Bestuurlijke verantwoordingsrapportage ENSIA 2023

Rapportage ENSIA 2023 voor de gemeenteraad

Leeswijzer Deze rapportage is opgesteld op basis van de zelfevaluatie ENSIA 2023 en is als volgt opgebouwd: STATUS INFORMATIEBEVEILIGING (BIO) • Bestuurlijke uitgangspunten • Samenvatting van 5 hoofdstukken (consolidatie van 18 BIO hoofdstukken) VERANTWOORDING AAN HET RIJK UIT ENSIA • Getoetste collegeverklaring ENSIA – DigiD • Getoetste collegeverklaring ENSIA – Suwinet • Status Basisregistratie Personen en Reisdocumenten • Status GEO basisregistraties (BAG, BGT, BRO) De maatregelen zijn beknopt opgenomen. Voor de exacte strekking raadpleegt u ENSIA (zelfevaluatie BIO) of de BIO.

Er is uitgegaan van een schaal met 3 categorieën: Groen, oranje en rood. Per consolidatie (set van BIO hoofdstukken) wordt een totaalscore weergegeven in dezelfde 3 categorieën. Deze totaalscore per consolidatie is gelijk aan de laagst behaalde score bij een hoofdstuk in een consolidatie. De overall score van de gemeente betreft een gemiddelde van de consolidaties. Bij de samengevatte 5 hoofdstukken zijn twee teksten met toelichting opgenomen: a. Puntsgewijze toelichting b. Uitgeschreven toelichting Er zijn bestuurlijke uitgangspunten opgenomen in de overzichtspagina. Deze kennen geen score. PS: Deze rapportage is ter ondersteuning van de verantwoording aan de gemeenteraad. Deze is vormvrij. U kunt deze rapportage aanpassen aan de lokale wensen.

Bouwstenen: 184 maatregelen Consolidatie BIO-maatregelen

1. BELEID EN ORGANISATIE

2. PERSONEEL EN TOEGANG

3. CONTINUÏTEIT EN INCIDENTEN

(23 maatregelen)

(55 maatregelen)

(20 maatregelen)

• H5: Informatiebeveiligingsbeleid (2)

• H7 :Veilig personeel (8)

• H16: Beheer van

• H6: Organiseren van

• H9 : Toegangsbeveiliging (27)

informatiebeveiligingsincidenten (14)

• H11 : Fysieke beveiliging en

• H17: Informatiebeveiligingsaspecten

informatiebeveiliging (11)

• H18: Naleving (10)

beveiliging van de omgeving (20)

van bedrijfscontinuïteitsbeheer (6)

4. INFORMATIESYSTEMEN

5. DATABESCHERMING

(55 maatregelen)

(31 maatregelen)

• H12: Beveiliging bedrijfsvoering (30)

• H8: Beheer van bedrijfsmiddelen (14)

• H14: Acquisitie, ontwikkeling en

• H10: Cryptografie (4)

onderhoud van informatiesystemen (13)

• H15: Leveranciersrelaties (12)

• H13: Communicatiebeveiliging (13)

Bouwstenen

Beschrijving voor consolidatie Bestuurlijke principes en beleid, organisatie van de beveiliging en naleving

1. BELEID EN ORGANISATIE H5 / H6 / H18

2. PERSONEEL EN TOEGANG H7 / H9 / H11

Actueel beleid en organisatie van

Juiste toegang voor medewerkers tot

Het bestuur van deze gemeente:

informatiebeveiliging en controle op

gebouwen, systemen en gegevens

• Volgt het beleid van de

naleving

• Voor, tijdens en na het dienstverband is

informatiebeveiligingsdienst gemeenten (IBD)

• Bestuur, directie en management laten zien dat informatiebeveiliging belangrijk is

• Zorgt ervoor dat de juiste activiteiten ten aanzien van informatiebeveiliging door de gemeentelijke organisatie worden uitgevoerd

• Controleert de juiste werking van de informatiebeveiliging

• De informatiebeveiligingsorganisatie is geregeld

alles goed geregeld

• Medewerkers gaan bewust om met informatie

• Medewerkers hebben juiste toegangsrechten (fysiek en digitaal)

• Waar, wanneer houden we ons aan onze afspraken en leven we de wet- en

Alleen de juiste personen hebben toegang

regelgeving na

tot de gebouwen, systemen en gegevens

Het bestuur en medewerkers zijn actief

van de gemeente. Er zijn passende

betrokken bij informatiebeveiliging. Er is

organisatorische en technische maatregelen

een organisatiebreed beleid dat richting en

getroffen. Dit gaat om waarborgen rondom

sturing geeft. De organisatie is effectief

in- en externe medewerkers, toegang tot

ingericht, waarbij rollen, taken en

gebouwen en omgeving en toegang tot de

bevoegdheden zijn ondergebracht.

(digitale) informatievoorziening.

Verantwoording is structureel ingericht, zodat naleving is geborgd.

Bouwstenen

Beschrijving voor consolidatie 3. CONTINUÏTEIT EN INCIDENTEN H16 / H17

4. INFORMATIESYSTEMEN H12 / H14 / H15

5. DATABESCHERMING H8 / H10 / H13

Veilige omgang met

Veilige omgang met data in onze

Zorgen voor de continuïteit van onze

informatiesystemen en afspraken

software

dienstverlening en opvolging van

hierover met onze leveranciers

• Data wordt op de juiste manier

incidenten

• Wijzigingen in systemen worden op een

• Wij komen onze afspraken met de burger na

• Bij calamiteiten en incidenten weten we wat we moeten doen

• Continuïteitsplannen zijn actueel en worden getest

gecontroleerde manier doorgevoerd

beschermd

• De gegevens van de burgers worden

• We zijn beschermd tegen malware

veilig opgeslagen en gecommuniceerd.

• Back-ups worden volgens beleid

Binnen en buiten de gemeente

uitgevoerd en getest

• De afspraken met leveranciers zijn vastgelegd

• Incidenten worden altijd gemeld Informatiesystemen zijn een keten van De diensten van de gemeente worden

mensen, processen en middelen. Hierin zijn

geleverd volgens de afspraken die de

procedures en maatregelen beschikbaar ter

gemeente daarover maakt met de burger

bescherming van de omgeving. Het gaat

en bedrijven. Ook bij incidenten worden de

hierbij om zowel de interne als de externe

diensten geleverd volgens deze afspraken.

informatiesystemen (uitbesteding, leveranciers en cloud-toepassingen).

Status informatiebeveiliging BIO BESTUURLIJKE UITGANGSPUNTEN Bestuurlijke principes en beleid, organisatie van de beveiliging en naleving. Het bestuur van deze gemeente:

De overall score uit de ENSIA zelfevaluatie 2022 bedraagt “Voldoende”. Ten opzichte van vorige jaren is er een verbetering te zien op verschillende onderwerpen en deze verbeterslag wordt naar verwachting doorgezet in de komende jaren. Per consolidatie worden de actiepunten en risico’s passend bij de bevindingen nader uitgewerkt. 1. BELEID EN ORGANISATIE Actueel beleid en organisatie van informatiebeveiliging en controle op naleving

• Volgt het beleid van de IBD

• Zorgt ervoor dat de

2. PERSONEEL EN TOEGANG Juiste toegang voor medewerkers tot gebouwen, systemen en gegevens

juiste informatiebeveiliging door de

3. CONTINUÏTEIT EN INCIDENTEN

gemeentelijke

Zorgen voor de continuïteit van onze dienstverlening en opvolging van incidenten

organisatie wordt uitgevoerd

• Controleert de juiste werking van de

4. INFORMATIESYSTEMEN Veilige omgang met informatiesystemen en afspraken hierover met onze leveranciers

informatiebeveiliging

5. DATABESCHERMING Veilige omgang met data in onze software

Status: Status: Goedgoed

1. BELEID EN ORGANISATIE Actueel beleid en organisatie van informatiebeveiliging en controle op naleving • Bestuur, directie en management laten zien dat informatiebeveiliging belangrijk is • De informatiebeveiligingsorganisatie is geregeld • Waar, wanneer en hoe: altijd werken wij veilig • Wij houden ons aan onze afspraken en leven de wet- en regelgeving na Onderdelen:

onvoldoende

voldoende

goed

H5 - Informatiebeveiligingsbeleid H6 - Organiseren van informatiebeveiliging H18 - Naleving Status: voldoende

3. CONTINUÏTEIT EN INCIDENTEN

Status: Status: voldoende voldoende

Zorgen voor de continuïteit van onze dienstverlening en het opvolgen van incidenten

Onderdelen:

onvoldoende

voldoende

goed

H16 - Beheer van beveiligingsincidenten H17 - Bedrijfscontinuïteitsbeheer & informatiebeveiliging Status: onvoldoende

5. DATABESCHERMING

Status: goed

Veilige omgang met data in onze software

Onderdelen: H8 - Beheer van bedrijfsmiddelen H10 - Cryptografie H13 - Communicatiebeveiliging

onvoldoende

voldoende

in control

Getoetste collegeverklaring ENSIA - DIGID

Status: goed

Van onze ENSIA-zelfevaluatie worden jaarlijks twee onderdelen geaudit door een IT-auditor: DigiD en Suwinet. De basis voor de audit vormt de collegeverklaring. Hierin zijn de uitkomsten van de ENSIA-zelfevaluatie opgenomen. Er wordt getoetst op opzet en bestaan (niet op werking). Voor DigiD worden de collegeverklaring en bijlagen als verantwoording verzonden naar toezichthouder Logius/BZK. DigiD: DigiD is een authenticatiemiddel dat wordt ingezet voor onze digitale dienstverlening.

Niet voldaan iBurgerzaken 1001553

Het genereren van aanvragen voor publieksdiensten op het vlak van persoonsgegevens (BRP) en burgerlijke stand.

Met betrekking tot de DigiD aansluiting iBurgerzaken zijn er geen bevindingen welke aandacht nodig hebben.

voldaan

Getoetste collegeverklaring ENSIA - Suwinet

Status: goed

Van onze ENSIA-zelfevaluatie worden jaarlijks twee onderdelen geaudit door een IT-auditor: DigiD en Suwinet. De basis voor de audit vormt de collegeverklaring. Hierin zijn de uitkomsten van de ENSIA-zelfevaluatie opgenomen. Er wordt getoetst op opzet en bestaan (niet op werking). Voor Suwinet worden de collegeverklaring en bijlagen als verantwoording verzonden naar toezichthouder BKWI/SZW. SUWI (Wet Structuur Uitvoeringsorganisatie Werk en Inkomen): Suwinet is een digitale infrastructuur die is ontwikkeld door de Suwi-partijen (UWV, SVB en gemeenten) om ervoor te zorgen dat zij gegevens met elkaar kunnen uitwisselen voor de uitoefening van hun wettelijke taak. Er worden alleen gegevens uitgewisseld waar een wettelijke grondslag voor is. Wij gebruiken Suwinet voor de uitvoering van de Participatiewet, de uitvoering van de IOAZ en IOAW, raadplegen van adresgegevens bij Burgerzaken en het raadplegen van gegevens door gemeentelijk gerechtsdeurwaarders wanneer er een getekend dwangbevel is. Niet voldaan Participatiewet/IOAZ/IOAW - Suwinet Inkijk

De verantwoordelijkhied over Suwinet-inkijk ligt bij Senzer. Senzer heeft via een TPM aangetoond volledig compliant te zijn aan de BIO.

Er zijn geen verbeteracties nodig op de Suwinet-inkijk.

voldaan

Status Basisregistratie Personen en Reisdocumenten

Status: voldoende

Van onze zelfevaluatie ENSIA wordt de verantwoording over de Basisregistratie Personen (BRP) en de wet- en regelgeving voor de Reisdocumenten (paspoorten en ID-kaarten) afgeleid. De uitkomsten worden verzonden aan de Rijksdienst voor de Identiteitsgegevens (RvIG). De zelfevaluatie voor informatiebeveiliging vindt via de ENSIA systematiek plaats. De verantwoording over de kwaliteit van de registraties komt voort uit de zelfevaluatie in de Kwaliteitsmonitor.

0% - 80%

De zelfevaluaties over informatiebeveiliging en de kwaliteit leiden tot scores. Gemeenten worden binnen ENSIA geacht de volgende score te behalen voor: • BRP 1200 punten = 100% • Reisdocumenten 1200 punten = 100%

Basisregistratie Personen (BRP) De zelfevaluatie BRP over het jaar 2023 is afgerond met een score van 1080 van maximaal 1200 zijnde 90 % Wet- en regelgeving voor Reisdocumenten De zelfevaluatie Reisdocumenten over het jaar 2023 is afgerond met een score 1090 van maximaal 1200 zijnde 90 %

80% - 95% 95% - 100%

Status GEO-basisregistraties Wij verantwoorden ons aan het ministerie van BZK/Directoraat Generaal Bestuur, Ruimte en Wonen (DGBRW) over drie basisregistraties in het geografische domein. De rapportages zijn tot stand gekomen op basis van door ons uitgevoerde zelfevaluaties. De zelfevaluaties betreffen de kwaliteit van de registraties (geen informatiebeveiliging). De zelfevaluaties over informatiebeveiliging en de kwaliteit leiden tot scores. Gemeenten worden geacht de volgende score te behalen voor: • Basisregistratie Adressen en Gebouwen (BAG) 75 % • Basisregistratie Grootschalige Topografie (BGT) 75% • Basisregistratie Ondergrond (BRO) 60%

Status: Onvoldoende

Onder norm 75%/60%

Boven norm 75%/60%

Basisregistratie Adressen en Gebouwen (BAG) De zelfevaluatie BAG over het jaar 2023 is afgerond met een score 85 % Basisregistratie Grootschalige Topografie (BGT) De zelfevaluatie BGT over het jaar 2023 is afgerond met een score 90 % Basisregistratie Ondergrond (BRO) De zelfevaluatie BRO over het jaar 2023 is afgerond met een score 42 % De lage score voor BRO zit in de organisatie en proces, waarbij met name aandacht nodig is voor het aanpassen van contracten met aannemers.