MANAGEMENTRAPPORTAGE. Zelfevaluatie BRP van de gemeente Achtkarspelen

Transcriptie

1 MANAGEMENTRAPPORTAGE Zelfevaluatie BRP van de gemeente Achtkarspelen 2014

2 Inhoud 1 INLEIDING 2 RAPPORTAGE INHOUDELIJKE TOETSING KWALITEIT 3 TOETSING PROCESSEN 4 RESULTAAT PER TOPIC 4.1 BELEID EN REGELGEVING Actiepunten naar aanleiding de zelfevaluatie Mogelijke verbeterpunten naar aanleiding van de zelfevaluatie 4.2 PROCESSEN Actiepunten naar aanleiding de zelfevaluatie Mogelijke verbeterpunten naar aanleiding van de zelfevaluatie 4.3 GEGEVENS Actiepunten naar aanleiding de zelfevaluatie Mogelijke verbeterpunten naar aanleiding van de zelfevaluatie 4.4 PERSONEEL Actiepunten naar aanleiding de zelfevaluatie Mogelijke verbeterpunten naar aanleiding van de zelfevaluatie 4.5 FYSIEKE BEVEILIGING Actiepunten naar aanleiding de zelfevaluatie Mogelijke verbeterpunten naar aanleiding van de zelfevaluatie 4.6 CALAMITEITEN Actiepunten naar aanleiding de zelfevaluatie Mogelijke verbeterpunten naar aanleiding van de zelfevaluatie 4.7 NALEVING Actiepunten naar aanleiding de zelfevaluatie Mogelijke verbeterpunten naar aanleiding van de zelfevaluatie Pagina 2 van 14

3 1 Inleiding Op grond van de Wet basisregistratie personen is iedere Nederlandse gemeente verplicht om jaarlijks een onderzoek uit te voeren naar de inrichting, de werking en de beveiliging van de basisregistratie, alsmede naar de verwerking van gegevens in de basisregistratie, voor zover het de gemeentelijke voorziening betreft of het college verantwoordelijk is voor de bijhouding. Voor 1 november van het jaar dient een uittreksel van de resultaten van het onderzoek aan het College bescherming persoonsgegevens (CBP) en aan de minister van Binnenlandse Zaken en Koninkrijksrelaties te worden verstrekt. Voor het onderzoek en de rapportage aan het CBP en de minister kan iedere gemeente gebruik maken van de door het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties beschikbaar gestelde Kwaliteitsmonitor. Dit is een webapplicatie die de gemeente de mogelijkheid biedt om snel en efficiënt een zelfevaluatie met betrekking tot basisregistratie uit te voeren. Het instrument geeft een objectief beeld in de vorm van een Managementrapportage. De Managementrapportage vormt de kern van de gemeentelijke rapportage aan het CBP en de minister. De Kwaliteitsmonitor genereert de Managementrapportage automatisch aan de hand van de op 13 september jl. gedraaide Bestandscontrolemodule (BCM) en de antwoorden op een reeks vragen over de basisregistratie, die via de Kwaliteitsmonitor aan uw gemeente ter beantwoording worden voorgelegd. Per vraag kan de gemeente kiezen uit diverse antwoorden. De lijst met vragen en de aan de mogelijke antwoorden toe te kennen scores zijn bepaald in onderling overleg met een aantal gemeenten. De vragen zijn ingedeeld in de volgende zeven categorieën (topics) die ieder betrekking hebben op een bepaald aspect van de basisregistratie: 1. Beleid en regelgeving 2. Processen 3. Gegevens 4. Personeel 5. Fysieke beveiliging 6. Calamiteiten 7. Naleving De Kwaliteitsmonitor geeft zowel per topic als voor het gehele proces een objectief oordeel over de kwaliteit. Daarbij zijn steeds drie uitkomsten mogelijk. In onderstaande tabel zijn deze weergegeven met de bijbehorende norm. Resultaat van de beoordeling Goed Voldoende Onvoldoende Norm Score is >95% van de maximaal te behalen score Score is 90-95% van de maximaal te behalen score Score is <90% van de maximaal te behalen score Pagina 3 van 14

4 In de volgende hoofdstukken is het objectieve oordeel voor uw gemeente weergegeven. In hoofdstuk 2 vindt u de uitslag van de inhoudelijke toetsing, hoofdstuk 3 geeft een samenvatting en hoofdstuk 4 een meer gedetailleerde beoordeling. Pagina 4 van 14

5 2 Rapportage inhoudelijke toetsing Kwaliteit Op 13 september 2014 heeft het agentschap BPR een BCM-run gedraaid. De resultaten zijn als volgt. Groep (art 21 Reg.BRP) 1 A Klasse Omschrijving Persoon en Overlijden Behaalde Score Norm Resultaat % 99,70% B Adres % 99,70% C Relaties % 99,60% 2 D E 3 F Identificatienummers en Nationaliteit Overig algemene gegevens Administratieve gegevens % 99,50% % 99,50% % 99,40% Openstaande onderzoeken per categorie : Categorie Actueel Historie Categorie Actueel Historie 01 Persoon Verblijfplaats Ouder Kind Ouder Verblijfstitel Nationaliteit Huwelijk Gezagsverhouding Reisdocumenten 1 06 Overlijden 0 0 Totaal Pagina 5 van 14

6 3 Toetsing processen Uit de uitgevoerde zelfevaluatie blijkt dat uw gemeente onvoldoende scoort op de inrichting, de werking en de beveiliging van de basisregistratie. Uw gemeente bereikt namelijk 73.0% van de maximaal te behalen waardering. Uw gemeente doet onvoldoende met de uitkomsten die voortkomen uit de zelfevaluatie. Het is daarom noodzakelijk om acties in te stellen om meer aandacht binnen de gemeente te vestigen op de uitkomsten van de zelfevaluatie. Wettelijke norm Aanbevelingen Totaal Totaal Percentage Totaal Normpercentage Totaal Resultaat 638 (892) 84 (99) 722 (991) 73% 90 % onvoldoende Voor de verschillende topics van de vragenlijst is het resultaat als volgt: Topic Wettelijke norm Aanbevelingen Totaal Totaal Percentage Totaal Normpercentage Totaal Resultaat Beleid 118 (162) Processen 146 (164) Gegevens 144 (280) 7 (7) 28 (30) 17 (19) Personeel 93 (110) 21 (31) Fysieke Beveiliging 68 (68) 3 (4) 125 (169) 174 (194) 161 (299) 114 (141) 74% 90% onvoldoende 90% 90% voldoende 54% 90% onvoldoende 81% 90% onvoldoende 71 (72) 99% 90% goed Calamiteiten 57 (96) 6 (6) 63 (102) 62% 90% onvoldoende Naleving 12 (12) 2 (2) 14 (14) 100% 90% goed Pagina 6 van 14

7 4 Resultaat per topic In dit hoofdstuk is de beoordeling per topic nader toegelicht. Allereerst wordt aangegeven wat uw algemene score per topic is. Daarna wordt op detailniveau aangegeven welke acties uw gemeente kan ondernemen om deze te verbeteren. 4.1 Beleid en regelgeving Uw gemeente scoort voor de topic Beleid en Regelgeving onvoldoende, er is 74% van het totaal aantal punten behaald. Het beveiligingsbeleid op het gebied van de BRP is in uw gemeente in onvoldoende mate ingericht. Aan de wettelijke basis wordt niet voldaan. U heeft op onvoldoende wijze de weten regelgeving vertaald naar lokaal beleid, de inhoud van dat beleid en hoe het beleid wordt gewaarborgd. Er zijn daarom verbeteringen noodzakelijk om tot een beter resultaat te komen. Op wettelijke normen en bestuurlijke afspraken scoort uw gemeente 70% Actiepunten naar aanleiding de zelfevaluatie Hieronder vindt u de acties die uw gemeente moet ondernemen om aan alle normen in de wet en regelgeving te voldoen. Het beveiligingsbeleid voor de gemeentelijke voorziening actualiseren en laat het door het college vaststellen (vraag 5) In het beveiligingsbeleid van de gemeentelijke voorziening waarborgen opnemen voor de beschikbaarheid van deze voorziening (vraag 6) In het beveiligingsbeleid van de gemeentelijke voorziening waarborgen opnemen voor de vertrouwelijkheid van de gegevens (vraag 6) In het beveiligingsbeleid van de gemeentelijke voorziening waarborgen opnemen voor de betrouwbaarheid (volledigheid, juistheid en tijdigheid) van de gegevens (vraag 6) In het beveiligingsbeleid van de gemeentelijke voorziening waarborgen opnemen voor de controleerbaarheid van de beschikbaarheid, vertrouwelijkheid en betrouwbaarheid van de gegevens (vraag 6) Aan het college rapporteren over de beschikbaarheid van de gemeentelijke voorziening (vraag 8) Aan het college rapporteren over de vertrouwelijkheid van de gegevens (vraag 8) Aan het college over de betrouwbaarheid van de gegevens rapporteren (vraag 8) Aan het college rapporteren over de manier waarop over de beschikbaarheid, vertrouwelijkheid en betrouwbaarheid van de gegevens is gerapporteerd (vraag 8) Mogelijke verbeterpunten naar aanleiding van de zelfevaluatie Hieronder vindt u de verbeterpunten die uw gemeente kan ondernemen om de inrichting, de werking en de beveiliging van de basisregistratie te optimaliseren. Pagina 7 van 14

8 4.2 Processen Uw gemeente scoort voor de topic Processen voldoende, er is 90% van het totaal aantal punten behaald. De processen op het gebied van de BRP voldoen in uw gemeente in voldoende mate aan de eisen die over het werkproces in het Logisch Ontwerp en de Tactische Baseline Informatiebeveiliging Nederlandse Gemeenten (BIG) zijn vastgelegd. Er zijn echter mogelijkheden om de werkprocessen verder te optimaliseren. Op wettelijke normen en bestuurlijke afspraken scoort uw gemeente 75% Actiepunten naar aanleiding de zelfevaluatie Hieronder vindt u de acties die uw gemeente moet ondernemen om aan alle normen in de wet en regelgeving te voldoen. Digitale aangifte alleen mogelijk maken via DigiD (vraag 24) De invoer van gegevens in een schriftelijke werkinstructie vastleggen (vraag 26) Alle inschrijvingen binnen 1 werkdag na ontvangst van de aangifte of het betrokken bericht verwerken (vraag 29) Alle adreswijzigingen binnen 1 werkdag na ontvangst van de aangifte of het betrokken bericht verwerken (vraag 29) Alle vertrekken naar het buitenland binnen 1 werkdag na ontvangst van de aangifte of het betrokken bericht verwerken (vraag 29) Alle verwerkingen van briefadressen binnen 1 werkdag na ontvangst van de aangifte of het betrokken bericht verwerken (vraag 29) Alle verwerkingen van naamgebruik binnen 1 werkdag na ontvangst van de aangifte of het betrokken bericht verwerken (vraag 29) Alle verstrekkingsbeperkingen binnen 1 werkdag na ontvangst van de aangifte of het betrokken bericht verwerken (vraag 29) Alle wijzigingen op grond van een Nederlandse akte binnen 1 werkdag na ontvangst van de aangifte of het betrokken bericht verwerken (vraag 29) Alle wijzigingen op grond van een buitenlands brondocument binnen 1 werkdag na ontvangst van de aangifte of het betrokken bericht verwerken (vraag 29) Alle nationaliteitswijzigingen binnen 1 werkdag na ontvangst van de aangifte of het betrokken bericht verwerken (vraag 29) Alle reisdocumentwijzigingen binnen 1 werkdag na ontvangst van de aangifte of het betrokken bericht verwerken (vraag 29) Alle wijzigingen op de gezagsverhouding binnen 1 werkdag na ontvangst van de aangifte of het betrokken bericht verwerken (vraag 29) Alle (overige) actualiseringen c.q. correcties binnen 1 werkdag na ontvangst van de aangifte of het betrokken bericht verwerken (vraag 29) In de bijhoudingsprocedures de beleidsregels voor bestuurlijke boete opnemen (vraag 31) Toelichting gemeente Veel actiepunten hebben betrekking op verwerking van mutaties binnen 1 werkdag na Pagina 8 van 14

9 ontvangst van de aangifte. Het streven is om de mutaties binnen 1 werkdag na ontvangst te verwerken, in de dagelijkse praktijk slaagt dit niet altijd door onvoldoende bezetting, maar ook door de hectiek van het vak. Veelal is er sprake van ad hoc situaties die de prioriteit hebben boven de verwerking van mutaties binnen 1 werkdag Mogelijke verbeterpunten naar aanleiding van de zelfevaluatie Hieronder vindt u de verbeterpunten die uw gemeente kan ondernemen om de inrichting, de werking en de beveiliging van de basisregistratie te optimaliseren. In bepaalde gevallen een bestuurlijke boete opleggen (vraag 35) Overwegen om ook de IND of het adviesbureau NVVB in te schakelen bij de beoordeling van buitenlandse brondocumenten (vraag 43) 4.3 Gegevens Uw gemeente scoort voor de topic Gegevens onvoldoende, er is 54% van het totaal aantal punten behaald. De toegang tot en het gebruik van gegevens rondom het BRP proces is in uw gemeente onvoldoende geregeld. Uw gemeente waarborgt onvoldoende de kwaliteit van de gegevens en de bescherming van de vertrouwelijkheid. Er zijn daarom verbeteracties noodzakelijk om te voldoen aan de wettelijke eisen op dit gebied. Op wettelijke normen en bestuurlijke afspraken scoort uw gemeente 48% Actiepunten naar aanleiding de zelfevaluatie Hieronder vindt u de acties die uw gemeente moet ondernemen om aan alle normen in de wet en regelgeving te voldoen. Beleid ontwikkelen voor het gebruik van de BRP op locaties buiten het gemeentehuis (vraag 49) Fysieke maatregelen treffen voor het gebruik van de BRP op locaties buiten het gemeentehuis (vraag 50) Regelen dat alle autorisaties persoonsgebonden zijn (vraag 53) Zeker stellen dat de autorisaties aan gebruikers en/of overkoepelende registraties terecht zijn verleend (vraag 53) Zeker stellen dat de autorisaties aan verwerkers terecht zijn verleend (vraag 53) Zeker stellen dat de autorisatie voor gebruikers BRP en/of overkoepelende registratie niet worden misbruikt (vraag 53) Zeker stellen dat de profielen en/of overkoepelende registratie overeen komen met de toegekende rechten in de verordening (vraag 53) Een jaarlijkse controle uitvoeren op de op de autorisaties (vraag 53) De logfiles controleren op pogingen tot onrechtmatige toegang (vraag 54) De logfiles controleren op de uitvoering van de inschrijving- en actualiseringsprocedures (vraag 54) Pagina 9 van 14

10 De in de lokale voorziening opgenomen gegevens dagelijks op een externe gegevensdrager opslaan (vraag 57) De fysieke back-up op een externe locatie opslaan (vraag 58) De fysieke back-up op een externe locatie opslaan (vraag 58) Ten aanzien van de back-up controleren of de gegevens kunnen worden teruggelezen (vraag 59) Testen of u de back-up terug kunt plaatsen met als resultaat een goed werkende applicatie gevuld met data van het moment van de back-up en dit rapporteren aan het management (vraag 60) Gegevens met behulp van een beveiligde netwerkverbinding realtime overbrengen naar een externe locatie (vraag 62) Testen of alle gegevens kunnen worden gereconstrueerd en hierover rapporteren aan het management (vraag 63) Technische uitwijk mogelijk maken door het sluiten van een uitwijkcontract of het regelen van een externe nevenlocatie waarin een uitwijkconfiguratie beschikbaar wordt gehouden (vraag 65) Een uitwijkdraaiboek opstellen en laten vaststellen (vraag 66) Testen of een technische uitwijk mogelijk is en de bevindingen rapporteren aan het management (vraag 67) Toelichting gemeente De meeste actiepunten hebben betrekking op processen en rapportages dit op dit moment worden vastgesteld en/ of uitgevoerd en daarom niet voor 1 oktober (deadline Zelfevaluatie BRP) zijn gerealiseerd. De reden is deels doordat de technische inrichting het afgelopen jaar gewijzigd door verbreken contract met NOFA (samenwerkingsverband vier gemeenten). Dit onderdeel heeft prioriteit. In de bewerkersovereenkomst maatregelen gericht op medewerkers opnemen (vraag 71) In de bewerkersovereenkomst maatregelen gericht op de toegang tot gebouwen en ruimten opnemen (vraag 71) In de bewerkersovereenkomst maatregelen gericht op een deugdelijke werking van de apparatuur en programmatuur opnemen (vraag 71) In de bewerkersovereenkomst maatregelen gericht op de beveiliging van de apparatuur en programmatuur opnemen (vraag 71) In de bewerkersovereenkomst maatregelen gericht op het gegevensbeheer opnemen (vraag 71) In de bewerkersovereenkomst maatregelen ingeval van schending van de geheimhouding opnemen (vraag 71) In de bewerkersovereenkomst maatregelen ingeval van calamiteiten opnemen (vraag 71) In de bewerkersovereenkomst opnemen dat de gegevens uitsluitend voor de afgesproken werkzaamheden worden gebruikt (vraag 71) In de bewerkersovereenkomst opnemen dat de bewerker zich houdt aan de wettelijke voorschriften (vraag 71) In de bewerkersovereenkomst opnemen dat de bewerker toestaat dat de gemeente controles uitvoert (vraag 71) Pagina 10 van 14

11 In de bewerkersovereenkomst opnemen dat werkzaamheden worden opgeschort op vordering van de gemeente (vraag 71) In de bewerkersovereenkomst opnemen dat werkzaamheden zonder toestemming van de gemeente niet door de bewerker worden uitbesteed (vraag 71) Toelichting gemeente In de vragenlijst is aangegeven, dat er geen bewerker is. Genoemde actiepunten zijn daardoor niet van toepassing en dus onterecht Mogelijke verbeterpunten naar aanleiding van de zelfevaluatie Hieronder vindt u de verbeterpunten die uw gemeente kan ondernemen om de inrichting, de werking en de beveiliging van de basisregistratie te optimaliseren. Bijhouden welke personen nog een brondocument moeten inleveren (vraag 76) Burgers periodiek aanschrijven als een sterker brondocument mogelijk is (vraag 76) Gegevens in onderzoek zetten als een (sterker) brondocument nog ingeleverd kan worden (vraag 76) 4.4 Personeel Uw gemeente scoort voor de topic Personeel onvoldoende, er is 81% van het totaal aantal punten behaald. Medewerkers vormen een belangrijk onderdeel in de betrouwbaarheid van het BRP proces. De beveiligingsaspecten op het gebied van personeel zijn onvoldoende in uw gemeente. Er wordt op onvoldoende wijze aandacht besteed aan de integriteit en kwaliteit (competenties) van medewerkers. Er zijn daarom verbeteracties noodzakelijk om te voldoen aan de wettelijke eisen op dit gebied en te komen tot een beter resultaat. Op wettelijke normen en bestuurlijke afspraken scoort uw gemeente 66% Actiepunten naar aanleiding de zelfevaluatie Hieronder vindt u de acties die uw gemeente moet ondernemen om aan alle normen in de wet en regelgeving te voldoen. Een vervanger voor de controller informatiebeveiliging aanwijzen (vraag 80) Voor de uitvoering van de werkzaamheden op Burgerzaken de minimale kennis en vaardigheden vaststellen (vraag 92) Toelichting gemeente De gemeente hanteert een generieke functieomschrijving, waarin niet specifiek de minimale kennis en vaardigheden voor elke taak specifiek is vastgesteld Mogelijke verbeterpunten naar aanleiding van de zelfevaluatie Hieronder vindt u de verbeterpunten die uw gemeente kan ondernemen om de inrichting, de werking en de beveiliging van de basisregistratie te optimaliseren. Pagina 11 van 14

12 Bij functioneringsgesprekken structureel het nakomen van beveiligingsvoorschriften bespreken (vraag 86) Een schriftelijke procedure onrechtmatige kennisneming opstellen waarin sancties en vervolgacties zijn opgenomen in het geval de vertrouwelijkheid wordt geschaad (vraag 88) In het geval dat de vertrouwelijkheid van de gegevens wordt geschaad en hierdoor schade is veroorzaakt binnen de organisatie, de maatregelen in de geldende rechtspositieregeling onverkort toepassen (vraag 88) In het geval dat de vertrouwelijkheid wordt geschaad en hierdoor schade is veroorzaakt buiten de organisatie, altijd aangifte doen bij de politie (vraag 88) In het geval dat de vertrouwelijkheid van de gegevens wordt geschaad en hierdoor schade is ontstaan hiervan altijd melding doen aan bij de privacybeheerder en/of de controller informatiebeveiliging (vraag 88) Medewerkers laten tekenen voor de kennisname over de mogelijke risico's, richtlijnen en procedures om schade en incidenten te voorkomen (vraag 90) Medewerkers laten tekenen voor de kennisname over de toepassing van de BRP verordening (vraag 91) Per medewerker jaarlijks een bijscholingsprogramma vaststellen (vraag 94) Medewerkers eens per 3 jaar een opfriscursus laten volgen om de kennis van brondocumenten up-to-date te houden (vraag 95) 4.5 Fysieke beveiliging Uw gemeente scoort voor de topic Fysieke beveiliging goed, er is 99% van het totaal aantal punten behaald. De fysieke beveiliging bij uw gemeente is goed. De fysieke bescherming en daarmee de veiligheid van de BRP of medewerkers in dit proces is in goede mate geregeld. Op wettelijke normen en bestuurlijke afspraken scoort uw gemeente 94% Actiepunten naar aanleiding de zelfevaluatie Hieronder vindt u de acties die uw gemeente moet ondernemen om aan alle normen in de wet en regelgeving te voldoen Mogelijke verbeterpunten naar aanleiding van de zelfevaluatie Hieronder vindt u de verbeterpunten die uw gemeente kan ondernemen om de inrichting, de werking en de beveiliging van de basisregistratie te optimaliseren. Buitenlandse brondocumenten worden idealiter gescand en aan de PL gehangen (vraag 103) Pagina 12 van 14

13 4.6 Calamiteiten Uw gemeente scoort voor de topic Calamiteiten onvoldoende, er is 62% van het totaal aantal punten behaald. Calamiteitenbeheersing ronde de BRP is onvoldoende geregeld in uw gemeente. Uw gemeente is onvoldoende voorbereid op een eventuele gebeurtenis die de normale bedrijfsvoering ernstig of langdurig zou kunnen verstoren. Verbeteracties zijn daarom noodzakelijk om beter voor bereid te zijn op eventuele calamiteiten. Op wettelijke normen en bestuurlijke afspraken scoort uw gemeente 56% Actiepunten naar aanleiding de zelfevaluatie Hieronder vindt u de acties die uw gemeente moet ondernemen om aan alle normen in de wet en regelgeving te voldoen. In de procedure incidentmeldingen fouten in het netwerk opnemen (vraag 108) Om altijd dienstverlening te kunnen leveren, inclusief het beheer en het gebruik van de BRP, afspraken vastleggen over het tijdelijk gebruik van andere huisvesting binnen of buiten de gemeente (vraag 111) Het draaiboek uitwijk dienstverlening actualiseren en vast laten stellen door het bevoegde gezag (vraag 112) De procedure uitwijk daadwerkelijk toetsen op werking (vraag 114) Mogelijke verbeterpunten naar aanleiding van de zelfevaluatie Hieronder vindt u de verbeterpunten die uw gemeente kan ondernemen om de inrichting, de werking en de beveiliging van de basisregistratie te optimaliseren. 4.7 Naleving Uw gemeente scoort voor de topic Naleving goed, er is 100% van het totaal aantal punten behaald. Er wordt door uw gemeente op goede wijze omgegaan met de uitkomsten van de zelfevaluatie. Op wettelijke normen en bestuurlijke afspraken scoort uw gemeente 86% Actiepunten naar aanleiding de zelfevaluatie Hieronder vindt u de acties die uw gemeente moet ondernemen om aan alle normen in de wet en regelgeving te voldoen. Pagina 13 van 14

14 4.7.2 Mogelijke verbeterpunten naar aanleiding van de zelfevaluatie Hieronder vindt u de verbeterpunten die uw gemeente kan ondernemen om de inrichting, de werking en de beveiliging van de basisregistratie te optimaliseren. Pagina 14 van 14