1. Raadsvoorstel Rapport Digitale Veiligheid in Soest

Portefeuillehouder: Rob Metz

Voorgesteld raadsbesluit 1. De conclusies uit het rapport 'Digitale veiligheid van Soest, van moetje naar must' vast te stellen; 2. De aanbevelingen uit het rapport Digitale veiligheid van Soest,

Zaaknummer: 1129294

van moetje naar must' als volgt over te nemen; •

Investeer in een robuuste digitale veiligheidsorganisatie;

•

Stel op basis van het strategisch beleid een 'aanvalsplan'

Onderwerp: Rapport Digitale Veiligheid Rekenkamer Soest

digitale veiligheid op dat erop gericht is om aan de wettelijke verplichtingen te voldoen; •

Openbaar Is geheimhouding aan de orde? Nee

Vraag het college van B en W in samenwerking met u, als gemeenteraad, een rapportage op te stellen gebaseerd op gangbare normenkaders, risico's en kosten.

3. Het college van B en W te verzoeken om binnen drie maanden na het raadsbesluit te rapporteren aan de gemeenteraad over de aanpak of implementatie van de overgenomen aanbevelingen.

Samenvatting De Rekenkamer heeft onderzoek gedaan naar de digitale veiligheid van de gemeente Soest. Op grond van de Verordening op de Rekenkamer Soest dient de gemeenteraad te beslissen over welke aanbevelingen van de Rekenkamer worden overgenomen. Aanleiding Gezien de toegenomen cyberdreigingen, de toegenomen afhankelijkheid van digitalisering en de wettelijke verplichting voor gemeenten op het gebied van digitale veiligheid is het van belang dat de gemeenteraad zijn kaderstellende en controlerende rol op dit domein invult. Met het onderzoek 'Digitale veiligheid van Soest, van moetje naar must' is getracht hier een bijdrage aan te leveren. In dit onderzoek heeft de Rekenkamer Soest onderzocht of het informatieveiligheidsbeleid van de gemeente Soest doeltreffend is om cyberaanvallen zo veel mogelijk tegen te gaan en of de gemeentelijke organisatie voldoende is toegerust om bij een toch geheel of gedeeltelijk geslaagde cyberaanval effectief te handelen. 1.1 De hoofdvraag van het onderzoek wordt als volgt beantwoord door de Rekenkamer: • De gemeente heeft in 2024 een adequaat Strategisch Beleidsplan vastgesteld, maar er wordt onvoldoende conform dit plan gewerkt; •

De noodzaak wordt onderkend om te voldoen aan de wettelijke kaders die zijn aangegeven in de Europese NIS2 Richtlijn waardoor de gemeente moet groeien van volwassenheidsniveau 1 naar volwassenheidsniveau 4;

•

De gemeenteraad wordt op dit moment onvoldoende in staat gesteld om de sturende rol op dit dossier waar te maken;

•

De gemeente voldoet niet aan de Baseline Informatieveiligheid Overheden, waardoor de gemeente veiligheidsrisico's loopt;

•

Deze risico's kunnen leiden tot hacks met grote maatschappelijke en financiële gevolgen.

1.2 De aanbevelingen van de Rekenkamer Soest aan de gemeenteraad zijn: 1. Investeer in een robuuste digitale veiligheidsorganisatie; 2. Stel op basis van het strategisch beleid een 'aanvalsplan' Digitale Veiligheid op dat erop gericht is om aan de wettelijke verplichtingen te voldoen;

2

3. Vraag het college van B en W om in samenwerking met u, als gemeenteraad, een rapportage op te stellen gebaseerd op gangbare normenkaders, risico's en kosten. Op grond van de Verordening op de Rekenkamer Soest dient de gemeenteraad te beslissen over welke aanbevelingen van de Rekenkamer worden overgenomen. 1.3 Bestuurlijke reactie college van B en W In de bestuurlijke reactie geeft het college aan de conclusies grotendeels te herkennen. Het college brengt echter wel nuances aan bij deze conclusies. Het strategisch beleidsplan is in het najaar van 2024 vastgesteld, waardoor de uitwerking en uitvoering hiervan op dit moment door de organisatie verder wordt opgepakt. Daarnaast is er de afgelopen periode meer invulling gegeven aan de bewustwording van informatieveiligheid, door middel van vragen, trainingen en monitoring van het kennisniveau in relatie tot informatieveiligheid. Op de eerste aanbeveling van de Rekenkamer geeft het college aan momenteel te onderzoeken hoe de genoemde functies het beste kunnen worden ingevuld en dat er met betrokken partners kennis wordt uitgewisseld en instrumenten worden ontwikkeld. Op de tweede aanbeveling geeft het college aan op grond van de BIO-nulmeting en het strategische beleid vervolgstappen wil nemen om door te groeien naar volwassenheidsniveau 4. Op de derde aanbeveling geeft het college aan deze aanbeveling over te nemen.

1.4 Reactie Rekenkamer op reactie colllege In de aanbiedingsbrief geeft de Rekenkamer een reactie op de bestuurlijke reactie van het college van B en W. De Rekenkamer is van mening dat uit de reactie van het college op 'aanbeveling 1' weinig urgentie spreekt om op korte termijn daadwerkelijk veranderingen in gang te zetten. De eerste aanbeveling van de Rekenkamer is om te investeren in een robuuste digitale veiligheidsorganisatie waarin duidelijkheid komt over de rol en de taken van het lijnmanagement en er meer capaciteit nodig is van de CISO, de FG en de PO. De Rekenkamer wijst ook op de noodzaak van voldoende middelen voor deze versterking. Deze zijn nodig om aan het eigen reeds vastgestelde beleid van de gemeente te voldoen. De ambities zijn hoog. De reactie van het college is dat momenteel wordt onderzocht hoe de genoemde functies het beste kunnen worden ingevuld en dat er met betrokken partners kennis wordt uitgewisseld en instrumenten ontwikkeld. Het is de vraag of het college zich voldoende realiseert wat er nodig is om deze hoge ambities op korte termijn te halen. Uit de reactie van het college op 'aanbeveling 2' blijkt niet dat het college een dergelijk aanvalsplan wil opstellen. De Rekenkamer ziet het als een goede ambitie dat de gemeente wil doorgroeien naar volwassenheidsniveau 4.

Tegelijkertijd blijkt er beperkt besef dat een groei van het huidige volwassenheidsniveau 1 naar niveau 4 een zeer grote verandering van de gehele organisatie vergt en dat het niet realistisch is om deze op korte 3

termijn te realiseren zonder het drastisch opstarten en versnellen van de benodigde acties. Ook hierdoor ontstaat de vraag of het college zich voldoende realiseert wat er nodig is om haar hoge ambities werkelijk te halen. Ten slotte heeft de Rekenkamer vastgesteld dat het college de aanbeveling overneemt om een begrijpelijke rapportage met de raad te ontwikkelen. De Rekenkamer ziet hierin voor de raad een mogelijkheid om het college te vragen met een concreet plan te komen waarin het college duidelijk maakt hoe zij aan de wettelijke verplichtingen op het gebied van informatieveiligheid wil gaan voldoen. De controlerende en kaderstellende rol van de gemeenteraad is nu summier ingevuld. Met deze rapportage en dit plan wordt de raad beter in positie gezet om de sturende rol waar te maken. Beoogd resultaat Te beslissen over de conclusies en aanbevelingen van de Rekenkamer Soest naar aanleiding van het onderzoek 'Digitale veiligheid van Soest, van moetje naar must'. Argumenten Bij behandeling door de gemeenteraad kan worden aangegeven door de gemeenteraad welke aanbevelingen van de Rekenkamer worden overgenomen. Communicatie Er zal een persbericht worden opgesteld waar de aanbevelingen en behandeldatum in de gemeenteraad worden vermeld.

Wettelijke grondslag en/of kader: Verordening op de Rekenkamer Soest: Artikel 14 ‘De raad beslist welke aanbevelingen van de Rekenkamer worden overgenomen'. Ondertekening Soest, De gemeenteraad van Soest, De griffier,

de voorzitter,

Drs. M.A.C. van Esterik

R.T. Metz

4

5