Rapport Digitale Veiligheid Stichtse Vecht (1).pdf

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl Datum 26 november 2025 Versie Definitief Auteur(s) Danielle Huijdts, Juliette Mies en Peter van Enk

Digitale Veiligheid in Stichtse Vecht Huis Op Orde in de aanloop naar de Cyberbeveiligingswet

Pagina 1 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

Colofon De Rekenkamer van de gemeente Stichtse Vecht bestaat uit drie externe leden en wordt ondersteund door een ambtelijk secretaris. Leden Rekenkamer: Martijn Bakker (voorzitter), Robert Olieman, Kirsten van Steenbergen Secretaris: Jacqueline Willenborg Uitvoerend bureau: PBLQ (Peter van Enk, Danielle Huijdts, Juliette Mies) Postadres: Rekenkamer Stichtse Vecht, Postbus 1212, 3600 BE Maarssen e-mail: rekenkamer@stichtsevecht.nl telefoon: 0346-254200

Pagina 2 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

Inhoudsopgave Colofon ................................................................................................................2

Conclusies en aanbevelingen .................................... 5 Conclusies ..........................................................................................................5 Aanbevelingen ....................................................................................................6

1. Inleiding .................................................................... 8 1.1. Aanleiding voor het onderzoek .................................................................8 1.2. Probleemstelling en onderzoeksvragen ...................................................8 1.3. Afbakening van het onderzoek ..................................................................9 1.4. Aanpak van het onderzoek ......................................................................10 1.5. Leeswijzer ..................................................................................................10

2. Veranderende context gemeentelijke digitale veiligheid ................................................................... 11 2.1. Waarom is gemeentelijke digitale veiligheid belangrijk? .....................11 2.2. Wet- en regelgeving ..................................................................................11 2.3. Bestuur & organisatie...............................................................................13 2.4. Weerbaarheid ............................................................................................13

3. Proces en organisatie ........................................... 15 3.1. Strategisch informatiebeveiligingsbeleid...............................................15 3.2. Rollen en verantwoordelijkheden ...........................................................17 3.3. Risicomanagement ...................................................................................18 3.4. Risico’s en kwetsbaarheden ....................................................................19 3.5. Datalekken .................................................................................................19

4. Mens ....................................................................... 20 4.1. Leer- en ontwikkelprogramma’s ..............................................................20 4.2. Phishing tests en Mystery Guest ............................................................21 4.3. Uit de focusgroep: balans tussen veiligheid en gebruikersvriendelijkheid ...............................................................................21

5. Techniek ................................................................. 22 5.1. Deltaplan ICT en IV ...................................................................................22 Pagina 3 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

5.2. Inkoop en leveranciersmanagement .......................................................24 5.3. Penetratietesten ........................................................................................25 5.4. Logging ......................................................................................................25 5.5. Autorisaties ...............................................................................................26 5.6. Incidentmanagement ................................................................................27

6. Cyberbeveiligingswet ............................................ 28 6.1. Registratie- en meldplicht en toezicht ....................................................29 6.2. Bedrijfscontinuïteit ...................................................................................29 6.3. De rol van het bestuur ..............................................................................30

7. De gemeenteraad................................................... 31 7.1. Informatievoorziening aan de gemeenteraad ........................................31 7.2. De rol van de raad volgens de VNG ........................................................32 7.3. Uit de raadsbijeenkomst ..........................................................................32

8. Bestuurlijke reactie ............................................... 33 9. Nawoord rekenkamer ............................................ 37 Bijlagen ...................................................................... 38

Pagina 4 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

Conclusies en aanbevelingen De gemeente Stichtse Vecht is (net als alle andere gemeenten) steeds digitaler gaan werken. Er is geen gemeentelijk proces meer zonder digitale component. Daarom is ook informatiebeveiliging steeds belangrijker; een digitale verstoring kan niet alleen gevolgen hebben voor de gemeentelijke dienstverlening, als persoonsgegevens van inwoners op straat komen te liggen, gaat dit ook ten koste van het vertrouwen van de inwoners. Het veranderende wettelijk kader onderstreept het belang van informatiebeveiliging voor overheden. De Europese NIS2-richtlijn en de nationale vertaling, de Cyberbeveiligingswet (Cbw), stellen extra eisen aan gemeenten. De Cbw treedt naar verwachting in het tweede kwartaal van 2026 in werking. De rekenkamer Stichtse Vecht voert, vooruitlopend hierop, een onderzoek uit naar de wijze waarop de gemeente zich hierop heeft voorbereid. Hierbij wordt speciaal aandacht besteed aan de rol van de gemeenteraad.

Conclusies Digitale infrastructuur Uit het onderzoek is allereerst naar voren gekomen dat de gemeente Stichtse Vecht van ver komt en bezig is met een inhaalslag op het gebied van digitalisering. Een belangrijk onderdeel hiervan betreft de gemeentelijke digitale infrastructuur. Een aantal jaren geleden had de gemeente nog een eigen ‘serverpark’ waarop de gemeentelijke applicaties draaiden en was de gemeente zelf verantwoordelijk voor het technisch beheer van zowel hard- als software. Inmiddels zijn en worden applicaties overgebracht naar ‘de cloud.’ Daarmee zijn leveranciers voor een belangrijk deel verantwoordelijk voor de uitvoering van de technische informatiebeveiliging. Het blijft echter een verantwoordelijkheid van de gemeente zelf om aan de wettelijke beveiligingseisen en -normen te voldoen. Beleid en uitvoering In het ‘Strategisch beveiligingsbeleid 2020 - 2023’ is vastgelegd volgens welke kaders Stichtse Vecht haar informatieveiligheid inricht. Vanwege op handen zijnde Cbw is besloten om na 2023 geen nieuw beleid op te stellen, maar de houdbaarheid van het beleid te verlengen. Het plan doet enigszins gedateerd aan en recente ontwikkelingen (wetgeving, normenkaders en toegenomen bedreigingen) zijn er niet in meegenomen. Het strategisch beleidsdocument is gebaseerd op een format van de Informatiebeveiligingsdienst (IBD) van de VNG.

Dit heeft als voordeel dat belangrijke zaken op het gebied van informatiebeveiliging onderdeel zijn van het beleid. Echter er wordt in de praktijk niet altijd conform dit beleidsdocument gewerkt. De afwijkingen tussen beleid en praktijk is op een aantal zaken significant. In het beleidsdocument wordt gesproken over de Baseline Informatiebeveiliging Overheid (BIO) als (het nieuwe) normenkader voor de gehele overheid. De BIO is de baseline voor informatiebeveiliging en is dus de ‘ondergrens’. Stichtse Vecht voldoet niet aan deze ondergrens, zo blijkt uit de zelfevaluaties die gehouden zijn in 2021, 2023 en 2024. In dat laatste jaar haalt de gemeente 73% van de norm (dat is lager dan het jaar daarvoor). Dit zorgt voor kwetsbaarheden en verhoogt het risico op digitale verstoringen. Als aanvulling op de BIO zijn er in het strategisch beleid 10 principes voor informatiebeveiliging benoemd. Aan de principes die betrekking hebben op risicomanagement (Informatiebeveiliging is risicomanagement en Risicomanagement is onderdeel van de besluitvorming) wordt niet voldaan. Ook het 10de en laatste principe over de rol van het bestuur (het bestuur controleert en evalueert) zien wij onvoldoende terug. In het strategisch beleid is vastgelegd dat: ‘het beleid zal worden uitgewerkt in tactisch en operationele richtlijnen en maatregelen. De daaruit voortkomende werkzaamheden worden Pagina 5 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

uitgewerkt in het jaarlijks te schrijven Jaaropdracht Gegevensbescherming en Informatieveiligheid.’ Deze jaaropdracht en de bijbehorende bestuurlijke rapportage wordt niet structureel geleverd. Alleen voor 2022 is een Jaaropdracht aangetroffen en de onderzoekers hebben een bestuurlijke rapportage over 2021 ontvangen. Ook aan een ander belangrijk uitgangspunt uit het beleid, de ‘Plan Do Check Act cyclus, wordt niet voldaan. Er is op dit moment geen effectieve verbetercyclus, zo schetst ook de gemeente zelf in een ‘Verkenning Digitale Weerbaarheid’. In dit document worden daarnaast scenario’s geschetst om te voldoen aan de wettelijke normen en wel een effectieve verbetercyclus in te richten. Ook wordt een scenario geschetst om de werkwijze van het eigen strategisch beleid te volgen en te voldoen aan de extra eisen van de Cbw. In de interviews worden twee belangrijke oorzaken aangedragen voor het feit dat er niet volgens het eigen beleid gewerkt wordt. De eerste is de bovengenoemde inhaalslag inclusief de migratie naar ‘de Cloud’. De tweede oorzaak is het huidige gebrek aan ambtelijke capaciteit. Er gaat ook een aantal zaken wel goed. Zo zijn medewerkers zich goed bewust van het belang van informatiebeveiliging. Zij weten bij vragen de CISO en de FG goed te vinden.

Ook op technisch vlak is er, als onderdeel van de eerder genoemde inhaalslag, veel aandacht voor informatiebeveiliging. Dat blijkt onder andere uit controle die is uitgevoerd bij de ICT-leveranciers die betrokken zijn bij de belangrijkste processen van Stichtse Vecht. Bovendien zijn de extra eisen die de Cbw aan de gemeenten stelt goed in beeld, niet alleen voor wat betreft de gewenste eindsituatie, maar ook voor wat betreft mensen, middelen en activiteiten. De rol van het bestuur De rol van het bestuur verandert dus onder de Cbw. In de Cyberbeveiligingswet en onderliggende Algemene maatregelen van Bestuur (AmvB) is de rol van het college van B&W verankerd. Het College wordt verplicht om, met kennis van zaken, risicogericht te sturen op informatiebeveiliging. Het College wordt verplicht om een training te volgen en de toezichthouder (de Rijksdienst Digitale Infrastructuur) kan bestuurders een boete opleggen als zij dit niet doen. Deze verandering geldt ook voor Stichtse Vecht. Op dit moment wordt de portefeuillehouder in het college van B&W eens in de twee maanden bijgepraat over recente ontwikkelingen en heeft de bestuurder veel vertrouwen in de kwaliteit van zijn ambtelijke organisatie. Er wordt niet periodiek gerapporteerd over de staat van de uitvoering en ontwikkelingen in het dreigingsbeeld aan het college.

Wij hebben daarom ook niet vast kunnen stellen dat besluitvorming over informatiebeveiliging gebaseerd is op risicomanagement. Dat betekent dat de sturing op dit moment niet aan de eisen van de Cbw voldoet. Datzelfde geldt voor de gemeenteraad, die op dit moment het college van B&W onvoldoende controleert en niet in staat is om (financiële en inhoudelijke) kaders te stellen. In de raadssessie die in het kader van dit onderzoek heeft plaatsgevonden, geven raadsleden aan dat informatiebeveiliging net als bijvoorbeeld Jeugdzorg als een volwaardig gemeentelijk domein beschouwd zou moeten worden. Raadsleden zeggen niet over een sturingskader te beschikken, waardoor zij naast hun controlerende rol ook hun kaderstellende rol onvoldoende kunnen waarmaken.

Aanbevelingen Bovenstaande conclusies leiden tot de volgende aanbevelingen: 1. Vraag het college om een passend strategisch beleid voor informatiebeveiliging Het huidige strategisch informatiebeveiligingsbeleid is dringend aan vernieuwing toe. Hiermee is gewacht omdat de Cyberbeveiligingswet nog onbekende verplichtingen voor gemeenten met zich Pagina 6 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

zou meebrengen. Ondanks het feit dat de inwerkingtreding van de Cbw is uitgesteld tot het tweede kwartaal van 2026 is er al voldoende duidelijkheid om het beleidskader te vernieuwen. Gezien de Cbw-verplichting van risicogerichte sturing door het College, is het van belang dat er in het beleidskader voldoende aandacht wordt besteed aan de rol van het bestuur. Ook adviseren wij om het college te betrekken bij de voorbereiding op het beleidskader. Bij de invulling van het beleidskader kan gebruik gemaakt worden van formats die door de Informatiebeveiligingsdienst (IBD) van de Vereniging van Nederlandse Gemeenten (VNG) beschikbaar gesteld worden. 2. Zorg voor voldoende capaciteit (mensen en middelen) en ambtelijke prioriteit om conform het nieuwe strategisch beleid te werken en aan de wettelijke verplichtingen te voldoen. Ambtelijk heeft men goed in beeld wat er in praktijk moet gebeuren om aan de veranderende wettelijke kaders en vigerende normen te voldoen. Er is namelijk gedetailleerd beschreven wat hiervoor aan (extra) mensen en middelen nodig is. Als deze informatie geagendeerd wordt in de gemeenteraad kan die invulling geven aan zijn kaderstellende rol, 3. Vraag het college om de raad op korte termijn te informeren over de bestuurlijke risico-afwegingen die de gemeente neemt De sturing door het college van B&W is op dit moment onvoldoende.

Het college is zich op dit moment niet bewust van het feit dat de gemeente niet aan de geldende BIO-norm voldoet en welke risico’s dat met zich meebrengt. Dat komt voor een belangrijk deel doordat er niet periodiek gerapporteerd wordt. Wij bevelen daarom aan om het bestuur periodiek te rapporteren over de stand van zaken ten aanzien van informatiebeveiliging. In deze rapportage zou, vooruitlopend op de Cbw, aandacht moeten zijn voor risicomanagement. Voor deze bestuurlijke rapportage kan gebruik gemaakt worden van het bestaande formats die voor alle gemeenten beschikbaar zijn in het ENSIA platform. 4. Maak afspraken met het college over welke informatie de gemeenteraad periodiek nodig heeft om te kunnen sturen en controleren. De informatie die de raad ontvangt in de P&C-cyclus met betrekking tot het onderwerp digitale veiligheid is onvoldoende om de controlerende en kaderstellende rol waar te kunnen maken. Mede op basis van de raadsbijeenkomst bevelen wij aan om de raad periodiek te informeren over de mate waarin de gemeente aan de geldende normen- en toezichtskaders voldoet. Deze kaders zijn vastgelegd in de BIO (die wordt doorontwikkeld naar de BIO2) en de kaders van verschillende stelselhouders. Ook zou de raadsinformatie informatie moeten bevatten over het resultaat van het risicomanagement door het college van B&W.

Ook voor de rapportage aan de gemeenteraad is in het ENSIA platform een format beschikbaar. Aan de rapportage aan het college van B&W en de gemeenteraad moet een effectieve PDCAcyclus ten grondslag liggen.

Pagina 7 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

1. Inleiding 1.1.

Aanleiding voor het onderzoek

Gemeenten inventariseren en beheren steeds meer informatie over hun inwoners. Veel van deze informatie raakt aan hun persoonlijke levenssfeer. Bovendien heeft de informatie vaak betrekking op mensen in een kwetsbare positie die afhankelijk zijn van gemeentelijke ondersteuning. Dat vraagt om extra garanties voor een veilige omgang met die informatie en een veilige inrichting van de onderliggende systemen. Informatieveiligheid wordt steeds belangrijker door de toenemende digitalisering. Gemeenten verwerken naast persoonsgegevens veel andere belangrijke gegevens die goed beschermd moeten worden. Informatieveiligheid wordt nog vaak als een verantwoordelijkheid van de ITafdeling gezien. Dit is een te beperkte insteek om voor een adequate bescherming van gemeentelijke informatie te zorgen. Van de baliemedewerker tot het gemeenteraadslid, allemaal spelen ze een rol als het gaat om digitale veiligheid. Informatieveiligheid zou een kernwaarde moeten zijn van iedere medewerker. De menselijke factor en de dagelijkse uitvoeringspraktijk in de gemeente is daarom een belangrijk aandachtspunt in dit onderzoek. Daarnaast is er aandacht voor de raad. Wordt de raad in staat gesteld om haar controlerende- en kaderstellende rol uit te voeren? Maar ook: geeft de raad voldoende prioriteit aan dit onderwerp? Het laatste belangrijke deel van het speelveld betreft de weerbaarheid van de organisatie.

100% Digitaal veilig bestaat niet; de kans op een digitale verstoring is altijd aanwezig. De vraag is hoe de gemeente hierop is voorbereid. Weerbaarheid begint bij het bewustzijn van de medewerkers. Ook de adequate inrichting en reactie van de crisisorganisatie speelt een belangrijke rol in de responsfase van een digitale verstoring. In ons onderzoek hebben wij aandacht besteed aan beide zaken. Zo zijn wij in focusgroepen nagegaan hoe het met het bewustzijn van de medewerkers is gesteld. Ook hebben wij aandacht besteed aan de crisisorganisatie. Wij hebben hierbij niet alleen gekeken naar de inrichting en werkprocessen, maar ook naar cyberoefeningen. Worden deze uitgevoerd en wordt hiervan geleerd? In het tweede kwartaal van 2026 wordt naar verwachting de Cyberbeveiligingswet van kracht. Gemeenten worden (net als andere overheidsorganisaties) gezien als essentiële entiteiten. Dit betekent dat er extra verplichtingen voor gemeenten gaan gelden op het gebied van de zorgplicht en de meldplicht. Deze wet is een directe aanleiding voor de Rekenkamer van Stichtse Vecht om dit onderzoek uit te voeren. Net als bij eerdere wetten met een grote impact op de gemeente (Omgevingswet en de decentralisaties binnen het Sociaal Domein), wil de Rekenkamer weten of de gemeentelijke organisatie goed voorbereid is.

Ook wil de Rekenkamer met dit onderzoek de gemeenteraad nader informeren over dit belangrijke onderwerp, zodat de raad zijn kaderstellende en controlerende rol adequaat kan vervullen.

1.2.

Probleemstelling en onderzoeksvragen

De Rekenkamer heeft onderzocht of de gemeente Stichtse Vecht goed voorbereid is op de Cyberbeveiligingswet en heeft daarbij de volgende onderzoeksvraag geformuleerd: Is de informatieveiligheid bij de gemeente Stichtse Vecht voldoende gewaarborgd bij de invoering van de Cyberbeveiligingswet? De onderzoeksvraag is beantwoord aan de hand van een aantal deelvragen. De deelvragen zijn hieronder per thema in een tabel opgenomen en worden elk in een separaat hoofdstuk beantwoord.

Pagina 8 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

Proces en organisatie (hoofdstuk 3)

Mens (hoofdstuk 4)

Techniek (hoofdstuk 5)

Overige maatregelen (hoofdstuk 6) Gemeenteraad (hoofdstuk 7)

Deelvragen 1. Wat doet de gemeente Stichtse Vecht op het gebied van informatieveiligheid? • Welk beleid voert de gemeente op informatieveiligheid? • Heeft de gemeente nog aanvullende maatregelen benoemd buiten de 10 maatregelen die in de wet genoemd worden? • Welke risico’s heeft de gemeente geïnventariseerd en welke beheersingsmaatregelen zijn daarbij benoemd? • In hoeverre zijn deze maatregelen geïmplementeerd? • Hoe communiceert de gemeente met betrokkenen en inwoners over datalekken? 2. Hoe bevordert de gemeente het bewust omgaan met informatie? • Krijgen medewerkers voldoende uitleg en ondersteuning om veilig te werken? • Hoe gaan de medewerkers van de gemeente in de praktijk om met informatieveiligheid? • Hoe controleert de gemeente op het naleven van veilig werken en het voorkomen van informatiebeveiligingsincidenten en datalekken? 3.

Zijn gegevens bij de gemeente goed beschermd tegen de toegang door onbevoegden? • Zo niet, Welke gevolgen heeft dit voor burgers en bedrijven? • Wat zijn de risico’s en kwetsbaarheden? • Is het mogelijk om oneigenlijke toegang te krijgen tot gevoelige informatie die de gemeente in beheer heeft? • Welke penetratietesten voerde de gemeente uit? Zo ja, zijn verbeterplannen opgesteld naar aanleiding van de pentesten en zijn deze opgevolgd? • In hoeverre wordt in de organisatie vastgelegd wie wanneer toegang vraagt tot bestanden met gevoelige informatie (het loggen)? • Hoe is het autorisatiebeleid vorm gegeven en hoe wordt dit up to date gehouden? 4. Welke (verdere) maatregelen zijn mogelijk om de informatieveiligheid te optimaliseren? • Heeft de gemeente een beeld bij de extra verplichtingen uit de cyberbeveiligingswet (BIO2, Ensia2, meldplicht en toezicht)? • Zo ja, hoe bereidt de gemeente zich hierop voor? 5. Hoe is de raad betrokken bij (de uitvoering van) het beleid ten aanzien van de informatieveiligheid? • Wordt de gemeenteraad goed geïnformeerd over de risico’s en maatregelen? • Welke controle- en sturingsmogelijkheden heeft de gemeenteraad bij informatiebeveiliging en worden deze ook ingezet?

Op basis van deze hoofd- en deelvragen heeft de rekenkamer bij aanvang van het onderzoek een normenkader vastgesteld. Dit normenkader is opgenomen in bijlage D en voorzien van een stoplichtenrapportage. Hiermee geven wij op detailniveau aan aan welke normen de gemeente voldoet en aan welke normen niet.

1.3.

Afbakening van het onderzoek

Uitgangspunt voor het onderzoek is het wettelijk kader. Hieronder valt de al genoemde Cyberbeveiligingswet, die bestaat uit drie hoofdonderdelen: zorgplicht, meldplicht en toezicht. De zorgplicht omvat maatregelen waarbij gemeenten verplicht zijn om risicoanalyses uit te voeren en passende maatregelen te nemen voor de beveiliging van hun netwerk- en informatiesystemen. Als onderdeel hiervan is gekeken in welke mate de gemeente voldoet aan de algemene Baseline Pagina 9 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

Informatieveiligheid Overheid (BIO) en specifieke veiligheidsnormen van verschillende stelselhouders die opgenomen zijn in de Eenduidige Normatiek Single Information Audit (ENSIA).

1.4.

Aanpak van het onderzoek

Om de onderzoeksvragen te beantwoorden zijn verschillende onderzoeksactiviteiten uitgevoerd. Allereerst is er een documentstudie uitgevoerd naar het beleid met betrekking tot informatieveiligheid, de inrichting van de technische beveiliging en de aandacht voor het veiligheidsbewustzijn. Vervolgens zijn interviews gehouden met sleutelpersonen zoals de portefeuillehouder in het college, de gemeentesecretaris, de Functionaris Gegevensbescherming (FG), de Chief Information Security Officer (CISO), en andere functionarissen die betrokken zijn bij de digitale veiligheid. In een focusgroep is geïnventariseerd in hoeverre er in verschillende beleidsdomeinen aandacht is voor informatieveiligheid. Er is nagegaan hoe de medewerkers van de gemeente in hun dagelijkse praktijk omgaan met informatieveiligheid, hoe ze hierin geschoold worden en hoe zij omgaan met hun taken en bevoegdheden. Speciale aandacht ging uit naar de borging door het management en de toegang tot CISO, FG en andere veiligheidsfunctionarissen. In de bijeenkomst is ook aandacht besteed aan de organisatiecultuur. Daarnaast is er een bijeenkomst met de raad georganiseerd, waarin gekeken is hoe de raad de kaderstellende en controlerende rol op het gebied van digitale veiligheid invult. Niet de techniek, maar de (risico)sturing stond tijdens deze bijeenkomst centraal.

1.5.

Leeswijzer

In het volgende hoofdstuk beschrijven wij de veranderende wettelijke context voor gemeentelijke informatieveiligheid. Hierbij vermijden wij technisch jargon en bieden wij de raadsleden van Stichtse Vecht handvatten voor sturing op dit domein. In de hoofdstukken 3 tot en met 7 beantwoorden we de deelvragen zoals hierboven beschreven. In de bijlagen is het normenkader voor dit onderzoek opgenomen. Hierbij is, aan de hand van een stoplichtenrapportage aangegeven in welke mate Stichtse Vecht aan de normen voldoet. Ook bevatten de bijlagen een overzicht van bestudeerde documentatie en een overzicht van de gevoerde interviews.

Pagina 10 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

2. Veranderende context gemeentelijke digitale veiligheid 2.1.

Waarom is gemeentelijke digitale veiligheid belangrijk?

Digitale veiligheid gaat over veel meer dan bedrijfsvoering. De gemeentelijke dienstverlening is van digitalisering afhankelijk. Bovendien beschikken gemeenten over steeds meer persoonsgegevens van hun inwoners. Deze inwoners mogen van hun gemeente verwachten dat deze gegevens veilig zijn en dus niet op straat komen te liggen. Als dat toch gebeurt, dan schaadt dit het vertrouwen in de gemeentelijke overheid, en brengt mogelijk zelfs (directe) schade toe aan de getroffen inwoners. Elke gemeente moet maatregelen nemen om ervoor te zorgen dat persoonsgegevens veilig zijn en de continuïteit van dienstverlening wordt geborgd. 100% Veilig bestaat echter niet; er is altijd een risico dat er iets misgaat, bijvoorbeeld dat een hacker inbreekt in een gemeentelijk informatiesysteem. Deze dreiging komt niet alleen van buiten, ook een slordigheidje van een van de eigen medewerkers kan leiden tot bijvoorbeeld een datalek. Daarnaast is informatiebeveiliging ook vaak in het belang van de gemeente zelf, denk bijvoorbeeld aan informatie over voorbereidingen op strategische aankopen. Dergelijke informatie is niet per se door wetgeving beschermd, echter iedere gemeente realiseert zich dat dergelijke informatie niet moet lekken.

Onder informatiebeveiliging wordt verstaan het treffen en onderhouden van een samenhangend pakket van maatregelen om de betrouwbaarheid van de informatievoorziening aantoonbaar te waarborgen. Kernpunten daarbij zijn beschikbaarheid, integriteit (juistheid) en vertrouwelijkheid van (persoons)gegevens en andere informatie. In het algemeen leggen gemeenten hun doelstellingen, processen en rolverdeling vast in een beleidsdocument. Hierbij maken veel gemeenten gebruik van het format van de Informatiebeveiligingsdienst (IBD) van de VNG. Dit format gaat ervan uit dat een beleidsplan voor een periode van meestal vier jaar wordt vastgesteld. Op tactisch niveau wordt het beleid uitgewerkt in jaarplannen.

2.2.

Wet- en regelgeving

Bij de uitvoering van het informatieveiligheidsbeleid moeten gemeenten voldoen aan verschillende wetten en regels. De belangrijkste zijn de Europese Network- and Information Security 2 directive (NIS2), de Cyberbeveiligingswet (Cbw), de Algemene Verordening Gegevensbescherming (AVG), de Baseline Informatiebeveiliging Overheid (BIO) en de Eenduidige Normatiek Single Information Audit (ENSIA). De NIS2-richtlijn van de Europese Unie heeft als doel om de informatiebeveiliging van essentiële diensten, waaronder die van gemeenten, in de EU-lidstaten te verbeteren. In de richtlijn is hiertoe onder meer een zorgplicht en een meldplicht opgenomen, en wordt ook het toezicht op informatiebeveiliging geregeld. De NIS2-richtlijn is niet rechtstreeks van toepassing op gemeenten, maar wordt uitgewerkt in de Cyberbeveiligingswet, waar gemeenten wel aan moeten voldoen. Bij aanvang van dit onderzoek was de verwachting dat de Cyberbeveiligingswet in oktober van dit jaar (2025) in werking zou treden. De wet lijkt nu uitgesteld tot het tweede kwartaal van 2026. Dat betekent geenszins dat de voorbereidingen die de gemeente treft c.q. getroffen heeft voor niets zijn geweest.

Pagina 11 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

Vanaf het moment dat de wet ingaat, moet de gemeentelijke informatiebeveiliging voldoen aan de eisen van deze wet. De invoering van de Cyberbeveiligingswet leidt tot een taakverzwaring en extra kosten voor gemeenten. De VNG heeft in een reactie op deze wet gevraagd om compensatie van het Rijk voor deze kosten.1 De maatregelen die de Cyberbeveiligingswet voorschrijft om de informatiebeveiliging te verbeteren, de zorgplicht, zijn grotendeels opgenomen in de BIO2. In de Cyberbeveiligingswet gaat het naast de beveiliging van kantoorautomatisering (KA) ook over de beveiliging van operationele technologie (OT). Deze OT betreft bijvoorbeeld gemeentelijke bruggen en sluizen die op afstand worden bediend, en camera’s in de openbare ruimte. Nieuw met de komst van de Cyberbeveiligingswet is ook dat er naast ad hoc toezicht (achteraf, via rapportage aan de raad en de stelselhouders bij het Rijk) ook proactief toezicht zal worden gehouden op de informatiebeveiliging van gemeenten. De Rijksinspectie Digitale Infrastructuur (RDI) is daarvoor aangewezen als toezichthouder voor de gemeenten en andere overheidsorganisaties. In 2018 is de Algemene Verordening Gegevensbescherming (AVG) in werking getreden. Deze verordening betreft een uitwerking van Europese regelgeving die bedoeld is om de privacy van alle inwoners (beter) te beschermen.

De Autoriteit Persoonsgegevens houdt toezicht op de uitvoering van de AVG in Nederland. Wanneer gemeenten de bescherming van persoonsgegevens niet op orde hebben, riskeren zij een boete van de Autoriteit Persoonsgegevens. Het maatschappelijk en financieel belang van een adequaat privacybeleid is groot. Gemeenten hebben echter niet alleen een goed privacybeleid nodig, maar ook een goede uitvoering daarvan. Beiden zijn verplicht op grond van de AVG. Omdat de beveiliging van persoonsgegevens veel raakvlak heeft met de beveiliging van informatie in het algemeen, zijn de verplichtingen die voortvloeien uit de AVG ook meegenomen in dit onderzoek. De BIO is sinds 2019 het verplichte basisnormenkader voor informatiebeveiliging binnen alle overheidslagen (en dus ook gemeenten). De BIO is gebaseerd op de informatiebeveiligingsstandaarden ISO 27001 en ISO 27002 en omvat een minimum aan maatregelen die getroffen moeten worden op het gebied van informatiebeveiliging. Gemeenten baseren hun informatiebeveiligingsbeleid en hun verantwoording aan de gemeenteraad en de toezichthouders vanuit het Rijk in belangrijke mate op deze BIO. De BIO wordt op dit moment doorontwikkeld naar de BIO2 en wordt wettelijk verplicht onder de Cyberbeveiligingswet.

In de BIO2 is mede naar aanleiding van de komst van de Cyberbeveiligingswet de verantwoordelijkheid van het hogere management in de gemeentelijke informatiebeveiliging vastgelegd. Ook het toewijzen van benodigde middelen, het verhogen van veiligheidsbewustzijn en het uitvoeren van controles maken onderdeel uit van de BIO2. Voor raadsleden biedt de BIO aanknopingspunten om hun controlerende en kaderstellende rol in te vullen. De BIO kent vijf onderdelen die het hele domein van informatiebeveiliging goed afdekken: BIO onderdeel Beleid en organisatie

Toelichting Actueel beleid en organisatie van informatiebeveiliging, bewustwording en (controle op) naleving Personeel en toegang Juiste toegang voor medewerkers tot gebouwen, systemen en gegevens Continuïteit en incidenten Zorgen voor de continuïteit van de gemeentelijke dienstverlening en opvolging van incidenten Informatiesystemen Veilige omgang met informatiesystemen en afspraken hierover met leveranciers Databescherming Veilige omgang met data in gemeentelijke software

1 zie VNG-reactie consultatie Cyberbeveiligingswet (NIS2) | VNG voor meer informatie

Pagina 12 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

Door de raad op hoofdlijnen inzicht te geven in de mate waarin de gemeente voldoet aan de BIOnormen, wordt duidelijk waar de informatiebeveiliging op orde is en waar nog een extra inzet gepleegd moet worden om aan het wettelijk kader te voldoen. ENSIA is ontstaan uit een gezamenlijk initiatief van een aantal departementen en de VNG. Het doel van ENSIA is om tot een effectief en efficiënt ingericht verantwoordingsstelsel voor informatieveiligheid te komen. De ENSIA is een jaarlijkse audit die gebaseerd is op de BIO. Uitgangspunt voor ENSIA is het horizontale verantwoordingsproces waarin het college van B&W. zich over de informatieveiligheid verantwoordt aan de gemeenteraad. Deze verantwoording vormt de basis voor de verantwoording aan de stelselhouder (bijvoorbeeld het ministerie van BZK of SZW). Er wordt dus jaarlijks één audit uitgevoerd waarvan (een deel van) de resultaten zowel naar de gemeenteraad als de stelselhouder gaan. Net als de BIO, wordt ook de ENSIA op dit moment doorontwikkeld naar een nieuwe versie. Deze moet vooral gebruikersvriendelijker worden, zowel voor de ambtelijke organisatie als het gemeentebestuur.

2.3.

Bestuur & organisatie

Informatieveiligheid is van de hele gemeentelijke organisatie. Vaak is in beleidsdocumenten vastgelegd dat het lijnmanagement hier verantwoordelijkheid voor draagt. Managers moeten erop toezien dat richtlijnen bij medewerkers bekend zijn en worden nageleefd. Vanuit wet- en regelgeving is een aantal functies verplicht gesteld. Zo verplicht de AVG gemeenten om een Functionaris Gegevensbescherming (FG) in dienst te hebben en dient de Chief Information Security Officer (CISO) volgens de BIO2 zo gepositioneerd te zijn binnen de organisatie dat hij onafhankelijk van de lijn kan adviseren over informatieveiligheid 2. Het college is eindverantwoordelijk voor de informatieveiligheid van de organisatie. Het college stelt beleid vast en ziet erop toe dat onbevoegden zich geen toegang kunnen verschaffen tot gemeentelijke informatiesystemen. Mocht dit toch gebeuren, dan kan het nodig zijn om een crisisorganisatie in te richten. De gemeenteraad is bevoegd de kaders te stellen en het college te controleren. Allereerst wordt van de gemeenteraad verwacht dat hij voldoende middelen beschikbaar stelt, zodat de gemeente aan wet- en regelgeving kan voldoen. In de praktijk blijkt vaak dat raden het lastig vinden om hun controlerende rol goed in te vullen omdat informatieveiligheid als een technisch onderwerp wordt beschouwd3.

Maar net als bij andere beleidsterreinen is ook hier aan de gemeenteraad om kaders te stellen en te controleren of de gemeente recht- en doelmatig handelt.

2.4.

Weerbaarheid

Elke gemeente neemt maatregelen om onbevoegd gebruik van data en informatiesystemen tegen te gaan. Het gaat hierbij niet alleen om het risico op een hack, maar ook onbedoeld verlies van geclassificeerde informatie, of een IT-leverancier van de gemeente die een fout maakt, waardoor de continuïteit van de gemeentelijke dienstverlening in gevaar komt.

2 CISO (Chief Information Security Officer): Verantwoordelijk voor het ontwikkelen en implementeren van het

informatiebeveiligingsbeleid binnen een organisatie. Houdt toezicht op de beveiliging van informatie en zorgt ervoor dat de organisatie voldoet aan relevante wet- en regelgeving. Heeft kennis van informatiebeveiliging, risicoanalyse en beveiligingstechnieken. De CISO kan in zijn taken worden bijgestaan door een Information Security Officer, een ISO. FG (Functionaris Gegevensbescherming) of DPO (Data Protection Officer): Houdt toezicht op de naleving van de Algemene Verordening Gegevensbescherming (AVG) binnen een organisatie. Adviseert en rapporteert aan het hoogste managementniveau over privacykwesties. Is verplicht voor overheidsinstanties en organisaties die op grote schaal bijzondere persoonsgegevens verwerken. PO (Privacy Officer): Ontwikkelt en voert het privacybeleid uit binnen een organisatie. Ondersteunt de FG en fungeert als juridisch adviseur op het gebied van privacy. Is niet verplicht zoals de FG, maar speelt een belangrijke rol in het waarborgen van privacy binnen de organisatie. 3 Toezicht in het kader van de Cyberbeveiligingswet – Naar gelaagd en geslaagd toezicht, Onderzoek van PBLQ in opdracht van de VNG, IPO en de Unie van Waterschappen, juli 2025

Pagina 13 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

Bij weerbaarheid gaat het in eerste instantie om preventieve maatregelen die worden genomen om digitale verstoringen te voorkomen. Voorbeelden van deze maatregelen zijn het autorisatiebeleid en de toegang van medewerkers tot de verschillende informatiesystemen. Ook bewustwordingsactiviteiten als (online) opleidingen en pentesten zijn belangrijke preventieve maatregelen om verstoringen te voorkomen. Bij opleidingen gaat het niet alleen over de vraag of er voldoende wordt aangeboden, maar ook over de mate waarin opleidingen (al dan niet verplicht) worden gevolgd en de wijze waarop hierop wordt gemonitord en gestuurd. Pentesten 4 kunnen zowel betrekking hebben op de technische beveiliging van informatiesystemen als op de medewerkers (human factor pentesten). Voorbeelden van deze laatste categorie zijn ‘phishing mails’ en mystery guests, die proberen om fysiek het gemeentehuis binnen te komen en toegang te krijgen tot informatiesystemen. Weerbaarheid gaat daarnaast over de respons van de gemeente als een digitale verstoring zich voordoet. Reageert de gemeente adequaat? Wordt er tijdig opgeschaald en een crisisorganisatie ingericht en worden hier de juiste beslissingen genomen? Met oefeningen en simulaties van digitale verstoringen kan de gemeente inzicht krijgen in de effectiviteit van de respons op een digitale verstoring.

4 Een pentest, oftewel penetratietest, is een gecontroleerde en gesimuleerde cyberaanval op een computersysteem, netwerk

of webapplicatie met als doel om kwetsbaarheden te identificeren voordat kwaadwillenden dat doen.

Pagina 14 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

3. Proces en organisatie In dit hoofdstuk gaan we in op deelvraag 1 en geven we een overzicht van wat de gemeente Stichtse Vecht doet op het gebied van informatieveiligheid. We kijken daarbij naar het beleid, risicomanagementprocedures en welke beheersmaatregelen er getroffen worden. Ook besteden we aandacht aan de omgang van de gemeente met datalekken. Conclusies uit dit hoofdstuk: • Stichtse Vecht beschikt over BIO-conform informatiebeveiligingsbeleid, maar het beleidsplan (met looptijd tot 2023) is verouderd; • De gemeente Stichtse Vecht voldoet niet volledig (73%) aan de BIO; • De 10 maatregelen van de Cyberbeveiligingswet zijn nog niet allemaal ingeregeld. • De gemeente heeft maatregelen genomen om persoonsgegevens te beschermen. Ook is er een protocol datalekken waarin is vastgelegd dat belanghebbenden over een datalek worden geïnformeerd.

3.1.

Strategisch informatiebeveiligingsbeleid

De gemeente Stichtse Vecht heeft een strategisch informatiebeveiligingsbeleid 2020-2023, dat is opgesteld door de CISO5. Dit beleid blijft van kracht totdat er meer duidelijkheid is over de invoering van de BIO2 en de Cyberbeveiligingswet6. De gemeente staat echter niet stil en is bezig met een grote transitie op het gebied van informatievoorziening (IV) en ICT. De afgelopen jaren heeft de gemeente gewerkt aan het ontwikkelen van de (ICT) organisatie, mede op basis van het coalitieakkoord 2022-2026 waarin de ambitie is opgenomen om het fundament op orde te krijgen 7. Het beleid is opgesteld naar het model van de VNG. De tien bestuurlijke principes voor informatiebeveiliging zoals uitgewerkt door de VNG vormen een belangrijk uitgangspunt voor het beleid, met name met betrekking tot de rol van het bestuur 8: De basis voor het strategisch beleid is de NEN-ISO/IEC 27002:2017 en de daarvan afgeleide Baseline Informatiebeveiliging Overheid (BIO). De gemeente voldoet op dit moment nog niet aan de BIO. De gemeente Stichtse Vecht heeft de volgende strategische doelen opgesteld: Strategische doelen • Het managen van de informatiebeveiliging. • Adequate bescherming van bedrijfsmiddelen. • Het minimaliseren van risico’s van menselijk gedrag. • Het voorkomen van ongeautoriseerde toegang. • Het garanderen van correcte en veilige informatievoorzieningen.

• Het beheersen van de toegang tot informatiesystemen. • Het waarborgen van veilige informatiesystemen. • Het adequaat reageren op incidenten. • Het beschermen van kritieke bedrijfsprocessen. • Het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers. • Het waarborgen van de naleving van dit beleid. De uitgangspunten van het beleid van de gemeente Stichtse Vecht zijn als volgt: 5 Bron: Strategisch Informatiebeveiligingsbeleid 2020-2023 versie 1.1, (geactualiseerd in 2024). 6 Dit is opgenomen in de Memo Uitstellen actualisering Strategisch Informatiebeveiligingsbeleid, (14 oktober

2024). 7 Zie ook: Coalitieakkoord 2022-2026 ‘Bouwen aan een stevig fundament voor Stichtse Vecht’, p. 5-6. 8 Bron: De tien bestuurlijke principes voor informatiebeveiliging, VNG, (2019). Geraadpleegd via: https://www.informatiebeveiligingsdienst.nl/product/de-10-bestuurlijke-principes-voor-informatiebeveiliging/

Pagina 15 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

Uitgangspunten van het beleid • Alle informatie en informatiesystemen zijn van belang voor de gemeente, bepaalde informatie is van vitaal en kritiek belang9. Het college van B&W is eindverantwoordelijke voor de informatiebeveiliging. • De uitvoering van de informatiebeveiliging is een verantwoordelijkheid van het lijnmanagement. Alle informatiebronnen en -systemen die gebruikt worden door de gemeente Stichtse Vecht hebben een interne eigenaar die de vertrouwelijkheid en/of waarde bepaalt van de informatie die ze bevatten. De primaire verantwoordelijkheid voor de bescherming van informatie ligt dan ook bij de eigenaar van de informatie. • Door periodieke controle, organisatiebrede planning én coördinatie wordt de kwaliteit van de informatievoorziening verankerd binnen de organisatie. Het informatiebeveiligingsbeleid vormt samen met de Jaaropdracht Gegevensbescherming en Informatieveiligheid het fundament onder een betrouwbare informatievoorziening. In de Jaaropdracht Gegevensbescherming en Informatieveiligheid wordt de betrouwbaarheid van de informatievoorziening organisatiebreed benaderd. Het plan wordt periodiek bijgesteld op basis van nieuwe ontwikkelingen, registraties in het incidentenregister en bestaande risicoanalyses. • Informatiebeveiliging is een continu verbeterproces. ‘Plan, do, check en act’ vormen samen het managementsysteem van informatiebeveiliging.

• De gemeente stelt de benodigde mensen en middelen beschikbaar om haar eigendommen en werkprocessen te kunnen beveiligen volgens de wijze zoals gesteld in dit beleid. • Regels en verantwoordelijkheden voor het beveiligingsbeleid dienen te worden vastgelegd en vastgesteld. • Iedere medewerker, zowel vast als tijdelijk, intern of extern, is verplicht waar nodig gegevens en informatiesystemen te beschermen tegen ongeautoriseerde toegang, gebruik, verandering, openbaring, vernietiging, verlies of overdracht en bij vermeende inbreuken hiervan melding te maken. • Continuïteit, bij continuïteitsbeheer gaat het om maatregelen die gericht zijn om langdurige onderbreking van bedrijfsactiviteiten bij de gemeente tegen te gaan en om kritieke bedrijfsprocessen te beschermen tegen de gevolgen van omvangrijke storingen in informatiesystemen of rampen en om tijdig herstel te bewerkstelligen. • Security by design, security maakt onderdeel uit van de processen en dient vanaf de beginfase betrokken te zijn. Tactisch beleid Het strategisch informatiebeveiligingsbeleid wordt uitgewerkt in tactische plannen en richtlijnen voor de verschillende onderdelen van het beleid. De CISO en ISO werken dit uit, waarna het tactisch beleid wordt vastgesteld door de directie. Team data en informatiemanagement (D&I) stelt beleid op met een sterke technische component, waarbij advies wordt ingewonnen bij de CISO.

Het eigenaarschap van het technische beleid ligt echter bij D&I, de uitvoering van het beleid kan vervolgens wel in samenwerking met de CISO/ISO opgepakt worden. Het tactisch beleid dat door D&I moet worden opgesteld is ten tijde van dit onderzoek nog niet voor alle onderdelen uitgewerkt, hoewel het strategisch informatiebeveiligingsbeleid al sinds 2020 van kracht is. Uit de gesprekken komt naar voren dat dit te maken heeft met onvoldoende capaciteit binnen D&I, waardoor het opstellen van beleid blijft liggen. Dat betekent niet dat er in de uitvoering niks gebeurt, het formeel vastleggen op papier blijft echter nog achter. Jaaropdrachten De uitwerking van het tactisch beleid in concrete maatregelen vond tot en met 2023 plaats in de Jaaropdracht Gegevensbescherming en Informatieveiligheid. Sinds de inwerkingtreding van het strategisch beleid werd er jaarlijks een Jaaropdracht Gegevensbescherming en Informatieveiligheid 9 Welke informatie hieronder valt wordt bepaald aan de hand van risicoanalyses, zo stelt het beleid. Aan de

hand van de geïdentificeerde risico’s worden maatregelen getroffen om de informatie te beveiligen.

Pagina 16 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

uitgeschreven waarin de werkzaamheden voor dat jaar uiteengezet waren 10. De organisatie is hier echter na 2023 mee gestopt. De FG, CISO en Privacy Officers zijn verantwoordelijk voor het uitvoeren en borgen van de opdrachten uit de jaaropdracht. Uit de interviews bleek dat de jaaropdrachten in de praktijk vooral op initiatief en met input van de CISO opgesteld en uitgevoerd werden. Het eigenaarschap voor de uitvoering van de jaaropdracht binnen de organisatie ontbrak. Door het stoppen met de jaaropdracht is echter ook een regulier plannings- en verantwoordingsinstrument verdwenen. De onderwerpen die voor 2023 op de planning stonden hadden vooral te maken met privacy. Het ging daarbij om het uitvoeren van DPIA’s 11, het actualiseren van het verwerkingsregister, het actualiseren van het privacybeleid, het actualiseren van de procedure “rechten van betrokkenen” en het protocol meldplicht datalekken, het vergroten van bewustwording omtrent gegevensbescherming. Op het gebied van informatieveiligheid waren er enkele actiepunten met betrekking tot het verhogen van digitale weerbaarheid, het implementeren van maatregelen in het kader van de BIO en het laten uitvoeren van de pentest. De pentest is in 2022 uitgevoerd. Een deel van de overige activiteiten stond ook in de jaaropdracht van 2022 al op de planning, maar is in dat jaar niet uitgevoerd.

Het gaat daarbij om het uitvoeren van DPIA’s, het actualiseren van het verwerkingsregister, het actualiseren van de procedure “rechten van betrokkenen” en het protocol meldplicht datalekken en het laten uitvoeren van een pentest. Een aantal acties, zoals het implementeren van maatregelen in het kader van de BIO, zijn doorlopende acties die dus in beide jaren op de planning stonden. Naar aanleiding van de ENSIA rapportage 2024 en de GAP analyse zijn in 2025 7 verschillende projecten opgepakt om de informatieveiligheid te verhogen. Uit de gesprekken blijkt dat er wel wordt gerapporteerd aan de gemeentesecretaris en het college, maar niet op basis van een reguliere verantwoordingsrapportage. Daardoor is er ook geen overzicht van risico’s waarop gestuurd kan worden.

3.2.

Rollen en verantwoordelijkheden

In het strategisch informatiebeveiligingsbeleid worden verschillende rollen gedefinieerd. Dit is op basis van het Three Lines of Defence model. De eerste lijn wordt gevormd door het management en is verantwoordelijk voor risicomanagement in de processen. De tweede lijn bestaat uit specialisten die de eerste lijn ondersteunen bij het uitvoeren van de activiteiten die nodig zijn voor risicomanagement. De derde lijn houdt toezicht op de werkzaamheden van de eerste en tweede lijn. In de gemeente Stichtse Vecht is het lijnmanagement verantwoordelijk voor de eigen processen. De tweede lijn (CISO, PO en FG) ondersteunt, adviseert, coördineert en bewaakt of het management zijn verantwoordelijkheden ook daadwerkelijk neemt. In de derde lijn wordt het geheel door een auditor van een objectief oordeel voorzien met mogelijkheden tot verbetering. In de praktijk voeren de CISO en de ISO vaak samen de tweede en derde lijn uit. Informatiebeveiliging is echter een verantwoordelijkheid van alle medewerkers van de gemeente. Iedereen moet zich bewust zijn van de risico’s die er zijn en op zorgvuldige wijze omgaan met de gegevens en informatie waar hij of zij tijdens het werk mee te maken krijgt.

Het college van B&W is bestuurlijk eindverantwoordelijk voor informatiebeveiliging en risicomanagement binnen de gemeente en rapporteert daarover aan de gemeenteraad, die daarbij een kaderstellende en controlerende rol heeft. Binnen het college is er een portefeuillehouder aangesteld voor informatiebeveiliging. De gemeentesecretaris is ambtelijk eindverantwoordelijk voor informatiebeveiliging en rapporteert aan het college en de portefeuillehouder. Het directieteam van de gemeente is verantwoordelijk voor het (laten) uitwerken en uitvoeren van onderwerp specifieke tactische beleidsregels die aanvullend zijn op het strategisch beleid. De directie rapporteert hierover aan het college en de portefeuillehouder. De uitvoering van de informatiebeveiliging binnen de gemeentelijke processen is de verantwoordelijkheid van het 10

Zie ook Jaaropdracht Gegevensbescherming & Informatieveiligheid 2022 en Jaaropdracht Gegevensbescherming & Informatieveiligheid 2023. 11 Een Data Protection Impact Assesment (DPIA) is een verplicht onderzoek onder de AVG dat organisaties moeten uitvoeren om de privacyrisico's van een (nieuwe) gegevensverwerking in kaart te brengen, voordat deze start.

Pagina 17 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

lijnmanagement (de teammanagers). Zij zijn eigenaren van informatiebronnen- en systemen die gebruikt worden door de gemeente. Het lijnmanagement legt verantwoording af aan het directieteam. De Chief Information Security Officer (CISO) is verantwoordelijk voor de organisatie van informatiebeveiliging en heeft als taak om de informatieveiligheid van de gemeente op een hoger niveau te brengen en in de organisatie te borgen. De CISO rapporteert aan de gemeentesecretaris en de portefeuillehouder. Op het gebied van privacy zijn de privacy officers verantwoordelijk voor de uitvoering van het privacybeleid en alle activiteiten die daarbij horen. Zij rapporteren hierover aan het directieteam. De Functionaris Gegevensbescherming (FG) ziet er als onafhankelijke toezichthouder op toe dat de gemeente persoonsgegevens beschermt en beveiligt volgens de normen van de AVG. De FG rapporteert hierover rechtstreeks aan het college.

3.3.

Risicomanagement

Het strategisch informatiebeveiligingsbeleid schetst dat de aanpak die de gemeente hanteert voor informatiebeveiliging, gebaseerd is op risicobeheersing. Informatiebeveiliging wordt door de gemeente gezien als een continu verbeterproces met de PDCA-cyclus als uitgangspunt. In de jaarstukken van de gemeente worden risico’s met betrekking tot informatiebeveiliging beschreven in de vaste paragraaf ‘weerstandsvermogen en risicobeheersing’ 12. Onder de Cyberbeveiligingswet wordt risicomanagement een verplicht onderdeel waar veel aandacht aan besteed moet worden, om vervolgens de juiste maatregelen te kunnen treffen. Hier wordt in hoofdstuk 6 verder op ingegaan. Uit de gesprekken blijkt dat risicomanagement binnen de gemeente Stichtse Vecht nog volop in ontwikkeling is. Er is een duidelijke wens om te groeien naar een meer planmatige aanpak en sturing op risico’s via een ISMS. In het strategisch informatiebeveiligingsbeleid staat dat één van de verantwoordelijkheden van teammanagers het uitvoeren van quickscans is op basis van de BIO om risico-afwegingen te kunnen maken. Op basis van risico’s worden vervolgens beveiligingsmaatregelen bepaald.13 Uit het onderzoek is gebleken dat dit beleid niet structureel gevolgd wordt voor alle processen.

De gemeente heeft 11 processen geïdentificeerd als kritiek en voor die processen zijn quickscans en Business Impact Analyses (BIA’s) uitgevoerd.14 Daarin worden de risico’s binnen deze processen in kaart gebracht en worden bijbehorende maatregelen om deze risico’s te mitigeren benoemd. In 2024 is er een rekenkameronderzoek uitgevoerd naar risicomanagement in brede zin binnen de gemeente Stichtse Vecht. De hoofdconclusie uit dit onderzoek is dat de gemeente Stichtse Vecht de afgelopen jaren een stevig fundament heeft gebouwd op het gebied van risicomanagement. Toch is risicomanagement volgens de onderzoekers nog te weinig geborgd in de processen van de organisatie en is er sterke afhankelijkheid van de inzet van individuele medewerkers van de gemeente, waardoor een eenduidige werkwijze ontbreekt. Volgens de onderzoekers beschikt de gemeente over de benodigde capaciteit, kennis en instrumenten om het risicomanagement van de gemeente te verbeteren15. In het kader van de Cyberbeveiligingswet wordt het uitvoeren van risicoanalyses ten behoeve van informatiebeveiliging verplicht. In hoofdstuk 6 wordt hier nader op ingegaan. Het is voor de gemeente dus van groot belang om een gedegen risicomanagement procedure te hebben, die is geborgd in de organisatie en bij de juiste personen is belegd.

12 Bron: Gemeente Stichtse Vecht Jaarstukken 2022 en Jaarstukken 2023. 13

Bron: Gemeente Stichtse Vecht (2024) Strategisch Informatiebeveiligingsbeleid 2020-2023 versie 1.1, p. 13. Bron: Diverse BIA’s (2024). 15 Bron: Rekenkamer Stichtse Vecht (2024) Risicomanagement in de gemeente Stichtse Vecht. 14

Pagina 18 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

3.4.

Risico’s en kwetsbaarheden

Begin 2025 is er een GAP-analyse uitgevoerd naar de BIO-compliance op basis van de resultaten van de ENSIA audit van 202416. Deze analyse is eerder uitgevoerd in 2021 en 2023, waardoor inzichtelijk is wat de voortgang is. Er is geen uitgewerkt tactisch beleid waarin het proces voor het uitvoeren van deze GAP-analyses staat beschreven. De GAP-analyses worden incidenteel uitgevoerd maar dit is niet geborgd in de organisatie. Er ontbreekt een PDCA-cyclus voor dit proces. In 2021 was de totaalscore op het voldoen aan de BIO van de gemeente 64%, in 2023 was dit 76% en in 2024 daalde de score weer tot 73%. Deze daling komt voort uit dalingen op de thema’s toegangsbeveiliging, beveiliging bedrijfsvoering, communicatiebeveiliging, leveranciersrelaties en naleving. Met name communicatiebeveiliging en naleving tonen grote dalingen van beide 25% ten opzicht van 202317. Dat is een zorgelijke ontwikkeling. Op basis van deze aandachtspunten is er een overzicht gemaakt van acties die moeten worden uitgevoerd om wel aan de BIO te kunnen voldoen. Op basis van een risicoanalyse is er een prioritering gemaakt van deze acties, inclusief een planning voor de uitvoering van de acties 18.

3.5.

Datalekken

Naast de BIO moet de gemeente ook voldoen aan de AVG. Eén van de strategische doelen uit het strategisch informatiebeveiligingsbeleid is Het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers. Eén van de verplichtingen van de AVG is dat organisaties alle datalekken moeten documenteren, ook de datalekken die niet worden gemeld aan de Autoriteit Persoonsgegevens (AP). Stichtse Vecht registreert de datalekken, net als andere beveiligingsincidenten, in TOPdesk. Voor het behandelen van (mogelijke) datalekken gebruikt de gemeente een protocol 19. De laatste versie van dit protocol is in 2019 vastgesteld. Hierin staat nauwkeurig beschreven welke procedures er gevolgd moeten worden. De FG beoordeelt per datalek of de betrokkenen geïnformeerd moeten worden. De FG doet dat vanuit zijn of haar onafhankelijke rol. De privacy officer heeft daarbij een adviserende rol om te zorgen dat de melding voldoet aan de criteria van de AVG. In 2024 zijn er 37 meldingen gedaan van mogelijke datalekken 20. Na onderzoek bleek dat 30 van deze meldingen daadwerkelijk een datalek betroffen. Hier zijn vervolgens maatregelen voor getroffen en is er indien nodig melding gemaakt bij de AP en/of betrokkenen.

In zowel de Jaaropdracht Gegevensbescherming en Informatieveiligheid 2023 als de Jaaropdracht 2022 was het actualiseren van het protocol meldplicht datalekken één van de actiepunten. De actualisatie was met name nodig op het punt van de rollen bij de afwikkeling van datalekken in het algemeen en het informeren van betrokkenen in het bijzonder. Uit het onderzoek blijkt dat het er een nieuw concept protocol bestaat. Dit protocol is echter nog niet formeel vastgesteld.

16 Bron: GAP-analyse BIO 2024, (2024).

17 De daling kan ook een gevolg zijn van een kritischer invulling van de ENSIA vragenlijst en GAP analyse. 18

Bron: Prioritering maatregelen Infra en KA 0.3, (2025).

19 Bron: Protocol meldplicht datalekken, (2019). 20

Bron: Bijlage met nadere uitwerking geregistreerde datalekken periode januari t/m december 2024, (2024).

Pagina 19 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

4. Mens In dit hoofdstuk beantwoorden wij de deelvragen die betrekking hebben op de bewustwording en competentieontwikkeling op het gebied van digitale veiligheid bij de medewerkers van de gemeente Stichtse Vecht. Om deze vragen te beantwoorden hebben wij, naast interviews en een documentstudie, een focusgroep uitgevoerd. Bij deze focusgroep waren 14 medewerkers van twee verschillende afdelingen aanwezig. Aan de hand van stellingen hebben wij met hen het gesprek gevoerd over hoe er op de werkvloer met informatiebeveiliging wordt omgegaan. Deze methode levert betrouwbaarder informatie op dan bijvoorbeeld een vragenlijst, waar vaak sociaal wenselijke antwoorden gegeven worden. Conclusies uit dit hoofdstuk: • De medewerkers van de gemeente Stichtse Vecht zijn bekend met het gemeentelijk beleid op het gebied van privacy en informatiebeveiliging. Het belang van dit beleid wordt onderkend en medewerkers volgen richtlijnen en instructies. • Er worden trainingen aangeboden op het gebied van informatiebeveiliging. Ook is de tweefactor-authenticatie ingeregeld.

4.1.

Leer- en ontwikkelprogramma’s

Informatiebeveiliging is een vast onderdeel in het ontwikkelprogramma van de gemeente. Zowel in het onboardingprogramma voor nieuwe medewerkers als in het programma voor zittende medewerkers wordt hieraan aandacht besteed. Ook in de organisatiecultuur is aandacht voor informatieveiligheid. Zo is in de ambtseed, die nieuwe medewerkers afleggen, opgenomen dat medewerkers zorgvuldig moeten omgaan met informatiesystemen en gegevens. Daarnaast wordt ook in de trainingen op het gebied van integriteit aandacht besteed aan digitale veiligheid. Voorts wordt een open organisatiecultuur nagestreefd, waarbij medewerkers gestimuleerd worden om fouten, die bijvoorbeeld leiden tot een datalek, te melden. Dit komt onder andere tot uiting in de slogan: ‘Je bent een held als je meldt’ en verschillende activiteiten die jaarlijks in oktober, ‘de maand van de veiligheid’ worden georganiseerd. In het inwerkprogramma voor nieuwe medewerkers zijn vijf online microlearnings en een bewustwordingssessie over digitale veiligheid opgenomen. Deze moeten de eerste drie maanden na indiensttreding verplicht worden gevolgd. De bewustwordingssessie wordt verzorgd door de CISO en de PO. Dat zorgt voor bekendheid van deze medewerkers en inhoudelijk maatwerk dat is toegespitst op de organisatie Stichtse Vecht. Digitale veiligheid is ook verplichte kost voor zittende medewerkers.