9.a CA Verantwoording ENSIA 2024 294981_1 (geanonimiseerd).pdf

Collegeadvies Postregistratienummer

Z.349321/D.294981

Ambtenaar

(geanonimiseerd) |

Gemeente

Woudenberg Omschrijving Verantwoording

ENSIA

2024

Advies Instemmen met: 1. De uitkomsten

van

de

zelfevaluatie

voor

BAG,

BGT

en

BRO.

Door

uitkomsten legt het college verantwoording af over het gebruikt BRO aan de landelijk toezichthouder, het ministerie van BZK; De

collegeverklaringen.

Met

de

methodiek verantwoording af de landelijke toezichthouders.

opleggen

van

de

Bijlage

Bijlage

BAG,

en

bestaan

voldoen

aan

geheimhouding op bijlagen 1 tot en met 3 op grond van Gemeentewet in samenhang met artikel 5.1, tweede lid, sub b van 7:

van

Verbeterplan

Suwinet

gemeenteraad te informeren Rapportage informatieveiligheid

7.

de

en

door

middel

2024

Raad;

5:

Rapportage informatieveiligheid

8:

Oplegger

2024

de

normen

artikel 87 de Woo;

2024\ van

de

ingekomen

van:

ENSIA

BGT

de

collegeverklaringen legt het college conform de ENSIAde informatiebeveiliging aan zowel de raad als aan In de collegeverklaringen staat in welke mate de interne

De

Kennisnemen 6. Bijlage

van

met

over

beheersingsmaatregelen van de gemeente in opzet voor de aansluitingen op DigiD en Suwinet; Het

in te stemmen

2024

College

stukken

en

bijlage

6:

Inleiding ENSIA (Eenduidige Normatiek Single Information Audit) heeft tot doel het verantwoordingsproces over informatieveiligheid bij gemeenten verder te professionaliseren door het toezicht te bundelen en aan te sluiten op de gemeentelijke Planning & Control-cyclus. Hierdoor heeft het gemeentebestuur meer overzicht over de stand van zaken van de informatieveiligheid en kan het hier ook beter op sturen. Beoogd resultaat (wat) Een betrouwbare en veilige informatievoorziening waarbij we voldoen aan de wettelijke eisen die ENSIA stelt aan het afleggen van verantwoordingsinformatie Kader Baseline Informatiebeveiliging Overheid Argumenten 1. Binnen het ENSIA stelsel zijn voor de BAG , BGT en BRO domein specifieke zelfevaluaties opgenomen over het gebruik van deze vier basisregistraties. De zelfevaluaties zijn gekoppeld aan een puntenscore. In de bijlagen is een rapportage (voor de BAG , BGT en BRO) opgenomen met de bevindingen. Na vaststelling zullen de rapportages openbaar toegankelijk zijn via het ministerie van BZK; 2.

Met de voorliggende collegeverklaringen geeft het college aan in hoeverre de beheersingsmaatregelen voldoen aan de normen die gelden voor DigiD en Suwinet. Een gecertificeerde IT-auditor heeft de collegeverklaringen gecontroleerd. De IT-auditor verklaart hierin dat de collegeverklaringen een getrouw beeld geven. De collegeverklaringen worden gezamenlijk met het Assurance rapport aangeboden aan de gemeenteraad;

3.

Reden voor de geheimhouding is gelegen in artikel 5.1 , tweede lid , sub b van de Woo. Openbaarmaking van de informatie blijft achterwege vanwege de economische of financiële belangen van de gemeente. De bijlagen 1 t/m 3 bij dit voorstel bevatten informatie over de technische inrichting van onze informatiebeveiliging , die kwaadwillenden mogelijk kunnen misbruiken. Dit verhoogt het risico van inbreuk op de integriteit van onze systemen en daarmee de kans op financiële schade. Om die reden worden deze als " vertrouwelijk " geclassificeerd en niet publiekelijk verspreid;

4.

De auditor heeft bij controle twee punten geconstateerd waar niet aan is voldaan met betrekking tot Suwinet. Hiervoor is een verbeterplan opgesteld waarin staat aangegeven hoe deze punten worden opgepakt in 2025;

5.

Het college legt verantwoording af aan de raad. De raad wordt via de ingekomen stukken en bijgevoegde ‘Rapportage informatieveiligheid 2024 Raad’ op de hoogte gebracht;

6.

Sinds vorig jaar is er vanuit ENSIA een rapportage beschikbaar gesteld om een duidelijk overzicht te geven van de stand van zaken rondom de onderwerpen die vanuit ENSIA getoetst worden. Op deze manier wordt een duidelijk beeld geschetst waar we momenteel staan en welke maatregelen we gaan treffen om op onderwerpen beter te scoren. Deze rapportage is alleen bedoeld voor het college. Voor de raad is een aparte rapportage opgesteld;

7.

De oplegger ENSIA 2024 is een aanvulling op het collegevoorstel en wordt op verzoek van de auditor apart als bijlage opgenomen.

Geprint op: 17-04-2025 16:59:54 uur

2/4

Kanttekeningen en risico’s 4 De bevindingen van de auditor hadden betrekking op de functie van gegevensbeheerder van de SUWI. Ten eerste is de oud- medewerker te laat uit dienst gemeld waardoor deze in theorie nog toegang had tot gegevens. Voor de SUWI was hiervoor geen risico , aangezien de laptop waarmee een beveiligde verbinding opgezet kon worden met Suwinet al was ingeleverd. Ten tweede heeft de nieuwe gegevensbeheerder niet binnen drie maanden een bewustwordingstraining gevolgd. Dit vanwege het feit dat de functie ‘gegevensbeheerder’ een klein gedeelte van het werk beslaat en er werkzaamheden op het gebied van sociaal domein de voorrang hadden. Het risico van het niet tijdig volgen van de training is klein , aangezien misbruik van de applicatie nog steeds gewoon wordt gelogd. Tijdens controles is gebleken dat er geen ongewenste activiteiten hebben plaatsgevonden. Omdat er in 2022 ook al een verbeterplan is opgesteld bestaat het risico dat de BKWI (instantie verantwoordelijk voor Suwinet) hier toch nog op terug gaat komen in een reactie. Maatschappelijke draagvlak Niet van toepassing Financiële consequenties Niet van toepassing Aanpak/uitvoering Na vaststelling worden de stukken geüpload in het ENSIA-portaal. Communicatie Niet van toepassing Bijlage(n) D. nummer

Documentnaam

Geheimhouding

294441

Bijlage 1: Collegeverklaring

Artikel 5.1 , tweede lid , sub b van de Woo

294442

Bijlage 2: DigiD

294444

Bijlage 3: Suwi

Artikel 5.1 , tweede lid , sub b van de Woo Artikel 5.1 , tweede lid , sub b van de Woo

295336

Bijlage 4: 0351_Gemeente Woudenberg_BAG-BGTBRO 2024 ENSIA

295333

Bijlage 5: 0351_Gemeente Woudenberg_Rapportage informatieveiligheid College_2024 ENSIA

295334

Bijlage 6: 0351_Gemeente Woudenberg_Rapportage informatieveiligheid Raad_2024 ENSIA

295633

Bijlage 7: Verbeterplan

Geprint op: 17-04-2025 16:59:54 uur

Actieve openbaarmaking

3/4

Suwi 2024 294980

Bijlage 8: Oplegger ENSIA 2024

Geprint op: 17-04-2025 16:59:54 uur

4/4