Dorinie Edelaar is CISO van de gemeente Helmond en ENSIA-coördinator. Als zodanig neemt ze ook deel aan het Gebruikersoverleg ENSIA. Dat is dé plek waar de ENSIA-coördinatoren, of hun vertegenwoordigers, hun stem kunnen laten horen. En niet zonder succes.

Gemeenten hebben een maatschappelijke en wettelijke verantwoordelijkheid. Zij willen hierbij een betrouwbare partner zijn voor inwoners, medewerkers en zakelijke partners. Dit maakt dat het onderwerp informatieveiligheid prominent aanwezig moet zijn op de bestuurstafel. Vanwege het belang ervan is de toetsing op de implementatie van informatieveiligheid landelijk geregeld via de Baseline Informatiebeveiliging Overheid (BIO) en ENSIA (Eenduidige Normatiek Single Information Audit).
Met de BIO heb je een basisnormenkader om informatieveiligheid te borgen en kunnen overheden één basisniveau van informatiebeveiliging inregelen. ENSIA is een systematiek die ondersteunt en faciliteert bij het afleggen van verantwoording over informatieveiligheid aan de gemeenteraad. Diezelfde verantwoording gaat – op onderdelen voorzien van een assurance-rapportage – naar de stelselhouders. “Hiermee is een goede aanzet gedaan om informatieveiligheid onder de aandacht te brengen,” meent Dorinie Edelaar. “Het gemeentebestuur krijgt hiermee overzicht en inzicht in de stand van zaken van de informatieveiligheid. ENSIA draagt bij aan de transparantie naar raad en college. Het is nu zaak dat ENSIA verder wordt doorontwikkeld. Dat gaan we samen doen!”

Evalueren en verbeteren

Inmiddels is er landelijk in opdracht van de VNG en met het ministerie van Binnenlandse Zaken en Koninkrijksrelaties een evaluatie uitgevoerd op het ENSIA-stelsel. Doelstelling is om met de lessen van afgelopen jaren het ENSIA-stelsel efficiënter en effectiever te organiseren. Bij dit onderzoek heeft VNG de gemeenten betrokken. Zij ervaren de huidige ENSIA-systematiek als arbeidsintensief en duur. Ook geven gemeenten aan met de huidige systematiek onvoldoende aandacht te kunnen schenken (en onvoldoende resources beschikbaar te kunnen stellen), aan de risico’s van informatieveiligheid binnen en rondom andere processen, zoals de jeugdwet en het facturatieproces.

Deze versturen we 3-4x per jaar.