naar de juiste verwerking daarvan in de basisregistratie.

Deel 2

9696

De resultaten voldoen niet op alle aspecten aan de norm.

Inhoudelijke controle op de persoonslijsten

BRP

Een controle op uitvoering van de processen. Door middel van een zelfevaluatie vragenlijst is dit onderdeel onderzocht. *99Xo Pag. 316

ENSIA-stelsel

Toelichting, bevindingen en stand van zaken

Deel 3

In de vragenlijst staan vragen over de procedures die gevolgd worden bij

Uitvoering van de

het verwerken en beveiligen van persoonsgegevens.

processen

Status

De gemeente scoort > 9996. Vorig jaar was de score > 9996. Het eindresultaat voor dit onderdeel is goed.

PUN

Gemeenten verzorgen de aanvraag en het uitreiken van reisdocumenten voor hun inwoners. Reisdocumenten zijn erg waardevol en vaak de

Paspoort

sleutel tot identiteitsfraude. De processen rondom het aanvragen en

Uitvoeringsregeling

uitreiken zijn daarom strikt. De burgemeester is verantwoordelijk voor de

Nederland

borging van deze processen en moet hierover jaarlijks verantwoording afleggen aan de minister van Binnenlandse Zaken en Koninkrijksrelaties. Via de ENSIA-verantwoording infomeren we ook het eigen bestuur over de stand van zaken. De zelfevaluatie PUN over het jaar 2023 is afgerond met een score van > 9796. Dit is een goed eindresultaat. Vorig jaar was de score > 9796. Processen en de uitvoering rondom het aanvragen, beheren en uitreiken van reisdocumenten zijn op orde.

BAG

De BAG bevat gemeentelijke basisgegevens van alle adressen en gebouwen in een gemeente. Kopieën van al deze gegevens zijn

Basisregistratie

verzameld in een landelijke voorziening. Deze voorziening wordt landelijk

Adressen en Gebouwen

gebruikt door overheden, organisaties en particulieren. Net als alle

750 Zo

andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BAG. De zelfevaluatie BAG over het jaar 2023 is afgerond met een score van 7596. Hiermee voldoen we aan de landelijk gestelde norm van minimaal 7596. Vorig jaar was de score 7896. Op het moment dat we in de jaarlijkse cyclus van mutatiesignalering belanden, is de verwachting dat we in ruimere mate gaan voldoen aan de norm om de feítelijk gerealiseerde panden en verblijfsobjecten, waar geen vergunning aan ten grondslag ligt, binnen een jaar na signalering in de registratie op te nemen.

Verbeterdoelen ten aanzien van Kwaliteitseisen BAG

Het kwaliteitsdashboard wordt maandelijks beoordeeld en opmerkingen worden verwerkt. Verbetermaatregelen ten aanzien van Kwaliteitsverbeteringstrajecten BAG

BAG en BGT zijn op dit moment volledig op elkaar afgestemd. Traject is hierbij afgerond. Verbetermaatregelen ten aanzien van Borging proces BAG

Werkprocessen worden momenteel geoptimaliseerd.

Pag. 4/6

ENSIA-stelsel

BGT

Toelichting, bevindingen en stand van zaken

Status

De BGT is een digitale kaart van Nederland waarop gebouwen, wegen, waterlopen, terreinen en spoorlijnen eenduidig zijn vastgelegd. Kortom:

Basisregistratie

de inrichting van de fysieke omgeving. De BGT is een landelijk uniforme

Grootschalige

registratie die alleen gemaakt kan worden vanuit een goede

Topografie

samenwerking tussen de diverse bronhouders. Gemeenten zijn als

10096

bronhouder medeverantwoordelijk voor de kwaliteit van deze landelijke basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BGT. De BGT is gegenereerd uit de geometrische databron Kernregistratie Topografie (KRT) voor haar informatie. De KRT is een interne databron binnen onze organisatie waarin alle geografische objecten van de gemeente Gemeente Sluis zijn geregistreerd. De KRT is leverancier van data naar de overige basisregistraties BAG, BGT en de BRO, waarbij wordt voldaan aan de wet- en regelgeving. De zelfevaluatie BGT over het jaar 2023 is afgerond met een score van 10094. Hiermee voldoen we aan de landelijk gestelde norm van minimaal 7594. Vorig jaar was de score 10094. Verbeterdoelen ten aanzien van Kwaliteitseisen BGT

Alle kwaliteitseisen staan momenteel op 0 met uitzondering van zwerfobjecten omgekeerd. De doelstelling is vooral om de kwaliteitseisen op 0 te houden. Daarvoor wordt er periodiek gemonitord en gemuteerd waar nodig. Verbetermaatregelen ten aanzien van Kwaliteitsverbeteringstrajecten BGT

Gezien de kwaliteit zijn er momenteel geen verbeter maatregelen, leder jaar vindt er een luchtfoto signalering plaats en worden ontbrekende of verwijderde objecten aangepast en tevens kwaliteitsverbetering gerealiseerd. Ook wordt er 2 maandelijks overleg gevoerd over openbare ruimte mutaties met de projectleiders van beheer. Daarnaast wordt er ieder kwartaal een mutatielevering levering met allerlei mutaties geleverd en verwerkt. De kwaliteitsdashboards worden ook periodiek gemonitord en waar nodig actie ondernomen. Zo wordt er continu gewerkt aan kwaliteitsborging en kwaliteitsverbetering. Verbetermaatregelen ten aanzien van Borging proces BGT

De processen zijn beschreven en geborgd. Er is werkend berichtenverkeer naar BOR en BAG en die registraties worden qua geometrie ook gevoed vanuit de BGT.

Pag. 5 16

ENSIA-stelsel BRO

Toelichting, bevindingen en stand van zaken

Status

De BRO bevat bodem- en ondergrondgegevens. Het gebruik van deze gegevens is de laatste decennia sterk toegenomen. Een goede

Basisregistratie

informatievoorziening over de ondergrond is van wezenlijk belang voor

Ondergrond

het realiseren van bestuurlijke ambities als het omgevingsplan, de

78X

energietransitie, watertoets en dergelijke. Als we willen dat onze inwoners hier ook actief in participeren, moet het fundament hiervoor op orde en goed ingevuld zijn. De BRO is een van de elementen die de verschillende opgaves mogelijk moeten maken. De gemeente is bronhouder voor deze basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BRO. Als men kijkt naar de geproduceerde hoeveelheid gegevens die onder de eerste 4 tranches van de BRO valt, is dat relatief weinig te noemen. Dat heeft als gevolg dat er nog weinig ervaring is opgedaan met het werkproces. De zelfevaluatie BRO over het jaar 2023 is positief afgerond met een score van 7894. Hiermee voldoen we ruim aan de landelijk norm van 6094. Vorig jaar was de score 7294. De ENSIA-score van BRO is nog erg theoretisch en moet met enige nuance bekeken worden. Daarom zetten wij onze status zelf op "voldoende". Verbeterdoelen ten aanzien van Kwaliteitseisen BRO

Er is nog geen sprake van kwaliteitsverbetering omdat er nog geen relevante data is opgevoerd. Verbetermaatregelen ten aanzien van Borging proces BRO

De aspecten raadpleging, planvorming en beleidsvoorbereiding dienen als processen worden opgenomen en ingebed te worden in de organisatie

Hoogachtend, BURGEMEESTER EN WETHOUDERS VAN SLUIS,

Pag. 6 I 6