Informatieveiligheid

Informatieveiligheid is het geheel van maatregelen, procedures en processen die de beschikbaarheid, integriteit en vertrouwelijkheid van alle vormen van informatie binnen de gemeente garanderen. Het doel van informatieveiligheid is de continuïteit van de informatie en de informatievoorziening te waarborgen en de eventuele gevolgen van beveiligingsincidenten tot een acceptabel niveau te beperken.

BIO en ENSIA
Sinds 1 januari 2020 geldt voor de overheid één uniform normenkader voor informatiebeveiliging: de Baseline Informatiebeveiliging Overheid (BIO). Jaarlijks worden onder meer het informatiebeveiligingsbeleid, de beveiligingsorganisatie, een risico- en GAP-analyse, een actieplan en het handboek informatiebeveiliging en privacy geactualiseerd.

Met ENSIA (Eenduidige Normatiek Single Information Audit) legt de gemeente jaarlijks verantwoording af aan de gemeenteraad en het Rijk over informatiebeveiliging, DigiD en Suwinet. In 2025 is een analyse uitgevoerd om de verschillen tussen het bestaande normenkader en de nieuwe Baseline Informatiebeveiliging Overheid (BIO2) inzichtelijk te maken. Deze analyse biedt inzicht in waar de gemeente al voldoet en waar verdere stappen nodig zijn. De uitkomsten vormen een belangrijke basis om de BIO2 op een pragmatische en gefaseerde wijze te implementeren, passend bij de beschikbare capaciteit en prioriteiten van de organisatie.

Verantwoording en toezicht
Voor het informatiebeveiligingsbeleid hebben wij het onderstaande uitgevoerd:

Verantwoording naar de gemeenteraad
Wij leggen horizontale verantwoording af over de informatiebeveiliging door één Collegeverklaring ENSIA inzake Informatiebeveiliging DigiD en Suwinet op te stellen. Over deze verklaring is in 2025 een audit uitgevoerd door een RE-auditor en een Assurancerapport opgesteld.

Verantwoording naar de Rijksoverheid
Verticale verantwoording vindt plaats aan de stelselhouders (Binnenlandse Zaken/Logius en Inspectie SoZaWe) door het beschikbaar stellen van de uitkomsten van de zelfevaluatie en verplichte audit.  

Rekenkameronderzoek
In 2025 heeft de Rekenkamer van gemeente Maassluis een quickscan laten uitvoeren naar de digitale weerbaarheid van de gemeente. Uit dit onderzoek blijkt dat de digitale veiligheid zich in ontwikkeling bevindt en grotendeels aansluit bij de geldende landelijke normen. Tegelijkertijd zijn aandachtspunten geconstateerd die vragen om verdere professionalisering van de informatiebeveiliging. De gemeente werkt daarom aan het versterken van haar digitale beveiligingsmaatregelen, met aandacht voor voldoende capaciteit, duidelijke sturing en een realistische prioritering van verbeteracties.

Privacy en AVG
De AVG zorgt dat persoonsgegevens van inwoners veilig en zorgvuldig worden gebruikt. De Autoriteit Persoonsgegevens (AP) houdt toezicht van buitenaf, terwijl de Functionaris Gegevensbescherming dit binnen de gemeente doet. In Maassluis is bovendien het kernteam Informatiebeveiliging en Privacy (IBP) opgericht om de organisatie te ondersteunen bij het zorgvuldig omgaan met persoonsgegevens.

In 2025 is het kernteam voor informatiebeveiliging en privacy gegroeid van 2,2 naar 2,6 FTE. Deze uitbreiding is voornamelijk gerealiseerd door het verhogen van het aantal uren voor de Privacy Officer en de Functionaris Gegevensbescherming. Daarnaast heeft een overgang plaatsgevonden van een externe naar een interne invulling van de functie van Functionaris Gegevensbescherming.

Data Protection Impact Assessments (DPIA's)

Een DPIA is een instrument om vooraf de privacyrisico’s van nieuwe of gewijzigde verwerkingen van persoonsgegevens in kaart te brengen en passende maatregelen te bepalen om deze risico’s te beperken. Een DPIA is verplicht wanneer een verwerking mogelijk een hoog risico oplevert voor de privacy van betrokkenen.

In 2025 zijn er diverse DPIA’s uitgevoerd. De uitkomsten zijn gebruikt om waar nodig aanvullende maatregelen te treffen en de bescherming van persoonsgegevens verder te versterken.

Overzicht verwerkingen
De gemeente is zelf verantwoordelijk om aan te tonen dat zij voldoet aan de privacyregels. Een onderdeel hiervan is het bijhouden van een register van verwerkingsactiviteiten, ook wel verwerkingsregister genoemd. In 2025 is gestart met het actualiseren van dit register.  

Meldplicht datalekken
Bij een datalek gaat het om toegang tot of vernietiging, verlies, wijziging of vrijkomen van persoonsgegevens zonder dat dit de bedoeling is. Een datalek wordt gemeld bij de AP als er sprake is van een groot privacyrisico.
In 2025 zijn een beperkt aantal datalekken en beveiligingsincidenten gemeld. Hierbij zijn waar nodig ook de betrokkenen van een datalek geïnformeerd.

Wet Politiegegevens (Wpg)
De Wet politiegegevens zorgt dat politie en boa’s persoonsgegevens veilig en zorgvuldig gebruiken om de veiligheid te handhaven. De gemeente Maassluis is als werkgever van de boa’s verantwoordelijk voor het juiste gebruik van deze gegevens. Toezicht hierop wordt gehouden door de Autoriteit Persoonsgegevens en de Functionaris Gegevensbescherming.

De Wpg verplicht tot het uitvoeren van een interne audit op jaarbasis en een externe audit eens per vier jaar. In 2025 heeft de interne en externe audits plaatsgevonden. Uit deze audits komt naar voren dat de organisatie afgelopen periode verbeterstappen heeft gezet en hierdoor gedeeltelijk voldoet aan de Wpg: beleid en procedures zijn aanwezig, maar sommige maatregelen zijn nog niet volledig geïmplementeerd of aantoonbaar geborgd. Gezien verbetering noodzakelijk is, wordt er komend jaar een verbeterplan opgesteld en moet er binnen één jaar een heraudit uitgevoerd worden.