<b>Bijsluiter</b>. De hyperlink naar het originele document werkt niet meer. Daarom laat Woogle de tekst zien die in dat document stond. Deze tekst kan vreemde foutieve woorden of zinnen bevatten en de opmaak kan verdwenen of veranderd zijn. Dit komt door het zwartlakken van vertrouwelijke informatie of doordat de tekst niet digitaal beschikbaar was en dus ingescand en vervolgens via OCR weer ingelezen is. Voor het originele document, neem contact op met de Woo-contactpersoon van het bestuursorgaan.<br><br>====================================================================== Pagina 1 ======================================================================

<pre>Aan:                          Gemeenteraad
Portefeuillehouder:           Greet Buter
Betreft:                      Stand van zaken informatiebeveiliging gemeente Deurne 2023 (ENSIA-verantwoording)
Datum:                        18 maart 2024


Inleiding
Het college van burgemeester en wethouders van de gemeente Deurne legt over het jaar 2023
verantwoording af over de stand van zaken op het gebied van informatiebeveiliging binnen de gemeentelijke
organisatie. Dit gaat op basis van de landelijke en voor gemeenten verplichte Eenduidige Normatiek Single
Information Audit (ENSIA) systematiek. We leggen verantwoording af aan de gemeenteraad (horizontale
verantwoording) en aan de verschillende toezichthouders (verticale verantwoording).

Scope
De ENSIA-verantwoording voor het jaar 2023 gaat over onderstaande onderdelen:
    • Implementatie van de Baseline Informatiebeveiliging Overheid (BIO) - Zelfevaluatie
    • Structuur Uitvoeringsorganisatie Werk en Inkomen (Suwinet) – Geauditeerde zelfevaluatie
    • Digitale Persoonsidentificatie (DigiD) – Geauditeerde zelfevaluatie
    • Basis Registratie Personen (BRP) - Zelfevaluatie
    • Paspoort Uitvoeringsregeling Nederland (PUN) - Zelfevaluatie
    • Basisregistratie Grootschalige Topografie (BGT) - Zelfevaluatie op datakwaliteit
    • Basisregistratie Adressen en Gebouwen (BAG) - Zelfevaluatie op datakwaliteit
    • Basisregistratie Ondergrond (BRO) - Zelfevaluatie op datakwaliteit.




ENSIA-verantwoording
Onderstaande tabellen geven per ENSIA-onderdeel een korte toelichting, bevindingen en de stand van zaken
weer. Voor de leesbaarheid is per onderdeel met behulp van kleuren de algemene status weergegeven.

Legenda:

       Ruim voldoende tot
                                            Voldoende                          Redelijk                      Onvoldoende
             goed
   Onderdeel is volledig op orde,    Onderdeel is globaal op orde,   Onderdeel is net niet in control   Onderdeel is niet in control
             in control                       in control                (BIO: score 75% – 89%)            (BIO: score 0% – 74%)
     (BIO: score 95% – 100%)           (BIO: score 90% – 94%)

       Mogelijk zijn er minimale     Er zijn enkele verbeterpunten   Er zijn meerdere verbeterpunten    Er zijn veel verbeterpunten,
          verbeterpunten                                                                                      bijsturing is nodig




Stand van zaken informatiebeveiliging gemeente Deurne 2023                                                    pagina 1 van 5
</pre>

====================================================================== Einde pagina 1 =================================================================

<br><br>====================================================================== Pagina 2 ======================================================================

<pre>Verantwoording over de Baseline Informatiebeveiliging Overheid (BIO)
De onderstaande tabel geeft de globale stand van zaken over informatiebeveiliging volgens de BIO.
 ENSIA-stelsel         Toelichting, bevindingen & stand van zaken                                                         Status

 Implementatie BIO Om op het gebied van informatieveiligheid weerbaar te blijven volgen we de landelijke                       89%
 Baseline                Baseline Informatiebeveiliging Overheid (BIO). Deze BIO is het normenkader binnen we op
 Informatiebeveiliging   basis van een eigen risico-afweging keuzes maken in het implementeren van beheers- en
 Overheid                beveiligingsmaatregelen. Hierbij blijft een basispakket aan generieke maatregelen voor iedere
                         (overheid)organisatie verplicht.

                         Het toenemende dreigingsniveau vergt steeds meer aandacht voor informatiebeveiliging.
                         Frequente en steeds geavanceerdere aanvallen op een samenleving die afhankelijk is van
                         digitale systemen, maken dat er meer nodig is om veilig en weerbaar te blijven. Dit is ook te
                         zien in nieuwe landelijke wet- en regelgeving (implementatie van de NIS2) die eind 2024
                         wordt verwacht. We zullen moeten blijven investeren in brede kennis en bewustzijn,
                         technische maatregelen, controles en in voldoende en kundig personeel. Vanaf 2021 is met
                         het Informatiebeleidsplan (IBP) structureel extra budget beschikbaar gesteld. Gezien het
                         toenemende dreigingsniveau is niet zeker dat dit extra budget in de toekomst voldoende is.

                         Over het geheel scoren we ons zelf voor informatiebeveiliging net onvoldoende. Dit volgt uit
                         de resultaten van een zelfevaluatie op de verschillende ENSIA-onderdelen, ondersteund met
                         een externe audit. Er blijft dus werk aan de winkel. Actie- en verbeterpunten worden
                         opgenomen in de jaarplanning van de organisatie.

                         De toezegging aan de raad om eind 2023 op de BIO-zelfevaluatie 90% te scoren is bijna
                         gehaald. We zitten op 89%. Het project voor Monitoring, Detectie en Response (MD&R) en
                         het beleid over logging waren in december 2023 nog niet afgerond. De verwachting is dat dit
                         na het tweede kwartaal van 2024 wel gereed is.




Stand van zaken informatiebeveiliging gemeente Deurne 2023                                                    pagina 2 van 5
</pre>

====================================================================== Einde pagina 2 =================================================================

<br><br>====================================================================== Pagina 3 ======================================================================

<pre>Verantwoording per ENSIA-stelsel
De onderstaande tabel geeft per ENSIA-stelsel (domein) een toelichting, bevindingen en de stand van zaken.
 ENSIA-stelsel         Toelichting, bevindingen & stand van zaken                                          Status

 Suwinet                  Suwinet wordt gebruikt voor het uitvoeren van de Participatiewet en de Wet                           83%
 Structuur                Inkomensvoorziening Oudere en gedeeltelijk Arbeidsongeschikte Werknemers (IOAW) en
 uitvoeringsorganisatie   gewezen Zelfstandigen (IOAZ). De uitvoering van deze taken is belegd bij Senzer. Zij
 Werk en Inkomen          gebruiken hierbij Suwinet-Inkijk.

                          Duiding resultaat
                          Vanwege de hoeveelheid en gevoeligheid van (persoons)gegevens binnen Suwinet is
                          bepaald dat naast de jaarlijkse zelfevaluatie ook extern getoetst wordt op naleving van de
                          normen. Het onderzoek van de externe auditor geeft aan dat de Senzer (en daarmee de
                          gemeente Deurne) in 2023 niet voldeed aan de wettelijk gestelde eisen en normen.

                          Vooruitblik
                          Senzer voert een verbeterplan uit om te zorgen dat in 2024 wel wordt voldaan.

 DigiD                    DigiD is voor inwoners de manier om zichzelf digitaal te identificeren. Inwoners gebruiken           100%
 Digitale                 DigiD voor het aanvragen van diensten via formulieren op onze website en in de toekomst
 Persoonsidentificatie    voor het inzien van de eigen zaken.

                          Onvoldoende of onjuist beheer van een DigiD-aansluiting kan grote gevolgen hebben voor
                          de landelijke keten en uiteindelijk persoonsinformatie van inwoners. Daarom heeft de
                          toezichthouder bepaald dat iedere DigiD-aansluiting naast een jaarlijkse zelfevaluatie ook
                          extern getoetst wordt op naleving van de normen.

                          Duiding resultaat
                          Het onderzoek van de externe auditor geeft aan dat onze processen rondom DigiD op orde
                          zijn. Wij voldoen aan de gestelde informatiebeveiligingsnormen. Ook onze leveranciers van
                          applicaties waarop inwoners met DigiD aanmelden zijn extern geaudit. Zowel hun processen
                          als de technische beveiliging van hun applicatie voldoen aan de normen.

 BRP                      BRP is de basisregistratie waarin alle inwoners zijn geregistreerd. Gemeenten beheren deze           100%
 Basis Registratie        BRP voor hun inwoners. Uiteindelijk worden alle BRP-registraties landelijk gekoppeld, zodat
                          overheidsinstanties, zorgverleners en andere dienstverleners die gebruik mogen maken van
 Personen
                          deze BRP beschikken over de juiste persoonsinformatie. Vanwege het grote landelijke belang
                          rondom de BRP zijn gemeenten verplicht om jaarlijks een zelfevaluatie uit te voeren.
 Deel 1
 bestandscontrole op      Duiding resultaat
 persoonslijsten          Bij de bestandscontrole in de Basisregistratie personen van 20 november 2023 is 100% van
                          de actuele persoonslijsten correct bevonden. Dit is in lijn met eerdere jaren, waarin de score
                          steeds nagenoeg hetzelfde positieve resultaat liet zien. Dit voldoet ruimschoots aan de
                          landelijke norm.
 BRP                      Aan de hand van brondocumenten is een steekproefsgewijze inhoudelijke controle
                          uitgevoerd naar de juiste verwerking daarvan in de basisregistratie. De steekproef wordt
                                                                                                                               90%
 Deel 2                   uitgevoerd aan de hand van brondocumenten die in de afgelopen 10 jaar in de BRP zijn
 Inhoudelijke controle    opgenomen.
 op de persoonslijsten
                          Duiding
                          De resultaten voldoen niet op alle aspecten aan de norm. Dit is het gevolg van een hoger
                          verloop van ervaren medewerkers.

                          Vooruitblik
                          In 2024 wordt ingezet op goed opleiden en een intensievere controle van de mutaties in de
                          BRP zodat fouten tijdig opgemerkt en gecorrigeerd kunnen worden.




Stand van zaken informatiebeveiliging gemeente Deurne 2023                                                    pagina 3 van 5
</pre>

====================================================================== Einde pagina 3 =================================================================

<br><br>====================================================================== Pagina 4 ======================================================================

<pre> ENSIA-stelsel            Toelichting, bevindingen & stand van zaken                                                    Status

 BRP                      Door middel van een zelfevaluatie vragenlijst is dit de uitvoering de BRP processen
                          onderzocht. In de vragenlijst staan vragen over de procedures die gevolgd worden bij het
                                                                                                                             90%
 Deel 3                   verwerken en beveiligen van persoonsgegevens.
 Uitvoering van de
                          Duiding resultaat
 processen
                          De gemeente scoort 90%. Vorig jaar was de score 95%. Het eindresultaat voor dit onderdeel
                          is desondanks nog voldoende. De oorzaak is te herleiden naar structureel onvoldoende
                          capaciteit op kwaliteitsbeheer, hoog verloop en een piekbelasting door de verkiezingen.

                          Vooruitblik
                          Vanaf 2024 is extra de formatie op kwaliteitsbeheer toegekend.

 PUN                      Gemeenten verzorgen de aanvraag en het uitreiken van reisdocumenten voor hun inwoners.             91%
 Paspoort                 Reisdocumenten zijn erg waardevol en vaak de sleutel tot identiteitsfraude. De processen
 Uitvoeringsregeling      rondom het aanvragen en uitreiken zijn daarom strikt. De burgemeester is verantwoordelijk
 Nederland                voor de borging van deze processen en moet hierover jaarlijks verantwoording afleggen aan
                          de minister van Binnenlandse Zaken en Koninkrijksrelaties. Via de ENSIA-verantwoording
                          infomeren we ook het eigen bestuur over de stand van zaken.

                          Duiding resultaat
                          De zelfevaluatie PUN over het jaar 2023 is afgerond met een score van 91%
                          Dit is een voldoende eindresultaat. Vorig jaar was de score 94%. Ook hier is de oorzaak van
                          de achteruitgang te herleiden naar structureel onvoldoende capaciteit op kwaliteitsbeheer,
                          hoog verloop en een piekbelasting door de verkiezingen.

                          Vooruitblik
                          Vanaf 2024 is extra de formatie op kwaliteitsbeheer toegekend.

 BAG                      De BAG bevat gemeentelijke basisgegevens van alle adressen en gebouwen in een                      92%
 Basisregistratie         gemeente. Kopieën van al deze gegevens zijn verzameld in een landelijke voorziening. Deze
 Adressen en              voorziening wordt landelijk gebruikt door overheden, organisaties en particulieren. Net als
 Gebouwen                 alle andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom
                          het beheer van deze BAG.

                          Duiding resultaat
                          De zelfevaluatie BAG over het jaar 2023 is afgerond met een score van 92%. Hiermee
                          voldoen we aan de landelijk gestelde norm van minimaal 75%. Vorig jaar was de score 88%.

                          Vooruitblik
                          Omdat we bij het thema actualiteit met 95% net onder de norm scoren gaan we hier meer
                          aandacht op leggen. Het blijkt vooral te zitten in de coördinerende vergunningen. Deze
                          informatie krijgen we niet of te laat. Dit proces wordt beter ingericht.

 BGT                      De BGT is een digitale kaart van Nederland waarop gebouwen, wegen, waterlopen, terreinen           72%
 Basisregistratie         en spoorlijnen eenduidig zijn vastgelegd. Kortom: de inrichting van de fysieke omgeving. De
 Grootschalige            BGT is een landelijk uniforme registratie die alleen gemaakt kan worden vanuit een goede
 Topografie               samenwerking tussen de diverse bronhouders. Gemeenten zijn als bronhouder
                          medeverantwoordelijk voor de kwaliteit van deze landelijke basisregistratie. Net als alle
                          andere bronhouders verantwoorden we ons jaarlijks over de stand van zaken rondom het
                          beheer van deze BGT.

                          De BGT is gegenereerd uit de geometrische databron Kernregistratie Topografie (KRT) voor
                          haar informatie. De KRT is een interne databron binnen onze organisatie waarin alle
                          geografische objecten van de gemeente Deurne zijn geregistreerd. De KRT is leverancier van




Stand van zaken informatiebeveiliging gemeente Deurne 2023                                                  pagina 4 van 5
</pre>

====================================================================== Einde pagina 4 =================================================================

<br><br>====================================================================== Pagina 5 ======================================================================

<pre> ENSIA-stelsel            Toelichting, bevindingen & stand van zaken                                                       Status
                          data naar de overige basisregistraties BAG, BGT en de BRO, waarbij wordt voldaan aan de
                          wet- en regelgeving.

                          Duiding resultaat
                          De zelfevaluatie BGT over het jaar 2023 is afgerond met een score van 72%. Hiermee
                          voldoen we niet aan de landelijk gestelde norm van minimaal 75%. Vorig jaar was de score
                          75%.

                          Vooruitblik
                          De BGT is de afgelopen 2 jaar geplaagd door capaciteitsproblemen vanwege ziekte. De
                          verwachting is hier door inhuur in 2024 verbetering komt. Ook het beschrijven van de
                          procesketen tussen BAG en BOR met bijbehorende werkinstructies en handleidingen zal
                          bijdragen aan de continuïteit van de uitvoering van het werk.
 BRO                      De BRO bevat bodem- en ondergrondgegevens. Het gebruik van deze gegevens is de laatste              94%
 Basisregistratie         decennia sterk toegenomen. Een goede informatievoorziening over de ondergrond is van
 Ondergrond               wezenlijk belang voor het realiseren van bestuurlijke ambities als het omgevingsplan, de
                          energietransitie, watertoets en dergelijke. Als we willen dat onze inwoners hier ook actief in
                          participeren, moet het fundament hiervoor op orde en goed ingevuld zijn. De BRO is een van
                          de elementen die de verschillende opgaves mogelijk moeten maken. De gemeente is
                          bronhouder voor deze basisregistratie. Net als alle andere bronhouders verantwoorden we
                          ons jaarlijks over de stand van zaken rondom het beheer van deze BRO.

                          Als men kijkt naar de geproduceerde hoeveelheid gegevens die onder de eerste 4 tranches
                          van de BRO valt, is dat relatief weinig te noemen. Dat heeft als gevolg dat er nog weinig
                          ervaring is opgedaan met het werkproces.

                          Duiding resultaat
                          De zelfevaluatie BRO over het jaar 2023 is positief afgerond met een score van 94%. Hiermee
                          voldoen we ruim aan de landelijk norm. Vorig jaar was de score 99%. De ENSIA-score van
                          BRO is nog erg theoretisch en moet met enige nuance bekeken worden.

                          Verbeterdoelen
                          Het monitoren van projecten in de Openbare ruimte wordt uitgevoerd door het
                          Projectenbureau. Het is zaak om alert te blijven op contracten en opdrachten die worden
                          uitgezet binnen de organisatie waarbij sprake is van objecten uit de BRO. De fine-tuning van
                          de processen binnen de organisatie wordt aan de hand van concrete casussen uit de BRO
                          aanlevering uitgevoerd met als doel om de borging van het proces waar mogelijk te
                          verbeteren.




Stand van zaken informatiebeveiliging gemeente Deurne 2023                                                   pagina 5 van 5
</pre>

====================================================================== Einde pagina 5 =================================================================

<br><br>