1. 20250925 Raadsbijeenkomst Informatieveiligheid - def

Informatieveiligheid 25 September 2025

Agenda 1.

Aanleiding

2.

De wereld om ons heen

3.

De afgelopen jaren tot nu

4.

Sir Askalot

5.

Het aanvalsplan

6.

Rapportage

7.

Tijdslijn en kostenoverzicht

8.

Toekomstige ontwikkelingen

9.

Afsluiting en resumé

2

Aanleiding

Aanleiding: Aanbevelingen De aanbevelingen uit het rapport Digitale veiligheid van Soest, • Investeer in een robuuste digitale veiligheidsorganisatie; • Stel op basis van het strategisch beleid een 'aanvalsplan’ digitale veiligheid op dat erop gericht is om aan de wettelijke verplichtingen te voldoen; • Vraag het college van B en W in samenwerking met u, als gemeenteraad, een begrijpelijke rapportage op te stellen gebaseerd op gangbare normenkaders, risico's en kosten.

4

Aanleiding: amendement De volgende wijzigingen in beslispunt 3 door te voeren: 3. Het college van B en W te verzoeken om binnen drie maanden na het raadsbesluit begin september 2025 te rapporteren aan de gemeenteraad over de aanpak of en implementatie van de overgenomen aanbevelingen. Hierin op te nemen een tijdlijn en kostenoverzicht voor het aanvalsplan Digitale Veiligheid, om vóór eind 2027 aan de normenkaders (BIO2 en NIS2) voor Informatieveiligheid te voldoen.

5

De wereld om ons heen

7

Bron: WEF Global Cybersecurity Outlook 2025

8

Bron: WEF Global Cybersecurity Outlook 2025

9

De afgelopen jaren

De afgelopen jaren • Nadruk op implementatie BIO / NIS2

• Vaststelling strategisch informatiebeleid • Opbouw van kennis op het gebied van Informatieveiligheid • Invulling rollen functionarissen • Samenwerking met en binnen RID geïntensiveerd

• Cloudgang • Leveranciersmanagement (GIBIT) • Bewustwording op de agenda Hiermee geven we invulling aan de aanbevelingen van de Rekenkamer

11

Sir Askalot

Bewustwording informatiebeveiliging en privacy Om de bewustwording bij alle medewerkers te verhogen hebben wij een tool genaamd Recourse bewust in control aangeschaft. Deze tool heeft als doel om het informatiebeveiliging- en privacy bewust te verhogen. Dit doen wij op verschillende manieren zoals:

13

▪ Wekelijks mail van Sir Ask A Lot ▪ Jaarlijks een e-learning over informatiebeveiliging & privacy (VERPLICHT) ▪ Bewustwording via nieuwsberichten

Wekelijks mail van Sir Ask A Lot

14

Wekelijks mail van Sir Ask A Lot

15

Phising mail

16

Het aanvalsplan

Aanvalsplan: BIO is de basis

BIO: Risicogericht normenkader met maatregelen om deze risico’s te beheersen; 18

NIS2 • Niet nieuw maar een wettelijke verankering • Ambitie op gebied van Informatieveiligheid herijken (volwassenheid van 2 naar 3 naar 4) • Van een informele inrichting naar formaliseren en verantwoorden • Naast IT ook OT • Bestuurlijke aansprakelijkheid inclusief scholing • Boetes in lijn met AVG

19

Aanvalsplan: Weerbaarheid vergroten

20

25 maart 2024

AANVALSPLAN: HET DOEL BIO-SA volwassenheidsmodel

Vereiste niveau 2027

UITVOEREN AANVALSPLAN • Opstellen beleid en proces (groei maar niveau 2) • Opstellen beheermaatregelen (groei naar niveau 3) • Sturen en verantwoorden (groei naar niveau 4) • Doelstellingen per kwartaal bepalen en maandelijks monitoren • Monitoring middels kwartaalrapportages naar management

22

Rapportages

Rapportages: primair via bestaande kanalen 1.

Rapportagemomenten als onderdeel van P&C cyclus middels uitbreiding paragraaf in Paragraaf Bedrijfsvoering. Gebaseerd op normenkader is BIO/NIS2

2.

AVG via FG (via jaarverslag)

3.

ENSIA: regulier (weekbericht)

24

Status Aanvalsplan Samenvatting Bestuurlijke principes en beleid, organisatie van de beveiliging en naleving

Toelichting op uitkomsten:

Het bestuur van deze gemeente: • Volgt het beleid van de IBD • Zorgt ervoor dat de juiste informatiebeveiliging door de gemeentelijke organisatie wordt uitgevoerd • Controleert de juiste werking van de informatiebeveiliging

1. OVERALL

2. FYSIEK

3. MENS

4. ORGANISATIE

5. TECHNIEK

Tijdslijn en kostenoverzicht

Tijdslijn: huidige situatie

27

Tijdslijn: 31-12-2027 op niveau 4

28

Kostenoverzicht: extra middelen noodzakelijk Uitgangspunt: Informatieveiligheid is regulier werk en daarmee onderdeel overhead

29

1.

Om ambitie te realiseren en niveau te behouden zijn extra middelen noodzakelijk

2.

Structureel en incidenteel

3.

Kosten zijn opgenomen in kadernota 2026 - 100k structureel - 50k incidenteel voor 2026 en 2027

Toekomstige ontwikkelingen

Trends 205-2030 De komende jaren zijn er diverse belangrijke trends en risico’s op het gebied van informatieveiligheid waar organisaties in Nederland rekening mee moeten houden. Hier zijn de meest opvallende ontwikkelingen voor de periode 2025–2030: ​ Belangrijke trends en risico’s 1. 2. 3. 4. 5. 6.

AI Supply Chain Security Aanvallen via leveranciers en partners nemen toe. Menselijke fouten blijven een zwakke schakel. Nieuwe wet- en regelgeving zoals de EU AI Act Ransomware blijft een topbedreiging

VNG regio / NL, Nederland volgen.

We staan altijd twee nu achter.

31

Trends 2025-2030 De komende jaren zijn er diverse belangrijke trends en risico’s op het gebied van informatieveiligheid waar organisaties in Nederland rekening mee moeten houden. Hier zijn de meest opvallende ontwikkelingen voor de periode 2025–2030: ​ Belangrijke trends en risico’s 1. 2. 3. 4. 5. 6.

32

AI Supply Chain Security Aanvallen via leveranciers en partners nemen toe. Menselijke fouten blijven een zwakke schakel. Nieuwe wet- en regelgeving zoals de EU AI Act Ransomware blijft een topbedreiging

33

Afsluiting / Resumé