IN039 Bijlage.pdf

Bijlage informatienota raad: Stand van zaken informatieveiligheid gemeente West Betuwe 2021

Inleiding Het college van burgemeester en wethouders van de gemeente West Betuwe legt over het jaar 2021 verantwoording af over de stand van zaken op het gebied van informatiebeveiliging binnen de gemeentelijke organisatie. Dit gaat op basis van de Eenduidige Normatiek Single Information Audit (= ENSIA) systematiek.

Doelstelling ENSIA heeft tot doel het verantwoordingsproces over informatieveiligheid te professionaliseren door het toezicht te bundelen en aan te sluiten op de gemeentelijke planning & control-cyclus. Hierdoor heeft het gemeentebestuur meer overzicht over de stand van zaken van de informatieveiligheid en kan het hier ook beter op sturen.

Scope De ENSIA verantwoording voor het jaar 2021 gaat over onderstaande onderdelen: • Implementatie van de Baseline Informatiebeveiliging Overheid (BIO). Zelfevaluatie; • Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet). Extern onderzoek; • Digitale Persoonsidentificatie (DigiD). Extern onderzoek; • Basis Registratie Personen (BRP). Zelfevaluatie; • Paspoort Uitvoeringsregeling Nederland (PUN/PNIK). Zelfevaluatie; • Basisregistratie Grootschalige Topografie (BGT). Zelfevaluatie; • Basisregistratie Adressen en Gebouwen (BAG). Zelfevaluatie; • Basisregistratie Ondergrond (BRO). Zelfevaluatie; • Basisregistratie Waardering Onroerende Zaken (WOZ). Zelfevaluatie;

Illustratie Ensia onderdelen en verantwoordingslijn

Ensia verantwoording Voor de leesbaarheid is per onderdeel met behulp van smileys de status per onderdeel weergegeven. Per onderdeel zijn ook de bevindingen kort uitgewerkt ter onderbouwing van deze status.

Legenda:

☺







Ruim voldoende tot Goed

Voldoende

Net Onvoldoende

Onvoldoende

Het onderdeel is volledig op orde, in control

Het onderdeel is globaal op orde in control

Het onderdeel is net niet in control

Het onderdeel is niet in control

Wellicht zijn er minimale verbeterpunten

Er zijn enkele verbeterpunten

Er zijn meerdere verbeterpunten

Er zijn veel verbeterpunten, bijsturing is nodig

pagina 1 van 4

Verantwoording per onderdeel ENSIA domein specifiek Onderstaande tabel geeft per ENSIA onderdeel een korte toelichting met bevindingen en de stand van zaken.

Domein Onderdeel

Toelichting, bevindingen & stand van zaken

BIO

De BIO is vanaf 2020 voor de gehele overheid het normenkader in het kader van informatiebeveiliging. Deze BIO geeft organisaties meer ruimte om op basis van een eigen risico afweging keuzes te maken in het implementeren van beheers- en beveiligingsmaatregelen. Hierbij blijft een basis pakket aan generieke maatregelen voor iedere (overheid)organisatie verplicht.

Implementatie van de Baseline Informatiebeveiliging Overheid

Status

 Voldoende

Gemeente West Betuwe is in 2020 gestart met de implementatie van de BIO. Veel maatregelen zijn gelijk aan het vorige normenkader. Sommige maatregelen zijn daarom eerder al (deels) geïmplementeerd. Informatieveiligheid is veel meer dan het implementeren van technische maatregelen. Uit verschillende dreigingsbeelden blijkt dat het bijna altijd mis gaat door (onbewust) menselijk handelen. Bewuste medewerkers zijn de beste beveiligingsmaatregel. In 2021 is er vanwege de aanhoudende Corona maatregelen en het vertrek van de CISO minder aandacht geweest voor bewustwording op het gebied van informatieveiligheid. Uiteraard zijn belangrijke gebeurtenissen gecommuniceerd en besproken met direct betrokken collega’s. In 2022 zal de nieuwe CISO extra aandacht besteden aan bewustwording. Hierbij ligt de focus liggen op de wereldwijde toenemende cybercriminaliteit. Verder is informatieveiligheid binnen onze organisatie voldoende geborgd. Dit blijkt uit de (ENSIA) zelfevaluaties en voor een aantal domeinen uit de externe audits. Het blijven ontwikkelen en werken aan onze weerbaarheid is een continu proces en vraagt ook altijd om aandacht.

SUWINET Structuur Uitvoeringsorganisatie Werk en Inkomen

Suwinet wordt gebruikt voor het uitvoeren van de Participatiewet en voor het heffen van belastingen. Iedere taak gebruikt een aparte Suwinet aansluiting.



Vanwege de hoeveelheid en gevoeligheid van (persoons)gegevens binnen Suwinet heeft het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties bepaald dat iedere aansluithouder naast de zelfevaluatie ook extern getoetst wordt op naleving van het normenkader.

Voldoende

Onze werkzaamheden rondom het Sociaal Domein zijn grotendeels uitbesteed aan Werkzaak Rivierenland. Werkzaak Rivierenland gebruikt voor het uitvoeren van deze werkzaamheden Suwinet en moet hierover bij ons verantwoording afleggen. Uit deze verantwoording over 2021 bleek dat Werkzaak Rivierenland op één onderdeel (werken aan bewustwording bij medewerkers) niet voldeed aan alle vereiste beveiligingsrichtlijnen voor het goed gebruik van Suwinet. Inmiddels heeft de externe auditor van werkzaak bevestigd dat deze bevinding is ondervangen en daarmee opgelost. Inmiddels voldoet werkzaak weer aan de gestelde eisen voor het veilig gebruik van Suwinet gegevens. Onze werkzaamheden rondom het proces belastingen zijn uitbesteed aan Belastingsamenwerking Rivierenland (BSR). Uit de verantwoording vanuit deze organisatie blijkt dat BSR voldoet aan alle vereiste richtlijnen en normenkaders rondom Suwinet. Zelf gebruiken we Suwinet voor een klein deel van de uitvoering van de Participatiewet wat niet bij Werkzaak is belegd. Het (externe) onderzoek rondom het veilig en verantwoord gebruik van Suwinet toont aan dat we voldoen aan de gestelde normenkaders. DIGID Digitale Persoonsidentificatie

DigiD is voor inwoners de manier om zichzelf digitaal te identificeren. DigiD wordt gebruikt voor de digitale dienstverlening via onze website westbetuwe.nl en het digitale loket van burgerzaken. Onvoldoende of onjuist beheer van een DigiD aansluiting kan grote gevolgen hebben voor de landelijke keten en uiteindelijk persoonsinformatie van inwoners. Daarom

pagina 2 van 4

☺

Website & Iburgerzaken heeft de toezichthouder bepaald dat iedere DigiD aansluiting naast een jaarlijkse zelfevaluatie ook (extern) getoetst wordt op naleving van het normenkader.

Ruim voldoende tot goed

Ontwikkeling en het beheer van onze website is grotendeels uitbesteed. Het functioneel beheer is intern geregeld en deels via de Bedrijfsvoeringsorganisatie West-Betuwe. Ontwikkeling en het beheer van het digitale burgerzaken loket is grotendeels uitbesteed. Het functioneel beheer is intern geregeld. Het onderzoek van externe auditors zowel bij de leveranciers als bij onszelf geeft aan dat de beveiliging en processen DigiD voor onze website en het digitale burgerzakenloket op orde zijn. Zowel onze leveranciers als wijzelf voldoen volledig aan de gestelde informatiebeveiligingsnormen.

BRP Basisregistratie Personen

☺

BRP is de basisregistratie waarin alle inwoners zijn geregistreerd. Gemeenten beheren deze BRP voor hun inwoners. Uiteindelijk worden alle BRP registraties landelijk gekoppeld zodat overheidsinstanties, zorgverleners en andere dienstverleners die gebruik mogen maken van deze BRP beschikken over de juiste persoonsinformatie. Vanwege het grote landelijke belang Ruim rondom de BRP zijn gemeenten verplicht om jaarlijks een zelfevaluatie uit te voeren. Deze voldoende tot goed zelfevaluatie bestaat uit 2 onderdelen. Processen en Uitvoering: De zelfevaluatie BRP (processen en uitvoering) over het jaar 2021 is afgerond met een score van 97,5%. Dit ruim boven de landelijk gestelde norm van minimaal 90%. Inhoudelijke BRP: Ook de inhoudelijke controle op de kwaliteit van onze Basis Registratie Personen is met een goed resultaat afgerond.

PNIK Paspoorten en Nederlandse identiteitskaarten (Reisdocumenten)

Gemeenten verzorgen de aanvraag-en het uitreiken van reisdocumenten voor hun inwoners. Reisdocumenten zijn erg waardevol en vaak de sleutel van identiteitsfraude. De processen rondom het aanvragen en uitreiken zijn daarom strikt. De burgemeester is verantwoordelijk voor de borging van deze processen en moet hierover jaarlijks verantwoording afleggen aan de minister van Binnenlandse Zaken en Koninkrijksrelaties. Via de ENSIA verantwoording infomeren we ook het eigen bestuur over de stand van zaken.

☺ Ruim voldoende tot goed

De zelfevaluatie reisdocumenten over het jaar 2021 is afgerond met een score van 97,2% Dit zit boven de landelijk gestelde norm van minimaal 90%. Processen en de uitvoering rondom het aanvragen, beheren en uitreiken van reisdocumenten zijn op orde.

BGT Basisregistratie Grootschalige Topografie



De BGT is een digitale kaart van Nederland waarop gebouwen, wegen, waterlopen, terreinen en spoorlijnen eenduidig zijn vastgelegd. Kortom: de inrichting van de fysieke omgeving. Gemeenten zijn als bronhouder mede verantwoordelijk voor de kwaliteit van deze landelijke basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de Voldoende stand van zaken rondom het beheer van deze BGT. De zelfevaluatie BGT over het jaar 2021 is afgerond met een score van 86%. Hiermee voldoen we aan de landelijk gestelde norm van minimaal 75% voor een positief resultaat. In 2020 was de score 80%.

Gemeente West Betuwe heeft de BGT werkzaamheden uitbesteed aan de bedrijfsvoerings organisatie West-Betuwe. in 2021 is er een koppeling gemaakt tussen de BAG en BGT registratie. Hiermee zijn gegevens als pandgeometrie gesynchroniseerd waardoor de kwaliteit binnen de registraties is toegenomen. De BAG bevat gemeentelijke basisgegevens van alle adressen en gebouwen in een BAG gemeente. Kopieën van al deze gegeven zijn verzameld in een landelijke voorziening. Deze voorziening wordt landelijk gebruikt door overheden, organisaties en particulieren. Net als Basisregistratie Adressen en Gebouwen alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BAG.

pagina 3 van 4

 Voldoende

De zelfevaluatie BAG over het jaar 2021 is afgerond met een score van 78%. Deze score ligt boven de landelijk gestelde norm van minimaal 75% voor een positief resultaat. In 2020 was de score 80,5%. Gemeente West Betuwe heeft het beheer van de BAG uitbesteed aan de Bedrijfsvoeringsorganisatie West-Betuwe. Vergunningverlening, toezicht en handhaving zijn ondergebracht bij de Omgevingsdienst Rivierenland (ODR). Het bestuurlijk uitgangspunt en hiermee ook ons beleid rondom de BAG is om de kwaliteit op een steeds hoger niveau te brengen. Echter de afhankelijkheid van meldingen door ODR en/of gemeente kan leiden tot “overmachtssituaties” waardoor wettelijke termijnen niet altijd gehaald kunnen worden.

BRO Basisregistratie Ondergrond

Een belangrijk actiepunt voor deze periode was het extra aandacht besteden aan het verbeteren van het onderdeel Tijdigheid, met name het binnen de gestelde termijnen inmeten en tekenen van de pandgeometrie. Dit proces diende verbeterd te worden. In de afgelopen periode is er een inhaalslag gemaakt met het inwinnen van de definitieve geometrie. De BRO bevat bodem- en ondergrondgegevens. Het gebruik van deze gegevens is de laatste decennia sterk toegenomen. Deze gegevens spelen een cruciale rol op uitvoerend niveau, maar zijn ook van belang bij het oplossen van maatschappelijke vraagstukken. Daarbij valt onder meer te denken aan het inpassen van de gevolgen van klimaatverandering zoals het stijgen van de zeewaterspiegel en bodemdaling. De gemeente is bronhouder voor deze basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BRO.

 Net onvoldoen de

De zelfevaluatie BRO over het jaar 2021 is afgerond met een score van 50%. Dit is ten opzichte van voorgaande jaren verbeterd maar nog steeds onder de gestelde norm van 54% voor een positief resultaat. De implementatie van de BRO is in 2021 gestart. Dit vraagt een projectmatige en integrale aanpak. Het voorstel om dit nu op te starten en hierbij externe expertise in te zetten is inmiddels gereed. Besluitvorming hierover moet nog plaats vinden. Gemeenten West Betuwe, Culemborg en Tiel hebben in 2021 een onderzoek naar het beheer en borgen van de BRO laten uitvoeren. Naar aanleiding dit onderzoek hebben de gemeenten opdracht gegeven aan de Bedrijfsvoeringsorganisatie West-Betuwe om de BRO te gaan beheren. Hiermee is eind 2021 gestart.

WOZ Basisregistratie Waardering Onroerende Zaken

Het bestuurlijk uitgangspunt en hiermee ook ons beleid is om de kwaliteit en het beheer van deze basisregistratie zo snel als mogelijk op het minimaal (landelijk) gewenste niveau te brengen. De WOZ staat voor Waardering Onroerende Zaken. De WOZ-waarde wordt gebruikt om de hoogte van belastingen en heffingen te bepalen, zoals de onroerendezaakbelasting. ... Gemeenten bepalen de hoogte van de WOZ-waarde. Dit doen ze vanuit de Wet waardering onroerende zaken. Het is van belang dat WOZ gegevens actueel zijn en op een juiste wijze worden beheerd. Een onjuiste WOZ registratie kan resulteren in enerzijds een te hoge kostendoorberekening aan inwoners en bedrijven en anderzijds in een te lage opbrengst voor gemeenten. Gemeente West Betuwe heeft de werkzaamheden rondom de WOZ uitbesteed aan Belastingsamenwerking Rivierenland. In 2021 is de zelfevaluatie WOZ toegevoegd aan de ENSIA verantwoording. Deze zelfevaluatie is nog niet gekoppeld aan een normenkader, score matrix en geeft daarmee nog geen direct waardeoordeel over het beheer en de kwaliteit bij gemeenten. De WOZ rapportage geeft het bestuur wel een globaal inzicht in de stand van zaken bij ons.

pagina 4 van 4

 Geen oordeel