Brief 31okt23 Auditcommissie informatieveiligheid AVG privacy DEF

Onderwerp Informatieveiligheid, AVG, privacy Ons kenmerk

Datum 31 oktober 2023 Uw kenmerk

Aan de leden van de gemeenteraad Afdeling griffie E-mail rene.de.bonte@tilburg.nl Postadres Postbus 90155 5000 LH Tilburg

Beste raadsleden, In de media staan met grote regelmaat berichten over hacks, datalekken, cyberaanvallen en dergelijke. De informatieveiligheid en privacybescherming staan dus constant onder druk. Dat geldt ook voor Tilburg. Namens uw raad heeft de Auditcommissie (op basis van de verordening op de Auditcommissie) daar een rol in. Verordening Auditcommissie Artikel 3. Taken en bevoegdheden lid 2.i. Onderzoek naar en toezien op de adequate uitvoering van het informatiebeveiligingsbeleid en privacybescherming en zo nodig aanbevelingen ter zake te doen aan college en raad. Deze brief gaat in op huidige situatie in Tilburg met betrekking tot informatieveiligheid, AVG en privacy. Rol accountant De accountant controleert (simpel gezegd) de jaarrekening van de gemeente. De accountant ziet echter door een toenemend automatiseringsniveau binnen organisaties ook een toename van risico’s en grotere kwetsbaarheid van IT-processen. De accountant geeft aan dat die cyberrisico’s invloed hebben op de jaarrekeningcontrole en kijkt of de gemeente voldoende maatregelen treft tegen de cyberrisico’s. Bevindingen accountant De accountant voert zijn controle in twee delen uit: in het najaar richt de controle zich op de processen en interne beheersmaatregelen (interim controle) en in het begin van jaar vindt de controle van de jaarrekening plaats.

De bevindingen van de interim controle legt de accountant vast in een Boardletter. De Boardletter wordt besproken in de Auditcommissie. Naar aanleiding van de Boardletter 2022 (interim controle najaar 2022) heeft de Auditcommissie haar zorgen geuit over de door de accountant geconstateerde tekortkomingen over AVG en privacy. De rol van de accountant bij de onderwerpen AVG en privacy richt zich op de financiële risico’s die de gemeente mogelijk loopt. Over informatieveiligheid heeft de accountant in de Boardletter 2022 geen bevindingen vermeld.

AUDITCOMMISSIE

Doorkiesnummer Fax Bezoekadres Stadhuisplein 130

2

Bevindingen Boardlettter 2022 Deloitte Accountants Rapportages CISO en FG-er Jaarlijks rapporteert de Chief Information Security Officer (CISO) over informatieveiligheid. De Functionaris Gegevensbescherming (FG-er) rapporteert over het verwerken van persoonsgegevens en de bescherming daarvan. Beide rapportages worden in de Auditcommissie besproken. Naar aanleiding van de rapportages over 2021 en 2022 vond er op 18 september 2023 een bijeenkomst plaats voor de Auditcommissie. In de bijeenkomst is uitgebreid stilgestaan bij: • Informatieveiligheid (doel, wet- en regelgeving) • AVG (naleving) • Privacy en privacybescherming (aanpak en verantwoording) Informatieveiligheid De rapportage van de CiSo (gebaseerd op de ENSIA verantwoording over 2022) over informatieveiligheid laat het volgende beeld zien.

Onderwerp Implementatie van de Baseline Informatiebeveiliging Overheid (BIO) Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet) Digitale Persoonsidentificatie (DigiD) Basis Registratie Personen (BRP) deel 1 bestandscontrole op persoonslijsten Basis Registratie Personen (BRP) deel 2 inhoudelijke controle op persoonslijsten Basis Registratie Personen (BRP) deel 3 uitvoering van processen Paspoort Uitvoeringsregeling Nederland (PUN) Basisregistratie Grootschalige Topografie (BGT) Basisregistratie Adressen en Gebouwen (BAG) Basisregistratie Ondergrond (BRO) Basisregistratie Waardering Onroerende Zaken (WOZ)

Soort onderzoek Zelfevaluatie

Oordeel Voldoende

Extern onderzoek

Ruim voldoende tot goed

Extern onderzoek Zelfevaluatie

Ruim voldoende tot goed Ruim voldoende tot goed

Zelfevaluatie

Net onvoldoende

Zelfevaluatie

Ruim voldoende tot goed

Zelfevaluatie Zelfevaluatie Zelfevaluatie Zelfevaluatie Zelfevaluatie

Ruim voldoende tot goed Ruim voldoende tot goed Voldoende Voldoende Geen oordeel

Op basis van bovenstaande tabel kan worden geconcludeerd dat de informatieveiligheid gemiddeld ruim voldoende scoort. AVG en privacy De Auditcommissie heeft geconstateerd dat de zorgen die zijn geuit over AVG en privacy naar aanleiding van de Boardletter 2022 nog onverminderd van kracht zijn. De rapportage van de FG-er en de brief van het college van 20 juni 2023 bevestigen dit beeld.

AUDITCOMMISSIE

3

Brief college Het college heeft op 20 juni 2023 een brief naar de raad gestuurd over de rapportages van de CiSo en de FG-er. Het college benadrukt het belang van bescherming van de privacy van de inwoners. Het college herkent ook de huidige tekortkomingen en schetst vervolgacties. Voor de hele brief zie 230620-37-JUR-05+Raadbrief+Rapportages+AVG+privacy+van+Functionaris+Gegevensbescherming (notubiz.nl) Vervolg en aanpak De Auditcommissie heeft met belangstelling kennis genomen van de bevindingen van de CISO en de FGer en heeft begrepen dat er onvoldoende capaciteit en middelen zijn om de tekortkomingen op het gebied van AVG en privacy op korte termijn op te lossen. Op basis van de rapportages van de CISO en de FG-er, de Boardletter en de hiervoor genoemde brief van het college had de Auditcommissie daarom verwacht dat in de begroting 2024 extra middelen voor AVG en privacy zouden zijn opgenomen. Dat blijkt niet het geval. De Auditcommissie heeft begrepen dat er voor informatieveiligheid wel sprake is van herijking binnen bestaande budgetten. Het gaat daarbij om een bedrag van € 400.000 wat specifiek beschikbaar is gemaakt (binnen bestaande budgetten) voor informatieveiligheid.

In de raadsvergadering van 1 juni 2023 (behandeling jaarstukken 2022) is een motie ingediend over AVG en privacy (zie Motie+14-2+In+Positie+bij+persoonsgegevens (notubiz.nl)) Door toezeggingen van de portefeuillehouder is de motie niet in stemming gebracht, onder meer om voor het einde van het jaar met de Auditcommissie om tafel te gaan. De Auditcommissie is daartoe graag bereid en verneemt graag op welk moment dit kan plaatsvinden. Daarnaast heeft de accountant aangeboden om de Auditcommissie een (uitgebreide) toelichting te geven over de IT-audit die op dit moment plaatsvindt als onder deel van de interim-controle. Tot slot De Auditcommissie is van mening dat met de steeds verdergaande automatisering en digitalisering de kwetsbaarheid van informatieveiligheid en het belang van privacy en privacybescherming toeneemt. De bevindingen van de CISO, FG-er en de accountant bevestigen dit. De Auditcommissie ziet verder in de Programmabegroting 2024 staan dat in 2024 nadrukkelijk wordt ingezet, gelet op de noodzaak, om te voldoen aan de voorschriften van de WOO (Wet open overheid) en AVG (Algemene verordening gegevensbescherming).

Daarom is de Auditcommissie blij met het feit dat het college meldt in de brief van 20 juni dat bescherming van privacy belangrijk is en aangeeft om voor het einde van het jaar te komen met een nulmeting en de resultaten hiervan te delen met de Auditcommissie. De Auditcommissie heeft kennis genomen van de voorgenomen aanpak, zoals vermeld in de brief van het college en heeft begrip voor de fasering in die aanpak (korte termijn, middellange termijn en lange termijn). De Auditcommissie maakt zich echter zorgen over de woorden van de portefeuillehouder (naar aanleiding van de motie 14-2) om de tijd te nemen voor een houdbaar plan. De Auditcommissie is van mening dat die tijd er niet is en vraagt de raad het college op te roepen om op korte termijn te komen met een uitgewerkt plan van aanpak om de geconstateerde tekortkomingen op te lossen, inclusief een raming van de extra incidentele en structurele kosten. Met vriendelijke groet, Namens de Auditcommissie Niels van Stappershoef voorzitter Auditcommissie

AUDITCOMMISSIE