Aanhef
Het college van burgemeester en wethouders van de gemeente Heerlen
VOORSTEL
Gelezen het voorstel Zelfevaluatie 2020 inzake DigiD, Suwinet, BAG, BGT en BRO van 20 april2021 en met registratienummer BWV-21001098
OVERWEGING
gelet op het bepaalde in Besluit verwerking persoonsgegevens generieke digitale infrastructuur;
mede gelet op het bepaalde in de Regeling voorzieningen GDI (Generieke Digitale Infrastructuur);
mede gelet op het bepaalde in de Baseline Informatiebeveiliging Overheid;
mede gelet op de beveiligingsrichtlijnen voor webapplicaties van het Nationaal Cyber Security Centrum (NCSC);
mede gelet op de Algemene verordening gegevensbescherming (AVG);
mede gelet op de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG);
BESLUIT
vast te stellen het navolgende: Informatiebeveiligingsplan DigiD gemeente Heerlen
Beleidsinhoud
De gemeente Heerlen gebruikt op basis van DigiD-identificatie persoonlijke informatie van inwoners. Het gaat om informatie over NAW-gegevens maar ook over BSN-nummer. Het is natuurlijk heel belangrijk dat het beheer van deze informatie én het beheer van de DigiD-toegang zorgvuldig gebeurt. Daarvoor past de gemeente Heerlen de Baseline Informatieveiligheid Overheid (BIO) toe. De actuele stand van zaken wordt getoetst tijdens de jaarlijkse ENSIA-audit. Maar binnen de ENSIA-audit is de DigiD een voornamelijk technische audit op een webapplicatie. Hierbij wordt gewerkt met een eigen vooral technisch normenkader, gebaseerd op de NCSC beveiligingsrichtlijnen voor webapplicaties, dat afwijkt van de BIO. Daarbij zijn pentesten een belangrijk onderdeel en mogelijk daarmee voor bestuurders technisch lastig leesbaar. Dit plan bevat de vertaling van de technische bevindingen naar meer bestuurlijke onderwerpen.
Verbetervoorstellen DigiD
Ketenbeheer DigiD – onderzoek aanvullende verklaring leverancier
Inwerkingtreding
1Dit uitwerkingsbesluit treedt in werking na publicatie.
2Dit uitwerkingsbesluit wordt minimaal één keer per jaar, of zodra zich belangrijke wijzigingen voordoen, geëvalueerd, beoordeeld en zo nodig bijgesteld en vastgesteld.
3De algemeen directeur/gemeente secretaris is gemandateerd tot het aanbrengen van kleine wij- zingen in dit uitwerkingsbesluit, en wordt hierbij ondersteund door de CISO en/of de ENSIA-coördinator.
4Aanpassingen van dit uitwerkingsbesluit worden bekendgemaakt, de meest actuele versie is te vinden op www.overheid.nl.