2025-06-05 IC13 - Horizontale verantwoording ENSIA 2024 - Brief BenW aan Raad

Postadres: Postbus 35, 4530 AA Terneuzen Bezoekadres: Stadhuisplein 1, 4531 GZ Terneuzen 14 0115 | +31 115 455 000 terneuzen.nl

Aan de leden van de gemeenteraad

uw brief van uw kenmerk zaaknummer contactpersoon telefoon e-mail verzonden

: : ENSIA 2024 : 239220 : Cor de Jonge : 14 0115 : c.dejonge@terneuzen.nl :

Terneuzen, 22 april 2025 Onderwerp: Horizontale verantwoording ENSIA 2024 Beste raad, Via deze brief willen wij verantwoording afleggen over de Informatiebeveiliging 2024. Wat is ENSIA? ENSIA staat voor Eenduidige Normatiek Single Information Audit. Dit betekent eenmalige informatieverstrekking en eenmalige IT-audit. Via ENSIA leggen wij verantwoording af over hoe veilig we omgaan met informatie volgens de regels van de rijksoverheid. Uitgangspunt is het horizontale verantwoordingsproces door het college van burgemeester en wethouders aan de gemeenteraad. Dit vormt de basis voor het verticale verantwoordingsproces aan de nationale partijen die een rol hebben in het toezicht op informatiebeveiliging. Uit welke producten/onderdelen bestaat de ENSIA zelfevaluatie informatiebeveiliging voor de gemeente? • Collegeverklaring ENSIA over informatiebeveiliging. De collegeverklaring geeft aan of wij per 31 december 2024 wel of niet in opzet en bestaan voldoen aan de beheersingsmaatregelen. Dit geldt voor de geselecteerde normen voor DigiD en Suwinet. Wij benadrukken dat de geselecteerde normen specifiek zijn gekozen en dat dit geen algehele uitspraak doet over informatiebeveiliging als geheel. Indien nodig maken we melding van eventuele verbetermaatregelen die de gemeente gaat doorvoeren.

• Assurance rapport Een geregistreerde IT-auditor controleert de collegeverklaring en stelt een assurance rapport op. De IT-auditor verklaart in het assurance rapport dat de collegeverklaring een juist beeld geeft. Juist betekent dat de collegeverklaring met een redelijke mate van zekerheid voldoende en geschikt is. Het Bureau voor Kwaliteitsborging bij de Overheid (BKBO) verzorgt het rapport. Reikwijdte verantwoording. De verklaring omvat het op 31 december 2024 wel of niet voldoen aan de beheersingsmaatregelen van de geselecteerde normen voor DigiD en Suwinet.

Gemeente Terneuzen

De verklaring over DigiD omvat de actieve aansluitingen: • DigiD eDienst Burgerzaken (aansluitnummer 1003847); • DigiD Snelbalie Sociaal Domein (aansluitnummer 1004177); • DigiD Mijn Inkomen (aansluitnummer 1004721) • DigiD PROD-Terneuzen-Zaaksysteem (aansluitnummer 1004779); De verklaring over Suwinet omvat: • de Suwinet taken voor de uitvoering van de Participatiewet/IOAW/IOAZ en • de niet Suwinet taken voor de uitvoering van de wet Gemeentelijke Schuldhulpverlening. Verklaring Wij hebben verklaard dat de gemeente Terneuzen op 31 december 2024 voor DigiD en Suwinet niet voldoet aan alle geselecteerde normen. Door het ontbreken van mutaties is de effectiviteit van de werking van het identiteits- en toegangsbeheer van de DigiD aansluiting (Zaaksysteem) niet voldoende aangetoond. Uit een hertest in februari 2025 bleek dat we wel aan alle geselecteerde normen voldoen. De hertest was later dan de sluitingstermijn voor het kunnen voldoen aan de beheersingsmaatregelen per 31 december 2024. Wij hopen u voldoende te hebben geïnformeerd over het verantwoordingsstelsel ENSIA. Met vriendelijke groet, Burgemeester en Wethouders van Terneuzen, locosecretaris,

burgemeester,

J.D. (Jaap) Scheele

H.J.A. (Erik) van Merrienboer

Gemeente Terneuzen

2