24RV054 Bijlage 2 Bestuurlijke reactie Rekenkamerrapport informatieveiligheid

h

v4

Publiekshal » Het Rond 1, Zeist

www.zeist.nl « www.twittter.com/gemeentezeist

Postbus 513, 3700 AM, Zeist

www.facebook.com/gemeentezeist

Telefoon 14 030 « zeist@zeist.nl

Gemeente Zeist

£/Ja5 fiVe de) 7

Oe Í vaan er

Aan de rekenkamer

Datum

6 juni 2024

Bijlage(n)

Onderwerp

Bestuurlijke reactie Rekenkamerrapport

/

6

Sf.

.

Jar

/

;

202 yf

Ons kenmerk

391630

Behandeld door

Guido Bik

Portefeuillehouder

Walter van Dijk

Informatieveiligheid

Geachte rekenkamer,

Met waardering voor uw inzet en deskundigheid heeft het college kennisgenomen van het rekenkamerrapport Informatiebeveiliging en privacy in de Gemeente Zeist. In deze brief geven wij als college onze bestuurlijke reactie op het rekenkameronderzoek. Inleiding rekenkamerrapport

Informatieveiligheid is een zeer actueel thema. Gemeenten beheren en verwerken immers veel persoonsgegevens en gevoelige data. Daarbij wordt gebruik gemaakt van digitale hulpmiddelen die kwetsbaar kunnen zijn. Misbruik kan ernstige financiële, juridische en technische gevolgen hebben. Ook kan het de privacy van burgers en het imago van de gemeente aantasten. Daarom heeft de Rekenkamer Zeist onderzocht of de informatieveiligheid in Zeist voldoende gewaarborgd is. Het onderzoek is in het najaar van 2023 uitgevoerd. De rekenkamer concludeert dat over het algemeen de informatieveiligheid in de gemeente Zeist in overeenstemming met de geldende normen geborgd is. De situatie is vergelijkbaar met de meeste gemeenten. Dat betekent wel dat risico's reëelzijn. De gemeente timmert op veel deelterreinen gelukkig hard aan de weg. Alertheid blijft geboden. De eisen aan overheden nemen immers toe, onder andere door de turbulente ontwikkelingen en bedreigingen rondom cybersecurity en de risico's die hierdoor ontstaan. Eerste reactie

Het college herkent de urgentie en actualiteit op het thema. Het onderzoek sluit aan bij ons beeld van de stand van zaken. Het rapport laat zien dat er al veel stappen zijn gezet en dat we op de goede weg zijn. Tegelijkertijd laat het ook mooi zien dat informatieveiligheid iets is wat nooit klaar is en dat we moeten blijven werken om elke dag weer onze weerbaarheid zo groot mogelijk te maken. In de ICT Visie 2030 beschrijven we het belang van informatieveiligheid. We erkennen daarin de toenemende digitalisering en toenemende ICT dreigingen. Daarmee wordt informatieveiligheid een steeds essentiëler onderdeel van onze primaire bedrijfsvoering. Het rapport biedt daarmee ook een mooi handvat naar de toekomst. Op 16 oktober 2024 gaat de zogenaamde Network and Information Security directieve (NIS2 richtlijn) in. Dit is verscherpte Europese

Austerlitz « Boschen Duin « Den Dolder « Huis ter Heide = Zeist

wetgeving op het gebied van informatieveiligheid waar ook de gemeente Zeist aan moet gaan voldoen.

Daarmee hebben we wederom een stap vooruit te zetten om onze weerbaarheid op dit gebied te versterken.

Het onderzoek van de Rekenkamer laat zien waar we op dit moment staan en waar aandachtspunten liggen. We onderschrijven de conclusies uit het rapport. Wij kunnen ons daarnaast vinden in de aanbevelingen en gaan daar op gepaste wijze ons voordeel mee doen. Daarbij vraagt ook dit om risico management waarbij we de juiste balans hebben te zoekenin hoeverre we sommige aspecten willen doorvoeren en watredelijkerwijs pastbij de gemeente Zeist. Aanbevelingen rekenkamerrapport richting college: 1.

Ga verder met activiteiten op het gebied van informatieveiligheid en privacy waar al een begin mee is gemaakt, zoals effectiever gebruik van de functionaliteit van het Informatiemanagementsysteem voor informatieveiligheid (ISMS), de uitrol van de autorisatiematrix en de logging, het testen van de systemen en de fysieke beveiliging en de aanpak van verbetermaatregelen die daaruit naar voren komen.

Zorg voor voldoende capaciteit in de lijn en ondersteuning daarvoor. 2.

Verstevig het investeren in activiteiten om het risicobewustzijn en de taakvolwassenheid van medewerkerste bevorderen.

3.

Vervolledig het informatieveiligheidsbeleid op tactisch en operationeel niveau:

i.

ii.

4

vul de nog ontbrekende protocollen en richtlijnen op informatiebeveiliging en privacy in. Een integraal continuiteitsplan is bijvoorbeeld een beleidsonderdeel op tactisch niveau dat nog nietis gerealiseerd. zorg dat protocollen en richtlijnen in de werkprocessen worden ingebed. Daarmee wordt niet alleen op papier aan de BIO voldaan, maar ook de daadwerkelijke werking van de maatregelen in praktijk.

_Richt een structuur voorintegraal risicomanagementin.

Bij Integraal risicomanagement gaat het gemeentebreed om de organisatie van risico-governance, -strategie, beleid en -beheerprocessen, dus ook op informatieveiligheid en privacy in samenhang met andere terreinen. Dit

pastin het streven van het college om op termijn een ‘ín control-statement’ af te kunnen geven.

Reactie college op de aanbevelingen richting college

Watbetreft de eerste aanbeveling herkent het college de noodzaak van het continu verder brengen van

maatregelen om onze weerbaarheid met betrekking tot de informatieveiligheid te blijven versterken. Wat

vandaag voldoende is, is dat morgen niet meer. Dit blijft onze aandacht houden en daarom zijn ook direct de bevindingen uit de diverse testen opgepakt. Naar de toekomst zien we dat dit steeds meer van de gemeente

gaat vragen. Waar er op dit moment nog voldoende capaciteit beschikbaar is, zal dit naar de toekomst meer aandachtvragen. In de kadernota is al een aankondiging gedaan voortkomend uit de toenemende eisen

vanuit de NIS2 wetgeving, waarbij wordt aangegeven dat extra structurele investeringen nodig zijn. Deze investeringen zijn onontkoombaar om de informatieveiligheid op peil te houden. Informatieveiligheid is daarnaast iets van ons allemaal. Van raad, college en organisatie. Aanbeveling twee

sluit daar op aan. Met zijn allen hebben we te waken over onze informatie en hebben we onze

verantwoordelijkheid te nemen. Dit vraagt van ons allemaal iets. Dit zullen we onder de aandacht blijven brengen en blijven sturen op voldoende weerbaarheid binnen de organisatie. Net zoals het rapport onlangs gezamenlijk met de rekenkamer is besproken, vraagt dit ook van ons als college structurele aandacht voor dit onderwerp.

we

' tr

Aanbeveling drie benadrukt het belang van de uitwerking van tactisch en operationeel beleid en richtlijnen. Het goed borgen en aantoonbaar maken van wat we doen en hoe we zaken hebben geregeld geeft vertrouwen, continuiteit en duidelijkheid naar een ieder. Hierop zijn nog steeds stappen te zetten. Minstens zo belangrijk is echter de borging in de werkelijkheid. Daarbinnen is het in een snel veranderde context, met dreigingen die vandaag anders zijn dan morgen, zoeken naar een juist balans tussen het op papier goed op orde hebben versus snel, flexibel en daadkrachtig kunnen handelen. Ook naar de komende tijd zoeken we wat daarbij passend is voor de gemeente Zeist waarmee we ook risicomanagement toepassen in de prioriteitstelling.

Austerlitz « Bosch en Duin «» Den Dolder = Huis ter Heide = Zeist

Risicomanagement (aanbeveling vier) is daarbij de kern. Hoewel risicomanagement nu al een onderdeel is van de gemeentelijke organisatie, kunnen we nog een slag maken in de integraliteit om vanuit daar nog bewustere keuzes te maken. Er wordt vanuit de organisatie verder onderzocht hoe hier het beste invulling aan te geven is. Ook deze aanbeveling wordt daarmee opgepakt. Aanbevelingen rekenkamerrapport richting college en raad 1.

Formuleer samen ambities op informatieveiligheid en privacy.

Ga na of het bestuurlijk en financieel haalbaar is een hoger ambitieniveau op informatieveiligheid na te streven dan te voldoen aan de basisset aan maatregelen die de BIO voorschrijft. Concreet bijvoorbeeld: spreek af over welke periode de gemiddelde taakvolwassenheid van de medewerkers op een bepaald niveau moetzijn. Het is ook van belang dat er structureel voldoende middelen beschikbaarzijn om de activiteiten op informatiebeveiliging en privacy te financieren. Als richtlijn kan de 10%-norm van de ICT-kosten gelden zoals de IBD die sinds kort stelt. Deze middelen moeten traceerbaarzijn in de jaarrekening. 2. Zorg ervoordat de raad regelmatig geïnformeerd wordt over informatie-veiligheid en privacy en spreek af op welke wijze dat gebeurt. Dat kan bijvoorbeeld halfjaarlijks diepgaand in een aparte raadscommissie of een

commissie onder een bestaande commissie, naar aanleiding van de ENSIA-rapportages en de rapportages van

de FG.

Reactie college op de aanbevelingen richting college en raad

Wat betreft aanbeveling één adviseert het college om de ambitie te koppelen aan de nieuwe NIS2 wetgeving, die per 16 oktober 2024 in zal gaan, en daar ook de middelen te zijner tijd voor beschikbaar te stellen. Door ons te committeren aan deze wetgeving zorgen we, dat we meebewegen in wat deze tijd van ons vraagt. De NIS2 wetgeving legt daarmee de lat weer hoger, waaronder ook op het gebied van taakvolwassenheid binnen organisatie, college en raad.

Het college onderschrijft daarnaast aanbeveling twee en het belang om op dit onderwerp in gesprek te blijven en daarin de raadte blijven informeren. Informatieveiligheid en ICT in het algemeen, is steeds meer bepalend voor alles wat we doen als gemeente en op alle keuzes die we daarin maken. In eerdere informatiebijeenkomsten zijn daarin al de eerste stappen gezet. De wens is om dit structureel van aard te

maken en dit onderwerp regelmatig te laten terugkeren.

Hoogachtend,

burgemeester en wethouders van Zeist, de gemeentesecretaris,

de burgemeester,

drs. J. Langenacker

Austerlitz « Boschen Duin = Den Dolder « Huis ter Heide « Zeist