IN051Bijlage De stand van zaken op het gebied van informatieveiligheid.pdf

Bijlage informatienota raad: Stand van zaken informatieveiligheid gemeente West Betuwe 2020

Inleiding Het college van burgemeester en wethouders van de gemeente West Betuwe legt over het jaar 2020 verantwoording af over de stand van zaken op het gebied van informatiebeveiliging binnen de gemeentelijke organisatie. Dit gaat op basis van de Eenduidige Normatiek Single Information Audit (= ENSIA) systematiek.

Doelstelling ENSIA heeft tot doel het verantwoordingsproces over informatieveiligheid te professionaliseren door het toezicht te bundelen en aan te sluiten op de gemeentelijke planning & control-cyclus. Hierdoor heeft het gemeentebestuur meer overzicht over de stand van zaken van de informatieveiligheid en kan het hier ook beter op sturen. ENSIA neemt de Baseline Informatiebeveiliging Overheid (BIO) als uitgangspunt en maakt gebruik van een daarop ingerichte zelfevaluatie.

Scope van de ENSIA verklaring De ENSIA verantwoording voor het jaar 2020 gaat over onderstaande onderdelen:        

Implementatie van de Baseline Informatiebeveiliging Overheid (BIO); Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet); Digitale Persoonsidentificatie (DigiD); Basis Registratie Personen (BRP); Paspoort Uitvoeringsregeling Nederland (PUN); Basisregistratie Grootschalige Topografie (BGT); Basisregistratie Adressen en Gebouwen (BAG); Basis Registratie Ondergrond (BRO).

Specifiek voor de onderdelen DigiD en Suwinet is een Assurance verklaring gevraagd van een onafhankelijke en geaccrediteerde auditor. Deze auditor toetst volgens de landelijke normenkaders over de opzet en het bestaan van beheersmaatregelen. Dit laatste wordt door de verticale toezichthouders Logius, BKWI en de Inspectie SZW vereist. De overige onderdelen bestaan uit een zelfevaluatie die betrokken medewerkers hebben uitgevoerd.

Ensia verantwoording Onderstaande tabellen geven per ENSIA onderdeel een korte toelichting met bevindingen en de stand van zaken. Voor de leesbaarheid is per onderdeel met behulp van smileys de status per onderdeel weergegeven. Per onderdeel zijn ook de bevindingen kort uitgewerkt ter onderbouwing van deze status.

Legenda:









Ruim voldoende tot Goed

Voldoende

Net Onvoldoende

Onvoldoende

Het onderdeel is volledig op orde, in control

Het onderdeel is globaal op orde in control

Het onderdeel is net niet in control

Het onderdeel is niet in control

Wellicht zijn er minimale verbeterpunten

Er zijn enkele verbeterpunten

Er zijn meerdere verbeterpunten

Er zijn veel verbeterpunten, bijsturing is nodig

pagina 1 van 4

Verantwoording per onderdeel ENSIA domein specifiek Onderstaande tabel geeft per domein een korte toelichting, bevindingen en de stand van zaken weer.

Domein Onderdeel

Toelichting, bevindingen & stand van zaken

Status

BIO

De BIO is vanaf 2020 voor de gehele overheid het normenkader in het kader van informatiebeveiliging. Deze BIO geeft organisaties meer ruimte om op basis van een eigen risico afweging keuzes te maken in het implementeren van beheers- en beveiligingsmaatregelen. Hierbij blijft een basis pakket aan generieke maatregelen voor iedere (overheid)organisatie verplicht.



Implementatie van de Baseline Informatiebeveiliging Overheid

Gemeente West Betuwe is in 2020 gestart met de implementatie van de BIO. Veel maatregelen zijn gelijk aan het vorige normenkader en waren eerder al (deels) geïmplementeerd. Informatieveiligheid is veel meer dan het implementeren van technische maatregelen. Uit verschillende dreigingsbeelden blijkt dat het bijna altijd mis gaat door (onbewust) menselijk handelen. Bewuste medewerkers zijn de beste beveiligingsmaatregel. Rondom bewustwording is vanwege Covid-19 de focus verplaatst naar het (digitaal) veilig op afstand werken. Collega’s zijn op verschillende manieren bewust gemaakt van de risico’s en mogelijkheden die dit nieuwe werken met zich meebrengt. Verder is informatieveiligheid binnen onze organisatie voldoende geborgd. Dit blijkt uit de (ENSIA) zelfevaluaties en voor een aantal domeinen uit de externe audits. Het blijven ontwikkelen en werken aan onze weerbaarheid is een continu proces en vraagt ook altijd om aandacht.

SUWINET Structuur Uitvoeringsorganisatie Werk en Inkomen

Suwinet wordt gebruikt voor het uitvoeren van de Participatiewet en voor het heffen van belastingen. Iedere taak gebruikt een aparte Suwinet aansluiting.



Vanwege de hoeveelheid en gevoeligheid van (persoons)gegevens binnen Suwinet heeft het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties bepaald dat iedere aansluithouder naast de zelfevaluatie ook extern getoetst wordt op naleving van het normenkader. Onze werkzaamheden rondom het Sociaal Domein zijn grotendeels uitbesteed aan Werkzaak Rivierenland. Werkzaak Rivierenland gebruikt voor het uitvoeren van deze werkzaamheden Suwinet en moet hierover bij ons verantwoording afleggen. Uit deze verantwoording blijkt dat Werkzaak Rivierenland voldoet aan alle vereiste beveiligingsrichtlijnen voor het goed gebruik van Suwinet. Onze werkzaamheden rondom het proces belastingen zijn uitbesteed aan Belastingsamenwerking Rivierenland (BSR). Uit de verantwoording vanuit deze organisatie blijkt dat BSR voldoet aan alle vereiste richtlijnen en normenkaders rondom Suwinet. Zelf gebruiken we Suwinet voor een klein deel van de uitvoering van de Participatiewet wat niet bij Werkzaak is belegd. Het (externe) onderzoek rondom het veilig en verantwoord gebruik van Suwinet toont aan dat we voldoen aan de gestelde normenkaders.

DIGID Digitale Persoonsidentificatie

DigiD is voor inwoners de manier om zichzelf digitaal te identificeren. DigiD wordt gebruikt voor de digitale dienstverlening via onze website Westbetuwe.nl en het digitale loket van burgerzaken. Onvoldoende of onjuist beheer van een DigiD aansluiting kan grote gevolgen hebben voor de landelijke keten en uiteindelijk persoonsinformatie van inwoners. Daarom heeft de toezichthouder bepaald dat iedere DigiD aansluiting naast een jaarlijkse zelfevaluatie ook (extern) getoetst wordt op naleving van het normenkader. Ontwikkeling en het beheer van onze website en het digitale burgerzaken loket is

pagina 2 van 4



grotendeels uitbesteed. Het functioneel beheer van beide omgevingen is intern geregeld. Één van onze leveranciers voldoet op dit moment voor één norm niet aan het gestelde kader voor een veilige website. Reden hiervan is een recente aanscherping op deze technische norm. Deze leverancier heeft een verbeterplan opgesteld om alsnog aan deze nieuwe gestelde eisen te gaan voldoen. Om het risico te mitigeren zijn door de leverancier maatregelen genomen. Het onderzoek van onze externe auditor geeft aan dat onze processen rondom DigiD prima op orde zijn. Wijzelf voldoen aan de gestelde informatiebeveiligingsnormen.

BRP Basis Registratie Personen

BRP is de basisregistratie waarin alle inwoners zijn geregistreerd. Gemeenten beheren deze BRP voor hun inwoners. Uiteindelijk worden alle BRP registraties landelijk gekoppeld zodat overheidsinstanties, zorgverleners en andere dienstverleners die gebruik mogen maken van deze BRP beschikken over de juiste persoonsinformatie. Vanwege het grote landelijke belang rondom de BRP zijn gemeenten verplicht om jaarlijks een zelfevaluatie uit te voeren. Deze zelfevaluatie bestaat uit 2 onderdelen.



Processen en Uitvoering: De zelfevaluatie BRP (processen en uitvoering) over het jaar 2020 is afgerond met een score van 95,2%. Dit zit ruim boven de landelijk gestelde norm van 90%. Inhoudelijke BRP: Ook de inhoudelijke controle op de kwaliteit van onze Basis Registratie Personen is met een goed resultaat afgerond. Geen Steekproef: West Betuwe is dit jaar door de Rijksdienst voor identiteitsgegevens NIET geselecteerd voor een steekproef.

PUN Paspoort Uitvoeringsregeling Nederland (Reisdocumenten)

Gemeenten verzorgen de aanvraag-en het uitreiken van reisdocumenten voor hun inwoners. Reisdocumenten zijn erg waardevol en vaak de sleutel van identiteitsfraude. De processen rondom het aanvragen en uitreiken zijn daarom strikt. De burgemeester is verantwoordelijk voor de borging van deze processen en moet hierover jaarlijks verantwoording afleggen aan de minister van Binnenlandse Zaken en Koninkrijksrelaties. Via de ENSIA verantwoording infomeren we ook het eigen bestuur over de stand van zaken.



De zelfevaluatie PUN over het jaar 2020 is afgerond met een score van 99,5% Dit zit ruim boven de landelijk gestelde norm van 90%.Processen en de uitvoering rondom het aanvragen, beheren en uitreiken van reisdocumenten zijn op orde. Geen Steekproef: West Betuwe is dit jaar door de Rijksdienst voor identiteitsgegevens NIET geselecteerd voor een steekproef.

BGT Basisregistratie Grootschalige Topografie

De BGT is een digitale kaart van Nederland waarop gebouwen, wegen, waterlopen, terreinen en spoorlijnen eenduidig zijn vastgelegd. Kortom: de inrichting van de fysieke omgeving. Gemeenten zijn als bronhouder mede verantwoordelijk voor de kwaliteit van deze landelijke basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BGT. De zelfevaluatie BGT over het jaar 2020 is afgerond met een score van 120 van maximaal 150. Hiermee voldoen we ruim aan de landelijk gestelde norm van minimaal 113. In 2019 was de score 115. Gemeente West Betuwe heeft de BGT werkzaamheden uitbesteed aan de Bedrijfsvoering organisatie West-Betuwe. Bestuurlijk uitgangspunt en het beleid rondom de BGT zijn om de kwaliteit van op een steeds hoger niveau te brengen. In 2020 is het niveau van de BGT iets verbeterd. De verbetering van de BGT zal in 2021 pas merkbaar zijn. De reden hiervoor is dat er vaste formatie per eind 2020 aanwezig is. Per januari 2021 zal er extra tijdelijke formatie ingezet worden om de BGT op een hoger niveau te krijgen. Een aandachtspunt is het

pagina 3 van 4



vergelijk tussen de BGT en de BAG. In 2020 zijn de terugmeldingen allemaal op tijdige wijze afgehandeld. Eind 2020 is gestart met het vergelijken van de BGT met de BAG. Het vergelijk tussen deze 2 Basisregistraties zal in 2021 verder worden voortgezet. Om zorg te dragen dat de pandgeometrie van beide registraties gelijk zullen zijn zal er begin 2021 een koppeling tussen de beide registraties worden gerealiseerd. De BAG bevat gemeentelijke basisgegevens van alle adressen en gebouwen in een BAG gemeente. Kopieën van al deze gegeven zijn verzameld in een landelijke voorziening. Deze voorziening wordt landelijk gebruikt door overheden, organisaties en particulieren. Net als Basisregistratie Adressen en Gebouwen alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BAG.



De zelfevaluatie BAG over het jaar 2020 is afgerond met een score van 165 uit maximaal 205. Deze score ligt boven de landelijk gestelde norm van 154 voor een positief resultaat. In 2019 was de score van deze zelfevaluatie 140 (onvoldoende). Gemeente West Betuwe heeft het beheer van de BAG uitbesteed aan de Bedrijfsvoeringsorganisatie West-Betuwe. Vergunningverlening, toezicht en handhaving zijn ondergebracht bij de Omgevingsdienst Rivierenland (ODR). Het bestuurlijk uitgangspunt en hiermee ook ons beleid rondom de BAG is om de kwaliteit op een steeds hoger niveau te brengen. Echter de afhankelijkheid van meldingen door ODR en/of gemeente kan leiden tot “overmachtssituaties” waardoor wettelijke termijnen niet gehaald kunnen worden.

BRO Basisregistratie Ondergrond

Een belangrijk actiepunt voor deze periode was het extra aandacht besteden aan het verbeteren van het onderdeel Tijdigheid, met name het binnen de gestelde termijnen inmeten en tekenen van de pandgeometrie. Dit proces diende verbeterd te worden. In de afgelopen periode is er een inhaalslag gemaakt met het inwinnen van de definitieve geometrie. De BRO bevat bodem- en ondergrondgegevens. Het gebruik van deze gegevens is de laatste decennia sterk toegenomen. Deze gegevens spelen een cruciale rol op uitvoerend niveau, maar zijn ook van belang bij het oplossen van maatschappelijke vraagstukken. Daarbij valt onder meer te denken aan het inpassen van de gevolgen van klimaatverandering zoals het stijgen van de zeewaterspiegel en bodemdaling. De gemeente is bronhouder voor deze basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BRO. De zelfevaluatie BRO over het jaar 2020 is afgerond met een score van 20 van maximaal 120. Dit is onder de gestelde norm van 72 voor een positief resultaat. De implementatie van de BRO was in 2020 nog niet gestart. Dit vraagt een projectmatige en integrale aanpak. Het voorstel om dit nu op te starten en hierbij externe expertise in te zetten is inmiddels gereed. Besluitvorming hierover moet nog plaats vinden.

Gemeenten Culemborg, Tiel en West Betuwe hebben de Bedrijfsvoeringsorganisatie WestBetuwe opdracht gegeven om te onderzoeken voor welk scenario gekozen moet worden. Naar aanleiding van het onderzoek begin 2021 zal er gekozen worden of de BRO in zijn geheel bij de gemeente komt te liggen of dat de Bedrijfsvoeringsorganisatie West-Betuwe het beheer van de BRO op zich neemt. Het bestuurlijk uitgangspunt en hiermee ook ons beleid is om de kwaliteit en het beheer van deze basisregistratie zo snel als mogelijk op het minimaal (landelijk) gewenste niveau te brengen.

pagina 4 van 4

