9. Raadsinformatiebrief ENSIA zelfevaluatie en verantwoording 2022

wc E Raadsinformatiebrief Datum

7 maart 2023

Onderwerp

ENSIA zelfevaluatie en verantwoording 2022 Z23- 259373

Zaaknummer Documentnr.

UIT/23 - 530698

Inleiding Het college van burgemeester en wethouders van de gemeente Vught legt over het jaar 2022 verantwoording af over de stand van zaken op het gebied van informatieveiligheid binnen de gemeentelijke organisatie. Dit gaat op basis van de landelijke Eenduidige Normatiek Single Information Audit (= ENSIA) systematiek. Voor gemeenten is dit een verplicht jaarlijks terugkerend proces. Dit ENSIA proces is ingericht om verantwoording af te leggen aan de gemeenteraad (horizontale verantwoording) en aan de verschillende toezichthouders (verticale verantwoording). ENSIA neemt de landelijke Baseline Informatiebeveiliging Overheid (BIO) als uitgangspunt en maakt gebruik van een daarop ingerichte zelfevaluatie. Hierdoor heeft het gemeentebestuur meer overzicht over de stand van zaken met betrekking tot informatiebeveiliging van de gemeente.

Inhoudelijk Uit de verschillende zelfevaluaties en de externe audit blijkt dat gemeente Vught informatiebeveiliging en haar (wettelijke) taken hierin voldoende uitvoert. De rapportage stand van zaken informatieveiligheid geeft een goed totaalbeeld omdat hierin alle (ENSIA) onderdelen worden verantwoord. In de rapportage is te lezen dat we alleen voor Suwinet op het onderdeel Wet Gemeentelijke Schuldhulpverlening (WGS) nog niet aan het landelijk gestelde normenkader voldoen. Voor het uitvoeren van de WGS maken we sinds kort gebruik van Suwinet. Dit is echter nog niet in het beleid en onderliggende procedures verwerkt wat voor het behalen van een audit nodig is. Het nu niet voldoen heeft geen negatieve consequenties voor onze inwoners en zal in het 2 kwartaal van 2023 zijn opgelost. Burgemeester en wethouders v~ de secretaris,

de burgemeester,

et

R.J. van de Mortel

1/2

wc Bijlage(n): 1. Rapportage Stand van Zaken informatieveiligheid gemeente Vught 2022

2/2

Aan:

College van B&W van de gemeente Vught

Van:

Terence van Gestel, Adviseur informatiebeveiliging en privacy, ENSIA Coördinator

Betreft:

ENSIA verantwoording “Stand van zaken informatieveiligheid van de gemeente Vught”

Datum:

7 maart 2023

Inleiding Het college van burgemeester en wethouders van de gemeente Vught legt over het jaar 2022 verantwoording af over de stand van zaken op het gebied van informatiebeveiliging binnen de gemeentelijke organisatie. Dit gaat op basis van de Eenduidige Normatiek Single Information Audit (= ENSIA) systematiek. Doelstelling ENSIA heeft tot doel het verantwoordingsproces over informatieveiligheid te professionaliseren door het toezicht te bundelen en aan te sluiten op de gemeentelijke planning & control-cyclus. Hierdoor heeft het gemeentebestuur meer overzicht over de stand van zaken van de informatieveiligheid en kan het hier ook beter op sturen. Scope De ENSIA verantwoording voor het jaar 2022 gaat over onderstaande onderdelen: • • • • • • • • •

Implementatie van de Baseline Informatiebeveiliging Overheid (BIO). Zelfevaluatie; Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet). Extern onderzoek; Digitale Persoonsidentificatie (DigiD). Extern onderzoek; Basis Registratie Personen (BRP). Zelfevaluatie; Paspoort Uitvoeringsregeling Nederland (PUN/PNIK). Zelfevaluatie; Basisregistratie Grootschalige Topografie (BGT). Zelfevaluatie; Basisregistratie Adressen en Gebouwen (BAG). Zelfevaluatie; Basisregistratie Ondergrond (BRO). Zelfevaluatie; Basisregistratie Waardering Onroerende Zaken (WOZ). Zelfevaluatie;

Illustratie Ensia onderdelen en verantwoordingslijn

pagina 1 van 5

Ensia verantwoording Onderstaande tabel geeft per ENSIA onderdeel een korte toelichting met bevindingen en de stand van zaken. Voor de leesbaarheid is per onderdeel met behulp van kleuren de status per onderdeel weergegeven. Per onderdeel zijn ook de bevindingen kort uitgewerkt ter onderbouwing van deze status. Legenda:

Voldoende

Net Onvoldoende

Onvoldoende

Het onderdeel is op orde in control

Het onderdeel is net niet in control

Het onderdeel is niet in control

Er zijn meerdere verbeterpunten

Er zijn veel verbeterpunten, bijsturing is nodig

Er zijn wellicht enkele verbeterpunten

Domein Onderdeel BIO

Toelichting, bevindingen & stand van zaken

Status

In het kader van informatieveiligheid en het versterken van de weerbaarheid zijn gemeenten verplicht om de landelijke baseline informatiebeveiliging Implementatie van overheid te volgen. Deze BIO bestaat uit een set aan organisatorische- en de Baseline technische maatregelen. Dit gaat over het creëren van bewustwording bij Informatiebeveiligin medewerkers om bijvoorbeeld niet in een Phishing bericht te trappen tot de installatie van een Firewall om onze digitale informatievoorziening tegen g Overheid cybercriminelen te beschermen.

Beleid: Het strategische informatiebeveiligingsbeleid is eind 2022 verlopen. Dit beleid was al toegespitst op de implementatie van de BIO maar moet in 2023 geactualiseerd worden.

Organisatie: Met betrekking tot de organisatie van informatiebeveiliging heeft in 2022 de huidige CISO/FG de organisatie verlaten. Dit natuurlijke moment is door het directieteam aangepakt om de rollen en taken rondom de borging van informatieveiligheid en privacy ter herzien. Hiermee ontstaat er voor Vught een Voldoende stabielere en meer toekomst vaste organisatie op dit onderwerp. Op dit moment is de rol van Functionaris Gegevensbescherming niet (meer) formeel belegd. Omdat dit in het kader van de Algemene Verordening Gegevensbescherming verplicht is zal dit snel worden geregeld.

Bewustwording: In het kader van bewustwording zijn het afgelopen jaar een aantal activiteiten uitgevoerd. Door het vertrek van de huidige CISO/FG is er wel minder aandacht geweest dan uiteindelijk nodig is om medewerkers voldoende

pagina 2 van 5

weerbaar te houden op het gebied van informatieveiligheid en privacy. Dit zal in 2023 worden opgepakt!

Technische maatregelen: Het beheer van onze digitale informatievoorziening is grotendeels uitbesteed. Hierbij is er voldoende aandacht voor de implementatie van beveiligingsmaatregelen en regelmatig contact met de externe leverancier over de opvolging van kwetsbaarheden. SUWINET

Suwinet wordt gebruikt voor het uitvoeren van de Participatiewet en Wet Gemeentelijke Schuldhulpverlening. Iedere taak gebruikt een aparte Suwinet aansluiting.

Structuur Uitvoeringsorganisat Vanwege de hoeveelheid en gevoeligheid van (persoons)gegevens binnen ie Werk en Inkomen Suwinet heeft het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties bepaald dat iedere aansluithouder naast de zelfevaluatie ook extern getoetst Participatiewet wordt op naleving van het normenkader.

Voldoende

Het (externe) onderzoek rondom het veilig en verantwoord gebruik van Suwinet gegevens toont aan dat we voor de processen rondom de participatiewet voldoen aan de gestelde normenkaders. SUWINET

Suwinet wordt ook gebruikt voor het uitvoeren van de Wet Schuldhulpverlening (WGS).

Structuur Vanaf halverwege 2022 maakt de gemeente in beperkte mate gebruik van Uitvoeringsorganisat Suwinet voor het uitvoeren van de WGS taken. Hier betreft het enkele ie Werk en Inkomen gebruikers van team Wegwijs+.

Onvoldoen de

Wet Gemeentelijke Het (externe) onderzoek rondom het veilig en verantwoord gebruik van Schuldhulpverlening Suwinet gegevens toont aan dat WGS nog onvoldoende is geborgd in de organisatie. Voor het uitvoeren van de WGS maken we sinds kort gebruik van Suwinet. Dit is echter nog niet in het beleid en onderliggende procedures verwerkt wat voor het behalen van een audit nodig is. Dit heeft geen negatieve consequenties voor onze inwoners en zal in het 2e kwartaal van 2023 zijn opgelost waardoor Suwinet voor de WGS alsnog geborgd is. Het niet voldoen aan het normenkader heeft geen negatieve of directe consequenties voor onze inwoners. Beleid ontbreekt maar de uitvoering is altijd in beheer en onder controle geweest. DIGID Digitale Persoonsidentificati e Website & Belastingbalie

DigiD is voor inwoners de manier om zichzelf digitaal te identificeren. DigiD wordt gebruikt voor de digitale dienstverlening via onze website Vught.nl en onze digitale belastingbalie. Onvoldoende of onjuist beheer van een DigiD aansluiting kan grote gevolgen hebben voor de landelijke keten en uiteindelijk persoonsinformatie van inwoners. Daarom heeft de toezichthouder bepaald dat iedere DigiD aansluiting naast een jaarlijkse zelfevaluatie ook (extern) getoetst Voldoende wordt op naleving van het normenkader. Ontwikkeling en het beheer van onze website en digitale belastingbalie is grotendeels uitbesteed. Het functioneel beheer is intern geregeld. Het onderzoek van externe auditors zowel bij de leveranciers als bij onszelf geeft aan dat de beveiliging en processen DigiD voor onze website en de

pagina 3 van 5

digitale belastingbalie op orde zijn. Zowel onze leveranciers als wijzelf voldoen volledig aan de gestelde informatiebeveiligingsnormen. BRP Basisregistratie Personen

BRP is de basisregistratie waarin alle inwoners zijn geregistreerd. Gemeenten beheren deze BRP voor hun inwoners. Uiteindelijk worden alle BRP registraties landelijk gekoppeld zodat overheidsinstanties, zorgverleners en andere dienstverleners die gebruik mogen maken van deze BRP beschikken over de juiste persoonsinformatie. Vanwege het grote landelijke belang rondom de BRP Voldoende zijn gemeenten verplicht om jaarlijks een zelfevaluatie uit te voeren. Deze zelfevaluatie bestaat uit 2 onderdelen. Processen en Uitvoering: De zelfevaluatie BRP (processen en uitvoering) over het jaar 2022 is afgerond met een score van 93,6%. Dit is een goed resultaat.

PNIK Paspoorten en Nederlandse identiteitskaarten (Reisdocumenten)

Gemeenten verzorgen de aanvraag-en het uitreiken van reisdocumenten voor hun inwoners. Reisdocumenten zijn erg waardevol en vaak de sleutel van identiteitsfraude. De processen rondom het aanvragen en uitreiken zijn daarom strikt. De burgemeester is verantwoordelijk voor de borging van deze processen Voldoende en moet hierover jaarlijks verantwoording afleggen aan de minister van Binnenlandse Zaken en Koninkrijksrelaties. Via de ENSIA verantwoording infomeren we ook het eigen bestuur over de stand van zaken. De zelfevaluatie reisdocumenten over het jaar 2022 is afgerond met een score van 97,3% Dit is een goed resultaat. Processen en de uitvoering rondom het aanvragen, beheren en uitreiken van reisdocumenten zijn op orde.

BGT Basisregistratie Grootschalige Topografie

De BGT is een digitale kaart van Nederland waarop gebouwen, wegen, waterlopen, terreinen en spoorlijnen eenduidig zijn vastgelegd. Kortom: de inrichting van de fysieke omgeving. Gemeenten zijn als bronhouder mede verantwoordelijk voor de kwaliteit van deze landelijke basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BGT. De zelfevaluatie BGT over het jaar 2022 is afgerond met een score van 83%. Hiermee voldoen we ruim aan de landelijk gestelde norm van minimaal 75% voor een positief resultaat. In 2021 was de score 72%.

BAG Basisregistratie Adressen en Gebouwen

BRO Basisregistratie Ondergrond

Voldoende

De BAG bevat gemeentelijke basisgegevens van alle adressen en gebouwen in een gemeente. Kopieën van al deze gegeven zijn verzameld in een landelijke voorziening. Deze voorziening wordt landelijk gebruikt door overheden, organisaties en particulieren. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BAG. De zelfevaluatie BAG over het jaar 2022 is afgerond met een score van 86%. Voldoende Deze score ligt boven de landelijk gestelde norm van minimaal 75% voor een positief resultaat. In 2021 was de score 90%. De BRO bevat bodem- en ondergrondgegevens. Het gebruik van deze gegevens is de laatste decennia sterk toegenomen. Deze gegevens spelen een cruciale rol op uitvoerend niveau, maar zijn ook van belang bij het oplossen van maatschappelijke vraagstukken. Daarbij valt onder meer te denken aan het Voldoende inpassen van de gevolgen van klimaatverandering zoals het stijgen van de zeewaterspiegel en bodemdaling. De gemeente is bronhouder voor deze

pagina 4 van 5

basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BRO.

WOZ Basisregistratie Waardering Onroerende Zaken

De zelfevaluatie BRO over het jaar 2022 is afgerond met een score van 72%. Deze score ligt boven de landelijk gestelde norm van minimaal 60% voor een positief resultaat. In 2021 was de score gelijk. De WOZ staat voor Waardering Onroerende Zaken. De WOZ-waarde wordt gebruikt om de hoogte van belastingen en heffingen te bepalen, zoals de onroerendezaakbelasting. ... Gemeenten bepalen de hoogte van de WOZwaarde. Dit doen ze vanuit de Wet waardering onroerende zaken. Het is van belang dat WOZ gegevens actueel zijn en op een juiste wijze worden beheerd. Een onjuiste WOZ registratie kan resulteren in enerzijds een te hoge kostendoorberekening aan inwoners en bedrijven en anderzijds in een te lage opbrengst voor gemeenten. In 2021 is de zelfevaluatie WOZ toegevoegd aan de ENSIA verantwoording. Deze zelfevaluatie is nog niet gekoppeld aan een normenkader, score matrix en geeft daarmee nog geen direct waardeoordeel over het beheer en de kwaliteit bij gemeenten. Daarom staat dit onderdeel op de status “Geen Oordeel” De WOZ rapportage geeft het bestuur wel een globaal inzicht in de stand van zaken bij ons.

pagina 5 van 5

 Geen oordeel