Opvolging aanbevelingen onderzoeken rekenkamercommissie

Subsidies

In opvolging van het rekenkameronderzoek is inmiddels de inzet van subsidies beter verbonden met de doelstellingen en beoogde maatschappelijke effecten. Dit komt in de subsidieparagraaf tot uitdrukking. In de raadcommissie 23 september 2024 is de gemeenteraad geïnformeerd over de beoogde vervolgstappen. De aandachtspunten van de commissie worden meegenomen in het vervolg. Een volgende stap is de actualisatie van de Algemene subsidieverordening. Die actualisatie is ook voorzien in de implementatie visie op P&C. Parallel daaraan worden ook de ambities in de in voorjaar 2024 vastgestelde Regiovisie Sociaal Domein verbonden aan de subsidieverordening door middel van een subsidieregeling.

Informatiebeveiliging

Uit het rekenkameronderzoek naar de informatiebeveiliging blijkt het volgende:

1. Er is onvoldoende tactisch beleid voor zowel informatiebeveiliging als privacy.
2. De organisatie heeft onvoldoende inzicht in de risico’s waarmee zij te maken heeft.
3. Er ontbreekt een bedrijfscontinuïteitsplan voor het geval van een cybercrisis.
4. Informatiebeveiliging is niet voldoende geïntegreerd in de organisatie, wat leidt tot een laag bewustzijn hierover.

Naar aanleiding van dit onderzoek worden er in 2025 verschillende maatregelen genomen om het volwassenheidsniveau van de gemeente te verbeteren:

1. Op dit moment heeft de gemeente Den Helder alleen een Chief Information Security Officer (CISO) en een Functionaris Gegevensbescherming (FG) in dienst. De gemeente zal echter ook een Information Security Officer (ISO) en een Privacy Officer (PO) gaan werven. Met een uitgebreider team van specialisten kan een groter deel van de organisatie worden bereikt, kan tactisch beleid worden ontwikkeld en kan proactief worden ingegrepen.
2. Risicomanagement is nog onvoldoende verankerd in de organisatie. De gemeente zal dit stapsgewijs verbeteren om de risico’s beter in kaart te brengen. Vervolgens kunnen de risico’s op basis van prioriteit gemitigeerd worden;
3. Hoewel er al technische maatregelen zijn genomen om de continuïteit van informatie en kritische processen te waarborgen, is er nog geen allesomvattend bedrijfscontinuïteitsplan dat ook organisatorische maatregelen bevat. In 2025 wordt gewerkt aan een dergelijk plan, waarin onder andere de dreiging van een cyberaanval wordt opgenomen.
4. Het verhogen van bewustzijn over informatiebeveiliging en privacy is een doorlopend proces. Dit zal vanuit meerdere invalshoeken worden aangepakt, onder meer door middel van online trainingen via Arda, presentaties op verschillende niveaus in de organisatie en gerichte communicatie.