Rapport Digitale Veiligheid Stichtse Vecht.pdf

In een uitgebreide e-learning, die bestaat uit zeven modules over verschillende onderdelen van digitale veiligheid en privacy, wordt kennis en informatie overgedragen. Elke module wordt afgesloten met een test van 10 vragen waarvan er minstens 8 goed beantwoord moeten worden. Als dit programma met goed gevolg wordt afgesloten, volgen medewerkers jaarlijks een lichter programma dat bestaat uit twee verschillende modules met elk een test. Naast deze structurele activiteiten worden ook incidentele activiteiten ingezet om het I-bewustzijn te vergroten. Voorbeelden hiervan zijn een summerschool, een escape room en extra werkconferentie voor de gemeenteraad die in de aanloop naar de Cyberbeveiligingswet is georganiseerd. Leidinggevenden moeten sturen op deelname van hun medewerkers aan de (verplichte) programma’s. Hierbij is nog verbetering mogelijk. Zo is in 2025 het sturen op verplichte deelname aan opleidingsprogramma’s nog niet als KPI vastgesteld. Wel worden managers ondersteund bij het voeren van lastige gesprekken. Pagina 20 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

4.2.

Phishing tests en Mystery Guest

De CISO voert periodiek een phishing test uit om na te gaan hoe het I-bewustzijn zich in de organisatie ontwikkelt. Bij zo’n test wordt een ‘fake mail’ verzonden naar de medewerkers waarin gevraagd wordt om gevoelige informatie achter te laten (gebruikersnaam en wachtwoord). Uit een vergelijking tussen de verschillende testen blijkt dat het I-bewustzijn de afgelopen jaren is toegenomen. Toch hebben in de laatste test (van juni 2024) nog 90 van de 716 ontvangers van de phishing mail op de link geklikt. Van deze 90 medewerkers hebben er vier gegevens achtergelaten (tegen 33 bij de vorige test). Een belangrijke conclusie uit de laatste phishing test is dan ook dat er blijvende aandacht nodig is voor informatiebeveiliging. In aanvulling op deze phishing test is in 2023 eenmalig een mystery-guest-onderzoek uitgevoerd. Hierbij probeert een onderzoeker (de mystery guest) zich onbevoegd toegang te verschaffen tot de beveiligde gedeelten van het gemeentehuis om vervolgens te kijken of hij bij (vertrouwelijke) informatie kan komen. Dit betreft zowel digitale informatie (via openstaande en onbemande computers) als fysieke informatie (documenten op bureaus en/of mappen in kasten die niet op slot zijn. De mystery guest wist eenvoudig binnen te komen en ook kon hij makkelijk bij (vertrouwelijke) gegevens.

Op basis van deze test heeft de CISO onder andere aanbevelingen gedaan aan de directie gericht om het clean-desk- en clear-screen-beleid aan te passen. Uit de focusgroep blijkt dat medewerkers van deze aanpassingen op de hoogte zijn.

4.3.

Uit de focusgroep: balans tussen veiligheid en gebruikersvriendelijkheid

Uit het gesprek met medewerkers in de focusgroep blijkt dat de (aanwezige) medewerkers zich bewust zijn van het belang van digitale veiligheid. Zij zijn op de hoogte van het beleid en weten over het algemeen wat te doen in geval van een datalek. Medewerkers geven aan dat een grote digitale verstoring, bijvoorbeeld door een hack, niet uit te sluiten valt. Zij vragen zich af of de gemeente zich hierop heeft voorbereid. Op de eigen afdeling is wisselend aandacht voor digitale veiligheid. Zeker als de werkdruk hoog is, gaat ‘het werk’ voor informatieveiligheid. Sommige medewerkers geven aan dat zij een actievere rol van hun leidinggevende verwachten op dit domein. Bijvoorbeeld door het onderwerp vaker op de agenda te zetten en te bespreken in bilaterale gesprekken. Een rode draad door het gesprek is de spanning tussen gebruikersvriendelijkheid aan de ene kant en informatiebeveiliging aan de andere. Medewerkers geven aan dat zij in een open omgeving werken met burgers, bedrijven en (zorg)instellingen waarmee zij regelmatig via verschillende systemen informatie uitwisselen. Elk van die systemen is op een eigen manier beveiligd met wachtwoorden en inlogcodes. Medewerkers klagen over het aantal wachtwoorden en de frequentie van inloggen (voor sommige systemen elke 30 minuten).

Het zorgt niet alleen voor vertraging, maar ook dat zij op zoek gaan naar snellere en alternatieve manieren van het delen en opslaan van gegevens en bestanden waarbij de informatieveiligheid niet is gegarandeerd . Een aantal medewerkers is van mening dat de balans tussen gebruikersvriendelijkheid en informatieveiligheid ernstig is verstoord.

Pagina 21 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

5. Techniek In dit hoofdstuk wordt ingegaan op technische maatregelen van digitale veiligheid in de gemeente Stichtse Vecht. Centraal staat deelvraag drie: Zijn gegevens bij de gemeente goed beschermd tegen de toegang door onbevoegden? Deze vraag wordt beantwoordt aan de hand van een aantal onderwerpen: ICT-infrastructuur en cloud, inkoop en leveranciersmanagement, penetratietesten, logging21, autorisaties, incidentmanagement en risico’s en kwetsbaarheden. Het is aan de gemeente om een risico-afweging te maken en daar (technische) maatregelen aan te koppelen. In dit rapport voor de gemeenteraad zoomen we in op of de voorgenomen technische maatregelen inderdaad zijn genomen en of processen worden gevolgd zoals beschreven in plannen en beleid. Conclusies uit dit hoofdstuk: • De gemeente heeft maatregelen genomen om de informatieveiligheid te borgen. Zo is het toegangsbeleid bekend bij alle medewerkers en wordt dat goed nageleefd. • In het deltaplan ICT van de gemeente wordt impliciet rekening gehouden met Informatiebeveiliging, maar risicosturing is nog onvoldoende; • De gemeente heeft een Cloudstrategie waarbij de applicaties worden overgebracht naar de Cloud. Hierdoor worden leveranciers verantwoordelijk voor de technische aspecten van informatiebeveiliging. • Informatiebeveiliging wordt hierdoor een zaak van goed contractmanagement.

De gemeente controleert bij de leveranciers van ICT Infra en kantoorautomatisering van team D&Q of zij de gemaakte afspraken op het gebied van informatiebeveiliging nakomen.

5.1.

Deltaplan ICT en IV

De gemeente had tot 2023 nog eigen servers die sterk verouderd waren. Daarnaast werkten de systemen nog op Windows 2012 en Microsoft ging stoppen met de ondersteuning daarvan. Dit was aanleiding voor de gemeente om met grote spoed de infrastructuur over te brengen naar een serverpark bij Centric en de serverruimte bij de gemeente uit te zetten. De situatie was ontstaan door een combinatie van factoren. Zo was er onvoldoende geïnvesteerd in ICT en IV, waren verkeerde keuzes gemaakt en werd met de verkeerde strategische partner samengewerkt. De gemeente werkt inmiddels aan een grote inhaalslag op het gebied van ICT en IV en heeft in 2024 het Deltaplan ICT en IV opgesteld22. Hiermee wordt een modernisering van de ICT en IV vormgegeven. Het Deltaplan ICT en IV is een overkoepelend document waarin een overzicht wordt gegeven van alle bestaande en nog op te stellen visies en beleidsstukken met betrekking tot de hele ICT en IV. Informatiebeveiliging is hier een onderdeel van. Het Deltaplan verbindt de verschillende uitdagingen op het gebied van ICT en IV met elkaar en is specifiek gericht op ontwikkeling van het professionaliseren van ICT en informatievoorziening. Het Deltaplan bestaat uit onder andere de volgende onderdelen: 1. Een visie op ICT infrastructuur (verwijzing naar reeds uitgevoerde datacentermigratie, Citrix/Windows upgrade) en kantoorautomatisering 2.

Een geformuleerde Cloudvisie en rationalisering van het applicatielandschap23 3. Een visie op ICT, IV en beveiliging

21

Logging is het systematisch vastleggen van gebeurtenissen, acties en processen binnen een IT-systeem, applicatie of netwerk. Het doel is om inzicht te krijgen in wat er gebeurt, wanneer het gebeurt, en door wie of wat het wordt veroorzaakt. 22 Bron: Deltaplan ICT en IVT, (2024). 23 De gemeente Stichtse Vecht hanteert de Cloud-tenzij visie voor het sourcen van IT-diensten en -oplossingen. Dit betekent dat het gebruik van clouddiensten en -oplossingen het uitgangspunt is, tenzij er specifieke redenen zijn om dit niet te doen (met name op het gebied van informatiebeveiliging, privacy, en kosten). Vanuit deze doelstelling wordt er naar gestreefd dat medio 2026 alle applicaties zijn ondergebracht zijn in een SAAS dienstverlening. De reden hiervoor is om zoveel mogelijk kostenreductie op de ICT-infrastructuur te realiseren. (bron Gemeente Stichtse Vecht (2024). Deltaplan ICT en IV, p.12-13)

Pagina 22 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

1. Visie ICT infrastructuur en kantoorautomatisering De uitgangspunten voor de ICT-infrastructuur zijn in december 2023 vastgesteld door de directie en op basis daarvan is de ICT-infrastructuur Europees aanbesteed..24 De gemeente heeft inmiddels een leverancier geselecteerd en gaat eind 2025 over naar de nieuwe infrastructuur.25 De geformuleerde visie op ICT-infrastructuur en kantoorautomatisering is als volgt: Visie ICT infrastructuur en kantoorautomatisering Wij dragen zorg voor eigentijdse, betrouwbare en veilige informatie- en communicatietechnologie (ICT). Hiervoor is een goede ICT infrastructuur de basis waarbij de gemeente Stichtse Vecht de ambitie heeft om aan te sluiten bij de landelijke ontwikkelingen. De gemeente heeft niet de behoefte om zelf voorop te lopen maar kijkt vooral wat haalbaar is waarbij het zich richt op moderne en bewezen technologie. Het ICT landschap van de gemeente Stichtse Vecht bestaat uit de infrastructuur, de digitale werkplek en de applicaties waarmee gewerkt wordt. 2. Visie Cloud De gemeente Stichtse Vecht heeft ook een visie geformuleerd op de ontwikkeling rond Cloud en SaaS-oplossingen26: Visie Cloud De gemeente Stichtse Vecht hanteert de Cloud-tenzij visie voor het sourcen van ITdiensten en -oplossingen.

Dit betekent dat het gebruik van cloud diensten en -oplossingen het uitgangspunt is, tenzij er specifieke redenen zijn om dit niet te doen (met name op het gebied van informatiebeveiliging, privacy, en kosten). In het Deltaplan ICT en IV is ook de rationalisering voor de visie opgenomen: • Minder investeren in eigen datacenter, en minimaliseren eigen beheerlast. Voorkomen dure en complexe IT-infrastructuur migraties; • Minder risicovolle en minder complexe aanbestedingen (voor business toepassingen); • Kortere implementatietrajecten voor nieuwe diensten en oplossingen; • Verbeteren flexibiliteit en schaalbaarheid van oplossingen en verhogen continuïteit ervan; • Transparantie en voorspelbaarheid kosten. Afrekenen op basis van gebruik (pay-per-use); • Sneller inspelen op veranderingen in de bedrijfsvoering; • Makkelijker en sneller kunnen inzetten van marktinnovaties. De gemeente streeft ernaar om medio 2026 alle applicaties onder te brengen in een SaaSdienstverlening. Als reden wordt genoemd dat dit zoveel mogelijk kostenreductie op de ICTinfrastructuur gaat realiseren.27 De visie rond ICT infrastructuur en cloud laten zien dat de gemeente inzet op enerzijds modernisering van de techniek en anderzijds het meer uitbesteden van het technisch beheer van de ICT.

De gemeente zet in betrouwbare, veilige en moderne ICT en wil aansluiten bij landelijke ontwikkelingen maar is daarin pragmatisch en wil niet vooroplopen. 3. Visie ICT en IV beveiliging 24

Gemeente Stichtse Vecht (2024). Deltaplan ICT en IV. Gemeente Stichtse Vecht (2024). Deltaplan ICT en IV, p.10 26 Een SaaS-oplossing is software die via internet wordt geleverd in plaats van dat de gebruiker deze zelf installeert. De software draait op de servers van de provider, die ook zorgt voor onderhoud, updates en infrastructuurbeheer. Gebruikers hebben toegang via een abonnement, meestal met een webbrowser, en hoeven zich geen zorgen te maken over de technische details. 27 Gemeente Stichtse Vecht (2024). Deltaplan ICT en IV, p.13. 25

Pagina 23 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

De visie op ICT en IV beveiliging van de gemeente luidt als volgt: Visie ICT en IV beveiliging Wij zorgen ervoor dat de bescherming van waardevolle informatie onze core business is. Daarbij nemen wij naarmate de informatie waardevoller is des te meer maatregelen. Kernprincipes voor de gemeente als het gaat om informatiebeveiliging en gegevensbescherming zijn toegankelijkheid en betrouwbaarheid van overheidsinformatie. Om gegevens te beschermen moeten er risicogebaseerde maatregelen getroffen worden. De gemeente houdt daarbij rekening met de BIO, NIS2, AVG, Archiefwet, Wet open overheid (Woo) en Wet politiegegevens (Wpg). De beveiliging van door de gemeente gebruikte systemen moet ook minimaal voldoen aan deze normen. Het Deltaplan bevat een planning waarin op kwartaalniveau is aangegeven aan welk onderwerp wordt gewerkt tot en met 202628. Voor informatieveiligheid staan er geen concrete doelen of mijlpalen in het plan. Het wordt uit het Deltaplan niet duidelijk welke activiteiten in het kader van informatieveiligheid worden ontplooid om aan de visie te werken. Er wordt niet gerapporteerd op kwartaalniveau.

5.2.

Inkoop en leveranciersmanagement

De inzet van de gemeente op het uitbesteden van ICT en IV zorgt ervoor dat het eigen (technische) beheer minder belangrijk wordt, maar dat steeds meer zal worden ingekocht en afgenomen bij externe leveranciers. De gemeente kan zelf minder (technische) maatregelen treffen, maar moet daarover afspraken maken met leveranciers. Daarmee wordt ook de inkoop en het leveranciersmanagement steeds belangrijker voor de organisatie.29 De gemeente Stichtse Vecht heeft algemene inkoopvoorwaarden die gebaseerd zijn op het VNG model. Bij enkelvoudig onderhandse aanbestedingen heeft de gemeente een proces waarbij de Privacy officer en CISO meekijken (als ze worden aangehaakt) op de af te sluiten Verwerkersovereenkomst30. Daarnaast worden de GIBIT31 inkoopvoorwaarden meegestuurd bij ICT-aanbestedingen, zo schetst het proces. In de GIBIT worden ook voorwaarden gesteld in het kader van informatiebeveiliging. De gemeente Stichtse Vecht heeft een standaard set aan eisen vanuit informatiebeveiliging en privacy32 die worden opgenomen in een Programma van Eisen 33 bij een aanbesteding of inkooptraject. Uit het documentonderzoek is gebleken dat de gemeente in 2024 bij de vijf leveranciers van ICT Infra en kantoorautomatisering van D&I door middel van een vragenlijst controleert of zij aan de informatiebeveiligingseisen voldoen.

Over de uitkomsten van dit onderzoek heeft de CISO gerapporteerd aan het directieteam34. Uit de rapportage en de interviews blijkt dat de gemeente niet al haar leveranciers periodiek controleert op de eisen die worden gesteld.

28

Er wordt niet over de voortgang bij deze planning gerapporteerd. Ook risico’s bij de voortgang zijn niet inzichtelijk. Deze accentverschuiving is overigens niet expliciet opgenomen in het Deltaplan ICT en IV. 30 Een verwerkersovereenkomst is een schriftelijke overeenkomst tussen een organisatie (de verwerkingsverantwoordelijke) en een externe partij (de verwerker) die namens die organisatie persoonsgegevens verwerkt. Deze overeenkomst is verplicht volgens de Algemene Verordening Gegevensbescherming (AVG) wanneer je persoonsgegevens laat verwerken door een derde partij, zoals een IT-dienstverlener. 31 GIBIT staat voor Gemeentelijke Inkoop bij IT Toolbox. Het is een set van uniforme inkoopvoorwaarden die door de Vereniging van Nederlandse Gemeenten is ontwikkeld om gemeenten te ondersteunen bij het professioneel inkopen van ICT-diensten en -producten. 32 Gemeente Stichtse Vecht (onbekend). Basis PVE Aanbesteding (status document onbekend). 33 Er is niet onderzocht in hoeverre deze set eisen ook daadwerkelijk is opgenomen in contracten. 34 Gemeente Stichtse Vecht (2024). Rapportage Compliance & leveranciersmanagement 29

Pagina 24 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

5.3.

Penetratietesten

Volgens het strategisch informatiebeveiligingsbeleid laat de gemeente, om kwetsbaarheden op te sporen en de digitale weerbaarheid te vergroten, jaarlijks een penetratietest (pentest) uitvoeren. In de praktijk is dit niet gebeurd. Eind 2022 is de meest recente pentest door de gemeente uitgevoerd. Uit de documentanalyse blijkt dat er bij deze test enkele kritieke en hoog-risico-bevindingen waren. Het was mogelijk om significante verstoringen te veroorzaken en zeer gevoelige informatie te bemachtigen. Daarnaast was het o.a. mogelijk om volledige toegang tot het netwerk en systemen te verkrijgen. Naar aanleiding van de penetratietest is de gemeente gestart met het oplossen van de kritieke bevindingen of zijn de bevindingen (deels) opgelost. Uit de documentanalyse is niet gebleken of alle bevindingen uiteindelijk zijn opgevolgd.

5.4.

Logging

Logging speelt een cruciale rol binnen informatiebeveiliging, omdat het helpt om inzicht te krijgen in wat er gebeurt binnen systemen, applicaties en netwerken. Door het vastleggen, loggen, van gebeurtenissen, zoals inlogpogingen, wijzigingen aan systemen of ongebruikelijke activiteiten, worden incidenten sneller gedetecteerd en kan er adequaat worden gereageerd. Dit draagt bij aan het vergroten van de digitale weerbaarheid van de organisatie: logging maakt het mogelijk om verdachte handelingen te traceren, patronen van misbruik te herkennen en bij een beveiligingsincident de oorzaak te achterhalen. Bovendien zijn loggegevens van groot belang bij het uitvoeren van audits en het voldoen aan wettelijke en normatieve eisen rondom informatieveiligheid. Zonder goede logging kunnen belangrijke signalen over kwetsbaarheden, misbruik of fouten over het hoofd worden gezien, waardoor de risico’s voor de gemeente toenemen. De gemeente heeft in concept een beleid voor logging en monitoring opgesteld35 op basis van een handreiking van de IBD. Het beleid is nog niet vastgesteld. Met het beleid wordt bedoeld een kader te bieden voor logging en monitoring. In het conceptbeleid wordt geschetst dat logging en monitoring binnen de gemeente Stichtse Vecht wordt toegepast op de IT-infrastructuur, onderliggende applicaties en bijbehorende informatie.

Het beleid maakt onderscheid tussen het loggen en monitoren op de volgende niveaus: netwerk, applicatie, beschikbaarheidscomponenten en gebruiksapparatuur. Het beleid legt de verantwoordelijkheden van verschillende rollen vast. Zo moet de directie het beleid vaststellen en toezicht houden op naleving door het management. Het management is verantwoordelijk voor het beschikbaar stellen van middelen voor logging. De CISO adviseert en stelt kaders, zoals het beleid en ziet toe op de controle van het beleid. Het technische beheer zorgt voor actieve logging op de belangrijkste 36 onderdelen. De logging moet beschikbaar zijn voor analyse of directe monitoring. Het technisch beheer richt zich op logging van veiligheid van de infrastructuur en gebeurtenissen van de bedrijfsprocessen. Voor SaaS-applicatie ligt het bij de leverancier. De interne beheerder coördineert en communiceert met de leverancier. De functioneel beheerder gaat over de functionele inrichting van de logging van bedrijfsprocessen. In het beleid zijn daarnaast algemene uitgangspunten opgenomen. Deze zijn echter niet toegespitst naar de (uitgangs)situatie van Stichtse Vecht. Uit de documentanalyse blijkt daarnaast dat er diverse logging plaatsvindt bij verschillende leveranciers. Er vindt nog geen controle plaats op de logging en monitoring van leveranciers van SaaS-applicaties.

35 36

Gemeente Stichtse Vecht (2025). Logging en monitoring beleid. In het beleid is niet gespecificeerd welke onderdelen dit zijn.

Pagina 25 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

5.5.

Autorisaties

De gemeente heeft een beleid voor logische toegangsbeveiliging. Het beleid heeft als doel om invulling te geven aan het voorkomen van ongeautoriseerde toegang en het beheersen van de toegang tot informatiesystemen.37 Het beleid van de gemeente heeft een aantal uitgangspunten, namelijk: • De proceseigenaar38 is verantwoordelijk voor wie geautoriseerd wordt en op welke manier dat gebeurt. • Er worden in de regel geen ‘algemene’ (ongepersonaliseerde) identiteiten, zoals groepsaccounts, gebruikt. Voor herleidbaarheid en transparantie is het namelijk nodig om te weten wie een bepaalde actie heeft uitgevoerd. • De gemeente maakt, waar mogelijk, gebruik van bestaande (landelijke) voorzieningen voor authenticatie, autorisatie en informatiebeveiliging of heeft een eigen voorziening voor gebruikersbeheer. Voor inwoners en bedrijfsleven gelden DigiD en eHerkenning. In het beleid worden daarnaast de verantwoordelijkheden beschreven van de directie, proceseigenaar en CISO: De directie is eindverantwoordelijk voor de juiste uitvoering van het logische toegangsbeveiligingsbeleid en geeft goedkeuring geeft op dit beleidsstuk. De proceseigenaar is direct verantwoordelijk voor de juiste en tijdige uitvoering van de taak door een gemachtigde gebruiker (bijv. functioneel beheerder) of is degene die de activiteit (bijv. controle) zelf uitvoert.

Hiervoor wordt verantwoording afgelegd aan de directie. De Chief Information Security Officer (CISO) wordt vooraf geraadpleegd, adviseert en/of levert input bij een activiteit in het proces. 39 Het beleid schetst daarnaast op algemene wijze welke mogelijkheden er zijn voor autorisatie en authenticatie binnen de gemeente. Zo wordt er gebruik gemaakt van Single-Sign-On waar mogelijk en Multifactor authenticatie (MFA) geldt altijd als toegang wordt verleend naar een ‘vertrouwde zone’.40 Uit de gesprekken blijkt dat er autorisatiematrixen41 aanwezig zijn binnen de gemeente. Bij sommige applicaties is de mogelijkheid beperkt om autorisaties toe te kennen. Ook geven medewerkers aan dat er om sommige autorisaties heen gewerkt kan worden. Zo kan de toegang tot de Bibob-omgeving42 niet helemaal worden afgeschermd, blijkt uit het gesprek in de focusgroep. Het belang van autorisatie wordt onderstreept door het feit dat de accountant in de controle van de jaarrekening aandacht heeft voor dit onderwerp, zo geeft men ook in dit gesprek aan. De proceseigenaren, veelal de managers, zijn verantwoordelijk voor de autorisaties, het beeld uit de gesprekken is dat de managers eigenlijk te weinig weten van de applicaties om de autorisaties goed te kunnen controleren.

37

Gemeente Stichtse Vecht (2023). Logische toegangsbeveiligingsbeleid. In het Bedrijfscontinuïteitsplan van de gemeente zijn voor de negen kritieke bedrijfsprocessen proceseigenaren geïdentificeerd. Gemeente Stichtse Vecht (2024). Bedrijfscontinuïteitsplan, p. 6. 39 Gemeente Stichtse Vecht (2023). Logische toegangsbeveiligingsbeleid, p. 10. 40 Een vertrouwde omgeving betreft omgeving die door de gemeente Stichtse Vecht wordt beheerd. 41 Een autorisatiematrix is een schema dat inzichtelijk maakt welke personen of rollen binnen een organisatie toegang hebben tot specifieke applicaties, systemen of gegevens. In dit schema wordt vastgelegd wie welke rechten heeft, bijvoorbeeld lezen, schrijven, wijzigen of verwijderen van informatie. 42 De Wet Bibob staat voor Wet bevordering integriteitsbeoordelingen door het openbaar bestuur. Deze Nederlandse wet geeft overheidsinstanties zoals gemeenten de mogelijkheid om de achtergrond van bedrijven en personen te screenen voordat zij bijvoorbeeld een vergunning, subsidie of overheidsopdracht verstrekken. De Bibob omgeving is waar de gemeente informatie verwerkt in het kader van de uitvoering van die wet. 38

Pagina 26 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

5.6.

Incidentmanagement

De gemeente heeft een incidentmanagementproces,43 in concept opgesteld voor ICT incidenten in brede zin. Het proces is nog niet vastgesteld. De gemeente heeft nog geen apart proces voor beveiligingsincidenten. Uit de documentanalyse blijkt dat het beschreven proces niet (geheel) overeenkomst met het werkelijk gelopen proces. Ook blijkt dat er niet periodiek gerapporteerd wordt over ICT-incidenten, waardoor de PCDA cyclus op dit domein ontbreekt. Over 2023 is een rapportage44 beschikbaar met beveiligingsincidenten en datalekken. Deze rapportage geeft ook inzicht in de voorgaande jaren tot en met 2018. Het aantal datalekken is redelijk stabiel sinds 2019. Het aantal beveiligingsincidenten schommelt gedurende de jaren. In 2023 zijn er in vergelijking tot 2022 o.a. meer verloren toegangspassen gemeld. Er is geadviseerd nader te onderzoeken hoe dit terug te dringen. Uit de interviews blijkt dat op basis van dit onderzoek de toegangspassen nu herkenbaar zijn als zijnde van de Stichtse Vecht. We hebben niet kunnen vaststellen of dit heeft geleid tot minder verloren toegangspassen. Over 2024 is enkel een overzicht met datalekken bekend. Uit het onderzoek blijkt dat er een rapportage met datalekken en beveiligingsincidenten45 is, maar dat deze niet is vastgesteld. Uit de gesprekken blijkt dat de gemeente een SIEMSOC46 functionaliteit deels heeft ingeregeld.

Na volledige onboarding van de nieuwe beheerpartner wordt deze volledig ingericht. Op basis van welke randvoorwaarden deze functionaliteit werkt, is niet bekend.

43

Gemeente Stichtse Vecht (2023). Procesdocumentatie: ICT Incident Management (Concept). Gemeente Stichtse Vecht (2024). Memo Jaaroverzicht beveiligingsincidenten en datalekken 2023 (aan directie). 45 Wij hebben deze rapportage niet gezien. 46 Security Information and Event Management (SIEM) en Security Operations Center (SOC). Een SIEM-systeem verzamelt, analyseert en rapporteert over beveiligingsgerelateerde data uit verschillende bronnen binnen een organisatie, zoals netwerkapparatuur, servers en applicaties. Het SOC is een operationeel team dat verantwoordelijk is voor het bewaken, detecteren en afhandelen van beveiligingsincidenten. Door SIEM en SOC te combineren ontstaat een centrale plek waar monitoring, analyse en reactie op cyberdreigingen efficiënt en gecoördineerd worden uitgevoerd. SIEMSOC speelt een cruciale rol bij het waarborgen van informatieveiligheid en het minimaliseren van risico’s binnen moderne organisaties. 44

Pagina 27 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

6. Cyberbeveiligingswet In dit hoofdstuk gaan we nader in op hoe de gemeente Stichtse Vecht zich voorbereidt op de Cyberbeveiligingswet. De verplichtingen van de eisen van de Cyberbeveiligingswet zijn te vinden in bijlage C. Zorgplicht De Cyberbeveiligingswet schrijft een aantal verplichte maatregelen voor die onder de zorgplicht vallen. Deze maatregelen komen grotendeels overeen met de huidige BIO. Tot nu toe is de BIO een (verplichte) zelfevaluatie, maar met de komst van de Cbw wordt deze ook wettelijk verplicht. De BIO wordt bovendien doorontwikkeld naar de BIO2, waarin de nadruk komt te liggen op het managementsysteem voor informatiebeveiliging. De VNG en de IBD adviseren om, vooruitlopend op de Cbw en de BIO2, werk te maken van de implementatie van de huidige BIO. Belangrijkste conclusies uit dit hoofdstuk zijn: • De gemeente Stichtse Vecht voldoet op dit moment voor 73% aan de BIO-norm. De organisatie heeft de afgelopen jaren stappen gezet richting een meer volwassen informatiebeveiliging, maar er zijn nog uitdagingen. • De organisatie bereidt zich voor op de komst van de Cyberbeveiligingswet en de BIO2, ondanks beperkte capaciteit die hiervoor beschikbaar is.

De prioriteiten van de gemeente voor de komende tijd zijn47: o Verbeteracties voor D&I uit de GAP-analyse doorvoeren o OT-processen (operationele technologie) verder in beeld brengen, inclusief eigenaarschap o BCM (business continuity management) verder inrichten en oefenen o Sturing op risicomanagement versterken o ISMS (information security management system) verder inrichten o Digitale weerbaarheid vergroten • De gemeente beschikt sinds 2024 over een business continuity plan. • Het college van B&W stuurt niet aantoonbaar op cyberbeveiligingsrisico’s Het is niet inzichtelijk hoe de gemeente de monitoring op deze acties heeft ingericht. In de Verkenning Digitale weerbaarheid stelt de gemeente stelt dat er geen effectieve verbetercyclus voor informatiebeveiliging is. Verbeteracties worden ad-hoc uitgevoerd en de structuur ontbreekt om effectief de risico’s, afspraken en voortgang te monitoren. 48 De gemeente stelt dat dit leidt tot het niet nemen van juiste beheersmaatregelen om risico’s te beheersen op gebied van informatiebeveiliging met imagoschade voor de gemeente als gevolg.

Ook kan het bestuur niet de bestuurlijke verantwoordelijkheid nemen waardoor het bestuur aansprakelijk kan worden gesteld wanneer inbreuk wordt gemaakt op de ‘zorgplicht’ vanuit de cyberbeveiligingswet.49 In de Verkenning digitale weerbaarheid schetst Stichtse Vecht dat er gebruik gemaakt wordt van automatisering voor besturing van industriële toepassingen, zoals de besturing van bruggen en sluizen, verkeerslichten, maar ook gebouwbeheerssystemen. Deze operationele technologie (OT) is wel onderdeel van de scope van de Cbw, maar momenteel valt dit vakgebied buiten de huidige werkzaamheden van de CISO.50 De gemeente heeft nu onvoldoende inzicht in de beveiliging van de OT. Een onveilige OT-omgeving heeft directe impact op de veiligheid van burgers. De impact

47

Bron: Prioritering maatregelen Infra en KA 0.3 (risico + capaciteit ingevuld) Bron: Gemeente Stichtse Vecht (2025). Verkenning Digitale weerbaarheid, p.1. 49 Bron: Gemeente Stichtse Vecht (2025). Verkenning Digitale weerbaarheid, p.2. 50 Bron: Gemeente Stichtse Vecht (2025). Verkenning Digitale weerbaarheid, p.2. 48

Pagina 28 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

voor de gemeente zit in menselijk leed bij een desastreus incident en bijbehorende imagoschade/sancties, zo schetst de gemeente.

6.1.

Registratie- en meldplicht en toezicht

De gemeente Stichtse Vecht heeft zich nog niet geregistreerd in het kader van de Cbw, op advies van de IBD. Wel heeft de gemeente toegang tot e-Herkenning waarmee de gemeente is voorbereid op registratie. Het is voor de meldplicht onder andere van belang dat Stichtse Vecht een incidentresponsprocedure heeft. De gemeente heeft nu een incidentmanagementprocedure 51, deze procedure is echter niet vastgesteld. Hierbij moet rekening gehouden worden dat incidenten ook in het weekend binnen 24 uur gemeld moeten worden. Hiervoor werkt de gemeente al met een piketdienst; contactpersonen zijn altijd bereikbaar voor de IBD en/of de toekomstige toezichthouder. Voor de overheid wordt de Rijksinspectie Digitale Infrastructuur (RDI) aangewezen als toezichthouder. Hoe het toezicht precies ingevuld gaat worden is nog niet bekend. Er zijn daardoor nog geen concrete vereisten om hierop voor te bereiden. In de Verkenning digitale weerbaarheid schetst de gemeente dat uit de GAP-analyse52 blijkt dat nog niet aan de huidige gestelde beheersmaatregelen uit de BIO wordt voldaan 53. Daarbovenop vraagt de Cbw om extra beheersmaatregelen. Het risico van het niet voldoen aan het normenkader omschrijft de gemeente als een toename van beveiligingsincidenten, in de vorm van technische kwetsbaarheden tot het niet kunnen uitvoeren van gemeentelijke taken en niet in control zijn.

In het kader van de Cbw kan hierdoor versterkt toezicht worden ingezet met uiteindelijke financiële sancties als gevolg.54

6.2.

Bedrijfscontinuïteit

Onder de Cyberbeveiligingswet is het verplicht om maatregelen te treffen ten behoeve van bedrijfscontinuïteit. De gemeente Stichtse Vecht heeft in 2024 bedrijfscontinuïteitsbeleid en een bedrijfscontinuïteitsplan opgesteld55. Deze documenten moeten nog worden vastgesteld. Het bedrijfscontinuïteitsbeleid is van toepassing op de kritieke bedrijfsprocessen van de gemeente, waarbij een verstoring grote impact heeft op de bedrijfsvoering. Het bedrijfscontinuïteitsplan is voornamelijk gericht op cyberincidenten. In dit plan is uitgewerkt hoe de crisisorganisatie van de gemeente ingericht is, welke rollen en verantwoordelijkheden er zijn en welke activiteiten ondernomen moeten worden. Daarbij wordt onderscheid gemaakt tussen de koude en de warme fase. De warme fase is de fase waarin er een crisis is. In dit fase treedt het bedrijfscontinuïteitsplan in werking. De gemeentesecretaris is dan het hoofd van de bedrijfscontinuïteitsorganisatie, waarin onder andere ook de CISO, de manager D&I en de Privacy Officer zitting hebben. Als er geen sprake van een crisis ligt de focus op het treffen van preventieve maatregelen en voorbereidingen op een mogelijke crisis. Een van deze voorbereidingen is een crisisoefening. Deze is in Stichtse Vecht nog nooit uitgevoerd. Wel staat een oefening in de planning in de aanloop naar de Cyberbeveiligingswet.

Ook is eerder dit jaar (op 5 maart 2025) deelgenomen aan de Cyberoefendriehoek in Amersfoort. 51

Zie paragraaf 5.6. Uitgevoerd oktober 2023. 53 Bron: Gemeente Stichtse Vecht (2025). Verkenning Digitale weerbaarheid, p.3. 54 Bron: Gemeente Stichtse Vecht (2025). Verkenning Digitale weerbaarheid, p.3. 55 Bron: Bedrijfscontinuïteitsbeleid gemeente Stichtse Vecht v1.0, (2024) en Bedrijfscontinuïteitsplan (BCP) GSV v1.0, (2024). 52

Pagina 29 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

Team Openbare Orde en Veiligheid (OOV) heeft bovendien een aantal documenten opgesteld met betrekking tot crisisbeheersing die ook voor een interne crisis als leidraad kunnen dienen. Zo is er een handboek voor wanneer er tijdens een crisis noodopvang of voorziening in primaire levensbehoeften nodig is voor inwoners56. Ook zijn er handboeken voor de nazorg 57 en de inzet van ondersteunend personeel aan de crisisorganisatie 58. De gemeente Stichtse Vecht is ook betrokken bij het regionaal crisisplan voor de veiligheidsregio Utrecht 59. In de koude fase60 is het college van B&W verantwoordelijk voor het bewaken van de bedrijfscontinuïteit en het beschikbaar stellen van de benodigde middelen aan de organisatie om dit te borgen. In de Cyberbeveiligingswet is opgenomen dat bestuurders verplicht een opleiding moeten volgen in risicomanagement. Daarmee wordt de rol van bestuurders tijdens de koude fase uitgebreid, aangezien zij in staat moeten zijn om informatiebeveiligingsrisico’s te duiden en te beoordelen welke mitigerende maatregelen getroffen moeten worden. Specifiek voor de continuïteit van de ICT-dienstverlening die nodig is voor het uitvoeren van bedrijfskritieke processen wordt er momenteel door de gemeente gewerkt aan een kritiekeverstoringen-proces, als aanvulling op het incidentmanagementproces61. Dit proces is nog niet vastgesteld.

Ook zijn er voor alle elf kritieke bedrijfsprocessen business impact analyses (BIA’s) uitgevoerd. Met een BIA wordt in kaart gebracht welke impact een verstoring in deze processen heeft. In de Verkenning digitale weerbaarheid schetst de gemeente dat een bedrijfscontinuïteitsproject is afgerond in 2024, maar dat daar zijn nog verbeterpunten uit gekomen. Die opvolgen is belangrijk om de gemeentelijke bedrijfscontinuïteit te borgen, zodat de gemeente in geval van een incident de kritieke processen binnen maximaal een dag weer kan hervatten. 62 Bij onvoldoende borging van de gemeentelijke bedrijfscontinuïteit kunnen bij incidenten gemeentelijke taken mogelijk niet worden uitgevoerd.63

6.3.

De rol van het bestuur

Zoals eerder is gemeld zijn de BIO- en ENSIA-rapportage aanknopingspunten voor sturing door het college van B&W en de gemeenteraad. Uit de focusgroep met de raad en het interview met de portefeuillehouder in het college bleek echter dat men niet bekend was met de BIO. En men wist dus ook niet of de gemeente voldeed aan de baseline. Compliance met de BIO is een goede voorbereiding op de Cyberbeveiligingswet. Hiervoor is meer bestuurlijke en ambtelijke aandacht nodig. Zeker gezien het bestuur onder de Cyberbeveiligingswet meer verantwoordelijkheid krijgt. Zo schrijft de wet voor dat het bestuur (B&W) de maatregelen voor informatieveiligheid moeten goedkeuren en toezicht moeten houden op de uitvoering ervan. Om dit goed te kunnen doen, dienen zij ook een opleiding te volgen. Het college is geïnformeerd over de komst van de nieuwe wet.64

56

Bron: Handboek Publieke Zorg Bron: Handboek Teamleider Preparatie Nafase 58 Bron: Handboek Proces Ondersteuning 59 Bron: Regionaal Crisisplan Veiligheidsregio Utrecht 60 Een koude fase is de voorbereidende periode vóór een crisis of incident. Het doel van deze fase is het opstellen van protocollen en het oefenen van rollen en taken, zodat tijdens een daadwerkelijke crisis (de warme fase) efficiënt kan worden opgetreden. 61 Bron: ICT kritieke verstoringen proces v0.3 62 Bron: Gemeente Stichtse Vecht (2025). Verkenning Digitale weerbaarheid, p.2. 63 Bron: Gemeente Stichtse Vecht (2025). Verkenning Digitale weerbaarheid, p.2. 64 Informatieve sessie colllege 2024 – informatiebeveiliging en gegevensbescherming 57

Pagina 30 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

7. De gemeenteraad De gemeenteraad heeft, net als bij andere domeinen, een kaderstellende en een controlerende rol op het gebied van informatiebeveiliging. Om na te gaan hoe deze rol wordt ingevuld, hebben wij eerst gekeken naar de manier waarop de rol van de gemeenteraad beschreven is in het beleidsplan. Vervolgens hebben wij de informatievoorziening aan de raad onderzocht. Ten slotte hebben wij een gesprek gevoerd met raadsleden van verschillende fracties om na te gaan hoe raadsleden hun rol op dit domein zelf ervaren. De belangrijkste conclusies uit dit hoofdstuk zijn: • De gemeenteraad wordt onvoldoende in stelling gebracht om de kaderstellende en controlerende rol op het gebied van informatiebeveiliging goed te vervullen; • De gemeenteraad wil een actievere en meer sturende rol spelen op dit domein

7.1.

Informatievoorziening aan de gemeenteraad

In het beleidsdocument ‘Informatiebeveiligingsbeleid 2020 – 2023’ is een bescheiden rol opgenomen voor de gemeenteraad: ‘Door middel van het hoofdstuk informatieveiligheid in het jaarverslag en de uitkomsten van ENSIA in de collegeverklaringen legt het College verantwoording af aan de gemeenteraad over informatieveiligheid’. In de praktijk blijken deze documenten nauwelijks informatie te bevatten over het informatiebeveiligingsbeleid en de uitkomsten daarvan. Zo hebben de uitkomsten van ENSIA alleen betrekking op een de beveiliging rond SUWINET en de DigiD-aansluitingen van de gemeente. Dit betreft slechts een klein onderdeel van het gehele IT-landschap van de gemeente. In de jaarstukken van 2022, 2023 en 2024 wordt in het hoofdstuk ‘Bedrijfsvoering’ een korte paragraaf gewijd aan informatiebeveiliging. Kort worden enkele relevante ontwikkelingen beschreven die betrekking hebben op de gemeentelijke organisatie en wijzigingen in wettelijke kaders. Deze informatie is echter onvoldoende voor de raad om zijn controlerende rol goed uit te voeren. Zo wordt in de jaarstukken van 2022 aangegeven dat ‘Inwoners, ondernemers en medewerkers vertrouwen erop dat wij voldoen aan de wettelijke verplichtingen en normen uit de Algemene Verordening Gegevensbescherming (AVG) en de Baseline Informatiebeveiliging Overheid (BIO)’. Maar er staat niet of deze verwachtingen ook worden waargemaakt.

In de kadernota 2025 staat met betrekking tot informatiebeveiliging het volgende: We stellen voor om de volgende ontwikkelingen binnen de bedrijfsvoering (voorlopig) binnen bestaande budgetten op te vangen: • Voldoen aan (nieuwe) wet- en regelgeving in relatie tot (data)beveiliging en archivering. Een doorontwikkeling van de ICT omgeving gericht op rationalisering applicatielandschap, beweging naar cloudapplicaties en het door ontwikkelen van de kantoorautomatisering. In dat kader is ook een aanbesteding van bedrijfsbrede software noodzakelijk, door het aflopen van bestaande contracten.65 In aanvulling op deze formele informatiebronnen wordt de raad ook via werkconferenties en raadsinformatiebrieven geïnformeerd. De laatste werkconferentie heeft op 20 mei 2025 plaatsgevonden en was verzorgd door de CISO en PO. In raadsinformatiebrieven komt het onderwerp niet of nauwelijks aan de orde.

65 Bron: Kadernota 2025, p.12. Geraadpleegd via:

https://raadsinformatie.stichtsevecht.nl/Vergaderingen/Commissie-Bestuur-en-Financien/2024/18juni/19:30/Kadernota-2025/Kadernota-2025-Raad.pdf

Pagina 31 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

Raadsleden zijn ook gebruiker van gemeentelijke informatie en informatiesystemen. Zij krijgen regelmatig vertrouwelijke informatie waarmee zorgvuldig om moet worden gegaan. Raadsleden (en collegeleden) worden niet standaard meegenomen als doelgroep van de afdeling leren en ontwikkelen. De voor de ambtelijke organisatie verplichte (digitale) trainingen worden dus niet aangeboden aan raadsleden. Ook het gebruik van eigen devices voor gemeentelijke informatie, bijvoorbeeld het doorsturen van mails naar privémailadres, kan een bedreiging vormen voor de informatieveiligheid. Raadsleden kunnen ook zelf vragen (schriftelijk en mondeling) stellen aan het college. Op het gebied van informatiebeveiliging gebeurt dit nauwelijks. De afgelopen periode zijn twee raadsvragen gesteld op het gebied van digitalisering die zijdelings te maken hadden met digitale veiligheid.

7.2.

De rol van de raad volgens de VNG

Volgens de VNG is het belangrijk dat raadsleden invloed uitoefenen op de gemeentelijke informatiebeveiliging ‘door vooraf goede kaders te stellen, regelmatig het thema te agenderen op de raadsagenda en actief het college hierop te controleren. Het vrijmaken van voldoende middelen daartoe is daar één op één mee verbonden. In de begrotings- en verantwoordingsbesprekingen is het raadzaam om daar tijd voor te blijven inruimen.66’ De VNG heeft op zijn website een factsheet Raadsleden en informatiebeveiliging en een checklist digitale veiligheid voor raadsleden. In deze documenten zijn de hierboven genoemde sturingsmogelijkheden door de gemeenteraad nader uitgewerkt.

7.3.

Uit de raadsbijeenkomst

Als onderdeel van dit onderzoek hebben wij op 25 juni 2025 een raadssessie georganiseerd om op te halen hoe de raadsleden van Stichtse Vecht hun rol op dit domein zelf in (willen) vullen. Bij deze bijeenkomst waren tien raadsleden aanwezig uit verschillende fracties. Zij gaven aan dat informatiebeveiliging als een apart domein gezien moet worden. Dit domein zou een vaste plek moeten krijgen in de P&C-cyclus. In de rapportage aan de raad moeten niet alleen de plannen worden beschreven, maar ook de realisatie ervan en wat de organisatie hiervan geleerd heeft. Deze informatie moet de raad inzicht verschaffen in de mate waarin ‘het eigen huis’ op orde is. Hierbij moet de aandacht niet uitgaan naar de techniek, maar naar de normatiek. De aanwezige raadsleden geven aan dat zij graag willen weten of de gemeente voldoet aan de geldende normenkaders. Ook willen zij inzicht in de risico’s, zodat zij de goede prioriteiten kunnen stellen. Deze informatie moet wel op het goede abstractieniveau worden aangeboden. Zo geven raadsleden aan dat zij niet willen weten wat er in het normenkader staat, maar wel of er aan de normen wordt voldaan. Datzelfde geldt voor de realisatie van het jaarplan; de raad wil weten of de doelen uit het plan gerealiseerd zijn en is niet geïnteresseerd in hoe dat dan gedaan is.

Hierbij wordt wel de kanttekening geplaatst dat in geval van calamiteiten wel gedetailleerde informatie gewenst is.

66

Raadgever Digitale veiligheid op de VNG website: https://vng.nl/artikelen/raadgever-digitale-veiligheid

Pagina 32 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

8. Bestuurlijke reactie t.a.v. Rekenkamer Stichtse Vecht Datum 18 november 2025 Onderwerp Bestuurlijke reactie Rekenkameronderzoek

Geachte Rekenkamer, In deze bestuurlijke reactie reageert het college op uw rapport “Digitale Veiligheid in Stichtse Vecht.” Allereerst dankt het college de Rekenkamer voor het onderzoek en haar bevindingen. We reageren hierbij op uw bevindingen, maar plaatsen onze reactie wel in het licht van de grote ontwikkelingen die onze gemeente op dit punt in de afgelopen jaren heeft gemaakt en het wettelijk kader van de cyberveiligheidswet die waarschijnlijk pas over een half jaar volledig van kracht is. Samenvatting De conclusies en aanbevelingen plaatst het college in de context om verder te bouwen aan een toekomstgerichte ambtelijke organisatie voor Stichtse Vecht. Informatieveiligheid is een onderwerp dat met de toenemende digitalisering steeds belangrijker wordt. Gemeenten verwerken grote hoeveelheden gegevens in een veelvoud aan informatiesystemen. Veel van deze gegevens betreffen (bijzondere) persoonsgegevens of andere belangrijke informatie die goed beschermd moeten zijn. Naar verwachting treedt in het tweede kwartaal van 2026 de Cyberbeveiligingswet (Cbw) in werking. Hiermee wordt digitale veiligheid een wettelijke verplichting voor gemeenten. Dit betekent dat er extra verplichtingen voor gemeenten gaan gelden op het gebied van de zorgplicht, meldplicht en toezicht. Deze wet is een directe aanleiding voor de Rekenkamer van Stichtse Vecht om dit onderzoek uit te voeren.

In het eindrapport heeft de Rekenkamer conclusies en aanbevelingen opgenomen met betrekking tot de wijze waarop Stichtse Vecht zich heeft voorbereid op dit veranderende wettelijke kader. Graag reageren we eerst op de aanbevelingen. Daarna gaan we in op de conclusies. Ten aanzien van de aanbevelingen van de Rekenkamer: 1. Aanbeveling 1: Vraag het college om een passend strategisch beleid voor informatiebeveiliging. De gemeente laat zich adviseren door de Informatiebeveiligingsdienst (IBD). Het IBD is onderdeel van de VNG en ondersteunt gemeenten bij preventie, detectie, coördinatie en kennisdeling op het gebied van informatiebeveiliging. Het IBD past bij belangrijke wijzigingen - zoals de komst van de Cbw - formats voor beleid aan. Omdat er onduidelijkheid was over de ingangsdatum van de Cbw heeft de IBD het format nog niet beschikbaar. De IBD is momenteel bezig met de afronding van het format voor het Informatie-beveiligingsbeleid. Zodra dit gereed is, zal het huidige beleid worden herzien. In dit beleid wordt richting gegeven aan het inrichten van informatiebeveiliging en privacy binnen de gemeente. Er worden doelen gesteld, verantwoordelijkheden beschreven, structuur geschetst en de middelen waarmee dit beleid moet worden vormgegeven. Pagina 33 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

Hiermee wordt het Strategisch Informatiebeveiligingsbeleid weer actueel en in lijn met de geldende wet- en regelgeving. Het college was reeds voornemens om het strategisch beleid aan te passen en kan daarom deze aanbeveling overnemen. 2. Aanbeveling 2: Zorg voor voldoende capaciteit (mensen en middelen) en ambtelijke prioriteit om conform het nieuwe strategisch beleid te werken en aan de wettelijke verplichtingen te voldoen. Capaciteitsvraagstukken zijn niet direct aan de raad. Echter het beschikbaar stellen van voldoende middelen voor het uitvoeren van een taak is dat wel. In die zin lezen wij als college deze aanbeveling. Daarbij plaatsen we de kanttekening dat alleen capaciteit niet voldoende is. We moeten namelijk ook voldoende kwaliteit kunnen krijgen uit de markt; die is momenteel zeer schaars aanwezig. Vanzelfsprekend wordt vanuit de ambtelijke organisatie sterk ingezet op dit punt. Gelet op het bovenstaande kan het college meegaan in het deel van de aanbeveling om voor voldoende ambtelijke capaciteit te zorgen. 3. Aanbeveling 3: Vraag het college om de raad op korte termijn te informeren over de bestuurlijke risico-afwegingen die de gemeente neemt. In het licht van veranderende landelijke wet- en regelgeving wordt er gewerkt aan een manier van rapporteren en controleren, vanuit de plan-do-check-act-gedachte (zie ook het antwoord op aanbeveling 4).

Er wordt op het moment beperkt gerapporteerd over de status van de BIO (Baseline Informatiebeveiliging Overheid, basisnormenkader). Het is geen werkend systeem van controle en rapportage over informatiebeveiliging. Hierdoor wordt de plan-do-check-act (PDCA) cyclus nog niet volledig uitgevoerd. Het college is echter wel al op 12 november geïnformeerd over de mate waarin de gemeente voldoet aan de BIO-norm. Dat laat onverlet dat er verbeterslagen nodig zijn op het gebied van rapportage, zodat het college een goede bestuurlijke risico-afweging kan maken. Het college zal de raad informeren zodra de verbeterslagen zijn doorgevoerd. 4. Aanbeveling 4: Maak afspraken met het college over welke informatie de gemeenteraad periodiek nodig heeft om te kunnen sturen en controleren. Deze aanbeveling heeft overeenkomsten met aanbeveling 3. Vooruitlopend op de veranderende landelijke wet- en regelgeving is er een initiatief gestart voor de aanschaf van ISMS tooling (Information Security Management System) ook wel GRC (Governance Risk Compliance) genoemd. Dit heeft als doel het systematisch beheren van beveiligingsrisico’s, het identificeren en behandelen van bedreigingen en het implementeren van beheersmaatregelen.

Een ISMS is zo ingericht dat de bijbehorende activiteiten, processen en documenten samen een plan-do-check-act cyclus vormen die de opzet, inrichting en werking aantoonbaar en controleerbaar maken. Hierdoor beschikt het bestuur over de juiste informatie om weloverwogen besluiten te nemen over informatiebeveiliging en risico’s. Het hebben van een ISMS wordt met de invoering van de Cbw verplicht. Het college heeft op termijn dus (betere) informatie en rapportage, welke met de raad gedeeld kan worden. We maken graag afspraken met de raad over hoe en wanneer we in de tussentijd aan de raad rapporteren. Pagina 34 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

Ten aanzien van de conclusies van de Rekenkamer Digitale infrastructuur Bevinding Rekenkamer: Uit het onderzoek blijkt dat de gemeente een inhaalslag heeft gemaakt op het gebied van de digitale infrastructuur. Waar de gemeente eerder zelf een serverpark beheerde, worden applicaties nu naar de cloud verplaatst, waarbij leveranciers verantwoordelijk zijn voor de technische informatiebeveiliging. De gemeente blijft verantwoordelijk voor het voldoen aan wettelijke beveiligingseisen en normen. Reactie college: Het college onderschrijft deze conclusie. De conclusie plaatst het college in de context om verder te bouwen aan een toekomstgerichte ambtelijke organisatie voor Stichtse Vecht. Beleid en uitvoering Bevinding Rekenkamer: Het strategisch beveiligingsbeleid van de gemeente is gebaseerd op een format van de IBD en bevat belangrijke aspecten van informatiebeveiliging, maar is verouderd en houdt geen rekening met recente ontwikkelingen zoals nieuwe wetgeving en toegenomen bedreigingen. De BIO is de baseline voor informatiebeveiliging en dus de ‘ondergrens’. Stichtse Vecht voldoet nog niet aan deze ondergrens. Hoewel het beleid de BIO als normenkader hanteert en 10 principes voor informatiebeveiliging benoemt, wordt in de praktijk niet altijd conform het beleid gewerkt, met name op het gebied van risicomanagement en bestuurlijke controle.

De PDCA cyclus wordt niet effectief toegepast en structurele rapportages ontbreken. In de interviews worden twee belangrijke oorzaken aangedragen voor het feit dat er niet volgens het eigen beleid gewerkt wordt. De eerste is de bovengenoemde inhaalslag inclusief de migratie naar ‘de Cloud’. De tweede oorzaak is het gebrek aan ambtelijke capaciteit. Positief is dat medewerkers goed bewust zijn van het belang van informatiebeveiliging en dat er technisch veel aandacht aan wordt besteed. De extra eisen van de Cbw voor gemeenten zijn duidelijk in kaart gebracht, zowel wat betreft de gewenste eindsituatie als de benodigde mensen, middelen en activiteiten. Reactie college: Het college onderschrijft deze conclusie. De gemeente heeft technisch en organisatorisch stappen gezet op het gebied van informatiebeveiliging om bescherming te bieden tegen de voortdurend veranderende kwetsbaarheden en cyberaanvallen. Aandacht en focus voor informatiebeveiliging blijft gezien de toenemende dreigingen hard nodig om continuïteit en vertrouwen in de dienstverlening te borgen. Om informatiebeveiliging naar een hoger niveau te brengen zijn vervolgacties nodig. Hiervoor zijn aandachtsgebieden in beeld en kaart gebracht.

De rol van het bestuur Bevinding Rekenkamer: Onder de Cbw verandert de rol van het bestuur, waarbij het college verplicht wordt risicogericht te sturen op informatiebeveiliging en een training te volgen. De Rijksdienst Digitale Infrastructuur (RDI) kan boetes opleggen bij niet-naleving. Momenteel voldoet de sturing van het college niet aan de eisen van de Cbw, omdat besluitvorming niet gebaseerd is op risicomanagement en er geen periodieke rapportages plaatsvinden. Ook de gemeenteraad controleert het college onvoldoende en Pagina 35 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

mist een sturingskader, waardoor zowel de controlerende als kaderstellende rol niet effectief wordt ingevuld. Raadsleden pleiten ervoor om informatiebeveiliging als een volwaardig gemeentelijk domein te beschouwen. Reactie college: Het college onderschrijft deze conclusie. Met de invoering van de Cbw worden er hogere eisen gesteld aan de normen voor informatiebeveiliging en gegevensbescherming. Niet alleen op technisch en organisatorisch gebied, maar ook op naleving. Hierdoor is het van belang om op basis van de juiste informatie weloverwogen besluiten te nemen over informatiebeveiliging en het identificeren en beheersen van risico’s. Hierdoor wordt de raad in staat gesteld haar controlerende en kaderstellende rol effectiever te vervullen. Tenslotte We danken de Rekenkamer nogmaals voor dit onderzoek en de aanbevelingen. De aanbevelingen sluiten goed aan op de voorbereidingen die het college al in gang heeft gezet om het beleid met betrekking tot informatiebeveiliging aan te scherpen conform nieuwe landelijke wet- en regelgeving. Het college gaat graag met de raad in gesprek omtrent de bevindingen van de Rekenkamer om verder te bouwen aan een stevig fundament voor de digitale veiligheid voor Stichtse Vecht. Met vriendelijke groet, Burgemeester en wethouders van Stichtse Vecht,

drs. A.J.H.T.H. Reinders burgemeester

drs. R.C.L. Heijdra gemeentesecretaris

Pagina 36 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

9. Nawoord rekenkamer De rekenkamer heeft met belangstelling en waardering kennis genomen van de bestuurlijke reactie van het college. Wij constateren dat het college onze conclusies deelt en onze aanbevelingen onderschrijft. We zijn tevens verheugd dat het college voor een zo heldere opzet van het bestuurlijk oordeel heeft gekozen. Daardoor wordt het per aanbeveling en conclusie veel duidelijker wat de reactie van het college daarop is. Het is goed om te lezen dat er al verschillende stappen worden ondernomen om invulling te geven aan de aanbevelingen. De rekenkamer hoopt met het onderzoek en rapport een bijdrage te hebben geleverd aan de succesvolle invoering van de cyberbeveiligingswet en ziet de behandeling van het rapport door de raad met belangstelling tegemoet.

Pagina 37 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

Bijlagen A. DOCUMENTATIE Document Strategisch informatiebeveiligingsbeleid 2020-2023 (versie 1.1) Memo Uitstellen actualisering Strategisch Informatiebeveiligingsbeleid, (14 oktober 2024). Coalitieakkoord 2022-2026 ‘Bouwen aan een stevig fundament voor Stichtse Vecht’ De tien bestuurlijke principes voor informatiebeveiliging, VNG Jaaropdracht Gegevensbescherming & Informatieveiligheid 2022 Verantwoording jaaropdracht Gegevensbescherming & Informatieveiligheid 2022 Jaaroverzicht beveiligingsincidenten en datalekken 2022 DEF Jaaropdracht Gegevensbescherming & Informatieveiligheid 2023 Jaaroverzicht beveiligingsincidenten en datalekken 2023 Jaaroverzicht datalekken 2024 GAP-analyse BIO 2024 Prioritering maatregelen Infra en KA 0.3 Deltaplan ICT en IV Rekenkameronderzoek Risicomanagement in de gemeente Stichtse Vecht Kadernota 2025 Bijlage met nadere uitwerking geregistreerde datalekken periode januari t/m december 2024 Protocol meldplicht datalekken Tactisch logging & monitoring beleid 2025 - 2028 Basis PVE Aanbesteding Stichtse Vecht Verwerkersovereenkomst-v-2.51 Logische Toegangsbeveiligngsbeleid Procesdocumentatie: ICT Incident Management Vragenlijst informatiebeveiliging en compliance Jaarstukken 2022 Jaarstukken 2023 Bedrijfscontinuïteitsbeleid gemeente Stichtse Vecht v1.0 Bedrijfscontinuïteitsplan (BCP) GSV v1.0 BIA Bedrijfsvoering samenleving v1.0 BIA Publiekszaken en

dienstverlening v1.0 Diverse BIA’s Handboek Publieke Zorg Handboek Teamleider Preparatie Nafase Handboek Proces Ondersteuning Regionaal Crisisplan Veiligheidsregio Utrecht Protocol meldplicht datalekken Rapportage Compliance & leveranciersmanagement

Datum 10 december 2024 14 oktober 2024 2022 2019 10 juni 2022 30 juni 2023 14 april 2023 5 maart 2024 2025 2024 2025 9 juli 2024 2024 2024 2019 4 april 2025 4 augustus 2023 27 november 2023 2023 2024 2024 2024 2024 2024

2023 25-6-2025 2025

Pagina 38 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

B. GESPREKKEN Rol Gemeentesecretaris Portefeuillehouder ICT Programmamanager ICT Infrastructuur & kantoorinformatisering Manager data en informatiemanagement Functionaris gegevensbescherming Privacy officers (2) Informatiemanager CISO ISO Adviseurs leren en ontwikkelen (2) Verschillende medewerkers in de focusgroep

Pagina 39 van 42

Endelhovenlaan 1, 3601 GR Maarssen Postbus 1212, 3600 BE Maarssen T 140346 F 0346 25 40 10 info@stichtsevecht.nl

C. VERPLICHTINGEN CYBERBEVEILIGINGSWET De Cyberbeveiligingswet (Cbw) bevat drie verplichtingen, namelijk zorgplicht, meldplicht en registratieplicht. Daarnaast komt er formeel toezicht op de Cbw. Zorgplicht De Cyberbeveiligingswet bevat een zorgplicht die organisaties verplicht zelf een risicoanalyse uit te voeren. Op basis daarvan nemen zij passende en evenredige maatregelen voor de beveiliging van hun netwerk- en informatiesystemen. De leden van het bestuur van entiteiten moeten de maatregelen goedkeuren en toezicht houden op de uitvoering ervan. Om dit goed te kunnen doen, dienen zij ook een opleiding te volgen.67 . Registratieplicht De Cyberbeveiligingswet verplicht organisaties die onder de wet vallen om zich te registreren. Dit wordt de registratieplicht genoemd. Er is door het Nationaal Cyber Security Centrum (NCSC) een online registratievoorziening ontwikkeld waarin organisaties zichzelf registreren en aanmelden.68

Meldplicht De richtlijn schrijft voor dat NIS2-organisaties significante incidenten melden bij het Computer Security Incident Response Team (CSIRT) en de toezichthouder. Er geldt een gefaseerde meldplicht. De eerste melding is een vroegtijdige waarschuwing die binnen 24 uur na waarneming van het incident, plaatsvindt. Het gaat om incidenten die de verlening van de diensten van de organisatie aanzienlijk (kunnen) verstoren. De drempelwaarden voor significante incidenten worden nog nader uitgewerkt. Voorbeelden van factoren die incidenten tot een significant incident maken zijn de omvang van de financiële verliezen voor betrokkenen en/of het veroorzaken van (operationele) schade aan andere entiteiten dan de getroffen entiteit. Voor het doen van meldingen heeft het NCSC een centraal meldpunt ingericht.69