M X.X D66 - Sturing op digitale veiligheid via normatiek, PDCA en P&C-cyclus.pdf
Tekst van het document
Motie Reg. Nr. M X.X Agendapunt: X Onderwerp: Sturing op digitale veiligheid via normatiek, PDCA en P&C-cyclus De gemeenteraad van Stichtse Vecht, in vergadering bijeen op (datum), gelezen: • • • •
de Rekenkamer concludeert dat de gemeenteraad momenteel onvoldoende in staat is zijn kaderstellende en controlerende rol op het gebied van digitale veiligheid te vervullen; de Rekenkamer adviseert om met het college afspraken te maken over de informatie die de raad periodiek nodig heeft om te kunnen sturen en controleren; de Cyberbeveiligingswet (Cbw) en de doorontwikkeling naar BIO2 leiden tot aangescherpte eisen aan risicogerichte sturing, toezicht en verantwoording, inclusief (extern) toezicht en audit; het college in zijn bestuurlijke reactie aangeeft de raad te zullen informeren zodra de PDCA-cyclus is ingericht, maar daarbij geen concrete afspraken maakt over inhoud, vorm, frequentie en borging van die informatievoorziening;
overwegende dat: • • •
• •
digitale veiligheid een volwaardig bestuurlijk domein is waarvoor de raad kaders moet kunnen stellen en risico’s moet kunnen wegen; effectieve sturing door de raad vraagt om informatie op basis van normatiek (zoals BIO/BIO2 en ENSIA), en niet om technische detailinformatie; de raad voor zijn kaderstellende en controlerende rol inzicht nodig heeft in: o
de mate waarin aan normen wordt voldaan;
o
de belangrijkste risico’s bij (gedeeltelijke) niet-naleving;
o
de bestuurlijke afweging of deze risico’s acceptabel zijn;
o
de maatregelen die nodig zijn om risico’s te mitigeren en de bijbehorende structurele en incidentele kosten;
o
de ontwikkeling in de tijd (trend);
deze informatie zowel inhoudelijk geborgd moet zijn via een aantoonbare PDCAcyclus, als financieel via de reguliere Planning- & Controlcyclus; onder de Cyberbeveiligingswet en BIO2 externe toetsing en toezicht een grotere rol gaan spelen, waarbij nog nadere keuzes te maken zijn over de inzet van accountant, auditor of andere toezichthouder;
verzoekt het college: 1. uiterlijk vóór de inwerkingtreding van de Cyberbeveiligingswet, en in elk geval vóór 1 juli 2026, in overleg met de gemeenteraad een voorstel aan de raad voor te leggen waarin wordt vastgelegd: •
op welke wijze de raad periodiek wordt geïnformeerd over digitale veiligheid op basis van normenkaders (BIO/BIO2/ENSIA);
•
welke informatie daarbij minimaal wordt opgenomen, waaronder: o
de mate van normconformiteit per hoofdonderdeel;
o
de belangrijkste risico’s bij afwijkingen van de norm;
o
de bestuurlijke risicoafweging (acceptabel / niet-acceptabel);
o
de voorgenomen maatregelen en de daarmee gemoeide kosten;
o
de ontwikkeling in de tijd (trend);
2. deze informatievoorziening zodanig in te richten dat: •
inhoudelijke voortgang, risicomanagement en verbetermaatregelen onderdeel zijn van een aantoonbare en periodieke PDCA-cyclus;
•
financiële consequenties en beleidskeuzes expliciet, herkenbaar en samenhangend worden opgenomen in de reguliere P&C-cyclus (waaronder kadernota, programmabegroting en jaarstukken);
3. in dit voorstel tevens inzichtelijk te maken: •
hoe de gemeente zich voorbereidt op (externe) toetsing en toezicht onder de Cyberbeveiligingswet en BIO2;
•
welke rol daarbij is voorzien voor de accountant, een (IT-)auditor of andere toezichthoudende instantie;
•
op welke wijze de uitkomsten van deze toetsing en audits aan de gemeenteraad worden gerapporteerd;
4. de gemeenteraad niet uitsluitend achteraf te informeren, maar de raad vooraf expliciet te betrekken bij de inrichting van deze sturings- en verantwoordingssystematiek, zodat de raad zijn kaderstellende en controlerende rol daadwerkelijk kan uitoefenen; en gaat over tot de orde van de dag. Namens de fractie(s), D66 Lisanne Peelen - van de Pol