24RV054 Getekend Rekenkameronderzoek informatieveiligheid

IN

U |

|

RAADSBESLUIT

Gemeente Zeist Behoort bij raadsvoorstel Nr. 24RV054

De raad van de gemeenteZeist; Gelezen hetvoorstel van de agendacommissie van 29 augustus 2024:

=

Kennis te nemen van de uitkomsten van het onderzoek van de RekenkamerZeist over de informatieveiligheid in de gemeente. Nota van bevindingen: Informatiebeveiliging en privacy Gemeente Zeist (Prae Advies, april 2024).

en

BESLUIT:

De conclusies en aanbevelingen van de rekenkamerover te nemen. Het college te verzoeken alle aanbevelingen mee te nemen.

Aldus besloten in de openbare raadsvergadering van 10 september 2024. De raad yoornoemd,

Rekenkameronderzoek Informatieveiligheid

i

N | |

KAADSVOORSTEL

Gemeente Zeist Portefeuillehouder

Walter van Dijk / Joyce

Ontvangst griffie

_n.v.t.

Opsteller

Langenacker Annemarijke de Vos

Zaak/stuknummer

Ronde Tafel

24RV054

20 juni 2024

Debat

-

Besluit college

n.v.t.

Raadsvergadering

10 september 2024

Onderwerp RekenkameronderzoekInformatieveiligheid.

Doel van het voorstel

Informeren van de gemeenteraad over de uitkomsten van het rekenkameronderzoek naar de informatieveiligheid bij de gemeente Zeist. Met het aanbieden van de rapportage inclusief conclusies en aanbevelingen wordt beoogd om college en raad te voorzien van input en handvatten om het informatieveiligheidsbeleid verder te verbeteren en te effectueren en daarbij met name te letten op de vertaalslag naar de werkprocessen en de werkvloer.

Voorgesteld besluit 1.

2. 3.

Kennis te nemen van de uitkomsten van het onderzoek van de Rekenkamer Zeist over de informatieveiligheid in de gemeente. Nota van bevindingen: Informatiebeveiliging en privacy Gemeente Zeist (Prae Advies, april 2024). De conclusies en aanbevelingen van de rekenkamer over te nemen. Het college te verzoeken alle aanbevelingen mee te nemen.

Besluit Raad Unaniem aangenomen met 29 stemmen voor.

Inhoud (samenvatting) Informatieveiligheid van de overheid is een zeer actueel en gevoelig thema. Misbruik kan ernstige

gevolgen hebben voorde privacy van burgers en het vertrouwen in de gemeente en kan veel geld kosten. Het is van belang dat het informatieveiligheid voldoende geborgd is en dat de gemeente beschermd is tegen inbraken van buitenaf, slordigheden en datalekken. Daarom is de rekenkamerdit

onderzoek gestart naar de informatieveiligheid in Zeist. Het gaat dan om informatiebeveiliging en privacy. Concreet is gekeken is naar beschikbaarheid, integriteit en vertrouwelijkheid van te verwerken informatie. Voor het onderzoek zijn onder andere testen uitgevoerd op de systemen om na te gaan of

er lek-risico’s zijn en in welke mate. Uit het onderzoek (uitgevoerd door Prae Advies) blijkt dat de informatieveiligheid in de Gemeente Zeist grotendeels op orde is, in overeenstemming met de geldende normen. Zeist loopt daarmee in de pas met de meeste gemeenten, maar is geen voorloper. Beleid en middelen zijn er, maarde vertaalslag naar de werkprocessen en de werkvloer kan beter. Medewerkers zijn zich steeds meer bewust van risico's en handelen daar steeds beter naar, maar er

Pagina 1 van 7

zijn nog steeds risico's, zo blijkt uit de testen. Gelet op de turbulente ontwikkelingen rondom cybersecurity blijft alertheid geboden. Cybercriminelen zitten immers nietstil.

Verdieping Inleiding

Eind 2023 is de Rekenkamer Zeist een onderzoek gestart naarde informatieveiligheid van de gemeente Zeist. De raad is in november 2023 over dit onderzoek geïnformeerd via RIB23.129. Met het onderzoek wil de rekenkamerde raad in de breedte informeren of de informatieveiligheid bij de gemeente Zeist voldoende is geborgd. Informatieveiligheid kent twee aspecten. Enerzijds de informatiebeveiliging, waarbij het vooral gaat om de beschikbaarheid, integriteit en vertrouwelijkheid van te verwerken informatie. De norm waaraan gemeenten moeten voldoen is de Baseline Informatieveiligheid Overheid (BIO). Anderzijds gaat het om privacy en dan gaat het met name om namens de gemeente te verwerken persoonsgegevens. De norm hiervoor is de Algemene

Verordening Gegevensbescherming (AVG). Gebleken is dat overheden op het gebied van cybersecurity grote bestuurlijke en financiële risico's lopen, zodanig dat het onderwerp meer en meer op de bestuurlijke tafels terecht komt. Met het onderzoek richt de rekenkamerde aandacht op drie invalshoeken: techniek, organisatie en beleid, mens en gedrag. Er is een bureau-studie uitgevoerd, er zijn interviews gehouden en erzijn op de systemen testen uitgevoerd, zogenoemde pentesten. De bevindingen leiden tot conclusies en aanbevelingen aan de gemeenteraad en het college. Het onderzoekis uitgevoerd door en met Prae Advies.

Belangrijkste bevindingen en conclusies Het beleid in Zeist is risico-gestuurd en voldoet grotendeels aan de gestelde normen. Een integraal

risicomanagement is er echter nog niet. Zeist is op informatieveiligheid geen voorloper. Dit kan beter. Ook de doorvertaling van het strategisch beleid naar de protocollen en richtlijnen op tactisch niveau en

de werkprocessen op operationeel niveau zou moeten worden verbeterd. De gemeente is kwetsbaar voor geavanceerde aanvallen en zou meer werk kunnen maken van informatieveiligheid.

De functies voor informatieveiligheid en privacy zijn nu voldoende bezet en er is overleg. De eisen aan organisatie en bemensing zullen naar verwachting echter toenemen. Hetis dan een uitdaging om de juiste competenties binnen te halen en te behouden. Er zijn voldoende middelen voor de benodigde maatregelen. Of dit voldoet aan de financiële norm die de Informatie-beveiligingsdienststelt, kan niet

worden gecontroleerd. Dat is wel wenselijk. De faciliteiten van het Managementinformatiesysteem voor informatieveiligheid (ISMS) om verbetermaatregelen te volgen worden nog niet vol benut.

Uit de testen van de systemen komen risico’s naar voren. De concrete risico's zijn besproken met de gemeente en worden opgepakt. Het werken met autorisaties voor toegang tot systemen en informatie is een aandachtspunt. Bij bestuur en management is voldoende draagvlak voor het beleid. Het risicobewustzijn bij de medewerkers en het lijnmanagement neemt toe, maar kan beter, zo blijkt uit de testen. Het eigenaarschap wordt nog niet overal gevoeld. Ingezet moet worden op verhoging van de taakvolwassenheid van de medewerkers. De gemeenteraad wordt nog te weinig betrokken bij kaderstelling en controle. College en raad zijn te weinig onderling in gesprek over de risico's en ambities en de werking van het beleid.

De rekenkamer concludeert dat de informatieveiligheid in de gemeente Zeist grotendeels in

overeenstemming met de geldende normen geborgd is. De situatie is vergelijkbaar met de meeste

gemeenten. Dat betekent echter wel dat risico's reëel zijn en dat er verbeterpunten zijn en alertheid geboden is. De eisen aan overheden nemen toe, onder andere door de turbulente ontwikkelingen op het gebied van cybersecurity. Daarmee worden ook de risico's groter. Criminelen zitten immers niet stil: zij blijven zich ontwikkelen, waardoor nieuwe risico's ontstaan of bestaande risico's veranderen.

Pagina 2 van 7

Aanbevelingen van de rekenkamer Aanbevelingen aan het college: 1. Ga verder met activiteiten op het gebied van informatieveiligheid en privacy, waar al een begin mee is gemaakt, zoals effectiever gebruik van de functionaliteit van het Informatiemanagementsysteem voor informatieveiligheid (ISMS), uitrol van de autorisatiematrix en logging, het testen van de systemen en de fysieke beveiliging en de aanpak van verbetermaatregelen die daaruit naar voren komen. Blijf ook in de toekomst zorgen voor voldoende capaciteit in de lijn en ondersteuning daarvoor.

Verstevig het investeren in activiteiten om het risicobewustzijn en de taakvolwassenheid van medewerkers te bevorderen. Vervolledig het informatieveiligheidsbeleid op tactisch en operationeel niveau: -_vul de nog ontbrekende protocollen en richtlijnen voor informatiebeveiliging en privacy in. Een integraal continuiteitsplan is bijv. een beleidsonderdeel op tactisch niveau dat nog nietis gerealiseerd. - zorg dat protocollen en richtlijnen in de werkprocessen worden ingebed. Daarmee wordt voldaan aan de BIO en wordt de daadwerkelijke werking van de maatregelen in praktijk bevorderd. Richt een structuur voorintegraal risicomanagement in. Bij Integraal risicomanagement gaat het gemeentebreed om de organisatie van risico-governance, -strategie, -beleid en -beheerprocessen, dus ook ten aanzien van informatieveiligheid en privacyin samenhang met andere terreinen. Dit past in het streven van het college om op termijn een ‘in control-statement’ af te kunnen geven. Aanbevelingen aan college en raad

1. Formuleer samen ambities op informatieveiligheid en privacy.

Ga na of het bestuurlijk en financieel haalbaar is een hoger ambitieniveau op informatieveiligheid na te streven, dan te voldoen aan de basismaatregelen uit de BIO, om op die manier de

toenemende risico's sneller aan te kunnen pakken. Concreet bijvoorbeeld: spreek af over welke

periode de gemiddelde taakvolwassenheid van de medewerkers op een bepaald niveau moetzijn.

Hetis ook van belang dater structureel voldoende middelen beschikbaar zijn om de activiteiten op

informatiebeveiliging en privacyte financieren. Als richtlijn kan de 10%-norm van de ICT-kosten gelden zoals de IBD die sinds kort stelt. Deze middelen moeten traceerbaar zijn in de jaarrekening.

Zorg ervoor dat de raad regelmatig geïnformeerd wordt over informatie-veiligheid en privacy en spreek af op welke wijze dat gebeurt.

Dat kan bijvoorbeeld halfjaarlijks diepgaand in een aparte raadscommissie of een commissie onder

een bestaande commissie, naar aanleiding van de ENSIA-rapportages en rapportages van de FG.

Hier vindt u het volledige rapport: informatiebeveiliging en privacy gemeente Zeist

Bestuurlijke reactie Op 11 juni 2024 ontving de rekenkamer een reactie van het college. Het college herkent de urgentie en actualiteit op het thema en onderschrijft dat er al veel stappen zijn gezet. Tegelijkertijd ziet het college dat informatieveiligheid nooit klaar is en dat de gemeente moetblijven werken aan een zo groot mogelijke weerbaarheid. In de ICT Visie 2030 wordt het belang van informatieveiligheid benadrukt in verband met toenemende digitalisering en toenemende ICT dreigingen. Pagina 3 van 7

Het rapport biedt volgens het college een handvat naar de toekomst en verwijst naar de nieuwe richtlijn Network and Information Security directieve (NIS2 richtlijn) die in oktober van kracht wordt. Dit is verscherpte Europese wetgeving waar ook de gemeente Zeist aan moet gaan voldoen. Het onderzoek van de Rekenkamer laat zien waar de gemeente nu staat en waar aandachtspuntenliggen. De conclusies uit het rapport worden onderschreven. Ook omarmt het college de aanbevelingen aan de raad en het college en deze worden per aanbeveling uitgewerkt. Watbetreft de aanbevelingen aan hetcollege wordt gesteld: vergroten van de weerbaarheid en versterken van de informatieveiligheid is noodzakelijk, er komt meer aandacht voor (het vergroten van) de capaciteit en extra investeringen zijn onontkoombaar. Daarnaast is Informatieveiligheid iets van iedereen, van raad, college en organisatie. Dit vraagt alertheid en dat zal blijvend onder de aandacht worden gebracht. Een goede borging en het aantoonbaar maken van hoe zaken zijn geregeld geeft vertrouwen, continuïteit en duidelijkheid. Hierop worden nog steeds stappen gezet. Daarbinnen is het in een snel veranderde context, met dreigingen die vandaag anders zijn dan morgen, zoeken naar een juist balans tussen het op papier goed op orde hebben versus snel, flexibel en daadkrachtig kunnen handelen. Risicomanagement is daarbij de kern.

Als het gaat om de aanbevelingen aan college en raad: het college adviseert om de ambitie te koppelen aan de nieuwe NIS2 wetgeving, die per 16 oktober 2024 in zal gaan, en daar ook de middelen te zijner tijd voor beschikbaar te stellen. De NIS2 legt de lat hoger, ook op het gebied van taakvolwassenheid. Hetcollege onderschrijft tenslotte de aanbeveling om op dit onderwerp in gesprek te blijven en daarin de raad te blijven informeren. In informatiebijeenkomsten zijn daarin al de eerste stappen gezet. De wens van het college is om dit structureel van aard te maken en dit onderwerp regelmatig te laten terugkeren. Ronde tafel

De uitkomsten van het rekenkameronderzoek zijn gepresenteerd en besproken in een ronde tafel op 20 juni 2024. Het onderzoek, de rapportage en de conclusies en aanbevelingen werden unaniem gewaardeerd door zowel de portefeuillehouder als de aanwezige raadsleden. Er zijn enkele vragen gesteld aan de rekenkamer en de portefeuillehouder. Ook deed de rekenkamer in aanloop naar de

ronde tafel een test onder raadsleden over informatieveiligheid in de vorm van een phishing mail. Hieruit bleek dat raadsleden over het algemeen goed in staat bleken om phishing te herkennen, maar hetblijft van belang om te werken aan bewustwording en het herkennen van risico's. De wethouder benadrukte dat structurele aandacht voor dit onderwerp van groot belang is. De

informatieveiligheid in de gemeente Zeist in is in overeenstemming met de geldende normen geborgd.

De wethouderis actief bezig met de doorvertaling van het strategisch beleid naar de protocollen en

richtlijnen op tactisch niveau en vooral naar de werkprocessen op operationeel niveau om risico's te minimaliseren. Tijdens de ronde tafel werd benadrukt dat ingezet moetblijven worden op verhoging van de taakvolwassenheid binnen de organisatie. Omdatallen de conclusies en aanbevelingen uit het rapport onderschrijven, is uitgesproken dat er op dit moment geen debat nodig is over het onderzoek. ARGUMENTEN Zie het rekenkamerrapport in de bijlage van dit raadsvoorstel.

TOELICHTING Niet van toepassing.

Participatie Niet van toepassing. Pagina 4 van 7

Financiële toelichting Aan dit voorstel zijn geen directe kosten verbonden. De aanbevelingen kunnen wel leiden tot

aangepast beleid waar hogere kosten mee zijn gemoeid. Deze kosten zullen t.z.t. bij de besluitvorming worden betrokken. Juridische aspecten

Er zijn geen juridische aspecten verbonden aan dit voorstel. Duurzame aspecten

Niet van toepassing. Samenhang met andere projecten Op dit moment is het raadsvoorstel ICT-visie 2030 aanhangig, waarin de meest relevante ontwikkelingen en keuzes op ICT-gebied van de gemeente Zeistzijn beschreven die de verdere

ontwikkeling en uitwerking van haar dienstverlening tot 2030 bepalen. Aan de ICT-visie 2030 liggen

enkele strategische beleidstukken ten grondslag. Denk hierbij aan de visie op dienstverlening en de leidende principes die zijn vastgelegd in het Strategische Informatieveiligheidsbeleid, Strategisch

Privacy beleid, het Visiedocument Een goed leven in Zeist —ook digitaal en het daarbij behorende

borgingsdocument Behoorlijk bestuur met data (Mens Centraal Digitaal; MCD). Dit alles is vertaald

naar een strategisch Informatie perspectief, met een overzicht van de belangrijkste ontwikkelingen die

de gemeente Zeist op zich af ziet komen en een beschrijving van de methodiek die de gemeente hanteert om de strategisch Informatiekundige vraagstukken te vertalen en toe te passen op de

processen en dienstverlening. VERDERE PROCES

Planning en uitvoering Als de raad met dit raadsvoorstel instemt, zal de ambitie worden gekoppeld aan de nieuwe NIS2 wetgeving, die per 16 oktober 2024 in zal gaan. Daar zullen de middelen te zijner tijd voor beschikbaar moeten worden gesteld.

Communicatie Over het rapport is door de Rekenkamer een persbericht uitgegeven. Evaluatie De uitvoering van de aanbevelingen zal worden gevolgd aan de hand van het Aanbevelingsregister. BIJLAGEN 1. Informatiebeveiliging en privacy Gemeente Zeist (Prae Advies, april 2024). 2. Bestuurlijke reactie op de rapportage (RIB24.089, juni 2024) Online: https://zeist.raadsinformatie.nl/dossiers/61119

Pagina 5 van 7

Pagina 6 van 7