2. Bijlage 1 PBLQ Bestuurlijk rapport Digitale Veiligheid in Soest

Ook in functionerings- of beoordelingsgesprekken is digitale veiligheid geen onderwerp van gesprek. Uit gevoerde gesprekken blijkt dat het management een afwachtende houding heeft ten aanzien van het onderwerp. Medewerkers geven aan dat ze voor informatie afhankelijk zijn van berichten die op het intranet geplaatst worden. Maar in de drukte van alledag worden deze berichten weinig gelezen. Als er dan toch wat tijd is, dan is het bericht alweer uit het startscherm verdwenen en wordt het vaak vergeten. Het voeren van het goede gesprek over digitale veiligheid wordt gemist door de medewerkers uit de focusgroep. Door voorbeelden of casuïstiek te bespreken zou het onderwerp veel meer gaan leven en wordt ook een handelingsperspectief gecreëerd. Nu ontbreekt dat en daardoor is ook maar beperkt zicht op de risico’s en hoe hiermee om te gaan. Eén van de medewerkers gaf aan het stripboek over pagina 19/29

17 maart 2025

007698 PBLQ Bestuurlijk rapport Digitale Veiligheid in Soest

Bestuurlijk rapport

privacy min of meer toevallig gelezen te hebben. Juist het gesprek over de betekenis hiervan voor de dagelijkse praktijk zou meerwaarde hebben gehad. Wel geven medewerkers aan dat zij incidenteel een mail krijgen of een bericht op het intranet over digitale veiligheid voorbij zien komen. Hier wordt over het algemeen weinig aandacht aan besteed. Dat komt niet alleen door drukte, maar ook omdat teksten, vanwege technisch of juridisch jargon, lastig leesbaar zijn.

6.2

Over de raadsbijeenkomst

Na een korte introductie over de status van het rekenkameronderzoek, zijn de aanwezige raadsleden in kleine groepjes uiteen gegaan om een casus te bespreken. Deze casus speelde zich af in een fictieve gemeente die vergelijkbaar was met Soest. Na deze casus hebben we plenair het gesprek gevoerd over de wijze waarop de raad de controlerende en kaderstellende rol ten aanzien van digitale veiligheid vervult. Ook is er gesproken over mogelijke verbeteringen van de invulling van deze rol. Raadsleden hebben een wisselend kennisniveau als het gaat om digitalisering en digitale veiligheid. Een aantal raadsleden is goed geïnformeerd, zij werken in de IT sector en uitten aanvankelijk de wens om gedetailleerde informatie te ontvangen over applicaties en het risicobeheer daarvan. Het merendeel van de aanwezige raadsleden vond dit geen goed idee. Zij beschikten over weinig tot geen inhoudelijke IT kennis en waren van mening dat je als raadslid niet op de stoel van de ambtenaar of wethouder moest gaan zitten. Wel waren zij van mening dat de raad op dit moment onvoldoende in stelling werd gebracht op het thema digitale veiligheid. Als er een raadsbesluit gevraagd werd, had men niet het idee dat er een keuze voorlag. Als er een extra investering wordt gevraagd, kan je alleen maar ja zeggen omdat je de consequenties niet kan overzien, zo gaven meerdere raadsleden aan.

Een van de aanwezigen gaf aan dat hij als contactpersoon vanuit de raad betrokken was bij de RID. Nu de samenwerking met de RID op een nieuwe leest geschoeid werd, was er ook een wens om de raden van de aangesloten gemeenten beter te betrekken. Het raadslid stond positief tegenover deze ontwikkeling, maar gaf aan dat informatie hem te laat bereikte om zijn rol als contactpersoon goed in te vullen. Over de frequentie waarmee de raad geïnformeerd zou moeten worden, is enige tijd doorgesproken. Uiteindelijk zou één tot twee keer per jaar voldoende moeten zijn, zo dacht het merendeel van de raadsleden. Wel moest dan de informatie in begrijpelijke taal gepresenteerd worden, zodat de raad in voorkomende gevallen beter gefundeerde besluiten zou kunnen nemen. Er is ook gesproken over de inhoud van de raadsinformatie. Raadsleden gaven aan dat meer gemeenteraden in het land tegen dit vraagstuk aan moesten lopen. Zij vroegen zich af of er geen normenkader bestond dat dienst kon doen als stuurinformatie. In dit verband kwam de BIO en de ontwikkeling van de BIO2 als verplichte norm ter sprake. Raadsleden wisten niet of en in welke mate de gemeente Soest aan de BIO normen voldeed. Wel zagen zij in de BIO aanknopingspunten om besluitvorming in de raad te onderbouwen en raadsinformatie te verstrekken.

6.3

Beantwoording van de laatste onderzoeksvragen

Na deze beschrijving van de uitkomsten van de focusgroepen en de raadsbijeenkomst kunnen ook de laatste twee onderzoeksvragen beantwoord worden. pagina 20/29

17 maart 2025

007698 PBLQ Bestuurlijk rapport Digitale Veiligheid in Soest

Bestuurlijk rapport

Wat is de rol van de gemeenteraad bij Informatieveiligheidsbeleid en zijn de verantwoordelijkheden tussen raad – college – ambtelijke organisatie – RID duidelijk vastgelegd, geïmplementeerd en effectief ingericht gezien actuele maatstaven? De rol van de gemeenteraad van Soest bij het informatieveiligheidsbeleid is marginaal. De raad wordt via de P&C cyclus en raadsinformatiebrieven geïnformeerd, maar raadsleden vinden dat zij onvoldoende in stelling zijn gebracht om hun kaderstellende en controlerende rol te vervullen. Verantwoordelijkheden in de ambtelijke organisatie zijn onvoldoende vastgelegd; aangegeven wordt dat de gemeente beschikt over een kleine en informeel georganiseerd ambtelijke organisatie. Toch geven medewerkers aan dat direct betrokkenen bij het informatieveiligheidsbeleid onvoldoende zichtbaar zijn in de organisatie. De taakverdeling tussen het RID en de ambtelijke organisatie wordt duidelijk vastgelegd in een nieuwe Dienstverleningsovereenkomst (DVO) met onderliggende producten- en dienstencatalogus. Deze documenten moeten nog ondertekend worden namens de gemeente en de RID, maar zijn in concept gereed. Wat is de cultuur in de gemeente ten aanzien van informatiebeveiliging en de digitale weerbaarheid van de gemeenten? Er heerst een open cultuur waarin het maken van fouten niet wordt afgestraft.

Ambtenaren weten voorbeeld wat ze moeten doen in het geval van een datalek. Informatiebeveiliging wordt in de beleids- en uitvoerende teams niet als kerntaak gezien. Digitalisering is er vooral ter ondersteuning van de primaire werkprocessen en beveiligingsmaatregelen worden vooral gezien als noodzakelijk kwaad, zeker als dit in de overvolle agenda om een tijdsinvestering vraagt.

pagina 21/29

17 maart 2025

007698 PBLQ Bestuurlijk rapport Digitale Veiligheid in Soest

Bestuurlijk rapport

Bijlage A

Geïnterviewde personen

Functie

Organisatie

Wethouder ICT & informatiebeleid

Gemeente Soest

Strategisch adviseur informatiebeleid

Gemeente Soest

ICT-regisseur

Gemeente Soest

CISO

Gemeente Soest

TISO

RID

Teamleder advies en dienstverlening

Gemeente Soest

Privacy Officer

Gemeente Soest

Functionaris Gegevensbescherming

Gemeente Soest

Teammanager Diensten

RID

Gemeentesecretaris

Gemeente Soest

Manager bedrijfsvoering

Gemeente Soest

Daarnaast is gesproken met verschillende medewerkers uit het sociaal en fysiek domein.

pagina 22/29

17 maart 2025

007698 PBLQ Bestuurlijk rapport Digitale Veiligheid in Soest

Bestuurlijk rapport

Bijlage B

Bestudeerde documentatie

Documentnaam

Versie

Datum

Super PO

1.0

01-12-2023

Rapportage zelfevaluatie informatiebeveiliging 2023

2023

Actieplan digitaal werken

14-09-2022

Algemeen privacybeleid

3.0

08-04-2024

Beleid rechten van betrokkenen

1.0

28-12-2023

Crisisstructuur cyberincidenten

0.4

13-05-2024

DPIA bodycams

1.0

07-05-2021

DPIA raamwerk

1.1

25-02-2022

DPIA vroegsignalering schulden

3.0

28-05-2021

DPIA i-Navigator

1.01

15-11-2021

ENSIA rapportage 2023

1.0

18-14-2024

Terugkoppeling Cybercrisisoefening

1.0

Strategisch Informatiebeveiliging- en privacybeleid

0.1

ICT-crisiscommunicatieplan

1.0

17-04-2024

Organogram gemeente Soest

01-2023

Procedure melden van datalekken

13-05-2024

Procedure meldplicht datalekken & informatiebeveiligingsincidenten

08-12-2021

Processtappen voor het opstellen van een verwerkersovereenkomst SOO

1.0

Beheerplan i-Bewustzijn

1.0

Sturen op weerbaarheid Uitvoeren van uitwijktest voor BRP & Suite

12-10-2023

Verslag uitwijktest Key2Burgerzaken en Suite voor Sociaal Domein

21-10-2023

pagina 23/29

17 maart 2025

007698 PBLQ Bestuurlijk rapport Digitale Veiligheid in Soest

Bestuurlijk rapport

Bijlage C Nummer

Stoplichtrapportage normenkader

Norm

Normen ten aanzien van het gemeentelijk beleid 1 De gemeente heeft informatiebeveiligingsbeleid dat voldoet aan de norm ‘Baseline Informatieveiligheid Overheid (BIO)’

2

De algemene uitgangspunten en kaders zijn besproken in en vastgelegd door de gemeenteraad

3

In het beleid wordt o.a. ingegaan op: • Strategische uitgangspunten • Risicomanagement • Governance (waaronder rollen en verantwoordelijkheden) • De PDCA-cyclus van de gemeente In (voortgangs)rapportages wordt ingegaan op informatiebeveiliging

4

5

In programma’s en projecten wordt expliciet aandacht besteed aan informatiebeveiliging

6

Er is een procedure hoe wordt omgegaan met informatiebeveiligingsincidenten (waaronder cyberaanvallen) en een crisisprotocol

pagina 24/29

17 maart 2025

Kleur stoplicht

007698 PBLQ Bestuurlijk rapport Digitale Veiligheid in Soest

Bestuurlijk rapport

7

De gemeente heeft beleid voor informatiebeveiliging ten aanzien van samenwerkingspartners, gemeenschappelijke regelingen en leveranciers

Normen ten aanzien van de Uitvoeringspraktijk 8

In de praktijk wordt gehandeld conform de wijze waarop informatie wordt beveiligd, waaronder in de relevante werkprocessen, de toewijzing van verantwoordelijkheden, de inrichting van informatiesystemen, de autorisaties, de afspraken voor de verwerking van gegevens en de afspraken over het informeren van burgers en het vragen van toestemming

9

De gemeente heeft een leer- en verbetercyclus (PDCA-cyclus).

10

De gemeente heeft inzicht in de belangrijkste verbeterplannen en –maatregelen

11

Er wordt in het geval van incidenten, calamiteiten en crisis volgens de vastgelegde procedures gehandeld

12

De vastgelegde controles en rapportages worden in de praktijk uitgevoerd

pagina 25/29

17 maart 2025

007698 PBLQ Bestuurlijk rapport Digitale Veiligheid in Soest

Bestuurlijk rapport

13

De gemeente test en toetst procedures regelmatig om de effectiviteit en werking te toetsen

14

De gemeente houdt toezicht op de afspraken ten aanzien van informatiebeveiliging met (samenwerkings)partners, regelingen en leveranciers

15

De raad wordt geïnformeerd op een manier die hem in staat stelt te sturen en te controleren

Normen ten aanzien van de organisatiecultuur 16 De medewerkers van de gemeente zijn bekend met het gemeentelijk beleid met betrekking tot informatiebeveiliging en worden van aanpassingen op de hoogte gehouden

17

In hun dagelijks functioneren geven de medewerkers er blijk van het gemeentelijk informatiebeveiligingsbeleid na te leven

18

de relatie met ketenpartners bewaken de medewerkers actief dat deze ketenpartners zich conformeren aan de regels, standaarden en procedures van de gemeente op het gebied van informatiebeveiliging

pagina 26/29

17 maart 2025

007698 PBLQ Bestuurlijk rapport Digitale Veiligheid in Soest

Bestuurlijk rapport

Bijlage D

pagina 27/29

Reactie college van B&W

17 maart 2025

007698 PBLQ Bestuurlijk rapport Digitale Veiligheid in Soest

Bestuurlijk rapport

pagina 28/29

17 maart 2025

007698 PBLQ Bestuurlijk rapport Digitale Veiligheid in Soest

Bestuurlijk rapport

pagina 29/29

17 maart 2025

007698 PBLQ Bestuurlijk rapport Digitale Veiligheid in Soest