Peilnota Rapporteren over informatieveiligheid

Pagina 1 van 4 Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 www.stichtsevecht.nl info@stichtsevecht.nl Peilnota Onderwerp Rapporteren over informatieveiligheid Begrotingswijziging Nee Datum commissievergadering NTB Portefeuillehouder D.R. Polman Organisatie onderdeel Control E-mail opsteller Anthony.steinvoorte@stichtsevecht.nl Telefoonnummer opsteller 0624233944 Registratie nummer 802971 Van de commissieleden wordt gevraagd Uw mening te vormen over de voorgestelde rapportagestructuur over informatieveiligheid. Samenvatting Op 27 januari 2026 is het rapport ‘Digitale Veiligheid in Stichtse Vecht’ van de rekenkamer in de Raad behandeld. In deze peilnota is de motie vertaald naar een basis aan doelstellingen en uitgangspunten om de raad te informeren over informatieveiligheid. Hierbij komen aan de orde: de vorm en frequentie, het bestuurlijk dashboard inclusief indicatoren set, een risico,- en financiële paragraaf.

Pagina 2 van 4 A Inleiding Aanleiding Op 27 januari 2026 is het rapport ‘Digitale Veiligheid in Stichtse Vecht’ van de rekenkamer in de Raad behandeld. Aanvullend op het raadsbesluit is de motie M 14.1 ‘Sturing op digitale veiligheid’ unaniem aangenomen. In deze motie wordt het college opgeroepen om vóór de inwerkingtreding van de Cyberbeveiligingswet, en uiterlijk vóór 1 juli 2026, een peilnota aan de gemeenteraad voor te leggen. Via het coalitieakkoord Duidelijkheid en Daadkracht wordt ingezet op compliance en cybersecurity. De peilnota wordt vanwege de vorming van een nieuw college spoedig na 1 juli aangeboden aan de raad. De inwerkingtreding van de wet is nu voorzien op 15 augustus 2026. De coalitie heeft middelen beschikbaar gesteld om te zorgen dat de gemeente voldoet aan wet- en regelgeving. Deze peilnota geeft invulling aan de oproep vanuit de motie om een voorstel te doen over de frequentie en de wijze waarop de raad wordt geïnformeerd en de wijze waarop er sturing kan worden gegeven. Een van de aanbevelingen van de Rekenkamer is om een nieuw strategisch beleidsdocument informatiebeveiliging op te stellen. Dit document is in ontwikkeling en wordt in 2026 vastgesteld door het college, en maakt geen onderdeel uit van deze peilnota. Bevoegdheid Het college is bevoegd om deze peilnota aan te bieden aan de raad.

B Scenario’s en Risico’s De motie vraagt een peilnota over: a. hoe de inhoudelijke en financiële sturing door de raad op digitale veiligheid wordt ingericht; b. op welke hoofdlijnen en met welke frequentie de raad wordt geïnformeerd; c. op welke wijze deze sturing wordt gebaseerd op geldende normenkaders (BIO/BIO2/ENSIA), zonder in te gaan op technische detailinformatie; En in deze peilnota tevens op hoofdlijnen te beschrijven: - hoe informatiebeveiliging, weerbaarheid en herstelvermogen, inclusief aspecten van operationele technologie, bestuurlijk worden meegenomen; - hoe de voorgestelde sturing kan worden ingebed in bij voorkeur bestaande cycli. Afweging scenario’s De vragen in de motie zijn verbonden met elkaar. In onderstaand voorstel zijn de verschillende vragen en subvragen in 1 scenario vervat: Voorstel inrichting rapportage op informatie en sturing. Het voorstel is om 2-ledige insteek in te voeren: I. Jaarlijkse rapportage op strategische onderdelen via de P&C-cyclus II. Jaarlijks in gesprek met de gemeenteraad Nadere uitwerking I. Jaarlijks rapportage op strategische onderdelen via de P&C-cyclus Binnen de P&C-cyclus zijn de volgende mogelijkheden a. Mijlpalen en indicatoren in programma 1 b.

Paragraaf Bedrijfsvoering in Begroting en Jaarrekening Pagina 3 van 4 Het zwaartepunt van inhoudelijke rapportage zal liggen in de paragraaf Bedrijfsvoering (binnen de begroting en jaarrekening) die onderdeel in van de programmabegroting en de jaarrekening. De inhoud van rapportage en de informatiebehoefte past goed bij het karakter van deze paragraaf in de genoemde P&C documenten. Het college rapporteert integraal over informatiebeveiliging, privacy en informatievoorziening, met onderscheid tussen bestuurlijke risico’s en voortgang van maatregelen. Verder wordt verantwoording afgelegd over informatieveiligheid met de Eenduidige Normatiek Single Information Audit (ENSIA) die tegelijk met de jaarstukken wordt aangeboden. Op basis van de doelstellingen en uitgangspunten wordt voorgesteld de raad als volgt op hoofdlijnen te informeren via de bestaande P&C documenten: A. Bestuurlijk dashboard: één pagina met stoplichtbeeld per thema: cyberweerbaarheid, continuïteit, privacy, governance en mens en gedrag. Naarmate de gemeente verdere stappen zet kunnen de thema’s en/of indicatoren aangepast/aangevuld worden.

Deze wordt aangevuld met onderstaande indicatoren set: Thema Indicator Beschikbaar Cyberweerbaarheid % kritieke systemen met actuele patching Nee Continuïteit Business Continuity Management (BCM) plannen kritische processen actueel en getest Nee Privacy Data Protection Impact Assessment (DPIA’s) afgerond en nog te doen, verwerkingenregister actueel Ja Governance Baseline Informatiebeveiliging Overheid 2 (BIO2) / ENSIA % compliance, Beleid actueel Ja Mens & gedrag Deelname bewustwording/e-learning en meldingsbereidheid incidenten Ja (Een aantal van bovenstaande indicatoren zijn nog niet beschikbaar en worden in 2027 ontwikkeld.) B. Risicoparagraaf: bestuurlijke ICT/IV- en privacy risico’s worden in de daarvoor bestemde paragraaf opgenomen. Daarnaast worden de beheersmaatregelen toegelicht. C. Verbeteragenda: voortgang op maatregelen uit ENSIA, audits, DPIA’s, penetratietesten, incidentevaluaties en BIO2-gap-analyse. D. Financiële paragraaf: in de P&C documenten wordt een vertaling gemaakt van het budget dat beschikbaar is gesteld door de coalitie voor een toekomstgerichte organisatie. II. Jaarlijks gesprek met de gemeenteraad Een tweede onderdeel van de rapportage is om in gesprek te blijven op inhoud met de raad. In dit gesprek kunnen actuele ontwikkelingen worden toegelicht, actuele rapportages worden besproken en in is ruimte voor inhoudelijke vragen vanuit de raad.

Dit gesprek zou kunnen plaatsvinden in de auditcommissie. Omdat dit onderwerp nu nog geen onderdeel uitmaakt van de reikwijdte van de auditcommissie, zal de commissie hiertoe nog moeten besluiten. Maatschappelijk doel en beoogd effect Het maatschappelijk effect van het rapporteren op informatieveiligheid ligt in de basis dat burgers mogen vertrouwen dat persoonsgegevens en data bij hun gemeente veilig zijn. Dit begint met het functioneren van de gemeentelijke organisatie en de mate waarop zij aan wet- en regelgeving voldoet om op die manier de continuïteit van dienstverlening te borgen. Pagina 4 van 4 De gemeenteraad krijgt periodiek, risicogericht en financieel onderbouwd inzicht in de mate waarin de gemeente haar ICT- en IV-omgeving veilig, beschikbaar, integer en privacy bestendig beheert. De informatievoorziening ondersteunt de kaderstellende en controlerende rol van de raad, zonder operationele beveiligingsdetails openbaar te maken. Eerdere besluitvorming en informatievoorziening Op 27 januari 2026 heeft de raad kennisgenomen van het rekenkamerrapport ‘Digitale veiligheid in Stichtse Vecht’ en bijbehorende aanbevelingen overgenomen. Risico’s In de peilnota wordt een voorstel gedaan te rapporteren op specifieke indicatoren. Een aantal van deze indicatoren is nog niet beschikbaar en wordt in 2027 ontwikkeld.

Mogelijk zijn nog niet alle indicatoren beschikbaar bij de eerste rapportagemomenten. Financieel Aan deze peilnota zijn geen directe financiële gevolgen verbonden. Vervolg Na de peiling worden de opmerkingen van de raadscommissie verwerkt in een definitieve inrichting van de rapportage. Deze wordt ter vaststelling aan het college van B&W aangeboden. Na vaststelling geeft het college uitvoering aan het rapporten over informatieveiligheid conform deze inrichting. Het rapporteren vindt plaats vanaf de programmabegroting 2027. Bijlagen 1 Rekenkamerrapport ‘Digitale veiligheid in Stichtse Vecht’ 2 Motie 14.1 Sturing op digitale veiligheid 3 Besluit van houdende regels ter uitvoering van de Cyberbeveiligingswet (Cyberbeveiligingsbesluit)