Rapport Digitale Veiligheid Stichtse Vecht (1).pdf

Toezicht Gemeenten vallen in de Cyberbeveiligingswet onder proactief toezicht. Dit wil zeggen dat er toezicht gehouden wordt op het naleven van de verplichtingen uit de Cyberbeveiligingswet, zoals de zorg- en meldplicht, ook wanneer er geen sprake is van eventuele incidenten. De toezichthouder kan beveiligingsaudits en –scans uitvoeren en informatie verzoeken die nodig is om de risicobeheersmaatregelen van de gemeente te beoordelen. Sancties richten zich tot de entiteit maar kunnen in een uiterst geval ook de individuele bestuurders raken. 70

67

Informatiebrochure Cyberbeveiligingswet (2024) NCSC. Informatiebrochure Cyberbeveiligingswet (2024) NCSC. 69 Informatiebrochure Cyberbeveiligingswet (2024) NCSC. 70 Informatiebrochure Cyberbeveiligingswet (2024) NCSC. 68

Pagina 40 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

D. BEOORDELING NORMENKADER Bij aanvang van het onderzoek heeft de rekenkamer een normenkader vastgesteld. Hiervoor zijn de deelvragen als uitgangspunt genomen. In onderstaande tabel geven wij per norm een beoordeling of de gemeente: • Geheel voldoet (GROEN) • Gedeeltelijk voldoet (ORANJE) • Niet voldoet (ROOD) 1

2

3

Vraag / Norm Wat doet de gemeente Stichtse Vecht op het gebied van informatieveiligheid? (proces/organisatie) De gemeente heeft BIO-conform informatiebeveiligingsbeleid. In het beleid wordt o.a. ingegaan op a) strategische uitgangspunten, b) risicomanagement, c) governance (waaronder rollen en verantwoordelijkheden) en de PDCA-cyclus van de gemeente. De gemeente heeft de maatregelen uit de zorgplicht ingeregeld (tien maatregelen). De gemeente heeft aanvullende maatregelen getroffen, onder andere op het gebied van bescherming van persoonsgegevens. Er is een risicoanalyse en beveiliging van de informatiesystemen.

Beoordeling

Er is beleid en procedures om de effectiviteit van beheersmaatregelen van cyberbeveiligingsrisico’s te beoordelen. De gemeente informeert belanghebbenden over datalekken en incidenten Hoe bevordert de gemeente het bewust omgaan met informatie? (mens) De medewerkers van de gemeente zijn bekend met het gemeentelijk beleid met betrekking tot informatiebeveiliging. Ze krijgen informatie over wijzigingen. Er is sprake van cyberhygiëne en er worden trainingen aangeboden en gevolgd op het gebied van cyberbeveiliging De medewerkers gebruiken multi-factor-authenticatie, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen. In hun dagelijks functioneren geven de medewerkers er blijk van het gemeentelijk informatiebeveiligingsbeleid na te leven. De gemeente monitort actief op het naleven van veilig werken. De gemeente evalueert na informatiebeveiligingsincidenten en datalekken. Zijn gegevens bij de gemeente goed beschermd tegen de toegang door onbevoegden? (techniek) Er zijn beveiligingsaspecten op het gebied van personeel, toegangsbeleid en beheer van assets.

Pagina 41 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

Er is beveiliging bij het verwerken, ontwikkelen en onderhouden van netwerk- en informatiesystemen, inclusief de respons op en bekendmaking van kwetsbaarheden. De gemeente heeft een risico-afweging gemaakt bij de bescherming van de systemen, waarbij de gevolgen voor burgers en bedrijven in beeld zijn. De gemeente weet welke risico’s zij loopt en op de hoogte van mogelijke kwetsbaarheden. Daarover is een afweging gemaakt in relatie tot gevoelige informatie. De gemeente voert penetratietesten uit.

4

5

Incidenten en onderzoeken op het gebied van informatiebeveiliging of cybersecurity worden geëvalueerd en leiden tot structurele verbetermaatregelen. De gemeente heeft de logging van gegevens ingeregeld en hierbij een afweging gemaakt op basis van risicoanalyse. De gemeente heeft autorisatiebeleid ingeregeld en zorgt ervoor dat dit up-to-date wordt gehouden. Welke (verdere) maatregelen zijn mogelijk om de informatieveiligheid te optimaliseren? De gemeente heeft een beeld bij de overige verplichtingen uit de cyberbeveiligingswet, namelijk de meldplicht en toezicht. De gemeente treft voorbereidingen om te voldoen aan de Cyberbeveiligingswet. De gemeente toetst, oefent en evalueert maatregelen/acties/processen periodiek (zoals het oefenen van een cyberaanval). De rollen en verantwoordelijkheden van functionarissen, directie en raad zijn vastgelegd en in de praktijk bekend. Hoe is de raad betrokken bij (de uitvoering van) het beleid ten aanzien van de informatieveiligheid? De raad wordt structureel en regelmatig geïnformeerd over het beleid en de uitvoering rondom informatieveiligheid. De raad wordt geïnformeerd over risico’s, maatregelen en ontwikkelingen. De informatieverstrekking aan de raad biedt de raad voldoende mogelijkheden om de sturende en controlerende verantwoordelijkheden waar te maken.

De raad is aantoonbaar betrokken bij het bepalen van de uitgangspunten en kaders van het informatieveiligheidsbeleid. De raad is aantoonbaar actief in het controleren en beoordelen van het informatieveiligheidsbeleid.

Pagina 42 van 42