4.2 ENSIA Assurancerapport West Maas en Waal DigiD en Suwinet

ENSIA assurance rapport DigiD en Suwinet verantwoordingsjaar 2020 Gemeente West Maas en Waal

BKBO bv Kenmerk BKBO/180820-3/V2/AR drs. M.B.H. IJpelaar RE CEH CISA

30 maart 2021 Dit assurancerapport heeft 11 pagina’s www.bkbo.nl

Gemeente West Maas en Waal ENSIA Assurancerapport DigiD en Suwinet 30 maart 2021 Rapport BKBO/180820-3/V2/AR

FEIT Ook al zegt men dat de wetenschap voor niets staat, blijft het een feit dat de zon voor niets opgaat.

Jules Deelder

210330 ENSIA Assurancerapport West Maas en Waal DigiD en Suwinet (1.0) © Copyright 2020 BKBO bv. Alle rechten zijn voorbehouden. Reproductie zonder schriftelijke toestemming van de eigenaar is verboden. Wanneer u vragen heeft over dit document kunt u zich richten tot BKBO 073-2110337 Pagina 2 van 11

Gemeente West Maas en Waal ENSIA Assurancerapport DigiD en Suwinet 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Inhoudsopgave 1

1.1 1.2 1.3 1.4 1.5 1.6

Assurancerapport van de onafhankelijke auditor

4

Scope Ons oordeel De basis voor ons oordeel Beperking in gebruik en verspreidingskring Verantwoordelijkheden van het college van de gemeente West Maas en Waal Onze verantwoordelijkheden voor de assurance-opdracht betreffende de Collegeverklaring

4 4 5 5 6

6

Bijlage A1 Rapport van bevindingen DigiD SIM

8

Bijlage A2 Rapport van bevindingen Suwinet Participatiewet

9

Bijlage A3 Rapport van bevindingen Suwinet Belastingdeurwaarders

10

Bijlage Collegeverklaring ENSIA 2020

11

210330 ENSIA Assurancerapport West Maas en Waal DigiD en Suwinet (1.0) © Copyright 2020 BKBO bv. Alle rechten zijn voorbehouden. Reproductie zonder schriftelijke toestemming van de eigenaar is verboden. Wanneer u vragen heeft over dit document kunt u zich richten tot BKBO 073-2110337 Pagina 3 van 11

Gemeente West Maas en Waal ENSIA Assurancerapport DigiD en Suwinet 30 maart 2021 Rapport BKBO/180820-3/V2/AR

1

Assurancerapport van de onafhankelijke auditor Ingevolge uw opdracht hebben wij de bijgevoegde collegeverklaring ENSIA 2020 inzake Informatiebeveiliging van DigiD en Suwinet (hierna: collegeverklaring), inclusief de bijlagen 1 DigiD en 2 Suwinet waarnaar in de collegeverklaring wordt verwezen, van de gemeente West Maas en Waal onderzocht.

1.1

Scope

De scope van ons onderzoek bestond uit gegevensverwerkingen en DigiD aansluitingen:

de

hierna

genoemde

Suwinet

De onderzochte gegevensverwerkingen Suwinet zijn: Type

Gegevensverwerking

Carve-out via Werkzaak Rivierenland

Werk en Inkomen (o.a. uitvoering P-wet, IOAW/IOAZ)

Carve-out via Belastingsamenwerking Rivierenland

Dwanginvordering lokale belastingen

De onderzochte DigiD aansluitingen zijn: Aansluitnummer

Aansluitnaam

1001389

Gemeente West Maas en Waal

Wij hebben geen onderzoek uitgevoerd naar hierboven niet genoemde DigiD aansluitingen en gegevensverwerkingen Suwinet en doen daar derhalve ook geen uitspraak over.

1.2

Ons oordeel Naar ons oordeel is bijgevoegde Collegeverklaring, inclusief de bijlagen 1 DigiD en 2 Suwinet waarnaar in de Collegeverklaring wordt verwezen, van de gemeente West Maas en Waal, in alle materieel van belang zijnde aspecten, juist. De Collegeverklaring omvat het op 31 december 2020 in opzet en bestaan voldoen van de beheersingsmaatregelen aan de geselecteerde normen voor DigiD en Suwinet. Wij benadrukken dat het specifiek geselecteerde normen zijn en dat daarmee geen uitspraak wordt gedaan over de informatiebeveiliging als geheel.

210330 ENSIA Assurancerapport West Maas en Waal DigiD en Suwinet (1.0) © Copyright 2020 BKBO bv. Alle rechten zijn voorbehouden. Reproductie zonder schriftelijke toestemming van de eigenaar is verboden. Wanneer u vragen heeft over dit document kunt u zich richten tot BKBO 073-2110337 Pagina 4 van 11

Gemeente West Maas en Waal ENSIA Assurancerapport DigiD en Suwinet 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Zoals in de Collegeverklaring is aangegeven wordt nog niet aan alle normen inzake Suwinet voldaan. Benadrukking aangelegenheden Wij hebben vastgesteld dat de op de uitzonderingen gerichte beheersmaatregelen in verbeterplannen zijn opgenomen, zijn belegd en worden gemonitord. Ons onderzoek heeft zich niet gericht op de juistheid, volledigheid en uitvoering van de verbeterplannen. Deze aanvullende informatie is niet bedoeld om afbreuk te doen aan ons oordeel.

1.3

De basis voor ons oordeel Wij hebben onze assurance-opdracht met betrekking tot de Collegeverklaring verricht in overeenstemming met Richtlijn 3000-A (Herzien) ‘Assuranceopdrachten door ITauditors’ van NOREA. Deze assurance-opdracht is gericht op het verkrijgen van een redelijke mate van zekerheid. Onze verantwoordelijkheden op grond hiervan zijn beschreven in de sectie 'Onze verantwoordelijkheden voor de assurance-opdracht betreffende de Collegeverklaring’. Wij hebben de vereisten van het Reglement Gedragscode (‘Code of Ethics’) van NOREA nageleefd, welke is gebaseerd is op de fundamentele beginselen van integriteit, objectiviteit, deskundigheid en zorgvuldigheid, geheimhouding en professioneel gedrag. Wij vinden dat de door ons verkregen assurance-informatie voldoende en geschikt is als basis voor ons oordeel.

1.4

Beperking in gebruik en verspreidingskring Dit assurancerapport is bestemd voor gebruikers van de Collegeverklaring. De Collegeverklaring is opgesteld voor de gemeenteraad en voor de departementen die toezien op de veiligheid van DigiD en Suwinet. Doel van de Collegeverklaring is om de gemeenteraad en de departementen die toezien op de veiligheid van DigiD en Suwinet te informeren over het in opzet en bestaan voldoen van de beheersingsmaatregelen aan de geselecteerde normen DigiD en Suwinet. Ons assurancerapport is derhalve uitsluitend bestemd voor de gemeenteraad en de departementen die toezien op de veiligheid van DigiD en Suwinet en dient niet te worden verspreid aan of te worden gebruikt door anderen.

210330 ENSIA Assurancerapport West Maas en Waal DigiD en Suwinet (1.0) © Copyright 2020 BKBO bv. Alle rechten zijn voorbehouden. Reproductie zonder schriftelijke toestemming van de eigenaar is verboden. Wanneer u vragen heeft over dit document kunt u zich richten tot BKBO 073-2110337 Pagina 5 van 11

Gemeente West Maas en Waal ENSIA Assurancerapport DigiD en Suwinet 30 maart 2021 Rapport BKBO/180820-3/V2/AR

1.5

Verantwoordelijkheden van het college van de gemeente West Maas en Waal Het College van Burgemeester en Wethouders van de gemeente West Maas en Waal is verantwoordelijk voor het opstellen van de Collegeverklaring. Voor het inschatten of de risico’s van afwijkingen van materieel belang zijn in relatie tot DigiD en Suwinet, zijn naast de Collegeverklaring en dit assurance rapport ook de interne beheersingsmaatregelen van de gebruikers van de Collegeverklaring relevant. De criteria waarvan bij het maken van deze verklaring gebruik werd gemaakt hielden in dat: • de risico’s die het bereiken van de geselecteerde normen voor DigiD en Suwinet in gevaar brengen, werden geïdentificeerd; en •

de onderkende interne beheersingsmaatregelen, indien zij werkzaam zijn zoals beschreven, een redelijke mate van zekerheid zouden verschaffen dat die risico’s het bereiken van de vermelde interne beheersingsdoelstellingen niet zouden verhinderen.

Het College is ook verantwoordelijk voor een zodanige interne beheersing als het noodzakelijk acht om het opstellen van de Collegeverklaring mogelijk te maken zonder afwijkingen van materieel belang als gevolg van fraude of fouten.

1.6

Onze verantwoordelijkheden voor de assurance-opdracht betreffende de Collegeverklaring Onze verantwoordelijkheid is het zodanig plannen en uitvoeren van een assuranceopdracht dat wij daarmee, met een redelijke mate van zekerheid voldoende en geschikte assurance-informatie verkrijgen voor het door ons af te geven oordeel. Een redelijke mate van zekerheid wil zeggen dat onze assurance-opdracht is uitgevoerd met een hoge mate maar geen absolute mate van zekerheid waardoor het mogelijk is dat wij tijdens onze assurance-opdracht niet alle materiële fouten en fraude ontdekken. Wij passen het Reglement Kwaliteitsbeheersing NOREA (RKBN) toe. Op grond daarvan beschikken wij over een samenhangend stelsel van kwaliteitsbeheersing inclusief vastgelegde richtlijnen en procedures inzake de naleving van de ethische voorschriften, professionele standaarden en andere wet- en regelgeving. Afwijkingen kunnen ontstaan als gevolg van fraude of fouten en zijn materieel indien redelijkerwijs kan worden verwacht dat deze, afzonderlijk of gezamenlijk, van invloed kunnen zijn op de beslissingen die gebruikers op basis van de Collegeverklaring nemen. De materialiteit beïnvloedt de aard, timing en omvang van onze assurance210330 ENSIA Assurancerapport West Maas en Waal DigiD en Suwinet (1.0) © Copyright 2020 BKBO bv. Alle rechten zijn voorbehouden.

Reproductie zonder schriftelijke toestemming van de eigenaar is verboden. Wanneer u vragen heeft over dit document kunt u zich richten tot BKBO 073-2110337 Pagina 6 van 11

Gemeente West Maas en Waal ENSIA Assurancerapport DigiD en Suwinet 30 maart 2021 Rapport BKBO/180820-3/V2/AR

werkzaamheden en de evaluatie van het effect van onderkende afwijkingen op ons oordeel. Wij hebben deze assurance-opdracht professioneel kritisch uitgevoerd en hebben waar relevant professionele oordeelsvorming toegepast in overeenstemming met de Richtlijn 3000 (Herzien) ‘Assuranceopdrachten door IT-auditors’ van NOREA. Onze assurance-opdracht bestond onder andere uit: • het verkrijgen van kennis omtrent de Collegeverklaring en andere omstandigheden rond de opdracht waaronder het verkrijgen van kennis omtrent de interne beheersingsmaatregelen; • het op basis van deze kennis inschatten van de risico’s dat de Collegeverklaring onjuistheden van materieel belang bevat; • het reageren op de ingeschatte risico’s, waaronder het ontwikkelen van een algehele aanpak, en het bepalen van de aard, de tijdsfasering en de omvang van verdere procedures; • het uitvoeren van verdere procedures die duidelijk zijn gekoppeld aan de gesignaleerde risico’s, waarbij gebruik wordt gemaakt van een combinatie van inspectie, waarnemingen ter plaatse en inwinnen van inlichtingen; en • het evalueren van de toereikendheid van de assurance-informatie zoals opgenomen in de Collegeverklaring en bijbehorende bijlage(n).

Vlijmen d.d. 5 maart 2021 Bureau voor Kwaliteitsborging Bij de Overheid b.v.

drs. M.B.H. IJpelaar RE CEH CISA, directeur

E.W.M. Sturkenboom CISA, auditor

210330 ENSIA Assurancerapport West Maas en Waal DigiD en Suwinet (1.0) © Copyright 2020 BKBO bv. Alle rechten zijn voorbehouden. Reproductie zonder schriftelijke toestemming van de eigenaar is verboden. Wanneer u vragen heeft over dit document kunt u zich richten tot BKBO 073-2110337 Pagina 7 van 11

Gemeente West Maas en Waal ENSIA Assurancerapport DigiD en Suwinet 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Bijlage A1 Rapport van bevindingen DigiD SIM Deze bijlage bevat de testresultaten van de auditor en is niet bestemd voor de verticale toezichthouder en wordt slechts verstrekt aan de gemeente West Maas en Waal.

210330 ENSIA Assurancerapport West Maas en Waal DigiD en Suwinet (1.0) © Copyright 2020 BKBO bv. Alle rechten zijn voorbehouden. Reproductie zonder schriftelijke toestemming van de eigenaar is verboden. Wanneer u vragen heeft over dit document kunt u zich richten tot BKBO 073-2110337 Pagina 8 van 11

Gemeente West Maas en Waal ENSIA Assurancerapport DigiD en Suwinet 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Bijlage A2 Rapport van bevindingen Suwinet Participatiewet Deze bijlage bevat de testresultaten van de auditor en is niet bestemd voor de verticale toezichthouder en wordt slechts verstrekt aan de gemeente West Maas en Waal.

210330 ENSIA Assurancerapport West Maas en Waal DigiD en Suwinet (1.0) © Copyright 2020 BKBO bv. Alle rechten zijn voorbehouden. Reproductie zonder schriftelijke toestemming van de eigenaar is verboden. Wanneer u vragen heeft over dit document kunt u zich richten tot BKBO 073-2110337 Pagina 9 van 11

Gemeente West Maas en Waal ENSIA Assurancerapport DigiD en Suwinet 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Bijlage A3 Rapport van bevindingen Suwinet Belastingdeurwaarders Deze bijlage bevat de testresultaten van de auditor en is niet bestemd voor de verticale toezichthouder en wordt slechts verstrekt aan de gemeente West Maas en Waal.

210330 ENSIA Assurancerapport West Maas en Waal DigiD en Suwinet (1.0) © Copyright 2020 BKBO bv. Alle rechten zijn voorbehouden. Reproductie zonder schriftelijke toestemming van de eigenaar is verboden. Wanneer u vragen heeft over dit document kunt u zich richten tot BKBO 073-2110337 Pagina 10 van 11

Gemeente West Maas en Waal ENSIA Assurancerapport DigiD en Suwinet 30 maart 2021 Rapport BKBO/180820-3/V2/AR

Bijlage Collegeverklaring ENSIA 2020 De bijgevoegde Collegeverklaring inclusief de door de gemeente West Maas en Waal opgestelde bijlagen 1 DigiD en 2 Suwinet.

210330 ENSIA Assurancerapport West Maas en Waal DigiD en Suwinet (1.0) © Copyright 2020 BKBO bv. Alle rechten zijn voorbehouden. Reproductie zonder schriftelijke toestemming van de eigenaar is verboden. Wanneer u vragen heeft over dit document kunt u zich richten tot BKBO 073-2110337 Pagina 11 van 11