Agendabundel

3.7

WETEN HOE BELANGRIJK HET IS: BEWUSTWORDING

Bewustwording: essentieel onderdeel personeelsbeheer Voor zowel informatiebeveiliging als privacybescherming is het essentieel dat medewerkers zich bewust zijn van de risico’s en hun verantwoordelijkheid. Medewerkers zijn belangrijke, zo niet de belangrijkste schakels: een organisatie kan het technisch en organisatorisch nog zo goed op orde hebben, als medewerkers niet alert zijn en de richtlijnen en tips niet begrijpen of volgen, kan het alsnog mislopen. In de BIO en in de AVG zijn hier expliciete bepalingen over opgenomen. BIO Norm 7.2.2 Bewustzijn, opleiding en training ten aanzien van informatiebeveiliging Alle medewerkers van de organisatie en, voor zover relevant, contractanten behoren een passende bewustzijnsopleiding en -training te krijgen en regelmatige bijscholing van beleidsregels en procedures van de organisatie, voor zover relevant voor hun functie. AVG artikel 39 taken van de FG 1. De functionaris voor gegevensbescherming vervult ten minste de volgende taken: b) toezien op naleving van deze verordening, van andere Unierechtelijke of lidstaatrechtelijke gegevensbeschermingsbepalingen en van het beleid van de verwerkingsverantwoordelijke of de verwerker met betrekking tot de bescherming van persoonsgegevens, met inbegrip van de toewijzing van verantwoordelijkheden, bewustmaking en opleiding van het bij de verwerking betrokken personeel en de betreffende audits.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 39

Weten wat je moet weten

De praktijk in onze gemeenten Uit de gesprekken blijkt dat informatiebeveiliging en privacybescherming in toenemende mate onderwerp van aandacht zijn in de gemeentelijke organisatie. Veiligheid en alertheid komen op diverse plekken en momenten ter sprake en er is sprake van een toenemend bewustzijn bij medewerkers. Alle gemeenten ondernemen, soms ook in regionaal verband, diverse activiteiten om de bewustwording van medewerkers rond informatiebeveiliging en privacybescherming naar een hoger plan te tillen. Voorbeelden hiervan zijn: het delen van informatie, tips en waarschuwingen via intraweb, het geven van presentaties (door externen), het organiseren van quizen en het uitvoeren van phishingsimulaties. In alle gemeenten bestaan ook e-learning modules. In diverse gevoerde gesprekken is aangegeven dat het aantal meldingen van (mogelijke) informatiebeveiligingsincidenten en datalekken door de bewustwordingsactiviteiten is toegenomen. Wat ontbreekt is een systematische, gerichte aanpak, inclusief evaluatie en consolidatie. De activiteiten die de gemeenten ondernemen zijn vrijwel altijd gericht op alle medewerkers; er is weinig sprake van maatwerk voor specifieke groepen medewerkers. De meeste activiteiten betreffen eenmalige acties of korte impulsen. Of de uitgevoerde activiteiten het gewenste resultaat hebben opgeleverd, is niet bekend.

Dat komt doordat het gewenste resultaat vooraf niet is vastgelegd, en achteraf wordt dit niet gemeten. Aanbevelingen 13. Zet volop en systematisch in op bewustwording Vraag het college om door te gaan op de weg van het vergroten van de bewustwording van medewerkers en dit meer systematisch aan te pakken, door ook hierbij te werken op basis van een risicoanalyse en volgens de PDCA-cyclus. Vraag het college bewustwording vanaf 2023 op te nemen als onderdeel van de jaarplannen voor informatiebeveiliging en privacybescherming, en daarbij ook aandacht te hebben voor bewustwordingsmaatregelen voor specifieke groepen medewerkers.

3.8

WETEN DAT JE VERANTWOORDELIJK BENT: BESTUURLIJKE VERANTWOORDELIJKHEID EN COMMITMENT

Bestuurlijke verantwoordelijkheid vereist Omdat informatiebeveiliging en privacybescherming vaak als bedrijfsvoering worden beschouwd, en omdat het om ingewikkelde en technische materie gaat, is de kans groot dat veel bestuurders net als gemeenteraden (zie volgende paragraaf) weinig affiniteit en betrokkenheid voelen bij deze onderwerpen. Dat is misschien begrijpelijk, maar onwenselijk: bestuurders hebben een belangrijke verantwoordelijkheid als het gaat om het bevorderen van informatiebeveiliging en privacybescherming in hun gemeente. De experts waar de rekenkamers mee hebben gesproken wijzen erop dat het een zwaar portefeuilleonderdeel is voor bestuurders, en dat zij er vaak mee worstelen.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 40

Weten wat je moet weten

In de 10 bestuurlijke principes voor informatiebeveiliging die de VNG in 2019 aan haar leden heeft meegegeven, zie je dan ook dat het eerste principe direct aan hen is gericht: ‘Bestuurders bevorderen een veilige cultuur’. Benadrukt wordt dat de bestuurder een voorbeeldfunctie heeft, dat hij/zij het beleid actief moet uitdragen en ervoor moet zorgen dat medewerkers zich vrij voelen om risico’s te melden en maatregelen voor te stellen. Zoals de IBD het formuleert: “Deze principes ondersteunen de bestuurder bij het uitvoeren van goed risicomanagement. Als er iets verkeerd gaat met betrekking tot het beveiligen van de informatie binnen de gemeentelijke processen, dan kan dit directe gevolgen hebben voor inwoners, ondernemers en partners van de gemeente. Daarmee is het onderwerp informatiebeveiliging nadrukkelijk gewenst op de bestuurstafel” 62. De bestuurlijke praktijk in onze gemeenten In het onderzoek is in beperkte mate aandacht besteed aan de invulling van de bestuurlijke verantwoordelijkheid voor informatiebeveiliging en privacybescherming. In welke mate en op welke wijze de portefeuillehouders en de colleges tijd en aandacht besteden aan de sturing op deze terreinen, is niet systematisch onderzocht.

Er is wel met de portefeuillehouders gesproken, en in de documenten en de andere interviews is op diverse manieren materiaal verzameld over de manier waarop de colleges van onze gemeenten invulling geven aan hun bestuurlijke verantwoordelijkheid. Het onderzoek laat zien dat de besturen van alle vier gemeenten zich bewust zijn van het belang van de thema’s informatiebeveiliging en privacybescherming. Maar de meesten van hen kennen niet de eerdergenoemde 10 bestuurlijke principes voor informatiebeveiliging van de VNG, en laten zich daar niet door leiden in hun werk. De portefeuillehouders geven aan de wettelijke vereisten, dat wil zeggen de BIO en de AVG, als leidend te beschouwen, maar zij geven daarbij aan zelf geen scherp beeld te hebben in hoeverre de gemeente daar inmiddels aan voldoet. De portefeuillehouders geven aan dat zij geen regulier overleg over informatiebeveiliging en privacybescherming met de verantwoordelijke ambtenaren op strategisch niveau (FG en CISO) hebben, maar hen regelmatig spreken. In het algemeen wachten zij af totdat deze functionarissen ‘aan de bel trekken’ en zij vertrouwen in belangrijke mate op hun inzichten en prioritering van wat er moet gebeuren. In het onderzoek is onvoldoende systematisch materiaal verzameld over de vraag of van ambtelijke zijde dat vertrouwen ook zo wordt beleefd.

De portefeuillehouders voelen zich verantwoordelijk voor de informatievoorziening aan hun gemeenteraad, en hebben goed zicht op de mate waarin en de manier waarop de raad betrokken is bij de beide onderwerpen. De bestuurlijke praktijk op regionaal niveau De gemeenten in het Rijk van Nijmegen hebben zoals gezegd hun ICT-taken belegd bij iRvN, één van de modules van de Modulaire Gemeenschappelijke Regeling (MGR) Rijk van Nijmegen. Er is bewust gekozen voor gemeenschappelijkheid op dit gebied, omdat “de structuur van een Gemeenschappelijke Regeling waarborgen geeft voor de gemeenschappelijke belangenafweging ten behoeve van alle deelnemers. In de samenstelling

62

Uit het voorbeeld Strategisch Gemeentelijk Informatiebeveiligingsbeleid BIO van de IBD (pagina 4). Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 41

Weten wat je moet weten

van Algemeen Bestuur (AB) en het Dagelijks Bestuur (DB), alsook in de verantwoordelijkheid van deze twee bestuursorganen zit de waarborg dat iRvN daadwerkelijk blijft functioneren binnen de opdracht om het beheer van de regionale ICT-infrastructuur op basis van gemeenschappelijkheid (harmonisatie en standaardisatie) te optimaliseren” 63. Aangetekend moet worden dat de gemeenten slechts in beperkte mate hun beleid op dit gebied hebben geharmoniseerd. In paragraaf 3.2 over afspraken tussen de gemeenten en iRvN is dit al toegelicht. De besluitvorming binnen de MGR vindt plaats in het AB. Op dit moment bestaat het AB uit burgemeesters en wethouders uit de deelnemende gemeenten met in hun portefeuille Werk, ICT of iets anders. In de praktijk vergadert het AB zo’n vier tot vijf keer per jaar. De vergaderingen van het AB zijn openbaar. De ICT-module (iRvN) stond in 2020 en 2021 slechts twee keer als specifiek punt op de agenda64. Naast het AB kent de MGR ook een DB. Het DB heeft een portefeuillehouder voor ICT. In de vorige raadsperiode was dat een wethouder van de gemeente Wijchen. Deze overlegt in principe eenmaal per zes weken met de directeur van iRvN. Omdat de DB-vergaderingen niet openbaar zijn, weten we niet of en hoe ICT en iRvN daar vaak aan de orde komen. De DB-besluiten uit 2020 en 2021 die openbaar gemaakt zijn, gingen niet over ICT of iRvN.

De MGR kent verder één adviescommissie, de Agendacommissie, bestaande uit raadsleden uit de deelnemende gemeenten. De Agendacommissie heeft tot taak de politieke besluitvorming door de raden te faciliteren. De agendacommissie vergaderde in 2020 en 2021 zeven, respectievelijk zes keer. Informatiebeveiliging en privacybescherming stonden nooit als specifiek punt op de agenda. Wel is de commissie eind 2021 mondeling geïnformeerd over het proces van de evaluatie van en advisering over de ICT-samenwerking in de regio. De portefeuillehouders ICT uit de deelnemende gemeenten kwamen tot voor kort gemiddeld twee keer per jaar bij elkaar voor overleg. Recentelijk is de frequentie van overleg toegenomen, mogelijk naar aanleiding van het in 2021 verschenen adviesrapport over de ICT-samenwerking in de regio. In het portefeuillehoudersoverleg ICT worden formeel geen besluiten genomen. Dat ICT of iRvN zelden op de AB-agenda staat, komt overeen met het beeld dat uit de interviews met de portefeuillehouders oprijst. Die geven aan dat ICT en iRvN niet als een politiek belangrijk onderwerp worden beschouwd. De bestuurlijke aandacht binnen de MGR gaat vooral uit naar het Werkbedrijf, de andere module van de MGR. Dit beeld wordt ook bevestigd door de afspraken die er tussen de gemeenten en iRvN zijn gemaakt.

Daaruit blijkt dat er voor iRvN geen aparte bestuurscommissie is ingesteld omdat, zo staat in de Basisafspraken, iRvN “actief is op een aspect van de (ondersteuning) van de bedrijfsvoering van de deelnemende partijen en niet op een beleidsveld”. Om deze reden is er voor gekozen het opdrachtgeverschap voor iRvN bij de gemeentesecretarissen neer te leggen.

63

Bron: Basisafspraken ICT-diensten Deelnemers MGR – iRvN (versie 2021).

64

Het ging om: Voortgang evaluatie en toekomst iRvN / ICT-dienstverlening (8 juli 2021) en Voortgang onderzoek iRvN en

taakstelling iRvN (1 oktober 2020). Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 42

Weten wat je moet weten

Maar uit het adviesrapport over de ICT-samenwerking in de regio blijkt dat “in de praktijk geen invulling wordt gegeven aan de opdrachtgevende functie van de gemeentesecretarissen. Besluiten worden meestal door de hoofden bedrijfsvoering genomen (…). Het hoofden bedrijfsvoerings-overleg blijkt daarmee een cruciale schakel in het doorzetten van adviezen en besluiten, terwijl er geen duidelijke link met het AB en DB is”65. De governance op regionaal niveau is dus niet goed geregeld. Het gebrek aan bestuurlijke aandacht heeft gevolgen voor de dagelijkse praktijk van de samenwerking en afstemming tussen de gemeenten en iRvN. Het zorgen voor duidelijkheid en heldere kaders is een verantwoordelijkheid van de gemeentebestuurders. In het eerdergenoemde adviesrapport staat de in dit verband relevante passage: “Bestuurlijke borging van gemaakte keuzes m.b.t. inhoudelijke vraagstukken ontbreekt vaak. De vraagstukken worden relatief technisch aangevlogen (soms moet dit ook) terwijl soms bestuurlijke keuzes (nog) gemaakt moeten worden, maar natuurlijk ook omdat (zoals hiervoor beschreven) de tactische en strategische kaders eenvoudigweg ontbreken.

Daarnaast worden bestuurders beperkt meegenomen in de I&A-ontwikkelingen en geven geïnterviewden aan dat het kennisniveau van bestuurders op het gebied van ICT en digitalisering niet toereikend is om de consequenties te bepalen van beleidskeuzes.” Deze tekst sluit naadloos aan bij de constateringen eerder in dit rapport, in paragraaf 3.2 over de afspraken en taakverdeling tussen de gemeenten en iRvN. Daaruit bleek al dat er onduidelijkheden (‘grijze gebieden’) zijn in de onderlinge taakverdeling, en dat de ontbrekende gemeentelijke (beleids)kaders het werk er voor iRvN niet gemakkelijker op maken. Aanbevelingen 14. Besteed meer bestuurlijke aandacht aan informatiebeveiliging en privacybescherming in de gemeente Vraag het college – in lijn met VNG-resolutie 2021 en de 10 bestuurlijke principes voor informatiebeveiliging om de portefeuilles informatiebeveiliging en privacybescherming voldoende gewicht te geven en systematisch aandacht te besteden in de collegevergaderingen aan zaken zoals risico’s, beleid, prioritering, benodigde middelen, jaarplannen, monitoring, voortgangs- en verantwoordingsrapportages en de eigen bewustwording. Het is verstandig regelmatig de CISO en FG uit te nodigen voor een toelichting. 15. Besteed meer bestuurlijke aandacht aan informatiebeveiliging en privacybescherming in de regio Versterk en verduidelijk de governance op regionaal niveau.

Vraag het college om in MGR-verband voldoende gewicht te geven aan de rol van IRvN bij de informatiebeveiliging in de gemeenten (en bij iRvN zelf). Dat betekent periodieke aandacht in het AB en in de Agendacommissie van de MGR voor informatiebeveiliging, zowel als het gaat om beleidsplan en jaarplannen (Plan) en rapportages (Check). Ook (of: juist) als de aansturing van iRvN bij de gemeentesecretarissen en/of hoofden bedrijfsvoering ligt, zorg dan voor

65

PWC Accountants, ‘Evaluatie ICT Rijk van Nijmegen en de I&A-samenwerkingspartners, met het oog op de toekomst’,

september 2021, p. 18. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 43

Weten wat je moet weten

noodzakelijke bestuurlijke besluitvorming in het AB. Vraag aan het college om de instelling van een aparte bestuurscommissie voor iRvN in het AB van de MGR te overwegen. Het voordeel van een bestuurscommissie ten opzichte van het werken in het portefeuillehoudersoverleg ICT is immers dat op deze manier de besluitvorming bestuurlijk is ingebed in de MGR, transparanter is en meer garanties geeft voor betrokkenheid van de gemeenteraden. Vraag het college de raad te informeren over de gehanteerde afwegingen en besluitvorming.

3.9

WETEN HOE JE STUURT EN CONTROLEERT: DE ROL VAN DE GEMEENTERAAD

Behalve op de vraag wat de colleges doen, heeft dit rekenkameronderzoek zich ook welbewust gericht op de gemeenteraden. De doelstelling van het onderzoek was tweeledig: 

Voor de gemeenteraden inzichtelijk maken hoe de informatiebeveiliging en privacybescherming door hun eigen gemeente ervoor staat, en hoe daaraan wordt gewerkt in hun gemeente66;



De gemeenteraden ondersteunen bij de kaderstelling en controle op dit vlak. Een belangrijke voorwaarde voor een goede rolvervulling is de informatievoorziening door het college.

In dit hoofdstuk gaan wij nader in op deze tweede doelstelling. We beantwoorden drie vragen: 1. Wat is in het algemeen de rol van een gemeenteraad op de terreinen informatiebeveiliging en privacybescherming? 2. Op welke wijze verloopt in de praktijk het proces van kaderstelling en controle door de gemeenteraad t.a.v. informatiebeveiliging en privacybescherming? Op welke wijze faciliteert het college de kaderstelling en controle door de gemeenteraad, met name qua informatievoorziening aan de raad? 3. Zijn er elders in het land relevante best practices ten aanzien van een goed verlopend proces van kaderstelling en controle door de gemeenteraad op dit gebied, en wat zijn de belangrijkste lessen die daaruit kunnen worden geleerd? Wat is de rol van een gemeenteraad? Voordat we toekomen aan de bevindingen van het onderzoek, moet de vraag worden beantwoord welke rol een gemeenteraad eigenlijk heeft op de terreinen informatiebeveiliging en privacybescherming. Deze vraag wordt door betrokkenen in en om het lokaal bestuur verschillend beantwoord, zo hebben de rekenkamers gemerkt. Desalniettemin zijn er enkele duidelijke uitgangspunten. Rollenscheiding college-raad De rollenscheiding tussen raad en college betekent dat het college (samen met de ambtelijke organisatie) belast is met het dagelijks bestuur in de gemeente.

De gemeenteraad is het hoogste orgaan van de gemeente, en stelt de kaders waarmee het college van B&W moet werken (kaderstellende rol). Met ‘de kaders’ bedoelen we de lokale regelgeving, de hoofdlijnen van beleid en de financiële kaders. De tweede hoofdtaak van de gemeenteraad is het controleren van het bestuur (controlerende rol). De vastgestelde

66

Zie hiervoor de paragrafen 3.2 tot en met 3.8. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 44

Weten wat je moet weten

kaders zijn daarbij een uitgangspunt, maar de raad controleert het college in brede zin, dus op alle onderdelen van het gevoerde bestuur inclusief de uitvoering. Raad ook verantwoordelijk voor informatiebeveiliging en privacybescherming Informatiebeveiliging en privacybescherming worden in de gemeentelijke praktijk vaak onder bedrijfsvoering geschaard. Dat betekent niet dat de gemeenteraad zich er niet mee bezig mag of moet houden. Dat is een vaak gehoord misverstand. Het tegendeel is waar: samen met het college is de raad verantwoordelijk voor een goede en stabiele dienstverlening aan burgers en bedrijven, voor goed en stabiel bestuur door de gemeente en voor bescherming van de gegevens van burgers. De rollenscheiding tussen college en raad betekent wel dat de gemeenteraad niet beslist over de uitvoering van beleid en de bedrijfsvoering. Maar in zijn controlerende rol kan de raad daar altijd naar vragen en een oordeel over vellen. En de raad moet ook goed worden geïnformeerd over de uitvoering van beleid en de bedrijfsvoering, om te kunnen controleren of het goed gaat. Dat geldt bij uitstek voor de belangrijke onderwerpen informatiebeveiliging en privacybescherming, omdat die rechtstreeks van belang zijn voor de inwoners.

Geen gemakkelijke taak voor de raad Omdat de gemeenteraad uiteindelijk verantwoording verschuldigd is aan de inwoners over het gevoerde bestuur, moet hij serieus invulling geven aan zijn kaderstellende en controlerende rol. Dat is geen gemakkelijke opgave op de terreinen informatiebeveiliging en privacybescherming: het betreft ingewikkelde, deels specialistische en technische materie, waarvan de meeste raadsleden geen verstand hebben. Net als de meeste bestuurders overigens, maar dat terzijde. Toch moet de raad het bestuur namens de inwoners hierop controleren. Dat betekent dat de gemeenteraad zich moet (laten) informeren over de ‘basics’ op het terrein van informatiebeveiliging en privacybescherming, om te kunnen begrijpen wat er nodig is. En vervolgens is goede informatievoorziening nodig over de wijze waarop de gemeente hiermee in de praktijk omgaat. Die informatie moet worden geleverd door het college. Het college is verplicht om dat te doen in het kader van de P&Ccyclus en de ENSIA-rapportage (zie voor een uitgebreidere toelichting paragraaf 3.6). Het verplichte deel daarvan is echter beperkt, en biedt in kale vorm onvoldoende informatie voor gemeenteraden. De gemeenteraad doet er goed aan om in overleg te gaan met het college hoe hij (nader) wil worden geïnformeerd.

De praktijk: de rol van de raad en de informatievoorziening In de gemeente Wijchen vult de gemeenteraad zijn kaderstellende rol vrij passief in. Het beleid op het gebied van informatiebeveiliging en privacybescherming wordt niet door de raad vastgesteld. De kaderstelling door de gemeenteraad verloopt vooral via de gemeentelijke begroting. In de programmabegroting voor 2022 worden de thema’s informatieveiligheid en privacybescherming kort besproken in het Programma ‘Bestuur en ondersteuning’, als één van de speerpunten van het coalitieakkoord uit 2018. Maar er worden geen doelstellingen geformuleerd waarmee de raad het college bij de jaarstukken daadwerkelijk kan controleren.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 45

Weten wat je moet weten

Controle door de gemeenteraad verloopt vooral via de reguliere P&C-cyclus. De informatievoorziening daarin is beperkt en maakt een goede controle niet echt mogelijk. Er wordt niet teruggegrepen op in de begroting gestelde doelen. Bij de behandeling van de jaarstukken wordt hier in het algemeen weinig naar gevraagd door de raad. De resultaten van de jaarlijkse verantwoording over informatiebeveiliging in de ENSIA-documenten zijn in 2021, voor het eerst zo lijkt het, met de raad gedeeld, deels onder geheimhouding. Bij bestudering daarvan blijkt dat er diverse documenten zijn aangeboden waarmee aan de landelijke toezichthouder moet worden gerapporteerd, maar niet over de stand van zaken van de BIO, het deel dat juist is bedoeld voor de gemeenteraad. In de gesprekken is verder aangegeven dat informatieveiligheidsaspecten soms worden besproken in de auditcommissie. De jaarlijkse verantwoordingsrapportage van de FG wordt aangeboden aan bestuur en management van de gemeente, maar niet aan de raad. De afgelopen jaren, met name in 2021, heeft de raad wat meer werk gemaakt van zijn controlerende rol, en diverse malen gevraagd naar (verantwoording over) informatiebeveiliging en privacybescherming.

Bij de behandeling van de perspectiefnota in juli 2021 is een motie aangenomen over het afleggen van verantwoording over informatiebeveiliging door het college, en het informeren van de raad daarover, desnoods in een niet-openbare setting. In september van dat jaar zijn toen de bovengenoemde ENSIAdocumenten aangeboden aan de raad. Enkele jaren eerder was een vergelijkbare motie over privacybescherming door de raad aangenomen. De uitvoering daarvan heeft enkele jaren op zich laten wachten, en is in 2021 na schriftelijke raadsvragen hierover alsnog opgepakt, met een beknopte Informatienota getiteld ‘Cijfers en kengetallen Privacy Werkorganisatie Druten Wijchen’. Behalve de gemeentelijke P&C-cyclus is er ook nog die van de MGR, waar iRvN onder valt. Bij de behandeling van de begroting en jaarstukken van de MGR in de Wijchense raad wordt niet of nauwelijks over informatiebeveiliging en privacybescherming gesproken. Goede voorbeelden elders In diverse gemeenten is de afgelopen jaren actief gezocht naar manieren om enerzijds de raad beter te informeren over informatiebeveiliging en privacybescherming, en anderzijds om als raad een actievere rol te spelen in de kaderstelling en controle. Nergens gaat dat zonder problemen, maar we beschrijven enkele voorbeelden waar (kleine) stappen zijn gezet. 

Den Haag: Het college legt de keuze voor de inrichting van de Agenda Digitaal Veilig Den Haag (2022) nadrukkelijk bij de gemeenteraad neer. Het college doet dit, omdat ‘het een politieke keuze is of het een kerntaak van de gemeente is om de regie te nemen op de digitale veiligheid van de stad. Het is aan de raad daarover een uitspraak te doen en de inzet en ambitie te bepalen’. Het college helpt de raad bij het maken van die keuze door onder meer drie voorbeeldscenario’s uit te werken.



’s Hertogenbosch: Naar aanleiding van een onderzoek naar informatiebeveiliging heeft de rekenkamer een datawijzer voor de gemeenteraad opgesteld. De datawijzer is een hulpmiddel voor raadsleden om bij raadsvoorstellen waarbij digitale technologie aan de orde is de goede vragen te kunnen stellen en tot een goed afgewogen en onderbouwd besluit te komen. Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 46

Weten wat je moet weten



Rotterdam: Nadat de Rekenkamer Rotterdam onderzoek had gedaan naar informatiebeveiliging in 2017 heeft het college een Plan van Aanpak opgesteld om tot verbetering te komen. Op basis daarvan heeft de raad extra budget en capaciteit beschikbaar gesteld. Het college heeft de raad vervolgens vier jaar lang elk half jaar geïnformeerd over de voortgang van de uitvoering van het Plan van Aanpak.



Hilversum: de FG stelt jaarlijks een compact jaarverslag op. De kern hiervan vormen de ‘bestuurlijke ontwikkellijn’ en de ‘ontwikkellijn per aandachtsgebied’. Aan de hand van een compacte set prestatieindicatoren en met behulp van symbolen wordt voor beide lijnen op één A4 inzichtelijk gemaakt hoe ver de gemeente is. Daarbij geeft de FG ook steeds een advies. Aan de hand van de scores op de bestuurlijke ontwikkellijn, drukt de FG in één cijfer uit of de sturing op niveau is en, zolang dat nog niet zo is, of er een (voldoende) stijgende lijn te zien in. De gemeenteraad bespreekt het jaarverslag. Het jaarverslag is opgenomen in bijlage 6.



Amersfoort: in de gemeente Amersfoort wordt een ENSIA-verantwoording van het college aan de raad ontwikkeld, waarin onder andere de stand van zaken voor de verschillende BIO-domeinen en de landelijke voorzieningen, met behulp van indicatoren en symbolen wordt toegelicht. Op dit moment (1 juli 2022) is deze nog niet openbaar.



Diverse gemeenteraden geven specifiek opdracht aan de accountant om bij zijn jaarlijkse controle aandacht te besteden aan (de voortgang van) de uitvoering van IT-beheersmaatregelen. Zij laten daarover rapporteren in de boardletter en/of laten zich mondeling door de accountant informeren. De gemeenteraden gebruiken deze informatie voor het voeren van gesprekken met het college, maar ook voor het geven van concrete opdrachten om tot verbetering van de informatiebeveiliging te komen. Voorbeelden: gemeente Nijmegen en Provinciale Staten van Gelderland.

Aanbevelingen 16. Stel als raad het beleid voor informatiebeveiliging en privacybescherming vast Vraag het college om het strategisch beleid voor informatiebeveiliging en privacybescherming ter besluitvorming aan de raad voor te leggen. De raad moet die documenten dan ook agenderen, en de gelegenheid aangrijpen om zich te laten informeren (zie hieronder). 17. Laat je als raad informeren en ondersteunen Neem als raad zelf het initiatief om je te laten informeren over het belang en de ‘basics’ van goede informatiebeveiliging en privacybescherming. Doel is om in de daaropvolgende jaren beter te weten waar je op moet letten en naar moet vragen. Nodig het college en ook de CISO en FG voor zo’n sessie uit. Ook een externe deskundige die meedenkt over het soort vragen dat je moet stellen, kan nuttig zijn. Gezien de snelle ontwikkelingen in risico’s, dreigingen en techniek, is het verstandig dergelijke sessies met enige regelmaat te organiseren, al dan niet ter voorbereiding op de behandeling van voorstellen of verantwoordingsrapportages die door het college worden voorgelegd. Waarom hier niet een regionaal initiatief van maken?

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 47

Weten wat je moet weten

18. Richt als raad je controlerende rol beter in Vraag de griffie om in een beknopte nota vast te leggen: 

waarover je als raad wilt worden geïnformeerd: de stand van zaken rond doelen, risico’s en maatregelen, de resultaten van testen en toetsen, de toereikendheid van middelen, etc.



op welke manier je als raad wilt worden geïnformeerd: enkel via de P&C-cyclus, of ook via periodieke informatiebrieven of voortgangsrapportages, via de auditcommissie (desnoods in beslotenheid), etc.



dat je in ieder geval de jaarlijkse rapportages (ENSIA, privacyjaarverslag) wilt ontvangen en dat die moeten worden voorzien van een begeleidende toelichting. Voor beide rapportages geldt dat daarin inhoudelijk moet worden gerapporteerd op het voldoen aan de vereisten: voor informatiebeveiliging (ENSIA) zijn dat de BIO-normen en voor privacybescherming de AVG. Verwijs in de nota bijvoorbeeld naar het goede voorbeeld in Hilversum.



hoe je als raad die informatie agendeert en behandelt, en hoe je de vinger aan de pols houdt. Overweeg om een externe toets of second opinion te vragen, of een adviseur in te schakelen.

19. Overweeg de accountant de opdracht te geven voor een IT-audit De gemeenteraad is opdrachtgever van de accountant. Overweeg vanuit die rol de accountant een IT-audit te laten uitvoeren. Maak bij het formuleren van die opdracht gebruik van de ervaringen die de raad van Nijmegen hiermee de afgelopen vier jaar heeft opgedaan. Vraag de accountant om consistente rapportages, zodat je als raad van jaar tot jaar kunt zien of aanbevelingen al dan niet zijn opgevolgd. 20. Overweeg als raden een regionale aanpak Versterk elkaar als raden en stel bijvoorbeeld een regionale raadswerkgroep in, of gebruik de agendacommissie van de MGR daarvoor. Zo’n gezelschap wordt dan de voorhoede van de gemeenteraden, en de leden ervan houden hun eigen raad goed op de hoogte. Organiseer in die werkgroep de onderlinge uitwisseling en kennisvermeerdering, en stem bijvoorbeeld de controle-activiteiten richting de colleges met elkaar af.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 48

Weten wat je moet weten

4. REACTIES COLLEGE VAN B&W EN DAGELIJKS BESTUUR MGR In het kader van hoor- en wederhoor zijn het college en het Dagelijks Bestuur van de Modulaire Gemeenschappelijke Regeling Rijk van Nijmegen in de gelegenheid gesteld te reageren op dit rapport, in het bijzonder de aanbevelingen. De reacties zijn opgenomen in dit hoofdstuk. Reactie college van B&W

Geachte heer Smeets, mevrouw Peters, heer Backus en heer Krale, Op 20 mei 2022 ontvingen wij uw brief met het verzoek voor een bestuurlijke reactie en een ambtelijke feitencheck op het onderzoeksrapport ‘INFORMATIEBEVEILIGING EN PRIVACYBESCHERMING’ dat door DMC Group en Legal2Practice voor de rekenkamercommissie is opgemaakt. Allereerst willen wij u bedanken voor de rapportage met de conclusies en aanbevelingen. Een onderzoeksrapport zoals dit biedt altijd aanknopingspunten voor verbetering. De gemeente Wijchen staat hiervoor open. Onderstaande betreft onze inhoudelijke reactie op geclusterde aanbevelingen van het onderzoeksrapport. Algemeen Voor het onderzoeksrapport is een toetsing gedaan op opzet, bestaan en werking van maatregelen voor informatiebeveiliging en privacybescherming. Het rapport concludeert dat de gemeente Wijchen hard aan het werk is met informatiebeveiliging en privacybescherming, maar dat tegelijkertijd ook nog veel moet gebeuren om van voldoende beheersing te spreken. De gemeente onderschrijft dit. Thema’s waar de afgelopen jaren en momenteel aan worden gewerkt zijn bewustwording, risico’s en eigen verantwoordelijkheden van medewerkers. De wens vanuit de gemeente is om te zorgen voor goede informatiebeveiliging en privacybescherming maar tegelijkertijd is hiermee geld gemoeid.

Om tot het juiste volwassenheidsniveau te komen zullen capaciteit en geld ter beschikking moeten worden gesteld. Hier horen overwegingen bij die bestuurlijk van aard zijn. Dit wordt binnen de organisatie en met de Raad opgepakt: 1. De Raad wordt meegenomen in de ontwikkelingen op het gebied van informatiebeveiliging en privacybescherming tijdens informatieavonden (dit kan zowel regionaal als op gemeentelijk niveau); 2. De hoofdpunten komen terug in het IBP (Informatiebeleidsplan); 3. De noodzakelijke investeringen worden meegenomen in het integraal plan WDW dat meegaat in de begrotingen van de gemeenten. Onderstaand de gerubriceerde aanbevelingen: 1. Middelen (capaciteit en geld); 2. Bewustwording; 3. Regionale afstemming. 1. Middelen (capaciteit en geld) In het onderzoeksrapport worden aanbevelingen gedaan die capaciteit en geld kosten. Dit betreft de punten 7, 8, 9 en 10: 7 - Ga systematisch DPIA’s uitvoeren; 8 - Stel voldoende (financiële) middelen beschikbaar; 9 - Zorg intern voor onafhankelijke ondersteuning en toezicht; 10 - Geef de CISO (Chief Information Security Officer) en FG (Functionaris voor de Gegevensbescherming) de beschikking over een eigen budget.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 49

Weten wat je moet weten

Het beleid voor zowel informatiebeveiliging als privacybescherming is vastgesteld maar dient meer te worden opgenomen in jaarplannen. Denk hierbij aan het verhelderen door middel van visie, ambitie, speerpunten, concrete maatregelen, richtlijnen, protocollen, etc. Dit moet organisatiebreed worden opgepakt. Het rapport concludeert het volgende: “Concluderend moeten we vaststellen dat we op basis van deze gegevens, en zonder goede norm, niet kunnen vaststellen of er genoeg financiële middelen beschikbaar zijn voor informatiebeveiliging en privacybescherming. Als we de personele lasten (van de gemeente en iRvN) niet meerekenen, lijkt het niet waarschijnlijk dat de gemeente voldoet aan de norm.” De aanbeveling luidt dan ook om voldoende middelen ter beschikking te stellen. In 2022 is de functie van de FG van 0,75 fte naar 1 fte gegaan. Daarmee is de volgende stap gezet. Denk echter ook aan het volgende:  Het belang van het positioneren van en capaciteit toevoegen aan Privacy Officers;  De aanbeveling om de CISO en FG de beschikking te geven over een eigen budget wat wordt meegenomen in het IBP en ter besluitvorming voorligt. Het beleid lijkt grotendeels een herhaling van de wettelijke uitgangspunten. Het is nu wenselijk een volgende stap te maken in het volwassenheidsniveau.

Dit om te voorkomen dat slechts gefocust wordt op de wettelijke eisen vanuit de AVG (Algemene Verordening Gegevensbescherming) en de BIO (Baseline Informatiebeveiliging Overheid). Het intern toewerken naar onafhankelijke ondersteuning en toezicht is hierbij een mooi streven. 2. Bewustwording Bewustwording is een proces op organisatieniveau, maar ook op bestuurlijk niveau waar in moet worden geïnvesteerd. Dit is een ontwikkelproces waarbij de menselijke factor centraal staat. Harde resultaten kunnen hiervoor niet worden opgeleverd. De effecten hiervan zijn pas op de lange termijn zichtbaar. Dit komt terug in de aanbevelingen 3, 4, 5, 6, 11, 13 en 14: 3 - Verhelder het beleid voor informatiebeveiliging en privacybescherming; 4 - Werk zo snel mogelijk de belangrijkste ontbrekende onderdelen van het beleid uit; 5 - Voer zo snel mogelijk een organisatiebrede risicoanalyse uit; 6 - Maak risicomanagement tot een continu proces; 11 - Leg vast hoe je gaat toetsen en rapporteren; 13 - Zet volop en systematisch in op bewustwording; 14 - Besteed meer bestuurlijke aandacht aan informatiebeveiliging en privacybescherming in de gemeente. Niet alles is voldoende schriftelijk gedocumenteerd. Dit is een aandachtspunt. De gemeente Wijchen heeft korte lijntjes met de CISO en FG. Dit zorgt ervoor dat informatiebeveiliging niet teveel ICT wordt en privacybescherming niet te juridisch wordt.

Het blijft hiermee toegankelijk voor de medewerkers van de organisatie en uiteindelijk ook voor de Raad en andere externe contacten. In het rapport wordt aangegeven dat een systematische, gerichte aanpak, inclusief evaluatie en consolidatie ontbreekt. Bewustwording is niet uitgebreid omschreven in de jaarplanning. Desondanks staan regelmatig informatiebeveiligings- en privacybeschermingstrainingen ter beschikking. Op dit moment wordt onderzocht hoe dit meer kan worden opgenomen in de WDW Academie en het introductieprogramma van P&O. Om bij de bestuurders het belang van informatiebeveiliging en privacybescherming scherper te krijgen wordt meer structureel overlegd met de CISO en FG. Bij de bewustwording hoort ook het bewustzijn van het spanningsveld dat ontstaat tussen toegankelijkheid van gegevens en privacybescherming. Ondanks transparante dienstverlening dient ook rekening te worden gehouden met de bijbehorende informatiebeveiligings- en privacyaspecten. Denk hierbij aan de wens om transparant te zijn naar de pers, maar tegelijkertijd ook de wetenschap dat hier grenzen aan zitten. Het gaat hierbij niet alleen over privacybescherming maar ook over ethiek. Daarnaast is het ook noodzakelijk om de risico’s in beeld te hebben en deze meer te beheersen via risicomanagement. 3. Regionale afstemming Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 50

Weten wat je moet weten

In het onderzoeksrapport worden aanbevelingen gedaan die samenhangen met hoe dit regionaal wordt opgepakt. Dit betreft de punten 1, 2, 12 en 15: 1 - Zorg voor heldere afspraken tussen de gemeenten en iRvN over informatiebeveiliging; 2 - Overweeg om het pad in te slaan van gezamenlijk informatiebeveiligingsbeleid in de regio; 12 - Ga KPI’s gebruiken; 15 - Besteed meer bestuurlijke aandacht aan informatiebeveiliging en privacybescherming in de regio. Hier wordt zowel in de regionale reactie als in de reactie vanuit de MGR (iRvN) op ingegaan. Ook hier kan gesteld worden dat inzicht nu eenmaal tijd en geld kost. Het is een goed streven om te zorgen voor heldere afspraken. In de regio leeft de wens om meer aandacht te besteden aan informatiebeveiliging en privacybescherming (zie hiervoor ook het algemene deel van de bestuurlijke reactie). Kijkend naar de ontwikkelingen in de samenwerking van de afgelopen jaren lijkt nu ook het moment gekomen dat Wijchen gaat aansluiten op het regionale ISMS (Information Security Management System). Het ISMS wordt regionaal steeds beter gevuld en is daarmee een goed uitwisselingsplatform om de BIO te borgen.

Met vriendelijke groet, Burgemeester en wethouders

Bijlagen bij de reactie van het College Bijlage 1 Algemene bestuurlijke reactie Geachte meneer Smeets, mevrouw Peters, heer Backus en heer Krale, Op 20 mei 2022 zond u ons het rapport van de rekenkamer(commissie)s van Berg en Dal, Beuningen, Nijmegen en Wijchen naar informatiebeveiliging en privacybescherming in de regio. Met de toezending stelt u ons in de gelegenheid om een bestuurlijke reactie te geven. Van die gelegenheid maken wij graag gebruik. Onze reactie vindt u in deze brief. Het onderwerp op de agenda Als gemeente hebben we een grote verantwoordelijkheid in het zorgvuldig omgaan met persoonsgegevens en informatie. Door de groei aan digitale producten en diensten neemt de potentiële digitale kwetsbaarheid toe. We willen een betrouwbare overheid zijn. Gezien het grote belang van dit onderwerp zijn wij dan ook blij met het uitgebreide en grondige onderzoek dat u heeft uitgevoerd. Daarmee wordt immers eens te meer helder hoe belangrijk informatiebeveiliging en privacybescherming zijn en dat deze onderwerpen hoog op de agenda moeten staan. De uitkomsten Het beeld dat uit de bevindingen en aanbevelingen naar voren komt, herkennen wij.

We werken aan informatiebeveiliging en privacybescherming vanuit dezelfde kaders en regelgeving als die de onderzoekers hebben gehanteerd, en de zaken waar we getuige het rapport aandacht aan moeten besteden, komen hieruit voort en stonden al op ons netvlies. Dit rapport voegt urgentie en prioriteit toe. Het stelt ons in staat om op basis van toetsing en resultaten onze plannen en acties voor de toekomst in samenhang te bezien, bij te stellen en bespreekbaar te maken. Uw oproep om steviger in te zetten op regionale samenwerking als het gaat om informatiebeveiliging en privacybescherming, nemen wij graag ter harte. We zullen onze gemeenteraad uiteraard meenemen in onze reactie op uw rapport. Daarbij gaan wij in op uw aanbevelingen, de acties die we al ondernomen hebben, hoe we in de toekomst verder werken aan informatiebeveiliging en privacybescherming en wat daarvoor nodig is. Helder en doelgericht Om samen op een goede manier aan informatiebeveiliging en privacybescherming te kunnen blijven werken, moeten raad, college en ambtelijke organisatie de risico’s en kwetsbaarheden kennen. Het gaat hier echter ook om complexe en technische onderwerpen. Doordat het rapport helder en toegankelijk is, stelt het ons in staat om onze kennis te vergroten en doelgericht in gesprek te gaan met alle betrokkenen.

Accenten leggen Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 51

Weten wat je moet weten

Samenvattend beschouwen we het feit dat dit onderzoek is gedaan als een steun in de rug. Want we werken al intensief aan informatiebeveiliging en privacy, en we merken dat de regelgeving, de toenemende complexiteit en de snelle ontwikkelingen om stevige inspanningen vragen. De uitkomsten van dit rapport stellen ons in staat om in de bestaande agenda verdere prioriteiten te stellen en accenten te leggen. Dit gaan we als college samen met onze raad, ambtelijke organisatie en andere betrokkenen oppakken. Enkele opmerkingen Onderzocht is de aanwezigheid van (vastgestelde) documentatie en de bevindingen in uw rapport gaan dus ook daarover. Dat betekent niet dat er in de praktijk niet wordt gehandeld conform de afspraken en de bedoeling daarvan. Met andere woorden: sommige zaken doen we al gestructureerd, maar zijn nog niet als zodanig gedocumenteerd. Waar relevant zullen wij dit nader duiden richting de gemeenteraad. Verder merken we op dat het onderzoek is gehouden in de maanden juli tot en met oktober 2021 en dat we uiteraard niet stil hebben gezeten. We hebben sindsdien alweer diverse acties ondernomen als het gaat om informatiebeveiliging en privacybescherming. Sommige aanbevelingen zijn daarmee inmiddels achterhaald. Ook dit zullen wij nader duiden richting de gemeenteraad.

Gedurende de doorlooptijd van het Rekenkameronderzoek is ook het evaluatierapport naar de ICT-functie in de regio Rijk van Nijmegen afgerond en vastgesteld. iRvN heeft en houdt de opdracht om verantwoordelijk te zijn voor de technische aspecten van informatiebeveiliging, de gemeenten zijn verantwoordelijk voor de inhoudelijke, beleids- en procesmatige aspecten ervan. Het rekenkameronderzoek wijst op de overlap (of ‘het grijze gebied’) tussen beide en die oproep is nadrukkelijk gehoord en wordt vertaald in nadere samenwerkingsafspraken tussen de gemeenten onderling en met iRvN. Tot slot Rest ons u te danken voor het onderzoek, het rapport en de manier waarop u dit heeft voorbereid en uitgevoerd. Met vriendelijke groet, De colleges van Berg en Dal, Beuningen, Nijmegen en Wijchen

Bijlage 2 Bestuurlijke reactie iRvN

Beste portefeuillehouders, Ook aan iRvN is gevraagd een reactie te geven op het rapport van de Regionale Rekenkamers ‘Weten wat je moet weten’. Die reactie is verwoord in een concept-brief aan de stellers van het rapport en is ter vaststelling toegezonden aan het Dagelijks Bestuur van de MGR. De vergadering van het DB waarin de brief, onder voorbehoud, kan worden vastgesteld, vindt tegelijkertijd plaats met de bijeenkomst van de Portefeuillehouders ICT op 16 juni. De onderstaande reactie is de basis voor de inhoud van de brief die, na besluitvorming door het DB van de MGR, verzonden zal worden aan de stellers van het Rekenkamers-rapport. De opmerkingen ten aanzien van iRvN zijn verwerkt in de rapporten in de paragrafen 3.2 en 3.8 en zijn identiek voor iedere gemeente.

In paragraaf 3.2 gaat het om de aanbevelingen:

1.

“Zorg voor heldere afspraken tussen de gemeenten en iRvN over informatiebeveiliging a)

Dit voorkomt risico’s als gevolg van onduidelijkheid hierover, en stelt iRvN in staat de gemeenten beter en efficiënter te ondersteunen. Vraag het college over een jaar te rapporteren, liefst op basis van een extern onderzoek.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 52

Weten wat je moet weten

b) Vraag het college om in MGR-verband een meerjarenbeleidsplan voor de ICT-module op te stellen met daarin duidelijke doelstellingen. Vraag het college dit beleidsplan op hoofdlijnen uit te werken in een (meerjaren)uitvoeringsprogramma, waarin wordt ingegaan op de benodigde inspanningen door zowel iRvN als de gemeenten. Bijzondere aandacht verdient daarbij het opstellen van de tot nu toe ontbrekende (beleids)kaders voor informatiebeveiliging. Overweeg als raad de zienswijzen op dit meerjarenbeleidsplan gezamenlijk met de andere raden voor te bereiden. c)

Vraag het college om het dagelijks bestuur van de MGR voortaan, op basis van het meerjarenbeleidsplan en – uitvoeringsprogramma, een jaarlijks uitvoeringsprogramma (collectieve DVO) vast te laten stellen. Vraag het college om het dagelijks bestuur in de jaarstukken verantwoording af te laten leggen over de doelstellingen.”

Voor iRvN is het belangrijk dat de uitvoeringspraktijk voor alle deelnemende gemeenten gelijkwaardig is zodat de ondersteuning door iRvN effectief en efficiënt georganiseerd kan worden. Een heldere set van afspraken en ICTdoelstellingen ondersteunt ons bij een goede uitvoering van de opdracht van de deelnemende gemeenten op het gebied van Informatiebeveiliging en privacybescherming. Op basis van een, maximaal afgestemd, regionaal beleidsplan en uitvoeringsprogramma is het mogelijk om een jaarlijks uitvoeringsprogramma te realiseren.

2.

“Overweeg om het pad in te slaan van gezamenlijk informatiebeveiligingsbeleid in de regio. Vraag het college om bestuurlijk de discussie aan te gaan om toch tot een gezamenlijk informatiebeveiligingsbeleid in de regio te komen. Voor de hand ligt om iRvN daarvoor te gebruiken: de organisatie staat al, en is bestuurlijk ingebed in de MGR. Een gezamenlijk beleid, waarin onder meer is vastgelegd welk gedeeld volwassenheidsniveau de gemeenten nastreven, is de beste manier om de informatiebeveiliging in onze gemeenten te vergroten en de risico’s te verminderen. Laat je als raad informeren over de mogelijke keuzes en implicaties daarvan. Bij het bepalen van je standpunt hierover kun je je als gemeenteraad extern laten adviseren. Overweeg dat in regionaal verband te doen.”

Bij informatiebeveiliging gaat het om het ervoor te zorgen dat de aanwezigheid en beschikbaarheid van gegevens en systemen gewaarborgd is en gegarandeerd is volgens wet- en regelgeving, zoals de Baseline Informatiebeveiliging Overhead (BIO) en de Algemene verordening privacywetgeving (AVG). Bij beveiligingsmaatregelen gaat het erom dat de eventuele gevolgen van beveiligingsincidenten tot een acceptabel, vooraf bepaald niveau beperkt wordt. De informatiebeveiliging is een verantwoordelijkheid van de gemeente zelf. Daaraan gerelateerd draagt iRvN de verantwoordelijkheid voor de BIO-controle en de technische maatregelen in het kader van implementatie, het beheer en het aanleveren van bewijslast voor de betreffende audits. Eén allesomvattend regionaal Informatiebeveiligingsbeleid is een uitdagende ambitie. Voor iRvN is het van belang dat regionaal beleid wordt geformuleerd voor die onderdelen die zijn uitbesteed aan iRvN, waarbij de standaardproducten van de BIO, IBD en Vereniging Nederlandse Gemeenten (VNG) als uitgangspunt dienen. iRvN ondersteunt graag met kennis, raad en daad aan om te komen tot meer stappen richting een gezamenlijk regionaal informatiebeveiligingsbeleid. In paragraaf 3.8 gaat het om de aanbevelingen:

1.

“Besteed meer bestuurlijke aandacht aan informatiebeveiliging en privacybescherming in de gemeente. Vraag het college – in lijn met VNG-resolutie 2021 en de 10 bestuurlijke principes voor informatiebeveiliging - om de portefeuilles informatiebeveiliging en privacybescherming voldoende gewicht te geven en systematisch aandacht te Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 53

Weten wat je moet weten

besteden in de collegevergaderingen aan zaken zoals risico’s, beleid, prioritering, benodigde middelen, jaarplannen, monitoring, voortgangs- en verantwoordingsrapportages en de eigen bewustwording”.

2.

“Besteed meer bestuurlijke aandacht aan informatiebeveiliging en privacybescherming in de regio. Versterk en verduidelijk de governance op regionaal niveau. Vraag het college om in MGR-verband voldoende gewicht te geven aan de rol van IRvN bij de informatiebeveiliging in de gemeenten (en bij iRvN zelf). Dat betekent periodieke aandacht in het Algemeen Bestuur en in de Agendacommissie van de MGR voor informatiebeveiliging, zowel als het gaat om beleidsplan en jaarplannen (Plan) en rapportages (Check). Ook (of: juist) als de aansturing van iRvN bij de gemeentesecretarissen en/of hoofden bedrijfsvoering ligt, zorg dan voor noodzakelijke bestuurlijke besluitvorming in het AB. Vraag aan het college om de instelling van een aparte bestuurscommissie voor iRvN in het AB van de MGR te overwegen.”

Binnen het bestuur van de MGR kunnen afspraken gemaakt worden over een jaarlijks op te stellen uitvoeringsprogramma Informatiebeveiliging en een adequate wijze van monitoring van dit uitvoeringsprogramma en genomen maatregelen in het kader van privacybescherming. Reactie Dagelijks Bestuur MGR Rijk van Nijmegen

Beste leden van de Regionale Rekenkamers, Op 20 mei jl. hebben wij het rapport ‘Weten wat je moet weten’ van u ontvangen. Aanleiding van het rapport is het onderzoek naar informatiebeveiliging en privacybescherming binnen het ICT-samenwerkingsverband. U heeft ons om een reactie op het rapport gevraagd. Hierbij vindt u onze reactie ten aanzien van de onderdelen in het rapport, die betrekking hebben op de module iRvN van de MGR. Binnen het ICT-samenwerkingsverband is de module iRvN van de MGR een uitvoeringsorganisatie voor alles wat te maken heeft met het beheer en de zo veilig mogelijke verwerking van gemeentelijke gegevens binnen een gedeelde regionale infrastructuur. iRvN doet dit op één manier die voor alle deelnemende gemeenten van de MGR hetzelfde is. In uw rapport doet u - in paragraaf 3.2 ‘Weten wie wat doet: taakafbakening en afspraken gemeenten-iRvN’ en paragraaf 3.8 ‘Weten dat je verantwoordelijk bent: bestuurlijke verantwoordelijkheid en commitment’ – aanbevelingen, richting iRvN. Wij nemen deze aanbevelingen ter harte. In paragraaf 3.2 gaat het om de aanbevelingen: 1. Zorg voor heldere afspraken tussen de gemeenten en iRvN over informatiebeveiliging a. Dit voorkomt risico’s als gevolg van onduidelijkheid hierover, en stelt iRvN in staat de gemeenten beter en efficiënter te ondersteunen.

Vraag het college over een jaar te rapporteren, liefst op basis van een extern onderzoek. b. Vraag het college om in MGR-verband een meerjarenbeleidsplan voor de ICT-module op te stellen met daarin duidelijke doelstellingen. Vraag het college dit beleidsplan op hoofdlijnen uit te werken in een (meerjaren)uitvoeringsprogramma, waarin wordt ingegaan op de benodigde inspanningen door zowel iRvN als de gemeenten. Bijzondere aandacht verdient daarbij het opstellen van de tot nu toe ontbrekende (beleids)kaders voor informatiebeveiliging. Overweeg als raad de zienswijzen op dit meerjarenbeleidsplan gezamenlijk met de andere raden voor te bereiden. c. Vraag het college om het dagelijks bestuur van de MGR voortaan, op basis van het meerjarenbeleidsplan en – uitvoeringsprogramma, een jaarlijks uitvoeringsprogramma (collectieve DVO) vast te laten stellen. Vraag Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 54

Weten wat je moet weten

het college om het dagelijks bestuur in de jaarstukken verantwoording af te laten leggen over de doelstellingen. Reactie: Een heldere set van afspraken en ICT-doelstellingen ondersteunt iRvN bij een goede uitvoering van de opdracht van de deelnemende gemeenten op het gebied van Informatiebeveiliging en privacybescherming. Op basis van een gemeentelijk meerjarenbeleidsplan en -uitvoeringsprogramma zijn we in staat om een jaarlijks uitvoeringsprogramma te realiseren. Ons inziens is het noodzakelijk dat we hier spreken van een – zo maximaal op elkaar afgestemd - regionaal beleidsplan en -uitvoeringsprogramma. Voor iRvN is het nl. belangrijk dat de uitvoeringspraktijk voor alle deelnemende gemeenten gelijkwaardig kan en mag zijn. Op deze manier kan iRvN de ondersteuning effectief en efficiënt organiseren. 2. Overweeg om het pad in te slaan van gezamenlijk informatiebeveiligingsbeleid in de regio. Vraag het college om bestuurlijk de discussie aan te gaan om toch tot een gezamenlijk informatiebeveiligingsbeleid in de regio te komen. Voor de hand ligt om iRvN daarvoor te gebruiken: de organisatie staat al, en is bestuurlijk ingebed in de MGR. Een gezamenlijk beleid, waarin onder meer is vastgelegd welk gedeeld volwassenheidsniveau de gemeenten nastreven, is de beste manier om de informatiebeveiliging in onze gemeenten te vergroten en de risico’s te verminderen.

Laat je als raad informeren over de mogelijke keuzes en implicaties daarvan. Bij het bepalen van je standpunt hierover kun je je als gemeenteraad extern laten adviseren. Overweeg dat in regionaal verband te doen. Reactie: bij informatiebeveiliging gaat het om de beveiliging van gegevens en systemen: het ervoor zorgen dat de aanwezigheid en beschikbaarheid van gegevens en systemen gewaarborgd is en gegarandeerd is volgens wet- en regelgeving, zoals de Baseline Informatiebeveiliging Overhead (BIO) en de Algemene verordening privacywetgeving (AVG). Bij beveiligingsmaatregelen gaat het er om dat de eventuele gevolgen van beveiligingsincidenten tot een acceptabel, vooraf bepaald niveau beperkt wordt. Om dit niveau te bepalen toetst iRvN nieuwe applicaties aan de BIO en AVG. De informatiebeveiliging is een verantwoordelijkheid van de gemeente zelf. iRvN heeft en houdt de opdracht verantwoordelijkheid te dragen voor de technische aspecten van informatiebeveiliging. De gemeenten zijn verantwoordelijk voor de inhoudelijke, beleids- en procesmatige aspecten ervan. In het rapport wordt melding gemaakt van het risico op overlap (of ‘het grijze gebied’) tussen beide. De oproep tot afstemming c.q. duidelijkheid over de verantwoordelijkheden is nadrukkelijk gehoord en wordt vertaald in nadere samenwerkingsafspraken tussen de gemeenten onderling en met iRvN.

Eén allesomvattend regionaal Informatiebeveiligingsbeleid is een uitdagende ambitie. Voor iRvN is het van belang dat er een regionaal beleid wordt geformuleerd, voor die onderdelen die zijn uitbesteed aan iRvN, waarbij de standaardproducten van de BIO, de Informatiebeveiligingsdienst (IBD) en Vereniging Nederlandse Gemeenten (VNG) als uitgangspunt dienen. iRvN biedt graag haar kennis en ondersteuning aan om te komen tot meer stappen richting een gezamenlijk regionaal informatiebeveiligingsbeleid. Het regionaal informatiebeveiligingsbeleid vormt de basis voor de ‘Basisafspraken ICTdiensten’, waarin de dienstverlening van iRvN aan alle deelnemende gemeenten is vastgesteld. De Basisafspraken worden ook wel de ‘collectieve dienstverleningsovereenkomst’ genoemd. Onderdeel van deze Basisafspraken is een productencatalogus. Daarin is uitgewerkt welke producten en diensten iRvN levert en welke daarvan verplicht of optioneel door de gemeenten worden afgenomen. Wij zullen – in overleg met de deelnemende gemeenten – zorgdragen voor herijking van de Basisafspraken, op grond van het nieuwe (regionaal) informatiebeveiligingsbeleid. In paragraaf 3.8 gaat het om de aanbevelingen: 3. Besteed meer bestuurlijke aandacht aan informatiebeveiliging en privacybescherming in de gemeente.

Vraag het college – in lijn met VNG-resolutie 2021 en de 10 bestuurlijke principes voor informatiebeveiliging - om de portefeuilles informatiebeveiliging en privacybescherming voldoende gewicht te geven en systematisch Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 55

Weten wat je moet weten

aandacht te besteden in de collegevergaderingen aan zaken zoals risico’s, beleid, prioritering, benodigde middelen, jaarplannen, monitoring, voortgangs- en verantwoordingsrapportages en de eigen bewustwording. 4. Besteed meer bestuurlijke aandacht aan informatiebeveiliging en privacybescherming in de regio Versterk en verduidelijk de governance op regionaal niveau. Vraag het college om in MGR-verband voldoende gewicht te geven aan de rol van IRvN bij de informatiebeveiliging in de gemeenten (en bij iRvN zelf). Dat betekent periodieke aandacht in het Algemeen Bestuur en in de Agendacommissie van de MGR voor informatiebeveiliging, zowel als het gaat om beleidsplan en jaarplannen (Plan) en rapportages (Check). Ook (of: juist) als de aansturing van iRvN bij de gemeentesecretarissen en/of hoofden bedrijfsvoering ligt, zorg dan voor noodzakelijke bestuurlijke besluitvorming in het AB. Vraag aan het college om de instelling van een aparte bestuurscommissie voor iRvN in het AB van de MGR te overwegen. Reactie op beide aanbevelingen: wij ondersteunen deze aanbevelingen. Binnen ons bestuur van de MGR maken wij afspraken over een jaarlijks op te stellen uitvoeringsprogramma Informatiebeveiliging (inclusief de Basisafspraken c.q. collectieve DVO), een adequate wijze van monitoring van dit uitvoeringsprogramma en de genomen maatregelen in het kader van privacybescherming.

Hierbij betrekken wij de agendacommissie van de MGR. Wij hopen u hiermee voldoende geïnformeerd te hebben, Hoogachtend, Dagelijks Bestuur modulaire gemeenschappelijke regeling Rijk van Nijmegen, De voorzitter,

De secretaris,

Drs. H.M.F. Bruls

J. Hol

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 56

Weten wat je moet weten

5. NAWOORD REKENKAMERCOMMISSIE De rekenkamercommissie wil haar tevredenheid uitspreken over de bestuurlijke reacties van de colleges van B&W van Berg en Dal, Beuningen, Nijmegen en Wijchen en die van het DB van de MGR Rijk van Nijmegen. Uit de bestuurlijke reacties spreekt in grote lijnen herkenning van de uitkomsten en instemming met aanbevelingen. Het is goed om te lezen dat er de afgelopen maanden al diverse zaken in gang zijn gezet, en dat er ook de komende tijd op veel punten stappen zullen worden gezet in onze gemeenten. We zijn blij dat het rekenkamerrapport daarbij als bruikbaar wordt beschouwd. Wij adviseren onze gemeenteraden om de plannen en uitvoering door hun college actief te volgen de komende tijd, in lijn met de vijf aanbevelingen aan de raad.

Rekenkamer(commissie)s Berg en Dal, Beuningen, Nijmegen en Wijchen 57

1 Weten wat je moet weten Bijlagenboek 3 GEM reg rekenkameronderzoek RvN.pdf

Rekenkamer(commissie)s

Berg en Dal, Beuningen, Nijmegen en Wijchen

BIJLAGENBOEK GEMEENTEN BERG EN DAL / BEUNINGEN / WIJCHEN

Weten wat je moet weten Regionaal rekenkameronderzoek naar informatiebeveiliging en privacybescherming Juli 2022

COLOFON Dit bijlagenboek hoort bij het rapport dat op basis van een gezamenlijk onderzoek naar informatiebeveiliging en privacybescherming is opgesteld door de rekenkamer(commissie)s van de gemeenten Berg en Dal, Beuningen, Nijmegen en Wijchen. De bijlagen 1 tot en met 7 zijn voor alle gemeenten gelijk. Deze zijn in voorliggend bijlagenboek opgenomen. Voor de gemeente Nijmegen is er een extra bijlage: bijlage 8, en ook een eigen bijlagenboek. Voor elk van de vier gemeenten die zijn onderzocht is een aparte versie van het rapport opgesteld. Op onderdelen verschillen die versies van elkaar, omdat er behalve veel gezamenlijke bevindingen ook verschillen zijn tussen de gemeenten. Elk rapport is te vinden op de website van de betreffende rekenkamer of bij de rekenkamer op te vragen.

Telefoon

Website

E-mail

www.bergendal.nl/rekenkamer

griffie@bergendal.nl

Berg en Dal 06 28 74 38 98 Beuningen 14 024

Gemeente Beuningen / Rekenkamer

Nijmegen 024 – 329 23 38

https://www.nijmegen.nl/over-de-

rekenkamer@nijmegen.nl

gemeente/rekenkamer/onderzoeksrapporten/ Wijchen 088 – 432 72 03

www.wijchen.nl

griffie@wijchen.nl

Bij de uitvoering van het onderzoek zijn de rekenkamer(commissie)s ondersteund door onderzoekers van: •

DMC Group (onderdeel informatiebeveiliging): drs. Chris P.J. Deben CISM, ing. Henk Struving CISA CISSP CISM Lead auditor ISO 27001 en Mick Deben BSc CISSP CRISC;

•

Legal2Practice (onderdeel privacybescherming): mr. Jean Paul van Schoonhoven BBA CCO SIO FIP CIPM CIPT CIPP/E, Meindert Boon RA CDPP CIPM CIPP/e, Philippe Dauphin MA BCS Data Protection en Wilfred Brom BC;

Bij het opstellen van de rapportage zijn de rekenkamer(commissie)s ondersteund door drs. Etienne Lemmens van Prae Advies & Onderzoek.

Weten wat je moet weten

INHOUDSOPGAVE BIJLAGENBOEK Bijlage 1: Aanpak van het onderzoek: deelvragen en gesprekspartners Bijlage 2: Normenkader, inclusief een toelichting op de gehanteerde volwassenheidsmodellen Bijlage 3: 10 bestuurlijke principes informatiebeveiliging en VNG-resoluties Bijlage 4: Overzicht van verplichte BIO-documenten Bijlage 5: Strategische, tactische en operationele kaders uit Basisafspraken gemeenten - iRvN Bijlage 6: Voorbeeld verantwoordingsrapportage aan de gemeenteraad Bijlage 7: Verklaring van gebruikte begrippen en afkortingen De bijlagen 1 tot en met 7 zijn voor alle vier gemeenten identiek. Voor de gemeente Nijmegen is er één extra bijlage (bijlage 8: P&C-documenten over informatiebeveiliging en privacybescherming).