Rapport RK Zwolle 'Zwolle dataveilig'

Zwolle dataveilig?

Onderzoek naar informatieveiligheid binnen de gemeente Zwolle

15 september 2025

Inhoudsopgave Voorwoord

1

Samenvatting, conclusies en aanbevelingen

2

Bestuurlijke reactie college van burgemeester en wethouders

7

Nawoord

14

Onderzoeksrapport PRAE-advies

16

Voorwoord Een cyberaanval waardoor de dienstverlening van de gemeente wordt verstoord, gegevens worden gestolen of losgeld wordt geëist. Onbevoegde toegang tot informatie, misbruik van vertrouwelijke gegevens, of het wijzigen van bijvoorbeeld WOZ-waarden of stemuitslagen. Datalekken waarbij gevoelige persoonsgegevens van inwoners zoals BSN-nummers, adressen en medische gegevens op straat komen te liggen. De gemeente beheert een enorme hoeveelheid gegevens. Systemen en processen draaien erop en steeds vaker geautomatiseerd en online. De complexe samenleving vraagt inwoners en organisaties hun digitale ziel en zaligheid te overleggen aan overheden en uitvoeringsinstanties. Zijn al die data in veilige handen? Hoe gaat de gemeente Zwolle om met deze verantwoordelijkheid? Niet voor niets stellen wetten en regels steeds strengere eisen aan informatieveiligheid binnen gemeenten. Toch kan nooit worden voorkomen dat er soms iets fout gaat. Uiteindelijk blijft informatie verwerken mensenwerk en een ongeluk zit in een klein hoekje. Maar een klein foutje kan grote gevolgen hebben: overlast, fraude, schade. En uiteindelijk voor het aanzien van en vertrouwen in de overheid. Het belang van informatieveiligheid kan dan ook niet overschat worden. Als rekenkamer vroegen wij PRAE-advies onderzoek hiernaar te doen in Zwolle.

Naast de gebruikelijke analyse van documenten en interviews met betrokkenen, is met mystery guests en phishingmails in de praktijk getest of je fysiek of digitaal binnen kunt dringen bij de gemeente Zwolle. Ook is goed gekeken naar de audits en testen van de gemeente en het Shared Service Centrum ONS (SSC ONS). Wij bedanken Etienne Lemmens van PRAE-advies voor zijn deskundige en secure blik en de plezierige samenwerking. Met zijn bevindingen komt de Rekenkamer tot de conclusie dat veel goed gaat, maar dat er ook aandachtspunten. Wij doen in dit rapport belangrijke aanbevelingen over wat nog beter kan. Wij vertrouwen erop met dit onderzoek een goed beeld te geven of data bij de gemeente Zwolle in veilige handen zijn. Ook draagt dit onderzoek hopelijk bij aan de aandacht voor dit belangrijke onderwerp, het risicobewustzijn en de voortdurende alertheid bij medewerkers, bestuurders en raadsleden. En Rekenkamerleden natuurlijk: ik heb om te beginnen mijn wachtwoord maar weer eens vernieuwd.

Namens de Rekenkamer Zwolle Dirk Jan Droogh (voorzitter)

Leden Rekenkamer: Bert-Jan Buiskool, Ilja Jacobs, Karin Ligthart, Magdaléna Ritmeijer Ambtelijk secretarissen: Evert-Jan Bagerman en Iris Gosemeijer

Samenvatting, conclusies en aanbevelingen Aanleiding en doel Als samenleving zijn we in transitie naar een informatiesamenleving. Deze transitie brengt nieuwe kansen, maar ook een groeiend aantal risico’s met zich mee. Steeds meer systemen en processen zijn gedigitaliseerd en de samenleving is hier in toenemende mate afhankelijk van geworden. Dit maakt dat informatieveiligheid een beleidsterrein is dat volop in beweging en ontwikkeling is. Er is sprake van toenemende dreiging van kwaadwillende actoren. Verschillende overheidsinstanties - Hof van Twente, Buren, Universiteit Maastricht en TU Eindhoven zijn enkele voorbeelden - zijn in de afgelopen jaren slachtoffer geworden van een cyberaanval. De accountant van Zwolle heeft in de afgelopen jaren verschillende malen gewezen op de risico’s. Daarbij is vastgesteld dat in de afgelopen jaren weliswaar verbeterstappen zijn gerealiseerd, maar dat er nog veel stappen te zetten zijn om tot een kwalitatief goede beheersing van IT-risico’s te komen. Mede vanwege de toenemende dreiging is de Europese en landelijke wet- en regelgeving in de afgelopen jaren aangescherpt. Het beleid dat overheden op dit beleidsterrein formuleren en uitvoeren moet risicogestuurd zijn. Daarbij is tegelijkertijd duidelijk dat het volledig uitsluiten van risico’s onmogelijk is.

Tegen de hiervoor genoemde achtergronden hebben wij onderzoek gedaan naar de uitvoering van het informatieveiligheidsbeleid van de gemeente Zwolle. Het doel van het onderzoek is inzicht te geven in de manier waarop Zwolle invulling geeft aan informatiebeveiliging en in beeld te brengen hoe het is gesteld met de informatieveiligheid van de gemeente Zwolle. Een daarvan afgeleid doel is de raad in staat te stellen zijn kaderstellende en controlerende rol op het gebied van informatiebeveiliging te kunnen uitvoeren. Onderzoeksbureau PRAE-advies heeft dit onderzoek voor ons uitgevoerd. Het onderzoek vond plaats van december 2024 tot maart 2025 en richtte zich op drie kernterreinen van informatieveiligheid: organisatie, mens en techniek. Daarnaast is de betrokkenheid van de raad op deze thema’s onderzocht. Het onderzoek is uitgevoerd met behulp van documentanalyse, interviews met functionarissen en bestuurders en verschillende testen zoals phishing mails en een inlooptest met mystery guests. Het onderzoek betrekt ook de intensieve samenwerking met Shared Service Centrum ONS (SSC ONS), een gemeenschappelijke regeling1 die de IT-dienstverlening voor de gemeente voor een belangrijk deel verzorgt. De gemeente en het Shared Service Centrum ONS (SSC ONS) voeren zelf ook audits en testen uit.

De testen in het kader van het rekenkameronderzoek waren aanvullend op deze audits en testen en geven een beeld van de veiligheid van systemen en het risicobewustzijn bij medewerkers, bestuurders en raadsleden.

1 Een gemeenschappelijke regeling is een besluit tot samenwerking tussen bestuursorganen van gemeenten,

provincies, waterschappen of andere openbare lichamen om één of meer bepaalde belangen van die bestuursorganen te behartigen. In de gemeenschappelijke regeling SSC ONS werken de gemeenten Zwolle, Kampen, Dalfsen, Westerveld, Zwartewaterland, Ommen en de provincie Overijssel samen. SSC ONS verzorgt de taken op het gebied van ICT, Inkoop en HR.

2

Samenvatting / beantwoording centrale onderzoeksvraag De volgende onderzoeksvraag stond in dit onderzoek centraal: Hoe is het gesteld met de informatiebeveiliging van de gemeente Zwolle, wat zijn de zwakke plekken en hoe kunnen deze worden verholpen? De gemeente Zwolle is zich in toenemende mate bewust van het belang van informatiebeveiliging om zo weerbaar te zijn tegen cyberaanvallen. Er zijn in de afgelopen jaren ook serieuze stappen gezet op het gebied van informatiebeveiliging. Er is strategisch beleid gemaakt en verantwoordelijkheden zijn goed vastgelegd. Het college en de directie dragen het belang van informatieveiligheid uit en aan risicobewustzijn in de organisatie wordt aandacht besteed. Testen op de systemen en de menselijke factor worden uitgevoerd om iedereen in de organisatie betrokken en alert te houden. Op basis hiervan worden rapportages en verbeterplannen opgesteld. Dat is positief. Op veel onderdelen is echter nog verbetering nodig om op informatiebeveiliging en privacy te kunnen voldoen aan de wettelijke verplichtingen en zo voldoende weerbaar te zijn. Dat geldt zowel voor de nu geldende als voor de binnenkort verhoogde eisen met betrekking tot de cybersecurity. De Rekenkamer constateert dat het risicobewustzijn in de organisatie aanwezig is en er steeds meer inspanning wordt gepleegd om ‘in control’ te komen.

Volledig alle risico’s uitsluiten is wensdenken, maar bewust zijn van de risico’s die de organisatie loopt en daarop acteren moet het streven zijn. Om op informatieveiligheid ‘in control’ te raken en te voldoen aan Europese en landelijke wet- en regelgeving is extra inzet en aandacht nodig. In de conclusies en aanbevelingen op de volgende pagina’s wordt dit nader uiteengezet.

3

Organisatie Wat gaat goed?

Wat kan beter?

Welke aanbevelingen hebben we?

1.1 De gemeente beschikt over (algemeen) privacybeleid en strategisch informatieveiligheidsbeleid voor de periode 20222026. De ambities van de gemeente en de verschillende taken/rollen met betrekking tot informatiebeveiliging en privacy zijn hierin helder beschreven. Vanwege aangescherpte Europese wetgeving wordt dit jaar al een nieuw strategisch beleid opgesteld. 1.2 College en directie zijn doordrongen van het belang van informatieveiligheid. De gemeente heeft sinds 2022 een continuïteitsplan ICT om langdurige stagnatie van kritische bedrijfsprocessen te voorkomen. 1.3 Op privacygebied zijn de door de AVG voorgeschreven protocollen aanwezig, zoals voor inzageverzoeken en het melden van datalekken. 1.4 Voor overheden geldt de Baseline Informatiebeveiliging Overheid (BIO). In 2021 bleek de BIO-compliance van de gemeente met 19% ver onder de maat. In de afgelopen jaren is een inhaalslag gemaakt om de beleidsstukken, protocollen en richtlijnen op tactisch niveau op orde te brengen.

1. Het strategisch beleid op het gebied van informatiebeveiliging staat en wordt in 2026 geactualiseerd. Op tactisch en operationeel niveau zijn echter nog lacunes aanwezig. De gemeente is bezig, onder andere door extra personeel aan te trekken, deze lacunes in te vullen.

1. Actualiseer en completeer het beleid op tactisch en operationeel

2. De ‘tools’ die op tactisch en operationeel niveau aanwezig zijn worden nog niet optimaal gebruikt, waardoor risico’s buiten beeld blijven of niet goed vastgelegd worden in de PDCAcyclus. Dit geldt voor het IAM-systeem, het leveranciersmanagement-systeem en het ISMS. De gemeente voldoet op basis van bovenstaande slechts gedeeltelijk aan de gestelde normen op informatiebeveiligings- en privacygebied en loopt daardoor serieuze risico’s. Ook laat de gemeente hiermee kansen liggen om informatieveiligheid in een breder risicomanagement in te passen.

2. Benut de aanwezige systemen beter en informeer de raad

3. Een belangrijke stap voor beheersing van de informatiebeveiligingsrisico’s is een juiste omvang en positionering van de CISO-functie. De omvang van de CISOfunctie (0,5 fte) in Zwolle is niet conform de zwaarte van de functie. Ook de positie in de organisatie (onderdeel van de afdeling Informatievoorziening) past niet bij de functie. De CISO zou gelet op zijn strategische rol een directe lijn met directie en bestuurders moeten hebben om zo onafhankelijk te kunnen opereren.

3. Waardeer de functie van CISO op naar 1,0 fte en positioneer de

2.1 Op tactisch en operationeel niveau zijn de benodigde ‘tools’ aanwezig. Zo is er een Identity Acces Management (IAM)systeem dat de toegangsrechten/autorisaties van medewerkers tot systemen en gegevens regelt. Dit geldt ook voor het leveranciersmanagementsysteem en een zogenoemd Information Security Management Systeem (ISMS) waarin activiteiten op het gebied van informatieveiligheid vastgelegd kunnen worden. 3.1 Er is een Functionaris Gegevensbescherming (fulltime) en een Chief Information Security Officer (CISO) (0,5 fte) aangesteld. Voor de doorvertaling naar tactisch en operationeel niveau zijn onlangs drie Privacy en Information Security Officers aangesteld. Dit kan helpen de achterstand op het beleidsterrein van informatieveiligheid in te lopen.

niveau en informeer de raad hierover in het kader van de jaarlijkse ENSIA-rapportage.

hierover in het kader van de jaarlijkse ENSIA-rapportage.

functie zodanig dat de CISO onafhankelijk van de lijn functioneert en een directe lijn met directie en bestuurders heeft.

Mens en techniek Wat gaat goed?

Wat kan beter?

Welke aanbevelingen hebben we?

4. Het bewustzijn van risico’s bij het werken met

4. De volwassenheidsgraad op informatieveiligheid ligt tussen

4. Versterk het risicobewustzijn en het eigenaarschap van de

(persoons)gegevens is de afgelopen jaren toegenomen. In 2022 is een vierjarige bewustwordingscampagne voor medewerkers gestart met als doel om eigenaarschap, verantwoordelijkheid en bewustwording in de lijn beter belegd te krijgen.

niveau 2 en 3, terwijl niveau 3 als doel is gesteld. Het eigenaarschap in de lijn kan versterkt worden. Hier wordt weliswaar aandacht aan besteed, onder andere door een (nietverplichte) e-learning, maar hier wordt nog niet op gestuurd.

5.1 In het kader van het onderzoek zijn een phishing mail test en inlooptests uitgevoerd. Bij de phishing mail test onder medewerkers en bestuurders werd iets beter gescoord dan de benchmark. 5.2 SSC ONS en de gemeente zijn aangesloten bij de Informatiebeveiligingsdienst (IBD) voor kwetsbaarheidsmeldingen. Bij meldingen zijn functionarissen aan zet om eventueel benodigde acties in gang te zetten. In het kader van het project Verhoogde Digitale Weerbaarheid is een applicatie geïnstalleerd waarmee verdacht verkeer op het netwerk kan worden gedetecteerd en ondervangen. Er is ook zogenaamde 'endpoint protection' ingericht, waarbij verdachte activiteiten op een computer of laptop kunnen worden gedetecteerd en geïsoleerd.

5.1 Bij de inlooptest op het stadskantoor konden mystery guests met personeel meelopen naar niet-publieke ruimtes zonder aangesproken te worden. Ook in het stadhuis konden ze bij toegangspoorten met paslezer meelopen zonder opgemerkt te worden. De resultaten van deze test leiden tot een ‘gemiddeld’ risico op ongeoorloofde fysieke toegankelijkheid. 5.2 In het kader van het rekenkameronderzoek zijn een Active Directory (AD) audit en een wifi-netwerk test uitgevoerd. Bij de AD-audit werden accounts met een zwak wachtwoord aangetroffen, accounts met een wachtwoord van een jaar of ouder, accounts met niet-unieke wachtwoorden en accounts met een verouderde verificatiemethode. Er zijn zeven bevindingen met risicoclassificatie 'hoog' en acht met een 'gemiddelde' risicoclassificatie, wat leidt tot een volledige risicoscore 'hoog'. De wifi-netwerktest resulteerde in een 'laag' risico.

5. Ga met de bevindingen uit de testen aan de slag, stel hiervoor

6

6. De uitwijk- en bedrijfscontinuïteitsplannen voor calamiteiten

6. Voor periodiek diepgaande en fysieke testen uit op de uitwijk-

Er is een crisisplan van SSC ONS en een continuïteitsplan ICT van de gemeente Zwolle voor het geval dat door stroomuitval of een andere calamiteit de dienstverlening aan burgers, bedrijven en instellingen in het geding komt. De dienstverlening kan verplaatst worden naar een uitwijklocatie.

worden slechts oppervlakkig getest.

5

medewerkers op het gebied van informatieveiligheid, onder andere door e-learnings verplicht te maken.

een verbeterplan (met deadlines en actiehouders) op en informeer de raad over de opvolging van de verbetermaatregelen.

en bedrijfscontinuïteitsplannen, zo nodig in samenwerking met SSC ONS.

Betrokkenheid raad Wat gaat goed?

Wat kan beter?

Welke aanbevelingen hebben we?

7.1 De raad wordt jaarlijks geïnformeerd via de ENSIA-rapportage, waarin het college aangeeft in welke mate de gemeente ‘in control’ is op het gebied van informatiebeveiliging en privacy. Ook de FG en de CISO brengen jaarlijks verslag aan de raad uit over hun bevindingen. De accountant voert jaarlijks een ITcontrole uit en rapporteert hierover in de boardletter die met de auditcommissie besproken wordt. 7.2 Er worden incidenteel sessies georganiseerd om de raad bij te praten over informatieveiligheid.

7. De raad is nog niet goed aangesloten op beleid en uitvoering

7. Bespreek de ambities, opzet en uitvoering van het beleid op

van de thema’s informatiebeveiliging en privacy. De sessies die incidenteel georganiseerd worden om de raad mee te nemen op deze thema’s worden matig bezocht.

6

informatieveiligheid geregeld (minimaal één keer per jaar) met elkaar. Agendeer de ENSIA-rapportage voor een vergadering van de auditcommissie en bespreek deze gelijktijdig met de boardletter van de accountant, waarin gerapporteerd wordt over de IT-audit.

Bestuurlijke reactie

7

bericht

Memo Aan

Rekenkamer Zwolle

Van

College van burgemeester en wethouders

Datum

9 september 2025 Collegereactie rekenkameronderzoek informatieveiligheid

Onderwerp

Inleiding De Rekenkamer deed onderzoek naar de informatieveiligheid van de gemeente Zwolle. De centrale vraag die de Rekenkamer onderzocht: Hoe is het gesteld met de informatieveiligheid van de gemeente Zwolle, wat zijn de zwakke plekken en hoe kunnen deze worden verholpen? Om deze vraag te beantwoorden keek de Rekenkamer zowel naar de organisatie, de mens als de techniek. Daarnaast kreeg de betrokkenheid van de raad bij het onderwerp informatieveiligheid apart aandacht. De Rekenkamer voerde het onderzoek uit met als doel de raad in zijn kaderstellende en controlerende rol te ondersteunen. De resultaten van het onderzoek staan in het rapport "Zwolle Dataveilig?". Dit rapport is aangeboden aan het college voor een bestuurlijke reactie op de conclusies en aanbevelingen. Het college van burgemeester en wethouders heeft het onderzoeksrapport met veel interesse gelezen en dankt de Rekenkamer voor haar inzet en aanbevelingen. Het rapport geeft een herkenbaar beeld van de stand van onze informatieveiligheid en het toont opnieuw aan welke urgentie het onderwerp heeft, en dat het onderwerp voor alle onderdelen van onze organisatie, van raad tot de medewerkers, van groot belang is. Daarnaast geeft het onderzoek waardevolle aanbevelingen om op het onderwerp informatieveiligheid samen met de raad een volgende stap in volwassenheid te zetten.

Hieronder vindt u de bestuurlijke reactie van het college van burgemeester en wethouders. Het rekenkameronderzoek geeft zeven concrete aanbevelingen, met een zwaartepunt op tactische en operationele bedrijfsvoering. Per aanbeveling geven we hier een bestuurlijke reactie op, waarbij we, waar dit relevant is, de verschillende perspectieven uit het onderzoek (organisatie, mens, techniek en rol van de raad) benoemen. Bij meerdere aanbevelingen doen we concrete toezeggingen voor vervolgstappen. Kader IBD-Dreigingsbeeld-informatiebeveiliging-2025-2026. Raadsvoorstel Robuuste Informatievoorziening Kernboodschap Door verdergaande digitalisering is de afhankelijkheid van ICT (-middelen) toegenomen, evenals de hoeveelheid informatie die in onze organisatie wordt verwerkt. De beschikbaarheid, integriteit en

8

vertrouwelijkheid van deze informatie is van cruciaal belang voor de continuïteit en kwaliteit van onze gemeentelijke processen. In Zwolle werken we al geruime tijd actief aan het versterken van onze informatieveiligheid. Dit vraagt om een continue herbeoordeling van onze processen, waarbij we gericht verbeteringen doorvoeren om risico’s te beheersen en onze organisatie toekomstbestendig te houden. Ook dit rekenkameronderzoek draagt hieraan bij, door aanbevelingen te doen die de organisatie mee kan nemen in haar doorlopende inspanningen voor verdere professionalisering op dit gebied. Toelichting De Rekenkamer illustreert in haar onderzoek hoe digitalisering steeds meer aan maatschappelijk belang wint. Of een inwoner zich nu verplaatst in het verkeer, een huis zoekt in een veilige omgeving of een paspoort aanvraagt: steeds meer gemeentelijke processen zijn afhankelijk van techniek, data en informatie. En daarmee is data- en informatieveiligheid een essentieel onderwerp. Het is daarom waardevol dat de Rekenkamer het onderwerp data- en informatieveiligheid bij de gemeente Zwolle heeft onderzocht. We zien in het onderzoek belangrijke onderwerpen langskomen, waarop we graag een betrokkenheid van de raad zien.

Gezamenlijk hebben we de taak om zorgvuldig met de gegevens van inwoners, bedrijven en andere organisaties om te gaan, en de informatieveiligheid op een adequate wijze te waarborgen. Ook het rekenkameronderzoek draagt hieraan bij. Aanbeveling 1: Actualiseer en completeer het beleid op tactisch en operationeel niveau en informeer de raad hierover in het kader van de jaarlijkse ENSIA-rapportage. Reactie: Deze aanbeveling wordt herkend en sluit aan bij eerder geconstateerde bevindingen van onder andere de accountant en Functionaris Gegevensbescherming. We zijn al volop bezig met actualiseren en completeren van beleid en zien het rekenkameronderzoek als extra steun in de rug. Ook stellen we voor om een periodieke afstemming tussen college en raad te organiseren over deze onderwerpen. Belangrijke stappen op dit onderwerp zetten we nu al. Zo is eerder in 2025 een project gestart met als doel om een kwaliteitsmanagementsysteem (KMS) in te voeren. Het invoeren van een kwaliteitsmanagementsysteem helpt ons om zowel voor informatiebeheer, informatiebeveiliging als privacy de juiste structuur en samenhang aan te brengen. Met een kwaliteitsmanagementsysteem leggen we eenduidige afspraken vast, creëren we inzicht in onze processen en borgen we dat we continu verbeteren.

Het identificeren, plannen, uitvoeren en monitoren van verbeteracties wordt ondergebracht in het kwaliteitsmanagementsysteem. Het volgen van een continue verbetercyclus stelt ons in staat om aantoonbaar te voldoen aan relevante wet- en regelgeving, onder meer de Baseline Informatiebeveiliging Overheid versie 2 (BIO2) en de Europese Network and Information Security 2 richtlijn (NIS2). Verbeteracties variëren van het opstellen van encryptiebeleid tot het inrichten van een proces voor meldings-plichtige incidenten. Daarnaast krijgen diverse bestaande beleidsstukken, zoals het wachtwoordbeleid en incidentmanagementproces, een opfrisbeurt. Alle bestaande en nieuwe processen die we voor informatieveiligheid vormgeven, leggen we in de komende periode vast in een processenboek. Voor de eerste BIO2 implementatie trekken we, zoals ook al genoemd in het Raadsvoorstel Robuuste Informatievoorziening, twee jaar uit. Daarna moet het continu verbeteren en monitoren van informatieveiligheid op deze onderwerpen onderdeel van het dagelijks werk zijn. 9

Ook geeft het onderzoek aan dat de beheersing van risico’s in het kader van de AVG onvoldoende op orde is. Op basis van een eerder signaal hierover van de Functionaris Gegevensbescherming, hebben we al opdracht gegeven voor een inhaalslag in zogenoemde Data Protection Impact Assessments (DPIA’s) van onze processen. Deze DPIA’s leggen eventuele privacy-risico’s bloot. De inhaalslag ronden we in 2027 af. Daarnaast verwijst het rekenkameronderzoek naar de boardletter van de accountant. Daarin stond een oproep om werk te maken van de IT general controls. Om te komen tot nog duidelijkere procedures die de beschikbaarheid, integriteit en vertrouwelijkheid van de ICT-systemen waarborgen, hebben we inmiddels extra capaciteit toegevoegd aan het team voor service delivery management. Hiermee is de benodigde formatie beschikbaar om een actieplan te maken met ITbeheersmaatregelen, zoals het verbeteren van toegangsbeleid, wijzigingsbeheer en afspraken met ketenpartners. In onze overtuiging is het wenselijk om periodiek een afstemming te organiseren tussen college en raad, waarbij de weerbaarheid, continuïteit en risico’s van onze organisatie in een bredere context worden besproken. Wij stellen daarmee een overleg voor dat een stap verder gaat dan zoals beschreven in de aanbevelingen van de Rekenkamer.

Dit overleg biedt ruimte voor een inhoudelijke dialoog, zodat de raad goed geïnformeerd is en er gezamenlijk richting kan worden gegeven aan strategische keuzes. De samenhang met de behandeling van de ENSIA-rapportage lijkt daarmee niet het juiste moment te zijn om de raad hierover te informeren, aangezien dit een gerichte evaluatie is en een proces van bestuurlijke verantwoording kent op specifieke onderdelen van onze dienstverlenende organisatie. Aanbeveling 2: Benut de aanwezige systemen beter en informeer de raad hierover in het kader van de jaarlijkse ENSIA-rapportage. Reactie: Momenteel lopen er twee belangrijke projecten die bijdragen aan het waarborgen van informatieveiligheid. Ook hierover willen we informeren tijdens de voorgestelde periodieke afstemming tussen college en raad. Het rekenkameronderzoek verwijst naar het lopende Identity & Access Management (IAM)-project, dat bijdraagt aan de digitale weerbaarheid van onze organisatie. We verwachten in de tweede helft van 2025 de eerste applicaties op de nieuwe IAM-tooling aan te sluiten. Deze stap stelt ons in staat om bestaande systemen beter te benutten door toegangsbeheer te centraliseren en te automatiseren. Op basis van de eerste ervaringen bepalen we de vervolgstappen, zoals uitbreiding naar andere systemen en aanscherping van het toegangsbeleid.

IAM helpt ons om risico’s te beperken, processen te stroomlijnen en te voldoen aan wet- en regelgeving. Daarnaast zijn we in 2025 gestart met het project voor de invoering van een kwaliteitsmanagementsysteem, waarmee een belangrijke stap richting structurele borging en aantoonbare naleving van wet- en regelgeving op het gebied van informatiebeheer, informatiebeveiliging en privacy wordt gezet. Als aangegeven bij aanbeveling 1 kan inhoudelijke afstemming plaatsvinden in de dialoog tussen college en raad. Behandeling van de ENSIA verantwoording staat hier los van, maar kan uiteraard wel een inhoudelijk onderwerp van gesprek zijn.

10

Aanbeveling 3: Waardeer de functie van CISO op naar 1,0 fte en positioneer de functie zodanig dat de CISO onafhankelijk van de lijn functioneert en een directe lijn met directie en bestuurders heeft. Reactie: We herkennen de noodzaak dat bewaakt moet worden dat de CISO voldoende onafhankelijkheid heeft om zijn werk te doen. De ureninzet is daarbij een vraag met een breder organisatorisch perspectief. Allereerst zien wij, net als de Rekenkamer, dat we de bemensing op het onderwerp informatieveiligheid stevig versterkt hebben: met alleen al in 2025 een aanzienlijke groei van het team privacy en informatiebeveiliging, de aanstelling van een eerste IT-auditor en extra capaciteit om werk te maken van IT-beheersmaatregelen. De recente uitbreiding van capaciteit biedt kansen om verantwoordelijkheden scherper te positioneren en processen beter te stroomlijnen. Het lijkt ons passend om eerst deze structuur te verankeren en te benutten, zodat we vervolgens gerichter kunnen beoordelen of een verdere uitbreiding van fte daadwerkelijk bijdraagt aan effectievere risicobeheersing en strategische sturing. Als we de eventuele uitbreiding en herpositionering van de CISO-functie overwegen, willen we dit zorgvuldig doen.

Daarbij telt onder meer de afweging of dit noodzakelijk is voor het bereiken van ons gewenste volwassenheidsniveau op informatieveiligheid, hoe de organisatie aankijkt tegen de ontwikkeling en positie van 2e en 3e lijns functionarissen en ook het zicht op de eventuele risico’s. Zonder extra geld vrij te maken, betekent dit bijvoorbeeld dat we een halve fte voor een strategisch adviseur informatieveiligheid zouden kwijtraken. Voor de ureninzet en de positionering van de CISO geldt dat dit in breder organisatieperspectief gewogen moet worden, zodat een goed systeem van checks en balances ontstaat. Wel nodigt de aanbeveling ons uit om voldoende onafhankelijkheid in de huidige werkzaamheden van de CISO te blijven borgen, ongeacht waar deze voor HR-verantwoordelijkheden is gepositioneerd. Aanbeveling 4: Versterk het risicobewustzijn en het eigenaarschap van de medewerkers op het gebied van informatieveiligheid, onder andere door e-learnings verplicht te maken. Reactie: Deze aanbeveling onderschrijven we. Als college vinden we het belangrijk om risicobewustzijn te bevorderen binnen alle onderdelen van de organisatie, van medewerkers tot raad. We maken daarbij gebruik van verschillende methoden, onder andere e-learning. Voor het versterken van risicobewustzijn en eigenaarschap lopen al initiatieven. Daar zijn de uitkomsten van dit onderzoek helpend bij.

De e-learning voor informatieveilig werken maken we daarentegen niet voor alle medewerkers verplicht. We kiezen voor verschillende medewerkers soms bewust voor andere methoden of aanpak, waarbij het vergroten van bewustwording altijd centraal staat. We bevinden ons momenteel in een tussenfase omdat we overstappen van het bestaande bewustwordingsprogramma naar een vernieuwde, meer toekomstbestendige aanpak. De veranderende dreigingen, aangescherpte wet- en regelgeving (zoals NIS2), en de behoefte aan meer maatwerk vragen om een herijking van ons huidige plan. Deze fase biedt ruimte om bestaande maatregelen te evalueren, nieuwe interventies te ontwerpen en deze beter te laten aansluiten op de rollen en verantwoordelijkheden binnen de organisatie. Uiteindelijk is het doel het volwassenheidsniveau voor bewustwording te verhogen, waarmee de competenties van medewerkers en leidinggevenden aantoonbaar op het gewenste niveau komen. 11

De training informatieveilig werken blijft een verplicht onderdeel van het inwerktraject voor nieuwe medewerkers. Met als doel om te groeien naar een bewust bekwame organisatie. Daar is de raad zelf ook een onderdeel van. Het rekenkameronderzoek geeft een goede aanleiding om teamleiders en griffie op dit onderwerp in positie te brengen. Daarnaast komen er aanvullende trainingen voor bestuurders en (hoger) management. Dit is een verplichting die is opgenomen in de nieuwe NIS2-wetgeving. Uiterlijk in het tweede kwartaal van 2026 willen we deze trainingen uitgevoerd hebben en periodiek herhalen. Aanbeveling 5: Ga met de bevindingen uit de testen aan de slag, stel hiervoor een verbeterplan (met deadlines en actiehouders) op en informeer de raad over de opvolging van de verbetermaatregelen. Reactie: De bevindingen uit de testen zijn inmiddels opgepakt. Net als bij andere meldingen pakken we deze op via ons werkende changemanagement- en meldingenproces. We (pen-)testen elk jaar meerdere delen van onze informatievoorziening. We zijn blij dat het rekenkameronderzoek gebruik maakte van vergelijkbare methoden. Dit geeft – los van de onderzoeksinzichten – operationele verbeterkansen voor onze informatieveiligheid. De onderzoeken tonen opnieuw aan hoe organisatie, techniek en mens samen verantwoordelijk zijn voor informatieveiligheid.

Er ligt bijvoorbeeld een wachtwoordbeleid dat termijnen aan geldigheid en complexiteit van wachtwoorden stelt. Dit beleid moet door applicaties vervolgens technisch mogelijk gemaakt of afgedwongen worden, waarbij de medewerkers in het zorgvuldig omgaan met hun wachtwoorden zelf ook een verantwoordelijkheid hebben. Voor de fysieke toegang hebben we vorig jaar verkend waar verbetering mogelijk is. Dit leidde al tot concrete aanvullende veiligheidsmaatregelen. Daarnaast gaan we medewerkers binnenkort onder meer ondersteunen met technische oplossingen die de veiligheid vergroten. Over de inhoud, opvolging en timing van dit soort specifieke veiligheidsmaatregelen delen we nog geen verdere informatie. Uiteindelijk is ook het gedrag van een medewerker hierin belangrijk. Fysieke toegang krijgt de komende jaren een specifiek accent bij de inspanningen rond bewustwording. Aanbeveling 6: Voer periodiek diepgaande en fysieke testen uit op de uitwijk- en bedrijfscontinuïteitsplannen, zo nodig in samenwerking met SSC ONS. Reactie: Het college hecht grote waarde aan een goede bedrijfscontinuïteit en testen is daar een belangrijk onderdeel van. Nieuwe plannen zijn gedeeltelijk uitgewerkt en deels nog in ontwikkeling. Dit thema krijgt terecht veel aandacht van de Rekenkamer. Informatieveiligheid raakt steeds meer processen in de stad.

Risico’s variëren van de uitval van dienstverlening, waardoor mogelijk onveilige situaties ontstaan, tot verstoringen in de energievoorziening of verkeerssituaties. Medio 2025 is een interne werkgroep geformeerd met veiligheidsspecialisten, de concern controller en de CISO. In afstemming met de Gemeentesecretaris bereiden zij een directieopdracht voor om de weerbaarheid en continuïteit van onze organisatie beter te waarborgen. Dit voorstel wordt later dit jaar besproken door de directie, waarna verder alloceren van middelen en uitwerking kan plaatsvinden.

12

De bestaande uitwijk- en bedrijfscontinuïteitsplannen worden inmiddels al periodiek getest. Voor de gemeentelijke IT-infrastructuur in het samenwerkingsverband SSC-ONS, is een agenda ontwikkeld voor het opleiden, trainen en oefenen (OTO) van de gezamenlijke crisisorganisatie. Op dit proces is de Veiligheidsregio IJsselland aangehaakt. Deze beheersmaatregelen worden straks jaarlijks geëvalueerd en bijgesteld waar nodig. Aanbeveling 7: Bespreek de ambities, opzet en uitvoering van het beleid op informatieveiligheid geregeld (minimaal één keer per jaar) met elkaar. Agendeer de ENSIA-rapportage voor een vergadering van de auditcommissie en bespreek deze gelijktijdig met de boardletter van de accountant, waarin gerapporteerd wordt over de IT-audit. Reactie: Wij onderschrijven het belang van een jaarlijkse bespreking van de ambities, opzet en uitvoering van het beleid op informatieveiligheid. Wel kiezen wij voor een andere route dan door de Rekenkamer voorgesteld. We vinden het belangrijk dat zowel de raad als – waar passend – de auditcommissie actief betrokken is bij dit onderwerp.

Informatieveiligheid raakt immers elk domein en elk onderdeel van onze organisatie: of het nu gaat om de uitwisseling van zeer gevoelige persoonsgegevens in het sociaal domein, of de digitale aansturing van verkeerssystemen in de fysieke leefomgeving tot aan de beveiliging van de iPads van de leden van uw raad. Door het onderwerp structureel te betrekken in het bredere gesprek over weerbaarheid en continuïteit, zorgen we voor samenhang, bestuurlijke betrokkenheid en een gedeeld inzicht in de voortgang en uitdagingen. We gaan graag minimaal één keer per jaar met de raad in gesprek over de ambities, opzet en uitvoering van het informatieveiligheidsbeleid. Daarbij willen we een stap verder gaan en kiezen we voor een bredere en meer integrale benadering dan de rekenkamer voorstelt. De ENSIA-rapportage en de boardletter van de accountant kunnen hierbij als input dienen. Afhankelijk van het onderwerp en de actualiteit kan ook de auditcommissie worden geïnformeerd of betrokken bij de bespreking van deze stukken. Dit biedt ruimte om bevindingen uit de IT-audit en ENSIA in samenhang te duiden en bestuurlijke reflectie te organiseren. Vervolg De in de bestuurlijke reactie opgenomen acties worden opgepakt en de resultaten daarvan komen, waar nodig, terug in de Raad.

In elk geval zorgen wij ervoor dat het onderwerp informatieveiligheid minimaal een keer per jaar apart als onderwerp wordt geagendeerd voor bespreking met de Raad.

Burgemeester en wethouders van Zwolle, burgemeester, Peter Snijders secretaris, Dick Emmer

13

Nawoord Op 9 september ontvingen wij de bestuurlijke reactie van het college van burgemeester en wethouders op het rapport ‘Zwolle dataveilig’. Wij zijn blij te lezen dat het college veel van onze bevindingen herkent en de meeste van onze aanbevelingen onderschrijft. Bij een aantal aanbevelingen plaatst het college kanttekeningen. De bestuurlijke reactie geeft ons aanleiding de volgende aandachtspunten mee te geven aan de raad. Aandachtspunt 1: benutting systemen Eén van de belangrijkste conclusies van ons onderzoek is dat op veel onderdelen nog verbetering nodig is om op het gebied van informatiebeveiliging en privacy te kunnen voldoen aan de wettelijke verplichtingen en zo voldoende weerbaar te zijn. Hiervoor is extra inzet en extra aandacht nodig. Het college benoemt in zijn bestuurlijke reactie veel acties en projecten die in gang zijn gezet om dit te realiseren. Ook de Rekenkamer heeft dit in het kader van het onderzoek vastgesteld en als positief beoordeeld.

Het college geeft onder andere aan: - bezig te zijn met een inhaalslag in de Data Protection Impact Assessments van de processen (af te ronden in 2027); - extra capaciteit te hebben toegevoegd voor service delivery management; - dat in de tweede helft van 2025 de eerste applicaties worden aangesloten op een nieuw Identity & Access Management systeem; - in 2025 te zijn gestart met een project voor de invoering van een kwaliteitsmanagementsysteem. Het spreekt voor zich dat wij het belang van deze acties en projecten onderschrijven. Tegelijkertijd stellen wij vast dat beperkt wordt ingegaan op onze constatering dat de gemeente “slechts gedeeltelijk voldoet aan de gestelde normen op informatiebeveiligings- en privacygebied en daardoor serieuze risico’s loopt”. Ook wordt niet ingegaan op hoe en wanneer het leveranciersmanagementsysteem en het Information Security Management Systeem beter benut gaan worden. Aandachtspunt 2: Omvang en positionering CISO Bijzondere aandacht vragen wij voor de omvang en de positionering van de CISO-functie. Uit de reactie op onze aanbeveling en verwijzing naar een afweging in breder perspectief lezen wij geen instemming of voornemen tot opvolging van deze aanbeveling.

Met de expliciete suggesties ten aanzien van de positie en formatie van de CISO wil de Rekenkamer concreet maken hoe deze beter kunnen aansluiten bij een gemeente met de omvang van Zwolle. Uiteraard kan de noodzakelijk geachte rol van de CISO ook anders vorm krijgen maar het college geeft in zijn reactie geheel niet aan of en hoe hij invulling denkt te geven aan onze aanbeveling. Wij zijn positief gestemd dat het college periodiek afstemming en inhoudelijk overleg wil voeren over het informatieveiligheidsbeleid. De motivering waarom dit niet op basis van de ENSIA-rapportage zou kunnen is voor ons niet helder, maar dit laten wij aan raad en college. Wat in ieder geval punten van gesprek zouden moeten zijn, zijn de hiervoor genoemde risico’s over de benutting van de systemen en de omvang en de positionering van de CISO-functie. Het college sluit zijn bestuurlijke reactie af met de zin “De in de bestuurlijke reactie opgenomen acties worden opgepakt en de resultaten daarvan komen, waar nodig, terug in de Raad”. In dit verband wijzen wij op de wettelijke verplichting hiertoe in art. 185a van de Gemeentewet. Op grond hiervan is het college verplicht “jaarlijks een overzicht van de aan het college gedane voorstellen van de 14

rekenkamer, vergezeld van zijn standpunt daaromtrent en van de wijze waarop aan de voorstellen vervolg is gedaan.” Wij zullen de vervolgstappen op het gebied van de informatieveiligheid met belangstelling blijven volgen en zien uit naar de behandeling van ons rapport in uw raad

15

Onderzoeksrapport PRAE-advies

16

Eindrapport Informatiebeveiliging en privacy Gemeente Zwolle

Rekenkamer Zwolle Juni 2025

Auteur: drs. Etienne Lemmens Prae Advies en onderzoek, Utrecht

Prae Advies en onderzoek, Buys Ballotstraat 35, 3572 ZT Utrecht E info@prae-advies.nl | W www.prae-advies.nl

Inhoudsopgave 1

Inleiding....................................................................................................................... 3

2

Onderzoeksvragen, visie en aanpak .............................................................................. 4 2.1 Onderzoeksvragen .................................................................................................... 4 2.2 Korte inleiding op informatiebeveiliging en privacy ................................................. 4 2.3 Aanpak ...................................................................................................................... 6

3

Organisatie .................................................................................................................. 8 3.1 Strategisch beleid ...................................................................................................... 8 3.2 Tactisch en operationeel ......................................................................................... 10 3.3 Functies ................................................................................................................... 14 3.4 Overleggen en rapportages..................................................................................... 15 3.5 Middelen ................................................................................................................. 17

Casus Wmo ....................................................................................................................... 19 4

Mens ......................................................................................................................... 20 4.1 Testen ...................................................................................................................... 22

Casus Omgevingsvergunning .............................................................................................. 25 5

Techniek .................................................................................................................... 26 5.1 Systemen ................................................................................................................. 27 5.1 Pentesten ................................................................................................................ 28

6

Betrokkenheid van de raad ......................................................................................... 30

Bijlage 1. Onderzoeksvragen en normen............................................................................. 33 Bijlage 2. Casebeschrijvingen ............................................................................................. 35 Casus Wmo aanvraag Sociaal domein ............................................................................ 35 Casus Omgevingsvergunning .......................................................................................... 39 Bijlage 3. Gebruikte termen en afkortingen ........................................................................ 44 Bijlage 4. Documenten en respondenten ............................................................................ 47 Bijlage 5. Volwassenheidsniveau NOREA ............................................................................ 49

2

1 Inleiding Gemeenten zijn kwetsbaar

Onder andere door de toegenomen taken in het sociaal domein beheren en verwerken gemeenten meer en meer persoonsgegevens en gevoelige data. Dat doen gemeenten in toenemende mate met behulp van digitale hulpmiddelen. Gemeenten zijn daarbij kwetsbaar gebleken, zoals onder andere blijkt uit datalekken en hacks bij gemeenten. Wat gebeurt er bijvoorbeeld als gevoelige informatie op straat komt te liggen of op het dark web1 wordt aangeboden? Of als de gegevens worden gegijzeld en de digitale dienstverlening aan burgers niet meer mogelijk is?2 Naast ernstige financiële, juridische en technische gevolgen kunnen deze crises de privacy van burgers en het imago van de gemeente aantasten. Het beveiligen van de toegang tot systemen en verwerking van gegevens is een essentiële taak van gemeenten.

Rekenkameronderzoek

Dat zijn redenen voor de Rekenkamer Zwolle geweest om een onderzoek te doen naar opzet, bestaan en werking van het informatiebeveiliging- en privacybeleid in de gemeente Zwolle. Met als doel de gemeenteraad inzicht te verschaffen in de stand van zaken met betrekking tot informatieveiligheid binnen de gemeente Zwolle. En deze in zijn kaderstellende en controlerende rol op dit dossier positioneren. Dat onderzoek is in december 2024 tot en met februari 2025 uitgevoerd. De Rekenkamer bedankt de ambtelijke organisatie en SSC ONS voor de medewerking die de onderzoekers tijdens de loop van het onderzoek hebben ervaren.

Leeswijzer

In hoofdstuk 2 behandelen we de doelstelling, onderzoeksvragen en de aanpak van het onderzoek. De hoofdstukken 3 tot en met 8 bevatten de bevindingen, geordend aan de hand van de onderzoeksvragen. De bevindingen zijn getoetst in het kader van ambtelijk hoor en wederhoor. In bijlage 1 zijn de onderzoeksvragen en de bijbehorende normen opgenomen. In bijlage 2 zijn de volledige beschrijvingen van de twee casestudies opgenomen, die in het kader van dit rekenkameronderzoek zijn uitgevoerd. Die betreffen de aspecten op informatieveiligheid in het proces van de aanvraag van een Wmo-voorziening en een omgevingsvergunning. De casestudies zijn in een korter bestek en in een apart kader na de hoofdstukken 4 en 5 opgenomen. In bijlage 3 worden de meest gebruikte termen en afkortingen uitgelegd die voorkomen op het gebied van informatiebeveiliging en privacy. In bijlage 4 is de lijst opgenomen met geraadpleegde stukken en de lijst met functies van de respondenten. Bijlage 5 bevat een tabel over volwassenheidsniveaus die in hoofdstuk 5 aan bod komen.

1

2

Het dark web is de diepste en verborgen laag van het internet. Het is onderdeel van het ‘deep web’, omdat het niet toegankelijk is via reguliere zoekmachines. Het staat bekend als een plek waar illegale activiteiten plaatsvinden. Hoewel dit inderdaad gebeurt, bestaat het uit meer dan alleen illegale sites. Ransomware is malware (software met kwaadaardige bedoelingen) die de databestanden van gebruikers versleutelt, met als doel om deze later te ontsleutelen in ruil voor losgeld.

3

2 Onderzoeksvragen, visie en aanpak 2.1 Onderzoeksvragen De centrale onderzoeksvraag is: Hoe is het gesteld met de informatieveiligheid van de gemeente Zwolle, wat zijn de zwakke plekken en hoe kunnen deze worden verholpen? De centrale onderzoeksvraag is uitgewerkt naar deelvragen op de drie terreinen, bekend van informatieveiligheid: organisatie-mens-techniek. Tevens wordt de rol van de gemeenteraad geadresseerd, omdat de rekenkamer het onderzoek uitvoert met als doel de raad in zijn kaderstellende en controlerende rol te ondersteunen. De deelvragen, met de bijbehorende normen zijn opgenomen in bijlage 1. Daar waar sprake is van relevante samenwerking op informatieveiligheid in Shared Service centra ONS (SSC ONS) verband betreffen de onderzoeksvragen ook het SSC ONS. De hoofdstukken 4 tot en met 7 bevatten de antwoorden op de onderzoeksvragen. Hieronder gaan we kort in op informatiebeveiliging en gegevensbescherming (gezamenlijk ook aangeduid als informatieveiligheid).

2.2 Korte inleiding op informatiebeveiliging en privacy In de onderstaande afbeelding wordt, binnen informatieveiligheid, de samenhang tussen enerzijds informatiebeveiliging en anderzijds privacy (of gegevensbescherming) weergegeven. Gegevensbescherming

Privacy oftewel gegevensbescherming of betreft de regels voor de verwerking van persoonsgegevens door bedrijven, instellingen en overheden. Doel is de privacy van burgers op een adequate manier te beschermen. De Europese General Data Protection Regulation (GDPR), in Nederland bekend als de Algemene Verordening Gegevensbescherming (AVG), is sinds mei 2018 van kracht. Europese Verordeningen zijn rechtstreeks van toepassing in EU lidstaten en hoeven niet omgezet te worden in de nationale wetgeving.

Informatieveiligheid

De AVG schrijft onder andere voor dat passende maatregelen getroffen moeten worden om persoonsgegevens te beveiligen, in het belang van de burger en de gemeenten zelf. De twee onderwerpen informatiebeveiliging en gegevensbescherming (privacy) hebben dus onderling een grote overlap. Een deel van de protocollen en procedures op beide terreinen komen met elkaar overeen. Overkoepelend wordt vaak de term informatieveiligheid gebruikt, zie onderstaand afbeelding 2.1.

4

Afbeelding 2.1. Informatieveiligheid met privacy en informatiebeveiliging.

Bron: Rekenkamer Utrecht, 2021.

Informatiebeveiliging

Informatiebeveiliging gaat over de maatregelen, procedures en processen die de beschikbaarheid, integriteit en vertrouwelijkheid (BIV) van de informatie binnen een organisatie garanderen.3 Doel is de continuïteit van de informatie en de informatievoorziening of dienstverlening te waarborgen en eventuele gevolgen van (beveiligings)incidenten te beperken. Het beleid dat overheden, inclusief gemeenten, hierop hebben afgesproken is neergelegd in de Baseline Informatiebeveiliging Overheid (BIO).4 De BIO bevat maatregelen die gemeenten op basis van een risicoanalyse kunnen nemen om aan het basisniveau voor informatiebeveiliging te voldoen. Door de toenemende internationale geopolitieke cyberdreiging zijn strengere beveiligingseisen binnen Europa gaan gelden. De Network and Information Security Directive 2 (NIS2) is Europese regelgeving, die een zorgplicht op informatiebeveiliging oplegt aan overheden. NIS2 is een Europese richtlijn die omgezet moet worden in de nationale wetgeving. De Nederlandse overheid geeft invulling daaraan door onder andere de richtlijnen van de BIO vanaf oktober 2024 verplicht te stellen voor overheidsorganisaties, dus ook voor gemeenten. Naar verwachting treden in dat kader de Cyberbeveiligingswet (Cbw) in oktober 2025 in werking.

Alle overheden zijn eind 2023 door het Ministerie aangewezen als essentiële entiteiten voor de (digitale) veiligheid van Nederland. Dit betekent dat gemeenten aantoonbaar moeten voldoen aan de nieuwe Cyberbeveiligingswet.

3

4

Volledig geformuleerd: Informatiebeveiliging gaat over het geheel aan preventieve, detectieve (opsporings-) en correctieve maatregelen, procedures en processen die de beschikbaarheid, integriteit en vertrouwelijkheid (BIV) van de informatie binnen een organisatie garanderen. Gemeenten hebben in 2013 in VNG-verband afgesproken te voldoen aan de maatregelen van de Baseline Informatiebeveiliging Gemeenten (BIG). De BIG is vanaf 2020 vervangen door de Baseline Informatiebeveiliging Overheid (BIO). De baseline is gebaseerd op de kwaliteitsnormen NEN-ISO/IEC 27001:2017 en de NEN-ISO/IEC 27002:2017.

5

In dit onderzoek worden beide onderwerpen, informatiebeveiliging en privacy, geadresseerd. Mens, techniek, organisatie

Informatieveiligheid wordt vaak nog enkel vanuit een technische invalshoek benaderd. De ervaring leert evenwel dat technische oplossingen te organiseren zijn, hoewel deze natuurlijk ook in de praktijk moeten werken ("the proof of the pudding is in the eating"). Naast techniek zijn mens en organisatie essentieel bij informatiebeveiliging en privacy. Cruciale factoren die de informatieveiligheid bepalen zijn houding en gedrag van de menselijke actor, kortom bewustwording op risico’s bij medewerkers en lijnmanagement. Ook moeten de organisatorische randvoorwaarden gecreëerd zijn om techniek en mens te ondersteunen. Beleid en protocollen moeten daarvoor opgesteld en vastgesteld zijn en in de praktijk worden toegepast. Om dat optimaal te laten slagen moet beleid op informatiebeveiliging en privacy gedragen en uitgedragen worden door bestuur en directie van de gemeente.

2.3 Aanpak Methoden

De onderzoeksvragen worden beantwoord door middel van een analyse van documenten in deskresearch, interviewverslagen en testen. De documenten bevatten beleid en rapportages van de gemeente. De documenten die zijn bestudeerd zijn in bijlage 3 opgenomen, evenals de functies van de bestuurders en functionarissen van de gemeente Zwolle die zijn geïnterviewd. De deskresearch vond plaats in de periode novemberdecember 2024. De interviews zijn in februari 2025 afgenomen.

Pentesten

In december 2024 – februari 2025 zijn in het kader van het rekenkameronderzoek verschillende pentesten uitgevoerd op de systemen.5 Door SSC ONS zijn eerder pentesten uitgevoerd op de systemen. De resultaten van deze test zijn gedeeld met de rekenkamer en besloten is deze niet in het kader van rekenkameronderzoek nogmaals uit te voeren. In een vroeg stadium is door de rekenkamer en de onderzoeker overleg gevoerd met ambtenaren over de scope van de testen in het kader van het rekenkameronderzoek. Besloten is een wifi netwerk test, een Active Directory (AD) audit en een inlooptest met mystery guests uit te voeren. Daartoe is besloten, deels omdat deze testen nog niet of lang geleden zijn uitgevoerd, deels omdat deze een goed beeld geven van de veiligheid van de systemen. Voor een nadere uitleg van deze testen en de resultaten zie §8.1. Ook zijn in het kader van het rekenkameronderzoek phishing mails verstuurd naar een steekproef van medewerkers en bestuurders van de

5

Een pentest of penetratietest is een toets van een of meer computersystemen op kwetsbaarheden, waarbij deze kwetsbaarheden gebruikt kunnen worden om in deze systemen in te breken.

6

gemeente, inclusief raadsleden.6 Voor een uitleg van deze test en de resultaten zie §5.1. De nota van bevindingen is op … mei 2025 voor de ambtelijke hoor en wederhoor (feitencheck) aangeboden. Het definitieve rapport is op … voor de bestuurlijke hoor en wederhoor aan het College van B&W aangeboden.

6

Phishing is een vorm van internet oplichting en fraude, door middel van een vals e-mail bericht 'hengelen' naar inlog- of andere persoonsgegevens.

7

3 Organisatie In dit hoofdstuk gaan we in op de bevindingen met betrekking tot de onderzoeksvragen 1 t/m 4, de factor beleid. De normen die hiervoor gelden zijn als volgt beoordeeld, zie tabel 4.1. Hierbij wordt onder andere nagegaan of het beleid risicogebaseerd is en op strategisch, tactisch en operationeel niveau actueel is om informatieveiligheid en gegevensbescherming te borgen. En of de functionarissen op deze terreinen adequaat gepositioneerd en geëquipeerd zijn.

Onderzoeksvragen 1-4

Tabel 4.1. Onderzoeksvragen 1 - 4, normen en beoordeling.7 Onderzoeksvragen

Normen

1: Wat is het beleid van de gemeente Zwolle op het gebied van informatieveiligheid en voldoet dit aan de actuele standaarden?

Oordeel

De gemeente beschikt over een actueel overkoepelend informatiebeveiligingsbeleid dat op onderdelen is uitgewerkt in specifieke procedures en/of richtlijnen. De inhoud van het informatiebeveiligingsbeleid sluit aan op good practices, zoals de BIO2 en andere relevante wet- en regelgeving (zoals de AVG). De gemeente beschikt over een actueel informatiebeveiligingsplan met concrete activiteiten om nader invulling te geven aan diverse onderdelen van het informatiebeveiligingsbeleid. Op basis van de activiteiten is er een urenraming en budget opgesteld. De gemeente besteedt 10% van het ICT-budget aan maatregelen ter bevordering van informatieveiligheid. 2: Hoe gaat Zwolle om Er worden met voldoende frequentie GAP- en risicoanalyses met risico’s en incidenten uitgevoerd. In de analyses zijn de belangrijkste risico’s op het gebied van geïdentificeerd en worden verbetermaatregelen getroffen op informatieveiligheid? de risico’s die niet geaccepteerd worden.

Voldoet deels

3: Zijn de functionarissen op informatiebeveiliging en gegevensbescherming met betrekking tot hun taak juist gepositioneerd?

Taken en verantwoordelijkheden rond informatiebeveiliging en de bescherming van (bijzondere) persoonsgegevens zijn duidelijk belegd in de organisatie. De functionarissen op informatiebeveiliging zijn goed gepositioneerd om hun rol te kunnen vervullen.

Voldoet

4: Hoe wordt dit beleid uitgevoerd op strategisch, tactisch en operationeel niveau?

Het beleid zoals vastgesteld op strategisch niveau wordt op tactisch niveau ingevuld met de benodigde protocollen en op operationeel niveau uitgewerkt in richtlijnen en werkwijzen Het beleid wordt op strategisch, tactisch en operationeel uitgevoerd zoals is vastgelegd Het normenkader van de BIO2 en de doelstellingen van de gemeente op informatieveiligheid worden gerealiseerd

Voldoet deels

Voldoet deels

Onbekend Voldoet

Voldoet deels

Voldoet deels Voldoet deels

3.1 Strategisch beleid Het informatiebeveiligingsbeleid is het kader voor passende technische en organisatorische maatregelen om informatie te beschermen en te 7

De onderzoeksvragen en de normen waarop beoordeeld wordt zijn in de tabel opgenomen, zie voor alle normen onderzoeksvragen en normen bijlage 2. De beoordeling varieert van: voldoet = voldoet volledig aan de gestelde norm; voldoet deels = voldoet niet geheel aan de norm; voldoet niet = voldoet geheel niet aan de norm; onbekend = niet na te gaan.

8

waarborgen, waarmee de gemeente voldoet aan relevante wet- en regelgeving en zodat de dienstverleningsambities en bedrijfsvoering worden gefaciliteerd. Er is een algemeen privacybeleid en een strategisch informatieveiligheidsbeleid 2022-2026 vastgesteld door het college. Maar door de nieuwe Europese cybersecurity-wetgeving (zie §4.2) wordt dit jaar al een nieuw beleid opgesteld. In het strategische informatieveiligheidsbeleid zijn de ambities van de gemeente opgenomen en de rollen en verantwoordelijkheden beschreven. “Het is de ambitie om als gemeente Zwolle in de informatiemaatschappij een volwaardige en betrouwbare plek in te nemen, nu en in de toekomst. Om de ambitie te kunnen realiseren zorgen we er voor dat de ambtelijke organisatie op zijn taken is toegerust: de basis is en blijft op orde. Dit betekent dat medewerkers op hun taken zijn toegerust, bijbehorende risico’s onderkennen en de processen, gegevens en systemen op orde zijn.” De gemeente Zwolle wil deze ambitie uitstralen naar burgers, bedrijven en ketenpartners. De verschillende strategische doelen zijn als volgt geformuleerd:

Strategisch beleid

• • • • • • • •

Het managen van de informatiebeveiliging. Het minimaliseren van risico’s van menselijk gedrag. Het garanderen van betrouwbare en veilige informatievoorzieningen. Het beheersen van de toegang tot informatiesystemen. Het waarborgen van veilige informatiesystemen. Het adequaat reageren op en afhandelen van incidenten. Het beschermen van kritieke bedrijfsprocessen. Het beschermen en correct verwerken van persoonsgegevens van burgers en medewerkers. • Het waarborgen van de naleving van dit beleid. De gemeenteraad is opgenomen als partij die geïnformeerd wordt, maar heeft geen rol als adviseur/controleur toebedeeld gekregen. Governance

De directie en het bestuur van de gemeente worden door respondenten ervaren als doordrongen van het belang van informatieveiligheid en gegevensbescherming. Wat betreft bestuurders zijn twee portefeuillehouders van belang. Een op de Digitale transitie (Smart City) en privacy (AVG) en een op bedrijfsvoering en ICT. De burgemeester is betrokken, onder andere vanuit de landelijke rol als voorzitter VNG-commissie Informatiesamenleving, verantwoordelijk voor de totstandkoming van de Digitale Agenda 2024-2028, de en veiligheidsregio IJsselland.

Continuïteitsplan ICT Zwolle 2022

Vanaf 2022 heeft de gemeente Zwolle een continuïteitsplan ICT. Doel is om om langdurige stagnatie van kritische bedrijfsprocessen van de gemeente te voorkomen. Daarvoor is een proces voor continuïteitsbeheer ingericht. Om de noodzakelijke stappen zo effectief en efficiënt mogelijk te nemen na het optreden van een calamiteit is volgens het continuïteitsplan oefening noodzakelijk. Het SSC ONS heeft in 2024 een eigen Crisisplan opgezet.

SSC ONS

De IT is uitbesteed aan de gemeenschappelijke regeling van het Shared Service Centre ONS (SSC ONS), daarin werkt de gemeente Zwolle op een aantal uitvoeringstaken samen met de provincie Overijssel en de gemeenten Kampen, Dalfsen, Westerveld, Zwartewaterland en Ommen. Het informatieveiligheidsbeleid is onderling met de partners afgestemd, de

9

gemeente Zwolle loopt daarbij wat betreft timing iets voor. SSC ONS wil zoveel mogelijk afspraken uniformeren om de maximale potentie van de ‘economies of scale’ te benutten. In 2021 is door de gemeente Zwolle het programma Datagedreven werken (DGW) opgezet om het gebruik van data en het ontwikkelen van datagedreven oplossingen binnen de gemeente te stimuleren. In oktober 2023 is een DGW werkgroep samengesteld, bestaande uit medewerkers uit de organisatie én de afdeling Informatievoorziening (IV) onder begeleiding van een externe partij. In 2024 zijn Datateams in de organisatie goedgekeurd.

Datagedreven werken

In het kader van eigenaarschap van DGW en de constatering dat de gemeente Zwolle verantwoordelijk is voor de juiste inwinning en gebruik van gegevens worden als uitgangspunten onder andere vastgesteld: -

Alle medewerkers zijn verantwoordelijk voor het uitvoeren van beleid rond privacy, veiligheid en ethiek. Eigenaarschap van de data ligt op operationeel niveau in de organisatie. Hiervoor zouden de medewerkers in de lijn ondersteund moeten worden door ‘ambassadeurs’ op informatiebeveiliging en privacy. Die ‘functionarissen’ zijn niet dekkend over alle afdelingen gerealiseerd. In de plaats daarvan wordt gewerkt met contactpersonen, die de relatie tussen enerzijds de afdeling en anderzijds CISO, FG en Privacy en Information Security Officers (PISO) onderhouden.

3.2 Tactisch en operationeel Tactisch niveau privacy

Op privacygebied zijn de protocollen er zoals de AVG die heeft voorgeschreven. Dat zijn onder andere voorschriften voor de inzageverzoeken, die via DigiD ingediend kunnen worden. Het melden van datalekken, zodat medewerkers weten waar ze datalekken kunnen melden en dat er gestructureerd opvolging aan wordt gegeven. En er is een verwerkingsregister met de informatie over de persoonsgegevens die de gemeente verwerkt, of die namens de gemeente worden verwerkt. Uit de interviews blijkt dat het register nog geen volledige dekking heeft. Uit het verslag van de FG blijkt dat op het aantal data protection impact assessments (dpia), bedoeld om de risico’s bij verwerkingsprocessen in kaart te brengen een inhaalslag gemaakt moet worden. Daardoor zijn niet alle risico’s met betrekking tot de verwerking van persoonsgegevens bekend.