Bestuurlijke reactie conceptrapport 'Rekenkameronderzoek Informatiebeveiliging Steenwijkerland'

Ti Steenwijkerland Rekenkamer MSSW Postbus 62 833OAB STEENWIJK Steenwiik, 77 Íebruari2026 Onderwerp Bestuurlijke reactie conceptraPPort'Rekenkameronderzoek Inf ormatiebeveiliging Steenwijkerland'. ons kenmerk 2026-001409 behandeld doot Jilke Marinus uw kenmerk bijlagen Geachte rekenkamer Wij hebben kennisgenomen van het conceptrapport Rekenkameronderzoek Informatiebeveiliging Steenwijkerland. Wij danken u voor het uitgevoerde onderzoek en de onderhavige rapportage. In deze bestuurlijke reactie gaan we in op het overall-beeld dat u schetst van de informatiebeveiliging in onze organisatie. Daamaast gaan we in op de set van aanbevelingen die u ons meegeeft, waarbij we ons focussen op de aanbevelingen die naar onze mening om een bestuurlijke reactie vragen. Het verheugt ons te lezen dat de rekenkamer constateert dat Steenwijkerland beschikt over een goed doordachte en verankerde strategie ten aanzien van informatiebeveiliging, die breed wordt ondersteund door medewerkers en management. De aangegeven bevindingen geven een beeld van een organisatie die continu werkt aan verbetering en groei binnen een al hoog volwassenheidsniveau van informatieveiligheid.

Voor het merendeel van de 27 aanbevelingen die u ons meegeeft (zie ook de biilage) geldt dat deze passen binnen de autonome ontwikkelingen op het gebied van informatiebeveiliging bij onze gemeente, zoals voorzien bij de inwerkingtreding van de Cyberbeveiligingswet (2de kwartaal2026) en de Baseline Informatiebeveiliging Overheid (BIO2). Deze aanbevelingen zullen hun plaats krijgen in het nog op te stellen jaarplan 'Privacy, informatiebeveiliging en- beheer 2026'. Hierbij zal in het bijzonder aandacht worden besteed aan het aanscherpen en aantoonbaar maken van het risicobeheer en de cloudafhankelijkheid (vendor lock-in), iets wat vooral in de huidige tijd van toenemende geopolitieke spanningen toenemende zorgvar. onze kant vereist. Op uw aanbeveling om een herkenbaar registratie- en badgesysteem voor zowel bezoekers als medewerkers in te voeren en zichtbare toegangspasjes te gaan dragery geven we u mee dat onze organisatie beschikt over een sluitend toegangssysteem met druppelregistratie- Om de bewustwording van medewerkers op het gebied van'meelopen' door ongeautoriseerde bezoekers te vergroten wordt jaarlijks een'Mystery guest' onderzoek uitgevoerd. Bij de evaluatie van dit Adresgegevens Postbus 162,8330 AD Steenwijk . Vendelwe8 1 steenwìik . telefoon 1'4052"1 ' e-mail info@steenwijkerland.nl . www.steenwijkerland.nl .

bankrekeningnummer NL19 BNGH 0285 0924 21 ' ':iiq'; ,','":' : ¡ i ;' :': r"; : ':' :

onderzoek wordt meegenomen of het zichtbaar dragen van een toegangspas/ herkenbaar legitimatiemiddel of het introduceren van een strengere toegangscontrole zal leiden tot een significante verbetering van de toegangsbeveiliging. Tot slot willen we reageren op uw aanbeveling om de afspraken over de uitwijklocatie te herzien. De afspraken op het gebied van het gebruik en beheer van lokale datacenter en de uitwijklocatie in Meppel zijn juist recent in 2025 ambtelijk herbevestigd. Daarbij zijn tevens verkennende gespreken gevoerd voor het, op korte termijn opheffen/uitfaseren van deze locaties. Dit mede als gevolg van technische aanpassingen binnen de IT-infrastructuur van zowel de gemeente Steenwiikerland als gemeente Meppel. Door deze technische aanpassingen zal een fysieke'achtervang' op een uitwijklocalie bij de gemeente Meppel niet meer noodzakelijk zijn. Wij vertrouwen erop u hiermee voldoende te hebben geÏnformeerd. Met vriendelijk groet Steenwijkerland de H.K. de tPagina 2van2 Steenwijkerland

Bijlage bestuurlijke reactie op aanbevelingen per categorie Rekenkameronderzoek Informatiebeveiliging Steenwijkerland. Categorie Wiize waarop aanbevelingen al geïmplementeerd of worden Organisatorisch Exteme crisisondersteuning is opgenomen in een aanbesteding waarin het veilig delen van gevoelige informatie inmiddels is geborgd. Het inrichten van een risico acceptatieproces en risicoregister, een registratiesysteem voor incidenten en gelijke beveiliging van C;oud- en lokale lT-omgeving zijn autonome ontwikkelingen die bij de implementatie vanuit de cyberbeveiligingswet (Cbw) worden meegenomen. Het informatiebeveiligingsbeleid wordt doorlopend geactualiseerd, waarbij in 2026 de verdere borging van de ClSO-functie en het FG-handvest wordt opqenomen. Mensgericht we communiceren over digitale handelingen van medewerkers om veilig en bewust digitaal werken te stimuleren, versterken de bewustwordingsinitiatieven zoals Sir Askalot en gebruiken in trainingen een eenduidige format voor de informatie- en Fysiek Ongeautoriseerde meelopers blijven een aandachtspunt, en het bijbehorende risico wordt iaarliiks beoordeeld en aangescherpt waar nodig. Technologisch De aanbesteding voor de software en dienstverlening waarmee de lT-omgeving 2417 wordtgemonitord bevindt zich in de afrondende fase.

Implementatie vindt plaats in de eerste helft van 2026.Met deze voorziening wordt de detectie van afwijkingen en incidenten aanzienlijk verbeterd en kan sneller en effectiever worden gereageerd, waarmee een belangrijke aanbeveling uit het onderzoek wordt opgevolgd. Het uitwijkdatacenter wordt in 2026 verplaatst van het gemeentehuis van Meppel naar de gemeentewerf van Steenwijkerland. Daarmee komt de uitwijkvoorziening volledig onder eigen beheer. tn hetzelfde jaar verwijdert de gemeente Meppel alle uitwijkvoorzieningen uit het gemeentehuis van steenwijkerland. Deze wljzig¡ng versterkt de fysieke en organisatorische beheersbaarheid van de uitwijkvoorziening. Tot slot blijven we aandacht houden voor de afhankelijkheid van onze (Cloud)leveranciers. Afhankelijkheid is hierin niet helemaal te voorkomen. Door aandacht te houden voor slimme scheidingen tussen systemen is de afhankelijkheid echter wel enigszins te beperken en blijft de wendbaarheid van de lT-omgeving geborgd. T Steenwijkerland