Agendabundel

Het gaat dan om Effecten, Prestaties, Kwaliteitseisen en Budgetten en risico’s, zowel in financiële als in inhoudelijke zin. In de Basisafspraken wordt wel uitgebreid ingegaan op de diverse overleggen die ambtelijk op strategisch, tactisch en operationeel niveau plaatsvinden tussen de gemeenten (afzonderlijk en samen) en iRvN. Ook wordt genoemd dat de portefeuillehouders uit de deelnemende gemeenten één keer per kwartaal overleggen29. Het doel van de overleggen is om de kwaliteit van de gerealiseerde versus de afgesproken dienstverlening te bespreken aan de hand van kritische prestatieindicatoren (KPI’s)30, trends en adviezen. Die KPI’s zijn op dit moment nog niet geformuleerd. Onderdeel van de Basisafspraken is een productencatalogus. Daarin is uitgewerkt welke producten en diensten iRvN levert en welke daarvan verplicht of optioneel door de gemeenten worden afgenomen. Hierbij

24

De gemeente Nijmegen heeft ook het functioneel applicatiebeheer bij iRvN belegd. Het gaat dan om: 

het optimaal gebruik en de instandhouding van de functionaliteit van de applicatie;



de instandhouding van de operationalisering van de applicatie, applicatieprogrammatuur en gegevensverzamelingen welke vanuit het gebruik beschikbaar moeten zijn.

25

Het Algemeen Bestuur kan een Uitvoeringsbeleidsplan en Uitvoeringsbeleidsprogramma vaststellen (GR MGR

artikel 25). Voor de module Werkbedrijf is een strategisch beleidsplan opgesteld; voor de ICT-module is dat niet gebeurd. 26

Voor dit onderzoek hebben wij de versie van de Basisafspraken bestudeerd die gelden vanaf 1 januari 2021. In de

Basisafspraken staat dat deze worden vastgesteld door het DB. Uit het versiebeheer van deze Basisafspraken en de agenda’s van het DB is echter niet op te maken dat dit gebeurd is. 27

SMART: Specifiek, Meetbaar, Acceptabel, Realistisch, Tijdgebonden. In bijlage 7 is een uitgebreidere toelichting

opgenomen. 28

In Bijlage 5 zijn de strategische, tactische en operationele kaders uit de Basisafspraken opgenomen.

29

In de praktijk overleggen zij twee keer per jaar. De bestuurlijke overleggen zijn toegelicht in paragraaf 3.8.

30

In Bijlage 7 is een nadere toelichting opgenomen. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 19

Weten wat je moet weten

zijn ook afspraken gemaakt over aansprakelijkheid. Het ontbreekt echter aan afspraken over wie aansprakelijk is als het doen of nalaten van activiteiten door één van de deelnemers (ook) leidt tot schade bij de andere deelnemers. Basisafspraken: o

Tactisch kader: We dragen gezamenlijk verantwoordelijkheid voor de naleving van privacy- en informatieveiligheid;

o

De gemeenten zijn zelf primair verantwoordelijk voor de implementatie van de BIO. Daar waar iRvN namens hen zorgdraagt en verantwoordelijk is voor de ICT-infrastructuur, draagt zij ook verantwoordelijkheid voor de BIO-controls en maatregelen in het kader van implementatie, het beheer en het aanleveren van bewijslast voor de betreffende audits (ENSIA31).

Productencatalogus: o

Bij informatiebeveiliging gaat het om de beveiliging van gegevens en systemen. Dat wil zeggen, het ervoor zorgen dat de aanwezigheid en beschikbaarheid van gegevens en systemen gewaarborgd is en gegarandeerd is volgens wet- en regelgeving (zoals BIO en AVG) en dat de eventuele gevolgen van beveiligingsincidenten tot een acceptabel, vooraf bepaald niveau beperkt wordt. Om dit niveau te bepalen toetst iRvN nieuwe applicaties aan de BIO en AVG. De informatiebeveiliging is een verantwoordelijkheid van de gemeente zelf.

Uit de Basisafspraken en productencatalogus blijkt dat de gemeenten primair zelf verantwoordelijk zijn voor informatiebeveiliging en de implementatie van de BIO. iRvN draagt de verantwoordelijkheid voor overgedragen ICT-infrastructuur. Uit een recent advies over de ICT-samenwerking in de regio32 en uit de gevoerde gesprekken wordt duidelijk dat deze taakverdeling een min of meer bewuste keus is geweest in de afgelopen jaren. Bij de start van iRvN in 2016 was afgesproken om te beginnen met de techniek (automatisering), en later mogelijk te verbreden met informatiseringsaspecten, zodat iRvN een informatiedienst voor de gemeenten zou gaan vormen. In de daaropvolgende jaren heeft die verbreding niet plaatsgevonden. In het adviesrapport staat het duidelijk: “Mede als gevolg van de keuze om de reikwijdte van de samenwerking te beperken tot de techniek, is er geen gemeenschappelijk I&A33-beleid tot stand gebracht. Daartoe zijn wel pogingen ondernomen, maar niet met het gewenste resultaat. De betrokken organisaties voeren nu ieder afzonderlijk of in een combinatie een ‘eigen informatiseringsbeleid’ ” 34. In het kader van dit onderzoek betekent dit dat informatiebeveiligingsbeleid grotendeels bij de individuele gemeenten is gebleven.

Is het niet-verbreden van de samenwerking en daarmee dus van het iRvN-takenpakket in het verleden een bewust bestuurlijk besluit geweest? De rekenkamers hebben niet kunnen vaststellen of en op welke manier er bestuurlijke besluitvorming in MGR-verband heeft plaatsgevonden over de verdeling van taken en verantwoordelijkheden tussen de gemeenten en iRvN. Onduidelijk is dus ook of de bestuurders van de

31

ENSIA staat voor Eenduidige Normatiek Single Information Audit, en is een verantwoordingsstelsel voor

informatieveiligheid. In paragraaf 3.6 is een toelichting opgenomen. 32

PWC Accountants, ‘Evaluatie ICT Rijk van Nijmegen en de I&A-samenwerkingspartners, met het oog op de toekomst’,

september 2021. 33

I&A: Informatisering & Automatisering.

34

Idem, p. 17. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 20

Weten wat je moet weten

deelnemende gemeenten dit expliciet hebben besproken en afgewogen. Feit is dat er op bestuurlijk niveau in MGR-verband weinig over de ICT-samenwerking wordt gesproken. We komen daar op terug in paragraaf 3.8 over bestuurlijke verantwoordelijkheid en commitment. We weten dus ook niet waarom er in MGR-verband geen gemeenschappelijk informatiseringsbeleid (met daarbinnen informatiebeveiligingsbeleid) is vastgesteld. Medio 2021 heeft iRvN een document opgesteld getiteld ‘IB as a service’. Doel is om te verduidelijken wat de organisatie voor de gemeenten kan en wil gaan doen op het gebied van informatiebeveiliging. Gezien de opzet en inhoud van ‘IB as a service’ zou het een goede basis kunnen vormen voor een door het Algemeen Bestuur (AB) vast te stellen beleidsplan voor de ICT-module. Zo ver is het echter nog niet: het document is tot op heden enkel met de hoofden bedrijfsvoering van de gemeenten besproken. De bewuste besluitvorming over het verbreden van de ICT-samenwerking is er in 2022 alsnog gekomen, maar niet in MGR-verband. In 2020 en 2021 heeft PWC in opdracht van de gemeentesecretarissen van de zeven gemeenten die deelnemen in de MGR geadviseerd over de toekomstige ICT-samenwerking. In het rapport dat in september 2021 is opgeleverd, zijn twee ‘sporen’ voor de toekomstige ontwikkeling beschreven.

Over het advies is gesproken in het portefeuillehoudersoverleg ICT van de zeven gemeenten, en begin 2022 is er over besloten door de zeven colleges. Kort samengevat is de twee sporen-benadering overgenomen. Kern daarvan is dat iRvN de technische basisvoorzieningen (het A-deel van Automatisering) blijft doen, en dat de bredere informatisering (het I-deel) georganiseerd blijft bij de gemeenten zelf. Op losse thema’s kan voortaan wel worden samengewerkt, in wisselende samenstellingen. De reden om geen gemeenschappelijk informatiseringsbeleid (al dan niet binnen iRvN) te gaan ontwikkelen is, aldus het advies, dat daarvoor “de typologie en dynamiek van de deelnemers te verschillend [is] in combinatie met de wens tot de eigen autonomie”. PWC spreekt daarnaast over ‘nauwelijks toegevoegde waarde en eerder een afbreukrisico’35. Taakverdeling informatiebeveiliging: de praktijk in onze gemeenten Het onderzoek laat zien dat er in de praktijk soms onduidelijkheid is over de afbakening van de taken en verantwoordelijkheden tussen de gemeenten en iRvN. Afgezet tegen de BIO-normen hebben de onderzoekers diverse omissies en (daardoor ook) grijze gebieden in de afspraken tussen gemeenten en iRvN geconstateerd. Heel concreet bleken ten tijde van het onderzoek geen concrete afspraken oftewel vastgesteld beleid te bestaan op de volgende gebieden: 

Organiseren van informatiebeveiliging (zoals beveiliging van mobiele apparatuur en telewerken36);



Veilig Personeel (zoals screening van medewerkers van iRvN voorafgaand aan het dienstverband);



Beheer van bedrijfsmiddelen (zoals informatieclassificatie);



Fysieke beveiliging en beveiliging van de omgeving (zoals beveiliging computerruimten);



Beveiliging bedrijfsvoering (zoals bescherming tegen malware, logging en audits);



Communicatiebeveiliging (zoals het beheer van netwerkbeveiliging en informatietransport);



Leveranciersrelaties (zoals vereisten aan het beheer van dienstverlening van leveranciers).

35

Idem, p. 6.

36

Inmiddels wordt gewerkt aan concrete afspraken hierover; het is de bedoeling dat die in 2022 worden geïmplementeerd. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 21

Weten wat je moet weten

Al in de fase van de documentenuitvraag en ook tijdens de gesprekken bleek dat er soms onduidelijkheid bestond over de vraag of de gemeente of iRvN bepaalde onder de BIO verplichte documentatie zou moeten aanleveren aan de rekenkamers. De rekenkamers hebben binnen de scope van dit onderzoek niet tot de bodem uitgezocht wie nu precies waarvoor verantwoordelijk is; dat is niet onze verantwoordelijkheid. We stellen wel vast dát er op onderdelen onduidelijkheid is. In de slotfase van het onderzoek heeft iRvN inzicht geboden in een overzicht (ISMS37) dat laat zien voor elk onderdeel van de BIO of er gedocumenteerd beleid bestaat, en of de gemeenten of iRvN hierover moeten beschikken. Aan dit overzicht wordt nog volop gewerkt. Hoe komt het dat er onduidelijkheden en grijze gebieden bestaan tussen de gemeenten en iRvN? Uit de gesprekken leiden we af dat in ieder geval een deel van de onduidelijkheid wordt veroorzaakt doordat de gemeenten op allerlei deelgebieden van informatiebeveiliging geen (nader) beleid hebben vastgesteld. Voorbeelden zijn de hierboven opgesomde zaken waarover geen concrete afspraken zijn gemaakt. iRvN heeft beleid nodig om de dienstverlening aan de gemeenten goed te kunnen uitvoeren. Wat er in de praktijk gebeurt, is dat iRvN in dergelijke situaties volgens zelf vastgestelde routines en richtlijnen gaat werken, om zodoende de gemeenten te kunnen bedienen.

Deze manier van werken leidt er vervolgens toe dat voor gemeentelijke medewerkers het beeld ontstaat dat deze routines door iRvN voor hen worden vastgesteld. In het adviesrapport over de ICT-samenwerking uit 2021 staat dit als volgt verwoord: “Vanuit de operationele behoefte worden technische/inhoudelijke keuzes gemaakt (bijvoorbeeld inrichting Teams, keuze en inrichting laptops, ‘policies’ rondom het gebruik van USB-sticks, en andere maatregelen met betrekking tot informatieveiligheid), waarbij het vooralsnog ontbreekt aan tactische beleidsafstemming. Er is geen goed vehikel beschikbaar om beleidsmatige vraagstukken met elkaar af te stemmen” 38. Die laatste zin is zeker relevant. De rekenkamers stellen vast dat er in het verleden al dan niet bewust is besloten om geen gezamenlijk informatiebeveiligingsbeleid in iRvN-verband te voeren. Recent (begin 2022) is daar besluitvorming door de zeven deelnemende gemeenten bijgekomen om geen gemeenschappelijk informatiseringsbeleid in bredere zin te gaan voeren, in iRvN-verband of anderszins. Hierover is niet in MGR-verband besloten, maar enkel in de colleges, op voorstel van het portefeuillehoudersoverleg.

Dit rekenkameronderzoek was niet in eerste instantie gericht op de bestuurlijke besluitvorming over ICT-samenwerking in de regio, maar de rekenkamers vinden het opmerkelijk dat de discussie en de besluitvorming hierover grotendeels buiten de MGR worden gevoerd. Hoe dan ook: omdat er geen gemeenschappelijk informatiseringsbeleid (met daarbinnen informatiebeveiligingsbeleid) is, zijn de gemeenten dus grotendeels zelf verantwoordelijk voor informatiebeveiligingsbeleid. Maar in de praktijk ontbreken er bij de gemeenten op tactisch en operationeel niveau veel van de benodigde elementen van dat beleid, en krijgt iRvN op onderdelen dus onvoldoende (beleids)kaders mee. Dat leidt er (mede) toe dat er onduidelijkheid is over precieze taak- en verantwoordelijkheidsverdeling tussen gemeenten en iRvN voor informatiebeveiliging.

37

In paragraaf 3.4 is een toelichting op het instrument ISMS opgenomen.

38

PWC Accountants, ‘Evaluatie ICT Rijk van Nijmegen en de I&A-samenwerkingspartners, met het oog op de toekomst’,

september 2021, p. 18. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 22

Weten wat je moet weten

Aanbevelingen 1. Zorg voor heldere afspraken tussen de gemeenten en iRvN over informatiebeveiliging a. Vraag het college om zo snel mogelijk te zorgen voor een heldere taakafbakening tussen gemeenten en iRvN inzake informatiebeveiliging. Dit voorkomt risico’s als gevolg van onduidelijkheid hierover, en stelt iRvN in staat de gemeenten beter en efficiënter te ondersteunen. Vraag het college over een jaar te rapporteren, liefst op basis van een extern onderzoek. b. Vraag het college om in MGR-verband een meerjarenbeleidsplan voor de ICT-module op te stellen met daarin duidelijke doelstellingen. Vraag het college dit beleidsplan op hoofdlijnen uit te werken in een (meerjaren)uitvoeringsprogramma, waarin wordt ingegaan op de benodigde inspanningen door zowel iRvN als de gemeenten. Bijzondere aandacht verdient daarbij het opstellen van de tot nu toe ontbrekende (beleids)kaders voor informatiebeveiliging. Overweeg als raad de zienswijzen op dit meerjarenbeleidsplan gezamenlijk met de andere raden voor te bereiden. c. Vraag het college om het DB van de MGR voortaan, op basis van het meerjarenbeleidsplan en – uitvoeringsprogramma, een jaarlijks uitvoeringsprogramma (collectieve DVO) vast te laten stellen. Vraag het college om het DB in de jaarstukken verantwoording af te laten leggen over de doelstellingen. 2.

Overweeg om het pad in te slaan van gezamenlijk informatiebeveiligingsbeleid in de regio Vraag het college om bestuurlijk de discussie aan te gaan om toch tot een gezamenlijk informatiebeveiligingsbeleid in de regio te komen. Voor de hand ligt om iRvN daarvoor te gebruiken: de organisatie staat al, en is bestuurlijk ingebed in de MGR. Een gezamenlijk beleid, waarin onder meer is vastgelegd welk gedeeld volwassenheidsniveau de gemeenten nastreven, is de beste manier om de informatiebeveiliging in onze gemeenten te vergroten en de risico’s te verminderen. Laat je als raad informeren over de mogelijke keuzes en implicaties daarvan. Bij het bepalen van je standpunt hierover kun je je als gemeenteraad extern laten adviseren. Overweeg dat in regionaal verband te doen.

3.3

WETEN WAT JE PLAN IS: GEMEENTELIJK BELEID

Vereisten aan beleid en uitwerking De landelijke kaders (te weten de BIO en de AVG) vereisen dat de gemeente (strategisch) beleid formuleert voor informatiebeveiliging en privacybescherming. Verwacht mag worden dat er op basis daarvan een uitvoeringsprogramma of meerjarenplan wordt opgesteld, en jaarplannen met concrete doelstellingen, activiteiten en benodigde middelen. Strategisch beleid moet ook nader uitgewerkt zijn in maatregelen, richtlijnen, protocollen, procedures, standaarden etc. voor de diverse onderdelen. Voorbeelden zijn in de vorige paragraaf aan de orde gekomen. Voor een gemiddelde gemeente is dit een lange lijst met vereiste uitwerkingen, dat is kenmerkend voor dit beleidsterrein. In figuur 3 is te zien hoe het beleid uit meerdere lagen moet bestaan.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 23

Weten wat je moet weten

Figuur 3 De informatiepiramide toegepast op informatiebeveiliging39

Op dit punt past een belangrijke waarschuwing. In dit rapport wordt veel nadruk gelegd op de aanwezigheid van schriftelijke documentatie. Dat doen de rekenkamers niet omdat ze overdreven veel waarde hechten aan papieren procedures. Maar juist op de terreinen van informatiebeveiliging en privacybescherming is het van belang dat zaken schriftelijk zijn vastgelegd (gedocumenteerd), eigenaarschap is belegd en periodiek bijstelling plaatsvindt. Dat biedt houvast aan medewerkers en zorgt ervoor dat iedereen zaken op dezelfde manier interpreteert en aanpakt. Dat is ook een van de uitgangspunten van de BIO en de reden dat daarin is vastgelegd dat een groot aantal (beleids)documenten verplicht is40. Hetzelfde geldt voor de AVG: de hoeksteen hiervan is het accountabilityprincipe of de verantwoordingsplicht, dat inhoudt dat een organisatie moet kunnen aantonen te voldoen aan de privacybeginselen uit artikel 5 van de AVG. We voegen er nadrukkelijk aan toe dat schriftelijk vastleggen niet genoeg is. De zorg voor informatiebeveiliging en privacybescherming moet méér zijn dan een ‘papieren tijger’. Maar het schriftelijk vastleggen is wel een noodzakelijke basisvoorwaarde41. Informatiebeveiligingsbeleid: de praktijk in onze gemeenten De gemeenten hebben allemaal informatiebeveiligingsbeleid geformuleerd, een belangrijke vereiste die uit de BIO kan worden afgeleid.

De gemeenten hebben het beleid niet of slechts beperkt uitgewerkt in jaarplannen of uitvoeringsprogramma’s. De invulling van het beleid is in alle gemeenten voor verbetering vatbaar: er is sprake van onvoldoende diepgang, doelstellingen ontbreken of zijn abstract geformuleerd en lenen zich daarmee niet goed voor nadere uitwerking in processen en werkinstructies, er is onvoldoende uitgewerkt hoe risico’s adequaat beheerst worden en er is niet of onvoldoende vastgelegd hoe wordt gemonitord of het beleid

39

Uiteraard geldt deze piramide ook voor privacybescherming.

40

In bijlage 4 is een overzicht van de verplichte BIO-documenten opgenomen.

41

Zie ook het in de Inleiding genoemde onderscheid tussen opzet, bestaan en werking. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 24

Weten wat je moet weten

wordt uitgevoerd en effectief is. Zoals ook al bleek uit de vorige paragraaf is het beleid op diverse onderdelen niet nader uitgewerkt in maatregelen, richtlijnen, protocollen, procedures, standaarden etc.. We hebben het dan over de onderste laag van de informatiepiramide. Diverse aspecten van informatieveiligheid zijn niet of onvoldoende afgedekt in het beleid, ondanks het bestaan van handreikingen hiervoor bij de IBD en de AP. Een concreet voorbeeld is dat in het onderzoek in geen van de gemeenten vastgestelde kaders zijn gevonden voor logging. Voor iRvN geldt dat de organisatie geen eigen informatiebeveiligingsbeleid heeft geformuleerd, maar als onderdeel van de Modulaire Gemeenschappelijke Regeling Rijk van Nijmegen onder het informatiebeveiligingsbeleid van de MGR valt. Dat hebben we niet in het rekenkameronderzoek betrokken. Als uitvoeringsorganisatie moet iRvN daarnaast het informatiebeveiligingsbeleid van de zeven deelnemende gemeenten uitvoeren, voor zover het de ICT-infrastructuur betreft. Als eigenaar van de MGR en iRvN moeten de gemeenten informatiebeveiligingsbeleid op de diverse aandachtsgebieden formuleren en deze kaders aan iRvN meegeven. Als we specifiek kijken naar de gemeente Wijchen, dan blijkt dat de gemeente eind 2020 strategisch informatiebeveiligingsbeleid in WDW-verband42 heeft vastgesteld.

Het beleid is grotendeels informatief en vrij abstract van aard. In het beleidsdocument zijn relevante onderdelen benoemd, zoals de ambitie, bestuurlijke principes, strategische doelstellingen, scope, wetgeving, organisatie van informatiebeveiliging en overlegstructuur. De 10 bestuurlijke principes voor informatiebeveiliging van de VNG zijn in het beleid opgenomen, maar worden niet of nauwelijks nader uitgewerkt en de vertaalslag naar de praktijk ontbreekt. Daarnaast is er een beveiligingsplan voor Suwinet43. Er is een jaarplan 2021, halverwege het jaar vastgesteld. Kaderstelling op specifieke onderwerpen ontbreekt veelal, ook voor de bij iRvN ondergebrachte taken. Naast het informatiebeveiligingsbeleid zijn er onvoldoende vastgestelde tactische beleidsstukken voor informatiebeveiliging, dat wil zeggen concrete uitwerkingen voor specifieke onderwerpen. De gemeente verwijst daarvoor (deels) naar iRvN. Veel van de beleidsdocumenten die volgens de BIO verplicht zijn ontbreken. Daardoor is er geen goede basis voor de vertaling van informatiebeveiligingsbeleid naar de praktijk, wat het voor medewerkers lastig maakt om te bepalen hoe zij kunnen of moeten bijdragen aan het beschermen van de hen toevertrouwde informatie. Privacybeleid: de praktijk in onze gemeenten De gemeenten hebben allemaal privacybeleid vastgesteld.

Voor iRvN geldt dat deze geen eigen privacybeleid heeft geformuleerd, maar als onderdeel van de Modulaire Gemeenschappelijke Regeling Rijk van Nijmegen onder het privacybeleid van de MGR valt. Dat hebben we niet in het rekenkameronderzoek betrokken. We hebben in dit deel van het onderzoek ook niet specifiek ingezoomd op iRvN als verwerker van gegevens van de gemeenten.

42

WDW: Werkorganisatie Druten Wijchen.

43

Suwinet is een digitale infrastructuur waarmee de Suwipartijen (UWV, SVB en gemeenten) gegevens met elkaar kunnen

uitwisselen voor de uitoefening van hun wettelijke taak. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 25

Weten wat je moet weten

De gemeente Wijchen heeft privacybeleid vastgesteld. Dit is aangevuld met de jaarplanning van de FG44. Een duidelijke strategische aanpak van privacy binnen de organisatie en een visie op privacy, gegevensbescherming en de dienstverlening die de gemeente nastreeft, is onvoldoende terug te vinden in het algemene beleidskader. Het beleid is grotendeels een herhaling van de wettelijke uitgangspunten, zonder dat is uitgewerkt hoe de gemeente die wil bereiken. Het beleid is daarmee onvoldoende sturend en richtinggevend. Diverse belangrijke processen en procedures zijn niet of niet genoeg uitgewerkt. De eerste stappen om te komen tot een Plan-Do-Check-Act (PDCA)-cyclus zijn gezet, maar deze wordt nog niet systematisch toegepast. Specifiek voor het sociaal domein is het beeld in de gemeente gemengd. Het privacyreglement van het Expertiseteam jonge kind Druten en het privacyreglement Sociaal Wijkteam (dat deel uitmaakt van het convenant Sociaal Wijkteam Wijchen) voldoen in grote lijnen aan de gangbare standaarden en wetgeving, maar concrete handleidingen en richtlijnen voor bijvoorbeeld het delen van gegevens ontbreken. In algemene zin wordt in het sociaal domein weinig geanticipeerd op de Algemene Verordening Gegevensbescherming (AVG) door de gemeente, en wordt het algemene privacybeleid onvoldoende doorvertaald naar het sociaal domein.

De samenwerking met partnerorganisaties wordt niet aangestuurd vanuit het privacybeleid. Er is daardoor geen goed overzicht van de verdeling van rollen en verantwoordelijkheden tussen gemeente en partners die bij gegevensstromen zijn betrokken. Aanbevelingen 3. Verhelder het beleid voor informatiebeveiliging en privacybescherming a.

Vraag het college om het strategisch beleid voor informatiebeveiliging en privacybescherming te versterken door het in ieder geval aan te vullen met een visie, ambitie en speerpunten. Dit vormt ook de basis voor de bewustwording in de organisatie. Vraag het college het beleidsplan ter besluitvorming aan de raad voor te leggen.

b.

Vraag het college om het strategisch beleid uit te werken in een meerjaren-uitvoeringsprogramma en in jaarplannen, waarin concrete doelstellingen en bijbehorende middelen jaarlijks worden vast- of bijgesteld.

4. Werk zo snel mogelijk de belangrijkste ontbrekende onderdelen van het beleid uit Vraag het college om zo snel mogelijk de belangrijkste onderdelen van zowel het informatiebeveiligingsbeleid als het privacybeleid uit te werken in concrete maatregelen, richtlijnen, protocollen, procedures, standaarden etc. Belangrijk is in elk geval risicomanagement, omdat het de basis van informatiebeveiliging betreft. Hierbij hoort ook dat voor elk van die maatregelen wordt bepaald wie de verantwoordelijken zijn voor de naleving.

44

FG: Functionaris Gegevensbescherming. In paragraaf 3.5 is een toelichting op de FG opgenomen. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 26

Weten wat je moet weten

3.4

WETEN WELKE RISICO’S JE LOOPT: RISICOMANAGEMENT DOOR DE GEMEENTEN EN IRVN

“Informatiebeveiliging is immers risicomanagement” IBD - Dreigingsbeeld Informatiebeveiliging Nederlandse gemeenten 2021-2022, p. 3 Noodzaak van risicomanagement “Informatiebeveiliging is immers risicomanagement” is één van de eerste zinnen in het Dreigingsbeeld Informatiebeveiliging Nederlandse gemeenten 2021/202245 van de IBD, dat is bedoeld om gemeentemanagers te helpen in hun risicomanagement. “Informatiebeveiliging is risicomanagement” is ook één van de 10 bestuurlijke principes voor informatiebeveiliging. Risicomanagement betreft een continu proces van: 

het identificeren van risico’s;



het nemen van beheersingsmaatregelen;



het rapporteren over en monitoren van risico’s;



het treffen van maatregelen die het bereiken van doelen in de weg staan.

Figuur 4: Risicoanalyse als continu proces

45

IBD Dreigingsbeeld Informatiebeveiliging Nederlandse Gemeenten 2021 / 2022. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 27

Weten wat je moet weten

Het is in de praktijk niet mogelijk om alle risico’s uit te sluiten. “Nul risico bestaat niet” benadrukken experts op het gebied van informatiebeveiliging voortdurend46. Maar: het bestuur is verantwoordelijk voor het bepalen hoeveel risico en welke risico’s acceptabel zijn. Dat kan alleen door goed risicomanagement. De opsomming van dreigingen en risico’s in het Dreigingsbeeld 2021/2022 (zie kader) maakt duidelijk hoe belangrijk het is continu zicht te hebben op de risico’s die gemeenten lopen en daar waar nodig actie op te ondernemen. Dreigingen in volgorde van belangrijkheid: 1.

Intern en onbedoeld: onbedoelde neveneffecten van logisch handelen van medewerkers, bijvoorbeeld e-mails met gevoelige informatie aan de verkeerde geadresseerde.

2.

Extern, bedoeld maar ongericht: geautomatiseerde bulkaanvallen, zoals phishingmails.

3.

Extern, bedoeld en gericht: gerichte aanvallen van hackers, meestal gebaseerd op onderzoek naar informatie die gebruikt kan worden bij de hack.

4.

Intern en bedoeld: medewerkers die misbruik maken van hun toegangsrechten om bij gegevens of systemen te komen.

Risico’s voor de ambtelijke organisatie: 

Bedrijfscontinuïteit in het geding



Integriteit van gegevens niet gewaarborgd



Vertrouwelijke gegevens in verkeerde handen

Risico’s voor het openbaar bestuur en de politiek: 

Imagoschade



Financiële schade



Schade aan democratische processen

Risico’s voor inwoners en ondernemers: 

Gegevens in verkeerde handen



Dienstverlening gemeente niet beschikbaar



Ontwrichting van alledaagse processen

Instrumenten en tools voor risicoanalyses en -management Voor risicoanalyse en -management in gemeenten zijn diverse bekende instrumenten beschikbaar. Op het gebied van informatiebeveiliging is de GAP-analyse een standaard instrument. Het doel van een GAP-analyse is te controleren of en in welke mate de beveiligingsmaatregelen uit de BIO zijn geïmplementeerd. Als afgeleide daarvan komen ook beveiligingsrisico’s in beeld. Deze vorm van analyse moet je als gemeente periodiek uitvoeren. Steeds meer gemeenten doen dit (half)jaarlijks en gebruiken de rapportages als basis voor hun jaarplannen. Twee veelgebruikte instrumenten voor het beheren van risico’s en de aanpak ervan zijn het managementinstrument ISMS, wat staat voor Information Security Management System, en de GRC-tool, wat staat voor Governance, Risk en Compliance. Een GRC-tool is een hulpmiddel voor het beheren van de

46

Zie bijvoorbeeld: https://www.forumstandaardisatie.nl/nieuws/nul-risico-bestaat-niet Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 28

Weten wat je moet weten

governance van een organisatie, het beheren van risico’s en het naleven van regelgeving. In een ISMS wordt – volgens de principes van de PDCA-cyclus - de administratieve organisatie vastgelegd en beheerd. Beide tools ondersteunen organisaties bij de uitvoering het bijhouden en rapporteren van processen om het niveau van informatiebeveiliging te verhogen. Een belangrijk instrument bij het beheersen van de risico’s op het gebied van privacy is de zogenaamde DPIA. DPIA staat voor Data Protection Impact Assessment. De AVG eist voor bepaalde situaties, bijvoorbeeld grootschalige verwerking van persoonsgegevens, dat voorafgaand aan die verwerking wordt bepaald wat het effect van de geplande verwerkingsactiviteit is op de bescherming van de persoonsgegevens van een persoon. Als gemeente moet je dus voor allerlei processen in je organisatie zo’n DPIA uitvoeren, om inzicht te krijgen in de impact van de verwerking op de privacy. Op basis van een DPIA kunnen maatregelen worden genomen om de impact zou nodig te verminderen. Met behulp van zogenaamde pre-DPIA’s kan de gemeente vaststellen welke processen als eerste aan de beurt moeten komen.

Recent heeft de IBD47 samen met een aantal gemeenten een instrument ontwikkeld met het doel om analyses op het gebied van privacy en informatiebeveiliging eenvoudig(er) uit te kunnen voeren en overzichtelijk te kunnen presenteren en beheren: de zogenaamde Integrale Risico- en Privacy-analyse (IRPA). Binnen IRPA zijn diverse handreikingen voor analyse-instrumenten bij elkaar gebracht, zoals voor de (pre-)DPIA, de baselinetoets BIO, risicoanalyses en GAP-analyses. De praktijk in onze gemeenten: risicomanagement informatiebeveiliging Het risicomanagement op het gebied van informatiebeveiliging binnen de gemeenten wordt gekenmerkt door een ad-hoc karakter. Er is geen sprake van een continu proces van identificatie en beoordeling van risico’s. In geen van de gemeenten is een omvattend bestuurlijk besluit genomen over welke risico’s wel en niet acceptabel worden gevonden, of welke prioritering nodig is bij het aanpakken van risico’s. Acceptabel zou kunnen zijn dat er voor een bepaald systeem geen aanvullende maatregelen getroffen worden, omdat de kosten daarvoor hoger zijn dan de kosten die gemaakt zouden moeten worden na een succesvolle inbreuk. Onacceptabel zou moeten zijn dat gemeentelijke IT-systemen via single-factor authenticatie benaderbaar zijn (alleen gebruikersnaam en wachtwoord). Ook een richtinggevend ambtelijk document is in het onderzoek niet aangetroffen.

In geen van de gemeenten wordt periodiek gerapporteerd over informatiebeveiligingsrisico’s aan het hoogste management, het college en de gemeenteraad. Op ad-hoc basis is er in de gemeenten aandacht voor identificatie en beoordeling van risico’s. Alle gemeenten voeren in meer of mindere mate risicoanalyses uit, zoals context- en GAP-analyses. iRvN heeft in 2021 een

47

IBD: InformatieBeveiligingsDienst. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 29

Weten wat je moet weten

GAP-analyse door een externe partij laten uitvoeren. Ook met de pentesten48 en kwetsbaarheidsscans die iRvN uitvoert ontstaat inzicht in de risico’s. Verder komen risico’s en de mogelijke beheersing daarvan aan de orde in ambtelijke overleggen tussen de gemeente(n) en iRvN. In het geval van (dreigende) incidenten worden management, college en zo nodig ook de gemeenteraad daarover geïnformeerd. In oktober 2021 hebben de gemeenten voor het eerst een regionale crisisoefening gehouden. Uit het onderzoek is duidelijk geworden dat tussen de gemeenten en iRvN een (althans op hoofdlijnen) duidelijke basisafspraak bestaat dat de gemeenten zelf verantwoordelijk zijn voor het risicobeleid, -beheer en -management voor wat betreft hun ICT-voorzieningen. Zij moeten zelf de GRC-tool en het ISMS vullen, maar krijgen op onderdelen gegevens aangeleverd van iRvN. Op basis van de GAP-analyse van iRvN in 2021 wordt momenteel gewerkt aan een voorstel voor een programma waarmee de risico’s op de IT-infrastructuur worden afgedekt. Hierbij worden drie scenario’s onderscheiden voor het beveiligingsniveau van iRvN en de aangesloten gemeenten: een variant om op het minimaal vereiste beveiligingsniveau te komen (de basis op orde), een maximale variant en een tussenvariant.

Per variant wordt beschreven welke maatregelen nodig zijn om het beveiligingsniveau in lijn te brengen met het dreigingsbeeld en wat de (jaarlijkse) kosten daarvoor zijn (materieel en personeel). Dit voorstel is in het voorjaar van 2022 besproken met de hoofden bedrijfsvoering van de gemeenten en vormt de basis voor een voorstel dat ter besluitvorming aan de colleges van de deelnemende gemeenten wordt voorgelegd. Mogelijke verklaringen voor de ad-hoc werkwijze van de gemeenten zijn dat geen gemeenschappelijke methodiek of proces voor risicomanagement op het gebied van informatiebeveiliging is vastgesteld én dat de beschikbare instrumenten (zoals ISMS en GRC) voor het efficiënt en effectief uitvoeren van risicomanagement niet (volledig) door alle gemeenten worden gebruikt. Dit illustreert ook de inefficiënties die soms in de relatie met iRvN zitten. De gemeenten zijn in principe verantwoordelijk voor het vullen van het ISMS en de GRC-tool voor hun eigen organisatie (of het alternatief dat zij daarvoor gebruiken), maar zij hebben iRvN nodig om een deel van de benodigde gegevens aan te leveren. Omdat niet alle gemeenten hetzelfde systeem hebben aangeschaft en/of gebruiken, gaat dat minder gemakkelijk dan het zou kunnen gaan. Hierbij moet worden opgemerkt dat het (gezamenlijk) vullen nog in ontwikkeling is.

De praktijk in onze gemeenten: beheersen van privacyrisico’s Het onderzoek heeft opgeleverd dat er binnen de gemeente Wijchen geen vastgesteld proces is voor het uitvoeren van DPIA’s. Daardoor is onvoldoende gewaarborgd dat een DPIA gestart wordt, als dat noodzakelijk is. In de praktijk worden wel degelijk DPIA’s uitgevoerd; enkele daarvan zijn ook met de onderzoekers gedeeld. De onderzoekers stellen vast dat de voor de gemeente Wijchen geanalyseerde DPIA diverse aanbevelingen bevat naar aanleiding van de risicoanalyse, maar dat niet duidelijk is wie verantwoordelijk is

48

Een pentest of penetratietest is een test waarbij ethische hackers proberen de systemen en netwerken van een

organisatie binnen te dringen met als doel het identificeren van kwetsbaarheden en het geven van passende adviezen die kwetsbaarheden te verkleinen of op te lossen. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 30

Weten wat je moet weten

voor de opvolging van de aanbevelingen en hoe dit gemonitord wordt. Binnen de gemeenten ontbreekt het aan een proces daarvoor. Aanbevelingen 5. Voer zo snel mogelijk een organisatiebrede risicoanalyse uit Vraag het college om zo snel mogelijk een organisatiebrede risicoanalyse te (laten) uitvoeren voor zowel informatiebeveiliging als privacybescherming. Kom op basis hiervan tot bestuurlijke besluitvorming over risico’s die (niet) acceptabel worden gevonden en vraag het college deze te gebruiken voor het op te stellen meerjaren-uitvoeringsprogramma. 6. Maak risicomanagement tot een continu proces Vraag het college om op korte termijn een methodiek uit te werken voor invulling van risicomanagement. Uitgangspunt voor die methodiek moet zijn dat risicomanagement als continu proces worden ingebed in de PDCA-cyclus. Blijf in het kader van risicomanagement regionale crisisoefeningen uitvoeren en gebruik de ervaringen voor de jaarplannen (regionaal én lokaal). 7. Ga systematisch DPIA’s uitvoeren Vraag het college om systematisch invulling te gaan geven aan DPIA’s. Pak het planmatig aan: bepaal wat de meest noodzakelijke DPIA’s zijn en neem deze op in het jaarplan.

3.5

WETEN WAT HET KOST: INZET VAN MIDDELEN

Hoe organiseer je informatiebeveiliging en privacybescherming? Bij het opstellen, uitvoeren en monitoren van beleid op het gebied van informatiebeveiliging en privacybescherming zijn binnen de ambtelijke organisatie medewerkers met specifieke functies nodig. Er zijn twee verplichte functies voor overheden, en dus ook voor gemeenten en gemeentelijke samenwerkingsverbanden: de CISO en de FG. Chief Information Security Officer (CISO) Op grond van de BIO moet de rol van CISO belegd zijn. De CISO is verantwoordelijk voor het implementeren van het informatiebeveiligingsbeleid én het toezicht daarop. Op basis van de BIO moet de CISO zorgdragen voor een samenhangend pakket van maatregelen ter waarborging van de vertrouwelijkheid, integriteit en beschikbaarheid van de informatie binnen een organisatie. Er zitten twee kanten aan de functie van CISO: een organisatorische en een technische. De organisatorische kant heeft betrekking op het beleid, de coördinatie en de samenhang van de beveiliging. Zo helpt de CISO organisaties de kaders vast te stellen en uit te dragen, waarmee de integriteit, beschikbaarheid en vertrouwelijkheid van de informatie(voorziening) kan worden gewaarborgd. Het technische aspect van de functie betekent dat de CISO ervoor zorgt dat er maatregelen getroffen worden waardoor inbreuken op de beveiliging kunnen worden voorkomen.

Of, als ze toch voorkomen, de gevolgen geminimaliseerd worden. Op

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 31

Weten wat je moet weten

basis van risicoanalyses maakt de CISO de mogelijke schade zichtbaar die een dreiging kan toebrengen aan bepaalde informatie en de kans dat het gebeurt. De positie van de CISO dient een zekere, voor de functie noodzakelijke, onafhankelijkheid te waarborgen. Met het oog op die onafhankelijkheid adviseert de IBD49 de CISO de beschikking te geven over een eigen budget. Korte lijnen naar het management zijn van belang om voldoende gewicht in de schaal te kunnen leggen voor het treffen en handhaven van voldoende beveiligingsmaatregelen. In tegenstelling tot de FG (zie hierna) geniet de CISO (nog) geen wettelijke ontslagbescherming. Functionaris Gegevensbescherming (FG) Gemeenten zijn op grond van de AVG verplicht een onafhankelijke toezichthouder aan te stellen, de FG. De FG heeft in art. 39 AVG als taken toegewezen gekregen het informeren van de organisatie, het adviseren over verplichtingen die uit de AVG voortvloeien en toezien dat de AVG wordt nageleefd. Ook heeft de FG als taak om met de Autoriteit Persoonsgegevens (AP) samen te werken. Om deze taken goed uit te kunnen voeren moet een FG deskundig zijn op het gebied van gegevensbescherming en van de verwerkingspraktijken bij de organisatie waar hij is aangesteld. Ook moet hij verslag kunnen uitbrengen bij het hoogste leidinggevende niveau van de organisatie. De FG moet zijn taken op onafhankelijke wijze uitvoeren.

Dat betekent dat de FG door de organisatie in staat moet worden gesteld met voldoende middelen zijn taak uit te voeren, dat hij geen instructies mag krijgen met betrekking tot zijn FG-taken, dat hij geen andere taken mag uitvoeren die mogelijk tot aantasting van zijn onafhankelijke positie leiden en dat hij niet mag worden ontslagen omwille van het functioneren als FG. De FG heeft dus naast zijn rol als toezichthouder ook een rol als adviseur. Bij de invulling daarvan is van belang dat de organisatie verantwoordelijk is voor het opstellen en uitvoeren van het privacybeleid. De FG ziet toe op de naleving hiervan en brengt advies uit over de risico’s van bestaande verwerkingen en voorgenomen nieuwe producten en diensten.

De CISO en FG zijn essentiële functionarissen, maar voor goede informatiebeveiliging en privacybescherming is meer nodig in termen van organisatie en personeel. Vaak wordt daarvoor gebruik gemaakt van het zogenaamde ‘Three Lines of Defense-model’50. Volgens dit model moeten in de organisatie drie verdedigingslijnen worden ingericht: 1. De eerste lijn betreft de medewerkers in de organisatie en het management. Je kunt informatiebeveiliging en privacybescherming niet goed regelen zonder de medewerkers, die op dagelijkse basis te maken hebben met risico’s en daarin keuzes maken (de proceseigenaren). Het lijnmanagement (afdelingshoofden) is in deze eerste lijn verantwoordelijk dat dit goed gebeurt. 2. De tweede lijn is het tactische niveau dat in de organisatie voor afstemming zorgt en de eerste lijn ondersteunt en adviseert. Op het gebied van privacybescherming betreft het de zogenaamde Privacy Officers (soms privacybeheerders of -ambassadeurs genoemd); voor informatiebeveiliging heten deze Security Officers. De tweede lijn zorgt in de diverse organisatieonderdelen voor de ontwikkeling en invoering van beleid en risicomanagement en bewaakt ook de uitvoering ervan. Daarbij hoort ook het uitvoeren van risicoanalyses

49

IBD, maart 2020: Handreiking functieprofiel Chief Information Security Officer (CISO).

50

Zie bijvoorbeeld: https://robertthart.risicomanagement.nl/2019/03/23/three-lines-of-defense-risicomanagement-model/

voor een toelichting op het model. Het model wordt ook wel kortweg Three Lines model genoemd. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 32

Weten wat je moet weten

3. De derde lijn is die van de FG en CISO. Deze verschilt qua invulling enigszins voor de terreinen informatiebeveiliging en privacybescherming. De FG is een formele derdelijnsfunctie. Voor de CISO geldt dit (nog) niet. Bij voorkeur wordt de CISO in de organisatie ook onafhankelijk gepositioneerd en met een directe lijn (dus om de hiërarchische verhoudingen heen) naar de gemeentesecretaris en portefeuillehouder. De FG vormt het intern toezicht, vergelijkbaar met de concerncontroller in gemeenteland: hij/zij controleert of het samenspel tussen de eerste en tweede lijn soepel functioneert en moet daarover een objectief en onafhankelijk oordeel vellen, met mogelijkheden tot verbetering. De FG is ook de toezichthouder namens de AP. De CISO is wat minder een toezichthouder en vooral de strategisch adviseur van het bestuur voor informatiebeveiliging: hij/zij moet zorgen voor strategisch beleid en ook controleren of dit goed wordt geïmplementeerd. In de praktijk, dat geldt zeker in kleinere organisaties, komen de FG en de CISO niet altijd voldoende toe aan de derde lijn, omdat er in de tweede lijn nog teveel operationeel werk (voor hen) te doen is.

Wat is nodig in termen van personeel en middelen? De rekenkamers wilden bij aanvang van het onderzoek graag duidelijkheid verschaffen aan de gemeenteraden over de inzet van de gemeenten op de terreinen van informatiebeveiliging en privacybescherming. Is er voor deze terreinen voldoende goed geschoold personeel en voldoende budget in onze gemeenten? Die vraag kan alleen worden beantwoord met een duidelijke maatstaf. Een eerste mogelijke maatstaf is om te onderzoeken of de informatiebeveiliging en privacybescherming helemaal op orde zijn. Als dat het geval zou zijn, kun je immers concluderen dat er voldoende mensen en middelen zijn ingezet. Maar dit is geen begaanbare weg. Los van het feit dat 100% veiligheid in feite onmogelijk is, hebben we als rekenkamers niet de onderzoekscapaciteit om een dergelijk onderzoek te (laten) verrichten. De gemeenten zouden zelf systematisch de werking c.q. effectiviteit van hun informatiebeveiligings- en privacybeschermingsbeleid moeten onderzoeken. We komen daarop terug in paragraaf 3.6. Een tweede mogelijke maatstaf om te bepalen of de gemeenten voldoende mensen en budget inzetten, is om de input in de vorm van personeel en budget af te zetten tegen een breed gedragen norm zoals vastgesteld door experts, of tegen de inzet van andere gemeenten.

Gemeenten zijn verplicht om een FG en een CISO te hebben51, en die op een correcte manier te positioneren in de organisatie; dat is een belangrijke wettelijke norm. Er zijn geen andere, bijvoorbeeld kwantitatieve normen voor de personele inzet beschikbaar. In 2017 stelde de Rekenkamer Rotterdam in één van de eerste lokale rekenkamerrapporten naar informatiebeveiliging dat zij geen bruikbare benchmark had weten te vinden waarmee beoordeeld kan worden een gemeente genoeg capaciteit inzet voor informatiebeveiliging52.

51

De eerste is wettelijk verplicht op grond van de AVG; de tweede op grond van de door alle overheden onderschreven

BIO-normen. 52

Rekenkamer Rotterdam (2017). In onveilige handen, p.39. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 33

Weten wat je moet weten

Voor wat betreft het benodigde budget zijn alle deskundigen het erover eens: ‘informatiebeveiliging kost geld’. Deze stelling is ook één van de 10 bestuurlijke principes die de VNG53 voor bestuurders heeft opgesteld. De bijbehorende toelichting luidt als volgt: “Risico’s kunt u ontwijken, mitigeren, overdragen of wegnemen door het nemen van preventieve, repressieve en/of correctieve maatregelen. Welke strategie u ook kiest, ze kosten allemaal middelen in termen van tijd en geld. Voor maatregelen kan derhalve een kosten-batenanalyse worden gemaakt”. Is er iets te zeggen over de noodzakelijke omvang van het budget? De Cyber Security Raad stelde in 2017 dat overheden en andere organisaties 10% van hun IT-budget aan digitale veiligheid en privacymaatregelen zouden moeten besteden54. Deze zogenaamde 10 procent-maatstaf lijkt prettig concreet, maar blijkt bij nader inzien voor het onderzoek weinig bruikbaar. Onduidelijk is wat wordt bedoeld met ‘bestedingen aan digitale veiligheid en privacymaatregelen’. De voor dit rekenkameronderzoek ingehuurde onderzoekers en enkele geraadpleegde deskundigen55 geven allemaal aan dat het hier gaat om extra investeringen in maatregelen en audits, en niet om structurele uitgaven aan bijvoorbeeld personeel. Als die zouden worden meegeteld, zitten alle gemeenten sowieso al boven de 10%.

Maar het is een allesbehalve helder onderscheid, vinden wij als rekenkamers. Waarom tellen de vaste personeelslasten voor de CISO en de FG niet mee, en bijvoorbeeld extra inhuur van personeel voor het treffen van bepaalde maatregelen wel? De norm lijkt al met al weinig behulpzaam. De praktijk in onze gemeenten: personele inzet De gemeenten hebben allemaal een CISO en een FG in dienst. De CISO’s van de bij iRvN aangesloten gemeenten hebben regulier regionaal CISO-overleg, waar ook de CISO en ISO van iRvN aan deelnemen. Dit overleg kent een vaste agenda. Binnen de Werkorganisatie Druten Wijchen (WDW) is de CISO aangesteld voor zowel Wijchen als Druten. Ook de FG vervult die functie voor beide gemeenten, in 27 uur per week; urenuitbreiding is voorzien. Er is regulier en regelmatig overleg tussen beide functionarissen. Daarnaast zijn er in de WDW beveiligingsbeheerders voor de diverse organisatieonderdelen (voor SUWI is dat bijvoorbeeld de Security Officer SUWI), die verantwoordelijk zijn voor het beheer, de coördinatie en advies ten aanzien van de informatieveiligheid binnen hun onderdeel. De functie van privacybeheerder of -officer is niet ingevuld in de organisatie, waardoor de FG naast de toezichthoudende taken ook verantwoordelijk is voor het vervullen van de uitvoerende taken als privacybeheerder.

In 2021 zijn in de ambtelijke organisatie een tiental privacy-ambassadeurs aangewezen, die binnen de afdeling fungeren als eerste aanspreekpunt voor privacyvraagstukken.

53

VNG: Vereniging Nederlandse Gemeenten.

54

De maatstaf is gebaseerd op het adviesrapport ‘De economische en maatschappelijke noodzaak van meer cyber security:

Nederland digitaal droge voeten’ van de commissie-Verhagen uit 2016. De commissie baseerde de norm op een internationale vergelijking. 55

Een hoogleraar cybersecurity en een onderzoeker met ruime ervaring in onderzoek naar informatiebeveiliging bij

gemeenten. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 34

Weten wat je moet weten

De praktijk in onze gemeenten: budget De vraag of de gemeenten de 10%-norm van de Cyber Security Raad halen voor informatiebeveiliging en privacybescherming valt op basis van het onderzoek niet met hard bewijs te beantwoorden. Niet alleen is de norm onduidelijk – zoals aan het begin van deze paragraaf is toegelicht -, maar het blijkt dat de daadwerkelijke bestedingen van gemeenten aan informatiebeveiliging en privacybescherming niet goed zijn vast te stellen. Informatiebeveiliging en privacybescherming zijn geen gestandaardiseerde taakvelden in de gemeentelijke begroting, en dus valt niet of nauwelijks vast te stellen hoeveel de gemeente eraan uitgeeft. Jaarplannen en uitvoeringsprogramma’s op het gebied van informatiebeveiliging en privacybescherming ontbreken in de gemeente Wijchen, dus daar kunnen geen bedragen uit worden afgeleid. De gemeente Wijchen had in 2021 een IT-budget van € 2.586.000,00. De kosten voor informatiebeveiliging en privacybescherming vallen onder het IT-budget. Een relatief klein bedrag van € 35.000 is gespecificeerd voor specifieke maatregelen op beide gebieden.

Maar we moeten er vanuit gaan dat binnen het totaalbudget voor IT mogelijk nog meer ‘verstopte’ bedragen voor informatiebeveiliging en privacybescherming zitten, zoals de aanschaf van bepaalde applicaties en softwarepakketten (of veiligere versies van standaardpakketten) of de kosten voor inhuur. Daarnaast kunnen de personele lasten voor de CISO en de FG worden gespecificeerd, maar die tellen niet mee voor de 10%-norm. Daar komt bij dat een deel van de inspanningen op het gebied van informatiebeveiliging en privacybescherming natuurlijk onderdeel is van de gewone werkprocessen in de organisatie, omdat de zorg hiervoor onderdeel is van het werk van alle medewerkers, en zeker van lijnmanagers. Die kosten zijn in feite dus elders in de begroting te vinden. Meer dan de helft van het voor IT beschikbare budget, € 1.268.000, betreft de bijdrage van Wijchen aan iRvN. Ook voor iRvN kunnen we niet vaststellen of de organisatie voldoet aan de 10%-norm. Concluderend moeten we vaststellen dat we op basis van deze gegevens, en zonder goede norm, niet kunnen vaststellen of er genoeg financiële middelen beschikbaar zijn voor informatiebeveiliging en privacybescherming. Als we de personele lasten (van de gemeente en iRvN) niet meerekenen, lijkt het niet waarschijnlijk dat de gemeente voldoet aan de norm. Aanbevelingen 8.

Stel voldoende middelen beschikbaar Vraag het college om de raad voor te leggen wat er nodig is qua financiële en personele middelen, op basis van het op te stellen meerjarenuitvoeringsprogramma en de jaarplannen. Die belangrijke documenten vragen om bespreking en besluitvorming in het college.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 35

Weten wat je moet weten

9. Zorg intern voor onafhankelijk ondersteuning en toezicht Vraag het college om de FG als interne toezichthouder duidelijk in de 3 e lijn te positioneren en indien nodig capaciteit toe te voegen aan de 2e lijn (in de vorm van een Privacy Officer). Vraag het college om ook de CISO bij voorkeur in de 3e lijn te positioneren en indien nodig capaciteit (in de vorm van een Security Officer) toe te voegen aan de 2e lijn. 10. Geef de CISO en FG de beschikking over een eigen budget Vraag het college om in lijn met het advies van de IBD het budget waarover de CISO kan beschikken te specificeren in het jaarplan en de begroting. Doe dat ook voor de FG. Op deze manier kunnen CISO en FG hun rol vanuit de 3e lijn beter waarmaken.

3.6

WETEN WAAR JE STAAT: TOETSING EN RAPPORTAGE

Toetsing en rapportage: hoe het moet Voor zowel informatiebeveiliging als privacybescherming geldt dat een belangrijke vereiste voor alle (overheids)organisaties is dat opzet, bestaan en werking van de maatregelen regelmatig wordt getoetst en dat daarover wordt gerapporteerd. Het gaat hier in feite over de ‘Check’ in de in hoofdstuk 2 genoemde PlanDo-Check-Act-cyclus (PDCA-cyclus), die organisaties voortdurend moeten doorlopen. Opzet – bestaan – werking Bij het toetsen en beoordelen van de stand van de informatiebeveiliging en privacybescherming wordt vaak naar deze driedeling gekeken: Opzet: het ontwerp van maatregelen (in beleid, plannen en processen) Bestaan: dat de maatregelen feitelijk zijn getroffen Werking: de effectiviteit van de getroffen maatregelen We kwamen ook de volgende formulering tegen: Opzet: de aanpak klopt op papier Bestaan: de aanpak is volgens plan in praktijk gebracht Werking: de aanpak blijkt ook in de praktijk doelmatig en doeltreffend

In een goed georganiseerde gemeente is deze toetsing op diverse manieren georganiseerd en terug te vinden: 

In het gemeentelijk beleid moet zijn vastgelegd op welke momenten en welke manieren getoetst wordt of alle voorgenomen stappen zijn gezet en of de maatregelen effectief zijn.



De organisatie controleert zelf (intern) of voorgenomen maatregelen zijn uitgevoerd en rapporteert daarover periodiek aan het management en de portefeuillehouder en uiteindelijk aan het college. Aan de gemeenteraad wordt verantwoording afgelegd via de gebruikelijke P&C-cyclus56 en separaat afgesproken specifieke voortgangsrapportages.

56

Gemeenten hebben in de VNG-resolutie ‘Informatieveiligheid, randvoorwaarde voor de professionele Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 36

Weten wat je moet weten



Ook de accountant neemt in de jaarlijkse controle informatiebeveiligingsaspecten mee. De diepgang waarmee dat gebeurt, kan sterk verschillen: per accountant, en ook per jaar, en ook afhankelijk van de vraag of en hoe de gemeenteraad deze controle toevoegt aan de opdracht.



Minimaal verplicht moet de gemeente rapporteren over beide terreinen. Voor informatiebeveiliging is dat jaarlijks op basis van de ENSIA-systematiek (zie kader en figuur 5). Voor wat betreft de AVG moet de FG als toezichthouder rapporteren aan “het hoogste leidinggevende niveau van de verwerkingsverantwoordelijke”. In het geval van de gemeente is dit het college van B&W. Het is aan de FG zelf om te bepalen met welke frequentie hij rapporteert; gebruikelijk is minstens eenmaal per jaar.



Op grond van de BIO57 zouden gemeenten zelf de werking (effectiviteit) van de getroffen maatregelen regelmatig moeten onderzoeken, onder meer door middel van pentesten (penetratietesten). Die worden gedaan om op zoek te gaan naar zwakke plekken in de beveiliging van de systemen en infrastructuur. Uit de testen kunnen indien nodig verbeteracties voortkomen.



Gemeenten doen er goed aan ook externe toetsing en controle te organiseren met een (IT-)audit door een onafhankelijke externe partij. Voor privacybescherming is dit in eerste instantie de taak van de FG, maar kan een extern uitgevoerde nulmeting of ‘privacy risk assessment’ worden uitgevoerd. ENSIA-rapportage ENSIA staat voor Eenduidige Normatiek Single Information Audit, en is een verantwoordingsstelsel voor informatieveiligheid, ontstaan vanuit een gezamenlijk initiatief van de meest betrokken ministeries en de VNG. ENSIA wordt door gemeenten gebruikt om zich te verantwoorden over de staat van informatiebeveiliging op basis van de BIO en over een (groeiend) aantal landelijke voorzieningen58. De verantwoording over de stand van zaken van de BIO is bedoeld voor de gemeenteraad. De VNG stelt in een toelichting over ENSIA op haar website: “Met ENSIA sluit de verantwoording over informatieveiligheid aan op de planning en control-cyclus van de gemeente. Hierdoor heeft het gemeentebestuur meer overzicht over de informatieveiligheid van hun gemeente en kan het beter sturen en verantwoording afleggen aan de gemeenteraad”. De verantwoording over de landelijke voorzieningen is bedoeld voor toezichthouders binnen het Rijk. Met ENSIA wordt die verantwoording gestructureerd, zodat gemeenten maar één keer verantwoording hoeven af te leggen.

Gemeenten moeten jaarlijks een zelfevaluatie invullen. Voor DigiD en Suwinet moeten zij deze laten controleren door een onafhankelijke auditor. Wanneer een gemeente ook na een herstelperiode niet aan de eisen voldoet, wordt ze afgesloten van de dienstverlening. Voor de overige onderdelen geldt: het invullen van de zelfevaluatie is verplicht, het laten uitvoeren van een controle daarop (nog) niet.

gemeente’ uit november 2013 onder meer afgesproken dat in de jaarstukken een aparte passage over informatiebeveiliging wordt opgenomen. 57

BIO 18-2-3: "Informatiesystemen worden jaarlijks gecontroleerd op technische naleving van beveiligingsnormen en

risico’s ten aanzien van de feitelijke veiligheid. Dit kan bijvoorbeeld door (geautomatiseerde) kwetsbaarheidsanalyses of penetratietesten." 58

De Basisregistratie Personen (BRP), Paspoortuitvoeringsregeling Nederland (PUN), Digitale persoonsidentificatie (DigiD),

Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO), Waardering Onroerende Zaken (WOZ) en de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet). Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 37

Weten wat je moet weten

Figuur 5: Schematische weergave van ENSIA-rapportage

De toetsingspraktijk in onze gemeenten In de gemeente Wijchen wordt een beperkt aantal zaken getoetst en gerapporteerd. Het beleid is op dit punt onvoldoende sturend: er is niet vastgelegd wanneer wat wordt getoetst en hoe daarover wordt gerapporteerd. De gebruikelijke jaarlijkse rapportage op het gebied van informatiebeveiliging (ENSIA) wordt aan het college aangeboden, en is voor 2021 voor het eerst met de raad gedeeld59. De gebruikelijke jaarlijkse rapportage op het gebied van privacybescherming (jaarverslag FG) wordt aan het college aangeboden, maar niet met de raad gedeeld. Informatiebeveiligingsincidenten worden niet aantoonbaar gerapporteerd aan de ambtelijke leiding, en leren uit incidenten is niet vastgelegd. In algemene zin heeft de gemeente aantoonbaar de eerste stappen gezet om te komen tot een continue verbetercyclus (PDCA-cyclus), maar er is nog geen sprake van een volledig uitgevoerde cyclus. In het kader van dit onderzoek is niet de volledige P&C-cyclus geanalyseerd. In de jaarstukken over 2020 wordt in de paragraaf ‘Bedrijfsvoering’ gerapporteerd over beide terreinen. De tekst daar is algemeen en er wordt niet expliciet teruggegrepen op (in de begroting) gestelde doelen, zoals ‘het verder op orde brengen van de basis’.

In de managementletter van de accountant over 2021 is in het hoofdstuk over de kwaliteit van bedrijfsvoeringsprocessen de beoordeling ‘goed’ toegekend aan het nieuwe proces ‘IT en informatiebeveiliging’, voor zowel 2020 als 2021; een toelichting wordt niet gegeven. Een belangrijke kanttekening bij deze beoordeling is dat dit oordeel (slechts) betekent dat de interne beheersingsmaatregelen zodanig zijn ingeregeld dat de accountant hierop kan steunen voor zijn controlewerkzaamheden. Er vinden niet standaard penetratietesten plaats om technische kwetsbaarheden te identificeren in opdracht van de gemeente op eigen applicaties of bij iRvN60. Wel voert iRvN structureel kwetsbaarhedenscans uit op de technische infrastructuur waarvoor zij verantwoordelijk is. Er wordt niet gerapporteerd aan het MT61, het college of de raad over technische kwetsbaarheden. De gemeente Wijchen laat – behalve voor de verplichte onderdelen in het kader van ENSIA - geen externe audits of andere vormen van externe toetsing uitvoeren.

59

Maar niet over de stand van zaken van de BIO, het deel van ENSIA dat juist is bedoeld voor de gemeenteraad.

60

Voor DigiD is het verplicht dit te doen en gebeurt het wel.

61

MT: Managementteam. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 38

Weten wat je moet weten

Aanbevelingen 11. Leg vast hoe je gaat toetsen en rapporteren Vraag het college om in het beleid op te nemen hoe je als gemeente wilt gaan toetsen en rapporteren. Neem de PDCA-cyclus als uitgangspunt en expliciteer de momenten waarop getoetst en gerapporteerd wordt. Belangrijk bij het toetsen is dat periodiek pentesten worden uitgevoerd en periodiek extern getoetst wordt. Belangrijk bij het rapporteren is dat – na overleg met de raad (zie aanbeveling 18) - ook wordt aangegeven hoe en wanneer aan de raad gerapporteerd wordt. Maak in het college (en ook in de raad, zie paragraaf 3.9) in elk geval meer werk van de jaarlijkse verantwoordingsrapportages over informatieveiligheid (ENSIA) en privacybescherming (jaarverslag FG). Nodig de CISO en FG uit voor een toelichting en bespreking. 12. Ga KPI’s gebruiken Vraag aan het college om in het beleid KPI’s op te nemen, zowel voor informatiebeveiliging als privacybescherming. Dit moet ook in de Basisafspraken met iRvN worden gedaan. Gebruik bijvoorbeeld de aandachtsvelden uit het NOREA-volwassenheidsmodel en de thema’s uit de privacy-baseline om KPI’s uit af te leiden.