RIB24.071 Ensia-rapportage 2023 informatieveiligheid

N

hl | |

Publiekshal = Het Rond 1, Zeist

www.zeist.nl = www.twitter.com/gemeentezeist

Postbus 513, 3700 AM, Zeist

www.facebook.com/gemeentezeist

Telefoon 14 030 = zeist@zeist.nl

Gemeente Zeist

Aan de gemeenteraad

Datum

18 april 2024

Ontvangen griffie 18 april 2024 RIB24.071

Ons kenmerk

302854

Uw kenmerk Bijlage(n)

-

Behandeld door

A. van Leeuwen

Onderwerp

ENSIA-rapportage 2023 inzake Informatieveiligheid.

Portefeuillehouder

Wethouder Van Dijk

Geachte leden van deraad, Jaarlijks voert de gemeente zelfevaluaties uit over het gebruik van de door de gemeente beheerde basisregistraties, en leggen gemeenten verantwoording af over de mate waarin zij beheersmaatregelen hebben getroffen ter bescherming van de Informatieveiligheid. Dit doen gemeenten door middel van de Eenduidige Normatiek Single Information Audit (ENSIA) waarin het College verantwoording aflegt aan zowel de gemeenteraad (horizontale verantwoording) als aan de Rijksoverheid (verticale verantwoording). Met ENSIA wordt de situatie van de gemeente getoetst aan de normen uit de Baseline Informatiebeveiliging Overheid (BIO). En op basis van de uitgevoerde zelfaudits op Suwinet, DigiD, BAG (Basisregistratie Adressen), BGT (Basisregistratie Grootschalige Topografie) en BRO (Basis Registratie Ondergrond), wordt er verantwoording afgelegd aan het Ministerie van SZW, BZK en de Waarderingskamer. Onderdeel van deze verantwoording is dat het college jaarlijks een zogeheten Collegeverklaring ENSIA, over de onderdelen DigiD' en Suwinet?, aflegt. Over de juistheid van deze Collegeverklaring wordt Assurance afgegeven door een NOREA-geregistreerde RE-auditor (de NOREAis de Nederlandse Orde van Register EDP Auditors en de leden (IT-auditors) zijn gekwalificeerd om IT audits uit te voeren).

De Collegeverklaring en de daarmee gepaard gaande IT-audits richten zich specifiek op de informatiebeveiliging met betrekking tot de door de gemeente gebruikte Suwinet-inkijk- en inleesapplicaties die de gemeenten of gemeentelijke samenwerkingsverbanden gebruiken?. 1 DigiD staat voorDigitale Identiteit. Dat is het systeem waarmee de overheid de identiteit van personen en organisaties controleert bij elektronisch contact. ? De Gemeenschappelijke elektronische Voorziening Suwi (GeVS, ook wel Suwinet genoemd) is een elektronische infrastructuur die is ontwikkeld om ervoorte zorgen dat de Suwi-ketenpartijen (UWV, SVB en gemeenten) gegevens met elkaar kunnen uitwisselen voorde uitoefening van hun wettelijke taak. Er worden alleen gegevens uitgewisseld wanneer er een wettelijke grondslag en doelbinding voor is. De beheerderis BKWI (Bureau Keteninformatisering Werk en Inkomen). 3 De Suwinet-inkijk en -inleesfunctionaliteit wordt beschikbaargesteld door BWKI (onderdeel van UWV en werkzaam in opdracht van het ministerie van SZW) respectievelijk het Inlichtingenbureau. Austerlitz „ Bosch en Duin . Den Dolder » Huis ter Heide » Zeist

Metde ‘Collegeverklaring Informatiebeveiliging DigiD en Suwinet’, legt het College van B&W verantwoording af overin hoeverre de gemeente Zeist aan de beheersmaatregelen heeft voldaan. De Suwinet-applicatie wordt gebruikt door de Regionale Sociale Dienst Kromme Rijn Heuvelrug (RSD KRH) in het kader van de Participatiewet en aanpalende sociale zekerheidswetgeving. Gemeente Zeist blijft echter, samen met de andere deelnemende gemeenten, onverkort eindverantwoordelijk voor de informatiebeveiliging t.a.v. de Suwinet-aansluitingen bij de RSD KRH. Tijdens de audit in 2023 is door de IT-auditor van de RDS-KRH vastgesteld dat Suwinet voldoet aan alle normen. Er is ook een Assurance afgegeven op het gebruik van DigiD door gemeente Zeist (oa op het onderdeel edienstverlening). In 2023 is er een (zelf) audit als onderdeel van de ENSIA op de DigiD aansluitingen uitgevoerd en deze is getoetst door de auditor. Gemeente Zeist heeft deze zelfaudit in 2023 met een goed resultaat afgerond en voldoet daarmee aan de gestelde normen. Het uitvoeren van de zelfevaluaties als onderdeel van de ENSIA en de daarbij behorende horizontale en verticale verantwoording is een wettelijke verplichting. Hiermee legt de gemeente verantwoording af over informatieveiligheid.

Om het verdere verantwoordingsproces te kunnen starten is besluitvorming op de zelfevaluatie over Suwinet en DigiD, alsmede over de BAG, BGT en BRO vereist. Dit betreft de formele en administratieve afhandeling van de uitgevoerde zelfaudits. Na vaststelling worden de verantwoordingsdocumenten door de ENSIAcoördinator toegezonden naar het Ministerie van BZK en het ministerie van SZW door ze te uploaden binnen het zogeheten ENSIA-portaal. Verantwoording van de behaalde resultaten en inzicht in de verbetermaatregelen wordt opgenomen in hetjaarplan. In het 2de kwartaal wordt de Bestuurlijke rapportage informatieveiligheid voorgelegd aan het College en de Raad, middels een Raadsinformatiebrief. Deze bestuurlijke rapportage informatieveiligheid bevat hetjaarplan en een integraal beeld en duiding over informatieveiligheid in de gemeente Zeist.

We vertrouwen erop u hiermee voldoende te hebben geïnformeerd. Voor vragen kunt u terecht bij de Griffie.

Hoogachtend, burgemeester en wethouders van Zeist, ‘f gemeentesecretaris,

de burgemeester,

dri H.S. Grotens

drs. J. Langenacker

atti) Austerlitz „ Bosch en Duin » Den Dolder « Huis ter Heide » Zeist