Bijlage 1. Rapport-Digitale-Veiligheid-Stichtse-Vecht-1-

De toezichthouder kan beveiligingsaudits en –scans uitvoeren en informatie verzoeken die nodig is om de risicobeheersmaatregelen van de gemeente te beoordelen. Sancties richten zich tot de entiteit maar kunnen in een uiterst geval ook de individuele bestuurders raken. 70 67 Informatiebrochure Cyberbeveiligingswet (2024) NCSC. 68 Informatiebrochure Cyberbeveiligingswet (2024) NCSC. 69 Informatiebrochure Cyberbeveiligingswet (2024) NCSC. 70 Informatiebrochure Cyberbeveiligingswet (2024) NCSC.

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl Pagina 41 van 42 D. BEOORDELING NORMENKADER Bij aanvang van het onderzoek heeft de rekenkamer een normenkader vastgesteld. Hiervoor zijn de deelvragen als uitgangspunt g enomen. In onderstaande tabel geven wij per norm een beoordeling of de gemeente: • Geheel voldoet (GROEN) • Gedeeltelijk voldoet (ORANJE) • Niet voldoet (ROOD) Vraag / Norm Beoordeling 1 Wat doet de gemeente Stichtse Vecht op het gebied van informatieveiligheid? (proces/organisatie) De gemeente heeft BIO-conform informatiebeveiligingsbeleid. In het beleid wordt o.a. ingegaan op a) strategische uitgangspunten, b) risicomanagement, c) governance (waaronder rollen en verantwoordelijkheden) en de PDCA-cyclus van de gemeente. De gemeente heeft de maatregelen uit de zorgplicht ingeregeld (tien maatregelen). De gemeente heeft aanvullende maatregelen getroffen, onder andere op het gebied van bescherming van persoonsgegevens. Er is een risicoanalyse en beveiliging van de informatiesystemen. Er is beleid en procedures om de effectiviteit van beheersmaatregelen van cyberbeveiligingsrisico ’s te beoordelen.

De gemeente informeert belanghebbenden over datalekken en incidenten 2 Hoe bevordert de gemeente het bewust omgaan met informatie? (mens) De medewerkers van de gemeente zijn bekend met het gemeentelijk beleid met betrekking tot informatiebeveiliging. Ze krijgen i nformatie over wijzigingen. Er is sprake van cyberhygiëne en er worden trainingen aangeboden en gevolgd op het gebied van cyberbeveiliging De medewerkers gebruiken multi-factor-authenticatie, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen. In hun dagelijks functioneren geven de medewerkers er blijk van het gemeentelijk informatiebeveiligingsbeleid na te leven. De gemeente monitort actief op het naleven van veilig werken. De gemeente evalueert na informatiebeveiligingsincidenten en datalekken. 3 Zijn gegevens bij de gemeente goed beschermd tegen de toegang door onbevoegden? (techniek) Er zijn beveiligingsaspecten op het gebied van personeel, toegangsbeleid en beheer van assets. Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl Pagina 42 van 42 Er is beveiliging bij het verwerken, ontwikkelen en onderhouden van netwerk - en informatiesystemen, inclusief de respons op en bekendmaking van kwetsbaarheden.

De gemeente heeft een risico-afweging gemaakt bij de bescherming van de systemen, waarbij de gevolgen voor burgers en bedrijven in beeld zijn. De gemeente weet welke risico’s zij loopt en op de hoogte van mogelijke kwetsbaarheden. Daarover is een afweging gemaakt in relatie tot gevoelige informatie. De gemeente voert penetratietesten uit. Incidenten en onderzoeken op het gebied van informatiebeveiliging of cybersecurity worden ge ëvalueerd en leiden tot structurele verbetermaatregelen. De gemeente heeft de logging van gegevens ingeregeld en hierbij een afweging gemaakt op basis van risicoanalyse. De gemeente heeft autorisatiebeleid ingeregeld en zorgt ervoor dat dit up-to-date wordt gehouden. 4 Welke (verdere) maatregelen zijn mogelijk om de informatieveiligheid te optimaliseren? De gemeente heeft een beeld bij de overige verplichtingen uit de cyberbeveiligingswet, namelijk de meldplicht en toezicht. De gemeente treft voorbereidingen om te voldoen aan de Cyberbeveiligingswet. De gemeente toetst, oefent en evalueert maatregelen/acties/processen periodiek (zoals het oefenen van een cyberaanval). De rollen en verantwoordelijkheden van functionarissen, directie en raad zijn vastgelegd en in de praktijk bekend.

5 Hoe is de raad betrokken bij (de uitvoering van) het beleid ten aanzien van de informatieveiligheid? De raad wordt structureel en regelmatig geïnformeerd over het beleid en de uitvoering rondom informatieveiligheid. De raad wordt geïnformeerd over risico’s, maatregelen en ontwikkelingen. De informatieverstrekking aan de raad biedt de raad voldoende mogelijkheden om de sturende en controlerende verantwoordelijkh eden waar te maken. De raad is aantoonbaar betrokken bij het bepalen van de uitgangspunten en kaders van het informatieveiligheidsbeleid. De raad is aantoonbaar actief in het controleren en beoordelen van het informatieveiligheidsbeleid.