HANDREIKING ENSIA VERANTWOORDING VOOR SAMENWERKINGSVERBANDEN

Transcriptie

1 HANDREIKING ENSIA VERANTWOORDING VOOR SAMENWERKINGSVERBANDEN

2 Datum 3 augustus 2017 Versie 0.5 2

3 INHOUDSOPGAVE 1 VERANTWOORDEN VANUIT SAMENWERKING EEN VERANTWOORDINGSSTELSEL & VERSCHILLENDE TOEZICHTHOUDERS VERANTWOORDING Voor BRP/GBA-V/GBA Suwinet BAG/BGT DigiD Vragen en antwoorden... 9 BIJLAGE 1: TOELICHTING MINISTERIE SZW

4 1 VERANTWOORDEN VANUIT SAMENWERKING In deze handreiking leggen we uit hoe gemeenten zich kunnen verantwoorden met ENSIA wanneer ze in een samenwerkingsverband zitten. Gemeenten werken in verschillende vormen samen voor het uitvoeren van bijvoorbeeld taken in het domein Werk en Inkomen, Belasting, Participatie, en RMC. De samenwerkingsvormen zijn gestoeld op de Wet Gemeenschappelijk Regeling (WGR). Deze WGR kent verschillende (juridische) vormen van samenwerking. In de WGR staat beschreven hoe informatie wordt verstrekt aan de deelnemende partijen. Al is de uitvoering belegd via een gemeenschappelijke regeling, dan is de gemeente nog steeds verplicht verantwoordingsinformatie van het college aan de gemeenteraad of van het college aan het Rijk te verstrekken. De samenwerkingsvorm moet daarom de gemeente informeren over de mate waarin de ondergebrachte activiteiten voldoen aan de Baseline Informatieveiligheid Gemeenten (BIG). De gemeente stelt de juistheid en volledigheid van de ontvangen verantwoordingsstukken van de samenwerkingsvorm vast. De gemeente kan dit zelf beoordelen of de samenwerkingsvorm vragen voor de beoordeling een auditor in te schakelen. Deze informatie is onderdeel van de zelfevaluatie op ENSIA.nl. Dit document bevat per systeem (Suwinet, DigiD, BRP/PUN en BAG/BGT) een toelichting hoe om te gaan met de verantwoording wanneer de gemeente de taken heeft uitbesteed aan een samenwerkingsvorm. In het laatste hoofdstuk hebben we een lijst met vragen en antwoorden opgenomen. 4

5 2 EEN VERANTWOORDINGSSTELSEL & VERSCHILLENDE TOEZICHTHOUDERS Voor de verantwoording met behulp van ENSIA moet de gemeente weten voor welke vragen informatie nodig is van de (verschillende) samenwerkingsverbanden waar ze deel van uit maken. Voordat ENSIA werd ingevoerd, namen auditors autonome audits en zelfevaluaties (BRP/PUN, DigiD, BAG/BGT en Suwinet) af bij uw gemeente met behulp van eigen vragenlijsten en brondocumenten. Op deze wijze werd verantwoording afgelegd aan de landelijke toezichthouders. Dit wordt de verticale verantwoording genoemd. Met de nieuwe verantwoordingssystematiek ENSIA legt de gemeente primair verantwoording af aan de gemeenteraad. Dit wordt de horizontale verantwoording genoemd. Hiermee wordt door een zelfevaluatie verantwoording afgelegd over álle informatieveiligheidsthema s. De vragenlijsten die gebruikt werden voor de vroegere autonome audits zijn voor de informatieveiligheid gelijkgesteld met de BIG. Informatie voor de verticale verantwoording wordt automatisch uit ENSIA.nl gehaald door de landelijke toezichthouders. Voor Suwinet en DigiD wordt in 2017 tevens een RE-audit geëist. 5

6 3 VERANTWOORDING In dit hoofdstuk is per systeem uitgewerkt in welke situatie u verantwoording dient af te leggen in geval van samenwerking. 3.1 Voor BRP/GBA-V/GBA De Basisregistratie persoonsgegevens kan niet via een samenwerkingsverband lopen. De verantwoording ligt puur bij de gemeente. Zie ook de site van de rvig ( 3.2 Suwinet Hoewel de taken voor Suwinet kunnen worden overgedragen aan een samenwerkingsverband, kan dat niet voor de bijbehorende verantwoordelijkheden. De eindverantwoordelijkheid blijft daarom bij de gemeente liggen en daarmee de verplichting tot verantwoording. De gemeente legt dus verantwoording af over de mate waarin een samenwerkingsvorm voldoet aan de afspraken uit de BIG en met de landelijke toezichthouders. De gemeente maakt voor verschillende processen gebruik van Suwinet, namelijk voor de gemeentelijke sociale diensten (burgerzaken, Regionale Meld- en Coördinatiefunctie (RMC) en de gemeentelijke deurwaarders. Gemeenten kunnen taken mandateren of delegeren aan een samenwerkingsvorm. De samenwerkingsvorm moet de gemeente informeren over hun informatiebeveiliging. De gemeente stelt de juistheid en volledigheid van de ontvangen verantwoordingsgegevens van de samenwerkingsvorm vast. De gemeente kan dit zelf doen of de samenwerkingsvorm vragen hiervoor een auditor in te schakelen. Er zijn in de eerste periode veel vragen gesteld hoe om te gaan met de verschillende vormen van samenwerking en hoe zich dit verhoudt tot (gemandateerde en gedelegeerde) overgedragen bevoegdheden. Het Ministerie van SZW heeft de grondslag voor (alle) verantwoording Suwinet toegelicht in een verklaring. Deze is opgenomen in bijlage 1. DKD-Inlezen voor gemeenten Ook over DKD-Inlezen legt de gemeente verantwoording af. Er worden in de zelfevaluatie op ENSIA.nl vragen gesteld tot op niveau van de organisatie waar met Suwinet-inkijk gelogd wordt op medewerkersniveau. Suwinet en verantwoording aan UWV RMC s en gemeentelijke belastingdeurwaarders legden eerder verantwoording af aan het UWV. Met de invoering van het nieuwe verantwoordingsproces ENSIA vervalt deze verantwoordings- en auditverplichting. De gemeenten voldoen aan hun contractuele verplichtingen wanneer zij een transparantierapportage opleveren via ENSIA.nl. Wanneer zij dit niet opleveren, blijven de contractuele verplichtingen staan. Het BKWI ontvangt na 31 december 2017 alle relevante informatie uit de antwoorden van de zelfevaluatie op ENSIA.nl. 6

7 3.3 BAG/BGT De vragen uit de zelfevaluatie die betrekking hebben op het BAG/BGT kunnen samen met de BAG/BGT-verantwoordelijken worden beantwoord. De selectie van deze drie vragen zijn afgeleid van de BIG. Wanneer samenwerkingsvormen zoals belastingsamenwerkingsverbanden, regionale uitvoeringsdiensten en veiligheidsregio s gebruik maken van de, BAG/BGT moeten zij de vragen uit de zelfevaluatie beantwoorden vanuit het perspectief van de gemeente. Let op! Er wordt in ENSIA niet specifiek naar BAG/BGT gevraagd, maar puur naar de veiligheidsnormen waar je als gemeente aan moet voldoen wanneer gebruik wordt gemaakt van de BAG/BGT. 3.4 DigiD Het ICT-beveiligingsassessment DigiD wordt uitgevoerd voor alle Nederlandse gemeenten met een DigiD-koppeling. Het assessment wordt per aansluiting uitgevoerd. Er moeten daarom ook vragen over DigiD beantwoord worden wanneer de gemeente aansluithouder is (zie tenaamstelling contract Logius). Het is mogelijk dat bepaalde tdiensten voor van de Digid zijn uitbesteed. De meest voorkomende varianten zijn: Hosting, applicatiebeheer en implementatie in hand van de gemeente. Hosting bij de gemeente en applicatiebeheer bij de leverancier, die geen verantwoordelijkheid heeft voor de implementatie. Hosting bij de gemeente en applicatiebeheer bij de leverancier, die bepaalde verantwoordelijkheid heeft voor de implementatie en beheerrechten in de productieomgeving heeft. Uitbesteding van applicatiebeheer en hosting onder aansturing van de gemeente (geen SAAS-omgeving) aan één of twee leveranciers. Volledige uitbesteding als SAAS-oplossing waarbij het wijzigingenbeheer volledig onder de leverancier valt met betrokkenheid van een gebruikersgroep. Ook andere varianten en vormen van ketensamenwerking zijn mogelijk. Praktische tip: Breng per DigiD-aansluiting de verhouding tussen de taken van de gemeente en die van uw aansluithouder in kaart. Voor het DigiDassessment moet per norm worden bepaald welke partij verantwoordelijk is voor een norm. Deze indeling wordt aangehouden: normen waarvoor de houder verantwoordelijk is. normen waarvoor de leverancier verantwoordelijk i.; normen waarvoor beiden een gedeelde verantwoordelijkheid voor hebben. 7

8 Nieuwe aansluitingen Het proces voor het afleggen van verantwoording voor nieuwe DigiD-aansluitingen valt buiten het ENSIA-verantwoordingsproces. Dit betreft een eenmalige verantwoording bij de aansluiting. Deze wordt twee maanden na gebruik uitgevoerd en aan Logius aangeleverd. Zie voor meer informatie de handreiking ENSIA en DigiD via de online leeromgeving ENSIA en de website van ENSIA. 8

9 4 Vragen en antwoorden Hieronder vindt u een aantal vragen die gesteld zijn aan KING. De vragen geven goed weer waar gemeenten in de praktijk tegenaan lopen. We delen de vragen en antwoorden graag om inzicht te verschaffen in het nieuwe verantwoordingsproces. Vraag Suwinet is gedelegeerd aan een regionale uitvoeringsorganisatie. De organisatie heeft een eigen dagelijks bestuur en bestuur. In de besturen zitten weliswaar wethouders van de deelnemende gemeenten, maar de uitvoeringsorganisatie heeft een eigen rechtspersoonlijkheid en legt verantwoording af aan de gemeenteraden en legt daarmee geen verantwoording af aan ons college van b&w. Hoe kan ik dan aan mijn college vragen om een uitspraak te doen richting de raad over de maatregelen in het Suwinetdomein rond informatiebeveiliging? Als er lacunes zijn, zijn zij immers niet de partij die erop kan worden aangesproken? Antwoord Colleges van burgemeester en wethouders zijn verantwoordelijk voor de verantwoording over de Suwinetnormen. Deze verantwoordelijkheid wordt niet overgedragen als bepaalde medebewindstaken in gezamenlijkheid worden uitgevoerd. In de regeling Suwinet betreffen de artikelen 5.22 en 6.4 de verantwoording over de Suwienetnormen. Conform deze artikelen moet het college van burgemeester en wethouders rapporteren over de beveiliging van de gegevensuitwisselingen die plaatsvinden in het kader van de gezamenlijke elektronische voorzieningen Suwinet. Daarbij is het de bedoeling van de wet dat colleges van b&w verantwoording afleggen aan de gemeenteraad en daarnaast aan het Ministerie van SZW rapporteren, via het BKWI. Dit houdt in dat de verantwoordelijkheid voor de rapportage c.q. verantwoording bij het college berust en deze verantwoordelijkheid niet kan worden overgedragen aan het samenwerkingsverband. Het college van b&w kan zodoende niet aan de gemeenteraad tegenwerpen dat de verantwoordelijkheid is overgedragen aan een samenwerkingsverband. Binnen de gemeentelijke bestuurlijke verhoudingen is het immers het college dat zich verantwoordt t.o.v. de gemeenteraad en wordt geen variant onderkend waarin samenwerkingsverbanden zich aan de gemeenteraad verantwoorden. Daarnaast heeft het Rijk ook geen relatie met samenwerkingsverbanden van gemeenten. Zowel de financiële relatie als toezichtrelatie richten zich op de individuele gemeenten. Zo kan het toezicht- en interventieregime ook niet toegepast worden op samenwerkingsverbanden, maar hebben deze als aangrijpingspunt de gemeenten. Deze interpretatie van de wet- en regelgeving is ook consistent met de Participatiewet waarin het overdragen van werkzaamheden en verantwoordelijkheden meer expliciet is geregeld (artikel 8c, eerste lid, Participatiewet). Daarin bestaan ruime mogelijkheden om bevoegdheden over te dragen aan samenwerkingsverbanden (openbare lichamen). In die situatie treedt het samenwerkingsverband voor al die bevoegdheden in de plaats van de gemeentelijke organen, maar blijft de financiële relatie en de verantwoordingsrelatie van de minister van SZW zich expliciet richten tot het college van b&w. 9

10 Vraag Kan ik vanuit het samenwerkingsverband met ENSIA in één keer verantwoording afleggen? Elke aangesloten gemeente laat zich door de samenwerkingsvorm informeren over hun informatieveiligheid. Op basis van deze informatie moet een gemeente de zelfevaluatievragen op ENSIA.nl kunnen invullen. Hiermee voldoet de gemeente aan de afspraak over de uitvoering van de horizontale verantwoording. Voor wat betreft de verticale verantwoording geldt dat voor DigiD de aansluithouder verantwoordelijk is en deze direct verantwoording aflegt aan Logius. Indien de gemeente aansluithouder is, verloopt deze verantwoording via ENSIA. Voor Suwinet geldt dat de aangesloten gemeenten zich (elk) met ENSIA verantwoorden. De gemeente kan dit zelf doen of de samenwerkingsvorm vragen hiervoor een auditor in te schakelen. Vraag Onze gemeente heeft Werk & inkomen inclusief Suwinet uitbesteed aan een samenwerkingsvorm, die vastgelegd is een Gemeenschappelijke Regeling. Wie vult de antwoorden in die betrekking hebben op de verantwoording voor Suwinnet? Elke aangesloten gemeente laat zich door de samenwerkingsvorm informeren over de relevante vragen uit zelfevaluatie op ENSIA.nl. Vraag De RE-audit gaat in 2017 over DigiD en Suwinet. Ik neem aan dat onze gemeente geen opdracht hoeft te geven aan een auditor voor een IT-audit Suwinet, omdat we onze taken hebben uitbesteed aan een samenwerkingsvorm? Is dat juist? Het is aan te bevelen om met de gemeenten die vanuit een samenwerkingsvorm Suwinet-taken laten uitvoeren, gezamenlijk een opdracht te geven voor het uitvoeren van de Suwinet-audit. Het auditrapport moet zo worden opgesteld dat deze bruikbaar is voor elk van de gemeenten in de samenwerkingsvorm. Het is de gemeente die aan een audit voor Suwinet wordt onderworpen, omdat de gemeente verantwoordelijk is voor de informatieveiligheid van Suwinet. Vraag Wij fuseren per 1 januari 2018 met een andere gemeente. Moeten wij dan nog als afzonderlijke gemeenten verantwoording afleggen met de zelfevaluatie ENSIA? Beide gemeenten leggen elk verantwoording af. De verantwoording heeft betrekking op

11 Vraag Na 1 januari 2018 zijn wij gefuseerd met twee gemeenten. De oude gemeenten bestaan dan niet meer. Hoe kan de gemeenteraad de informatieveiligheid controleren en vaststellen? Bij een herindeling gelden de verplichtingen van de oude gemeenten voor de nieuwe gemeenten. Dat betekent in dit geval dat er voor elk van de drie gemeenten een collegeverklaring en assurancerapport moet worden opgesteld. Vraag Kan een ENSIA-coördinator voor meerdere gemeenten werkzaam zijn? Ja dat is mogelijk. Elke individuele gemeente meldt deze coördinator voor de eigen gemeente aan. Het is mogelijk om met eenzelfde account verschillende accounts voor meerdere gemeenten te krijgen. Vraag Hoe dienen we als gemeente met de verantwoording vanuit ENSIA om te gaan wanneer wij zijn aangesloten bij een collectieve DigiD-aansluiting? Tot op heden heeft onze leverancier vanuit de toolkit E-formulieren de DigiD audit verzorgd en aangeleverd bij Logius. Wie aansluithouder is in het contract met Logius legt verantwoording af over DigiD. Indien dit de gemeente is, dan wordt verantwoording afgelegd met ENSIA. Is dit een andere partij dan een gemeentelijke partij? Dan legt deze zelfstandig verantwoording af aan Logius. 11

12 BIJLAGE 1: TOELICHTING MINISTERIE SZW Samenwerkingsverbanden in relatie tot de verantwoordelijkheid van een college van b&w Voor de uitvoering van onder andere de Participatiewet maken gemeenten gebruik van samenwerkingsverbanden met andere gemeenten. Daarbij wordt door het samenwerkingsverband ook gebruik gemaakt van de Suwinettoegang van de deelnemende gemeenten. Hierbij kan sprake zijn van een verregaande verantwoordelijkheidsoverdracht van de gemeenten aan het samenwerkingsverband. Dit heeft geleid tot de vraag of de verantwoordelijkheid voor de verantwoording over de Suwinormen ook aan het samenwerkingsverband kan worden overgedragen. Het antwoord op deze vraag is ontkennend. Colleges van burgemeester en wethouders zijn zelf verantwoordelijk voor de verantwoording over de Suwinormen, deze verantwoordelijkheid wordt niet overgedragen als bepaalde medebewindstaken in gezamenlijkheid worden uitgevoerd. In de regeling Suwinet betreffen de artikelen 5.22 en 6.4 de verantwoording over de Suwinormen. Conform deze artikelen moet het college van burgemeester en wethouders rapporteren over de beveiliging van de gegevensuitwisselingen die plaatsvinden in het kader van de gezamenlijke elektronische voorzieningen Suwinet. Daarbij is het de bedoeling van de wet dat colleges van b&w verantwoording afleggen aan de gemeenteraad en daarnaast door tussenkomst van BKWI, aan het Ministerie van SZW rapporteren. Dit houdt in dat de verantwoordelijkheid voor de rapportage c.q. verantwoording bij het college berust en deze verantwoordelijkheid niet kan worden overgedragen aan het samenwerkingsverband. Het college van b&w kan zodoende niet aan de gemeenteraad tegenwerpen dat de verantwoordelijkheid is overgedragen aan een samenwerkingsverband. Binnen de gemeentelijke bestuurlijke verhoudingen is het immers het college dat zich verantwoordt t.o.v. de gemeenteraad en wordt geen variant onderkend waarin samenwerkingsverbanden zich aan de gemeenteraad verantwoorden. Daarnaast heeft het Rijk ook geen relatie met samenwerkingsverbanden van gemeenten. Zowel de financiële relatie als toezichtrelatie richten zich op de individuele gemeenten. Zo kan het toezichten interventieregime ook niet toegepast worden op samenwerkingsverbanden, maar hebben deze als aangrijpingspunt de gemeenten. Deze interpretatie van de wet- en regelgeving is ook consistent met de Participatiewet waarin het overdragen van werkzaamheden en verantwoordelijkheden meer expliciet is geregeld (artikel 8c, eerste lid, Participatiewet). Daarin bestaan ruime mogelijkheden om bevoegdheden over te dragen aan samenwerkingsverbanden (openbare lichamen). In die situatie treedt het samenwerkingsverband voor al die bevoegdheden in de plaats van de gemeentelijke organen, maar blijft de financiële relatie en de verantwoordingsrelatie van de minister van SZW zich expliciet richten tot het college van b&w. 12

13 2500 GK DEN HAAG T F INFO@KINGGEMEENTEN.NL 13