Weten wat je moet weten-regionaal rekenkamerrapport-presentatie Wijchen.pdf

Weten wat je moet weten

Regionaal rekenkameronderzoek naar informatiebeveiliging en privacybescherming – rapport gemeente Wijchen

PRESENTATIE GEMEENTERAAD WIJCHEN 22 SEPTEMBER 2022

Toelichting op het rekenkamerrapport Toelichting door Klaartje Peters (tot voor kort rekenkamerdirecteur van Beuningen en trekker namens de 4 rekenkamers): I.

algemene introductie: waarom dit onderzoek?

II.

toelichting belangrijkste uitkomsten en aanbevelingen

III. toelichting op de rol van de gemeenteraad

I. Waarom dit rekenkameronderzoek? 1. Hoe staan onze gemeenten ervoor? 

Grote uitdagingen qua informatiebeveiliging en privacybescherming



De meeste gemeenten in NL hebben het onvoldoende op orde



Dat roept de vraag op: hoe doen onze gemeenten, en in het bijzonder Wijchen het?

2. De rol van de gemeenteraad? 

Welke rol heeft een gemeenteraad op deze dossiers?



Wat doet de raad van Wijchen in de praktijk?



Wat kun je als raad en griffie doen om je positie en rol te versterken?

I. Regionale context Regionale samenwerking door onze gemeenten… Onze 4 gemeenten werken samen in IRvN voor ICT-taken, met in totaal 7 gemeenten. iRvN is de ICT-module van de Modulaire Gemeenschappelijke Regeling (MGR) Rijk van Nijmegen. …en dus regionale samenwerking door de rekenkamers Het ligt voor de hand dat wij als rekenkamers gezamenlijk het onderzoek uitvoeren, zodat we samen naar iRvN kunnen kijken. Het is bovendien kostenefficiënt. Wel hebben we 4 rapporten uitgebracht voor onze 4 gemeenten De rapporten vertonen grote overlap, maar verschillen in de bevindingen per gemeente. Daarmee willen we ieder onze eigen raad goed bedienen. Vanavond hebben we het over rapport over Wijchen.

I. Aanpak van het onderzoek Tijdpad juli-oktober 2021

Gegevensverzameling

oktober-februari 2022 Analyse (en aanvullende gegevensverzameling) maart-mei 2022

Raadplegen experts en schrijven leesbare rapportage

juni 2022

Bestuurlijke reactie door colleges (zie in het rapport)

Enorm arbeidsintensief: 2 technische beleidsterreinen, 4 gemeenten én iRvN, en heel veel documenten en interviews…

II. Belangrijkste uitkomsten en aanbevelingen Algemene conclusie: het gaat niet goed genoeg, er is werk aan de winkel!

II. Belangrijkste uitkomsten en aanbevelingen IRvN en de regio 1. Zorg voor heldere afspraken tussen de gemeenten en iRvN over informatiebeveiliging 2. Overweeg gezamenlijk informatiebeveiligingsbeleid in de regio

II. Belangrijkste uitkomsten en aanbevelingen IRvN en de regio 1. Zorg voor heldere afspraken tussen de gemeenten en iRvN over informatiebeveiliging 2. Overweeg gezamenlijk informatiebeveiligingsbeleid in de regio Gemeentelijk beleid 3. Verhelder het beleid voor informatiebeveiliging en privacybescherming 4. Werk zsm de belangrijkste ontbrekende onderdelen van het beleid uit

II. Belangrijkste uitkomsten en aanbevelingen IRvN en de regio 1. Zorg voor heldere afspraken tussen de gemeenten en iRvN over informatiebeveiliging 2. Overweeg gezamenlijk informatiebeveiligingsbeleid in de regio Gemeentelijk beleid 3. Verhelder het beleid voor informatiebeveiliging en privacybescherming 4. Werk zsm de belangrijkste ontbrekende onderdelen van het beleid uit Risicomanagement 5. Voer zo snel mogelijk een organisatiebrede risicoanalyse uit 6. Maak risicomanagement tot een continu proces 7. Ga systematisch DPIA’s uitvoeren (doet Nijmegen al)

II. Belangrijkste uitkomsten en aanbevelingen Inzet van (financiële) middelen 8. Stel voldoende (financiële) middelen beschikbaar 9. Zorg intern voor onafhankelijke ondersteuning en toezicht (doet Nijmegen al) 10. Geef de CISO en FG de beschikking over een eigen budget

II. Belangrijkste uitkomsten en aanbevelingen Inzet van (financiële) middelen 8. Stel voldoende (financiële) middelen beschikbaar 9. Zorg intern voor onafhankelijke ondersteuning en toezicht (doet Nijmegen al) 10. Geef de CISO en FG de beschikking over een eigen budget Toetsen en rapporteren 11. Leg vast hoe je gaat toetsen en rapporteren 12. Ga KPI’s gebruiken

II. Belangrijkste uitkomsten en aanbevelingen Inzet van (financiële) middelen 8. Stel voldoende (financiële) middelen beschikbaar 9. Zorg intern voor onafhankelijke ondersteuning en toezicht (doet Nijmegen al) 10. Geef de CISO en FG de beschikking over een eigen budget Toetsen en rapporteren 11. Leg vast hoe je gaat toetsen en rapporteren 12. Ga KPI’s gebruiken Bewustwording 13. Zet volop en systematisch in op bewustwording in de organisatie

II. Belangrijkste uitkomsten en aanbevelingen Inzet van (financiële) middelen 8. Stel voldoende (financiële) middelen beschikbaar 9. Zorg intern voor onafhankelijke ondersteuning en toezicht 10. Geef de CISO en FG de beschikking over een eigen budget Toetsen en rapporteren 11. Leg vast hoe je gaat toetsen en rapporteren 12. Ga KPI’s gebruiken Bewustwording 13. Zet volop en systematisch in op bewustwording in de organisatie Bestuurlijke verantwoordelijkheid 14. Meer bestuurlijke aandacht in de gemeente 15. Meer bestuurlijke aandacht in de regio

III. De rol van de gemeenteraad 

Dit is in zekere zin het belangrijkste onderdeel van het rapport



Wat moet u als raadslid met deze onderwerpen?



Wij hebben veel geïnvesteerd in het beantwoorden van die vraag



De raad doet niet de uitvoering, maar stelt daarvoor wel de kaders en controleert de uitvoering



Dit rapport biedt een goede basis voor deze raadsperiode: u weet nu uit onafhankelijke bron hoe het er op hoofdlijnen voor staat. Maak daar gebruik van en bouw daarop voort.

Kernaanbeveling (18): richt als raad je controlerende rol beter in Doe dit systematisch, bijvoorbeeld met een beknopte notitie waarin je vastlegt hoe je dit in deze raadsperiode gaat aanpakken, en wat je van het college verwacht.

III. De rol van de gemeenteraad De overige aanbevelingen aan de raad: 16. Stel het beleid voor informatiebeveiliging en privacybescherming vast 17. Laat je informeren en ondersteunen en 19. Overweeg de accountant de opdracht te geven voor een IT-audit 20. Overweeg een regionale aanpak