2026-102.1 Bijlage 1. Openbare rapportage stand van zaken informatieveiligheid gemeente West Maas en Waal 2025

Aan:

Leden van de gemeenteraad gemeente West Maas en Waal

Van:

College van B&W van de gemeente West Maas en Waal

Betreft:

Rapportage “Stand van zaken informatieveiligheid van de gemeente West Maas en Waal 2025”

Datum:

31 maart 2026

Inleiding Het college van burgemeester en wethouders van de gemeente West Maas en Waal legt jaarlijks verantwoording af over de stand van zaken op het gebied van informatiebeveiliging binnen de gemeentelijke organisatie. Dit gaat op basis van de Eenduidige Normatiek Single Information Audit (= ENSIA) systematiek. Scope De ENSIA-verantwoording voor het jaar 2025 gaat over onderstaande onderdelen: • •

• •

•

•

•

•

Implementatie van de Baseline Informatiebeveiliging Overheid (BIO). Zelfevaluatie; Toezichthouder: Gemeenteraad. Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet). Extern onderzoek; Stelselhouder: Ministerie van Sociale Zaken en Werkgelegenheid. Toezichthouder: Bureau Keteninformatisering Werk en Inkomen (BKWI). Digitale Persoonsidentificatie (DigiD). Extern onderzoek; Stelselhouder: Ministerie van Binnenlandse Zaken en Koninkrijksrelaties. Toezichthouder: Logius. Basis Registratie Personen (BRP). Zelfevaluatie; Stelselhouder: Ministerie van Binnenlandse Zaken en Koninkrijksrelaties. Toezichthouder: Rijksdienst voor Identiteitsgegevens (RVIG). Paspoort Uitvoeringsregeling Nederland (PUN). Zelfevaluatie; Stelselhouder: Ministerie van Binnenlandse Zaken en Koninkrijksrelaties. Toezichthouder: Rijksdienst voor Identiteitsgegevens (RVIG). Basisregistratie Grootschalige Topografie (BGT). Zelfevaluatie; Stelselhouder: Ministerie van Volkshuisvesting en Ruimtelijke Ordening. Toezichthouder: Directoraat-generaal Ruimtelijke Ordening. Basisregistratie Adressen en Gebouwen (BAG). Zelfevaluatie; Stelselhouder: Ministerie van Volkshuisvesting en Ruimtelijke Ordening. Toezichthouder: Directoraat-generaal Ruimtelijke Ordening. Basisregistratie Ondergrond (BRO). Zelfevaluatie; Stelselhouder: Ministerie van Volkshuisvesting en Ruimtelijke Ordening.

Toezichthouder: Directoraat-generaal Ruimtelijke Ordening.

Illustratie Ensia onderdelen en verantwoordingslijn

pagina 1 van 4

Ensia-verantwoording Onderstaande tabel geeft per ENSIA-onderdeel een korte toelichting met bevindingen en de stand van zaken. Voor de leesbaarheid is per onderdeel met behulp van kleuren de status per onderdeel weergegeven. Per onderdeel zijn ook de bevindingen kort uitgewerkt ter onderbouwing van deze status. Legenda: Ruim voldoende tot Goed

Voldoende

Net Onvoldoende

Onvoldoende

Het onderdeel is volledig op orde, in control

Het onderdeel is globaal op orde in control

Het onderdeel is net niet in control

Het onderdeel is niet in control

Wellicht zijn er minimale verbeterpunten

Er zijn enkele verbeterpunten

Er zijn meerdere verbeterpunten

Er zijn veel verbeterpunten, bijsturing is nodig

Verantwoording per onderdeel ENSIA-domein specifiek Domein Onderdeel Toelichting, bevindingen & stand van zaken BIO Baseline Informatiebeveiliging Overheid

Status

De Baseline Informatiebeveiliging Overheid (BIO) is voor overheidsinstanties het normenkader om informatieveiligheid binnen de organisatie te borgen. Vanaf 2026 zal een aangescherpte BIO2 middels de nieuwe Cyberbeveiligingswet voor alle overheden worden verplicht. De vrijblijvendheid om te (gaan) voldoen aan alle in de BIO2 genoemde maatregelen is daarmee vervallen.

Voldoende

Gemeente West Maas en Waal volgt al langer de BIO om op het gebied van informatieveiligheid weerbaarder te worden en dat ook te blijven. Om de organisatie kaders en richting te geven is eind 2025 een nieuw strategisch informatiebeveiligingsbeleid vastgesteld. Dit beleid is volledig toegespitst op de aankomende Cyberbeveiligingswet. Over het geheel gezien loopt gemeente West Maas en Waal in de pas met de implementatie van de BIO. Dit blijkt ook uit de verschillende interne-en externe onderzoeken. Uiteraard zijn er verbeterpunten die in een roadmap informatiebeveiliging worden geprioriteerd. Voorbeelden van deze verbeterpunten zijn het actualiseren van (oude) beleidsdocumenten, werken aan procedures om in geval van incidenten en/of datalekken de juiste stappen herstelstappen te kunnen nemen. Tot slot zal in 2026 meer aan bewustwording onder medewerkers op het gebied van informatiebeveiliging en privacybescherming worden gewerkt. Maatschappelijke ontwikkelingen waaronder GEO politieke dreigingen en de toenemende cybercriminaliteit zijn wereldwijd maar ook voor gemeente West Maas en Waal onderwerpen waar rekening mee gehouden moet worden. We houden deze ontwikkelingen maar ook adviezen vanuit de landelijke Informatiebeveiligingsdienst voor Gemeenten (IBD) en het Nationaal Cyber Security Center (NCSC) nauwlettend in de gaten.

De weerbaarheid rondom onze informatiebeveiliging staat continue onder druk en vraagt daarmee komende jaren om extra investeringen. SUWINET Structuur Uitvoeringsorganisatie Werk en Inkomen

Suwinet wordt gebruikt voor het uitvoeren van de Participatiewet en schuldhulpverlening. Iedere taak gebruikt een aparte Suwinet aansluiting. Vanwege de hoeveelheid en gevoeligheid van (persoons)gegevens binnen Suwinet heeft het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties bepaald dat iedere aansluithouder naast de zelfevaluatie ook extern getoetst wordt op naleving van het gestelde normenkader. Onze werkzaamheden rondom het Sociaal Domein zijn volledig uitbesteed aan Werkzaak Rivierenland. Werkzaak Rivierenland gebruikt voor het uitvoeren van deze werkzaamheden Suwinet en moet hierover bij ons verantwoording afleggen.

pagina 2 van 4

Ruim voldoende tot goed

De processen rondom het veilig gebruik van Suwinet gegevens zijn bij Werkzaak Rivierenland net als voorgaande jaren prima op orde. Dit is in de externe audit bij werkzaak bevestigd. DIGID Digitale Persoonsidentificatie Website / Eformulieren

DigiD is voor inwoners de manier om zichzelf digitaal te identificeren. DigiD wordt gebruikt voor de digitale dienstverlening via onze website. Onvoldoende of onjuist beheer van een DigiD aansluiting kan grote gevolgen hebben voor de landelijke keten en uiteindelijk persoonsinformatie van inwoners. Daarom heeft de toezichthouder bepaald dat iedere DigiD aansluiting naast een jaarlijkse zelfevaluatie ook (extern) getoetst wordt op naleving van het normenkader.

Ruim voldoende tot goed

Ontwikkeling en het beheer van onze website is grotendeels uitbesteed. Het functioneel beheer is intern geregeld. Uit de externe audit blijkt dat we voldoen aan het normenkader voor een veilige DigiD voorziening. Het beheer en de beveiliging is op orde. In het assurancerapport van de auditor staat dat we voor het onderdeel incident management niet volledig voldoen aan het gestelde normenkader. Dit staat zo in de rapportage omdat er binnen de scope van onze website/eformulieren geen beveiligingsincidenten hebben plaatsgevonden in 2025. Dit onderdeel heeft de auditor daarom niet volledig kunnen toetsen waardoor het oordeel is dat we voor opzet wel voldoen maar voor het onderdeel bestaan (werkt de incidentprocedure ook in de praktijk) niet zouden voldoen. Het komt erop neer dat je niet voldoet aan het normenkader als er geen beveiligingsincidenten hebben plaatsgevonden. Dat geeft een vertekend beeld. Om deze reden is hierover een landelijke discussie gestart tussen de VNG, de beroepsorganisatie voor auditors en toezichthouder Logius. BRP is de basisregistratie waarin alle inwoners zijn geregistreerd. Gemeenten beheren deze BRP voor hun inwoners. Uiteindelijk worden alle BRP-registraties landelijk gekoppeld zodat overheidsinstanties, zorgverleners en andere dienstverleners die gebruik mogen maken van Basisregistratie Personen deze BRP beschikken over de juiste persoonsinformatie.

Vanwege het grote landelijke belang rondom de BRP zijn gemeenten verplicht om jaarlijks een zelfevaluatie uit te voeren. Deze Processen, uitvoering zelfevaluatie bestaat uit 2 onderdelen, een zelfevaluatie op de uitvoering van processen en Net en een inhoudelijke controle. Onvoldoende

BRP

informatiebeveiliging

Processen, uitvoering en informatiebeveiliging: De zelfevaluatie BRP voor de onderdelen processen, uitvoering en informatiebeveiliging over het jaar 2025 is afgerond met een score van 87,2%. Dat is net onvoldoende. De norm die we hierbij hanteren is 90% voor minimaal een voldoende. Hoewel deze normen en waardeoordelen vanuit de Rijksdienst voor Identiteitsgegevens landelijk zijn losgelaten houden wij dit aan om voor onszelf een waardeoordeel op de zelfevaluatie te behouden. Verbeterpunten zitten in het opstellen van een (organisatiebreed) Bedrijfs Continuiteits Management (BCM) plan waarmee ook na een (interne) calamiteit de burgerzakenprocessen weer snel kunnen worden opgestart. Daarnaast zijn binnen het proces de verbeterpunten in het maken van een proces voor het compleet maken van persoonsdossiers. Hierbij gaat het om aanschrijven van inwoners die nog brondocumenten moeten inleveren. Rondom de (landelijke) terugmeldvoorziening moeten de termijn van 5 werkdagen worden geborgd.

BRP

Inhoudelijke BRP:

Basisregistratie Personen

De inhoudelijke controle op de kwaliteit van onze Basis Registratie Personen is met een voldoende resultaat afgerond. Op alle onderdelen voldoet onze BRP op de gestelde eisen voor een betrouwbare basisregistratie

PNIK

Gemeenten verzorgen de aanvraag-en het uitreiken van reisdocumenten voor hun inwoners. Reisdocumenten zijn erg waardevol en vaak de sleutel van identiteitsfraude. De processen rondom het aanvragen en uitreiken zijn daarom strikt. De burgemeester is verantwoordelijk voor de borging van deze processen en moet hierover jaarlijks verantwoording afleggen aan

Paspoorten en Nederlandse identiteitskaarten (Reisdocumenten)

pagina 3 van 4

Voldoende

Voldoende

de minister van Binnenlandse Zaken en Koninkrijksrelaties. Via de ENSIA-verantwoording infomeren we ook het eigen bestuur over de stand van zaken. Voor de zelfevaluatie reisdocumenten 2025 scoren we 92,1%. De landelijke norm voor een positief resultaat was 90%. De opmerking hierbij is net zoals bij de BRP-zelfevaluatie dat deze landelijk score is losgelaten maar onszelf een goed beeld geeft van de stand van zaken met betrekking tot het reisdocumentenproces.

BGT Basisregistratie Grootschalige Topografie

De BGT is een digitale kaart van Nederland waarop gebouwen, wegen, waterlopen, terreinen en spoorlijnen eenduidig zijn vastgelegd. Kortom: de inrichting van de fysieke omgeving. Gemeenten zijn als bronhouder medeverantwoordelijk voor de kwaliteit van deze landelijke basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BGT. De zelfevaluatie BGT over het jaar 2025 is afgerond met een score van 96%. Hiermee voldoen we ruim aan de landelijk gestelde norm van minimaal 75% voor een positief resultaat.

De BAG bevat gemeentelijke basisgegevens van alle adressen en gebouwen in een gemeente. Kopieën van al deze gegeven zijn verzameld in een landelijke voorziening. Deze voorziening wordt landelijk gebruikt door overheden, organisaties en particulieren. Net als Basisregistratie alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom Adressen en Gebouwen het beheer van deze BAG.

Ruim voldoende tot goe

BAG

Ruim voldoende tot goed

De zelfevaluatie BAG over het jaar 2025 is afgerond met een score van 91%. Deze score ligt net boven de gestelde norm van minimaal 75% voor een positief resultaat.

BRO Basisregistratie Ondergrond

De BRO bevat bodem- en ondergrondgegevens. Het gebruik van deze gegevens is de laatste decennia sterk toegenomen. Deze gegevens spelen een cruciale rol op uitvoerend niveau, maar zijn ook van belang bij het oplossen van maatschappelijke vraagstukken. Daarbij valt onder meer te denken aan het inpassen van de gevolgen van klimaatverandering zoals het stijgen van de zeewaterspiegel en bodemdaling. De gemeente is bronhouder voor deze basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BRO. De zelfevaluatie BRO over het jaar 2025 is afgerond met een score van 87%. Dit voldoet aan de landelijke norm van 60% voor een positief resultaat.

pagina 4 van 4

Voldoende