<b>Bijsluiter</b>. De hyperlink naar het originele document werkt niet meer. Daarom laat Woogle de tekst zien die in dat document stond. Deze tekst kan vreemde foutieve woorden of zinnen bevatten en de opmaak kan verdwenen of veranderd zijn. Dit komt door het zwartlakken van vertrouwelijke informatie of doordat de tekst niet digitaal beschikbaar was en dus ingescand en vervolgens via OCR weer ingelezen is. Voor het originele document, neem contact op met de Woo-contactpersoon van het bestuursorgaan.<br><br>====================================================================== Pagina 1 ======================================================================

<pre>Gemeente WATERLAND

2
</pre>

====================================================================== Einde pagina 1 =================================================================

<br><br>====================================================================== Pagina 2 ======================================================================

<pre>Inhoud

1. Inleiding … … … an vas secs cesses ensen cesses wenen oneens wensen coecee cence coeseesesses wensen oneens wensen oneens venen ene sessenaesace seeseees
2. Samenvatting resultaten zelfevaluatie 2022 … an env sao one aoe aoe on aac ann ene cence verven son ven en en aen venen ens
3. Uitkomsten IT audit DigiD en Suwinet … … … … … ue sesso ver sac vor onsen ono vor wonnen ono one enen ou one van versen one cesses
3.2. _ SUwinet … una versen vorser en see en sen venen cence oenen on ace one ene ann ene von ane ene voe anw ene voe ene verden vonden men den ven aen wen aen oenen enen
3.3. Collegeverklaring DigiD en Suwinet en assurance rapport IT auditor … van oan van ou vor ooo one oen
4. Uitkomsten BRP en Reisdocumenten … … … … sas sar cesses esses men aan men oen couse couse ann are ann are annan nnnnnnene ame

4.1. Inleiding … u sansee onser venen cesses wensen arvava vennen coesee vennen ene cee savannen aen soeces enen one ans ven an ene ans van aan menace ane van verwen
4.3. Reisdocumenten... naan sao one aoe ann ene nenede vor ven von see enen ven sen aen ven ven dee en aen ven aen sem een oenen one ace en ace omeen ecn
4.4. Verbeterpunten BRP en Reisdocumenten … a on aa oa aan senses ven ver voren ene aan ven aan men vee ane ane one enn eeens
5. STELTEN
5.1. Achtergrond van de BIO … … … … … a oac ooo son ver ooo oovonsen coesescensen ses one vas vennen ver seseeeess eee saseeease nee see saseeees

5.2. Categorie 1: Beleid en organisatie… … … … … ue verst vur sne enen seer vanen our are ee van mensen ene ver ensen ene aae ennen nene
5.3. Categorie 2: Personeel en toegang … … … sac vossen ver ooo son sonsen coesescensss ver oac verwennen ono vor aes een casseseeeeees
5.4. Categorie 3: Continuïteit en incidenten … … … … nea venae soo soo sce sen one onsen veneus one vanen san ono von son sen ono vor wonsons
5.5. Categorie 4: Informatiesystemen … … … … sne sse ussen sen serene ensen coesee venen eneceesenacs men aes oaeen menu ans senses sens
5.6. Categorie 5: Databescherming … … … … … oasen sac oo sos son ver oac vor sensoa ver vac versen sen ono nendes een ono ver vennen ono ono vevverns

6. Incidenten … … eo ne verven suo one vanen san one vaa vonsen coesescenass eee ono var sonson cee ono sesceness coe vas vou won ees ono ver see sen cas onvoor vouwen

Bijlagen:

1. Tekst Collegeverklaring ENSIA 2022 …… assen su one soo von ven oa one von von non one ono venen as one vaa vennen coeseecensesses ere

Overige bijlagen:

(separaat vastgesteld door het college en daarna als bijlage bij de Jaarrekening op te nemen)
Verantwoordingsrapportage BAG, BGT en BRO 2022, kenmerk 25444-2022:687602
Verantwoordingsrapportage WOZ 2022, kenmerk 25444-2022:854599

o oO DON NN NNN DD DD RK WwW

s op
a 0 0

=
N

13

11351-2023:532262 Jaarrapportage informatieveiligheid 2022 gemeente Waterland

Pagina 2 van 14
</pre>

====================================================================== Einde pagina 2 =================================================================

<br><br>====================================================================== Pagina 3 ======================================================================

<pre>1. Inleiding

De gemeente streeft naar continue en betrouwbare dienstverlening, het zorgvuldig omgaan met informatie en
het beheersen van risico’s. Met de ambitie te voldoen aan de Baseline Informatiebeveiliging Overheid (BIO),
het basisnormenkader voor informatieveiligheid en wet- en regelgeving, waaronder de Algemene Verordening

Gegevensbescherming (AVG) en het nakomen van het eigen informatiebeveiligings- en privacy beleid.

Deze rapportage geeft op hoofdlijnen de uitkomsten weer van de gemeente-brede uitgevoerde zelfevaluatie
informatieveiligheid over het jaar 2022, Deze zelfevaluatie is gebaseerd op de BIO en is uitgevoerd in de
periode juli t/m december 2022, Wij rapporteren als gemeente Waterland op één moment in het jaar over de
status van onze informatieveiligheid. De methodiek daarvoor is de ‘Eenduidige Normatiek Single Information
Audit’ (ENSIA). Via ENSIA wordt verticaal verantwoording afgelegd aan de toezichthouders van de
rijksoverheid en horizontaal aan de gemeenteraad. Voor de verantwoording aan de gemeenteraad sluit ENSIA
middels deze jaarrapportage aan op de gemeentelijke Planning & Control (P&C)-cyclus als onderdeel (bijlage)

van de Jaarrekening.

Verantwoording wordt afgelegd over de Basisregistratie Personen (BRP), de wetgeving voor Reisdocumenten
(Paspoortuitvoeringsregeling Nederland/PUN), de Basisregistratie Adressen en Gebouwen (BAG), de
Basisregistratie Grootschalige Topografie (BGT), de Basisregistratie Ondergrond (BRO), Waardering
Onroerende Zaken (WOZ), Digitale persoonsidentificatie (DigiD) en de Gezamenlijke elektronische
Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet). Daarnaast wordt de status
van informatieveiligheid in brede zin conform de BIO verantwoord inclusief enkele maatregelen en

verplichtingen op grond van de AVG.
In verband met het openbare karakter van deze jaarrapportage is geen detailinformatie opgenomen.

IT audit over DigiD en Suwinet

Voor 2022 geldt dat de verantwoording over DigiD en Suwinet aan de stelselhouders BZK/Logius en het
ministerie SZW wordt verantwoord door middel van een Collegeverklaring. Deze Collegeverklaring is opgesteld
op basis van de bevindingen uit de zelfevaluatie en onderbouwende bewijsstukken. De Collegeverklaring is
getoetst door een onafhankelijke IT auditor. Deze neemt de bevindingen op in een assurance rapport. Met de
vastgestelde Collegeverklaring en het assurance rapport voldoen wij aan de verantwoordingsplicht voor DigiD
en Suwinet. De uitkomsten uit de zelfevaluatie zijn op hoofdlijnen in deze rapportage opgenomen (hoofdstuk

3). De tekst van de Collegeverklaring treft u aan in bijlage 1.

Bestuurlijke verantwoording over de BAG, BGT, BRO en de WOZ

Voor de BAG, BGT, BRO en WOZ zijn over 2022 separate zelfevaluaties in ENSIA uitgevoerd. De domein
specifieke verantwoordingsrapportage BAG, BGT en BRO en de specifieke verantwoordingsrapportage WOZ
zijn als bijlage bij deze jaarrapportage opgenomen. De scores zijn opgenomen in de samenvatting resultaten

zelfevaluatie 2022 (hoofdstuk 2).

11351-2023:532262 Jaarrapportage informatieveiligheid 2022 gemeente Waterland

Pagina 3 van 14
</pre>

====================================================================== Einde pagina 3 =================================================================

<br><br>====================================================================== Pagina 4 ======================================================================

<pre>2. Samenvatting resultaten zelfevaluatie 2022

DigiD (IT audit) Conform Aan alle normen voldaan
college-
verklaring /
bevindingen
Resultaat 2021 Aan alle normen voldaan
Suwinet (IT audit) Conform Aan alle normen voldaan
college-
verklaring /
bevindingen
Resultaat 2021 Aan 2 normen niet voldaan
BRP domeinvragen Kwaliteitsmonitor RvlG 791 punten van 800 (98,8%)
BRP informatiebeveiligingsvragen ENSIA 1.030 punten van 1.200 (85,8%)
Samengevoegd resultaat 2022 90% 1.821 punten van 2.000 (91%)
Samengevoegd resultaat 2021 90% 1.843 punten van 2.000 (92%)
Reisdocumenten domeinvragen Kwaliteitsmonitor RvIG 780 punten van 800 (97,5%)
Reisdocumenten informatiebeveiligingsvragen ENSIA 995 punten van 1.200 (82,9%)
Samengevoegd resultaat 2022 90% 1.775 punten van 2.000 (88,7%)
Samengevoegd resultaat 2021 90% 1.820 punten van 2.000 (91%)
BAG 75% 64%
2021 82%
BGT 75% 29%
2021 31%
BRO 60% 61%
2021 88%
WOZ nvt 44,4%

2021 42,8%

11351-2023:532262 Jaarrapportage informatieveiligheid 2022 gemeente Waterland

Pagina 4 van 14
</pre>

====================================================================== Einde pagina 4 =================================================================

<br><br>====================================================================== Pagina 5 ======================================================================

<pre>Naast opzet van en verantwoording over de BIO is de BIO onderverdeeld in 5 categorieën (bouwstenen) en

omvat in totaal 206 maatregelen. Als aan één BIO-maatregel niet is voldaan is de conclusie ‘voldoet niet’.

Van de 206 maatregelen is aan 48 maatregelen niet voldaan (percentage voldaan 76,7%).

Achtergrond BIO

(hoofdstuk 2 opzet BIO en
hoofdstuk 4 verantwoording over de BIO)

Voldoet niet

Categorie 1: Beleid en organisatie

(hoofdstuk 5 informatiebeveiligingsbeleid,
hoofdstuk 6 organiseren van informatiebeveiliging
en hoofdstuk 18 naleving)

31

Voldoet niet

Categorie 2: Personeel en toegang

(hoofdstuk 7 veilig personeel,

hoofdstuk 9 toegangsbeveiliging en

hoofdstuk 11 fysieke beveiliging en beveiliging van
de omgeving)

59

Voldoet niet

Categorie 3: Continuïteit en incidenten

(hoofdstuk 16 beheer van informatie-
beveiligingsincidenten en

hoofdstuk 17 informatiebeveiligingsaspecten van
bedrijfscontinuïteitsbeheer)

20

Voldoet niet

Categorie 4: Informatiesystemen

(hoofdstuk 12 beveiliging bedrijfsvoering,
hoofdstuk 14 acquisitie, ontwikkeling en
onderhoud van informatiesystemen en
hoofdstuk 15 leveranciersrelaties)

57

21

Voldoet niet

Categorie 5: Databescherming

(hoofdstuk 8 beheer van bedrijfsmiddelen,
hoofdstuk 10 cryptografie en
hoofdstuk 13 communicatiebeveiliging)

32

Voldoet niet

11351-2023:532262 Jaarrapportage informatieveiligheid 2022 gemeente Waterland

Pagina 5 van 14
</pre>

====================================================================== Einde pagina 5 =================================================================

<br><br>====================================================================== Pagina 6 ======================================================================

<pre>3. Uitkomsten IT audit DigiD en Suwinet

3.1. DigiD

DigiD is het authenticatiemiddel voor onze online dienstverlening. Het object van onderzoek was de
webomgeving van DigiD aansluiting 999913 Digitaal Loket gemeente Waterland. De verantwoording aan de
stelselhouder BZK/Logius vindt plaats door middel van de Collegeverklaring. Deze omvat het op 31 december
2022 in opzet en bestaan voldoen van de beheersmaatregelen aan de geselecteerde normen inzake DigiD. De
beheersingsmaatregelen die zijn uitbesteed vallen buiten de reikwijdte van de Collegeverklaring. De
Collegeverklaring en de verantwoording van de dienstverlener dekken tezamen alle geselecteerde normen

inzake DigiD af.

Bevindingen

Voor DigiD aansluitnummer 999913 wordt door gemeente Waterland aan alle geselecteerde normen voldaan.

3.2. Suwinet

Suwinet is het systeem van informatie-uitwisseling in de keten van werk en inkomen. De gemeente Waterland
maakt gebruik van Suwinet voor de uitvoering van de Participatiewet, IOAZ en IOAW. Daarnaast maakt de
gemeente gebruik van Suwinet voor niet Suwi-taken. Dit betreft Suwinet/Burgerzaken voor adresonderzoek.
De verantwoording aan stelselhouder ministerie SZW vindt plaats door middel van de Collegeverklaring.
Inzake Suwinet heeft de Collegeverklaring zowel betrekking op de beheersingsmaatregelen van de gemeente
als op die van de uitbestede diensten aan GR-BVO Halte Werk (Zelfstandigenloket). De Collegeverklaring
omvat het op 31 december 2022 in opzet en bestaan voldoen van de beheersmaatregelen aan de

geselecteerde normen inzake Suwinet.

Bevindingen
Voor zowel de Suwinet-taken als niet Suwi-taken wordt door de gemeente Waterland aan alle geselecteerde

normen inzake Suwinet voldaan.

3.3. Collegeverklaring DigiD en Suwinet en assurance rapport IT auditor

De onafhankelijke IT auditor heeft op basis van de Collegeverklaring een voorlopig assurance rapport
afgegeven, Naar oordeel van de IT auditor is de Collegeverklaring ENSIA 2022 inzake informatiebeveiliging van
DigiD en Suwinet in alle van materieel belang zijnde aspecten juist. De Collegeverklaring informatiebeveiliging
DigiD en Suwinet is vastgesteld op 18 april 2023, waarna de definitieve assurance van de IT auditor volgt. De

tekst van de Collegeverklaring treft u aan in bijlage 1.

11351-2023:532262 Jaarrapportage informatieveiligheid 2022 gemeente Waterland

Pagina 6 van 14
</pre>

====================================================================== Einde pagina 6 =================================================================

<br><br>====================================================================== Pagina 7 ======================================================================

<pre>4. Uitkomsten BRP en Reisdocumenten

4.1. Inleiding

Over 2022 is de zelfevaluatie BRP en Reisdocumenten gescheiden uitgevoerd. De domein specifieke vragen
zijn beantwoord via de ‘Kwaliteitsmonitor’ van de Rijksdienst voor Identiteitsgegevens (RvIG) en de
informatiebeveiligingsvragen via ENSIA. De resultaten worden verstrekt in de vorm van uittreksels en zijn
weergegeven in een puntenaantal.

De managementrapportages en uittreksels BRP en Reisdocumenten zijn eind januari 2022 separaat
voorgelegd aan het college van burgemeester en wethouders voor de verantwoording aan de stelselhouders.

Alle actiepunten en aanbevelingen die in de managementrapportages zijn benoemd worden opgevolgd.

4.2. BRP

De normering die is gekoppeld schets een beeld van de toepassing van technische en organisatorische
beveiligingsmaatregelen en overige aspecten van processen rondom de BRP. Uit de zelfevaluaties blijkt dat de
gemeente Waterland goed scoort op de inrichting, de werking en de beveiliging van de basisregistratie, Het
samengevoegd resultaat van de domeinvragen en informatiebeveiligingsvragen is 1.821 punten van de

maximaal 2.000 punten. Dat geeft een percentage van 91%.

4.3. Reisdocumenten

De normering die is gekoppeld schets een beeld van de toepassing van technische en organisatorische
beveiligingsmaatregelen en overige aspecten van het aanvraag- en uitgifteproces paspoorten en NIK. Uit de
zelfevaluatie blijkt dat de gemeente Waterland op de beveiliging en overige aspecten van het aanvraag- en
uitgifteproces net onder de norm scoort. Het samengevoegd resultaat van de domein- en
informatiebeveiligingsvragen is 1.775 punten van de maximaal 2.000 punten, Dat geeft een percentage van

88,7%.

4.4. Verbeterpunten BRP en Reisdocumenten

Verbeterpunten voor zowel de BRP als de Reisdocumenten zijn het actualiseren en opnieuw vaststellen van
een autorisatiematrix en op basis daarvan een frequentere beoordeling van toegangsrechten, het
implementeren en inrichten van een ondersteunend securitymanagement systeem en het vaststellen van een

geactualiseerd back-up en restorebeleid. Deze punten worden in 2023 opgepakt.

11351-2023:532262 Jaarrapportage informatieveiligheid 2022 gemeente Waterland

Pagina 7 van 14
</pre>

====================================================================== Einde pagina 7 =================================================================

<br><br>====================================================================== Pagina 8 ======================================================================

<pre>5. Status BIO

In dit hoofdstuk is een uitwerking per onderdeel uit de ENSIA zelfevaluatie opgenomen. De vragenlijst
informatiebeveiliging BIO betreft BIO-maatregelen voor informatieveiligheid in brede zin, zowel de fysieke- als
logische beveiliging, en maatregelen ten aanzien van de Algemene Verordening Gegevensbescherming (AVG).
De BIO is met ingang van 1 januari 2020 van kracht. De vragen over de BIO-maatregelen zijn verdeeld over een
aantal categorieën. Als aan één BIO-maatregel niet is voldaan is de conclusie ‘voldoet niet’.

De beantwoording, die is onderbouwd met bewijsstukken, geeft aan of wel of niet aan de maatregelen wordt
voldaan, maar leidt niet tot een score.

Onderstaand zijn de bevindingen en op hoofdlijnen de tekortkomingen en verbetermaatregelen aangegeven.

5.1. Achtergrond van de BIO

Op basis van risicomanagement dient te worden bepaald hoe aan beveiligingsdoelstellingen voldaan kan
worden. Op basis van risicoafwegingen worden basisbeveiligingsniveaus (BBN) toegekend door
proceseigenaren. Vastgelegd moet worden welke controls en maatregelen niet van toepassing zijn. Alle
controls en maatregelen die wel van toepassing zijn, moeten intern zijn toebedeeld aan een

verantwoordelijke.

Bevindingen

Aan deze maatregelen is niet voldaan.

Tekortkoming

Er zijn door proceseigenaren nog geen BBN’s toegekend op basis van risicomanagement.

Verbetermaatregel

Processen zijn grotendeels vastgelegd. In 2023 worden rondom deze processen de risico’s, controls,

maatregelen en verantwoordelijkheden vastgelegd.

5.2. Categorie 1: Beleid en organisatie

Het bestuur en medewerkers zijn actief betrokken bij informatiebeveiliging. Er is een organisatie breed
informatiebeveiligingsbeleid dat richting en sturing geeft. De organisatie is effectief ingericht, waarbij rollen,
taken en bevoegdheden zijn ondergebracht. Verantwoording is structureel ingericht, zodat naleving is
geborgd.

Bevindingen

Aan deze maatregelen is niet voldaan.

11351-2023:532262 Jaarrapportage informatieveiligheid 2022 gemeente Waterland

Pagina 8 van 14
</pre>

====================================================================== Einde pagina 8 =================================================================

<br><br>====================================================================== Pagina 9 ======================================================================

<pre>•
•
•
•
•
•
•
•
•
•
•
•
</pre>

====================================================================== Einde pagina 9 =================================================================

<br><br>====================================================================== Pagina 10 ======================================================================

<pre>•
•
•
•
•
•
•
•
•
•
•
</pre>

====================================================================== Einde pagina 10 =================================================================

<br><br>====================================================================== Pagina 11 ======================================================================

<pre>•
•
•
•
•
•
•
•
•
•
•
•
•
</pre>

====================================================================== Einde pagina 11 =================================================================

<br><br>====================================================================== Pagina 12 ======================================================================

<pre>•
•
•
</pre>

====================================================================== Einde pagina 12 =================================================================

<br><br>====================================================================== Pagina 13 ======================================================================

<pre>Met deze verklaring geven wij, het college van burgemeester en wethouders, aan in welke mate
Gemeente Waterland voldoet aan de informatiebeveiligingsnormen voor DigiD en Suwinet.
Deze verklaring maakt onderdeel uit van de verantwoording over informatiebeveiliging middels
ENSIA1 en is tot stand gekomen door een zelfevaluatie over informatiebeveiligingsnormen. De inhoud
wordt getoetst door een onafhankelijke IT-auditor.
De verklaring is bestemd voor de stelselhouders van DigiD en Suwinet, te weten het ministerie van
Binnenlandse Zaken en Koninkrijksrelaties en het ministerie van Sociale Zaken en Werkgelegenheid.
De toetsing gaat over de opzet en het bestaan van de beheersingsmaatregelen om te kunnen voldoen
aan de relevante beveiligingsnormen voor DigiD en Suwinet op 31 december 2022.
De beheersingsmaatregelen inzake DigiD en Suwinet die zijn uitbesteed aan dienstverlener(s) worden
niet getoetst door de auditor. Deze collegeverklaring en de verantwoording van de dienstverlener(s)
dekken tezamen de normen inzake DigiD en Suwinet af. Het overzicht van normen en waar deze
belegd zijn, is opgenomen in de bijlagen:
     • Bijlage 1 DigiD met kenmerk 25444-2022:822875.
     • Bijlage 2 Suwinet met kenmerk 25444-2022:693823.
Het college verklaart dat bij gemeente Waterland op 31 december 2022 de beheersingsmaatregelen
(in opzet en bestaan) voldoen aan de geselecteerde normen inzake DigiD en Suwinet.
1 ENSIA ondersteunt de gemeente bij de verantwoording over informatiebeveiliging richting de gemeenteraad en de rijksoverheid.
  ENSIA gaat uit van de Baseline Informatiebeveiliging Overheid (BIO), alsmede van informatiebeveiligingsnormen vanuit
  Basisregistratie Personen (BRP), wet- en regelgeving reisdocumenten (PUN, PNIK), Digitale persoonsidentificatie (DigiD),
  Basisregistratie Adressen en Gebouwen (BAG), Basisregistratie Grootschalige Topografie (BGT), Basisregistratie Ondergrond (BRO),
  de Gezamenlijke Elektronische Voorzieningen Structuur uitvoeringsorganisatie Werk en Inkomen (GeVS/Suwinet) en de Wet
  Onroerende Zaken (WOZ).
</pre>

====================================================================== Einde pagina 13 =================================================================

<br><br>====================================================================== Pagina 14 ======================================================================

<pre>                                                          Zijn de uitzonderingen in [een]
                                                          verbeterplan[nen] opgenomen en zijn
                               Wordt aan alle normen      de verbetermaatregelen belegd
 Onderwerp                     voldaan?                   en worden deze gemonitord?
 DigiD 999913                  Ja                         Niet van toepassing
 Suwinet voor SUWI-taken       Ja                         Niet van toepassing
 Suwinet voor niet-SUWI-taken  Ja                         Niet van toepassing
Monnickendam, 18 april 2023
College van burgemeester en wethouders gemeente Waterland
</pre>

====================================================================== Einde pagina 14 =================================================================

<br><br>