9.g 0351_Gemeente Woudenberg_Rapportage informatieveiligheid Raad_2024 ENSIA.pdf

Aan:

Gemeenteraad van de gemeente Gemeente Woudenberg

Van:

Wouter Bast, informatiemanager

Betreft:

ENSIA-verantwoording "Stand van zaken informatieveiligheid gemeente Gemeente Woudenberg 2024”

Datum:

07 april 2025

Inleiding Het college van burgemeester en wethouders van de gemeente Woudenberg legt over het jaar 2024 verantwoording af over de stand van zaken op het gebied van informatieveiligheid binnen de gemeentelijke organisatie. Dit gaat op basis van de landelijke en voor gemeenten verplichte Eenduidige Normatiek Single Information Audit (ENSIA) systematiek. We leggen verantwoording af aan de gemeenteraad (horizontale verantwoording) en aan de verschillende toezichthouders (verticale verantwoording). Scope De ENSIA-verantwoording voor het jaar 2024 gaat over onderstaande onderdelen: • Implementatie van de Baseline Informatiebeveiliging Overheid (BIO) - Zelfevaluatie • Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet) – Geauditeerde zelfevaluatie • Digitale Persoonsidentificatie (DigiD) – Geauditeerde zelfevaluatie • Basis Registratie Personen (BRP) - Zelfevaluatie • Paspoort Uitvoeringsregeling Nederland (PUN) - Zelfevaluatie • Basisregistratie Grootschalige Topografie (BGT) - Zelfevaluatie op datakwaliteit • Basisregistratie Adressen en Gebouwen (BAG) - Zelfevaluatie op datakwaliteit • Basisregistratie Ondergrond (BRO) - Zelfevaluatie op datakwaliteit.

ENSIA-verantwoording Onderstaande tabellen geven per ENSIA-onderdeel een korte toelichting, bevindingen en de stand van zaken weer. Voor de leesbaarheid is per onderdeel met behulp van kleuren de algemene status weergegeven.

Legenda: Ruim voldoende tot goed

Voldoende

Net onvoldoende

Onvoldoende

Het onderdeel is volledig op orde, in control

Het onderdeel is globaal op orde, in control

Het onderdeel is net niet in control

Het onderdeel is niet in control

Mogelijk zijn er minimale verbeterpunten

Er zijn enkele verbeterpunten

Er zijn meerdere verbeterpunten

Er zijn veel verbeterpunten, bijsturing is nodig

Verantwoording per ENSIA-stelsel De onderstaande tabel geeft per stelsel (domein) een korte toelichting, bevindingen en de stand van zaken weer.

Stand van zaken informatieveiligheid gemeente Woudenberg 2024

pagina 1 van 4

ENSIA-stelsel

Toelichting, bevindingen en stand van zaken

Implementatie BIO

Om op het gebied van informatieveiligheid weerbaar te blijven volgen we de landelijke Baseline Informatiebeveiliging Overheid (BIO). Deze BIO is het normenkader waarbij we op basis van een eigen risico-afweging keuzes maken in het implementeren van beheers- en beveiligingsmaatregelen. Hierbij blijft een basispakket aan generieke maatregelen voor iedere (overheid)organisatie verplicht.

Baseline Informatiebeveiliging Overheid

Status

Voldoende

Het strategisch informatiebeveiligingsbeleid is geldig tot 2024 en in lijn met de voor overheden verplichte landelijke Baseline Informatiebeveiliging Overheid (BIO). In het kader van informatieveiligheid is onze menselijke verdedigingslinie een van de belangrijkste. Hierbij werken we continue aan bewustwording op het gebied van informatiebeveiliging en privacy bij onze medewerkers. Hiervoor volgen we een bewustwordingsprogramma voor alle medewerkers. Door het toenemende dreigingsniveau op informatiebeveiliging is extra menskracht vereist. Ook moet de komende jaren meer geïnvesteerd worden in technische maatregelen om onze weerbaarheid op het gebied van informatieveiligheid te behouden. Vanaf 2024 is hiervoor door een herijking structureel extra budget beschikbaar gesteld. Gezien het toenemende landelijke dreigingsniveau is het niet zeker dat dit extra budget toereikend is richting de toekomst. Specifiek gekeken naar de borging van informatieveiligheid over het geheel gezien scoren we ons zelf op een (krappe) voldoende. Deze score komt voort uit resultaten van onder andere de verschillende ENSIA-onderdelen waaronder een externe audit. Er blijft echter werk aan de winkel. Actie- en verbeterpunten worden vertaald naar onze meerjaren roadmap informatiebeveiliging en verbeterplannen.

Suwinet

Suwinet wordt gebruikt voor het uitvoeren van de Participatiewet.

Structuur uitvoeringsorganisati e Werk en Inkomen

Vanwege de hoeveelheid en gevoeligheid van (persoons)gegevens binnen Suwinet is bepaald dat iedere gemeente naast de zelfevaluatie ook extern getoetst wordt op naleving van het normenkader. Het uitvoeren van de audit voor Suwinet is een vereiste van de Regeling SUWI.

Voldoende

Het onderzoek van de externe auditor geeft aan dat de gemeente Woudenberg voldoet aan de wettelijk gestelde eisen en normen in het kader van informatieveiligheid rondom het gebruik en beheer van alle Suwinet-aansluitingen. Doordat de gebruikersbeheerder te laat uit dienst is gemeld en de nieuwe gebruikersbeheerder een bewustwordingstraining niet binnen 3 maanden na indiensttreding heeft gevolgd is de score voldoende ipv ruim voldoende.

DigiD Digitale Persoonsidentificatie

DigiD is voor inwoners de manier om zichzelf digitaal te identificeren. DigiD wordt gebruikt voor digitale aanvragen die burgers en bedrijven kunnen doen via webformulieren. Het gaat hierbij om aanvragen voor de afdeling burgerzaken. Onvoldoende of onjuist beheer van een DigiD-aansluiting kan grote gevolgen hebben voor de landelijke keten en uiteindelijk persoonsinformatie van inwoners. Daarom heeft de toezichthouder bepaald dat iedere DigiD-aansluiting naast een jaarlijkse zelfevaluatie ook (extern) getoetst wordt op naleving van het normenkader.

Ruim voldoende tot goed

Het onderzoek van de externe auditor geeft aan dat onze processen rondom DigiD op orde zijn. Wij voldoen aan de gestelde informatiebeveiligingsnormen. Naast het onderzoek rondom organisatorische waarborgen heeft er ook een technische penetratietest plaatsgevonden op https://edienstenburgerzaken.woudenberg.nl. Ook deze uitkomst is positief, er zijn geen kwetsbaarheden ontdekt. De veiligheid van DigiD en websites staat onder druk. Het landelijke dreigingsbeeld geeft aan dat digitale risico’s onverminderd groot zijn en cyberaanvallen steeds meer succesvol zijn met

Stand van zaken informatieveiligheid gemeente Woudenberg 2024

pagina 2 van 4

ENSIA-stelsel

Toelichting, bevindingen en stand van zaken

Status

alle gevolgen van dien. De beveiliging vraagt steeds meer aandacht waarbij het een uitdaging is om dit huidige niveau vast te houden.

BRP Basis Registratie Personen Deel 1 bestandscontrole op persoonslijsten

BRP Deel 2 Inhoudelijke controle op de persoonslijsten

BRP is de basisregistratie waarin alle inwoners zijn geregistreerd. Gemeenten beheren deze BRP voor hun inwoners. Uiteindelijk worden alle BRP-registraties landelijk gekoppeld, zodat overheidsinstanties, zorgverleners en andere dienstverleners die gebruik mogen maken van deze BRP beschikken over de juiste persoonsinformatie. Vanwege het grote landelijke belang rondom de BRP zijn gemeenten verplicht om jaarlijks een zelfevaluatie uit te voeren. Bestandscontrole op de persoonslijsten. Bij de bestandscontrole in de Basisregistratie personen van 23-11-2024 is 99,98% van de actuele persoonslijsten correct bevonden. Dit is in lijn met eerdere jaren, waarin de score steeds nagenoeg hetzelfde positieve resultaat liet zien. Dit voldoet ruimschoots aan de landelijke norm. Een inhoudelijke controle van persoonslijsten. Aan de hand van brondocumenten is een steekproefsgewijze controle uitgevoerd naar de juiste verwerking daarvan in de basisregistratie.

Ruim voldoende tot goed

Voldoende

De resultaten voldoen niet op alle aspecten aan de norm. Sinds 01-03-2024 is ingezet op een intensieve controle van de mutaties in de BRP zodat fouten nu tijdig opgemerkt en gecorrigeerd worden. Deze controles worden gecontinueerd en de fouten verder geanalyseerd.

BRP Deel 3 Uitvoering van de processen

PUN Paspoort Uitvoeringsregeling Nederland

Een controle op uitvoering van de processen. Door middel van een zelfevaluatie vragenlijst is dit onderdeel onderzocht. In de vragenlijst staan vragen over de procedures die gevolgd worden bij het verwerken en beveiligen van persoonsgegevens.

Voldoende

De gemeente scoort 1035 van de 1200 te behalen punten BRP ENSIA (86,25%), verder scoort de gemeente 666 van de 800 (83,25%) te behalen punten BRP. Gemeenten verzorgen de aanvraag en het uitreiken van reisdocumenten voor hun inwoners. Reisdocumenten zijn erg waardevol en vaak de sleutel tot identiteitsfraude. De processen rondom het aanvragen en uitreiken zijn daarom strikt. De burgemeester is verantwoordelijk voor de borging van deze processen en moet hierover jaarlijks verantwoording afleggen aan de minister van Binnenlandse Zaken en Koninkrijksrelaties. Via de ENSIA-verantwoording infomeren we ook het eigen bestuur over de stand van zaken.

Voldoende

De gemeente scoort 1055 van de 1200 te behalen punten Reisdocumenten Ensia (87,92%) verder scoort de gemeente 680 van de 800 punten Reisdocumenten (85%)

BAG Basisregistratie Adressen en Gebouwen

De BAG bevat gemeentelijke basisgegevens van alle adressen en gebouwen in een gemeente. Kopieën van al deze gegevens zijn verzameld in een landelijke voorziening. Deze voorziening wordt landelijk gebruikt door overheden, organisaties en particulieren. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BAG.

Voldoende

De zelfevaluatie BAG over het jaar 2024 is afgerond met een score van 87%. Hiermee voldoen we aan de landelijk gestelde norm van minimaal 75%. Vorig jaar was de score 78%. Verbeterdoelen ten aanzien van Kwaliteitseisen BAG Geen Verbetermaatregelen ten aanzien van Kwaliteitsverbeteringstrajecten BAG Geen maatregelen nu. Verbetermaatregelen ten aanzien van Borging proces BAG Het processenhandboek is bijgewerkt.

BGT

De BGT is een digitale kaart van Nederland waarop gebouwen, wegen, waterlopen, terreinen en spoorlijnen eenduidig zijn vastgelegd. Kortom: de inrichting van de fysieke omgeving. De

Stand van zaken informatieveiligheid gemeente Woudenberg 2024

pagina 3 van 4

ENSIA-stelsel

Toelichting, bevindingen en stand van zaken

Status

Basisregistratie Grootschalige Topografie

BGT is een landelijk uniforme registratie die alleen gemaakt kan worden vanuit een goede samenwerking tussen de diverse bronhouders. Gemeenten zijn als bronhouder medeverantwoordelijk voor de kwaliteit van deze landelijke basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BGT.

Ruim voldoende tot goed

De BGT is gegenereerd uit de geometrische databron Kernregistratie Topografie (KRT) voor haar informatie. De KRT is een interne databron binnen onze organisatie waarin alle geografische objecten van de gemeente Woudenberg zijn geregistreerd. De KRT is leverancier van data naar de overige basisregistraties BAG, BGT en de BRO, waarbij wordt voldaan aan de wet- en regelgeving. De zelfevaluatie BGT over het jaar 2024 is afgerond met een score van 100%. Hiermee voldoen we aan de landelijk gestelde norm van minimaal 75%. Vorig jaar was de score 100%. Verbeterdoelen ten aanzien van Kwaliteitseisen BGT Koppeling BAG-BGT willen we implementeren, om mutaties en terugmeldingen geautomatiseerd te laten verlopen. De BOR-BGT koppeling hebben wij gerealiseerd. Verbetermaatregelen ten aanzien van Kwaliteitsverbeteringstrajecten BGT Koppeling BAG-BGT willen we implementeren, om mutaties en terugmeldingen geautomatiseerd te laten verlopen. De BOR-BGT koppeling hebben wij gerealiseerd. Verbetermaatregelen ten aanzien van Borging proces BGT Mandaatregeling en processenhandboek blijven evalueren en actualiseren waar nodig

BRO Basisregistratie Ondergrond

De BRO bevat bodem- en ondergrondgegevens. Het gebruik van deze gegevens is de laatste decennia sterk toegenomen. Een goede informatievoorziening over de ondergrond is van wezenlijk belang voor het realiseren van bestuurlijke ambities als het omgevingsplan, de energietransitie, watertoets en dergelijke. Als we willen dat onze inwoners hier ook actief in participeren, moet het fundament hiervoor op orde en goed ingevuld zijn. De BRO is een van de elementen die de verschillende opgaves mogelijk moeten maken. De gemeente is bronhouder voor deze basisregistratie. Net als alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het beheer van deze BRO.

Onvoldoende

De zelfevaluatie BRO over het jaar 2024 is met een score van 52% afgerond. Hiermee voldoen we niet aan de landelijk norm. De score geeft een wat vertekend beeld. In 2024 zijn grote stappen gezet in het vastleggen en beschrijven van de processen. Het processenhandboek is vastgelegd en gedeeld met de verantwoordelijk medewerkers.. Hiermee hebben we meer grip en inzicht in de inhoud van de BRO. Verbeterdoelen ten aanzien van Kwaliteitseisen BRO Betere proces beschrijving en meer communicatie over inwinnen van gegevens tijdens projecten. Verbetermaatregelen ten aanzien van Borging proces BRO Twee jaarlijkse controle-vraag bij medewerker gebouwenbeheer en realisatie en beheer of er nog bodem-gerelateerde onderzoeken zijn uitgevoerd. Hiermee wordt een basis gelegd voor het bewustzijn over de BRO binnen de gemeente Woudenberg in de werkprocessen.

Stand van zaken informatieveiligheid gemeente Woudenberg 2024

pagina 4 van 4