24RV054 rv Rekenkameronderzoek informatieveiligheid

RAADSVOORSTEL Rekenkameronderzoek Informatieveiligheid

Portefeuillehouder

Walter van Dijk

Ontvangst griffie

N.v.t.

Opsteller

Johan Janssen

Ronde Tafel

20 juni 2024

Debat

-

Raadsvergadering

10 september 2024

Zaak/stuknummer Besluit college

n.v.t.

Onderwerp Rekenkameronderzoek Informatieveiligheid

Doel van het voorstel Informeren van de gemeenteraad over de uitkomsten van het rekenkameronderzoek naar de informatieveiligheid bij de gemeente Zeist. Met het aanbieden van de rapportage inclusief conclusies en aanbevelingen wordt beoogd om college en raad te voorzien van input en handvatten om het informatieveiligheidsbeleid verder te verbeteren en te effectueren en daarbij met name te letten op de vertaalslag naar de werkprocessen en de werkvloer.

Voorgesteld besluit 1. Kennis te nemen van de uitkomsten van het onderzoek van de Rekenkamer Zeist over de informatieveiligheid in de gemeente. Nota van bevindingen: Informatiebeveiliging en privacy Gemeente Zeist (Prae Advies, april 2024). 2. De conclusies en aanbevelingen van de rekenkamer over te nemen. 3. Het college te verzoeken alle aanbevelingen mee te nemen. Besluit Raad:

Inhoud (korte samenvatting) Informatieveiligheid van de overheid is een zeer actueel en gevoelig thema. Misbruik kan ernstige gevolgen hebben voor de privacy van burgers en het vertrouwen in de gemeente en kan veel geld kosten. Het is van belang dat het informatieveiligheid voldoende geborgd is en dat de gemeente beschermd is tegen inbraken van buitenaf, slordigheden en datalekken. Daarom is de rekenkamer dit onderzoek gestart naar de informatieveiligheid in Zeist. Het gaat dan om informatiebeveiliging en privacy. Concreet is gekeken is naar beschikbaarheid, integriteit en vertrouwelijkheid van te verwerken informatie. Voor het onderzoek zijn onder andere testen uitgevoerd op de systemen om na te gaan of er lek-risico’s zijn en in welke mate. Uit het onderzoek (uitgevoerd door Prae Advies) blijkt dat de informatieveiligheid in de Gemeente Zeist grotendeels op orde is, in overeenstemming met de geldende normen. Zeist loopt daarmee in de pas met de meeste gemeenten, maar is geen voorloper. Beleid en middelen zijn er, maar de vertaalslag naar de werkprocessen en de werkvloer kan beter. Medewerkers zijn zich steeds meer bewust van risico’s en handelen daar steeds beter naar, maar er 1

zijn nog steeds risico’s, zo blijkt uit de testen. Gelet op de turbulente ontwikkelingen rondom cybersecurity blijft alertheid geboden. Cybercriminelen zitten immers niet stil. VERDIEPING Inleiding Eind 2023 is de Rekenkamer Zeist een onderzoek gestart naar de informatieveiligheid van de gemeente Zeist. De raad is in november 2023 over dit onderzoek geïnformeerd via RIB23.129. Met het onderzoek wil de rekenkamer de raad in de breedte informeren of de informatieveiligheid bij de gemeente Zeist voldoende is geborgd. Informatieveiligheid kent twee aspecten. Enerzijds de informatiebeveiliging, waarbij het vooral gaat om de beschikbaarheid, integriteit en vertrouwelijkheid van te verwerken informatie. De norm waaraan gemeenten moeten voldoen is de Baseline Informatieveiligheid Overheid (BIO). Anderzijds gaat het om privacy en dan gaat het met name om namens de gemeente te verwerken persoonsgegevens. De norm hiervoor is de Algemene Verordening Gegevensbescherming (AVG). Gebleken is dat overheden op het gebied van cybersecurity grote bestuurlijke en financiële risico’s lopen, zodanig dat het onderwerp meer en meer op de bestuurlijke tafels terecht komt. Met het onderzoek richt de rekenkamer de aandacht op drie invalshoeken: techniek, organisatie en beleid, mens en gedrag.

Er is een bureau-studie uitgevoerd, er zijn interviews gehouden en er zijn op de systemen testen uitgevoerd, zogenoemde pentesten. De bevindingen leiden tot conclusies en aanbevelingen aan de gemeenteraad en het college. Het onderzoek is uitgevoerd door en met Prae Advies. Belangrijkste bevindingen en conclusies Het beleid in Zeist is risico-gestuurd en voldoet grotendeels aan de gestelde normen. Een integraal risicomanagement is er echter nog niet. Zeist is op informatieveiligheid geen voorloper. Dit kan beter. Ook de doorvertaling van het strategisch beleid naar de protocollen en richtlijnen op tactisch niveau en de werkprocessen op operationeel niveau zou moeten worden verbeterd. De gemeente is kwetsbaar voor geavanceerde aanvallen en zou meer werk kunnen maken van informatieveiligheid. De functies voor informatieveiligheid en privacy zijn nu voldoende bezet en er is overleg. De eisen aan organisatie en bemensing zullen naar verwachting echter toenemen. Het is dan een uitdaging om de juiste competenties binnen te halen en te behouden. Er zijn voldoende middelen voor de benodigde maatregelen. Of dit voldoet aan de financiële norm die de Informatie-beveiligingsdienst stelt, kan niet worden gecontroleerd. Dat is wel wenselijk. De faciliteiten van het Managementinformatiesysteem voor informatieveiligheid (ISMS) om verbetermaatregelen te volgen worden nog niet vol benut.

Uit de testen van de systemen komen risico’s naar voren. De concrete risico’s zijn besproken met de gemeente en worden opgepakt. Het werken met autorisaties voor toegang tot systemen en informatie is een aandachtspunt. Bij bestuur en management is voldoende draagvlak voor het beleid. Het risicobewustzijn bij de medewerkers en het lijnmanagement neemt toe, maar kan beter, zo blijkt uit de testen. Het eigenaarschap wordt nog niet overal gevoeld. Ingezet moet worden op verhoging van de taakvolwassenheid van de medewerkers. De gemeenteraad wordt nog te weinig betrokken bij kaderstelling en controle. College en raad zijn te weinig onderling in gesprek over de risico’s en ambities en de werking van het beleid. De rekenkamer concludeert dat de informatieveiligheid in de gemeente Zeist grotendeels in overeenstemming met de geldende normen geborgd is. De situatie is vergelijkbaar met de meeste gemeenten. Dat betekent echter wel dat risico's reëel zijn en dat er verbeterpunten zijn en alertheid geboden is. De eisen aan overheden nemen toe, onder andere door de turbulente ontwikkelingen op

het gebied van cybersecurity. Daarmee worden ook de risico’s groter. Criminelen zitten immers niet stil: zij blijven zich ontwikkelen, waardoor nieuwe risico’s ontstaan of bestaande risico’s veranderen. Aanbevelingen van de rekenkamer Aanbevelingen aan het college: 1. Ga verder met activiteiten op het gebied van informatieveiligheid en privacy, waar al een begin mee is gemaakt, zoals effectiever gebruik van de functionaliteit van het Informatiemanagementsysteem voor informatieveiligheid (ISMS), uitrol van de autorisatiematrix en logging, het testen van de systemen en de fysieke beveiliging en de aanpak van verbetermaatregelen die daaruit naar voren komen. Blijf ook in de toekomst zorgen voor voldoende capaciteit in de lijn en ondersteuning daarvoor. 2. Verstevig het investeren in activiteiten om het risicobewustzijn en de taakvolwassenheid van medewerkers te bevorderen. 3. Vervolledig het informatieveiligheidsbeleid op tactisch en operationeel niveau: - vul de nog ontbrekende protocollen en richtlijnen voor informatiebeveiliging en privacy in. Een integraal continuïteitsplan is bijv. een beleidsonderdeel op tactisch niveau dat nog niet is gerealiseerd. - zorg dat protocollen en richtlijnen in de werkprocessen worden ingebed. Daarmee wordt voldaan aan de BIO en wordt de daadwerkelijke werking van de maatregelen in praktijk bevorderd. 4.

Richt een structuur voor integraal risicomanagement in. Bij Integraal risicomanagement gaat het gemeentebreed om de organisatie van risico-governance, -strategie, -beleid en -beheerprocessen, dus ook ten aanzien van informatieveiligheid en privacy in samenhang met andere terreinen. Dit past in het streven van het college om op termijn een ‘in control-statement’ af te kunnen geven. Aanbevelingen aan college en raad 1. Formuleer samen ambities op informatieveiligheid en privacy. Ga na of het bestuurlijk en financieel haalbaar is een hoger ambitieniveau op informatieveiligheid na te streven, dan te voldoen aan de basismaatregelen uit de BIO, om op die manier de toenemende risico’s sneller aan te kunnen pakken. Concreet bijvoorbeeld: spreek af over welke periode de gemiddelde taakvolwassenheid van de medewerkers op een bepaald niveau moet zijn. Het is ook van belang dat er structureel voldoende middelen beschikbaar zijn om de activiteiten op informatiebeveiliging en privacy te financieren. Als richtlijn kan de 10%-norm van de ICT-kosten gelden zoals de IBD die sinds kort stelt. Deze middelen moeten traceerbaar zijn in de jaarrekening. 2. Zorg ervoor dat de raad regelmatig geïnformeerd wordt over informatie-veiligheid en privacy en spreek af op welke wijze dat gebeurt.

Dat kan bijvoorbeeld halfjaarlijks diepgaand in een aparte raadscommissie of een commissie onder een bestaande commissie, naar aanleiding van de ENSIA-rapportages en rapportages van de FG. Hier vindt u het volledige rapport: informatiebeveiliging en privacy gemeente Zeist

Bestuurlijke reactie Op 11 juni 2024 ontving de rekenkamer een reactie van het college. Het college herkent de urgentie en actualiteit op het thema en onderschrijft dat er al veel stappen zijn gezet. Tegelijkertijd ziet het college dat informatieveiligheid nooit klaar is en dat de gemeente moet blijven werken aan een zo groot mogelijke weerbaarheid. In de ICT Visie 2030 wordt het belang van informatieveiligheid benadrukt in verband met toenemende digitalisering en toenemende ICT dreigingen. Het rapport biedt volgens het college een handvat naar de toekomst en verwijst naar de nieuwe richtlijn Network and Information Security directieve (NIS2 richtlijn) die in oktober van kracht wordt. Dit is verscherpte Europese wetgeving waar ook de gemeente Zeist aan moet gaan voldoen. Het onderzoek van de Rekenkamer laat zien waar de gemeente nu staat en waar aandachtspunten liggen. De conclusies uit het rapport worden onderschreven. Ook omarmt het college de aanbevelingen aan de raad en het college en deze worden per aanbeveling uitgewerkt. Wat betreft de aanbevelingen aan het college wordt gesteld: vergroten van de weerbaarheid en versterken van de informatieveiligheid is noodzakelijk, er komt meer aandacht voor (het vergroten van) de capaciteit en extra investeringen zijn onontkoombaar. Daarnaast is Informatieveiligheid iets van iedereen, van raad, college en organisatie.

Dit vraagt alertheid en dat zal blijvend onder de aandacht worden gebracht. Een goede borging en het aantoonbaar maken van hoe zaken zijn geregeld geeft vertrouwen, continuïteit en duidelijkheid. Hierop worden nog steeds stappen gezet. Daarbinnen is het in een snel veranderde context, met dreigingen die vandaag anders zijn dan morgen, zoeken naar een juist balans tussen het op papier goed op orde hebben versus snel, flexibel en daadkrachtig kunnen handelen. Risicomanagement is daarbij de kern. Als het gaat om de aanbevelingen aan college en raad: het college adviseert om de ambitie te koppelen aan de nieuwe NIS2 wetgeving, die per 16 oktober 2024 in zal gaan, en daar ook de middelen te zijner tijd voor beschikbaar te stellen. De NIS2 legt de lat hoger, ook op het gebied van taakvolwassenheid. Het college onderschrijft tenslotte de aanbeveling om op dit onderwerp in gesprek te blijven en daarin de raad te blijven informeren. In informatiebijeenkomsten zijn daarin al de eerste stappen gezet. De wens van het college is om dit structureel van aard te maken en dit onderwerp regelmatig te laten terugkeren. Ronde tafel De uitkomsten van het rekenkameronderzoek zijn gepresenteerd en besproken in een ronde tafel op 20 juni 2024. Het onderzoek, de rapportage en de conclusies en aanbevelingen werden unaniem gewaardeerd door zowel de portefeuillehouder als de aanwezige raadsleden.

Er zijn enkele vragen gesteld aan de rekenkamer en de portefeuillehouder. Ook deed de rekenkamer in aanloop naar de ronde tafel een test onder raadsleden over informatieveiligheid in de vorm van een phishing mail. Hieruit bleek dat raadsleden over het algemeen goed in staat bleken om phishing te herkennen, maar het blijft van belang om te werken aan bewustwording en het herkennen van risico’s. De wethouder benadrukte dat structurele aandacht voor dit onderwerp van groot belang is. De informatieveiligheid in de gemeente Zeist in is in overeenstemming met de geldende normen geborgd. De wethouder is actief bezig met de doorvertaling van het strategisch beleid naar de protocollen en richtlijnen op tactisch niveau en vooral naar de werkprocessen op operationeel niveau om risico’s te minimaliseren. Tijdens de ronde tafel werd benadrukt dat ingezet moet blijven worden op verhoging van de taakvolwassenheid binnen de organisatie. Omdat allen de conclusies en aanbevelingen uit het rapport onderschrijven, is uitgesproken dat er op dit moment geen debat nodig is over het onderzoek.

ARGUMENTEN Zie het rekenkamerrapport in de bijlage bij dit raadsvoorstel. TOELICHTING Participatie Niet van toepassing. Financiële toelichting Aan dit voorstel zijn geen directe kosten verbonden. De aanbevelingen kunnen wel leiden tot aangepast beleid waar hogere kosten mee zijn gemoeid. Deze kosten zullen t.z.t. bij de besluitvorming worden betrokken. Juridische aspecten Op dit moment niet van toepassing. Duurzaamheidsaspecten Niet van toepassing. Samenhang met andere projecten Op dit moment is het raadsvoorstel ICT-visie 2030 aanhangig, waarin de meest relevante ontwikkelingen en keuzes op ICT-gebied van de gemeente Zeist zijn beschreven die de verdere ontwikkeling en uitwerking van haar dienstverlening tot 2030 bepalen. Aan de ICT-visie 2030 liggen enkele strategische beleidstukken ten grondslag. Denk hierbij aan de visie op dienstverlening en de leidende principes die zijn vastgelegd in het Strategische Informatieveiligheidsbeleid, Strategisch Privacy beleid, het Visiedocument Een goed leven in Zeist –ook digitaal en het daarbij behorende borgingsdocument Behoorlijk bestuur met data (Mens Centraal Digitaal; MCD).

Dit alles is vertaald naar een strategisch Informatie perspectief, met een overzicht van de belangrijkste ontwikkelingen die de gemeente Zeist op zich af ziet komen en een beschrijving van de methodiek die de gemeente hanteert om de strategisch Informatiekundige vraagstukken te vertalen en toe te passen op de processen en dienstverlening. VERDERE PROCES Planning en uitvoering Als de raad met dit raadsvoorstel instemt, zal de ambitie worden gekoppeld aan de nieuwe NIS2 wetgeving, die per 16 oktober 2024 in zal gaan. Daar zullen de middelen te zijner tijd voor beschikbaar moeten worden gesteld. Communicatie Over het rapport is door de rekenkamer een persbericht uitgegeven. Evaluatie De uitvoering van de aanbevelingen zal worden gevolgd aan de hand van het Aanbevelingsregister.

BIJLAGEN 1. Informatiebeveiliging en privacy Gemeente Zeist (Prae Advies, april 2024). 2. Bestuurlijke reactie op de rapportage (RIB24.089, juni 2024) Online: https://zeist.raadsinformatie.nl/dossiers/61119

Behoort bij raadsvoorstel Nr. 24RV054

De raad van de gemeente Zeist; gelezen het voorstel van burgemeester en wethouders van ; BESLUIT: 1.

Kennis te nemen van de uitkomsten van het onderzoek van de Rekenkamer Zeist over de informatieveiligheid in de gemeente. Nota van bevindingen: Informatiebeveiliging en privacy Gemeente Zeist (Prae Advies, april 2024).

2.

De conclusies en aanbevelingen van de rekenkamer over te nemen.

3.

Het college te verzoeken alle aanbevelingen mee te nemen.

Aldus besloten in de openbare raadsvergadering van 10 september 2024. De raad voornoemd,

mr. J. Janssen, griffier

drs. J. Langenacker, voorzitter